Datenschutzerklärung

Stand: 08.11.2026

1. Datenschutz auf einen Blick & Pflichtinformationen

Allgemeine Hinweise

Die Betreiber dieser Seiten nehmen den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend den gesetzlichen Datenschutzvorschriften (DSGVO, TDDDG) sowie dieser Datenschutzerklärung.

Wenn Sie diese Plattform (Explicio®) nutzen, werden verschiedene personenbezogene Daten verarbeitet. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben, wofür wir sie nutzen und zu welchem Zweck dies geschieht.

Wir betreiben auf dieser Plattform weder benutzerbezogenes Profiling noch kommerzielles Nutzer-Tracking zu Werbezwecken. Die Erfassung von Daten dient ausschließlich der Bereitstellung des Wissensassistenten, der Abrechnung sowie der Sicherstellung der IT-Systemstabilität.

SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte (wie z. B. Login-Daten oder Anfragen) eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://“ auf „https://“ wechselt und an dem Schloss-Symbol in Ihrer Browserzeile. Wenn die Verschlüsselung aktiviert ist, können Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

2. Name und Kontaktdaten des Verantwortlichen und des Datenschutzbeauftragten

Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und sonstiger nationaler Datenschutzgesetze ist:

TACP Operations GmbH & Co. KG (nachfolgend „Explicio“)
Persönlich haftende Gesellschafterin: TACP Verwaltungs GmbH
Vertreten durch den Geschäftsführer: Christian Thiede
Paderborner Str. 168
32760 Detmold
Deutschland

Registergericht: Amtsgericht Lemgo, HRA 6533
E-Mail: info@explicio.com
Webseite: https://explicio.cloud

„Explicio“ ist die eingetragene Unionsmarke der TACP Operations GmbH & Co. KG (EUTM 019364127).

Datenschutzbeauftragter

Ein externer Datenschutzbeauftragter wird bestellt, sobald die gesetzlichen Voraussetzungen vorliegen; bis dahin richten Sie Fragen zum Datenschutz an info@explicio.com.

3. Datenerfassung auf der Plattform (Explicio)

A. Server-Log-Dateien

Der Provider der Seiten erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt. Dies sind:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL (die zuvor besuchte Seite)
• Hostname / IP-Adresse des zugreifenden Rechners
• Datum und Uhrzeit der Serveranfrage

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen; Zugangsdaten und Geheimnisse werden vor dem Protokollieren entfernt. Die Erfassung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Betreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Bereitstellung, der Systemstabilität und der Absicherung seiner Plattform. Die Protokolle werden fortlaufend rotiert und nach spätestens 7 Tagen automatisch gelöscht, sofern keine weitere Aufbewahrung zu Beweiszwecken bei Sicherheitsvorfällen erforderlich ist.

B. Benutzerkonten, Registrierung & Stammdaten

Den 30-tägigen Testzugang erhalten Interessenten nach einem Gespräch über einen persönlichen Einladungslink; eine offene Selbstregistrierung besteht nicht. Konten entstehen auf zwei Wegen: durch Selbstregistrierung auf explicio.cloud (die registrierende Person legt dabei den Mandanten an und wird dessen Administrator) oder durch Anlage bzw. Einladung durch den Administrator des jeweiligen Kunden. Bis zur Bestätigung der E-Mail-Adresse liegen die Angaben eines Registrierungsantrags getrennt und werden nach Ablauf der Frist gelöscht; erst mit der Bestätigung entstehen Mandant und Konten.

Bei der Selbstregistrierung fragen wir zwei E-Mail-Adressen ab: eine unpersönliche Firmenadresse (z. B. info@ oder it@) für den Verwaltungszugang und eine persönliche Adresse für das Arbeitskonto der registrierenden Person. Die Bestätigung geht an die Firmenadresse; die persönliche Adresse erhält einen eigenen Einrichtungslink, sodass das Passwort des Arbeitskontos zu keinem Zeitpunkt im Firmenpostfach erscheint. Für Verwaltungskonten, die auf diesem Weg entstehen, ist die Zwei-Faktor-Bestätigung (TOTP) nach einer Einrichtungsfrist von 14 Tagen verpflichtend; das eigene Profil bleibt auch danach erreichbar, damit der zweite Faktor nachgeholt werden kann.

Hierbei verarbeiten wir: Name, E-Mail-Adresse (für Login und Systembenachrichtigungen), Rolle im System, Spracheinstellung, Anmeldedaten in gehashter Form, Angaben zum Einrichtungsschlüssel für den zweiten Faktor, Zeitpunkt der Kontenerstellung und der letzten Anmeldung sowie Angaben zur Zuordnung zum Mandanten des Kunden. Die Erfassung dieser Stammdaten erfolgt zur Erfüllung des Vertrags mit dem Kunden oder zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

Registrierung und Zustimmungsnachweis: Die Handlungen zur Registrierung und die Annahme der Rechtsdokumente (Allgemeine Geschäftsbedingungen, Datenschutzerklärung, Nutzungsrichtlinie, Verantwortungsvolle-KI-Richtlinie) sowie die Wahl der Verarbeitungsregion (Ziffer 4) werden von der Plattform unveränderlich protokolliert (Dokumentenfassung, Zeitpunkt, Benutzerkonto, IP-Adresse). Beim elektronischen Abschluss des Auftragsverarbeitungsvertrags wird zum Nachweis der vereinbarten Fassung zusätzlich eine Text-Prüfsumme gespeichert. Das Zustimmungsprotokoll verbleibt für die Dauer der gesetzlichen Nachweis- und Aufbewahrungsfristen (Art. 7 Abs. 1 DSGVO, § 257 HGB, § 147 AO). Der Bestätigungslink eines Registrierungsantrags ist 48 Stunden gültig. Nicht bestätigte oder bereits verbrauchte Anträge löscht die Plattform automatisch, spätestens sieben Tage nach Ablauf oder Verbrauch des Links, samt den darin enthaltenen Angaben.

