Privacy Policy

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Hosting und Content Delivery

Vercel

Wir hosten unsere Website bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert.

Supabase (Datenbank)

Die Anwendungsdaten werden bei Supabase Inc. gespeichert. Unser Datenbank-Server befindet sich in Frankfurt am Main (eu-central-1). Supabase ist DSGVO-konform und hat entsprechende Auftragsverarbeitungsverträge abgeschlossen. Hochgeladene Unterlagen und Dateien werden ebenfalls über diese Infrastruktur in zugriffsgeschützten Speicherbereichen verarbeitet.

finAPI (optionale Banking-Integration)

Für die optionale Banking-Integration nutzen wir die finAPI GmbH, Adams-Lehmann-Str. 44, 80797 München, Deutschland. finAPI stellt die für die Anbindung von Bankkonten erforderlichen Open-Banking-/PSD2-Dienste bereit, insbesondere gehostete Web-Formulare zur Bankauswahl, Authentifizierung, starken Kundenauthentifizierung (SCA) und Verwaltung bankseitiger Zustimmungen.

Bankzugangs-, TAN- und sonstige SCA-Daten werden dabei grundsätzlich direkt in der von finAPI bereitgestellten Oberfläche bzw. bei der angebundenen Bank eingegeben und nicht als reguläre Zugangsdaten in struct-i-vio gespeichert.

AWS S3 (separate Datei- und Datenbanksicherungen)

Für zusätzliche Sicherungskopien hochgeladener Dateien sowie verschlüsselte Sicherungskopien der produktiven Anwendungsdatenbank nutzen wir einen separaten Speicher bei Amazon Web Services EMEA SARL ("AWS"). Diese Sicherungen werden ausschließlich in der EU-Region Stockholm (eu-north-1) vorgehalten. Die Übertragung erfolgt verschlüsselt; die Sicherungskopien unterliegen strengen technischen Zugriffsbeschränkungen, sind nicht Bestandteil des regulären Nutzerzugriffs und dienen ausschließlich der Ausfallsicherheit, Notfallvorsorge und Wiederherstellung.

3. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Tigran Varazhian (structivio)
Viktoriastraße 22
80803 München
E-Mail: tigran.varazhian@struct-i-vio.com

4. Ihre Rechte

Sie haben jederzeit das Recht:

• Auskunft über Ihre gespeicherten Daten zu erhalten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• Datenübertragbarkeit – Export Ihrer Daten (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung einzulegen (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: tigran.varazhian@struct-i-vio.com

5. Datenerfassung auf dieser Website

Cookies

Wir verwenden ausschließlich technisch notwendige Cookies für die Authentifizierung und Session-Verwaltung. Diese Cookies sind für den Betrieb der Anwendung erforderlich.

Lokale Entwürfe für Ideen

Wenn Sie über den Ideen-Button einen Entwurf für einen Funktionswunsch beginnen, speichert die Anwendung den eingegebenen Titel, die Beschreibung, den angezeigten Seitenkontext und bis zu drei von Ihnen ausgewählte Screenshots oder andere zulässige Dateien ausschließlich im lokalen Speicher Ihres Browsers (IndexedDB) auf diesem Gerät. Diese Daten werden vor dem ausdrücklichen Absenden nicht an uns übertragen. Der Entwurf wird der angemeldeten Person und dem aktuell ausgewählten Mandanten zugeordnet, damit er nicht zwischen Konten oder Mandanten vermischt wird.

Ein lokaler Entwurf, dessen letzte Änderung länger als sieben Tage zurückliegt, wird bei der nächsten Nutzung erkannt und aus dem Browser entfernt. Beim ausdrücklichen Verwerfen und beim Abmelden wird er ebenfalls aus dem Browser entfernt. Er wird nicht serverseitig gesichert. Auf gemeinsam genutzten Geräten kann ein lokaler Entwurf für andere Personen sichtbar sein, die dasselbe Browserprofil verwenden. Bitte fügen Sie daher nur Dateien ein, deren Weitergabe als Teil Ihres Funktionswunsches zulässig ist.

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt (IP-Adresse, Browsertyp, Betriebssystem, Referrer URL, Uhrzeit der Serveranfrage).

6. Datenverarbeitung in der Anwendung

Welche Daten werden verarbeitet?

• Stammdaten: Name, E-Mail-Adresse, Profilbild
• Projektdaten: Projekte, Aufgaben, Dokumente, Zeiterfassung
• Finanzdaten: Budgets, Ausgaben, Rechnungen (soweit vom Kunden eingegeben)
• Bank- und Kontodaten: optionale Bankverbindungen, Kontobezeichnungen, IBAN/Kontonummern, Kontostände und sonstige Kontometadaten, soweit diese von der angebundenen Bank bzw. finAPI bereitgestellt werden
• Transaktionsdaten aus Banking-Integrationen: importierte Buchungsdaten einschließlich Buchungsdatum, Betrag, Verwendungszweck, Gegenpartei sowie Gegenkonto-IBAN/BIC, soweit diese von der angebundenen Bank bzw. finAPI bereitgestellt werden
• Banking- und Consent-Metadaten: technische Kennungen der Anbindung, Status von Bankverbindungen, Consent-Ablaufdaten, Web-Form-/Callback-IDs sowie Sync- und Fehlerprotokolle
• Datei- und Nachweisdaten: hochgeladene Unterlagen, Anhänge, Nachweise und Profilbilder
• Ideen und Funktionswünsche: von Ihnen eingegebene Titel, Beschreibungen, der beim Absenden übermittelte Seitenkontext sowie von Ihnen angehängte Screenshots und andere zulässige Dateien. Diese Daten werden erst beim Absenden als Feature Request gespeichert und anschließend nach den in dieser Erklärung beschriebenen Zugriffs-, Sicherungs- und Löschregeln verarbeitet. Beim Absenden können außerdem eine In-App-Bestätigung und eine E-Mail an Sie sowie In-App- und E-Mail-Benachrichtigungen an alle aktiven Superadmins ausgelöst werden. Diese Benachrichtigungen enthalten den Titel und bei der Benachrichtigung an Superadmins zusätzlich den Einreicher- und Mandantennamen; die angehängten Dateien werden nicht als Teil dieser Benachrichtigungen versendet.
• Nutzungsdaten: Logins, Aktivitäten für Audit-Logs
• KI-Abrechnungs- und Nutzungsmetadaten: Zuordnung einer kundenbezogenen KI-Operation (z. B. Chat, Lead-Bewertung, Angebotserstellung, OCR, Sprache oder Dokumentenverarbeitung) zu Nutzer und Mandant, gemessene Nutzungs- und Verarbeitungskomponenten, Credit-Belastung, Version der Abrechnungsgrundlage sowie gegebenenfalls Reservierungs-, Erstattungs-, Ausgleichs- oder Korrekturbuchungen. Der kunden- bzw. mandantensichtbare Credit-Beleg enthält grundsätzlich weder den Inhalt der KI-Verarbeitung noch interne Kalkulationsgrundlagen. Getrennte, zugriffsbeschränkte interne Abrechnungsnachweise können abrechnungsrelevante technische Parameter enthalten, jedoch keinen KI-Inhalt.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Dienste). Die Verarbeitung eines von Ihnen gestarteten Ideenentwurfs und die anschließende Übermittlung eines ausdrücklich abgesendeten Funktionswunsches dienen der Vorbereitung und Durchführung dieser von Ihnen gewünschten Kommunikation.

Optionale Banking-Integration (finAPI)

Wenn Sie die optionale Banking-Integration aktivieren, verarbeiten wir die hierfür erforderlichen Bank- und Transaktionsdaten sowie technische Zustimmungs- und Statusmetadaten, um Bankkonten anzubinden, Buchungen zu importieren, Zustimmungen zu erneuern und Fehlerfälle nachvollziehen zu können.

Die eigentliche Bankanbindung erfolgt über gehostete Web-Formulare von finAPI. Bankzugangs-, TAN- und sonstige Authentifizierungsdaten werden dabei grundsätzlich unmittelbar durch finAPI bzw. die jeweils ausgewählte Bank verarbeitet. struct-i-vio speichert diese Bankzugangsdaten nicht als reguläre Produktdaten.

Wir beschränken die an finAPI übermittelten Daten auf die für die jeweilige Banking-Funktion erforderlichen Angaben. Für die reguläre Nutzung ist eine dauerhafte Übermittlung persönlicher E-Mail-Adressen einzelner Nutzer an finAPI nicht vorgesehen, soweit dies nicht ausnahmsweise technisch oder vertraglich zwingend erforderlich ist.

7. Auftragsverarbeitung

Für Geschäftskunden schließen wir einen Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 DSGVO ab. Diesen erhalten Sie unter: AV-Vertrag

8. Subprocessors (Unterauftragnehmer)

Wir setzen folgende Unterauftragnehmer ein:

9. Datensicherheit

Wir setzen folgende technische und organisatorische Maßnahmen (TOMs) ein:

• Verschlüsselung aller Daten bei Übertragung (TLS 1.3)
• Verschlüsselung der Daten im Ruhezustand (AES-256)
• Multi-Tenant-Isolation durch Row Level Security (RLS)
• Rollenbasierte Zugriffskontrollen
• Dateien werden in getrennten, zugriffsgeschützten Speicherbereichen verarbeitet und nur nach Authentifizierung sowie Berechtigungsprüfung bereitgestellt
• Zusätzliche Dateisicherungen werden getrennt vom Produktivspeicher in einem separaten EU-Speicherstandort vorgehalten (AWS S3, Stockholm, eu-north-1)
• Zusätzliche verschlüsselte Datenbanksicherungen werden getrennt vom Produktivsystem in einem separaten EU-Speicherstandort vorgehalten (AWS S3, Stockholm, eu-north-1)
• Der AWS-Deck-Renderer verarbeitet PPTX-Eingaben und erzeugte PDF-Ausgaben nur je angefordertem Auftrag in einem nicht ausführbaren temporären Dateisystem; Dateien werden bei Erfolg, Fehler oder Abbruch bereinigt, Inhalte nicht protokolliert oder dauerhaft gespeichert; Produktivbetrieb setzt verifizierte EU-Region und privaten Ingress voraus
• Regelmäßige Sicherheitsaudits und Updates
• Automatisierte Backups mit Point-in-Time Recovery

Speicherung hochgeladener Unterlagen

Hochgeladene Unterlagen und sonstige Dateien werden in der Regel gemeinsam mit Metadaten zum jeweiligen Unternehmens-, Projekt- oder Vorgangskontext gespeichert. Dadurch kann die Anwendung Zugriffe auf Dateien an die Anmeldung, die Mandantentrennung und die jeweils vergebenen Rollen und Freigaben koppeln.

Für Zwecke der Ausfallsicherheit können hochgeladene Dateien zusätzlich in einem separaten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten werden. Diese Sicherungskopien sind nicht Bestandteil des regulären Nutzerzugriffs, verbleiben innerhalb Europas und werden nur für Wiederherstellungen oder technische Notfälle verwendet.

Datenbanksicherungen

Zur Gewährleistung der Wiederherstellbarkeit der Anwendung werden zusätzlich verschlüsselte Sicherungskopien der produktiven Anwendungsdatenbank in einem getrennten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten. Diese Sicherungen sind nicht Teil des regulären Nutzerzugriffs und werden ausschließlich für Notfall- und Wiederherstellungszwecke verwendet.

10. Datenexport und Löschung

Datenexport

Sie können jederzeit einen vollständigen Export Ihrer Daten anfordern. Die Daten werden in gängigen Formaten (CSV, JSON) bereitgestellt.

Löschung im laufenden Betrieb

Werden reguläre Arbeitsunterlagen innerhalb der Anwendung gelöscht, erfolgt die Entfernung im Regelfall nicht sofort endgültig. Dateien werden zunächst in einen Papierkorb überführt und können dort durch berechtigte Nutzer wiederhergestellt werden. Die endgültige Entfernung aus dem Produktivbetrieb erfolgt regelmäßig erst nach bis zu 30 Tagen, sofern keine Wiederherstellung erfolgt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Sicherungskopien hochgeladener Dateien werden in einem getrennten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten, solange die jeweilige Datei noch in der Plattform vorhanden ist. Wird eine Datei endgültig aus dem System-Papierkorb entfernt, wird die entsprechende Sicherungskopie automatisch nach spätestens 1 Jahr (365 Tagen) aus dem Backup-Speicher gelöscht (Backup-Versioning-Purge). Diese Kopien sind nicht im regulären Produkt sichtbar und werden ausschließlich für Wiederherstellungszwecke genutzt.

Zusätzlich können verschlüsselte Sicherungskopien der Anwendungsdatenbank für Zwecke der Ausfallsicherheit und Wiederherstellung noch bis zu 12 Monate in einem getrennten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten werden. Diese Kopien sind nicht im regulären Produkt sichtbar und werden ausschließlich für Notfall- oder Wiederherstellungszwecke genutzt.

Bei nativen PowerPoint-Präsentationen bleiben höchstens die letzten 50 automatisch angelegten, unveränderlichen Wiederherstellungsstände je Dokument aktiv. Ein regelmäßig geplanter, begrenzter Bereinigungslauf überführt Stände nach einem Alter von 30 Tagen in den Papierkorb; der tatsächliche Zeitpunkt hängt von erfolgreichen Läufen und einem möglichen Rückstand ab. Dort gilt die reguläre Papierkorbfrist von bis zu 30 Tagen sowie die oben beschriebenen Datei- und Datenbank-Backupfristen. Renderer-Vorschauen werden nicht dauerhaft gespeichert und nicht in den S3-Datei-Backup-Speicher gespiegelt.

Besonderheiten der optionalen Banking-Integration

Wenn eine finAPI-Bankverbindung getrennt wird, entfernen wir die zugehörigen Verbindungs- und Kontometadaten aus dem laufenden Betrieb. Wird die letzte finAPI-Bankverbindung eines Mandanten entfernt, wird auch der zugehörige finAPI-Nutzer bei finAPI gelöscht, soweit keine technische oder gesetzliche Ausnahme entgegensteht.

Bereits in struct-i-vio übernommene Transaktions-, Buchungs- oder Zuordnungsdaten können im Verantwortungsbereich des Kunden weiter vorgehalten werden, wenn sie bereits in Projekt-, Abrechnungs-, Export- oder steuerlich relevanten Prozessen verwendet werden oder gesetzlichen Aufbewahrungspflichten unterliegen.

Technische Protokolle sowie Sicherungskopien können darüber hinaus bis zum Ablauf der jeweiligen Backup- und Wiederherstellungsfristen bestehen bleiben und werden anschließend gelöscht oder überschrieben.

Löschung bei Vertragsende

Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten aus gelöschten Benutzerkonten unverzüglich anonymisiert oder gelöscht und der Zugang entfernt. Tenant- und projektbezogene Daten werden für einen angemessenen Zeitraum weiter vorgehalten, soweit dies für Datenexporte oder die Einhaltung der Audit-Log-Aufbewahrungsfristen (vgl. Abschnitt 10a) erforderlich ist.

struct-i-vio ist ein Erfassungssystem (vgl. AGB § 2 Abs. 3). Die Verantwortung für die Einhaltung handels- und steuerrechtlicher Aufbewahrungspflichten (insbesondere HGB/AO) liegt beim Kunden. Sie können Ihre Daten jederzeit vollständig exportieren. Auf Wunsch erhalten Sie eine Löschbestätigung.

