Datenschutzerklärung.

Diese Datenschutzerklärung erläutert, wie Confir („Confir“, „wir“, „uns“) personenbezogene Daten erhebt, nutzt und schützt, wenn Sie confir.eu besuchen, uns kontaktieren, ein Konto registrieren oder die Confir-Plattform nutzen (der „Dienst“).

Wir verarbeiten personenbezogene Daten im Einklang mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“), dem Bundesdatenschutzgesetz („BDSG“) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz („TDDDG“).

1. Verantwortlicher

Verantwortlicher für die im Zusammenhang mit confir.eu und dem Dienst verarbeiteten personenbezogenen Daten ist:

Confir
Einzelunternehmen – Inhaber: Daniel Stiegler
Kirchweg 3
92256 Hahnbach, Deutschland
E-Mail: privacy@confir.eu

Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen (§ 38 BDSG). Bitte richten Sie alle Datenschutzanfragen an privacy@confir.eu.

2. Unsere zwei Rollen: Verantwortlicher und Auftragsverarbeiter

2.1 Confir als Verantwortlicher. Für die in dieser Erklärung beschriebenen Verarbeitungen – Betrieb der Website, Bearbeitung von Anfragen, Kontoverwaltung, Abrechnung, Sicherheit und Kommunikation – ist Confir der Verantwortliche. Nutzen Sie den Dienst als autorisierter Nutzer einer Kundenorganisation, werden die im Dienst gespeicherten Konto- und Authentifizierungsdaten (einschließlich der E-Mails zur Bestätigung der Registrierung, zur Passwortzurücksetzung und zur Anmeldung) im Auftrag dieses Kunden nach dem AVV verarbeitet; Confir bleibt Verantwortlicher für die Kundenbeziehung, die Abrechnung und diese Website.

2.2 Confir als Auftragsverarbeiter. Nutzt eine Kundenorganisation den Dienst, werden die von ihr eingegebenen Inhalte (Registrierungen von KI-Systemen, Bewertungen, Kontrollen, Feststellungen, Nachweisdateien und darin enthaltene personenbezogene Daten) im Auftrag und nach Weisung dieses Kunden verarbeitet. Für diese Inhalte ist der Kunde der Verantwortliche und Confir der Auftragsverarbeiter gemäß unserem Auftragsverarbeitungsvertrag (AVV). Wenn Sie den Dienst als Beschäftigte(r) oder Auftragnehmer(in) eines Kunden nutzen, beachten Sie bitte auch die Datenschutzhinweise Ihrer eigenen Organisation.

3. Kategorien personenbezogener Daten, die wir verarbeiten

3.1 Website-Besuch und Server-Logs

• IP-Adresse, Datum und Uhrzeit der Anfrage, aufgerufene Seite, Referrer-URL, Browsertyp und -version, Betriebssystem
• Werden von unserem Hosting-Anbieter automatisch zu Sicherheits- und Fehleranalysezwecken gespeichert (siehe Abschnitt 6)

3.2 Anfragen und Kontaktformular

• Die von Ihnen gewählte Art der Anfrage (Demo, Vertrieb oder Support), Name, geschäftliche E-Mail-Adresse und Unternehmen sowie, sofern Sie diese angeben, Ihre Rolle, die Anzahl Ihrer KI-Systeme und der Inhalt Ihrer Nachricht
• Über das Kontaktformular gesendete Nachrichten werden uns über unseren Anbieter für transaktionale E-Mails, Resend, per E-Mail zugestellt (siehe Abschnitte 6 und 7)

3.3 Konto- und Identitätsdaten

• Vollständiger Name, geschäftliche E-Mail-Adresse, Berufsbezeichnung, Organisation
• Zugangsdaten (Passwort-Hash, MFA-Geheimnisse)
• Profileinstellungen und Spracheinstellungen
• Werden Sie zu einem bestehenden Konto eingeladen, erhalten wir Ihren Namen und Ihre geschäftliche E-Mail-Adresse vom Administrator Ihrer Organisation
• Konto-E-Mails (Registrierungsbestätigungen, E-Mails zur Passwortzurücksetzung, Anmeldelinks, Bestätigungen von E-Mail-Adressänderungen und Bestätigungscodes) werden über Resend zugestellt (siehe Abschnitte 6 und 7)

