Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden: "DSGVO") sowie weiterer nationaler Datenschutzgesetze ist die oben genannte Entalys GmbH.

Eingetragen im Handelsregister des Amtsgerichts Neuss, HRB 25084. Umsatzsteuer-Identifikationsnummer: DE460863235. Allgemeine E-Mail: info@paless.eu. Für Anfragen zum Datenschutz nutzen Sie bitte vorrangig die E-Mail-Adresse datenschutz@paless.eu.

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Nach derzeitiger Prüfung besteht für den Verantwortlichen keine gesetzliche Pflicht zur Benennung nach Art. 37 DSGVO in Verbindung mit § 38 Bundesdatenschutzgesetz (BDSG). Die Erforderlichkeit einer Benennung wird insbesondere im Hinblick auf die Aufnahme des Wirkbetriebs des Dienstes fortlaufend überprüft; sollte eine Benennung erfolgen, werden die Kontaktdaten des Datenschutzbeauftragten an dieser Stelle veröffentlicht.

Für sämtliche Datenschutzanliegen steht Ihnen die unter Ziffer 1 genannte Kontaktadresse datenschutz@paless.eu zur Verfügung.

3. Allgemeines zur Datenverarbeitung

Dieser Abschnitt beschreibt, für welche Verarbeitungen diese Datenschutzerklärung gilt und in welcher Bedeutung die verwendeten Begriffe zu verstehen sind.

3.1 Geltungsbereich

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten (a) beim Aufruf und der Nutzung der Webseite paless.eu einschließlich aller Unterseiten, (b) bei der Anbahnung, dem Abschluss und der Durchführung von Verträgen über die Nutzung des Dienstes "paless", (c) bei der Kontaktaufnahme mit dem Verantwortlichen über die im Impressum oder in dieser Erklärung genannten Kommunikationswege sowie (d) bei der Unterstützung des Verantwortlichen über die Crowdfunding-Plattform Kickstarter (Ziffer 7).

Soweit der Verantwortliche personenbezogene Daten im Auftrag eines Kunden im Sinne des Art. 4 Nr. 7 DSGVO verarbeitet (Auftragsverarbeitung), wird hierauf in den entsprechenden Abschnitten (insbesondere Ziffern 6.2 und 6.3) gesondert hingewiesen. Maßgeblich für die Auftragsverarbeitung ist der zwischen den Parteien geschlossene Auftragsverarbeitungsvertrag (Anhang 2 der AGB des Verantwortlichen).

3.2 Begriffsbestimmungen

Diese Datenschutzerklärung verwendet die Begriffe in der Bedeutung, die ihnen Art. 4 DSGVO gibt. Insbesondere bezeichnen:

• "personenbezogene Daten" alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO)
• "Verarbeitung" jeden Vorgang im Zusammenhang mit personenbezogenen Daten (Art. 4 Nr. 2 DSGVO)
• "Verantwortlicher" die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO)
• "Auftragsverarbeiter" die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet (Art. 4 Nr. 8 DSGVO)

4. Rechtsgrundlagen der Verarbeitung

Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung der betroffenen Person einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage.

Bei der Verarbeitung personenbezogener Daten, die zur Erfüllung eines Vertrages, dessen Vertragspartei die betroffene Person ist, erforderlich ist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Dies gilt auch für Verarbeitungsvorgänge, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind.

Soweit eine Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, der der Verantwortliche unterliegt (z. B. handels- oder steuerrechtliche Aufbewahrungspflichten), dient Art. 6 Abs. 1 lit. c DSGVO als Rechtsgrundlage.

Ist die Verarbeitung zur Wahrung eines berechtigten Interesses des Verantwortlichen oder eines Dritten erforderlich und überwiegen die Interessen, Grundrechte und Grundfreiheiten der betroffenen Person das erstgenannte Interesse nicht, so dient Art. 6 Abs. 1 lit. f DSGVO als Rechtsgrundlage. Das jeweilige berechtigte Interesse wird bei den einzelnen Verarbeitungen benannt.

