Datenschutzerklärung

„ITSDCloud Private AI“ — ein Angebot der ITSD Consulting GmbH
Stand 11.10.2026 · Website, B2B-Anwendung und Desktop-Client

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für eigene Verarbeitungsvorgänge ist ITSD Consulting GmbH, Herminenstr. 24, 31675 Bückeburg, Deutschland.

Kontakt für „ITSDCloud Private AI“: Zweigstelle Bünde, Blankensteinstr. 62, 32257 Bünde, Telefon +49 5223 793 34 00, E-Mail kontakt@itsd-consulting.de.

2. Datenschutzbeauftragter

Steffen Meier, Datenmeier GmbH & Co. KG, Pettenpohlstraße 17, 32312 Lübbecke, Telefon 05741-289 97 11, E-Mail steffen@datenmeier.de.

3. Gegenstand dieser Datenschutzerklärung und Rollenverteilung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Website und dem B2B-Dienst „ITSDCloud Private AI“.

Der Unternehmenskunde entscheidet als Verantwortlicher über die Zwecke und wesentlichen Mittel der Verarbeitung der von ihm oder seinen Nutzern eingebrachten personenbezogenen Daten. Dies umfasst im vereinbarten Leistungsumfang auch Gesundheitsdaten. Der Unternehmenskunde ist für die Rechtmäßigkeit dieser Verarbeitung verantwortlich, insbesondere für die erforderlichen Rechtsgrundlagen nach Art. 6 und bei Gesundheitsdaten zusätzlich nach Art. 9 DSGVO sowie für die Erfüllung seiner Informationspflichten gegenüber betroffenen Personen.

ITSD verarbeitet diese Kundeninhalte als Auftragsverarbeiter nach dokumentierten Weisungen des Unternehmenskunden auf Grundlage des mit dem Hauptvertrag abgeschlossenen Auftragsverarbeitungsvertrags einschließlich seiner Anlagen. Die eigenen gesetzlichen und vertraglichen Pflichten von ITSD als Auftragsverarbeiter bleiben unberührt.

Soweit ITSD personenbezogene Daten für eigene Zwecke verarbeitet, insbesondere zur Vertragsverwaltung, Abrechnung, eigenen Geschäftskommunikation oder Erfüllung gesetzlicher Aufbewahrungspflichten, handelt ITSD als eigener Verantwortlicher. Bei Kontenverwaltung, Support, IT-Sicherheit und Protokollierung richtet sich die Rollenverteilung nach dem jeweiligen Verarbeitungszweck: Verarbeitungen im Auftrag des Unternehmenskunden unterliegen dem AVV; Verarbeitungen für eigene Zwecke erfolgen in eigener Verantwortlichkeit von ITSD.

4. Bereitstellung der Website und technische Protokolldaten

Beim Aufruf der Website und der Anwendung werden technisch erforderliche Verbindungs- und Protokolldaten verarbeitet. Hierzu können insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Ressourcen, übertragene Datenmenge, Browser- und Geräteinformationen sowie technische Fehler und sicherheitsrelevante Ereignisse gehören.

Soweit ITSD diese Daten für den sicheren und funktionsfähigen Betrieb, die Erkennung und Behebung von Störungen oder die Verhinderung und Aufklärung von Missbrauch in eigener Verantwortlichkeit verarbeitet, erfolgt dies auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse liegt in der Gewährleistung eines sicheren, stabilen und missbrauchsfreien Dienstes. Protokolldaten, die ausschließlich im Auftrag des Unternehmenskunden verarbeitet werden, unterliegen dem AVV und seinen dokumentierten Weisungen.

Die Speicherung wird auf den für den jeweiligen Zweck erforderlichen Zeitraum begrenzt. Maßgeblich sind insbesondere der zur Erkennung und Untersuchung von Störungen oder Sicherheitsvorfällen erforderliche Zeitraum und die Dauer ihrer Bearbeitung. Danach werden die Daten gelöscht oder anonymisiert. Eine längere Speicherung einzelner relevanter Protokolldaten erfolgt nur, soweit dies zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Chat-Inhalte und hochgeladene Dateien sind keine regulären Bestandteile technischer Zugriffsprotokolle. Soweit einzelne Inhaltsdaten für die Bearbeitung eines konkreten Fehlers oder Sicherheitsvorfalls erforderlich sind, wird ihre Verarbeitung auf das notwendige Maß beschränkt und richtet sich nach der in Abschnitt 3 beschriebenen Rollenverteilung.

