Datenschutzerklärung

Stand: 4. August 2026

Diese Erklärung beschreibt, was bei der Nutzung von FileDock tatsächlich passiert. Sie nennt Speicherorte, Fristen und Dienstleister konkret. Wenn Sie den technischen Ablauf Schritt für Schritt nachvollziehen möchten, finden Sie ihn unter Datenfluss im Detail.

1. Verantwortlicher

Ein Datenschutzbeauftragter ist nicht bestellt, die Voraussetzungen des Art. 37 DSGVO liegen nicht vor. Für alle Anliegen zum Datenschutz genügt die oben genannte Adresse.

2. Zwei Rollen, die auseinandergehalten werden müssen

FileDock hat zwei Arten von Betroffenen, und die Rechtslage ist für beide unterschiedlich.

Kanzleien und deren Mitarbeiter

Für die Daten des Zugangs, also E-Mail-Adresse, Passwort, Organisation und Anmeldungen, sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Diese Erklärung gilt dafür unmittelbar.

Mandanten und deren Unterlagen

Die Dateien, die Mandanten hochladen, und die Kontaktdaten, die eine Kanzlei zu ihren Mandanten anlegt, verarbeiten wir ausschließlich im Auftrag der jeweiligen Kanzlei. Verantwortlicher ist dort die Kanzlei, wir sind Auftragsverarbeiter nach Art. 28 DSGVO. Wenn Sie Mandant sind und wissen möchten, was mit Ihren Unterlagen geschieht, ist Ihre Kanzlei die richtige Adresse. Die Grundlage dieser Verarbeitung steht in unserer Vereinbarung zur Auftragsverarbeitung.

3. Was wir verarbeiten, wozu und wie lange

3.1 Aufruf der Website

Beim Abruf dieser Seiten verarbeitet unser Webserver die technisch notwendigen Verbindungsdaten: IP-Adresse, Zeitpunkt, angeforderte Adresse, Statuscode, übertragene Datenmenge, Referrer und Browserkennung. Ohne diese Daten kann eine Seite nicht ausgeliefert werden.

• Zweck: Auslieferung der Seite, Betriebssicherheit, Abwehr von Angriffen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am sicheren Betrieb
• Speicherdauer: 14 Tage, danach automatische Löschung

Wir setzen kein Tracking ein, keine Analysewerkzeuge, keine Werbenetzwerke und keine Einwilligungsbanner, weil es nichts gibt, wofür eine Einwilligung nötig wäre. Es werden keine Cookies gesetzt. Schriften und Symbole liegen auf unserem eigenen Server, es werden keine Inhalte von Dritten nachgeladen.

3.2 Zugang für Kanzleien

Bei der Registrierung verarbeiten wir E-Mail-Adresse, Passwort und den Namen der Organisation. Das Passwort speichern wir nicht im Klartext, sondern als kryptografischen Hashwert.

• Zweck: Bereitstellung des Zugangs, Erfüllung des Nutzungsvertrags
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung
• Speicherdauer: für die Dauer des Vertrags, danach Löschung binnen 30 Tagen

3.3 Anmeldungen

Zu jeder Anmeldung speichern wir den Zeitpunkt, die IP-Adresse und die Browserkennung. Das ist eine bewusste Entscheidung: eine Kanzlei muss im Streitfall nachvollziehen können, wer wann Zugriff hatte, und ein Protokoll ohne diese Angaben wäre dafür wertlos.

• Zweck: Nachvollziehbarkeit von Zugriffen, Missbrauchserkennung
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO
• Speicherdauer: 90 Tage, danach automatische Löschung

3.4 Hochgeladene Unterlagen

Dateien werden bereits im Browser des Mandanten verschlüsselt, bevor sie übertragen werden, und liegen ausschließlich verschlüsselt im Speicher. Der Schlüssel liegt getrennt von den Daten. Weder wir noch unser Hoster können den Inhalt einer Datei lesen. Was wir sehen, sind Dateiname, Größe und Zeitpunkt.

• Zweck: Durchführung der beauftragten Übermittlung
• Rechtsgrundlage: Art. 28 DSGVO im Verhältnis zur Kanzlei, für die Kanzlei selbst regelmäßig Art. 6 Abs. 1 lit. b oder lit. c DSGVO
• Speicherdauer: die von der Kanzlei eingestellte Aufbewahrungsfrist, höchstens die im gebuchten Paket zulässige Dauer. Nach Ablauf löscht ein automatischer Job zuerst die Datei im Objektspeicher und dann den Datenbankeintrag. Eine gelöschte Datei ist auch aus Sicherungen nicht wiederherstellbar.

3.5 Mandantenstammdaten

Kanzleien legen zu ihren Mandanten einen Namen und eine E-Mail-Adresse an, um Anfragen zuordnen und versenden zu können. Diese Daten verarbeiten wir ausschließlich weisungsgebunden für die Kanzlei und löschen sie, wenn die Kanzlei den Mandanten löscht oder der Vertrag endet.

