Datenschutzerklärung

1. Datenschutz auf einen Blick

Wir freuen uns über Ihr Interesse an unserer B2B-Plattform X-KomplyAI. Der Schutz Ihrer geschäftlichen und personenbezogenen Daten ist uns ein wichtiges Anliegen. Nachfolgend informieren wir Sie darüber, welche Daten bei der Nutzung unserer Dienste erhoben und verarbeitet werden.

2. Verantwortliche Stelle

3. Datenerfassung auf unserer Website

Hosting und Bereitstellung (Supabase & Vercel)

Unsere Website und Anwendung wird bei externen Cloud-Providern gehostet (Vercel für das Frontend und Supabase/PostgreSQL für Datenbank und Authentifizierung). Supabase verarbeitet Zugriffsdaten und Registrierungsinformationen ausschließlich im Auftrag und auf Weisung von uns auf europäischen Servern (Region Frankfurt, Deutschland). Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Registrierung und Authentifizierung

Bei der Erstellung eines Nutzerkontos erfassen wir Ihre E-Mail-Adresse und Ihr Passwort zur Absicherung Ihres Kontos. Optional können Sie Ihren Namen und Ihre Abteilung angeben. Diese Daten sind erforderlich, um die Multi-Tenant-Mandantentrennung zu gewährleisten und sicherzustellen, dass nur autorisierte Nutzer Ihrer Organisation Zugriff auf Ihre Daten erhalten.

4. Formulierungs- und Vorschlagsfunktionen

Die Plattform schlägt Formulierungen für Verarbeitungsbeschreibungen, Löschfristen, Beispiele für technische und organisatorische Maßnahmen sowie Antworten auf Sicherheitsfragebögen vor. Diese Vorschläge beruhen derzeit ausschließlich auf intern hinterlegten, regelbasierten Textvorlagen. Es wird kein KI-Modell eingesetzt, und es werden keine Daten an externe KI-Anbieter übermittelt. Hierbei gilt:

• Datenminimierung: Eingaben werden vor der Verarbeitung auf erkennbare personenbezogene Daten (z. B. Namen, E-Mail-Adressen) geprüft und in diesem Fall abgelehnt. Kontextdaten für Antwortvorschläge werden vorab um solche Angaben bereinigt.
• Protokollierung: Jede Nutzung wird protokolliert. Dabei erfassen wir nur Metadaten (Zeitstempel, Benutzer-ID, Organisation, verknüpfte Verarbeitungstätigkeit, Länge der Eingabe und Art der übergebenen Kontextfelder), keine Inhalte.

5. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Bestimmungen der DSGVO jederzeit das Recht auf:

• Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung dieser Rechte können Sie sich jederzeit unter den oben angegebenen Kontaktdaten an uns wenden.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

6. Empfänger und Auftragsverarbeiter

Im Rahmen der Leistungserbringung setzen wir folgende Auftragsverarbeiter und Empfänger ein, mit denen — soweit erforderlich — Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen: Supabase (Hosting von Datenbank und Authentifizierung, EU-Region Frankfurt), Vercel Inc. (Bereitstellung des Frontends), Stripe Payments Europe, Limited, Irland (Zahlungsabwicklung für kostenpflichtige Tarife; als Auftragsverarbeiter und für eigene Zwecke wie Betrugsprävention und die Erfüllung rechtlicher Pflichten als eigener Verantwortlicher) sowie Sentry (Functional Software, Inc.) zur technischen Fehler- und Stabilitätsüberwachung unserer Anwendung, mit Datenverarbeitung in der EU (Deutschland). Sentry erhält Fehlermeldungen, Stack-Traces und Zeitstempel sowie für etwa jeden fünften Seitenaufruf Leistungsdaten (Traces), die die aufgerufene Adresse (URL) enthalten. Bekannte personenbezogene Datenfelder sowie Zugangs- und Einladungs-Token in Adressen werden vor der Übermittlung maskiert; eine Aufzeichnung von Nutzersitzungen (Session Replay) findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Für den Versand transaktionaler E-Mails, etwa der Bestätigungs-E-Mail zu einer über das Datenschutzportal einer Organisation eingereichten Betroffenenanfrage, nutzen wir Resend (Plus Five Five, Inc.) mit Versand über die EU-Region Irland. Dabei werden die E-Mail-Adresse, der angegebene Name und der Inhalt der E-Mail verarbeitet. Die Verarbeitung erfolgt im Auftrag der jeweiligen Organisation, an die die Anfrage gerichtet ist.

