Datenschutzhinweise

1. Verantwortlicher und Kontakt

Verantwortlicher für die in diesen Hinweisen beschriebenen eigenen Verarbeitungen ist die Ihmora GmbH, Schierholzstraße 27, 30655 Hannover, Deutschland, E-Mail: datenschutz@ihmora.de.

Diese Kontaktadresse ist der Datenschutzkontakt. Eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten und dessen gesonderte Kontaktdaten bleiben unberührt, sofern die Voraussetzungen vorliegen.

2. Geltungsbereich und Rollen

Diese Hinweise gelten für Website, Vertriebs- und Terminprozesse, Vertragsschluss, Kundenkonto, Abrechnung, Support und eigene Sicherheitsprotokolle rund um die Plattform Ihmora. Ihmora ist die Produktmarke des Verantwortlichen; die frühere Bezeichnung Ihmora benennt dieselbe Plattform.

Verarbeiten wir in der Plattform Ihmora Personen-, Objekt-, Beschäftigten- oder Kommunikationsdaten ausschließlich nach Weisung eines Kunden, ist regelmäßig der Kunde Verantwortlicher und wir sind Auftragsverarbeiter. Setzt der Kunde die Plattform auf vertraglicher Grundlage für eigene Mandate ein und handelt dabei selbst als Auftragsverarbeiter, sind wir Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO. Für diese Verarbeitung gelten der AVV und die Datenschutzhinweise des jeweiligen Kunden gegenüber seinen betroffenen Personen.

3. Datenkategorien

• Stamm-, Firmen-, Kontakt- und Kommunikationsdaten, insbesondere Name, geschäftliche Kontaktdaten und Nachrichten.
• Vertrags-, Angebots-, Termin-, Signatur-, Abrechnungs- und Zahlungsdaten.
• Konto-, Rollen-, Anmelde-, Geräte-, IP-, Protokoll- und Sicherheitsdaten.
• Supportinhalte, Feedback, Dokumente und KI-Eingaben, soweit Nutzer diese Funktionen verwenden.
• Öffentlich zugängliche oder von Unternehmen, Interessenten und Vertriebspartnern bereitgestellte B2B-Kontaktdaten.

4. Zwecke und Rechtsgrundlagen

• Websitebereitstellung, Missbrauchsabwehr und IT-Sicherheit: Art. 6 Abs. 1 lit. f DSGVO; Endgerätezugriffe nur nach § 25 TDDDG.
• Kontakt, Demo, Terminbestätigung, vorvertragliche NDA und Angebot: Art. 6 Abs. 1 lit. b DSGVO; bei Ansprechpartnern eines Unternehmens ergänzend Art. 6 Abs. 1 lit. f DSGVO.
• Vertrag, Benutzerkonto, Leistung, Support und Kommunikation: Art. 6 Abs. 1 lit. b DSGVO.
• Rechnungswesen, steuer- und handelsrechtliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO.
• Elektronische Signatur, Versand-, Versions- und Auditnachweise sowie Rechtsverteidigung: Art. 6 Abs. 1 lit. b und f DSGVO; gesetzliche Rechenschaftspflichten gegebenenfalls Art. 6 Abs. 1 lit. c DSGVO.
• Produktverbesserung auf aggregierter oder soweit möglich pseudonymisierter Grundlage: Art. 6 Abs. 1 lit. f DSGVO; keine zweckfremde Nutzung von Auftragsdaten.
• Einwilligungspflichtige Analyse- oder Marketingtechnologien: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.

5. Erforderlichkeit der Angaben

Pflichtangaben in Registrierung, Angebot, NDA, Signatur und Abrechnung sind für Vertragsanbahnung, Identitätszuordnung oder Vertragserfüllung erforderlich. Ohne diese Angaben kann der jeweilige Vorgang nicht oder nur eingeschränkt durchgeführt werden. Freiwillige Felder sind als solche erkennbar.

