Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Webseite besuchen, an einer Demo-Aktion teilnehmen oder die Plattform Zolltarif-Finder nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Ausführliche Informationen zum Thema Datenschutz entnehmen Sie unserer unter diesem Text aufgeführten Datenschutzerklärung.

Datenerfassung auf dieser Webseite

Wer ist verantwortlich für die Datenerfassung auf dieser Webseite?

Die Datenverarbeitung auf dieser Webseite erfolgt durch den Webseitebetreiber. Dessen Kontaktdaten können Sie dem Abschnitt „Hinweis zur Verantwortlichen Stelle“ in dieser Datenschutzerklärung entnehmen.

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen, z. B. im Kontaktformular, bei der Teilnahme an einer Demo-Aktion oder bei der Nutzung der Plattform.

Andere Daten werden automatisch beim Besuch der Webseite durch unsere IT-Systeme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem oder Uhrzeit des Seitenaufrufs). Die Erfassung dieser Daten erfolgt automatisch, sobald Sie diese Webseite betreten.

Wofür nutzen wir Ihre Daten?

Wir nutzen Ihre Daten, um die Webseite fehlerfrei bereitzustellen, Ihre Anfragen zu beantworten, Demo-Zugänge bereitzustellen sowie die Plattform Zolltarif-Finder für unsere Kunden zu betreiben und abzurechnen.

Welche Rechte haben Sie bezüglich Ihrer Daten?

Sie haben jederzeit das Recht, unentgeltlich Auskunft über Herkunft, Empfänger und Zweck Ihrer gespeicherten personenbezogenen Daten zu erhalten. Sie haben außerdem ein Recht, die Berichtigung oder Löschung dieser Daten zu verlangen. Wenn Sie eine Einwilligung zur Datenverarbeitung erteilt haben, können Sie diese Einwilligung jederzeit für die Zukunft widerrufen. Außerdem haben Sie das Recht, unter bestimmten Umständen die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Des Weiteren steht Ihnen ein Beschwerderecht bei der zuständigen Aufsichtsbehörde zu.

Hierzu sowie zu weiteren Fragen zum Thema Datenschutz können Sie sich jederzeit an uns wenden.

Keine Analyse- und Werbe-Tools

Wir setzen auf dieser Webseite und in der Plattform keine Analyse-, Tracking- oder Werbe-Tools ein. Schriftarten laden wir von unserem eigenen Server.

Welche Dienstleister wir für Hosting, E-Mail-Versand, KI-Verarbeitung und Fehlerüberwachung einsetzen, erläutern wir in den folgenden Abschnitten.

2. Hosting und Infrastruktur

Hetzner

Die Webseite und die Plattform werden auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in Rechenzentren in der EU betrieben. Auf diesen Servern werden alle Daten gespeichert, die auf der Webseite und in der Plattform anfallen, z. B. IP-Adressen, Konto- und Kommunikationsdaten sowie die Inhalte unserer Kunden.

Die zentralen Systeme der Plattform betreiben wir selbst auf diesen Servern: die Datenbank, den Dateispeicher für hochgeladene Dateien und Berichte, die Vektordatenbank für die Ähnlichkeitssuche, die Steuerung der Hintergrundverarbeitung, die Umwandlung von CAD-Dateien und die Erzeugung von PDF-Berichten. Für diese Komponenten setzen wir keine weiteren externen Anbieter ein.

Das Hosting erfolgt zur Vertragserfüllung gegenüber unseren potenziellen und bestehenden Kunden (Art. 6 Abs. 1 lit. b DSGVO) und im Interesse einer sicheren, schnellen und effizienten Bereitstellung unseres Angebots durch einen professionellen Anbieter (Art. 6 Abs. 1 lit. f DSGVO).

Die Hetzner Online GmbH wird Ihre Daten nur insoweit verarbeiten, wie dies zur Erfüllung ihrer Leistungspflichten erforderlich ist und unsere Weisungen in Bezug auf diese Daten befolgen. Weitere Informationen über die Verarbeitung von Daten durch die Nutzung von Hetzner finden Sie in der Datenschutzerklärung von Hetzner unter https://www.hetzner.com/de/legal/privacy-policy/.

Auftragsverarbeitung

Wir haben einen Vertrag über Auftragsverarbeitung (AVV) zur Nutzung des oben genannten Dienstes geschlossen. Hierbei handelt es sich um einen datenschutzrechtlich vorgeschriebenen Vertrag, der gewährleistet, dass dieser die personenbezogenen Daten unserer Webseitebesucher und Nutzer nur nach unseren Weisungen und unter Einhaltung der DSGVO verarbeitet.

3. Allgemeine Hinweise und Pflichtinformationen

Datenschutz

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung.

Wenn Sie diese Webseite oder die Plattform benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht.

Wir weisen darauf hin, dass die Datenübertragung im Internet (z. B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

Hinweis zur verantwortlichen Stelle

Die verantwortliche Stelle für die Datenverarbeitung auf dieser Webseite ist:

TC21 Ventures GmbH
Fraunhoferstraße 30
D-10587 Berlin

Telefon: +49 (0)211 1577760
E-Mail: info@zolltarif-finder.de

Verantwortliche Stelle ist die natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten (z. B. Namen, E-Mail-Adressen o. Ä.) entscheidet.

Speicherdauer

Soweit innerhalb dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Die konkreten Fristen für die Plattform finden Sie in den einzelnen Abschnitten und in der Übersicht in Abschnitt 9. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe.

Allgemeine Hinweise zu den Rechtsgrundlagen der Datenverarbeitung auf dieser Webseite

Sofern Sie in die Datenverarbeitung eingewilligt haben, verarbeiten wir Ihre personenbezogenen Daten auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. Art. 9 Abs. 2 lit. a DSGVO, sofern besondere Datenkategorien nach Art. 9 Abs. 1 DSGVO verarbeitet werden. Im Falle einer ausdrücklichen Einwilligung in die Übertragung personenbezogener Daten in Drittstaaten erfolgt die Datenverarbeitung außerdem auf Grundlage von Art. 49 Abs. 1 lit. a DSGVO. Sofern Sie in die Speicherung von Cookies oder in den Zugriff auf Informationen in Ihrem Endgerät eingewilligt haben, erfolgt die Datenverarbeitung zusätzlich auf Grundlage von § 25 Abs. 1 TDDDG. Die Einwilligung ist jederzeit widerrufbar. Sind Ihre Daten zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen erforderlich, verarbeiten wir Ihre Daten auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Des Weiteren verarbeiten wir Ihre Daten, sofern diese zur Erfüllung einer rechtlichen Verpflichtung erforderlich sind auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Datenverarbeitung kann ferner auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO erfolgen. Über die jeweils im Einzelfall einschlägigen Rechtsgrundlagen wird in den folgenden Absätzen dieser Datenschutzerklärung informiert.

