Datenschutzerklärung und datenschutzbezogene AGB von be nice & nice e.V.

Wir freuen uns sehr über Ihr Interesse an unserer Beratung be nice. Datenschutz hat einen besonders hohen Stellenwert für uns, weil wir mit allen Kunden und Partnern ein echtes Vertrauensverhältnis aufbauen und pflegen und außerdem als vertrauensvolle Informations- und Meinungsquelle wahrgenommen werden möchten.

Eine Nutzung der Internetseiten von be nice ist grundsätzlich ohne jede Angabe personenbezogener Daten möglich.

Diese Datenschutzerklärung klärt Sie über die Art, den Umfang und Zweck der Verarbeitung von personenbezogenen Daten innerhalb unserer Webseiten, deren Funktionen und Inhalte sowie externen Onlinepräsenzen wie z. B. unsere Social-Media-Profile (nachfolgend gemeinsam bezeichnet als „Onlineangebot“) auf.

be nice hat als für die Verarbeitung Verantwortliche zahlreiche technische und organisatorische Maßnahmen umgesetzt, um einen möglichst lückenlosen Schutz der über diese Internetseite verarbeiteten personenbezogenen Daten sicherzustellen. Dennoch können internetbasierte Datenübertragungen grundsätzlich Sicherheitslücken aufweisen, sodass ein absoluter Schutz nicht gewährleistet werden kann.

Geltungsbereich und Überblick

Diese Datenschutzerklärung gilt für unsere Website und für die gesamte Kommunikation und Zusammenarbeit mit be nice. Sie umfasst E-Mails, Telefonate und Nachrichten, Terminvereinbarungen und Kalendereinträge, Online-Meetings einschließlich Aufzeichnung und Transkription, die Durchführung von Beratungsmandaten sowie den Einsatz von KI-Werkzeugen bei unserer Arbeit.

Wir möchten Ihnen transparent machen, welche Dienste wir dafür nutzen, welche Daten dabei verarbeitet werden und wo Sie die Einzelheiten finden:

• E-Mail und Kalender: Wir nutzen Google Workspace. Verarbeitet werden E-Mail-Inhalte, Kalendereinträge und Kontaktdaten der Kommunikationspartner (Abschnitt XV).
• Terminvereinbarung: Termine für Telefon- oder Videogespräche buchen Sie über Calendly. Die Daten der Eingeladenen löschen wir nach sieben Tagen automatisch (Abschnitt XVI).
• Online-Meetings: Wir führen Gespräche über Zoom und Google Meet. Aufzeichnungen erfolgen nur mit Ihrer Einwilligung (Abschnitte XVII und XV).
• Transkription und Zusammenfassung von Gesprächen: Dafür nutzen wir Granola. Wir informieren Sie vor dem Gespräch und holen Ihre Einwilligung ein. Transkripte löschen wir spätestens nach 30 Tagen (Abschnitt XVIII).
• Beratungsmandate und Kundenakten: Projekte, Notizen und Auswertungen führen wir in ACOS (Abschnitt XIX).
• KI-Nutzung bei der Arbeit: KI-Sprachmodelle nutzen wir über Anymize und innerhalb von ACOS (Abschnitte XX und XIX).
• Web-Anwendungen, Formulare und Entwicklung: Neon, Vercel und GitHub (Abschnitte XXI bis XXIII).
• Website: Cookies, Cookiebot, YouTube und unsere Auftritte in sozialen Medien (Abschnitte IX bis XIV).

Wie wir KI bei der Arbeit nutzen

Wir nutzen KI-Sprachmodelle verschiedener Anbieter, darunter Anthropic, OpenAI, Google und Mistral AI, für Recherchen, Analysen, Texte, Protokolle, Zusammenfassungen und die Strukturierung von Unterlagen. Damit Sie wissen, was dabei mit Ihren Daten geschieht:

• Pseudonymisierung: Personenbezogene Daten pseudonymisieren wir über Anymize, bevor wir Inhalte an ein Sprachmodell übergeben. Jedes pseudonymisierte Dokument prüfen wir selbst, bevor es an ein Sprachmodell geht (Abschnitt XX).
• Besondere Kategorien: Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, geben wir nur nach ausdrücklicher schriftlicher Freigabe im Einzelfall in KI-Systeme ein.
• Modelltraining: Eingegebene Daten dienen nach den Angaben der Anbieter und unseren Einstellungen nicht dem Training von KI-Modellen.
• Verantwortung für Ergebnisse: Ergebnisse von KI-Werkzeugen prüfen und verantworten wir selbst. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung für Sie im Sinne des Art. 22 DSGVO findet nicht statt.
• Speicherdauer: Daten aus Beratungsmandaten und die zugehörigen Zuordnungsschlüssel bei Anymize löschen wir spätestens 30 Tage nach Ende des Mandats.
• Ihre Fragen: Zu jeder dieser Verarbeitungen können Sie Auskunft verlangen und Ihre Rechte nach Abschnitt VII ausüben. Schreiben Sie uns dazu an letstalk@nice-network.de.

