Datenschutzerklärung (v2)
Version 2, Entwurf, nicht anwaltlich geprüft, auf Grundlage von legal-tpl-privacy-policy v1
Zuletzt aktualisiert: 29. Oktober 2026 · Version: 2
1. Wer wir sind
aiactaudit.ai (aiactaudit.ai) wird betrieben von der Human Synthesis SRL, Sat Buciumeni, Comuna Buciumeni, Nr. 279, Kreis Dâmbovița, 137065, Rumänien, eingetragen im Handelsregister unter J15/860/12.06.2024, USt-IdNr. RO50224420 („wir“, „uns“). Für die Daten in dieser Erklärung entscheiden wir, wozu und wie Ihre personenbezogenen Daten verwendet werden: Wir sind Verantwortlicher.
Daten, die unsere Kunden über ihre Mandanten eingeben. Expertinnen und Experten nutzen aiactaudit.ai, um ein Register für ihre eigenen Mandanten zu führen. Für die Daten, die sie über diese Mandanten und deren Beschäftigte eingeben (Mandanten-Arbeitsbereiche, Ansprechpersonen, Zeilen des KI-Inventars, Nachweisnotizen, Antworten zur Einstufung), handeln wir als Auftragsverarbeiter des Kunden nach unserem Auftragsverarbeitungsvertrag: https://aiactaudit.ai/de/avv. Über diese Daten entscheidet der Kunde; wenn Sie Mandant oder Beschäftigte eines Mandanten sind, wenden Sie sich bitte zuerst an die Person, die Sie eingeladen hat. Wir helfen ihr, Ihnen zu antworten.
Kontakt für alle Fragen zu Ihren Daten: privacy@aiactaudit.ai.
2. Welche Daten wir verwenden, wozu und auf welcher Rechtsgrundlage
| Wozu wir sie verwenden | Daten | Rechtsgrundlage | Empfänger | Wie lange wir sie speichern |
|---|---|---|---|---|
| A1. Anlegen und Führen Ihres Kontos: Registrierung, Anmeldung, optionaler zweiter Faktor, Team, Sprache, wie Sie zu uns gefunden haben | Name, E-Mail, Kanzlei oder Firma, Markt, Sprache, Passwort (gehasht gespeichert), optionales Geheimnis für den zweiten Faktor und Wiederherstellungscodes, Liste der angemeldeten Geräte, Herkunftsangabe des Links, über den Sie kamen | Erfüllung unseres Vertrags mit Ihnen | Cloudflare (Hosting, Datenbank, Speicher sowie Versand der Bestätigungs-, Passwort- und Einladungs-E-Mails über unseren eigenen E-Mail-Dienst) | solange Ihr Konto besteht; siehe Abschnitt 7 |
| A2. Erbringung des Dienstes: Mandanten-Arbeitsbereiche, Erfassungslinks, KI-Inventar, Einstufung, Pflichtenregister, Zeitleiste, Erinnerungen, Änderungsprotokoll, Export, Hinweise der Gesetzesbeobachtung | Name, Sprache und Markt des Mandanten; Namen und E-Mails der Ansprechpersonen; Zeilen des KI-Inventars und Nachweisnotizen (sie können personenbezogene Daten von Beschäftigten des Mandanten enthalten); Antworten und Ergebnisse der Einstufung mit Versionen; Registerzeilen, Termine und Erinnerungseinstellungen; Änderungsprotokoll; Hinweise | Erfüllung unseres Vertrags mit dem Kontoinhaber; für Daten, die der Kunde über seine Mandanten und deren Beschäftigte eingibt, sind wir Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag | Cloudflare (Hosting sowie Versand von Erinnerungen und Hinweisen); niemals ein KI-Anbieter | wie A1; nach Vertragsende Export 30 Tage lang, danach Löschung innerhalb von 90 Tagen |
| A3. Zahlungen, Rechnungen und steuerliche Aufzeichnungen | Rechnungsname und -anschrift, USt-IdNr., Tarif und Mengen, Zahlungsstatus, Rechnungskopien (Kartendaten bleiben bei unserem Zahlungsdienstleister) | Vertrag und rechtliche Verpflichtung für Rechnungen und steuerliche Aufzeichnungen | Stripe Payments Europe, Ltd. (Zahlungen, Rechnungen, Steuerberechnung); unsere Buchhaltung für die rumänische E-Rechnung (e-Factura) | Rechnungen und Buchhaltungsunterlagen 10 Jahre (rumänisches Recht) |
