Privacy Policy

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Hosting und Content Delivery

Vercel

Wir hosten unsere Website bei Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA. Vercel ist unter dem EU-US Data Privacy Framework zertifiziert.

Supabase (Datenbank)

Die Anwendungsdaten werden bei Supabase Inc. gespeichert. Unser Datenbank-Server befindet sich in Frankfurt am Main (eu-central-1). Supabase ist DSGVO-konform und hat entsprechende Auftragsverarbeitungsverträge abgeschlossen. Hochgeladene Unterlagen und Dateien werden ebenfalls über diese Infrastruktur in zugriffsgeschützten Speicherbereichen verarbeitet.

finAPI (optionale Banking-Integration)

Für die optionale Banking-Integration nutzen wir die finAPI GmbH, Adams-Lehmann-Str. 44, 80797 München, Deutschland. finAPI stellt die für die Anbindung von Bankkonten erforderlichen Open-Banking-/PSD2-Dienste bereit, insbesondere gehostete Web-Formulare zur Bankauswahl, Authentifizierung, starken Kundenauthentifizierung (SCA) und Verwaltung bankseitiger Zustimmungen.

Bankzugangs-, TAN- und sonstige SCA-Daten werden dabei grundsätzlich direkt in der von finAPI bereitgestellten Oberfläche bzw. bei der angebundenen Bank eingegeben und nicht als reguläre Zugangsdaten in struct-i-vio gespeichert.

AWS S3 (separate Datei- und Datenbanksicherungen)

Für zusätzliche Sicherungskopien hochgeladener Dateien sowie verschlüsselte Sicherungskopien der produktiven Anwendungsdatenbank nutzen wir einen separaten Speicher bei Amazon Web Services EMEA SARL ("AWS"). Diese Sicherungen werden ausschließlich in der EU-Region Stockholm (eu-north-1) vorgehalten. Die Übertragung erfolgt verschlüsselt; die Sicherungskopien unterliegen strengen technischen Zugriffsbeschränkungen, sind nicht Bestandteil des regulären Nutzerzugriffs und dienen ausschließlich der Ausfallsicherheit, Notfallvorsorge und Wiederherstellung.

3. Verantwortliche Stelle

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Tigran Varazhian (structivio)
Viktoriastraße 22
80803 München
E-Mail: tigran.varazhian@struct-i-vio.com

4. Ihre Rechte

Sie haben jederzeit das Recht:

• Auskunft über Ihre gespeicherten Daten zu erhalten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung Ihrer Daten zu verlangen (Art. 17 DSGVO)
• Einschränkung der Verarbeitung zu verlangen (Art. 18 DSGVO)
• Datenübertragbarkeit – Export Ihrer Daten (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung einzulegen (Art. 21 DSGVO)

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: tigran.varazhian@struct-i-vio.com

5. Datenerfassung auf dieser Website

Cookies

Wir verwenden ausschließlich technisch notwendige Cookies für die Authentifizierung und Session-Verwaltung. Diese Cookies sind für den Betrieb der Anwendung erforderlich.

Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt (IP-Adresse, Browsertyp, Betriebssystem, Referrer URL, Uhrzeit der Serveranfrage).

6. Datenverarbeitung in der Anwendung

Welche Daten werden verarbeitet?

• Stammdaten: Name, E-Mail-Adresse, Profilbild
• Projektdaten: Projekte, Aufgaben, Dokumente, Zeiterfassung
• Finanzdaten: Budgets, Ausgaben, Rechnungen (soweit vom Kunden eingegeben)
• Bank- und Kontodaten: optionale Bankverbindungen, Kontobezeichnungen, IBAN/Kontonummern, Kontostände und sonstige Kontometadaten, soweit diese von der angebundenen Bank bzw. finAPI bereitgestellt werden
• Transaktionsdaten aus Banking-Integrationen: importierte Buchungsdaten einschließlich Buchungsdatum, Betrag, Verwendungszweck, Gegenpartei sowie Gegenkonto-IBAN/BIC, soweit diese von der angebundenen Bank bzw. finAPI bereitgestellt werden
• Banking- und Consent-Metadaten: technische Kennungen der Anbindung, Status von Bankverbindungen, Consent-Ablaufdaten, Web-Form-/Callback-IDs sowie Sync- und Fehlerprotokolle
• Datei- und Nachweisdaten: hochgeladene Unterlagen, Anhänge, Nachweise und Profilbilder
• Nutzungsdaten: Logins, Aktivitäten für Audit-Logs
• KI-Abrechnungs- und Nutzungsmetadaten: Zuordnung einer kundenbezogenen KI-Operation (z. B. Chat, Lead-Bewertung, Angebotserstellung, OCR, Sprache oder Dokumentenverarbeitung) zu Nutzer und Mandant, gemessene Nutzungs- und Verarbeitungskomponenten, Credit-Belastung, Version der Abrechnungsgrundlage sowie gegebenenfalls Reservierungs-, Erstattungs-, Ausgleichs- oder Korrekturbuchungen. Der kunden- bzw. mandantensichtbare Credit-Beleg enthält grundsätzlich weder den Inhalt der KI-Verarbeitung noch interne Kalkulationsgrundlagen. Getrennte, zugriffsbeschränkte interne Abrechnungsnachweise können abrechnungsrelevante technische Parameter enthalten, jedoch keinen KI-Inhalt.

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Dienste).

Optionale Banking-Integration (finAPI)

Wenn Sie die optionale Banking-Integration aktivieren, verarbeiten wir die hierfür erforderlichen Bank- und Transaktionsdaten sowie technische Zustimmungs- und Statusmetadaten, um Bankkonten anzubinden, Buchungen zu importieren, Zustimmungen zu erneuern und Fehlerfälle nachvollziehen zu können.

Die eigentliche Bankanbindung erfolgt über gehostete Web-Formulare von finAPI. Bankzugangs-, TAN- und sonstige Authentifizierungsdaten werden dabei grundsätzlich unmittelbar durch finAPI bzw. die jeweils ausgewählte Bank verarbeitet. struct-i-vio speichert diese Bankzugangsdaten nicht als reguläre Produktdaten.