5. Verarbeitung beim Besuch der Webseite paless.eu

Dieser Abschnitt informiert darüber, welche personenbezogenen Daten beim Besuch der Webseite paless.eu verarbeitet werden, zu welchen Zwecken und auf welcher Rechtsgrundlage.

5.1 Server-Logdateien

Bei jedem Aufruf der Webseite werden durch den Browser Ihres Endgerätes automatisch Informationen an den Server der Webseite übermittelt; die Auslieferung der Webseite erfolgt über unseren Auftragsverarbeiter Bunny.net (Ziffer 8). Folgende Informationen werden hierbei ohne Ihr Zutun erfasst und temporär in einer sogenannten Server-Logdatei gespeichert:

• IP-Adresse des anfragenden Endgerätes
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Webseite, von der aus der Zugriff erfolgt (Referrer-URL)
• verwendeter Browser sowie ggf. das Betriebssystem Ihres Endgerätes und der Name Ihres Zugangsproviders

Zwecke: Gewährleistung eines reibungslosen Verbindungsaufbaus und einer komfortablen Nutzung der Webseite, Auswertung der Systemsicherheit und -stabilität sowie Aufklärung von Missbrauchs- oder Betrugshandlungen; hierin liegt auch unser berechtigtes Interesse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: maximal 30 Tage, anschließend automatisierte Löschung oder Anonymisierung; eine darüber hinausgehende Aufbewahrung im Einzelfall ist möglich, wenn dies zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.

5.2 Cookies und ähnliche Technologien; Einwilligungsverwaltung

Auf der Webseite kommen Cookies sowie ähnliche Technologien (zusammen: "Cookies") zum Einsatz. Cookies sind kleine Textdateien, die im Browser Ihres Endgerätes gespeichert werden.

Technisch unbedingt erforderliche Cookies, deren Einsatz für den Betrieb der Webseite zwingend notwendig ist (etwa zur Speicherung Ihrer Cookie-Einstellungen, zur Sprachauswahl oder zur Aufrechterhaltung einer Sitzung), werden ohne Einwilligung gesetzt. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im technisch fehlerfreien und sicheren Betrieb der Webseite.

Sonstige Cookies, die über das technisch unbedingt Erforderliche hinausgehen, werden ausschließlich mit Ihrer ausdrücklichen Einwilligung gesetzt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Die Einwilligungsverwaltung erfolgt über den quelloffenen Cookie-Consent-Manager Klaro!. Über das eingeblendete Banner können Sie Einwilligungen erteilen, einzeln auswählen und jederzeit widerrufen oder anpassen. Die Skript- und Konfigurationsdateien von Klaro! werden über das Content-Delivery-Netzwerk unseres Auftragsverarbeiters Bunny.net (Ziffer 8) ausgeliefert; dabei wird technisch bedingt Ihre IP-Adresse verarbeitet. Eine Übermittlung an den Herausgeber von Klaro! oder sonstige Dritte findet hierbei nicht statt.

5.3 Lokal eingebundene Schriftarten

Auf der Webseite werden die Schriftarten "Inter" und "Schibsted Grotesk" eingesetzt, die ursprünglich aus dem Angebot Google Fonts stammen. Zum Schutz Ihrer Privatsphäre werden die Schriftdateien ausschließlich zusammen mit der Webseite von unserer eigenen Domain ausgeliefert (Ziffer 5.1). Eine Verbindung zu Servern der Google LLC oder der Google Ireland Limited findet nicht statt; eine Übermittlung Ihrer IP-Adresse oder weiterer personenbezogener Daten an Google erfolgt nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der einheitlichen und ansprechenden typografischen Darstellung der Webseite ohne Einbindung externer Schriftdienste.

5.4 Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren (etwa an die Adressen info@paless.eu oder datenschutz@paless.eu), werden die von Ihnen mitgeteilten Daten (jedenfalls Ihre E-Mail-Adresse, der Inhalt Ihrer Nachricht sowie gegebenenfalls weitere von Ihnen freiwillig angegebene Informationen wie Name, Firma oder Telefonnummer) zum Zweck der Bearbeitung Ihrer Anfrage und für mögliche Anschlussfragen verarbeitet. Ein eigenes Kontaktformular wird auf der Webseite derzeit nicht angeboten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrages gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihrer Anfrage.

