Datenschutzerklärung

1. Allgemeines zur Datenverarbeitung

Diese Datenschutzerklärung informiert über die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten durch Knowmanity UG. Rechtsgrundlage ist die Datenschutz-Grundverordnung (DSGVO) und das Telemediengesetz (TMG).

Der Schutz Ihrer Daten hat für uns hohe Priorität. Wir verarbeiten personenbezogene Daten ausschließlich auf Basis einer Rechtsgrundlage (Vertrag, Einwilligung, berechtigtes Interesse oder rechtliche Verpflichtung).

2. Kategorien verarbeiteter personenbezogener Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer
• Authentifizierungsdaten: Benutzername, Passwort (verschlüsselt), Authentifizierungs-Token
• Abonnementdaten: Abrechnungsinformationen, Zahlungsmethode, Rechnungsadresse
• Nutzungsdaten: Interview-Inhalte (hochgeladene Videos, Transkripte, Dateien)
• Systemdaten: IP-Adresse, Browser-Information, Betriebssystem, Zugriffsprotokolle
• Audit-Logs: Wer führte welche Aktion wann durch (für Compliance)

3. Rechtsgrundlagen der Datenverarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen:

4. Hosting, Speicherung und Infrastruktur

EU-Hosting: Kundendaten werden in der Europäischen Union gespeichert (Supabase EU, AWS Frankfurt Region). Für bestimmte KI-Funktionen können erforderliche Textausschnitte an vertraglich gebundene KI-Dienstleister außerhalb der EU übermittelt werden. Diese Übermittlungen erfolgen auf Basis geeigneter Garantien, insbesondere EU-Standardvertragsklauseln und ergänzender Schutzmaßnahmen.

PostgreSQL-Datenbank: Backend-Infrastruktur: Supabase (PostgreSQL 15), gehostet in Frankfurt, Deutschland.

Verschlüsselung: Datenübertragung erfolgt über TLS 1.3, Speicherung über AES-256-Verschlüsselung (at rest).

5. Zweck und Dauer der Datenverarbeitung

6. Empfänger personenbezogener Daten

Personenbezogene Daten werden an folgende Kategorien von Empfängern weitergegeben:

• Zahlungsdienstleister (Mollie B.V.): Für die Verarbeitung von Zahlungen werden Rechnungs- und Zahlungsdaten an Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Niederlande) weitergegeben. Mollie unterliegt der DSGVO und ist als EU-Unternehmen kein Drittland-Transfer. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragserfüllung). Mollie verarbeitet: Name, E-Mail, Zahlungsmethode, IBAN (bei SEPA), Rechnungsbetrag und Transaktionshistorie.
• KI-Dienstleister (Anthropic PBC): Für die KI-gestützte Interviewführung und Wissensextraktion werden Interview-Inhalte an Anthropic PBC (San Francisco, USA) übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO (Vertragsleistung) i.V.m. Art. 46 Abs. 2 c) DSGVO (EU-Standardvertragsklauseln, SCCs). Die Übermittlung erfolgt auf Basis abgeschlossener SCCs und der Datenschutzrichtlinien von Anthropic im API-/Enterprise-Betrieb. Es werden ausschließlich erforderliche Textausschnitte übermittelt – keine Kontakt- oder Zahlungsdaten. Die Inhalte werden im API-Setup nicht zum Training allgemeiner Modelle verwendet.
• KI-Dienstleister (OpenAI Inc.) – ergänzend: Für einzelne Nebenfunktionen (Embeddings für die Wissenssuche, Sprache-zu-Text sowie die Sprachausgabe freigegebener Audio-Startbriefings) können Daten an OpenAI Inc. (San Francisco, USA) übermittelt werden. Die Sprachausgabe nutzt ausschließlich neutrale Standardstimmen; es wird keine Stimme realer Personen nachgebildet. Rechtsgrundlage: Art. 6 Abs. 1 b) DSGVO i.V.m. Art. 46 Abs. 2 c) DSGVO (EU-Standardvertragsklauseln). OpenAI hat sich zusätzlich zum EU-US Data Privacy Framework (DPF) zertifiziert. Die Inhalte werden im API-Setup nicht zum Training allgemeiner Modelle verwendet.
• Hosting-Provider (Supabase Inc.): Supabase speichert alle Daten in ihren Rechenzentren in der EU (Frankfurt, Deutschland). Supabase Inc. hat seinen Sitz in den USA, die Datenverarbeitung erfolgt jedoch ausschließlich in der EU-Region. Rechtsgrundlage: Art. 28 DSGVO (Auftragsverarbeitung) mit EU-Standardvertragsklauseln.
• Analyse (PostHog Ltd.) – nur mit Einwilligung: Bei ausdrücklicher Zustimmung über den Cookie-Banner werden anonymisierte Nutzungsdaten an PostHog Ltd. übermittelt. PostHog wird in der EU gehostet (eu.posthog.com). Rechtsgrundlage: Art. 6 Abs. 1 a) DSGVO (Einwilligung). Die Einwilligung kann jederzeit widerrufen werden.
• Fehlererfassung (Sentry / Functional Software Inc.) – nur mit Einwilligung: Bei ausdrücklicher Zustimmung werden technische Fehlerdaten (keine personenbezogenen Daten) an Sentry übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 a) DSGVO (Einwilligung).
• Behörden: Bei rechtlicher Verpflichtung (Gerichtsbeschluss, Steuerbehörden) geben wir Daten an Behörden weiter.