Hinweis zur Datenübermittlung in Drittstaaten

Hosting und Speicherung der Daten erfolgen in der EU. Einige Dienstleister haben ihren Sitz in den USA oder gehören zu Unternehmensgruppen mit Sitz in den USA (Microsoft, Google, OpenAI, Anthropic, Perplexity, Sentry) oder setzen dort Unterauftragsverarbeiter ein. Für die KI-Verarbeitung setzen wir auch Anbieter ein, die Daten in den USA verarbeiten (siehe Abschnitt 7). Soweit dabei Daten in einen Staat außerhalb des EWR übermittelt werden oder ein Zugriff von dort nicht ausgeschlossen werden kann, stützen wir uns auf einen Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO), für die USA auf das EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist. Im Übrigen vereinbaren wir die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für die Schweiz besteht ein Angemessenheitsbeschluss.

Widerruf Ihrer Einwilligung zur Datenverarbeitung

Viele Datenverarbeitungsvorgänge sind nur mit Ihrer ausdrücklichen Einwilligung möglich. Sie können eine bereits erteilte Einwilligung jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt.

Widerspruchsrecht gegen die Datenerhebung in besonderen Fällen sowie gegen Direktwerbung (Art. 21 DSGVO)

WENN DIE DATENVERARBEITUNG AUF GRUNDLAGE VON ART. 6 ABS. 1 LIT. E ODER F DSGVO ERFOLGT, HABEN SIE JEDERZEIT DAS RECHT, AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, GEGEN DIE VERARBEITUNG IHRER PERSONENBEZOGENEN DATEN WIDERSPRUCH EINZULEGEN; DIES GILT AUCH FÜR EIN AUF DIESE BESTIMMUNGEN GESTÜTZTES PROFILING. DIE JEWEILIGE RECHTSGRUNDLAGE, AUF DENEN EINE VERARBEITUNG BERUHT, ENTNEHMEN SIE DIESER DATENSCHUTZERKLÄRUNG. WENN SIE WIDERSPRUCH EINLEGEN, WERDEN WIR IHRE BETROFFENEN PERSONENBEZOGENEN DATEN NICHT MEHR VERARBEITEN, ES SEI DENN, WIR KÖNNEN ZWINGENDE SCHUTZWÜRDIGE GRÜNDE FÜR DIE VERARBEITUNG NACHWEISEN, DIE IHRE INTERESSEN, RECHTE UND FREIHEITEN ÜBERWIEGEN ODER DIE VERARBEITUNG DIENT DER GELTENDMACHUNG, AUSÜBUNG ODER VERTEIDIGUNG VON RECHTSANSPRÜCHEN (WIDERSPRUCH NACH ART. 21 ABS. 1 DSGVO).

WERDEN IHRE PERSONENBEZOGENEN DATEN VERARBEITET, UM DIREKTWERBUNG ZU BETREIBEN, SO HABEN SIE DAS RECHT, JEDERZEIT WIDERSPRUCH GEGEN DIE VERARBEITUNG SIE BETREFFENDER PERSONENBEZOGENER DATEN ZUM ZWECKE DERARTIGER WERBUNG EINZULEGEN; DIES GILT AUCH FÜR DAS PROFILING, SOWEIT ES MIT SOLCHER DIREKTWERBUNG IN VERBINDUNG STEHT. WENN SIE WIDERSPRECHEN, WERDEN IHRE PERSONENBEZOGENEN DATEN ANSCHLIESSEND NICHT MEHR ZUM ZWECKE DER DIREKTWERBUNG VERWENDET (WIDERSPRUCH NACH ART. 21 ABS. 2 DSGVO).

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Im Falle von Verstößen gegen die DSGVO steht den Betroffenen ein Beschwerderecht bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat ihres gewöhnlichen Aufenthalts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes zu. Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe.

Recht auf Datenübertragbarkeit

Sie haben das Recht, Daten, die wir auf Grundlage Ihrer Einwilligung oder in Erfüllung eines Vertrags automatisiert verarbeiten, an sich oder an einen Dritten in einem gängigen, maschinenlesbaren Format aushändigen zu lassen. Sofern Sie die direkte Übertragung der Daten an einen anderen Verantwortlichen verlangen, erfolgt dies nur, soweit es technisch machbar ist.

Auskunft, Berichtigung und Löschung

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung und ggf. ein Recht auf Berichtigung oder Löschung dieser Daten. Hierzu sowie zu weiteren Fragen zum Thema personenbezogene Daten können Sie sich jederzeit an uns wenden.

Recht auf Einschränkung der Verarbeitung

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen. Hierzu können Sie sich jederzeit an uns wenden. Das Recht auf Einschränkung der Verarbeitung besteht in folgenden Fällen:

• Wenn Sie die Richtigkeit Ihrer bei uns gespeicherten personenbezogenen Daten bestreiten, benötigen wir in der Regel Zeit, um dies zu überprüfen. Für die Dauer der Prüfung haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Wenn die Verarbeitung Ihrer personenbezogenen Daten unrechtmäßig geschah/geschieht, können Sie statt der Löschung die Einschränkung der Datenverarbeitung verlangen.
• Wenn wir Ihre personenbezogenen Daten nicht mehr benötigen, Sie sie jedoch zur Ausübung, Verteidigung oder Geltendmachung von Rechtsansprüchen benötigen, haben Sie das Recht, statt der Löschung die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.
• Wenn Sie einen Widerspruch nach Art. 21 Abs. 1 DSGVO eingelegt haben, muss eine Abwägung zwischen Ihren und unseren Interessen vorgenommen werden. Solange noch nicht feststeht, wessen Interessen überwiegen, haben Sie das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen.

