clari·tos
Zugang anfragen
Login
▾

Datenschutzerklärung

1. Verantwortlicher

NewEase AG
Bahnhofstraße 1, 47574 Goch
info@newease.ag

2. Datenschutzbeauftragter

Freyberg Consulting
Inh.: Felix Freyberg
Mandrellaplatz 3
12555 Berlin
E-Mail: kontakt@felix-freyberg.de

3. Zwei Rollen — und warum das für Sie einen Unterschied macht

Diese Erklärung deckt zweierlei ab, und wir sind dabei nicht dasselbe:

Unsere eigenen Seiten und unser Vertrag mit Ihnen. Wenn Sie claritos.io besuchen, ein Formular ausfüllen, etwas bestellen oder ein Nutzerkonto anlegen, entscheiden wir, was mit Ihren Daten geschieht. Wir sind Verantwortlicher im Sinne der DSGVO. Das regeln die Abschnitte 4 bis 13 und 17 bis 25.

Die Inhalte unserer Kunden in der Anwendung. Nutzt ein Betrieb claritos für seine Aufgaben, Belege, Buchungen, Kontakte oder Akten, entscheidet dieser Betrieb, welche Daten er dort verarbeitet und wozu. Wir führen das nur in seinem Auftrag aus (Art. 28 DSGVO). Sind Sie Kunde, Patient oder Geschäftspartner eines solchen Betriebs und möchten wissen, was mit Ihren Daten geschieht, ist dieser Betrieb Ihr Ansprechpartner, nicht wir. Das regelt Abschnitt 14.

4. Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit das für den jeweiligen Zweck erforderlich ist. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Anbahnung und Erfüllung eines Vertrags), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen, etwa steuerliche Aufbewahrung), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb) und, wo wir Sie ausdrücklich fragen, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. Aufruf unserer Seiten

Beim Aufruf verarbeiten wir die Daten, die Ihr Browser übermittelt und die für die Auslieferung technisch nötig sind: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Erfolgsmeldung, Browsertyp und -version, Betriebssystem sowie die verweisende Seite, sofern Ihr Browser sie sendet. Diese Daten fallen in den Protokollen unseres Hosting-Dienstleisters an, dienen dem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO), werden nicht mit anderen Beständen zusammengeführt und nach kurzer Zeit gelöscht.

6. Reichweitenmessung auf unseren Seiten

Wir messen die Nutzung unserer Seiten mit einer eigenen, auf unseren Servern betriebenen Zählung. Erfasst werden Seitenaufrufe, Klicks, Scrolltiefe und Verweildauer. Diese Daten verlassen unsere Infrastruktur nicht; wir geben sie an niemanden weiter und führen sie nicht mit Daten anderer Anbieter zusammen.

Damit wir wiederkehrende Besuche nicht doppelt zählen und Ihnen dieselbe Seitenvariante zeigen können, speichern wir eine zufällige Kennung in Ihrem Browser. Das geschieht nur, wenn Sie zugestimmt haben. Die Kennung bleibt dann bis ein Jahr nach Ihrem letzten Besuch gespeichert. Ohne Ihre Zustimmung zählen wir nur den laufenden Aufruf: Die Kennung dafür besteht nur, solange die Seite geöffnet ist; in Ihrem Browser wird dafür nichts gespeichert, und wir erkennen Sie bei einem späteren Besuch nicht wieder. Rechtsgrundlage dieser Zählung ist unser berechtigtes Interesse an einer verständlichen Nutzungsstatistik (Art. 6 Abs. 1 lit. f DSGVO).

Rechtsgrundlage für die gespeicherte Kennung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG). Sie können sie jederzeit widerrufen — über das runde Symbol unten links auf jeder Seite. Der Widerruf wirkt sofort und löscht die gespeicherte Kennung; die Rechtmässigkeit der Verarbeitung bis dahin bleibt unberührt.

Ihre Entscheidung selbst halten wir fest, weil wir sie nachweisen können müssen (Art. 7 Abs. 1 DSGVO). Gespeichert werden: Zeitpunkt, die gewählten Zwecke, der Wortlaut, der Ihnen dabei angezeigt wurde, die aufgerufene Seite, die Sprache sowie eine gekürzte Angabe zu Browser und Betriebssystem. Ihre IP-Adresse speichern wir dabei nicht. Stattdessen legen wir einen nicht umkehrbaren Prüfwert ab, mit dem sich im Streitfall lediglich überprüfen lässt, ob eine bestimmte Adresse an jenem Tag zugestimmt hat. Diese Nachweise löschen wir nach drei Jahren.

7. Cookies und Speicher im Browser

Notwendig, ohne Einwilligung: Cookies für die Anmeldung, vom Server geschützt (httpOnly). Die Anmeldung in der Anwendung gilt bis sieben Tage nach der letzten Nutzung; im Kundenportal endet sie nach 30 Minuten ohne Aktivität, im Partner-Portal und den übrigen Portalen nach vier Stunden ohne Aktivität. Wählt jemand bei der Anmeldung im Kundenportal „Auf diesem Gerät angemeldet bleiben“, bleibt das Anmelde-Cookie 30 Tage erhalten, aber nur für die Lernbereiche („Mein Lernen“, die Kurse und die Bibliothek); für alle anderen Bereiche des Portals, etwa die Akte und die Finanzen, fragt das Portal nach 30 Minuten ohne Aktivität erneut nach einem Code. Ohne diese Wahl endet die Anmeldung wie sonst. Auf Ihren Wunsch merkt sich das Kundenportal die E-Mail-Adresse, mit der Sie sich angemeldet haben, im Speicher Ihres Browsers, damit Sie sie nicht jedes Mal neu eingeben müssen: immer, wenn Sie „Auf diesem Gerät angemeldet bleiben“ wählen, sonst nur, wenn Sie das Häkchen dafür setzen. Die Adresse gilt nur für das Portal dieses Betriebs, an uns geht sie erst, wenn Sie sich damit anmelden, und sie bleibt auf dem Gerät, bis Sie sich mit einem Code anmelden, ohne sie merken zu lassen, bei der Anmeldung eine andere E-Mail-Adresse wählen oder den Speicher Ihres Browsers löschen; Abmelden allein entfernt sie nicht. Statt mit einem Code kann man sich im Kundenportal mit einem Passkey anmelden, wenn man ihn dort einrichtet. Dafür speichern wir den öffentlichen Schlüssel, eine Kennung des Passkeys, den Anbieter (etwa iCloud-Schlüsselbund oder Google Passwortmanager), einen Kurznamen von Browser und Gerät, ob er über Geräte abgeglichen wird, und wann er angelegt und zuletzt benutzt wurde. Biometrische Daten erhalten wir nicht: Gesicht oder Fingerabdruck prüft nur das Gerät, an uns geht allein eine Signatur. Einen Passkey kann man im Profil des Portals entfernen; der Betrieb kann alle Passkeys eines Kontakts entfernen. Dazu merken wir uns Einstellungen, die Sie wählen oder die die Anzeige braucht, etwa Sprache, Anrede, Zeitzone oder eine eingeklappte Seitenleiste, als Cookie bis zu einem Jahr oder im Speicher Ihres Browsers, bis Sie ihn löschen, und Ihre Datenschutz-Entscheidung, bis Sie sie ändern oder den Speicher Ihres Browsers löschen; ohne sie müssten wir Sie bei jedem Aufruf erneut fragen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG: Ohne diese Speicherung liesse sich der von Ihnen gewünschte Dienst nicht bereitstellen.

