Datenschutzerklärung der ISMS-Anwendung

Verantwortlicher

Verantwortlich im Sinne des Art. 4 Nr. 7 DSGVO für die in dieser Erklärung beschriebenen Verarbeitungen ist:

Unternehmen

CheironX UG (haftungsbeschränkt)

Anschrift

Fährstraße 217

40221 Düsseldorf

Deutschland

Vertreten durch

Alwin Großekatthöfer, Geschäftsführer

E-Mail

info@cheironx.de

Telefon

0211 / 542 604 60

Zwei Rollen — bitte zuerst lesen

In der Anwendung entscheiden zwei Stellen darüber, was mit Daten geschieht: wir und Ihr Unternehmen. Wer entscheidet, ist verantwortlich. Diese Unterscheidung bestimmt, an wen Sie sich mit Ihren Rechten wenden.

• Wir sind verantwortlich für die Registrierung, solange noch kein Vertrag mit Ihrem Unternehmen besteht, für die Anmeldung über Google oder Microsoft, für die Zusendung der Vertragsunterlagen, für die Serverprotokolle und für Ihre Korrespondenz mit uns.
• Ihr Unternehmen ist verantwortlich für Ihr Konto, sobald der Vertrag besteht — es entscheidet, wen es einlädt, ob ein zweiter Faktor verpflichtend ist und wann ein Konto gesperrt oder gelöscht wird —, für die Protokolle der Anwendung, für die E-Mails zu Ihrem Konto und zu den Inhalten und für die Inhalte selbst: Angaben zu Werten, Lieferanten, Risiken, Maßnahmen und Rollen sowie hochgeladene Nachweise. Diese Daten verarbeiten wir ausschließlichim Auftrag Ihres Unternehmens und nach dessen Weisung, auf Grundlage eines Vertrags über Auftragsverarbeitung nach Art. 28 DSGVO.

Diese Erklärung beschreibt beides, damit Sie wissen, was mit Ihren Daten geschieht. Bei jedem Abschnitt steht, wer verantwortlich ist. Für alles, wofür Ihr Unternehmen verantwortlich ist, wenden Sie sich mit Auskunfts-, Berichtigungs- oder Löschersuchen bitte an Ihr Unternehmen. Wir unterstützen es dabei, dürfen aber nicht von uns aus über Daten entscheiden, die wir in seinem Auftrag verarbeiten.

Registrierung und Konto

Bei der Registrierung erheben wir Ihre E-Mail-Adresse, ein Passwort sowie — soweit Sie sie angeben — Vor- und Nachnamen und den Namen Ihres Unternehmens. Das Passwort speichern wir ausschließlich als kryptografischen Hash; die Zeichenfolge selbst ist uns nicht bekannt.

Eine Registrierung führt nicht unmittelbar zu einem Zugang: Das Konto wartet zunächst auf Freigabe und wird geprüft. Bis zur Freigabe und danach sind die angegebenen Daten gespeichert.

Solange noch kein Vertrag mit Ihrem Unternehmen besteht, sind wir für diese Angaben verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner werden, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, Zugangsanfragen zu prüfen, Missbrauch abzuwehren und einen Vertrag mit Ihrem Unternehmen anzubahnen.

Sobald der Vertrag besteht, gehören Ihr Konto und der Mandant zu Ihrem Unternehmen. Von da an verarbeiten wir die Daten Ihres Kontos in dessen Auftrag; verantwortlich ist Ihr Unternehmen. Werden Sie von Ihrem Unternehmen eingeladen, gilt das von Anfang an: Ihr Unternehmen entscheidet, wen es einlädt, welche Rolle die Person erhält und wann ein Konto gesperrt oder gelöscht wird. Wir legen das Konto dabei technisch an und speichern das Passwort wie oben beschrieben.

Kommt kein Zugang zustande, löschen wir die Angaben, sobald das feststeht.

Anmeldung, Sitzung und lokale Speicherung

Nach erfolgreicher Anmeldung legt die Anwendung zwei Sitzungsmerkmale im Speicher Ihres Browsers ab: eines für den laufenden Zugriff, eines zur Verlängerung der Sitzung, sowie eine Kopie Ihres Profils, damit die Anwendung Sie nicht bei jedem Seitenaufruf neu abfragen muss. Ohne diese Angaben ist eine angemeldete Nutzung technisch nicht möglich. Sie sind deshalb für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich im Sinne des § 25 Abs. 2 Nr. 2 TDDDG und bedürfen keiner Einwilligung. Beim Abmelden werden sie entfernt.