Wenn Sie die Verarbeitung Ihrer personenbezogenen Daten eingeschränkt haben, dürfen diese Daten, von ihrer Speicherung abgesehen, nur mit Ihrer Einwilligung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zum Schutz der Rechte einer anderen natürlichen oder juristischen Person oder aus Gründen eines wichtigen öffentlichen Interesses der Europäischen Union oder eines Mitgliedstaats verarbeitet werden.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte, wie zum Beispiel Bestellungen oder Anfragen, die Sie an uns als Seitenbetreiber senden, eine SSL- bzw. TLS-Verschlüsselung.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

Widerspruch gegen Werbe-E-Mails

Der Nutzung von im Rahmen der Impressumspflicht veröffentlichten Kontaktdaten zur Übersendung von nicht ausdrücklich angeforderter Werbung und Informationsmaterialien wird hiermit widersprochen. Die Betreiber der Seiten behalten sich ausdrücklich rechtliche Schritte im Falle der unverlangten Zusendung von Werbeinformationen, etwa durch Spam-E-Mails, vor.

4. Datenerfassung auf dieser Webseite

Cookies und lokaler Speicher

Wir verwenden ausschließlich technisch notwendige Cookies. Cookies zu Analyse- oder Werbezwecken setzen wir nicht ein, daher fragen wir keine Einwilligung ab. Die Speicherung erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG, die anschließende Verarbeitung auf Grundlage unseres berechtigten Interesses an einer technisch fehlerfreien Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO) bzw. zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir setzen folgende Cookies:

• Sitzungs-Cookie der Anmeldung: hält Sie nach dem Anmelden angemeldet, gültig für die Dauer der Sitzung (sieben Tage, bei Nutzung verlängert).
• „locale“: speichert die gewählte Sprache, ein Jahr.
• „has_session“: enthält nur den Hinweis, dass eine Anmeldung besteht, ohne Bezug zu Ihrer Person, ein Jahr.
• „tf_partner_demo“: steuert den Zugang zu einer Demo-Aktion, höchstens drei Stunden.

Darstellungseinstellungen der Plattform, z. B. Spaltenbreiten, speichern wir im lokalen Speicher Ihres Browsers. Diese Daten werden nicht an uns übermittelt. Sie können Cookies und lokalen Speicher in Ihren Browsereinstellungen jederzeit löschen. Ohne die notwendigen Cookies ist eine Anmeldung nicht möglich.

Server-Log-Dateien

Beim Aufruf der Webseite und der Plattform protokollieren unsere Server technische Angaben, z. B. Zeitpunkt, aufgerufene Adresse, Statuscode und Fehlermeldungen. Dabei kann auch Ihre IP-Adresse verarbeitet werden. Die Protokolle dienen der Sicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Sie werden fortlaufend überschrieben, sobald eine festgelegte Größe erreicht ist.

Kontaktformular

Im Kontaktformular erheben wir lediglich Ihre geschäftliche E-Mail-Adresse und Ihre Nachricht. Um zu prüfen, ob es sich um eine geschäftliche E-Mail-Adresse handelt, gleichen wir die Domain mit Listen von Freemail- und Wegwerf-Anbietern ab und fragen die Mailserver-Einträge (MX) der Domain ab. Ihre Anfrage wird nicht in der Plattform gespeichert, sondern über Brevo per E-Mail an unser Postfach weitergeleitet. Wir geben diese Daten nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie durch das Aktivieren der Einwilligungs-Checkbox vor dem Absenden erteilen. Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, eine formlose Mitteilung per E-Mail genügt. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt vom Widerruf unberührt. Sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist, erfolgt die Verarbeitung zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

Ihre Anfrage verbleibt in unserem Postfach, bis Sie uns zur Löschung auffordern, Ihre Einwilligung widerrufen oder der Zweck für die Speicherung entfällt, z. B. nach abgeschlossener Bearbeitung. Zwingende gesetzliche Bestimmungen, insbesondere Aufbewahrungsfristen, bleiben unberührt.

Anfrage per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung dieser Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In allen übrigen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Die Daten verbleiben bei uns, bis Sie uns zur Löschung auffordern oder der Zweck für die Datenspeicherung entfällt, z. B. nach abgeschlossener Bearbeitung Ihres Anliegens. Zwingende gesetzliche Bestimmungen, insbesondere gesetzliche Aufbewahrungsfristen, bleiben unberührt.

E-Mail-Versand über Brevo

Für den Versand von E-Mails nutzen wir den Dienst Brevo der Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland (nachfolgend „Brevo“). Darüber versenden wir insbesondere Einladungen, Links zum Festlegen eines Passworts, Benachrichtigungen der Plattform, Nachrichten zu Support-Anfragen, Aktionscodes für Demo-Aktionen und die Weiterleitung von Anfragen aus dem Kontaktformular an unser Postfach. Newsletter oder sonstige Werbe-E-Mails versenden wir nicht.

Dazu übermitteln wir die E-Mail-Adresse des Empfängers, soweit vorhanden den Namen, den Inhalt der E-Mail sowie technische Versand- und Zustellinformationen an Brevo. Brevo verarbeitet diese Daten in unserem Auftrag, um die E-Mail zu versenden, die Zustellung technisch abzusichern und Missbrauch des Versanddienstes zu verhindern.

Rechtsgrundlage ist die jeweilige Rechtsgrundlage der zugrunde liegenden Verarbeitung, insbesondere Art. 6 Abs. 1 lit. b DSGVO, sowie unser berechtigtes Interesse an einer zuverlässigen und sicheren Zustellung (Art. 6 Abs. 1 lit. f DSGVO). Wir haben mit Brevo einen Vertrag über Auftragsverarbeitung geschlossen. Weitere Informationen finden Sie in der Datenschutzerklärung von Brevo unter https://www.brevo.com/de/legal/privacypolicy/.

5. Nutzung der Plattform Zolltarif-Finder

Verantwortlichkeit

Die Plattform steht ausschließlich Unternehmen offen, mit denen wir einen Vertrag geschlossen haben. Eine freie Registrierung ist nicht möglich. Für die Verwaltung der Nutzerkonten, die Anmeldung, die Abrechnung, die Sicherheit der Plattform und den Support sind wir Verantwortlicher im Sinne der DSGVO.

Die Inhalte, die unsere Kunden in die Plattform eingeben oder hochladen (z. B. Artikellisten, Warenbeschreibungen, Dokumente, Bilder und CAD-Dateien), sowie die daraus erzeugten Ergebnisse verarbeiten wir im Auftrag des jeweiligen Kunden auf Grundlage eines Vertrags über Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlicher für diese Inhalte ist der Kunde. Anfragen zu diesen Inhalten richten Sie bitte zunächst an das Unternehmen, für das Sie die Plattform nutzen.

