Datenschutzerklärung

1. Verantwortlicher und Überblick

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist HR Management GmbH, Im Käulchen 18, 51515 Kürten (Anbieter des Dienstes „CuraLogik"). Ansprechpartner für CuraLogik: Andreas Reuter, E-Mail support@curalogik.de, Telefon +49 160 62 65 700.

Diese Erklärung informiert über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten beim Besuch dieser Website und bei Nutzung von CuraLogik als Mandant (Kunde), Nutzer eines Mandanten oder Partner.

2. Datenschutzbeauftragter

PLATZHALTER: Angabe, ob ein Datenschutzbeauftragter bestellt ist, und dessen Kontaktdaten (Name, Anschrift, ggf. E-Mail) — vor Veröffentlichung zu klären und einzutragen. Ist keiner bestellt, entfällt dieser Abschnitt bzw. wird durch einen Hinweis auf die zuständige interne Kontaktstelle ersetzt.

3. Ihre Rechte als betroffene Person

Sie haben im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen die Verarbeitung (Art. 21 DSGVO). Zur Ausübung genügt eine formlose Mitteilung an die oben genannte Kontaktadresse.

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist regelmäßig die Aufsichtsbehörde des Bundeslandes unseres Sitzes: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). PLATZHALTER: aktuelle Kontaktdaten der LDI NRW vor Veröffentlichung gegenprüfen.

4. Aufruf der Website (Server-Logfiles)

Beim Aufruf dieser Website erhebt unser Hosting-Anbieter automatisch technische Verbindungsdaten (u. a. IP-Adresse, Datum/Uhrzeit, aufgerufene Seite, Referrer, Browsertyp), um den Betrieb der Website technisch zu ermöglichen und abzusichern. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und nach einer kurzen, technisch bedingten Frist automatisch gelöscht.

5. Registrierung und Passkey-Anmeldung

Bei der Registrierung eines Mandanten (Unternehmenskontos) und bei der Einladung einzelner Nutzer werden Kontaktdaten (Firmenname, Name, geschäftliche E-Mail-Adresse, gewählte Subdomain) verarbeitet, um den Vertrag durchzuführen (Art. 6 Abs. 1 lit. b DSGVO).

Für die Anmeldung wird ausschließlich Passkey-Technologie (WebAuthn) verwendet — es gibt keine Passwörter. Gespeichert wird dabei eine kryptografische Credential-ID Ihres Geräts, kein Passwort und kein biometrisches Merkmal selbst; biometrische Daten (z. B. Fingerabdruck) verbleiben ausschließlich auf Ihrem Gerät und werden nicht an uns übertragen.

6. Nutzung als Wissensassistent (hochgeladene Dokumente, Fragen)

Dokumente, die ein Mandant in CuraLogik hochlädt, sowie daraus abgeleitete Inhalte (Textabschnitte, Suchindex) werden in dessen Auftrag verarbeitet — CuraLogik handelt hierbei als Auftragsverarbeiter des Mandanten, nicht als eigenständig Verantwortlicher. Es gilt der Auftragsverarbeitungsvertrag (AVV) zwischen dem Mandanten und uns; eine eigene Rechtsgrundlage nach Art. 6 DSGVO besteht insoweit nicht bei uns, sondern beim Mandanten als Verantwortlichem für die von ihm hochgeladenen Inhalte.

Gestellte Fragen an den Assistenten werden standardmäßig nicht dauerhaft gespeichert — ein Mandant kann die Speicherung von Fragetexten optional aktivieren (z. B. zur eigenen Qualitätssicherung); ist diese Option nicht aktiviert, bleiben Fragen flüchtig und werden nach Beantwortung nicht als Text abgelegt.

7. Protokollierung (Audit-Log)

Sicherheitsrelevante Vorgänge (An-/Abmeldung, Dokumentenverwaltung, Rechteänderungen) werden unveränderbar (append-only) protokolliert, um Mandanten die Nachvollziehbarkeit über ihr eigenes System zu ermöglichen und Missbrauch aufzuklären. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit und Nachweisbarkeit) bzw. Art. 6 Abs. 1 lit. b/c DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen.

