Datenschutzerklärung

Neithra Technologies – Fabian Lorenz, Thaler Weg 2a, 51647 Gummersbach, Deutschland. E-Mail: [email protected]. Telefon: +49 2266 4889976 (Deutschland), +1 332 287 9966 (USA). Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO nicht zu benennen; Anfragen richten Sie bitte an die genannte Adresse.

Beim Aufruf der Website verarbeiten unser Server und der vorgeschaltete Dienst Cloudflare automatisch die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den übertragenen Status, den verwendeten Browser und die verweisende Seite. Diese Daten dienen der Auslieferung der Seite, der Abwehr von Angriffen und der Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse am sicheren Betrieb). Das Land, aus dem der Aufruf kommt, liefert uns Cloudflare; wir verwenden es nur, um die Seite in der dazu passenden Sprache und Länderdarstellung zu zeigen – eine von Ihnen gewählte Sprache geht vor –, und die IP-Adresse wird dafür nicht gespeichert. Logdateien auf unserem Server werden nach spätestens 14 Tagen gelöscht, sofern kein Sicherheitsvorfall ihre Aufbewahrung erfordert.

Website und Anwendung laufen auf Servern der netcup GmbH in Karlsruhe (Sitz), Rechenzentrum Nürnberg, Deutschland; sie handelt als Auftragsverarbeiter nach Art. 28 DSGVO.

Alle Aufrufe erreichen unseren Server über das Netzwerk von Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Cloudflare nimmt die Verbindung entgegen, wehrt Angriffe ab und leitet sie über einen verschlüsselten Tunnel an unseren Server weiter; von aussen ist der Server nicht direkt erreichbar. Cloudflare handelt dabei als Auftragsverarbeiter nach Art. 28 DSGVO. Für Übermittlungen in die USA ist Cloudflare unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Diese Website setzt ausschliesslich technisch notwendige Cookies, für die nach § 25 Abs. 2 TDDDG keine Einwilligung erforderlich ist. Deshalb gibt es kein Cookie-Banner.

• qx_locale, qx_market und qx_country: Ihre Wahl von Sprache und Land. Sie werden gesetzt, sobald Sie im Umschalter eine Sprache wählen (qx_locale) oder eine Adresse öffnen, die Sprache oder Land ausdrücklich nennt – zum Beispiel über den Bestellknopf einer Sprachfassung; qx_country merkt sich dabei eines der Länder USA, Vereinigtes Königreich, Kanada, Australien oder Neuseeland. Der bloße Besuch einer Sprachfassung setzt kein Cookie. Laufzeit zwölf Monate.
• Sitzungscookie der Anwendung: hält Sie nach der Anmeldung angemeldet. Wird beim Abmelden oder nach Ablauf der Sitzung gelöscht.
• Cloudflare kann zur Abwehr automatisierter Angriffe ein technisch notwendiges Sicherheitscookie setzen (etwa __cf_bm, Laufzeit 30 Minuten).
• Keine Analyse- oder Marketing-Cookies. Externe Schriften oder Zählpixel werden nicht eingebunden; die Reichweitenmessung (Abschnitt 14) lädt ein Skript von unserem eigenen Server und setzt keine Cookies.
• Auf der Bestellseite – und nur dort – setzt unser Zahlungsdienstleister Stripe eigene Cookies, sobald sein Zahlungsformular geladen wird. Sie dienen der Zahlungsabwicklung und der Betrugsabwehr und sind dafür technisch erforderlich (Abschnitt 7).
• Die Bestellseite merkt sich die in das Bestellformular eingegebenen Firmenangaben sowie Paket und Zahlweg im Sitzungsspeicher (Session Storage) Ihres Browser-Tabs, bis die Bestellung abgeschlossen ist, längstens bis Sie den Tab schließen; sie werden dabei nicht an uns übertragen.

