BRAO § 43e — Hinweise zur Cloud-Nutzung
Technische und organisatorische Ausgestaltung von Caelex Atlas für die Nutzung durch Rechtsanwältinnen und Rechtsanwälte
Stand: 28. Oktober 2026 · Caelex UG (haftungsbeschränkt) i. G., Köln · Version 1.4
Diese Seite fasst zusammen, wie Caelex Atlas im Hinblick auf typische Anforderungen des § 43e BRAO (Inanspruchnahme von Dienstleistungen) technisch und organisatorisch ausgestaltet ist. Sie ist eine Informationsdarstellung für Kanzleien, keine Rechtsberatung und keine Bescheinigung einer Kammer.
Die Vereinbarung zur Verschwiegenheit nach § 43e Abs. 3 BRAO und § 203 StGB ist Anlage 3 zum Auftragsverarbeitungsvertrag (/legal/dpa#anl3). Sie wird mit dem AVV geschlossen. Kanzleien mit einem Vertrag vor dem 27. Oktober 2026 erhalten den AVV 1.5 mit Anlage 3 gesondert zur Annahme; bis dahin gilt für sie die bei ihrem Vertragsschluss geltende Fassung. Bei Widerspruch zwischen dieser Seite und dem AVV gilt der AVV.
Ob die Nutzung von Atlas für ein konkretes Mandat berufsrechtlich zulässig ist, entscheidet die Kanzlei in eigener Verantwortung (einschließlich § 203 StGB und interner Richtlinien).
1. Zweck und Grenzen
- Beschreibt TOMs und Architektur-Merkmale von Caelex Atlas
- Ersetzt keinen AVV/DPA und keine Kanzlei-Freigabe
- Ersetzt keine individuelle Bewertung der Verschwiegenheitspflicht
- Bei Widerspruch gilt der Vertrag, insbesondere der AVV mit Anlage 3
2. Sicherheitsstandards (Bezug § 43e Abs. 2 BRAO, sorgfältige Auswahl)
- Übertragung: TLS (anbieterseitig modern)
- Speicherung: AES-256-GCM für sensible Textfelder und Chat-Inhalte pro Organisation, wo aktiviert
- Mandantentrennung: Organisation + Mandate-Membership in Abfragen
- Authentifizierung: Passwort, je nach Einrichtung auch Anmeldung mit Google, und optionale Zwei-Faktor-Authentifizierung (TOTP) mit Backup-Codes. Sie ist im Produkt verfügbar und empfohlen, aber nicht systemweit erzwungen. Eine Anmeldung mit Passkey bietet Atlas derzeit nicht an.
- Audit: organisationsweite, hash-verkettete Audit-Logs für produktinterne Aktionen
- Sub-Prozessoren: u. a. Neon, Vercel, Google Cloud, AWS, Cloudflare — Zertifizierungen der Anbieter (z. B. SOC 2 / ISO) siehe deren Trust-Center; Caelex selbst ist zum Stand dieses Dokuments nicht SOC-2- oder ISO-27001-zertifiziert
3. Zugriff und Mitwirkende (Bezug § 43e Abs. 3 BRAO)
Caelex ist mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB und zur Verschwiegenheit verpflichtet. Wer für Caelex tätig ist und ein fremdes Geheimnis unbefugt offenbart, macht sich nach § 203 Abs. 4 StGB strafbar. Personen bei Caelex mit Zugang zu Inhalten sind in Textform zur Verschwiegenheit verpflichtet; neue Personen verpflichtet Caelex vor dem ersten Zugang. Vercel ist über seinen Auftragsverarbeitungsvertrag mit Vertraulichkeitsklausel gebunden; Google Cloud und Amazon Web Services sind als Unterauftragsverarbeiter von Vercel über Vercel gebunden. Die übrigen Anbieter mit möglichem Zugang zu Inhalten (Neon, Cloudflare, Upstash, Resend) sind über ihre Verträge mit Vertraulichkeitsklauseln gebunden. Die Anbieter der Websuche und öffentlicher Quellen sind nicht zur Verschwiegenheit verpflichtet. Details: /legal/mitwirkende und /legal/sub-processors.
4. Datenresidenz (Bezug § 43e Abs. 4 BRAO / DSGVO Kap. V)
Mandanten-Content in der Datenbank liegt in der EU (Frankfurt); hochgeladene Dateien (Vault) liegen bei Cloudflare in einem Bucket mit EU-Jurisdiktion, für den Cloudflare die Speicherung in der EU zusichert. KI-Anfragen gehen über das Vercel AI Gateway an Modellanbieter in der EU, mit den in /legal/data-residency genannten Grenzen. Hilfsdienste (E-Mail, Zahlungen, Analyse nach Einwilligung) können Drittland-Bezug haben; die Transfergrundlage je Anbieter nennt das Sub-Processor-Register. Die Websuche ist je Kanzlei standardmäßig ausgeschaltet. Schaltet die Kanzlei sie ein, gehen Suchbegriffe an DuckDuckGo oder Brave Search in den USA; dafür ist keine Transfergrundlage dokumentiert, und die Anbieter sind nicht zur Verschwiegenheit verpflichtet. Ausführlich: /legal/data-residency.
5. Audit- und Informationsrechte (Bezug § 43e Abs. 2 BRAO)
Im Rahmen unterzeichneter Verträge und unter NDA stellt Caelex im Zumutbaren u. a. zur Verfügung: Sub-Processor-Listen, TOM-Beschreibungen, Provider-Berichte (soweit freigegeben), und Einsicht in relevante Audit-Log-Konzepte. Konkrete Fristen und Modalitäten regelt der jeweilige Vertrag — nicht allein diese Webseite.
6. KI-Verarbeitung
- Chat- und Werkzeugtext geht über das Vercel AI Gateway an die Claude-Modelle von Anthropic, festgelegt auf die EU (Google Cloud Vertex AI oder AWS Bedrock), fail-closed; kein US-Fallback im Produkt-Standard
- Kein Training mit Ihren Eingaben; Zero Data Retention haben die Modellanbieter gegenüber Vercel zugesagt (kein eigener Vertrag von Caelex mit Anthropic, Google oder AWS). Wiederkehrende Teile einer Anfrage hält der Anbieter bis zu einer Stunde nach der letzten Nutzung in einem Zwischenspeicher (Prompt-Cache) vor
- Atlas-Ausgaben sind Entscheidungshilfen — keine Rechtsberatung und keine Freigabe
7. Löschung und Portabilität
Export und Löschung regeln § 14 AVV und § 14a AGB (Anbieterwechsel nach dem Data Act): Kündigung zum Wechsel mit einer Frist von höchstens zwei Monaten, 30 Tage Übergang, mindestens 30 Tage Abruf, danach Löschung mit Bestätigung; Sicherungskopien höchstens 35 Tage. Für Wechsel, Export und Löschung erhebt Caelex keine Entgelte.
8. Versicherung
Angaben zum Versicherungsschutz stellen wir auf Anfrage über legal@caelex.eu zur Verfügung.
Kontakt
Caelex UG (haftungsbeschränkt) i. G., Im Mediapark 5, 50670 Kölnlegal@caelex.euVersion 1.4 · 28. Oktober 2026