Auftragsverarbeitung

Das ist der Vertrag, den jede Kanzlei mit uns schließt, bevor sie KanzKI nutzt: Testvereinbarung, Auftragsverarbeitung nach Art. 28 DSGVO und Verschwiegenheit nach § 62a StBerG in einem Dokument. Sie können ihn hier in Ruhe lesen oder an Ihren Datenschutzbeauftragten weitergeben.

Fassung 1.4 · Stand 08.10.2026

Verbindlich ist die Fassung, der Ihre Kanzlei in der Anwendung zugestimmt hat. Dort wird die Zustimmung mit Datum, Name und Fassung gespeichert, und Sie können den Vertrag jederzeit wieder aufrufen. Diese Seite zeigt den aktuellen Wortlaut zur Ansicht.

Teil A — Testvereinbarung

Zwischen der nutzenden Kanzlei (nachfolgend „Auftraggeberin") und der Code15 GmbH, Schloßstr. 15, 99991 Unstrut-Hainich, vertreten durch den Geschäftsführer Nico Meyer (Amtsgericht Jena, HRB 524355) — nachfolgend „Auftragnehmer" — wird die unentgeltliche Nutzung der KI-Chat-Plattform auf einem dedizierten Server für eine Testphase von 30 Tagen ab dem Tag dieser Zustimmung vereinbart.

Die Testphase ist unverbindlich und kostenfrei. Sie endet automatisch nach Ablauf der 30 Tage, sofern die Parteien keine Fortführung vereinbaren. Beide Parteien können die Testphase jederzeit ohne Angabe von Gründen mit sofortiger Wirkung beenden.

Nach dem Ende der Testphase stellt der Auftragnehmer die hochgeladenen Dokumente auf Wunsch zur Übergabe bereit und löscht anschließend sämtliche Daten der Auftraggeberin vollständig — einschließlich der verschlüsselten Sicherungskopien — spätestens 30 Tage nach Testende.

Der Dienst wird für die Testphase mit angemessener Sorgfalt, aber ohne Zusage einer bestimmten Verfügbarkeit bereitgestellt. Der Auftragnehmer haftet während der unentgeltlichen Testphase nur für Vorsatz und grobe Fahrlässigkeit sowie unbeschränkt für Schäden aus der Verletzung von Leben, Körper oder Gesundheit; die Haftung nach zwingenden gesetzlichen Vorschriften bleibt unberührt.

Teil B — Auftragsverarbeitung (Art. 28 DSGVO)

Die Auftraggeberin ist Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich in ihrem Auftrag und nach ihren dokumentierten Weisungen (Art. 28 DSGVO). Weisungen werden in Textform erteilt; die Nutzung der Anwendung selbst gilt als Weisung im Rahmen ihres Funktionsumfangs.

Gegenstand und Zweck der Verarbeitung: Bereitstellung einer KI-gestützten Chat- und Dokumentenauswertungs-Plattform auf einem dedizierten, ausschließlich für die Auftraggeberin betriebenen Server in Deutschland; hierzu gehören Speicherung, Texterkennung (OCR), Aufbereitung und KI-gestützte Auswertung der hochgeladenen Dokumente sowie die Verwaltung der Benutzerkonten der Kanzlei. Die Dauer entspricht der Laufzeit der Testvereinbarung (Teil A) bzw. eines nachfolgenden Vertrags.

Art der Daten und Kreis der Betroffenen: Dokumente und Belege der Kanzlei und ihrer Mandanten (z. B. Rechnungen, Bescheide, Verträge, Schriftverkehr) einschließlich der darin enthaltenen personenbezogenen Daten, Chat-Eingaben der Nutzer sowie Konto- und Nutzungsdaten der Kanzleimitarbeiter (Name, E-Mail-Adresse). Betroffene sind insbesondere Mandanten und deren Geschäftspartner sowie Beschäftigte der Auftraggeberin.

Die Daten der Auftraggeberin werden ausschließlich zur Erbringung des Dienstes verarbeitet. Sie werden nicht zum Training von KI-Modellen verwendet und nicht zu eigenen Zwecken des Auftragnehmers ausgewertet.

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau abzusenken. Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

Unterauftragsverarbeiter: Die Auftraggeberin genehmigt die in Anlage 2 aufgeführten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer vorab in Textform; die Auftraggeberin kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Jeder Unterauftragsverarbeiter wird durch Vertrag auf mindestens dasselbe Datenschutzniveau verpflichtet.

Der Auftragnehmer unterstützt die Auftraggeberin bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet er der Auftraggeberin unverzüglich.

Die Auftraggeberin kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieser Vereinbarung überzeugen; der Auftragnehmer stellt hierzu geeignete Nachweise bereit und ermöglicht erforderliche Kontrollen nach angemessener Ankündigung.

Nach Ende der Verarbeitung werden sämtliche personenbezogenen Daten nach Wahl der Auftraggeberin herausgegeben oder gelöscht (siehe Teil A); die Löschung schließt Sicherungskopien mit deren regulärem Zyklus ein. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

Diese Vereinbarung wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): mit der Zustimmung in der Anwendung wird sie verbindlich; Zeitpunkt, zustimmende Person und Dokumentversion werden revisionssicher protokolliert.

Teil C — Verschwiegenheit (§ 62a StBerG, § 203 StGB)

Der Auftragnehmer verpflichtet sich zur Verschwiegenheit über alle fremden Geheimnisse — insbesondere Mandantengeheimnisse —, die ihm im Rahmen der Leistungserbringung bekannt werden. Diese Pflicht besteht zeitlich unbegrenzt und über das Ende der Vereinbarung hinaus.

