Datenschutzerklärung

Zweck: Login, Registrierung, Session-Management; OAuth-Anbindung von Google für Login und Calendar-Integration.

Verarbeitete Daten: Name, E-Mail-Adresse, Profilbild, OAuth-Tokens, Session-IDs, gehashte IP-Adresse, Login-Zeitstempel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Dienstleister: Convex, Inc. (Speicherung der Account-Daten); Google LLC / Google Ireland Limited (OAuth-Provider).

Datenstandort: Convex EU-Region (Frankfurt). Google OAuth: weltweit, abgesichert durch das EU-US Data Privacy Framework.

Zweck: Entgegennahme von Audio-Dateien zur Transkription und KI-gestützten Analyse.

Verarbeitete Daten: Audio-Aufnahmen (Stimme, biometrisches Datum nach Art. 9 DSGVO i.V.m. Speaker-Diarization), gesprochene Inhalte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und zusätzlich Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung) aller Sprecher. Vor dem Upload muss der Nutzer bestätigen, dass alle Sprecher über Aufnahme, Transkription und KI-Analyse informiert wurden und zugestimmt haben. Diese Bestätigung wird protokolliert.

Strafrechtlicher Hinweis: Die Aufnahme des nicht-öffentlich gesprochenen Wortes ohne Einwilligung aller Beteiligten ist nach § 201 StGB strafbar. Der Kunde ist verpflichtet, alle Meeting-Teilnehmer zu informieren und eine Einwilligung einzuholen.

Dienstleister: Hetzner Online GmbH (S3 Object Storage, Nürnberg).

Datenstandort: Deutschland, kein Drittlandtransfer.

Speicherdauer: Bis zur Meeting-Löschung; ansonsten 12 Monate ab letztem Zugriff durch eine automatische Löschfrist.

Zweck: Automatischer Beitritt eines KI-Notetaker-Bots zu Online-Meetings (Zoom, Google Meet, Microsoft Teams) und Aufnahme von Audio und ggf. Video.

Verarbeitete Daten: Audio (Stimme, biometrisch), Video, Meeting-Metadaten (Teilnehmerliste, Titel, Zeit), Kalender-Events bei aktiver Calendar-Integration.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO + Art. 9 Abs. 2 lit. a DSGVO.

Einwilligung und Transparenz: Vor dem manuellen Bot-Start muss der Nutzer bestätigen, dass alle Teilnehmer über Aufnahme, Transkription und KI-Analyse informiert wurden und zugestimmt haben. Bei Kalender-Aufnahmen wird diese Bestätigung beim Aktivieren der Aufnahme verlangt. Der Bot ist für die Teilnehmer sichtbar und kündigt den Beginn der Audio- und Videoaufnahme an.

Dienstleister: Recall.ai Inc. (US-Mutter, EU-Region eu-central-1 in Frankfurt).

Datenstandort: Wir verwenden die Recall.ai-Region eu-central-1 (Frankfurt). Für die US-Muttergesellschaft werden die erforderlichen Garantien für Drittlandübermittlungen vertraglich abgesichert.

Zweck: Konvertierung des Audios in Text-Transkript einschließlich Sprecher-Trennung und Word-Timestamps.

Verarbeitete Daten: Audio-Datei (zur Verarbeitung über presigned URL), generiertes Text-Transkript, Speaker-Labels, Confidence-Scores.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b + Art. 9 Abs. 2 lit. a DSGVO.

Dienstleister: Speechmatics Ltd. (Cambridge, UK).

Datenstandort: Verarbeitung über den Speechmatics-EU1-Workspace. Das Vereinigte Königreich besitzt einen EU-Angemessenheitsbeschluss.

Kurzzeitspeicherung: Audio-Daten und Transkripte werden nach 7 Tagen automatisch von den Speechmatics-Servern gelöscht.

Zweck: Generierung von Zusammenfassungen, Aufgaben, Entscheidungen, Themen, Sentiment-Score und Quality-Metriken; Embedding-Generierung für die semantische Suche; interaktive Chat-Funktion über Meeting-Inhalte.

Verarbeitete Daten: Transkript-Text, Chat-Nachrichten, Meeting-Kontext.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Google Ireland Limited (Vertex AI mit Gemini-Modellen).

Datenstandort: Analyse und Chat laufen über die Vertex-AI-Region europe-west1 (Belgien). Embeddings laufen über gemini-embedding-2 am Vertex-AI-Multi-Region-Endpunkt eu für die Europäische Union.

Kein Training: Google verwendet die übermittelten Daten nicht zum Training eigener Modelle.

