Datenschutzinformation Kanzleianwendung (kanzlei.milia.io)

3. Verarbeitungstätigkeiten im Einzelnen

Die folgende Darstellung ist nach Verarbeitungstätigkeiten gegliedert. Für jede Tätigkeit nennen wir den Empfänger, die Kategorien der betroffenen Personen, die Datenarten, die Rechtsgrundlage, die Speicherdauer, den Zweck der Verarbeitung und, wo es weitere Informationen gibt.

3.1 Mandantenkollaboration, Dokumenten- und Belegmanagement und vorgangsbezogene Kommunikation

Empfänger: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg.

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Mandantinnen und Mandanten der Kanzlei; Dritte (z. B. Vertragspartner der Mandanten).

Datenarten:

• Stammdaten (z. B. Name, Adresse),
• Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer),
• Bankdaten (z. B. IBAN, BIC),
• Steuerdaten (z. B. USt-ID, Steuernummer),
• Vertragsdaten (z. B. Daten zu Verträgen mit Dritten),
• sonstige Inhaltsdaten, die in steuerlichen Nachweisen relevant werden können (z. B. Einträge aus Fahrtenbüchern, Religionszugehörigkeit, ehrenamtliche Tätigkeiten; hierunter auch besondere Kategorien i. S. d. Art. 9 DSGVO).

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV

Speicherdauer: Dauer des Nutzungsvertrags. Die Kanzlei kann die Daten (Vorgänge, Dokumente, Nachrichten) jederzeit selbst über die Exportfunktionen der Plattform exportieren. Nach Vertragsende werden die Daten innerhalb von 90 Tagen gelöscht oder zurückgegeben; Backups (Aufbewahrungsdauer 30 Tage) laufen nach Ablauf der Backup-Aufbewahrungsfrist automatisch aus. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen über das Vertragsende hinaus aufbewahrt werden.

Zweck der Verarbeitung: Bereitstellung und Abwicklung der digitalen Mandantenkollaboration, des Dokumenten- und Belegmanagements und der vorgangsbezogenen Kommunikation über die Kanzleianwendung, das Mandanten-Portal und die Mandanten-App.

Weitere Informationen:https://aws.amazon.com/de/privacy/

3.2 Support- und Servicemanagement (In-App-Chat, Helpdesk)

Empfänger: Intercom R&D Unlimited Company, 2nd Floor, Stephen Court, 18–21 St Stephen’s Green, Dublin 2, Irland

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Nutzer der Plattform aus dem Kreis der Mandantinnen und Mandanten der Kanzlei.

Datenarten: Kontaktdaten, Stammdaten, Kommunikationsdaten (Chat- und Ticketverlauf) sowie Angaben zum gemeldeten Anliegen.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Dauer des Nutzungsvertrags; Löschung nach Vertragsende gemäß Ziffer 3.1.

Zweck der Verarbeitung: Bearbeitung von Support- und Serviceanfragen der Kanzleien und deren Nutzer über die in der Plattform bereitgestellten Supportkanäle.

Weitere Informationen:https://www.intercom.com/legal/privacy

3.3 Elektronische Signatur und Freigabe von Dokumenten

Empfänger: DocuSign Germany GmbH, c/o Bird & Bird LLP, Maximiliansplatz 22, 80333 München.

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Mandantinnen und Mandanten der Kanzlei.

Datenarten: Stammdaten, Kontaktdaten, die zur Signatur oder Freigabe bestimmten Dokumente und zugehörige Signatur- und Freigabedaten.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV

Speicherdauer: Dauer des Nutzungsvertrags; Löschung nach Vertragsende gemäß Ziffer 3.1.

Zweck der Verarbeitung: Elektronische Signatur und Freigabe von Dokumenten sowie Versendung der damit verbundenen Benachrichtigungen.

Weitere Informationen:https://www.docusign.com/de-de/datenschutzerklaerung/datenschutz

3.4 KI-gestützte Assistenzfunktionen (milia.AI)

Empfänger:

• Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
• Google Cloud EMEA Ltd., 70 Sir John Rogerson’s Quay, Dublin 2, Irland

Kategorien betroffener Personen: Mandantinnen und Mandanten der Kanzlei; Beschäftigte der Kanzlei; ggf. Dritte, soweit diese in den verarbeiteten Dokumenten oder Inhalten genannt sind.

Datenarten: Die der Kanzlei bereitgestellten Dokumente und Inhalte (einschließlich der unter Ziffer 3.1 genannten Datenarten, ggf. auch besondere Kategorien i. S. d. Art. 9 DSGVO) sowie Anfrage- und Promptdaten.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Dauer des Nutzungsvertrags. Bei den KI-Anbietern ist keine dauerhafte Speicherung der übermittelten Inhalte vorgesehen (Zero Data Retention); eine Nutzung zum Training von Modellen erfolgt nicht.