Zur technischen Überwachung verwendet ITSD eine eigene Grafana-/Loki-Installation innerhalb der eigenen Infrastruktur. Ein externer Fehlerberichtsdienst wie Sentry wird nicht eingesetzt. Technische Alarmmeldungen werden an einen internen Microsoft-Teams-Kanal und per E-Mail versendet. Diese Alarmmeldungen enthalten keine personenbezogenen Daten oder Kundeninhalte. Die Verarbeitung der zugrunde liegenden Protokolle richtet sich nach den vorstehenden Angaben.

5. Kunden-, Vertrags- und Administrationsdaten

Bei der Anbahnung, dem Abschluss und der Durchführung eines Vertrags über ITSDCloud Private AI verarbeitet ITSD insbesondere die Unternehmensbezeichnung, die Geschäfts- und Rechnungsanschrift, Namen und geschäftliche Kontaktdaten von Ansprechpartnern und Administratoren sowie Vertrags-, Tarif-, Abrechnungs- und Zahlungsinformationen.

Im Bestellprozess wird die gemeinsame Annahme der AGB, der Nutzungsbedingungen und des AVV einschließlich seiner Anlagen dokumentiert. Dabei werden die Bestellung und Zustimmung dem bestellenden Unternehmen zugeordnet sowie der Zeitpunkt und die angenommenen Dokumentfassungen festgehalten. Diese Angaben dienen der Durchführung und dem Nachweis des Vertragsabschlusses.

Die für Bestellung, Abrechnung und Einrichtung des Zugangs erforderlichen Angaben werden im jeweiligen Erhebungsprozess als Pflichtangaben kenntlich gemacht. Ohne diese Angaben kann ITSD die Bestellung nicht abschließen oder den Zugang nicht bereitstellen. Weitere Angaben sind freiwillig, soweit sie nicht ausdrücklich als erforderlich gekennzeichnet sind.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Durchführung vorvertraglicher Maßnahmen oder eines Vertrags mit der betroffenen Person erforderlich ist. Bei Ansprechpartnern und Administratoren eines Unternehmenskunden erfolgt die Verarbeitung für die Verwaltung der Geschäftsbeziehung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht in der Anbahnung, Durchführung und Dokumentation der Geschäftsbeziehung sowie der Verwaltung der hierfür erforderlichen Kontakte. Soweit gesetzliche Pflichten bestehen, insbesondere zur Aufbewahrung von Vertrags- und Abrechnungsunterlagen, ist Art. 6 Abs. 1 lit. c DSGVO die Rechtsgrundlage.

Die Daten werden für die Dauer der jeweiligen Geschäftsbeziehung und anschließend nur so lange gespeichert, wie gesetzliche Aufbewahrungspflichten oder die erforderliche Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies rechtfertigen. Daten zur Nutzerverwaltung, die ITSD ausschließlich im Auftrag des Unternehmenskunden verarbeitet, unterliegen dem AVV und der in Abschnitt 3 beschriebenen Rollenverteilung.

6. Nutzerkonten und Authentifizierung

Der Unternehmenskunde lädt Nutzer ein und verwaltet ihre Zugänge und projektbezogenen Berechtigungen. ITSD verarbeitet hierfür die erforderlichen Konto-, Kontakt- und Authentifizierungsdaten. Soweit Nutzer nicht selbst alle Angaben bereitstellen, erhält ITSD diese vom Unternehmenskunden bzw. dessen Administratoren.

Die Anmeldung erfolgt über eine von ITSD selbst betriebene zentrale Keycloak-Instanz. Jeder Mandant erhält einen eigenen abgegrenzten Bereich (Realm). Zugriffe auf Chats, Dokumente und Wissensbestände richten sich nach den jeweiligen Projektberechtigungen. Diese gelten auch für den Abruf von Inhalten zur Erzeugung von KI-Antworten.

Soweit die Kontenverwaltung im Auftrag erfolgt, bestimmt der Unternehmenskunde die Rechtsgrundlage; ITSD handelt nach dem AVV. Für eigene Zwecke der Geschäftsbeziehungsverwaltung und Absicherung der Zugänge gelten die Rechtsgrundlagen und berechtigten Interessen aus den Abschnitten 4 und 5. Kontodaten werden für die Bereitstellung des Zugangs und anschließend nur bei einem fortbestehenden zulässigen Zweck aufbewahrt. Der Entzug eines Zugangs führt nicht automatisch zur Löschung bisheriger Chatbeiträge oder Projektinhalte.

