Datenschutzerklärung

Beim Aufruf unserer Website verarbeiten unsere Hosting-Systeme technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, angeforderte Adresse, Zeitpunkt, Browserinformationen und Fehlerdaten. Dies dient der Auslieferung und Absicherung des Angebots (Art. 6 Abs. 1 lit. f DSGVO). Website und App werden bei Hetzner Online GmbH gehostet.

Bei einer Kontaktanfrage verarbeiten wir Ihre Kontaktdaten und den Inhalt zur Bearbeitung der Anfrage. Rechtsgrundlage sind Art. 6 Abs. 1 lit. b DSGVO bei Vertragsanfragen und ansonsten Art. 6 Abs. 1 lit. f DSGVO. Wir speichern diese Angaben, solange sie zur Bearbeitung oder für gesetzliche Nachweispflichten erforderlich sind.

Zweck: Login, Registrierung, Session-Management; wahlweise Anmeldung über Google oder Microsoft sowie optional die Kalender-Anbindung.

Verarbeitete Daten: Name, E-Mail-Adresse, Profilbild, OAuth-Tokens, Session-IDs, IP-Adresse, Login-Zeitstempel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bei eigenen Vertragspartnern), bei Beschäftigten unserer Kunden Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung und Absicherung des Geschäftskundenkontos).

Dienstleister: Convex, Inc. (Speicherung der Account-Daten); Google LLC / Google Ireland Limited sowie Microsoft Ireland Operations Limited / Microsoft Corporation (OAuth-Provider bei gewählter Anmeldung).

Datenstandort: Convex EU-Region (Irland). Google und Microsoft OAuth: Verarbeitung auch außerhalb des EWR nach den Datenschutzbedingungen des gewählten Anbieters. Informationen finden Sie bei Google und Microsoft.

Zweck: Entgegennahme von Audio-Dateien zur Transkription und KI-gestützten Analyse.

Verarbeitete Daten: Audio-Aufnahmen, Stimmen und gesprochene Inhalte. Besondere Kategorien personenbezogener Daten können je nach Inhalt betroffen sein (siehe Abschnitt 5).

Rechtsgrundlage: Die Kundenorganisation bestimmt und dokumentiert die Rechtsgrundlage ihrer Verarbeitung, einschließlich gegebenenfalls erforderlicher ausdrücklicher Einwilligungen nach Art. 9 DSGVO. Wir verarbeiten die Inhalte nach Weisung auf Grundlage des AVV. Vor dem Upload muss der Nutzer bestätigen, dass alle Sprecher über Aufnahme, Transkription und KI-Analyse informiert wurden und zugestimmt haben. Diese Bestätigung wird protokolliert.

Strafrechtlicher Hinweis: Die Aufnahme des nicht-öffentlich gesprochenen Wortes ohne Einwilligung aller Beteiligten ist nach § 201 StGB strafbar. Der Kunde ist verpflichtet, alle Meeting-Teilnehmer zu informieren und eine Einwilligung einzuholen.

Dienstleister: Hetzner Online GmbH (S3 Object Storage, Nürnberg).

Datenstandort: Deutschland, kein Drittlandtransfer.

Speicherdauer: Bis zur Meeting-Löschung; ansonsten solange die Inhalte für die Nutzung durch die Kundenorganisation benötigt werden. Eine pauschale automatische Löschung nach zwölf Monaten ist nicht eingerichtet. Löschanfragen können über den Datenschutzkontakt gestellt werden.

Zweck: Automatischer Beitritt eines KI-Notetaker-Bots zu Online-Meetings (Zoom, Google Meet, Microsoft Teams) und Aufnahme von Audio und ggf. Video.

Verarbeitete Daten: Audio und Stimmen, Video, Meeting-Metadaten (Teilnehmerliste, Titel, Zeit), Kalender-Events bei aktiver Calendar-Integration.

Rechtsgrundlage: Verarbeitung nach Weisung der Kundenorganisation auf Grundlage des AVV; die Organisation ist für die Rechtsgrundlage gegenüber den Teilnehmern verantwortlich.

Einwilligung und Transparenz: Vor dem manuellen Bot-Start muss der Nutzer bestätigen, dass alle Teilnehmer über Aufnahme, Transkription und KI-Analyse informiert wurden und zugestimmt haben. Bei Kalender-Aufnahmen wird diese Bestätigung beim Aktivieren der Aufnahme verlangt. Der Bot ist für die Teilnehmer sichtbar und kündigt den Beginn der Audio- und Videoaufnahme an.

Dienstleister: Recall.ai Inc. (US-Mutter, EU-Region eu-central-1 in Frankfurt).