Wir beschränken die an finAPI übermittelten Daten auf die für die jeweilige Banking-Funktion erforderlichen Angaben. Für die reguläre Nutzung ist eine dauerhafte Übermittlung persönlicher E-Mail-Adressen einzelner Nutzer an finAPI nicht vorgesehen, soweit dies nicht ausnahmsweise technisch oder vertraglich zwingend erforderlich ist.

7. Auftragsverarbeitung

Für Geschäftskunden schließen wir einen Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 DSGVO ab. Diesen erhalten Sie unter: AV-Vertrag

8. Subprocessors (Unterauftragnehmer)

Wir setzen folgende Unterauftragnehmer ein:

9. Datensicherheit

Wir setzen folgende technische und organisatorische Maßnahmen (TOMs) ein:

• Verschlüsselung aller Daten bei Übertragung (TLS 1.3)
• Verschlüsselung der Daten im Ruhezustand (AES-256)
• Multi-Tenant-Isolation durch Row Level Security (RLS)
• Rollenbasierte Zugriffskontrollen
• Dateien werden in getrennten, zugriffsgeschützten Speicherbereichen verarbeitet und nur nach Authentifizierung sowie Berechtigungsprüfung bereitgestellt
• Zusätzliche Dateisicherungen werden getrennt vom Produktivspeicher in einem separaten EU-Speicherstandort vorgehalten (AWS S3, Stockholm, eu-north-1)
• Zusätzliche verschlüsselte Datenbanksicherungen werden getrennt vom Produktivsystem in einem separaten EU-Speicherstandort vorgehalten (AWS S3, Stockholm, eu-north-1)
• Regelmäßige Sicherheitsaudits und Updates
• Automatisierte Backups mit Point-in-Time Recovery

Speicherung hochgeladener Unterlagen

Hochgeladene Unterlagen und sonstige Dateien werden in der Regel gemeinsam mit Metadaten zum jeweiligen Unternehmens-, Projekt- oder Vorgangskontext gespeichert. Dadurch kann die Anwendung Zugriffe auf Dateien an die Anmeldung, die Mandantentrennung und die jeweils vergebenen Rollen und Freigaben koppeln.

Für Zwecke der Ausfallsicherheit können hochgeladene Dateien zusätzlich in einem separaten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten werden. Diese Sicherungskopien sind nicht Bestandteil des regulären Nutzerzugriffs, verbleiben innerhalb Europas und werden nur für Wiederherstellungen oder technische Notfälle verwendet.

Datenbanksicherungen

Zur Gewährleistung der Wiederherstellbarkeit der Anwendung werden zusätzlich verschlüsselte Sicherungskopien der produktiven Anwendungsdatenbank in einem getrennten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten. Diese Sicherungen sind nicht Teil des regulären Nutzerzugriffs und werden ausschließlich für Notfall- und Wiederherstellungszwecke verwendet.

10. Datenexport und Löschung

Datenexport

Sie können jederzeit einen vollständigen Export Ihrer Daten anfordern. Die Daten werden in gängigen Formaten (CSV, JSON) bereitgestellt.

Löschung im laufenden Betrieb

Werden reguläre Arbeitsunterlagen innerhalb der Anwendung gelöscht, erfolgt die Entfernung im Regelfall nicht sofort endgültig. Dateien werden zunächst in einen Papierkorb überführt und können dort durch berechtigte Nutzer wiederhergestellt werden. Die endgültige Entfernung aus dem Produktivbetrieb erfolgt regelmäßig erst nach bis zu 30 Tagen, sofern keine Wiederherstellung erfolgt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Sicherungskopien hochgeladener Dateien werden in einem getrennten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten, solange die jeweilige Datei noch in der Plattform vorhanden ist. Wird eine Datei endgültig aus dem System-Papierkorb entfernt, wird die entsprechende Sicherungskopie automatisch nach spätestens 1 Jahr (365 Tagen) aus dem Backup-Speicher gelöscht (Backup-Versioning-Purge). Diese Kopien sind nicht im regulären Produkt sichtbar und werden ausschließlich für Wiederherstellungszwecke genutzt.

Zusätzlich können verschlüsselte Sicherungskopien der Anwendungsdatenbank für Zwecke der Ausfallsicherheit und Wiederherstellung noch bis zu 12 Monate in einem getrennten Backup-Speicher innerhalb der EU (AWS S3, Region Stockholm, eu-north-1) vorgehalten werden. Diese Kopien sind nicht im regulären Produkt sichtbar und werden ausschließlich für Notfall- oder Wiederherstellungszwecke genutzt.

Besonderheiten der optionalen Banking-Integration

Wenn eine finAPI-Bankverbindung getrennt wird, entfernen wir die zugehörigen Verbindungs- und Kontometadaten aus dem laufenden Betrieb. Wird die letzte finAPI-Bankverbindung eines Mandanten entfernt, wird auch der zugehörige finAPI-Nutzer bei finAPI gelöscht, soweit keine technische oder gesetzliche Ausnahme entgegensteht.

Bereits in struct-i-vio übernommene Transaktions-, Buchungs- oder Zuordnungsdaten können im Verantwortungsbereich des Kunden weiter vorgehalten werden, wenn sie bereits in Projekt-, Abrechnungs-, Export- oder steuerlich relevanten Prozessen verwendet werden oder gesetzlichen Aufbewahrungspflichten unterliegen.

Technische Protokolle sowie Sicherungskopien können darüber hinaus bis zum Ablauf der jeweiligen Backup- und Wiederherstellungsfristen bestehen bleiben und werden anschließend gelöscht oder überschrieben.

Löschung bei Vertragsende

Nach Beendigung des Vertragsverhältnisses werden personenbezogene Daten aus gelöschten Benutzerkonten unverzüglich anonymisiert oder gelöscht und der Zugang entfernt. Tenant- und projektbezogene Daten werden für einen angemessenen Zeitraum weiter vorgehalten, soweit dies für Datenexporte oder die Einhaltung der Audit-Log-Aufbewahrungsfristen (vgl. Abschnitt 10a) erforderlich ist.

struct-i-vio ist ein Erfassungssystem (vgl. AGB § 2 Abs. 3). Die Verantwortung für die Einhaltung handels- und steuerrechtlicher Aufbewahrungspflichten (insbesondere HGB/AO) liegt beim Kunden. Sie können Ihre Daten jederzeit vollständig exportieren. Auf Wunsch erhalten Sie eine Löschbestätigung.

