Datenschutzhinweise

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in diesen Datenschutzhinweisen beschriebenen eigenen Verarbeitungen ist:

kinerva UG (haftungsbeschränkt) i. G.
Bödekerstraße 1
30161 Hannover
E-Mail: kontakt@kinerva.de
Telefon: +49 1556 32 83 970

Datenschutzanfragen können Sie an kontakt@kinerva.de richten.

2. Geltungsbereich und Rollenverteilung

Diese Datenschutzhinweise gelten für den Besuch von meeting-eule.de, für die Nutzung der Meeting-Eule-App und für die Kontaktaufnahme mit uns.

Bei der Verarbeitung von Konto-, Vertrags-, Sicherheits- und Kommunikationsdaten entscheidet kinerva selbst über Zwecke und Mittel und ist daher datenschutzrechtlich Verantwortlicher.

Bei Audioaufnahmen, Transkripten, Zusammenfassungen, Aufgaben und sonstigen Inhalten eines Meetings entscheidet regelmäßig die Organisation, die Meeting Eule einsetzt, über Zweck, Teilnehmerkreis, Rechtsgrundlage, Speicherdauer und Zugriffsberechtigungen. Diese Organisation ist für die Meetinginhalte Verantwortlicher; kinerva verarbeitet die Inhalte grundsätzlich als Auftragsverarbeiter nach Art. 28 DSGVO. Betroffene Personen sollten sich mit Anfragen zu konkreten Meetinginhalten zuerst an die einsetzende Organisation wenden. Wir unterstützen diese bei der Erfüllung von Betroffenenrechten.

3. Aufruf der Website und Hosting über AWS

Beim Aufruf unserer Website werden technisch notwendige Verbindungsdaten verarbeitet. Dazu können insbesondere IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene Seite bzw. Datei, übertragene Datenmenge, Referrer-URL, Browsertyp, Betriebssystem, User-Agent sowie Status- und Fehlercodes gehören.

Die Verarbeitung ist erforderlich, um die Website auszuliefern, die Stabilität und Sicherheit des Angebots zu gewährleisten und technische Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, störungsfreien und wirtschaftlichen Betrieb der Website.

Für Hosting und Content-Auslieferung nutzen wir Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, insbesondere Amazon S3 und Amazon CloudFront. Für die Auflösung der Domain nutzen wir Amazon Route 53. AWS verarbeitet die Daten in unserem Auftrag. CloudFront und Route 53 sind globale Dienste; eine Verarbeitung an Standorten außerhalb des Europäischen Wirtschaftsraums kann je nach technischer Bereitstellung, Routing oder Support nicht vollständig ausgeschlossen werden. Für Drittlandübermittlungen sieht der AWS-Vertrag geeignete Garantien, insbesondere EU-Standardvertragsklauseln, vor.

Zugriffs- und Sicherheitsprotokolle werden nach dem von uns festgelegten Löschkonzept grundsätzlich nach 14 Tagen gelöscht oder anonymisiert. Bei einem konkreten Sicherheitsvorfall können betroffene Protokolldaten bis zur Aufklärung und gegebenenfalls zur Rechtsverfolgung länger gespeichert werden.

4. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre E-Mail-Adresse, die von Ihnen mitgeteilten Kontaktdaten, den Inhalt Ihrer Nachricht sowie technische Versand- und Empfangsdaten. Wir verwenden diese Daten, um Ihre Anfrage zu bearbeiten und die weitere Kommunikation zu führen.

Soweit Ihre Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist, ist Art. 6 Abs. 1 Buchst. b DSGVO Rechtsgrundlage. In anderen Fällen stützen wir die Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO; unser berechtigtes Interesse liegt in der sachgerechten Bearbeitung eingehender Anfragen. Gesetzliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 Buchst. c DSGVO.

Derzeit nutzen wir für den Empfang und die Speicherung von Nachrichten an kontakt@kinerva.de Dienste der IONOS SE, Elgendorfer Straße 57, 56410 Montabaur. IONOS verarbeitet E-Mail-Inhalte, Absender- und Empfängerdaten sowie technische Metadaten in unserem Auftrag.