| A4. Kundensupport und Kontaktformular | Name, E-Mail, Kanzlei oder Firma, Markt, Anzahl der Mandanten (Bereich), Betreff, Nachricht | Vertrag bei Kunden; unser berechtigtes Interesse, Personen zu antworten, die uns schreiben | Cloudflare (Formulareingänge und Benachrichtigungs-E-Mail) | 2 Jahre nach der letzten Nachricht |
| A5. Sicherheit, Betrugs- und Missbrauchsabwehr: Bot-Schutz auf jedem öffentlichen Formular (Cloudflare Turnstile), Anmeldeprotokolle, Protokolle verweigerter Zugriffe, Ratenbegrenzung | IP-Adresse, Geräte- und Browsersignale, Anmelde- und Aktivitätsprotokolle | unser berechtigtes Interesse, den Dienst und die Daten unserer Kunden zu schützen | Cloudflare (Hosting, Turnstile) | 90 Tage, länger, wenn für einen Vorfall nötig |
| A6. Verbesserung des Dienstes: Statistiken je Markt aus unseren eigenen Datensätzen | Tarif, Markt, Anzahl von Mandanten, Testphasen und Abschlüssen; die Statistiken enthalten keine Kennungen | unser berechtigtes Interesse, unsere Produkte zu verbessern | Cloudflare | Statistiken bleiben; die Ausgangsdaten wie A1 bis A3 |
| A7. Servicenachrichten: Hinweise zur Testphase, Erinnerungen, Verlängerungserinnerungen, Hinweise zum Nur-Lese-Modus, Sicherheits-E-Mails | E-Mail, Kontostatus | Erfüllung unseres Vertrags mit Ihnen | Cloudflare (E-Mail-Versand) | E-Mail-Protokoll 90 Tage |
| A8. Neuigkeiten zu unseren ähnlichen Produkten, wenn Sie Kunde sind (derzeit versenden wir keine) | E-Mail-Adresse | unser berechtigtes Interesse (Direktwerbung an Kunden); Abmeldung in jeder Nachricht und in Ihrem Konto | Cloudflare (E-Mail-Versand) | bis zur Abmeldung; danach behalten wir nur Ihre Adresse auf einer Sperrliste |
| A10. Nachweise Ihrer Zustimmung und Einwilligung: AGB, Auftragsverarbeitungsvertrag, Cookie-Auswahl | Nutzer, Dokument, Version, Datum und Uhrzeit, Art der Abgabe; Cookie-Auswahl ohne Ihre IP-Adresse | rechtliche Verpflichtung, Zustimmung und Einwilligung nachzuweisen | Cloudflare | 5 Jahre nach Ende des Kontos |
| A11. Gesetzesbeobachtung | nur öffentliche amtliche Gesetzestexte; keine personenbezogenen Daten | keine personenbezogenen Daten | Anthropic (Claude) erhält nur öffentliche Gesetzestexte, nie personenbezogene Daten | solange wir unsere Gesetzesdaten führen |
| A12. Unser Betreiberbereich und Mitarbeiterkonten | E-Mail der Mitarbeitenden, Passwort (gehasht gespeichert), zweiter Faktor, Betreiberprotokoll | Vertrag und unser berechtigtes Interesse am Betrieb des Dienstes | Cloudflare | solange das Mitarbeiterkonto besteht; Betreiberprotokoll 1 Jahr |
| A13. Öffentliche Gesetzes- und Termindaten für unsere Schwesterseite euaiactaudit.com | keine personenbezogenen Daten | keine personenbezogenen Daten | keine | entfällt |
| Newsletter und Angebote, wenn Sie kein Kunde sind, sowie Angebote von Partnern (derzeit bieten wir keine an) | E-Mail-Adresse, Ihre Präferenzen | Ihre Einwilligung | Cloudflare (E-Mail-Versand) | bis zum Widerruf Ihrer Einwilligung |
| Einhaltung des Rechts und Abwehr von Rechtsansprüchen | die für den Zweck nötigen Daten | rechtliche Verpflichtung; unser berechtigtes Interesse an der Verteidigung unserer Rechte | Behörden, Gerichte und Berater, wenn nötig | solange der Zweck es erfordert |
Wo wir uns auf ein berechtigtes Interesse stützen, haben wir es gegen Ihre Rechte und Freiheiten abgewogen; Sie können diese Abwägung bei uns anfordern und jederzeit widersprechen (Abschnitt 6).
