Sicherheit & Datenschutz

Wie Mandatsinhalte in Ihrer Kanzlei verbleiben: rechtlich und technisch.

Kanonische Mandatsakte im kanzleikontrollierten Tresor

Die kanonische Akte liegt in einem verschlüsselten Tresor unter Kontrolle der Kanzlei: lokal bei Solo, auf einem kanzleikontrollierten Host bei Practice und auf dedizierter Kundeninfrastruktur bei Enterprise. Der Browser ist Benutzeroberfläche und austauschbarer Cache. Bennovate führt kein kanonisches Aktenarchiv; für eine dokumentierte KI-Operation ausgewählter Text kann jedoch vorübergehend über die konfigurierte Route verarbeitet werden.

Reifegrenze. Solo ist als lokales Profil gebaut. Practice und Enterprise benötigen die erste abgenommene Installation auf einem Kundenhost; Enterprise bietet derzeit weder Aktiv-Passiv-Hochverfügbarkeit noch fortlaufende zeitpunktbezogene Wiederherstellung.

Verwahrung firmeneigener Anbieterzugänge

Ein eigener Anbieterzugang wird verschlüsselt über die für das installierte Profil konfigurierte Schlüsselautorität verwaltet. IndexedDB oder der Browser werden nicht als kanonische Schlüsselverwahrung für jedes Profil zugesichert. Anbieterentität, Region, Aufbewahrung, Trainings- oder Verbesserungsnutzung und Übermittlungsgrundlage folgen dem konkreten Kanzleivertrag und der Konfiguration.

Verschwiegenheitsgate: Standardblock und dokumentierte Freigaberoute

Auf dem erfassten deutschen Pfad werden geschützte oder nicht klassifizierte Inhalte vor dem Ausgang standardmäßig zurückgehalten. Eine gesonderte Freigaberoute setzt die dokumentierten Voraussetzungen des § 43e BRAO und der BORA voraus: insbesondere Erforderlichkeit, vergleichbare Verschwiegenheit, die jeweils nötige Mandanteneinwilligung und eine eigene anwaltliche Prüfung. Ein Klick allein ersetzt diese Voraussetzungen nicht.

Versteckte Anweisungen in übersandten Dokumenten

Dokumente, die Mandantinnen, Mandanten oder die Gegenseite übersenden, können verborgene Anweisungen an das Sprachmodell enthalten: sogenannte Prompt-Injection-Versuche: Formulierungen wie „Ignoriere alle vorherigen Anweisungen", „AN DIE KI:" oder Aufforderungen, den System-Prompt preiszugeben, zielen darauf ab, das Modell außerhalb Ihrer Kontrolle zu steuern. Für die Rechtsanwältin oder den Rechtsanwalt ist dieses Angriffsmuster in aller Regel unsichtbar. Das Material mit dem höchsten Injektionsrisiko ist dabei genau das Material, das die Gegenseite geschickt hat: eine Situation, die unmittelbar die Verschwiegenheitspflicht nach § 43a Abs. 2 BRAO, strafbewehrt nach § 203 StGB, berührt: Manipulierte Modellausgaben könnten privilegierte Akteninhalte gefährden.

Der Schutz ist die Umschließung, nicht allein der Detektor. Jeder nicht vertrauenswürdige Text: Mandantendokument, Transkript, Aktenkontext, gegnerische Korrespondenz, der das Modell erreicht, wird vor der Übermittlung in einmalige Markierungen mit einer zufällig erzeugten Nonce eingeschlossen, zusammen mit der Anweisung, dass alles innerhalb dieser Markierungen ausschließlich auszuwertende Daten sind und keine zu befolgende Weisung. Da die Nonce für jede Anfrage neu erzeugt wird, kann ein Angreifer keinen Text formulieren, der den Schutzblock scheinbar vorzeitig schließt. Diese Umschließung läuft in allen wesentlichen Verarbeitungspfaden: beim Prüfer-Agenten in allen fünf Märkten, bei der Beweisauswertung, dem Retrieval-Grounding, den Risikovorschlägen, dem Prüfraster, der Sachverhaltsextraktion bei der Mandatsannahme (auf beiden Pfaden) und dem Compliance-Playbook. Die Schutzanweisung ist auf Deutsch verfasst, nicht zur Laufzeit übersetzt.

Ergänzend prüft ein Musterdetektor eingehende Texte auf bekannte Angriffsmuster, 20 Muster in Englisch, Polnisch, Deutsch, Spanisch und Niederländisch, jeweils in förmlicher und informeller Anredeform, weil Schriftstücke der Gegenseite häufig förmlich gehalten sind. Dieser Detektor ist kein vollständiger Klassifikator; er erfasst nicht alle denkbaren Varianten eines Injektionsversuchs, er ist das grobe Netz, nicht das Sieb. Der Schutz liegt in der Umschließung; der Detektor ergänzt sie als Frühwarnung. Erkennt das System einen möglichen Versuch, erhalten Sie einen Hinweis auf drei Oberflächen, die Sie tatsächlich nutzen: einem Banner über dem Chat-Eingabefeld beim Tippen oder Einfügen, einer Kennzeichnung je Datei in der Beweisdokumentenliste und im Mandantenschreiben-Fenster.

