Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir bei der Nutzung der KI-Use-Case-Workshop-Plattform verarbeiten, wofür, auf welcher Rechtsgrundlage und wie lange. Wir haben den Dienst bewusst datensparsam gebaut.
Vor Launch von Anwalt prüfen lassen (Q-OPEN-39): Diese Erklärung ist ein Entwurf auf Basis der internen Datenflussdokumentation. Vor Launch von einer auf DSGVO und das deutsche TMG/MStV spezialisierten Kanzlei prüfen lassen.
1. Verantwortlicher
v9Labs GmbH, Ostfildern, Deutschland. Kontakt: privacy@v9labs.de. Vollständige Anschrift siehe Impressum.
2. Welche Daten wir verarbeiten
Manager (Käufer eines Workshops): Name (optional), E-Mail, Rechnungsadresse, USt-IdNr. und Zahlungsinformationen über Stripe.
Teilnehmer: Firmen-E-Mail-Adresse zur Versendung des Einladungslinks; Inhalte des Workshop-Gesprächs (Antworten auf Fragen des KI-Facilitators) und das daraus abgeleitete Teilnehmer- Dokument.
Betriebsdaten: IP-Adresse, User-Agent, Audit-Logs zur Sicherheit und Fehlerdiagnose; Token- und Kostendaten der KI-Inferenz für die Kostenkontrolle.
Wir verarbeiten nicht: echte Namen der Teilnehmer (die E-Mail ist die einzige Kennung), Job-Titel, demografische Daten, Daten von Drittanbieter-Tracking-Skripten oder Daten vom Endgerät über die getippten Antworten hinaus.
3. Rechtsgrundlagen
Vertragliche Erfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Manager und Teilnehmer-Einladungen, gesetzliche Pflichten (Art. 6 Abs. 1 lit. c) für Rechnungsstellung, Einwilligung (Art. 6 Abs. 1 lit. a) für die Workshop-Teilnahme der Teilnehmer und berechtigtes Interesse (Art. 6 Abs. 1 lit. f) für Sicherheit, Audit-Logs und Kostentelemetrie.
4. Manager sieht keine Einzelantworten
Die Auswertung am Ende eines Workshops ist immer aggregiert. Weder die Manager-Oberfläche noch ein interner Admin-Zugang können Einzelantworten oder Mail-Adressen einzelner Teilnehmer einsehen. Es gibt keine Override. Diese Garantie ist technisch durchgesetzt — siehe unsere Subunternehmer-Liste und das öffentliche Code-Repository.
5. Aufbewahrungsdauer
Workshop-Inhalte (Gespräche, abgeleitete Dokumente, Auswertung) werden 90 Tage nach Ende des Teilnahme-Fensters automatisch gelöscht. Auf Wunsch des Managers ist eine sofortige Löschung jederzeit möglich.
Rechnungsrelevante Daten (Buchungsbelege im Rahmen der Bestellung) werden gemäß § 147 AO 10 Jahre aufbewahrt.
Audit-Logs werden 90 Tage aufbewahrt. Stripe-Webhook-Ereignisse ebenfalls 90 Tage zur Zahlungsabstimmung.
6. Empfänger / Subunternehmer
Wir setzen folgende Auftragsverarbeiter ein:
- Hetzner Online GmbH — Hosting in Falkenstein, Deutschland.
- Amazon Web Services EMEA SARL — KI-Inferenz über Amazon Bedrock und transaktionaler Mail-Versand über Amazon SES, beides in der Region Frankfurt (eu-central-1). Es findet keine Übertragung in die USA statt; Cross-Region- Inferenz ist explizit deaktiviert.
- Stripe Payments Europe Ltd. — Zahlungsabwicklung (Irland). Stripe wickelt einzelne operative Vorgänge in den USA unter Standardvertragsklauseln ab. Wir weisen darauf hin.
Eine vollständige, immer aktuelle Liste pflegen wir auf /legal/processors.
7. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen stellst du am schnellsten über unser Formular unter /legal/data-request (getrackt, 30-Tage-SLA gemäss Art. 12 Abs. 3 DSGVO). Alternativ per E-Mail an privacy@v9labs.de.
Du hast außerdem das Recht, dich bei einer Aufsichtsbehörde zu beschweren (in Deutschland: die jeweilige Landesdatenschutzbehörde).
8. Datensicherheit
TLS 1.3 mit HSTS-Preload. Daten ruhen verschlüsselt auf Hetzner-Hardware. Tägliche, AES-verschlüsselte restic-Backups in eine zweite Hetzner-Region. Kein Drittanbieter-Tracking, keine Web-Analytics.
9. Datenschutzverletzungen (Art. 33/34)
Wir benachrichtigen die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntnis einer Datenschutzverletzung, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. Die zuständige Behörde ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg.
Betroffene Manager werden ohne unangemessene Verzögerung per E-Mail an die hinterlegte Adresse informiert. Betroffene Teilnehmer werden über ihren bestellenden Manager erreicht. Bei Zahlungsdaten-relevanten Vorfällen wird zusätzlich Stripe unterrichtet.
Kontakt für sicherheitsrelevante Meldungen: security@v9labs.de. Wir führen intern ein einseitiges Incident-Response-Runbook mit Triage-Checkliste, Benachrichtigungs-Vorlagen und Kontaktpfad zur Aufsichtsbehörde.
10. Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung, wenn sich Verarbeitung, Subunternehmer oder Aufbewahrungsdauer ändern. Das Datum oben zeigt den jeweils aktuellen Stand.