Datenschutzerklärung für Kanzleien

1. Datenschutz auf einen Blick

Diese Datenschutzerklärung richtet sich an Rechtsanwältinnen, Rechtsanwälte, Rechtsanwaltsgesellschaften und deren Mitarbeitende („Kanzlei“), die unsere Kanzlei-Website besuchen, sich für das Kanzlei-Dashboard registrieren oder es nutzen. Sie informiert über die Verarbeitung, für die wir selbst verantwortlich sind. Für Mandanten- und Falldaten, die Sie im Dashboard verarbeiten, sind Sie verantwortlich und wir Ihr Auftragsverarbeiter (Abschnitt 3).

Wer ist verantwortlich?

Für Ihre Konto-, Kanzlei-, Vertrags- und Abrechnungsdaten, für die Nutzungs- und Sicherheitsdaten des Dashboards und für die Bearbeitung von Anfragen Rechtsuchender bis zu deren Übernahme durch eine Kanzlei ist der in Abschnitt 2 genannte Verantwortliche („ChatAnwalt“) verantwortlich.

Wofür nutzen wir Ihre Daten?

Zur Prüfung Ihrer anwaltlichen Zulassung, zur Bereitstellung und Sicherung des Dashboards, zur Abrechnung, zur Kommunikation mit Ihnen sowie zur Erfüllung gesetzlicher Pflichten, insbesondere zur Nachweisbarkeit von Zugriffen und Einwilligungen. Analyse- oder Werbedienste setzen wir nicht ein.

Welche Rechte haben Sie?

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf erteilter Einwilligungen und Beschwerde bei der Aufsichtsbehörde. Einzelheiten in Abschnitt 18.

2. Verantwortliche Stelle und Datenschutzbeauftragter

Verantwortliche Stelle im Sinne des Art. 4 Nr. 7 DSGVO ist:
ChatAnwalt GmbH i. Gr.
Hilperstraße 31
64295 Darmstadt, Deutschland
Vertreten durch: Patrick Hutter, Geschäftsführer
E-Mail: info@chatanwalt.de · Telefon: +49 (0) 152 55839495

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die gesetzlichen Voraussetzungen nach unserer Einschätzung derzeit nicht vorliegen. Richten Sie Anliegen zum Datenschutz bitte unmittelbar an die oben genannte verantwortliche Stelle, gerne mit dem Betreff „Datenschutz“.

3. Rollenverteilung und Geltungsbereich

Im Dashboard werden Daten mit unterschiedlicher datenschutzrechtlicher Verantwortung verarbeitet:

Mitarbeitende, für die Sie Nutzerkonten anlegen, informieren wir mit dieser Erklärung über die Verarbeitung ihrer Kontodaten. Über die Nutzung des Dashboards für Ihre Kanzleiorganisation, insbesondere Zeiterfassung und Abrechnung, informieren Sie Ihre Mitarbeitenden als Verantwortliche selbst.

4. Kanzlei-Website und Dashboard

4.1 Hosting und Server-Logfiles

Die Kanzlei-Website, das Dashboard (dashboard.chatanwalt.de) und die zugehörige Schnittstelle (api.dashboard.chatanwalt.de) werden auf Servern in einem Rechenzentrum der active 1 GmbH, Kritenbarg 66, 22391 Hamburg, am Standort Frankfurt am Main betrieben. Mit dem Hosting-Dienstleister besteht ein Vertrag über Auftragsverarbeitung. Bei jedem Aufruf speichert der Server Zugriffsdaten in Logfiles (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browser, Betriebssystem, Statuscode, Datenmenge). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb. Die Logfiles werden nach 14 Tagen gelöscht, sofern nicht ein Sicherheitsvorfall eine längere Aufbewahrung erfordert. Seiten unter chatanwalt.de werden zusätzlich über das Netzwerk der Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, ausgeliefert, die als Sicherheits- und Auslieferungsdienst IP-Adresse und technische Verbindungsdaten verarbeitet (Art. 6 Abs. 1 lit. f DSGVO, Auftragsverarbeiter, Abschnitt 16). Das Dashboard selbst wird nicht über Cloudflare ausgeliefert.

