Compliance
KI in der Kanzlei — rechtskonform.
Kurzantwort
Der Einsatz von KI in der Kanzlei ist zulässig, wenn drei Dinge vorliegen: eine Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO, eine Verschwiegenheitsverpflichtung des Dienstleisters nach § 43e Abs. 3 Satz 1 BRAO in Textform und technisch-organisatorische Maßnahmen nach Art. 32 DSGVO. Bei Lulius gelten alle drei kraft Registrierung — ohne Unterschrift, ohne Vertriebsgespräch.
Die drei Bausteine
Berufsträger brauchen mehr als eine Datenschutzerklärung. Diese drei Dokumentenlagen greifen ineinander — fehlt eine, trägt die Konstruktion nicht.
Art. 28 DSGVO
Auftragsverarbeitung
Die AVV regelt Gegenstand, Weisungsrecht, Vertraulichkeit, Sicherheit, Subunternehmer, Betroffenenrechte, Meldepflichten, Löschung und Kontrollrechte. Sie gilt mit der Registrierung für einen Berufsträger-Tarif.
§ 43e BRAO
Verschwiegenheit
Lulius ist in Textform zur Verschwiegenheit verpflichtet — über alle eingegebenen Inhalte, alle erkennbaren Mandatsumstände und das Bestehen des Mandats als solches. Zeitlich unbegrenzt, auch nach Vertragsende.
§ 203 StGB
Belehrung
Als mitwirkende Person nach § 203 Abs. 3 Satz 2 StGB ist der Dienstleister über die Strafbarkeit nach § 203 Abs. 4 StGB belehrt und verpflichtet alle mitwirkenden Personen entsprechend.
Kein Abschluss-Button, kein PDF-Ping-Pong. Die Vereinbarung wird in Textform geschlossen (§ 126b BGB) und wird mit der Registrierung wirksam — § 43e Abs. 3 Satz 1 BRAO verlangt Textform, keine Unterschrift. Den vollständigen Vertragstext samt Anlagen finden angemeldete Berufsträger jederzeit im Compliance Center, auch als PDF. Stand: Juli 2026.
Wo Ihre Daten liegen
Konten, Unterhaltungen und Dokumente liegen ausschließlich in der Europäischen Union, konkret in der Region Frankfurt am Main. Gehostet wird in nach ISO 27001 und SOC 2 zertifizierten Rechenzentren.
Wir arbeiten mit einer begrenzten Zahl von Auftragsverarbeitern — für Datenbank und Speicher, Hosting, die KI-Verarbeitung und die Zahlungsabwicklung. Alle sind vertraglich auf dieselben Datenschutzpflichten verpflichtet, die auch uns treffen, und zusätzlich auf die Verschwiegenheit nach Teil B der AVV, soweit sie überhaupt Kenntnis von geschützten Geheimnissen erlangen können (§ 43e Abs. 3 Satz 2 BRAO). Für verbleibende Drittlandsbezüge bestehen Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO); die Anforderungen des § 43e Abs. 4 BRAO wurden geprüft.
Die namentliche Liste steht in Anlage 3 der AVV — mit Sitz, Zweck und Ort der Verarbeitung je Dienstleister. Sie ist für angemeldete Berufsträger im Compliance Center abrufbar und gehört in Ihre eigene Datenschutzdokumentation, nicht auf eine öffentliche Seite.
Über beabsichtigte Änderungen informieren wir vorab in Textform. Sie können innerhalb von 14 Tagen aus wichtigem datenschutz- oder berufsrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Seiten ein außerordentliches Kündigungsrecht zu (§ 5 Abs. 2 AVV).
Technische und organisatorische Maßnahmen
Auszug aus Anlage 2 der AVV (Art. 32 DSGVO).
Vertraulichkeit
- —
Hosting in zertifizierten Rechenzentren (ISO 27001, SOC 2) in der Region Frankfurt am Main
- —
Zwei-Faktor-Authentifizierung für jeden Zugriff auf Produktivsysteme, beschränkt auf benannte Administratoren
- —
Mandantentrennung auf Datenbankebene (Row-Level Security) — kein Nutzer kann auf Daten anderer Nutzer zugreifen
- —
Schwärzung vor dem Absenden: Erkennung von Namen, Aktenzeichen sowie Kontakt-, Konto- und Adressdaten läuft lokal im Browser — bei PDF-Dokumenten wird die betroffene Seite neu aufgebaut und der Ursprungstext entfernt
- —
Passwörter ausschließlich als kryptografische Hashes (bcrypt)
Integrität, Verfügbarkeit, Organisation
- —
TLS 1.2 oder höher (derzeit TLS 1.3) für sämtliche Verbindungen, AES-256 für ruhende Daten
- —
Tägliche automatisierte Sicherungen mit definierten Aufbewahrungsfristen; getrennte Produktiv- und Entwicklungsumgebung
- —
Meldung von Datenschutzverletzungen unverzüglich, spätestens binnen 48 Stunden nach Bekanntwerden, in Textform (§ 7 AVV)
- —
Löschung: aus Produktivsystemen unverzüglich, aus Sicherungskopien spätestens binnen 30 Tagen (§ 8 Abs. 2 AVV)
- —
Kenntnisnahme von Inhaltsdaten durch Personal nur anlassbezogen — Betrieb, Wartung, Fehlerbehebung, Missbrauchsprävention
Was wir nicht tun
Kein Training mit Ihren Inhalten
Kundeninhalte werden nicht zum Training von KI-Modellen verwendet. Anfragen werden als In-Region-Inference ausschließlich in Frankfurt verarbeitet, nicht dauerhaft gespeichert und verlassen die EU nicht.