Teil A · Grundlagen

I. Begriffsbestimmungen

Die Datenschutzerklärung von be nice beruht auf den Begrifflichkeiten, die beim Erlass der Datenschutz-Grundverordnung (DSGVO) verwendet wurden. Zur besseren Lesbarkeit erläutern wir die wesentlichen Begriffe vorab:

• „Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Soweit im Folgenden von „Daten“ die Rede ist, sind damit stets personenbezogene Daten gemeint.
• „Cookies“ sind Textdateien, welche über einen Internetbrowser auf dem Computersystem der Nutzer abgelegt und gespeichert werden. Zahlreiche Internetseiten verwenden Cookies mit einer eindeutigen Cookie-ID, über die ein bestimmter Browser wiedererkannt werden kann.
• „Verarbeitung“ ist jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten. Der Begriff umfasst praktisch jeden Umgang mit Daten.
• „Einschränkung der Verarbeitung“ ist die Markierung gespeicherter personenbezogener Daten mit dem Ziel, ihre künftige Verarbeitung einzuschränken.
• „Pseudonymisierung“ ist die Verarbeitung personenbezogener Daten in einer Weise, bei der die Daten ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können.
• „Verantwortlicher“ wird die natürliche oder juristische Person genannt, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
• „Auftragsverarbeiter“ ist eine natürliche oder juristische Person, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• „Dritter“ ist eine natürliche oder juristische Person außer der betroffenen Person, dem Verantwortlichen, dem Auftragsverarbeiter und den Personen, die unter der unmittelbaren Verantwortung des Verantwortlichen befugt sind, die Daten zu verarbeiten.
• „Einwilligung“ ist jede freiwillig für den bestimmten Fall in informierter Weise und unmissverständlich abgegebene Willensbekundung, mit der die betroffene Person zu verstehen gibt, dass sie mit der Verarbeitung der sie betreffenden personenbezogenen Daten einverstanden ist.
• „Nutzer“ werden die Besucher und Nutzer unseres Onlineangebotes genannt.
• „DSGVO“ bezeichnet die Datenschutz-Grundverordnung (EU) 2016/679.

II. Verantwortlicher

Clemens Gutmann

be nice Managementberatung

E-Mail: letstalk@nice-network.de

Web: www.nice-network.de

III. Arten der verarbeiteten Daten

Automatisch erfasste Daten

Bei jedem Aufruf unserer Internetseite erfasst unser System automatisiert folgende Daten:

• Informationen über den Browsertyp und die verwendete Version
• Das Betriebssystem des Nutzers
• Den Internet-Service-Provider des Nutzers
• Die IP-Adresse des Nutzers
• Datum und Uhrzeit des Zugriffs
• Websites, von denen das System des Nutzers auf unsere Internetseite gelangt
• Websites, die vom System des Nutzers über unsere Website aufgerufen werden

Diese Informationen werden benötigt, um die Inhalte korrekt auszuliefern, die Website zu optimieren, die Funktionsfähigkeit der Systeme zu gewährleisten und Strafverfolgungsbehörden im Falle eines Cyberangriffes die notwendigen Informationen bereitzustellen. Die anonymen Daten der Server-Logfiles werden getrennt von allen durch eine betroffene Person angegebenen personenbezogenen Daten gespeichert.

Bestandsdaten bei vorvertraglichen und vertraglichen Beziehungen

Sofern es zu vorvertraglichen Beziehungen oder einem Vertrag kommt, erfassen und verarbeiten wir folgende Bestandsdaten:

• Name (Firmennamen, Vor- und Zunamen von Kontaktpersonen)
• Anschrift
• Telefonnummer
• E-Mail-Adressen
• Ggf. Geburtsdatum und weitere Lebenslaufdaten, sofern uns diese übermittelt werden oder frei verfügbar aufzufinden sind

Kommunikations- und Termindaten

Bei E-Mail-Kontakt, Terminvereinbarungen, Online-Meetings und Beratungsmandaten verarbeiten wir zusätzlich:

• Inhalte von E-Mails und Nachrichten
• Termindaten und Kalendereinträge (Datum, Uhrzeit, Teilnehmende, Gesprächsthema)
• Teilnehmer-, Verbindungs- und Inhaltsdaten von Online-Meetings
• Transkripte und Zusammenfassungen von Gesprächen, soweit Sie eingewilligt haben
• Unterlagen und Informationen, die Sie uns im Rahmen eines Beratungsmandats zur Verfügung stellen

IV. Rechtsgrundlage für die Verarbeitung personenbezogener Daten

• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, soweit wir für Verarbeitungsvorgänge die Einwilligung der betroffenen Person einholen.
• Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO bei der Verarbeitung von Daten, die zur Erfüllung eines Vertrages oder zur Durchführung vorvertraglicher Maßnahmen erforderlich sind.
• Rechtliche Verpflichtung: Art. 6 Abs. 1 lit. c DSGVO, soweit eine Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist.
• Lebenswichtige Interessen: Art. 6 Abs. 1 lit. d DSGVO, soweit lebenswichtige Interessen der betroffenen Person eine Verarbeitung erforderlich machen.
• Berechtigtes Interesse: Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Wahrung unserer berechtigten Interessen oder eines Dritten erforderlich ist und die Interessen der betroffenen Person nicht überwiegen.

