Datenschutzinformation Mandanten-App (portal.milia.io)

3. Verarbeitungstätigkeiten im Einzelnen

Die folgende Darstellung ist nach Verarbeitungstätigkeiten gegliedert.

3.1 Mandantenkollaboration, Dokumenten- und Belegmanagement und vorgangsbezogene Kommunikation

Empfänger: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg.

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Mandantinnen und Mandanten der Kanzlei; Dritte (z. B. Vertragspartner der Mandanten).

Datenarten:

• Stammdaten (z. B. Name, Adresse),
• Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer),
• Bankdaten (z. B. IBAN, BIC),
• Steuerdaten (z. B. USt-ID, Steuernummer),
• Vertragsdaten (z. B. Daten zu Verträgen mit Dritten),
• sonstige Inhaltsdaten, die in steuerlichen Nachweisen relevant werden können (z. B. Einträge aus Fahrtenbüchern, Religionszugehörigkeit, ehrenamtliche Tätigkeiten; hierunter auch besondere Kategorien i. S. d. Art. 9 DSGVO),
• Dokumente und Belege, Nachrichten, Zugangsdaten (Login).

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Die Kanzlei kann die Daten (Vorgänge, Dokumente, Nachrichten) jederzeit selbst über die Exportfunktionen der Plattform exportieren. Nach Vertragsende werden die Daten innerhalb von 90 Tagen gelöscht oder zurückgegeben; Backups (Aufbewahrungsdauer 30 Tage) laufen nach Ablauf der Backup-Aufbewahrungsfrist automatisch aus. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, dürfen über das Vertragsende hinaus aufbewahrt werden.

Zweck der Verarbeitung: Bereitstellung und Abwicklung der digitalen Mandantenkollaboration, des Dokumenten- und Belegmanagements und der vorgangsbezogenen Kommunikation über die Mandanten-App und das als Web-Applikation abrufbare Portal.

Weitere Informationen:https://aws.amazon.com/de/privacy/

3.2 Support- und Servicemanagement (In-App-Chat, Helpdesk)

Empfänger: Intercom R&D Unlimited Company, 2nd Floor, Stephen Court, 18–21 St Stephen’s Green, Dublin 2, Irland

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Nutzer der Plattform aus dem Kreis der Mandantinnen und Mandanten der Kanzlei.

Datenarten: Kontaktdaten, Stammdaten, Kommunikationsdaten (Chat- und Ticketverlauf) sowie Angaben zum gemeldeten Anliegen.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Zweck der Verarbeitung: Bearbeitung von Support- und Serviceanfragen der Kanzleien und deren Nutzer über die in der Plattform bereitgestellten Supportkanäle.

Weitere Informationen:https://www.intercom.com/legal/privacy

3.3 Elektronische Signatur und Freigabe von Dokumenten

Empfänger: DocuSign Germany GmbH, c/o Bird & Bird LLP, Maximiliansplatz 22, 80333 München.

Kategorien betroffener Personen: Beschäftigte der Kanzlei; Mandantinnen und Mandanten der Kanzlei.

Datenarten: Stammdaten, Kontaktdaten, die zur Signatur oder Freigabe bestimmten Dokumente und zugehörige Signatur- und Freigabedaten.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Bis zur Löschung des Nutzerkontos.

Zweck der Verarbeitung: Elektronische Signatur und Freigabe von Dokumenten sowie Versendung der damit verbundenen Benachrichtigungen.

Weitere Informationen:https://www.docusign.com/de-de/datenschutzerklaerung/datenschutz

3.4 KI-gestützte Assistenzfunktionen (milia.AI)

Empfänger:

• Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
• Google Cloud EMEA Ltd., 70 Sir John Rogerson’s Quay, Dublin 2, Irland

Kategorien betroffener Personen: Mandantinnen und Mandanten der Kanzlei; ggf. Dritte, soweit diese in den verarbeiteten Dokumenten oder Inhalten genannt sind.

Datenarten: Die der Kanzlei bereitgestellten Dokumente und Inhalte (einschließlich der unter Ziffer 3.1 genannten Datenarten, ggf. auch besondere Kategorien i. S. d. Art. 9 DSGVO) sowie Anfrage- und Promptdaten.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Bis zur Löschung des Nutzerkontos. Bei den KI-Anbietern ist keine dauerhafte Speicherung der übermittelten Inhalte vorgesehen (Zero Data Retention); eine Nutzung zum Training von Modellen erfolgt nicht.