Wir löschen allgemeine Anfragen grundsätzlich sechs Monate nach abschließender Bearbeitung. Entsteht ein Vertragsverhältnis oder ist die Kommunikation handels-, steuer- oder beweisrechtlich relevant, speichern wir die erforderlichen Daten für die Dauer der jeweiligen gesetzlichen Aufbewahrungs- oder Verjährungsfristen.

5. Cookies und ähnliche Technologien auf der Website

Auf der öffentlich zugänglichen Website setzen wir nach derzeitigem Stand keine Analyse-, Marketing- oder Social-Media-Cookies und keine vergleichbaren Trackingtechnologien ein. Deshalb ist dort derzeit kein Einwilligungsbanner erforderlich. Sollten künftig nicht unbedingt erforderliche Cookies oder ähnliche Technologien eingesetzt werden, holen wir vor deren Einsatz eine Einwilligung nach § 25 Abs. 1 TDDDG und – soweit erforderlich – Art. 6 Abs. 1 Buchst. a DSGVO ein und aktualisieren diese Hinweise.

6. Registrierung und Benutzerkonto in der App

Für die Nutzung der Meeting-Eule-App verarbeiten wir insbesondere E-Mail-Adresse, Name, Organisation bzw. Mandant, Benutzerrolle und Berechtigungen, Kontostatus sowie Anmelde-, Sicherheits- und Nutzungsmetadaten. Passwörter werden nicht im Klartext gespeichert. Die Authentifizierung erfolgt über Amazon Cognito in der AWS-Region eu-central-1.

Die Verarbeitung dient der Einrichtung und Verwaltung des Benutzerkontos, der Zugangskontrolle, der Mandantentrennung, der Bereitstellung der vereinbarten Funktionen sowie der Missbrauchs- und Angriffserkennung. Rechtsgrundlage ist bei eigenen Vertragspartnern Art. 6 Abs. 1 Buchst. b DSGVO. Für Nutzer, die für einen Unternehmenskunden handeln, ist Art. 6 Abs. 1 Buchst. f DSGVO Rechtsgrundlage; unser berechtigtes Interesse und das Interesse des Kunden liegen in der sicheren Bereitstellung und Verwaltung des Dienstes.

Die App verwendet ausschließlich technisch erforderliche Session- und Sicherheitsinformationen, um die Anmeldung aufrechtzuerhalten, Anfragen einem Benutzerkonto zuzuordnen und Missbrauch zu verhindern. Der Zugriff auf bzw. die Speicherung von Informationen im Endgerät erfolgt, soweit einschlägig, auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG. Diese Technologien werden nicht für Werbung oder nutzerübergreifendes Tracking eingesetzt.

7. Verifizierungs- und Passwort-Codes über Brevo

Für den Versand von E-Mails zur Verifizierung und zur Wiederherstellung des Kontozugangs nutzen wir den Transaktions-E-Mail-Dienst Brevo der Brevo SAS, 17 rue de Salneuve, 75017 Paris, Frankreich. Hierbei werden insbesondere E-Mail-Adresse, Inhalt des Transaktionsversands, Versandzeitpunkt, Zustellstatus und technische Metadaten verarbeitet.

Die Verarbeitung ist für die sichere Einrichtung und Nutzung des Kontos erforderlich. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. b DSGVO beziehungsweise bei Nutzern eines Unternehmenskunden Art. 6 Abs. 1 Buchst. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren Zustellung zeitkritischer Authentifizierungsnachrichten. Brevo verarbeitet die Daten als Auftragsverarbeiter. Die Nachrichten werden nicht für Werbung verwendet.

8. Verarbeitung von Meetinginhalten

Wenn eine berechtigte Person eine Aufzeichnung startet, kann Meeting Eule folgende Daten verarbeiten: Audiosignale und Stimmen, gesprochene Inhalte, Sprechersegmente ohne automatische Namensidentifizierung, Transkripte, Zusammenfassungen, Entscheidungen, Aufgaben, offene Punkte, manuell ergänzte Namen sowie Meeting-, Geräte- und Verarbeitungsmetadaten.