7. KI- und Wissensfunktion sowie Nutzungsdaten

ITSDCloud Private AI verarbeitet Fragen, Beiträge, hochgeladene Dokumente und weitere im vereinbarten Umfang bereitgestellte Inhalte zur Erzeugung von KI-Antworten und zur Bereitstellung projektbezogenen Wissens. Eine Wissensbasis kann Inhalte strukturieren und daraus abgeleitetes Wissen für spätere Anfragen verfügbar machen.

Für jeden Kunden besteht eine eigene virtuelle Serverinstanz mit getrennter Datenhaltung. Die Kundeninstanzen werden bei der Hetzner Online GmbH in Rechenzentren in Deutschland betrieben; dort erfolgen Hosting und Speicherung der Kundeninhalte einschließlich der Wissensdatenbank. Chats einschließlich Antworten und hochgeladene Dokumente werden gespeichert, bis der Kunde ihre Löschung veranlasst oder die vertraglichen Löschregeln greifen.

Zur Antworterzeugung werden die jeweilige Anfrage und der hierfür erforderliche, für den Nutzer zugängliche Kontext an Amazon Bedrock bei Amazon Web Services (AWS) in Rechenzentren von AWS in der Europäischen Union übermittelt; für die Wissensfunktion werden dort außerdem Texte in Suchvektoren übersetzt. Die Antwort wird an die Anwendung zurückgegeben. Kundeninhalte werden weder durch ITSD noch durch die eingesetzten KI-Dienstleister zum Training oder Fine-Tuning der eingesetzten Modelle verwendet.

Kundeninhalte einschließlich daraus abgeleiteter personenbezogener Wissensbestände verarbeitet ITSD im Auftrag des Unternehmenskunden. Art. 28 DSGVO regelt dabei die Auftragsverarbeitung; die Rechtsgrundlage für die Verarbeitung der Inhalte bestimmt der Kunde als Verantwortlicher.

Zur Zuordnung des KI-Verbrauchs und zur Abrechnung werden Nutzungsdaten, insbesondere Verbrauchsmengen und die zugehörigen Unternehmens- bzw. Nutzerkennungen, verarbeitet. Nutzungsübersichten werden auf Unternehmens- und Nutzerebene für die entsprechend berechtigten Personen bereitgestellt. Für eigene Abrechnungszwecke stützt ITSD die Verarbeitung bei Verträgen mit der betroffenen Person auf Art. 6 Abs. 1 lit. b DSGVO, bei Nutzern eines Unternehmenskunden auf Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse ist die korrekte Zuordnung, Abrechnung und Nachvollziehbarkeit des Verbrauchs. Soweit die Übersicht ausschließlich im Auftrag des Kunden bereitgestellt wird, gilt der AVV. Abrechnungsrelevante Daten werden nach Abschnitt 5 aufbewahrt; weitere Nutzungsdaten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind.

Soweit Kunden eigene Dienste über MCP-Schnittstellen anbinden, werden die für den jeweiligen Aufruf erforderlichen Daten an den vom Kunden ausgewählten Dienst übermittelt. Dazu kann beispielsweise ein kundeneigenes Jira gehören. Der Kunde verantwortet die Auswahl, Berechtigung und Zulässigkeit der Anbindung. ITSD verarbeitet die Daten im Rahmen des vereinbarten Dienstes nach Weisung und bleibt für die eigenen Pflichten verantwortlich. Empfänger und Verarbeitungsorte solcher kundenseitig gewählten Dienste richten sich nach der konkreten Anbindung und sind von ITSDs eigenem Jira-Support zu unterscheiden.

8. Gesundheitsdaten und weitere besonders geschützte Daten

Der vereinbarte Standardumfang umfasst die Verarbeitung von Gesundheitsdaten. Eine zusätzliche gesonderte Vereinbarung ist hierfür nicht erforderlich. Der Unternehmenskunde stellt die Rechtmäßigkeit sicher, insbesondere eine Rechtsgrundlage nach Art. 6 DSGVO und eine Voraussetzung nach Art. 9 Abs. 2 DSGVO, und erfüllt seine Informationspflichten gegenüber den betroffenen Personen. ITSD verarbeitet diese Inhalte nach dem AVV und bleibt für seine eigenen Pflichten als Auftragsverarbeiter verantwortlich.

Weitere besondere Kategorien nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind nur im entsprechend vereinbarten Umfang und unter den gesetzlichen Voraussetzungen umfasst. Die Möglichkeit, solche Daten technisch einzugeben, erweitert diesen Umfang nicht.