Diktat auf Ihrem Gerät

Das Diktat läuft vollständig im Browser Ihrer Kanzlei: per WebAssembly, auf WebGPU-fähigen Geräten auch hardwarebeschleunigt. Beim Transkribieren verlässt kein Audiofragment das Gerät; die Spracherkennung findet ausschließlich im Arbeitsspeicher statt, das Audio wird nach der Texterzeugung verworfen. Dies ist keine Komfortfunktion, sondern Normvollzug: gesprochene Mandatsinhalte sind privilegierte Daten im Sinne der anwaltlichen Verschwiegenheitspflicht (§ 43a Abs. 2 BRAO · § 2 BORA · § 203 Abs. 1 Nr. 3 StGB: strafbewehrt, nicht abbedingbar). Am 13. August 2026 wurden zwei Cloud-Pfade vollständig entfernt: die Browser-Web-Speech-API, die das Mikrofon bei bestimmten Browsern an externe Server übermittelt, sowie eine nicht ausgerollte KI-Transkriptions-Engine. Das Produkt verfügt seitdem über keinen Auftragsverarbeiter für Spracherkennung (Art. 28 Abs. 1 DSGVO).

Modell-Download. Das Sprachmodell wird beim ersten Diktat per HTTPS aus einem öffentlichen Modell-Repository (huggingface.co) in den Browser-Cache geladen: einmalig, ohne Konto, ohne API-Schlüssel. Die Audiodaten sind nie Teil dieser Anfrage. Nach dem Erstladen arbeitet die Diktatfunktion vollständig ohne Internetverbindung. Zur Wahl stehen das voreingestellte Whisper small (238 MB) für das tägliche Diktat und das optionale Whisper large v3 turbo (724 MB) für höhere Genauigkeit bei Eigennamen, Fundstellen und Paragraphennummern. Beide Größenangaben wurden am 13. August 2026 über die Hugging-Face-Blob-API für die genauen quantisierten Modelldateien gemessen, die die Anwendung lädt.

Grenzen. Die Transkription ist maschinell erzeugt und nicht zertifiziert. Das Ergebnis muss vor Verwendung in Schriftsätzen, Mandantenschreiben oder sonstigen Unterlagen gelesen und freigegeben werden: die inhaltliche Verantwortung verbleibt ausschließlich bei der Rechtsanwältin oder dem Rechtsanwalt. Das Produkt beansprucht weder eine gemessene Fehlerrate noch eine Zertifizierung für die Erkennungsqualität.

Keine KI-Trainingsnutzung

Bennovate nutzt Mandatsinhalte nicht zum Training von Modellen. Nutzung und Aufbewahrung beim Anbieter hängen vom aktiven Konto, Vertrag und der Konfiguration ab. Wir behaupten weder eine allgemeine Nullaufbewahrung noch eine einheitliche Nicht-Training-Klausel ohne aktuelle Konto- und Vertragsnachweise.

EU-Datenresidenz (Deutschland)

Die Infrastruktur ist in der EU (Deutschland) gehostet. Etwaige Drittlandtransfers werden im Unterauftragsverarbeiter-Verzeichnis mit den jeweiligen Schutzmaßnahmen gemäß Art. 46 DSGVO vollständig ausgewiesen.

Unterauftragsverarbeiter-Verzeichnis

Jeder eingesetzte Dritte ist im Verzeichnis namentlich benannt: mit Zweck, Standort, Datenkategorie und Transferschutzmaßnahme gemäß Art. 28 Abs. 2 DSGVO.

Anthropic API, OpenAI API, Gemini API und Azure OpenAI Service sind im deutschen Markt nicht auswählbar.

Infrastrukturkomponenten (keine Verarbeitung personenbezogener Kanzleidaten): Gitea (selbstgehostete Code-Verwaltung), Let's Encrypt (TLS-Zertifizierungsstelle), Cloudflare Inc. (ausschließlich DNS: der Datenverkehr läuft nicht über Cloudflare). Keine Auftragsverarbeiter i.S.d. Art. 28 DSGVO.

Zugang & Authentifizierung

Der Zugang zu allen administrativen Konsolen ist durch eine dedizierte Authentifizierungsschicht gesichert; Mehrfaktor-Authentifizierung (MFA) ist auf jeder Admin-Konsole verpflichtend.

Was wir nicht beanspruchen

Wir verfügen derzeit über keine ISO/IEC-27001-Zertifizierung. Wir beschreiben die aktuellen Maßnahmen und offenen Punkte transparent. Einen künftigen Zertifizierungszeitplan veröffentlichen wir erst, wenn ein genehmigter und belegter Auditplan vorliegt.

Meldung einer Datenpanne

Bei einem vermuteten Datenschutzvorfall wenden Sie sich an legal@avantwerk.com. Bennovate benachrichtigt die Kanzlei als Verantwortliche ohne unangemessene Verzögerung; der derzeitige betriebliche Zielwert beträgt 48 Stunden nach Kenntnis. Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO betrifft eine etwaige Meldung der verantwortlichen Kanzlei an die Aufsichtsbehörde.