Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

Datenschutzbeauftragter (Kontakt): [email protected]

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer und Kunden grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Applikation sowie unserer Inhalte und Leistungen erforderlich ist. Die Verarbeitung personenbezogener Daten erfolgt regelmäßig nur nach Einwilligung der betroffenen Person oder wenn die Verarbeitung durch gesetzliche Vorschriften gestattet ist.

DARION AI ist eine Business-Software-as-a-Service-Plattform (SaaS), die kleinen und mittelständischen Unternehmen Module für Projektmanagement, CRM, Rechnungswesen, Wissensmanagement und KI-gestützte Analyse bereitstellt. Die Plattform richtet sich ausschließlich an gewerbliche Kunden (B2B).

3. Rechtsgrundlagen der Verarbeitung

Soweit wir für Verarbeitungsvorgänge personenbezogener Daten eine Einwilligung der betroffenen Person einholen, dient Art. 6 Abs. 1 lit. a DSGVO als Rechtsgrundlage. Für die Verarbeitung personenbezogener Daten, die zur Erfüllung eines Vertrags, dessen Vertragspartei die betroffene Person ist, erforderlich ist, dient Art. 6 Abs. 1 lit. b DSGVO als Rechtsgrundlage. Gleiches gilt für Verarbeitungsvorgänge, die zur Durchführung vorvertraglicher Maßnahmen erforderlich sind.

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — Newsletter im Double-Opt-in-Verfahren (siehe Abschnitt 4.8), optionale Marketing-Cookies (derzeit nicht aktiv)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) — Account-Anlage, Nutzung der Plattform-Module, Abrechnung
• Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung) — Aufbewahrungspflichten nach GoBD (10 Jahre für Belege und Buchungen), Steuerrecht
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse) — Server-Protokolldateien, IT-Sicherheit, Audit-Trail
• Art. 9 DSGVO (Besondere Kategorien) — Sofern im HR-Modul Gesundheitsdaten (z. B. Krankmeldungen) verarbeitet werden, erfolgt dies auf Grundlage einer ausdrücklichen Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO

4. Verarbeitungszwecke und verarbeitete Daten

5. Cookies und Tracking

DARION AI setzt technisch notwendige Cookies ein, unter anderem für Authentifizierung, Spracheinstellung, Layout- und Theme-Präferenz sowie die Speicherung Ihrer Cookie-Einwilligung über unser Consent-Management-Tool CCM19. Werbe- oder Retargeting-Cookies Dritter werden nicht eingesetzt.

Für die Reichweitenmessung setzen wir ergänzend die selbst gehostete, cookielose Analyse-Lösung Umami ein; sie setzt keine Cookies, greift nicht auf Informationen auf Ihrem Endgerät zu und speichert keine personenbezogenen Daten.

Die vollständige Liste aller eingesetzten Cookies mit Zweck, Klasse und Laufzeit sowie die jeweilige Rechtsgrundlage finden Sie in unserer Cookie-Richtlinie.

6. Auftragsverarbeiter und Drittempfänger

Für den Betrieb von DARION AI setzen wir folgende Auftragsverarbeiter ein. Mit allen Anbietern besteht ein Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO:

Eine Weitergabe personenbezogener Daten an sonstige Dritte erfolgt nicht, es sei denn, dies ist gesetzlich vorgeschrieben oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich.

Zahlungsabwicklung: Die Abrechnung erfolgt derzeit auf Rechnung. Eine Online-Zahlungsabwicklung über einen externen Zahlungsdienstleister ist noch nicht aktiv. Bevor wir eine solche aktivieren, benennen wir den eingesetzten Zahlungsdienstleister an dieser Stelle.

7. Datenübermittlung in Drittländer

Authentifizierung und Datenbank von DARION-AI laufen auf einem selbst gehosteten Supabase-Stack (erreichbar unter db.darion-ai.de) auf eigenen Servern der Hetzner Online GmbH in Deutschland (Nürnberg und Falkenstein, siehe Abschnitt 6). Eine Datenverarbeitung durch die Supabase Inc. (USA) oder durch Amazon Web Services findet nicht statt; personenbezogene Daten werden hierfür nicht in ein Drittland übermittelt.

Die KI-Funktionen (KI-Helfer) werden vollständig auf eigener Infrastruktur in Deutschland (Hetzner, siehe Abschnitt 6) verarbeitet. Eine Übermittlung personenbezogener Daten an externe KI-Anbieter oder in Drittländer findet dabei nicht statt.

