Datenschutzerklärung

Diese Erklärung informiert nach Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform „SBM Comply".

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO:
Schnetz · Buchmann · Michele GmbH Wirtschaftsprüfungsgesellschaft, Gerberstraße 1, 88212 Ravensburg.
E-Mail: info@sbm-kanzlei.de · Telefon: (0751) 5070-0.
Die technische Verarbeitung erfolgt im Auftrag durch die 47Nord Media GmbH als Auftragsverarbeiter (Art. 28 DSGVO).

2. Datenschutzbeauftragter

Datenschutzbeauftragter ist Sebastian Wanner. Sie erreichen ihn unter der unter Ziffer 1 genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter", per E-Mail an info@sbm-kanzlei.de oder telefonisch unter (0751) 5070-0.

3. Hosting und Verarbeitungsort

Die Plattform wird in Rechenzentren innerhalb der Europäischen Union / des EWR betrieben. Datenbank, Authentifizierung und Speicher werden über Supabase (EU-Region) bereitgestellt. Eine Verarbeitung außerhalb der EU/des EWR findet nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

4. Verarbeitete Daten und Zwecke

• Konto-/Stammdaten (Name, dienstliche Kontaktdaten, Unternehmenszugehörigkeit, Rolle) – zur Bereitstellung des Nutzerkontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Authentifizierungsdaten (Anmeldedaten, Passwort-Hashes, Sitzungs-/Sicherheitsparameter) – zur sicheren Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Inhalts-/Nachweisdaten (in die Plattform eingestellte Compliance-, Unternehmens-, Richtlinien- und Nachweisdokumente) – zur Erbringung der vertraglich vereinbarten Leistungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Protokoll-/Nutzungsdaten (Zeitstempel, Aktivitäts- und Audit-Trail, technische Logdaten, ggf. IP-Adresse) – für Sicherheit, Betrieb, Nachvollziehbarkeit und Abrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anfragedaten (bei Paket-/Kontaktanfragen) – zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5. Cookies

SBM Comply setzt ausschließlich technisch notwendige Cookies, die für Anmeldung und Sitzungsverwaltung erforderlich sind (§ 25 Abs. 2 Nr. 2 TTDSG). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Eine Einwilligung ist hierfür nicht erforderlich.

6. Auftragsverarbeiter und Empfänger

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• 47Nord Media GmbH – technischer Betrieb, Hosting, Support (EU/EWR).
• Supabase – Datenbank-, Authentifizierungs- und Speicherinfrastruktur (EU-Region).
• Plus Five Five, Inc. (Resend), San Francisco, USA– Versand von Transaktions- und Einladungs-E-Mails. Übermittelt werden Name und E-Mail-Adresse der Empfängerinnen und Empfänger sowie der Nachrichteninhalt. Die Verarbeitung findet auch in den USA und damit in einem Drittland statt; sie stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie auf die Zertifizierung des Anbieters nach dem EU-U.S. Data Privacy Framework.
• Amazon Web Services EMEA SARL, Luxemburg – Rechen- und Speicherinfrastruktur für Betrieb und Datenbank; die genutzten Rechenzentren liegen in der Region Frankfurt am Main (EU).
• Anthropic (für Kunden in der EU: Anthropic Ireland Limited, Dublin; Modellbetrieb durch Anthropic PBC, San Francisco, USA) – KI-gestützte Aufbereitung von Inhalten (Entwürfe für Richtlinien und Meldungen, Assistenzfunktionen). Übermittelt werden dabei die für die jeweilige Funktion erforderlichen Angaben aus Ihren Fragebogenantworten, Ihren Stammdaten und – soweit einschlägig – Ihren Vorfallsbeschreibungen. Die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO; eine Nutzung der Inhalte zum Training der KI-Modelle findet nicht statt. Da die Verarbeitung in den USA und damit in einem Drittland stattfindet, stützt sich die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO(Module 2 bzw. 3 des Durchführungsbeschlusses (EU) 2021/914) nebst ergänzenden Schutzmaßnahmen.

Eine darüber hinausgehende Weitergabe an Dritte erfolgt nur, soweit eine gesetzliche Pflicht besteht oder Sie eingewilligt haben. Berufsgeheimnisse im Sinne des § 203 StGB werden besonders geschützt.

7. Optionale Evidence-Konnektoren

Sofern Sie freiwillig technische Konnektoren (z. B. Microsoft Entra ID) verbinden, ruft die Plattform in Ihrem Auftrag ausschließlich die zur Nachweisführung erforderlichen Konfigurations-/Statusdaten ab. Zugangstoken werden verschlüsselt gespeichert. Die Einrichtung ist optional und jederzeit widerrufbar.

8. Speicherdauer, Kündigung und Löschung

Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungs- oder berufsrechtlichen Nachweispflichten entgegenstehen. Nach dem Ende des Vertrags gilt konkret:

• 30 Tage Nur-Lesen-Zugriff. Ihr Zugang wird nicht sofort gesperrt, sondern auf Lesen umgestellt, damit Sie Ihre Dokumentation exportieren können (Art. 20 DSGVO). Neue Eingaben sind nicht mehr möglich.
• Export. Sie können Ihre Dokumentation jederzeit selbst als Audit-Pack exportieren – auch während des Nur-Lesen-Zeitraums.
• Nach Ablauf der Karenz. Ihr Zugang wird gesperrt. Die Änderungshistorie wird anonymisiert statt hart gelöscht: der Personenbezug entfällt (Art. 17 DSGVO, Erwägungsgrund 26), die prüfbare Audit-Spur bleibt in ihrer Unveränderlichkeit erhalten. Die übrige Dokumentation wird gesperrt aufbewahrt, solange gesetzliche oder berufsrechtliche Pflichten bestehen (siehe nächster Punkt), und nach Ablauf der Fristen gelöscht. Eine vollständige Löschung vor Fristablauf nehmen wir auf Ihr Verlangen nach Art. 17 DSGVO vor, soweit keine Aufbewahrungspflicht entgegensteht; der Vorgang wird mit Nachweis protokolliert.
• Vorrang gesetzlicher Pflichten. Wo Gesetz oder Berufsrecht zur Aufbewahrung verpflichten, wird gesperrt statt gelöscht (Art. 17 Abs. 3 lit. b DSGVO): Rechnungs- und Buchungsbelege acht Jahre, Bücher, Inventare und Jahresabschlüsse zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre (§ 257 HGB, § 147 AO); Prüfungsunterlagen zu bereits erteilten Bescheinigungen nach den berufsrechtlichen Fristen der Kanzlei. Erst nach Ablauf der jeweiligen Frist erfolgt die Löschung.

Die Kündigung können Sie in Ihrem Konto unter „Einstellungen → Vertrag & Kündigung“ in Textform erklären; der Eingang wird mit Zeitstempel dokumentiert. Vertragslaufzeit und Kündigungsfrist ergeben sich aus Ihrem Vertrag mit der Kanzlei.

9. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20);
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zur Ausübung genügt eine Mitteilung an den oben genannten Verantwortlichen. Soweit Ihre Daten von einem Endkundenunternehmen in die Plattform eingestellt wurden, ist dieses Unternehmen Verantwortlicher; wir leiten Ihr Anliegen in diesem Fall an die zuständige Stelle weiter.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder die Verarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 4. August 2026. Vor der endgültigen Veröffentlichung durch die Kanzlei zu bestätigen.