Speicherdauer: Wir löschen die in diesem Zusammenhang anfallenden personenbezogenen Daten, sobald die Speicherung nicht mehr erforderlich ist, im Regelfall spätestens nach Ablauf von drei Jahren ab dem Ende des Kalenderjahres der letzten inhaltlichen Korrespondenz, oder schränken die Verarbeitung ein, soweit gesetzliche Aufbewahrungspflichten bestehen.

5.5 Newsletter

Auf der Webseite können Sie unseren E-Mail-Newsletter abonnieren, mit dem wir Sie über die Entwicklung, den Start (insbesondere die Kickstarter-Kampagne) und neue Funktionen des Dienstes "paless" informieren.

Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Nach Ihrer Eintragung erhalten Sie eine E-Mail mit einem Bestätigungslink; erst nach Ihrer Bestätigung nehmen wir Sie in den Verteiler auf. Verarbeitet werden Ihre E-Mail-Adresse, optional Ihr Name sowie der Zeitpunkt der Anmeldung und der Bestätigung nebst der dabei verwendeten IP-Adresse zum Nachweis der Einwilligung. Das Anmeldeformular wird erst geladen, nachdem Sie über den Cookie-Consent-Manager Klaro! in die hierfür erforderliche Einbindung des Dienstes Sender eingewilligt haben.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa über den Abmeldelink am Ende jeder Newsletter-E-Mail oder per Nachricht an marketing@paless.eu; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Für den Versand des Newsletters und die Bereitstellung des Anmeldeformulars setzen wir den Dienst Sender (Sender.net) der UAB Sender.lt, Lvivo g. 25, 09320 Vilnius, Litauen (EU), als Auftragsverarbeiter nach Art. 28 DSGVO ein. Zur Auswertung und Verbesserung des Newsletters kann der Dienst messen, ob und wann Newsletter-E-Mails geöffnet und ob darin enthaltene Links angeklickt werden; diese Reichweitenmessung ist von Ihrer Einwilligung umfasst.

Speicherdauer: bis zum Widerruf der Einwilligung beziehungsweise bis zur Abmeldung vom Newsletter.

5.6 Eingebundene Videos (YouTube)

Auf der Webseite binden wir Videos ein, die bei dem Dienst YouTube hinterlegt sind. Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Aufruf der Seite wird zunächst nur eine lokal von unserer eigenen Webseite ausgelieferte Vorschau angezeigt; eine Verbindung zu YouTube oder Google wird dabei nicht hergestellt.

Erst wenn Sie ein Video aktiv starten, wird der Inhalt von YouTube im erweiterten Datenschutzmodus über die Domain youtube-nocookie.com nachgeladen. Dabei wird Ihre IP-Adresse an YouTube beziehungsweise Google übermittelt, und es können Cookies oder ähnliche Technologien gesetzt werden; hierbei kann es zu einer Übermittlung in die USA kommen (Ziffer 9). Rechtsgrundlage für das Nachladen ist Ihre durch das Anklicken erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Auf die weitere Verarbeitung durch Google haben wir keinen Einfluss; Einzelheiten entnehmen Sie der Datenschutzerklärung von Google unter https://policies.google.com/privacy.

6. Verarbeitung im Rahmen des Dienstes "paless"

Der Dienst "paless" ist eine softwarebasierte Dokumentenverwaltungslösung mit integrierten Komponenten der Künstlichen Intelligenz. Hierzu zählen die Texterkennung (OCR) eingestellter Dokumente, semantisches Verschlagworten und KI-gestützte Klassifikation sowie der dialogbasierte Assistent "Pal", der Dokumente auffindet und zusammenfasst und auf Veranlassung des Kunden Entwürfe erstellt, etwa für E-Mails oder das Ausfüllen von Formularen. Der Dienst befindet sich derzeit vor der Marktbereitstellung; die nachfolgenden Angaben gelten für die Nutzung des Dienstes ab dessen Bereitstellung. Personenbezogene Daten werden dabei in unterschiedlichen Rollen verarbeitet (Ziffern 6.1 bis 6.4).

