Datenschutzerklärung

Wie anwalt.avantwerk.de personenbezogene Daten verarbeitet. Informationspflicht gemäß Art. 13 und Art. 14 DSGVO (Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016) in Verbindung mit dem BDSG (Bundesdatenschutzgesetz in der Fassung der Bekanntmachung vom 30. Juni 2017, BGBl. I S. 2097, zuletzt geändert).

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Dienst Avantwerk Legal AI ist:

Bennovate spółka z ograniczoną odpowiedzialnością
ul. Christiana Andersena 25, 94-118 Łódź, Polen
KRS: 0000597272 · NIP: 7272799328 · REGON: 363700466
Eingetragen beim Bezirksgericht Łódź-Śródmieście, XX. Wirtschaftsabteilung des Nationalen Gerichtsregisters
Stammkapital: 5.000 PLN, vollständig eingezahlt

Das Unternehmen tritt in Deutschland unter der Handelsbezeichnung Avantwerk Legal AI auf. Bennovate sp. z o.o. ist keine Rechtsanwaltskanzlei und kein zugelassener Rechtsanwalt; das Unternehmen erbringt Softwareleistungen.

Rechtliche Mitteilungen: legal@avantwerk.com
Produkt- und Supportanfragen: support@avantwerk.com

2. Kontakt für Datenschutzanfragen

Unser Ansprechpartner für alle Fragen zur Verarbeitung personenbezogener Daten und zur Ausübung von Betroffenenrechten ist Bartłomiej Kubas:

E-Mail: dpo@avantwerk.com

Die Kontaktaufnahme ist keine Voraussetzung für die Ausübung von Betroffenenrechten. Anfragen können direkt nach dem unter Ziffer 11 beschriebenen Verfahren gestellt werden.

3. Für wen gilt diese Datenschutzerklärung?

Diese Datenschutzerklärung, erteilt gemäß Art. 13 DSGVO (Erhebung bei der betroffenen Person) und Art. 14 DSGVO (nicht bei der betroffenen Person erhobene Daten), gilt für personenbezogene Daten der folgenden Personengruppen:

1. Kanzleikontakte: natürliche Personen, die ein Konto anlegen, den Dienst abonnieren oder als Rechnungs- oder technische Kontaktpersonen einer Abonnentenkanzlei benannt sind;
2. Sachbearbeiter und Rechtsanwältinnen/Rechtsanwälte: Personen einer Abonnentenkanzlei, die den Dienst im Rahmen einer Nutzerlizenz (Platz) verwenden;
3. Interessenten: Personen, die uns über die Website, per E-Mail oder telefonisch anfragen oder Informationen zum Dienst einholen; und
4. potenzielle Kunden: Personen, die Marketingkommunikation von uns über den Dienst erhalten.

Rollenabgrenzung. Bennovate handelt als Verantwortlicher für Akquise und Vertrieb, Konto- und Vertragsverwaltung, Authentifizierung und Kontosicherheit, Abrechnung, Support sowie eigene rechtliche Pflichten. Die Kanzlei bleibt Verantwortlicher für ihre Mandatsakte. Soweit Bennovate ausdrücklich ausgewählte Prompts, Aktenauszüge, Anhänge oder Antworten über den verwalteten KI-Pfad oder einen firmeneigenen Anbieterzugang vorübergehend verarbeitet, handelt Bennovate als Auftragsverarbeiter nach Maßgabe des AVV. Der übrige Inhalt des kundenkontrollierten Aktentresors wird von Bennovate nicht gehalten.

4. Welche personenbezogenen Daten verarbeiten wir?

Wir verarbeiten personenbezogene Daten, die für Betrieb, Sicherheit und Vertrag erforderlich sind. Die kanonische Akte halten wir nicht; für Akteninhalte (vgl. Ziffer 10) sind wir nicht Verantwortlicher. Ausdrücklich ausgewählte Prompts, Aktenauszüge, Anhänge und Antworten können wir jedoch vorübergehend als Auftragsverarbeiter der Kanzlei über eine konfigurierte Route verarbeiten; der verwaltete KI-Zugang ist für echte Mandatsdaten im deutschen Markt noch nicht freigegeben (Ziffer 7). Einzelheiten stehen in Ziffer 10 und im AVV.

