Datenschutzhinweise

1. Verantwortlicher und Kontakt

Verantwortlicher für die in diesen Hinweisen beschriebenen eigenen Verarbeitungen ist die Ihmora GmbH, Schierholzstraße 27, 30655 Hannover, Deutschland, E-Mail: datenschutz@ihmora.de.

Diese Kontaktadresse ist der Datenschutzkontakt. Eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten und dessen gesonderte Kontaktdaten bleiben unberührt, sofern die Voraussetzungen vorliegen.

2. Geltungsbereich und Rollen

Diese Hinweise gelten für Website, Vertriebs- und Terminprozesse, Vertragsschluss, Kundenkonto, Abrechnung, Support und eigene Sicherheitsprotokolle rund um die Plattform Ihmora. Ihmora ist die Produktmarke des Verantwortlichen.

Verarbeiten wir in der Plattform Ihmora Personen-, Objekt-, Beschäftigten- oder Kommunikationsdaten ausschließlich nach Weisung eines Kunden, ist regelmäßig der Kunde Verantwortlicher und wir sind Auftragsverarbeiter. Setzt der Kunde die Plattform auf vertraglicher Grundlage für eigene Mandate ein und handelt dabei selbst als Auftragsverarbeiter, sind wir Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO. Für diese Verarbeitung gelten der AVV und die Datenschutzhinweise des jeweiligen Kunden gegenüber seinen betroffenen Personen.

3. Datenkategorien

• Stamm-, Firmen-, Kontakt- und Kommunikationsdaten, insbesondere Name, geschäftliche Kontaktdaten und Nachrichten.
• Vertrags-, Angebots-, Termin-, Signatur-, Abrechnungs- und Zahlungsdaten.
• Konto-, Rollen-, Anmelde-, Geräte-, IP-, Protokoll- und Sicherheitsdaten.
• Supportinhalte, Feedback, Dokumente und KI-Eingaben, soweit Nutzer diese Funktionen verwenden.
• Öffentlich zugängliche, von gewerblichen Adressdienstleistern erworbene oder von Unternehmen, Interessenten und Vertriebspartnern bereitgestellte B2B-Kontaktdaten.

4. Zwecke und Rechtsgrundlagen

• Websitebereitstellung, Missbrauchsabwehr und IT-Sicherheit: Art. 6 Abs. 1 lit. f DSGVO; Endgerätezugriffe nur nach § 25 TDDDG.
• Kontakt, Demo, Terminbestätigung, vorvertragliche NDA und Angebot: Art. 6 Abs. 1 lit. b DSGVO; bei Ansprechpartnern eines Unternehmens ergänzend Art. 6 Abs. 1 lit. f DSGVO.
• Brief mit Zugangscode und Vorschau für Unternehmen: Art. 6 Abs. 1 lit. f DSGVO (Direktwerbung).
• Vertrag, Benutzerkonto, Leistung, Support und Kommunikation: Art. 6 Abs. 1 lit. b DSGVO.
• Rechnungswesen, steuer- und handelsrechtliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO.
• Elektronische Signatur, Versand-, Versions- und Auditnachweise sowie Rechtsverteidigung: Art. 6 Abs. 1 lit. b und f DSGVO; gesetzliche Rechenschaftspflichten gegebenenfalls Art. 6 Abs. 1 lit. c DSGVO.
• Produktverbesserung auf aggregierter oder soweit möglich pseudonymisierter Grundlage: Art. 6 Abs. 1 lit. f DSGVO; keine zweckfremde Nutzung von Auftragsdaten.
• Einwilligungspflichtige Analyse- oder Marketingtechnologien: Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG.
• Aufzeichnung von Videogesprächen: Art. 6 Abs. 1 lit. a DSGVO.

5. Erforderlichkeit der Angaben

Pflichtangaben in Registrierung, Angebot, NDA, Signatur und Abrechnung sind für Vertragsanbahnung, Identitätszuordnung oder Vertragserfüllung erforderlich. Ohne diese Angaben kann der jeweilige Vorgang nicht oder nur eingeschränkt durchgeführt werden. Freiwillige Felder sind als solche erkennbar.

6. Hosting, Authentifizierung und Empfänger

Zur Leistungserbringung erhalten nur erforderliche interne Stellen und vertraglich gebundene Dienstleister Zugriff. Produktiv eingesetzt werden insbesondere Google Cloud EMEA Limited für Hosting, Datenbank, Storage, Authentifizierung, serverseitige Funktionen und ausdrücklich aktivierte KI-Funktionen sowie STRATO AG für SMTP-Versand oder ein vom Kunden konfiguriertes Geschäftspostfach. Signatur- und PDF-Erzeugung erfolgen im geprüften Stand innerhalb der eigenen Google-Cloud-Infrastruktur ohne gesonderten externen Signaturdienst.