4.2 Cookies und lokale Speicherung

Die Kanzlei-Website setzt keine Cookies und keine Analyse- oder Werbedienste ein. Gespeichert wird allein Ihre Bestätigung des Cookie-Hinweises, und zwar im lokalen Browserspeicher Ihres Geräts, damit der Hinweis nicht bei jedem Besuch erneut erscheint. Das Dashboard verwendet ausschließlich technisch notwendige Speicherungen: Sitzungs-Cookies für die Anmeldung (Zugangstoken mit 15 Minuten und Erneuerungstoken mit 7 Tagen Gültigkeit, gegen Skriptzugriff geschützt), ein Zugangstoken für die elektronische Vertragsunterzeichnung im lokalen Browserspeicher bis zur Abmeldung sowie Oberflächeneinstellungen wie weggeklickte Hinweise. Diese Speicherungen sind für die Bereitstellung des von Ihnen genutzten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO). Schriftarten werden lokal ausgeliefert, eine Verbindung zu Google Fonts findet nicht statt. Einzelheiten im Cookie-Hinweis.

5. Anfragen über das Neugründungsformular

Auf der Seite Neugründung können Sie ein individuelles Angebot anfordern. Wir verarbeiten dabei die von Ihnen angegebenen Daten: Name, E-Mail-Adresse, Telefonnummer, optional den Kanzleinamen sowie Gründungsdatum, Umsatzspanne, Mitarbeiterzahl, Rechtsgebiet und eine optionale Nachricht. Zweck ist ausschließlich die Erstellung eines auf Ihre Situation zugeschnittenen Angebots und die dafür erforderliche Kontaktaufnahme. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit formlos mit Wirkung für die Zukunft widerrufen können; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt. Den Zeitpunkt Ihrer Einwilligung speichern wir, um sie nachweisen zu können (Art. 7 Abs. 1 DSGVO).

Die Angabe der Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Ohne Name, E-Mail-Adresse, Telefonnummer, Gründungsdatum, Umsatzspanne, Mitarbeiterzahl und Rechtsgebiet können wir jedoch kein Angebot erstellen; Kanzleiname und Nachricht sind freiwillig. Sie können uns stattdessen jederzeit formlos anschreiben oder anrufen.

Aus Ihrem Gründungsdatum berechnen wir das Alter Ihrer Kanzlei in Monaten und daraus ein Kennzeichen, ob sie in das Neugründungsprogramm fällt (Grenze: 12 Monate). Beides speichern wir zusammen mit der Anfrage. Im Verlauf der Bearbeitung kommen ein Bearbeitungsstand (etwa „kontaktiert“ oder „Angebot versandt“) und Gesprächsnotizen unserer Mitarbeitenden hinzu, die sich auf Ihre Anfrage beziehen. Rechtsgrundlage hierfür ist ebenfalls Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Zusätzlich speichern wir beim Absenden IP-Adresse, Browserkennung und, sofern in der aufgerufenen Adresse enthalten, Kampagnenparameter. Das dient der Abwehr automatisierter Masseneinsendungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse liegt in einem funktionsfähigen Formular.

Die Angaben werden in unserem internen Kundenverwaltungssystem (crm.chatanwalt.de) gespeichert, das auf denselben Servern in Deutschland betrieben wird wie die übrige Plattform (Abschnitt 4.1). Zugriff haben ausschließlich die mit der Angebotserstellung befassten Personen. Über einen neuen Eingang benachrichtigen wir uns per E-Mail an unsere eigene Adresse. Diese Nachricht enthält bewusst keine Ihrer Angaben, auch nicht im Betreff, sondern ausschließlich eine interne Vorgangsnummer und einen Link auf unser Kundenverwaltungssystem. Ihre Angaben selbst verlassen unsere Server in Deutschland nicht; eine Übermittlung in ein Drittland findet insoweit nicht statt.