Angebot, Bedarfsermittlung und Nutzungskennzahlen: Gibt die registrierende Person im Rahmen eines digitalen Verkaufs-Assistenten Angaben zu Unternehmensgröße, Branche oder Einsatzgebieten an, werden diese Angaben zur Angebotserstellung und zur Vorbereitung des Vertrags verarbeitet (Art. 6 Abs. 1 lit. b DSGVO) und im Warenwirtschaftssystem von Explicio gespeichert. Führt die Bedarfsermittlung nicht zu einem Vertrag, werden die Angaben nach Ablauf der für die Angebotspflege erforderlichen Frist gelöscht. Nutzungskennzahlen der Konten (z. B. Zahl der Anfragen, Speichervolumen) werden ausschließlich als aggregierte Summen je Rolle verarbeitet und dem Kunden für Abrechnung und Verwaltung bereitgestellt; eine Leistungskontrolle einzelner Personen findet nicht statt.

Sanktionslistenprüfung: Bei der Registrierung, vor Vertragsschluss sowie anlassbezogen bei Änderungen gleichen wir den Namen des Kunden, die Namen der Benutzerkonten sowie, soweit angegeben, der wirtschaftlich Berechtigten (bei Personen ergänzt um Land und Geburtsjahr, soweit angegeben) gegen die amtlichen Finanzsanktionslisten der Europäischen Union ab. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO i. V. m. den unmittelbar geltenden EU-Sanktionsverordnungen (insb. VO (EU) Nr. 2580/2001, VO (EU) Nr. 881/2002, VO (EU) Nr. 269/2014) sowie unser berechtigtes Interesse an der Einhaltung von Exportkontrollvorgaben und der Vermeidung von Haftungsrisiken gemäß Art. 6 Abs. 1 lit. f DSGVO. Das Prüfprotokoll (Zeitpunkt, geprüfte Angabe, Listenstand, Ergebnis) wird zum Nachweis der ordnungsgemäßen Prüfung gegenüber Behörden für fünf (5) Jahre ab dem Ende des Kalenderjahres der Prüfung (und bei laufenden Verträgen bis drei Jahre nach Vertragsende) gesperrt aufbewahrt und anschließend gelöscht.

C. Eingebrachtes Unternehmenswissen & Medien-Engine

Der Kern der Plattform ist die Erschließung und Bereitstellung von Unternehmenswissen. Hierzu bringen der Kunde und die von ihm berechtigten Personen Inhalte in die Plattform ein. Die Verarbeitung erfolgt im Auftrag des Kunden (Auftragsverarbeitung nach Art. 28 DSGVO); Verantwortlicher im Sinne des Datenschutzrechts ist der Kunde.

Inhaltsdaten: Textnachrichten, Konversationen mit dem KI-Assistenten, Sprachnachrichten, Dokumente, Fotos, Videos sowie die daraus von der Plattform erzeugten Transkripte, Texterkennungen, Bild- und Videobeschreibungen, Wissenselemente, Verknüpfungen im Wissensgraphen und mathematischen Einbettungen (Vektoren).

Der Zugriff auf eingebrachte Medien und Wissensinhalte innerhalb des Mandanten wird technisch durch das rollen- und berechtigungsgebundene Zugriffskonzept der Plattform gesteuert; Inhalte sind ausschließlich für diejenigen Nutzerkonten abrufbar, denen der Kunde die entsprechende Berechtigung zugewiesen hat.

Chat-Kanäle: Bindet der Kunde über die Plattform angebundene Chat-Kanäle ein (z. B. WhatsApp, Signal, Telegram, SMS, E-Mail-Kanal, Microsoft Teams, Slack, Matrix, Discord, Mattermost, Google Chat, LINE, IRC, ntfy, SimpleX, iMessage sowie angebundene Aufzeichnungsgeräte; Webhooks dienen dabei nur als technischer Übertragungsweg), verarbeitet die Plattform die über diese Kanäle eingehenden und ausgehenden Nachrichten sowie die vom Kanal bereitgestellten Kennungen (z. B. Telefonnummern, Benutzer-IDs). Die Plattform nutzt diese Kennungen ausschließlich, um Nachrichten den Konten oder dem Assistenten zuzuordnen und Antworten an denselben Kanal zurückzusenden.

Kennzeichnung als KI: Interaktionen mit dem KI-Assistenten werden in den Weboberflächen und auf den angebundenen Chat-Kanälen nach Art. 50 der KI-Verordnung als maschinell erzeugt gekennzeichnet. In Chat-Kanälen erfolgt dieser Hinweis beim ersten Kontakt, nach dem Zurücksetzen einer Konversation sowie nach Ablauf von 90 Tagen seit der letzten Nachricht erneut; im Webeditor (Workbench) steht der Hinweis dauerhaft in der Benutzeroberfläche. Antworten in Chat-Kanälen werden zusätzlich mit einer maschinenlesbaren Markierung versehen.

Bild- und Videobeschreibungen ohne Personenmerkmale: Werden Mediendateien (Fotos, Videos) verarbeitet, erzeugt die Medien-Engine technische Beschreibungen der abgebildeten Gegenstände, Texte und Zusammenhänge für den Wissensgraphen. Abgebildete Personen werden ausschließlich als solche gezählt oder räumlich positioniert; eine Beschreibung persönlicher Merkmale (z. B. Geschlecht, Alter, Kleidung, Erscheinungsbild), eine Identifizierung von Personen anhand ihres Gesichts oder ihrer Stimme, eine Stimmprofilierung oder eine Erkennung von Emotionszuständen findet nicht statt. In den kleinen Standbildern, die als Beleg einer Videoszene gespeichert werden, werden erkannte Gesichter unkenntlich gemacht; dafür stellt ein Verfahren nur fest, ob und wo ein Gesicht abgebildet ist.

Technische Protokolldaten des Assistenten: Zu jeder vom Assistenten erzeugten Antwort speichert die Plattform technische Protokolldaten (eingesetztes Modell, Anweisungsfassung, genutzte Route, verwendete Wissensstücke); diese Daten dienen der Qualitätssicherung und der Rekonstruktion von Verarbeitungsentscheidungen und werden nach spätestens 6 Monaten automatisch gelöscht.

Tresor für Zugangsdaten: Erkennt die Plattform in eingebrachten Inhalten Zugangsdaten (z. B. Passwörter, API-Schlüssel, Zertifikate), werden diese Werte in einem gesonderten, verschlüsselten Bereich („Tresor“) abgelegt. Der Zugriff auf diese Werte im Klartext setzt ein gesondertes Freigabeverfahren der Plattform voraus: Die anfragende Person stellt einen Antrag, über den eine andere, dafür berechtigte Person entscheidet; eine Selbstfreigabe ist ausgeschlossen. Der Kunde kann für die Anzeige zusätzlich eine Zwei-Faktor-Bestätigung erzwingen. Im normalen Wissensgraphen werden die Werte durch Platzhalter ersetzt. Das Erkennungsverfahren läuft vor jeder Übergabe von Inhalten an ein Sprachmodell.