Keine Weitergabe an Dritte: Wir verkaufen oder teilen personenbezogene Daten NICHT mit unabhängigen Dritten zu Marketing- oder Werbezwecken.

7. Ihre Rechte als betroffene Person (Art. 15–21 DSGVO)

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

Zur Ausübung Ihrer Rechte kontaktieren Sie uns bitte unter: [email protected]

8. Sicherheitsmaßnahmen

Wir implementieren folgende technische und organisatorische Sicherheitsmaßnahmen:

• TLS 1.3 Verschlüsselung für Datenübertragung
• AES-256 Verschlüsselung für Speicherung
• Passwort-Hashing mit modernen Algorithmen
• Multi-Factor Authentication (MFA) verfügbar
• Firewall und Intrusion Detection Systems
• DDoS-Schutz und Web Application Firewall
• Zugriffskontrollen und Role-Based Access Control (RBAC)
• Mandantentrennung (Tenant-Isolation) auf Datenbankebene mittels Row-Level Security (RLS)
• Audit Logging aller kritischen Aktionen
• KI-Audit-Log: Protokollierung aller KI-Interaktionen (Modell, Token, Kosten)
• Qualitätsmonitoring und Circuit Breaker für KI-Ausgaben
• Prompt-Injection-Schutz für alle KI-Eingaben (inkl. deutsche Muster und Unicode-Erkennung)
• Monatliche KI-Nutzungskontingente (AI Quota) pro Mandant
• Automatische Inaktivitäts-Timeouts für Nutzersitzungen
• Regelmäßige Backups (täglich, 35 Tage Aufbewahrung)
• Sentry-Fehlererfassung nur nach expliziter Cookie-Einwilligung

9. Cookies und Tracking-Technologien

Session-Cookies (notwendig): Wir verwenden technisch notwendige Session-Cookies zur Authentifizierung und Sicherheit. Diese werden nicht zu Tracking-Zwecken verwendet. Rechtsgrundlage: Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse).

Cookie-Consent: Beim ersten Besuch der Website wird ein Cookie-Banner angezeigt, über das Sie granular entscheiden können, welche optionalen Cookies aktiviert werden. Ihre Auswahl wird lokal gespeichert und kann jederzeit geändert werden.

Analyse-Cookies (optional, nur mit Einwilligung): Bei Zustimmung wird PostHog (EU-gehostet, eu.posthog.com) zur anonymisierten Nutzungsanalyse eingesetzt. Es werden keine personenbezogenen Daten an Dritte zu Werbezwecken weitergegeben.

Fehlererfassung (optional, nur mit Einwilligung): Bei Zustimmung wird Sentry zur automatischen Erfassung technischer Fehler verwendet. Es werden ausschließlich technische Daten (Fehlermeldungen, Browser-Version, Stack-Traces) erfasst – keine persönlichen Inhalte.

