Datenschutzerklärung

1. Verantwortlicher

AURIVA Group OÜ, Ahtri tn 12, 15551 Tallinn, Estland

Vertreten durch die Vorstandsmitglieder Leon A. Wolff und Kristin Hessel.

E-Mail: kontakt@aktaro-maklerakte.de

2. Welche Daten wir verarbeiten

Beim Besuch der Website: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser- und Gerätetyp (Server-Protokolle). Bei der Nutzung der Anwendung: Kontodaten (Name, E-Mail-Adresse, Passwort in gehashter Form, Einstellungen zum zweiten Faktor), Zuordnung zu einem Büro und Rolle, Zeitpunkte von Anmeldungen, Protokollierung sicherheitsrelevanter Aktionen (Audit-Log), Inhalte, die Sie an uns richten (Feedback, Support).

3. Zwecke und Rechtsgrundlagen

Bereitstellung der Anwendung und Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO); Sicherheit des Betriebs, Missbrauchserkennung, Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse an einem sicheren, funktionsfähigen Dienst); Erfüllung rechtlicher Pflichten, insbesondere Nachweis- und Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

4. Cookies und Speicherung im Browser

Wir setzen ausschließlich technisch notwendige Cookies ein: für die Anmeldung (Sitzung) und für die Zuordnung Ihres Browsers zu einem Server, damit während einer Aktualisierung der Anwendung alle Teile einer Seite von derselben Programmversion kommen (Cookie „aktaro_srv“, enthält nur eine Server-Kennung, gilt bis zum Schließen des Browsers). Es findet kein Tracking, keine Reichweitenmessung und keine Werbung statt. Einstellungen zur Darstellung (z. B. Breite der Seitenleiste) und einen Zähler für das automatische Neuladen bei Ladefehlern speichert der Browser lokal; sie werden nicht an uns übertragen.

5. Kalender verbinden

Nutzer können in den Einstellungen freiwillig ihren eigenen Kalender verbinden (Google Kalender, Microsoft Outlook, Apple iCloud oder einen anderen CalDAV-Kalender). Aktaro gleicht dann die Termine des Nutzers in beide Richtungen ab: Termine aus Aktaro werden in den gewählten Kalender eingetragen, Termine aus diesem Kalender werden in Aktaro angezeigt, damit keine Doppelbuchungen entstehen. Übertragen werden Zeit, Titel, Ort und ein Link zum Termin; Notizen, Vertrags- und Gesundheitsangaben werden nicht übertragen. Als privat markierte Termine sehen andere Mitglieder des Büros nur als „Privat“ ohne Titel und Ort. Rechtsgrundlage ist die Einwilligung des Nutzers beim Verbinden (Art. 6 Abs. 1 lit. a DSGVO), die er jederzeit durch Trennen der Verbindung widerrufen kann.

Gespeichert werden die Zugangsberechtigung des Kalenderanbieters (verschlüsselt) und die Zuordnung der abgeglichenen Termine. Beim Trennen der Verbindung oder wenn die Mitgliedschaft im Büro endet, löschen wir die Zugangsberechtigung und entfernen die von Aktaro eingetragenen Termine aus dem Kalender. Die Kalenderdaten nutzen wir ausschließlich für diesen Abgleich; wir geben sie nicht weiter, verkaufen sie nicht und verwenden sie nicht für Werbung oder zum Training von KI-Modellen.

Die Nutzung und Übertragung von Informationen, die Aktaro über Google-Schnittstellen erhält, entspricht der Google API Services User Data Policy einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use). Für die Verarbeitung beim Kalenderanbieter selbst gelten dessen Datenschutzbestimmungen.

6. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein, die vertraglich nach Art. 28 DSGVO gebunden sind:

• Hetzner Online GmbH: Server: Anwendung, Datenbank, Anmeldung und Dateispeicher. Ort der Verarbeitung: Deutschland (Rechenzentrum Falkenstein). Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• IONOS SE: Verschlüsselte Datensicherung (Object Storage, Schlüssel nur beim Betreiber). Ort der Verarbeitung: Deutschland (Frankfurt am Main). Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (IONOS-Cloud-Vertrag).
• IONOS SE (AI Model Hub): KI-Dienste: Textauswertung, Vorschläge, Zusammenfassungen, Handschrifterkennung, semantische Suche – nur, soweit für das Büro konfiguriert; Gesundheitsangaben nur mit Einwilligung; kein Training mit den Daten. Ort der Verarbeitung: Deutschland. Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (IONOS-Cloud-Vertrag).
• united-domains GmbH: Versand von System-E-Mails (Bestätigung der Adresse, Passwort zurücksetzen). Ort der Verarbeitung: Deutschland. Grundlage: Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
• Cloudflare Inc.: Transkription von Diktaten und Aufnahmen (Spracherkennung) – nur, soweit für das Büro konfiguriert; Gesundheitsangaben nur mit Einwilligung. Ort der Verarbeitung: weltweit verteiltes Netz; Vertragspartner mit Sitz in den USA. Grundlage: Auftragsverarbeitungsvertrag (Cloudflare DPA) mit EU-Standardvertragsklauseln; EU-US Data Privacy Framework.

7. Übermittlung in Drittländer

Die Speicherung erfolgt auf Servern in Deutschland (Hetzner, Falkenstein; Sicherungen verschlüsselt bei IONOS in Frankfurt am Main). Einzelne Dienstleister haben ihren Sitz in den USA oder betreiben weltweit verteilte Netze. Soweit dadurch eine Übermittlung in ein Drittland stattfindet, stützen wir sie auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und ergänzende Maßnahmen (Verschlüsselung, Pseudonymisierung soweit möglich). KI-Funktionen werden nur eingesetzt, wenn das Büro sie eingeschaltet hat und die betroffene Person nicht widersprochen hat. Das Büro stützt diese Verarbeitung auf sein berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO); seine Kunden können ihr jederzeit widersprechen (Art. 21 DSGVO).

8. Speicherdauer

Kontodaten speichern wir für die Dauer der Vertragsbeziehung und löschen sie spätestens sechs Monate nach Vertragsende, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Server-Protokolle werden nach 30 Tagen gelöscht. Das Audit-Log wird gemeinsam mit den Daten des Büros nach dessen Aufbewahrungsvorgabe gelöscht.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wenden Sie sich dafür an die oben genannte Adresse. Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts oder Arbeitsplatzes, in Deutschland etwa bei der Datenschutzbehörde Ihres Bundeslandes. Für uns zuständig ist die Andmekaitse Inspektsioon (Estnische Datenschutzaufsichtsbehörde), Tatari 39, 10134 Tallinn, Estland.

10. Sicherheit

Verschlüsselte Übertragung (TLS), Verschlüsselung besonders sensibler Angaben auf Anwendungsebene, Trennung der Daten je Büro auf Datenbankebene, zweiter Faktor für die Anmeldung, Protokollierung von Änderungen, regelmäßige Sicherungen. Einzelheiten stehen in der technisch-organisatorischen Maßnahmenbeschreibung, die Bestandteil des Auftragsverarbeitungsvertrags ist.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist unter dieser Adresse abrufbar; die Versionsnummer steht am Seitenanfang.