Datenschutz

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist Stefan von Hatten, Marktstraße 18, 51379 Leverkusen, Deutschland, E-Mail: svh@svhatten.com, Telefon: +49 (0)176 4671 4817.

2. Zweck der Verarbeitung

DPAX verarbeitet Daten, um Nutzerkonten bereitzustellen, Projekte anzulegen, Projektinformationen zu strukturieren, Intake-Antworten zu speichern, KI-gestützte Analysen zu erzeugen, Risiken, Ressourcen, Budgetlogik und Arbeitspakete darzustellen, Exporte bereitzustellen, Supportanfragen zu bearbeiten, Zahlungsvorgänge vorzubereiten und die Anwendung sicher zu betreiben.

3. Kategorien verarbeiteter Daten

Verarbeitet werden können insbesondere Name, E-Mail-Adresse, Unternehmen, Rechnungsadresse, Telefon, USt-IdNr., Kundentyp, Login- und Kontostatus, technische Protokolldaten, Supportanfragen, Projektbeschreibungen, Intake-Antworten, Projektparameter, Rollen-, Risiko-, Ressourcen-, Kosten-, Export-, Billing- und Zustimmungsdaten.

4. Rechtsgrundlagen

Die Verarbeitung erfolgt je nach Vorgang auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO zur Vertragserfüllung oder Durchführung vorvertraglicher Maßnahmen, Art. 6 Abs. 1 lit. c DSGVO zur Erfüllung rechtlicher Pflichten, Art. 6 Abs. 1 lit. f DSGVO auf Grundlage berechtigter Interessen am sicheren, stabilen und nachvollziehbaren Betrieb sowie, soweit erforderlich, Art. 6 Abs. 1 lit. a DSGVO aufgrund einer Einwilligung.

5. Projekt- und Unternehmensdaten

Projektinformationen können vertrauliche Unternehmensinformationen und personenbezogene Daten von Beschäftigten, Dienstleistern, Kunden, Projektbeteiligten oder sonstigen Dritten enthalten. Nutzer dürfen nur Daten eingeben, zu deren Verarbeitung sie berechtigt sind und die für den jeweiligen Projektzweck erforderlich sind.

6. KI-gestützte Verarbeitung und Transparenz

DPAX kann Projektbeschreibungen und Kontextdaten an einen KI-Dienst übermitteln, um Vorschläge, Annahmen, offene Fragen, Risiken, Rollen, Ressourcen, Next Steps, Budgetlogik und Arbeitspakete zu erzeugen. Die übermittelten Inhalte sollen auf den für die Analyse erforderlichen Umfang beschränkt werden. DPAX verwendet Kundeneingaben nicht selbst zum Training eigener KI-Modelle.

KI-gestützte Ergebnisse werden maschinell unterstützt erzeugt. Sie können unvollständig, fehlerhaft oder interpretationsbedürftig sein und müssen vor einer geschäftlichen Verwendung fachlich geprüft werden. DPAX trifft keine automatisierten Entscheidungen mit rechtlicher, personeller, finanzieller oder ähnlich erheblicher Wirkung über Personen.

7. Keine automatisierte Entscheidung nach Art. 22 DSGVO

DPAX trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Personen. DPAX liefert Projektstrukturierung und Entscheidungsunterstützung. Die fachliche Bewertung und Freigabe bleibt beim Nutzer beziehungsweise beim verantwortlichen Projektteam.

8. Registrierung, Login und Zustimmung

Bei Registrierung, Login, Planbuchung oder Planänderung können Zustimmung zu AGB, Kenntnisnahme der Datenschutzhinweise, Cookie-Hinweise, Zustimmungsstand, Zeitstempel, E-Mail-Adresse, IP-/Browser-Metadaten in notwendigem Umfang und Nutzerbezug dokumentiert werden, um Vertrags- und Nachweispflichten zu erfüllen.

9. Zahlung und Billing

Für kostenpflichtige Pakete kann Stripe als Zahlungsdienstleister eingebunden werden. Dabei können je nach Zahlungsvorgang Name, E-Mail-Adresse, Rechnungsdaten, Zahlungsstatus, Planinformationen, Checkout-, Portal- und Webhook-Daten verarbeitet werden. Vollständige Zahlungsdaten wie Kreditkartennummern werden in der Regel durch Stripe verarbeitet und nicht dauerhaft in DPAX gespeichert.

10. Hosting, E-Mail und technische Dienstleister

DPAX kann bei Hosting-, Server-, Datenbank-, Storage-, E-Mail-, Zahlungs-, KI-, Support- und Sicherheitsdienstleistern betrieben werden. Im aktuellen Serverbetrieb sind insbesondere Hetzner-Infrastruktur beziehungsweise Hetzner-Mail/SMTP, Stripe und ein DPAX KI-Provider als relevante Dienstleister vorgesehen. Soweit Dienstleister personenbezogene Daten im Auftrag verarbeiten, werden Auftragsverarbeitungsverträge oder sonstige geeignete Datenschutzvereinbarungen eingesetzt.

11. Drittlandtransfer

Bei Einsatz von Dienstleistern außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums, insbesondere bei KI- oder Zahlungsdiensten, kann eine Übermittlung in Drittländer stattfinden. In diesen Fällen werden geeignete Garantien wie EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse, zusätzliche Schutzmaßnahmen oder andere gesetzlich vorgesehene Mechanismen eingesetzt, soweit erforderlich.