10a. Änderungsprotokoll (Audit-Log)

Die Plattform führt ein automatisches Änderungsprotokoll über sicherheits- und compliance-relevante Aktionen (z. B. Anmeldungen, Dateiuploads, Datenänderungen, Löschvorgänge). Die Aufbewahrungsdauer richtet sich nach der Daten-Klasse:

Einträge im Änderungsprotokoll sind unveränderlich (Manipulationsschutz). Betroffene Personen können nach Art. 17 DSGVO die Anonymisierung personenbezogener Referenzen innerhalb von Einträgen verlangen (statt vollständiger Löschung des Eintrags, da dies den Nachweis-Charakter zerstören würde).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit, Manipulationsschutz und Compliance-Nachweis).

11. Optionale E-Mail-Integration (IMAP/SMTP)

struct-i-vio bietet eine optionale Integration für Postfächer, die über das offene IMAP/SMTP-Protokoll erreichbar sind (z. B. Hetzner Mail, Hostinger, IONOS, Strato oder eigene Mailserver). Die Nutzung dieser Integration ist freiwillig und kann jederzeit getrennt werden.

Verarbeitete Datenkategorien

• Postfach-Zugangsdaten: E-Mail-Adresse und Passwort des Postfachs sowie IMAP- und SMTP-Serverparameter (Host, Port, Verschlüsselungstyp). Das Passwort wird ausschließlich verschlüsselt gespeichert (AES-256-GCM, zufälliger IV je Verschlüsselung). Die Entschlüsselung erfolgt nur serverseitig im Sync-Prozess; das Klartext-Passwort verlässt diesen Prozess nicht und wird zu keinem Zeitpunkt protokolliert.
• E-Mail-Inhalte und -Header: Absender- und Empfängeradressen, Betreff, Message-ID, E-Mail-Text sowie Anhänge der synchronisierten Nachrichten.
• Übernommene Lead-Anhänge: Anhänge echter eingehender oder ausgehender E-Mails werden automatisch im Sonderordner „E-Mail-Anhänge“ des zugeordneten Leads gespeichert, sobald die Konversation diesem Lead zugeordnet ist — sofern die zugehörige, pro Tenant abschaltbare CRM-Einstellung aktiviert ist (Voreinstellung: aktiviert). Das gilt auch für persönliche Postfächer. Nachricht, Postfach, Attachment und Übernahmezeitpunkt bleiben als Herkunftsnachweis erhalten. Als Signatur erkannte Bildinhalte, die inhaltlich identisch in mindestens drei unabhängigen Konversationen mit mindestens drei unterschiedlichen Betreffzeilen wiederkehren, kleine eingebettete Bilder unter 20 KB und GIF-Grafiken werden nicht automatisch übernommen; andere eingebettete Inhalte — etwa Fotos oder Screenshots, auf denen ggf. Personen erkennbar sind — werden wie reguläre Anhänge behandelt. Inhaltsgleiche Kopien werden je Lead nur einmal gespeichert; weitere Dateinamen desselben Inhalts werden als zusätzliche Bezeichnung vermerkt. Nicht automatisch übernommene Einzeldateien können Nutzer mit Lead-Bearbeitungsrecht jederzeit manuell speichern. Die Dateien sind für Personen mit Lead-Leserecht sichtbar.
• Sync-Metadaten: Verbindungsstatus, Zeitstempel der letzten Synchronisierung, technische Fehlermeldungen (ohne Passwort-Klartext).

Hinweis zu Vollzugriff und Passwort-Speicherung

Im Unterschied zu OAuth-basierten Integrationen (z. B. Microsoft 365) erfordert IMAP/SMTP die Speicherung des vollständigen Postfach-Passworts. Dies gewährt dem System Vollzugriff auf das Postfach — eine Beschränkung auf einzelne Ordner oder Operationen ist technisch nicht möglich. Es wird empfohlen, sofern der E-Mail-Anbieter dies unterstützt, ein dediziertes App-Passwort anstelle des Haupt-Passworts zu verwenden, um die Auswirkungen im Falle einer Kompromittierung zu begrenzen.

Rechtsgrundlage

Die Verarbeitung der Postfach-Zugangsdaten und der eigenen E-Mails des Nutzers erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Bereitstellung der Integrationsfunktion).

Soweit die synchronisierten E-Mails personenbezogene Daten Dritter enthalten (Absender, Empfänger, Inhalte von Korrespondenzpartnern, die selbst keine Nutzer von struct-i-vio sind), stützt sich die Verarbeitung dieser Drittdaten auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Das berechtigte Interesse liegt in der Bereitstellung einer funktionsfähigen geschäftlichen Kommunikations- und Projektverwaltungsumgebung, die der Nutzer (als Verantwortlicher gegenüber seinen eigenen Korrespondenzpartnern) aktiviert hat. Die betroffenen Dritten haben eine vernünftige Erwartung, dass ihre geschäftliche Korrespondenz durch den Empfänger in professionellen Werkzeugen verwaltet wird. Dieses Interesse bezieht sich auf die reguläre Mailbox-Verarbeitung im geschäftlichen Kontext. Sofern die optionale semantische CRM-Mail-Suche aktiviert und für das einzelne Postfach freigegeben wird, gelten die gesonderten Hinweise in Abschnitt 12: Dabei werden minimierte Inhalte an Azure OpenAI übermittelt und daraus abgeleitete Suchvektoren im Tenant gespeichert.

Interne Sichtbarkeit im Mandanten

Die Ansicht eines angebundenen Postfachs (Posteingang, Ordner, Suche) ist auf den Postfach-Inhaber sowie auf Personen beschränkt, denen für dieses Postfach ausdrücklich eine Leseberechtigung erteilt wurde. Eine Ausnahme gilt für einzelne E-Mail-Konversationen, die – manuell durch Nutzer oder automatisch (z. B. bei einer erkannten Antwort oder über ein als Lead-Quelle konfiguriertes Postfach) – mit einem Lead im CRM-Modul verknüpft werden: Diese Konversationen einschließlich ihrer Anhänge sind zusätzlich für jede Person im Mandanten sichtbar, die den betreffenden Lead einsehen darf (allgemeine oder auf zugewiesene Leads beschränkte Leseberechtigung) – auch ohne eigene Leseberechtigung für das Postfach. Der übrige Inhalt des Postfachs bleibt davon unberührt. Wird die Verknüpfung wieder entfernt, entfällt auch diese zusätzliche Sichtbarkeit. Bereits automatisch in den Lead übernommene Anhänge dieser Konversation sowie daraus erzeugte Projektkopien werden dabei nicht sofort gelöscht, sondern für 30 Tage in den Papierkorb verschoben; wird dieselbe Konversation innerhalb dieser Frist erneut mit demselben Lead verknüpft, werden sie automatisch wiederhergestellt, andernfalls nach Fristablauf endgültig gelöscht. Bis dahin bleiben sie – unabhängig von einer Leseberechtigung für den Lead oder das Postfach – für Personen mit der allgemeinen Papierkorb-Berechtigung einsehbar und abrufbar. Trennt der Postfach-Inhaber die Integration oder ist eine erneute Autorisierung erforderlich, bleibt bereits verknüpfter Verlauf für berechtigte Lead-Betrachter im Rahmen der unten genannten Speicherdauer weiterhin einsehbar.

Der Versand von E-Mails über ein angebundenes persönliches Postfach setzt unabhängig davon stets eine eigene Sendebefugnis voraus (Postfach-Inhaber oder eine ausdrücklich erteilte Antwort-/Sende- Berechtigung); ein bloßes Leserecht genügt dafür nicht. Für gemeinsam genutzte Postfächer gilt dies gleichermaßen, sobald der Mandant die erweiterte Postfach-Zugriffssteuerung aktiviert hat; ist diese nicht aktiviert, kann davon abweichend jedes aktive Mitglied des Mandanten mit der für die jeweilige Sendeaktion erforderlichen Berechtigung über ein solches Postfach senden. Ein lesender Zugriff zu Support-Zwecken durch mit der Plattformadministration betraute Personen begründet für sich genommen keine Befugnis, im Namen eines Mitarbeitenden zu senden; eine plattformweite Support-Rolle begründet unter keinen Umständen eine solche Sendebefugnis.

Eine bestätigte Änderung der Login-E-Mail löst für die dieser Authentifizierungsidentität zugeordneten Postfachverbindungen automatisch eine erneute Autorisierung aus. Die lokale Verbindung wird deaktiviert und die in struct-i-vio gespeicherten Postfach-Geheimnisse sowie lokalen OAuth- und Synchronisierungsdaten werden unverzüglich gelöscht. Bereits synchronisierte Nachrichten, Dokumente, Anhänge, Zuordnungen und Berechtigungen bleiben nach den nachstehenden Lösch- und Aufbewahrungsregeln erhalten. Diese lokale Trennung widerruft eine beim jeweiligen Mailanbieter bestehende OAuth-Zustimmung oder providerseitige Subscription nicht zwingend sofort; deren Ablauf oder Widerruf richtet sich nach den Funktionen und Fristen des jeweiligen Anbieters.

Speicherdauer

• Postfach-Zugangsdaten: Bis zur aktiven Trennung der Integration durch den Nutzer. Bei Trennung werden Zugangsdaten (verschlüsselter Geheimtext in mailbox_secrets) unmittelbar gelöscht.
• Synchronisierte E-Mail-Inhalte: Bis zur Löschung der jeweiligen E-Mail in der Anwendung oder bis zur Löschung des Mandanten-Accounts, je nachdem, was früher eintritt.
• Im Lead abgelegte E-Mail-Anhänge: Übernommene Anhänge bleiben so lange beim Lead, wie sie für den Geschäftsvorgang benötigt werden oder bis der Verantwortliche ihre Löschung anweist. Das Abschalten der automatischen Übernahme löscht keine bereits gespeicherten Dateien. Bereits gespeicherte Signatur-, Symbol- oder GIF-Bilder sowie inhaltsgleiche Mehrfachkopien werden einmalig anhand ihres Dateiinhalts erkannt und in den Papierkorb verschoben. Signatur- und Symbolbilder sind dort innerhalb der geltenden Frist wiederherstellbar; eine als Duplikat verschobene Kopie lässt sich dagegen nur wiederherstellen, solange die im Lead behaltene Datei mit demselben Inhalt nicht mehr aktiv ist. Bei der Umwandlung in ein Projekt bleiben die Projektkopien mit dem Ursprung verknüpft und unterliegen dessen Löschregeln.

Datensicherheit der Zugangsdaten

Die Postfach-Zugangsdaten werden in einer gesonderten, besonders gesicherten Datenbanktabelle (mailbox_secrets) gespeichert, für die folgende Schutzmaßnahmen gelten:

• Alle Datenbankberechtigungen für authentifizierte und anonyme Rollen sind vollständig entzogen (REVOKE ALL). Lesezugriff besteht ausschließlich für den serverseitigen Sync-Prozess über eine privilegierte Datenbankfunktion.
• Tenant-Nutzer können die verschlüsselten Geheimdaten zu keinem Zeitpunkt direkt abfragen, auch nicht über eigene SQL-Abfragen.
• Die Entschlüsselung erfolgt ausschließlich im Arbeitsspeicher des Sync-Workers und wird nicht protokolliert.

Mailserver des Kunden kein Unterauftragnehmer

Der Mailserver, mit dem struct-i-vio sich per IMAP/SMTP verbindet, wird vom Nutzer selbst oder seinem Anbieter (z. B. Hetzner, Hostinger) betrieben. Dieser Mailserver ist kein Unterauftragnehmer von struct-i-vio im Sinne von Art. 28 DSGVO, da struct-i-vio lediglich auf den Mailserver als externe Datenquelle zugreift. Der Nutzer ist als Verantwortlicher selbst dafür zuständig, dass er berechtigt ist, über das angebundene Postfach auf die darin enthaltenen E-Mails zuzugreifen und diese in struct-i-vio zu synchronisieren.

12. KI-Funktionen (optional)

struct-i-vio bietet optionale KI-gestützte Funktionen zur Unterstützung und Automatisierung von Arbeitsabläufen. Diese Funktionen sind freiwillig und können vom Nutzer jederzeit genutzt oder nicht genutzt werden.

Dieser Abschnitt 12 beschreibt die in struct-i-vio integrierten KI-Funktionen. Die optionale Anbindung externer KI-Clients (z. B. Claude, ChatGPT, Cursor) über die MCP-Schnittstelle ist in Abschnitt 12e gesondert beschrieben; die Aussagen dieses Abschnitts 12 zu Einwilligung, Datenstandort, Auftragsverarbeitung durch Microsoft, Trainingsausschluss und zur Bestätigung von Schreibaktionen gelten für diese externen Clients nicht.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Die Nutzung der KI-Funktionen erfordert Ihre ausdrückliche Einwilligung. Vor der erstmaligen Nutzung des KI-Assistenten werden Sie über die Datenverarbeitung informiert und um Ihre Zustimmung gebeten. Ohne diese Einwilligung werden über diese Funktionen keine Daten an den KI-Dienstleister (Microsoft Azure) übermittelt.

Ihre Einwilligung wird revisionssicher in unserem System dokumentiert (Zeitpunkt, Version der Datenschutzhinweise, Benutzer-ID).

Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf kann formlos per E-Mail an tigran.varazhian@struct-i-vio.com erfolgen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Verarbeiteter Datenumfang

Bei Nutzung der KI-Funktion werden folgende Daten an den KI-Dienstleister übermittelt:

• Identitätsdaten: Ihr Name, Ihre E-Mail-Adresse und Ihre Position im Unternehmen
• Chatnachrichten: Alle Nachrichten, die Sie an den KI-Assistenten senden
• Projekt- und Aufgabendaten: Namen, Beschreibungen, Status, Fristen (soweit sichtbar)
• Mitarbeiterdaten: Namen, Rollen, Arbeitszeiten, Abwesenheiten (soweit sichtbar)
• Finanzdaten: Budgets, Rechnungen, Ausgaben (soweit sichtbar)
• CRM-Mail-Suchdaten (optional): bei aktivierter semantischer CRM-Suche der minimierte Betreff und bereinigte Nachrichtentext sowie Lead-Titel, -Beschreibung und -Tags
• Auf Anforderung geladene Lead-Mail-Auszüge (optional): Für eine ausdrücklich angeforderte KI-Aufgabe können begrenzte Auszüge bereits gespeicherter Nachrichten einer konkreten Lead-Konversation verarbeitet werden. Das setzt voraus, dass Sie den Lead sehen dürfen und für das zugehörige Postfach eine aktuelle Leseberechtigung haben; eine Lead-Verknüpfung allein ersetzt die Postfachberechtigung nicht. Es werden nur die für die Aufgabe angeforderten Nachrichten innerhalb eines technischen Umfangs von höchstens 50 Nachrichten und 5.000 Eingabe-Tokens übermittelt; Anhänge, Roh-Header und nicht angeforderte Nachrichten werden nicht einbezogen. Es erfolgt kein automatischer Hintergrundabruf und keine zusätzliche dauerhafte Speicherung.
• Dokument- und Anhangsdaten (optional): Inhalte, Dateiname und technische Metadaten einer im KI-Chat bereitgestellten PDF-Datei oder einer für die native Bearbeitung ausgewählten PPTX-Präsentation, insbesondere die dafür benötigten Folien- und Objektdaten
• Unternehmenshub-Referenzen (optional): Inhalte und Dateimetadaten aus Einträgen und angehängten DOCX-, PDF- oder PPTX/POTX-Dateien in Unternehmenshub-Bereichen, die der Nutzer lesen darf und die er für die jeweilige KI-Aufgabe als Referenz verwendet

Der Umfang der übermittelten Daten entspricht dem Sichtbereich des jeweiligen Nutzers und wird durch das Berechtigungssystem (Row Level Security) begrenzt.