V. Zweck der Datenverarbeitung

Soweit es nur um die Nutzung unserer Webseite geht, verarbeiten wir personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten unserer Nutzer erfolgt regelmäßig nur nach Einwilligung des Nutzers. Eine Ausnahme gilt in solchen Fällen, in denen eine vorherige Einholung einer Einwilligung aus tatsächlichen Gründen nicht möglich ist und die Verarbeitung der Daten durch gesetzliche Vorschriften gestattet ist.

Soweit es um die Erbringung vertraglicher Leistungen geht, verarbeiten wir Bestandsdaten und Vertragsdaten zwecks Erfüllung unserer vertraglichen Verpflichtungen und Serviceleistungen gem. Art. 6 Abs. 1 lit. b DSGVO.

VI. Sicherheit, Auftragsverarbeitung und Übermittlung in andere Länder

Sicherheitsmaßnahmen

Wir treffen nach Maßgabe des Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Zu den Maßnahmen gehören insbesondere die verschlüsselte Übertragung von Daten sowie der Datenschutz durch Technikgestaltung gemäß Art. 25 DSGVO.

Zusammenarbeit mit Auftragsverarbeitern und Dritten

Sofern wir Daten gegenüber anderen Personen und Unternehmen offenbaren oder ihnen sonst Zugriff auf die Daten gewähren, erfolgt dies nur auf Grundlage einer gesetzlichen Erlaubnis, Ihrer Einwilligung, einer rechtlichen Verpflichtung oder auf Grundlage unserer berechtigten Interessen. Sofern wir Dritte mit der Verarbeitung von Daten auf Grundlage eines Auftragsverarbeitungsvertrages (AVV) beauftragen, geschieht dies auf Grundlage des Art. 28 DSGVO.

Für das Hosting nutzen wir als Auftragsverarbeiter: United Domains AG, Gautinger Straße 10, 82319 Starnberg.

Übermittlungen in Drittländer

Sofern wir Daten in einem Drittland (d. h. außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums) verarbeiten oder dies im Rahmen der Inanspruchnahme von Diensten Dritter geschieht, erfolgt dies nur beim Vorliegen der besonderen Voraussetzungen der Art. 44 ff. DSGVO.

Seit dem 10.07.2023 gilt für alle Unternehmen, die dem Angemessenheitsbeschluss (Art. 45 DSGVO) unterfallen, dass personenbezogene Daten an selbstzertifizierte US-Unternehmen ohne Weiteres übermittelt werden können. Das EU-US Data Privacy Framework (EU-US-DPF) ersetzt für diese Unternehmen die bisher angewandten Standardvertragsklauseln (SCC). Alle von uns eingesetzten US-Anbieter, die dem EU-US-DPF unterliegen, sind entsprechend zertifiziert. Soweit ergänzend Standardvertragsklauseln vorgesehen sind, ist dies bei den jeweiligen Diensten angegeben.

Teil B · Ihre Rechte

VII. Rechte der betroffenen Personen

Werden personenbezogene Daten von Ihnen verarbeitet, sind Sie Betroffener im Sinne der DSGVO und es stehen Ihnen folgende Rechte gegenüber dem Verantwortlichen zu:

Auskunftsrecht

Sie können von dem Verantwortlichen eine Bestätigung darüber verlangen, ob personenbezogene Daten, die Sie betreffen, von uns verarbeitet werden. Liegt eine solche Verarbeitung vor, können Sie Auskunft u. a. über folgende Informationen verlangen:

• Zwecke der Verarbeitung, Kategorien verarbeiteter Daten, Empfänger und geplante Speicherdauer
• Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung oder Widerspruch
• Bestehen eines Beschwerderechts bei einer Aufsichtsbehörde
• Herkunft der Daten, soweit diese nicht bei der betroffenen Person erhoben wurden
• Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO

Recht auf Berichtigung

Sie haben ein Recht auf Berichtigung und/oder Vervollständigung, sofern die verarbeiteten personenbezogenen Daten unrichtig oder unvollständig sind.