9. Empfänger und Dienstleister

Innerhalb von ITSD erhalten nur die für den jeweiligen Zweck befugten Personen Zugriff. Für den Betrieb werden insbesondere folgende Anbieter eingesetzt:

Hetzner Online GmbH, Gunzenhausen, Deutschland: Betrieb der Kundeninstanzen sowie Hosting und Speicherung der Kundeninhalte einschließlich der Wissensdatenbank in Rechenzentren in Deutschland. Bei der Verarbeitung von Kundeninhalten ist Hetzner als Unterauftragsverarbeiter eingebunden.
Amazon Web Services EMEA SARL, Luxemburg: KI-Verarbeitung über Amazon Bedrock in Rechenzentren von AWS in der Europäischen Union (Antworterzeugung und Übersetzung von Texten in Suchvektoren für die Wissensfunktion). Bei der Verarbeitung von Kundeninhalten ist AWS als Unterauftragsverarbeiter eingebunden. Website, Anmeldedienst und Monitoring nutzen außerdem Amazon Simple Email Service (SES) in Frankfurt (eu-central-1) für automatische E-Mails. Dabei werden die erforderlichen Absender- und Empfängeradressen, Nachrichteninhalte und technischen Zustellinformationen verarbeitet.
Mollie B.V., Niederlande: Zahlungsabwicklung als eigenständig Verantwortlicher; Einzelheiten in Abschnitt 11.
Atlassian Pty Ltd, Level 6, 341 George Street, Sydney NSW 2000, Australien: Jira Cloud zur Bearbeitung der Supportkommunikation als Auftragsverarbeiter von ITSD. Für die von der Datenresidenz erfassten Produkt- und Inhaltsdaten ist die Europäische Union als Speicherregion eingestellt. Personenbezogene Kundeninhalte aus Chats, Dokumenten oder Wissensbeständen von ITSDCloud Private AI dürfen nicht in Tickets eingestellt werden. Einzelheiten in Abschnitt 12.

Für die eigene Unternehmens- und Supportkommunikation setzt ITSD außerdem Microsoft 365 einschließlich E-Mail und Microsoft Teams ein. Microsoft verarbeitet dabei die zur Bereitstellung der Kommunikationsdienste erforderlichen Kontakt-, Kommunikations- und Nutzungsdaten nach den geltenden Datenschutzbedingungen.

Keycloak wird von ITSD selbst betrieben; die Verwendung dieser Software bedeutet nicht, dass Daten an einen externen Keycloak-Anbieter übermittelt werden. Die Marke eines über Bedrock genutzten Modells allein begründet ebenfalls keine unmittelbare Übermittlung an dessen Hersteller. Maßgeblich sind die tatsächliche Einbindung und die vertragliche Unterauftragskette.

Soweit erforderlich, erhalten außerdem Steuerberatung, Behörden oder zur Rechtsverfolgung eingeschaltete Stellen die hierfür notwendigen Vertrags- und Abrechnungsdaten. Die für Kundeninhalte genehmigten Unterauftragsverarbeiter ergeben sich aus dem AVV und seinen Anlagen.

10. Verarbeitung außerhalb EU/EWR

Hosting und Speicherung der Kundeninhalte erfolgen bei Hetzner in Deutschland, die KI-Inferenz über Amazon Bedrock in Rechenzentren von AWS in der Europäischen Union. Davon getrennt zu betrachten sind mögliche Verarbeitungen durch weitere Kommunikations- und Zahlungsdienstleister sowie gegebenenfalls deren Unterauftragnehmer oder Supportzugriffe.

Für von ITSD veranlasste Übermittlungen in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums sind die Voraussetzungen der Art. 44 ff. DSGVO einzuhalten. Je nach Empfänger kommen ein einschlägiger Angemessenheitsbeschluss oder geeignete Garantien, insbesondere EU-Standardvertragsklauseln mit gegebenenfalls erforderlichen ergänzenden Maßnahmen, in Betracht. Informationen zu den für eine konkrete Übermittlung eingesetzten Garantien und eine Kopie können über die in Abschnitt 1 genannten Kontaktdaten angefragt werden.

Für Jira Cloud ist die Auftragsverarbeitung durch das Atlassian Data Processing Addendum geregelt. Für Übermittlungen aus EU/EWR in Länder ohne einschlägigen Angemessenheitsbeschluss bezieht dieses EU-Standardvertragsklauseln ein. Die eingestellte EU-Datenresidenz erfasst die dafür definierten Produkt- und Inhaltsdaten; daraus folgt kein pauschaler Ausschluss weiterer Verarbeitung oder Supportzugriffe außerhalb EU/EWR. Informationen zu den einschlägigen Garantien können bei ITSD über die Kontaktdaten in Abschnitt 1 angefragt werden.