10a. Änderungsprotokoll (Audit-Log)

Die Plattform führt ein automatisches Änderungsprotokoll über sicherheits- und compliance-relevante Aktionen (z. B. Anmeldungen, Dateiuploads, Datenänderungen, Löschvorgänge). Die Aufbewahrungsdauer richtet sich nach der Daten-Klasse:

Einträge im Änderungsprotokoll sind unveränderlich (Manipulationsschutz). Betroffene Personen können nach Art. 17 DSGVO die Anonymisierung personenbezogener Referenzen innerhalb von Einträgen verlangen (statt vollständiger Löschung des Eintrags, da dies den Nachweis-Charakter zerstören würde).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit, Manipulationsschutz und Compliance-Nachweis).

11. Optionale E-Mail-Integration (IMAP/SMTP)

struct-i-vio bietet eine optionale Integration für Postfächer, die über das offene IMAP/SMTP-Protokoll erreichbar sind (z. B. Hetzner Mail, Hostinger, IONOS, Strato oder eigene Mailserver). Die Nutzung dieser Integration ist freiwillig und kann jederzeit getrennt werden.

Verarbeitete Datenkategorien

• Postfach-Zugangsdaten: E-Mail-Adresse und Passwort des Postfachs sowie IMAP- und SMTP-Serverparameter (Host, Port, Verschlüsselungstyp). Das Passwort wird ausschließlich verschlüsselt gespeichert (AES-256-GCM, zufälliger IV je Verschlüsselung). Die Entschlüsselung erfolgt nur serverseitig im Sync-Prozess; das Klartext-Passwort verlässt diesen Prozess nicht und wird zu keinem Zeitpunkt protokolliert.
• E-Mail-Inhalte und -Header: Absender- und Empfängeradressen, Betreff, Message-ID, E-Mail-Text sowie Anhänge der synchronisierten Nachrichten.
• Sync-Metadaten: Verbindungsstatus, Zeitstempel der letzten Synchronisierung, technische Fehlermeldungen (ohne Passwort-Klartext).

Hinweis zu Vollzugriff und Passwort-Speicherung

Im Unterschied zu OAuth-basierten Integrationen (z. B. Microsoft 365) erfordert IMAP/SMTP die Speicherung des vollständigen Postfach-Passworts. Dies gewährt dem System Vollzugriff auf das Postfach — eine Beschränkung auf einzelne Ordner oder Operationen ist technisch nicht möglich. Es wird empfohlen, sofern der E-Mail-Anbieter dies unterstützt, ein dediziertes App-Passwort anstelle des Haupt-Passworts zu verwenden, um die Auswirkungen im Falle einer Kompromittierung zu begrenzen.

Rechtsgrundlage

Die Verarbeitung der Postfach-Zugangsdaten und der eigenen E-Mails des Nutzers erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung zur Bereitstellung der Integrationsfunktion).

Soweit die synchronisierten E-Mails personenbezogene Daten Dritter enthalten (Absender, Empfänger, Inhalte von Korrespondenzpartnern, die selbst keine Nutzer von struct-i-vio sind), stützt sich die Verarbeitung dieser Drittdaten auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Das berechtigte Interesse liegt in der Bereitstellung einer funktionsfähigen geschäftlichen Kommunikations- und Projektverwaltungsumgebung, die der Nutzer (als Verantwortlicher gegenüber seinen eigenen Korrespondenzpartnern) aktiviert hat. Die betroffenen Dritten haben eine vernünftige Erwartung, dass ihre geschäftliche Korrespondenz durch den Empfänger in professionellen Werkzeugen verwaltet wird. Dieses Interesse überwiegt die Interessen der Dritten, da die Verarbeitung auf die im geschäftlichen Kontext ausgetauschten Inhalte beschränkt ist, keine Profilbildung oder Weitergabe an Dritte erfolgt, und die Daten innerhalb der sicheren, mandantengetrennten Infrastruktur verbleiben.

Speicherdauer

• Postfach-Zugangsdaten: Bis zur aktiven Trennung der Integration durch den Nutzer. Bei Trennung werden Zugangsdaten (verschlüsselter Geheimtext in mailbox_secrets) unmittelbar gelöscht.
• Synchronisierte E-Mail-Inhalte: Bis zur Löschung der jeweiligen E-Mail in der Anwendung oder bis zur Löschung des Mandanten-Accounts, je nachdem, was früher eintritt.

Datensicherheit der Zugangsdaten

Die Postfach-Zugangsdaten werden in einer gesonderten, besonders gesicherten Datenbanktabelle (mailbox_secrets) gespeichert, für die folgende Schutzmaßnahmen gelten:

• Alle Datenbankberechtigungen für authentifizierte und anonyme Rollen sind vollständig entzogen (REVOKE ALL). Lesezugriff besteht ausschließlich für den serverseitigen Sync-Prozess über eine privilegierte Datenbankfunktion.
• Tenant-Nutzer können die verschlüsselten Geheimdaten zu keinem Zeitpunkt direkt abfragen, auch nicht über eigene SQL-Abfragen.
• Die Entschlüsselung erfolgt ausschließlich im Arbeitsspeicher des Sync-Workers und wird nicht protokolliert.

Mailserver des Kunden kein Unterauftragnehmer

Der Mailserver, mit dem struct-i-vio sich per IMAP/SMTP verbindet, wird vom Nutzer selbst oder seinem Anbieter (z. B. Hetzner, Hostinger) betrieben. Dieser Mailserver ist kein Unterauftragnehmer von struct-i-vio im Sinne von Art. 28 DSGVO, da struct-i-vio lediglich auf den Mailserver als externe Datenquelle zugreift. Der Nutzer ist als Verantwortlicher selbst dafür zuständig, dass er berechtigt ist, über das angebundene Postfach auf die darin enthaltenen E-Mails zuzugreifen und diese in struct-i-vio zu synchronisieren.

