Datenresidenz

1. Zusammenfassung

Mandanten-Content in der Datenbank liegt bei Neon in Frankfurt am Main (EU). Hochgeladene Dateien liegen im Objektspeicher von Cloudflare (R2), in einem Bucket mit EU-Jurisdiktion. Für solche Buckets sichert Cloudflare die Speicherung in der EU zu (2.2). Eine pauschale Aussage, alle Mandantendaten lägen ausschließlich in der EU, machen wir trotzdem nicht: Die Drittland-Bezüge nennen die Abschnitte 3 und 4. Diese Aussagen gelten für den produktiven Caelex-Stack, soweit unten beschrieben.

Hilfsdienste — u. a. transaktionale E-Mails, Zahlungen und Analyse nach Einwilligung — können Anbieter in Drittländern nutzen. KI-Anfragen gehen über das Vercel AI Gateway an Modellanbieter in der EU, mit den in Abschnitt 3 genannten Grenzen. Transfers stützen sich, je nach Anbieter, auf das EU-US Data Privacy Framework (DPF), Standardvertragsklauseln (SCC, Modul 3) und Angemessenheitsbeschlüsse. Ausgenommen ist derzeit die Web-Recherche (Websuche über DuckDuckGo oder Brave Search, USA; Abruf von Webseiten; Rechtsprechungssuche über CourtListener): Für sie ist eine Transfergrundlage nicht dokumentiert; übermittelt werden nur Suchbegriffe und die Adressen der abgerufenen Seiten. Diese Seiten können auf beliebigen Servern liegen, auch außerhalb der EU.

2. Stufe 1 — Mandanten-Content

Als Mandanten-Content gelten hier: Mandats- und Organisationsdaten, Chats und zugehörige Metadaten, Vault-Dateien und -Metadaten, Audit-Einträge sowie vergleichbare produktive Anwendungsdaten in der primären Datenbank und im Datei-Vault.

2.1 Persistente Datenbank (PostgreSQL via Neon)

• Region: AWS Europe Central 1 (Frankfurt am Main)
• Daten: Mandate, Chats, Parteien, Fristen, Notizen, Wissensbasis, Audit-Logs und weitere Anwendungsdaten
• Sicherung: Wiederherstellung zu einem Zeitpunkt 30 Tage, tägliche Snapshots 7 Tage, wöchentliche Snapshots 35 Tage (Neon-Projektmetadaten, Stand 26.10.2026). Sicherungen werden nach höchstens 35 Tagen überschrieben.
• Standby: Anbieter-Durability im Region-Cluster Frankfurt. Keine Caelex-eigene regionsübergreifende Replikation.
• Support-Zugriff des Anbieters: selten, anforderungsbezogen; vertraglich über DPA/SCC abgesichert

2.2 Datei-Vault (Cloudflare R2)

• Region: EU. Der Bucket hat die EU-Jurisdiktion; für solche Buckets sichert Cloudflare in seiner Produktdokumentation die Speicherung in der EU zu. Festgelegt ist die EU, keine Stadt und kein Land.
• Seit wann: Die Produktion schreibt seit dem 15. September 2026 über den Endpunkt der EU-Jurisdiktion. Ob davor Dateien in einen Bucket ohne EU-Jurisdiktion geschrieben wurden, ist nicht dokumentiert.
• Daten: hochgeladene Vault-Dateien (z. B. Schriftsätze, Bescheide, Verträge)
• Zugriff: Signed-URLs mit begrenzter Gültigkeit; keine öffentlichen Buckets. Downloads liefert Cloudflare über sein weltweites Netz aus.
• Verschlüsselung at-rest: AES-256 nach Cloudflare-Standard

2.3 Applikations-Hosting (Vercel)

• Primary Region: Frankfurt (fra1) für dynamische Requests mit Mandantendatenbezug, soweit plattformseitig konfiguriert
• Edge Network: global; Funktionen mit Mandantendatenzugriff sollen auf EU-Regionen gepinnt sein
• Logs: Laufzeit-Logs bei Vercel; Region und Aufbewahrung nicht dokumentiert
• Standort bei der Anmeldung mit MFA oder Passkey: Land, Stadt und Koordinaten ermittelt Vercel aus der IP-Adresse; wir speichern sie als Standortangabe im Sicherheitsprotokoll. An einen weiteren Dienst geht die IP-Adresse dafür nicht.