Datenstandort: Wir verwenden die Recall.ai-Region eu-central-1 (Frankfurt). Für die US-Muttergesellschaft werden die erforderlichen Garantien für Drittlandübermittlungen vertraglich abgesichert.

Zweck: Konvertierung des Audios in Text-Transkript einschließlich Sprecher-Trennung und Word-Timestamps.

Verarbeitete Daten: Audio-Datei (zur Verarbeitung über presigned URL), generiertes Text-Transkript, Speaker-Labels, Confidence-Scores.

Rechtsgrundlage: Verarbeitung nach Weisung der Kundenorganisation auf Grundlage des AVV.

Dienstleister: Speechmatics Ltd. (Cambridge, UK) für hochgeladene Aufnahmen. Bei Bot-Aufnahmen erfolgt die Transkription über Recall.ai; für Live-Transkription nutzt diese Anbindung Deepgram. Dabei werden Audioinhalte, Transkripte und Zeitmarken verarbeitet.

Datenstandort: Verarbeitung über den Speechmatics-EU1-Workspace. Das Vereinigte Königreich besitzt einen EU-Angemessenheitsbeschluss.

Kurzzeitspeicherung: Audio-Daten und Transkripte werden nach 7 Tagen automatisch von den Speechmatics-Servern gelöscht.

Zweck: Generierung von Zusammenfassungen, Aufgaben, Entscheidungen, Themen, Sentiment-Score und Quality-Metriken; Embedding-Generierung für die semantische Suche; interaktive Chat-Funktion über Meeting-Inhalte.

Verarbeitete Daten: Transkript-Text, Chat-Nachrichten, Meeting-Kontext.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Google Ireland Limited (Vertex AI mit Gemini-Modellen).

Datenstandort: Analyse und Chat laufen über die Vertex-AI-Region europe-west1 (Belgien). Embeddings laufen über gemini-embedding-2 am Vertex-AI-Multi-Region-Endpunkt eu für die Europäische Union. Für die Suche in Meeting-Inhalten und Wissensquellen werden die Suchanfrage und die gefundenen Textausschnitte zusätzlich an die Ranking-Funktion von Google Cloud (Vertex AI Search) übermittelt, die die Treffer nach Relevanz sortiert. Diese Funktion läuft über einen weltweiten Endpunkt (global); der Verarbeitungsort ist dabei nicht auf die EU beschränkt.

Kein Training: Google verwendet die übermittelten Daten nicht zum Training eigener Modelle.

KI-Transparenz (Art. 50 KI-VO): Sämtliche KI-generierten Inhalte werden in der MeetLinks-Oberfläche und in versendeten E-Mails als „KI-generiert“ gekennzeichnet.

Zweck: Zentrale Backend-Plattform mit Datenbank, Serverless Functions und Echtzeit-Synchronisation.

Verarbeitete Daten: Stammdaten, Meeting-Daten, Transkripte, Analyse-Ergebnisse, Chat-Threads, Embeddings, Consent-Logs, Audit-Logs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Convex, Inc.

Datenstandort: EU-Region (Irland). Convex Inc. ist US-Muttergesellschaft, daher sind zusätzlich Standardvertragsklauseln vereinbart.

Zweck: Versand transaktionaler Benachrichtigungen (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzung, Sicherheits- und System-Mails sowie aktivierte Meeting-Zusammenfassungen und Aufgaben-Hinweise).

Verarbeitete Daten: E-Mail-Adresse, Name, Auszüge aus Meeting-Inhalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Sendinblue GmbH (Brevo, Berlin).

Datenstandort: Brevo nennt für die Datenhaltung EU-Standorte in Frankreich, Deutschland und Belgien. Weitere Informationen: Brevo-Datenschutzhinweise.

Für kostenpflichtige Geschäftskunden-Abonnements verwenden wir Stripe Checkout, Stripe Billing, Stripe Tax und das Stripe-Kundenportal. Vertragspartner für diese Dienste in Europa ist Stripe Payments Europe Ltd., Irland. Stripe kann je nach Verarbeitung als Auftragsverarbeiter oder als eigenständig Verantwortlicher handeln.

