Datenschutzerklärung

1. Verantwortlicher und Rollenverteilung

Doards, Ibrahim Durmuscelebi, Landsbergerstraße 272, München, Deutschland.
E-Mail: office@doards.com
Telefon: +49 176 433 288 13.
Weitere Angaben finden Sie im Impressum.

Für den Betrieb unserer Website, eigene Kundenbeziehungen und die Bearbeitung von Anfragen sind wir Verantwortlicher. Verarbeitet ein Unternehmen in Doards Daten seiner Kunden, Beschäftigten oder Geschäftspartner, bestimmt dieses Unternehmen die Zwecke und Rechtsgrundlagen dieser Verarbeitung. Soweit wir diese Daten nach dessen Weisungen verarbeiten, handeln wir als Auftragsverarbeiter nach Maßgabe der jeweiligen Vereinbarung zur Auftragsverarbeitung. Diese Rollenverteilung gilt auch beim Einsatz von DISI.

2. Hosting und technische Zugriffsdaten

Für das Hosting der Doards-Plattform setzen wir Hivelocity Inc. mit dem für die Plattform vorgesehenen Standort Frankfurt am Main ein. Die Verarbeitung durch zusätzlich eingesetzte KI-Dienste kann an anderen Standorten erfolgen; hierzu informieren die Abschnitte zu DISI und internationalen Übermittlungen.

Im Rahmen des Hostings und technischen Supports können die eingesetzten Dienstleister Zugriff auf die für ihre Aufgaben erforderlichen Daten erhalten. Der Schutz dieser Daten, die jeweiligen Zuständigkeiten und erforderliche Vereinbarungen zur Auftragsverarbeitung richten sich nach den gesetzlichen und vertraglichen Anforderungen. Angaben zu weiteren Empfängern finden Sie in Abschnitt 13.

Beim Abruf unserer Dienste können insbesondere IP-Adresse, Datum und Uhrzeit, angefragte Adresse, Referrer, Hostname des zugreifenden Rechners, Browsertyp und -version, Betriebssystem, anfragender Provider, übertragene Datenmenge und technische Fehler in Server- und Sicherheitsprotokollen verarbeitet werden. Dies dient der Auslieferung der Dienste, der Fehleranalyse und dem Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung nicht bereits zur Bereitstellung einer vertraglichen Leistung nach Art. 6 Abs. 1 lit. b DSGVO erforderlich ist.

3. Kontakt, Testanfragen und Kommunikation

3.1 Kontaktaufnahme per E-Mail und Telefon

Bei einer Kontaktaufnahme per E-Mail oder Telefon verarbeiten wir die von Ihnen mitgeteilten Angaben, insbesondere Namen, E-Mail-Adresse, Telefonnummer und den Inhalt Ihrer Anfrage. Die Verarbeitung dient der Bearbeitung und Beantwortung Ihres Anliegens. Für die weitere Speicherung gelten die in Abschnitt 13 beschriebenen Zwecke und gesetzlichen Voraussetzungen.

3.2 Kontaktformulare und Testanfragen

Wenn Sie uns per Formular, E-Mail oder Telefon kontaktieren oder eine Testversion anfragen, verarbeiten wir die angegebenen Kontakt- und Unternehmensdaten, Ihre Nachricht sowie Angaben zur gewünschten Leistung. Bei einer Testanfrage können insbesondere Name, Firma, Branche, geschäftliche E-Mail-Adresse, Telefonnummer, Anschrift, gewünschter Benutzername und Sprache anfallen. Die Anfrage wird gespeichert und zur Bearbeitung an unser Team weitergeleitet; Sie können eine Eingangsbestätigung erhalten.

Die Verarbeitung erfolgt zur Bearbeitung Ihrer Anfrage und zur Durchführung vorvertraglicher oder vertraglicher Maßnahmen nach Art. 6 Abs. 1 lit. b DSGVO. Bei anderen Anfragen beruht sie auf unserem berechtigten Interesse an der Beantwortung nach Art. 6 Abs. 1 lit. f DSGVO. Soweit wir eine gesonderte Einwilligung einholen, gilt Art. 6 Abs. 1 lit. a DSGVO.

3.3 WhatsApp-Kommunikation und Begleitung einer Testphase

Eine Kommunikation über WhatsApp erfolgt, wenn Sie diesen Kanal nutzen oder einer solchen Kontaktaufnahme zugestimmt haben. Bei einer entsprechend vereinbarten Kontaktaufnahme zu einer Testversion dient sie insbesondere deren Bereitstellung, der technischen Unterstützung und der Begleitung während der Testphase. Dabei können Telefonnummer, Profilinformationen und Kommunikationsinhalte an den Dienstanbieter und dessen Infrastruktur übermittelt werden. Sie können eine Einwilligung für künftige Kontaktaufnahmen widerrufen und uns stattdessen per E-Mail oder Telefon erreichen. Weitere Informationen enthält die Datenschutzrichtlinie von WhatsApp.