Zum Schutz vor Missbrauch prüft Google reCAPTCHA Enterprise (Google Ireland Limited) über Firebase App Check, ob Anfragen an die Anwendung von einem echten Browser kommen. Dabei werden Geräte- und Browsermerkmale, IP-Adresse und Interaktionsdaten an Google übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; der Endgerätezugriff ist für die sichere Bereitstellung des ausdrücklich gewünschten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Der PDF-Betrachter in der angemeldeten Anwendung lädt seine Programmdatei über das Content Delivery Network jsDelivr; dabei wird die IP-Adresse an den Netzbetreiber übermittelt.

Die beim Vertragsschluss aktuelle Anlage 1 zum AVV (Verzeichnis der Unterauftragsverarbeiter) mit Zweck und Transfergrundlage ist maßgeblich. Optionale Bank-, DATEV-, Zahlungs-, Monitoring- oder Vertrauensdienste werden erst nach Aktivierung und nach Maßgabe ihrer jeweiligen Rollen einbezogen. Empfänger, die eigene Zwecke und gesetzliche Pflichten verfolgen, handeln gegebenenfalls als eigenständig Verantwortliche.

7. KI-gestützte Verarbeitung

Eingeloggte Anwendungen und einzelne Supportfunktionen verwenden Google Gemini beziehungsweise Vertex-AI- oder Gemini-API-Dienste. Übermittelt werden die für den ausgewählten Vorgang erforderlichen Eingaben, Dokumentauszüge und Kontextdaten. Je nach Funktion werden personenbezogene Merkmale minimiert, maskiert oder pseudonymisiert; eine vollständige Anonymisierung sämtlicher Freitexte und Dokumente wird nicht zugesagt.

Kundendaten werden von uns nicht zu einem eigenen allgemeinen Modelltraining verwendet. Eingesetzte KI-Unterauftragsverarbeiter nutzen wir nur zu Vertragsbedingungen, nach denen die übermittelten Kundendaten nicht zum Training oder zur Verbesserung ihrer eigenen Modelle verwendet werden. Eine zeitlich begrenzte Speicherung beim Anbieter, etwa zur Missbrauchserkennung, richtet sich nach dessen Bedingungen. Vertrauliche oder besondere Daten sollen nur eingegeben werden, wenn dies erforderlich und rechtlich zulässig ist.

KI-Ausgaben werden als solche kenntlich gemacht, soweit gesetzlich erforderlich. Wir treffen für eigene Entscheidungen keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne des Art. 22 DSGVO.

8. Vertriebs-, Termin- und NDA-Prozess

Bei einer Terminanfrage oder einem durch den Vertrieb angelegten Termin verarbeiten wir Kontakt-, Termin- und Kommunikationsdaten. Nach verbindlicher Terminbestätigung kann eine personalisierte NDA als elektronischer Signaturvorgang versandt werden. Dabei werden Dokumentversion, Empfänger, Zustellung, Aufruf, OTP-Prüfung, Signaturhandlung, Zeitstempel, IP-Adresse und User-Agent als Auditnachweis verarbeitet.

Die Auditdaten dienen Vertragsschluss, Integrität, Missbrauchsabwehr und Rechtsnachweis. Eine Unterschrift ist nicht für jede Kontaktaufnahme erforderlich, kann aber Voraussetzung für die Offenlegung vertraulicher Informationen sein.

Videogespräche führen wir über Jitsi as a Service der 8x8 Inc. (USA) beziehungsweise über meet.jit.si. Dabei werden Name, Bild, Ton, IP-Adresse, Geräte- und Verbindungsdaten für die Dauer des Gesprächs verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Ansprechpartnern eines Unternehmens ergänzend Art. 6 Abs. 1 lit. f DSGVO. Zur Übermittlung in die USA siehe Abschnitt 14.