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Name, Unternehmen, E-Mail-Adresse, optional Telefonnummer sowie den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten und ein Angebot vorzubereiten (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Massnahme; im Übrigen Art. 6 Abs. 1 lit. f DSGVO). Die Angabe eines Anfragevolumens ist freiwillig. Zum Schutz vor Missbrauch wird die Anzahl der Sendungen je Absender begrenzt; dazu wird ein Hashwert der E-Mail-Adresse kurzzeitig gespeichert. Gegen automatisierte Einsendungen prüfen wir beim Kontaktformular und bei der Terminanfrage zusätzlich eine kleine Rechenaufgabe, die Ihr Browser beim Absenden löst, ein für Menschen unsichtbares Feld und die Ausfülldauer — ohne Drittanbieter und ohne Cookies.

Anfragen werden zwölf Monate nach Abschluss der Korrespondenz gelöscht, sofern kein Vertrag zustande kommt oder gesetzliche Aufbewahrungspflichten entgegenstehen.

Für den Versand von E-Mails — Kontobestätigung, Passwort, Einladungen und die Weiterleitung Ihrer Kontaktanfrage an uns — nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) als Auftragsverarbeiter nach Art. 28 DSGVO. Die E-Mails werden über Resends Region EU (Irland) versandt; soweit dabei Daten in die USA übermittelt werden, ist Resend unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO), ergänzend gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Für die Nutzung der Anwendung legen Sie ein Konto an. Dabei verarbeiten wir Name, geschäftliche E-Mail-Adresse, Unternehmen, Unternehmenssitz, Rolle im Team und ein gehashtes Passwort sowie Zeitpunkte von Anmeldungen und sicherheitsrelevante Ereignisse (Art. 6 Abs. 1 lit. b DSGVO). Fehlgeschlagene Anmeldeversuche werden zur Abwehr von Angriffen kurzzeitig gezählt (Art. 6 Abs. 1 lit. f DSGVO).

Gesetzlich erforderliche Unterlagen bewahren wir zweckgebunden und zugriffsbeschränkt auf: Handels- und Geschäftsbriefe grundsätzlich sechs Jahre, Rechnungen und Buchungsbelege grundsätzlich acht Jahre, jeweils ab Ende des maßgeblichen Kalenderjahres. Gesetzliche Verlängerungen und dokumentierte Rechtsstreitigkeiten bleiben vorbehalten; übrige Kontodaten werden nach dem nachstehend beschriebenen Löschverfahren entfernt.

Konten ohne Bestellung, Zahlung oder laufenden Bezahlvorgang werden frühestens 30 Tage nach der Registrierung und frühestens sieben Tage nach Versand der Löschankündigung per E-Mail gelöscht. Sie können Ihr Konto jederzeit selbst in der Kontoverwaltung löschen und Ihre Daten vorher als ZIP-Archiv herunterladen.

In der Anwendung verarbeiten Sie Daten Ihrer eigenen Kunden: Anfragen, Ansprechpartner, Kataloge, Konditionen und Angebote. Für diese Daten sind Sie Verantwortlicher; Neithra Technologies handelt als Auftragsverarbeiter nach Art. 28 DSGVO ausschliesslich auf Ihre Weisung. Grundlage ist ein Vertrag zur Auftragsverarbeitung, den wir Ihnen mit dem Angebot zur Verfügung stellen.

Der Zugriff ist strikt an Ihren Mandanten gebunden. Ihre Mandantendaten können Sie in der Kontoverwaltung als ZIP-Archiv exportieren. Nach Vertragsende werden Ihre Daten innerhalb von 30 Tagen gelöscht, sofern Sie keine frühere Löschung verlangen.

Verbinden Sie ein IMAP-Postfach, erfasst Quotrail beim ersten Abruf die ungelesenen Nachrichten und danach neue Nachrichten anhand der Nachrichtenkennung (UID) und Ordnerkennung (UIDVALIDITY), auch wenn Sie diese bereits geöffnet haben. Antworten werden vorhandenen Vorgängen zugeordnet, soweit ihre Nachrichtenkennungen oder Vorgangsnummern eine Zuordnung ermöglichen. Gespeichert werden Verbindungsdaten, Absender, Betreff, Nachrichteninhalt und benötigte Anhänge. Postfach- und Versandpasswörter werden verschlüsselt (AES-256-GCM) gespeichert und nur für die jeweilige Verbindung entschlüsselt. Das Markieren als gelesen ist abschaltbar; auf Wunsch werden verarbeitete Nachrichten in einen Ablageordner verschoben. Quotrail löscht keine Nachrichten aus dem verbundenen Postfach.