12. Supportformular und Debug-Pakete

Angaben aus Kontakt- und Supportformularen werden zur Bearbeitung der Anfrage verarbeitet. Debug-Pakete können technische Ereignisse, Browserkontext, API-Aufrufe, Statuscodes, Projekt-IDs und Systemstatus enthalten. Secrets, Passwörter, API-Schlüssel, Authorization Header und Tokens sollen nicht in Debug-Pakete ausgegeben werden.

13. Logdaten und Sicherheit

Zur Stabilität, Fehleranalyse, Angriffserkennung und Nachvollziehbarkeit können technische Ereignisse, Request-IDs, Zeitpunkte, aufgerufene Endpunkte, Statuscodes, IP-/Browser-Metadaten in notwendigem Umfang, Projekt-IDs und Fehlermeldungen protokolliert werden.

14. Cookies und lokale Speicherung

DPAX nutzt derzeit technisch notwendige Cookies beziehungsweise lokale Browser-Speicherung für Login, Session, CSRF-Schutz, Bedienbarkeit, Sicherheitsfunktionen, Testzugang und Cookie-Hinweis. Marketing-, Werbe- oder Tracking-Cookies sind im aktuellen Stand nicht vorgesehen. Soweit künftig Analyse-, Tracking-, Marketing- oder sonstige nicht notwendige Dienste ergänzt werden, wird vor deren Einsatz eine gesonderte Einwilligung eingeholt, sofern gesetzlich erforderlich.

15. Exporte

ODS-, CSV-ZIP- und JSON-Exporte enthalten Projektinformationen und können vertrauliche Inhalte enthalten. Nutzer sind für sichere Speicherung, Weitergabe, Löschung und Zugriffsschutz exportierter Dateien verantwortlich.

16. Speicherdauer und Löschung

Konto-, Vertrags- und Rechnungsdaten werden gespeichert, solange sie für Vertragsdurchführung, Nachweis, Support, Sicherheit oder gesetzliche Aufbewahrungspflichten erforderlich sind. Projekt- und Exportdaten werden gespeichert, bis sie vom Nutzer gelöscht, archiviert oder durch Vertragsende beziehungsweise ein Löschkonzept entfernt werden. Log- und Debugdaten werden grundsätzlich nur so lange aufbewahrt, wie sie für Sicherheit, Fehleranalyse und Nachweiszwecke erforderlich sind. Gesetzliche Aufbewahrungsfristen bleiben unberührt.

17. Rechte der betroffenen Personen

Betroffene Personen können nach Maßgabe der DSGVO Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch verlangen. Soweit eine Verarbeitung auf Einwilligung beruht, kann diese mit Wirkung für die Zukunft widerrufen werden.

18. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig kann insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen sein.

19. Auftragsverarbeitung durch Kunden

Soweit Kunden DPAX zur Verarbeitung personenbezogener Daten eigener Beschäftigter, Projektbeteiligter, Dienstleister oder sonstiger Personen nutzen, bleiben sie für die Rechtmäßigkeit der Eingabe und Verarbeitung verantwortlich. Soweit DPAX personenbezogene Daten im Auftrag verarbeitet, wird vor produktiver Verarbeitung ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen oder in den Buchungsprozess einbezogen.

20. Technische und organisatorische Maßnahmen

DPAX setzt technische und organisatorische Schutzmaßnahmen ein, insbesondere Zugriffsschutz, rollenbasierte Berechtigungen, Passwortregeln, E-Mail-Verifikation, Input-Validierung, SQL-Injection-Schutz, sichere Fehlerbehandlung, Session-Härtung, HTTPS-Betrieb, Debug-Redaktion und getrennte Konfigurations-/Secret-Verwaltung.

Transparenz zur KI-gestützten Analyse

DPAX nutzt künstliche Intelligenz, um aus Projektbeschreibungen, Intake-Antworten und weiteren vom Nutzer bereitgestellten Projektdaten strukturierte Vorschläge und Analysen zu erzeugen. Dazu können insbesondere Zusammenfassungen, Annahmen, offene Fragen, Risiken, Rollen, Ressourcen, Budgetpositionen, Arbeitspakete, Meilensteine und nächste Schritte gehören.

Für die Erzeugung dieser Inhalte können die für den jeweiligen Analyseauftrag erforderlichen Eingaben an den konfigurierten KI-Dienstleister übermittelt und dort verarbeitet werden. Der konkrete technische Anbieter kann sich im Rahmen der Weiterentwicklung oder einer geänderten Betriebsstrategie ändern. DPAX wählt Dienstleister nach den jeweils geltenden vertraglichen, datenschutzrechtlichen und sicherheitsbezogenen Anforderungen aus. Soweit erforderlich, werden Auftragsverarbeitungsverträge, Standardvertragsklauseln, Angemessenheitsbeschlüsse oder andere geeignete Garantien eingesetzt.

Nutzer dürfen keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, keine hochsensiblen Geheimnisse und keine Daten eingeben, deren Übermittlung an einen KI-Dienstleister unzulässig wäre, sofern dies nicht ausdrücklich vereinbart und technisch freigegeben wurde. Projektinformationen sollen vor der Eingabe auf das notwendige Maß reduziert und, soweit möglich, pseudonymisiert oder anonymisiert werden.

Die KI-Ausgaben dienen ausschließlich als fachliche Arbeits- und Entscheidungsgrundlage. Sie können unvollständig, fehlerhaft, veraltet oder missverständlich sein. Ergebnisse müssen vor ihrer Verwendung durch eine fachlich verantwortliche Person geprüft, bewertet und freigegeben werden. DPAX trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Personen.