Recht auf Einschränkung der Verarbeitung

Sie können die Einschränkung der Verarbeitung verlangen, wenn eine der folgenden Voraussetzungen vorliegt:

• Sie bestreiten die Richtigkeit der personenbezogenen Daten für eine Prüfungsdauer
• Die Verarbeitung ist unrechtmäßig und Sie lehnen die Löschung ab und verlangen stattdessen die Einschränkung der Nutzung
• Der Verantwortliche benötigt die Daten nicht mehr, Sie jedoch zur Geltendmachung von Rechtsansprüchen
• Sie haben Widerspruch eingelegt und es steht noch nicht fest, ob die Gründe des Verantwortlichen überwiegen

Recht auf Löschung

Sie können von dem Verantwortlichen verlangen, dass die Sie betreffenden personenbezogenen Daten unverzüglich gelöscht werden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen und sofern einer der folgenden Gründe zutrifft:

• Die Daten sind für die Zwecke, für die sie erhoben wurden, nicht mehr notwendig
• Sie widerrufen Ihre Einwilligung und es fehlt an einer anderweitigen Rechtsgrundlage
• Sie legen Widerspruch gegen die Verarbeitung ein und es liegen keine vorrangigen berechtigten Gründe vor
• Die personenbezogenen Daten wurden unrechtmäßig verarbeitet
• Die Löschung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich

Recht auf Datenübertragbarkeit

Sie haben das Recht, die Sie betreffenden personenbezogenen Daten, die Sie dem Verantwortlichen bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.

Widerspruchsrecht

Sie haben das Recht, jederzeit gegen die Verarbeitung der Sie betreffenden personenbezogenen Daten, die aufgrund von Art. 6 Abs. 1 lit. e oder f DSGVO erfolgt, Widerspruch einzulegen. Werden die Daten zum Zweck der Direktwerbung verarbeitet, haben Sie das Recht, jederzeit Widerspruch einzulegen.

Recht auf Widerruf der Einwilligungserklärung

Sie haben das Recht, Ihre datenschutzrechtliche Einwilligungserklärung jederzeit zu widerrufen. Die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Recht auf Beschwerde bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Königstraße 10a, 70173 Stuttgart, Telefon: 0711 / 615541-0, E-Mail: poststelle@lfdi.bwl.de

VIII. Löschung von Daten

Die von uns verarbeiteten Daten werden nach Maßgabe der Art. 17 und 18 DSGVO gelöscht oder in ihrer Verarbeitung eingeschränkt. Sofern nicht im Rahmen dieser Datenschutzerklärung ausdrücklich anderes angegeben ist, werden die bei uns gespeicherten Daten gelöscht, sobald sie für ihre Zweckbestimmung nicht mehr erforderlich sind und der Löschung keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Gesetzliche Aufbewahrungsfristen:

• 6 Jahre gemäß § 257 Abs. 1 HGB (Handelsbücher, Inventare, Jahresabschlüsse, Handelsbriefe, Buchungsbelege etc.)
• 10 Jahre gemäß § 147 Abs. 1 AO (Bücher, Aufzeichnungen, Buchungsbelege, Handels- und Geschäftsbriefe, steuerrelevante Unterlagen etc.)

Logfile-Informationen werden aus Sicherheitsgründen für die Dauer von maximal sieben Tagen gespeichert und danach gelöscht. E-Mail-Anfragen und Kontaktaufnahmen über unsere Webseite löschen wir innerhalb eines angemessenen Zeitraums, innerhalb dessen nicht mehr mit einem Vertragsschluss zu rechnen ist.

Teil C · Website und Marketing

IX. Kontaktaufnahme

Bei der Kontaktaufnahme mit uns (per Kontaktformular oder E-Mail) werden die Angaben des Nutzers zur Bearbeitung der Kontaktanfrage und deren Abwicklung gem. Art. 6 Abs. 1 lit. b DSGVO verarbeitet. Folgende Daten werden erfasst:

• Vor- und Nachname
• E-Mail-Adresse
• Inhalt der Nachricht

X. Cookies

Als „Cookies“ werden kleine Dateien bezeichnet, die auf Rechnern der Nutzer gespeichert werden. Wir unterscheiden folgende Cookie-Arten:

• Temporäre Cookies (Session-Cookies): Werden gelöscht, nachdem ein Nutzer ein Onlineangebot verlässt und seinen Browser schließt.
• Permanente Cookies: Bleiben auch nach dem Schließen des Browsers gespeichert, z. B. für den Login-Status oder Interessenprofile.
• Third-Party-Cookies: Werden von anderen Anbietern als dem Betreiber der Website gesetzt.

Wir können temporäre und permanente Cookies einsetzen. Soweit wir dies tun, erfolgt es zur Wahrnehmung unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO) oder auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung wird über unser Consent-Management-Tool Cookiebot eingeholt (siehe Abschnitt XI).

Nutzer können die Speicherung von Cookies durch eine entsprechende Einstellung in den Systemeinstellungen ihres Browsers verhindern oder bereits gespeicherte Cookies löschen. Ein genereller Widerspruch gegen den Einsatz von Marketing-Cookies kann über http://www.aboutads.info/choices/ oder http://www.youronlinechoices.com/ erklärt werden.