Alle in Abschnitt 6 genannten Anbieter verarbeiten Daten ausschließlich innerhalb des Europäischen Wirtschaftsraums (EWR).

8. Einsatz von Künstlicher Intelligenz

Die KI-gestützten Funktionen innerhalb der Plattform-Module von DARION AI (KI-Assistent, KI-Helfer, siehe Abschnitt 4.3) sind für das Sprachmodell Qwen3-30B mit einem lokalen Qwen3-14B-Fallback bei Auslastung ausgelegt. Beide Modelle sind selbst gehostet auf eigenen GPU-Servern der Hetzner Online GmbH in Deutschland (Nürnberg und Falkenstein, siehe Abschnitt 6). Embeddings für die Wissensmanagement-Suche werden ebenfalls lokal über das Modell bge-m3 erzeugt.

Für diese modulinternen KI-Funktionen erfolgt keine Weitergabe Ihrer Eingaben an externe KI-Anbieter; die Verarbeitung erfolgt ausschließlich auf der genannten eigenen Infrastruktur und wird nicht zum Training von Modellen verwendet.

Unsere Rolle nach der KI-Verordnung: Für die KI-Funktionen innerhalb von DARION AI sind wir Anbieter im Sinne von Art. 3 Nr. 3 der Verordnung (EU) 2024/1689 (KI-Verordnung), nicht Anbieter eines KI-Modells mit allgemeinem Verwendungszweck (GPAI), da wir das zugrunde liegende Modell nicht wesentlich nachtrainieren. Aus dieser Rolle folgen unter anderem die Transparenzpflichten aus Art. 50 der KI-Verordnung: Wo Sie mit einem KI-System interagieren oder KI-generierte Inhalte erhalten, weisen wir Sie hierauf hin.

Keine automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO): Alle KI-Ausgaben haben ausschließlich Vorschlags-Charakter. DARION AI trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung gegenüber betroffenen Personen; die Entscheidung liegt stets bei einem Menschen auf Seiten des Kunden.

Weitere Angaben zur Verarbeitung Ihrer Eingaben (Rechtsgrundlage, Speicherdauer) finden Sie in Abschnitt 4.3 (KI-Anfragen).

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen zufällige oder vorsätzliche Manipulationen, Verlust, Zerstörung oder gegen den Zugriff unberechtigter Personen zu schützen. Unsere Sicherheitsmaßnahmen werden entsprechend der technologischen Entwicklung fortlaufend verbessert.

• Transportverschlüsselung mittels TLS 1.2+ für alle Client-Server-Verbindungen
• Verschlüsselung der Datenbankvolumes at rest (AES-256) auf Hetzner-Infrastruktur
• Mandantenweise Datentrennung auf Datenbankebene mittels PostgreSQL Row-Level-Security (RLS)
• Zugangsbeschränkung zu Produktionssystemen durch mehrstufige Authentifizierung (MFA)
• Regelmäßige Sicherheitsupdates und Patch-Management (ADR-019)
• Revisionssicherer Audit-Trail aller privilegierten Zugriffe

10. Rechte der betroffenen Personen

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO) — Sie können Auskunft über die von uns zu Ihrer Person gespeicherten Daten verlangen.
• Berichtigungsrecht (Art. 16 DSGVO) — Sie können die unverzügliche Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten verlangen.
• Löschungsrecht (Art. 17 DSGVO) — Sie können die Löschung Ihrer gespeicherten Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO) — Sie können die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO) — Sie können einen strukturierten, maschinenlesbaren Daten-Export Ihrer Mandantendaten über die Admin-Oberfläche anfordern.
• Widerspruchsrecht (Art. 21 DSGVO) — Sie können der Verarbeitung Ihrer Daten auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) jederzeit widersprechen.
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Geltendmachung Ihrer Rechte wenden Sie sich bitte an: [email protected]. Wir beantworten Ihr Anliegen in der Regel innerhalb von 30 Tagen.

Sie haben ferner das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

11. Speicherdauern – Übersicht

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn dies aufgrund neuer Technologien, geänderter Rechtslage oder neuer Verarbeitungsvorgänge erforderlich wird. Die jeweils aktuelle Fassung ist stets unter dieser URL abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.

Stand dieser Datenschutzerklärung: 4. August 2026