D. Benachrichtigungen & System-E-Mails

Wir nutzen die im Kundenkonto hinterlegten E-Mail-Adressen für notwendige Systemmitteilungen (z. B. Bestätigung von Registrierungen, Einrichtungslinks, Links zur Zurücksetzung des Passworts, Bestätigung von Sicherungen und Exporten, Sicherheitswarnungen, Ankündigung von Wartungsfenstern, Rechnungen und rechtliche Informationen). Diese E-Mails sind für die Vertragsdurchführung erforderlich (Art. 6 Abs. 1 lit. b DSGVO); eine Abmeldung von sicherheits- und vertragsrelevanten Systemmitteilungen ist nicht möglich. Antworten des KI-Assistenten auf E-Mail-Kanälen tragen den Transparenzhinweis nach Art. 50 KI-Verordnung.

E. Cookies & Lokaler Speicher (Local Storage)

Wir setzen technisch notwendige Cookies und Einträge im lokalen Speicher (Local Storage / Session Storage) Ihres Browsers ein. Diese sind erforderlich, um die Anmeldung zu verwalten, die Sitzung abzusichern, die gewählte Spracheinstellung zu speichern und Eingaben während einer Sitzung zu erhalten. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO. Auf der Website www.explicio.com wird erst nach einem aktiven Klick auf die Sprachwahl das Cookie `explicio_lang` gesetzt (Zweck: Speicherung der Sprachwahl; Laufzeit: 1 Jahr). Erst nach einem aktiven Klick auf den Schalter für die helle oder dunkle Darstellung speichert die Website den Eintrag `explicio.theme` im lokalen Speicher Ihres Browsers (Typ: Local Storage; Zweck: Speicherung des gewählten Farbschemas; Speicherdauer: unbegrenzt bis zur Löschung durch Sie; keine Übertragung an unsere Server).

Wir setzen keine Cookies von Drittanbietern zu Tracking-, Werbe- oder Analysezwecken ein. Sie können Ihr Browser-Verhalten so einstellen, dass Sie über das Setzen von Cookies informiert werden, Cookies nur im Einzelfall erlauben oder die Annahme von Cookies generell ausschließen. Bei der Deaktivierung von Cookies kann die Funktionalität dieser Plattform eingeschränkt sein; das Entziehen eines Sitzungs-Tokens wirkt sofort und beendet die aktive Sitzung.

F. Fernwartung (Support-Zugriffe)

Ein Fernwartungszugriff durch Betreiber-Personal von Explicio auf den Mandanten eines Kunden oder auf eine beim Kunden betriebene Explicio Box erfolgt ausschließlich im Supportfall, erfordert die ausdrückliche Freigabe durch ein Verwaltungskonto des Kunden, ist zeitlich befristet und wird vollständig aufgezeichnet (Eingaben und Ausgaben). Die Aufzeichnung wird für die Dauer von 90 Tagen aufbewahrt und danach gelöscht; ein Vermerk über den Zugriff (Zeitpunkt, Dauer, Grund, verantwortliche Person) verbleibt für 24 Monate im Verwaltungsprotokoll des Mandanten. Auf eine Explicio Box erfolgt der Zugriff über eine befristete, gerätegebundene Verbindung, die von der Box selbsttätig beendet wird und keinen Zugang in das lokale Netz des Kunden eröffnet.

G. Besonderheiten der Explicio Box

Wird die Plattform als Explicio Box auf Hardware beim Kunden betrieben, liegen Wissensbestand, Konversationen und Medien auf dieser Hardware beim Kunden. Sie verlassen die Box nur in den in diesem Abschnitt genannten Fällen und nur auf ausdrückliche Weisung des Kunden. In der Cloud von Explicio verbleiben im Übrigen lediglich: die Benutzerkonten, die Anmeldedaten im gehashten Zustand, die Kanal-Zugangsdaten (für die Weiterleitung eingehender Nachrichten), technische Telemetrie des Geräts (Betriebszustand, Auslastung, Software-Stand, Zertifikatslaufzeit) sowie die Daten der Abrechnung.

Eingehende Nachrichten von Chat-Kanälen nimmt die Cloud entgegen, verschlüsselt sie für die Box und reicht sie weiter; in der Cloud werden sie nur bis zur erfolgreichen Zustellung an die Box gespeichert. Ausgehende Nachrichten sendet die Box unmittelbar an den jeweiligen Kanal. Die Box erstellt verschlüsselte Sicherungskopien auf vom Kunden gewählte Speicherziele in seinem Netz; Explicio besitzt keinen Schlüssel zu diesen Sicherungen. Ein Umzug zwischen Cloud und Box oder die Teilnahme der Box am Rechen-Verbund erfolgt nur auf Weisung des Kunden; bei Teilnahme an externer Rechenlast (Fremdlast) wird die Box erst nach einer gesonderten Zusatzfreigabe des Kunden für solche Aufträge freigeschaltet.

Der Kunde kann die Zusammenfassung seines Wissensbestands über das Explicio-Grid beschleunigen. In diesem Fall überträgt die Box die Texte der noch nicht zusammengefassten Abschnitte über den Gerätekanal an die Cloud von Explicio. Die Übertragung beginnt erst, wenn ein berechtigter Nutzer die Beschleunigung in der Oberfläche der Box aktiviert. Der Hinweis, dass dabei Inhalte des Wissensbestands die Box verlassen, steht unmittelbar am Bedienelement; die Aktivierung ist die Weisung des Kunden und wird mit Person, Zeitpunkt und dem angezeigten Wortlaut im Verwaltungsprotokoll des Mandanten festgehalten. Ohne diese Aktivierung verlässt kein Abschnitt die Box. Explicio verarbeitet die übertragenen Abschnitte ausschließlich auf Hardware, die Explicio selbst betreibt; eine Verarbeitung auf Hardware anderer Kunden findet zu keinem Zeitpunkt statt. Vor der Weitergabe an diese Hardware ersetzt ein automatisches Verfahren erkannte Namen, E-Mail-Adressen und Telefonnummern durch Platzhalter und hält erkannte Zugangsdaten zurück; das Verfahren kann nicht jede Angabe erkennen. Das Ergebnis wird an die Box zurückübertragen und dort gespeichert. In der Cloud werden übertragene Abschnitte und Ergebnisse gelöscht, sobald die Box das Ergebnis abgeholt hat, spätestens nach 14 Tagen. Die Beschleunigung ist kostenpflichtig; der Preis wird vor der Aktivierung angezeigt, die zugehörigen Abrechnungsdaten (gebuchte Abschnitte, Rechenzeit, Preis) werden in der Cloud gespeichert.