12. KI-Funktionen (optional)

struct-i-vio bietet optionale KI-gestützte Funktionen zur Unterstützung und Automatisierung von Arbeitsabläufen. Diese Funktionen sind freiwillig und können vom Nutzer jederzeit genutzt oder nicht genutzt werden.

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Die Nutzung der KI-Funktionen erfordert Ihre ausdrückliche Einwilligung. Vor der erstmaligen Nutzung des KI-Assistenten werden Sie über die Datenverarbeitung informiert und um Ihre Zustimmung gebeten. Ohne diese Einwilligung werden keine Daten an den KI-Dienstleister übermittelt.

Ihre Einwilligung wird revisionssicher in unserem System dokumentiert (Zeitpunkt, Version der Datenschutzhinweise, Benutzer-ID).

Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf kann formlos per E-Mail an tigran.varazhian@struct-i-vio.com erfolgen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Datenverarbeitung bleibt davon unberührt (Art. 7 Abs. 3 DSGVO).

Verarbeiteter Datenumfang

Bei Nutzung der KI-Funktion werden folgende Daten an den KI-Dienstleister übermittelt:

• Identitätsdaten: Ihr Name, Ihre E-Mail-Adresse und Ihre Position im Unternehmen
• Chatnachrichten: Alle Nachrichten, die Sie an den KI-Assistenten senden
• Projekt- und Aufgabendaten: Namen, Beschreibungen, Status, Fristen (soweit sichtbar)
• Mitarbeiterdaten: Namen, Rollen, Arbeitszeiten, Abwesenheiten (soweit sichtbar)
• Finanzdaten: Budgets, Rechnungen, Ausgaben (soweit sichtbar)
• Dokument- und Anhangsdaten (optional): Inhalte, Dateiname und technische Metadaten einer vom Nutzer im KI-Chat bereitgestellten PDF-Datei, insbesondere wenn daraus ein Rechnungsvorschlag erstellt werden soll

Der Umfang der übermittelten Daten entspricht dem Sichtbereich des jeweiligen Nutzers und wird durch das Berechtigungssystem (Row Level Security) begrenzt.

Diese Daten werden bei Nutzung der KI-Funktion über den Azure OpenAI Service an Microsoft Deutschland GmbH(Walter-Gropius-Straße 5, 80807 München, Deutschland) als Auftragsverarbeiter übermittelt.

Bei der optionalen Analyse einer im KI-Chat hochgeladenen PDF werden zunächst die lokale PDF-Textschicht und die ausdrücklich angeforderten Seiten genutzt. Nur wenn eine visuelle Seitenanalyse erforderlich ist, können die dafür benötigten Seitenbilder an Azure OpenAI übermittelt werden. Für diesen Workflow wird kein zusätzlicher OCR- oder Dokumentenanbieter eingesetzt. Die KI erstellt daraus höchstens einen Vorschlag; eine Rechnung und eine dauerhafte Kopie des Dokuments werden erst nach einer ausdrücklichen Bestätigung des Nutzers angelegt.

Der rohe Chat-Anhang wird unabhängig davon nach Ablauf der sieben-tägigen Aufbewahrungsfrist im nächsten regulären Cleanup-Lauf endgültig gelöscht und nicht in den Datei-Backup-Speicher gespiegelt. Wird er auf ausdrückliche Nutzerbestätigung als Anhang einer Rechnung übernommen, entsteht eine eigenständige Kopie. Für diese Rechnungskopie gelten die regulären Papierkorb-, Wiederherstellungs- und Backup-Regeln für Arbeitsunterlagen.

Kein Training auf Kundendaten

Microsoft verwendet Daten, die über den Azure OpenAI Service übermittelt werden, nicht zum Training von KI-Modellen. Dies ist vertraglich im Microsoft Products and Services Data Protection Addendum (DPA) festgelegt.

Speicherdauer bei Azure OpenAI

Microsoft speichert API-Anfragen und -Antworten im Rahmen des Abuse-Monitorings für bis zu 30 Tage, danach erfolgt die Löschung.

Speicherung in struct-i-vio

Ihre KI-Chatverläufe werden in der struct-i-vio-Datenbank gespeichert, um Ihnen den Zugriff auf frühere Gespräche zu ermöglichen. Sie können einzelne Gespräche jederzeit löschen. Bei Löschung Ihres Benutzerkontos werden alle KI-Chatverläufe ebenfalls gelöscht.

Nutzungsabhängige Credit-Abrechnung

Bei jeder kundenbezogenen KI-Funktion erfassen wir zusätzlich die für die Abrechnung erforderlichen Nutzungs- und Buchungsmetadaten. Dazu gehören insbesondere die Zuordnung zum Nutzer und Mandanten, die KI-Funktion bzw. Operation, die gemessene Verarbeitung, die daraus ermittelte Credit-Belastung, die verwendete Version der Abrechnungsgrundlage und gegebenenfalls eine nachvollziehbare Reservierungs-, Erstattungs- oder Ausgleichsbuchung. Diese Angaben dienen der Vertragserfüllung, der Erstellung und Prüfung der vereinbarten Abrechnung sowie dem Schutz vor Fehl- und Doppelbuchungen (Art. 6 Abs. 1 lit. b und f DSGVO). Sie werden vom jeweiligen KI-Inhalt getrennt betrachtet. Der kunden- bzw. mandantensichtbare Credit-Beleg enthält grundsätzlich weder Eingabe- und Ausgabedaten noch interne Kalkulationsgrundlagen. Getrennte, zugriffsbeschränkte interne Abrechnungsnachweise können die für die Ermittlung erforderlichen technischen Parameter enthalten, jedoch nicht den KI-Inhalt. Die konkrete Credit-Belastung wird angezeigt und im Nutzungskonto dokumentiert, sobald die jeweilige Abrechnung finalisiert ist. Bis dahin kann ein neutraler offener Abrechnungsstatus angezeigt werden. Sie kann je nach Modell, Kontext und genutzten Werkzeugen variieren. Nachgelagerte, derselben Chat-Anfrage zugeordnete Verarbeitungsschritte können nach ihrer jeweiligen Finalisierung als zusätzliche Nutzungsbuchungen hinzukommen; sie sind keine Korrektur eines bereits finalisierten Belegs.

