Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne des Art. 4 Nr. 7 DSGVO ist:

Weitere Angaben finden Sie im Impressum.

Unternehmio ist eine Software, mit der Unternehmerinnen und Unternehmer ihr Unternehmen steuern (u. a. Aufgaben, Kundenverwaltung/CRM, Team-, Zeit- und Abwesenheitserfassung, Dokumente und E-Signatur, Formulare, Buchhaltungs-Unterstützung). Dabei verarbeiten wir personenbezogene Daten in zwei unterschiedlichen Rollen:

• Als Verantwortliche für die Daten unserer Vertragskunden (z. B. Konto-, Anmelde- und Abrechnungsdaten der Nutzer) sowie für den Betrieb der Anwendung.
• Als Auftragsverarbeiter (Art. 28 DSGVO) für alle Inhalts- und Nutzungsdaten, die unsere Kunden in der Software erfassen – insbesondere Daten von Kontakten/Kunden, Mitarbeitenden, Vorgängen, Dokumenten und Zahlungen. Für diese Verarbeitung ist der jeweilige Kunde Verantwortlicher; Grundlage ist ein Auftragsverarbeitungsvertrag (AVV) zwischen ihm und uns.

Bei jedem Aufruf der Anwendung werden automatisch Informationen an unseren Hosting-Dienstleister übermittelt und in Server-Logfiles gespeichert (u. a. IP-Adresse, Datum und Uhrzeit, abgerufene Ressource, übertragene Datenmenge, Browsertyp und Betriebssystem). Dies ist technisch erforderlich, um die Anwendung auszuliefern und ihre Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Für die Nutzung der Anwendung ist ein persönliches Konto erforderlich. Wir verarbeiten hierfür Name, E-Mail-Adresse, ein verschlüsselt gespeichertes Passwort sowie Protokolldaten zur An- und Abmeldung. Optional können Sie sich über einen externen Anbieter anmelden (Google bzw. Microsoft, siehe Ziffer 10); dabei erhalten wir Ihre dort hinterlegte E-Mail-Adresse und Ihren Namen zur Kontozuordnung. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an der Sicherheit der Zugänge (Art. 6 Abs. 1 lit. f DSGVO). Zur Aufrechterhaltung der Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie ein; es dient ausschließlich der Authentifizierung und erfordert keine Einwilligung.

Im Rahmen der Funktionen werden – im Auftrag unserer Kunden (siehe Ziffer 2) – u. a. folgende Daten verarbeitet: Kontakt-/Kundendaten und Leads (CRM), Daten von Mitarbeitenden (Anzeigename, Funktion, Eintrittsdatum, Zeiterfassung, Abwesenheiten/Urlaub, Anwesenheit), Aufgaben und Vorgänge, Dokumente und elektronische Signaturen, Formular-Antworten sowie Korrespondenz. Verantwortlicher und Rechtsgrundlage richten sich nach dem jeweiligen Kunden.

Einzelne Funktionen nutzen große Sprach-, Bild- und Transkriptionsmodelle, um Eingaben zu strukturieren, Fragen zu beantworten, Texte zusammenzufassen, Belege auszulesen, Inhalte durchsuchbar zu machen oder Sprache in Text umzuwandeln. Hierbei werden die jeweils betroffenen Inhalte (zum Beispiel der Text einer Aufgabe, ein Beleg, eine Sprachnachricht, eine Aufnahme, ein Abfrage-Kontext) an folgende Anbieter übermittelt:

• Anthropic Ireland, Limited (Irland): Verarbeitung von Texten, Dokumenten (PDF) und Bildern (zum Beispiel Belegfotos) durch das Sprachmodell „Claude“. Eingesetzt unter anderem im Assistenten, im Agenten-Builder, bei der Belegerkennung, Kontierung und Sichtung des angebundenen Beleg-Posteingangs in der Buchhaltung, für Zusammenfassungen und Gesprächsleitfäden der Companion-Funktion (Ziffer 11) sowie im optionalen Telegram-Bot (Ziffer 7).
• OpenAI Ireland Ltd. (Irland): Umwandlung von Sprache in Text (Transkription von Sprachnachrichten, Companion-Aufnahmen und hochgeladenen Kursvideos der Akademie), Erzeugung von Text-Embeddings für die semantische Suche in Wissensnotizen und Transkripten sowie Texterzeugung im Modus „Artefakte“ des Agenten-Builders.

