1. Wer verantwortlich ist
Verantwortlicher für die hier beschriebenen personenbezogenen Daten ist Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034. Schreiben Sie an privacy@gelex.eu, wenn Sie etwas in dieser Erklärung betrifft.
Datenschutzbeauftragte. Unser Korpus enthält Gerichtsentscheidungen, von denen einige Straftaten betreffen (Art. 10 DSGVO). Ihre Veröffentlichung in großem Umfang ist eine Kerntätigkeit, daher behandeln wir Art. 37 Abs. 1 lit. c als Pflicht zur Benennung eines Datenschutzbeauftragten. Wir sind dabei, eine Beauftragte oder einen Beauftragten zu benennen; Name und Kontakt werden hier veröffentlicht. Bis dahin erreichen Sie über privacy@gelex.eu die für den Datenschutz verantwortliche Person.
Wenn Ihre Organisation Gelex nutzt, werden die Fragen, Dokumente, Akten, Entwürfe und Mitschriften, die ihre Mitglieder in den Dienst eingeben, im Auftrag der Organisation verarbeitet. Dafür ist die Organisation der Verantwortliche, und wir sind ihr Auftragsverarbeiter, nach dem Auftragsverarbeitungsvertrag.
Personen, die in den von uns veröffentlichten Gerichtsentscheidungen genannt sind: siehe den gesonderten Hinweis zu personenbezogenen Daten in Gerichtsentscheidungen.
2. Was wir verarbeiten, warum und auf welcher Grundlage
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| Konto: Name, E-Mail, Sprache, Organisation und Rolle sowie Ihre Anmeldemethoden (Passkey, Passwort-Hash, Authenticator-App) | Um Ihnen ein Konto zu geben und Sie sicher anzumelden | Vertrag, Art. 6 Abs. 1 lit. b |
| Anmeldung mit Google oder Microsoft, falls Sie sie wählen: Ihr Name, Ihre E-Mail-Adresse und die Konto-Kennung dieses Anbieters | Zur Anmeldung. Für nichts anderes verwendet. | Vertrag, Art. 6 Abs. 1 lit. b |
| Nutzungsmetadaten je Anfrage: wer, wann, welche Art von Werkzeug, welche Korpusdokumente gelesen wurden, Gerichtsbarkeiten, Dauer, Tokenanzahl, Ergebnis | Um die Nutzung auf Ihren Tarif anzurechnen, den Dienst zu betreiben und Ihrer Organisation ihre Nutzung zu zeigen | Vertrag, Art. 6 Abs. 1 lit. b |
| Prüfprotokoll: sicherheitsrelevante Ereignisse (Mitgliedschaft, Rollen- und Schlüsseländerungen, „eine Frage wurde gestellt“ ohne deren Text, Supportzugriff durch Personal), mit gehashter IP-Adresse | Um den Dienst und das Konto Ihrer Organisation sicher und nachvollziehbar zu halten | Berechtigtes Interesse an Sicherheit, Art. 6 Abs. 1 lit. f |
| Abrechnung: Name der Organisation, Rechnungsadresse, USt-IdNr. und deren Prüfung im EU-Register VIES, Rechnungen sowie Überhang für einen Nutzungszeitraum, der vor Festlegung eines Abrechnungslandes endete | Um bezahlte Tarife zu berechnen, die Umsatzsteuer richtig anzuwenden und Bücher zu führen | Vertrag und rechtliche Pflicht, Art. 6 Abs. 1 lit. b und c |
| Empfehlungen: wer welche Organisation empfohlen hat und ob sie zahlende Kundin wurde | Um die Empfehlungsgutschrift zu gewähren | Vertrag, Art. 6 Abs. 1 lit. b |
| Angebotsanfragen: Name, E-Mail, Organisation und Ihre Nachricht | Um ein Angebot zu beantworten und vorzubereiten | Vorvertragliche Schritte, Art. 6 Abs. 1 lit. b |
| Kündigungs- und Widerrufserklärungen (Verbraucher) | Um sie auszuführen und nachzuweisen, dass wir es getan haben | Rechtliche Pflicht, Art. 6 Abs. 1 lit. c |
| Meldungen zu Inhalten (Entfernungs- oder Korrekturanfragen, Widersprüche): Name, E-Mail und Erklärung der meldenden Person | Um die Meldung zu bearbeiten und zu beantworten, wie es das Gesetz über digitale Dienste verlangt | Rechtliche Pflicht, Art. 6 Abs. 1 lit. c |
| E-Mails, die Sie uns senden | Um Ihnen zu antworten | Berechtigtes Interesse, Art. 6 Abs. 1 lit. f |
| Kundeninhalte: Mitschriften (nur wenn Ihre Organisation sie einschaltet), Akten, Entwürfe, hochgeladene Dokumente, elektronische Unterschriften auf Entwürfen, zur Unterschrift gesendete Dokumente mit Name, E-Mail-Adresse, Antwort und der Netzadresse jedes Unterzeichners, von dem aus er unterschrieben hat, die eigenen Vorlagen der Organisation und wer sie verfasst und genehmigt hat, welche Gesetzesänderungen zu einer Akte an welches Mitglied gemailt wurden, und die Schlüssel, die die Platzhalter für Personennamen in einer Akte mit diesen Namen verbinden, getrennt von der KI gehalten | Um die Funktionen bereitzustellen, die Ihre Organisation nutzt | Verarbeitet für Ihre Organisation nach dem Auftragsverarbeitungsvertrag |
Was wir nicht speichern. Solange Ihre Organisation Mitschriften nicht einschaltet, speichern wir nie den Text einer Frage oder einer Antwort. Das verbundene KI-Modell erhält die Frage und die Quelltexte, die es zur Antwort braucht; wir behalten nur die oben genannten Metadaten.