3.4 Dienstdaten

• Informationen, die Sie oder Ihre Organisation in die Plattform eingeben (Registrierungen von KI-Systemen, Bewertungen, Kontrollen, Feststellungen, Anhänge)
• Audit-Log-Einträge (Aktion, handelnde Person, Zeitstempel, IP, User-Agent)
• Kommentare, Nachweisdateien und alle sonstigen von Ihnen hochgeladenen Inhalte

3.5 Abrechnungsdaten

• Firmenname, USt-IdNr., Rechnungsadresse, Rechnungskontakt
• Zahlungsmetadaten, die von unserem Zahlungsdienstleister verarbeitet werden (vollständige Kartendaten speichern wir nicht – siehe Abschnitt 6)

3.6 Technische und Nutzungsdaten

• IP-Adresse, Browsertyp, Betriebssystem, Gerätekennungen
• Besuchte Seiten, genutzte Funktionen, gestellte Anfragen, Fehlerprotokolle, Performance-Telemetrie
• Auf Ihrem Endgerät gespeicherte Informationen (Cookies und lokaler Speicher) – siehe Abschnitt 11 und unsere Cookie-Richtlinie

3.7 Kommunikation

• Supporttickets und Korrespondenz mit uns
• Marketingpräferenzen und, sofern Sie in Marketing-E-Mails eingewilligt haben, Daten zur Interaktion mit E-Mails (Öffnungen, Klicks)

3.8 Website-Analyse (nur mit Ihrer Einwilligung)

• Auf confir.eu aufgerufene Seiten, die verweisende Website oder Marketingkampagne, über die Sie hierher gekommen sind, ein aus Ihrer IP-Adresse abgeleiteter ungefährer Standort, Geräte- und Browsertyp sowie die Handlungsaufforderungen, denen Sie gefolgt sind – einschließlich der Beschriftung des angeklickten Buttons oder Links
• Dass das Kontaktformular abgesendet wurde und auf welcher Seite. Worum Sie gebeten haben – Demo, Vertrieb oder Support – und alles, was Sie in das Formular eingegeben haben, bleiben vollständig außerhalb der Analyse; sie werden ausschließlich wie in Abschnitt 3.2 beschrieben verarbeitet
• Erhoben durch Google Analytics 4 und erst, nachdem Sie Analytics in unserem Cookie-Banner akzeptiert haben. Google Analytics 4 protokolliert und speichert keine IP-Adressen, und wir betreiben es mit deaktivierten Google Signals und deaktivierter Anzeigenpersonalisierung. In unserer Cookie-Richtlinie finden Sie die gesetzten Cookies und wie Sie ablehnen können

4. Zwecke und Rechtsgrundlagen

Soweit wir uns auf ein berechtigtes Interesse stützen (Art. 6 Abs. 1 lit. f DSGVO), haben wir unsere Interessen an der Sicherheit der Website und des Dienstes, der Erkennung von Missbrauch und der Verbesserung des Produkts abgewogen gegen den begrenzten und vorhersehbaren Charakter der Verarbeitung, die in Abschnitt 10 beschriebenen Schutzmaßnahmen und Ihr jederzeitiges Widerspruchsrecht nach Abschnitt 9. Eine Zusammenfassung dieser Interessenabwägung können Sie unter privacy@confir.eu anfordern.

5. Wie wir personenbezogene Daten nutzen

Wir nutzen personenbezogene Daten, um:

• Ihre Anfragen zu beantworten und gegebenenfalls ein Angebot zu erstellen
• Sie zu authentifizieren und Ihr Konto zu schützen
• den Dienst zu betreiben und die von Ihnen übermittelten Daten zu speichern (KI-Systeme, Bewertungen, Kontrollen, Nachweise)
• Audit-Logs, Konformitätspakete und Compliance-Berichte für Ihre Organisation zu erstellen
• Ihnen korrekte Rechnungen zu stellen und unsere buchhalterischen und steuerlichen Pflichten zu erfüllen
• Missbrauch, Betrug und Sicherheitsvorfälle zu erkennen, zu untersuchen und darauf zu reagieren
• den Dienst zu verbessern und neue Funktionen zu entwickeln
• Ihnen transaktionale E-Mails (Registrierungsbestätigungen, E-Mails zur Passwortzurücksetzung, Anmeldelinks, Rechnungen, Produktmitteilungen) und, nur mit Ihrer Einwilligung, Marketing-E-Mails zu senden

Wir setzen keine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling im Sinne von Art. 22 DSGVO ein.