Zweck der Verarbeitung: KI-gestützte Assistenzfunktionen, insbesondere Dokumenten- und Datenanalyse, Erstellung von Textentwürfen, Zusammenfassungen und Handlungsempfehlungen. Die KI-Funktionen erzeugen ausschließlich unverbindliche Orientierungshilfen, die durch die Kanzlei zu prüfen sind; automatisierte Einzelentscheidungen im Sinne des Art. 22 DSGVO finden nicht statt.

Weitere Informationen:

• Microsoft: https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy?tabs=azure-portal
• Google: https://policies.google.com/privacy

3.5 KI-gestützte Steuerrecherche (Zusatzmodul Taxy.io Answers)

Empfänger: Taxy.io GmbH, Jülicher Straße 72a, 52070 Aachen – KI-gestützte Steuerrecherche; Verarbeitung innerhalb des EWR.

Kategorien betroffener Personen: Beschäftigte der Kanzlei; soweit Mandatsdaten in Rechercheanfragen enthalten sind, Mandantinnen und Mandanten der Kanzlei.

Datenarten: Rechercheanfragen zu steuerlichen Fragestellungen und zugehörige Angaben; ggf. Kontaktdaten.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV

Speicherdauer: Dauer des Nutzungsvertrags.

Zweck der Verarbeitung: KI-gestützte Recherche zu steuerlichen Fragestellungen als Unterstützung der Kanzlei.

Weitere Informationen:https://www.taxy.io/datenschutz-taxyio

3.6 E-Mail-Benachrichtigungen (Transaktions-E-Mails)

Empfänger: SendGrid Inc. (Twilio Inc.), 375 Beale Street, Suite 300, San Francisco, CA 94105 (USA)

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Nutzer der Plattform aus dem Kreis der Mandantinnen und Mandanten der Kanzlei.

Datenarten: Kontaktdaten (E-Mail-Adresse) sowie Zustellungs- und Versanddaten (z. B. Empfangsbestätigungen).

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV

Speicherdauer: Dauer des Nutzungsvertrags.

Zweck der Verarbeitung: Versand von Transaktions-E-Mails. Die E-Mails enthalten ausschließlich Benachrichtigungen mit einem Link zur Plattform, keine Inhalte aus Vorgängen oder Dokumenten.

Drittlandtransfer: Twilio ist im Rahmen des Data Privacy Framework zertifiziert, weshalb der Angemessenheitsbeschluss der EU Kommission greift. Die Datenübermittlung erfolgt somit gem. Art. 45 Abs. 1 S. 1 DSGVO.

Weitere Informationen:https://www.twilio.com/en-us/legal/privacy

3.7 Versand von Push-Benachrichtigungen

Empfänger: Knock Labs Inc., 175 Varick St, #413 New York, USA

Kategorien betroffener Personen: Beschäftigte der Kanzlei

Datenarten:

• Nutzerdaten (z. B. Nutzer-ID),
• Gerätedaten (z. B. Push-Token),
• Inhalte der Benachrichtigungen.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Push-Tokens werden bei Widerruf der Push-Berechtigung oder Löschung des Nutzerkontos entfernt.

Zweck der Verarbeitung: Zustellung vorgangsbezogener Benachrichtigungen (z. B. Hinweise auf neue Nachrichten oder Dokumente) an Nutzer der Kanzleianwendung per Push-Mitteilung, einschließlich der Nachverfolgung des Zustellstatus.

Drittlandtransfer: Knock ist im Rahmen des Data Privacy Framework zertifiziert, weshalb der Angemessenheitsbeschluss der EU Kommission greift. Die Datenübermittlung erfolgt somit gem. Art. 45 Abs. 1 S. 1 DSGVO.

Weitere Informationen:https://knock.app/legal/privacy-policy

3.8 Vertrags-, Abrechnungs- und Supportdaten der Kanzlei als Kundin (milia.io als Verantwortlicher)

Empfänger: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Hosting); Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irland (Zahlungsabwicklung, SEPA-Lastschrift).

Kategorien betroffener Personen: Vertretungsberechtigte und beschäftigte Ansprechpartner der Kanzlei als Geschäftspartnerin der milia GmbH.

Datenarten: Stammdaten und Kontaktdaten der Vertragsansprechpartner, Vertrags-, Bestell- und Abrechnungsdaten, Bankdaten (IBAN für das SEPA-Lastschriftmandat), Support- und Kommunikationsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung, Durchführung und Beendigung des Nutzungsvertrags einschließlich Abrechnung und SEPA-Lastschriftverfahren).

Speicherdauer: Gesetzliche handels- und steuerrechtliche Aufbewahrungsfristen; im Übrigen Löschung nach Zweckentfall bzw. nach Beendigung des Nutzungsvertrags.