Beide Anbieter verarbeiten die Daten ganz oder teilweise in den USA. Grundlage dieser Übermittlung sind die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil der mit den Anbietern geschlossenen Auftragsverarbeitungsverträge sind.

Vor der Übermittlung an KI-Anbieter werden personenbezogene Angaben, soweit technisch möglich, maskiert oder entfernt (unter anderem IBAN, E-Mail-Adressen, Telefonnummern). Die Anbieter verarbeiten die Daten als Auftragsverarbeiter und verwenden sie nicht zum Training ihrer Modelle.

Speicherdauer bei den Anbietern nach deren Angaben: Anthropic löscht Ein- und Ausgaben innerhalb von 30 Tagen; eine Vereinbarung ohne Speicherung (Zero Data Retention) ist auf Anfrage möglich. OpenAI speichert die Audiodaten der Transkription nicht; Ein- und Ausgaben der übrigen Funktionen werden zur Missbrauchskontrolle bis zu 30 Tage aufbewahrt. In beiden Fällen kann eine längere Aufbewahrung erfolgen, soweit der Anbieter gesetzlich dazu verpflichtet ist oder ein Verdacht auf Missbrauch besteht.

Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an nützlichen Assistenzfunktionen (Art. 6 Abs. 1 lit. b und f DSGVO).

Optional können Sie Aufgaben und Notizen über einen Telegram-Bot erfassen und abrufen. Wenn Sie diese Funktion aktiv verknüpfen, werden die von Ihnen gesendeten Nachrichten (Text, Sprachnachrichten, Bilder) über die Infrastruktur der Telegram FZ-LLC (Vereinigte Arabische Emirate) übermittelt und von uns zur Ausführung Ihrer Anweisung verarbeitet (ggf. unter Einsatz der KI-Funktionen nach Ziffer 6). Rechtsgrundlage ist Ihre Einwilligung durch die aktive Verknüpfung sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. a und b DSGVO). Es gelten zusätzlich die Datenschutzbestimmungen von Telegram. Sie können die Verknüpfung jederzeit wieder aufheben.

Sofern ein Nutzer den Abgleich von Zahlungen aktiviert, kann er auf freiwilliger Basis ein Bankkonto über einen lizenzierten Kontoinformationsdienst (PSD2) anbinden. Kontoumsätze werden ausschließlich nach ausdrücklicher Einwilligung und für die gesetzlich vorgesehene Dauer (i. d. R. 90 Tage je Einwilligung) abgerufen, um sie mit offenen Forderungen abzugleichen. Die Anbindung erfolgt über Enable Banking Oy (Helsinki, Finnland) als von der finnischen FIN-FSA lizenzierten Kontoinformationsdienst (AISP), ausschließlich lesend – es werden keine Zahlungen ausgelöst, und wir erhalten zu keinem Zeitpunkt Ihre Online-Banking-Zugangsdaten. Die Verarbeitung erfolgt innerhalb der EU. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit mit Wirkung für die Zukunft widerruflich.

Für den Versand von System- und Benachrichtigungs-E-Mails (z. B. Einladungen, Erinnerungen, Signatur-Anfragen) nutzen wir den Dienst Resend (Resend, Inc., USA). Hierbei werden die Empfängeradresse und der Inhalt der jeweiligen Nachricht verarbeitet. Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an einer zuverlässigen Zustellung (Art. 6 Abs. 1 lit. b und f DSGVO). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag; für die Übermittlung in die USA werden die EU-Standardvertragsklauseln verwendet.