6.1 Account- und Vertragsdaten (eigene Verantwortlichkeit)

Im Rahmen der Anbahnung und Durchführung des Vertrages über die Nutzung des Dienstes verarbeitet der Verantwortliche in eigener Verantwortlichkeit insbesondere folgende Kategorien personenbezogener Daten:

• Stammdaten: Name, Firma, Anschrift, Rechtsform, ggf. Handelsregister- und Umsatzsteueridentifikationsnummer der Vertragsparteien sowie der vom Kunden benannten Ansprechpartner
• Kontakt- und Anmeldedaten: E-Mail-Adressen, Telefonnummern, Anmelde-Identifikatoren der Benutzerkonten
• Vertrags- und Abrechnungsdaten: vertraglich vereinbarte Leistungen, Buchungs- und Tarifinformationen, Zahlungs- und Rechnungsdaten
• Nutzungs- und Support-Metadaten: Datum und Art der Inanspruchnahme von Support-Leistungen, Tickets, Korrespondenz im Rahmen der Vertragsdurchführung

Zwecke: Anbahnung, Abschluss und Durchführung des Vertrages, Erbringung und Abrechnung der vereinbarten Leistungen, Erfüllung gesetzlicher Pflichten sowie Kommunikation mit dem Kunden. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung), Art. 6 Abs. 1 lit. c DSGVO (Erfüllung rechtlicher Verpflichtungen, insbesondere aus dem Handels- und Steuerrecht) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Gewährleistung des sicheren Betriebs und der Weiterentwicklung des Dienstes). Speicherdauer: Stamm-, Vertrags- und Abrechnungsdaten werden für die Dauer des Vertragsverhältnisses sowie für die Dauer der einschlägigen gesetzlichen Aufbewahrungsfristen (insbesondere 6 beziehungsweise 10 Jahre nach § 257 HGB und § 147 AO) gespeichert; Support-Metadaten werden im Regelfall spätestens drei Jahre nach Abschluss des jeweiligen Vorgangs gelöscht.

6.2 Inhalte des Kunden (Auftragsverarbeitung)

Soweit der Verantwortliche im Rahmen der Erbringung des Dienstes personenbezogene Daten verarbeitet, die der Kunde im Sinne des Art. 4 Nr. 7 DSGVO verantwortet (insbesondere personenbezogene Daten in den vom Kunden in den Dienst eingestellten Dokumenten und den zugehörigen Metadaten), ist der Verantwortliche Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kunden.

Die Einstellung von Inhalten in den Dienst erfolgt auf Veranlassung des Kunden über die von ihm gewählten Wege, insbesondere durch direkten Upload, durch Übernahme aus einem E-Mail-Postfach des Kunden (Mail-Ingest), aus einem vom Kunden angebundenen Cloud-Speicher oder aus einer vom Kunden bereitgestellten Netzwerkfreigabe. Eingestellte Dokumente durchlaufen eine Texterkennung (OCR), die Inhalte wie Text und Tabellen extrahiert, um die Dokumente durchsuchbar zu machen.

Maßgeblich ist der Auftragsverarbeitungsvertrag (AVV), der als Anhang 2 der AGB des Verantwortlichen mit jedem Kunden geschlossen wird. Der AVV regelt insbesondere Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen und Daten, die Pflichten des Auftragsverarbeiters, die Hinzuziehung von Sub-Auftragsverarbeitern, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO sowie das Vorgehen bei Vertragsende.

In dieser Konstellation bleibt der Kunde datenschutzrechtlich Verantwortlicher im Sinne der DSGVO. Die Verpflichtung, betroffene Personen über die Verarbeitung zu informieren (Art. 13, 14 DSGVO) und Betroffenenrechte zu erfüllen, obliegt dem Kunden; der Verantwortliche unterstützt den Kunden hierbei nach Maßgabe des AVV.