Wir trainieren keine KI-Modelle mit Ihren Daten. Wir betreiben kein eigenes KI-Modell. Antworten kommen von dem Modell, das Ihre Organisation verbindet.
Nutzerdaten von Google und Microsoft. Wenn Sie sich mit Google oder Microsoft anmelden, erhalten wir nur die Daten aus der Tabellenzeile oben. Wir verwenden sie nur, um Ihr Konto zu erstellen und Sie anzumelden. Wir geben sie nicht weiter, nutzen sie nicht für Werbung und nicht zum Training von Modellen. Google und Microsoft sind für ihre eigene Anmeldung eigenständige Verantwortliche.
3. Die KI, die Sie verbinden
Sie wählen das KI-Modell, das antwortet. Wenn Sie eines mit einem API-Schlüssel verbinden, werden Ihre Fragen und Quelltexte unter Ihrer eigenen Vereinbarung mit dem Anbieter an diesen gesendet. Der Anbieter ist Ihr Auftragsverarbeiter, nicht unserer, und seine eigenen Datenschutzbedingungen gelten. Wenn Sie unseren MCP-Konnektor in Ihrem eigenen Assistenten nutzen, erhält der Anbieter dieses Assistenten, was Sie dort eingeben, unter dessen Bedingungen. Siehe KI-Transparenz.
4. Wer Daten erhält
Eine kleine Zahl von Auftragsverarbeitern hilft uns, den Dienst zu betreiben. Sie sind mit ihrem Standort auf der Seite Unterauftragsverarbeiter aufgeführt. Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter. Wir geben Daten an Behörden nur weiter, wenn das Gesetz es verlangt.
Unser Personal. Personal kann das Konto einer Organisation in der Personalkonsole nur nach einer Anmeldung mit einem zweiten Faktor öffnen. Zur Unterstützung in einem Supportfall kann ein Mitarbeiter den Dienst als eines Ihrer Mitglieder ansehen. Diese Ansicht ist nur lesbar, dauert standardmäßig 15 Minuten und höchstens 30, erfordert einen angegebenen Grund und wird im eigenen Prüfprotokoll Ihrer Organisation festgehalten.
5. Wo Daten gespeichert werden
Der Dienst und seine Server-Sicherungskopien werden von Hetzner in dessen Rechenzentrum in Nürnberg, Deutschland, gehostet; der Standort einer Sicherungskopie außerhalb wird hier angegeben, sobald sie eingerichtet ist. Transaktionale E-Mails werden über Migadu versendet, ein schweizerisches Unternehmen. Die Schweiz wird von der Europäischen Kommission als Land mit angemessenem Schutzniveau anerkannt. Wir nutzen keinen US-amerikanischen Cloud-Anbieter, und wir übermitteln personenbezogene Daten nicht außerhalb des EWR, außer in ein Land mit einem solchen Beschluss.
6. Wie lange wir sie aufbewahren
- Frage, Antwort und Quelltext: werden nie gespeichert, weder in der Datenbank noch in Protokollen, sofern Ihre Organisation Mitschriften nicht einschaltet.
- Mitschriften: werden nur gespeichert, solange Ihre Organisation sie eingeschaltet hat. Sie werden für den von ihr festgelegten Zeitraum aufbewahrt und danach gelöscht; legt sie keinen Zeitraum fest, bleiben sie, bis sie oder Sie sie löschen. Wird die Mitschrift ausgeschaltet, werden keine neuen mehr gespeichert; frühere bleiben bis zum Ende ihres Zeitraums oder bis zur Löschung bestehen.
- Kontodaten: solange das Konto besteht. Wenn Sie Ihr Konto löschen, werden Ihre Anmeldedaten gelöscht, und was in den Nutzungs- und Prüfprotokollen verbleibt, wird pseudonymisiert.