Bitte übermitteln Sie in Support-Anfragen keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO und keine Mandatsinhalte. Werden solche Daten dennoch übermittelt, beschränken wir den Zugriff und löschen oder redigieren sie, soweit sie für die Bearbeitung nicht erforderlich sind. Soweit Bennovate sie als Verantwortlicher ausnahmsweise verarbeiten muss, erfolgt dies nur auf einer Grundlage nach Art. 6 DSGVO und unter einer anwendbaren Ausnahme nach Art. 9 Abs. 2 DSGVO; die bloß freiwillige Mitteilung genügt dafür nicht.

5. Zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeiten wir Ihre Daten?

5.1 Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO

Wir verarbeiten Kontodaten, Kontaktdaten, Abrechnungsdaten und Nutzungsdaten, um: (a) Ihr Konto einzurichten und zu verwalten; (b) den Zugang zum Dienst im Rahmen des Abonnements bereitzustellen; (c) Rechnungen zu erstellen und Zahlungen einzuziehen; (d) Kundensupport zu leisten.

Speicherdauer: Kontodaten grundsätzlich für die Dauer des Abonnements und anschließend nur so lange, wie dies für Vertragsnachweise, die Abwehr oder Durchsetzung von Ansprüchen oder eine für Bennovate geltende gesetzliche Pflicht erforderlich ist. Rechnungs- und Buchungsunterlagen werden nach dem auf Bennovate als polnische Gesellschaft anwendbaren Steuer- und Rechnungslegungsrecht aufbewahrt; nicht erforderliche Kontodaten werden früher gelöscht.

5.2 Erfüllung rechtlicher Verpflichtungen: Art. 6 Abs. 1 lit. c DSGVO

Wir verarbeiten Rechnungsdaten, Transaktionsnachweise und bestimmte Sicherheitsprotokolle zur Erfüllung der für Bennovate geltenden polnischen und unionsrechtlichen Steuer-, Rechnungslegungs- und Datenschutzpflichten sowie, soweit im konkreten Fall anwendbar, deutscher Pflichten.

Speicherdauer: Rechnungs- und Buchungsunterlagen für die jeweils gesetzlich vorgeschriebene Frist nach dem anwendbaren Recht. Sicherheitsprotokolle: 90 Tage routinemäßig; länger nur bei einem bestätigten Sicherheitsvorfall, Rechtsanspruch oder einer gesetzlichen Pflicht.

5.3 Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO

Wir verarbeiten technische Daten (IP-Adressen, Browser-Informationen) und Nutzungsdaten auf Grundlage unserer berechtigten Interessen: (a) Aufrechterhaltung der Sicherheit, Integrität und Verfügbarkeit des Dienstes; (b) Erkennung und Verhinderung von Betrug und unberechtigtem Zugriff; (c) Verbesserung des Dienstes durch anonymisierte aggregierte Nutzungsanalysen. Wir haben eine Interessenabwägung durchgeführt.

Speicherdauer: Technische Daten: 90 Tage, außer bei laufenden Sicherheitsuntersuchungen.

5.4 Einwilligung: Art. 6 Abs. 1 lit. a DSGVO

Soweit Sie eine Einwilligung erteilt haben, verarbeiten wir: (a) Ihre E-Mail-Adresse für Marketingkommunikation; (b) zusätzliche personenbezogene Daten, die Sie freiwillig in Umfragen oder Rückmeldungen angeben; (c) Website-Nutzungsdaten für GA4-Statistik; (d) Seitenaufrufe, Anzeigenklick- und Conversion-Daten für Google-Ads- und Meta-Werbemessung; (e) solche Daten für personalisierte Werbung und Remarketing nur nach einer hiervon getrennten Auswahl; (f) Kontakt- und Termindaten über HighLevel nur nach Auswahl der Kontaktfunktion; und (g) einen Empfehlungscode nur nach gesonderter Freigabe.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft durch Klick auf den Abmeldelink oder schriftlich an dpo@avantwerk.com widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung (Art. 7 Abs. 3 DSGVO).