Einrichtung des Mandanten und Einladungen

Nachdem ein Kunde unser Angebot angenommen hat, richten wir für ihn einen eigenen, von anderen Kunden getrennten Mandanten ein und laden die vom Kunden benannten Administratoren per E-Mail ein. Weitere Nutzer laden die Administratoren des Kunden selbst ein. Erhält ein Kunde den Zugang über einen Vertriebspartner, übermittelt uns dieser die zur Einrichtung erforderlichen Angaben (Name und E-Mail-Adresse der Ansprechperson).

Für eine Einladung verarbeiten wir die E-Mail-Adresse der eingeladenen Person, die vorgesehene Rolle, den Namen der einladenden Person, den Namen des Mandanten und den Zeitpunkt der Einladung. Die Einladungs-E-Mail enthält einen persönlichen Link, der sieben Tage gültig ist. Legen wir ein Konto direkt an, erhalten Sie stattdessen einen Link zum Festlegen Ihres Passworts, der 72 Stunden gültig ist. Von diesem Link speichern wir nur einen Hashwert, den wir nach Ablauf der Gültigkeit täglich automatisch löschen. Einladungen löschen wir 30 Tage nach Ablauf ihrer Gültigkeit automatisch, unabhängig davon, ob sie angenommen wurden. Die Einladung wird im Änderungsprotokoll des Mandanten vermerkt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind. Im Übrigen beruht die Verarbeitung auf unserem berechtigten Interesse und dem unseres Kunden an der Bereitstellung der vereinbarten Zugänge (Art. 6 Abs. 1 lit. f DSGVO).

Nutzerkonto

Zu Ihrem Nutzerkonto speichern wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Rolle und Mandantenzugehörigkeit, den Status des Kontos, den Zeitpunkt Ihrer letzten Anmeldung sowie Ihre Einstellungen, z. B. Sprache und E-Mail-Benachrichtigungen. Ein Profilbild speichern wir nicht. Darstellungseinstellungen wie Spaltenbreiten oder Ihr Avatar (Initialen und Farbe) werden nur im lokalen Speicher Ihres Browsers abgelegt.

Wir speichern diese Daten, solange Ihr Konto besteht. Wird Ihr Konto oder der Mandant Ihres Unternehmens gelöscht, löschen wir die Kontodaten. Einträge im Änderungsprotokoll, die auf Ihr Konto verweisen, bleiben für die dort genannten Fristen erhalten.

Anmeldung

Je nach Einrichtung Ihres Unternehmens melden Sie sich mit E-Mail-Adresse und Passwort, mit Ihrem Microsoft-Konto („Mit Microsoft anmelden“) oder über das Single Sign-on Ihres Unternehmens (OpenID Connect oder SAML) an.

• Passwort: Wir speichern Ihr Passwort ausschließlich als kryptografischen Hashwert. Beim Festlegen eines Passworts prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu übermitteln wir nur die ersten fünf Zeichen eines Hashwerts an den Dienst Pwned Passwords (Have I Been Pwned). Ihr Passwort und Ihre E-Mail-Adresse werden dabei nicht übermittelt.
• Microsoft: Bei der Anmeldung mit Microsoft werden Sie zu Microsoft Entra ID weitergeleitet. Wir erhalten nur die für die Anmeldung erforderlichen Angaben: Ihren Namen, Ihre E-Mail-Adresse, eine eindeutige Kennung Ihres Microsoft-Kontos und die von Microsoft ausgestellten Anmelde-Token. Ihr Profilbild und weitere Daten aus Ihrem Microsoft-Konto rufen wir nicht ab. Über die Domain Ihrer E-Mail-Adresse ordnen wir Sie dem Mandanten Ihres Unternehmens zu. Anmeldungen ohne zugehörigen Mandanten werden abgelehnt.
• Single Sign-on: Hat Ihr Unternehmen einen eigenen Identitätsanbieter angebunden, erhalten wir von diesem Ihren Namen, Ihre E-Mail-Adresse und eine eindeutige Kennung. Name und E-Mail-Adresse werden bei jeder Anmeldung aktualisiert.

Für die Anmeldung bei Microsoft oder beim Identitätsanbieter Ihres Unternehmens gelten deren Datenschutzbestimmungen. Das Microsoft-Konto wird von Ihrem Unternehmen bei Microsoft betrieben, auf diese Verarbeitung haben wir keinen Einfluss. Informationen zum Datenschutz bei Microsoft finden Sie unter https://privacy.microsoft.com/de-de/privacystatement.

Sitzungen

Nach erfolgreicher Anmeldung legen wir eine Sitzung an. Dazu speichern wir ein Sitzungs-Token, den Ablaufzeitpunkt, Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent). Diese Angaben dienen der Sicherheit Ihres Kontos und der Erkennung von Missbrauch. Eine Sitzung ist sieben Tage gültig und verlängert sich bei aktiver Nutzung. Abgelaufene Sitzungen löschen wir einschließlich IP-Adresse und User-Agent täglich automatisch. Mit der Abmeldung wird die Sitzung sofort gelöscht. Zum Schutz vor Angriffen begrenzen wir die Zahl der Anfragen an die Anmeldung. Die IP-Adresse wird hierfür nur kurzzeitig im Arbeitsspeicher verarbeitet. An- und Abmeldungen protokollieren wir ohne IP-Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an einer sicheren Bereitstellung der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Nutzungs- und Abrechnungsdaten

Für die monatliche Abrechnung erfassen wir die abrechnungsrelevanten Vorgänge je Mandant, z. B. abgeschlossene Tarifierungen, Warenbeschreibungen, Compliance-Prüfungen, manuelle Prüfaufträge, die Zahl der Nutzerplätze und gebuchte Zusatzfunktionen. Diese Abrechnungsbelege beziehen sich auf den Mandanten und nicht auf einzelne Nutzer. Für den KI-Assistenten Tarifi erfassen wir den Verbrauch zusätzlich je Nutzer, z. B. die Zahl der verarbeiteten Token und das eingesetzte Modell.