Diese Daten werden bei Nutzung der KI-Funktion über den Azure OpenAI Service an Microsoft Deutschland GmbH(Walter-Gropius-Straße 5, 80807 München, Deutschland) als Auftragsverarbeiter übermittelt.

Bei der optionalen Analyse einer im KI-Chat hochgeladenen PDF werden zunächst die lokale PDF-Textschicht und die ausdrücklich angeforderten Seiten genutzt. Nur wenn eine visuelle Seitenanalyse erforderlich ist, können die dafür benötigten Seitenbilder an Azure OpenAI übermittelt werden. Für diesen Chat-PDF-Workflow wird kein zusätzlicher OCR- oder Dokumentenanbieter eingesetzt. Die KI erstellt daraus höchstens einen Vorschlag; eine Rechnung und eine dauerhafte Kopie des Dokuments werden erst nach einer ausdrücklichen Bestätigung des Nutzers angelegt.

Dies gilt entsprechend für die optionale KI-Vorbefüllung von Formularen, zum Beispiel beim Anlegen einer Rechnung oder Ausgabe. Die hierfür ausgewählte Datei wird nur vorübergehend in einem geschützten, noch nicht gespeicherten Verarbeitungsschritt gehalten und zur Ermittlung von Feldvorschlägen verarbeitet. Übermittelt werden bevorzugt die lokal ausgelesene Textschicht und — soweit der konkrete Verarbeitungspfad dies erfordert — nur die für die visuelle Prüfung erforderlichen Seitenbilder. Die Verarbeitung erfolgt über Azure OpenAI mit einem hierfür freigegebenen Luna- oder Terra-Deployment. Die Analyse liefert ausschließlich einen nicht bindenden Vorschlag. Es erfolgt keine automatische dauerhafte Speicherung in Rechnungen, Ausgaben oder anderen Geschäftsdaten: Die erkannten Werte können nach der Analyse in das noch ungespeicherte Formular übernommen werden, damit der Nutzer sie prüfen und ändern kann. Vom Nutzer eingegebene oder berührte Werte werden dabei nicht überschrieben; unberührte Systemvoreinstellungen können als zusammengehörige Finanzgruppe ersetzt werden, wenn die Analyse dafür konsistente Werte liefert. Der abschließende Speichervorgang bleibt eine ausdrückliche Nutzeraktion. Für nicht bestätigte Vorschläge und temporär gehaltene Dateien gelten gesonderte technische Löschfristen: Das Staging-Ticket ist 10 Minuten gültig; die zugehörige signierte Upload-URL kann höchstens 2 Stunden gültig sein. Nach Analyse, Abbruch oder Zurücksetzen wird die Staging-Datei best-effort gelöscht. Nicht erfolgreich entfernte Staging-Dateien werden in einem abschließenden Sweep nach 26 Stunden erneut zur Löschung aufgegriffen; die tatsächliche Entfernung hängt vom erfolgreichen Lauf ab. Zugehörige technische Metadaten werden 24 Stunden nach diesem abschließenden Sweep zur Löschung aufgegriffen. Das strukturierte Analyseergebnis kann zusätzlich als kurzlebiger technischer Beleg-Cache mit einem SHA-256-Hash des serverseitig gelesenen Dokumentinhalts, Tenant-, Projekt- und Nutzerkennung sowie dem strukturierten Ergebnis höchstens 15 Minuten ab Fertigstellung abrufbar sein. Nach Ablauf dieser Frist wird es im Produkt nicht mehr zur Wiedergabe bereitgestellt; die physische Löschung erfolgt im nächsten erfolgreichen regulären Cleanup-Lauf, der normalerweise alle fünf Minuten stattfindet, sich bei einem fehlgeschlagenen oder verzögerten Lauf aber verschieben kann. Für ungeklärte Provider-started- oder billing-pending-Vorgänge können technische Receipt-Metadaten bis zum Beginn des regelmäßig laufenden Bereinigungsprozesses nach sieben Tagen vorgehalten werden; der tatsächliche Löschzeitpunkt hängt vom erfolgreichen Lauf ab. Inhaltsfreie Wallet- Abrechnungsevidenz kann zur Abstimmung nach den dafür geltenden Fristen bestehen bleiben. Verschlüsselte Datenbank-Sicherungen können diese temporären Daten danach noch bis zu 365 Tage (höchstens 12 Monate) enthalten; sie sind nicht über das Produktivsystem zugänglich und werden nach der geltenden Backup-Purge-Regel gelöscht. Eine dauerhafte Kopie entsteht erst durch den normalen Speichervorgang des Nutzers.

Der rohe Chat-Anhang wird unabhängig davon nach Ablauf der sieben-tägigen Aufbewahrungsfrist im nächsten regulären Cleanup-Lauf endgültig gelöscht und nicht in den Datei-Backup-Speicher gespiegelt. Wird er auf ausdrückliche Nutzerbestätigung als Anhang einer Rechnung übernommen, entsteht eine eigenständige Kopie. Für diese Rechnungskopie gelten die regulären Papierkorb-, Wiederherstellungs- und Backup-Regeln für Arbeitsunterlagen.

Die Vorbefüllung kann durch einen Tenant-Administrator als tenantweite, optionale Funktion freigeschaltet werden. Ist sie freigeschaltet, kann eine unterstützte Rechnung oder Ausgabe nach dem Upload automatisch zur Analyse verarbeitet werden. Voraussetzung bleibt für jeden einzelnen Nutzer die zuvor erteilte und dokumentierte persönliche Einwilligung zur KI-Datenverarbeitung. Die tenantweite Freischaltung ersetzt diese persönliche Einwilligung nicht. Wird die Funktion im Tenant deaktiviert oder widerruft der Nutzer seine Einwilligung, werden künftig keine neuen Dateien aus dieser Vorbefüllung an Azure OpenAI gesendet; bereits gestartete Anfragen können technisch noch abgeschlossen werden; ein bereits an Azure OpenAI übermittelter Aufruf kann nicht nachträglich garantiert abgebrochen werden. Sein Ergebnis wird nach der serverseitigen Prüfung jedoch verworfen. Die KI darf Vorschläge in das ungespeicherte Formular übernehmen. Vom Nutzer eingegebene oder berührte Werte werden nicht überschrieben; unberührte Systemvoreinstellungen können als zusammengehörige Finanzgruppe ersetzt werden. Eine automatische dauerhafte Speicherung der Rechnung oder Ausgabe findet nicht statt.

Unternehmenshub als Referenz- und Vorlagenquelle

Die KI kann auf ausdrückliche Nutzeranweisung lesbare Einträge und angehängte Dateien aus dem Unternehmenshub als Referenz für ein neues Dokument oder eine Präsentation heranziehen. Die Auswahl bleibt auf Bereiche und Inhalte begrenzt, für die der Nutzer im aktuellen Mandanten eine Leseberechtigung besitzt. Eine automatische Vollindexierung des Hubs, ein Hintergrundabruf aller Dateien oder eine automatische Weitergabe an weitere Empfänger findet dabei nicht statt. Die gelesenen Inhalte werden als untrusted reference data behandelt; eingebettete Anweisungen aus einer Quelldatei ändern weder den Nutzerauftrag noch Berechtigungen oder Sicherheitsregeln.

DOCX- und PDF-Dateien werden für Text- und Inhaltsreferenzen ausgelesen. Eine native Kopie mit Erhalt der Folien- und Objektdaten ist ausschließlich bei ausdrücklich als Vorlage geeigneten PPTX- oder POTX-Dateien möglich; das Original im Unternehmenshub bleibt unverändert. Die Textauslesung bestätigt keine identische visuelle Darstellung.

Native PowerPoint-Präsentationen

Bei der optionalen Bearbeitung einer nativen PowerPoint-Datei (PPTX) werden der Inhalt der vom Nutzer ausgewählten Präsentation und die für den jeweiligen Auftrag benötigten Folien-, Text-, Bild- und Objektdaten verarbeitet. Wenn der Nutzer eine KI-Änderung anfordert, können der dafür erforderliche Ausschnitt, die Eingabe des Nutzers und das erzeugte Ergebnis an Azure OpenAI übermittelt werden. Standardmäßig wird die KI-Änderung zunächst als Vorschlag angezeigt und erst nach ausdrücklicher Bestätigung in einen gespeicherten Präsentationsstand übernommen. Eine automatische Übernahme findet nur statt, wenn ein berechtigter Nutzer für diese KI-Aktion zuvor ausdrücklich die Aktionsrichtlinie „immer automatisch ausführen“ gewählt hat; die serverseitigen Berechtigungs-, Tenant- und Konfliktprüfungen gelten weiterhin.

Für eine vom Nutzer angeforderte Folienvorschau oder einen Export verarbeitet der von structivio betriebene AWS-Deck-Renderer die jeweilige PPTX-Datei und gegebenenfalls die daraus erzeugte PDF-Datei. Die Verarbeitung erfolgt je Auftrag auf einem nicht ausführbaren temporären Dateisystem. Eingabe, Ausgabe und temporäres LibreOffice-Profil werden nach Erfolg, Fehler oder Abbruch bereinigt. Der Renderer hält keine dauerhaften Präsentationskopien oder Vorschau-Caches vor, spiegelt diese Daten nicht in den S3-Datei-Backup-Speicher und protokolliert keine Präsentationsinhalte. Vor einer produktiven Aktivierung muss der konkrete AWS-Betriebsstandort nachweislich auf eine EU-Region begrenzt und der private Zugriff auf den Dienst verifiziert sein.

Für die Wiederherstellung können im Produkt automatisch unveränderliche Präsentationsstände mit Zeitstempel, zugeordnetem Nutzer und einer kurzen Änderungsangabe gespeichert werden. Höchstens die letzten 50 automatischen Stände je Dokument bleiben aktiv. Ein regelmäßig geplanter, begrenzter Bereinigungslauf überführt Stände nach einem Alter von 30 Tagen in den Papierkorb; der tatsächliche Zeitpunkt hängt von erfolgreichen Läufen und einem möglichen Rückstand ab. Dort gilt die reguläre Wiederherstellungsfrist von bis zu 30 Tagen. Dateisicherungen können nach endgültiger Löschung noch bis zu 365 Tage und verschlüsselte Datenbanksicherungen bis zu 12 Monate bestehen bleiben; sie sind nicht Teil der regulären Nutzeransicht.

Kein Training auf Kundendaten

Microsoft verwendet Daten, die über den Azure OpenAI Service übermittelt werden, nicht zum Training von KI-Modellen. Dies ist vertraglich im Microsoft Products and Services Data Protection Addendum (DPA) festgelegt.

Speicherdauer bei Azure OpenAI

Microsoft beschreibt für Azure OpenAI eine Missbrauchsüberwachung, bei der Anfragen automatisiert ausgewertet und als auffällig erkannte Inhalte für eine mögliche Prüfung gespeichert werden können. Die aktuelle Microsoft-Dokumentation nennt dafür keine für alle Ressourcen und Bereitstellungsarten geltende feste Speicherdauer. Maßgeblich sind die Microsoft-Vertragsbedingungen und Einstellungen der konkret verwendeten Azure-Ressource; eine Zero-Retention-Zusage wird hier nicht abgegeben.

Speicherung in struct-i-vio

Ihre KI-Chatverläufe werden in der struct-i-vio-Datenbank gespeichert, um Ihnen den Zugriff auf frühere Gespräche zu ermöglichen. Sie können einzelne Gespräche jederzeit löschen. Bei Löschung Ihres Benutzerkontos werden alle KI-Chatverläufe ebenfalls gelöscht.

Nutzungsabhängige Credit-Abrechnung

Bei jeder kundenbezogenen KI-Funktion erfassen wir zusätzlich die für die Abrechnung erforderlichen Nutzungs- und Buchungsmetadaten. Dazu gehören insbesondere die Zuordnung zum Nutzer und Mandanten, die KI-Funktion bzw. Operation, die gemessene Verarbeitung, die daraus ermittelte Credit-Belastung, die verwendete Version der Abrechnungsgrundlage und gegebenenfalls eine nachvollziehbare Reservierungs-, Erstattungs- oder Ausgleichsbuchung. Diese Angaben dienen der Vertragserfüllung, der Erstellung und Prüfung der vereinbarten Abrechnung sowie dem Schutz vor Fehl- und Doppelbuchungen (Art. 6 Abs. 1 lit. b und f DSGVO). Sie werden vom jeweiligen KI-Inhalt getrennt betrachtet. Der kunden- bzw. mandantensichtbare Credit-Beleg enthält grundsätzlich weder Eingabe- und Ausgabedaten noch interne Kalkulationsgrundlagen. Getrennte, zugriffsbeschränkte interne Abrechnungsnachweise können die für die Ermittlung erforderlichen technischen Parameter enthalten, jedoch nicht den KI-Inhalt. Die konkrete Credit-Belastung wird angezeigt und im Nutzungskonto dokumentiert, sobald die jeweilige Abrechnung finalisiert ist. Bis dahin kann ein neutraler offener Abrechnungsstatus angezeigt werden. Sie kann je nach Modell, Kontext und genutzten Werkzeugen variieren. Nachgelagerte, derselben Chat-Anfrage zugeordnete Verarbeitungsschritte können nach ihrer jeweiligen Finalisierung als zusätzliche Nutzungsbuchungen hinzukommen; sie sind keine Korrektur eines bereits finalisierten Belegs.

Direkte Nutzer-, Mitarbeiter- und Konversationsbezüge werden spätestens nach 1.095 Tagen entfernt. Die verbleibende Abrechnungsevidenz wird spätestens nach 3.650 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis zur Entfernung der direkten Bezüge wird die Evidenz nur pseudonymisiert verarbeitet; die verbleibende Mandantenzuordnung (tenant_id) kann dabei als technische Finanz- und Abgrenzungsinformation erhalten bleiben. Noch offene, streitige oder nicht abschließend zuordenbare billing_pending-Vorgänge sind von der automatischen Löschung ausgenommen, bis sie geklärt und abgeschlossen sind. Danach gelten die regulären Fristen mit der jeweils frühestmöglichen Datenminimierung. Eine Löschung des Chatverlaufs löscht nicht automatisch den zur Abrechnung erforderlichen Beleg; eine erforderliche Korrektur eines bereits finalisierten Belegs erfolgt durch eine getrennte Ausgleichsbuchung.

Datenstandort und EU Data Boundary

Die Verarbeitung erfolgt auf Microsoft-Infrastruktur innerhalb der Microsoft EU Data Boundary (primär: Region Sweden Central). Für den regulären KI-Assistenten findet kein Transfer in Drittländer außerhalb des EWR statt. Das DPA zwischen structivio und Microsoft ist unter https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA abrufbar.

Keine automatisierten Entscheidungen

Bei den in diesem Abschnitt beschriebenen, in struct-i-vio integrierten KI-Funktionen werden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen. KI-Ausgaben sind als Empfehlungen zu verstehen. Schreibaktionen werden standardmäßig erst nach ausdrücklicher Bestätigung ausgeführt. Soweit ein berechtigter Nutzer für eine konkrete KI-Aktion zuvor ausdrücklich „immer automatisch ausführen“ eingestellt hat, kann diese Aktion ohne erneute Bestätigung ausgeführt werden; Berechtigungs-, Tenant- und Konfliktprüfungen bleiben wirksam.

Bei der Anbindung externer KI-Clients werden Aktionen ohne zusätzliche Bestätigung durch struct-i-vio ausgeführt (siehe Abschnitt 12e). Auch dort trifft struct-i-vio keine eigenen Entscheidungen über Personen; die Verantwortung für Entscheidungen, die ein Nutzer oder der Kunde über einen externen Client trifft oder treffen lässt, liegt beim Kunden.