Speicherdauer für Einwilligungsnachweise: 3 Jahre ab Einwilligung oder Widerruf.

6. Cookies und Tracking-Technologien

Unser Einsatz von Cookies und vergleichbaren Speichertechnologien richtet sich nach § 25 TDDDG in Verbindung mit Art. 6 DSGVO. Technisch unbedingt erforderliche Speicherungen fallen unter § 25 Abs. 2 TDDDG. Statistik, Google-Werbemessung, personalisierte Werbung, Meta, HighLevel-Kontaktfunktionen und Empfehlungszuordnung bleiben bis zu Ihrer jeweiligen vorherigen, freiwilligen, spezifischen und informierten Einwilligung deaktiviert. Wir verwenden den Google Consent Mode v2 im Basic Mode: Vor der passenden Auswahl werden keine Google-Tags geladen und keine cookielosen Vorab-Pings gesendet. Einzelheiten finden Sie in unserer Cookie-Richtlinie.

7. Wer erhält Ihre personenbezogenen Daten?

Wir übermitteln personenbezogene Daten nur, soweit dies erforderlich ist und eine geeignete Rechtsgrundlage besteht. Übermittlungen an Dritte erfolgen auf der Grundlage schriftlicher Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

Die Tabelle beschreibt die Empfänger dieser Datenschutzerklärung. Eine Kopie des internen Registers, einschließlich der wesentlichen Unterauftragsverarbeiter unserer Anbieter, erhalten Sie auf Anfrage unter dpo@avantwerk.com. Google Ads und Meta Pixel bleiben deaktiviert, bis die jeweils geltenden Vertragsbedingungen, Rollen, Transfergrundlage und tatsächliche technische Konfiguration dokumentiert sind.

Wir können personenbezogene Daten ferner übermitteln: an Gerichte, Behörden und Strafverfolgungsbehörden, soweit gesetzlich vorgeschrieben; und an Rechts- und Steuerberater unter Vertraulichkeitspflichten.

Hinweis zum KI-Anbieter. Amazon Bedrock über die konfigurierte Route in einer EU-Region ist der einzige technisch zulässige KI-Anbieter im deutschen Markt; andere KI-Anbieter sind nicht auswählbar. Der verwaltete KI-Zugang (Starter und Practice, über das Amazon-Bedrock-Konto von Bennovate) ist für echte Mandatsdaten nicht freigegeben, solange Vertragspartei, Konto, DPA, Aufbewahrung, Datennutzung, tatsächliche Region und Übermittlungskette nicht belegt sind; bis dahin verweigert der Server verwaltete Aufrufe für den deutschen Markt. Erst mit der Freigabe, die den Kanzleien nach dem AVV (Ziffer 5) angekündigt wird, wird Amazon Web Services Unterauftragsverarbeiter von Bennovate und Bennovate für diese vorübergehende Verarbeitung Auftragsverarbeiter der Kanzlei. Bei einem eigenen Amazon-Bedrock-Konto der Kanzlei (Enterprise und jeder wirksam konfigurierte eigene Zugang) bestellt die Kanzlei AWS unmittelbar als eigenen Auftragsverarbeiter; Aufbewahrung, Datennutzung und Übermittlungskette richten sich dann nach ihrem eigenen Vertrag mit AWS. Bennovate bleibt für eine etwaige vorübergehende Weiterleitung Auftragsverarbeiter.