Zweck der Verarbeitung: KI-gestützte Assistenzfunktionen, insbesondere Dokumenten- und Datenanalyse, Erstellung von Textentwürfen, Zusammenfassungen und Handlungsempfehlungen. Die KI-Funktionen erzeugen ausschließlich unverbindliche Orientierungshilfen, die durch die Kanzlei zu prüfen sind; automatisierte Einzelentscheidungen im Sinne des Art. 22 DSGVO finden nicht statt.

Weitere Informationen:

• Microsoft: https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy?tabs=azure-portal
• Google: https://policies.google.com/privacy

3.5 KI-gestützte Steuerrecherche (Zusatzmodul Taxy.io Answers)

Empfänger: Taxy.io GmbH, Jülicher Straße 72a, 52070 Aachen.

Kategorien betroffener Personen: Mandantinnen und Mandanten der Kanzlei.

Datenarten: Rechercheanfragen zu steuerlichen Fragestellungen und zugehörige Angaben; ggf. Kontaktdaten.

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Bis zur Löschung des Nutzerkontos.

Zweck der Verarbeitung: KI-gestützte Recherche zu steuerlichen Fragestellungen als Unterstützung der Kanzlei.

Weitere Informationen:https://www.taxy.io/datenschutz-taxyio

3.6 Mandantenaufnahme über Online-Formular (Add-on „Mandantenaufnahme”)

Empfänger: Fillout Inc. (Zite), 228 Park Ave S, PMB 29556, New York, NY 10003, USA

Kategorien betroffener Personen: Interessentinnen und Interessenten sowie Mandantinnen und Mandanten der Kanzlei.

Datenarten: Stammdaten, Kontaktdaten sowie die im Aufnahmeformular erfassten Angaben zur Mandantenaufnahme (z. B. auch Bank- und Steuerdaten, soweit im Formular erhoben).

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Bis zur Löschung des Nutzerkontos.

Zweck der Verarbeitung: Formular- und Datenerfassung für die Mandantenaufnahme über die Website der Kanzlei.

Drittlandtransfer: Um den Schutz der Persönlichkeitsrechte zu gewährleisten, haben wir mit Fillout Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO geschlossen.

Weitere Informationen:https://www.fillout.com/privacy

3.7 E-Mail-Benachrichtigungen (Transaktions-E-Mails)

Empfänger: SendGrid Inc. (Twilio Inc.), 375 Beale Street, Suite 300, San Francisco, CA 94105 (USA)

Kategorien betroffener Personen: Nutzer der Plattform.

Datenarten: Kontaktdaten (E-Mail-Adresse) sowie Zustellungs- und Versanddaten (z. B. Empfangsbestätigungen).

Rechtsgrundlage: Art. 28 DSGVO i. V. m. dem AVV.

Speicherdauer: Bis zur Löschung des Nutzerkontos.

Zweck der Verarbeitung: Versand von Transaktions-E-Mails. Die E-Mails enthalten ausschließlich Benachrichtigungen mit einem Link zur Plattform, keine Inhalte aus Vorgängen oder Dokumenten.

Drittlandtransfer: Twilio ist im Rahmen des Data Privacy Framework zertifiziert, weshalb der Angemessenheitsbeschluss der EU Kommission greift. Die Datenübermittlung erfolgt somit gem. Art. 45 Abs. 1 S. 1 DSGVO.

Weitere Informationen:https://www.twilio.com/en-us/legal/privacy

3.8 Versand von Push-Benachrichtigungen

Empfänger: Knock Labs Inc., 175 Varick St, #413 New York, USA.

Kategorien betroffener Personen: Nutzer der Mandanten-App.

Datenarten:

• Nutzerdaten (z. B. Nutzer-ID),
• Gerätedaten (z. B. Push-Token),
• Inhalte der Benachrichtigungen.

Rechtsgrundlage: § 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO.

Speicherdauer: Push-Tokens werden bei Deinstallation der App, Widerruf der Push-Berechtigung oder Löschung des Nutzerkontos entfernt.

Drittlandtransfer: Knock ist im Rahmen des Data Privacy Framework zertifiziert, weshalb der Angemessenheitsbeschluss der EU Kommission greift. Die Datenübermittlung erfolgt somit gem. Art. 45 Abs. 1 S. 1 DSGVO.

