Datenschutz.

1. Verantwortlicher

Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist:

2. Geltungsbereich und Rollen

Diese Erklärung gilt für die Verarbeitungen, bei denen die Nextaim GmbH Verantwortlicher ist: die Website noirdoc.de, das Kundenportal (portal.noirdoc.de) mit Konto und Abrechnung sowie die Metadaten der Gateway-Nutzung, die wir für Abrechnung und Sicherheit verarbeiten.

Soweit wir Konto- und Nutzungsdaten zugleich im Auftrag des Kunden verarbeiten, etwa für die Audit-Protokolle seiner Organisation, gilt dafür der AVV (Anlage 1).

Inhalte, die Kunden über die API des Gateways senden (Prompts, Dateien, Ausgaben), verarbeiten wir als Auftragsverarbeiter im Auftrag des jeweiligen Kunden. Dafür gilt der Auftragsverarbeitungsvertrag (AVV); die eingesetzten Subunternehmer stehen in Anlage 4 des AVV. Betroffene Personen wenden sich mit Anliegen zu diesen Inhalten an den Kunden, der das Gateway einsetzt.

3. Betrieb, Kundenkonto und Abrechnung

Website, Portal und Gateway betreiben wir auf Servern der T-Systems International GmbH (T Cloud Public) als Auftragsverarbeiter. Bei jedem Aufruf verarbeiten unsere Server technisch notwendige Daten wie Ihre IP-Adresse, um die Dienste auszuliefern und Angriffe sowie Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und funktionsfähige Betrieb. Die Protokolle rotieren nach Dateigröße; ältere Einträge werden dabei überschrieben.

Für das Kundenkonto verarbeiten wir folgende Daten:

• Konto- und Kontaktdaten der Nutzer im Portal (Name, geschäftliche E-Mail-Adresse, Organisation, Rolle, Zustimmung zu den AGB mit Zeitpunkt). Registrierung und Anmeldung laufen über einen Identity-Dienst, den wir selbst betreiben.
• Nutzungs-Metadaten zur Abrechnung, Sicherheit und Missbrauchsprävention: Zeitstempel, Organisations- und Schlüssel-Kennung, angefragtes Modell, Token-Verbrauch; bei aktiviertem Masking zusätzlich Anzahl und Typ erkannter Felder.
• E-Mails (Einladungen, Kontobenachrichtigungen, Hinweise zum Guthaben) versenden wir über den Transaktions-E-Mail-Dienst der Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, Frankreich, als Auftragsverarbeiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für Sicherheit und Missbrauchsprävention Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an einem sicheren Betrieb. Wir speichern diese Daten für die Dauer des Vertragsverhältnisses und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten bestehen (Art. 6 Abs. 1 lit. c DSGVO). Ohne Name, E-Mail-Adresse und Organisation können wir kein Konto einrichten.

Bei der Selbstregistrierung prüfen wir zur Missbrauchsabwehr, ob Ihre Anfrage aus der EU oder einem EFTA-Staat (Schweiz, Norwegen, Island, Liechtenstein) kommt; andere Registrierungen lehnen wir mit einem Hinweis ab. Dazu gleichen wir Ihre IP-Adresse mit einer auf unserem eigenen Server gespeicherten Datenbank ab (IP-Geolokalisierung von DB-IP, Datenbank DB-IP City Lite, Lizenz CC BY 4.0); eine Übermittlung an Dritte findet dabei nicht statt. Das ermittelte Land und die Stadt speichern wir mit dem Registrierungs- und Anmeldeereignis im Protokoll des Identity-Dienstes. Außerdem begrenzen wir die Zahl der Registrierungen je IP-Adresse und setzen statt eines externen Captcha-Dienstes eine selbst betriebene Rechenaufgabe (Proof-of-Work) ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsabwehr).

Zahlungsabwicklung (Mollie)

Laden Sie im Portal Guthaben auf, wickelt die Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande, die Zahlung ab. Dafür übermitteln wir Mollie Ihre Rechnungsangaben (Firmenname, Anschrift, Rechnungs-E-Mail, ggf. USt-IdNr.), den Betrag und eine interne Kennung Ihrer Organisation. Ihre Karten- oder Kontodaten geben Sie direkt bei Mollie ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Mollie verarbeitet die Zahlungsdaten als eigenständiger Verantwortlicher, unter anderem zur Erfüllung seiner Pflichten als Zahlungsinstitut. Einzelheiten stehen in der Datenschutzerklärung von Mollie. Die Rechnung zur Aufladung erstellt Mollie in unserem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO). Die Rechnungen bewahren wir nach den handels- und steuerrechtlichen Aufbewahrungsfristen auf (Art. 6 Abs. 1 lit. c DSGVO).