8. Drittlandübermittlungen

Soweit wir personenbezogene Daten in Länder außerhalb des Europäischen Wirtschaftsraums (EWR) übermitteln, erfolgt dies auf Grundlage eines der in Kapitel V DSGVO (Art. 44 ff. DSGVO) vorgesehenen Übermittlungsinstrumente:

1. Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO, sofern für das Empfängerland ein solcher Beschluss vorliegt;
2. den Angemessenheitsbeschluss zum EU-US Data Privacy Framework gemäß Art. 45 DSGVO ausschließlich für am Tag der Übermittlung gültig zertifizierte US-Empfänger; oder
3. Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO in der Fassung des Durchführungsbeschlusses (EU) 2021/914 zusammen mit einer dokumentierten Transferbewertung und erforderlichen ergänzenden Maßnahmen.

Auf Anfrage stellen wir eine Kopie der einschlägigen Übermittlungsgarantien zur Verfügung (Anfragen an dpo@avantwerk.com).

9. Speicherdauer: Übersicht

10. Kundenkontrollierter Aktentresor und ausgewählte externe Verarbeitung

Bei installierten Kundenprofilen liegt die maßgebliche Mandats- und Kanzleiakte in einem verschlüsselten Aktentresor unter Kontrolle der Kanzlei. Im Solo-Profil läuft der Tresor auf dem Rechner der Rechtsanwältin oder des Rechtsanwalts; im Practice-Profil auf einem kanzleikontrollierten Host über authentifiziertes HTTPS im LAN oder VPN; im Enterprise-Profil auf dedizierter kundenkontrollierter Infrastruktur. Der Browser ist lediglich Benutzeroberfläche und austauschbarer Cache.

Der Dienst ist so gestaltet, dass die kanonische Akte und damit die Akteninhalte (Mandantendateien, verschwiegenheitspflichtige Dokumente, Schriftsätze, Gerichtsunterlagen und sonstige anwaltliche Arbeitsergebnisse) im kundenkontrollierten Aktentresor verbleiben. Inhalte, die eine Nutzerin oder ein Nutzer ausdrücklich für eine KI-Operation auswählt, können vorübergehend über eine konfigurierte Route verarbeitet werden: über die Weiterleitung an einen firmeneigenen Zugang und, sobald er für den deutschen Markt freigegeben ist, über den verwalteten KI-Zugang (Starter und Practice). Dementsprechend gilt:

1. die Kanzlei bleibt Verantwortliche für ihre Mandatsakte und den kundenkontrollierten Tresor; Bennovate ist für Akteninhalte nicht Verantwortlicher und handelt für ausdrücklich ausgewählte Inhalte während der vorübergehenden Verarbeitung ausschließlich als Auftragsverarbeiter der Kanzlei;
2. der Auftragsverarbeitungsvertrag erfasst ausgewählte Inhalte während der tatsächlichen Verarbeitung durch Bennovate, nicht den nicht ausgewählten lokalen Aktenbestand;
3. die Kanzlei entscheidet in eigener datenschutzrechtlicher und berufsrechtlicher Verantwortung, welches Material rechtmäßig gesendet werden darf, während Bennovate für die von ihm tatsächlich ausgeführte Verarbeitung und seine Unterauftragsverarbeiter einsteht; und
4. die Kanzlei verantwortet den eigenen Tresor und dessen Sicherung; Bennovate verantwortet eigene Konto-, Broker-, Sicherheits- und Auftragsverarbeitungspflichten.

Dies ist eine strukturelle Datenschutz-durch-Technik-Maßnahme gemäß Art. 25 Abs. 1 DSGVO (Privacy by Design).

11. Ihre Betroffenenrechte

Gemäß Kapitel III DSGVO (Art. 15–22) stehen Ihnen folgende Rechte zu:

Ausübung Ihrer Rechte: Sie können eine Anfrage formlos an dpo@avantwerk.com richten; Schriftform ist nicht erforderlich. Wir antworten grundsätzlich innerhalb eines Monats und dürfen nur die zur Identitätsprüfung erforderlichen Informationen anfordern. Anträge sind grundsätzlich unentgeltlich. Nur bei offenkundig unbegründeten oder, insbesondere wegen häufiger Wiederholung, exzessiven Anträgen dürfen wir nach Art. 12 Abs. 5 DSGVO ein angemessenes Entgelt verlangen oder die Bearbeitung verweigern; die Voraussetzungen müssen wir nachweisen.

12. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie gemäß Art. 77 DSGVO das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzulegen.

Als Verantwortlicher mit Sitz in Polen ist unsere federführende Aufsichtsbehörde:

Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO)
(Präsident des Amtes für den Schutz personenbezogener Daten)
ul. Stawki 2, 00-193 Warszawa, Polen
uodo.gov.pl

Nach Art. 77 DSGVO können Sie sich insbesondere an eine Aufsichtsbehörde in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Eine Liste der deutschen Landesdatenschutzbehörden finden Sie auf der Website der Datenschutzkonferenz (DSK) unter datenschutzkonferenz-online.de.

Wir würden eine Beschwerde gern zunächst intern klären: bitte wenden Sie sich zuerst an dpo@avantwerk.com.

13. Technische und organisatorische Maßnahmen (TOMs)

Wir setzen technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten gemäß Art. 32 DSGVO um:

• TLS 1.2/1.3-Verschlüsselung der Datenübertragung und HSTS, soweit am ausgelieferten Domainnamen konfiguriert; keine Behauptung einer Preload-Listung ohne aktuellen Nachweis;
• firmeneigene Anbieterzugänge werden über die konfigurierte Schlüsselautorität des Kundenprofils verwaltet; eine bloße Browserablage ist keine zugesicherte Schlüsselverwahrung für installierte Profile;
• serverseitige Zugriffskontrollen und Protokollierung für Kontodaten;
• Brute-Force-Schutz (fail2ban);
• regelmäßige Abhängigkeits- und Schwachstellenprüfungen.

14. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden registrierten Nutzern mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt.

KI-Addendum: verwalteter und firmeneigener Anbieterzugang

A.1 Zugangsmodelle

Die Implementierung unterstützt einen verwalteten Broker und einen firmeneigenen Amazon-Bedrock-Zugang auf registrierten Pfaden, jeweils nur in einer EU-Region. Der verwaltete KI-Zugang (Starter und Practice, über das Amazon-Bedrock-Konto von Bennovate) bleibt für echte Mandatsdaten bis zum Vertrags- und Kontonachweis gesperrt; der Server verweigert verwaltete Aufrufe für Märkte, die nicht ausdrücklich freigegeben sind. Enterprise ist für einen firmeneigenen Zugang vorgesehen (eigenes Amazon-Bedrock-Konto der Kanzlei). Ein konfigurierter eigener Zugang wird unabhängig vom Tarif über die Schlüsselautorität des Kundenprofils verwaltet; eine bloße Browserablage ist für installierte Profile keine zugesicherte Schlüsselverwahrung. Soweit die konfigurierte Route Bennovate-Infrastruktur nutzt, kann der Zugang diese ausschließlich zur Authentisierung und Weiterleitung vorübergehend passieren. Auch dieser eigene Zugang darf echte Mandatsdaten erst übertragen, wenn Bennovates Hetzner-AVV und die anbieterspezifischen Nachweise der Kanzlei dokumentiert sind. Die Nutzung rechnet AWS bei firmeneigenem Zugang unmittelbar mit der Kanzlei ab. Nicht jede Produktoberfläche unterstützt heute jedes Anbieterprotokoll. Andere KI-Anbieter sind im deutschen Markt nicht auswählbar.

A.2 Wer verarbeitet Akteninhalte bei aktivierter KI?