H. Besonderheiten bei Explicio Grid

Bei Nutzung der Stapelverarbeitung (Explicio Grid) verarbeitet Explicio die vom Kunden übermittelten Aufträge auf eigener Hardware oder auf freigeschalteten Partner-Boxen. Aufträge von Kunden der Plattform durchlaufen vor einer Übermittlung an eine Partner-Box ein automatisches Verfahren, das erkannte Personen- und Kontaktdaten durch Platzhalter ersetzt; die Zuordnungstabelle verbleibt in der Cloud von Explicio. Bei reinen Grid-Aufträgen ohne Plattform-Mandanten findet diese Ersetzung nicht statt. Die Daten eines Grid-Auftrags werden nach Abschluss der Verarbeitung für die vereinbarte Aufbewahrungsfrist (1 bis 90 Tage, Voreinstellung 30 Tage) vorgehalten und danach gelöscht.

I. Mandanten-Vollexport & Datenübertragbarkeit

Der Kunde kann während der Vertragslaufzeit sowie für einen Zeitraum von 30 Tagen nach Vertragsende einen vollständigen Export aller Daten seines Mandanten anfordern (Wissensbestand, Konversationen, Konto-Metadaten in einem dokumentierten JSON-Format; Mediendateien als ZIP-Archiv). Der Export wird durch einen Administrator beantragt und von einer zweiten berechtigten Person mit Zwei-Faktor-Bestätigung freigegeben; die Erzeugung wird im Verwaltungsprotokoll festgehalten. Der Abruf erfolgt über einen zeitlich befristeten Link. Reines Betriebswissen von Explicio, Modellparameter, Einbettungen und unverschlüsselte Tresor-Werte im Stapel sind vom Vollexport ausgenommen; Tresor-Werte können einzeln über das Freigabeverfahren abgerufen werden.

4. Hosting, Verarbeitungsorte und Dienstleister

Wir hosten die Plattform und deren Datenbanken auf eigener Hardware sowie bei spezialisierten Infrastruktur-Dienstleistern. Unsere Haupt-Infrastruktur befindet sich in Rechenzentren in Deutschland: Die Plattform-Server und der Server des Warenwirtschaftssystems stehen in Frankfurt am Main; Vertragspartner ist die Hostinger International Ltd. (Zypern). Die eigenen Rechen-Boxen für die Sprach-, Einbettungs- und Bildmodelle stehen in den Geschäftsräumen von Explicio in Detmold.

Verarbeitungsorte und Residenz:

• Europäische Verarbeitung (EU-Residenz): Mandanten werden standardmäßig mit europäischer Verarbeitung angelegt. Für diese Mandanten laufen Sprachverständnis, Antworterzeugung und die Erschließung von Medien auf von Explicio betriebener Hardware in Deutschland (Server im Rechenzentrum und eigene Rechen-Boxen in den Geschäftsräumen von Explicio) oder — bei Explicio Box — auf der Hardware des Kunden. Ist die eigene Hardware nicht erreichbar, wird die Anfrage mit einer Fehlermeldung abgelehnt; ein automatisches Ausweichen auf US-Dienstleister findet für diese Verarbeitungen nicht statt. Die Berechnung der Einbettungen folgt dem für den Mandanten eingerichteten Einbettungsraum; bei europäischer Verarbeitung ist dies ein von Explicio betriebenes Modell. Reicht die eigene Hardware vorübergehend nicht aus, kann Explicio zusätzlich einen angemieteten Server in einem Rechenzentrum in Deutschland einsetzen, auf dem Explicio dasselbe Sprachmodell selbst betreibt. Der Vermieter wird vor dem Einsatz in der Liste der Unterauftragsverarbeiter geführt. Ein Wechsel des Einbettungsraums erfordert die vollständige Neuberechnung aller Einbettungen und wird ausschließlich von Explicio durchgeführt.
• Wechsel auf globale Verarbeitung: Ein Wechsel auf die globale Verarbeitung erfolgt ausschließlich auf ausdrückliche Weisung des Kunden (Einstellung im Verwaltungskonto mit Zwei-Faktor-Bestätigung). Bei globaler Verarbeitung werden für Sprachverständnis, Antworterzeugung oder Medienerschließung bei hoher Auslastung auch US-Dienstleister eingesetzt; die Entscheidung wird im Zustimmungsprotokoll unveränderlich dokumentiert.
• Google-Gemini-Modelle (Google Ireland Limited, Dublin): Für Mandanten mit globaler Verarbeitung setzen wir Sprach- und Medienmodelle der Gemini-Familie über die Programmierschnittstelle von Google ein; die Verarbeitung erfolgt in den USA. Die Nutzung erfolgt unter kostenpflichtigen Bedingungen ohne Verwendung der übermittelten Daten zum Training der Modelle des Anbieters.
• Sicherungskopien (Backups): Die verschlüsselten Sicherungskopien der Plattform werden bei einem spezialisierten Speicherdienstleister aufbewahrt (Cloudflare, Inc., R2-Objektspeicher, Speicherregion Europäische Union). Die Daten werden vor der Übertragung auf unseren Servern verschlüsselt; der Dienstleister hat keinen Zugriff auf die Klartextdaten.
• Verfügbarkeitsmessung (Cloudflare Workers): Zur unabhängigen Verfügbarkeitsmessung betreiben wir einen Prüfdienst auf der Serverless-Plattform von Cloudflare, Inc. (USA). Unser Verfügbarkeits-Prüfer ruft zur Überwachung der Erreichbarkeit in regelmäßigen Abständen einen eigenen technischen Prüfpfad der Plattform ohne Personenbezug auf. Der Prüfpfad meldet nur den Betriebszustand zurück; der Prüfdienst übermittelt das Messergebnis an die Plattform; personenbezogene Daten von Nutzern werden dabei nicht verarbeitet. Ist die Plattform nicht erreichbar, werden die Messergebnisse beim Dienstleister zwischengespeichert und nachgereicht.
• Lösungs-Agent (Anthropic, PBC, USA): Der Lösungs-Agent ist derzeit nicht aktiv. Schaltet Explicio ihn frei, verarbeitet Anthropic Texte aus solchen Support-Meldungen, die der Moderator des Kunden zuvor zur Veröffentlichung freigegeben hat, zur Erzeugung von Lösungsvorschlägen. Übermittelt werden Titel, Beschreibung und Kontext der Meldung ohne die Namensangaben der Beteiligten; eine Nutzung der Daten zum Modelltraining ist nach den für die Programmierschnittstelle geltenden Bedingungen des Anbieters ausgeschlossen.
• Aufnahme-Dienst Plaud (Plaud Inc., USA): Verbindet ein Nutzer sein persönliches Plaud-Konto mit der Plattform, ruft Explicio die dort vom Nutzer erzeugten Transkripte und Zusammenfassungen ab; ein Abruf der Original-Audiodateien findet in der bereitgestellten Betriebsart nicht statt.
• Warenwirtschaft und Buchhaltung: Kaufmännische Stammdaten, Verträge, Angebote und Rechnungen verarbeiten wir in einem eigenen Warenwirtschaftssystem auf einem gehosteten Server in Frankfurt am Main (Hostinger International Ltd., Zypern).
• Versand der Explicio Box: Für den Transport der Box übermitteln wir Name und Lieferanschrift an das Transportunternehmen (DHL / Deutsche Post AG, Deutschland).
• Weitere Dienstleister: Setzen wir künftig weitere Dienstleister ein, weisen wir sie vor der Freischaltung in der Liste der Unterauftragsverarbeiter aus.