Daneben merkt sich die Anwendung lokal in Ihrem Browser Einstellungen, die Sie selbst vornehmen — etwa die Breite der Seitenleiste, die Farbdarstellung oder dass Sie einen Hinweis bereits gelesen haben. Diese Angaben verlassen Ihr Gerät nicht und dienen nicht dazu, Sie wiederzuerkennen. Ihre Speicherung ist erforderlich, damit die Anwendung die von Ihnen gewählte Darstellung beibehält (§ 25 Abs. 2 Nr. 2 TDDDG). Sie können sie jederzeit über Ihren Browser löschen.

Eine Reichweitenmessung, eine Analyse Ihres Nutzungsverhaltens sowie Werbung oder eingebundene Inhalte Dritter finden in der Anwendung nicht statt.

Zwei-Faktor-Authentifizierung

Ist für Ihr Konto ein zweiter Faktor eingerichtet, speichern wir das dafür nötige Geheimnis verschlüsselt. Ob der zweite Faktor verpflichtend ist, entscheidet die Administration Ihres Unternehmens. Die Angaben gehören zu Ihrem Konto; wir verarbeiten sie im Auftrag Ihres Unternehmens, verantwortlich ist Ihr Unternehmen. Das Verfahren selbst stellen wir bereit, weil wir die Konten nach Art. 32 DSGVO gegen unbefugten Zugriff zu sichern haben.

Anmeldung über Google oder Microsoft

Sie können sich alternativ mit einem bestehenden Konto bei Google oder Microsoft anmelden. Dabei erhalten wir von dem gewählten Anbieter Ihre E-Mail-Adresse, eine dortige Kennung sowie, sofern hinterlegt, Vor- und Nachnamen. Ein Konto wird dadurch nicht angelegt: Die Anmeldung gelingt nur, wenn für diese E-Mail-Adresse bereits ein Zugang besteht.

Für diesen Anmeldeweg sind wir verantwortlich, denn wir bieten ihn für alle Unternehmen gleich an. Das Konto, an dem die Anmeldung endet, gehört zu Ihrem Unternehmen.

Mit dem Aufruf der Anmeldeseite des Anbieters übermitteln Sie Daten an diesen. Er ist dafür eigenständig verantwortlich und verarbeitet sie auch in den Vereinigten Staaten. Rechtsgrundlage für die Verarbeitung der Angaben, die wir dabei vom Anbieter erhalten, ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Ihnen auf Ihren Wunsch einen bequemen und sicheren Anmeldeweg anzubieten. Sie können stattdessen jederzeit den gewöhnlichen Anmeldeweg mit E-Mail-Adresse und Passwort benutzen; ein Nachteil entsteht Ihnen dadurch nicht.

Welche Daten Google beziehungsweise Microsoft in eigener Verantwortung verarbeitet, entnehmen Sie den Datenschutzhinweisen des jeweiligen Anbieters.

Protokollierung

Protokolle in der Anwendung. Die Anwendung führt drei Protokolle: das Änderungs-Protokoll mit Zeitpunkt, handelndem Konto, ausgeführter Aktion, betroffenem Datensatz, Ergebnis sowie IP-Adresse und Browserkennung; das Protokoll der Benutzerverwaltung mit Anlage, Freigabe, Rechteänderung, Sperrung und Löschung von Konten; das Protokoll des E-Mail-Versands mit Empfänger, Betreff, Anlass und Ergebnis der Zustellung.

Diese Protokolle führen wir im Auftrag Ihres Unternehmens; verantwortlich ist Ihr Unternehmen. Es bestimmt auch, wie lange die Einträge aufbewahrt werden. Voreingestellt sind 24 Monate; sechs Monate sind die im Auftragsverarbeitungsvertrag vereinbarte Untergrenze, nach oben besteht keine Grenze. Nach Ablauf werden die Einträge selbsttätig gelöscht. Einzelne Einträge lassen sich nicht gezielt entfernen; ein entsprechendes Ersuchen richten Sie bitte an Ihr Unternehmen. Es kann uns anweisen, den Einzelfall zu bearbeiten.

Endet das Vertragsverhältnis mit Ihrem Unternehmen, werden alle drei Protokolle zusammen mit den übrigen Daten Ihres Unternehmens gelöscht – unabhängig von der eingestellten Dauer. Es bleibt kein Eintrag zurück. Wir behalten allein einen Nachweis darüber, dass und in welchem Umfang gelöscht wurde. Er enthält Namen und Kennung Ihres Unternehmens, den Zeitpunkt, die Wahl Ihres Unternehmens zwischen Rückgabe und Löschung, die bei uns zuständige Person und die Zahl der gelöschten Datensätze, jedoch keine Angaben zu Ihnen oder anderen nutzenden Personen. Den Nachweis bewahren wir vier Jahre auf; danach wird er selbsttätig gelöscht.