Zweck der Verarbeitung: Vertragsabwicklung mit der Kanzlei: Bestellung und gebuchte Module, Abrechnung und Zahlungsabwicklung (SEPA-Lastschrift), Supportverwaltung, Kommunikation im Vertragsverhältnis.

Weitere Informationen:https://stripe.com/de/privacy

3.9 Server-Logfiles, Zugriffs- und Sicherheitsprotokollierung (milia.io als Verantwortlicher)

Empfänger: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg.

Kategorien betroffener Personen: Nutzerinnen und Nutzer der Plattform (Beschäftigte der Kanzlei; Mandantinnen und Mandanten der Kanzlei).

Datenarten: Nutzungs- und Zugriffsdaten (besuchte Seite, Uhrzeit und Zeitpunkt des Zugriffs, übertragene Datenmenge, Quelle/Verweis, verwendeter Browser, verwendetes Betriebssystem, IP-Adresse) sowie Protokolldaten zu Anlage, Änderung und Löschung von Vorgängen, Dokumenten und Nachrichten (Nutzer, Zeitstempel).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Missbrauchsaufklärung der Plattform).

Speicherdauer: System- und Zugriffsprotokolle (Anwendung, AWS CloudTrail): 12 Monate. Aktivitätsverläufe innerhalb eines Vorgangs: für die Dauer des Vertragsverhältnisses. Müssen Daten aus Beweisgründen aufbewahrt werden, sind sie so lange von der Löschung ausgenommen, bis der Vorfall endgültig geklärt ist.

Zweck der Verarbeitung: Sicherstellung des ordnungsgemäßen Betriebs der Plattform (Verfügbarkeit, IT-Sicherheit), Feststellung und Behebung von Störungen sowie Aufklärung von Missbrauchsfällen.

3.10 Customer-Success-Monitoring (milia.io als Verantwortlicher)

Empfänger: Retool, Inc., 1550 Bryant Street, San Francisco, USA.

Kategorien betroffener Personen: Beschäftigte der Kanzleien

Datenarten:

• Nutzerdaten (z. B. Nutzer-ID, Name, Rolle, Zuordnung zur Kanzlei),
• Kontaktdaten (z. B. dienstliche E-Mail-Adresse),
• Nutzungsdaten (z. B. Anmeldezeitpunkte, Häufigkeit und Art der genutzten Funktionen, Aktivitätskennzahlen).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wobei das berechtigte Interesse in der Betreuung der Kanzleien, der Erkennung von Nutzungs- und Supportbedarf sowie der Weiterentwicklung der Plattform liegt.

Speicherdauer: Bis Vertragsende.

Zweck der Verarbeitung: Auswertung der Plattformnutzung durch die Beschäftigten der Kanzleien im Rahmen des Customer-Success-Monitorings, insbesondere zur Betreuung und Beratung der Kanzleien, zur Erkennung von Support- und Schulungsbedarf und zur Verbesserung der Plattform. Die Verarbeitung erfolgt in eigener Verantwortlichkeit.

Drittlandtransfer: Um den Schutz der Persönlichkeitsrechte zu gewährleisten, haben wir mit Retool Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO geschlossen.

Weitere Informationen:https://docs.retool.com/legal/privacy-policy

3.11 Kundenverwaltung und Vertriebssteuerung (CRM) über HubSpot (milia.io als Verantwortlicher)

Empfänger: HubSpot Ireland Limited, Hubspot House, 1 Sir John Rogerson’s Quay Dublin, Irland.

Kategorien betroffener Personen: Vertretungsberechtigte und beschäftigte Ansprechpartner der Kanzleien sowie Interessenten.

Datenarten:

• Stammdaten (z. B. Name, Funktion, Kanzlei bzw. Unternehmen, Adresse),
• Kontaktdaten (z. B. dienstliche E-Mail-Adresse, Telefonnummer),
• Vertrags- und Abrechnungsdaten (z. B. Lizenzumfang, Vertragslaufzeit),
• Kommunikations- und Vorgangsdaten (z. B. E-Mail-Verlauf, Gesprächsnotizen, Support- und Vertriebsvorgänge)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wobei das berechtigte Interesse in einer effizienten Kundenbetreuung und Vertriebssteuerung liegt.

Speicherdauer: Bis zur Beendigung des Nutzungsvertrages.

Zweck der Verarbeitung: Verwaltung von Kunden- und Interessentenbeziehungen, Dokumentation der Kommunikation, Steuerung von Vertriebs- und Support-Vorgängen sowie Vertragsmanagement.

Weitere Informationen:https://legal.hubspot.com/privacy-policy

4. Weitergabe Ihrer Daten

Wir geben Ihre personenbezogenen Daten nur weiter, wenn Sie vorher eingewilligt haben. Ohne Ihre Einwilligung geschieht das nur, wenn diese Datenschutzerklärung die Weitergabe ausdrücklich nennt oder wenn wir gesetzlich dazu berechtigt oder verpflichtet sind.