Die Übermittlung an Dienstleister in Drittstaaten (insbesondere USA) ist durch den Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework) oder durch EU-Standardvertragsklauseln abgesichert. Eine aktuelle Liste aller eingesetzten Dienstleister und Unterauftragsverarbeiter ist unter explicio.cloud/unterauftragsverarbeiter einsehbar.

Sprachmodelle in unseren betrieblichen Abläufen

Für unsere eigenen betrieblichen Abläufe – etwa das Vorsortieren eingehender E-Mails, die Vorbereitung von Antworten und Dokumenten oder die Buchhaltung – setzen wir Sprachmodelle ein, und zwar ausschließlich in den kostenpflichtigen Fassungen für Geschäftskunden, in denen der Anbieter die übermittelten Inhalte nicht zum Training seiner Modelle verwendet. Derzeit sind dies Gemini der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland; Verarbeitung auch in den USA) und Claude der Anthropic, PBC (USA). Wir behalten uns vor, für diese Abläufe weitere Modelle einzusetzen, insbesondere Modelle auf von Explicio betriebener Hardware (Explicio Grid); dabei verlassen die Inhalte unsere Infrastruktur nicht. Einen weiteren externen Anbieter nennen wir an dieser Stelle, bevor wir ihn einsetzen.

Die Anbieter verarbeiten die Inhalte in unserem Auftrag. Übermittlungen in die USA sind durch EU-Standardvertragsklauseln und, soweit der Anbieter danach zertifiziert ist, durch das EU-US Data Privacy Framework abgesichert. Rechtsgrundlage ist die des jeweiligen Ablaufs, in der Regel Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Durchführung eines Vertrags) oder unser berechtigtes Interesse an effizienten Betriebsabläufen (Art. 6 Abs. 1 lit. f DSGVO). Ein Sprachmodell trifft dabei keine Entscheidung, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO).

4a. Online-Besprechungen mit Microsoft Teams und E-Mail (tacp-operations.com)

Für Produktvorstellungen sowie für Abstimmungen mit Interessenten, Kunden und Geschäftspartnern nutzen wir Microsoft Teams, einen Dienst der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Verarbeitet werden die Angaben, die Sie bei der Teilnahme machen oder die der Dienst technisch benötigt: Name oder Anzeigename, E-Mail-Adresse (bei einer Einladung), Ton und Bild, sofern Sie Mikrofon und Kamera einschalten, geteilte Bildschirminhalte, Chatnachrichten in der Besprechung sowie Verbindungs- und Teilnahmedaten (Zeitpunkt, Dauer, IP-Adresse, Gerätedaten). Für die E-Mail-Korrespondenz unter Adressen der Domain tacp-operations.com nutzen wir ebenfalls Microsoft 365; zur Aufbewahrung bestehender E-Mail-Bestände sowie als technische Ausfallsicherung (Failover) unterhalten wir zudem E-Mail-Postfächer bei der STRATO GmbH (Otto-Ostrowski-Straße 7, 10249 Berlin) in deutschen Rechenzentren.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Besprechung oder E-Mail der Anbahnung oder Durchführung eines Vertrags dient, im Übrigen unser berechtigtes Interesse an einer effizienten Kommunikation mit Interessenten und Geschäftspartnern (Art. 6 Abs. 1 lit. f DSGVO).

Eine Aufzeichnung oder Mitschrift erfolgt nur nach vorheriger Ankündigung und mit ausdrücklicher Einwilligung aller Teilnehmenden (Art. 6 Abs. 1 lit. a DSGVO).

Microsoft verarbeitet die Daten als unser Auftragsverarbeiter; die Datenregion unseres Microsoft-365-Mandanten ist die Europäische Union. Ein Zugriff aus den USA ist nicht ausgeschlossen; er ist durch EU-Standardvertragsklauseln und die Zertifizierung des Anbieters nach dem EU-US Data Privacy Framework abgesichert. Treten Sie einer Besprechung mit einem eigenen Microsoft-Konto bei, gelten für die Daten, die Microsoft dabei in eigener Verantwortung verarbeitet, zusätzlich dessen Datenschutzbestimmungen.

Speicherdauer: Chatnachrichten und Teilnahmelisten in Microsoft Teams löschen wir über eine Aufbewahrungsrichtlinie nach 31 Tagen (einem Monat), sofern Inhalte nicht im Einzelfall zur Vertrags- oder Projektdokumentation in den Vorgang übernommen wurden. Technische Verbindungs-, Diagnose- und Protokolldaten in unserem Mandanten werden nach den Fristen des Dienstes gelöscht, das Prüfprotokoll (Audit-Log) nach 180 Tagen. E-Mail-Korrespondenz unter tacp-operations.com (einschließlich der Bestände bei STRATO) löschen wir ohne Vertragsschluss 24 Monate nach dem letzten Kontakt; geschäftliche Korrespondenz bewahren wir nach den gesetzlichen Fristen auf (§ 257 HGB, § 147 AO).