Zum Rechnungsprofil Ihres Unternehmens speichern wir Firmenname, Anschrift, Umsatzsteuer-Identifikationsnummer (USt-IdNr.), die E-Mail-Adresse für den Rechnungsversand und wer die Angaben zuletzt geändert hat. Die USt-IdNr. prüfen wir über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission und speichern das Ergebnis mit dem dort registrierten Namen und der registrierten Anschrift. Zu jeder Rechnung halten wir die Rechnungsanschrift zum Zeitpunkt der Rechnungsstellung fest.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und, soweit gesetzliche Aufbewahrungs- und Prüfpflichten bestehen, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 18e UStG. Abrechnungsbelege bewahren wir bis zum Ablauf von zehn vollen Kalenderjahren auf. Sie enthalten keine Kundeninhalte.

Änderungsprotokoll

Zur Nachvollziehbarkeit von Tarifierungs- und Compliance-Entscheidungen protokolliert die Plattform Änderungen: wer eine Aktion ausgeführt hat (Nutzerkennung und Rolle, bei API-Zugriffen der Name des Schlüssels), wann, über welchen Weg und welche Werte vor und nach der Änderung galten. IP-Adressen werden im Änderungsprotokoll nicht gespeichert.

Einträge zu Tarifierungs- und Compliance-Entscheidungen bewahren wir bis zum Ende des fünften vollen Kalenderjahrs nach ihrer Erstellung auf, sonstige Einträge, z. B. zur Nutzerverwaltung, zwölf Monate. Nach 90 Tagen speichern wir weiterhin erforderliche Einträge in komprimierten und verschlüsselten Archiven. Die ursprüngliche Löschfrist bleibt dabei bestehen. Rechtliche Aufbewahrungssperren setzen die Löschung aus. Die einer Tarifierung zugrunde liegenden Quellen speichern wir bis zum Ende des dritten vollen Kalenderjahrs nach ihrer Erstellung. Rechtsgrundlage ist unser berechtigtes Interesse und das unserer Kunden an der Nachvollziehbarkeit zollrechtlicher Entscheidungen (Art. 6 Abs. 1 lit. f DSGVO).

Sicherheits- und Administrationsprotokolle

Für den sicheren Betrieb protokollieren wir erforderliche Sicherheitsereignisse und risikogerecht sicherheitsrelevante administrative Datenzugriffe, insbesondere privilegierte Zugriffe auf Kundeninhalte sowie die Verwaltung von Zugängen und Schnittstellen. Dabei können interne Nutzer-, Rollen-, Mandanten- und Schlüsselkennungen, Anfragekennungen, Ereignisse und Zeitpunkte verarbeitet werden. IP-Adressen und Browserkennungen werden in diesen Sicherheitsprotokollen nicht gespeichert. Technische Betriebsprotokolle werden höchstens 30 Tage, Sicherheits- und Administrationsprotokolle 365 Tage gespeichert; nach 90 Tagen werden sie komprimiert. Eine aktive rechtliche Aufbewahrungssperre setzt die automatische Löschung aus. Anlassbezogene Sicherungen werden begrenzt, dokumentiert und nach Zweckwegfall gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die besonderen Fristen des Änderungsprotokolls bleiben unberührt.

Benachrichtigungen

Die Plattform informiert Sie in der Anwendung und per E-Mail über abgeschlossene Verarbeitungen, Importe, Synchronisierungen, Prüfaufträge und bereitstehende Berichte. E-Mail-Benachrichtigungen zu Prüfaufträgen können Sie in Ihren Einstellungen abbestellen. Benachrichtigungen in der Anwendung zu abgeschlossenen Vorgängen löschen wir spätestens 30 Tage nach ihrer Erstellung, gelesene Benachrichtigungen bereits sieben Tage nach dem Lesen, wenn dieser Zeitpunkt früher liegt.

Support und Feedback

Wenn Sie in der Plattform eine Support-Anfrage oder Feedback senden, speichern wir Kategorie, Betreff, Nachricht, die Adresse der aufgerufenen Seite, Ihre Browserkennung (User-Agent), die Version der Plattform, gegebenenfalls die Kennung eines zugehörigen Fehlerberichts sowie bis zu fünf Anhänge, z. B. Bildschirmfotos. Wir antworten Ihnen per E-Mail und in der Anwendung.

Benachrichtigungen über neue Anfragen gehen an unser Support-Team und an unseren Partner eDoc AS GmbH, der uns beim fachlichen Support unterstützt. Sie enthalten Ihre E-Mail-Adresse, den Namen des Mandanten, den Inhalt Ihrer Anfrage, die Seitenadresse und die Namen beigefügter Dateien.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie unser berechtigtes Interesse an der Bearbeitung von Anfragen und der Verbesserung der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Erledigte oder geschlossene Anfragen löschen wir zwölf Monate nach ihrer letzten Änderung automatisch, einschließlich aller Antworten, Anhänge und der zugehörigen Benachrichtigungen in der Anwendung. Wird eine Anfrage wieder eröffnet, beginnt die Frist erneut. Wird Ihr Nutzerkonto vorher gelöscht, entfernen wir die Verknüpfung der Anfrage mit Ihrem Konto.

KI-Assistent Tarifi

Der Assistent Tarifi beantwortet Fragen zur Tarifierung und zur Plattform. Damit Sie einen Chat fortsetzen können, speichern wir Ihre Nachrichten, die Antworten, die Seite, von der aus Sie den Chat begonnen haben, sowie beigefügte Dateien und deren erkannten Text. Chats löschen wir standardmäßig sieben Tage nach der letzten Nachricht automatisch. Ihr Unternehmen kann eine Frist zwischen einem und 365 Tagen festlegen. Die jeweilige Chatfrist gilt auch für Inhaltskopien in KI-Aufzeichnungen, wenn sie kürzer als deren allgemeine Speicherfrist ist. Zur Verarbeitung durch KI-Modelle siehe Abschnitt 7.

Manuelle Prüfung durch externe Zollexperten

Beauftragt Ihr Unternehmen eine manuelle Prüfung, erhalten die Zollexperten unseres Partners eDoc AS GmbH, Südportal 1, 22848 Norderstedt, als eingeladene Prüfer Zugriff auf die Daten der betreffenden Artikel: Artikeldaten, Anhänge, Ergebnisse und Berichte der Artikel, für die eine manuelle Prüfung beauftragt wurde. Andere Artikel, Artikellisten, Auswertungen und Wissensdokumente des Mandanten sehen sie nicht. Sie können keine Einstellungen ändern und keine Nutzer verwalten. Über neue Prüfaufträge werden die Prüfer per E-Mail informiert. eDoc AS ist für uns als Unterauftragsverarbeiter tätig.