Optional können Sie Ihren Google- oder Microsoft-Kalender verbinden, um Aufgaben mit Fälligkeitsdatum als Termine zu spiegeln bzw. Termine anzuzeigen. Nach Ihrer ausdrücklichen Freigabe (OAuth) werden hierfür die betroffenen Aufgaben-/Termindaten mit Google Ireland Limited (Irland) bzw. Microsoft Ireland Operations Ltd. (Irland) ausgetauscht; eine Verarbeitung in Drittländern ist dabei möglich, wofür die EU-Standardvertragsklauseln zugrunde gelegt werden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können die Verbindung jederzeit in den Einstellungen trennen.

Die optionale Companion-Funktion ermöglicht es, Bildschirm- bzw. Besprechungsinhalte aufzuzeichnen, zu transkribieren (siehe Ziffer 6) und zusammenzufassen. Aufnahmen erfolgen ausschließlich auf Ihre aktive Veranlassung; verdeckte Aufnahmen sind ausgeschlossen. Sie sind selbst dafür verantwortlich, die nach geltendem Recht erforderlichen Einwilligungen der Gesprächsteilnehmer einzuholen. Aufnahmen und daraus erzeugte Transkripte/Zusammenfassungen werden verschlüsselt gespeichert, unterliegen einer begrenzten Aufbewahrungsdauer und können jederzeit gelöscht werden. Rechtsgrundlage ist Ihre Einwilligung bzw. die von Ihnen verantwortete Verarbeitung (Art. 6 Abs. 1 lit. a und f DSGVO).

Lektionen der Akademie können Videos der Anbieter YouTube (Google Ireland Limited, Irland) und Vimeo (Vimeo.com, Inc., USA) einbetten. YouTube-Videos binden wir über die Adresse youtube-nocookie.com ein. Das Video wird erst geladen, wenn Sie auf „Video laden“ klicken. Erst dann erhält der jeweilige Anbieter Verbindungsdaten wie Ihre IP-Adresse. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO). Bei Vimeo werden die Daten dabei in die USA übermittelt. Es gelten zusätzlich die Datenschutzbestimmungen des jeweiligen Anbieters.

Von Kursverantwortlichen direkt hochgeladene Videos werden zur Erstellung eines Transkripts und zur Durchsuchbarkeit der Kursinhalte an die in Ziffer 6 genannten Anbieter übermittelt (Tonspur zur Transkription an OpenAI, Transkript zur Erzeugung von Text-Embeddings an OpenAI).

Auf Veranlassung des Nutzers ruft Unternehmio Daten aus weiteren Systemen ab, die der Nutzer selbst verbindet. Die Daten werden dort ausschließlich gelesen:

• Close (Elastic Inc., USA): Import aufgezeichneter Telefonate (Aufnahme, ggf. Transkript, Zeitpunkt, Dauer und Rufnummer zur Zuordnung zum Kontakt) in die Companion-Funktion (Ziffer 11).
• Professional Works: Abgleich von Kunden- und Vertragsdaten mit den Kontakten im CRM.
• Google Drive (Google Ireland Limited, Irland) bzw. OneDrive/SharePoint (Microsoft Ireland Operations Limited, Irland): Abruf von Belegen aus dem vom Nutzer verbundenen Ordner für die Buchhaltungs-Unterstützung.
• Instagram und Facebook (Meta Platforms Ireland Limited, Irland): Abruf der Kennzahlen des eigenen, über die Facebook-Anmeldung verbundenen Instagram-Profikontos (Aufrufe, Reichweite und Interaktionen je Beitrag, Follower), der Beitragstexte und der Texte von Kommentaren zu eigenen Beiträgen für die Social-Media-Auswertung. Namen oder Konten der Kommentierenden speichern wir nicht. Die Verbindung lässt sich jederzeit im Bereich Social Media trennen.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für die abgerufenen Inhalte ist der jeweilige Kunde Verantwortlicher (siehe Ziffer 2).