XI. Cookiebot (Consent Management)

Wir setzen auf unserer Website das Consent-Management-Tool Cookiebot ein. Anbieter ist die Cybot A/S, Havnegade 39, 1058 Kopenhagen, Dänemark (nachfolgend „Cookiebot“).

Zweck und Funktionsweise

Cookiebot ermöglicht uns, die gesetzlich vorgeschriebene Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 TDDDG für den Einsatz von Cookies und ähnlichen Technologien einzuholen, zu dokumentieren und zu verwalten. Beim ersten Besuch unserer Website wird ein Consent-Banner eingeblendet, über das Sie Ihre Einwilligungen für die einzelnen Cookie-Kategorien erteilen, ablehnen oder individuell anpassen können. Ihre Einstellungen können Sie jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite aufrufen und ändern.

Verarbeitete Daten

Im Rahmen der Consent-Dokumentation verarbeitet Cookiebot folgende Daten:

• Ihre Einwilligungs-Entscheidungen (welche Cookie-Kategorien akzeptiert oder abgelehnt wurden)
• Datum und Uhrzeit des Besuchs und der Einwilligung
• Browser- und Geräteinformationen
• Anonymisierte IP-Adresse (die letzten Ziffern werden vor der Speicherung entfernt)
• URL der Seite, auf der die Einwilligung erteilt wurde

Rechtsgrundlage und berechtigtes Interesse

Die Verarbeitung der genannten Daten dient der Erfüllung unserer rechtlichen Verpflichtung zur Einholung und zum Nachweis von Einwilligungen gemäß Art. 6 Abs. 1 lit. c DSGVO i. V. m. Art. 7 Abs. 1 DSGVO sowie § 25 TDDDG. Die Speicherung der Einwilligungsnachweise liegt zudem in unserem berechtigten Interesse an der Dokumentation rechtskonformer Verarbeitungsprozesse (Art. 6 Abs. 1 lit. f DSGVO).

Auftragsverarbeitung und Drittlandtransfer

Mit Cybot A/S besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Da Cybot A/S seinen Sitz in Dänemark und damit innerhalb der Europäischen Union hat, liegt kein Drittlandtransfer im Sinne der Art. 44 ff. DSGVO vor.

Speicherdauer

Die Einwilligungsnachweise werden für die Dauer von 12 Monaten gespeichert. Nach Ablauf dieser Frist wird erneut eine Einwilligungsentscheidung eingeholt.

Widerspruch und Widerruf

Sie können Ihre Cookie-Einstellungen jederzeit über den Link „Cookie-Einstellungen“ am Ende jeder Seite anpassen oder widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitungen bleibt davon unberührt. Weitere Informationen finden Sie in der Datenschutzerklärung von Cybot A/S unter: https://www.cookiebot.com/de/privacy-policy/

XII. Google Tag Manager

Wir nutzen den Google Tag Manager der Google LLC zur Verwaltung von Website-Tags. Nach Angaben von Google setzt der Tag Manager selbst keine Cookies und erfasst keine personenbezogenen Daten. Er steuert lediglich, welche Tags in Abhängigkeit von Ihrer Einwilligung geladen werden. Für Datenübermittlungen in die USA gilt das EU-US Data Privacy Framework.

XIII. YouTube

Unsere Webseite verwendet für die Einbindung von Videos den Anbieter YouTube LLC, 901 Cherry Avenue, San Bruno, CA 94066, USA, vertreten durch Google Inc. Wir haben unsere YouTube-Videos mit dem erweiterten Datenschutzmodus eingebunden, sodass YouTube keine Informationen über die Besucher speichert, es sei denn, sie sehen sich das Video an.

Wenn Sie ein Video anklicken, wird Ihre IP-Adresse an YouTube übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Für Datenübermittlungen in die USA gilt das EU-US Data Privacy Framework. Weitere Informationen: https://www.google.com/policies/privacy/

XIV. Onlinepräsenzen in sozialen Medien

Wir unterhalten Onlinepräsenzen innerhalb sozialer Netzwerke und Plattformen, um mit den dort aktiven Kunden, Interessenten und Nutzern kommunizieren und sie über unsere Leistungen informieren zu können. Beim Aufruf der jeweiligen Netzwerke und Plattformen gelten die Geschäftsbedingungen und die Datenverarbeitungsrichtlinien deren jeweiligen Betreiber.

Soweit nicht anders angegeben, verarbeiten wir die Daten der Nutzer, sofern diese mit uns innerhalb der sozialen Netzwerke und Plattformen kommunizieren, z. B. Beiträge auf unseren Onlinepräsenzen verfassen oder uns Nachrichten zusenden.