Zum Schutz vor Missbrauch begrenzen wir die Anzahl von Anfragen (Rate Limiting) mit Upstash (Upstash, Inc.) und Datenhaltung in der EU-Region Frankfurt. Dabei werden kurzlebige Zählerschlüssel gespeichert, die aus gehashten IP-Adressen, bei Anmeldeversuchen zusätzlich aus der gehashten E-Mail-Adresse, aus internen Nutzer-IDs oder aus gehashten Freigabe-Links gebildet werden. Die Einträge werden nach Ablauf des jeweiligen Zeitfensters von höchstens einer Stunde automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Zur anonymen Reichweitenmessung setzen wir Vercel Web Analytics (Vercel Inc.) ein, jedoch nur, wenn Sie über den Cookie-Hinweis in die Kategorie „Statistik“ eingewilligt haben. Dabei werden ohne Cookies und ohne Speicherung von Informationen auf Ihrem Endgerät aggregierte Nutzungsdaten erfasst (aufgerufene Seite, Referrer, Browser, Betriebssystem, Gerätetyp und Land). Besucher werden lediglich über einen aus der Anfrage gebildeten Hashwert unterschieden, der nach 24 Stunden verworfen wird; eine Zusammenführung mit anderen Daten oder ein seitenübergreifendes Tracking findet nicht statt. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit mit Wirkung für die Zukunft über den Link „Cookie-Hinweis“ im Seitenfuß widerrufen.

Für die Formulierungs- und Vorschlagsfunktionen (Abschnitt 4) kommt derzeit ausschließlich ein interner, regelbasierter Textbaustein-Mechanismus ohne Anbindung an ein externes Sprachmodell zum Einsatz; es werden keine Daten an externe KI-Anbieter übermittelt. Vor einer Anbindung eines KI-Modells (z. B. Google Gemini) wird diese Erklärung aktualisiert.

Übermittlung in Drittländer. Vercel Inc., Stripe, Functional Software, Inc. (Sentry), Plus Five Five, Inc. (Resend), Upstash, Inc. und Supabase, Inc. haben ihren Sitz in den USA oder gehören zu dort ansässigen Unternehmensgruppen. Auch soweit wir EU-Regionen nutzen, kann eine Übermittlung personenbezogener Daten in die USA oder ein Zugriff von dort nicht ausgeschlossen werden. Grundlage ist der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der jeweilige Anbieter danach zertifiziert ist (einsehbar unter dataprivacyframework.gov), sowie die mit den Anbietern vereinbarten Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage über die in Abschnitt 2 genannte Stelle.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist, oder solange gesetzliche Aufbewahrungspflichten (z. B. nach HGB oder AO) bestehen. Für zahlreiche Datenkategorien unterstützt die Plattform ein Löschkonzept mit hinterlegten Aufbewahrungsregeln sowie einen automatisierten Workflow zur Identifikation und Freigabe löschreifer Datensätze durch die verantwortliche Organisation.

Die konkreten Fristen ergeben sich aus den vom jeweiligen Verantwortlichen (unserem Kunden) im System hinterlegten Löschregeln. Nutzerkonten können auf Anfrage vollständig gelöscht werden, einschließlich der zugehörigen Authentifizierungsidentität.

8. Cookies und lokale Speicherung

Technisch notwendig und daher ohne Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG) speichern wir auf Ihrem Endgerät:

• ein Sitzungscookie zur Anmeldung (Supabase Auth), bis zur Abmeldung;
• das Cookie komply-org-id mit der ausgewählten Organisation (Mandant), bis zur Abmeldung;
• das Cookie xk-sidebar (ein- oder ausgeklappte Seitenleiste), nur nach Klick auf den Umschalter, für ein Jahr;
• den Eintrag xk-theme im lokalen Speicher (helles oder dunkles Design), nur nach Klick auf den Umschalter, bis Sie ihn löschen;
• den Eintrag xk-cookie-consent im lokalen Speicher mit Ihrer Auswahl im Cookie-Hinweis, bis Sie ihn löschen.

Vercel Web Analytics setzt keine Cookies und speichert nichts auf Ihrem Endgerät; es wird nur mit Ihrer Einwilligung geladen (siehe Abschnitt 6). Tracking- oder Marketing-Cookies setzen wir nicht ein.