6. Hosting, Authentifizierung und Empfänger

Zur Leistungserbringung erhalten nur erforderliche interne Stellen und vertraglich gebundene Dienstleister Zugriff. Produktiv eingesetzt werden insbesondere Google Cloud EMEA Limited für Hosting, Datenbank, Storage, Authentifizierung, serverseitige Funktionen und ausdrücklich aktivierte KI-Funktionen sowie STRATO AG für SMTP-Versand oder ein vom Kunden konfiguriertes Geschäftspostfach. Signatur- und PDF-Erzeugung erfolgen im geprüften Stand innerhalb der eigenen Google-Cloud-Infrastruktur ohne gesonderten externen Signaturdienst.

Die beim Vertragsschluss aktuelle Anlage 1 zum AVV (Verzeichnis der Unterauftragsverarbeiter) mit Zweck und Transfergrundlage ist maßgeblich. Optionale Bank-, DATEV-, Zahlungs-, Monitoring- oder Vertrauensdienste werden erst nach Aktivierung und nach Maßgabe ihrer jeweiligen Rollen einbezogen. Empfänger, die eigene Zwecke und gesetzliche Pflichten verfolgen, handeln gegebenenfalls als eigenständig Verantwortliche.

7. KI-gestützte Verarbeitung

Eingeloggte Anwendungen und einzelne Supportfunktionen verwenden Google Gemini beziehungsweise Vertex-AI- oder Gemini-API-Dienste. Übermittelt werden die für den ausgewählten Vorgang erforderlichen Eingaben, Dokumentauszüge und Kontextdaten. Je nach Funktion werden personenbezogene Merkmale minimiert, maskiert oder pseudonymisiert; eine vollständige Anonymisierung sämtlicher Freitexte und Dokumente wird nicht zugesagt.

Kundendaten werden von uns nicht zu einem eigenen allgemeinen Modelltraining verwendet. Über API-Verträge (Zero-Data-Retention / No-Training) stellen wir sicher, dass eingesetzte KI-Unterauftragsverarbeiter die übermittelten Kundendaten nicht zum Training oder zur Verbesserung ihrer eigenen Modelle verwenden. Vertrauliche oder besondere Daten sollen nur eingegeben werden, wenn dies erforderlich und rechtlich zulässig ist.

KI-Ausgaben werden als solche kenntlich gemacht, soweit gesetzlich erforderlich. Wir treffen für eigene Entscheidungen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO.

8. Vertriebs-, Termin- und NDA-Prozess

Bei einer Terminanfrage oder einem durch den Vertrieb angelegten Termin verarbeiten wir Kontakt-, Termin- und Kommunikationsdaten. Nach verbindlicher Terminbestätigung kann eine personalisierte NDA als elektronischer Signaturvorgang versandt werden. Dabei werden Dokumentversion, Empfänger, Zustellung, Aufruf, OTP-Prüfung, Signaturhandlung, Zeitstempel, IP-Adresse und User-Agent als Auditnachweis verarbeitet.

Die Auditdaten dienen Vertragsschluss, Integrität, Missbrauchsabwehr und Rechtsnachweis. Eine Unterschrift ist nicht für jede Kontaktaufnahme erforderlich, kann aber Voraussetzung für die Offenlegung vertraulicher Informationen sein.

9. E-Mail, Support und Kundenkonto

E-Mails werden über das Plattformpostfach oder ein konfiguriertes Geschäftspostfach versandt. Transportverschlüsselung hängt auch von den beteiligten Mailservern ab; sensible Dokumente werden bevorzugt über geschützte Portale oder gesonderte Zugriffstoken bereitgestellt.

Support- und Feedbackdaten werden zur Bearbeitung, Qualitätssicherung und Fehleranalyse verarbeitet. Im Kundenkonto werden Verträge, Rechtsdokumente, Rechnungen, Tarif- und KI-Kontingentinformationen für berechtigte Nutzer bereitgestellt.