API-Zugang, Integrationen und Berichtslinks

Zu API-Schlüsseln speichern wir Name, Präfix, einen Hashwert des Schlüssels, Berechtigungen, Ablaufdatum, den Zeitpunkt der letzten Nutzung und wer den Schlüssel angelegt hat. Verbinden Sie externe Anwendungen, z. B. KI-Assistenten über das Model Context Protocol (MCP), per OAuth, speichern wir die erteilte Freigabe und die Zugriffs-Token mit Bezug zu Nutzer und Mandant. Zugangsdaten zu ERP-Systemen, z. B. SFTP oder Microsoft Dynamics 365 Business Central, speichern wir verschlüsselt. Daten werden nur mit den Systemen ausgetauscht, die Ihr Unternehmen eingerichtet hat.

PDF-Berichte lassen sich über einen Link mit einer zufälligen Kennung abrufen. Zusätzlich ist eine berechtigte Anmeldung im zugehörigen Mandanten erforderlich. Prüfer können nur Berichte zu den ihnen zugewiesenen Artikeln öffnen. Berichtslinks gelten höchstens 90 Tage und können vorher widerrufen werden. Die PDF-Dateien speichern wir höchstens 90 Tage, zusammengestellte Berichtspakete (ZIP) höchstens 72 Stunden ab Erstellung. Für die technische Löschung gilt die in Abschnitt 9 beschriebene Löschlaufzeit.

6. Demo-Aktionen mit Partnern

Gemeinsam mit Partnern bieten wir kostenlose Demo-Zugänge an.

Aktionscode anfordern

Auf der Aktionsseite von eDoc AS können Sie einen Aktionscode anfordern. Dazu verarbeiten wir Ihren Firmennamen, Ihre geschäftliche E-Mail-Adresse und Ihre Einwilligung. Um zu prüfen, ob es sich um eine geschäftliche E-Mail-Adresse handelt, gleichen wir die Domain mit Listen von Freemail- und Wegwerf-Anbietern ab und fragen die Mailserver-Einträge (MX) der Domain ab. Den Aktionscode senden wir Ihnen über Brevo zu. Er ist 30 Tage gültig. Bei der Aktion von FORUM VERLAG erhalten Sie den Aktionscode direkt von FORUM VERLAG.

Demo-Zugang

Zum Einlösen geben Sie den Aktionscode und Ihre E-Mail-Adresse ein. Wir legen dann einen eigenen Demo-Arbeitsbereich an, ein Nutzerkonto wird nicht erstellt. Der Zugang wird über ein Cookie gesteuert und endet spätestens nach drei Stunden. In der Demo verarbeiten wir die von Ihnen eingegebenen Produktdaten (Warenbeschreibung, Material, Artikelnummer, Land und Richtung) sowie bis zu drei Anhänge mit den in Abschnitt 7 beschriebenen KI-Diensten und erstellen daraus ein Ergebnis und einen PDF-Bericht.

Missbrauchsabwehr

Zur Missbrauchsabwehr begrenzen wir die Zahl der Anfragen und der Aktionscodes je E-Mail-Adresse und je Domain. Hierfür speichern wir zu jeder Anfrage die E-Mail-Adresse und gegebenenfalls die IP-Adresse als Hashwert mit geheimem Schlüssel (HMAC). Diese Einträge löschen wir nach 30 Tagen automatisch. Ein Captcha oder Tracking setzen wir nicht ein.

Weitergabe an den Partner

Der jeweilige Partner sieht die E-Mail-Adresse, für die ein Aktionscode seiner Aktion ausgestellt wurde, und den Status des Codes, z. B. eingelöst, abgeschlossen oder abgelaufen. Produktdaten, Anhänge und Ergebnisse Ihrer Demo geben wir nicht an den Partner weiter.

Rechtsgrundlage und Löschung

Die Anforderung des Aktionscodes beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können. Die Durchführung der Demo dient vorvertraglichen Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO). Missbrauchsabwehr und die Information des Partners über den Status beruhen auf unserem berechtigten Interesse an einer sicheren und nachvollziehbaren Durchführung der Aktion (Art. 6 Abs. 1 lit. f DSGVO). Wir verwenden Ihre Angaben nicht für Werbung.

30 Tage nach Abschluss der Demo oder nach Ablauf des Zugangs löschen wir Ihre Produktdaten, Anhänge, Ergebnisse und Berichte automatisch. Danach bleiben die E-Mail-Adresse und der Status des Aktionscodes gespeichert, damit wir die Teilnahme gegenüber dem Partner nachweisen können. Zwölf Monate nach Abschluss der Demo oder nach Ablauf des Aktionscodes löschen wir die E-Mail-Adresse automatisch. Danach bewahren wir nur noch den Status des Aktionscodes, einen Hashwert der E-Mail-Adresse mit geheimem Schlüssel (HMAC) und ihre Domain auf, damit wir eine Mehrfachteilnahme mit derselben Adresse und die Begrenzung je Domain weiterhin durchsetzen können. Aus dem Hashwert lässt sich die E-Mail-Adresse nicht zurückrechnen.

7. KI-Verarbeitung und KI-Dienstleister

Wie die KI-Verarbeitung funktioniert

Für Tarifierungsvorschläge, Warenbeschreibungen, Compliance-Prüfungen, die Texterkennung in Dokumenten und den Assistenten Tarifi übermitteln wir die jeweils erforderlichen Inhalte an KI-Modelle externer Anbieter. Das sind insbesondere Warenbeschreibungen, Materialangaben und weitere Artikeldaten, Hinweise Ihres Unternehmens zur Tarifierung, Bilder und Dokumente, daraus erkannte Texte sowie Chatnachrichten. Für die Ähnlichkeitssuche erzeugen wir aus Artikeldaten Vektorrepräsentationen (Embeddings), die wir in unserer eigenen Vektordatenbank bei Hetzner speichern.