In unseren Formularen als Pflicht gekennzeichnete Daten sind für den Dienst erforderlich; ohne sie können wir das Konto nicht anlegen oder die Bestellung nicht ausführen. Freiwillige Angaben sind als optional gekennzeichnet.
Wir treffen keine ausschließlich automatisierten Entscheidungen über Sie, die rechtliche oder ähnlich erhebliche Wirkung haben. Die Einstufungsergebnisse im Dienst beruhen auf Regeln, werden vom Nutzer ausgeführt und dienen nur der Information.
3. Woher Ihre Daten stammen
Von Ihnen (Formulare, Konto, Nutzung des Dienstes), von der Expertin oder dem Experten, die oder der Sie als Ansprechperson eines Mandanten einlädt, von Ihrem Gerät (Protokolle, Cookies mit Ihrer Einwilligung) und von unserem Zahlungsdienstleister (Zahlungsstatus).
4. Wer Ihre Daten erhält
Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben sie nur weiter an:
- Dienstleister, die sie für uns vertraglich und nach unseren Weisungen verarbeiten: Hosting und Infrastruktur (Cloudflare, Inc.), E-Mail-Versand (Cloudflare Email Sending und Email Routing über unseren eigenen Dienst Aiosis Emails), Zahlungen (Stripe Payments Europe, Ltd.). Die aktuelle Liste: https://aiactaudit.ai/de/unterauftragsverarbeiter.
- KI-Verarbeitung: Unsere Gesetzesbeobachtung sendet öffentliche amtliche Gesetzestexte an Anthropic (Claude), um ihre Relevanz zu bewerten und Schlagwörter zu setzen. Keine personenbezogenen Daten und keine Daten, die Sie oder Ihre Mandanten eingeben, werden jemals an einen KI-Anbieter gesendet. Anthropic ist aus Gründen der Transparenz in der Liste der Unterauftragsverarbeiter aufgeführt.
- Behörden, Gerichte und Berater, wenn das Gesetz es verlangt oder um unsere Rechte zu verteidigen.
- Einen Käufer oder Nachfolger unseres Geschäfts ganz oder teilweise, der den Schutz dieser Erklärung wahren muss.
- Partner für deren eigene Werbung nur mit Ihrer Einwilligung.
5. Speicherort und Übermittlungen außerhalb des Europäischen Wirtschaftsraums
Cloudflare speichert unsere Datenbank und Dateien (Cloudflare D1 und R2) und liefert die Website über sein weltweites Netz aus. Unsere Konfiguration legt keine Speicherregion fest; Cloudflare wählt den Standort, der außerhalb des Europäischen Wirtschaftsraums liegen kann.
Einige Dienstleister sitzen in anderen Ländern. Wir übermitteln Daten nur in Länder, die die Europäische Kommission als angemessen anerkennt, einschließlich US-Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, oder auf Grundlage der von der Kommission genehmigten Standardvertragsklauseln. Unsere Dienstleister nutzen das Data Privacy Framework oder die Standardvertragsklauseln. Eine Kopie der Garantien erhalten Sie auf Anfrage.
6. Ihre Rechte
Sie können von uns verlangen: Auskunft über Ihre Daten und eine Kopie; Berichtigung; Löschung; Einschränkung der Verarbeitung; Erhalt in einem übertragbaren Format; und Sie können Verarbeitungen auf Grundlage berechtigter Interessen widersprechen. Der Direktwerbung können Sie jederzeit ohne Begründung widersprechen. Wo wir uns auf Ihre Einwilligung stützen, können Sie sie jederzeit widerrufen, ohne dass die frühere Verarbeitung berührt wird.