Bei der Einbindung von AWS, Atlassian und Microsoft können neben den beschriebenen regionalen Speicherorten internationale Verarbeitungsvorgänge und Supportzugriffe, insbesondere aus den USA, auftreten. Der Sitz des Jira-Vertragspartners befindet sich in Australien. Soweit für eine konkrete Übermittlung kein einschlägiger Angemessenheitsbeschluss gilt, werden die vertraglich einbezogenen EU-Standardvertragsklauseln und erforderlichen ergänzenden Maßnahmen herangezogen. Für Übermittlungen an entsprechend zertifizierte US-Empfänger kann der Angemessenheitsbeschluss zum EU-US Data Privacy Framework maßgeblich sein. Eine Zertifizierung eines US-Empfängers ist keine pauschale Absicherung anderer Empfänger oder Länder.

Informationen zu den jeweiligen Datenschutzbedingungen und eingebundenen Unterauftragnehmern:

AWS: https://aws.amazon.com/compliance/data-privacy-faq/
Atlassian-DPA: https://www.atlassian.com/legal/data-processing-addendum
Atlassian-Unterauftragnehmer: https://www.atlassian.com/legal/sub-processors
Microsoft-Datenschutzbedingungen: https://www.microsoft.com/licensing/docs/view/Microsoft-Products-and-Services-Data-Protection-Addendum-DPA

Die weitere eigenverantwortliche Verarbeitung durch Mollie wird in dessen Datenschutzerklärung erläutert (Abschnitt 11).

11. Zahlungsabwicklung über Mollie

Für Zahlungen verwendet ITSD Mollie B.V. Der Besteller wird auf die Bezahlseite von Mollie weitergeleitet und anschließend zur Anwendung zurückgeführt. Mollie-Zahlungsskripte werden nicht in die Seiten von ITSD eingebunden. ITSD nutzt Mollie für Erstzahlungen, wiederkehrende monatliche Abonnements und einzelne Zahlungen für zusätzlichen Token-Verbrauch. Für die Abwicklung wird ein Kundenkonto bei Mollie angelegt. Die Mollie-Rechnungsfunktion wird nicht verwendet.

ITSD übermittelt Name und E-Mail-Adresse des Bestellers, Betrag und Währung, eine Beschreibung mit Tarif und Abrechnungszeitraum sowie die für die Zuordnung erforderlichen internen Kennungen, insbesondere Instanz- und Nutzerkennung. Hinzu kommen technische Rückleitungs- und Benachrichtigungsadressen zur Zuordnung des Zahlungsvorgangs. Zahlungsdaten wie IBAN oder Kartennummer gibt der Zahler direkt bei Mollie ein. ITSD verarbeitet die zur Zuordnung und Bearbeitung des Zahlungsvorgangs erforderlichen Zahlungsstatus- und Referenzinformationen.

Die Erstzahlung dient im vorgesehenen Zahlungsablauf auch der Autorisierung späterer wiederkehrender Abbuchungen. Diese Zahlungsautorisierung ist keine datenschutzrechtliche Einwilligung in die Verarbeitung von Chat- oder Dokumentinhalten.

Die Verarbeitung durch ITSD stützt sich auf Art. 6 Abs. 1 lit. b DSGVO, soweit ein Vertrag mit der betroffenen Person erfüllt wird. Bei Unternehmensansprechpartnern ist Art. 6 Abs. 1 lit. f DSGVO Grundlage; das berechtigte Interesse von ITSD ist die ordnungsgemäße Abwicklung und Zuordnung der Zahlungen. Für gesetzlich vorgeschriebene Aufbewahrung gilt Art. 6 Abs. 1 lit. c DSGVO. Für die Speicherdauer bei ITSD gelten die Kriterien in Abschnitt 5.

Mollie verarbeitet Daten für die Zahlungsabwicklung in eigener Verantwortlichkeit. Informationen zu den dortigen Zwecken, Empfängern, Aufbewahrungsfristen und Betroffenenrechten: https://www.mollie.com/de/legal/privacy

12. Support und Kommunikation

Bei Supportanfragen verarbeitet ITSD Namen, Kontaktdaten, Angaben zum betroffenen Kundenkonto sowie die mitgeteilten Informationen zur Bearbeitung der Anfrage und Fehlerbehebung. Hierfür verwendet ITSD Jira Cloud von Atlassian Pty Ltd als Auftragsverarbeiter für die eigenen Supportdaten. ITSD bleibt für diese eigene Supportkommunikation verantwortlich. In Tickets dürfen keine personenbezogenen Kundeninhalte aus Chats, Dokumenten oder Wissensbeständen eingestellt werden. Anfragen sollen möglichst abstrakt oder anhand anonymisierter Beispiele beschrieben werden.