Wir geben Ihre Daten an Strafverfolgungs- und andere Behörden, an geschädigte Dritte oder an Rechtsberater weiter, wenn das erforderlich ist, um eine rechtswidrige oder missbräuchliche Nutzung der Anwendung aufzuklären oder um Rechtsansprüche zu verfolgen. Das tun wir nur, wenn konkrete Anhaltspunkte für ein gesetzwidriges oder missbräuchliches Verhalten vorliegen. Das gilt auch, wenn wir damit unsere Nutzungsbedingungen oder andere Rechtsansprüche durchsetzen.

Außerdem sind wir gesetzlich verpflichtet, bestimmten öffentlichen Stellen auf Anfrage Auskunft zu erteilen. Das sind Strafverfolgungsbehörden, Behörden, die Ordnungswidrigkeiten mit Bußgeld verfolgen, und die Finanzbehörden.

Wir dürfen Ihre Daten in diesen Fällen aus folgenden Gründen weitergeben:

a) Gesetzliche Pflicht: Wir müssen eine Auskunft erteilen, weil eine zuständige Stelle oder ein Gericht dies anordnet. Das gilt, soweit es nach § 21 Abs. 1 und 2 oder § 22 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) erforderlich ist. Es gilt auch, wenn wir sonst einer rechtlichen Verpflichtung zur Datenweitergabe an Strafverfolgungsbehörden unterliegen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den jeweiligen nationalen Vorschriften.

b) Berechtigtes Interesse: Wir haben ein berechtigtes Interesse daran, Daten bei Anhaltspunkten für missbräuchliches Verhalten weiterzugeben. Dasselbe gilt, wenn wir damit unsere Nutzungsbedingungen, andere Bedingungen oder Rechtsansprüche durchsetzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das gilt nur, solange Ihre Interessen oder Grundrechte und Grundfreiheiten, die den Schutz Ihrer Daten erfordern, nicht überwiegen.

5. Ihre Rechte als betroffene Person

Als betroffene Person stehen Ihnen verschiedene Rechte nach der DSGVO zu. milia.io leitet Anfragen betroffener Personen, die unmittelbar an uns gerichtet werden, unverzüglich an die Kanzlei weiter. Eine eigenständige Bearbeitung erfolgt nur, wo milia Verantwortlicher der Datenverarbeitung ist. Soweit erkennbar ist, dass die Kanzlei Verantwortliche ist, dürfen wir Ihnen die Kontaktdaten der Kanzlei mitteilen.

Auskunft

Sie können jederzeit von uns Auskunft darüber verlangen, welche personenbezogenen Daten wir über Sie verarbeiten (Art. 15 DSGVO).

Berichtigung

Sind Ihre Daten unrichtig, können Sie von uns verlangen, dass wir sie unverzüglich berichtigen (Art. 16 DSGVO). Sind Ihre Daten unvollständig, können Sie verlangen, dass wir sie vervollständigen.

Löschung

Sie können von uns verlangen, dass wir Ihre Daten löschen (Art. 17 DSGVO). Das gilt insbesondere, wenn

• wir Ihre Daten für die Zwecke, für die wir sie erhoben haben, nicht mehr brauchen,
• wir Ihre Daten unrechtmäßig verarbeitet haben,
• Sie der Verarbeitung widersprochen haben oder
• wir nach EU-Recht oder dem Recht eines Mitgliedstaats, dem wir unterliegen, zur Löschung verpflichtet sind.

Einschränkung der Verarbeitung

Sie können von uns verlangen, dass wir die Verarbeitung Ihrer Daten einschränken (Art. 18 DSGVO). Das gilt insbesondere,

• solange wir prüfen, ob Ihre Daten richtig sind, weil Sie die Richtigkeit bestreiten,
• wenn Sie statt der Löschung lieber die Einschränkung verlangen, obwohl Sie ein Recht auf Löschung hätten,
• wenn wir Ihre Daten für unsere Zwecke nicht mehr brauchen, Sie sie aber zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, oder
• solange noch nicht feststeht, ob Ihr Widerspruch erfolgreich ist.

Datenübertragbarkeit

Sie können von uns die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten (Art. 20 DSGVO).

Widerspruchsrecht

Sie können jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung Ihrer Daten widersprechen, wenn wir sie auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO verarbeiten (Art. 21 DSGVO). Wir verarbeiten Ihre Daten dann nicht mehr, außer

• wir können zwingende Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder
• die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Sie können sich außerdem jederzeit bei einer Datenschutzaufsichtsbehörde über uns beschweren.

Aktualität und Änderungen

Stand: Oktober 2026.

Diese Datenschutzinformation ersetzt die bisherige Datenschutzerklärung vom Dezember 2024.