In der Social-Media-Auswertung kann der Nutzer zusätzlich öffentliche Instagram-Profikonten anderer Anbieter beobachten. Dafür nutzt Unternehmio ausschließlich die offizielle Schnittstelle von Meta und speichert nur öffentliche Kennzahlen (Follower, Zahl der Beiträge, Aufrufe, Likes, Zahl der Kommentare), den Beitragstext und den Link zum Beitrag. Videos, Bilder, Kommentare und die Namen von Kommentierenden dieser Konten werden nicht gespeichert. Rechtsgrundlage ist das berechtigte Interesse des Kunden an der Beobachtung seines Marktes (Art. 6 Abs. 1 lit. f DSGVO); Verantwortlicher ist der jeweilige Kunde (siehe Ziffer 2).

Tritt in der Anwendung ein technischer Fehler auf, speichern wir die Quelle (Server, Browser oder Protokoll), die betroffene Route ohne Suchparameter, die Fehlermeldung und einen gekürzten technischen Auszug (Stack) sowie Zeitpunkt und Häufigkeit. E-Mail-Adressen und Telefonnummern werden vor dem Speichern geschwärzt, IBAN bis auf die ersten und letzten vier Zeichen maskiert. Ihre Nutzer-ID speichern wir dabei nicht. Eingaben werden nicht gezielt erfasst, können aber im Einzelfall Teil einer Fehlermeldung sein. Bei einem neuen oder wiederkehrenden Fehler benachrichtigen wir den Betreiber über Telegram (Telegram FZ-LLC, VAE); dabei werden die Route, die gekürzte Fehlermeldung und der gekürzte technische Auszug übertragen. Zweck ist der sichere und stabile Betrieb der Anwendung. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen jeweils ein Auftragsverarbeitungsvertrag besteht:

• Vercel, Inc. (USA) – Hosting und Auslieferung der Anwendung. Übermittlung auf Grundlage der EU-Standardvertragsklauseln.
• Supabase, Inc. – Datenbank- und Speicherdienste. Die Daten werden in einem Rechenzentrum innerhalb der EU (Region Frankfurt am Main, Deutschland) gespeichert.
• Anthropic Ireland, Limited (Irland) und OpenAI Ireland Ltd. (Irland): KI-Dienste für Text, Dokumente, Bilder, Transkription und semantische Suche, siehe Ziffer 6. Verarbeitung teilweise in den USA auf Grundlage der EU-Standardvertragsklauseln.
• Telegram FZ-LLC (VAE) – Nachrichten-Infrastruktur des optionalen Bots, siehe Ziffer 7.
• Google Ireland Ltd. / Microsoft Ireland Operations Ltd. – Kalender-Anbindung und optionale Anmeldung, siehe Ziffer 10.
• Resend, Inc. (USA) – Versand transaktionaler E-Mails, siehe Ziffer 9.
• Enable Banking Oy (Finnland) – Kontoinformationsdienst (PSD2), siehe Ziffer 8.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtlich) bestehen. Daten, die wir im Auftrag verarbeiten, werden nach den Weisungen des jeweiligen Kunden bzw. nach Beendigung des Auftragsverhältnisses gelöscht oder zurückgegeben.

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Betreffen Ihre Daten eine Verarbeitung im Auftrag eines unserer Kunden, leiten wir Ihr Anliegen an den jeweils Verantwortlichen weiter bzw. unterstützen diesen bei der Beantwortung.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Behörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

Die Übertragung erfolgt verschlüsselt über TLS. Der Zugriff auf Daten ist rollenbasiert beschränkt; mandantenübergreifende Zugriffe werden technisch unterbunden (Row-Level-Security). Vor der Übermittlung an KI-Dienste werden personenbezogene Angaben soweit möglich maskiert. Wir treffen geeignete technische und organisatorische Maßnahmen, um Ihre Daten gegen unbefugten Zugriff und Verlust zu schützen.

Wir passen diese Datenschutzerklärung an, sobald Änderungen an der Anwendung oder der Rechtslage dies erforderlich machen. Es gilt jeweils die hier veröffentlichte aktuelle Fassung.