Teil D · Kommunikation und Termine

XV. Google Workspace

Wir nutzen für die E-Mail-Kommunikation, die Verwaltung unserer Kalender und für Videokonferenzen über Google Meet Google Workspace der Google LLC. Wir haben mit Google einen Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO abgeschlossen. Verarbeitet werden insbesondere:

• Inhalte der E-Mail-Kommunikation mit Interessenten und Kunden
• Kalendereinträge und Terminvereinbarungen
• Kontaktdaten der Kommunikationspartner
• Teilnehmer-, Verbindungs- und Inhaltsdaten bei Videokonferenzen über Google Meet

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Für Datenübermittlungen in die USA gilt das EU-US Data Privacy Framework.

XVI. Calendly

Wir nutzen Calendly der Calendly LLC, USA, für die Online-Terminbuchung. Interessenten können über einen Link einen Termin für ein Telefon- oder Videokonferenzgespräch mit uns vereinbaren. Im Rahmen der Terminbuchung werden folgende Daten verarbeitet:

• E-Mail-Adresse (für die automatische Übernahme des Termins in beide Kalender, Pflichtangabe)
• Ggf. Telefonnummer und Gesprächswünsche (freiwillige Angabe)

Löschung: Die Daten der Eingeladenen werden 7 Tage nach dem Datum der Anfrage automatisch durch Calendly gelöscht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Mit Calendly besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Nach Angaben von Calendly ist das Data Processing Addendum in die Nutzungsbedingungen integriert und wird durch die Nutzung des Dienstes wirksam (https://calendly.com/de/help/your-privacy-and-security). Da be nice für E-Mail-Kommunikation und Kalender Google Workspace nutzt, werden diese Daten automatisch auch an Google übermittelt (siehe Abschnitt XV). Für Datenübermittlungen in die USA gilt das EU-US Data Privacy Framework. Calendly ist entsprechend zertifiziert. Ergänzend sind Standardvertragsklauseln als Absicherung vorgesehen.

XVII. Zoom

Für Videokonferenzen mit Kunden und Interessenten nutzen wir Zoom der Zoom Video Communications, Inc., 55 Almaden Boulevard, San Jose, CA 95113, USA. Verarbeitet werden Teilnehmerdaten (Name, E-Mail-Adresse, IP-Adresse, Geräte- und Verbindungsdaten) sowie die Inhalte der Konferenz (Video, Audio, Chat und Bildschirmfreigabe), soweit sie im Rahmen des Meetings übertragen werden.

Aufzeichnungen und Transkripte erstellen wir nur, wenn wir die Teilnehmenden vorab informiert haben und sie eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO). Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

Die Auftragsverarbeitung regelt Zoom im Rahmen seiner Nutzungsbedingungen, die mit Nutzung des Dienstes wirksam werden. Für Datenübermittlungen in die USA gilt das EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln. Weitere Informationen: https://explore.zoom.us/de/privacy/

XVIII. Granola (Meeting-Transkription)

Zur Transkription und Zusammenfassung von Video- und Telefongesprächen nutzen wir Granola der Granola, Inc., 1151 Walker Road, Suite 417, Dover, Delaware 19904, USA. Granola nimmt das Audio direkt am Gerät von be nice auf. Im Meeting erscheint dafür kein zusätzlicher Teilnehmer. Deshalb informieren wir alle Teilnehmenden vor Beginn des Gesprächs über die Transkription und holen ihre Einwilligung ein (Art. 6 Abs. 1 lit. a DSGVO). Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

Funktionsweise und Verarbeitung

Das Audio wird verschlüsselt an Transkriptionsdienstleister übermittelt. Das Transkript und die Notizen werden anschließend an KI-Anbieter übergeben, die daraus eine Zusammenfassung erzeugen. Transkripte und Notizen werden bei Amazon Web Services (AWS) in den USA gespeichert. Meeting-Audio speichert Granola nach eigenen Angaben nicht dauerhaft.

Unterauftragsverarbeiter

Granola setzt Unterauftragsverarbeiter ein, darunter Deepgram und AssemblyAI (Transkription) sowie OpenAI und Anthropic (Zusammenfassung). Die aktuelle Liste finden Sie unter https://trust.granola.ai/subprocessors. Nach Angaben von Granola dürfen OpenAI und Anthropic die Daten nicht zum Training ihrer Modelle verwenden. Die Nutzung der Daten für eigene Modellverbesserungen von Granola haben wir deaktiviert.

Auftragsverarbeitung und Drittlandtransfer

Mit Granola besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (Data Processing Addendum). Die Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln.

Speicherdauer

Transkripte und Zusammenfassungen löschen wir nach Erstellung des Protokolls, spätestens nach 30 Tagen.

Teil E · Beratungs- und Entwicklungsinfrastruktur

XIX. ACOS (Alchimedus Consulting OS)

Für die Organisation unserer Beratungsprojekte, die Führung von Kundenakten sowie für Analysen und Auswertungen nutzen wir die Software ACOS (Alchimedus Consulting OS) der Alchimedus Management GmbH, Schlegelstr. 7, 90491 Nürnberg. Verarbeitet werden dabei insbesondere Personenstammdaten, Kommunikationsdaten, Vertragsstammdaten, Protokolldaten sowie Vertragsabrechnungs- und Zahlungsdaten unserer Kunden, Interessenten, Mitarbeiter und Lieferanten.

