Datenschutzerklärung

1. Datenschutz auf einen Blick

Wir freuen uns über Ihr Interesse an unserer B2B-Plattform X-KomplyAI. Der Schutz Ihrer geschäftlichen und personenbezogenen Daten ist uns ein wichtiges Anliegen. Nachfolgend informieren wir Sie darüber, welche Daten bei der Nutzung unserer Dienste erhoben und verarbeitet werden.

2. Verantwortliche Stelle

3. Datenerfassung auf unserer Website

Hosting und Bereitstellung (Supabase & Vercel)

Unsere Website und Anwendung wird bei externen Cloud-Providern gehostet (Vercel für das Frontend und Supabase/PostgreSQL für Datenbank und Authentifizierung). Supabase verarbeitet Zugriffsdaten und Registrierungsinformationen ausschließlich im Auftrag und auf Weisung von uns auf europäischen Servern (Region Frankfurt, Deutschland). Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Registrierung und Authentifizierung

Bei der Erstellung eines Nutzerkontos erfassen wir Ihre E-Mail-Adresse und Ihr Passwort zur Absicherung Ihres Kontos. Optional können Sie Ihren Namen und Ihre Abteilung angeben. Diese Daten sind erforderlich, um die Multi-Tenant-Mandantentrennung zu gewährleisten und sicherzustellen, dass nur autorisierte Nutzer Ihrer Organisation Zugriff auf Ihre Daten erhalten.

4. Datenverarbeitung bei KI-Einsätzen (Data Agenda / DSK)

Im Rahmen unseres KI- & DSFA-Auditmoduls bieten wir automatisierte Optimierungsvorschläge für Verzeichnisse an. Hierbei gilt:

• Datenminimierung: Es werden keine Klarnamen oder echten personenbezogenen Daten (PII) an externe Sprachmodell-APIs übermittelt. Texte werden vor der Weiterleitung an unseren Anonymisierungs-Gateway anonymisiert oder abstrahiert.
• Auditierbarkeit: Jede Interaktion mit unseren KI-Funktionen wird in einem DSK-konformen Audit-Trail protokolliert. Dabei erfassen wir ausschließlich abstrakte Metadaten (Zeitstempel, Benutzer-ID, referenzierter Ropa-Prozess, Payload-Länge) ohne inhaltliche personenbezogene Daten.

5. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Bestimmungen der DSGVO jederzeit das Recht auf:

• Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung dieser Rechte können Sie sich jederzeit unter den oben angegebenen Kontaktdaten an uns wenden.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Aufsichtsbehörde ist:

6. Empfänger und Auftragsverarbeiter

Im Rahmen der Leistungserbringung setzen wir folgende Auftragsverarbeiter und Empfänger ein, mit denen — soweit erforderlich — Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO bestehen: Supabase (Hosting von Datenbank und Authentifizierung, EU-Region Frankfurt), Vercel Inc. (Bereitstellung des Frontends), Stripe (Zahlungsabwicklung für kostenpflichtige Tarife) sowie Sentry (Functional Software, Inc.) zur technischen Fehler- und Stabilitätsüberwachung unserer Anwendung. Sentry erhält ausschließlich technische Diagnosedaten (z. B. Fehlermeldungen, Stack-Traces, Zeitstempel); bekannte personenbezogene Datenfelder werden vor der Übermittlung serverseitig maskiert. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb der Plattform (Art. 6 Abs. 1 lit. f DSGVO).

Für unsere KI-gestützten Funktionen kommt derzeit ausschließlich ein interner, deterministischer Textbaustein-Mechanismus ohne Anbindung an ein externes Sprachmodell zum Einsatz; es werden aktuell keine Daten an externe KI-Anbieter übermittelt. Bei zukünftiger Aktivierung einer echten KI-Anbindung (z. B. Google Gemini) wird diese Erklärung vor Inbetriebnahme entsprechend aktualisiert.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Verarbeitungszwecke erforderlich ist, oder solange gesetzliche Aufbewahrungspflichten (z. B. nach HGB oder AO) bestehen. Für zahlreiche Datenkategorien unterstützt die Plattform ein Löschkonzept mit hinterlegten Aufbewahrungsregeln sowie einen automatisierten Workflow zur Identifikation und Freigabe löschreifer Datensätze durch die verantwortliche Organisation.

Die konkreten Fristen ergeben sich aus den vom jeweiligen Verantwortlichen (unserem Kunden) im System hinterlegten Löschregeln. Nutzerkonten können auf Anfrage vollständig gelöscht werden, einschließlich der zugehörigen Authentifizierungsidentität.

8. Cookies

Unsere Anwendung verwendet ausschließlich technisch notwendige Cookies: ein Sitzungscookie zur Authentifizierung (Supabase Auth) sowie ein Cookie zur Speicherung des aktiven Mandantenkontexts innerhalb unserer Multi-Tenant-Architektur (komply-org-id). Beide Cookies sind für den Betrieb der Anwendung zwingend erforderlich und werden ausschließlich serverseitig gesetzt (httpOnly). Wir setzen keine Tracking-, Analyse- oder Marketing-Cookies ein.