Serverprotokolle. Beim Aufruf verarbeiten wir und unser Hostinganbieter IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource sowie Angaben zu Browser und Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und störungsfreien Betrieb. Die Einträge werden nach 14 Tagen gelöscht.

Nach der Löschung Ihres Kontos. Ihr Konto legt die Administration Ihres Unternehmens an; sie sperrt und löscht es auch. Eine Löschung entfernt den Datensatz Ihres Kontos endgültig. Erhalten bleiben bis zum Ablauf der von Ihrem Unternehmen festgelegten Aufbewahrungsdauer Ihr Name in den Einträgen des Änderungs-Protokolls und Ihre E-Mail-Adresse im Protokoll der Benutzerverwaltung, beide längstens bis zum Ende des Vertragsverhältnisses mit Ihrem Unternehmen. In Datensätzen, die Sie erstellt, geprüft oder freigegeben haben, bleibt Ihr Name stehen; diese Angaben gehen mit dem Projekt oder dem Mandanten unter, zu dem sie gehören. Was mit den Daten geschieht, wenn das Vertragsverhältnis mit Ihrem Unternehmen endet, steht weiter unten unter „Speicherdauer".

E-Mail-Benachrichtigungen

Die Anwendung versendet nur E-Mails, die an einen Vorgang gebunden sind. Werbung versenden wir nicht, einen Newsletter gibt es nicht. Für den Versand nutzen wir das Postfach bei der IONOS SE.

E-Mails, für die wir verantwortlich sind: die Bestätigung, dass wir eine Registrierung freigegeben haben, und die Zusendung der Vertragsunterlagen an die Person, die den Vertragsbedingungen für Ihr Unternehmen zustimmt; eine Kopie dieser E-Mail bewahren wir als Geschäftsbrief für die gesetzliche Dauer auf (siehe „Kontaktaufnahme per E-Mail und Telefon“). Über jede neue Registrierung werden wir außerdem intern per E-Mail unterrichtet, um sie prüfen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind oder werden, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse, Zugangsanfragen zu bearbeiten und Verträge abzuschließen.

E-Mails, die wir im Auftrag Ihres Unternehmens versenden:Einladungen in den Mandanten Ihres Unternehmens, die Freigabe eines Kontos durch die Administration Ihres Unternehmens, das Zurücksetzen Ihres Passworts, Hinweise zu Korrekturmaßnahmen, an denen Sie beteiligt sind — etwa wenn Ihnen eine zugewiesen wird, eine auf Ihre Prüfung wartet oder abgeschlossen oder zurückgewiesen wird —, sowie Erinnerungen an offene Termine, sofern Sie diese selbst eingeschaltet haben. Verantwortlich dafür ist Ihr Unternehmen.

Kontaktaufnahme per E-Mail und Telefon

Wenn Sie uns schreiben oder anrufen, verarbeiten wir die Angaben, die Sie dabei machen: Name, Kontaktdaten, Ihr Unternehmen und den Inhalt Ihrer Anfrage. Wir verwenden sie ausschließlich, um Ihr Anliegen zu bearbeiten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beantwortung von Anfragen.

Wir löschen Ihre Anfrage, sobald das Anliegen abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Korrespondenz, die handels- oder steuerrechtlichen Aufbewahrungspflichten unterliegt, bewahren wir für die gesetzliche Dauer auf: sechs Jahre für Handels- und Geschäftsbriefe, acht Jahre, soweit eine Nachricht zugleich Buchungsbeleg ist (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO). Während dieser Zeit verarbeiten wir die Daten ausschließlich zur Erfüllung der Aufbewahrungspflicht. Rechtsgrundlage ist insoweit Art. 6 Abs. 1 lit. c DSGVO; das Recht auf Löschung ist nach Art. 17 Abs. 3 lit. b DSGVO entsprechend eingeschränkt.

Unser E-Mail-Postfach wird von IONOS SE betrieben. Der Anbieter verarbeitet die Inhalte Ihrer Nachrichten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO.

Bitte beachten Sie: Eine unverschlüsselte E-Mail kann auf ihrem Weg mitgelesen werden. Wenn Sie uns vertrauliche Informationen übermitteln möchten, sprechen Sie uns vorher an — wir vereinbaren dann einen gesicherten Weg.