Belehrung: Der Auftragnehmer ist als mitwirkende Person im Sinne des § 203 Abs. 3 und 4 StGB darüber belehrt, dass die unbefugte Offenbarung fremder Geheimnisse, die ihm bei der Mitwirkung an der Berufstätigkeit der Auftraggeberin bekannt geworden sind, strafbar ist (Freiheitsstrafe bis zu einem Jahr oder Geldstrafe).

Der Auftragnehmer verschafft sich von fremden Geheimnissen nur insoweit Kenntnis, als dies zur ordnungsgemäßen Vertragserfüllung erforderlich ist (§ 62a Abs. 5 Satz 1 Nr. 2 StBerG).

Zieht der Auftragnehmer weitere Dienstleister heran, verpflichtet er diese in Textform zur Verschwiegenheit und belehrt sie über die strafrechtlichen Folgen einer Pflichtverletzung (§ 62a Abs. 5 Satz 2 StBerG). Dienstleister außerhalb Deutschlands werden nur eingesetzt, wenn der dortige Schutz der Geheimnisse dem inländischen vergleichbar ist — die eingesetzten Unterauftragsverarbeiter (Anlage 2) haben ihren Sitz in Deutschland bzw. in der Europäischen Union.

Anlage 1 — Technische und organisatorische Maßnahmen

Dedizierter Server: Jede Kanzlei erhält einen eigenen, ausschließlich für sie betriebenen Server bei der Hetzner Online GmbH in Deutschland. Dokumente werden ausschließlich auf diesem Server gespeichert, nicht in fremden Cloud-Speichern.

Zugriffsschutz: Serverzugriff nur per SSH-Schlüssel; eine Firewall lässt eingehend ausschließlich SSH und HTTPS zu; die Datenbank ist von außen nicht erreichbar. Anwendungszugänge werden ausschließlich per Einladung vergeben; eine Selbstregistrierung ist deaktiviert.

Verschlüsselung: Sämtliche Übertragungen erfolgen TLS-verschlüsselt. Die täglichen Datensicherungen werden verschlüsselt auf einem getrennten Speicher in Deutschland abgelegt.

Mandantentrennung: Die Anwendung trennt Arbeitsbereiche und prüft jede Anfrage serverseitig auf Zugriffsberechtigung. Deaktivierte Zugänge werden unmittelbar gesperrt.

Protokollierung und Wartung: Wartungszugriffe erfolgen über verschlüsselte Verbindungen; Änderungen am Systembestand werden über die Betriebsdokumentation nachvollziehbar gehalten.

Fehlerprotokollierung: Damit Störungen auffallen, bevor Sie uns darauf ansprechen müssen, werden technische Fehlermeldungen der Anwendung an einen weiteren, ausschließlich vom Auftragnehmer betriebenen Server in Deutschland übertragen. Übertragen werden Zeitpunkt, Programmstelle, Fehlertext und interne Kennnummern. Dokumentinhalte, Dateinamen, Namen von Mandanten, E-Mail-Adressen und Chat-Eingaben werden vor der Übertragung automatisch entfernt. Meldungen aus dem Browser laufen über den Server Ihrer Kanzlei; ein weiterer Anbieter kommt dadurch nicht in die Datenkette. Die Meldungen werden spätestens nach 90 Tagen gelöscht.

Anlage 2 — Unterauftragsverarbeiter

Hetzner Online GmbH, Gunzenhausen, Deutschland — Betrieb des dedizierten Servers, des verschlüsselten Backup-Speichers und eines separaten Servers für die technische Fehlerprotokollierung sowie für den Versand von System-E-Mails (Einladungen, Passwort-Links) über einen eigenen, dort vom Auftragnehmer betriebenen Mail-Server; für den Versand werden ausschließlich Name und E-Mail-Adresse der Kanzleimitarbeiter verarbeitet, keine Mandantendaten (Rechenzentren in Deutschland).

Mistral AI SAS, Paris, Frankreich — KI-Sprachmodell und Texterkennung (OCR) zur Beantwortung der Anfragen und Auswertung der Dokumente; Verarbeitung in der EU; Anfragen und Antworten werden nach der Verarbeitung nicht gespeichert („Zero Data Retention“), niemand beim Anbieter kann sie einsehen; kein Training mit Kundendaten.

Was sich geändert hat

• Fassung 1.4 vom 08.10.2026: Anlage 2 sichert für den KI-Anbieter Mistral zu, dass Anfragen und Antworten nach der Verarbeitung nicht gespeichert werden („Zero Data Retention“).
• Fassung 1.3 vom 26.08.2026: System-E-Mails verschickt ein eigener Mail-Server in Deutschland; der externe Dienstleister Mailjet entfällt als Unterauftragsverarbeiter.
• Fassung 1.2 vom 25.08.2026: Anlage 1 und Anlage 2 beschreiben die Aufzeichnung technischer Fehlermeldungen auf einem eigenen Server in Deutschland.
• Fassung 1.1 vom 18.08.2026: Die Code15 GmbH ist als Vertragspartner mit Anschrift und Handelsregister benannt.
• Fassung 1.0 vom 18.08.2026: Erste Fassung.

Eine frühere Fassung im Wortlaut schicken wir Ihnen gern zu. Rufen Sie uns an unter 0151 676 23 894 oder schreiben Sie an support@code15gmbh.de.