3.6 E-Mail-Versand

Wir versenden Bestätigungscodes, Einladungen, Passwortcodes, Benachrichtigungen an Kanzleien über eingegangene Unterlagen sowie Erinnerungen an Mandanten, deren Frist bald abläuft. Dafür wird die E-Mail-Adresse an unseren Versanddienstleister übergeben. Unsere E-Mails enthalten keine Zählpixel und keine nachverfolgten Links. Ob eine E-Mail geöffnet wurde, wissen wir nicht.

Eine Erinnerung geht höchstens einmal je Anfrage hinaus und unterbleibt, sobald etwas eingegangen ist.

3.7 Push-Benachrichtigungen

Mitarbeiter einer Kanzlei können auf einzelnen Geräten freiwillig Push-Benachrichtigungen einschalten. Wir speichern dafür die Adresse, die der Browser vergibt, zwei zugehörige Schlüssel und die Browserkennung. Die Zustellung läuft technisch über den Push-Dienst des jeweiligen Browserherstellers, bei Chrome also über Google Ireland Limited, bei Firefox über Mozilla, bei Safari über Apple.

Der Inhalt der Nachricht ist dabei so verschlüsselt, dass nur das Gerät des Empfängers ihn lesen kann. Der Push-Dienst erfährt, dass eine Nachricht zugestellt wurde, aber nicht welche. Wir übermitteln in einer Push-Nachricht ausdrücklich keine Mandantennamen und keine Dateinamen, sondern nur den Hinweis, dass etwas eingegangen ist.

• Zweck: unmittelbare Benachrichtigung über eingegangene Unterlagen
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, Einwilligung durch das Einschalten
• Speicherdauer: bis zum Abschalten im Dashboard oder im Browser. Meldet der Push-Dienst, dass das Gerät nicht mehr erreichbar ist, löschen wir den Eintrag von selbst.

3.8 Support

Schreiben Sie uns, verarbeiten wir Ihre Nachricht samt Adresse zur Bearbeitung des Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichen Anliegen, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, sobald sie nicht mehr benötigt wird, spätestens nach drei Jahren, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

4. Empfänger und Auftragsverarbeiter

Wir geben Daten nur an die folgenden Empfänger weiter, und mit jedem besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Server, Datenbank und sämtliche hochgeladenen Unterlagen liegen ausschließlich in Deutschland. Eine Übermittlung in ein Drittland findet nicht statt. Soweit ein Dienstleister zu einem Konzern mit Sitz außerhalb der EU gehört, ist unser Vertragspartner die europäische Gesellschaft, und es gelten ergänzend die Standardvertragsklauseln der Europäischen Kommission.

5. Berufsgeheimnis

Steuerberater, Rechtsanwälte und Wirtschaftsprüfer unterliegen § 203 StGB beziehungsweise den entsprechenden österreichischen Vorschriften. Wir fallen als Dienstleister in den Schutzbereich dieser Normen. Der Zugriff auf Inhalte ist deshalb technisch ausgeschlossen und nicht bloß organisatorisch untersagt: die Verschlüsselung findet im Browser des Mandanten statt, und unsere Betriebswerkzeuge kennen keinen Weg, eine Datei zu entschlüsseln. Alle Personen, die auf unserer Seite mit dem Betrieb befasst sind, sind zur Verschwiegenheit verpflichtet.

6. Ihre Rechte

Ihnen stehen uns gegenüber die folgenden Rechte zu:

• Auskunft über die zu Ihnen gespeicherten Daten, Art. 15 DSGVO
• Berichtigung unrichtiger Daten, Art. 16 DSGVO
• Löschung, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art. 18 DSGVO
• Datenübertragbarkeit, Art. 20 DSGVO
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, Art. 21 DSGVO

Sind Sie Mandant einer Kanzlei, richten Sie diese Rechte bitte an Ihre Kanzlei. Wir dürfen dort nur auf deren Weisung tätig werden, leiten Ihr Anliegen aber unverzüglich weiter, wenn es bei uns eingeht.

Sie haben außerdem das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist die österreichische Datenschutzbehörde, Barichgasse 40 bis 42, 1030 Wien.

7. Sicherheit

Die technischen und organisatorischen Maßnahmen sind in Anlage 2 der Vereinbarung zur Auftragsverarbeitung vollständig beschrieben. Die wichtigsten in Kürze: Verschlüsselung der Dateien mit AES-256-GCM im Browser des Mandanten, TLS für jede Verbindung, Trennung der Kanzleien auf Datenbankebene, Zugangslinks mit 256 Bit Entropie, die nur als Hashwert gespeichert werden, und automatische Löschung nach Ablauf der Aufbewahrungsfrist.

8. Änderungen

Ändert sich der Dienst, ändert sich diese Erklärung mit. Das oben genannte Datum sagt Ihnen, welchen Stand Sie gerade lesen. Wesentliche Änderungen kündigen wir Kanzleien mit angemessener Frist per E-Mail an.