Beim Versand eines freigegebenen Angebots übermitteln wir Empfänger, Nachricht und Angebots-PDF über das ausgewählte Postfach. Bei IMAP/SMTP versucht Quotrail, eine Kopie im vorhandenen Ordner Gesendet abzulegen; ein Fehler bei dieser Kopie macht den Versand nicht rückgängig. Benachrichtigungen und Konto-E-Mails werden über Resend versandt. Soweit Zustellrückmeldungen eingerichtet sind, speichern wir Anbieterkennung, Zustellstatus, Zeitpunkt und Fehlergrund. Eine Annahme durch den Anbieter belegt noch keine Postfachankunft; es wird keine Lesebestätigung angefordert.

Die Funktion Kontakt löschen entfernt oder leert den Kontaktdatensatz und bereinigt Kontaktverweise sowie die zugehörigen Absenderfelder in Anfragen, Nachrichten und Eingangslisten. Nachrichtentext, Originaldateien, bestätigte Angebotsfassungen und frühere Protokolleinträge werden dadurch nicht vollständig gelöscht; sie können weiterhin personenbezogene Angaben enthalten. Diese Funktion ersetzt deshalb keine vollständige Bearbeitung eines Löschantrags. Der verantwortliche Kunde muss verbleibende Unterlagen und anwendbare Aufbewahrungspflichten prüfen und gegebenenfalls eine gesonderte Löschung oder Einschränkung veranlassen. Aus der technischen Kontaktbereinigung folgt keine pauschale gesetzliche Aufbewahrungspflicht für sämtliche Nachrichten.

Bei individuell vereinbarten Rechnungstarifen zahlen Unternehmen per Rechnung und Überweisung. Für die Rechnung verarbeiten wir Firma, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer und Rechnungs-E-Mail-Adresse und übernehmen sie in unsere Buchführung (Art. 6 Abs. 1 lit. b und c DSGVO; Aufbewahrung nach den gesetzlichen Fristen). Rechnungen und Buchhaltung führen wir mit Lexware (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Freiburg), die dabei als unser Auftragsverarbeiter nach Art. 28 DSGVO in Deutschland handelt.

Unternehmen, die online bestellen, zahlen über Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland; Muttergesellschaft Stripe, Inc., USA). Stripe verarbeitet Zahlungsdaten als eigener Verantwortlicher; Zahlungsdaten erreichen unsere Systeme nicht. Für die Kartenzahlung lädt Ihr Browser nach dem Klick auf „Weiter zur Zahlung“ das Zahlungsformular von Stripe – eingebettet in unsere Bestellseite (Skript Stripe.js von js.stripe.com) oder auf der Zahlungsseite von Stripe. Stripe erhält dabei Ihre IP-Adresse und setzt eigene Cookies, die für die Abwicklung der Zahlung und die Betrugsabwehr technisch erforderlich sind; auf unseren übrigen Seiten setzt Stripe keine Cookies. Zahlen Sie mit Apple Pay oder Google Pay, verarbeitet Apple bzw. Google die Zahlungsdaten nach eigenen Bedingungen; wir erhalten keine Kartendaten. Für die Rechnung übermitteln wir Stripe Firmenname, Rechnungsanschrift, Rechnungs-E-Mail und USt-IdNr.; Stripe prüft eine EU-USt-IdNr. in der Datenbank der EU (VIES) (Art. 6 Abs. 1 lit. b und c DSGVO). Für Übermittlungen in die USA ist Stripe unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Quotrail bereitet vor und schlägt vor: Es liest Anfragen, gleicht Positionen mit dem Katalog des Kunden ab und wendet hinterlegte Preisregeln an. Jede Zuordnung trägt ihre Begründung, jeder Preis seine Regel. Die Freigabe eines Angebots trifft immer ein Mensch. Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