Ein Videogespräch zeichnen wir nur auf, wenn alle Teilnehmenden zu Beginn ausdrücklich eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO). Die Aufnahme dient der Nachbereitung des Gesprächs, liegt in unserer Google-Cloud-Umgebung, ist nur der gesprächsführenden Person und von ihr freigegebenen Kolleginnen und Kollegen zugänglich und wird nach 90 Tagen automatisch gelöscht. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Telefonate führen wir über die sipgate GmbH, Düsseldorf. Gespeichert werden Rufnummer, Zeitpunkt, Richtung, Ergebnis und Dauer eines Anrufs im Verlauf des jeweiligen Kontakts; Gesprächsinhalte zeichnen wir nicht auf. Nach dem Gespräch können Mitarbeitende eine eigene Sprachnotiz diktieren, die mit Google Gemini in eine schriftliche Gesprächsnotiz umgewandelt wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

9. Brief mit Zugangscode und Vorschau

Unternehmen sprechen wir auch per Brief an. Dafür verarbeiten wir Firma, Geschäftsanschrift, Name und Funktion der Ansprechperson, die für den Brief zuständige Person bei Ihmora sowie einen zufällig erzeugten persönlichen Zugangscode. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Direktwerbung gegenüber Unternehmen (Erwägungsgrund 47 DSGVO).

Wird die Vorschau mit dem Code geöffnet, speichern wir Zeitpunkt des ersten und letzten Aufrufs, Zahl der Aufrufe sowie Versionsstand und Zeitpunkt der bestätigten Vertraulichkeitserklärung. Die Vorschau zeigt nur erfundene Musterdaten; Eingaben des Besuchers werden nicht gespeichert. Fragt der Besucher aus der Vorschau einen Termin an, verarbeiten wir die dort angegebenen Kontaktdaten zur Terminvereinbarung.

Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 und 3 DSGVO), etwa per E-Mail an datenschutz@ihmora.de. Danach verwenden wir Ihre Daten nicht mehr für Werbung und vermerken nur noch den Widerspruch, damit Sie nicht erneut angeschrieben werden.

10. E-Mail, Support und Kundenkonto

E-Mails werden über das Plattformpostfach oder ein konfiguriertes Geschäftspostfach versandt. Transportverschlüsselung hängt auch von den beteiligten Mailservern ab; sensible Dokumente werden bevorzugt über geschützte Portale oder gesonderte Zugriffstoken bereitgestellt.

Support- und Feedbackdaten werden zur Bearbeitung, Qualitätssicherung und Fehleranalyse verarbeitet. Im Kundenkonto werden Verträge, Rechtsdokumente, Rechnungen, Tarifinformationen für berechtigte Nutzer bereitgestellt.

11. Cookies und ähnliche Technologien

Technisch erforderliche Speicherungen und Endgerätezugriffe, etwa für Anmeldung, Sicherheit und Spracheinstellungen, erfolgen nach § 25 Abs. 2 TDDDG. Die anschließende Datenverarbeitung richtet sich insbesondere nach Art. 6 Abs. 1 lit. b oder f DSGVO.

Nicht erforderliche Analyse- oder Marketingtechnologien werden nur nach Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO eingesetzt. Eine Einwilligung kann mit Wirkung für die Zukunft widerrufen werden.

12. Werbemessung auf Kampagnenseiten

Auf unseren Kampagnenseiten unter ihmora.de/start fragen wir, ob wir messen dürfen, ob Sie über eine unserer Anzeigen gekommen sind. Nur nach Ihrer Einwilligung laden wir den LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland) und das Meta-Pixel (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland). Beide setzen Cookies und übermitteln die aufgerufene Seite, IP-Adresse, Browserangaben sowie das Ereignis, dass eine Anfrage oder ein Testzugang abgeschickt wurde. Das Meta-Pixel übermittelt zusätzlich E-Mail-Adresse, Name, Telefonnummer und Ort aus dem Formular als Hashwerte (erweiterter Abgleich), damit Meta die Anmeldung einem Meta-Konto zuordnen kann. Wir erhalten daraus zusammengefasste Auswertungen zur Wirkung unserer Anzeigen.

Rechtsgrundlage ist die Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Für Erhebung und Übermittlung über das Meta-Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); die weitere Verarbeitung verantwortet Meta allein. Daten können in die USA übermittelt werden; LinkedIn und Meta sind nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Wahl wird im Browser gespeichert und kann über den Link „Werbemessung“ unten auf jeder Kampagnenseite jederzeit mit Wirkung für die Zukunft widerrufen werden.

13. B2B-Besucheranalyse

Auf öffentlichen Seiten können Pfad, Zeit, Referrer und IP-Adresse verarbeitet und über öffentliche Netzregister einer Organisation zugeordnet werden, um bestehende B2B-Vertriebskontakte zu unterstützen. Es werden keine privaten Besucher als Verkaufskontakte angelegt und keine ausschließlich automatisierten Entscheidungen getroffen.

