Datenschutzerklärung

Kurz gesagt

• Die Daten Ihrer Mandanten und Ihrer Kanzlei, die Sie in die Werkzeuge eingeben, bleiben auf diesem Gerät. Sie werden nie an einen Server gesendet.
• Die Register, die Sie behalten möchten, werden in Ihrem Browser mit Ihrer Passphrase verschlüsselt. Avlex kann sie weder lesen noch wiederherstellen.
• Wir verarbeiten Daten über Sie nur, wenn Sie die Kanzleifunktionen freischalten oder ein Problem melden, und soweit es für den Betrieb der Website technisch nötig ist.
• Jede Art von Mitteilung erfordert eine gesonderte Einwilligung, die Sie jederzeit widerrufen können. Die Freischaltung hängt nicht davon ab.
• Wir verkaufen keine Daten.

Verantwortlicher

Avlex Belgium SRL (Avlex), Boulevard de l'Empereur 10, 1000 Bruxelles, Unternehmensnummer 1036.582.778.

Für alle Fragen zu Ihren Daten: legal@avlex.be.

Die Daten Ihrer Mandanten bleiben auf diesem Gerät

Was Sie in die Werkzeuge eingeben (Namen von Mandanten und Parteien, Angaben zur Akte, Antworten auf die Fragen, gewählte Optionen), bleibt im Speicher des Tabs. Was Sie behalten möchten, wird im Speicher Ihres Browsers abgelegt, und nirgends sonst:

• das Profil Ihrer Kanzlei (Name, Anschrift, Kammer, Kontaktdaten, Logo), in localStorage;
• die Register, die Sie im Tresor speichern: Geldwäsche-Aktennotizen, das Register der KI-Werkzeuge, das Konfliktregister und sein Prüfprotokoll, Fortbildungspunkte, das DSGVO-Verarbeitungsverzeichnis.

Diese Daten werden nie an einen Server gesendet, weder an Avlex noch an Dritte. Avlex hat daher keinen Zugriff auf sie: Für sie ist Avlex weder Verantwortlicher noch Auftragsverarbeiter. Die Daten Ihrer Mandanten bleiben allein in der Verantwortung Ihrer Kanzlei. Einzige Ausnahme, und auf Ihre Initiative: Eine Problemmeldung fügt die nicht personenbezogenen Optionen des Werkzeugs bei (siehe unten).

Der verschlüsselte Tresor

• Die Register werden in Ihrem Browser verschlüsselt (AES-GCM, 256-Bit-Schlüssel), bevor sie in der IndexedDB-Datenbank normalex-vault dieses Browsers gespeichert werden.
• Der Schlüssel wird aus Ihrer Passphrase abgeleitet (PBKDF2-SHA-256, 600.000 Iterationen). Weder die Passphrase noch der Schlüssel verlassen das Gerät, und beide werden nie gespeichert.
• Avlex kann den Tresor weder lesen noch wiederherstellen. Vergessen Sie Ihre Passphrase, kann niemand den Tresor wieder öffnen, auch Avlex nicht.
• Der Tresor sperrt sich nach 15 Minuten ohne Aktivität von selbst.
• Sie können ihn in eine verschlüsselte Sicherungsdatei (.normalexvault) exportieren und wieder importieren. Die Website speichert nur das Datum des letzten Exports (normalex.vault.backup), um Sie an eine neue Sicherung zu erinnern.
• Der Befehl „Alle lokalen Daten löschen“ löscht den Tresor aus diesem Browser.
• Die Verschlüsselung schützt vor einem beiläufigen Zugriff auf den Speicher des Browsers. Sie schützt nicht vor Schadsoftware auf dem Gerät.

Prüfen Sie es selbst

1. Öffnen Sie die Entwicklertools Ihres Browsers (Taste F12, oder Cmd+Option+I auf einem Mac), Registerkarte Netzwerk.
2. Nutzen Sie ein Werkzeug: Beantworten Sie die Fragen, erstellen und exportieren Sie ein Dokument, speichern Sie ein Register im Tresor.
3. Gehen Sie die Anfragen durch: Keine enthält, was Sie eingegeben haben.

Der Zähler in der Kopfzeile addiert jedes Byte, das die Seite sendet. Er bleibt bei 0 Byte, solange Sie Daten eingeben, Dokumente erstellen oder den Tresor nutzen. Die Freischaltung, eine Problemmeldung und die Nutzungszähler, die beim Verlassen der Seite gesendet werden, übermitteln Daten: Auch diese zeigt der Zähler an.