Direkte Nutzer-, Mitarbeiter- und Konversationsbezüge werden spätestens nach 1.095 Tagen entfernt. Die verbleibende Abrechnungsevidenz wird spätestens nach 3.650 Tagen gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bis zur Entfernung der direkten Bezüge wird die Evidenz nur pseudonymisiert verarbeitet; die verbleibende Mandantenzuordnung (tenant_id) kann dabei als technische Finanz- und Abgrenzungsinformation erhalten bleiben. Noch offene, streitige oder nicht abschließend zuordenbare billing_pending-Vorgänge sind von der automatischen Löschung ausgenommen, bis sie geklärt und abgeschlossen sind. Danach gelten die regulären Fristen mit der jeweils frühestmöglichen Datenminimierung. Eine Löschung des Chatverlaufs löscht nicht automatisch den zur Abrechnung erforderlichen Beleg; eine erforderliche Korrektur eines bereits finalisierten Belegs erfolgt durch eine getrennte Ausgleichsbuchung.

Datenstandort und EU Data Boundary

Die Verarbeitung erfolgt auf Microsoft-Infrastruktur innerhalb der Microsoft EU Data Boundary (primär: Region Sweden Central). Für den regulären KI-Assistenten findet kein Transfer in Drittländer außerhalb des EWR statt. Das DPA zwischen structivio und Microsoft ist unter https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA abrufbar.

Keine automatisierten Entscheidungen

Es werden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen. Alle KI-generierten Vorschläge sind als Empfehlungen zu verstehen und erfordern stets menschliche Überprüfung und Freigabe. Schreibvorschläge der KI (z.B. Aufgaben anlegen oder ändern) erfordern eine explizite Bestätigung durch den Nutzer.

Spracherkennung / Diktat (optional)

Im KI-Chat können Sie Ihre Nachricht statt durch Tippen auch per Mikrofon-Diktat eingeben. Die Funktion wird ausschließlich durch einen bewussten Klick auf die Mikrofon-Taste aktiviert; ohne diesen Klick wird zu keinem Zeitpunkt auf Ihr Mikrofon zugegriffen.

Für die Spracherkennung nutzen wir Azure AI Speech von Microsoft Deutschland GmbH, betrieben auf einer eigens für struct-i-vio eingerichteten Ressource in der Region Sweden Central (EU). Die Spracherkennung verarbeitet grundsätzlich innerhalb der Region der zugewiesenen Ressource; Ihre gesprochenen Daten verlassen die EU dabei nicht.

Das aufgenommene Audio wird direkt von Ihrem Browser an Azure gestreamt und läuft nicht über unsere Server. Unser Server stellt hierfür lediglich ein kurzlebiges Zugangstoken aus (Gültigkeit 10 Minuten), damit der zugrunde liegende API-Schlüssel Ihren Browser nicht erreicht.

Wir speichern selbst keine Audiodaten. Auch auf Seiten von Microsoft ist die Protokollierung bzw. Aufbewahrung von Audiodaten für diesen Dienst deaktiviert; eine Nutzung Ihrer gesprochenen Daten zum Training von KI-Modellen findet nicht statt. Die Verarbeitung erfolgt nur, solange Sie die Mikrofon-Taste aktiv nutzen, mit einer harten Obergrenze von 5 Minuten je Diktatvorgang. Die Erkennungssprache wird nicht von der eingestellten Oberflächensprache der Anwendung vorgegeben: Azure AI Speech erkennt die gesprochene Sprache automatisch unter den fünf von struct-i-vio unterstützten Kandidatensprachen (Deutsch, Englisch, Spanisch, Russisch, Ukrainisch).

Für die Diktatfunktion gilt dieselbe Einwilligung wie für die übrige Nutzung des KI-Assistenten (vgl. Abschnitt „Einwilligung" oben). Ohne Ihre Einwilligung zur Nutzung der KI-Funktionen wird auch die Diktatfunktion nicht bereitgestellt.

Websuche durch die KI (Internetrecherche)

Wenn ein Verantwortlicher (Tenant-Administrator) die optionale Funktion „Internetrecherche" für die Lead-Vorqualifizierung aktiviert, werden bei Nutzung dieser Funktion ausgewählte Lead-Daten — typischerweise Firmenname, E-Mail-Adresse und frei eingegebene Beschreibungsfelder — an den Azure OpenAI Service von Microsoft Deutschland GmbH übermittelt. Azure OpenAI nutzt dafür das integrierte Web-Such-Tool (Bing-gestützt, betrieben von Microsoft). Suchanfragen können Microsoft-Bing-Infrastruktur tangieren, die nicht durchgängig innerhalb der Microsoft EU Data Boundary liegt; Microsoft ist für diese Sub-Verarbeitung als Betreiber des Bing-Dienstes verantwortlich und durch sein DPA gebunden.

Verlassen der struct-i-vio-Infrastruktur: Die Lead-Daten verlassen im Rahmen dieser Funktion die struct-i-vio-Systeme und die Supabase-Datenbank. Ab dem Zeitpunkt der Übermittlung unterliegen die Daten den Datenschutzregeln des Microsoft DPA. Dies unterscheidet die KI-Websuche qualitativ vom regulären KI-Assistenten, bei dem Daten ausschließlich innerhalb der Microsoft EU Data Boundary verbleiben.

Rechtsgrundlage und Einwilligung: Die Aktivierung durch den Tenant-Administrator erfordert eine gesonderte, dokumentierte Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Ohne diese Einwilligung wird die Internetrecherche nicht ausgeführt.

Auftragsverarbeitung: Microsoft Deutschland GmbH ist für diese Verarbeitung als Unterauftragnehmer im Sinne von Art. 28 DSGVO tätig. Das Microsoft Products and Services Data Protection Addendum gilt auch für diese Verarbeitung. Microsoft verwendet Azure OpenAI API-Daten nicht zum Training von KI-Modellen.