Die Anbieter verarbeiten die Daten als unsere Auftragsverarbeiter nur, um die jeweilige Antwort zu erzeugen. Nach unseren Verträgen verwenden sie die Daten nicht zum Training ihrer Modelle. Auch wir verwenden Kundeninhalte nicht zum Training allgemeiner KI-Modelle. Lernfunktionen der Plattform, z. B. aus Korrekturen, wirken nur innerhalb des jeweiligen Mandanten. Welches Modell für welche Aufgabe eingesetzt wird, legen wir zentral fest. Dabei setzen wir auch Anbieter ein, die Daten in den USA oder an anderen Orten außerhalb der EU verarbeiten.

Auf Wunsch Ihres Unternehmens beschränken wir Ihren Mandanten auf Modelle, die in Rechenzentren in Europa betrieben werden. Das gilt für Tarifierungsvorschläge, Warenbeschreibungen, Compliance-Prüfungen, die Texterkennung, die Websuche und Tarifi. Ausgenommen sind derzeit die Embeddings für die Ähnlichkeitssuche und die Aufbereitung hochgeladener Wissensdokumente für die Suche. Dafür setzen wir für alle Mandanten dieselben Modelle ein, derzeit die Gemini API von Google und ein Sprachmodell von OpenAI.

Ist für Ihr Unternehmen die Websuche aktiviert, kann das KI-Modell Suchanfragen zum jeweiligen Produkt stellen, z. B. über die Websuche des jeweiligen Modellanbieters oder über Perplexity. Die Suchanfragen erzeugt das Modell aus den Produktdaten, sie beziehen sich auf das Produkt und nicht auf Personen.

Soweit wir Kundeninhalte verarbeiten, geschieht dies im Auftrag unserer Kunden (Art. 28 DSGVO). Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Bitte geben Sie personenbezogene Daten in Artikeldaten und Dokumenten nur ein, wenn sie für die Tarifierung erforderlich sind.

Keine automatisierte Entscheidung im Einzelfall

Die KI-Ergebnisse sind als solche gekennzeichnete Vorschläge, die von Menschen geprüft und freigegeben werden. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt.

Microsoft Azure

Anbieter ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Über Microsoft Azure (Azure AI Foundry) nutzen wir Sprachmodelle, die Texterkennung Azure Document Intelligence und ein Modell von Cohere zur Sortierung von Suchergebnissen. Wir nutzen ausschließlich Rechenzentren in Europa (EU, EWR oder Schweiz). Microsoft kann Eingaben zur Erkennung von Missbrauch bis zu 30 Tage speichern.

Die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert. Ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Weitere Informationen finden Sie unter https://privacy.microsoft.com/de-de/privacystatement.

Google Cloud

Anbieter ist die Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Über Google Cloud nutzen wir Gemini-Modelle über Vertex AI, die Texterkennung Document AI und Cloud Vision sowie die Sortierung von Suchergebnissen. Dafür nutzen wir Standorte in der EU, für Cloud Vision den EU-Endpunkt von Google. Embeddings erzeugen wir über die Gemini API von Google. Für die Gemini API und für Suchanfragen an die Google-Suche gibt Google keine Standortzusage, die Verarbeitung kann auch außerhalb der EU erfolgen.

Die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Ergänzend gelten die Standardvertragsklauseln der EU-Kommission. Weitere Informationen finden Sie unter https://cloud.google.com/terms/cloud-privacy-notice.

OpenAI

Anbieter ist die OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Wir nutzen Sprachmodelle von OpenAI für Tarifierungsvorschläge, Warenbeschreibungen, den Assistenten Tarifi und die Aufbereitung von Wissensdokumenten sowie die Websuche von OpenAI. Die Verarbeitung kann in den USA erfolgen. OpenAI kann Eingaben zur Erkennung von Missbrauch bis zu 30 Tage speichern.

Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission. Weitere Informationen finden Sie unter https://openai.com/policies/eu-privacy-policy/.

Anthropic

Anbieter ist die Anthropic Ireland, Limited, Dublin, Irland. Wir nutzen Sprachmodelle von Anthropic für Compliance-Prüfungen, z. B. zu Exportkontrolle und Waffenembargos, einschließlich der Websuche von Anthropic, sowie zur Auswertung von Korrekturen. Die Verarbeitung kann in den USA erfolgen.

Für die Übermittlung in die USA gelten die Standardvertragsklauseln der EU-Kommission. Weitere Informationen finden Sie unter https://www.anthropic.com/legal/privacy.

Perplexity

Anbieter ist die Perplexity AI, Inc., San Francisco, USA. Über Perplexity führen wir Websuchen zu Produkten durch. Die Suchanfragen erzeugt das KI-Modell aus den Produktdaten. Die Verarbeitung erfolgt in den USA. Für die Übermittlung gelten die Standardvertragsklauseln der EU-Kommission. Weitere Informationen finden Sie unter https://www.perplexity.ai/hub/legal/privacy-policy.

Mistral AI

Anbieter ist die Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich. Wir nutzen Mistral OCR zur Texterkennung in Dokumenten und Bildern. Die Verarbeitung erfolgt in der EU. Weitere Informationen finden Sie unter https://mistral.ai/terms.

Auftragsverarbeitung

Mit allen in diesem Abschnitt genannten Anbietern haben wir Verträge über Auftragsverarbeitung nach Art. 28 DSGVO geschlossen.

8. Fehlerüberwachung und Qualitätssicherung

Sentry

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry, einen Dienst der Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Die Daten werden in der EU-Region von Sentry gespeichert.

Tritt auf der Webseite, in der Plattform oder in unseren Hintergrunddiensten ein Fehler auf, übermitteln wir einen Fehlerbericht mit technischen Angaben: Fehlertyp und Fehlermeldung, Programmstelle, Zeitpunkt, aufgerufene Seite ohne Parameter, Angaben zu Browser und Betriebssystem, eine Anfragekennung sowie die interne Kennung Ihres Nutzerkontos, Ihrer Rolle und Ihres Mandanten. Für einen kleinen Teil der Aufrufe übermitteln wir zusätzlich Ladezeiten. Fehlerberichte aus dem Browser leiten wir über unseren eigenen Server an Sentry weiter.

Namen, E-Mail-Adressen, Cookies, Formular- und Anfrageinhalte übermitteln wir nicht. Bildschirmaufzeichnungen (Session Replay) setzen wir nicht ein. Bekannte Felder mit Kundeninhalten, z. B. Warenbeschreibungen oder Dateinamen, entfernen wir vor der Übermittlung. Auch Inhalte bekannter Anbieterfehler werden entfernt. In Einzelfällen können unbekannte Fehler dennoch Auszüge verarbeiteter Inhalte enthalten. Werden solche personenbezogenen Inhalte bekannt, veranlassen wir ihre zeitnahe Entfernung, soweit keine begrenzte erforderliche Sicherung entgegensteht.

Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Fehlerberichte werden nach höchstens 90 Tagen gelöscht, Protokolleinträge nach 30 Tagen. Wir haben mit Sentry einen Vertrag über Auftragsverarbeitung einschließlich der Standardvertragsklauseln der EU-Kommission geschlossen. Weitere Informationen finden Sie unter https://sentry.io/privacy/.

Langfuse

Zur Qualitätssicherung und Fehleranalyse der KI-Verarbeitung nutzen wir Langfuse Cloud, einen Dienst der Langfuse GmbH, Berlin, Deutschland. Die Daten werden in der EU-Region von Langfuse gespeichert.

Für zuordenbare KI-Aufrufe können wir die erforderlichen Eingaben und Ausgaben des Modells übermitteln, also auch Artikeldaten, erkannte Dokumenttexte, Bilder und Chatnachrichten mit Tarifi, sowie das Modell, die Laufzeit, die Kosten und die internen Kennungen von Nutzer, Mandant und Artikel oder Chat. Zusätzliche Namens- und E-Mail-Identitätsfelder übermitteln wir nicht. Die verarbeiteten Inhalte selbst können personenbezogene Daten enthalten. Wir nutzen diese Daten, um fehlerhafte Ergebnisse nachzuvollziehen, die Qualität von Prompts und Modellen zu bewerten und Kosten zuzuordnen. Die Aufzeichnungen werden höchstens 90 Tage nach dem jeweiligen KI-Aufruf gespeichert. Kürzere Speicherfristen der zugrunde liegenden Inhalte, insbesondere die Chatfrist, und rechtmäßige Löschweisungen gelten auch für diese Inhaltskopien. Bei der Löschung eines Chats, Artikels oder Mandanten veranlassen wir die Löschung zugehöriger Aufzeichnungen und überprüfen die asynchrone Ausführung durch erneute Abfragen.

Für Kundeninhalte erfolgt die Verarbeitung im Auftrag unserer Kunden (Art. 28 DSGVO), im Übrigen auf Grundlage unseres berechtigten Interesses an einer zuverlässigen KI-Verarbeitung (Art. 6 Abs. 1 lit. f DSGVO). Wir haben mit Langfuse einen Vertrag über Auftragsverarbeitung geschlossen. Weitere Informationen finden Sie unter https://langfuse.com/privacy.

9. Speicherdauer im Überblick

Die folgenden Fristen sind maximale Zweckfristen. Die technische Löschung erfolgt im Rahmen regelmäßiger Löschläufe spätestens innerhalb von weiteren 24 Stunden nach Fristablauf. Rechtmäßige frühere Löschweisungen, verbindliche kürzere Fristen und erforderliche Aufbewahrungssperren gehen vor. Eine Frist erlaubt keine längere Speicherung identischer Inhalte in anderen Datenarten. Abweichende technische Löschlaufzeiten genehmigter Anbieter ergeben sich ausschließlich aus Anhang IV unseres AVV. Läuft eine Betriebsprüfung, eine Zollprüfung, ein Rechtsstreit oder ein behördliches Verfahren, setzen wir die Löschung der betroffenen Daten bis zu dessen Abschluss aus (Art. 17 Abs. 3 lit. b und e DSGVO) und löschen sie danach.

• Einladungslinks: sieben Tage gültig. Einladungen werden 30 Tage nach Ablauf gelöscht.
• Links zum Festlegen des Passworts: 72 Stunden gültig, nach Ablauf täglich gelöscht.
• Sitzungen mit IP-Adresse und User-Agent: sieben Tage, bei aktiver Nutzung verlängert, nach Ablauf täglich gelöscht.
• Nutzerkonto: bis zur Löschung des Kontos oder des Mandanten.
• Chats mit Tarifi: sieben Tage nach der letzten Nachricht, abweichend nach Festlegung Ihres Unternehmens zwischen einem und 365 Tagen.
• Benachrichtigungen in der Anwendung zu abgeschlossenen Vorgängen: 30 Tage nach Erstellung, gelesene Benachrichtigungen sieben Tage nach dem Lesen, wenn früher.
• Support-Anfragen und Feedback mit Antworten und Anhängen: zwölf Monate nach Erledigung oder Schließung.
• Zwischengespeicherte Uploads, die nicht weiterverarbeitet wurden: ein Tag.
• PDF-Berichte: höchstens 90 Tage. Berichtspakete (ZIP): höchstens 72 Stunden ab Erstellung.
• Demo-Aktionen: Produktdaten, Anhänge, Ergebnisse und Berichte 30 Tage nach Abschluss oder Ablauf des Zugangs. E-Mail-Adresse zwölf Monate nach Abschluss der Demo oder Ablauf des Aktionscodes, danach nur noch als Hashwert mit Domain.
• Einträge zur Missbrauchsabwehr bei Demo-Aktionen (Hashwerte von E-Mail- und IP-Adresse): 30 Tage.
• Quellen einer Tarifierung: bis zum Ende des dritten vollen Kalenderjahrs nach ihrer Erstellung.
• Änderungsprotokoll: bis zum Ende des fünften vollen Kalenderjahrs nach Erstellung für Tarifierungs- und Compliance-Entscheidungen, zwölf Monate für sonstige Einträge. Nach 90 Tagen werden weiterhin erforderliche Einträge komprimiert und verschlüsselt archiviert.
• Abrechnungsbelege: zehn volle Kalenderjahre.
• Fehlerberichte bei Sentry: höchstens 90 Tage; technische Protokolle höchstens 30 Tage.
• Technische Betriebsprotokolle: höchstens 30 Tage; Sicherheits- und Administrationsprotokolle 365 Tage, nach 90 Tagen komprimiert. Aktive rechtliche Aufbewahrungssperren setzen die Löschung aus.
• Aufzeichnungen der KI-Verarbeitung bei Langfuse: höchstens 90 Tage nach dem KI-Aufruf; kürzere Inhaltsfristen und Löschweisungen gehen vor.
• Kundeninhalte nach Vertragsende: Löschung nach Ablauf der Exportfrist von mindestens 30 Tagen gemäß unseren AGB.

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: 8. Oktober 2026