Spracherkennung / Diktat (optional)

An jeder Stelle der Anwendung, an der ein Textfeld eine Mikrofon-Taste zum Diktieren anbietet — aktuell insbesondere im KI-Chat, in den KI-Anweisungsfeldern der Angebots-Erstellung und in CRM-Notizen —, können Sie Ihre Eingabe statt durch Tippen auch per Mikrofon-Diktat machen. Die Funktion wird ausschließlich durch einen bewussten Klick auf die Mikrofon-Taste aktiviert; ohne diesen Klick wird zu keinem Zeitpunkt auf Ihr Mikrofon zugegriffen. Der erkannte Text wird stets nur in das jeweilige Textfeld eingefügt und niemals automatisch abgesendet oder bestätigt; eine Aktion, die das Absenden des Feldes sonst auslösen würde (z. B. ein Status- oder Phasenwechsel), wird durch das Diktat selbst nicht ausgelöst.

Für die Spracherkennung nutzen wir Azure AI Speech von Microsoft Deutschland GmbH, betrieben auf einer eigens für struct-i-vio eingerichteten Ressource in der Region Sweden Central (EU). Die Spracherkennung verarbeitet grundsätzlich innerhalb der Region der zugewiesenen Ressource; Ihre gesprochenen Daten verlassen die EU dabei nicht.

Ihr Browser nimmt das Audio auf und überträgt es, sobald Sie das Diktat beenden, einmalig und verschlüsselt (TLS) an unseren Server. Dort wird die Aufnahme ausschließlich für die Dauer dieser einzelnen Anfrage gehalten, unverändert zur Erkennung an Azure AI Speech weitergereicht und noch innerhalb derselben Anfrage wieder gelöscht — unabhängig davon, ob die Erkennung erfolgreich war. Wir speichern selbst keine Audiodaten. Für die interne Kostenkontrolle protokollieren wir zu jedem Diktatvorgang ausschließlich die gemessene Aufnahmedauer und die verwendete Erkennungssprache; weder der Audioinhalt noch der erkannte Text werden dabei gespeichert. Auch auf Seiten von Microsoft ist die Protokollierung bzw. Aufbewahrung von Audiodaten für diesen Dienst deaktiviert; eine Nutzung Ihrer gesprochenen Daten zum Training von KI-Modellen findet nicht statt.

Die Verarbeitung erfolgt nur, solange Sie die Mikrofon-Taste aktiv nutzen, mit einer harten Obergrenze von 5 Minuten je Diktatvorgang. Die Erkennungssprache wird fest aus der eingestellten Oberflächensprache der Anwendung übernommen; über einen manuellen Umschalter können Sie für ein einzelnes Diktat gezielt eine der fünf von struct-i-vio unterstützten Sprachen wählen (Deutsch, Englisch, Spanisch, Russisch, Ukrainisch). Eine automatische Erkennung der gesprochenen Sprache findet nicht statt.

Für die Diktatfunktion gelten dieselbe Einwilligung und dieselbe Berechtigung zur Nutzung des KI-Assistenten wie für dessen übrige Funktionen (vgl. Abschnitt „Einwilligung" oben). Ohne Ihre Einwilligung oder ohne diese Berechtigung wird die Diktatfunktion nicht bereitgestellt.

Interaktiver Realtime-Sprachdialog (optional)

Der optionale Realtime-Sprachdialog ermöglicht ein fortlaufendes Gespräch mit dem KI-Assistenten. Bei seiner Aktivierung werden das von Ihnen gesprochene Audio sowie die vom Dienst erzeugten Textanteile der Sprachausgabe verarbeitet. Eine Eingabe-Transkription (ASR) ist im aktuell dokumentierten Pfad nicht aktiviert. Die Übermittlung erfolgt über das für struct-i-vio konfigurierte Azure-OpenAI-Realtime- Deployment gpt-realtime-2.1 in Azure Sweden Central als Data-Zone-Deployment innerhalb des EWR. Das Audio wird dabei über den von structivio eingesetzten Azure-Container-App-Gateway in derselben Azure-Region transportiert. Der Gateway hält Audio und Transkriptinhalte nur flüchtig für die laufende Verbindung und schreibt sie nicht in seine Betriebsprotokolle; gespeichert werden ausschließlich begrenzte, inhaltsfreie technische Laufzeitdaten. Die Azure-Ressource und der Gateway sind in Sweden Central bereitgestellt; bei einem Data-Zone-Deployment können Prompts und Responses zur Inferenz jedoch innerhalb der von Microsoft festgelegten EU Data Zone in jedem EU-Mitgliedstaat verarbeitet werden. Sweden Central bezeichnet daher den Ressourcen- und Gatewaystandort, nicht eine Garantie für jeden einzelnen Inferenzverarbeitungsort. Diese Standortangabe gilt für den aktuell dokumentierten Primärpfad. Sie stellt keine pauschale Zusage einer bestimmten Provider-Aufbewahrungsdauer dar; insbesondere können für Abuse Monitoring, Sicherheitsprüfungen oder optionale Diagnosefunktionen eigene Microsoft-Regeln gelten.

Für den Realtime-Gateway werden ausschließlich inhaltsfreie Laufzeitmessungen (z. B. eine grobe Phasen- und Latenzklassifikation) in Azure Monitor/Log Analytics protokolliert. Die dafür konfigurierte Aufbewahrung beträgt derzeit 30 Tage. Gesprochene Audiodaten, Transkriptinhalte und Skill-Ergebnisse werden dort nicht als Gateway-Logs gespeichert; dauerhaft gespeicherte Sitzungs-, Status- und Auftragsdaten verbleiben in den jeweils beschriebenen Produktpfaden.

Vor dem ersten Realtime-Sprachdialog ist eine gesonderte, versionierte Einwilligung erforderlich. Diese wird pro Nutzer, Tenant und Einwilligungsversion dokumentiert und muss nach einer erfolgreichen Erteilung nicht bei jedem neuen Gespräch erneut bestätigt werden. Sie können diese Einwilligung ablehnen oder jederzeit mit Wirkung für die Zukunft widerrufen. Ohne aktuelle Einwilligung wird weder das Mikrofon aktiviert noch eine Realtime-Verbindung hergestellt. Die technische Mikrofonfreigabe des Browsers bzw. Betriebssystems ist davon getrennt: Der Browser kann zusätzlich eine eigene Berechtigung und eine bewusste Nutzeraktion verlangen. Das Mikrofon wird erst nach dieser Aktivierung verwendet; Roh-Audio wird von struct-i-vio standardmäßig nicht dauerhaft gespeichert. Ein Widerruf beendet laufende Realtime-Sitzungen und verhindert neue Sitzungen; bereits rechtmäßig erfolgte Verarbeitungen bleiben hiervon unberührt.

Das Ende der Audioverbindung beendet den Realtime-Transport. Ein bereits zugelassener und gestarteter delegierter Recherche- oder Hintergrundauftrag darf innerhalb seines ursprünglichen Token-, Credit- und Zeitlimits weiterlaufen; sein Ergebnis wird später dem berechtigten Chat zugeordnet. Ein Widerruf der Realtime-Einwilligung, eine Abmeldung oder die Deaktivierung durch den Tenant blockiert neue Ausführungen und neue eigenständige Ergebniszustellungen. Eine bereits veröffentlichte Root-Antwort sowie nur daran gebundene, zuvor zugelassene Anhänge, Sidecar-Ergänzungen oder technische Abschlussdaten können innerhalb der ursprünglichen Limits noch fertiggestellt und dem berechtigten Chat zugeordnet werden. Eine zum Zeitpunkt des Widerrufs bereits technisch zugelassene Provider-Anfrage kann noch abgeschlossen werden; neue Zulassungen und neue unabhängige Nachfolgeaktionen werden nicht mehr erteilt.

Beim Wechsel aus einem bestehenden Textchat wird nicht automatisch der vollständige Verlauf übertragen. Vor dem kostenpflichtigen Start wird ein begrenzter Kontext aus dem aktuellen Gespräch vorbereitet und die voraussichtliche Belastung angezeigt. Bei Bedarf können einzelne ältere Gesprächsinformationen oder Ergebnisse später gezielt nachgeladen werden. Realtime-Sitzung, die gespeicherten Textanteile der Sprachausgabe, Kontextübernahme und nachgelagerte Aufgaben bleiben dem jeweils berechtigten Nutzer und Tenant zugeordnet. Wenn Sie im Gespräch eine App-Aufgabe auslösen, erhält der bestehende Assistent eine begrenzte Interpretation Ihrer gesprochenen Absicht, kein als wörtlich verifiziert behauptetes Sprachtranskript.

Für kurze, lesende App-Fragen kann der Realtime-Assistent nach dem Laden eines für Ihre Berechtigungen freigegebenen Skills direkt begrenzte Daten lesen. Diese Lesezugriffe werden serverseitig erneut tenant-, rollen- und projektbezogen geprüft; die Ergebnisse werden nach den Grenzen des freigegebenen Lesewerkzeugs gekürzt. Schreibende Aktionen, Recherche im Internet sowie längere oder komplexere Bearbeitungen werden an den regulären KI-Assistenten bzw. dessen dafür vorgesehenen Recherchepfad delegiert. Dort gelten weiterhin die bestehenden Bestätigungs-, Berechtigungs-, Protokollierungs- und Einwilligungsregeln; der Realtime-Assistent erhält dabei nur den für die Bearbeitung benötigten Auftrag und Status.

Die Live-Anzeige unterscheidet zwischen einer laufenden Schätzung und der nach Provider-Rückmeldung bestätigten Credit-Belastung. Die Schätzung ist kein Festpreis. Die reine Kontextvorbereitung verwendet den bestehenden begrenzten Kontext und erzeugt keine zusätzliche bezahlte Zusammenfassung. Audio-Ein- und -Ausgabe sowie nachgelagerte Recherche-, Dokument- oder sonstige KI-Aufträge können eigene Nutzungsbuchungen auslösen. Für die gesamte Realtime-Sitzung gilt ein serverseitig durchgesetztes Credit- Limit; bei fehlender Deckung oder Erreichen des Limits werden weitere kostenpflichtige Verarbeitungsschritte nicht gestartet.

Realtime-Abrechnungsbelege enthalten keine Roh-Audioaufnahmen, Prompts, Transkriptvolltexte oder Tool-Argumente. Der vorübergehend für die Audioverbindung hinterlegte Übergabekontext und das Verbindungsticket werden bei Ende oder Ablauf der Sitzung entfernt. Im Chat gespeicherte Aufträge und Ergebnisse folgen dem Lebenszyklus des Gesprächs. Beim Löschen des Gesprächs werden zugehörige Realtime-Inhalte entfernt und Gesprächsbezüge minimiert. Davon getrennte erforderliche Abrechnungsnachweise bleiben erhalten; unklare Abrechnungen bleiben bis zur Klärung offen.

Websuche durch die KI (Internetrecherche)

Wenn ein Verantwortlicher (Tenant-Administrator) die optionale Funktion „Internetrecherche" für die Lead-Vorqualifizierung aktiviert, werden bei Nutzung dieser Funktion ausgewählte Lead-Daten — typischerweise Firmenname, E-Mail-Adresse und frei eingegebene Beschreibungsfelder — an den Azure OpenAI Service von Microsoft Deutschland GmbH übermittelt. Azure OpenAI nutzt dafür das integrierte Web-Such-Tool (Bing-gestützt, betrieben von Microsoft). Suchanfragen können Microsoft-Bing-Infrastruktur tangieren, die nicht durchgängig innerhalb der Microsoft EU Data Boundary liegt; Microsoft ist für diese Sub-Verarbeitung als Betreiber des Bing-Dienstes verantwortlich und durch sein DPA gebunden.

Verlassen der struct-i-vio-Infrastruktur: Die Lead-Daten verlassen im Rahmen dieser Funktion die struct-i-vio-Systeme und die Supabase-Datenbank. Ab dem Zeitpunkt der Übermittlung unterliegen die Daten den Datenschutzregeln des Microsoft DPA. Dies unterscheidet die KI-Websuche qualitativ vom regulären KI-Assistenten, bei dem Daten ausschließlich innerhalb der Microsoft EU Data Boundary verbleiben.

Rechtsgrundlage und Einwilligung: Die Aktivierung durch den Tenant-Administrator erfordert eine gesonderte, dokumentierte Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Ohne diese Einwilligung wird die Internetrecherche nicht ausgeführt.

Auftragsverarbeitung: Microsoft Deutschland GmbH ist für diese Verarbeitung als Unterauftragnehmer im Sinne von Art. 28 DSGVO tätig. Das Microsoft Products and Services Data Protection Addendum gilt auch für diese Verarbeitung. Microsoft verwendet Azure OpenAI API-Daten nicht zum Training von KI-Modellen.

Datenkategorien und Verantwortung: Die Nutzer sind als Verantwortliche dafür zuständig, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine anderweitig schützenswerten vertraulichen Informationen in Lead-Beschreibungsfelder einzutragen, die für die Internetrecherche freigegeben sind.

Automatisierte Lead-Verarbeitung (Vorqualifizierung)

Wenn ein Tenant-Administrator die optionale Funktion „Automatische Lead-Bewertung" aktiviert, wird jeder neu eingehende Vorqualifizierungs-Lead automatisch und ohne manuelles Zutun an den Azure OpenAI Service von Microsoft Deutschland GmbHübermittelt, sobald er im System erfasst wird. Auf Basis der übermittelten Lead-Daten (insbesondere Name, E-Mail-Adresse, Unternehmen und Beschreibungsfelder der Kontaktperson) erstellt Azure OpenAI eine Erstbewertung und generiert Feldvorschläge.

Nur Vorschläge — keine automatische Dateneingabe: Die durch die KI erzeugten Bewertungen und Feldvorschläge werden dem zuständigen Nutzer lediglich zur Prüfung vorgelegt. Eine automatische Übernahme in die Lead-Stammdaten erfolgt nicht; jede Änderung erfordert eine explizite menschliche Bestätigung.

Kein Anwendungsfall von Art. 22 Abs. 1 DSGVO: Das Verfahren stellt keine automatisierte Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO dar. Die KI erzeugt ausschließlich vorbereitende Bewertungen und Vorschläge; rechtlich oder wirtschaftlich erhebliche Entscheidungen werden nicht ausschließlich durch die automatisierte Verarbeitung getroffen, sondern stets durch einen Menschen bestätigt oder verworfen. Die KI-Ausgabe hat damit den Charakter eines Unterstützungshinweises, nicht einer rechtsverbindlichen Entscheidung.

Kontinuierliche Verarbeitung: Im Unterschied zur manuell ausgelösten Einzelrecherche läuft diese Verarbeitung fortlaufend für jeden neu eingehenden Lead, solange die Einstellung aktiv ist. Der Administrator kann die Funktion jederzeit deaktivieren.

Rechtsgrundlage und Einwilligung: Die Aktivierung durch den Tenant-Administrator erfordert eine gesonderte, dokumentierte Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Für die Verarbeitung personenbezogener Daten der Lead-Kontaktpersonen stützt sich der Tenant als Verantwortlicher auf sein berechtigtes Interesse an der effizienten Vorqualifizierung geschäftlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Datenstandort und Auftragsverarbeitung: Es gelten dieselben Grundsätze wie beim regulären KI-Assistenten: Verarbeitung innerhalb der Microsoft EU Data Boundary (Sweden Central); Auftragsverarbeitung durch Microsoft Deutschland GmbH gemäß Art. 28 DSGVO auf Basis des Microsoft DPA; kein Modelltraining auf API-Daten. Für die Missbrauchsüberwachung und mögliche Speicherung auffälliger Inhalte gelten die Microsoft-Regeln der konkret verwendeten Ressource; eine allgemeine feste Speicherdauer wird nicht zugesagt.