4b. Besondere Hinweise für den Besuch der Website www.explicio.com

1. Server-Protokoll (Logfiles) und Reichweitenmessung Beim Aufruf unserer Website `www.explicio.com` erhebt unser Webserver automatisch technische Zugriffsdaten (IP-Adresse, Browserkennung/User-Agent, Herkunftsseite/Referrer, aufgerufener Pfad sowie Datum und Uhrzeit des Abrufs). Die Verarbeitung erfolgt zur Gewährleistung des Betriebs und der Systemsicherheit sowie zur Abwehr von Angriffen auf Grundlage unseres überwiegenden berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO (sowie § 25 Abs. 2 Nr. 2 TDDDG, soweit technisch zwingend Endgeräteinformationen ausgelesen werden). Die personenbezogenen Rohdaten werden nach sieben (7) Tagen automatisiert gelöscht. Aus den Zugriffsdaten entsteht zudem eine rein aggregierte Tageszählung je Seite ohne jede Personenangabe (Datenbanktabelle ohne Spalte für eine Person oder IP-Adresse), die wir zu statistischen Zwecken für zwölf (12) Monate aufbewahren.

2. Anfrageformulare (Angebot, Kontakt, Box, Grid-Zugang, Konnektor, Beratung, Architektur-Gespräch, Investoren, Presse) Wenn Sie über eines unserer Formulare Kontakt mit uns aufnehmen, verarbeiten wir die von Ihnen angegebenen Daten (Name, Firma, E-Mail-Adresse, das gewählte Anliegen sowie optional Telefonnummer und Nachrichtentext). Die Verarbeitung dient der Bearbeitung Ihrer Anfrage sowie der Vertragsanbahnung. Rechtsgrundlage ist bei vorvertraglichen Anfragen Art. 6 Abs. 1 lit. b DSGVO sowie bei allgemeinen Anfragen von Unternehmensvertretern, Interessenten oder Investoren unser berechtigtes Interesse an einer effizienten Geschäftskommunikation gemäß Art. 6 Abs. 1 lit. f DSGVO. Wir speichern Ihre Anfrage als Interessenten-Vorgang („Lead“) in unserer eigenen, selbst betriebenen Warenwirtschaft auf eigenen Servern oder auf Servern unseres Auftragsverarbeiters Hostinger International Ltd. innerhalb der Europäischen Union; zudem erfolgt eine interne Benachrichtigung an unsere Geschäftsführung.

Wählen Sie als Anliegen „Presseanfrage“, legen wir keinen Interessenten-Vorgang an und speichern Ihre Anfrage nicht in unserer Warenwirtschaft; Ihre Anfrage wird als E-Mail an unser Presse-Postfach presse@explicio.com weitergeleitet und dort von unserem Presse-Team bearbeitet. Die E-Mail trägt die von Ihnen angegebene E-Mail-Adresse als Antwortadresse. Das Presse-Postfach liegt auf Servern unseres Auftragsverarbeiters Hostinger International Ltd. innerhalb der Europäischen Union. Damit die E-Mail auch bei einer Störung des Versands ankommt, hält unsere Plattform eine Kopie Ihrer Angaben vor: Ist die E-Mail zugestellt, löschen wir die Kopie sieben (7) Tage nach Eingang der Anfrage, andernfalls dreißig (30) Tage nach Eingang; danach bleiben dort nur das gewählte Anliegen und die Seite, von der Sie die Anfrage gesendet haben, ohne Angaben zu Ihrer Person. Im Presse-Postfach löschen wir Ihre Anfrage zwölf (12) Monate nach dem letzten Kontakt. Rechtsgrundlage ist unser berechtigtes Interesse an der Beantwortung von Presseanfragen (Art. 6 Abs. 1 lit. f DSGVO).

3. Anfragen per E-Mail (insbesondere an info@ und investor@) Senden Sie uns eine E-Mail an `info@explicio.com` oder `investor@explicio.com`, verarbeiten wir den Inhalt Ihrer E-Mail und Ihre Absenderdaten wie unter Ziffer 2 beschrieben: Jede neue Anfrage wird als Interessenten-Vorgang („Lead“) in unserer Warenwirtschaft angelegt, und Ihre E-Mail wird in diesem Vorgang abgelegt. Um Anfragen von Werbung, automatischen Benachrichtigungen und unerwünschter Post zu trennen, prüfen wir eingehende E-Mails zunächst nach festen Regeln (etwa Absender, Kopfzeilen und Spam-Kennzeichnung) und lassen die übrigen von einem Sprachmodell als Anfrage, Werbung oder unklar einordnen; dazu werden Absender, Betreff und Text an das Sprachmodell übermittelt (Anbieter: Abschnitt 4, „Sprachmodelle in unseren betrieblichen Abläufen“). Das Sprachmodell entscheidet nur über die Ablage der E-Mail; was es nicht sicher einordnet, prüft ein Mensch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre E-Mail auf ein Angebot oder einen Vertragsschluss abzielt, und in allen übrigen Fällen (insbesondere wenn kein Angebot erbeten wurde) unser berechtigtes Interesse an der sachgerechten Bearbeitung und Dokumentation eingehender Geschäftskorrespondenz gemäß Art. 6 Abs. 1 lit. f DSGVO; für das Vorsortieren unser berechtigtes Interesse an einer geordneten und sicheren Bearbeitung eingehender Post (Art. 6 Abs. 1 lit. f DSGVO).

4. Demo-Zugang (14 Tage) Beantragen Sie einen Demo-Zugang, verarbeiten wir Ihren Namen, Ihre Firma, Ihre E-Mail-Adresse sowie diejenigen Inhalte, die Sie während der Nutzung selbst eingeben, um Ihnen das Ausprobieren der Plattform in einem gemeinsamen Vorführ-Mandanten zu ermöglichen (Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO zur Vertragsanbahnung sowie Art. 6 Abs. 1 lit. f DSGVO). Der Demo-Zugang hat eine Laufzeit von 14 Tagen und wird danach gesperrt. Weitere 14 Tage nach Ablauf der Laufzeit werden das Demo-Konto und sämtliche dort eingegebenen Inhalte automatisiert gelöscht; der Interessenten-Vorgang („Lead“) in unserer Warenwirtschaft bleibt bestehen. Wechselt der Nutzer vor der Löschung in einen eigenen Mandanten, werden seine Demo-Inhalte dort zur nahtlosen Fortführung neu eingelesen (Art. 6 Abs. 1 lit. b DSGVO) und das Demo-Konto endet.

