Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und für den Betrieb der Plattform „Nurb44“ ist:

Patrick Wiesenthal
Dörpfeldstraße 3a
33739 Bielefeld
E-Mail: patrick@nurb44.com
Telefon: +49 155 636 824 83

Zwei Rollen. Für die Daten, die wir zur Bereitstellung und Abrechnung der Plattform selbst erheben (Vertrags-, Konto-, Zugriffs- und Abrechnungsdaten unserer Kunden), sind wir Verantwortlicher. Für alle Daten, die ein Fertigungsunternehmen als unser Kunde in der Software über seine Mitarbeiter, Kunden, Lieferanten oder die Nutzer seines Kundenportals verarbeitet, ist dieses Unternehmen Verantwortlicher; wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO (Ziffer 5). Betroffene, die über ein Kundenportal bestellen oder mit einem KI-Assistenten eines Fertigungsunternehmens kommunizieren, wenden sich mit Fragen zum Datenschutz vorrangig an dieses Unternehmen; wir leiten Anfragen, die bei uns eingehen, dorthin weiter.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Plattform, zur Vertragserfüllung, aufgrund gesetzlicher Pflichten oder aufgrund berechtigter Interessen erforderlich ist:

• Bereitstellung der Website und der Software, Sicherheit und Missbrauchsprävention (Art. 6 Abs. 1 lit. b und lit. f DSGVO),
• Benutzerkonten, Anmeldung und Vertragsabwicklung mit unseren Kunden (Art. 6 Abs. 1 lit. b DSGVO),
• Verarbeitung der ERP-Daten unserer Kunden im Auftrag (Art. 28 DSGVO; Rechtsgrundlage beim jeweiligen Kunden),
• Kundenportal einschließlich Analyse hochgeladener CAD-Dateien im Auftrag des jeweiligen Fertigungsunternehmens (Art. 28 DSGVO),
• KI-Funktionen (Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 28 DSGVO),
• Kommunikation per E-Mail und WhatsApp (Art. 6 Abs. 1 lit. b und lit. f DSGVO),
• Zahlungsabwicklung mit unseren Kunden (Art. 6 Abs. 1 lit. b DSGVO),
• Erfüllung gesetzlicher Pflichten, insbesondere handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

Die Plattform wird auf der Cloud-Plattform Microsoft Azure in Rechenzentren innerhalb der Europäischen Union betrieben (Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Beim Aufruf verarbeiten unsere Server automatisch technische Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browsertyp und -version, Betriebssystem und Referrer. Diese Daten sind erforderlich, um die Anwendung auszuliefern, Störungen zu erkennen und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Protokolldateien werden nach kurzer Frist gelöscht, soweit sie nicht zur Aufklärung konkreter Störungen oder Angriffe benötigt werden.

Zur Einrichtung und Abrechnung des Nutzungsvertrags verarbeiten wir die Stammdaten unseres Kunden (Unternehmen, Anschrift, Umsatzsteuer-ID, Ansprechpartner mit Name, E-Mail-Adresse und Telefonnummer) sowie Vertrags-, Abrechnungs- und Nutzungsdaten (z. B. gebuchter Tarif, Lizenzanzahl, Nutzungsumfang der KI-Funktionen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für jeden Benutzer der Software (Mitarbeiter unserer Kunden, Terminal-Geräte, Portal-Kunden) speichern wir Anmeldedaten (Name, E-Mail-Adresse, Passwort als Hash, Rolle, optional den Schlüssel für die Zwei-Faktor-Authentifizierung) sowie den Stand der Zustimmung zu Geschäftsbedingungen. Die Anmeldung erfolgt über ein kurzlebiges Zugriffstoken, das nur im aktuellen Browser-Tab gehalten wird, und ein HttpOnly-Cookie zur Erneuerung der Sitzung (Ziffer 10). Eine Sitzung endet mit der Abmeldung oder nach Ablauf.

Mitarbeiter unseres Support-Teams können sich zur Störungsbehebung und zur Unterstützung in den Mandanten eines Kunden einwählen; solche Zugriffe erfolgen nur anlassbezogen und werden als Support-Sitzung gekennzeichnet.

Die Inhalte, die unsere Kunden in der Software verarbeiten (Artikel, Kunden, Lieferanten, Aufträge, Rechnungen, Produktionsdaten, Personal- und Zeitdaten, Dokumente, Kommunikation), verarbeiten wir ausschließlich nach Weisung des jeweiligen Kunden auf Grundlage des Vertrags über die Auftragsverarbeitung. Der Kunde entscheidet, welche Daten er erfasst, wie lange er sie aufbewahrt und wer darauf zugreifen darf. Dateien (z. B. CAD-Modelle, Zeichnungen, Belege) werden mandantengetrennt im Objektspeicher Microsoft Azure Blob Storage innerhalb der EU abgelegt.