10. Cookies und ähnliche Technologien

Technisch erforderliche Speicherungen und Endgerätezugriffe, etwa für Anmeldung, Sicherheit und Spracheinstellungen, erfolgen nach § 25 Abs. 2 TDDDG. Die anschließende Datenverarbeitung richtet sich insbesondere nach Art. 6 Abs. 1 lit. b oder f DSGVO.

Nicht erforderliche Analyse- oder Marketingtechnologien werden nur nach Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO eingesetzt. Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.

11. B2B-Besucheranalyse

Auf öffentlichen Seiten können Pfad, Zeit, Referrer und IP-Adresse verarbeitet und über öffentliche Netzregister einer Organisation zugeordnet werden, um bestehende B2B-Vertriebskontakte zu unterstützen. Es werden keine privaten Besucher als Verkaufskontakte angelegt und keine ausschließlich automatisierten Entscheidungen getroffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das Interesse liegt in Vertriebsauswertung und Missbrauchserkennung. Rohdaten werden grundsätzlich nach 90 Tagen gelöscht. Betroffene können aus Gründen ihrer besonderen Situation nach Art. 21 DSGVO widersprechen.

12. Drittlandübermittlungen

Auch bei regionaler Speicherung können Anbieter in Drittländern Support-, Sicherheits- oder Metadatenzugriff erhalten. Übermittlungen erfolgen nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie dem EU-U.S. Data Privacy Framework für zertifizierte Empfänger oder auf Grundlage von EU-Standardvertragsklauseln und erforderlichen ergänzenden Maßnahmen.

Die konkrete Grundlage richtet sich nach Anbieter, Dienst und Zertifizierungsstatus. Eine ausschließliche Verarbeitung sämtlicher Daten in Frankfurt wird nicht zugesagt.

13. Speicherdauer

• Server- und Sicherheitsprotokolle: grundsätzlich wenige Tage bis 90 Tage, länger nur bei Sicherheitsereignissen oder Nachweispflichten.
• B2B-Besucheranalyse-Rohdaten: grundsätzlich 90 Tage.
• Interessenten- und Termindaten: bis zum Ende der Vertragsanbahnung und anschließend grundsätzlich bis zu drei Jahre, sofern kein Vertrag entsteht oder eine längere Aufbewahrung erforderlich ist.
• Vertrags-, Signatur- und wesentliche Kommunikationsnachweise: Vertragslaufzeit zuzüglich gesetzlicher Verjährungs- und Nachweisfristen, regelmäßig bis zu zehn Jahre je nach Dokumentart.
• Buchungsbelege und Rechnungen: grundsätzlich acht Jahre nach § 147 AO und § 257 HGB; Handelsbücher, Jahresabschlüsse und andere Unterlagen können zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre aufzubewahren sein.
• Kontodaten und Supportinhalte: für die Vertragsdauer beziehungsweise Bearbeitung und danach nur nach gesetzlichen Aufbewahrungs-, Sicherheits- oder Rechtsverteidigungsinteressen.
• Auftragsdaten des Kunden: nach AVV, Kundenweisung und dokumentiertem Löschkonzept.

14. Herkunft der Daten und automatisierte Entscheidungen

Soweit wir Kontaktdaten nicht direkt erhalten, stammen sie regelmäßig vom Arbeitgeber oder Unternehmen der betroffenen Person, aus Empfehlungen, öffentlichen Geschäftsverzeichnissen, beruflichen Netzwerken oder öffentlich zugänglichen Unternehmenswebseiten. Verarbeitet werden nur für den B2B-Kontakt erforderliche Angaben.

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO statt. Scoring- oder KI-Hinweise unterstützen lediglich menschliche Entscheidungen.

15. Rechte und Beschwerde

Betroffene haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen sind an datenschutz@ihmora.de zu richten.

Ein Beschwerderecht besteht bei jeder Datenschutzaufsichtsbehörde. Für den Sitz des Verantwortlichen ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig.

Diese Hinweise werden bei Änderungen von Recht, Diensten oder Verarbeitung aktualisiert. Wesentliche Änderungen werden über geeignete Kanäle kenntlich gemacht.