Je nach Inhalt eines Gesprächs können auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten, sowie vertrauliche Unternehmens-, Beschäftigten- oder Berufsgeheimnisse enthalten sein. Die einsetzende Organisation muss deshalb den zulässigen Einsatzbereich, die Rechtsgrundlage, die Information der Teilnehmenden, Zugriffsberechtigungen und Löschfristen vorab festlegen.

Meeting Eule darf nicht heimlich eingesetzt werden. Vor Beginn müssen alle Teilnehmenden klar über die Aufnahme, die Zwecke, die Empfänger und die Speicherdauer informiert werden. Die einsetzende Organisation muss zusätzlich sicherstellen, dass die Aufnahme nach Datenschutzrecht und § 201 StGB zulässig ist. Wo die erforderliche Freiwilligkeit nicht sicher gewährleistet ist, insbesondere in Beschäftigungskontexten, ist eine alternative Teilnahme ohne Aufzeichnung vorzusehen oder eine andere tragfähige Rechtsgrundlage zu prüfen.

Die erzeugten Transkripte und Zusammenfassungen sind Entwürfe. Sie können Fehler enthalten und werden nicht für automatische Entscheidungen über Personen, medizinische Beurteilungen, Leistungs- oder Verhaltenskontrollen oder Emotionserkennung verwendet. Eine berechtigte Person muss das Ergebnis prüfen und freigeben.

9. Sprache-zu-Text mit Deepgram

Für die Umwandlung von Sprache in Text setzen wir Deepgram Inc., USA, als Unterauftragsverarbeiter ein. Audiodaten werden ausschließlich über den für die Europäische Union vorgesehenen Endpunkt api.eu.deepgram.com übertragen. Deepgram erhält die Audiodaten, technische Anfragedaten und gegebenenfalls Sprach- und Transkriptionsparameter und liefert Transkript sowie Sprechersegmente zurück.

Die Nutzung erfolgt nur auf Grundlage eines Vertrags zur Auftragsverarbeitung, der die Verarbeitung auf die Bereitstellung des Dienstes begrenzt, die Nutzung für Modellverbesserung und Benchmarking ausschließt und geeignete Garantien für etwaige Drittlandübermittlungen vorsieht. Soweit personenbezogene Daten in die USA übermittelt oder von dort zugänglich werden, stützen wir die Übermittlung auf den im Einzelfall bestätigten Mechanismus nach Kapitel V DSGVO, insbesondere EU-Standardvertragsklauseln, ergänzt um erforderliche Schutzmaßnahmen.

Roh-Audio wird von uns möglichst nur für die laufende Übertragung verarbeitet. Soweit eine technische Zwischenspeicherung erforderlich ist, wird es nach erfolgreicher Verarbeitung, spätestens innerhalb von 24 Stunden, gelöscht. Technische Nutzungs- und Abrechnungsmetadaten können getrennt davon nach den vertraglich festgelegten Fristen verarbeitet werden.

10. AWS-Anwendungsdienste und KI-Zusammenfassung

Für den Betrieb der App nutzen wir Amazon Web Services EMEA SARL, Luxemburg, als Auftragsverarbeiter. Eingesetzt werden insbesondere Amazon DynamoDB, S3, Lambda und Cognito sowie Amazon Bedrock für die KI-gestützte Strukturierung und Zusammenfassung von Transkripten. Die Anwendungsdaten werden in der AWS-Region eu-central-1 (Frankfurt) verarbeitet. Eine regionsübergreifende Inferenz für Meetinginhalte ist deaktiviert.

Über Amazon Bedrock wird ein Claude-Modell auf AWS-Infrastruktur aufgerufen. Der Modellanbieter erhält nach der von uns gewählten Konfiguration keinen Zugriff auf Prompts und Ausgaben. Meetinginhalte werden nicht zum Training von Basismodellen verwendet. Wir konfigurieren Bedrock für Meetinginhalte ohne dauerhafte Speicherung von Eingaben und Ausgaben durch den Inferenzdienst.

AWS kann im Rahmen einzelner Support-, Sicherheits- oder gesetzlich gebotener Vorgänge sowie bei globalen Diensten Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Für solche Übermittlungen sieht der AWS-Vertrag geeignete Garantien, insbesondere EU-Standardvertragsklauseln, vor. Wir übermitteln keine Meetinginhalte in frei beschreibbare Tags, Abrechnungsfelder oder Supporttickets.