Eine Weitergabe an Dritte zu Werbezwecken findet nicht statt, ebenso wenig eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO: das oben genannte Kennzeichen steuert nur, in welcher Reihenfolge wir Anfragen bearbeiten, über das Angebot entscheiden Menschen. Kommt kein Vertrag zustande, löschen wir die Anfrage samt Notizen nach Ablauf der in Abschnitt 15 genannten Frist, auf Ihren Wunsch hin jederzeit früher.

6. Registrierung, Verifizierung und Vertragsschluss

Bei der Registrierung verarbeiten wir Vor- und Nachname, E-Mail-Adresse, Passwort (nur als Hash), Rolle und Kanzleizugehörigkeit sowie die Kanzleiangaben (Name, Anschrift, Telefon, Fax, Steuernummer, Umsatzsteuer-Identifikationsnummer, Bankverbindung). Zur Prüfung der anwaltlichen Zulassung verarbeiten wir Zulassungsnummer, zuständige Rechtsanwaltskammer, Angaben zur Berufshaftpflichtversicherung mit Nachweisdatum und Gültigkeit sowie einen internen Prüfvermerk. Die Prüfung erfolgt manuell durch uns. Bei der elektronischen Unterzeichnung des Partnervertrags speichern wir das unterzeichnete PDF, das Unterschriftsbild, den Zeitpunkt und die IP-Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und Vertragsdurchführung). Die Zulassungsprüfung stützen wir zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Rechtsuchende ausschließlich an zugelassene Rechtsanwältinnen und Rechtsanwälte weiterzuleiten und das anwaltliche Berufsrecht einzuhalten. Die Dokumentation der Vertragsunterzeichnung dient dem Nachweis des Vertragsschlusses (Art. 6 Abs. 1 lit. f DSGVO). Ohne diese Angaben können wir Ihr Konto nicht freischalten.

7. Nutzung des Dashboards, Protokollierung und Sicherheit

Während der Nutzung verarbeiten wir Anmelde- und Abmeldezeitpunkte, den Zeitpunkt der letzten Aktivität sowie IP-Adresse und Browserkennung je Sitzung. Wir protokollieren Anmeldungen, Fallvorgänge, die Offenlegung von Kontaktdaten Rechtsuchender, Einwilligungen, Rechtevergaben und Systemeinstellungen jeweils mit Nutzerkennung, IP-Adresse und Gerätekennung. Das Protokoll wird stündlich automatisiert auf auffällige Zugriffsmuster geprüft. Sitzungen werden nach 30 Minuten Inaktivität beendet. Für die optionale Zwei-Faktor-Anmeldung speichern wir das Geheimnis verschlüsselt und Wiederherstellungscodes als Hash. Support-Tickets mit Anhängen, von Ihnen erstellte Blogbeiträge, Dokumentenvorlagen und Schnellantworten sowie den Verbrauch der KI-Funktionen (Modell, Tokenzahlen, Kosten, keine Inhalte) speichern wir zur Vertragsdurchführung und Abrechnung.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung und Abrechnung, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 32 DSGVO und unseren Pflichten als Dienstleister nach § 43e BRAO für die Protokollierung sowie Art. 6 Abs. 1 lit. f DSGVO für die Sicherheit unserer Systeme und die Abwehr von Missbrauch. Wir empfehlen allen Nutzerkonten die Aktivierung der Zwei-Faktor-Anmeldung.

8. Zahlungsabwicklung

Abonnements und Credits werden über den Zahlungsdienstleister Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, abgewickelt. An Stripe übermitteln wir E-Mail-Adresse, Vor- und Nachname und eine interne Kundenkennung. Zahlungsmittel geben Sie unmittelbar bei Stripe ein, Kartendaten erreichen unsere Systeme nicht. Wir speichern die Stripe-Kundennummer, die Abonnement-Kennung, den gebuchten Plan, das Periodenende, die Credit-Salden und ein Buchungsjournal je Kanzlei. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Stripe verarbeitet Zahlungsdaten als eigenständiger Verantwortlicher nach eigener Datenschutzerklärung (stripe.com/de/privacy). Eine Übermittlung an Stripe, Inc. in den USA ist möglich (Abschnitt 16).