Nur mit Ihrer Einwilligung: die Kennung zur Reichweitenmessung aus Abschnitt 6; die Partner-Zuordnung aus Abschnitt 11, wenn eine Seite sie anbietet; das Merken Ihres Geräts, wenn Sie in einem Formular „Auf diesem Gerät angemeldet bleiben“ wählen, 90 Tage; und Hinweise, die Sie geschlossen haben, damit sie nicht erneut erscheinen, bis zu einem Jahr. Ohne Einwilligung speichern wir für diese Zwecke nichts, was über den laufenden Besuch hinausgeht.

Abgesehen von der Partner-Zuordnung setzen wir auf diesen Seiten keine Werbe-Cookies, und es sind keine Dienste Dritter eingebunden, die Ihr Verhalten an sich selbst melden. Kundinnen und Kunden können in den mit claritos erstellten Seiten ein Werbe-Messinstrument einbinden; geschieht das, wird es im Einwilligungsfenster der betreffenden Seite ausdrücklich benannt — mit dem Empfänger der Daten — und läuft ebenfalls erst nach Zustimmung.

8. Formulare

Wenn Sie ein Formular ausfüllen, verarbeiten wir die dort angegebenen Daten, um Ihr Anliegen zu bearbeiten und mit Ihnen Kontakt aufzunehmen (Art. 6 Abs. 1 lit. b DSGVO). Pflichtfelder sind als solche gekennzeichnet; alles Weitere ist freiwillig. Zur Bestätigung Ihrer E-Mail-Adresse kann ein einmaliger Code versendet werden.

9. Bestellung und Bezahlung

Für Bestellungen verarbeiten wir Ihre Bestell- und Rechnungsdaten zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und bewahren die Belege im gesetzlich vorgeschriebenen Umfang auf (Art. 6 Abs. 1 lit. c DSGVO, §§ 147 AO, 257 HGB — in der Regel zehn Jahre).

Die Zahlungsabwicklung übernimmt die Stripe Payments Europe, Ltd. (Irland). Ihre Zahlungsdaten — Karten- oder Kontodaten — geben Sie direkt dort ein; sie erreichen unsere Server nicht. Wir erhalten von Stripe nur die Information, ob und wie gezahlt wurde.

10. Elektronische Signatur

Für Verträge und Vereinbarungen setzen wir eine elektronische Signatur ein. Dabei protokollieren wir zum Nachweis, wer wann von welcher IP-Adresse unterzeichnet hat, und versenden einen Bestätigungscode an Ihre E-Mail-Adresse — bei erhöhter Nachweisstufe zusätzlich per SMS an Ihre Mobilnummer. Diese Angaben werden Teil der Nachweiskette des unterzeichneten Dokuments (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

Den SMS-Code erzeugt und versendet die Twilio Inc. in unserem Auftrag. Bei Signaturen mit Siegel wird zusätzlich eine Zertifizierungsstelle (SSL.com) eingebunden, die das Siegel ausstellt; sie ist dafür eigenständig verantwortlich.

11. Partnerprogramm

Bewerben Sie sich als Vertriebspartner, verarbeiten wir Ihre Bewerbungs- und Vertragsdaten zur Prüfung und Durchführung der Zusammenarbeit (Art. 6 Abs. 1 lit. b DSGVO). Im Partnerbereich melden Sie sich mit einem Code an, den wir an Ihre E-Mail-Adresse senden. Provisionsabrechnungen unterliegen den steuerlichen Aufbewahrungsfristen.

Für Auszahlungen übermitteln wir die dafür nötigen Angaben — Name, Anschrift, Bankverbindung und den Betrag — an unsere Zahlungsdienstleister Qonto (Olinda SAS, Frankreich) und Wise Europe SA (Belgien). Welcher Weg genutzt wird, hängt vom Zielland und von der Währung ab.

Kauf über einen Vertriebspartner: Kommen Sie über den Link eines Vertriebspartners zu uns, steht dessen Code in der Adresse der Seite. Kaufen Sie im selben Besuch, ordnen wir den Kauf diesem Partner zu, damit er seine Provision erhält. In Ihrem Browser wird dafür nur etwas gespeichert, wenn Sie in den Datenschutz-Einstellungen der „Partner-Zuordnung“ zugestimmt haben: dann der Code des Partners für die Dauer der Partner-Kampagne (90 bis 360 Tage) und eine zufällige Kennung für bis zu 400 Tage, damit auch ein Kauf bei einem späteren Besuch zugeordnet werden kann (Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG). Haben Sie schon über den Partner gekauft, angefragt oder sich angemeldet oder sind Sie ihm als Interessent zugeordnet, ordnen wir weitere Käufe mit derselben E-Mail-Adresse oder demselben Kundenkonto beim Zahlungsdienst für die Dauer der Kampagne diesem Partner zu; dafür wird in Ihrem Browser nichts gespeichert. Der Partner sieht den Kauf mit Ihrem Namen, Ihrer E-Mail-Adresse, dem Betrag und dem Zahlungsstand; auf Gutschriften an weitere an der Provision beteiligte Partner nennen wir Sie nicht mehr; ältere Gutschriften bleiben, wie sie ausgestellt wurden. Klicks und Zuordnungen, an denen kein Kauf hängt, löschen wir, sobald die Frist der Kampagne abgelaufen ist; mit Kauf bleiben sie als Nachweis der Provision. Rechtsgrundlage für die Zuordnung ist unser berechtigtes Interesse an der richtigen Vergütung unserer Partner (Art. 6 Abs. 1 lit. f DSGVO); Sie können dem jederzeit widersprechen.

12. Nutzerkonto und Anmeldung

Für die Nutzung von claritos legen wir ein Konto an. Verarbeitet werden Name, E-Mail-Adresse, ein Passwort-Hash (das Passwort selbst kennen wir nicht), eine zweite, persönliche E-Mail-Adresse, an die wir nach deren Bestätigung zusätzlich Einladungen und Links zum Zurücksetzen des Passworts schicken (auf Wunsch eingetragen oder von uns übernommen: die Adresse, an die eine angenommene Einladung ging, und beim Wechsel der Anmeldeadresse auf ein Postfach in claritos die bisherige Adresse; sie lässt sich im Profil ändern oder entfernen), optional ein Profilbild, Ihre Sprachwahl sowie Ihre Zugehörigkeit zu einer oder mehreren Organisationen samt Ihrer dortigen Rolle (Art. 6 Abs. 1 lit. b DSGVO).

Für die Anmeldung setzen wir ein Cookie; wie lange es gilt, steht in Abschnitt 7. Zum Schutz des Zugangs speichern wir, wann Sie sich angemeldet haben.

Sie können Ihr Konto in den Profileinstellungen selbst löschen. Was dabei gelöscht wird und was aus gesetzlichen Gründen bleiben muss, erklärt Abschnitt 21.

13. Google: Anmeldung, Gmail-Postfach, Kalender und Meet

Sie können sich bei claritos mit Ihrem Google-Konto anmelden und Ihr Gmail-Postfach, Ihren Google Kalender und Google Meet mit claritos verbinden. All das ist freiwillig; claritos lässt sich vollständig ohne Google-Konto nutzen.