Verarbeitete Daten, Zwecke und Rechtsgrundlagen

Freischaltung der Kanzleifunktionen

Wenn Sie die Freischaltung anfordern, leitet unser Server Ihre Anfrage an das Kontaktregister von Avlex weiter, das die Websites von Avlex gemeinsam nutzen. Das Register verarbeitet:

• Ihre E-Mail-Adresse und die Sprache der Oberfläche;
• das Werkzeug, von dem aus Sie die Anfrage stellen;
• das Datum, an dem Sie Ihre Adresse bestätigt haben;
• die Ausstellung Ihrer Lizenz (siehe unten).

Avlex sendet Ihnen die Bestätigungs-E-Mail über Resend. Der darin enthaltene Link ist 7 Tage gültig.

Zweck: Ihre Adresse bestätigen, die Lizenz ausstellen und ihre Gültigkeit prüfen.

Rechtsgrundlage: die Erbringung des kostenlosen Dienstes, den Sie anfordern (DSGVO, Art. 6 Abs. 1 Buchst. b).

Ihre E-Mail-Adresse ist für die Freischaltung erforderlich. Ohne sie bleiben die Werkzeuge, ihre Ergebnisse, ihre Dokumente und alle Exporte uneingeschränkt nutzbar.

Lizenz

Nach der Bestätigung bewahrt Ihr Browser eine signierte Lizenz in seinem lokalen Speicher (localStorage) auf. Sie enthält einen SHA-256-Hash Ihrer E-Mail-Adresse (nicht die Adresse selbst), eine Lizenzkennung sowie ihr Ausstellungs- und ihr Ablaufdatum. Sie ist 12 Monate gültig. Das Register von Avlex erfasst, dass die Lizenz ausgestellt wurde.

Alle Kanzleifunktionen (der Briefkopf der Kanzlei, der Tresor, das Paket „Neues Mandat“) prüfen die Lizenz in Ihrem Browser, ohne etwas zu senden.

Rechtsgrundlage: die Erbringung des kostenlosen Dienstes, den Sie anfordern (Art. 6 Abs. 1 Buchst. b).

Mitteilungen, die Sie wählen

Bei der Freischaltung oder später können Sie in jede der folgenden Mitteilungen gesondert einwilligen. Kein Kästchen ist vorab angekreuzt, und die Freischaltung hängt nicht davon ab.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 Buchst. a). Für Werbung per E-Mail verlangt zudem Art. XII.13 des Wirtschaftsgesetzbuches Ihre vorherige Einwilligung.

Ihre Telefonnummer und Ihr bevorzugter Zeitpunkt für den Anruf werden nur übermittelt, wenn Sie den Anruf annehmen. Widerrufen Sie diese Einwilligung, wird die Nummer gelöscht.

Nachweis Ihrer Einwilligung

Für jede Einwilligung erfasst das Register von Avlex Datum und Uhrzeit, den Zweck, die genaue Version des Textes, den Sie gesehen haben, und die Herkunftswebsite. Es erfasst außerdem einen gesalzenen Hash (HMAC-SHA-256) Ihrer IP-Adresse und der Kennung Ihres Browsers (User-Agent). Die IP-Adresse selbst wird nicht gespeichert.

Rechtsgrundlagen:

• Datum, Zweck und Textversion: die Pflicht, Ihre Einwilligung nachweisen zu können (Art. 7 Abs. 1 in Verbindung mit Art. 6 Abs. 1 Buchst. c);
• Hashes von IP-Adresse und Browser: unser berechtigtes Interesse, die Echtheit der Bestätigung nachzuweisen und betrügerische Anfragen zu erkennen (Art. 6 Abs. 1 Buchst. f). Der Eingriff in Ihre Privatsphäre ist gering, da nur Hashes gespeichert werden.

Sicherheit und Missbrauchsvermeidung

Unser Server begrenzt die Häufigkeit von Anfragen anhand eines mit geheimem Schlüssel gebildeten Hashes (HMAC) Ihrer IP-Adresse. Dieser Hash bleibt nur für die Dauer des Begrenzungszeitfensters im Arbeitsspeicher und verschwindet danach. Das Register von Avlex versendet außerdem höchstens drei Bestätigungs-E-Mails pro Adresse und 24 Stunden.