9. E-Mail-Benachrichtigungen

System-E-Mails (Bestätigungen, Statusmeldungen, Benachrichtigungen zu Anfragen und Tickets, Zustellung des unterzeichneten Partnervertrags, Hinweise auf neue Anfragen über das Neugründungsformular) versenden wir über den Dienstleister Resend, Inc., San Francisco, USA, als Auftragsverarbeiter. Übermittelt werden E-Mail-Adresse, Name, Aktenzeichen, Fallbezeichnung und gegebenenfalls das Vertrags-PDF. Die Benachrichtigung über eine neue Anfrage aus dem Neugründungsformular enthält dagegen keine Angaben der anfragenden Person, sondern nur eine interne Vorgangsnummer und einen Link. An Rechtsuchende senden wir keine E-Mails. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Resend, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Abschnitt 16).

10. Push-Benachrichtigungen

Wenn Sie Browser-Benachrichtigungen aktivieren, speichern wir die vom Browser vergebene Endpunktadresse Ihres Geräts. Die Zustellung erfolgt über den Push-Dienst Ihres Browserherstellers (Google, Mozilla oder Apple). Der Inhalt der Benachrichtigung ist für Kanzleirollen bewusst leer, er enthält weder Namen noch Aktenzeichen. Rechtsgrundlage ist Ihre im Browser erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit in den Browsereinstellungen widerrufen können. Abonnements ohne Zustellung werden nach 180 Tagen gelöscht.

11. Interne Betriebsmeldungen

Für den Betrieb der Plattform nutzen wir interne Benachrichtigungen über den Dienst Discord (Discord Inc., 444 De Haro Street, San Francisco, CA 94107, USA). Meldungen zu Anfragen enthalten ausschließlich Aktenzeichen, Status und einen Link ohne Inhalte. Meldungen zu Support-Tickets enthalten Name und Rolle der meldenden Person sowie bis zu 300 Zeichen des Ticket- oder Kommentartextes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der zeitnahen Bearbeitung von Störungen und Anfragen. Discord Inc. ist nach dem EU-US Data Privacy Framework zertifiziert (Abschnitt 16). Bitte nehmen Sie in Support-Tickets keine Mandantendaten auf.

12. KI-Funktionen

Die Plattform nutzt Sprachmodelle über den AI Model Hub der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, die in einem Rechenzentrum in Deutschland betrieben werden. Nach den vertraglichen Vereinbarungen mit IONOS werden übermittelte Inhalte nicht zum Training verwendet und nach Abschluss der Anfrage nicht gespeichert. Die Erstaufnahme der Anfragen Rechtsuchender vor der Übernahme führen wir als Verantwortlicher durch. Nutzen Sie KI-Funktionen auf Ihre Fälle (Antwortvorschläge, Fallzusammenfassungen, kanzleieigene Erstaufnahme), verarbeiten wir die dabei übermittelten Chatverläufe und Fallangaben im Klartext in Ihrem Auftrag. Dateien und Medien werden nicht an das KI-System übermittelt. Das Morgenbriefing wird aus Zahlen und anonymisierten Kurztexten erzeugt. Den Tokenverbrauch speichern wir zur Abrechnung. IONOS ist unser Unterauftragsverarbeiter und als Dienstleister im Sinne des § 43e BRAO zur Verschwiegenheit verpflichtet.

13. WhatsApp Business Platform

Die Kommunikation mit Rechtsuchenden läuft über die WhatsApp Business Platform von Meta (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland, beziehungsweise WhatsApp Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland). Meta ist unser Unterauftragsverarbeiter für den Nachrichtentransport. Nachrichten werden nach dem Signal-Protokoll zwischen dem Gerät des Rechtsuchenden und dem von Meta betriebenen Endpunkt verschlüsselt, dort in unserem Auftrag entschlüsselt und über eine TLS-gesicherte Schnittstelle an die Plattform übermittelt. Eine Ende-zu-Ende-Verschlüsselung zwischen dem Rechtsuchenden und der Plattform besteht nicht. Meta speichert Nachrichten verschlüsselt und höchstens 30 Tage zur Zustellung. Eine Übermittlung an verbundene Unternehmen in den USA ist möglich (Abschnitt 16).