Die Zuordnung erfolgt regelbasiert und statistisch innerhalb der Anwendung. Kundendaten werden von uns nicht zum Training von Modellen verwendet. Für Anfragen, die diese Regeln nicht lesen können, gibt es eine automatische Erkennungshilfe mit KI. Sie ist nur aktiv, wenn die Administration des Kunden sie ausdrücklich freigegeben hat, und läuft dann ohne weiteren Klick beim Eingang einer solchen Anfrage (Upload, Weiterleitung, Postfach, erneutes Einlesen). Vor der Übermittlung entfernt die Anwendung nach festen Mustern E-Mail-Adressen, Telefonnummern, Bankverbindungen, Internetadressen, erkennbare Postanschriften, Signaturen, Vertraulichkeitshinweise und zitierte Altnachrichten und ersetzt die im Vorgang hinterlegten Namen durch Platzhalter; die Zuordnung der Platzhalter wird nicht gespeichert. Der so bereinigte Text des betroffenen Dokuments, der weiterhin personenbezogene Daten des Anfragenden enthalten kann, und bis zu fünf Katalogartikel des Kunden ohne Preise werden über unseren zentralen Dienst Neithra an Google Gemini (Gemini API) übermittelt. Einen Ersatzanbieter gibt es für diese Funktion nicht: Ist Gemini nicht erreichbar, wird nichts an einen anderen Anbieter übermittelt, und die Anfrage bleibt zur manuellen Bearbeitung offen. Zweck ist ausschließlich, die Positionen der Anfrage zu erkennen. Jede Angabe wird am Originaltext geprüft; vollständig belegte Angaben werden automatisch als noch zu prüfende Position übernommen, alles andere bleibt eine Rückfrage. Artikelzuordnung, Preise, Prüfung und Freigabe eines Angebots bleiben beim Kunden und seinen Mitarbeitern. Vollständig erkannte Anfragen werden nicht übermittelt. Eine Verarbeitung ausschließlich innerhalb der EU und eine Verarbeitung ohne jede Protokollierung bei diesem Anbieter sagen wir für diese Funktion nicht zu.

Empfänger personenbezogener Daten sind ausschliesslich die in dieser Erklärung genannten Auftragsverarbeiter. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt. Soweit Daten in Länder ausserhalb des Europäischen Wirtschaftsraums übermittelt werden, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln; Kopien der Garantien stellen wir auf Anfrage zur Verfügung.

Server-Logdateien: 14 Tage. Kontaktanfragen: zwölf Monate nach Abschluss. Kontodaten: Vertragslaufzeit zuzüglich gesetzlicher Aufbewahrungsfristen. Anwendungsdaten Ihres Mandanten: bis 30 Tage nach Vertragsende. Konten ohne Bestellung, Zahlung oder laufenden Bezahlvorgang: frühestens 30 Tage nach Registrierung und sieben Tage nach Versand der Löschankündigung. Kündigungserklärungen als Geschäftskorrespondenz: sechs Jahre ab Ende des Jahres ihres Eingangs, soweit keine längere gesetzliche Aufbewahrungspflicht besteht (z. B. § 147 AO, § 257 HGB); danach werden sie gelöscht oder anonymisiert. Angaben zu Kündigung und Vertragsende werden nur dann länger gesperrt aufbewahrt, wenn sie erforderlicher Bestandteil einer solchen gesetzlichen Unterlagenkategorie sind. Sicherheitszähler für Anmeldeversuche und Formularsendungen: höchstens 48 Stunden. Datensicherungen: Gelöschte Daten können in verschlüsselten Sicherungskopien noch bis zu 14 Tage enthalten sein und werden danach mit dem regulären Wechsel der Sicherungen überschrieben.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an die oben genannte Adresse.

Zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf. Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts wenden.

Die Übertragung erfolgt ausschliesslich verschlüsselt (TLS). Passwörter werden nur als Hash gespeichert. Der Zugriff auf Anwendungsdaten ist mandantengebunden und wird protokolliert; Angebotsfreigaben werden mit Person und Zeitpunkt protokolliert, die Einträge lassen sich in der Anwendung nicht bearbeiten.

