Datenschutzerklärung

Diese Erklärung informiert nach Art. 13 und 14 DSGVO über die Verarbeitung personenbezogener Daten bei der Nutzung der Plattform „SBM Comply".

1. Verantwortlicher

Anschrift für alle nachstehend genannten Verarbeitungen der Kanzlei:
Schnetz · Buchmann · Michele GmbH Wirtschaftsprüfungsgesellschaft, Gerberstraße 1, 88212 Ravensburg.
E-Mail: info@sbm-kanzlei.de · Telefon: (0751) 5070-0.

Wer Verantwortlicher ist, hängt davon ab, um welche Daten es geht. In dieser Plattform sind es drei Bereiche, und sie sind bewusst getrennt — eine pauschale Antwort wäre für mindestens einen der drei falsch:

• Konto-, Vertrags- und Abrechnungsdaten (Name, dienstliche Kontaktdaten, Rolle, Anfrage- und Vertragsdaten, technische Protokolldaten). Hierfür ist die Kanzlei Verantwortliche – sie verfolgt eigene Zwecke (Vertragsanbahnung, Vertragsdurchführung, Abrechnung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Inhalte des Mandanten (Antworten im Fragebogen, hochgeladene Nachweise, Lieferanten- und Ansprechpartnerdaten, Vorfallmeldungen, Angaben zu KI-Systemen). Hierfür ist der Mandant Verantwortlicher: Es sind seine Beschäftigten und Geschäftspartner, und er bestimmt Zweck und Mittel. Die Kanzlei verarbeitet diese Daten in seinem Auftrag (Art. 28 DSGVO); 47Nord ist insoweit Unterauftragsverarbeiterin.
• Prüfungs- und Bescheinigungsunterlagen. Führt die Kanzlei eine Prüfung durch und erteilt eine Konformitätsbestätigung, handelt sie als unabhängige Wirtschaftsprüfungsgesellschaft und nicht auf Weisung; Berufsrecht gibt ihr eigene Dokumentations- und Aufbewahrungspflichten vor. Insoweit ist die Kanzlei Verantwortliche (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit der Wirtschaftsprüferordnung). Das ist der Grund, weshalb ein Löschverlangen diese Unterlagen nicht erreicht, solange die berufsrechtlichen Fristen laufen (siehe Ziffer 8).

Die technische Verarbeitung erfolgt in allen drei Bereichen durch die 47Nord Media GmbH, Stuttgart – als Auftragsverarbeiterin der Kanzlei in den Bereichen 1 und 3, als Unterauftragsverarbeiterin im Bereich 2.

Diese Zuordnung ist eine rechtliche Einschätzung der 47Nord Media GmbH vom 23. September 2026; die Bestätigung durch die Kanzlei steht aus. Sie löst einen Widerspruch auf, der bis dahin zwischen dieser Erklärung und § 5 des Lizenzvertrages bestand.

2. Datenschutzbeauftragter

Datenschutzbeauftragter ist Sebastian Wanner. Sie erreichen ihn unter der unter Ziffer 1 genannten Anschrift mit dem Zusatz „Datenschutzbeauftragter", per E-Mail an info@sbm-kanzlei.de oder telefonisch unter (0751) 5070-0.

3. Hosting und Verarbeitungsort

Die Plattform wird in Rechenzentren innerhalb der Europäischen Union / des EWR betrieben. Datenbank, Authentifizierung und Speicher werden über Supabase (EU-Region) bereitgestellt. Eine Verarbeitung außerhalb der EU/des EWR findet nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt (z. B. Angemessenheitsbeschluss oder Standardvertragsklauseln).

4. Verarbeitete Daten und Zwecke

• Konto-/Stammdaten (Name, dienstliche Kontaktdaten, Unternehmenszugehörigkeit, Rolle) – zur Bereitstellung des Nutzerkontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Authentifizierungsdaten (Anmeldedaten, Passwort-Hashes, Sitzungs-/Sicherheitsparameter) – zur sicheren Anmeldung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Inhalts-/Nachweisdaten (in die Plattform eingestellte Compliance-, Unternehmens-, Richtlinien- und Nachweisdokumente) – zur Erbringung der vertraglich vereinbarten Leistungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Protokoll-/Nutzungsdaten (Zeitstempel, Aktivitäts- und Audit-Trail, technische Logdaten, ggf. IP-Adresse) – für Sicherheit, Betrieb, Nachvollziehbarkeit und Abrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Anfragedaten (bei Paket-/Kontaktanfragen) – zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

5. Cookies

SBM Comply setzt ausschließlich technisch notwendige Cookies, die für Anmeldung und Sitzungsverwaltung erforderlich sind (§ 25 Abs. 2 Nr. 2 TTDSG). Es werden keine Tracking-, Analyse- oder Marketing-Cookies eingesetzt. Eine Einwilligung ist hierfür nicht erforderlich.