Fertigungsunternehmen betreiben über die Plattform eigene Kundenportale, zum Teil unter eigener Domain. Wer dort bestellt oder eine Kalkulation anfragt, schließt den Vertrag mit dem jeweiligen Unternehmen; dessen Datenschutzerklärung ist im Portal verlinkt. Wir verarbeiten im Auftrag dieses Unternehmens:

• Konto-, Bestell- und Kontaktdaten (Name, Unternehmen, Rechnungs- und Lieferadresse, E-Mail-Adresse, Telefonnummer),
• hochgeladene Konstruktionsdateien (z. B. STEP, DXF) und die daraus automatisiert ermittelten Analyseergebnisse (Geometrie, Material, Fertigungsschritte, Kalkulation),
• Konfigurationsdaten der Bestellung und den Bestellverlauf.

Die automatisierte Analyse der CAD-Dateien dient der Angebotserstellung. Sie ist keine Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO; über die Annahme einer Bestellung entscheidet das Fertigungsunternehmen.

Bot-Schutz (Cloudflare Turnstile). Die Sofort-Kalkulation im Kundenportal kann ohne Anmeldung genutzt werden. Um diese öffentlich erreichbare Funktion vor automatisiertem Missbrauch zu schützen, setzen wir dort Cloudflare Turnstile ein (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA). Turnstile prüft anhand technischer Merkmale des Browsers und der IP-Adresse, ob eine Anfrage von einem Menschen stammt; eine Identifizierung der Person findet nicht statt. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Plattform (Art. 6 Abs. 1 lit. f DSGVO); die dafür nötigen Speicherungen im Browser sind technisch erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Ziffer 11).

Die Plattform enthält KI-gestützte Funktionen: Assistenten im Chat und per Sprache, Spracherkennung (Transkription) und Sprachausgabe, eine Wissensdatenbank mit semantischer Suche sowie automatisierte Analysen, Kalkulationen und Berichte. Die hierbei verarbeiteten Inhalte (Texte, Sprachaufnahmen, Dokumente, ausgewählte Datensätze aus dem ERP-System) werden zur Erzeugung der Antwort an den Dienst Azure OpenAI übermittelt, der von Microsoft innerhalb der EU betrieben wird. Microsoft handelt dabei als Auftragsverarbeiter; Eingaben werden weder zum Training von KI-Modellen verwendet noch an den Modellhersteller weitergegeben.

Soweit wir KI-Funktionen für unsere Kunden bereitstellen, erfolgt die Verarbeitung im Auftrag des jeweiligen Kunden (Art. 28 DSGVO). Zur Abrechnung und Qualitätssicherung speichern wir Metadaten der Nutzung (z. B. Zahl der verarbeiteten Token, Dauer von Sprachverarbeitungen, Zeitpunkt) sowie die Gesprächsverläufe, damit Assistenten den Kontext fortführen können; Benutzer können Verläufe in der Software löschen.

Bitte geben Sie in KI-Funktionen keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) ein, deren Verarbeitung nicht erforderlich ist.

E-Mail. Für den Versand von System-E-Mails (z. B. Einladungen, Anmeldecodes, Benachrichtigungen, Rechnungen) sowie für den Versand und Empfang geschäftlicher E-Mails aus der Software heraus nutzen wir den Dienst Postmark (ActiveCampaign, LLC, 1 N Dearborn St, Chicago, IL 60602, USA). Verarbeitet werden Absender- und Empfängeradressen, Betreff, Inhalt und Anhänge sowie Zustellereignisse. Kunden können hierfür eigene Absenderdomains anbinden; eingehende E-Mails an diese Domains werden dem jeweiligen Mandanten zugeordnet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; zum Drittlandtransfer siehe Ziffer 11.

WhatsApp (KI-Assistenten). Unsere Kunden können ihre KI-Assistenten an die WhatsApp Business Platform anbinden. Die Kommunikation läuft dann über das WhatsApp-Business-Konto des jeweiligen Kunden bei Meta Platforms Ireland Ltd. (Merrion Road, Dublin 4, Irland); der Kunde ist dafür Verantwortlicher, wir verarbeiten die Nachrichten in seinem Auftrag. Verarbeitet werden Telefonnummer und WhatsApp-Profilname des Absenders, Nachrichteninhalte (Text, Sprachnachrichten, Medien), Transkripte von Sprachnachrichten (Ziffer 7) und der Gesprächsverlauf. Unbekannte Absender werden je nach Konfiguration des Assistenten nicht beantwortet. Für die Übermittlung gelten ergänzend die Datenschutzbestimmungen von WhatsApp/Meta, auf die wir keinen Einfluss haben.

Beim Einrichten der WhatsApp-Anbindung in den Einstellungen der Software wird das JavaScript-SDK von Meta („Embedded Signup“) von connect.facebook.net geladen. Dabei erhält Meta die IP-Adresse des Browsers und, sofern vorhanden, Cookies einer bestehenden Facebook-Anmeldung. Das SDK wird ausschließlich auf dieser Einstellungsseite und nur auf Veranlassung des Benutzers geladen (Art. 6 Abs. 1 lit. b DSGVO).

Betroffene können die Löschung ihrer WhatsApp-Kommunikationsdaten jederzeit verlangen; Einzelheiten in der Anleitung zur Datenlöschung.