Keine Datenweitergabe an die Suche
Die semantische Gesetzessuche übermittelt an den Embedding-Dienst ausschließlich den abstrahierten Suchbegriff — ohne Nutzer-, Konto- oder Zahlungsdaten.
Keine Rechtsdienstleistung
Lulius erbringt Rechtsinformation und Ersteinschätzung, keine Rechtsdienstleistung im Sinne des RDG. Die anwaltliche Verantwortung für das Mandat bleibt unberührt.
Häufige Fragen
Ist der Einsatz von KI in der Kanzlei DSGVO-konform möglich?
Ja, wenn drei Bedingungen erfüllt sind: eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO, eine Verpflichtung des Dienstleisters zur Verschwiegenheit nach § 43e Abs. 3 Satz 1 BRAO in Textform und technisch-organisatorische Maßnahmen nach Art. 32 DSGVO. Bei Lulius gelten alle drei mit der Registrierung für einen Berufsträger-Tarif; die AVV ist im Compliance Center abrufbar.
Muss ich die AVV unterschreiben?
Nein. Die Vereinbarung wird in Textform geschlossen (§ 126b BGB) und wird mit der Registrierung für einen Berufsträger-Tarif wirksam. § 43e Abs. 3 Satz 1 BRAO verlangt Textform, keine Unterschrift. Es gibt deshalb bewusst keinen Abschluss-Button und keine Unterschriftszeile.
Werden meine Mandantendaten zum Training von KI-Modellen verwendet?
Nein. KI-Anfragen werden ausschließlich in Rechenzentren in Frankfurt am Main verarbeitet (In-Region-Inference). Sie werden weder zum Training der Modelle verwendet noch dauerhaft gespeichert und verlassen die Europäische Union nicht.
Wo werden die Daten gespeichert?
Konten, Unterhaltungen und Dokumente liegen ausschließlich in der EU, konkret in der Region Frankfurt am Main. Das Hosting erfolgt in nach ISO 27001 und SOC 2 zertifizierten Rechenzentren. Für verbleibende Drittlandsbezüge der Anbieter bestehen Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Welche Dienstleister im Einzelnen beteiligt sind, steht namentlich in Anlage 3 der AVV im Compliance Center.
Verstößt die Nutzung gegen § 203 StGB?
Nein, wenn der Dienstleister als mitwirkende Person nach § 203 Abs. 3 Satz 2 StGB verpflichtet und belehrt ist. Genau das regelt Teil B der AVV: Lulius ist über die Strafbarkeit nach § 203 Abs. 4 StGB belehrt und verpflichtet alle mitwirkenden Personen sowie eingeschaltete Subunternehmer ihrerseits in Textform zur Verschwiegenheit.
Was passiert, wenn ein neuer Subunternehmer hinzukommt?
Über jede beabsichtigte Hinzuziehung oder Ersetzung informieren wir vorab in Textform. Sie können innerhalb von 14 Tagen aus wichtigem datenschutz- oder berufsrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Seiten ein außerordentliches Kündigungsrecht zu.
Wie schnell werden Datenschutzverletzungen gemeldet?
Unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, in Textform mit den nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit verfügbar.
Prüfen Sie es selbst
Den vollständigen Vertragstext samt Anlagen sehen Berufsträger nach der Registrierung im Compliance Center — lesbar auf der Seite und als PDF für die eigene Datenschutzdokumentation.
Diese Seite fasst den Stand der Auftragsverarbeitungsvereinbarung zusammen und dient der Information. Verbindlich ist allein der vollständige Vertragstext im Compliance Center. Ergänzende Angaben zur Verarbeitung finden Sie in der Datenschutzerklärung. Die eigene datenschutzrechtliche Bewertung — etwa eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO — bleibt Aufgabe des Verantwortlichen.