Auf den Kampagnenseiten unter ihmora.de/start messen wir zusätzlich ohne Cookies, wie lange eine Seite geöffnet ist, wie weit gescrollt, wie lange ein Film abgespielt und wie weit das Formular ausgefüllt wurde. Jeder Seitenaufruf erhält dafür eine zufällige Kennung, die der Browser nicht speichert; diese Messwerte enthalten keine IP-Adresse und werden keiner Person zugeordnet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das Interesse liegt in Vertriebsauswertung, Verbesserung unserer Kampagnenseiten und Missbrauchserkennung. Rohdaten werden grundsätzlich nach 90 Tagen gelöscht. Betroffene können aus Gründen ihrer besonderen Situation nach Art. 21 DSGVO widersprechen.

14. Drittlandübermittlungen

Auch bei regionaler Speicherung können Anbieter in Drittländern Support-, Sicherheits- oder Metadatenzugriff erhalten. Übermittlungen erfolgen nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses wie dem EU-U.S. Data Privacy Framework für zertifizierte Empfänger oder auf Grundlage von EU-Standardvertragsklauseln und erforderlichen ergänzenden Maßnahmen.

Die konkrete Grundlage richtet sich nach Anbieter, Dienst und Zertifizierungsstatus. Eine ausschließliche Verarbeitung sämtlicher Daten in Frankfurt wird nicht zugesagt.

15. Speicherdauer

• Server- und Sicherheitsprotokolle: grundsätzlich wenige Tage bis 90 Tage, länger nur bei Sicherheitsereignissen oder Nachweispflichten.
• B2B-Besucheranalyse-Rohdaten und Messwerte der Kampagnenseiten: grundsätzlich 90 Tage.
• Aufnahmen von Videogesprächen: 90 Tage, früher bei Widerruf der Einwilligung.
• Interessenten- und Termindaten: bis zum Ende der Vertragsanbahnung und anschließend grundsätzlich bis zu drei Jahre, sofern kein Vertrag entsteht oder eine längere Aufbewahrung erforderlich ist.
• Vertrags-, Signatur- und wesentliche Kommunikationsnachweise: Vertragslaufzeit zuzüglich gesetzlicher Verjährungs- und Nachweisfristen, regelmäßig bis zu zehn Jahre je nach Dokumentart.
• Buchungsbelege und Rechnungen: grundsätzlich acht Jahre nach § 147 AO und § 257 HGB; Handelsbücher, Jahresabschlüsse und andere Unterlagen können zehn Jahre, Handels- und Geschäftsbriefe sechs Jahre aufzubewahren sein.
• Kontodaten und Supportinhalte: für die Vertragsdauer beziehungsweise Bearbeitung und danach nur nach gesetzlichen Aufbewahrungs-, Sicherheits- oder Rechtsverteidigungsinteressen.
• Auftragsdaten des Kunden: nach AVV, Kundenweisung und dokumentiertem Löschkonzept.

16. Herkunft der Daten und automatisierte Entscheidungen

Soweit wir Kontaktdaten nicht direkt erhalten, stammen sie regelmäßig vom Arbeitgeber oder Unternehmen der betroffenen Person, aus Empfehlungen, öffentlichen Geschäftsverzeichnissen, von gewerblichen Adressdienstleistern, aus beruflichen Netzwerken oder öffentlich zugänglichen Unternehmenswebseiten. Verarbeitet werden nur für den B2B-Kontakt erforderliche Angaben.

Fordert ein Unternehmen über eine Kampagnenseite einen Testzugang oder einen Kontakt an, ergänzen wir fehlende geschäftliche Angaben wie Telefonnummer, Ansprechperson, Anschrift, Webseite und Registereintrag aus unserem Kundenverwaltungssystem und aus dem Impressum sowie öffentlichen Registern des Unternehmens. Für diese Recherche setzen wir Google Gemini mit Google-Suche ein; es werden nur leere Felder gefüllt und nur Angaben übernommen, die sich auf das Unternehmen beziehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das Interesse liegt in der zügigen Bearbeitung der Anfrage.

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO statt. Scoring- oder KI-Hinweise unterstützen lediglich menschliche Entscheidungen.

17. Rechte und Beschwerde

Betroffene haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Anfragen sind an datenschutz@ihmora.de zu richten.

Ein Beschwerderecht besteht bei jeder Datenschutzaufsichtsbehörde. Für den Sitz des Verantwortlichen ist die Landesbeauftragte für den Datenschutz Niedersachsen zuständig.

Diese Hinweise werden bei Änderungen von Recht, Diensten oder Verarbeitung aktualisiert. Wesentliche Änderungen werden über geeignete Kanäle kenntlich gemacht.