11. Speicherung und Löschung in der App

Die Speicherdauer für Meetingtranskripte und Ergebnisse legt die einsetzende Organisation innerhalb der von Meeting Eule angebotenen Löschoptionen fest. Die für ein konkretes Meeting geltende Frist wird in der App bzw. durch die einsetzende Organisation mitgeteilt. Nach Ablauf werden die Inhalte aus dem aktiven System gelöscht. Sicherungskopien werden rollierend spätestens nach 30 Tagen überschrieben.

Roh-Audio wird nach den in Abschnitt 9 genannten kurzen Fristen gelöscht. Authentifizierungs- und Sicherheitsprotokolle werden grundsätzlich 90 Tage gespeichert, sofern kein konkreter Sicherheitsvorfall eine längere Aufbewahrung erfordert. Kontodaten werden während der Vertragsbeziehung gespeichert und nach deren Ende grundsätzlich innerhalb von 30 Tagen gelöscht, soweit gesetzliche Aufbewahrungs- oder Nachweispflichten keine längere Speicherung verlangen.

12. Empfänger und Zugriffsberechtigte

Innerhalb von kinerva erhalten nur Personen Zugriff, die ihn für Betrieb, Support, Sicherheit, Vertragsabwicklung oder die Erfüllung rechtlicher Pflichten benötigen. Beim Unternehmenskunden richtet sich der Zugriff nach dessen Rollen- und Berechtigungskonzept. Darüber hinaus erhalten die in diesen Hinweisen genannten Auftrags- und Unterauftragsverarbeiter Daten nur in dem Umfang, der zur Erbringung ihrer jeweiligen Leistung erforderlich ist.

Eine Weitergabe kann außerdem erfolgen, wenn wir hierzu gesetzlich verpflichtet sind, wenn sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist oder wenn eine betroffene Person wirksam eingewilligt hat.

13. Pflicht zur Bereitstellung

Bestimmte Konto-, Authentifizierungs- und technische Verbindungsdaten sind erforderlich, um die Website bzw. App sicher bereitzustellen. Ohne diese Daten ist die Nutzung gegebenenfalls nicht möglich. Die Teilnahme an einem aufgezeichneten Meeting und die Bereitstellung von Gesprächsinhalten richten sich nach den Vorgaben und der Rechtsgrundlage der einsetzenden Organisation. Meeting Eule darf nicht dazu eingesetzt werden, eine rechtlich nicht freiwillige Einwilligung zu erzwingen.

14. Keine ausschließlich automatisierten Entscheidungen

Wir treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung ausschließlich automatisiert im Sinne von Art. 22 DSGVO. Die KI-Funktionen erstellen Entwürfe und Strukturierungsvorschläge. Verbindliche Entscheidungen, Aufgaben oder Protokolle entstehen erst nach menschlicher Prüfung und Freigabe.

15. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören insbesondere verschlüsselte Übertragung, rollenbasierte Zugriffssteuerung, Mandantentrennung, Protokollierung sicherheitsrelevanter Vorgänge, kurze Aufbewahrungsfristen, Berechtigungsprüfungen sowie Verfahren zur Wiederherstellung und zum Umgang mit Sicherheitsvorfällen. Ein absoluter Schutz kann bei elektronischer Datenübertragung nicht garantiert werden.

16. Ihre Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Bei Meetinginhalten richten Sie Ihre Anfrage bitte vorrangig an die Organisation, die das Meeting durchgeführt hat. Für unsere eigenen Verarbeitungen und für allgemeine Datenschutzanfragen erreichen Sie uns unter kontakt@kinerva.de.

17. Beschwerderecht

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für kinerva ist insbesondere folgende Behörde zuständig:

Der Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: +49 511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de

Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

18. Änderungen dieser Datenschutzhinweise

Wir aktualisieren diese Datenschutzhinweise, wenn sich unsere Verarbeitung, die eingesetzten Dienste oder die Rechtslage ändern. Es gilt die jeweils auf meeting-eule.de veröffentlichte Fassung.