Für die eigene Supportkommunikation gilt Art. 6 Abs. 1 lit. b DSGVO, soweit die betroffene Person selbst Vertragspartner ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist die Bearbeitung von Anfragen und die Behebung von Störungen. Soweit eine Fehleranalyse Kundeninhalte im Auftrag betrifft, erfolgt deren erforderliche Verarbeitung auf einem geeigneten geschützten Weg außerhalb des Ticketsystems nach dem AVV.

Supportdaten werden so lange aufbewahrt, wie dies für die Bearbeitung, erforderliche Nachverfolgung oder den Nachweis der Anfrage nötig ist. Eine weitere Speicherung erfolgt nur bei gesetzlichen Pflichten oder soweit zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich. Weitere Angaben zu Empfängern und Übermittlungen stehen in Abschnitten 9 und 10.

13. Cookies, Browser-Speicher und lokale Benachrichtigungen

ITSD verwendet Cookies des selbst betriebenen Anmeldedienstes Keycloak sowie localStorage und sessionStorage zur Anmeldung und zur Speicherung von Bedienentscheidungen. Die Website setzt keine eigenen Cookies. Tracking- und Analyse-Tools werden nicht eingesetzt. Die unten beschriebenen localStorage-/sessionStorage-Einträge enthalten keine Zugangstokens oder Passwörter. Zugangstokens liegen im Arbeitsspeicher des Browsers.

Cookies des Anmeldedienstes

AUTH_SESSION_ID, KC_AUTH_SESSION_HASH und KC_RESTART: Durchführung des Anmeldevorgangs. Sie werden beim Aufruf der Anmeldung gesetzt und sind Sitzungscookies, die beim Schließen des Browsers enden.
KEYCLOAK_IDENTITY und KEYCLOAK_SESSION: Verwaltung der angemeldeten Sitzung. Es handelt sich um Sitzungscookies. Die serverseitige Sitzung endet nach 30 Minuten Inaktivität, spätestens nach zehn Stunden. Die Funktion „Angemeldet bleiben“ ist nicht aktiviert.
KEYCLOAK_LOCALE: Sprache der Anmeldeseite der Anwendung. Wird bei dortiger Sprachwahl gesetzt und ist ein Sitzungscookie.

Speicherung im Portal und in der Anwendung

Soweit nachfolgend keine andere Dauer genannt ist, bleiben die Einträge ohne festes Ablaufdatum gespeichert, bis sie im Browser gelöscht werden. Die jeweilige Einstellung kann durch erneute Auswahl geändert werden.

private-ai.theme und private-ai.lang (Portal und Anwendung): gewähltes Design und Sprache; Speicherung erst bei eigener Auswahl.
private-ai.website.kc-auth (Portal): Wert „1“ als Merker einer erfolgreichen Anmeldung; automatisch nach Anmeldung gesetzt und beim Abmelden gelöscht. Beim nächsten Besuch veranlasst der Merker eine Prüfung in einem unsichtbaren Fenster, ob beim Anmeldedienst noch eine gültige Sitzung besteht. Ohne Merker wird diese Prüfung nicht ausgelöst. Der Merker selbst enthält keine Identitäts- oder Zugangsdaten.
kc-callback-* (Portal und Anwendung): kurzlebige Sicherheitswerte für den Anmeldevorgang (State, Nonce, PKCE). Speicherung nach Klick auf „Anmelden“, Löschung nach der Rückkehr, spätestens nach einer Stunde.
private-ai.view und private-ai.sidebar (Anwendung): gewählter Ansichtsmodus und Zustand der Seitenleiste; Speicherung bei eigener Auswahl.
private-ai.notifications (Anwendung): gewählter Schalter für Desktop-Benachrichtigungen, Wert „1“ oder „0“; Speicherung beim Umstellen in den Einstellungen.
voice-input-hint-seen (Anwendung): merkt, dass der Datenschutzhinweis zur Spracheingabe bereits angezeigt wurde; automatisch nach der ersten Spracheingabe gesetzt.
continueOfferDismissed (Anwendung): speichert Kennungen von höchstens 200 Chats, bei denen das Angebot „Weiterführen“ weggeklickt wurde; Speicherung beim Wegklicken.
name-colleague-later (Anwendung, sessionStorage): merkt die Auswahl „Später“ im Benennungsdialog für einen KI-Kollegen; Speicherung beim Klick und Löschung beim Schließen des Tabs.