6.3 KI-gestützte Verarbeitung im Dienst

Der Dienst enthält KI-Systeme im Sinne von Art. 3 Nr. 1 der Verordnung (EU) 2024/1689 (KI-Verordnung). Dies betrifft insbesondere den dialogbasierten Assistenten "Pal" auf Grundlage des Verfahrens "Retrieval-augmented Generation" (RAG), der Fragen zu Dokumenten des Kunden beantwortet, Zusammenfassungen erstellt und auf Veranlassung des Kunden Entwürfe erzeugt (etwa für E-Mails oder das Ausfüllen von Formularen), außerdem Embedding-Modelle für die semantische Suche sowie Klassifikations- und Tagging-Modelle.

Im Hinblick auf diese Verarbeitung sichert der Verantwortliche im Einklang mit § 10 Abs. 3 und § 12 Abs. 4 der AGB zu: Inhalte des Kunden werden weder zum Training noch zum Feintuning eigener oder fremder KI-Modelle verwendet. Die Inferenz der eingesetzten KI-Modelle erfolgt in der Standardkonfiguration des Dienstes vollständig auf eigener Infrastruktur des Verantwortlichen innerhalb der Europäischen Union; eine Übermittlung von Inhalten des Kunden an externe KI-Anbieter findet in der Standardkonfiguration nicht statt. Sollten künftig optionale Funktionen angeboten werden, die externe Dienste einbinden, werden Kunden hierauf vor einer Aktivierung gesondert hingewiesen; ohne eine solche Aktivierung verbleibt die Verarbeitung vollständig innerhalb der Europäischen Union. Inhalte des Kunden werden nicht zum Zweck einer inhaltlichen Auswertung an Dritte weitergegeben; es werden lediglich anonymisierte oder pseudonymisierte Betriebsmetriken erhoben.

Transparenzhinweis nach Art. 50 KI-Verordnung: Bei dem Assistenten "Pal" handelt es sich um ein KI-System, das mit der nutzenden Person interagiert. Hierauf werden Sie vor der ersten Interaktion in der Benutzeroberfläche hingewiesen.

6.4 Authentifizierung

Die Anmeldung am Dienst erfolgt über einen selbst betriebenen Identity-Provider auf Basis des Standards OpenID Connect (OIDC). Der Verantwortliche setzt hierfür die quelloffene Software Authentik auf eigener Infrastruktur innerhalb der Europäischen Union ein. Ein externer Identitäts-Dienstleister wird nicht eingebunden; ein gesonderter Sub-Auftragsverarbeiter für die Identitätsverwaltung besteht nicht.

Im Rahmen der Authentifizierung werden die zur Anmeldung erforderlichen Identifikatoren verarbeitet, insbesondere Benutzername beziehungsweise E-Mail-Adresse, Authentifizierungsfaktoren (etwa Passkeys oder Hardware-Sicherheitsschlüssel), Sitzungs- und Zugriffstoken sowie zugehörige OIDC-Claims. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Zugang zum Dienst).

7. Unterstützung über Kickstarter

Wir planen, die Entwicklung des Dienstes über eine Crowdfunding-Kampagne auf der Plattform Kickstarter zu finanzieren. Sofern Sie uns über Kickstarter unterstützen, schließen Sie den Unterstützungsvertrag über die Plattform; für die Datenverarbeitung auf der Plattform ist die Kickstarter, PBC, 58 Kent Street, Brooklyn, NY 11222, USA, als eigene Verantwortliche zuständig. Einzelheiten entnehmen Sie der Datenschutzerklärung von Kickstarter unter https://www.kickstarter.com/privacy.

Im Rahmen der Kampagnenabwicklung erhalten wir von Kickstarter die hierfür erforderlichen Angaben der Unterstützerinnen und Unterstützer, insbesondere Name beziehungsweise Nutzername, E-Mail-Adresse, die gewählte Unterstützungsstufe sowie Ihre Antworten auf Abschlussumfragen (etwa den gewählten Tarif). Wir verarbeiten diese Daten zur Durchführung der Kampagne, zur Gewährung der zugesagten Gründerkonditionen und zur damit verbundenen Kommunikation. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der geordneten Abwicklung der Kampagne).