- Schlüssel von KI-Anbietern: werden gelöscht, wenn die Verbindung oder die Organisation entfernt wird; ein ersetzter Schlüssel wird sofort gelöscht.
- Datenexporte: werden auf Ihre Anforderung erstellt und nie gespeichert.
- Nutzungsmetadaten: 24 Monate.
- Geschlossene Organisationen: ihre Inhalte (Akten, Entwürfe, Dokumente, Mitschriften, Einladungen, Sitzungen und Mitgliedsverknüpfungen) werden 30 Tage nach Schließung der Organisation gelöscht. Ebenso das Konto jedes Mitglieds, das keiner anderen Organisation angehört: sein Name, seine E-Mail und seine Anmeldung. Ihre Rechnungen und ihr Prüfprotokoll bleiben, wie hier angegeben.
- Prüfprotokoll: 5 Jahre nach Schließung der Organisation. Es wird aufbewahrt, um nachzuweisen, was auf dem Konto geschehen ist, und wird nicht zusammen mit den übrigen Daten der Organisation gelöscht.
- Nicht abgeschlossene Anmeldeversuche: 24 Stunden. Sie enthalten außer einer Rücksprungadresse in der App keine personenbezogenen Daten.
- Abgelaufene Sitzungen und Einladungen: 90 Tage.
- Angebotsanfragen: 2 Jahre. Inhaltsmeldungen: 3 Jahre nach der Entscheidung. Widerrufs- und Kündigungserklärungen von Verbrauchern: 5 Jahre.
- Server-Protokolle: 30 Tage. Sie enthalten nie den Text einer Frage, und der Webserver führt kein Zugriffsprotokoll.
- Rechnungen: 5 Jahre nach Ende des Geschäftsjahres, wie es das dänische Buchführungsgesetz verlangt.
- Ausgehende Post im Namen des Unternehmens: die Adresse, an die sie ging, ihr Betreff und Text sowie der Grund des Versands werden 2 Jahre nach Versand, Ablehnung oder Fehlschlag in unserem Postausgang aufbewahrt; unser E-Mail-Anbieter führt Zustellprotokolle nach seiner eigenen Richtlinie.
- Sicherungskopien: tägliche Sicherungen werden 30 Tage und Sicherungen zum Monatsende 12 Monate aufbewahrt. Aus dem Dienst gelöschte Daten verschwinden daher spätestens nach 12 Monaten aus den Sicherungskopien. Sicherungskopien werden auf unserem Server in Deutschland aufbewahrt und nur zur Wiederherstellung des Dienstes zurückgespielt; die Kopie außerhalb, sobald erstellt, ist verschlüsselt.
7. Ihre Rechte
Sie haben das Recht, auf Ihre Daten zuzugreifen, sie berichtigen oder löschen zu lassen, ihre Verarbeitung einzuschränken oder ihr zu widersprechen und sie in einem übertragbaren Format zu erhalten. Zwei davon können Sie selbst in der App tun, unter Einstellungen → Ihre Daten: Ihre Daten herunterladen und Ihr Konto löschen. Für alles Übrige schreiben Sie an privacy@gelex.eu. Wir antworten innerhalb eines Monats.
Soweit wir uns auf berechtigte Interessen stützen, können Sie jederzeit widersprechen. Sie können sich bei der dänischen Datenschutzbehörde (Datatilsynet, datatilsynet.dk) oder bei der Behörde Ihres Wohnsitzes beschweren.
8. Müssen Sie uns Daten geben?
Ein Konto braucht einen Namen und eine E-Mail-Adresse; ohne sie können wir den Dienst nicht erbringen. Abrechnungsdaten sind für bezahlte Tarife gesetzlich vorgeschrieben. Wir treffen keine Entscheidungen über Sie allein auf Grundlage automatisierter Verarbeitung, die rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.
9. Sicherheit
Die Anmeldung unterstützt Passkeys und Authenticator-Apps. Verbindungen sind verschlüsselt. KI-Anbieter-Schlüssel, die Ihre Organisation speichert, sind verschlüsselt und werden nie wieder angezeigt. Mitschriften sind unter einem Schlüssel verschlüsselt, der für Ihre Organisation gilt. Das Prüfprotokoll ist nur anfügbar, und sein Export ist signiert, damit es überprüft werden kann. Eine Schwachstelle melden Sie an security@gelex.eu (siehe unsere Richtlinie zur Offenlegung).
10. Änderungen
Wir aktualisieren diese Erklärung, wenn sich ändert, was wir tun, und wir informieren Kontoinhaber per E-Mail, bevor eine wesentliche Änderung wirksam wird.
Änderungsverlauf
- , Version 1: Erste Fassung.