Für unbedingt erforderliche Speicherungen und Zugriffe zur Bereitstellung des ausdrücklich gewünschten Dienstes gilt § 25 Abs. 2 Nr. 2 TDDDG. Dies betrifft insbesondere die sichere Anmeldung und die hierfür erforderliche Sitzungsverwaltung. Bei der Speicherung von Bedienentscheidungen kommt es auf die Erforderlichkeit für die ausdrücklich gewählte Funktion an. Soweit eine Speicherung oder ein Zugriff darüber hinaus eine Einwilligung erfordert, ist § 25 Abs. 1 TDDDG maßgeblich. Die bloße Nutzung des Dienstes gilt nicht als Einwilligung.

Soweit personenbezogene Daten für eigene Zwecke verarbeitet werden, gelten je nach Zweck Art. 6 Abs. 1 lit. b oder lit. f DSGVO, bei einwilligungsbasierter Verarbeitung Art. 6 Abs. 1 lit. a DSGVO. Berechtigte Interessen sind die sichere Anmeldung und die funktionsfähige Bereitstellung der angeforderten Funktionen. Verarbeitungen im Auftrag richten sich nach Abschnitt 3. Browser-Speicher können über die Browsereinstellungen gelöscht werden; dadurch können gespeicherte Einstellungen verloren gehen oder erneute Anmeldungen erforderlich werden. Auf der externen Mollie-Bezahlseite gelten die dortigen Cookie-Informationen.

Lokale Benachrichtigungen

In der Browser-Anwendung sind Desktop-Benachrichtigungen zunächst ausgeschaltet. Sie werden in den Einstellungen aktiviert; zusätzlich fragt der Browser nach seiner Berechtigung. Neue Nachrichten gelangen über eine direkte WebSocket-Verbindung vom Server der Kundeninstanz in die geöffnete Anwendung. Der Browser zeigt die Benachrichtigung lokal an. Es werden weder Service Worker noch Push-API oder externe Push-Dienste verwendet. Benachrichtigungen funktionieren deshalb nur bei geöffneter Anwendung.

Im Desktop-Client sind lokale Betriebssystem-Benachrichtigungen standardmäßig eingeschaltet. Auch hierfür wird kein externer Push-Dienst eingesetzt. Benachrichtigungen können über die verfügbaren Anwendungs- bzw. System-Einstellungen gesteuert werden.

14. Speicherdauer und Löschung

Die Speicherdauer richtet sich nach den in den jeweiligen Abschnitten beschriebenen Zwecken und Kriterien. Für Kundeninhalte bestimmt der Unternehmenskunde innerhalb der gesetzlichen und vertraglichen Vorgaben die Aufbewahrung und veranlasst Löschungen über verfügbare Funktionen oder dokumentierte Weisungen an ITSD. Ein Entzug von Nutzerrechten löscht nicht automatisch dessen Beiträge oder daraus abgeleitetes Wissen.

Nach Ende der Auftragsverarbeitung gelten die Rückgabe- und Löschregeln des AVV sowie die damit abgestimmten Export- und Wechselregelungen der AGB. Bei einem Anbieterwechsel werden exportierbare Daten nach Ende des Übergangszeitraums mindestens 30 Kalendertage zum Abruf bereitgehalten; anschließend erfolgt die Löschung nach den vereinbarten Regeln. Gesetzliche Pflichten und zwingende Betroffenenrechte bleiben unberührt.

Sicherungskopien werden innerhalb angemessener, am erforderlichen Sicherungs- und Wiederherstellungszweck ausgerichteter Fristen gelöscht oder überschrieben. Die Zyklen können an technische und betriebliche Anforderungen angepasst werden; die Aufbewahrung bleibt auf das erforderliche Maß begrenzt. Zur Löschung bestimmte Daten, die nicht unmittelbar einzeln aus Sicherungskopien entfernt werden können, bleiben bis dahin von der regulären Nutzung ausgeschlossen. Bei einer Wiederherstellung werden bestehende Löschweisungen erneut umgesetzt. Zwingende gesetzliche Löschpflichten dürfen dadurch nicht hinausgezögert werden. Die Abruffrist beim Anbieterwechsel ist keine Backup-Aufbewahrungsfrist.