Die Verarbeitung durch uns erfolgt auf Infrastruktur innerhalb der Europäischen Union. Speicherdauer: für die Dauer der Kampagnenabwicklung und der Gewährung der Gründerkonditionen, längstens bis zum Ablauf gesetzlicher Aufbewahrungsfristen (Ziffer 10).

8. Empfänger und Auftragsverarbeiter

Zur Erbringung des Dienstes und zum Betrieb der Webseite geben wir personenbezogene Daten an die folgenden Empfänger weiter, die wir sorgfältig ausgewählt und vertraglich auf das Datenschutzniveau der DSGVO verpflichtet haben:

• OVHcloud SAS (Sovereign-Cloud-Angebot), Sitz in Frankreich (EU): Hosting, Compute, Object-Storage und Sicherungskopien für den Dienst "paless"; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Bunny.net (BunnyWay d.o.o.), Sitz in Slowenien (EU): Auslieferung der Marketing-Webseite paless.eu über ein Content-Delivery-Netzwerk, DNS-Dienste sowie Ausstellung und Erneuerung von TLS-Zertifikaten; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Sender (UAB Sender.lt), Sitz in Vilnius, Litauen (EU): Versand des E-Mail-Newsletters und Bereitstellung des Newsletter-Anmeldeformulars (Ziffer 5.5); Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Transaktionale E-Mails des Dienstes (etwa Kontobestätigungen, Passwort-Zurücksetzungen und Systemmitteilungen) versendet der Verantwortliche im Standard über eigene Infrastruktur; ein externer Dienstleister wird hierfür derzeit nicht eingesetzt. Sollte künftig ein Dienstleister mit Sitz in der EU eingesetzt werden, wird zuvor ein Auftragsverarbeitungsvertrag geschlossen und diese Erklärung sowie Anhang 3 der AGB aktualisiert. Daneben können personenbezogene Daten an Berater des Verantwortlichen (insbesondere Rechtsanwälte, Steuerberater und Wirtschaftsprüfer) weitergegeben werden, soweit dies zur Wahrnehmung berechtigter Interessen oder zur Erfüllung gesetzlicher Verpflichtungen erforderlich ist; diese Empfänger unterliegen besonderen gesetzlichen Verschwiegenheitspflichten. Hinweis zu Hugging Face: Der Verantwortliche bezieht KI-Modellartefakte einmalig zur Build- beziehungsweise Setup-Zeit von Hugging Face Inc. beziehungsweise Hugging Face S.A.S.; eine Übermittlung personenbezogener Daten des Kunden oder von Nutzungsdaten findet hierbei nicht statt, sodass Hugging Face kein Sub-Auftragsverarbeiter im Sinne des Art. 28 DSGVO im Hinblick auf den Wirkbetrieb des Dienstes ist. Die jeweils aktuelle Liste der eingesetzten Sub-Auftragsverarbeiter ergibt sich aus Anhang 3 der AGB ("Liste der Sub-Auftragsverarbeiter"). Über Änderungen werden Kunden gemäß § 4 des Auftragsverarbeitungsvertrages (Anhang 2 der AGB) mindestens vier Wochen vor dem geplanten Wechsel in Textform informiert; ihnen steht ein Widerspruchsrecht nach Maßgabe des AVV zu.

9. Übermittlung in Drittländer

Der Dienst "paless" wird vollständig auf Infrastruktur innerhalb der Europäischen Union betrieben (Sovereign-Cloud-Angebot der OVHcloud SAS); auch für den Betrieb der Webseite setzen wir ausschließlich Dienstleister mit Sitz in der Europäischen Union ein. Eine Übermittlung personenbezogener Daten in Länder außerhalb des Europäischen Wirtschaftsraums (Drittländer) findet nur in den folgenden Ausnahmefällen statt:

• YouTube-Videos (Ziffer 5.6): Wenn Sie ein eingebundenes Video aktiv starten, kann es zu einer Übermittlung an Google in die USA kommen. Die Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; insoweit liegt ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO vor. Das Nachladen erfolgt zudem nur auf Grundlage Ihrer Einwilligung.
• Unterstützung über Kickstarter (Ziffer 7): Die Kampagne wird über die Plattform der Kickstarter, PBC mit Sitz in den USA abgewickelt; für die Verarbeitung auf der Plattform ist Kickstarter als eigene Verantwortliche zuständig.