2.4 Rate-Limiting / Caching (Upstash Redis)

• Region: nicht dokumentiert
• Daten: Rate-Limit-Zähler mit IP-Adresse oder Nutzer-ID als Schlüssel, kurzlebige Session-, MFA- und Cache-Werte — keine Mandatsinhalte

3. Stufe 2 — Hilfsdienste mit möglichem Drittland-Bezug

Die folgenden Kategorien können Daten außerhalb der EU verarbeiten. Details und aktuelle Einträge: /legal/sub-processors.

• KI-Inferenz (Claude-Modelle von Anthropic): über das Vercel AI Gateway, festgelegt auf die EU und ohne Training, bedient von Google Cloud (Vertex AI) oder AWS (Bedrock) in der EU; ohne EU-Weg schlägt die Anfrage fehl. Das Gateway leitet nur an Anbieter weiter, die gegenüber Vercel Zero Data Retention zugesagt haben; wiederkehrende Teile einer Anfrage hält der Anbieter bis zu einer Stunde nach der letzten Nutzung in einem Zwischenspeicher (Prompt-Cache) vor; nach Auskunft des Vercel-Supports gelten dafür die Zero-Data-Retention-Zusage und die EU-Festlegung. Nicht erfasst: die Durchleitung durch Vercel, die Missbrauchsprüfung markierter Anfragen beim Anbieter und 30 Tage Anfrage-Metadaten beim Gateway (etwa Modell, Tokenzahlen und Zeitpunkt).
• KI-Spracheingabe und Dokumentauswertung (Gemini-Modelle von Google): über dasselbe Gateway mit denselben Festlegungen und Grenzen; Spracheingabe in Atlas und Ocular, Datenblatt-Auswertung in Passage, Assistent in Ocular.
• Atlas erzeugt keine KI-Einbettungen Ihrer Texte; die Suche arbeitet mit Stichwörtern.
• Transaktionale E-Mails (z. B. Resend): Zustell-Metadaten und Nachrichteninhalt während der Zustellung; Benachrichtigungen aus Atlas können den Namen eines Mandats und sein Aktenzeichen enthalten
• Websuche in Atlas, nur wenn die Kanzlei sie einschaltet: Suchbegriffe an DuckDuckGo (Standard) oder Brave Search, je nach Einstellung durch Caelex (USA).
• Geschäftsereignis-Monitoring (LogSnag, Kanada): Ereignistyp, interne IDs und Zeitpunkt, bei der Registrierung die maskierte E-Mail-Adresse, bei Abo-Änderungen der Name der Organisation; Angemessenheitsbeschluss für Kanada.
• Web-Analytics / Speed Insights: nach Einwilligung, wo der Banner greift; cookielose/aggregierte Metriken je Konfiguration
• Zahlungsabwicklung (Stripe Payments Europe): eigene Verantwortlichkeit für Zahlungsdaten; Teilverarbeitung außerhalb der EU möglich

4. Drittland-Transfers und Schrems II

Datenbank und Anwendungsfunktionen laufen in Frankfurt; hochgeladene Dateien liegen in einem Bucket mit EU-Jurisdiktion (2.2). Drittland-Bezüge entstehen hier durch Verwaltungs- und Support-Zugriffe der US-Anbieter Neon, Vercel und Cloudflare und durch die weltweiten Netze von Vercel und Cloudflare; sie sind über SCC und, bei Vercel und Cloudflare, das DPF abgesichert. Für den Cache (Upstash) ist die Region nicht dokumentiert (2.4).

Für Stufe-2-Hilfsdienste stützt sich Caelex — je Anbieter — auf eine oder mehrere der folgenden Maßnahmen:

1. Angemessenheitsbeschluss der EU-Kommission (soweit einschlägig, z. B. Kanada)
2. EU-US Data Privacy Framework für zertifizierte US-Anbieter
3. EU-Standardvertragsklauseln (SCC), typischerweise Modul 3, in den Anbieterverträgen

Ausgenommen ist derzeit die Web-Recherche (Websuche über DuckDuckGo oder Brave Search, USA; Abruf von Webseiten; Rechtsprechungssuche über CourtListener): Für sie ist eine Transfergrundlage nicht dokumentiert; übermittelt werden nur Suchbegriffe und die Adressen der abgerufenen Seiten. Diese Seiten können auf beliebigen Servern liegen, auch außerhalb der EU.