Statt eines CAPTCHA lassen das Freischaltformular und das Meldeformular Ihren Browser eine kleine Rechenaufgabe lösen (Proof of Work), die unser eigener Server stellt. Die Website lädt keine Skripte Dritter, keine Statistik-Tools und keine Tracking-Cookies.

Rechtsgrundlage: unser berechtigtes Interesse, den Dienst zu schützen, ebenso wie Personen, deren Adresse ohne ihr Wissen eingegeben werden könnte (Art. 6 Abs. 1 Buchst. f).

Freiwillige Profilfelder

Sie können Ihren vollständigen Namen, Ihren Beruf, Ihre Rechtsanwaltskammer und die Größe Ihrer Kanzlei angeben. Diese Felder sind freiwillig. Sie helfen uns zu verstehen, wer die Werkzeuge nutzt, und, falls Sie Mitteilungen zugestimmt haben, diese auf Ihren Beruf abzustimmen. Sie sind vom Kanzleiprofil getrennt, das in Ihrem Browser bleibt.

Rechtsgrundlage: unser berechtigtes Interesse (Art. 6 Abs. 1 Buchst. f). Sie können jederzeit widersprechen.

Seite „E-Mail-Einstellungen“

Nach der Freischaltung bewahrt Ihr Browser ein Einstellungs-Token auf. Die Seite E-Mail-Einstellungen sendet es im Inhalt der Anfrage, nie in der Adresse, um Ihre Auswahl anzuzeigen und zu ändern.

Rechtsgrundlage: die Pflicht, den Widerruf einer Einwilligung so einfach zu machen wie ihre Erteilung (Art. 7 Abs. 3 in Verbindung mit Art. 6 Abs. 1 Buchst. c).

Problemmeldungen

Jedes Werkzeug hat ein Formular „Ein Problem melden“. Wenn Sie es absenden, erhalten wir:

• die Beschreibung, die Sie verfassen;
• Ihre E-Mail-Adresse, wenn Sie sie angeben möchten, ausschließlich für eine Antwort;
• das betroffene Werkzeug und die Seite sowie die Sprache der Oberfläche;
• das Datum, an dem die angewandten Regeln geprüft wurden;
• die nicht personenbezogenen Optionen, die Sie im Werkzeug gewählt haben (zum Beispiel die Art des Mandanten oder die Sprache des Dokuments); nie Namen, nie Daten Ihrer Mandanten, nie den Inhalt des Tresors.

Das Formular bittet Sie, keine Namen und keine Aktenzeichen anzugeben. Die Meldung wird als eine einzige E-Mail über Resend an den Support von Avlex gesendet (support@avlex.be). Die Website speichert nichts davon. Ihre Adresse wird nie in das Kontaktregister von Avlex aufgenommen und nie für Werbung verwendet.

Zweck: die Werkzeuge berichtigen und, wenn Sie Ihre Adresse angegeben haben, Ihnen antworten.

Rechtsgrundlage: unser berechtigtes Interesse, die Werkzeuge zu berichtigen (Art. 6 Abs. 1 Buchst. f). Die Antwortadresse wird nur verarbeitet, wenn Sie sie aus eigener Initiative angeben.

Nutzungszähler

Die Website übermittelt dem Register von Avlex aggregierte Zähler je Werkzeug, zum Beispiel die Anzahl erstellter Dokumente oder die Anzahl der Bewertungen je Risikostufe. Es sind einfache ganze Zahlen: Sie enthalten keinen Inhalt, keine Kennung und kein Cookie und sind keiner Person zugeordnet. Es handelt sich nicht um personenbezogene Daten.

Technische Protokolle des Hosters

Wie bei jeder Website zeichnet der Hoster technische Protokolle auf, wenn Ihr Browser eine Seite abruft: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Browser, Antwortcode. Sie dienen der Sicherheit und der Fehlersuche.

Rechtsgrundlage: unser berechtigtes Interesse am sicheren Betrieb der Website (Art. 6 Abs. 1 Buchst. f).

Empfänger und Auftragsverarbeiter

Ihre Daten werden weder verkauft noch vermietet. Sie werden von Avlex und von den folgenden Auftragsverarbeitern verarbeitet, die vertraglich gebunden sind (Art. 28):

Die E-Mails, denen Sie zugestimmt haben, werden von Avlex versendet. Nutzt Avlex dafür einen Versanddienst, handelt dieser als Auftragsverarbeiter zu denselben Bedingungen.

