Erfüllt Valoro § 43e BRAO?

Die drei Pflichtinhalte des § 43e Abs. 3 BRAO, Verschwiegenheitsverpflichtung mit Belehrung, Beschränkung auf das Erforderliche und Regelung der Unterauftragnehmer, sind in einer eigenen Verschwiegenheitsvereinbarung in Textform geregelt. Die sorgfältige Auswahl nach Absatz 2 bleibt Aufgabe der Kanzlei; die Unterlagen dafür stellen wir vor dem ersten Mandat bereit.

Gilt das auch für Notariate?

Ja. § 26a BNotO stellt an Dienstleister von Notarinnen und Notaren dieselben Anforderungen wie § 43e BRAO. Die Verschwiegenheitsvereinbarung nimmt beide Normen auf.

Datenbank und Dateispeicher liegen in Irland, die Anwendung läuft in Frankfurt ohne dauerhafte Speicherung, die KI-Verarbeitung erfolgt über AWS Bedrock in der EU. Die Websuche für die Marktrecherche läuft bei einem US-Anbieter, erhält aber nur generische Suchbegriffe ohne Namen oder Aktenbezug.

Lernt die KI aus unseren Mandatsdaten?

Nein. Weder wir noch der KI-Dienst nach seinem Anbieterstand verwenden Kundendaten zum Training. Das ist in den AGB in § 5 Abs. 4 festgehalten.

Braucht die Mandantschaft ein eigenes Konto?

Nein. Die Kanzlei versendet einen Einladungslink, der standardmäßig 90 Tage gilt und jederzeit widerrufbar ist. Die Mandantschaft trägt per Smartphone ein und sieht dabei nichts aus der Akte.

Ist Valoro zertifiziert?

Nein. Valoro trägt kein ISO-27001-Zertifikat und kein Prüfsiegel. Alle Angaben auf dieser Seite sind eine Selbstauskunft, die durch Verträge und Dokumentation belegt ist und von der Kanzlei geprüft werden kann.

Sicherheit und Berufsrecht

Was Kanzleien und Notariate prüfen müssen. Und was Valoro darauf antwortet.

Software darf ins Mandat, wenn sie die Fragen beantwortet, die § 43e BRAO, § 26a BNotO, Art. 28 DSGVO und § 203 StGB stellen. Sechs Prüfpunkte, sechs Antworten, alle mit Fundstelle. Und das, was wir ausdrücklich nicht behaupten.

Die kurze Antwort

Valoro wird als Auftragsverarbeitung nach Art. 28 DSGVO und § 203 Abs. 3 StGB erbracht. Vor dem ersten Mandat schließt die Kanzlei mit dem Anbieter einen Auftragsverarbeitungsvertrag und eine Verschwiegenheitsvereinbarung nach § 43e BRAO und § 26a BNotO. Datenbank und Dateien liegen in der EU, die KI-Verarbeitung läuft in der EU, Kundendaten werden nicht zum Training verwendet, und feste Löschfristen laufen automatisch. Eine Zertifizierung gibt es nicht; alle Angaben sind eine belegte Selbstauskunft, die die Kanzlei selbst prüfen kann.

15 Minuten Termin buchen AGB lesen

Sechs Prüfpunkte, sechs Antworten

Die Liste ist aus dem Berufsrecht und der DSGVO abgeleitet und gilt für jedes Werkzeug in der Kanzlei. Hier steht zu jedem Punkt, wie Valoro ihn erfüllt. Stand September 2026.

Verschwiegenheit, vertraglich: Eigene Verschwiegenheitsvereinbarung nach § 43e BRAO und § 26a BNotO: Belehrung nach § 203 StGB, Beschränkung auf das Erforderliche, Regelung der Unterauftragnehmer. Die Mitarbeitenden des Anbieters sind zur Verschwiegenheit verpflichtet.
Auftragsverarbeitung: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit technisch-organisatorischen Maßnahmen, Datenfluss-Konzept und Subprozessoren-Übersicht. Wird geschlossen, bevor mandatsbezogene Daten verarbeitet werden.
Datenstandort: Datenbank und Dateispeicher in Irland (EU). Anwendungsserver in Frankfurt ohne dauerhafte Speicherung. KI-Verarbeitung über AWS Bedrock in der EU. Alle Beteiligten sind mit Ort und Zweck offengelegt.
KI-Umgang: Kein Training mit Kundendaten. Für die Marktwert-Recherche werden keine Namen, Beteiligten oder Aktenzeichen übermittelt. KI-Ausgaben sind im Bericht gekennzeichnet. Nach unserer Einschätzung kein Hochrisiko-KI-System nach Anhang III der KI-Verordnung.
Zugriff: Zwei-Faktor-Authentifizierung für alle Konten verpflichtend. Vier abgestufte Rollen bis „nur lesen". Mandantentrennung durch Zugriffsregeln der Datenbank. Die Mandantschaft trägt über einen befristeten, widerrufbaren Einladungslink ein, ohne Konto und ohne Einblick in die Akte.
Löschung: Gelöschte Mandate und Positionen: 30 Tage Karenz, dann täglicher automatischer Löschlauf. Importdokumente: 30 Tage nach Abschluss. Vertragsende: Rückgabe oder Löschung, spätestens nach 90 Tagen.