6. Auftragsverarbeiter und Empfänger

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein:

• 47Nord Media GmbH – technischer Betrieb, Hosting, Support (EU/EWR).
• Supabase – Datenbank-, Authentifizierungs- und Speicherinfrastruktur (EU-Region).
• Plus Five Five, Inc. (Resend), San Francisco, USA – Versand von Transaktions- und Einladungs-E-Mails. Übermittelt werden Name und E-Mail-Adresse der Empfängerinnen und Empfänger sowie der Nachrichteninhalt. Die Verarbeitung findet auch in den USA und damit in einem Drittland statt; sie stützt sich auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO sowie auf die Zertifizierung des Anbieters nach dem EU-U.S. Data Privacy Framework.
• Amazon Web Services EMEA SARL, Luxemburg – Rechen- und Speicherinfrastruktur für Betrieb und Datenbank; die genutzten Rechenzentren liegen in der Region Frankfurt am Main (EU).
• Anthropic (für Kunden in der EU: Anthropic Ireland Limited, Dublin; Modellbetrieb durch Anthropic PBC, San Francisco, USA) – KI-gestützte Aufbereitung von Inhalten (Entwürfe für Richtlinien und Meldungen, Assistenzfunktionen). Übermittelt werden dabei die für die jeweilige Funktion erforderlichen Angaben aus Ihren Fragebogenantworten, Ihren Stammdaten und – soweit einschlägig – Ihren Vorfallsbeschreibungen. Die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO; eine Nutzung der Inhalte zum Training der KI-Modelle findet nicht statt. Da die Verarbeitung in den USA und damit in einem Drittland stattfindet, stützt sich die Übermittlung auf Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Module 2 bzw. 3 des Durchführungsbeschlusses (EU) 2021/914) nebst ergänzenden Schutzmaßnahmen.

Eine darüber hinausgehende Weitergabe an Dritte erfolgt nur, soweit eine gesetzliche Pflicht besteht oder Sie eingewilligt haben. Berufsgeheimnisse im Sinne des § 203 StGB werden besonders geschützt.

7. Optionale Evidence-Konnektoren

Sofern Sie freiwillig technische Konnektoren (z. B. Microsoft Entra ID) verbinden, ruft die Plattform in Ihrem Auftrag ausschließlich die zur Nachweisführung erforderlichen Konfigurations-/Statusdaten ab. Zugangstoken werden verschlüsselt gespeichert. Die Einrichtung ist optional und jederzeit widerrufbar.

8. Speicherdauer, Kündigung und Löschung

Personenbezogene Daten werden gelöscht, sobald sie für die genannten Zwecke nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungs- oder berufsrechtlichen Nachweispflichten entgegenstehen. Nach dem Ende des Vertrags gilt konkret:

• 30 Tage Nur-Lesen-Zugriff. Ihr Zugang wird nicht sofort gesperrt, sondern auf Lesen umgestellt, damit Sie Ihre Dokumentation exportieren können (Art. 20 DSGVO). Neue Eingaben sind nicht mehr möglich.
• Export. Sie können Ihre Dokumentation jederzeit selbst als Audit-Pack exportieren – auch während des Nur-Lesen-Zeitraums.
• Nach Ablauf der Karenz. Ihr Zugang wird gesperrt. Die Änderungshistorie wird anonymisiert statt hart gelöscht: der Personenbezug entfällt (Art. 17 DSGVO, Erwägungsgrund 26), die prüfbare Audit-Spur bleibt in ihrer Unveränderlichkeit erhalten. Die übrige Dokumentation wird gesperrt aufbewahrt, solange gesetzliche oder berufsrechtliche Pflichten bestehen (siehe nächster Punkt), und nach Ablauf der Fristen gelöscht. Eine vollständige Löschung vor Fristablauf nehmen wir auf Ihr Verlangen nach Art. 17 DSGVO vor, soweit keine Aufbewahrungspflicht entgegensteht; der Vorgang wird mit Nachweis protokolliert.
• Vorrang gesetzlicher Pflichten. Wo Gesetz oder Berufsrecht zur Aufbewahrung verpflichten, wird gesperrt statt gelöscht (Art. 17 Abs. 3 lit. b DSGVO): Rechnungs- und Buchungsbelege acht Jahre, Bücher, Inventare und Jahresabschlüsse zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre (§ 257 HGB, § 147 AO); Prüfungsunterlagen zu bereits erteilten Bescheinigungen nach den berufsrechtlichen Fristen der Kanzlei. Erst nach Ablauf der jeweiligen Frist erfolgt die Löschung.

Die Kündigung können Sie in Ihrem Konto unter „Einstellungen → Vertrag & Kündigung“ in Textform erklären; der Eingang wird mit Zeitstempel dokumentiert. Vertragslaufzeit und Kündigungsfrist ergeben sich aus Ihrem Vertrag mit der Kanzlei.

9. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18);
• Datenübertragbarkeit (Art. 20);
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zur Ausübung genügt eine Mitteilung an den oben genannten Verantwortlichen. Soweit Ihre Daten von einem Endkundenunternehmen in die Plattform eingestellt wurden, ist dieses Unternehmen Verantwortlicher; wir leiten Ihr Anliegen in diesem Fall an die zuständige Stelle weiter.

10. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder die Verarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 23. September 2026. Vor der endgültigen Veröffentlichung durch die Kanzlei zu bestätigen.