Übermittlungen außerhalb des Europäischen Wirtschaftsraums

Die Datenbank des Registers wird in der Europäischen Union gehostet. Supabase und Resend sind Unternehmen mit Sitz in den Vereinigten Staaten: Ein Zugriff von außerhalb des Europäischen Wirtschaftsraums ist möglich, etwa für technischen Support oder die Zustellung der E-Mails.

Diese Übermittlungen stützen sich auf die Garantien der DSGVO: den Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen, für Unternehmen, die daran teilnehmen (Art. 45), und/oder die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 Buchst. c). Eine Kopie erhalten Sie über legal@avlex.be.

Speicherfristen

• Bestätigungslink: 7 Tage gültig. Eine nie bestätigte Anfrage wird nach 30 Tagen gelöscht.
• Einwilligung: Sie erlischt nach 36 Monaten ohne Interaktion. Als Interaktion gelten: eine Bestätigung, eine Änderung Ihrer Einstellungen und eine Freischaltung. Das bloße Absenden des Freischaltformulars zählt nicht.
• Keine aktive Einwilligung mehr (widerrufen oder erloschen): Ihre Daten werden 5 Jahre nach dem letzten Einwilligungsereignis oder der letzten Interaktion gelöscht. Bis dahin werden sie als Nachweis für eine Beschwerde oder einen Rechtsstreit aufbewahrt (Art. 6 Abs. 1 Buchst. f).
• Bestätigte Adresse ohne jede Einwilligung (nur Freischaltung): Löschung 12 Monate nach der letzten Interaktion, jedoch nicht vor Ablauf von 12 Monaten nach dem Ende Ihrer letzten Lizenz.
• Löschung: endgültig. Ein Hash Ihrer Adresse bleibt auf einer Sperrliste, damit Ihr Widerspruch weiterhin beachtet wird.
• Problemmeldungen: im Support-Postfach von Avlex, nur so lange, wie es für die Bearbeitung der Meldung nötig ist. Die Website speichert nichts davon.
• Begrenzung der Anfragen: im Arbeitsspeicher, für die Dauer des Zeitfensters.
• Protokolle des Hosters: kurze, vom Hoster für Sicherheit und Fehlersuche festgelegte Frist, danach Löschung.
• Kanzleiprofil und Tresor: nur in Ihrem Browser, bis Sie sie löschen. Avlex speichert nichts davon.

Ihre Rechte

Sie können jederzeit:

• Auskunft über Ihre Daten verlangen (Art. 15) und sie berichtigen lassen (Art. 16);
• sie löschen lassen (Art. 17) oder die Einschränkung der Verarbeitung verlangen (Art. 18);
• die von Ihnen bereitgestellten Daten in einem strukturierten Format erhalten (Datenübertragbarkeit, Art. 20);
• Verarbeitungen widersprechen, die auf unserem berechtigten Interesse beruhen (Art. 21);
• Ihre Einwilligung widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3).

Einwilligung widerrufen: über die Seite E-Mail-Einstellungen, in dem Browser, in dem Sie die Kanzleifunktionen freigeschaltet haben; über den Abmeldelink in jeder E-Mail; oder mit einer Nachricht an legal@avlex.be.

Andere Rechte: Schreiben Sie an legal@avlex.be. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3). Wir können Sie bitten zu bestätigen, dass die betreffende Adresse Ihnen gehört. Die Daten, die Sie in Ihrem Browser aufbewahren (Kanzleiprofil, Tresor), erreichen uns nicht: Sie sehen sie selbst ein und löschen sie selbst, auf Ihrem Gerät.

Beschwerde: Sie können sich an die belgische Datenschutzbehörde wenden, Rue de la Presse 35, 1000 Brüssel, contact@apd-gba.be, datenschutzbehorde.be.

Automatisierte Entscheidungen

Es werden keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, ausschließlich auf Grundlage einer automatisierten Verarbeitung getroffen (Art. 22). Die Bewertungen, die die Werkzeuge vorschlagen (zum Beispiel eine Geldwäsche-Risikostufe), werden in Ihrem Browser berechnet und bleiben Ihrer Beurteilung als Rechtsanwalt unterworfen.

Änderungen

Wir können diese Erklärung aktualisieren. Das Datum der letzten Aktualisierung steht auf dieser Seite. Wesentliche Änderungen kündigen wir auf der Website an. Jede neue Nutzung auf Grundlage einer Einwilligung erfordert eine neue Einwilligung.