Datenkategorien und Verantwortung: Die Nutzer sind als Verantwortliche dafür zuständig, keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine anderweitig schützenswerten vertraulichen Informationen in Lead-Beschreibungsfelder einzutragen, die für die Internetrecherche freigegeben sind.

Automatisierte Lead-Verarbeitung (Vorqualifizierung)

Wenn ein Tenant-Administrator die optionale Funktion „Automatische Lead-Bewertung" aktiviert, wird jeder neu eingehende Vorqualifizierungs-Lead automatisch und ohne manuelles Zutun an den Azure OpenAI Service von Microsoft Deutschland GmbHübermittelt, sobald er im System erfasst wird. Auf Basis der übermittelten Lead-Daten (insbesondere Name, E-Mail-Adresse, Unternehmen und Beschreibungsfelder der Kontaktperson) erstellt Azure OpenAI eine Erstbewertung und generiert Feldvorschläge.

Nur Vorschläge — keine automatische Dateneingabe: Die durch die KI erzeugten Bewertungen und Feldvorschläge werden dem zuständigen Nutzer lediglich zur Prüfung vorgelegt. Eine automatische Übernahme in die Lead-Stammdaten erfolgt nicht; jede Änderung erfordert eine explizite menschliche Bestätigung.

Kein Anwendungsfall von Art. 22 Abs. 1 DSGVO: Das Verfahren stellt keine automatisierte Entscheidungsfindung im Sinne von Art. 22 Abs. 1 DSGVO dar. Die KI erzeugt ausschließlich vorbereitende Bewertungen und Vorschläge; rechtlich oder wirtschaftlich erhebliche Entscheidungen werden nicht ausschließlich durch die automatisierte Verarbeitung getroffen, sondern stets durch einen Menschen bestätigt oder verworfen. Die KI-Ausgabe hat damit den Charakter eines Unterstützungshinweises, nicht einer rechtsverbindlichen Entscheidung.

Kontinuierliche Verarbeitung: Im Unterschied zur manuell ausgelösten Einzelrecherche läuft diese Verarbeitung fortlaufend für jeden neu eingehenden Lead, solange die Einstellung aktiv ist. Der Administrator kann die Funktion jederzeit deaktivieren.

Rechtsgrundlage und Einwilligung: Die Aktivierung durch den Tenant-Administrator erfordert eine gesonderte, dokumentierte Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Für die Verarbeitung personenbezogener Daten der Lead-Kontaktpersonen stützt sich der Tenant als Verantwortlicher auf sein berechtigtes Interesse an der effizienten Vorqualifizierung geschäftlicher Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Datenstandort und Auftragsverarbeitung: Es gelten dieselben Grundsätze wie beim regulären KI-Assistenten: Verarbeitung innerhalb der Microsoft EU Data Boundary (Sweden Central); Auftragsverarbeitung durch Microsoft Deutschland GmbH gemäß Art. 28 DSGVO auf Basis des Microsoft DPA; kein Modelltraining auf API-Daten; Abuse-Monitoring-Logs bei Microsoft für max. 30 Tage.

12a. E-Mail-Öffnungs- und Klick-Tracking (Cold-Leads-Modul)

Wenn ein Tenant-Administrator das optionale Cold-Leads-Modul nutzt, um Outbound-Kontakte (Cold Leads) per E-Mail anzusprechen, setzt struct-i-vio in den versendeten Marketing-E-Mails ein Öffnungs-Tracking (1×1-Pixel) und ein Klick-Tracking (Umschreibung von Links) ein, sofern der jeweilige Cold Lead eine bestätigte Marketing-Einwilligung (Double-Opt-In) erteilt hat.

Die DOI-Bestätigungs-Mail sowie die Unsubscribe-Landing-Page sind von diesem Tracking ausgenommen — diese Nachrichten werden nie getrackt.

Verarbeitete Daten

• Öffnungs-Ereignis: Zeitstempel des Abrufs des Tracking-Pixels, IP-Adresse, User-Agent (Browser- und Geräteinformation). Hinweis: Öffnungsraten sind näherungsweise und können inflationiert sein, weil verschiedene E-Mail-Clients (z. B. Apple Mail mit Mail Privacy Protection) Bilder automatisch vorab abrufen, ohne dass die Empfängerin oder der Empfänger die Nachricht tatsächlich geöffnet hat.
• Klick-Ereignis: Zeitstempel des Klicks auf einen Link, Ziel-URL, IP-Adresse, User-Agent. Klick-Ereignisse sind zuverlässig.

Die Ereignisse werden in der Tabelle email_tracking_events gespeichert, die dem jeweiligen Tenant zugeordnet ist. Kein Tracking-Anbieter ist eingebunden; das Tracking läuft ausschließlich auf der eigenen Infrastruktur von struct-i-vio (Supabase, Frankfurt).

Zweck

Messung des Engagements mit ausgehenden Marketing-E-Mails (Zustellbarkeit, Öffnungs- und Klickverhalten), um dem Verantwortlichen (Tenant) eine Einschätzung der Wirksamkeit seiner Outbound-Kommunikation zu ermöglichen.

Rechtsgrundlage

Das Tracking erfolgt ausschließlich bei Cold Leads, die eine bestätigte Marketing-Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) über das Double-Opt-In-Verfahren erteilt haben. Diese Einwilligung deckt sowohl die Kontaktaufnahme per E-Mail als auch das beschriebene Engagement-Tracking ab. Ohne bestätigte Einwilligung wird kein Tracking durchgeführt.

Der Tenant ist als datenschutzrechtlich Verantwortlicher für die Rechtmäßigkeit der Einwilligung und der darauf gestützten Verarbeitung zuständig.

Widerruf

Der Empfänger einer Marketing-E-Mail kann seine Einwilligung jederzeit widerrufen, indem er den in jeder E-Mail enthaltenen Abmeldelink nutzt oder sich direkt an den Absender (Tenant) wendet. Nach dem Widerruf (Unsubscribe) werden keine weiteren Tracking-Ereignisse erfasst, und die E-Mail-Adresse wird in die Sperrliste eingetragen.

Aufbewahrung

Tracking-Ereignisse werden als operative Geschäftsdaten eingestuft und gemäß der in Abschnitt 10a geregelten Aufbewahrungsfrist für diese Klasse vorgehalten (derzeit 90 Tage).