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert — etwa bei einem neuen Dienstleister. Massgeblich ist die jeweils hier veröffentlichte Fassung; das Datum der letzten Änderung steht am Anfang der Seite.

Wir messen, wie diese Website genutzt wird, mit der Open-Source-Software Umami, die wir selbst auf einem Server der netcup GmbH in Deutschland betreiben. Umami setzt keine Cookies und legt keine Kennung auf Ihrem Gerät ab. Ihre IP-Adresse wird nur kurzzeitig verwendet, um den ungefähren Standort (Land, Region, Stadt) zu bestimmen und eine täglich wechselnde, nicht auf Sie rückführbare Kennung zu bilden; gespeichert wird sie nicht. Gespeichert werden aufgerufene Seiten, verweisende Seite, Browser, Betriebssystem, Gerätetyp, Sprache, ungefährer Standort sowie Ereignisse wie das Öffnen der Kasse oder das Absenden eines Formulars. Die Übertragung läuft über Cloudflare, das wir für die Auslieferung unserer Websites einsetzen. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nach 24 Monaten gelöscht. Haben Sie in Ihrem Browser „Do Not Track“ oder „Global Privacy Control“ aktiviert, findet keine Messung statt.

Ergänzende internationale Rechte: Anwendbares US-Bundesstaatsrecht kann Rechte auf Auskunft, Berichtigung, Löschung und eine übertragbare Kopie sowie Rechte bezüglich Verkauf, zielgerichteter Werbung oder bestimmter Profilbildung vorsehen. Die Anwendbarkeit hängt vom jeweiligen Gesetz, seinen Schwellenwerten und der Verarbeitung ab; geschäftliche Kontaktdaten sind in Kalifornien nicht automatisch ausgenommen. Wir verkaufen keine personenbezogenen Daten und verwenden sie nicht für kontextübergreifende verhaltensbasierte Werbung. Do-Not-Track-Signale des Browsers ändern die hier beschriebene notwendige Verarbeitung nicht; unser Dienst nutzt kein websiteübergreifendes Werbetracking. Davon zu unterscheiden sind gesetzlich anerkannte Widerspruchssignale wie Global Privacy Control. Rechte können ohne kostenpflichtiges Konto über den Kontakt dieser Erklärung oder des Impressums geltend gemacht werden. Bevollmächtigte können mit Nachweis ihrer Berechtigung handeln. Wir prüfen die Identität angemessen zur Anfrage, normalerweise über das bekannte Konto oder die Kontaktadresse; zusätzliche Nachweise verlangen wir nur bei Bedarf und geben keine Daten anderer Personen heraus. Ablehnungen und einschlägige Ausnahmen begründen wir. Durch Antwort auf die Entscheidung kann eine Überprüfung beantragt werden; Anfragen und gesetzliche Beschwerdeverfahren bearbeiten wir innerhalb der geltenden Fristen und erläutern zulässige Verlängerungen. Die Ausübung von Datenschutzrechten führt nicht zu Benachteiligungen. Soweit die britische DSGVO oder das Schweizer Datenschutzgesetz anwendbar sind, bleiben deren Rechte und Garantien bestehen; zuständige Anlaufstellen sind insbesondere der britische Information Commissioner (ico.org.uk) und der Schweizer EDÖB (edoeb.admin.ch). Für Daten in Verantwortung eines Kunden leiten wir die Anfrage weiter oder unterstützen den Kunden als Auftragsverarbeiter. Änderungen dieser Verarbeitungspraxis werden mit aktualisiertem Datum veröffentlicht; wesentliche Änderungen für bestehende Konten teilen wir zusätzlich vor ihrem Wirksamwerden über das Konto oder die Kontaktadresse mit und holen erforderliche Einwilligungen ein. Soweit kanadisches Datenschutzrecht gilt, können Sie über denselben Kontakt auch Auskunft oder Berichtigung verlangen, gegebenenfalls Einwilligungen widerrufen und Beschwerde über die Verarbeitung einlegen; zuständig ist die jeweilige Bundes- oder Provinzdatenschutzbehörde (priv.gc.ca). Eine berufliche E-Mail-Adresse allein nimmt nicht sämtliche zugehörigen Konto- oder Nutzungsdaten vom Schutz aus.

