1. Einleitung
Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Software BrAIndex (nachfolgend „Software“ genannt).
Die Software dient der automatisierten Indexierung von Dokumenten aus Ihren DMS- und ERP-Systemen mittels Künstlicher Intelligenz (KI).
2. Verantwortliche Stelle und Datenschutz
BinaryBrains Ltd.
Lasa Village
8740 Paphos, Zypern
E-Mail: info@binarybrains.de
Website: https://binarybrains.de
Ein Datenschutzbeauftragter ist gemäß Art. 37 DSGVO bzw. § 38 BDSG nicht erforderlich. Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannte E-Mail-Adresse.
3. Art, Zweck und Herkunft der Daten
Die Software verarbeitet Daten aus zwei Quellen:
A. Vom Kunden bereitgestellte Daten (Auftragsverarbeitung):
- Dokumenteninhalte: Texte, Bilder und sonstige Inhalte zur Analyse.
- Metadaten: Dokumententyp, Erstellungsdatum, Dateiname, Archiv-IDs.
- Indexdaten: Die generierten Ergebnisse zur Rückführung in die Kundensysteme.
- Kategorien betroffener Personen: Kunden, Mitarbeitende, Geschäftspartner und sonstige Dritte, die in den Dokumenten des Kunden genannt werden.
B. Technisch erforderliche Nutzungsdaten (Eigene Verantwortung):
- Beim Zugriff auf die Software werden Protokolldaten erhoben (IP-Adresse des Nutzers, Zeitstempel des Zugriffs, Browsertyp, Betriebssystem).
- Zweck: Sicherstellung des Betriebs, Fehleranalyse und Abwehr von Cyberangriffen.
- Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Sicherheit und Funktionalität der Software).
Wichtiger Hinweis zur KI-Nutzung: Gemäß unseren Konfigurationen werden die übermittelten Dokumentendaten nicht zum Training oder zur Verbesserung von KI-Modellen der Drittanbieter verwendet.
4. Einsatz von Drittanbietern und Hosting
Wir nutzen spezialisierte Unterauftragnehmer, um die Software bereitzustellen. Alle Anbieter sind vertraglich zur Einhaltung der DSGVO verpflichtet.
Google Cloud Vertex AI (KI-Analyse):
- Die Verarbeitung erfolgt transient (ausschließlich im Arbeitsspeicher für die Dauer der Analyse) ohne dauerhafte Speicherung.
- Standort: Die Datenverarbeitung erfolgt in der Region europe-west3 (Frankfurt am Main, Deutschland).
- Drittlandtransfer: Google ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Zusätzlich wurden Standardvertragsklauseln abgeschlossen.
Hosting (DigitalOcean):
- Betrieb der gesamten Infrastruktur und Datenbanken.
- Standort: Rechenzentrum in Frankfurt am Main, Deutschland.
- Sicherheit: DigitalOcean ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
5. Rechtsgrundlage und Auftragsverarbeitung
- Die Verarbeitung der Dokumentendaten erfolgt ausschließlich im Auftrag des Kunden.
- Rechtsgrundlage: Art. 6 Abs. 1 DSGVO (festgelegt durch den Kunden als Verantwortlichen).
6. Keine automatisierte Entscheidungsfindung
Wir führen keine automatisierte Entscheidungsfindung im Einzelfall und kein Profiling gemäß Art. 22 DSGVO durch. Die Software unterbreitet lediglich Vorschläge; die finale Entscheidungsgewalt über die Datenübernahme verbleibt beim menschlichen Nutzer.
7. Speicherdauer
- Analyse-Daten: Sofortige Löschung nach der transienten Verarbeitung im Arbeitsspeicher.
- Protokolldaten (Logs): Speicherung für 30 Tage zur Fehleranalyse und Sicherheitsprotokollierung, danach automatisierte Löschung.
- Indexdaten: Die Speicherdauer im Zielsystem (DMS/ERP) unterliegt der alleinigen Verantwortung des Kunden.
8. Ihre Rechte und Beschwerderecht
Betroffene Personen (z.B. Ihre Endkunden oder Mitarbeiter) haben ihre Rechte auf Auskunft, Berichtigung oder Löschung gegenüber dem Verantwortlichen (unserem Kunden) geltend zu machen. Wir unterstützen unsere Kunden bei der Erfüllung dieser Anfragen gemäß den Bedingungen des AVV.
Zuständige Aufsichtsbehörde (Zypern):
Commissioner for Personal Data Protection
1 Iasonos Street, 1082 Nicosia, Zypern
9. Technisch-organisatorische Maßnahmen (TOMs)
- Verschlüsselung der Übertragung (TLS 1.3) und der Speicherung (AES-256).
- Strikte Isolation von Kundendaten (Multi-Tenancy Architektur).
- Regelmäßige Sicherheitsupdates und Monitoring.
- Zugriffskontrolle nach dem „Need-to-know“-Prinzip.
10. Änderungen dieser Erklärung
Wir passen diese Erklärung bei rechtlichen oder technischen Änderungen an. Es gilt die jeweils aktuelle Fassung auf unserer Webseite.