Verarbeitet werden Firmenname, Name und E-Mail-Adresse des Ansprechpartners, Rechnungsadresse und gegebenenfalls Umsatzsteuer-ID, Tarif, Anzahl der Nutzerplätze, Abrechnungszeitraum, Zahlungs- und Rechnungsdaten sowie die Bestätigung der Unternehmereigenschaft und AGB-Zustimmung einschließlich der zugeordneten Fassung. Im Bezahlvorgang verarbeitet Stripe außerdem technische Geräte- und Verbindungsdaten zur Zahlungsabwicklung und Betrugsabwehr. Vollständige Kartendaten werden direkt bei Stripe eingegeben; MeetLinks speichert sie nicht.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für Vertragsanbahnung und -erfüllung, Art. 6 Abs. 1 lit. c DSGVO für steuerliche Aufbewahrungs- und Nachweispflichten sowie Art. 6 Abs. 1 lit. f DSGVO für Betrugsabwehr und die Verwaltung der Ansprechpartner unserer Geschäftskunden.

Stripe verarbeitet Daten auch außerhalb des EWR, insbesondere in den USA. Stripe beschreibt hierfür insbesondere Standardvertragsklauseln und gegebenenfalls anwendbare Angemessenheitsbeschlüsse. Einzelheiten zu Empfängern, Aufbewahrung und Rechten enthalten die Stripe-Datenschutzhinweise und das Stripe Data Processing Agreement.

Zweck: Auf Ihre Anweisung rufen wir öffentlich zugängliche Web-Inhalte ab, um Projekt-Kontext in MeetLinks zu ergänzen.

Verarbeitete Daten: eingegebene Web-Adresse, abgerufene öffentliche Web-Inhalte und daraus erzeugter Projekt-Kontext; Personenbezug ist nicht beabsichtigt, kann bei öffentlich sichtbaren Inhalten aber nicht vollständig ausgeschlossen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Dienstleister: Firecrawl, Inc. (USA). Die Funktion wird nur auf Nutzer-Anweisung verwendet; Drittlandübermittlungen werden vertraglich abgesichert.

Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen.

Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.

Sie haben das Recht auf Löschung Ihrer personenbezogenen Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wir bearbeiten Ihre Anfrage innerhalb der gesetzlichen Fristen nach Art. 12 Abs. 3 DSGVO.

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.

Sie können Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format erhalten.

Sie können der Verarbeitung Ihrer Daten widersprechen, sofern diese auf Art. 6 Abs. 1 lit. f DSGVO basiert.

Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen, etwa zur Audio-Aufnahme.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Eine Beschwerde können Sie insbesondere bei der Behörde Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes einreichen. Für die TAXWARE Software Solutions GmbH mit Sitz in Hamburg zuständig ist:

Session-Cookies und Authentifizierung sind für die Anmeldung erforderlich. Sie können diese im Browser sperren; die Anmeldung funktioniert dann gegebenenfalls nicht.

Spracheinstellungen, UI-Präferenzen.

Die folgenden Anbieter verarbeiten Daten teilweise außerhalb der EU:

• Speechmatics Ltd. (Vereinigtes Königreich): abgesichert durch den EU-Angemessenheitsbeschluss für das Vereinigte Königreich und Standardvertragsklauseln.
• Google LLC (OAuth): abgesichert durch das EU-US Data Privacy Framework und Google-Cloud-Vertragsunterlagen.
• Convex, Inc.: US-Muttergesellschaft trotz EU-Hosting, Standardvertragsklauseln und ergänzende Schutzmaßnahmen.
• Recall.ai Inc.: US-Mutter mit EU-Hosting, Standardvertragsklauseln und ergänzende Schutzmaßnahmen.
• Firecrawl, Inc.: USA, Standardvertragsklauseln und ergänzende Schutzmaßnahmen.
• Google (Vertex AI Search, Ranking): weltweiter Endpunkt, abgesichert durch den Google-Cloud-Auftragsverarbeitungsvertrag, Standardvertragsklauseln und das EU-US Data Privacy Framework.
• Deepgram über Recall.ai (Live-Transkription): Drittlandzugriff möglich, abgesichert über die Verträge und Standardvertragsklauseln von Recall.ai.

• Hetzner Online GmbH, Audio-Speicherung in Deutschland
• Sendinblue GmbH (Brevo), E-Mail-Versand in der EU/Deutschland
• Google Ireland Limited (Vertex AI), KI-Analyse, Chat und Embeddings in Europa (europe-west1 und eu)
• Stripe: siehe Abschnitt 3.8, einschließlich möglicher Drittlandübermittlungen
• Convex, EU-Region Irland

• Verschlüsselte Verbindungen und Zugriffskontrollen
• SOC 2 Type II / ISO 27001 / BSI C5 zertifizierte Subprozessoren
• OAuth 2.0 mit MFA-Optionen
• Presigned URLs für zeitlich begrenzten Audio-Zugriff
• Protokollierung sicherheitsrelevanter Ereignisse
• Regelmäßige Sicherheitsprüfungen und Abhängigkeitsprüfungen