Der Supportdialog verarbeitet Ihre Frage zur Beantwortung aus öffentlichen Produktinformationen (Art. 6 Abs. 1 lit. f DSGVO: Beantwortung von Produktfragen). Ohne KI bleibt der Verlauf im geöffneten Browser. Bei aktivierter KI speichert Neithra einen begrenzten Gesprächsstand und offene Supportfälle unter pseudonymen Kennungen für Folgefragen und die Bearbeitung. Kurzlebige Missbrauchszähler enthalten einen gehashten Client-Schlüssel. Nur nach Ihrer ausdrücklichen Auswahl wird bei aktivierter KI-Funktion die Frage mit bis zu sechs vorherigen Nachrichten an den zentralen Neithra-Support und von dort an die hier beschriebenen Anbieter OpenAI beziehungsweise OpenAI und Google Gemini zur Antworterstellung übermittelt; Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für zukünftige Anfragen durch Abwählen widerrufbar. Anbieterbedingungen, Auftragsverarbeitung und mögliche Drittlandübermittlungen müssen vor Aktivierung geprüft und hier konkretisiert werden. Ohne Aktivierung erfolgt kein solcher Versand. Bei „Anfrage vorbereiten“ übernehmen Sie nur Ihre letzten drei Fragen und gegebenenfalls den angegebenen Bedarf in ein bearbeitbares Formular. Beim Seitenwechsel wird dieser Entwurf kurzzeitig im Sitzungsspeicher des Browsers abgelegt und nach Übernahme gelöscht, spätestens nach zehn Minuten nicht mehr übernommen. Erst das Absenden des Formulars speichert eine Kontaktanfrage; die bestehenden Kontaktfristen gelten. Kontakt- und Terminanfragen können zur zentralen Bearbeitung in Neithra Office desselben Verantwortlichen übernommen werden. Es erfolgt keine automatische Newsletter-Anmeldung. Begrenzte zentrale Botfälle werden nach 30 Tagen ohne Aktivität im regelmäßigen Betrieb bereinigt. Separat abgesendete Kontaktmails unterliegen ihren eigenen Aufbewahrungsfristen. Bei gesonderter Zustimmung im angemeldeten Admin-Support werden der gespeicherte Tarif und der lokale Zugangsstatus aus dem berechtigten Arbeitsbereich an die genannten KI-Dienste übermittelt. Der Zeitpunkt des Lesens ist keine Zahlungsprüfung; ein Zahlungseingang bleibt ohne aktuellen Beleg unbekannt. Pseudonyme Konto- und Absenderkennungen binden die zentrale Anfrage. Das KI-Modell erhält nur die begrenzten Fakten ohne Konto-, Zahlungs- oder E-Mail-Kennungen. Rechnungsdateien und Kundendatensätze werden nicht beigefügt. Angemeldete Nutzer können zusätzlich persönliche Supportanfragen speichern. Betreff, Nachricht, Status und Rückmeldung sind mit Nutzerkonto und Kundennummer verknüpft und für den jeweiligen Nutzer sowie den Betreiber zugänglich. Ein gesondert authentifiziertes Supportsystem kann diese Daten zur Bearbeitung abrufen und Rückmeldungen speichern. Diese Daten werden nicht automatisch an das KI-Modell gesendet. Sie sind im Kontodatenexport enthalten und werden mit dem Mandanten gelöscht; erledigte Anfragen werden spätestens zwölf Monate nach ihrer letzten Änderung entfernt. Begrenzte zentrale Botfälle werden nach 30 Tagen ohne Aktivität im regelmäßigen Betrieb bereinigt. Separat abgesendete Kontaktmails unterliegen ihren eigenen Aufbewahrungsfristen.