14. Auftragsverarbeitung für die Kanzlei

Mandanten- und Falldaten, die Sie im Dashboard verarbeiten, verarbeiten wir ausschließlich in Ihrem Auftrag nach der Vereinbarung zur Auftragsverarbeitung (Anlage 1 der Kanzlei-AGB). Unsere Mitarbeitenden in Verwaltung und Support haben keinen Zugriff auf Fälle, Nachrichten, Dokumente und Mandantendaten Ihrer Kanzlei. Diese Sperre ist technisch umgesetzt, Zugriffsversuche werden protokolliert. Ein Zugriff durch Systemadministratoren ist auf das für Betrieb, Wartung und Störungsbeseitigung zwingend Erforderliche beschränkt. Kanzleien sind technisch voneinander getrennt. Das Dashboard stellt Ihnen einen Auskunftsbericht für Betroffenenanfragen, einen Aktenexport als PDF (wahlweise mit anonymisierten Chatverläufen) und eine Löschfunktion zur Verfügung.

15. Speicherdauer und Löschung

Konto-, Kanzlei- und Vertragsdaten speichern wir für die Dauer des Vertrags. Nach Vertragsende haben Sie 30 Tage lesenden Zugang zum Export Ihrer Akten. Anschließend wird Ihr Konto anonymisiert: Name, E-Mail-Adresse, Passwort, Profilbild, Kanzlei- und Bankangaben, Zulassungsdaten, Sicherheitsmerkmale, Unterschriftsbild und die Unterschrifts-IP werden überschrieben. Erhalten bleiben Nutzerkennung, Rolle, Anlagedatum, Kanzleizugehörigkeit, das Vertrags-PDF, die Stripe-Kundennummer und die Protokolleinträge, soweit gesetzliche Aufbewahrungspflichten (§ 147 AO, § 257 HGB) oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern (Art. 17 Abs. 3 lit. b und lit. e DSGVO). Die Mandats- und Falldaten Ihrer Kanzlei löschen wir nach Ablauf der Exportfrist nach Maßgabe der Vereinbarung zur Auftragsverarbeitung.

16. Empfänger und Übermittlung in Drittländer

Unsere Server und das KI-System werden in Deutschland betrieben. Soweit die genannten Anbieter Daten in den USA verarbeiten, stützen wir die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), nach dem Cloudflare, Inc., Meta Platforms, Inc., WhatsApp LLC, Stripe, Inc., Resend, Inc. und Discord Inc. zertifiziert sind, ergänzend auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

17. Datensicherheit

Die Verbindung zum Dashboard ist mit TLS verschlüsselt. Der Zugang ist durch persönliche Zugangsdaten, kurzlebige Sitzungen mit Widerrufsmöglichkeit, optionale Zwei-Faktor-Anmeldung, Ratenbegrenzung gegen automatisierte Anmeldeversuche und Schutz vor seitenübergreifenden Anfragen gesichert. Schnittstellen zu WhatsApp und Stripe sind signaturgeprüft. Zugriffe werden protokolliert und auf auffällige Muster geprüft, Kanzleien sind voneinander getrennt, alle Container-Dienste sind nur intern erreichbar. Unsere Mitarbeitenden und Dienstleister sind zur Verschwiegenheit verpflichtet und über § 203 StGB belehrt.

18. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Zur Ausübung genügt eine Mitteilung an die in Abschnitt 2 genannten Kontaktdaten.

Widerspruchsrecht (Art. 21 DSGVO)

Wenn die Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen die Verarbeitung Ihrer personenbezogenen Daten einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden, poststelle@datenschutz.hessen.de. Betroffenenrechte zu Mandats- und Falldaten richten Sie als Verantwortliche selbst aus, wir unterstützen Sie nach der Vereinbarung zur Auftragsverarbeitung.

19. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Die aktuelle Fassung ist im Dashboard und auf der Kanzlei-Website abrufbar. Über wesentliche Änderungen informieren wir Sie per E-Mail.