10. Datenverarbeitungsvertrag (DPA) für B2B-Kunden

Wenn Sie als Kunde personenbezogene Daten von Dritten (z.B. Interview-Teilnehmer, Mitarbeitende) über unsere Plattform verarbeiten, handelt Knowmanity als Auftragsverarbeiter gemäß Art. 28 DSGVO. Der folgende Abschnitt stellt den Datenverarbeitungsvertrag dar.

11. Internationaler Datentransfer

EU-Hosting: Alle Kundendaten (Datenbank, Dateien, Backups) werden ausschließlich in der EU gespeichert (Supabase Frankfurt, Deutschland). Zahlungsdaten werden innerhalb der EU durch Mollie B.V. (Niederlande) verarbeitet.

KI-Verarbeitung (USA): Für die KI-gestützte Interviewführung werden Interview-Inhalte an Anthropic PBC (USA) und ergänzend an OpenAI Inc. (USA) übermittelt. Die Übermittlung erfolgt auf Basis folgender Garantien:

• EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 c) DSGVO mit beiden Anbietern
• EU-US Data Privacy Framework (DPF) – OpenAI ist DPF-zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023)
• Technische Maßnahmen: Es werden ausschließlich Interview-Textinhalte übermittelt. Keine Kontaktdaten, Zahlungsdaten oder Authentifizierungsdaten werden an KI-Dienstleister weitergegeben.
• Datenminimierung: Anthropic und OpenAI verarbeiten die Daten nur zur Erbringung des API-Dienstes und nutzen sie nicht zum Training eigener Modelle (gemäß den jeweiligen Nutzungsbedingungen für Geschäftskunden).

Analyse & Fehlererfassung: PostHog wird in der EU gehostet (eu.posthog.com). Sentry-Fehlerdaten (nur technische Daten, keine personenbezogenen Inhalte) werden nur mit Einwilligung übermittelt.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns das Recht vor, diese Datenschutzerklärung anzupassen. Wesentliche Änderungen werden Ihnen per E-Mail mitgeteilt. Die aktuelle Version finden Sie jederzeit auf unserer Website.

13. Beschwerde bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt.

Zuständige Behörde in Bayern:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Wagmüllerstraße 5
80538 München
Tel.: +49 (0)89 212672-0
E-Mail: [email protected]

14. Wissensrisiko-Check (kostenloser Selbsttest)

Auf unserer Website bieten wir einen kostenlosen Selbsttest an, mit dem Unternehmen einschätzen können, in welchen Bereichen kritisches Wissen an wenigen Personen hängt. Die Teilnahme ist ohne Anmeldung und ohne Angabe personenbezogener Daten möglich.

Welche Daten verarbeitet werden

• Antworten: Ausschließlich Auswahlwerte aus vorgegebenen Antwortmöglichkeiten (zum Beispiel „Zwei Personen", „Teilweise dokumentiert"). Es gibt keine Freitextfelder. Wir erheben keine Namen, keine Angaben zu einzelnen Mitarbeitenden und keine Betriebsgeheimnisse; darauf weisen wir vor dem Start ausdrücklich hin.
• Technische Angaben zum Durchlauf: Zeitpunkt von Start und Abschluss, gewählte Bereiche, die verwendete Fragebogen-Version sowie – falls vorhanden – Kampagnen-Parameter aus dem Aufruf-Link (utm_source, utm_medium, utm_campaign).
• Zugriffsschlüssel: Ihr Ergebnis ist über einen zufällig erzeugten Link erreichbar. In unserer Datenbank speichern wir von diesem Schlüssel nur einen kryptografischen Hashwert (SHA-256). Der Schlüssel selbst steht ausschließlich in Ihrer Adresszeile. Aus unserer Datenbank allein lässt sich Ihr Ergebnislink deshalb nicht wiederherstellen.
• Keine IP-Adressen: Wir speichern zum Selbsttest keine IP-Adressen. Zum Schutz vor automatisierten Massenaufrufen wird die IP-Adresse kurzzeitig und ausschließlich als Hashwert mit täglich wechselndem Zusatzwert in einem Zwischenspeicher verarbeitet und nicht dauerhaft gespeichert.
• Optional: E-Mail-Adresse und Unternehmen. Nur wenn Sie das Ergebnis per E-Mail erhalten möchten. Dieses Feld ist freiwillig, das Kästchen ist nicht vorausgewählt, und wir speichern zusätzlich den Zeitpunkt und die Version des Einwilligungstextes, dem Sie zugestimmt haben.
• Zuordnung zu einer Terminbuchung: Haben Sie uns im Selbsttest Ihre E-Mail-Adresse gegeben und buchen anschließend über unsere Website ein Beratungsgespräch mit derselben Adresse, ordnen wir Ihrem Termin die Kurzfassung Ihres Ergebnisses zu (die betroffenen Bereiche, Risikostufen und Werte), damit wir es im Gespräch kennen. Ohne E-Mail-Angabe im Selbsttest findet keine Zuordnung statt. Der Ergebnislink selbst wird dabei nicht gespeichert.