Semantische CRM-Mail-Suche (optional, standardmäßig deaktiviert)

Ein Tenant-Administrator kann die Funktion für den Tenant aktivieren. Zusätzlich muss der jeweilige Postfach-Owner oder ein dafür ausdrücklich berechtigter Mailbox-Manager die Verarbeitung für das betreffende Postfach freigeben. Ohne beide Freigaben werden keine Maildaten für diese Funktion an Azure übermittelt. Die nach diesem Abschnitt erforderliche dokumentierte individuelle Einwilligung zur KI-Datenverarbeitung muss ebenfalls vorliegen.

Zweck ist ausschließlich, im CRM-Dialog zur manuellen Zuordnung einer Konversation zu einem Lead passende „Top-Treffer“ vorzuschlagen. Dafür werden vorhandene und künftig synchronisierte Nachrichten des freigegebenen Postfachs asynchron und in minimierter Form verarbeitet: Betreff und bereinigter Nachrichtentext sowie Lead-Titel, -Beschreibung und -Tags. Technisch erkennbare E-Mail-Adressen werden aus dem Text entfernt; sonstige Header werden nicht an Azure gesendet. Anhänge, zitierte Nachrichtenverläufe und technisch erkennbare Signaturen sind von der Vektorisierung ausgeschlossen. Die Suche trifft keine automatische Zuordnungsentscheidung; der Nutzer prüft und bestätigt die Zuordnung.

Für die Embedding-Erstellung wird der Azure OpenAI Service von Microsoft Deutschland GmbH als Auftragsverarbeiter genutzt. Der dokumentierte Standardpfad verwendet die für struct-i-vio konfigurierte Ressource in Sweden Central innerhalb der Microsoft EU Data Boundary. Die allgemeine Microsoft-Dokumentation nennt keine einheitliche feste Speicherdauer für alle Ressourcen und Bereitstellungsarten (siehe oben).

Wird die Funktion deaktiviert oder eine Freigabe widerrufen, werden Aufträge, deren Freigabe zur Übermittlung noch nicht erfolgt ist, nicht mehr an Azure gesendet. Ein unmittelbar zuvor zur Übermittlung freigegebener Auftrag kann zeitgleich mit dem Widerruf noch eine Azure-Anfrage auslösen oder dort abgeschlossen werden. Ein danach zurückgeliefertes Embedding wird verworfen und nicht in struct-i-vio gespeichert; offene Jobs und bereits gespeicherte abgeleitete Vektoren werden gelöscht. Wird eine Quellnachricht geändert, wird ihr Vektor neu erstellt; wird sie gelöscht, wird auch ihr Vektor gelöscht. Die Quellnachricht selbst folgt weiterhin den unter Abschnitt 11 beschriebenen Löschregeln.

Der Tenant-Verantwortliche muss die Rechtmäßigkeit der Verarbeitung und die erforderliche Information seiner Korrespondenzpartner sicherstellen. Postfächer mit erlaubter oder geduldeter Privatnutzung dürfen nur verarbeitet werden, wenn der Verantwortliche die dafür erforderlichen rechtlichen Voraussetzungen erfüllt; Hinweise dazu stehen unter Private Nutzung dienstlicher Postfächer.

KI-gestützte Firmen-Recherche im CRM (optional)

Die optionale Funktion „Firmen-Recherche" für das CRM-Modul ist für Ihren Mandanten ab Werk aktiviert; ein Tenant-Administrator kann sie insgesamt deaktivieren. Ist sie aktiv, kann ein berechtigter Nutzer je Firma eine KI-gestützte Recherche im Internet auslösen; die geschätzten Kosten werden vor dem Start angezeigt. Der Tenant-Administrator kann zusätzlich eine automatische Recherche bei neu mit einem Lead verknüpften Firmen freischalten (ab Werk deaktiviert, mit einer täglichen Obergrenze je Tenant).

Verarbeiteter Datenumfang: An den Azure OpenAI Service übermittelt werden ausschließlich die Stammdaten der Firma — Name, Rechtsform, Postleitzahl, Ort, Land, Website/Domain, Registernummer und USt-ID. Kontakte, Notizen, E-Mail-Inhalte oder sonstige Freitextfelder der Firma werden nicht übermittelt. Die Funktion nutzt dasselbe integrierte, Bing-gestützte Web-Such-Tool wie die oben beschriebene Websuche für die Lead-Vorqualifizierung; die dortigen Hinweise zum teilweisen Verlassen der Microsoft EU Data Boundary durch die Such-Sub-Verarbeitung gelten entsprechend.

Freigabe und Einwilligung: Die Firmen-Recherche nutzt dieselbe tenantweite Freigabe der KI-Internetrecherche wie die Lead-Vorqualifizierung (siehe „Websuche durch die KI" oben); eine gesonderte Freigabe ist nicht erforderlich. Für einen manuell ausgelösten Lauf ist zusätzlich Ihre eigene, dokumentierte Einwilligung zur KI-Datenverarbeitung erforderlich (siehe Abschnitt „Einwilligung" oben). Ein automatischer Lauf bei einer neu verknüpften Firma hat keinen handelnden Nutzer; hierfür genügt entsprechend der „Automatisierten Lead-Verarbeitung" oben die dokumentierte Freischaltung durch den Tenant-Administrator, eine persönliche Einwilligung ist hierfür nicht erforderlich.

Angaben zur Geschäftsführung: Das Rechercheergebnis kann, soweit öffentlich auffindbar, Namen und Funktionen von Personen in offizieller Organstellung enthalten (z. B. Geschäftsführung, Vorstand). Rechtsgrundlage für die Verarbeitung dieser Angaben über Dritte ist das berechtigte Interesse des Tenants an einer fundierten Geschäftsanbahnung (Art. 6 Abs. 1 lit. f DSGVO) — entsprechend der bereits oben beschriebenen Verarbeitung von Lead-Kontaktpersonen. Telefonnummern, E-Mail-Adressen und Internetadressen werden serverseitig aus diesen Namensangaben entfernt. Jede angezeigte Angabe zur Geschäftsführung trägt zusätzlich den Hinweis: „Angaben zur Geschäftsführung stammen aus öffentlichen Quellen zum genannten Stand und können veraltet oder unzutreffend sein. Bitte vor Verwendung prüfen."

Sperre und Widerspruch (Art. 21 DSGVO): Ein berechtigter Nutzer kann für jede Firma einzeln die Recherche vollständig sperren, nur die automatische Recherche sperren, oder gezielt die Angaben zu Personen sperren. Eine Sperre der Personenangaben entfernt bestehende Geschäftsführungsangaben aus allen gespeicherten Rechercheergebnissen dieser Firma und sorgt dafür, dass künftige Läufe solche Angaben nicht mehr abfragen. Widerspricht eine dort genannte Person der Verarbeitung ihrer Daten, löscht der Tenant die betreffenden Rechercheergebnisse und aktiviert anschließend diese Personensperre für die Firma.

Keine automatische Übernahme, Aufbewahrung:Rechercheergebnisse dienen ausschließlich der Ansicht durch berechtigte Nutzer; eine automatische Übernahme in die Firmen-Stammdaten findet nicht statt. Je Firma werden höchstens die drei neuesten abgeschlossenen sowie, getrennt davon, die drei neuesten fehlgeschlagenen oder übersprungenen Läufe aufbewahrt (nach Anzahl, nicht nach Zeit); ältere Läufe werden dabei entfernt. Rechercheergebnisse werden außerdem gelöscht, wenn ein berechtigter Nutzer sie löscht oder wenn die zugehörige Firma gelöscht wird.

Monatsreport mit KI-Einordnung (optional)

Der automatische Monatsreport für das CRM-Modul ist für Ihren Mandanten ab Werk aktiviert; ein Tenant-Administrator kann ihn jederzeit deaktivieren. Ist die Funktion aktiv, wird zum Monatsersten ein Report mit Team-Kennzahlen des Vormonats erzeugt (z. B. neue und kontaktierte Leads, gewonnene und verlorene Leads samt Werten, offene Pipeline) und in der Anwendung sowie als PDF-Datei bereitgestellt. Die Kennzahlen selbst werden ausschließlich per Datenbankabfrage ermittelt und sind nicht kostenpflichtig; eine KI-Verarbeitung findet dafür nicht statt.

Optionale KI-Einordnung: Ist die zusätzliche Einstellung „KI-Einordnung" aktiviert, schreibt die KI eine kurze, einordnende Erläuterung zu den bereits berechneten Team-Kennzahlen. An den Azure OpenAI Service übermittelt werden dabei ausschließlich die numerischen bzw. kategorialen Team-Kennzahlen selbst (z. B. Zählwerte und Aufschlüsselungen nach Quelle oder Währung); Freitexte wie Lead-Titel, Beschreibungen oder Notizen werden nicht übermittelt, da der KI-Baustein diese Angaben technisch gar nicht erhält. Eine serverseitige Prüfung verwirft die KI-Antwort, wenn sie eine Zahl enthält, die nicht aus den übermittelten Kennzahlen stammt. Scheitert die KI-Einordnung oder reicht das KI-Guthaben nicht aus, wird der Report ohne den KI-Anteil zugestellt.

Abschnitte je Mitarbeitende (§ 87 Abs. 1 Nr. 6 BetrVG):Der Report kann zusätzliche Abschnitte mit Kennzahlen je Mitarbeitendem enthalten. Diese werden ausschließlich erzeugt, wenn zum Erstellungszeitpunkt sowohl die entsprechende Einstellung der Telefonakquise als auch das hierfür vorgesehene Team-Recht vorliegen; in den gespeicherten Kennzahlen werden Mitarbeitende ausschließlich über ihre interne Kennung geführt, niemals über ihren Namen — die Auflösung zu einem Namen erfolgt erst bei der berechtigten Ansicht. Die optionale KI-Einordnung erhält strukturell keine mitarbeiterbezogenen Daten; die KI-Anweisung untersagt zusätzlich ausdrücklich, einzelne Mitarbeitende zu benennen oder erkennbar zu machen.

Empfänger und Zustellung: Empfänger des Reports sind alle aktiven Mitglieder des Tenants mit dem hierfür vorgesehenen Recht. Die Benachrichtigung erfolgt standardmäßig als In-App-Hinweis sowie zusätzlich per E-Mail; die E-Mail enthält ausschließlich einen neutralen Hinweistext und einen Link zum Report, keinen PDF-Anhang. Der Abruf über diesen Link verlangt eine aktive Anmeldung und prüft die Empfangsberechtigung zum Abrufzeitpunkt erneut — eine an Dritte weitergeleitete E-Mail gewährt daher keinen Zugriff ohne eigene Berechtigung.

Aufbewahrung: Reports werden unbegrenzt aufbewahrt, damit der zeitliche Verlauf der Kennzahlen nachvollziehbar bleibt; sie enthalten keine Freitexte und, soweit vorhanden, mitarbeiterbezogene Abschnitte ausschließlich mit interner Kennung statt Namen. Der Tenant-Administrator kann den Monatsreport sowie die KI-Einordnung jederzeit deaktivieren.

Persönlicher Tagesplan (optional)

Die Funktion „Persönlicher Tagesplan" für das CRM-Modul ist für Ihren Mandanten ab Werk freigeschaltet; ein Tenant-Administrator kann sie für den Mandanten deaktivieren. Die Funktion selbst muss zusätzlich von jeder Person einzeln für sich aktiviert werden; sie ist nie automatisch für andere Personen aktiv. Ist sie aktiviert, erstellt die KI an Werktagen zu einer selbst gewählten Uhrzeit eine kurze, priorisierte Übersicht der für diese Person anstehenden CRM-Aufgaben — etwa heute fällige und überfällige Leads sowie als besonders vielversprechend eingestufte Leads — mit direkten Verweisen in die Anwendung.

Verarbeiteter Datenumfang: Grundlage sind ausschließlich Leads und Aufgaben im Sichtbereich der jeweiligen Person, begrenzt durch das Berechtigungssystem (Row Level Security); es werden keine zusätzlichen Datenkategorien verarbeitet, die nicht bereits oben unter „Verarbeiteter Datenumfang" beschrieben sind. Für die KI-Erläuterung im Tagesplan gilt dieselbe Einwilligung wie für die übrigen Funktionen des KI-Assistenten (siehe Abschnitt „Einwilligung" oben).

Strikt persönlich: Der Tagesplan einer Person ist ausschließlich für diese Person selbst einsehbar — auch ein Tenant-Administrator oder eine Führungskraft hat hierauf keinen Zugriff. Datenbankseitig ist der Lesezugriff auf den Eigentümer der jeweiligen Zeile beschränkt.

Aufbewahrung: Es wird genau eine Zeile je Person gespeichert; sie wird an jedem Werktagmorgen durch den neuen Tagesplan überschrieben. Eine Historie früherer Tagespläne wird nicht geführt. Die Zeile wird gelöscht, wenn die Person die Funktion für sich deaktiviert oder ihr Konto gelöscht wird.

Zustellung und Kosten: Die Benachrichtigung erfolgt standardmäßig als In-App-Hinweis; eine zusätzliche E-Mail-Benachrichtigung ist ab Werk deaktiviert und kann von der jeweiligen Person selbst aktiviert werden. Die Erstellung wird wie eine automatisierte KI-Nutzung abgerechnet; die zugehörige Buchung erscheint im Nutzungskonto entsprechend dem oben beschriebenen Abschnitt „Nutzungsabhängige Credit-Abrechnung".

12a. E-Mail-Öffnungs- und Klick-Tracking (Cold-Leads-Modul)

Wenn ein Tenant-Administrator das optionale Cold-Leads-Modul nutzt, um Outbound-Kontakte (Cold Leads) per E-Mail anzusprechen, setzt struct-i-vio in den versendeten Marketing-E-Mails ein Öffnungs-Tracking (1×1-Pixel) und ein Klick-Tracking (Umschreibung von Links) ein, sofern der jeweilige Cold Lead eine bestätigte Marketing-Einwilligung (Double-Opt-In) erteilt hat.

Die DOI-Bestätigungs-Mail sowie die Unsubscribe-Landing-Page sind von diesem Tracking ausgenommen — diese Nachrichten werden nie getrackt.

Verarbeitete Daten

• Öffnungs-Ereignis: Zeitstempel des Abrufs des Tracking-Pixels, IP-Adresse, User-Agent (Browser- und Geräteinformation). Hinweis: Öffnungsraten sind näherungsweise und können inflationiert sein, weil verschiedene E-Mail-Clients (z. B. Apple Mail mit Mail Privacy Protection) Bilder automatisch vorab abrufen, ohne dass die Empfängerin oder der Empfänger die Nachricht tatsächlich geöffnet hat.
• Klick-Ereignis: Zeitstempel des Klicks auf einen Link, Ziel-URL, IP-Adresse, User-Agent. Klick-Ereignisse sind zuverlässig.

Die Ereignisse werden in der Tabelle email_tracking_events gespeichert, die dem jeweiligen Tenant zugeordnet ist. Kein Tracking-Anbieter ist eingebunden; das Tracking läuft ausschließlich auf der eigenen Infrastruktur von struct-i-vio (Supabase, Frankfurt).

Zweck

Messung des Engagements mit ausgehenden Marketing-E-Mails (Zustellbarkeit, Öffnungs- und Klickverhalten), um dem Verantwortlichen (Tenant) eine Einschätzung der Wirksamkeit seiner Outbound-Kommunikation zu ermöglichen.

Rechtsgrundlage

Das Tracking erfolgt ausschließlich bei Cold Leads, die eine bestätigte Marketing-Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) über das Double-Opt-In-Verfahren erteilt haben. Diese Einwilligung deckt sowohl die Kontaktaufnahme per E-Mail als auch das beschriebene Engagement-Tracking ab. Ohne bestätigte Einwilligung wird kein Tracking durchgeführt.