Wer beteiligt ist

§ 43e BRAO verlangt, dass der Vertrag festlegt, ob weitere Stellen herangezogen werden. Deshalb steht hier die vollständige Liste, mit Zweck und Ort.

Unternehmen	Zweck	Ort
Supabase	Datenbank, Dateispeicher, Anmeldung	Irland (EU)
Vercel	Betrieb der Anwendung, keine Speicherung	Frankfurt (EU)
AWS Bedrock	KI-Verarbeitung: Fotos, Gegenstandsangaben, hochgeladene Dokumente	EU-Inferenzprofil, Aufruf Frankfurt
Brave Search	Websuche zur Marktrecherche, nur generische Suchbegriffe	USA
FreeTSA	RFC-3161-Zeitstempel, erhält nur die Prüfsumme des PDF	EU
Strato	System-E-Mails	Deutschland

Ein Fehler-Monitoring bei einem externen Anbieter ist nicht aktiv. Fehler werden in der eigenen Datenbank geführt und vorher bereinigt. Die Zeitstempelstelle erhält nur die Prüfsumme des Berichts, nie den Inhalt.

Was wir nicht behaupten

Eine Selbstauskunft ist nur so viel wert wie ihre Grenzen. Diese fünf Punkte gehören vor der Einführung auf den Tisch.

Keine Zertifizierung: Valoro trägt kein ISO-27001-Zertifikat und kein Prüfsiegel. Diese Seite ist eine Selbstauskunft des Anbieters, belegt durch Verträge und Dokumentation, nicht durch eine Prüfstelle.
Kein Ersatz für die eigene Prüfung: § 43e Abs. 2 BRAO verlangt die sorgfältige Auswahl durch die Kanzlei selbst und eine laufende Kontrolle. Wir liefern die Unterlagen; die Entscheidung bleibt bei der Kanzlei.
Dienstleister mit Sitz außerhalb der EU: Die Datenhaltung erfolgt in der EU. Mehrere der beteiligten Unternehmen haben ihren Sitz in den USA oder gehören zu US-Konzernen. Die Websuche läuft bei einem US-Anbieter und erhält nur generische Suchbegriffe ohne Personenbezug.
Verschlüsselung auf Datenträgerebene: Transport und Ruhezustand sind verschlüsselt (TLS, AES-256). Eine zusätzliche Verschlüsselung einzelner Felder innerhalb der Anwendung gibt es nicht.
Dokumente gehen im Ganzen an die KI: Beim Import bestehender Verzeichnisse, beim Kontoauszug-Import und beim Auslesen von Belegen wird das Dokument vollständig an den KI-Dienst in der EU übermittelt. Die Kanzlei entscheidet je Dokument, ob sie das nutzt.

Unterlagen für die Prüfung

Jede Kanzlei erhält vor dem ersten Mandat ein Paket, das die sechs Prüfpunkte abdeckt. Eine Unterschrift genügt.

Vertragsdeckblatt: Eine Unterschrift für das gesamte Paket.
Allgemeine Geschäftsbedingungen: Öffentlich unter valoro-app.de/agb, mit Leistungsbeschreibung.
Auftragsverarbeitungsvertrag: Mit technisch-organisatorischen Maßnahmen, Datenfluss-Konzept und Subprozessoren-Übersicht.
Verschwiegenheitsvereinbarung: Nach § 43e BRAO und § 26a BNotO, mit Belehrung nach § 203 StGB.
KI-Verordnung: Einordnung des Systems mit Begründung.
Data Act: Angaben zur Rückgabe der Daten bei Vertragsende.

Vertiefend: die sechs Prüfpunkte im Beitrag, wie die Prüfung nach § 43e BRAO abläuft und wo Valoro im Vergleich der Wege steht.

Kanzleien und Notariate in Österreich und der Schweiz prüfen nach eigenem Berufsrecht: § 9 RAO und § 40 Abs 3 RL-BA 2015 beziehungsweise Art. 321 StGB, Art. 13 BGFA und das revidierte Datenschutzgesetz. Wie die sechs Prüfpunkte dort beantwortet werden, steht auf den Seiten Valoro in Österreich und Valoro in der Schweiz.

Häufige Fragen

Was Kanzleien und Notariate vor der Einführung typischerweise wissen wollen.