Mit der Alchimedus Management GmbH besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Einsatz von Künstlicher Intelligenz (Anthropic / Claude)

Im Rahmen einzelner ACOS-Funktionen, insbesondere für automatisierte Auswertungen und Analysen (sogenannte Pulse-Reports), setzt die Alchimedus Management GmbH als unser Auftragsverarbeiter ihrerseits die Anthropic PBC, 500 Howard Street, San Francisco, CA 94105, USA, als Unterauftragsverarbeiterin ein und nutzt hierfür das Sprachmodell Claude über die Anthropic API. Wir selbst nutzen Claude für kundenbezogene Auswertungen über zwei Wege: innerhalb von ACOS und über die Plattform Anymize (siehe Abschnitt XX). Eine direkte Nutzung von Claude außerhalb dieser beiden Auftragsverarbeitungsverhältnisse findet für Kundendaten nicht statt.

Nach den Angaben von Anthropic werden über die kommerzielle API übermittelte Daten nicht zum Training der Modelle verwendet und automatisiert innerhalb von 30 Tagen nach Erhalt beziehungsweise Erzeugung gelöscht, sofern keine gesetzliche Aufbewahrungspflicht oder ein begründeter Missbrauchsverdacht entgegensteht. Die Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Modul 2/3 nach dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission).

Daneben kann Alchimedus für weitere ACOS-Funktionen ergänzend OpenAI, 3180 18th Street, San Francisco, CA 94110, USA (Sprachmodell ChatGPT), als weiteren Unterauftragsverarbeiter einsetzen. Auch insoweit gilt: OpenAI verwendet über die kommerzielle API übermittelte Daten standardmäßig nicht zu Trainingszwecken. Als Übermittlungsgrundlage in die USA dienen Standardvertragsklauseln, ergänzend beruft sich OpenAI auf das EU-US Data Privacy Framework.

Rechtsgrundlage für den Einsatz der vorgenannten Unterauftragsverarbeiter ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Art. 28 DSGVO.

XX. Anymize (Multi-LLM-Plattform / Pseudonymisierung)

Für die datenschutzkonforme Nutzung von KI-Sprachmodellen setzen wir die Plattform Anymize der anymize GmbH, Schauenburgerstr. 116, 24118 Kiel, ein. Anymize pseudonymisiert personenbezogene Daten in hochgeladenen Dokumenten durch Hash-Tokenisierung, bevor Inhalte im Rahmen der Chat-Funktion an angebundene KI-Anbieter weitergegeben werden. Für die dortigen Anbieter sind die übermittelten Daten ohne den bei Anymize gespeicherten Zuordnungsschlüssel keiner natürlichen Person zuzuordnen. Autorisierte Nutzer können die Originaldaten bei Bedarf wiederherstellen (De-Pseudonymisierung).

Verarbeitet werden potenziell alle Kategorien personenbezogener Daten, die in den hochgeladenen Dokumenten enthalten sind, insbesondere Namen, Kontaktdaten, Identifikationsnummern, finanzielle Daten, Gesundheitsdaten sowie Beschäftigungsdaten, dazu technische Metadaten wie IP-Adressen, Zeitstempel und Sitzungs-IDs. Betroffene sind unter anderem unsere Kunden und Mandanten, Mitarbeiter, Geschäftspartner und weitere in Dokumenten genannte Personen. Enthalten die hochgeladenen Dokumente besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO, liegt die Verantwortung für das Vorliegen einer Ausnahme nach Art. 9 Abs. 2 DSGVO bei uns als Verantwortlichem.

Mit der anymize GmbH besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, der mit Erstellung eines Nutzerkontos beziehungsweise mit erstmaliger Nutzung des Dienstes automatisch wirksam wird, ohne dass es einer gesonderten Unterzeichnung bedarf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Für das Hosting setzt Anymize die Hetzner Online GmbH (Deutschland) ein.

Weitergabe an KI-Anbieter (Chat-Funktion)

Bei Nutzung der Chat-Funktion können pseudonymisierte Inhalte an folgende KI-Anbieter übermittelt werden: OpenAI, Inc. und Google LLC (Gemini), beide USA, auf Grundlage von EU-Standardvertragsklauseln und ergänzend des EU-US Data Privacy Framework. Anthropic PBC, USA, auf Grundlage von EU-Standardvertragsklauseln. OpenRouter, Inc., USA, als Vermittlungsdienst auf Grundlage von EU-Standardvertragsklauseln. Mistral AI SAS mit Sitz in Frankreich, wo die Verarbeitung innerhalb der EU erfolgt. Da nur zuvor pseudonymisierte Inhalte weitergegeben werden, stuft Anymize diese Anbieter selbst nicht als Unterauftragsverarbeiter im Sinne des Art. 28 DSGVO ein.