Der Tenant ist als datenschutzrechtlich Verantwortlicher für die Rechtmäßigkeit der Einwilligung und der darauf gestützten Verarbeitung zuständig.

Widerruf

Der Empfänger einer Marketing-E-Mail kann seine Einwilligung jederzeit widerrufen, indem er den in jeder E-Mail enthaltenen Abmeldelink nutzt oder sich direkt an den Absender (Tenant) wendet. Nach dem Widerruf (Unsubscribe) werden keine weiteren Tracking-Ereignisse erfasst, und die E-Mail-Adresse wird in die Sperrliste eingetragen.

Aufbewahrung

Tracking-Ereignisse werden als operative Geschäftsdaten eingestuft und gemäß der in Abschnitt 10a geregelten Aufbewahrungsfrist für diese Klasse vorgehalten (derzeit 90 Tage).

12b. Kampagnen an Kontakte und CRM-Leads

Kunden können die Plattform optional verwenden, um Kampagnen an ihre Kontakte und CRM-Leads zu versenden. Dabei werden insbesondere Empfängeradresse, Empfängertyp, ausgewählte Filter, Kampagneninhalt, Versandstatus sowie die vom Kunden bestätigte strukturierte Rechtsgrundlage verarbeitet. Der Kunde ist für die Rechtmäßigkeit der Empfängerauswahl, die Dokumentation der Marketing-Einwilligung oder einer geprüften Bestandskunden-Ausnahme und die Erfüllung der Informationspflichten verantwortlich.

Die Plattform führt für jeden Mandanten eine adressbezogene Sperrliste. Abmeldungen und Widersprüche werden dort unabhängig vom Empfängertyp gespeichert und verhindern weitere Kampagnen- und Outbound-Versendungen an dieselbe Adresse. Die Sperre bleibt auch dann wirksam, wenn die Adresse später einem anderen Kontakt, CRM-Lead oder Cold Lead zugeordnet wird.

Einträge in dieser Sperrliste werden grundsätzlich dauerhaft vorgehalten, damit eine spätere Zuordnung derselben Adresse die Abmeldung nicht unwirksam macht. Eine Löschung oder vorzeitige Entfernung erfolgt nur auf dokumentierte Weisung des Verantwortlichen; dieser trägt dann die Verantwortung für die Rechtmäßigkeit einer erneuten Kontaktaufnahme. Die Verarbeitung und kontrollierte Löschung richten sich im Übrigen nach dem AV-Vertrag und den dort beschriebenen Lösch- und Aufbewahrungsregeln.

Bei Kontakten und CRM-Leads ist Öffnungs- und Klick-Tracking technisch deaktiviert und im Versandpfad nicht aktivierbar. Das gesonderte Tracking im Cold-Leads-Modul ist auf Cold Leads mit bestätigter Double-Opt-In-Marketing-Einwilligung beschränkt und wird in Abschnitt 12a beschrieben.

12c. Persönliche API-Schlüssel (optionale Programmierschnittstelle)

struct-i-vio bietet optional eine Programmierschnittstelle (API), über die Mitarbeiter mit aktivem Zugriff auf einen Mandanten einen persönlichen, jederzeit widerrufbaren API-Schlüssel erstellen können, um eigene oder vom Verantwortlichen ausgewählte Werkzeuge (z. B. n8n, Zapier, eigene Skripte) an die Plattform anzubinden. Die Nutzung dieser Funktion ist freiwillig.

Verarbeitete Datenkategorien

• Schlüsselmetadaten: vom Mitarbeiter vergebene Bezeichnung, ein öffentliches Präfix zur Wiedererkennung sowie ein kryptografischer Hashwert (HMAC) des Schlüssels. Der Schlüssel selbst wird ausschließlich einmalig bei Erstellung angezeigt und danach an keiner Stelle im Klartext gespeichert.
• Zeitstempel und Status: Erstellungs- und Ablaufzeitpunkt, Widerrufszeitpunkt und -grund sowie ein grob gerasterter Zeitpunkt der letzten Nutzung (stündliche Aktualisierung, Anzeige tagesgenau; keine IP-Adresse).
• Technische Steuerdaten: Daten zur Ratenbegrenzung sowie zur Vermeidung versehentlicher Doppelverarbeitung (Idempotenz) — Letztere nur als Hashwert, ohne Anfrageinhalt und für höchstens 24 Stunden.
• Technische API-Laufzeitprotokolle: begrenzte Betriebsdaten wie Request-ID, HTTP-Methode, technische Routenkennung, Status, Dauer, gekürzte technische Schlüssel- und Mandantenreferenzen sowie standardisierte Fehlercodes. Die Anwendung schreibt keine Request- oder Response-Inhalte, API-Schlüssel, Tokens, Header, Query-Werte oder signierten URLs in diese Protokolle. Der Hosting- Anbieter kann im Rahmen seiner Plattformprotokolle zusätzlich Netzwerk- und Verbindungsmetadaten verarbeiten, etwa IP-Adresse, Zeitpunkt und User-Agent, nach der für den tatsächlich gebuchten Pro- oder Observability-Plus-Tarif geltenden Frist. Diese providerseitige Aufbewahrung ist von den von uns kontrollierten Anwendungsprotokollen getrennt; letztere werden für diese Verarbeitung höchstens 30 Tage vorgehalten.
• Über die API verarbeitete Fachdaten: Die über einen API-Schlüssel gelesenen oder geschriebenen CRM-Daten (z. B. Leads und Lead-Dokumente) entsprechen inhaltlich den Daten, die derselbe Mitarbeiter auch über die reguläre Benutzeroberfläche verarbeiten könnte; es entsteht keine neue Datenkategorie, nur ein zusätzlicher Zugriffsweg.
• Erweiterte P1-Fachdaten: Je nach gesonderter Freischaltung können über dieselbe API Kontakte und Firmen verwaltet, schmale Projektstammdaten gelesen, eigene Arbeitszeitbuchungen des Schlüsselinhabers erfasst oder gelesen und Kommentare zu CRM-Leads gelesen oder erstellt werden. Projektbudgets, Finanzbuchungen, Abwesenheiten, Krankheitsunterlagen und Dateien sind in dieser Ausbaustufe nicht Teil der API-Antworten.
• Nachweis der AVV-Annahme: UUID des annehmenden Benutzerkontos und der zugehörigen Mitarbeiteridentität, UUID des Mandanten, angenommene AVV-Version, serverseitiger Zeitstempel und die festgestellte Autoritätsgrundlage (Inhaber oder Tenant-Admin). Der Nachweis wird gemeinsam mit dem Vertragslebenszyklus des Mandanten vorgehalten und bei dessen Löschung kaskadierend entfernt, soweit keine gesetzliche oder rechtlich angeordnete Aufbewahrung entgegensteht.

Rechtsgrundlage

Die Verarbeitung der Schlüsselmetadaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Bereitstellung der optionalen Funktion) sowie — für Ratenbegrenzung, Protokollierung von Erstellung und Widerruf und Missbrauchsschutz — auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform und der Nachvollziehbarkeit von Zugriffen).

Speicherdauer

Ein Schlüssel ist höchstens 366 Tage gültig und kann jederzeit vorher widerrufen werden. Widerruf sowie jeder dauerhafte Wegfall der Zugriffsberechtigung (z. B. Beendigung der Mitarbeiterzuordnung, Löschung des Nutzerkontos) wirken ab der nächsten authentifizierten API-Anfrage über den Schlüssel; bereits laufende API-Anfragen werden noch abgeschlossen (max. 60 Sekunden). Die zugehörige Datenbankzeile enthält den Schlüssel nicht im Klartext und kann nach Widerruf oder Ablauf nicht mehr zur Authentifizierung verwendet werden. Für abgelaufene oder widerrufene Schlüsselmetadaten ist derzeit keine zusätzliche automatische Löschung nach einer festen Frist eingerichtet. Die Löschung richtet sich nach den geltenden Löschregeln und berechtigten Löschanfragen.

Diese Aussage zur Wirkung des Widerrufs betrifft ausschließlich API-Anfragen, die mit dem API-Schlüssel authentifiziert werden. Bereits ausgestellte, signierte Download-URLs können technisch noch bis zu 60 Sekunden gültig sein. Das dafür ausgestellte signierte Upload-Token ist bis zu zwei Stunden gültig und benötigt für die direkte Dateiübertragung keinen API-Schlüssel. Wird damit ein resumierbarer Upload begonnen, kann die Upload-Sitzung nach den Storage-Regeln noch bis zu 24 Stunden fortgesetzt werden. Der Upload-Abschluss und die Registrierung der Datei in der Plattform werden nach dem Widerruf erneut geprüft und blockiert, wenn der Schlüssel nicht mehr zugelassen ist. Nicht zugeordnete Uploads werden nach dem vorgesehenen Bereinigungslauf entfernt.

Datensicherheit des Schlüssels

Ein API-Schlüssel wird ausschließlich als kryptografischer Hashwert (HMAC) gespeichert; der Klartext-Schlüssel verlässt den Erstellungsvorgang nicht erneut und wird zu keinem Zeitpunkt protokolliert. Die Erstellung eines neuen Schlüssels ist ausschließlich über eine reguläre, aktuelle Anmeldung (nicht älter als 15 Minuten) in der Benutzeroberfläche möglich — nicht über einen API-Schlüssel selbst. Jede Anfrage über einen API-Schlüssel wird einzeln geprüft; die Zugriffsberechtigung ist strikt an den bei Erstellung festgelegten Mandanten gebunden und wird bei jeder Anfrage serverseitig erneut bestätigt.

Erweiterte API-Funktionen

Die API erweitert die Rechte des Mitarbeiters nicht. Sichtbarkeit und Schreibrechte werden für jeden Aufruf anhand des aktuellen Benutzers, Mandanten-, Modul-, Projekt- und Aktionsrechts geprüft. Über die API angelegte Lead-Kommentare bleiben reguläre Lead-Daten. Zusätzlich wird eine Aktivitätsnotiz mit dem Kanal api und einer maximal 80 Zeichen langen Vorschau angelegt. Diese operative Aktivitätszeile bleibt als Geschäftsdatenzeile bis zur Löschung des Leads oder der Aktivität erhalten. Der vollständige Kommentartext wird zusätzlich im Audit-Log für 90 Tage vorgehalten; die separate metadata-only Audit-Kopie der Aktivitätszeile enthält weder den Kommentartext noch die 80-Zeichen-Vorschau.

Die von uns kontrollierten technischen API-Laufzeitprotokolle dienen ausschließlich Betrieb, Fehleranalyse und Missbrauchsschutz. Ihre begrenzte Aufbewahrung endet spätestens nach 30 Tagen; eine längere produktseitige Aufbewahrung wird nicht eingerichtet. Providerseitige Netzwerk- und Verbindungsmetadaten richten sich getrennt nach dem tatsächlich gebuchten Pro- oder Observability-Plus-Tarif. Davon unberührt bleiben die getrennt beschriebenen Audit-Nachweise und regulären Fachdaten.

Angebundene Werkzeuge des Kunden kein Unterauftragnehmer

Werkzeuge, Dienste oder Skripte, die über einen API-Schlüssel angebunden werden (z. B. n8n, Zapier, eigene Skripte), sind vom Verantwortlichen selbst ausgewählte, konfigurierte und gesicherte Systeme. Sie sind kein Unterauftragnehmer von struct-i-vio im Sinne von Art. 28 DSGVO. struct-i-vio hat keinen Einblick in ihre Verarbeitung und übernimmt hierfür keine Verantwortung.

Hinweis für Mitarbeiter zur Administratorfunktion

Berechtigte Administratoren des jeweiligen Mandanten können alle Schlüssel eines namentlich bestimmten Mitarbeiters widerrufen (z. B. bei Verdacht auf eine Kompromittierung) und sehen hierfür ausschließlich die Anzahl aktiver Schlüssel dieses Mitarbeiters — keine Schlüsselnamen und keine Nutzungsdaten.

12d. Telefonische Kaltakquise (Cold-Leads-Modul)

Wenn ein Tenant-Administrator im optionalen Cold-Leads-Modul die Anruf-Funktion nutzt, um Outbound-Kontakte (Cold Leads) telefonisch anzusprechen, verarbeitet struct-i-vio zusätzlich zu den in Abschnitt 12a beschriebenen Daten die nachfolgend beschriebenen anrufbezogenen Daten. struct-i-vio betreibt hierfür keine eigene Telefonanlage: Der Anruf selbst findet über das Telefon bzw. die Telefonanlage der anrufenden Person statt. Es werden keine Gesprächsinhalte (Audio) aufgezeichnet, übertragen oder gespeichert; die Plattform protokolliert ausschließlich Zeitpunkt, Ergebnis und den von der anrufenden Person erfassten Kontext des Anrufversuchs.

Verarbeitete Daten

• Anrufversuche: anrufende Person, Zeitpunkt (Beginn, Ende, Dauer, soweit erfasst), verknüpfter Cold Lead, Kontakt und Unternehmen sowie das unmittelbare Ergebnis (nicht erreicht, besetzt, Mailbox, Gespräch).
• Gesprächsergebnis und Notiz: bei einem geführten Gespräch das vom Mandanten konfigurierte Ergebnis (z. B. „kein Interesse“, „Rückruf gewünscht“) sowie eine optionale, von der anrufenden Person erfasste Freitext-Notiz (bis zu 2.000 Zeichen) zum Gesprächskontext.
• Wiedervorlagen: ein vom Ergebnis abhängiges Datum bzw. Datum und Uhrzeit für eine erneute Kontaktaufnahme; hieraus wird eine reguläre Aufgabe mit demselben Inhalt wie die Notiz angelegt und der anrufenden Person zugeordnet.
• Warnhinweis bei „kein Interesse“: Bevor ein Unternehmen oder Kontakt erneut angerufen wird, das bzw. der zuvor mit einem als „kein Interesse“ konfigurierten Ergebnis versehen wurde, zeigt die Plattform einen Warnhinweis mit Zeitpunkt und bearbeitender Person der vorherigen Einstufung. Die anrufende Person kann diesen Hinweis bestätigen und den Anruf dennoch durchführen; die Bestätigung (Override) wird protokolliert.
• Widerspruch gegen weitere Kontaktaufnahme (Art. 21 DSGVO): Erklärt eine kontaktierte Person während des Anrufs, dass sie keinen weiteren werblichen Kontakt wünscht, vermerkt die anrufende Person dies über eine eigene, nicht konfigurierbare Funktion, getrennt von den regulären Gesprächsergebnissen. Die Plattform speichert daraufhin dauerhaft, dass diese Person — und, sofern die anrufende Person dies zusätzlich auswählt, auch das zugehörige Unternehmen — künftig weder angerufen noch per E-Mail kontaktiert werden darf.
• Kennzahlen: aus den Anrufversuchen abgeleitete Kennzahlen (u. a. Anzahl Versuche, Ergebnisse, Erfolgsquote) für die eigene Person sowie als Team-Summe. Eine Aufschlüsselung nach einzelnen Mitarbeitenden ist ab Werk deaktiviert (siehe „Kennzahlen je Mitarbeiter“ unten).

Zweck

Dokumentation und Steuerung der telefonischen Vertriebsansprache, Vermeidung wiederholter unerwünschter Anrufe und Umsetzung von Widersprüchen gegen weitere Kontaktaufnahme.

