Datenschutzerklärung

1Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Ein gesetzlich verpflichtender Datenschutzbeauftragter ist nicht bestellt. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2Was ist Cosmos?

Cosmos ist eine geschäftliche Multi-Tenant-CRM-Anwendung (B2B). Sie wird ausschließlich von Organisationen und deren Mitarbeitenden genutzt, um Kundenbeziehungen, Aufgaben, Termine und interne Kommunikation zu verwalten.

Der Zugang erfolgt nur per Einladung durch die jeweilige Organisation. Es gibt keine öffentliche Registrierung. Jede Organisation („Mandant") arbeitet in einem strikt voneinander getrennten Datenraum; ein Zugriff auf Daten anderer Mandanten ist technisch ausgeschlossen (Row-Level-Security).

Soweit Ihre Organisation Cosmos einsetzt, ist sie für die in ihrem Datenraum verarbeiteten Inhalts- und Kundendaten datenschutzrechtlich (mit-)verantwortlich; wir verarbeiten diese Daten insoweit als Auftragsverarbeiter im Auftrag der Organisation.

3Welche Daten wir verarbeiten

Im Rahmen der Nutzung von Cosmos verarbeiten wir folgende Kategorien personenbezogener Daten:

• Kontakt- und Stammdaten: Name, E-Mail-Adresse, ggf. Telefonnummer und Funktion.
• Nutzerinhalte: von Ihnen erstellte oder verarbeitete Inhalte – z. B. Chat-Nachrichten, Inhalte und Aufzeichnungen von Anrufen/Meetings, CRM-, Kunden-, Aufgaben- und Termindaten.
• Identifikatoren: Nutzer-ID, Geräte-/Push-Token zur Zustellung von Benachrichtigungen.
• Diagnose- und Nutzungsdaten: technische Protokolle, Fehler- und Absturzberichte, Zugriffszeitpunkte sowie die IP-Adresse des zugreifenden Geräts zur Sicherstellung von Betrieb und Sicherheit.

Zu den Fehlerberichten im Einzelnen: Tritt in der Anwendung oder in einer unserer Server-Funktionen ein Fehler auf, übermitteln wir einen technischen Bericht an unseren Auftragsverarbeiter Sentry. Dieser enthält den Namen der betroffenen Funktion, den Zeitpunkt, die technische Fehlermeldung samt Aufrufverlauf, Ihre Nutzer-Kennung sowie die IP-Adresse des zugreifenden Geräts. Inhalte von Anfragen werden dabei nicht übermittelt; Rufnummern, E-Mail-Adressen, Bankverbindungen und Zugangsschlüssel werden vor dem Versand automatisiert unkenntlich gemacht. Bei öffentlich erreichbaren Funktionen – etwa dem Abruf eines Angebots oder dem Absenden eines Formulars – kann dies auch die IP-Adresse von Personen betreffen, die selbst keine Nutzer von Cosmos sind.

Eine Nutzung der App ohne diese Daten ist nicht möglich, da sie für die Bereitstellung der Funktionen technisch erforderlich sind.

4Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung des Nutzerkontos und der CRM-Funktionen, Authentifizierung, Verwaltung von Kontakten, Aufgaben, Terminen, Chat sowie Anruf- und Meeting-Funktionen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Betriebssicherheit, Fehleranalyse, Missbrauchs- und Angriffsabwehr sowie technische Weiterentwicklung der Anwendung.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Einhaltung gesetzlicher Aufbewahrungs- und Nachweispflichten.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): z. B. bei aktiver Verbindung einer Kalender-Integration oder Aktivierung von Push-Benachrichtigungen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

5Kein Tracking, keine Werbung

Cosmos verfolgt einen datensparsamen Ansatz. Wir setzen kein Werbe- oder Cross-Site-Tracking ein, zeigen keine Werbung an und geben personenbezogene Daten nicht zu Werbezwecken weiter. Es findet kein Verkauf von Daten und keine Profilbildung zu Marketingzwecken statt.

6Auftragsverarbeiter und Empfänger

Zur Bereitstellung der App setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten ausschließlich weisungsgebunden in unserem Auftrag verarbeiten (Auftragsverarbeitung gem. Art. 28 DSGVO). Bei Übermittlungen in Drittländer (insb. USA) bestehen geeignete Garantien gemäß Art. 46 DSGVO (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).

Eine Weitergabe an darüber hinausgehende Dritte erfolgt nur, soweit dies gesetzlich vorgeschrieben oder zur Durchsetzung unserer Rechte erforderlich ist.

7Zugriff auf Google-Nutzerdaten

Cosmos kann auf Wunsch mit einem Google-Konto verbunden werden. Der Zugriff erfolgt ausschließlich nach ausdrücklicher Freigabe durch Sie im Google-Anmeldedialog und nur im Umfang der dort angezeigten Berechtigungen. Ohne diese Verbindung sind die nachfolgend beschriebenen Funktionen nicht verfügbar; die übrige Nutzung von Cosmos ist davon unberührt.