15. Ihre Rechte

Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte datenschutzrechtliche Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Gesonderter Hinweis zum Widerspruchsrecht

Soweit ITSD personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet, können Sie aus Gründen Ihrer besonderen Situation jederzeit widersprechen. ITSD verarbeitet die betroffenen Daten dann nicht weiter, es sei denn, ITSD kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch kann über die Kontaktdaten in Abschnitt 1 erklärt werden.

Für eigene Verarbeitungen von ITSD wenden Sie sich an ITSD oder den Datenschutzbeauftragten von ITSD. Bei Kundeninhalten ist grundsätzlich der jeweilige Unternehmenskunde als Verantwortlicher Ansprechpartner. ITSD leitet entsprechende Anfragen weiter und unterstützt ihn nach dem AVV.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des mutmaßlichen Verstoßes. Eine zuständige Aufsichtsbehörde für ITSD ist der Landesbeauftragte für den Datenschutz Niedersachsen. Kontaktinformationen: https://www.lfd.niedersachsen.de/

16. Automatisierte Entscheidungen

ITSD trifft im beschriebenen Dienstbetrieb keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen im Sinne des Art. 22 DSGVO, die gegenüber Nutzern rechtliche Wirkung entfalten oder sie in ähnlich erheblicher Weise beeinträchtigen. Die Erzeugung von KI-Antworten ist davon zu unterscheiden. Nutzt der Unternehmenskunde Antworten für eigene Entscheidungen, ist er für die Zulässigkeit dieser weiteren Verarbeitung verantwortlich.

17. KI-Transparenz

Der Dienst erzeugt Antworten mithilfe künstlicher Intelligenz. Nutzer werden in der Anwendung über die Interaktion mit einem KI-System informiert. KI-Ausgaben können fehlerhaft oder unvollständig sein und müssen vor einer entscheidungserheblichen Weiterverwendung angemessen geprüft werden. Die Verarbeitung von Gesundheitsdaten bedeutet keine Zusage einer medizinischen Diagnose- oder Behandlungseignung.

18. Überblick über die Verarbeitungen

Website und Sicherheitsprotokolle: sicherer Betrieb und Fehleranalyse; eigene Verarbeitung nach Art. 6 Abs. 1 lit. f DSGVO bzw. Verarbeitung im Auftrag; Speicherung nach den Kriterien in Abschnitt 4.
Verträge, Kontakte und Bestellung: Verwaltung und Nachweis der Geschäftsbeziehung; Art. 6 Abs. 1 lit. b, f bzw. c DSGVO nach Abschnitt 5; Aufbewahrung nach Vertragsbedarf, gesetzlichen Pflichten und erforderlicher Rechtsverfolgung.
Nutzerkonten und Berechtigungen: Zugang und Verwaltung; im Auftrag bzw. für eigene Zwecke nach Abschnitt 6; Daten stammen von Nutzern oder ihren Unternehmensadministratoren.
Chats, Dokumente, Gesundheitsdaten und Wissensbestände: KI- und Wissensfunktion im Auftrag; Rechtsgrundlage durch den Kunden; Hosting bei Hetzner in Deutschland, KI über AWS/Bedrock in der EU; Speicherung bis zur veranlassten oder vertraglichen Löschung nach Abschnitten 7, 8 und 14.
KI-Verbrauch und Nutzungsübersichten: Verbrauchszuordnung und Abrechnung bzw. Verarbeitung im Auftrag; Rechtsgrundlagen und Speicherkriterien nach Abschnitt 7.
Zahlungen: Abwicklung über Mollie als eigenständig Verantwortlichen; eigene Rechtsgrundlagen und Speicherkriterien nach Abschnitten 5 und 11.
Support: Kommunikation und Fehlerbehebung mit Jira; eigene Rechtsgrundlagen und Speicherkriterien nach Abschnitt 12; keine personenbezogenen Kundeninhalte im Ticketsystem.
Browser-Speicher: Anmeldung und Einstellungen; Einzelheiten in Abschnitt 13.

Empfänger und mögliche Drittlandübermittlungen werden in Abschnitten 9 und 10 beschrieben.

19. Änderungen dieser Datenschutzerklärung

ITSD aktualisiert diese Informationen bei Änderungen der Verarbeitung, der eingesetzten Dienste oder der Rechtslage. Das Standdatum zeigt die jeweilige Aktualisierung an. Soweit erforderlich, informiert ITSD Betroffene zusätzlich über wesentliche Änderungen. Eine Änderung dieser Erklärung ersetzt weder eine erforderliche Einwilligung noch eine notwendige Änderung vertraglicher Vereinbarungen.