Weitere Hinweise:

• Eine dokumentierte Transferbewertung (TIA) für Atlas liegt noch nicht vor
• Zero Data Retention und kein Training als Zusage der Modellanbieter gegenüber Vercel (Abschnitt 3)
• Keine automatische Pseudonymisierung: Ihre Eingaben gehen so an die KI-Modelle, wie Sie sie schreiben; anonymisieren Sie Sachverhalte, wo es geht

Angaben nach Art. 28 Data Act: Die IT-Infrastruktur der Plattform betreiben überwiegend Unternehmen mit Sitz in den USA (Vercel, Neon, Cloudflare, Upstash; Amazon Web Services als Rechenzentrumsbetreiber für Neon und, über Vercel, Google Cloud und Amazon Web Services für KI). Sie unterliegen neben dem Recht der Staaten, in denen die Rechenzentren liegen, dem Recht der USA, etwa dem CLOUD Act und FISA Section 702. US-Behörden können danach unter Umständen Zugriff auf Daten verlangen, auch wenn diese in der EU gespeichert sind. Die Verschlüsselung je Kanzlei (Abschnitt 5) und die Standardvertragsklauseln, die die Anbieter verpflichten, solche Anfragen zu prüfen, soweit möglich anzufechten und mitzuteilen, verringern dieses Risiko. Sie schließen einen Zugriff nach US-Recht aber nicht aus: Der Hauptschlüssel, aus dem die Schlüssel je Kanzlei abgeleitet werden, liegt in der Umgebung bei Vercel, und Teile der Daten sind nicht verschlüsselt.

Instrumente wie DPF, SCC und Zero-Data-Retention mindern Risiken im Zusammenhang mit US-Zugriffsrechten; ein Residualrisiko bleibt. Dieses Statement ersetzt keine kanzleiinterne Datenschutz- oder Berufsrechtsprüfung.

5. Verschlüsselung und Zugriff (Atlas)

• Transport: TLS (anbieterseitig modern, typisch TLS 1.2+)
• Anwendungsebene: sensible Textfelder und Chat-Inhalte können pro Organisation mit AES-256-GCM verschlüsselt sein (Schlüsselableitung Master-Secret + Organisations-ID)
• Mandantentrennung: organisations- und mitgliedschaftsgefilterte Abfragen. Plattform-Administratoren von Caelex öffnen im Produkt keine fremde Kanzlei; Mitarbeitende von Caelex können aber über einen Beitrittslink Mitglied einer Kanzlei werden und haben dann die Rechte eines Mitglieds (Datenschutzerklärung § 5 Abs. 2)
• Wer Zugang zur Produktionsdatenbank und die Verschlüsselungsschlüssel hat, könnte Daten außerhalb der Anwendung entschlüsseln; ein solcher Zugriff wird in der Anwendung nicht protokolliert. Wir behaupten keine Zero-Knowledge-Architektur und nicht, dass Caelex Ihre Daten nie sehen kann. Wann Personen bei Caelex Inhalte sehen können, steht in der Datenschutzerklärung (§ 5 Abs. 2, „Zugriff durch Caelex“).

6. Nachweise und Audit

Auf begründete Anfrage und unter NDA, soweit erforderlich, stellt Caelex im Rahmen des Zumutbaren zur Verfügung:

• Hinweise zur Region der Stufe-1-Dienste
• DPF-Zertifizierungsstatus und SCC-Hinweise der Sub-Prozessoren
• Provider-Trust-Center-Links
• SOC-2-/ISO-Berichte der Sub-Prozessoren, soweit freigegeben
• Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) für Atlas: in Vorbereitung; den Stand teilen wir auf Anfrage mit

7. Geltungsbereich und Änderungen

Dieses Statement gilt für den produktiven Caelex-Stack (Marketing-Site und Produkte inklusive Atlas), soweit nicht produktspezifisch anders ausgewiesen. Änderungen der Routing-, Speicher- oder Sub-Processor-Konfiguration werden hier und im Sub-Processor-Register fortgeschrieben.

Ob und in welcher Form die hier beschriebenen Zusicherungen Vertragsbestandteil eines AVV mit einer konkreten Kanzlei werden, richtet sich nach dem jeweils unterzeichneten Vertrag mit der richtigen Caelex-Entität — nicht allein nach dieser Webseite.