Anmeldung mit Google. Melden Sie sich mit Google an, erhalten wir von Google Ihre Kennung, Ihre E-Mail-Adresse, Ihren Namen und, sofern hinterlegt, Ihr Profilbild. Wir verwenden diese Angaben ausschließlich, um Ihr Nutzerkonto anzulegen und Sie wiederzuerkennen (Art. 6 Abs. 1 lit. b DSGVO).

Versand über Ihr Postfach. Verbinden Sie Ihr Gmail-Postfach, können Sie E-Mails — etwa Rechnungen, Angebote oder Briefe — unmittelbar aus Ihrem eigenen Postfach versenden, statt über eine fremde Absenderadresse. Wir fordern dafür ausschließlich die Berechtigung zum Senden an. Wir haben keinen Lesezugriff auf Ihr Postfach: Wir rufen Ihre Nachrichten nicht ab, durchsuchen sie nicht und werten sie nicht aus. An Google übermittelt wird allein die Nachricht, deren Versand Sie in claritos veranlassen, samt ihrer Anhänge.

Google Kalender. Verbinden Sie einen Google Kalender, tragen wir Ihre in claritos gebuchten Termine dort ein, ändern und löschen sie, auf Wunsch mit einem Google-Meet-Link. In Kalendern, die Sie als Sperre wählen, setzen wir eine Belegung mit kurzer Bezeichnung. Aus den Kalendern, die Sie auswählen, lesen wir die belegten Zeiten, damit wir dort keine freien Termine anbieten; davon speichern wir nur Beginn und Ende, keine Titel, Beschreibungen, Teilnehmer oder Orte. Ihre eigenen Einträge zeigen wir nur Ihnen im Kalender von claritos und speichern sie nicht. Wir ändern oder löschen nur Einträge, die wir selbst angelegt haben. Aus der Liste Ihrer Kalender speichern wir Kennung, Titel, Zeitzone und ob Google Meet dort erlaubt ist.

Google Meet. Erlauben Sie es für ein Google-Konto ausdrücklich, legen wir nach jeder beendeten Besprechung mit Google Meet, die über claritos angesetzt wurde, ein Dokument der Besprechung an: mit Beginn und Ende, den Namen der Teilnehmenden, auch externer Gäste (bei Einwahl per Telefon eine von Google teilweise verdeckte Rufnummer), und den Zeiten, zu denen jede Person ein- und ausgetreten ist. Hat Google zur Besprechung ein Transkript erstellt, holen wir es mit Sprechernamen und Zeiten dazu. Eine Aufzeichnung holen wir nur, wenn Sie sie in Googles Dateiauswahl selbst auswählen; wir erhalten dann Zugriff allein auf diese Datei, nicht auf Ihr übriges Google Drive. Das Dokument und eine geholte Aufzeichnung liegen beim Betrieb in unserem Speicher in der EU; sehen dürfen sie die Verwaltung des Betriebs und die gastgebende Person. Wir nutzen diese Angaben, um die Besprechung zu dokumentieren, nicht um Mitarbeitende zu bewerten. Abschrift und Zusammenfassung entstehen maschinell (Abschnitt 15).

Was wir speichern. Für jede Verbindung speichern wir die von Google ausgestellten Zugangsmerkmale verschlüsselt sowie die Adresse des verbundenen Kontos. Trennen Sie die Verbindung, löschen wir diese Merkmale.

Wie Sie die Verbindung beenden. Sie können die Verbindung jederzeit in den Einstellungen von claritos trennen. Unabhängig davon können Sie den Zugriff jederzeit in den Sicherheitseinstellungen Ihres Google-Kontos entziehen (google.com/account → Sicherheit → Drittanbieter-Apps mit Kontozugriff).

Eingeschränkte Verwendung von Google-Nutzerdaten. Die Verwendung und die Weitergabe von Informationen, die claritos über Google-Schnittstellen erhält, richten sich nach der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Verwendung (Limited Use). Das bedeutet im Einzelnen: Wir verwenden diese Informationen ausschließlich für die Funktionen, die Sie in claritos sichtbar nutzen. Wir geben sie nicht an Dritte weiter, außer soweit dies für die von Ihnen angeforderte Funktion nötig ist, aus Sicherheitsgründen — etwa zur Untersuchung eines Missbrauchs — oder um einer gesetzlichen Verpflichtung nachzukommen. Wir verwenden sie nicht für Werbung und verkaufen sie nicht. Wir lesen sie nicht durch Menschen, außer Sie haben ausdrücklich eingewilligt, es ist zur Wahrung der Sicherheit oder zur Erfüllung einer gesetzlichen Verpflichtung erforderlich, oder die Daten sind zusammengefasst und anonymisiert.

In der englischen Originalfassung: claritos' use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

14. Inhalte unserer Kunden — Verarbeitung im Auftrag

Innerhalb von claritos verarbeiten unsere Kunden eigene Daten: Aufgaben, Projekte, Zeiten, Kontakte, Belege, Buchungen, Rechnungen, Mahnungen, Schriftverkehr, Formulare, Verträge und — je nach Betrieb — Klienten- oder Patientenakten mit Gesundheitsdaten.

Video-Räume: Für Besprechungen und Unterricht stellt claritos eigene Video-Räume bereit. Bild, Ton und geteilte Bildschirme der Teilnehmenden, ihr Name im Raum, Nachrichten im Chat, Handzeichen und Reaktionen werden dafür über LiveKit übertragen. Bild und Ton speichert LiveKit nicht. Von jeder Sitzung erstellen wir für den Betrieb ein Dokument mit dem Chat-Verlauf und, sofern der Betrieb sie nicht abgeschaltet hat, einer vollständigen Abschrift und einer Zusammenfassung. Das Dokument nennt außerdem, wer von wann bis wann teilgenommen hat, mit dem Namen im Raum, der Rolle und, bei einer Einladung über einen persönlichen Link, verknüpft mit dem Kontakt, sowie Messwerte zur Qualität von Ton, Bild und Verbindung je Teilnahme, etwa Paketverlust, Verzögerung, Auflösung und Bildrate, und wie oft Mikrofon oder Ton nicht funktionierten, etwa weil das Mikrofon nicht freigegeben war, und ob Rauschfilter oder Stimmisolation eingeschaltet waren; diese Messwerte entstehen im Browser und gehen direkt an claritos. Eine IP-Adresse oder einen Ort halten wir dabei nicht fest. Wer im Raum den Rauschfilter oder die Stimmisolation für sein Mikrofon einschaltet, dem bereinigt der eigene Browser den Ton, bevor er gesendet wird. Für die Stimmisolation berechnet der Browser aus der eigenen Stimme einen Stimm-Abdruck und stellt andere Stimmen am Mikrofon leiser; der Abdruck bleibt im Arbeitsspeicher des Geräts, wird weder übertragen noch gespeichert und ist mit dem Verlassen des Raums weg. Der Betrieb kann damit etwa die Anwesenheit im Unterricht nachweisen. Dafür wird der Ton vom Eintreffen der gastgebenden Person bis zum Ende der Sitzung mitgeschnitten, maschinell abgeschrieben und zusammengefasst (Abschnitt 15); die Tondatei löschen wir danach. Werden die Teilnehmenden in Breakout-Räume aufgeteilt und ist für sie die Zusammenfassung gewählt, wird der Ton in jedem Breakout-Raum vom Öffnen bis zum Schließen mitgeschnitten, auch wenn die gastgebende Person gerade nicht darin ist; jeder Breakout-Raum erhält ein eigenes Dokument. Zeichnet der Betrieb eine Sitzung auf, liegt die Aufzeichnung ebenfalls als Dokument vor. Dateien, die Teilnehmende im Chat teilen, speichern wir mit dem Dokument der Sitzung; alle im Raum können sie herunterladen, und wer eine Datei geteilt hat, kann sie wieder entfernen, ebenso die gastgebende Person. Über LiveKit geht dabei nur ein Hinweis ohne die Datei und ohne ihren Namen. Vor dem Eintreten und vor jeder Aufzeichnung fragen wir jede teilnehmende Person und halten ihre Zustimmung mit Zeit und Namen fest; wer nicht einverstanden ist, tritt nicht ein oder verlässt den Raum. Die Dokumente liegen beim Betrieb in unserem Speicher in der EU; sehen dürfen sie die Verwaltung des Betriebs und die gastgebende Person.