6. Empfänger personenbezogener Daten

Wir geben personenbezogene Daten an die folgenden Kategorien von Empfängern weiter, jeweils nur soweit erforderlich:

• Dienstleister (Auftragsverarbeiter), die die Website und den Dienst in unserem Auftrag auf Grundlage von Verträgen nach Art. 28 DSGVO hosten und betreiben: Supabase (Datenbank, Authentifizierung und Dateispeicher, gehostet bei Amazon Web Services in Frankfurt, Deutschland), Vercel (Hosting von Website und Anwendung), Stripe (Abonnement-Abrechnung und Zahlungsabwicklung; Stripe erhält Ihre Zahlungsdaten direkt – wir sehen nie vollständige Kartennummern), Cloudflare (Turnstile-Bot-Schutz für die Anmeldeformulare der Anwendung), Google (Website-Analyse auf confir.eu, sofern Sie eingewilligt haben) und Resend (Plus Five Five, Inc.; Zustellung der Konto-E-Mails der Anwendung sowie der Kontaktformular-Nachrichten an unser Postfach). Die vollständige aktuelle Liste ist unter confir.eu/legal/subprocessors veröffentlicht.
• Externe Berater wie Steuerberater, Buchhalter und Rechtsanwälte, die zur Verschwiegenheit verpflichtet sind
• Behörden, soweit gesetzlich vorgeschrieben (gerichtliche Anordnung, Anfrage einer Aufsichts- oder Steuerbehörde)
• Rechtsnachfolger. Wird das Geschäft von Confir in eine Gesellschaft (zum Beispiel eine GmbH oder UG) überführt oder verkauft, können personenbezogene Daten an den Rechtsnachfolger übertragen werden, der an diese Erklärung gebunden ist. Wir informieren Sie über jede solche Übertragung.

Wir verkaufen keine personenbezogenen Daten und geben personenbezogene Daten nicht an dritte Werbetreibende weiter.

7. Internationale Datenübermittlungen

Kundendaten und Kontodaten werden in der Europäischen Union gehostet (Frankfurt, Deutschland – AWS-Region eu-central-1). Einige unserer Dienstleister (Supabase, Vercel, Cloudflare, Google, Resend) haben ihren Sitz in den Vereinigten Staaten oder betreiben globale Netzwerke, auch wenn ihre EU-Rechenzentren genutzt werden, und auf begrenzte Daten (zum Beispiel Verbindungsmetadaten) kann von außerhalb des EWR zugegriffen werden. Über Resend (Plus Five Five, Inc.) versendete E-Mails (Abschnitt 6) werden in den Vereinigten Staaten verarbeitet. Für jede solche Übermittlung stützen wir uns auf:

• einen Angemessenheitsbeschluss der Europäischen Kommission – einschließlich des EU-U.S. Data Privacy Framework, sofern der Anbieter zertifiziert ist – oder
• die EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, erforderlichenfalls mit ergänzenden Maßnahmen.

Eine Kopie der jeweiligen Garantien können Sie unter privacy@confir.eu anfordern.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die oben genannten Zwecke und zur Erfüllung unserer gesetzlichen Pflichten erforderlich ist:

• Server-Logs – bis zu 14 Tage, sofern sie nicht länger zur Untersuchung eines Sicherheitsvorfalls benötigt werden
• Anfragen und Kontaktformular-Nachrichten – bis zu 12 Monate nach unserem letzten Austausch, sofern kein Vertrag zustande kommt
• E-Mail-Zustellungsprotokolle bei unserem E-Mail-Anbieter – 30 Tage
• Kontodaten – für die Dauer des Abonnements und 30 Tage nach Löschung Ihres Kontos
• Dienstdaten und Audit-Logs – für die Dauer des Abonnements und des im AVV festgelegten Exportzeitraums; danach nach Weisung der Kundenorganisation, die für die Erfüllung ihrer eigenen Aufbewahrungspflichten nach dem EU AI Act verantwortlich ist (in der Regel 10 Jahre für Dokumentation nach Anhang IV)
• Rechnungen und Buchhaltungsunterlagen – 8 bis 10 Jahre nach deutschem Steuer- und Handelsrecht (§ 147 AO, § 14b UStG)
• Supporttickets – 2 Jahre nach Abschluss
• Marketingdaten – bis zum Widerruf Ihrer Einwilligung

Werden Daten über diese Fristen hinaus gespeichert, dann nur, weil eine gesetzliche Aufbewahrungspflicht besteht oder weil sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

9. Ihre Rechte nach der DSGVO

Sie haben das Recht auf:

• Auskunft über die personenbezogenen Daten, die wir über Sie gespeichert haben (Art. 15)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16)
• Löschung („Recht auf Vergessenwerden“) (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit – Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format (Art. 20)
• jederzeitigen Widerruf einer Einwilligung, ohne dass die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3)

Um eines dieser Rechte auszuüben, schreiben Sie eine E-Mail an privacy@confir.eu. Wir antworten unverzüglich, spätestens innerhalb eines Monats. Betrifft Ihr Anliegen Kundendaten, die wir als Auftragsverarbeiter verarbeiten (Abschnitt 2.2), leiten wir Ihre Anfrage an die Kundenorganisation weiter, die dafür verantwortlich ist.

Sie haben außerdem das Recht, Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen, insbesondere in dem EU-Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Die für Confir zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland, lda.bayern.de. Eine Liste aller deutschen Aufsichtsbehörden stellt der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit unter bfdi.bund.de bereit.

10. Sicherheit

Wir schützen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen (Art. 32 DSGVO). Details finden Sie in unserem Trust Hub. Zu den wichtigsten Schutzmaßnahmen gehören: Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand (AES-256), Row-Level-Security für jede Datenbanktabelle, ein nur ergänzbares Audit-Protokoll (mit Zeitstempel versehen und gegen Bearbeitung gesperrt), MFA, Zugriff nach dem Least-Privilege-Prinzip und regelmäßige Sicherheitstests.

11. Cookies und auf Ihrem Endgerät gespeicherte Informationen

Die Website und der Dienst speichern Informationen auf Ihrem Endgerät nur, soweit dies unbedingt erforderlich ist, um den von Ihnen gewünschten Dienst bereitzustellen (§ 25 Abs. 2 TDDDG) – zum Beispiel Ihre Anmeldesitzung und Ihre Cookie-Auswahl. Nicht unbedingt erforderliche Speicherung, etwa für Analysezwecke, erfolgt nur mit Ihrer vorherigen Einwilligung (§ 25 Abs. 1 TDDDG), die Sie jederzeit widerrufen können. Welche Einträge gespeichert werden, wie lange und wie Sie sie steuern können, ist in unserer Cookie-Richtlinie beschrieben.

12. Kinder

Der Dienst ist für die Nutzung durch Unternehmen bestimmt. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Wenn Sie glauben, dass uns ein Kind personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte; wir löschen sie dann.

13. Pflicht zur Bereitstellung von Daten

Sie sind gesetzlich nicht verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die bei der Registrierung oder beim Checkout als erforderlich gekennzeichneten Daten können wir jedoch kein Konto anlegen, keinen Vertrag abschließen und den Dienst nicht erbringen.

14. Änderungen dieser Erklärung

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Die aktualisierte Fassung veröffentlichen wir auf dieser Seite mit einem neuen Datum unter „Gültig ab“. Über wesentliche Änderungen informieren wir Kontoinhaber per E-Mail oder über den Dienst, bevor die Änderung wirksam wird.

15. Kontakt

Bei Fragen zum Datenschutz schreiben Sie bitte an privacy@confir.eu oder an unsere Postanschrift (siehe Abschnitt 1).