Welche Daten wir abrufen und wofür:

• E-Mail-Nachrichten (Gmail): Wir rufen Nachrichten Ihres Postfachs samt Inhalt, Betreff, Beteiligten, Datum und Anhangsinformationen ab, um sie in Cosmos anzuzeigen und dem passenden Kontakt oder Vorgang zuzuordnen. Bearbeitete Nachrichten werden mit Kennzeichnungen (Labels) markiert.
• E-Mail-Versand: Nachrichten, die Sie in Cosmos schreiben, werden über Ihr verbundenes Konto in Ihrem Namen versendet.
• Postfach-Einstellungen: Wir lesen einmalig Ihre Absender-Adressen und freigegebenen Postfächer aus, damit Nachrichten unter der richtigen Adresse versendet werden. Einstellungen werden dabei nicht verändert.
• Kalender: Wir lesen Termine und freie Zeiten, um sie in Cosmos anzuzeigen, Termine anzulegen oder zu ändern und die Terminbuchung zu ermöglichen.
• Google Drive: Sofern Sie die Dateiverbindung nutzen, lesen wir von Ihnen ausgewählte Dateien, um sie in Cosmos zu übernehmen.
• Konto-Kennung: Name und E-Mail-Adresse des verbundenen Kontos, um die Verbindung eindeutig zuzuordnen und Ihnen anzuzeigen.

Verarbeitung durch KI-Dienste

Cosmos bietet Funktionen, die Inhalte mit Hilfe von KI-Diensten aufbereiten. Diese werden nur ausgeführt, wenn Sie die jeweilige Funktion aktiv auslösen. Dabei werden die benötigten Inhalte an unseren Auftragsverarbeiter OpenAI übermittelt:

• Beim Antwortvorschlag wird der vollständige Text der betreffenden Nachricht übermittelt, bei Bezug zu einem Vorgang zusätzlich der zugehörige Kontext aus Cosmos.
• Bei der automatischen Einordnung und Erinnerungserkennung werden Absender, Betreff und eine kurze Textvorschau übermittelt.
• Bei Fragen an das Postfach werden Textvorschauen der jeweils betrachteten Nachrichten übermittelt.

Aufzeichnungen von Meetings und Videos werden zur Verschriftlichung an ElevenLabs und zur Zusammenfassung an OpenAI übermittelt. Kalendertermine und Dateien – auch solche, die Sie aus Google Drive übernommen haben – werden nur dann an KI-Dienste übermittelt, wenn Sie eine Funktion nutzen, die sie einbezieht: der KI-Assistent mit Kalenderzugriff erhält Titel, Zeit, Ort und Beschreibung der Termine des betrachteten Zeitraums, dateibezogene Funktionen (Inhaltserkennung für die Suche, Dokumentanalyse) erhalten den Dateiinhalt. Beim Antwortvorschlag zu einer E-Mail werden Anhänge nicht übermittelt. Die übermittelten Inhalte werden ausschließlich zur Erbringung der jeweiligen Funktion für Sie verwendet und nicht zum Trainieren allgemeiner KI-Modelle eingesetzt.

Speicherung und Löschung

Zugangsschlüssel (Token) für Ihr Google-Konto werden verschlüsselt gespeichert und ausschließlich für die genannten Zugriffe verwendet. Abgerufene Nachrichteninhalte werden in Cosmos gespeichert, damit sie im Vorgang verfügbar bleiben; Nachrichten mit Belegcharakter unterliegen der gesetzlichen Aufbewahrungspflicht von acht Jahren (siehe Abschnitt Speicherdauer). Sie können die Verbindung jederzeit in den Einstellungen von Cosmos trennen; ergänzend können Sie den Zugriff direkt in Ihrem Google-Konto unter myaccount.google.com/permissions widerrufen. Nach dem Trennen werden die gespeicherten Zugangsschlüssel gelöscht; ein weiterer Abruf findet nicht mehr statt.

Zweckbindung (Limited Use)

Für Daten, die wir über Google-Schnittstellen erhalten, gelten zusätzlich die Anforderungen von Google. Wir verwenden diese Daten ausschließlich zur Bereitstellung und Verbesserung der oben genannten, für Sie sichtbaren Funktionen. Eine Weitergabe an Dritte zu Werbezwecken, ein Verkauf sowie eine Verwendung zum Trainieren allgemeiner KI-Modelle finden nicht statt. Eine Einsichtnahme durch Menschen erfolgt nicht, außer mit Ihrer ausdrücklichen Zustimmung, zur Behebung von Sicherheitsproblemen oder soweit gesetzlich vorgeschrieben.

Cosmos' use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

8Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist:

• Konto- und Inhaltsdaten: für die Dauer der Nutzung durch Ihre Organisation. Nach Beendigung des Vertragsverhältnisses werden die Daten gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Diagnose- und Protokolldaten: regelmäßig nur für einen kurzen Zeitraum zur Fehler- und Sicherheitsanalyse. Fehlerberichte werden bei unserem Auftragsverarbeiter nach 90 Tagen automatisch gelöscht.
• Gesetzliche Aufbewahrung: soweit handels- oder steuerrechtliche Pflichten bestehen, bis zu deren Ablauf (i. d. R. 6–10 Jahre).

9Ihre Rechte

Ihnen stehen als betroffene Person nach der DSGVO folgende Rechte zu:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO).
• Berichtigung unrichtiger Daten (Art. 16 DSGVO).
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an datenschutz@partner.ki. Betreffen Ihre Daten den Datenraum Ihrer Organisation, leiten wir Ihr Anliegen erforderlichenfalls an diese als Verantwortliche weiter.

10Datensicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten, u. a. Transport- und Speicherverschlüsselung, strikte mandantenbezogene Zugriffstrennung (Row-Level-Security), Authentifizierung sowie kontinuierliches Monitoring. Trotz aller Sorgfalt kann eine Datenübertragung über das Internet nicht zu 100 % gegen Zugriff Dritter abgesichert werden.

11Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

12Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungen ändern. Es gilt jeweils die hier veröffentlichte aktuelle Fassung (siehe „Stand" oben).