Kalenderzugang: Der Betrieb kann die Termine seiner Mitarbeitenden, Räume und Geräte mit eigenen Kalender-Programmen abrufen und bearbeiten, etwa auf iPhone, Mac oder in Thunderbird (CalDAV), angemeldet mit einem Passwort je Gerät. Die Anfragen dieser Geräte beantwortet unser Dienst bei Railway direkt (Abschnitt 19); dabei verarbeiten wir die IP-Adresse des Geräts. Gespeichert werden die Termine weiterhin nur in unserer Datenbank in der EU.

Postfach im Mail-Programm: Wer im Betrieb einen Namen auf dessen eigener Absender-Domain hat, kann die Post an diese Adresse auch in eigenen Mail-Programmen lesen und von dort senden, etwa auf iPhone, Mac oder in Thunderbird (IMAP und SMTP), angemeldet mit einem Passwort je Gerät. Die Verbindungen dieser Geräte nimmt unser Dienst bei Railway direkt an (Abschnitt 19); dabei verarbeitet Railway die IP-Adresse des Geräts, wir speichern sie nicht. Die Mails bleiben in unserer Datenbank und unserem Dateispeicher in der EU; was im Mail-Programm gelöscht wird, verschwindet nur dort. Mails aus dem Mail-Programm verschicken wir wie jede andere persönliche Mail über SendGrid (Abschnitt 19) und halten sie im Postausgang fest.

Bankanbindung: Der Betrieb kann seine Bankkonten über die finAPI GmbH in München verbinden, einen von der BaFin zugelassenen Kontoinformations- und Zahlungsauslösedienst. Die Anmeldung bei der Bank geschieht im Formular von finAPI; die Zugangsdaten zur Bank sehen wir nicht. Bei einer Verbindung über FinTS bewahrt finAPI sie dafür auf. finAPI ruft Kontostände und Umsätze ab, samt Name, IBAN und Verwendungszweck der Gegenseite, und übermittelt sie an claritos. Auf Wunsch des Betriebs prüft finAPI außerdem, ob ein Name zum Inhaber einer IBAN passt (übermittelt werden Name, IBAN und gegebenenfalls BIC eines Zahlers), und reicht Lastschriften bei der Bank des Betriebs ein (übermittelt werden Name, IBAN, gegebenenfalls BIC, Betrag, Verwendungszweck und Mandat der Zahler sowie die Gläubiger-ID des Betriebs). finAPI verarbeitet diese Daten in Deutschland.

Zertifikate und Bescheinigungen: Stellt ein Betrieb einer Person ein Dokument aus einer seiner Vorlagen aus, etwa eine Teilnahmebescheinigung, setzen wir die Angaben aus dem Kontakt ein, die die Vorlage vorsieht, dazu je nach Vorlage eine laufende Nummer, das Ausstellungsdatum, das Ende der Gültigkeit und einen Prüfcode, und legen das Dokument beim Kontakt ab. Im Kundenportal sieht die Person ihre gültigen und stornierten Dokumente. Mit dem Prüfcode kann jeder auf einer öffentlichen Seite nachsehen, ob ein Dokument echt und noch gültig ist; die Seite zeigt den Namen der Vorlage, die Nummer, das Ausstellungsdatum, den Namen der Person und den Betrieb, nicht aber den Grund eines Stornos. Eine Datei, die jemand dort zum Vergleich wählt, prüft sein Browser selbst; sie erreicht uns nicht. Bietet der Betrieb Kurse an, kann er ein solches Zertifikat beim Abschluss eines Kurses automatisch ausstellen lassen, mit dem Titel des Kurses.