Zweck der Verarbeitung: Zustellung vorgangsbezogener Benachrichtigungen (z. B. Hinweise auf neue Nachrichten oder Dokumente) an Nutzer der Mandanten-App und des Portals per Push-Mitteilung, einschließlich der Nachverfolgung des Zustellstatus.

Weitere Informationen:https://knock.app/legal/privacy-policy

3.9 Server-Logfiles, Zugriffs- und Sicherheitsprotokollierung

Empfänger: Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg.

Kategorien betroffener Personen: Nutzer der Plattform.

Datenarten: Nutzungs- und Zugriffsdaten (besuchte Seite, Uhrzeit und Zeitpunkt des Zugriffs, übertragene Datenmenge, Quelle/Verweis, verwendeter Browser, verwendetes Betriebssystem, IP-Adresse) sowie Protokolldaten zu Anlage, Änderung und Löschung von Vorgängen, Dokumenten und Nachrichten (Nutzer, Zeitstempel).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Missbrauchsaufklärung der Plattform).

Speicherdauer: System- und Zugriffsprotokolle (Anwendung, AWS CloudTrail): 12 Monate. Aktivitätsverläufe innerhalb eines Vorgangs: für die Dauer des Vertragsverhältnisses. Müssen Daten aus Beweisgründen aufbewahrt werden, sind sie so lange von der Löschung ausgenommen, bis der Vorfall endgültig geklärt ist.

Zweck der Verarbeitung: Sicherstellung des ordnungsgemäßen Betriebs der Plattform (Verfügbarkeit, IT-Sicherheit), Feststellung und Behebung von Störungen sowie Aufklärung von Missbrauchsfällen.

3.10 Eigene Cookies und Berechtigungen der Mandanten-App

Kategorien betroffener Personen: Nutzer der Plattform.

Datenarten: Nutzungsdaten der Sitzung (Session-ID, Login-Status, Spracheinstellung).

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendige Cookies) i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Sitzungsdauer (z. B. Login/Session-Cookie) bzw. begrenzte Dauer (z. B. Spracheinstellung).

Zweck der Verarbeitung: Sitzungsverwaltung (Login) und Spracheinstellungen; ohne diese Cookies kann die Plattform nicht genutzt werden. Es werden keine Tracking- oder Marketing-Cookies eingesetzt.

Weitere Informationen: Für die App müssen folgende Geräteberechtigungen erteilt werden: Zugriff auf den Gerätespeicher (Dateien auswählen oder speichern), Zugriff auf die Kamera (Belege digitalisieren), Netzwerkzugriff (Daten anzeigen oder senden).

4. Erstellung eines Nutzeraccounts (Registrierung) und Anmeldung

Wenn Sie einen Nutzeraccount erstellen oder sich anmelden, verarbeiten wir Ihre Zugangsdaten (E-Mail-Adresse und Passwort), um Ihnen Zugang zu Ihrem Account zu gewähren und diesen zu verwalten. Diese Angaben sind Pflichtangaben und mit einem Sternchen gekennzeichnet. Ohne sie können wir den Nutzungsvertrag nicht abschließen und Sie können keinen Account erstellen.

Wir nutzen Ihre Daten, um

• Sie beim Login zu authentifizieren und Anfragen zum Zurücksetzen Ihres Passworts zu bearbeiten,
• Ihre Berechtigung zur Verwaltung des Accounts zu prüfen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. f DSGVO, wobei das berechtigte Interesse am funktionsfähigen und sicheren Betrieb der App liegt, und § 25 Abs. 2 Nr. 2 TDDDG, da der Gerätezugriff notwendig ist, um Ihnen Zugang zur App zu gewähren.

5. Weitergabe Ihrer Daten

Wir geben Ihre personenbezogenen Daten nur weiter, wenn Sie vorher eingewilligt haben. Ohne Ihre Einwilligung geschieht das nur, wenn diese Datenschutzerklärung die Weitergabe ausdrücklich nennt oder wenn wir gesetzlich dazu berechtigt oder verpflichtet sind.

Wir geben Ihre Daten an Strafverfolgungs- und andere Behörden, an geschädigte Dritte oder an Rechtsberater weiter, wenn das erforderlich ist, um eine rechtswidrige oder missbräuchliche Nutzung der App aufzuklären oder um Rechtsansprüche zu verfolgen. Das tun wir nur, wenn konkrete Anhaltspunkte für ein gesetzwidriges oder missbräuchliches Verhalten vorliegen. Das gilt auch, wenn wir damit unsere Nutzungsbedingungen oder andere Rechtsansprüche durchsetzen.