12b. Kampagnen an Kontakte und CRM-Leads

Kunden können die Plattform optional verwenden, um Kampagnen an ihre Kontakte und CRM-Leads zu versenden. Dabei werden insbesondere Empfängeradresse, Empfängertyp, ausgewählte Filter, Kampagneninhalt, Versandstatus sowie die vom Kunden bestätigte strukturierte Rechtsgrundlage verarbeitet. Der Kunde ist für die Rechtmäßigkeit der Empfängerauswahl, die Dokumentation der Marketing-Einwilligung oder einer geprüften Bestandskunden-Ausnahme und die Erfüllung der Informationspflichten verantwortlich.

Die Plattform führt für jeden Mandanten eine adressbezogene Sperrliste. Abmeldungen und Widersprüche werden dort unabhängig vom Empfängertyp gespeichert und verhindern weitere Kampagnen- und Outbound-Versendungen an dieselbe Adresse. Die Sperre bleibt auch dann wirksam, wenn die Adresse später einem anderen Kontakt, CRM-Lead oder Cold Lead zugeordnet wird.

Einträge in dieser Sperrliste werden grundsätzlich dauerhaft vorgehalten, damit eine spätere Zuordnung derselben Adresse die Abmeldung nicht unwirksam macht. Eine Löschung oder vorzeitige Entfernung erfolgt nur auf dokumentierte Weisung des Verantwortlichen; dieser trägt dann die Verantwortung für die Rechtmäßigkeit einer erneuten Kontaktaufnahme. Die Verarbeitung und kontrollierte Löschung richten sich im Übrigen nach dem AV-Vertrag und den dort beschriebenen Lösch- und Aufbewahrungsregeln.

Bei Kontakten und CRM-Leads ist Öffnungs- und Klick-Tracking technisch deaktiviert und im Versandpfad nicht aktivierbar. Das gesonderte Tracking im Cold-Leads-Modul ist auf Cold Leads mit bestätigter Double-Opt-In-Marketing-Einwilligung beschränkt und wird in Abschnitt 12a beschrieben.

13. Besondere Datenkategorien (Art. 9 DSGVO)

Die Anwendung ermöglicht Mitarbeitern das Hochladen von Arbeitsunfähigkeitsbescheinigungen im Rahmen der Abwesenheitsverwaltung. Bei diesen Dokumenten kann es sich um Gesundheitsdaten im Sinne von Art. 4 Nr. 15 i.V.m. Art. 9 DSGVO handeln.

Rechtsgrundlage für diese Verarbeitung ist Art. 9 Abs. 2 lit. b DSGVO (Verarbeitung im Rahmen des Arbeitsrechts) sowie § 26 Abs. 3 BDSG. Der Arbeitgeber (Kunde von struct-i-vio) ist für die rechtmäßige Einholung dieser Daten verantwortlich.

Mitarbeitern wird empfohlen, ausschließlich die Arbeitsunfähigkeitsbescheinigung (ohne Diagnose) hochzuladen. Das Hochladen von Dokumenten mit Diagnoseinformationen oder sonstigen Gesundheitsdaten über die Bescheinigung hinaus ist nicht erforderlich und sollte vermieden werden.

14. Nutzung der mobilen App (Android / iOS)

struct-i-vio ist derzeit als mobile App für Android verfügbar. Eine iOS-Version kann künftig bereitgestellt werden. Die App ist eine webbasierte Anwendung (Capacitor/WebView) und verarbeitet dieselben Daten wie die Web-Version.

Gerätezugriffe

In der mobilen Android-App sind technisch folgende Systemberechtigungen deklariert: Internetzugriff sowie unterstützende Berechtigungen für Netzwerkstatus, Vibration, Wake-Lock und den Empfang von Push- Benachrichtigungen (inkl. technischer Berechtigungen für den Push-Empfangsdienst). Benachrichtigungen (Push) werden nur nach ausdrücklicher Einwilligung des Nutzers genutzt. Kamera, Mikrofon, Standort oder Kontakte werden derzeit nicht als Laufzeitberechtigung aktiv angefordert. Falls künftig weitergehende Gerätezugriffe erforderlich werden, erfolgt dies nur nach vorherigem Datenschutzhinweis und – soweit erforderlich – mit separater Einwilligung bzw. über den jeweiligen Betriebssystem-Dialog.

Account-Löschung

Nutzer können ihren Account jederzeit in den Kontoeinstellungen (Profil → Account löschen) löschen. Nach Löschung werden alle personenbezogenen Daten im Produktivbetrieb unverzüglich anonymisiert oder gelöscht und der Zugang entfernt; gesetzliche Aufbewahrungspflichten sowie technisch erforderliche Sicherungskopien gemäß Ziffer 10 bleiben unberührt. Für Dateien, die ausschließlich dem Nutzerkonto zugeordnet sind, kann im Rahmen der Account-Löschung eine unmittelbare Entfernung erforderlich sein. Reguläre Arbeitsunterlagen des Unternehmens unterliegen dagegen den jeweils geltenden Papierkorb-, Aufbewahrungs- und Löschregeln.

Eine öffentliche Beschreibung des Löschprozesses finden Sie unter /legal/account-loeschung.

15. Öffentlicher Demo-Zugang

Unter /demo bieten wir Interessenten einen öffentlich zugänglichen, schreibgeschützten Testzugang zu einer Umgebung mit ausschließlich erfundenen Beispieldaten. Dieser Abschnitt beschreibt ergänzend zu den vorstehenden Abschnitten, welche Daten dabei verarbeitet werden.