Lernplattform: Bietet der Betrieb Ausbildungen oder Kurse an, stellt claritos seinen Teilnehmenden im Portal eine Bibliothek mit Videos, Audios, PDF-Dateien und Aufzeichnungen des Unterrichts bereit. Dafür verarbeiten wir, welchen Zugang eine Person hat und woher er kommt (Kauf, Klasse oder Vergabe durch den Betrieb), was ihr wann freigegeben wurde, Änderungen an ihrem persönlichen Zeitplan (etwa eine Pause) mit dem Grund, den der Betrieb dazu angibt, wie weit sie einen Inhalt angesehen hat, was sie sich gemerkt hat und wonach sie in der Bibliothek sucht. In Kursen halten wir außerdem fest, wann die Person einen Kurs zum ersten Mal geöffnet hat, je Lektion, wann sie sie zuletzt geöffnet hat, wie weit sie gekommen ist und wann sie erledigt war, und bei einem Quiz jeden Versuch mit den gestellten Fragen, den Antworten, auch getippten, und dem Ergebnis. Eine Lektion, die ein Termin im Video-Raum ist, gilt als besucht, wenn die Teilnahme der Person dort festgehalten ist (siehe „Video-Räume“); sonst bleibt sie offen. Für Kurse mit solchen Terminen führt der Betrieb eine Anwesenheitsliste: je Person und Termin, wie viele Minuten sie im Video-Raum war und welcher Anteil der Termindauer das ist, und daraus ihre Quote über die vergangenen Termine. Er kann je Person und Termin nachtragen, dass sie vor Ort anwesend oder entschuldigt war, mit einem Grund; wir halten fest, wer das wann getan hat, und die Messung bleibt daneben sichtbar. Hat der Kurs eine Mindestanwesenheit, benachrichtigen wir die Lehrkraft, ohne Lehrkraft die Verwaltung des Betriebs, sobald eine Person sie nur noch mit allen restlichen Terminen oder gar nicht mehr erreichen kann. Schreibt der Betrieb die Liste für einen Zeitraum fest, für den ganzen Kurs, eine Klasse oder einzelne Personen, lässt sie sich für diese Personen und diesen Zeitraum nicht mehr ändern; er erhält sie als PDF-Datei mit einem Prüfcode und als CSV-Datei, samt Nachträgen und dem Grund einer Entschuldigung, etwa um sie einer Stelle vorzulegen, die die Teilnahme bezahlt oder fördert. Ob und an wen er sie weitergibt, entscheidet der Betrieb. Mit dem Prüfcode kann jeder auf der öffentlichen Seite (siehe „Zertifikate und Bescheinigungen“) nachsehen, ob die Liste echt ist; die Seite zeigt den Kurs, den Zeitraum, die Klasse oder die Zahl der Personen, das Datum der Festschreibung und den Betrieb, aber keine Namen. Im Portal sieht die Person bei einem solchen Kurs, an wie vielen Terminen sie teilgenommen hat und, bei einer Mindestanwesenheit, wie viele dafür nötig sind. Zu einer Lektion können Teilnehmende im Portal eine Abgabe einreichen, als Text oder als Dateien, auch als Video. Die Dateien legen wir als Dokumente beim Kontakt in einer geschützten Ablage ohne öffentliche Adresse ab; die Mitglieder des Betriebs sehen sie wie andere Dokumente beim Kontakt, und wir werten sie wie jedes hochgeladene Dokument maschinell aus, mit einer Zusammenfassung und bei Ton und Video einer Abschrift (Abschnitt 15). Der Betrieb antwortet mit einer Rückmeldung, wahlweise mit einer Bewertung, auch über mehrere Runden; nimmt er die Abgabe an, ist die Lektion erledigt. Über eine Rückmeldung benachrichtigen wir die Person in der Glocke im Portal und auf ihrem Gerät, sonst per E-Mail; der Text der Rückmeldung steht nur im Portal. Der Betrieb sieht, wer welchen Zugang hat, was wem freigegeben wurde und ob und wann die Person es geöffnet hat. In Kursen sieht er außerdem je Person, wie viele Lektionen sie erledigt hat, wann sie zuletzt aktiv war und ob sie den Kurs abgeschlossen hat, und je Lektion den Stand, wie die Person ihn sieht, mit Datum und Grund, falls sie noch gesperrt ist. Er kann eine Lektion mit Grund von Hand als erledigt markieren; dies und jede Änderung am persönlichen Zeitplan halten wir mit dem Grund fest, und wer sie wann vorgenommen hat. Die Auswertung je Lektion zeigt nur Zahlen, keine Personen. Je Quiz sieht er, wie viele Versuche die Person gebraucht hat, und ihr letztes Ergebnis; er kann ihre Versuche zurücksetzen, sie bleiben dann gespeichert, zählen aber nicht mehr. Hat ein Quiz ein Zeitlimit, halten wir den Beginn eines Versuchs fest, bis er abgegeben ist, und vermerken, ob er zu spät abgegeben wurde. Teilnehmende können im Portal zu einer Lektion eine Frage an die Lehrkraft stellen. Die Frage und die Antworten speichern wir als Nachrichten im Portal des Betriebs, mit dem Kurs und der Lektion, zu der sie gestellt wurde; sie geht der Person im Betrieb zu, die er am Kurs als Lehrkraft gewählt hat, ohne diese Wahl seinen Administratoren, und erscheint bei ihm unter den Konversationen. Wird die Lektion gelöscht, bleibt die Frage ohne diesen Bezug gespeichert. Öffnet oder lädt jemand eine PDF-Datei, für die der Betrieb das vorsieht, stehen unten auf jeder Seite Name und E-Mail-Adresse dieser Person und das Datum. Gibt der Betrieb die Aufzeichnung einer Unterrichtsstunde frei, sehen sie die Teilnehmenden, für die sie freigegeben ist, mit der maschinellen Abschrift (Abschnitt 15); wer in der Stunde zu sehen oder zu hören war, ist darin zu sehen oder zu hören. Ist eine Stunde dafür vorgesehen, sagt das die Frage vor der Aufzeichnung, und wir halten die Zustimmung dazu mit Zeit und Namen fest. Fügt der Betrieb eine solche Aufzeichnung selbst als Inhalt hinzu, obwohl nicht alle Teilnehmenden der Stunde der Freigabe zugestimmt haben, muss er das ausdrücklich bestätigen; wir halten fest, wann und von wem, und wie viele von wie vielen zugestimmt hatten. Damit die Suche auch Gesprochenes und den Text von PDF-Dateien findet, legen wir aus Abschriften und PDF-Dateien einen Suchindex an. Wird ein Zugang wirksam, schicken wir der Person eine E-Mail mit dem Namen des Zugangs, seinen Sammlungen, dem Enddatum, falls es eines gibt, und dem Link ins Portal; das unterbleibt, wenn sie den Zugang schon hatte, sich im Portal nicht selbst anmelden kann oder der Betrieb diese Mail für den Zugang abgeschaltet hat. An der Vergabe halten wir fest, wann die Mail ging oder warum nicht. Über Neues benachrichtigen wir die Teilnehmenden so, wie sie es in ihren Einstellungen wählen: in der Glocke im Portal, per E-Mail, SMS oder als Benachrichtigung auf das Gerät (Abschnitt 19); ist dafür kein Gerät erreichbar, per E-Mail. Wer nichts wählt, bekommt, was der Betrieb voreingestellt hat, sonst für Neues in der Bibliothek einen wöchentlichen Überblick per E-Mail. Jede solche E-Mail enthält einen Link, mit dem sich diese Art Nachricht abbestellen lässt. Alle Inhalte und Angaben liegen beim Betrieb in unserem Speicher in der EU.

Für diese Inhalte ist der jeweilige Kunde Verantwortlicher. Wir verarbeiten sie ausschließlich in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO); Grundlage ist ein gesonderter Vertrag zur Auftragsverarbeitung, den wir mit jedem Kunden einzeln schliessen.

Wir werten diese Inhalte nicht zu eigenen Zwecken aus, insbesondere nicht zu Werbezwecken, und geben sie nicht an Dritte weiter, soweit nicht eine gesetzliche Pflicht besteht oder der Kunde es verlangt.

Sind Sie Kunde, Patient oder Geschäftspartner eines Betriebs, der claritos nutzt, wenden Sie sich mit Auskunfts-, Berichtigungs- oder Löschwünschen bitte an diesen Betrieb. Erreicht uns Ihr Anliegen direkt, leiten wir es an ihn weiter und informieren Sie darüber; entscheiden dürfen wir darüber nicht.

15. Maschinelle Verarbeitung

Einzelne Funktionen arbeiten maschinell: Text- und Belegerkennung, die Zusammenfassung hochgeladener Dokumente, Vorschläge zur Zuordnung von Buchungen, Übersetzungen, Formulierungshilfen, das Auslesen von Laborbefunden, das Ergänzen von Kontaktdaten aus öffentlichen Quellen, das Auswerten der Webseite eines Kontakts für Gesprächsanlässe, die Abschrift von Ton- und Videoaufnahmen, die Zusammenfassung von Besprechungen (in Video-Räumen, aus Zoom oder Google Meet), die Einstufung eingehender E-Mails als positiv, neutral oder negativ (ausgenommen Spam und Rundmails), die Auswertung von Formular-Antworten, wenn der Betrieb sie für ein Formular einschaltet (die Fragen, die gezählten Ergebnisse und die Freitexte im Wortlaut; die Felder für Name, Anschrift, Geburtsdatum, E-Mail-Adresse und Telefonnummer lassen wir weg, soweit wir sie als solche erkennen), und die Prüfung von E-Mail-Kampagnen vor dem Versand auf reisserische oder irreführende Aussagen (nur Betreff und Text der Kampagne, ohne Angaben zu den Empfängern). Dabei werden die betreffenden Inhalte an einen Sprachmodell-Dienst übermittelt und dort verarbeitet.

Wir nutzen dafür das Vercel AI Gateway, über das die Anfragen an Anthropic PBC (USA) und Google gehen. Die übermittelten Inhalte werden dort nicht zum Training von Modellen verwendet.