Rechtsgrundlage

Die interne Dokumentation der Anrufe (Protokollierung, Kennzahlen) erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Mandanten an einer nachvollziehbaren Vertriebssteuerung). Für die Rechtmäßigkeit des Anrufs selbst — insbesondere das Vorliegen einer mutmaßlichen Einwilligung bei Geschäftskunden bzw. einer vorherigen ausdrücklichen Einwilligung bei Verbrauchern (§ 7 UWG) sowie die Erfüllung der Informationspflichten nach Art. 13 / 14 DSGVO gegenüber der angerufenen Person — ist allein der Mandant als datenschutzrechtlich Verantwortlicher zuständig. struct-i-vio prüft weder das Vorliegen noch den Nachweis einer solchen Einwilligung oder Rechtsgrundlage; die Freitext-Notiz kann dem Mandanten als eigene Dokumentationsgrundlage dienen, wird von struct-i-vio jedoch nicht inhaltlich ausgewertet.

Kennzahlen je Mitarbeiter

Eine Aufschlüsselung der Anruf-Kennzahlen nach einzelnen Mitarbeitenden (statt nur als Team-Summe) ist eine technische Einrichtung zur Leistungs- und Verhaltenskontrolle im Sinne von § 87 Abs. 1 Nr. 6 BetrVG und daher ab Werk deaktiviert. Ist sie deaktiviert, zeigt die Team-Ansicht Summen erst ab drei verschiedenen Anrufern im jeweils betrachteten Zeitraum, damit auch kleine oder eng gefilterte Auswertungen nicht faktisch einer einzelnen Person zuordenbar werden. Unabhängig von dieser Einstellung sieht jede Person jederzeit ihre eigenen Zahlen, und der optionale KI-Assistent gibt auf Anfrage stets nur eigene Zahlen oder Team-Summen aus, niemals Werte je einzelner Mitarbeiterin oder einzelnem Mitarbeiter. Die Aktivierung liegt beim Mandanten als Arbeitgeber, der hierbei bestehende Mitbestimmungsrechte zu beachten hat.

Von dieser Einstellung unberührt bleibt die einzelfallbezogene Anruf-Historie eines Cold Leads oder Unternehmens: Sie zeigt allen Personen mit Zugriff auf die Anrufliste (Berechtigung „Cold Leads ansehen“), wer wann angerufen hat und mit welchem Ergebnis — unabhängig davon, ob die vorstehende Kennzahlen-Aufschlüsselung aktiviert ist. Diese Historie dient der Nachvollziehbarkeit einzelner Kontaktversuche (z. B. um doppelte oder widersprüchliche Kontaktaufnahmen zu vermeiden) und ist keine tenant-weite Kennzahlen-Aufschlüsselung im vorstehenden Sinne.

Widerspruch

Ein während eines Anrufs erklärter Widerspruch gegen weitere Kontaktaufnahme wirkt sofort, dauerhaft und kanalübergreifend (Anruf und E-Mail) und kann von niemandem — auch nicht vom Mandanten selbst — überschrieben werden; er gilt unabhängig vom sonstigen Status des Cold Leads. Die betroffene Person kann einen Widerspruch auch jederzeit direkt gegenüber dem Mandanten erklären.

Aufbewahrung

Anrufversuche und das Gesprächsergebnis werden als „Operative Geschäftsdaten“ im Sinne von Abschnitt 10a eingestuft (Änderungsprotokoll: 90 Tage); die Datensätze selbst bleiben bestehen, solange der zugehörige Cold Lead in der Plattform vorhanden ist, und werden mit dessen Löschung entfernt. Ein erklärter Widerspruch gegen weitere Kontaktaufnahme wird unabhängig vom einzelnen Cold Lead vorgehalten und bleibt auch nach dessen Löschung, Archivierung oder Umwandlung in einen Lead wirksam (Änderungsprotokoll-Klasse „Stamm- und Vertragsdaten“, 365 Tage, vgl. Abschnitt 10a). Werden der zugehörige Kontakt oder das zugehörige Unternehmen vollständig gelöscht, bleibt die zum Zeitpunkt der Widerspruchserfassung hinterlegte Telefonnummer als eigenständiger Hinweis erhalten; die zugehörige Freitext-Notiz wird dabei gelöscht. Ein erneuter Anruf unter derselben Nummer löst dann einen Warnhinweis aus, den die anrufende Person erst nach ausdrücklicher Übernahme der Verantwortung überschreiben kann — anders als die vorstehend beschriebene, nicht überschreibbare Sperre bei fortbestehendem Kontakt oder Unternehmen, weil sich eine bloße Telefonnummer nach der Löschung nicht mehr zweifelsfrei derselben Person zuordnen lässt (z. B. bei Sammelnummern oder neu vergebenen Nummern). Die hinterlegte Nummer ist über die Benutzeroberfläche für niemanden einsehbar und dient ausschließlich dem technischen Abgleich bei künftigen Anrufen. Für Kontakte mit hinterlegter E-Mail-Adresse bleibt die Kontaktsperre zusätzlich über die in Abschnitt 12b beschriebene adressbezogene Sperrliste unverändert dauerhaft und ohne Überschreibungsmöglichkeit wirksam. Eine Entfernung dieses Telefon-Hinweises ist über die Plattform nicht vorgesehen; sie bleibt einer im Einzelfall geprüften, gesondert dokumentierten Maßnahme von struct-i-vio als Auftragsverarbeiter vorbehalten.

12e. Anbindung externer KI-Clients (optionale MCP-Schnittstelle)

struct-i-vio bietet optional eine Schnittstelle nach dem Model Context Protocol (MCP). Über sie können Mitarbeiter eines Kunden mit aktivem Zugriff auf einen Mandanten externe KI-Clients — von Dritten angebotene KI-Anwendungen wie z. B. Claude, ChatGPT, Cursor, Visual Studio Code, Claude Code oder Codex — mit ihrem Benutzerkonto verbinden. Der Client kann danach im Namen und mit den Rechten des Mitarbeiters Daten der Plattform lesen und Aktionen ausführen. Die Funktion ist für jeden Mandanten ab Werk ausgeschaltet; nur der Inhaber oder ein Administrator der höchsten Berechtigungsstufe (nachfolgend „Administratoren“; Administratoren niedrigerer Berechtigungsstufen gehören nicht dazu) kann sie aktivieren und dabei festlegen, ob sie nur Administratoren oder allen Mitarbeitern des Mandanten offensteht. Jede einzelne Verbindung autorisiert der Mitarbeiter selbst. Die Nutzung ist freiwillig.

Dieser Abschnitt ist getrennt von Abschnitt 12 zu lesen, der die in struct-i-vio integrierten KI-Funktionen beschreibt: Dessen Aussagen zu Einwilligung, Datenstandort, Auftragsverarbeitung durch Microsoft, Trainingsausschluss und zur Bestätigung von Schreibaktionen gelten für externe KI-Clients nicht. Die vertraglichen Regelungen stehen in § 5f der AGB und in § 3f des AV-Vertrags.

Rollen und Verantwortung

Für die Daten im Mandanten ist der Kunde Verantwortlicher; struct-i-vio verarbeitet sie als Auftragsverarbeiter. Die Anbieter der externen KI-Clients sind Empfänger im Verantwortungsbereich des Kunden und keine Unterauftragnehmer von struct-i-vio im Sinne von Art. 28 DSGVO: struct-i-vio hat mit ihnen keinen Vertrag, wählt sie nicht aus, empfiehlt sie nicht und hat keinen Einblick in ihre Verarbeitung. Je nach Tarif und Vertrag zwischen dem Kunden und dem Client-Anbieter handelt dieser für den Kunden als Auftragsverarbeiter oder als eigener Verantwortlicher. Ob und welche Clients und Tarife Mitarbeiter verbinden dürfen und ob dafür eine Rechtsgrundlage, eine Vereinbarung nach Art. 28 DSGVO, geeignete Trainingseinstellungen und — bei Übermittlungen in Drittländer — eine Grundlage nach Kapitel V DSGVO bestehen, entscheidet und prüft der Kunde. Das gilt ebenso für den Eintrag in sein Verzeichnis von Verarbeitungstätigkeiten, die Information der Beschäftigten und die Wahrung von Mitbestimmungsrechten.

Verarbeitete Daten

• Vom Client abgerufene Fachdaten: Beim Aufruf einer Funktion durch den Client werden die Daten übermittelt, die der Mitarbeiter in struct-i-vio selbst sehen darf und die die aufgerufene Funktion zurückgibt (z. B. Leads, Kontakte, Projekte, Zeiten, Aufgaben). Die Ergebnisse werden wie beim integrierten KI-Assistenten auf das jeweils erforderliche Maß gekürzt und in ihrer Menge begrenzt. Sie können personenbezogene Daten von Beschäftigten, Geschäftspartnern, Leads und Korrespondenzpartnern enthalten und gelangen damit an den Client und dessen Anbieter. Es entsteht keine neue Datenkategorie, aber ein zusätzlicher Empfänger.
• Angaben zur Person und zum Mandanten: insbesondere Name des Mitarbeiters, Mandant und für die Nutzung der Funktionen relevante Berechtigungen, soweit der Client sie abfragt.
• Vom Client ausgeführte Aktionen: Die dadurch angelegten oder geänderten Daten sind reguläre Fachdaten des Kunden und unterliegen denselben Regeln wie Eingaben über die Benutzeroberfläche.
• Verbindungsdaten: Zuordnung der Verbindung zu Mitarbeiter und Mandant, der vom Client selbst angegebene (nicht verifizierte) Name und die Weiterleitungsadresse des Clients, Zeitpunkte der Erteilung, der letzten Nutzung, des Ablaufs und eines Widerrufs, die Version des bei der Bestätigung angezeigten Hinweistextes sowie — ausschließlich als Hashwert — die Zugangs- und Aktualisierungstoken. Der Name des Clients ist für den Mitarbeiter in seiner eigenen Verbindungsübersicht sichtbar und erscheint im Sicherheitshinweis zu einer neuen Verbindung (soweit dieser nicht in den Benachrichtigungseinstellungen abgeschaltet ist); Administratoren sehen ihn nur in der Client-Typen-Liste ohne Zuordnung zu einzelnen Personen (siehe unten). Bei der Aktivierung durch den Kunden werden zusätzlich handelnde Person, Zeitpunkt, gewählter Umfang und Textversion als mandantenweiter Nachweis gespeichert; dieser Nachweis erscheint im Änderungsprotokoll.
• Aktionsprotokoll („KI-Aktivität“): Für jede über einen Client ausgeführte schreibende Aktion werden Zeitpunkt, Werkzeug, aufgerufene Funktion, gesendete Daten (ohne Zugangsgeheimnisse), Ergebnis, Rückgängig-Informationen und der Name des Clients protokolliert. Dieses Protokoll ist nur für den handelnden Mitarbeiter selbst einsehbar. Zu einzelnen Aktionen wird der Name des Clients ausschließlich dort geführt.
• Änderungsprotokoll (Audit-Log): Änderungen, die ein Client im Namen eines Mitarbeiters vornimmt, erscheinen wie dessen eigene Änderungen im Änderungsprotokoll (Abschnitt 10a). Dort wird nur angezeigt, dass die Änderung über einen externen KI-Client erfolgte (Kanal-Kennzeichen „externer KI-Client“); der Name des Clients steht dort nicht. Intern wird am Eintrag zusätzlich eine technische Verbindungskennung gespeichert, die in der Anwendung nicht angezeigt wird. Das Herstellen und Trennen einer Verbindung wird dort nicht je Person als Verbindungsereignis geführt; die Verbindungsdaten sind nicht Teil des Änderungsprotokolls. Als mandantenweiter Nachweis erscheinen dort nur Aktivierung, Umfangsänderung und Ausschalten der Funktion (wer, wann, Umfang, Textversion).
• Technische Steuerdaten: Daten zur Ratenbegrenzung (u. a. ein Hashwert der IP-Adresse, nicht die IP-Adresse selbst) und zur Vermeidung doppelter Ausführung (Idempotenz: Werkzeug, Wiederholungskennung, Hashwert der Argumente, Status und die gekürzte Antwort der Aktion; höchstens 25 Stunden gespeichert).
• Keine Weitergabe an KI-Dienste von struct-i-vio durch die Schnittstelle selbst: Die Suche nach Arbeitsanleitungen für Clients erfolgt rein lexikalisch auf den Systemen von struct-i-vio. Ruft ein Client eine Funktion auf, die ihrerseits die in Abschnitt 12 beschriebenen KI-Dienste nutzt (z. B. die KI-gestützte Firmen-Recherche), wird sie nur ausgeführt, wenn die für diese Funktion geltenden Voraussetzungen — insbesondere die persönliche KI-Einwilligung nach Abschnitt 12 — erfüllt sind; Abschnitt 12 gilt dann für diese Funktion.

Ausgeschlossene Daten und Funktionen

Daten und Funktionen, die dem in struct-i-vio integrierten KI-Assistenten nicht zugänglich sind, bleiben auch für externe KI-Clients gesperrt. Dazu gehören insbesondere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsangaben in Abwesenheitsunterlagen), Leistungs- und Verhaltenskennzahlen einzelner Mitarbeiter, die Einstellung zur Aufschlüsselung von Anruf-Kennzahlen nach Mitarbeitern (Abschnitt 12d) sowie Einstellungen, mit denen Einwilligungen oder Freigaben für KI-Verarbeitungen erteilt werden. Ebenfalls nicht verfügbar sind Funktionen, die nur in der Benutzeroberfläche bedient werden können (z. B. das Hochladen von Dateien im KI-Chat), sowie Funktionen zur Verwaltung des Benutzerkontos, von API-Schlüsseln und Verbindungen und zur Administration des Mandanten.

Sofortige Ausführung und Entscheidungen über Personen

Aktionen werden ausgeführt, sobald der Client sie aufruft; struct-i-vio holt — anders als beim integrierten KI-Assistenten — keine zusätzliche Bestätigung ein. Eine Rückfrage kann der Mitarbeiter nur in den Einstellungen seines Clients vorsehen. Die persönliche KI-Einstellung „Mit Bestätigung“ gilt nur für den integrierten KI-Assistenten; die Einstellung „Niemals“ sperrt eine Aktion dagegen auch für externe Clients. Aktionen sind zum Teil nicht rückgängig zu machen; Löschungen können endgültig sein. Soweit eine Aktion technisch rückgängig gemacht werden kann, bietet die persönliche Übersicht „KI-Aktivität“ diese Möglichkeit.

struct-i-vio trifft keine Entscheidungen über Personen. Löst ein Mitarbeiter über einen externen KI-Client eine Aktion aus, die eine Entscheidung über andere Personen vorbereitet oder umsetzt (z. B. die Freigabe oder Ablehnung von Abwesenheits- oder Stundenanträgen von Kolleginnen und Kollegen), ist dies eine Handlung des Mitarbeiters und damit des Kunden. Der Kunde als Verantwortlicher hat sicherzustellen, dass solche Entscheidungen den Anforderungen von Art. 22 DSGVO und dem sonstigen anwendbaren Recht genügen, insbesondere nicht ausschließlich auf einer automatisierten Verarbeitung beruhen, soweit kein Ausnahmetatbestand vorliegt. Solche Aktionen sind in der MCP-Schnittstelle als eigene Werkzeuge gekennzeichnet, damit Clients vor der Ausführung nachfragen können, und können vom Kunden in den tenantweiten KI-Aktionsrichtlinien („KI-Aktions-Floors“) auf „Max. Bestätigung“ oder „Gesperrt“ beschränkt werden; die MCP-Schnittstelle führt sie dann nicht aus. Dasselbe gilt für jede andere einzelne Aktion.

