Anlage 1: Vereinbarung zur Auftragsverarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung der ChatAnwalt-Plattform nach den Kanzlei-AGB. Die Dauer entspricht der Laufzeit des Hauptvertrags zuzüglich der Exportfrist nach § 12 Abs. 3 der AGB. Art und Zweck der Verarbeitung sind die Speicherung, Anzeige und Übermittlung von Nachrichten über die WhatsApp Business Platform, die Speicherung von Dokumenten, die Verwaltung von Fällen, Beteiligten, Fristen und Vermerken, die KI-gestützte Textverarbeitung nach § 7 der AGB, die Erstellung von Auskunftsberichten und Exporten sowie die Löschung.

Verarbeitet werden Stammdaten (Name, Telefonnummer, E-Mail-Adresse, Anschrift), Kommunikationsinhalte einschließlich Medien, Dokumente, Fallangaben einschließlich besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über Straftaten (Art. 10 DSGVO), Angaben zu Beteiligten, Fristen und Vermerke sowie Zeiterfassungs- und Abrechnungsdaten der Mitarbeitenden des Partneranwalts. Betroffene Personen sind Mandanten, Rechtsuchende nach Übernahme ihrer Anfrage, Gegner, Zeugen, sonstige Beteiligte und Mitarbeitende des Partneranwalts.

ChatAnwalt verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Partneranwalts. Die Weisungen ergeben sich aus dem Hauptvertrag, dieser Anlage und der Nutzung der Funktionen des Dashboards. Weitere Weisungen erteilt der Partneranwalt in Textform. Hält ChatAnwalt eine Weisung für datenschutzwidrig, informiert es den Partneranwalt unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen. Über eine Verarbeitung, zu der ChatAnwalt nach dem Recht der Union oder eines Mitgliedstaats verpflichtet ist, informiert ChatAnwalt den Partneranwalt vorab, soweit rechtlich zulässig.

Zur Nutzung der Funktionen gehört auch die Vergabe von Nutzerkonten. Neben Konten für Berufsträger kann der Partneranwalt Mitarbeitenden seiner Kanzlei ein Konto mit der Rolle Sekretariat einrichten. Ein solches Konto hat Zugriff auf alle Fälle, Nachrichten, Dokumente, Fristen und Mandantendaten der eigenen Kanzlei, nie auf die anderer Kanzleien. Es kann Nachrichten an Mandanten senden, Fristen, Wiedervorlagen, Notizen und Beteiligte anlegen und bearbeiten, Dokumente hochladen, Fälle Berufsträgern der Kanzlei zuweisen und KI-Antwortvorschläge und Zusammenfassungen nach § 7 der AGB nutzen. Es kann keine Fälle oder Mandanten anlegen, keine Fristen als erledigt kennzeichnen, keine Dokumente oder Fristen löschen, keine Exporte erstellen und weder Einstellungen noch Nutzerkonten oder die Abrechnung verwalten. Für diese Konten gilt § 4 Abs. 2 der AGB: Der Partneranwalt vergibt sie nur an Personen, die er zur Verschwiegenheit verpflichtet hat.

ChatAnwalt setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind und über § 203 StGB belehrt wurden, und beschränkt den Zugriff nach § 8 Abs. 4 der AGB. ChatAnwalt trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:

• Transportverschlüsselung,
• Zugangskontrolle mit persönlichen Zugangsdaten, kurzlebigen Sitzungen und optionaler Zwei-Faktor-Anmeldung,
• Ratenbegrenzung und Schutz vor seitenübergreifenden Anfragen,
• signaturgeprüfte Schnittstellen,
• Protokollierung von Zugriffen mit automatisierter Prüfung auf auffällige Muster,
• technische Trennung der Kanzleien,
• netzwerkseitige Abschottung der Dienste,
• regelmäßige Sicherungskopien,
• einen automatisierten Löschlauf.

ChatAnwalt überprüft die Maßnahmen regelmäßig und stellt dem Partneranwalt auf Anfrage eine aktuelle Beschreibung zur Verfügung.

ChatAnwalt unterstützt den Partneranwalt bei der Beantwortung von Betroffenenanfragen durch den Auskunftsbericht, den Aktenexport sowie die Berichtigungs- und Löschfunktionen des Dashboards und leitet an ChatAnwalt gerichtete Anfragen betroffener Personen unverzüglich weiter, ohne sie selbst zu beantworten. ChatAnwalt unterstützt den Partneranwalt bei der Einhaltung der Art. 32 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten meldet ChatAnwalt dem Partneranwalt unverzüglich nach Kenntnis, in der Regel binnen 48 Stunden, mit den für eine Meldung nach Art. 33 DSGVO erforderlichen Angaben. Über rechtsverbindliche Offenlegungsersuchen von Behörden unterrichtet ChatAnwalt den Partneranwalt, soweit gesetzlich zulässig.

Der Partneranwalt genehmigt den Einsatz folgender Unterauftragsverarbeiter:

ChatAnwalt verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieser Anlage. Beabsichtigte Änderungen teilt ChatAnwalt dem Partneranwalt mindestens vier Wochen im Voraus in Textform mit. Der Partneranwalt kann aus wichtigem datenschutzrechtlichen oder berufsrechtlichen Grund widersprechen und, wenn keine Abhilfe erfolgt, den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

ChatAnwalt stellt dem Partneranwalt die zum Nachweis der Einhaltung dieser Anlage erforderlichen Informationen zur Verfügung. Der Nachweis kann durch Prüfberichte, Zertifizierungen oder genehmigte Verhaltensregeln nach Art. 28 Abs. 5 DSGVO geführt werden. Der Partneranwalt kann nach angemessener Ankündigung während der üblichen Geschäftszeiten Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, höchstens einmal jährlich, soweit nicht ein konkreter Anlass besteht. Die Kosten einer Überprüfung trägt der Partneranwalt, es sei denn, sie deckt wesentliche Verstöße auf.

Der Partneranwalt kann Fälle und Mandantendaten jederzeit im Dashboard löschen und exportieren. Nach Vertragsende und Ablauf der Exportfrist nach § 12 Abs. 3 der AGB löscht ChatAnwalt sämtliche Mandats- und Falldaten des Partneranwalts, sofern keine gesetzliche Aufbewahrungspflicht besteht. Gelöschte Daten können in Sicherungskopien bis zu dreißig Tage enthalten bleiben und werden nicht anderweitig verwendet. Auf Verlangen bestätigt ChatAnwalt die Löschung in Textform.

Die Verarbeitung erfolgt in Deutschland. Eine Übermittlung in Drittländer findet nur über die in Ziffer 6 genannten Unterauftragsverarbeiter auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework und ergänzend der Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO statt. Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und § 11 der AGB. Diese Anlage gilt für die Dauer des Hauptvertrags und darüber hinaus, solange ChatAnwalt Daten des Partneranwalts verarbeitet.