Websuche: Ergänzt ein Betrieb Kontaktdaten aus öffentlichen Quellen, suchen wir für die Kontakte, die er dafür auswählt, im Internet über Staan, einen europäischen Suchindex mit Datenhaltung in der EU. Die Suchanfragen enthalten dabei den Namen der Firma oder Person und Angaben wie den Ort. Die gefundenen öffentlichen Seiten wertet der Sprachmodell-Dienst aus; die Umsatzsteuer-Identifikationsnummer prüfen wir beim Mehrwertsteuer-Informationsaustauschsystem der EU (VIES). Amtliche Angaben aus VIES übernehmen wir in leere Felder; alles andere erst, wenn der Betrieb es bestätigt. Recherchiert die Schreibhilfe für Briefe im Internet, geht das ebenfalls über Staan. Diese Suchanfragen enthalten nur Sachfragen, keine Namen von Privatpersonen und keine Gesundheitsangaben.

Webseiten-Analyse: Löst ein Betrieb sie für einen Kontakt aus, lesen wir bis zu 30 öffentliche Seiten der Webseite, die bei diesem Kontakt hinterlegt ist, und zwar nur dieser Webseite und nur, soweit ihre robots.txt es erlaubt; wir suchen dafür nicht im Internet. Den Text dieser Seiten wertet der Sprachmodell-Dienst zu einem Thema aus, das der Betrieb festlegt. Das Ergebnis steht am Kontakt und kann dort bearbeitet werden; die Texte der Seiten speichern wir nicht.

Was maschinell erzeugt wird, sind Vorschläge. Sie werden vor der Übernahme durch einen Menschen geprüft; eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.

Für die Umwandlung von Office-Dateien in PDF setzen wir CloudConvert (EU-Region) ein.

16. Dienste, die Sie selbst verbinden

claritos lässt sich mit weiteren Diensten verbinden. Diese Verbindungen stellt der Kunde selbst her, indem er den jeweiligen Zugriff freigibt — meist mit seinem eigenen Vertrag beim Anbieter. Erst dann werden Daten dorthin übermittelt, und nur die, die die jeweilige Funktion braucht:

  • Google — Anmeldung, Versand aus dem eigenen Postfach, Google Kalender und Google Meet (Abschnitt 13).

  • Zoom Video Communications — Verbindet ein Betrieb sein Zoom-Konto, legen wir nach dem Ende jedes Zoom-Meetings, das über claritos als Termin oder Sofort-Meeting angesetzt wurde, ein Dokument der Besprechung an: mit Titel, Beginn und Ende, den Namen der Teilnehmenden aus Zooms Teilnehmerbericht und den Zeiten, zu denen jede Person ein- und ausgetreten ist. Die E-Mail-Adressen aus dem Bericht nutzen wir nur, um Teilnehmende einem Kontakt des Termins zuzuordnen; gespeichert werden sie nicht, ebenso wenig Zooms Kennungen der Teilnehmenden, IP-Adressen oder Orte. Hat der Betrieb es für eine Terminart eingeschaltet, holen wir außerdem die Aufzeichnung aus Zooms Cloud; sie wird maschinell abgeschrieben und zusammengefasst (Abschnitt 15). Dokument und Aufzeichnung liegen beim Betrieb in unserem Speicher in der EU; sehen dürfen sie die Verwaltung des Betriebs und die gastgebende Person. Für den Import von Hand zeigen wir dem Gastgeber außerdem die beendeten Meetings seines Zoom-Kontos mit Thema, Zeit, Dauer, Teilnehmerzahl und bis zu 50 Teilnehmernamen; ein importiertes Meeting wird zu einer Aufgabe mit Teilnehmerliste und, wenn Zoom eine erstellt hat, Zooms Zusammenfassung.

  • Pingen AG (Schweiz) und LetterXpress (Deutschland) — Versand echter Briefe und Einschreiben. Übermittelt werden Empfängeranschrift und Inhalt des Briefes, denn genau das wird gedruckt und zugestellt.

  • MailCheap (Cyberlabs, Inc., Delaware, USA — Datenhaltung in Deutschland) — Postfächer im Partnerbereich. Übermittelt werden die E-Mails samt Absender, Empfänger und Inhalt, weil der Dienst sie zustellt und vorhält.

  • Twilio SendGrid (Twilio Inc., USA) — Versand von Kampagnen-E-Mails aus dem eigenen SendGrid-Konto des Kunden und von dessen eigener Absender-Domain. Übermittelt werden Empfängeradresse, Name und Inhalt der E-Mail; zurück kommen Zustellung, Rückläufer, Beschwerden und Abmeldungen, damit niemand weiter angeschrieben wird, der es nicht mehr möchte. Diese Rückmeldungen bewahren wir je E-Mail zwölf Monate auf, damit der Kunde im Bericht der Kampagne sieht, ob und warum eine E-Mail nicht ankam: bei Rückläufern mit Fehlercode, Kategorie und der Antwort des empfangenden Servers, in der wir jede E-Mail-Adresse unkenntlich machen; danach bleibt nur der letzte Stand. Fehlt bei älteren Kampagnen der Grund, kann der Kunde ihn aus den Sperrlisten seines SendGrid-Kontos nachholen lassen; übernommen wird nur, was zu einer E-Mail der Kampagne gehört. Klicks auf Links in Kampagnen-E-Mails zählen wir über eine eigene Weiterleitung von claritos, ohne SendGrid: je Link, und je Empfänger nur, wenn der Kunde das für seine Organisation einschaltet. Öffnungen messen wir nur, wenn der Kunde das für eine Kampagne einschaltet, über ein eigenes unsichtbares Bild in der E-Mail. Um Sicherheitsfilter und Vorabrufe zu erkennen, prüfen wir beim Abruf Zeitpunkt, IP-Adresse und Browserkennung; gespeichert werden nur der Zeitpunkt und ob es vermutlich ein solcher Abruf war, nie IP-Adresse oder Browserkennung. Klicks und Öffnungen bewahren wir zwölf Monate auf. Ob die Daten dort in den USA oder in der EU verarbeitet werden, legt der Kunde mit seinem Konto fest; die Rückmeldungen zur Zustellung laufen nach Angabe von SendGrid in jedem Fall über die USA. Hat der Kunde sein SendGrid-Konto auch für persönliche E-Mails eingerichtet, schreiben seine Mitarbeitenden aus dem CRM darüber unter ihrem eigenen Namen; dann laufen auch diese E-Mails mit Empfängeradresse und Inhalt über sein Konto. Antworten darauf nimmt SendGrid für den Kunden entgegen, auf der Domain selbst oder auf einer eigenen Adresse darunter, und leitet sie mit Absender, Empfänger, Inhalt und Anhängen an claritos weiter, wo sie im Posteingang des Kunden landen; empfängt der Kunde auf der Domain selbst, gilt das für alle E-Mails an Adressen dort, etwa an seine Mitarbeitenden oder an gemeinsame Postfächer wie info@. Wo SendGrid diese Antworten verarbeitet, nennt SendGrid nicht; sie können auch über die USA laufen. Richtet der Kunde in seinem SendGrid-Konto eine Domain für Terminkonten ein (das darf auch die für persönliche E-Mails sein), erhalten seine Mitarbeitenden, Räume und Geräte dort eigene Adressen. E-Mails an diese Adressen nimmt SendGrid für den Kunden entgegen und leitet sie mit Absender, Empfänger, Inhalt und Anhängen an claritos weiter. Einladungen an einen Raum oder ein Gerät beantwortet claritos selbst mit einer Zu- oder Absage, je nachdem, ob Raum oder Gerät zu dieser Zeit frei sind; die Antwort geht mit Titel und Zeit des Termins über das SendGrid-Konto des Kunden an den Einladenden. Alle anderen E-Mails an diese Adressen landen im Posteingang des Kunden und werden dort wie Antworten eingestuft (Abschnitt 15). Auch für diese E-Mails nennt SendGrid nicht, wo es sie verarbeitet; sie können ebenfalls über die USA laufen. Über diese Adressen verschickt claritos auch die Terminpost der Ressourcen, etwa Bestätigungen, Erinnerungen, Änderungen und Absagen von Terminen samt Kalenderdatei; dann laufen Empfängeradresse, Name und die Angaben zum Termin (Art, Zeit, Ort, Link zur Verwaltung oder zum Video-Raum) über das SendGrid-Konto des Kunden. Mitarbeitende, die ihr eigenes Gmail verbunden haben, schreiben weiter von dort. Auch Antworten auf E-Mails von seinen übrigen Absender-Domains, etwa auf Kampagnen, kann der Kunde so über SendGrid empfangen, und wählt er eine solche Domain als Antwortadresse, auch Antworten auf seine übrigen E-Mails aus dem Kontakt, gleich über welchen Weg sie versendet wurden; sie gehen mit Absender, Empfänger, Inhalt und Anhängen an claritos, landen im Posteingang des Kunden und werden dort eingestuft (Abschnitt 15). Auch hier nennt SendGrid nicht, wo es diese E-Mails verarbeitet; sie können über die USA laufen.