Sollte im Einzelfall darüber hinaus eine Übermittlung in ein Drittland erforderlich werden, erfolgt diese ausschließlich auf einer Rechtsgrundlage nach Kapitel V DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO), auf Grundlage geeigneter Garantien wie der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), gegebenenfalls ergänzt durch zusätzliche Maßnahmen, oder auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 49 Abs. 1 lit. a DSGVO nach vorheriger Aufklärung über die damit verbundenen Risiken. Über eine solche Übermittlung werden die betroffenen Personen in geeigneter Weise informiert.

10. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Erreichung der jeweiligen Verarbeitungszwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben. Nach Wegfall des Zwecks oder Ablauf der Aufbewahrungsfrist werden die Daten routinemäßig gelöscht oder ihre Verarbeitung wird eingeschränkt. Im Einzelnen gelten insbesondere folgende Regelfristen:

• Server-Logdateien (Ziffer 5.1): maximal 30 Tage; bei Sicherheitsvorfällen bis zur abschließenden Klärung.
• E-Mail-Korrespondenz (Ziffer 5.4): bis zur Erledigung der Anfrage, im Regelfall spätestens 3 Jahre nach Ende des Kalenderjahres der letzten inhaltlichen Korrespondenz.
• Newsletter-Daten (Ziffer 5.5): bis zum Widerruf der Einwilligung beziehungsweise bis zur Abmeldung vom Newsletter.
• Account- und Vertragsdaten (Ziffer 6.1): für die Dauer des Vertragsverhältnisses; anschließend Aufbewahrung im Rahmen gesetzlicher Pflichten (insbesondere 6 beziehungsweise 10 Jahre nach § 257 HGB und § 147 AO).
• Inhalte des Kunden im Dienst (Ziffer 6.2): nach Maßgabe des Auftragsverarbeitungsvertrages sowie des § 11 der AGB (Datenexport und Anbieterwechsel nach dem Data Act); aus Sicherungskopien werden gelöschte Inhalte nach Ablauf der dokumentierten Rotationszyklen entfernt (inkrementelle Sicherungen 30 Tage, Voll-Sicherungen 90 Tage, vgl. Anhang 3 der AGB).
• Authentifizierungs- und Sitzungsdaten (Ziffer 6.4): für die Dauer der aktiven Sitzung sowie der konfigurierten Token-Lebensdauer; revisionsrelevante Authentifizierungsprotokolle nach Maßgabe der technischen und organisatorischen Maßnahmen (Anlage A des Anhangs 2 der AGB).
• Kickstarter-Unterstützerdaten (Ziffer 7): für die Dauer der Kampagnenabwicklung und der Gewährung der Gründerkonditionen, längstens bis zum Ablauf gesetzlicher Aufbewahrungsfristen.

11. Rechte der betroffenen Person

Sie haben uns gegenüber im Hinblick auf die Sie betreffenden personenbezogenen Daten die folgenden Rechte:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft darüber verlangen, ob und welche personenbezogenen Daten wir über Sie verarbeiten, sowie über die in Art. 15 Abs. 1 DSGVO genannten weiteren Informationen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Sie betreffender personenbezogener Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung der Sie betreffenden personenbezogenen Daten verlangen, soweit einer der in Art. 17 Abs. 1 DSGVO genannten Gründe vorliegt und keine Ausnahme nach Art. 17 Abs. 3 DSGVO eingreift.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter den dort genannten Voraussetzungen die Einschränkung der Verarbeitung Sie betreffender personenbezogener Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln oder unmittelbar übermitteln zu lassen, soweit dies technisch machbar ist.
• Recht auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO): Soweit die Verarbeitung auf einer von Ihnen erteilten Einwilligung beruht, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt vom Widerruf unberührt.
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO): Sie haben unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Zur Geltendmachung der vorstehenden Rechte genügt eine formlose Mitteilung an die unter Ziffer 1 genannten Kontaktdaten, vorrangig per E-Mail an datenschutz@paless.eu. Zur Sicherstellung Ihrer Identität können wir geeignete Nachweise verlangen. Ihr Widerspruchsrecht nach Art. 21 DSGVO ist in Ziffer 12 gesondert dargestellt.

12. Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Widerspruch einzulegen. Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Eine Verarbeitung zum Zwecke der Direktwerbung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO findet nicht statt; unser Newsletter wird ausschließlich auf Grundlage Ihrer Einwilligung versandt (Ziffer 5.5).

Der Widerspruch kann formlos erklärt werden, vorrangig per E-Mail an datenschutz@paless.eu.

13. Zuständige Aufsichtsbehörde

Die vorstehend genannte Stelle ist die für den Verantwortlichen zuständige Datenschutz-Aufsichtsbehörde.

Das Beschwerderecht besteht unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe und kann insbesondere auch bei der Aufsichtsbehörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes ausgeübt werden (Art. 77 Abs. 1 DSGVO).

14. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau für die von uns verarbeiteten personenbezogenen Daten zu gewährleisten. Hierzu zählen insbesondere:

• Verschlüsselung der Kommunikation zwischen Endgerät und Dienst nach dem Stand der Technik (TLS 1.3 oder höher)
• Verschlüsselung der Daten im Ruhezustand auf den zugrundeliegenden Speichermedien (AES-256)
• rollen- und rechtebasierte Zugriffsverwaltung nach dem Prinzip der minimalen Rechtevergabe
• Pflicht zur Mehr-Faktor-Authentifizierung für administrative Konten
• mandantenbezogene Trennung der Daten verschiedener Kunden
• regelmäßige Sicherungskopien mit dokumentierten Rotations- und Aufbewahrungszyklen
• Protokollierung administrativer und sicherheitsrelevanter Ereignisse
• dokumentierte Wiederanlaufpläne und regelmäßige Übung der Wiederherstellungsverfahren
• Verpflichtung aller mit der Verarbeitung befassten Personen zur Vertraulichkeit

Eine ausführliche Darstellung der eingesetzten technischen und organisatorischen Maßnahmen findet sich in Anlage A des Anhangs 2 der AGB (Auftragsverarbeitungsvertrag).

15. Automatisierte Entscheidungsfindung und Profiling

Eine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne des Art. 22 Abs. 1 DSGVO, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt, findet im Rahmen des Dienstes nicht statt.

Die in Ziffer 6.3 beschriebenen KI-gestützten Funktionen (Texterkennung, semantisches Verschlagworten, KI-gestützte Klassifikation, dialogbasierter Assistent "Pal") unterstützen den Kunden bei der Verwaltung, dem Auffinden und der Bearbeitung seiner eigenen Dokumente einschließlich der Erstellung von Entwürfen. Sie treffen keine Entscheidungen mit rechtlicher Wirkung gegenüber betroffenen Personen und beeinträchtigen sie nicht in ähnlich erheblicher Weise im Sinne des Art. 22 DSGVO. Die Entscheidung über die Verwendung der KI-Vorschläge verbleibt stets beim Kunden; Aktionen wie der Versand von E-Mails oder die Freigabe von Inhalten werden ausschließlich nach ausdrücklicher Bestätigung durch den Kunden ausgeführt.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, wenn sich die Rechtslage, der Dienst oder die Datenverarbeitung ändert. Die jeweils aktuelle Fassung ist über unsere Webseite abrufbar; sie ist mit einer Versionsangabe und einem Gültigkeitsdatum versehen, und frühere Fassungen bleiben dort einsehbar.

Bei wesentlichen Änderungen, insbesondere bei Änderungen, die eine erneute Einwilligung der betroffenen Person erforderlich machen, informieren wir die betroffenen Personen in geeigneter Weise gesondert.