Grenzen der Pseudonymisierung

Die Pseudonymisierung erreicht laut Anbieter eine Zielerkennungsrate von über 95 Prozent. Eine vollständige Erkennung aller personenbezogenen Daten kann technisch nicht garantiert werden, insbesondere bei ungewöhnlichen Schreibweisen, branchenspezifischen Fachbegriffen oder handschriftlichen Dokumenten. Wir prüfen deshalb jedes pseudonymisierte Dokument vor Weitergabe an KI-Dienste eigenständig.

Speicherdauer

Hochgeladene Originaldokumente werden nach der Inhaltsextraktion nicht in ihrer Ursprungsform gespeichert. Die bei Anymize gespeicherten Zuordnungspaare zwischen Hash und Original löschen wir spätestens 30 Tage nach Ende des jeweiligen Mandats.

Verschwiegenheitspflicht von Berufsgeheimnisträgern

Die Verantwortung für die Wahrung der Pflicht zur Verschwiegenheit von Berufsgeheimnisträgern obliegt grundsätzlich diesen selbst im Umgang mit uns als Dienstleister. Wir schließen mit unseren Kunden standardmäßig selbst AVV ab und fragen dieses Thema dort ab. Uns liegt eine entsprechende Verschwiegenheitserklärung von Anymize mit den technisch-organisatorischen Details vor und wir stellen diese dem Kunden jederzeit auf Wunsch zur Verfügung.

Auch wir schließen auf Wunsch des Kunden selbstverständlich jederzeit entsprechende Vereinbarungen ab, wenn sie uns vorgelegt werden, und passen unsere Prozesse auf die Bedarfe unserer Kunden an. Die Stellung des Kunden als Berufsgeheimnisträger prüfen wir erst, wenn der Kunde diese Stellung von sich aus geltend macht.

XXI. Neon Postgres (Datenbank-Hosting)

Für einzelne webbasierte Anwendungen und Landingpages, die wir für spezifische Beratungsangebote als Subdomains von nice-network.de betreiben, nutzen wir als Datenbank-Backend den Dienst Neon der Neon, LLC (ein Unternehmen der Databricks, Inc.), USA. Verarbeitet werden die in der jeweiligen Anwendung gespeicherten Daten, insbesondere Kontakt- und Interessentendaten aus verbundenen Formularen.

Mit Neon besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (Neon Platform Services Product Specific Schedule), der mit Nutzung der Plattform wirksam wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Neon bietet eine Serverregion in Frankfurt am Main an. Unabhängig vom gewählten Serverstandort bleibt Neon als US-Unternehmen dem US CLOUD Act unterworfen. Für die Datenübermittlung in die USA stützt sich Neon auf das EU-US Data Privacy Framework sowie ergänzend auf Standardvertragsklauseln.

XXII. Vercel (Hosting / Deployment)

Für den Betrieb derselben webbasierten Anwendungen und Landingpages setzen wir den Hosting- und Deployment-Dienst Vercel der Vercel Inc., USA, ein. Dabei werden Zugriffs- und Logdaten sowie gegebenenfalls über die jeweilige Anwendung erhobene Nutzerdaten verarbeitet.

Mit Vercel besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (Data Processing Addendum), der mit Nutzung der Dienste wirksam wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Die Verarbeitung erfolgt auch in den USA. Für die Datenübermittlung stützt sich Vercel auf Standardvertragsklauseln. Eine durchgängige EU-Datenresidenz für alle Vercel-Dienste, etwa für Analytics-Funktionen, besteht nicht.

XXIII. GitHub (Quellcode-Hosting)

Für die Versionsverwaltung und Entwicklung eigener Softwareprojekte nutzen wir GitHub der GitHub, Inc. (ein Unternehmen der Microsoft Corporation), 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. Eingesetzt wird GitHub insbesondere für die Versionsverwaltung unseres CRM-Tools (Entwicklung unterstützt durch Claude Code), der Landingpage ki-autonomie.nice-network.de sowie des Scorecard-Tools „KI-Readiness-Check“.

Verarbeitet werden dabei Quellcode und zugehörige Repository-Daten, insbesondere Protokoll- und Zugriffsdaten (Commits, Issues, Zugriffszeiten) sowie technische Metadaten der Mitwirkenden. Die zugehörigen Repositorys sind nicht öffentlich einsehbar.

Mit GitHub besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (GitHub Data Protection Agreement), der Bestandteil des GitHub Customer Agreement ist und mit Nutzung der Dienste automatisch wirksam wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Die Verarbeitung erfolgt auch in den USA. Für die Datenübermittlung stützt sich GitHub auf die Selbstzertifizierung zum EU-US Data Privacy Framework sowie ergänzend auf Standardvertragsklauseln.

Kontakt zum Datenschutz

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

Clemens Gutmann · be nice Managementberatung · letstalk@nice-network.de