  • GoHighLevel — Übergabe von Kontakten und Auslösern an ein dort geführtes Konto.

  • Meta Platforms — Messung von Werbeerfolgen, sofern der Kunde ein Werbekonto hinterlegt.

Für die Verarbeitung beim jeweiligen Anbieter gilt dessen eigene Datenschutzerklärung. Die Zugangsmerkmale speichern wir verschlüsselt; beim Trennen der Verbindung löschen wir sie.

17. Datensicherung durch den Kunden

Eine Organisation kann ihre Daten als Archiv herunterladen — Tabellen als CSV, Belege im Original, dazu ein steuerlich auswertbarer Teil. Das dient der Erfüllung ihrer eigenen Aufbewahrungspflichten und dem Wechsel zu einem anderen Anbieter (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

Was dabei zu beachten ist:

  • Ein solches Archiv enthält personenbezogene Daten der Kontakte, Klienten und Geschäftspartner der Organisation — je nach Betrieb auch Gesundheitsdaten.

  • Auslösen darf es nur, wer die Organisation verwaltet. Jeder Lauf und jeder spätere Abruf wird protokolliert.

  • Zugangsdaten sind nicht enthalten. Passwörter, Schlüssel und Token zu verbundenen Diensten bleiben ausdrücklich draußen.

  • Der Download-Link geht per E-Mail an die Adressen, die die Organisation dafür einträgt — das können auch Personen außerhalb sein, etwa die Steuerkanzlei. Wer den Link hat, kommt an das Archiv; die Organisation entscheidet, wer ihn bekommt.

  • Das Archiv kann mit einem Passwort verschlüsselt werden. Das Passwort setzt die Organisation selbst; es steht nie in der Zustell-Mail.

  • Nach 30 Tagen läuft der Link ab, und wir löschen das Archiv aus unserem Speicher.

Davon zu unterscheiden ist unsere eigene Betriebssicherung: Wir sichern die gesamte Plattform verschlüsselt bei einem anbieterfremden Speicherdienst (Backblaze), damit wir nach einem Ausfall wiederherstellen können. Diese Sicherung ist für niemanden abrufbar und dient allein dem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

18. Protokolle in der Anwendung

Neben den Protokollen unseres Hosting-Dienstleisters (Abschnitt 5) führt claritos ein eigenes Ereignisprotokoll: Fehler und sicherheitsrelevante Vorgänge — etwa eingehende Schnittstellen-Aufrufe, ausgelöste Datensicherungen oder fehlgeschlagene Hintergrundverarbeitungen. Es enthält so wenige personenbezogene Angaben wie möglich, in der Regel nur interne Kennungen. Diese Einträge werden nach 90 Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und nachvollziehbaren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

19. Eingesetzte Dienstleister

Wir setzen Dienstleister ein, die Daten ausschließlich in unserem Auftrag und nach unseren Weisungen verarbeiten (Auftragsverarbeitung nach Art. 28 DSGVO):

  • Vercel Inc. (USA), Ausführung in der EU — Betrieb und Auslieferung der Seiten. Die Server-Funktionen laufen ausschliesslich in europäischen Rechenzentren (Frankfurt, Paris, Dublin). Die Auslieferung der Seiten selbst erfolgt über ein weltweites Netz; dabei fallen die in Abschnitt 5 genannten Protokolldaten an, je nach Ihrem Standort auch ausserhalb der EU.

  • Supabase Inc. (USA), Datenhaltung in Frankfurt am Main — Datenbank.

  • Cloudflare, Inc. (USA), Speicher-Jurisdiktion Europäische Union — Speicher und Auslieferung von Bildern, Videos und Dokumenten. Beim Abruf einer Datei wird Ihre IP-Adresse technisch bedingt an diesen Dienst übermittelt.

  • Railway Corp. (USA), Ausführung in Amsterdam — Hintergrundverarbeitung, etwa das Erzeugen von PDF-Dokumenten, Texterkennung und Datensicherungen, sowie der Kalenderzugang und das Postfach im Mail-Programm (Abschnitt 14), bei denen Railway die Anfragen der Kalender-Geräte und die Verbindungen der Mail-Programme direkt annimmt und dabei deren IP-Adressen verarbeitet.

  • finAPI GmbH (Deutschland), Verarbeitung in Deutschland — Bankanbindung (Abschnitt 14): Abruf von Kontoständen und Umsätzen, Prüfung des Kontoinhabers zu einer IBAN und Einreichen von Lastschriften.

  • Inngest, Inc. (USA) — Ablaufsteuerung wiederkehrender Aufgaben. Übermittelt werden dabei nur interne Kennungen.

  • Plus Five Five, Inc. („Resend", USA), Versand aus Irland — Versand unserer E-Mails.

  • Backblaze, Inc. (USA), Speicher in der EU-Region (EU Central) — verschlüsselte Datensicherung.

  • CloudConvert (EU-Region) — Umwandlung von Office-Dateien in PDF.

  • Anthropic PBC (USA) und Google, über das Vercel AI Gateway — maschinelle Verarbeitung nach Abschnitt 15.

  • European Perspective SAS (Frankreich), Betreiberin von Staan — Websuche für das Ergänzen von Kontaktdaten aus öffentlichen Quellen und für Recherchen der Schreibhilfe für Briefe.

  • LiveKit Incorporated (USA), Projektdaten in der EU (Frankfurt) — Übertragung von Bild, Ton, Chat, Handzeichen und Reaktionen in Video-Räumen und Mitschnitt des Tons für die Zusammenfassung (Abschnitt 14). Bild und Ton werden dort nicht gespeichert; Mitschnitte und Aufzeichnungen legt LiveKit in unserem Speicher in der EU ab. Was LiveKit zum Ablauf einer Sitzung festhält, etwa wer wann beigetreten ist, liegt in der EU (Frankfurt).