Rechtsgrundlagen

• Durchführung des Selbsttests und Anzeige des Ergebnisses: Art. 6 Abs. 1 f) DSGVO (berechtigtes Interesse an der Bereitstellung eines funktionsfähigen, vor Missbrauch geschützten Online-Angebots). Ein Personenbezug entsteht dabei in der Regel nicht.
• Zusendung des Ergebnisses und Kontaktaufnahme dazu: Art. 6 Abs. 1 a) DSGVO (Einwilligung). Sie können die Einwilligung jederzeit widerrufen, zum Beispiel über den Löschlink in der E-Mail oder per Nachricht an [email protected].
• Demo- oder Pilot-Anfrage aus dem Ergebnis: Art. 6 Abs. 1 b) DSGVO (Anbahnung eines Vertragsverhältnisses). Dabei übermittelt Ihr Browser nur den Zugriffsschlüssel; die betroffenen Bereiche und Risikostufen ergänzen wir serverseitig, damit sie in der Anfrage nicht verändert werden können.

Speicherdauer

• Durchläufe ohne E-Mail-Adresse löschen wir spätestens 90 Tage nach dem Start automatisch.
• Haben Sie uns eine E-Mail-Adresse gegeben, bewahren wir den Durchlauf gemeinsam mit der Anfrage nach unserem Löschkonzept für Interessentendaten auf, bis Sie widerrufen oder löschen.
• Über den Löschlink in der Ergebnis-Mail können Sie Ihren Durchlauf, Ihre Antworten und Ihre Kontaktangaben jederzeit sofort löschen. Mit Ihrer E-Mail-Adresse legen wir außerdem einen Eintrag in unserer Interessentenliste (CRM) an, damit wir Ihr Ergebnis im Gespräch berücksichtigen können; er wird über den Löschlink ebenfalls entfernt. Haben wir uns bereits mit Ihnen in Verbindung gesetzt oder haben Sie einen Termin gebucht, bleibt dieser Geschäftskontakt bestehen, die Ergebnisdaten daraus werden aber entfernt. Eine vollständige Löschung veranlassen wir auf Anfrage an [email protected].

Empfänger

• Supabase Inc. – Speicherung der Durchläufe in der EU-Region (Frankfurt), wie in Abschnitt 4 und 6 beschrieben.
• Resend (E-Mail-Versand): Nur wenn Sie die Zusendung des Ergebnisses wünschen, übermitteln wir Ihre E-Mail-Adresse und das Ergebnis an unseren Versanddienstleister.
• Upstash (Zwischenspeicher für den Missbrauchsschutz): Verarbeitet kurzzeitig den oben beschriebenen Hashwert der IP-Adresse, um automatisierte Massenaufrufe zu begrenzen. Inhalte des Selbsttests werden dorthin nicht übermittelt.

Keine automatisierte Entscheidung im Einzelfall

Das Ergebnis entsteht aus einer festen, nachvollziehbaren Rechenregel (gewichtete Summe Ihrer Auswahlwerte). Es kommt keine künstliche Intelligenz zum Einsatz, und es findet keine Bewertung einzelner Personen statt. Das Ergebnis ist eine Orientierung für Ihr Unternehmen und keine Prognose; eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO ist damit nicht verbunden.

Messung ohne Drittanbieter

Zur Verbesserung des Angebots zählen wir, wie viele Durchläufe begonnen, abgeschlossen und zu einer Demo- oder Pilot-Anfrage geführt haben. Dafür vermerken wir ausschließlich Zeitstempel an dem bereits bestehenden, anonymen Durchlauf. Es werden keine Cookies gesetzt und keine Analysedienste Dritter eingebunden.