E-Mails an Kunden (Brevo)

Rundmails an unsere Kunden, etwa zu Vertragsänderungen, Neuerungen und Angeboten, versenden wir über die E-Mail-Plattform der Sendinblue SAS (Brevo), 9-17 rue Salneuve, 75017 Paris, Frankreich, als Auftragsverarbeiter. Dafür verarbeiten wir Name, geschäftliche E-Mail-Adresse und Organisation sowie den Versandstatus der E-Mail für die Dauer des Vertragsverhältnisses.

Mitteilungen zum Vertrag, etwa zu Änderungen der AGB, des AVV oder unserer Leistungen, versenden wir auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Über Neuerungen und Angebote zu Noirdoc informieren wir unsere Kunden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Werbung für unsere eigenen Leistungen (§ 7 Abs. 3 UWG). Dem können Sie jederzeit widersprechen, etwa über den Abmeldelink in jeder dieser E-Mails.

4. Datenverarbeitung auf der Website

Consent-Management (Usercentrics)

Ihre Einwilligungsentscheidung speichern wir mit der Consent-Management-Plattform der Usercentrics GmbH, Sendlinger Str. 7, 80331 München, damit wir sie nachweisen können (Art. 7 Abs. 1 DSGVO). Dabei werden Ihre Entscheidung, deren Zeitpunkt, Geräte- und Browserinformationen sowie eine Kennung verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG für die Speicherung der Entscheidung auf Ihrem Endgerät. Die Entscheidung bleibt auf Ihrem Endgerät gespeichert, bis Sie sie ändern oder Ihre Browserdaten löschen; den Nachweis bewahren wir auf, solange wir die Einwilligung nachweisen müssen. Ihre Entscheidung gilt für noirdoc.de und das Kundenportal (portal.noirdoc.de) gemeinsam.

Google Ads

Nur wenn Sie im Consent-Banner einwilligen, setzen wir Google Ads mit dem Google-Tag (gtag.js) für Conversion-Messung und Remarketing der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, ein. Dabei erfassen wir gebuchte Demo-Termine sowie Klicks auf E-Mail-Links und auf die Registrierung im Portal. Im Portal erfassen wir nur die abgeschlossene Registrierung. Dabei können Daten wie IP-Adresse, Geräte- und Browserinformationen und besuchte Seiten an die Google LLC in den USA übermittelt werden; Grundlage ist das EU-US Data Privacy Framework. Die Speicherdauer der einzelnen Cookies zeigen die Cookie-Einstellungen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen. Registrieren Sie sich nach einem Anzeigenklick, speichern wir die Kampagnendaten mit dem Konto Ihrer Organisation, bis es gelöscht wird, auf Grundlage unseres berechtigten Interesses an der Erfolgsmessung unserer Werbung (Art. 6 Abs. 1 lit. f DSGVO).

Demo-Terminbuchung (Google Kalender / Google Meet)

Buchen Sie über noirdoc.de/demo einen Termin, verarbeiten wir Name, E-Mail-Adresse und den gewählten Termin, optional auch Firma und Nachricht, um das Gespräch zu vereinbaren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; ohne Name, E-Mail-Adresse und Termin können wir keinen Termin vereinbaren. Zum Schutz vor Missbrauch begrenzen wir die Buchungen je E-Mail-Adresse (Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist der Schutz des Buchungssystems). Den Termin legen wir in unserem Google-Workspace-Kalender an und versenden darüber die Einladung mit Google-Meet-Link. Die Google Ireland Limited ist dafür unser Auftragsverarbeiter; eine Übermittlung in die USA ist auf Grundlage des EU-US Data Privacy Framework möglich. Wir löschen die Angaben, sobald wir sie für das Gespräch und seine Nachbereitung nicht mehr benötigen.

5. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft über Ihre bei uns gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Zur Ausübung Ihrer Rechte schreiben Sie an hello@noirdoc.de. Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, etwa beim Bayerischen Landesamt für Datenschutzaufsicht (BayLDA), www.lda.bayern.de.