KI-Transparenz (Art. 50 KI-VO): Sämtliche KI-generierten Inhalte werden in der MeetLinks-Oberfläche und in versendeten E-Mails als „KI-generiert“ gekennzeichnet.

Zweck: Zentrale Backend-Plattform mit Datenbank, Serverless Functions und Echtzeit-Synchronisation.

Verarbeitete Daten: Stammdaten, Meeting-Daten, Transkripte, Analyse-Ergebnisse, Chat-Threads, Embeddings, Consent-Logs, Audit-Logs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Convex, Inc.

Datenstandort: EU-Region (Frankfurt). Convex Inc. ist US-Muttergesellschaft, daher sind zusätzlich Standardvertragsklauseln vereinbart.

Zweck: Versand transaktionaler Benachrichtigungen (Meeting-Zusammenfassungen, Aufgaben-Hinweise, System-Mails).

Verarbeitete Daten: E-Mail-Adresse, Name, Auszüge aus Meeting-Inhalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Sendinblue GmbH (Brevo, Berlin).

Datenstandort: EU/Deutschland, kein Drittlandtransfer.

Zweck: Abwicklung der kostenpflichtigen Pläne.

Verarbeitete Daten: Name, E-Mail, Rechnungsadresse. Kreditkarten-/Bankdaten werden ausschließlich von Stripe gespeichert (PCI-DSS Level 1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Dienstleister: Stripe Payments Europe Ltd. (Irland).

Datenstandort: EU (Irland), kein Drittlandtransfer.

Zweck: Auf Ihre Anweisung rufen wir öffentlich zugängliche Web-Inhalte ab, um Projekt-Kontext in MeetLinks zu ergänzen.

Verarbeitete Daten: eingegebene Web-Adresse, abgerufene öffentliche Web-Inhalte und daraus erzeugter Projekt-Kontext; Personenbezug ist nicht beabsichtigt, kann bei öffentlich sichtbaren Inhalten aber nicht vollständig ausgeschlossen werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Dienstleister: Firecrawl, Inc. (USA). Die Funktion wird nur auf Nutzer-Anweisung verwendet; Drittlandübermittlungen werden vertraglich abgesichert.

Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu verlangen.

Sie haben das Recht, die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten zu verlangen.

Sie haben das Recht auf Löschung Ihrer personenbezogenen Daten, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Wir setzen Löschverlangen innerhalb von 30 Tagen um.

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen.

Sie können Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format erhalten.

Sie können der Verarbeitung Ihrer Daten widersprechen, sofern diese auf Art. 6 Abs. 1 lit. f DSGVO basiert.

Sie können erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft widerrufen, etwa zur Audio-Aufnahme.

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für die TAXWARE Software Solutions GmbH zuständig ist:

Session-Cookies, Authentifizierung, können nicht deaktiviert werden.

Spracheinstellungen, UI-Präferenzen.

Die folgenden Anbieter verarbeiten Daten teilweise außerhalb der EU:

• Speechmatics Ltd. (Vereinigtes Königreich): abgesichert durch den EU-Angemessenheitsbeschluss für das Vereinigte Königreich und Standardvertragsklauseln.
• Google LLC (OAuth): abgesichert durch das EU-US Data Privacy Framework und Google-Cloud-Vertragsunterlagen.
• Convex, Inc.: US-Muttergesellschaft trotz EU-Hosting, Standardvertragsklauseln und ergänzende Schutzmaßnahmen.
• Recall.ai Inc.: US-Mutter mit EU-Hosting, Standardvertragsklauseln und ergänzende Schutzmaßnahmen.
• Firecrawl, Inc.: USA, Standardvertragsklauseln und ergänzende Schutzmaßnahmen.

• Hetzner Online GmbH, Audio-Speicherung in Deutschland
• Sendinblue GmbH (Brevo), E-Mail-Versand in der EU/Deutschland
• Google Ireland Limited (Vertex AI), KI-Verarbeitung in Europa (europe-west1 und eu)
• Stripe Payments Europe Ltd., Billing in Irland
• Convex, EU-Region Frankfurt

• AES-256-Verschlüsselung at rest
• TLS 1.3 in transit
• SOC 2 Type II / ISO 27001 / BSI C5 zertifizierte Subprozessoren
• OAuth 2.0 mit MFA-Optionen
• Presigned URLs für zeitlich begrenzten Audio-Zugriff
• Protokollierung sicherheitsrelevanter Ereignisse
• Regelmäßige Sicherheitsprüfungen und Abhängigkeitsprüfungen