Der verwaltete KI-Zugang (Starter und Practice) ist für echte Mandatsdaten noch nicht freigegeben (A.1). Ab seiner Freigabe handelt der Kunde als Verantwortlicher, Bennovate als sein Auftragsverarbeiter und der freigegebene KI-Anbieter als Unterauftragsverarbeiter von Bennovate (A.5). Wenn der Kunde Auszüge aus Akten über ein eigenes Konto an den KI-Anbieter übermittelt:

1. handelt der Kunde als Verantwortlicher für die in der Übermittlung enthaltenen personenbezogenen Daten;
2. handelt der KI-Anbieter als eigener Auftragsverarbeiter des Kunden im Rahmen des eigenen Vertrags des Kunden mit diesem KI-Anbieter;
3. soweit Bennovate-Infrastruktur die Operation weiterleitet, ist Bennovate Auftragsverarbeiter für den vorübergehenden Zugang, die Anfrage, ausgewählte Inhalte und die Antwort; und
4. die datenschutzrechtlichen Pflichten des Kunden in Bezug auf diese Verarbeitung liegen allein beim Kunden.

A.3 Egress-Gate (Ausgangsfilter)

Der Dienst umfasst ein technisches Egress-Gate, das Inhalte pseudonymisiert, bevor sie den Browser des Kunden verlassen. Die Vollständigkeit dieser Pseudonymisierung hängt vom Akteninhalt ab. Der Kunde darf das Egress-Gate nicht als Ersatz für sein eigenes professionelles Urteil behandeln.

A.4 Datenschutz-Checkliste des Kunden für BYOK

Vor Aktivierung von BYOK sollte der Kunde: (a) die Datenverarbeitungsbedingungen des KI-Anbieters prüfen; (b) sicherstellen, dass ein schriftlicher Auftragsverarbeitungsvertrag mit dem KI-Anbieter abgeschlossen wurde; (c) prüfen, ob eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO erforderlich ist; (d) abwägen, ob eine Unterrichtung der Mandantschaft oder deren Einwilligung nach Berufsrecht (§ 43a Abs. 2 BRAO, § 2 BORA) erforderlich ist; (e) die Drittlandübermittlungsimplikationen gemäß Art. 44 ff. DSGVO prüfen.

A.5 KI-Anbieter und Unterauftragsverarbeitung: tarifabhängig

Bei einer nach Nachweis freigegebenen verwalteten Route (Starter und Practice) passieren Anfragen den Broker-Dienst von Bennovate zur Weiterleitung an Amazon Bedrock und zur Abrechnung des KI-Guthabens, solange kein unterstützter firmeneigener Zugang konfiguriert ist; der nachgewiesene Anbieter ist dann Unterauftragsverarbeiter von Bennovate. Vor der Freigabe ist AWS nicht Unterauftragsverarbeiter von Bennovate. Auf Enterprise und bei jedem wirksam konfigurierten eigenen Zugang bestellt die Kanzlei AWS unmittelbar; ihr eigener Vertrag mit AWS bestimmt Aufbewahrung, Datennutzung und Übermittlungskette. Bennovate bleibt Auftragsverarbeiter für eine etwaige vorübergehende Weiterleitung. Für beide Zugangsmodelle lässt die Produktroute ausschließlich die konfigurierte Route in einer EU-Region zu. Entität, Region, Aufbewahrung, Datennutzung und Übermittlungskette werden nicht aus der Codekonfiguration abgeleitet, sondern aus Konto und Vertrag belegt.

A.6 KI-Ergebnisse und der anwaltliche Vorbehalt

Jedes vom Dienst erzeugte KI-Ergebnis ist ein Entwurf, der vor der Verwendung einer fachkundigen Prüfung und Freigabe durch eine zugelassene Rechtsanwältin oder einen zugelassenen Rechtsanwalt bedarf (HITL-Vorbehalt: Human in the Loop). Der Kunde darf kein KI-Ergebnis als verbindliche Rechtsauskunft behandeln. Die Entscheidungsverantwortung verbleibt stets beim qualifizierten Rechtsanwalt; dies entspricht dem Gebot der anwaltlichen Kontrolle gemäß dem BRAK-Leitfaden für den Einsatz von KI in der Anwaltschaft (Dezember 2024).