Verarbeitete Daten

Bei einer Anfrage über das Formular verarbeiten wir Ihre E-Mail-Adresse (Pflichtangabe) sowie optional Name und Firma, die Zeitpunkte Ihrer Einwilligungen, Herkunfts- und Kampagnenangaben (z. B. UTM-Parameter), sofern vorhanden, sowie technische Status- und Zeitstempel des Antrags und einen gesalzenen Hash Ihrer IP-Adresse. Es wird zu keinem Zeitpunkt eine Klartext-IP-Adresse gespeichert; der Hash dient ausschließlich der Ratenbegrenzung und Missbrauchserkennung an dieser öffentlich erreichbaren Formularstrecke und lässt sich ohne ein serverseitiges, nicht in der Datenbank hinterlegtes Geheimnis nicht auf eine IP-Adresse zurückrechnen. Nutzen Sie anschließend den in der Demo verfügbaren KI-Assistenten, kommen die in Abschnitt 12 beschriebenen Chatnachrichten hinzu.

Rechtsgrundlagen

Für die Einrichtung und Bereitstellung des Demo-Zugangs selbst (Anlegen eines Zugangs, Versand des Anmeldelinks, Freischaltung der schreibgeschützten Umgebung) stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO: Sie fordern diesen Zugang selbst an, die Verarbeitung erfolgt also auf Ihre Veranlassung im Rahmen der Anbahnung einer möglichen künftigen Nutzung von struct-i-vio. Für die Verarbeitung Ihrer Eingaben durch den KI-Assistenten holen wir zusätzlich Ihre ausdrückliche Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO ein, da diese Verarbeitung für das bloße Ansehen der Demo nicht zwingend erforderlich ist. Beides bestätigen Sie mit demselben Kontrollkästchen im Formular; ohne dieses Kontrollkästchen richten wir keinen Demo-Zugang ein. Für eine etwaige Kontaktaufnahme zu Vertriebszwecken gilt eine gesonderte, freiwillige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO über ein zweites, unabhängiges Kontrollkästchen, die auf den Zugang selbst keinen Einfluss hat. Für den IP-Hash sowie Herkunfts- und Kampagnenparameter stützen wir uns auf unser berechtigtes Interesse an einem funktionsfähigen, missbrauchsfreien Betrieb dieser öffentlichen Formularstrecke (Art. 6 Abs. 1 lit. f DSGVO).

Pseudonymisierung innerhalb der Demo-Umgebung

Innerhalb der Demo-Umgebung selbst treten Sie nicht unter Ihrer echten Identität auf. Wir richten für Sie ein Pseudonym ein ("Demo-Gast <Nummer>" mit einer nicht zustellbaren Beispiel-E-Mail-Adresse) und verwenden ausschließlich dieses Pseudonym für Ihr Nutzerkonto innerhalb des Demo-Mandanten. Ihre tatsächliche E-Mail-Adresse, Ihr Name und Ihre Firma gelangen zu keinem Zeitpunkt in den für andere Demo-Besucher einsehbaren Bereich; sie verbleiben ausschließlich in unserem Anmeldesystem und in einer eigenen, streng zugriffsbeschränkten Ablage für Zugangsanfragen. Andere Besucher der Demo sehen daher zu keinem Zeitpunkt Ihre echten Angaben.

KI-Nutzung in der Demo

Für den in der Demo verfügbaren KI-Assistenten (Luna) gelten grundsätzlich dieselben Regelungen wie in Abschnitt 12 beschrieben: Ihre Eingaben werden über den Azure OpenAI Service an die Microsoft Deutschland GmbH als Auftragsverarbeiter übermittelt und innerhalb der Microsoft EU Data Boundary verarbeitet; es findet kein Training von KI-Modellen auf diesen Daten statt, und es werden keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO getroffen. Abweichend vom regulären Ablauf holen wir Ihre Einwilligung zur KI-Verarbeitung nicht erst bei der ersten Nutzung des Assistenten ein, sondern bereits mit dem Kontrollkästchen im Formular auf /demo. In der Demo ist außerdem nur ein einzelnes, dafür vorgesehenes Modell mit eingeschränktem Funktionsumfang aktiv (u. a. ohne Internetrecherche, Diktat, Dokumentenerstellung oder Anhänge), und Ihr Nutzungsvolumen ist begrenzt.

Empfänger

Für den Versand des Anmeldelinks nutzen wir den E-Mail-Zustelldienst Resend als Versanddienstleister (siehe Abschnitt 8); er erhält dabei ausschließlich Ihre E-Mail-Adresse und den Anmeldelink, nicht die übrigen Angaben aus dem Formular. Bei Nutzung des KI-Assistenten gilt zusätzlich der in Abschnitt 12 beschriebene Empfängerkreis (Microsoft Deutschland GmbH, Azure OpenAI Service).

Speicherdauer

Ihren Zugangsantrag (E-Mail-Adresse, Name/Firma soweit angegeben, Einwilligungszeitpunkte, Herkunftsangaben, IP-Hash, Status) speichern wir für 180 Tage ab Ihrer Anfrage; danach wird er automatisiert gelöscht. Konversationen mit dem KI-Assistenten in der Demo werden im Rahmen der regelmäßigen automatisierten Wartung der Demo-Umgebung bereits deutlich früher entfernt, unabhängig von der 180-Tage-Frist für den Zugangsantrag.

Widerruf und Löschung

Sie können die vorzeitige Löschung Ihres Zugangsantrags verlangen und Ihre Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen. Nutzen Sie hierfür die in Abschnitt 4 genannte Kontaktadresse. Ihr Zugang zur Demo-Umgebung wird in diesem Fall deaktiviert. Da innerhalb der Demo-Umgebung ohnehin nur ein Pseudonym hinterlegt ist, betrifft eine solche Löschung Ihren Anmeldedatensatz und Ihren Zugangsantrag – nicht die ohnehin frei erfundenen Beispieldaten der Demo-Umgebung selbst.

Kein Vertragsverhältnis

Für die im Rahmen des Demo-Zugangs erhobenen Daten sind wir datenschutzrechtlich Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO, nicht Auftragsverarbeiter. Mit der Anfrage eines Demo-Zugangs kommt kein Vertragsverhältnis über die Nutzung der SaaS-Plattform zustande; die Allgemeinen Geschäftsbedingungen und der Auftragsverarbeitungsvertrag (vgl. Abschnitt 7) finden auf den Demo-Zugang daher keine Anwendung.

16. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung kann von Zeit zu Zeit aktualisiert werden. Die aktuelle Version finden Sie stets auf dieser Seite.

Last updated: 25. August 2026