So geht es: in Ihren Kontoeinstellungen (Datenexport unter /app/privacy, Kontolöschung unter /app/account/delete) oder per E-Mail an privacy@aiactaudit.ai. Wir antworten innerhalb eines Monats (bei komplexen Anfragen höchstens drei Monate, und wir sagen Ihnen, warum). Wir können Sie bitten, Ihre Identität zu bestätigen. Bei Daten, die eine Expertin oder ein Experte über Sie als Ansprechperson oder Beschäftigte eines Mandanten eingegeben hat, leiten wir Ihre Anfrage an diese Person weiter und helfen bei der Antwort.
Sie können sich zuerst bei uns beschweren; Sie haben außerdem das Recht, sich bei einer Datenschutzbehörde zu beschweren, insbesondere in dem Land, in dem Sie leben oder arbeiten: Rumänien ANSPDCP (dataprotection.ro), Frankreich CNIL (cnil.fr), Italien Garante (garanteprivacy.it), Spanien AEPD (aepd.es), Griechenland HDPA (dpa.gr), Irland DPC (dataprotection.ie), Vereinigtes Königreich ICO (ico.org.uk). Unsere federführende Behörde ist die rumänische ANSPDCP.
7. Wie lange wir Daten speichern
- Kontodaten: solange Ihr Konto aktiv ist. Läuft ein Abonnement unbezahlt aus, bleibt das Konto 90 Tage im Nur-Lese-Modus; danach löschen wir es nach 30 Tagen Vorankündigung. Wenn Sie Ihr Konto löschen, entfernen wir es innerhalb von 30 Tagen; Sicherungen werden innerhalb von 90 Tagen überschrieben.
- Von Ihnen eingegebene Mandantendaten: Sie können sie nach Vertragsende 30 Tage lang exportieren; danach löschen wir sie innerhalb von 90 Tagen, einschließlich Sicherungen.
- Rechnungen und Buchhaltungsunterlagen: so lange, wie das Steuerrecht es verlangt (Rumänien 10 Jahre; andere Länder 5 bis 10 Jahre).
- Supportnachrichten: 2 Jahre nach der letzten Nachricht.
- Sicherheits- und E-Mail-Protokolle: 90 Tage, länger, wenn für einen Vorfall nötig.
- Betreiberprotokoll: 1 Jahr.
- Werbung: bis Sie sich abmelden oder Ihre Einwilligung widerrufen; danach behalten wir nur Ihre Adresse auf einer Sperrliste.
- Nachweise über Einwilligungen und die Annahme unserer Bedingungen: 5 Jahre nach Ende des Kontos.
- Cookies: höchstens 13 Monate.
8. Sicherheit
Wir schützen Ihre Daten mit Verschlüsselung bei der Übertragung, Zugriff nur für Personen, die ihn benötigen, Zwei-Faktor-Anmeldung für Mitarbeitende und optionaler Zwei-Faktor-Anmeldung für Nutzer, einem eigenen Schlüssel je Kunde in jedem Datensatz, damit kein Kunde die Daten eines anderen sieht, Bot-Schutz auf jedem öffentlichen Formular, Sicherungen und regelmäßigen Sicherheitsprüfungen. Kein System ist perfekt; gefährdet eine Datenpanne Ihre Rechte, informieren wir die Behörde und, bei hohem Risiko, Sie. Betrifft sie Daten, die wir für einen Kunden verarbeiten, informieren wir diesen Kunden innerhalb von 48 Stunden.
9. Kinder
aiactaudit.ai ist nicht für Kinder unter 16 Jahren bestimmt. Der Dienst richtet sich an Unternehmen und Berufstätige ab 18 Jahren. Wir erheben wissentlich keine Daten von Kindern; erfahren wir davon, löschen wir sie. Eltern erreichen uns unter privacy@aiactaudit.ai.
10. Cookies
Wir verwenden Cookies und ähnliche Technologien. Nicht notwendige Cookies setzen wir nur mit Ihrer Einwilligung. In der App (/app) verwenden wir nur unbedingt notwendige Cookies. Einzelheiten und Ihre Wahlmöglichkeiten: https://aiactaudit.ai/de/cookies; Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite ändern.
11. Änderungen dieser Erklärung
Wir können diese Erklärung aktualisieren. Das Datum der letzten Änderung steht oben. Wichtige Änderungen kündigen wir per E-Mail oder im Dienst mindestens 30 Tage vor ihrem Inkrafttreten an.