Rechtsgrundlage

Die Verarbeitung der Verbindungs-, Protokoll- und Steuerdaten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der optionalen Funktion) sowie — für Ratenbegrenzung, Missbrauchsschutz, Sicherheit und Nachvollziehbarkeit von Zugriffen — auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Plattform). Die Bereitstellung der Fachdaten an den vom Mitarbeiter verbundenen Client und die Ausführung der vom Client aufgerufenen Aktionen erfolgen als Auftragsverarbeiter nach der dokumentierten Weisung des Kunden (Aktivierung durch den berechtigten Administrator, Verbindung durch den Mitarbeiter). Die Rechtsgrundlage für die Weitergabe der Daten an den Client-Anbieter hat der Kunde als Verantwortlicher zu prüfen.

Empfänger und Drittlandübermittlung

Empfänger der über die Schnittstelle abgerufenen Daten ist der vom Mitarbeiter gewählte Client und dessen Anbieter. struct-i-vio übermittelt Daten nur, wenn ein Mitarbeiter einen Client ausdrücklich verbunden hat und dieser sie abruft; eine Übermittlung an Client-Anbieter auf eigene Veranlassung von struct-i-vio findet nicht statt. Client-Anbieter können ihren Sitz oder ihre Verarbeitungsorte außerhalb der EU bzw. des EWR haben (insbesondere in den USA). Die Zusagen in Abschnitt 12 zu Datenstandort (Microsoft EU Data Boundary), Auftragsverarbeitung und Trainingsausschluss betreffen nur die von struct-i-vio selbst eingesetzten Azure-Dienste und gelten nicht für Client-Anbieter. Ab der Übergabe an den Client gelten die Bedingungen des Client-Anbieters; struct-i-vio kann bereits übermittelte Daten dort weder zurückholen noch löschen. Aufbewahrung, Nutzung zu Trainingszwecken und Übermittlungen in Drittländer richten sich nach dem Tarif und den Einstellungen des Kunden bzw. Mitarbeiters beim Client-Anbieter.

Speicherdauer und Beendigung

Eine Verbindung endet nach 30 Tagen ohne Nutzung, spätestens nach 365 Tagen, durch Trennung (durch den Mitarbeiter im Account-Menü unter „API-Schlüssel“ im Abschnitt „Verbundene KI-Clients“ oder im Client; durch Administratoren für alle Verbindungen eines namentlich bestimmten Mitarbeiters), durch Ausschalten der Funktion für den Mandanten sowie mit dem dauerhaften Wegfall der Zugriffsberechtigung (z. B. Beendigung der Mitarbeiterzuordnung, Löschung des Nutzerkontos). Das Ende wirkt ab der nächsten Anfrage über die Verbindung; zu diesem Zeitpunkt bereits laufende Vorgänge werden noch abgeschlossen, bei längeren Funktionen (z. B. Recherchen) kann das bis zu fünf Minuten dauern. Zugangs- und Aktualisierungstoken sind nach dem Ende der Verbindung nicht mehr verwendbar. Für Verbindungsdaten und das Aktionsprotokoll wird keine feste automatische Löschfrist zugesagt; sie werden mit der Löschung des Mandanten bzw. nach den allgemeinen Lösch- und Anonymisierungsregeln bei Löschung des Nutzerkontos (Abschnitt 10) entfernt. Für das Änderungsprotokoll gilt Abschnitt 10a.

Datensicherheit

Eine Verbindung wird ausschließlich vom Mitarbeiter selbst in der Benutzeroberfläche von struct-i-vio autorisiert (reguläre, aktuelle Anmeldung — nicht älter als 15 Minuten —, Auswahl des Mandanten und ausdrückliche Bestätigung); die Bestätigungsseite lässt sich nicht in fremde Seiten einbetten. Zugangs-, Aktualisierungs- und Autorisierungscodes werden ausschließlich als Hashwert gespeichert, sind kurzlebig bzw. werden bei jeder Erneuerung rotiert; die Wiederverwendung eines bereits eingelösten Codes oder eines bereits erneuerten Aktualisierungstokens beendet die Verbindung, außer bei gleichzeitiger Erneuerung durch denselben Client innerhalb von 30 Sekunden. Eine Verbindung gilt für genau einen Mandanten und nur für die dafür vorgesehenen Funktionen der Schnittstelle, nicht für die Verwaltung des Benutzerkontos, von API-Schlüsseln oder Verbindungen und nicht für die Administration des Mandanten. Jede Anfrage wird gegen den aktuellen Berechtigungsstand geprüft; die Nutzung unterliegt Ratenbegrenzungen. Der vom Client angegebene Name und seine Weiterleitungsadresse werden nicht verifiziert und bei der Bestätigung als solche gekennzeichnet; Weiterleitungsadressen sind technisch eingeschränkt. Diese Einschränkung ist keine Prüfung und keine Empfehlung eines Clients.

Hinweis für Mitarbeiter zur Administratorfunktion und zur Sichtbarkeit

Administratoren des Mandanten können alle Verbindungen eines namentlich bestimmten Mitarbeiters trennen. In der dafür vorgesehenen Übersicht sehen sie je Mitarbeiter ausschließlich die Anzahl der Verbindungen — weder den Namen des Clients noch Nutzung oder Inhalte. Zusätzlich zeigt die Übersicht eine Liste der im Mandanten verbundenen Client-Typen mit Anzahl, ohne Zuordnung zu einzelnen Personen. Die Liste erscheint erst, wenn mindestens drei Personen aktive Verbindungen haben. Das verringert eine Zuordnung zu einzelnen Personen, schließt sie aber nicht aus: In kleinen Unternehmen kann sich aus Anzahl und Client-Liste ableiten lassen, welche Clients einzelne Personen verbunden haben. Das Aktionsprotokoll mit dem Namen des Clients ist nur für den handelnden Mitarbeiter selbst einsehbar; Änderungen am Datenbestand erscheinen im Änderungsprotokoll des Mandanten wie oben beschrieben. struct-i-vio wertet diese Daten nicht zur Leistungs- oder Verhaltenskontrolle von Mitarbeitern aus.

13. Besondere Datenkategorien (Art. 9 DSGVO)

Die Anwendung ermöglicht Mitarbeitern das Hochladen von Arbeitsunfähigkeitsbescheinigungen im Rahmen der Abwesenheitsverwaltung. Bei diesen Dokumenten kann es sich um Gesundheitsdaten im Sinne von Art. 4 Nr. 15 i.V.m. Art. 9 DSGVO handeln.

Rechtsgrundlage für diese Verarbeitung ist Art. 9 Abs. 2 lit. b DSGVO (Verarbeitung im Rahmen des Arbeitsrechts) sowie § 26 Abs. 3 BDSG. Der Arbeitgeber (Kunde von struct-i-vio) ist für die rechtmäßige Einholung dieser Daten verantwortlich.

Mitarbeitern wird empfohlen, ausschließlich die Arbeitsunfähigkeitsbescheinigung (ohne Diagnose) hochzuladen. Das Hochladen von Dokumenten mit Diagnoseinformationen oder sonstigen Gesundheitsdaten über die Bescheinigung hinaus ist nicht erforderlich und sollte vermieden werden.

14. Nutzung der mobilen App (Android / iOS)

struct-i-vio ist derzeit als mobile App für Android verfügbar. Eine iOS-Version kann künftig bereitgestellt werden. Die App ist eine webbasierte Anwendung (Capacitor/WebView) und verarbeitet dieselben Daten wie die Web-Version.

Gerätezugriffe

In der mobilen Android-App sind technisch folgende Systemberechtigungen deklariert: Internetzugriff sowie unterstützende Berechtigungen für Netzwerkstatus, Vibration, Wake-Lock und den Empfang von Push- Benachrichtigungen (inkl. technischer Berechtigungen für den Push-Empfangsdienst). Benachrichtigungen (Push) werden nur nach ausdrücklicher Einwilligung des Nutzers genutzt. Kamera, Mikrofon, Standort oder Kontakte werden derzeit nicht als Laufzeitberechtigung aktiv angefordert. Falls künftig weitergehende Gerätezugriffe erforderlich werden, erfolgt dies nur nach vorherigem Datenschutzhinweis und – soweit erforderlich – mit separater Einwilligung bzw. über den jeweiligen Betriebssystem-Dialog.

Account-Löschung

Nutzer können ihren Account jederzeit in den Kontoeinstellungen (Profil → Account löschen) löschen. Nach Löschung werden alle personenbezogenen Daten im Produktivbetrieb unverzüglich anonymisiert oder gelöscht und der Zugang entfernt; gesetzliche Aufbewahrungspflichten sowie technisch erforderliche Sicherungskopien gemäß Ziffer 10 bleiben unberührt. Für Dateien, die ausschließlich dem Nutzerkonto zugeordnet sind, kann im Rahmen der Account-Löschung eine unmittelbare Entfernung erforderlich sein. Reguläre Arbeitsunterlagen des Unternehmens unterliegen dagegen den jeweils geltenden Papierkorb-, Aufbewahrungs- und Löschregeln.

Eine öffentliche Beschreibung des Löschprozesses finden Sie unter /legal/account-loeschung.

15. Öffentlicher Demo-Zugang

Unter /demo bieten wir Interessenten einen öffentlich zugänglichen, schreibgeschützten Testzugang zu einer Umgebung mit ausschließlich erfundenen Beispieldaten. Dieser Abschnitt beschreibt ergänzend zu den vorstehenden Abschnitten, welche Daten dabei verarbeitet werden.

Verarbeitete Daten

Bei einer Anfrage über das Formular verarbeiten wir Ihre E-Mail-Adresse (Pflichtangabe) sowie optional Name und Firma, die Zeitpunkte Ihrer Einwilligungen, Herkunfts- und Kampagnenangaben (z. B. UTM-Parameter), sofern vorhanden, sowie technische Status- und Zeitstempel des Antrags und einen gesalzenen Hash Ihrer IP-Adresse. Es wird zu keinem Zeitpunkt eine Klartext-IP-Adresse gespeichert; der Hash dient ausschließlich der Ratenbegrenzung und Missbrauchserkennung an dieser öffentlich erreichbaren Formularstrecke und lässt sich ohne ein serverseitiges, nicht in der Datenbank hinterlegtes Geheimnis nicht auf eine IP-Adresse zurückrechnen. Nutzen Sie anschließend den in der Demo verfügbaren KI-Assistenten, kommen die in Abschnitt 12 beschriebenen Chatnachrichten hinzu.

Rechtsgrundlagen

Für die Einrichtung und Bereitstellung des Demo-Zugangs selbst (Anlegen eines Zugangs, Versand des Anmeldelinks, Freischaltung der schreibgeschützten Umgebung) stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO: Sie fordern diesen Zugang selbst an, die Verarbeitung erfolgt also auf Ihre Veranlassung im Rahmen der Anbahnung einer möglichen künftigen Nutzung von struct-i-vio. Für die Verarbeitung Ihrer Eingaben durch den KI-Assistenten holen wir zusätzlich Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein, da diese Verarbeitung für das bloße Ansehen der Demo nicht zwingend erforderlich ist. Beides bestätigen Sie mit demselben Kontrollkästchen im Formular; ohne dieses Kontrollkästchen richten wir keinen Demo-Zugang ein. Für eine etwaige Kontaktaufnahme zu Vertriebszwecken gilt eine gesonderte, freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO über ein zweites, unabhängiges Kontrollkästchen, die auf den Zugang selbst keinen Einfluss hat. Für den IP-Hash sowie Herkunfts- und Kampagnenparameter stützen wir uns auf unser berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Betrieb dieser öffentlichen Formularstrecke (Art. 6 Abs. 1 lit. f DSGVO).

Pseudonymisierung innerhalb der Demo-Umgebung

Innerhalb der Demo-Umgebung selbst treten Sie nicht unter Ihrer echten Identität auf. Wir richten für Sie ein Pseudonym ein ("Demo-Gast <Nummer>" mit einer nicht zustellbaren Beispiel-E-Mail-Adresse) und verwenden ausschließlich dieses Pseudonym für Ihr Nutzerkonto innerhalb des Demo-Mandanten. Ihre tatsächliche E-Mail-Adresse, Ihr Name und Ihre Firma gelangen zu keinem Zeitpunkt in den für andere Demo-Besucher einsehbaren Bereich; sie verbleiben ausschließlich in unserem Anmeldesystem und in einer eigenen, streng zugriffsbeschränkten Ablage für Zugangsanfragen. Andere Besucher der Demo sehen daher zu keinem Zeitpunkt Ihre echten Angaben.

KI-Nutzung in der Demo

Für den in der Demo verfügbaren KI-Assistenten (Luna) gelten grundsätzlich dieselben Regelungen wie in Abschnitt 12 beschrieben: Ihre Eingaben werden über den Azure OpenAI Service an die Microsoft Deutschland GmbH als Auftragsverarbeiter übermittelt und innerhalb der Microsoft EU Data Boundary verarbeitet; es findet kein Training von KI-Modellen auf diesen Daten statt, und es werden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen. Abweichend vom regulären Ablauf holen wir Ihre Einwilligung zur KI-Verarbeitung nicht erst bei der ersten Nutzung des Assistenten ein, sondern bereits mit dem Kontrollkästchen im Formular auf /demo. In der Demo ist außerdem nur ein einzelnes, dafür vorgesehenes Modell mit eingeschränktem Funktionsumfang aktiv (u. a. ohne Internetrecherche, Diktat, Dokumentenerstellung oder Anhänge), und Ihr Nutzungsvolumen ist begrenzt.

Empfänger

Für den Versand des Anmeldelinks nutzen wir den E-Mail-Zustelldienst Resend als Versanddienstleister (siehe Abschnitt 8); er erhält dabei ausschließlich Ihre E-Mail-Adresse und den Anmeldelink, nicht die übrigen Angaben aus dem Formular. Bei Nutzung des KI-Assistenten gilt zusätzlich der in Abschnitt 12 beschriebene Empfängerkreis (Microsoft Deutschland GmbH, Azure OpenAI Service).

Speicherdauer

Ihren Zugangsantrag (E-Mail-Adresse, Name/Firma soweit angegeben, Einwilligungszeitpunkte, Herkunftsangaben, IP-Hash, Status) speichern wir für 180 Tage ab Ihrer Anfrage; danach wird er automatisiert gelöscht. Konversationen mit dem KI-Assistenten in der Demo werden im Rahmen der regelmäßigen automatisierten Wartung der Demo-Umgebung bereits deutlich früher entfernt, unabhängig von der 180-Tage-Frist für den Zugangsantrag.

Widerruf und Löschung

Sie können die vorzeitige Löschung Ihres Zugangsantrags verlangen und Ihre Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen. Nutzen Sie hierfür die in Abschnitt 4 genannte Kontaktadresse. Ihr Zugang zur Demo-Umgebung wird in diesem Fall deaktiviert. Da innerhalb der Demo-Umgebung ohnehin nur ein Pseudonym hinterlegt ist, betrifft eine solche Löschung Ihren Anmeldedatensatz und Ihren Zugangsantrag – nicht die ohnehin frei erfundenen Beispieldaten der Demo-Umgebung selbst.

Kein Vertragsverhältnis

Für die im Rahmen des Demo-Zugangs erhobenen Daten sind wir datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, nicht Auftragsverarbeiter. Mit der Anfrage eines Demo-Zugangs kommt kein Vertragsverhältnis über die Nutzung der SaaS-Plattform zustande; die Allgemeinen Geschäftsbedingungen und der Auftragsverarbeitungsvertrag (vgl. Abschnitt 7) finden auf den Demo-Zugang daher keine Anwendung.

16. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann von Zeit zu Zeit aktualisiert werden. Die aktuelle Version finden Sie stets auf dieser Seite.

Last updated: 2. Oktober 2026