5. Testzugang für 30 Tage nur auf Einladung Eine offene Selbstregistrierung auf der Plattform findet nicht statt. Den 30-tägigen Testzugang in einem eigenen Mandanten stellen wir nach einem vorherigen Einführungsgespräch über einen persönlichen Einladungslink bereit. Für die dabei erhobenen Daten und den weiteren Ablauf gelten die Bestimmungen zur Registrierung in § 3 B dieser Datenschutzerklärung unverändert.

6. Speicher im Browser (Sprachwahl-Cookie und Farbschema) Unsere Website setzt keine Analyse-, Tracking- oder Werbekennungen ein. Erst wenn Sie aktiv auf die Sprachwahl klicken, setzen wir das technisch erforderliche Cookie `explicio_lang` (Wert `de` oder `en`, Gültigkeit 1 Jahr, Attribut `SameSite=Lax`), um Ihre gewählte Spracheinstellung für Folgeaufrufe zu speichern. Erst wenn Sie aktiv auf den Schalter für die helle oder dunkle Darstellung klicken, speichern wir Ihre Wahl im lokalen Speicher (Local Storage) Ihres Browsers (Eintrag `explicio.theme`, Wert `light` oder `dark`, ohne Ablaufdatum) und lesen diesen Eintrag beim Aufruf weiterer Unterseiten lokal im Browser aus, damit Ihre gewählte Darstellung erhalten bleibt; ohne Klick folgt die Darstellung der Systemeinstellung Ihres Geräts. Sie können den Eintrag jederzeit über die Einstellungen Ihres Browsers löschen. Dieser Eintrag bleibt ausschließlich auf Ihrem Gerät und wird mit keiner Anfrage an unsere Server übertragen. Rechtsgrundlage für beide Speicherungen (einschließlich des Auslesens zur Darstellung) ist § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

7. Schriften, Filme und Bilder Sämtliche auf der Website eingebundenen Schriftarten, Filme und Bilder werden ausschließlich von unserem eigenen Server geladen; die Website ruft beim Seitenaufruf keine Server Dritter ab.

Löschfrist für Interessenten-Daten (Leads) ohne Vertragsschluss: Führt eine Anfrage nach Ziffer 2, 3 oder 4 nicht zu einem Vertragsschluss, löschen wir den Interessenten-Vorgang („Lead“) in unserer Warenwirtschaft regelmäßig 24 Monate nach dem letzten Kontakt, sofern keine längeren gesetzlichen Aufbewahrungspflichten (etwa für Handels- und Geschäftsbriefe nach § 257 HGB, 6 Jahre) entgegenstehen oder Sie der weiteren Speicherung zuvor gemäß Art. 21 DSGVO widersprechen.

4c. Pressearbeit: Kontakte zu Redaktionen

Für unsere Pressearbeit schicken wir Redaktionen Pressemitteilungen und Themenvorschläge. Dazu verarbeiten wir Kontaktangaben von Journalistinnen und Journalisten sowie von Redaktionen, die das jeweilige Medium selbst veröffentlicht hat, etwa in seinem Impressum oder auf seiner Redaktions- oder Kontaktseite: Name, Medium, Ressort, Funktion, dienstliche E-Mail-Adresse und Telefonnummer, die Adresse der Seite, auf der wir die Angaben gefunden haben, das Datum, an dem wir sie zuletzt geprüft haben, und wozu das Medium dort einlädt. Diese Angaben haben wir nicht bei Ihnen erhoben, sondern aus diesen öffentlich zugänglichen Quellen (Art. 14 Abs. 2 lit. f DSGVO).

Wir schreiben eine Adresse nur an, wenn das Medium dort ausdrücklich zu Pressemitteilungen, Themenvorschlägen oder Beiträgen einlädt. Jede E-Mail geht einzeln an genau eine Adresse und wird von einer Person unseres Presse-Teams aus dem Postfach presse@explicio.com verschickt; am Ende steht ein kurzer Hinweis mit der Quelle Ihrer Kontaktangabe und Ihrem Widerspruchsrecht. Wir halten fest, welche Meldung wann an welche Adresse ging, damit dieselbe Meldung nicht zweimal bei Ihnen ankommt; in diesem Nachweis steht statt Ihres Namens und Ihrer Adresse nur eine Kennung.

Die Kontaktangaben speichern wir in unserer eigenen, selbst betriebenen Warenwirtschaft auf Servern unseres Auftragsverarbeiters Hostinger International Ltd. innerhalb der Europäischen Union; gesendete und empfangene E-Mails liegen im Presse-Postfach presse@explicio.com, ebenfalls bei Hostinger in der Europäischen Union. Zugriff haben nur Beschäftigte unseres Presse-Teams. Ein Sprachmodell erhält Ihre Kontaktangaben nicht.

Rechtsgrundlage ist unser berechtigtes Interesse an der Pressearbeit gegenüber Redaktionen, die zu solchen Einsendungen einladen (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen Ihre Kontaktangaben 24 Monate nach unserer letzten E-Mail an Sie; haben wir Ihnen nie geschrieben, zwölf (12) Monate nach der Erfassung.

Widerspruch: Sie können der Verarbeitung Ihrer Kontaktangaben für unsere Pressearbeit jederzeit ohne Angabe von Gründen widersprechen (Art. 21 DSGVO). Eine kurze Antwort auf eine unserer E-Mails oder eine Nachricht an presse@explicio.com genügt. Danach erhalten Sie von uns keine Pressemitteilungen und Themenvorschläge mehr; wir löschen Ihre übrigen Angaben und behalten nur Ihre E-Mail-Adresse als Sperrvermerk, damit wir Sie nicht erneut anschreiben.