Werbliche E-Mails. Informationen über neue Funktionen oder Angebote senden wir Bestandskunden nur im Rahmen des § 7 Abs. 3 UWG oder mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); dem Empfang kann jederzeit widersprochen werden.

Die Entgelte für die Software rechnen wir über den Zahlungsdienstleister Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, sowie Stripe, Inc., USA). An Stripe übermittelt werden die zur Abwicklung erforderlichen Daten unseres Kunden (Firma, Rechnungsadresse, E-Mail-Adresse, Zahlungsart, SEPA-Mandat, Transaktionsdaten). Bankverbindungen werden ausschließlich von Stripe gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Stripe ist für die Zahlungsabwicklung eigenständig Verantwortlicher; es gelten ergänzend die Datenschutzbestimmungen von Stripe. Bestellungen in Kundenportalen werden nicht über uns bezahlt.

Die Plattform verwendet ausschließlich technisch notwendige Speicherungen im Sinne des § 25 Abs. 2 Nr. 2 TDDDG, die keiner Einwilligung bedürfen:

• ein HttpOnly-Cookie mit dem Sitzungsschlüssel zur Erneuerung der Anmeldung (gültig bis zur Abmeldung oder zum Ablauf der Sitzung),
• das kurzlebige Zugriffstoken im Sitzungsspeicher (sessionStorage) des Browser-Tabs,
• Oberflächen-Einstellungen und das Erscheinungsbild des Mandanten im lokalen Speicher (localStorage), damit die Anwendung ohne Flackern lädt,
• Speicherungen von Cloudflare Turnstile beim Bot-Schutz (Ziffer 6).

Es werden keine Tracking- oder Marketing-Cookies gesetzt und keine Analyse-Werkzeuge (z. B. Google Analytics) eingesetzt. Schriftarten werden von unseren eigenen Servern ausgeliefert; es findet keine Verbindung zu Google Fonts statt.

Wir setzen folgende Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten (Art. 28 DSGVO):

• Microsoft Ireland Operations Ltd. – Hosting (Azure), Datenbank, Objektspeicher (Blob Storage), KI-Dienste (Azure OpenAI); Verarbeitung in EU-Rechenzentren, Konzernunterstützung aus den USA möglich,
• ActiveCampaign, LLC (Postmark), USA – Versand und Empfang von E-Mails,
• Cloudflare, Inc., USA – Bot-Schutz (Turnstile) im Kundenportal.

Weitere Empfänger, die eigenverantwortlich verarbeiten:

• Stripe Payments Europe, Ltd. / Stripe, Inc. – Zahlungsabwicklung,
• Meta Platforms Ireland Ltd. / Meta Platforms, Inc. – WhatsApp Business Platform (über das Konto des jeweiligen Kunden).

Soweit Daten in die USA übermittelt werden, stützen wir dies auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO); die genannten US-Anbieter sind dort zertifiziert. Ergänzend bzw. hilfsweise sind EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit zusätzlichen Schutzmaßnahmen vereinbart. Kopien der Garantien stellen wir auf Anfrage zur Verfügung.

Eine darüber hinausgehende Weitergabe erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO) oder Sie eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO).

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Daten unserer Kunden im ERP-System halten wir nach Vertragsende 30 Tage zum Export bereit und löschen sie danach einschließlich der Sicherungskopien innerhalb von 90 Tagen. Handels- und steuerrechtlich aufbewahrungspflichtige Unterlagen (z. B. unsere Rechnungen an Kunden) bewahren wir für die gesetzlichen Fristen von sechs bzw. zehn Jahren auf (§ 257 HGB, § 147 AO). Für Daten, die wir im Auftrag verarbeiten, bestimmt der jeweilige Kunde die Speicherdauer.

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Nachricht an patrick@nurb44.com. Wie Sie die Löschung Ihrer Daten beantragen, beschreibt unsere Anleitung zur Datenlöschung. Soweit wir Ihre Daten im Auftrag eines Fertigungsunternehmens verarbeiten, leiten wir Ihr Anliegen an dieses Unternehmen als Verantwortlichen weiter und unterstützen es bei der Beantwortung.

Sie haben zudem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, www.ldi.nrw.de.

Die Angabe der Vertrags- und Kontodaten ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich; ohne sie können wir den Zugang nicht einrichten. Alle weiteren Angaben sind freiwillig. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Einen Datenschutzbeauftragten haben wir nicht benannt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

Wir schützen Daten durch technische und organisatorische Maßnahmen nach dem Stand der Technik, insbesondere verschlüsselte Übertragung (TLS), verschlüsselte Speicherung, kurzlebige Zugriffstoken, optionale Zwei-Faktor-Authentifizierung, rollenbasierte Berechtigungen, Mandantentrennung und regelmäßige Datensicherungen. Einzelheiten enthält Anlage 1 zum Auftragsverarbeitungsvertrag.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Es gilt die jeweils unter dieser Adresse abrufbare Fassung; über wesentliche Änderungen informieren wir unsere Kunden zusätzlich in der Software oder per E-Mail.