Außerdem sind wir gesetzlich verpflichtet, bestimmten öffentlichen Stellen auf Anfrage Auskunft zu erteilen. Das sind Strafverfolgungsbehörden, Behörden, die Ordnungswidrigkeiten mit Bußgeld verfolgen, und die Finanzbehörden.

Wir dürfen Ihre Daten in diesen Fällen aus folgenden Gründen weitergeben:

a) Gesetzliche Pflicht: Wir müssen eine Auskunft erteilen, weil eine zuständige Stelle oder ein Gericht dies anordnet. Das gilt, soweit es nach § 21 Abs. 1 und 2 oder § 22 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) erforderlich ist. Es gilt auch, wenn wir sonst einer rechtlichen Verpflichtung zur Datenweitergabe an Strafverfolgungsbehörden unterliegen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den jeweiligen nationalen Vorschriften.

b) Berechtigtes Interesse: Wir haben ein berechtigtes Interesse daran, Daten bei Anhaltspunkten für missbräuchliches Verhalten weiterzugeben. Dasselbe gilt, wenn wir damit unsere Nutzungsbedingungen, andere Bedingungen oder Rechtsansprüche durchsetzen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das gilt nur, solange Ihre Interessen oder Grundrechte und Grundfreiheiten, die den Schutz Ihrer Daten erfordern, nicht überwiegen.

6. Ihre Rechte als betroffene Person

Als betroffene Person stehen Ihnen verschiedene Rechte nach der DSGVO zu. milia leitet Anfragen betroffener Personen, die unmittelbar an uns gerichtet werden, unverzüglich an die Kanzlei weiter. Eine eigenständige Bearbeitung erfolgt nur, wo milia Verantwortlicher der Datenverarbeitung ist. Soweit erkennbar ist, dass die Kanzlei Verantwortliche ist, dürfen wir Ihnen die Kontaktdaten der Kanzlei mitteilen.

Auskunft

Sie können jederzeit von uns Auskunft darüber verlangen, welche personenbezogenen Daten wir über Sie verarbeiten (Art. 15 DSGVO).

Berichtigung

Sind Ihre Daten unrichtig, können Sie von uns verlangen, dass wir sie unverzüglich berichtigen (Art. 16 DSGVO). Sind Ihre Daten unvollständig, können Sie verlangen, dass wir sie vervollständigen.

Löschung

Sie können von uns verlangen, dass wir Ihre Daten löschen (Art. 17 DSGVO). Das gilt insbesondere, wenn

• wir Ihre Daten für die Zwecke, für die wir sie erhoben haben, nicht mehr brauchen,
• wir Ihre Daten unrechtmäßig verarbeitet haben,
• Sie der Verarbeitung widersprochen haben oder
• wir nach EU-Recht oder dem Recht eines Mitgliedstaats, dem wir unterliegen, zur Löschung verpflichtet sind.

Einschränkung der Verarbeitung

Sie können von uns verlangen, dass wir die Verarbeitung Ihrer Daten einschränken (Art. 18 DSGVO). Das gilt insbesondere,

• solange wir prüfen, ob Ihre Daten richtig sind, weil Sie die Richtigkeit bestreiten,
• wenn Sie statt der Löschung lieber die Einschränkung verlangen, obwohl Sie ein Recht auf Löschung hätten,
• wenn wir Ihre Daten für unsere Zwecke nicht mehr brauchen, Sie sie aber zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen, oder
• solange noch nicht feststeht, ob Ihr Widerspruch erfolgreich ist.

Datenübertragbarkeit

Sie können von uns die Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten (Art. 20 DSGVO).

Widerspruchsrecht

Sie können jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, der Verarbeitung Ihrer Daten widersprechen, wenn wir sie auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO verarbeiten (Art. 21 DSGVO). Wir verarbeiten Ihre Daten dann nicht mehr, außer

• wir können zwingende Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder
• die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Sie können sich außerdem jederzeit bei einer Datenschutzaufsichtsbehörde über uns beschweren.

Aktualität und Änderungen

Stand: Oktober 2026.

Diese Datenschutzinformation ersetzt die bisherige Datenschutzerklärung vom Dezember 2024.