  • Twilio Inc. (USA) — Versand des SMS-Codes bei erhöhter Nachweisstufe der elektronischen Signatur.

  • Google Ireland Limited (Irland) — Anmeldung mit Google, Versand von E-Mails aus dem Postfach des Nutzers, Abgleich mit seinem Google Kalender sowie Teilnehmer und Anwesenheitszeiten, Transkripte und ausgewählte Aufzeichnungen aus Google Meet, soweit dieser die Verbindung hergestellt hat. Näheres in Abschnitt 13.

Eigenständig verantwortlich, also nicht in unserem Auftrag, handeln:

  • Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung.

  • SSL.com — Ausstellung des Siegels bei der elektronischen Signatur.

  • Qonto (Olinda SAS, Frankreich) und Wise Europe SA (Belgien) — Auszahlungen im Partnerprogramm (Abschnitt 11).

Nur wenn ein Kunde sie selbst verbindet, kommen hinzu (Abschnitt 16): Zoom Video Communications, Pingen AG (Schweiz), LetterXpress (Deutschland), MailCheap (Cyberlabs, Inc.), Twilio SendGrid, GoHighLevel und Meta Platforms. Ohne eine solche Verbindung fließen dorthin keine Daten.

Mit allen Auftragsverarbeitern bestehen entsprechende Verträge.

Push-Dienste der Browser-Hersteller (etwa Google, Apple, Mozilla, Microsoft) — Benachrichtigungen auf das Gerät. Erlaubt jemand im Browser oder in der installierten App Benachrichtigungen, stellen wir sie über den Push-Dienst des Herstellers seines Browsers zu. Dieser erhält eine Geräteadresse, die der Browser dafür vergibt, den Zeitpunkt und die Nachricht verschlüsselt; lesen kann er sie nicht. Benachrichtigungen an Teilnehmende einer Lernplattform nennen nur, wer wo geschrieben hat oder was neu ist, nie den Text. Wer die Erlaubnis zurücknimmt oder die Benachrichtigungen abschaltet, bekommt keine mehr; eine nicht mehr gültige Geräteadresse löschen wir. Die Push-Dienste können außerhalb der EU arbeiten.

20. Übermittlung in Drittländer

Soweit Dienstleister Daten außerhalb der Europäischen Union verarbeiten, geschieht das auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzenden Schutzmaßnahmen oder auf Grundlage eines Angemessenheitsbeschlusses.

Alle Anbieter, bei denen Ihre Daten gespeichert werden, verarbeiten sie in der EU — auch die, deren Unternehmen in den USA sitzt:

  • Vercel — Server-Funktionen in Frankfurt, Paris und Dublin.

  • Supabase — Datenbank in Frankfurt am Main.

  • Cloudflare R2 — Dateispeicher mit der Jurisdiktion „Europäische Union".

  • Railway — Hintergrundverarbeitung, Kalenderzugang und Postfach im Mail-Programm in Amsterdam.

  • finAPI — Bankanbindung in Deutschland.

  • MailCheap/Cyberlabs — Postfächer in Deutschland.

  • Resend — E-Mail-Versand aus Irland.

  • Backblaze — verschlüsselte Betriebssicherung in der EU-Region.

Ihre Inhalte — Belege, Buchungen, Kontakte, Akten, Dateien — werden damit ausschließlich in der EU gespeichert, einschließlich der Sicherungskopien. Für den Fall eines Zugriffs nach US-Recht greifen zusätzlich die Standardvertragsklauseln.

Fünf Wege verlassen die EU, und wir benennen sie ausdrücklich:

  • Die Auslieferung der Seiten läuft über ein weltweites Netz, damit Seiten überall schnell erscheinen. Dabei fallen die Protokolldaten aus Abschnitt 5 an — im Wesentlichen Ihre IP-Adresse und die aufgerufene Adresse —, je nach Ihrem Standort an einem Knoten außerhalb der EU. Inhalte sind daran nicht beteiligt.

  • Die maschinelle Verarbeitung (Abschnitt 15) übermittelt die jeweiligen Inhalte an Anthropic PBC und Google in den USA. Das betrifft echte Inhalte — etwa den Text eines Belegs, der ausgelesen werden soll. Es geschieht nur bei den dort genannten Funktionen und nur mit dem, was die jeweilige Funktion braucht.

  • Bild, Ton und Chat in Video-Räumen (Abschnitt 14) überträgt LiveKit auf dem kürzesten Weg zwischen den Teilnehmenden, je nach deren Standort auch über Rechenzentren außerhalb der EU. Übertragen werden dabei Bild, Ton, Nachrichten im Chat, Handzeichen und Reaktionen, der Name im Raum und die IP-Adresse. Bild und Ton werden dabei nicht gespeichert.

  • Anfragen der Kalender-Geräte und Verbindungen der Mail-Programme (Abschnitt 14) nimmt Railway an Knoten seines weltweiten Netzes entgegen, je nach Standort des Geräts auch außerhalb der EU, und leitet sie nach Amsterdam weiter. Dabei laufen die IP-Adresse des Geräts, die angefragte Adresse und die Termine in Anfrage und Antwort über diesen Knoten; die Verbindungen der Mail-Programme laufen dort verschlüsselt durch und werden erst auf unserem Server in Amsterdam entschlüsselt.

  • Der SMS-Code bei erhöhter Nachweisstufe der elektronischen Signatur (Abschnitt 10) geht über Twilio in den USA; übermittelt wird dabei Ihre Mobilnummer.

Für die Schweiz, wo der Briefversand-Anbieter Pingen sitzt, besteht ein Angemessenheitsbeschluss der EU-Kommission; eine Übermittlung dorthin bedarf deshalb keiner zusätzlichen Garantien.

21. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Anschließend werden sie gelöscht, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Im Einzelnen:

  • Ereignisprotokoll der Anwendung: 90 Tage (Abschnitt 18).

  • Datensicherungs-Archive: 30 Tage (Abschnitt 17).

  • Tonmitschnitte aus Video-Räumen: bis die Abschrift erstellt ist, höchstens sechs Stunden nach dem Ende der Sitzung.

  • Zustimmungen in Video-Räumen: so lange wie das Dokument der Sitzung.

  • Dateien aus dem Chat von Video-Räumen: so lange wie das Dokument der Sitzung.

  • Liste beendeter Zoom-Meetings für den Import: 90 Tage bei Meetings ohne Bezug zu claritos (ohne Termin oder Sofort-Meeting in claritos).

  • Belege, Buchungen und Rechnungen: nach handels- und steuerrechtlicher Aufbewahrungspflicht, in der Regel zehn Jahre (§§ 147 AO, 257 HGB).

  • Nutzerkonto und Inhalte: bis zur Löschung durch Sie oder bis zum Ende des Vertrags mit dem Betrieb, dem sie gehören.

22. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Einer Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Betreffen Ihre Rechte Inhalte, die ein Betrieb in claritos verarbeitet, ist dieser Betrieb Ihr Ansprechpartner (Abschnitt 14).

23. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Postfach 20 04 44
40102 Düsseldorf
Telefon: +49 (0)211 / 38424 - 0

24. Links zu anderen Seiten

Unsere Seiten können auf fremde Internetseiten verweisen. Für deren Inhalte und Datenverarbeitung sind ausschließlich die jeweiligen Anbieter verantwortlich.

25. Änderungen

Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen ändern. Stand: 10. November 2026.

clari·tos Logo