Hosting

Die Anwendung läuft auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Die Server stehen in der Europäischen Union. Der Anbieter verarbeitet die anfallenden Daten in unserem Auftrag; es besteht ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO.

KI-gestützte Auswertungen

Die Anwendung unterstützt einzelne Auswertungen mit einem Sprachmodell — etwa die Einordnung des Geltungsbereichs, die Prüfung auf Lücken und die Erzeugung von Textbausteinen. Diese Auswertungen starten Sie oder Ihr Unternehmen ausdrücklich; sie laufen nicht selbsttätig im Hintergrund.

Dabei werden die für die jeweilige Auswertung nötigen Inhalte an Anthropic übermittelt und dort verarbeitet, auch in den Vereinigten Staaten. Übermittelt werden Angaben aus dem Geltungsbereich, den Fragebögen und den Notizen Ihres Unternehmens; diese können einen Personenbezug aufweisen, etwa durch benannte Rollen. Grundlage ist ein Vertrag über Auftragsverarbeitung. Die Übermittlung in die Vereinigten Staaten stützt sich auf Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des mit Anthropic geschlossenen Auftragsverarbeitungsvertrags sind. Eine Kopie der Garantien erhalten Sie auf Anfrage unter der oben genannten Adresse.

Nach seinen Angaben löscht Anthropic die übermittelten Inhalte und seine Antworten innerhalb von 30 Tagen. Markieren seine Systeme eine Anfrage als möglichen Verstoß gegen seine Nutzungsrichtlinien, bewahrt er sie bis zu zwei Jahre auf. Darüber hinaus behält er sich eine längere Aufbewahrung vor, soweit Rechtsvorschriften sie verlangen, sie zur Beilegung eines Streits mit uns nötig ist oder um eine schädliche Nutzung seiner Dienste abzuwehren.

Für die Inhalte Ihres Unternehmens handeln wir dabei als dessen Auftragsverarbeiter; Anthropic ist insoweit Unterauftragsverarbeiter, dessen Einsatz Ihr Unternehmen im Auftragsverarbeitungsvertrag genehmigt hat.

Eine automatisierte Entscheidung im Einzelfall einschließlich Profiling nach Art. 22 DSGVO findet nicht statt: Die Ergebnisse sind Vorschläge, die von Menschen geprüft und freigegeben werden.

Speicherdauer

Angaben aus einer Registrierung, aus der kein Zugang wird, löschen wir, sobald das feststeht. Die Daten Ihres Kontos bleiben gespeichert, bis Ihr Unternehmen das Konto löscht oder das Vertragsverhältnis endet. Nach Beendigung des Vertragsverhältnisses mit Ihrem Unternehmen löschen wir die Daten des Mandanten nach Maßgabe des Auftragsverarbeitungsvertrags, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Protokolle sind darin eingeschlossen; es bleibt kein Eintrag zurück. Sicherungskopien werden im Zuge ihrer regelmäßigen Überschreibung mit gelöscht.

Empfänger Ihrer Daten

Neben der Hetzner Online GmbH für das Hosting, der IONOS SE für das E-Mail-Postfach und Anthropic für die oben beschriebenen Auswertungen geben wir Ihre Daten nicht weiter. Eine Übermittlung an Behörden erfolgt nur, soweit wir gesetzlich dazu verpflichtet sind.

Ihre Rechte

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Bitte beachten Sie dabei die Rollenteilung weiter oben: Für Ihr Konto nach Vertragsschluss, die Protokolle der Anwendung, die E-Mails dazu und die Inhalte ist Ihr Unternehmen Ihr Ansprechpartner. Für die Registrierung vor Vertragsschluss, die Anmeldung über Google oder Microsoft, die Vertragsunterlagen, die Serverprotokolle und Ihre Korrespondenz mit uns sind wir es; dafür genügt eine formlose Nachricht an die oben genannte Adresse. Erreicht uns ein Ersuchen, für das Ihr Unternehmen zuständig ist, leiten wir Sie dorthin weiter.

Beschwerde bei einer Aufsichtsbehörde

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig für uns ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de

Pflicht zur Bereitstellung

Ohne die bei der Registrierung erfragten Angaben kann kein Zugang eingerichtet werden. Eine darüber hinausgehende gesetzliche oder vertragliche Pflicht, uns Daten bereitzustellen, besteht nicht.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Maßgeblich ist die jeweils hier abrufbare Fassung mit dem unten angegebenen Stand.