5. Speicherdauer und Löschung

Soweit in dieser Datenschutzerklärung keine speziellere Speicherdauer genannt wurde, verbleiben Ihre personenbezogenen Daten bei uns, bis der Zweck für die Datenverarbeitung entfällt. Wenn Sie ein berechtigtes Löschersuchen geltend machen oder eine Einwilligung zur Datenverarbeitung widerrufen, werden Ihre Daten gelöscht, sofern wir keine anderen rechtlich zulässigen Gründe für die Speicherung Ihrer personenbezogenen Daten haben (z. B. steuer- oder handelsrechtliche Aufbewahrungsfristen); im letztgenannten Fall erfolgt die Löschung nach Fortfall dieser Gründe.

Im Einzelnen gelten folgende Löschfristen:

• Server-Log-Dateien: 7 Tage
• Interessenten-Vorgänge (Leads) ohne Vertragsschluss: 24 Monate nach dem letzten Kontakt (Abschnitt 4b)
• Presseanfragen über das Kontaktformular: Kopie in unserer Plattform 7 Tage nach Eingang, wenn die E-Mail zugestellt ist, sonst 30 Tage nach Eingang; im Presse-Postfach 12 Monate nach dem letzten Kontakt (Abschnitt 4b)
• Pressekontakte: 24 Monate nach unserer letzten E-Mail, ohne E-Mail 12 Monate nach der Erfassung; nach einem Widerspruch nur die E-Mail-Adresse als Sperrvermerk (Abschnitt 4c)
• Sicherheits- und Zugriffsprotokolle: 7 Tage
• Assistenten-Metadaten (Protokoll je Antwort): 6 Monate
• Registrierungsanträge ohne E-Mail-Bestätigung: Bestätigungslink 48 Stunden gültig, Löschung spätestens 7 Tage nach dessen Ablauf oder Verbrauch
• Support-Aufzeichnungen (Fernwartung): 90 Tage
• Fernwartungs-Vermerk im Verwaltungsprotokoll: 24 Monate
• Mandanten-Vollexport: Antragsfenster bis 30 Tage nach Vertragsende; der bereitgestellte Abruf-Link ist 30 Tage ab Bereitstellung gültig und wird danach gelöscht
• Grid-Auftragsdaten: 1 bis 90 Tage (Voreinstellung 30 Tage)
• Sicherungskopien (Backups): stündliche Stände 72 Stunden, tägliche Stände 30 Tage
• Vertrauliche Aufzeichnungen der internen Meldestelle: Löschung durch die Meldestelle drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG)
• Kaufmännische Belege und Rechnungen: 10 Jahre (§ 257 HGB, § 147 AO)
• Prüfprotokoll der Sanktionslistenprüfung: 5 Jahre ab dem Ende des Kalenderjahres der Prüfung, bei laufenden Verträgen bis drei Jahre nach Vertragsende
• Zustimmungsprotokoll und Verwaltungsprotokoll: für die Dauer des Bestehens des Mandanten sowie im Anschluss für die Dauer der gesetzlichen Nachweisfristen
• Originale von Videos und Sprachnachrichten: nach der Frist, die der Kunde einstellt (Voreinstellung: keine Löschung); das daraus gewonnene Wissen bleibt mit Zeitmarke, Zitat und bei Videos einem Standbild als Beleg.

Bei Löschung eines Benutzerkontos durch den Administrator wird das Konto pseudonymisiert: Die persönlichen Merkmale werden entfernt, das von der Person eingebrachte Unternehmenswissen bleibt dem Kunden ohne Personenbezug erhalten. Bei Stilllegung eines Mandanten, der Unternehmenswissen enthält, werden alle Inhalte über das Sechs-Augen-Verfahren der Plattform unwiederbringlich gelöscht. Einen Mandanten ohne eingebrachtes Wissen und ohne offene kaufmännische Vorgänge kann sein Administrator unmittelbar selbst löschen.

6. Keine externen Schriftdienste / Lokales Schriftbild

Diese Plattform nutzt zur einheitlichen Darstellung von Schriftarten ausschließlich lokal auf unseren eigenen Servern bereitgestellte Schriftdateien (Open-Source-Schriften Manrope, Geist Mono). Beim Aufruf der Plattform wird keine Verbindung zu externen Servern von Schriftdiensten (wie z. B. Google Fonts oder Adobe Fonts) hergestellt. Es werden dabei keine IP-Adressen oder sonstigen Daten an Dritte übermittelt.

7. Ihre Rechte als betroffene Person

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO): Unentgeltliche Auskunft über Ihre gespeicherten personenbezogenen Daten, deren Herkunft und Empfänger und den Zweck der Datenverarbeitung.
• Berichtigung (Art. 16 DSGVO): Die Berichtigung unrichtiger oder Vervollständigung Ihrer bei uns gespeicherten Daten zu verlangen.
• Löschung (Art. 17 DSGVO): Die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist. Bei Daten, die im Auftrag eines Kunden verarbeitet werden, leiten wir Ihre Anfrage an den Kunden weiter.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
• Einschränkung (Art. 18 DSGVO): Die Einschränkung der Verarbeitung zu verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DSGVO): Bei Verarbeitung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) Widerspruch einzulegen.

Beschwerderecht bei der zuständigen Aufsichtsbehörde

Zuständige Aufsichtsbehörde für den Sitz unseres Unternehmens ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4
40213 Düsseldorf
Telefon: +49 (0) 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Webseite: https://www.ldi.nrw.de

8. Interne Meldestelle (Hinweisgeberschutz)

Hinweise auf Verstöße gegen Rechtsvorschriften, die im Zusammenhang mit unserer Tätigkeit stehen — einschließlich Verstößen gegen die KI-Verordnung (Art. 87 KI-Verordnung) und den Datenschutz — nehmen wir über eine interne Meldestelle nach dem Hinweisgeberschutzgesetz entgegen. Meldungen können über das elektronische Formular unserer internen Meldestelle unter vhn.explicio.cloud/meldestelle eingereicht werden, auch anonym. Die Meldestelle bestätigt den Eingang innerhalb von sieben Tagen und gibt spätestens drei Monate nach der Eingangsbestätigung eine Rückmeldung. Die Identität der hinweisgebenden Person wird vertraulich behandelt und ist ausschließlich den für die Meldestelle zuständigen Personen zugänglich; sie wird in einem gesonderten, zugriffsbeschränkten Datenfeld geführt. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 10 HinSchG. Meldungen werden nach Abschluss des Verfahrens für drei Jahre aufbewahrt (§ 11 Abs. 5 HinSchG), soweit keine längere Aufbewahrung zur Erfüllung gesetzlicher Pflichten erforderlich ist.