8. System-E-Mails

Zur Durchführung des Vertrags versenden wir System-E-Mails (Einladungen, Benachrichtigungen, Rechnungs- und Kündigungshinweise) über einen technischen Dienstleister. PLATZHALTER: Name/Anschrift des E-Mail-Versanddienstleisters und Bestätigung, dass ein Auftragsverarbeitungsvertrag mit ihm besteht.

9. Zahlungsabwicklung

Bei Buchung eines kostenpflichtigen Tarifs verarbeiten wir Zahlungs- und Rechnungsdaten über unseren Zahlungsdienstleister Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland (PLATZHALTER: exakte Vertragsentität im produktiven Stripe-Konto vor Veröffentlichung bestätigen). Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Kartendaten werden ausschließlich von Stripe verarbeitet, nicht von uns gespeichert.

10. Empfänger und Auftragsverarbeiter

Hosting/Server

PLATZHALTER: Anbieter, Anschrift und Rechenzentrumsstandort des Hosting-Anbieters, bei dem CuraLogik betrieben wird — vor Veröffentlichung einzutragen.

Zahlungsabwicklung

Stripe Payments Europe, Ltd., Dublin, Irland — nur bei Buchung eines kostenpflichtigen Tarifs.

E-Mail-Versand

PLATZHALTER: Anbieter des SMTP-Versands für System-E-Mails.

Sprachmodell (LLM)

PLATZHALTER: Anbieter/Betreiber des zur Antwortgenerierung eingesetzten Sprachmodells, dessen Sitz und Bestätigung, dass keine Weiterverwendung der Anfragen zu Trainingszwecken erfolgt. Die konkrete Modellwahl wird über die Betreiberkonsole konfiguriert und kann sich ändern.

Bot-Schutz (Cloudflare Turnstile)

Wird bei der Selbstregistrierung eingesetzt, sobald aktiviert. Cloudflare, Inc., San Francisco, USA — Datenübermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.

Nicht an Dritte übermittelt, sondern ausschließlich selbst betrieben (eigene Infrastruktur, kein SaaS-Fremdanbieter): der Vektorindex für die Dokumentensuche, der Einbettungsdienst (Embeddings), der Objektspeicher für Originaldateien, die Datenbank, die Texterkennung (OCR) für gescannte Dokumente sowie das Ticketsystem für Support-Anfragen samt der dafür genutzten Workflow-Automatisierung (s. „13. Support-Anfragen").

11. Auftragsverarbeitung für Mandanten

Mandanten, die CuraLogik zur Verarbeitung personenbezogener Daten Dritter nutzen, schließen mit uns einen gesonderten Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab. Dessen Inhalt ist unter „AVV" veröffentlicht.

12. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder eine gesetzliche Aufbewahrungspflicht besteht. Zur Löschung von Mandantendaten nach Vertragsende s. AGB und die dort beschriebene Löschbestätigung.

13. Support-Anfragen

Nutzen Sie als angemeldeter Mandanten-Nutzer die Support-Funktion im Hilfe-Bereich der Anwendung, übermitteln wir Ihren Namen, Ihre E-Mail-Adresse, den Namen Ihres Mandanten sowie Ihren frei formulierten Anliegentext an unser Ticketsystem, um die Anfrage zu bearbeiten. Optional übermitteln wir zusätzlich Ihre zuletzt an den Handbuch-Assistenten gestellte Frage samt dessen Antwort, wenn Sie das ausdrücklich mit auswählen. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Ticketsystem (Zammad) und die zur Zustellung genutzte Workflow-Automatisierung (n8n) betreiben wir selbst auf eigener Infrastruktur, kein SaaS-Fremdanbieter. Beide Systeme laufen getrennt von der eigentlichen CuraLogik-Anwendung.

Support-Tickets bestehender Mandanten-Nutzer löschen wir 3 Jahre nach Abschluss des Vorgangs. PLATZHALTER: Rollenklärung (Verantwortlicher oder Auftragsverarbeiter für diese konkrete Verarbeitung) vor Veröffentlichung mit der Datenschutz-Kanzlei abstimmen.