4. Benutzerkonten und Daten in der Doards-Software

Zur Einrichtung und Verwaltung eines Kontos verarbeiten wir die dafür erforderlichen Stamm-, Kontakt-, Anmelde-, Vertrags- und Berechtigungsdaten. Passwörter werden im Registrierungsablauf als Passwort-Hash gespeichert. Abhängig von den gebuchten Modulen und den Eingaben des nutzenden Unternehmens können folgende Daten verarbeitet werden:

4.1 Persönliche Angaben und Kontodaten

• Vorname, Nachname, E-Mail-Adresse, Benutzername und Passwort-Hash;
• Rechnungsadresse und weitere Kontaktinformationen wie Telefonnummer;
• Präferenzen für Kommunikation und Benachrichtigungen;
• Historie von Bestellungen und Transaktionen;
• Produktbewertungen, Kommentare, Wunschlisten und gespeicherte Artikel, soweit entsprechende Funktionen genutzt werden.

4.2 Zusätzliche Firmendaten

• Firmenname, Rechtsform, Handelsregisternummer und Umsatzsteuer-Identifikationsnummer;
• Unternehmensstandort, geschäftliche Kontaktinformationen und branchenspezifische Angaben;
• Informationen über Beschäftigte, Vertreter und deren Rollen im Unternehmen;
• Informationen über Geschäftspartner und Kooperationen.

4.3 Erweiterte Unternehmens- und Vorgangsdaten

• Kunden-, Beschäftigten-, Fahrer-, Lieferanten- und Geschäftspartnerdaten, einschließlich Rollen und Zuordnungen;
• Buchungs-, Auftrags-, Miet-, Fahrzeug-, Standort-, Projekt- und Aufgabendaten;
• Rechnungs-, Zahlungs-, Bank-, Steuer- und sonstige Abrechnungsdaten;
• Historie von Zahlungen und offenen Forderungen;
• Dokumente, Vertragsunterlagen, Vereinbarungen, Nachrichten, Notizen, Bilder und weitere vom Unternehmen hinterlegte Inhalte;
• Lagerbestände, Bestandsbewegungen, Produktions- und Lieferketteninformationen;
• Verkaufs- und Marketingstatistiken, unternehmensinterne Berichte und Analysen;
• Support- und Servicedaten sowie Projektmanagement-Daten und Zeitpläne;
• Compliance- und Regulierungsinformationen sowie Nutzungs-, Änderungs-, Zugriffs-, Datenschutz- und Sicherheitsprotokolle.

4.4 Funktionen und zugehörige Datenverarbeitung

Soweit die jeweiligen Funktionen bereitgestellt und genutzt werden, können die genannten Daten insbesondere für folgende Zwecke verarbeitet werden:

• Benutzer- und Zugriffsverwaltung: Benutzerkonten, Zugriffsrechte und Rollen;
• Dashboards und Berichte: Echtzeitübersichten, individuelle Berichte und Kennzahlen;
• Workflow-Management: Geschäftsprozesse und deren Automatisierung;
• Dokumentenmanagement: Speicherung, Verwaltung und Nachverfolgung von Dokumenten;
• Zeiterfassung und Abwesenheitsmanagement: Arbeitszeiten und Abwesenheiten;
• Gehaltsabrechnung: Löhne, Gehälter und Sozialleistungen;
• Inventarverwaltung: Bestände, Bestellungen und Lieferungen;
• CRM: Kundenbeziehungen, Verkaufschancen und Marketingkampagnen;
• SRM: Lieferantenbeziehungen und Beschaffungsprozesse;
• Produktlebenszyklusmanagement: Entwicklung, Markteinführung und weitere Produktphasen;
• E-Commerce-Integrationen: Anbindung von Plattformen und Online-Marktplätzen;
• Mobiler Zugriff sowie Unterstützung verschiedener Sprachen und Währungen;
• Business Intelligence: Auswertungen und Datenvisualisierung;
• Customer Support und Helpdesk: Kundenanfragen, Tickets und Serviceleistungen;
• Qualitätsmanagement sowie Dokumentation gesetzlicher und regulatorischer Anforderungen;
• Backup und Wiederherstellung: Sicherung und Wiederherstellung von Daten.

Diese Angaben werden nicht sämtlich allein durch eine Registrierung erhoben. Art und Umfang ergeben sich aus der tatsächlichen Nutzung. Das einsetzende Unternehmen muss eine geeignete Rechtsgrundlage für die Daten seiner Beschäftigten und anderer Personen festlegen und die erforderlichen Informationen bereitstellen; eine Einwilligung ist nicht für jede Verarbeitung die passende oder einzige Rechtsgrundlage. Für kundenseitig eingebundene Dienste gelten zusätzlich deren Datenschutzinformationen und die vereinbarten Zuständigkeiten.

Das gilt auch, wenn Sie Beschäftigte oder Vertreter hinzufügen oder eigene Anpassungen, APIs und andere technische Schnittstellen einbinden. Das einsetzende Unternehmen muss die von ihm veranlassten Datenübermittlungen, Informationen an betroffene Personen und erforderlichen Berechtigungen prüfen. Unsere eigenen gesetzlichen und vertraglichen Datenschutzpflichten bleiben hiervon unberührt. Die Datenverarbeitung dient der Bereitstellung der genutzten Unternehmensfunktionen und der Anpassung unserer Leistungen an die vereinbarten Anforderungen.

5. Bewertungen, Kommentare, Newsletter und Werbung

5.1 Bewertungen und Kommentare

Soweit wir eine Funktion zur Kommentierung oder Bewertung anbieten und Sie diese nutzen, verarbeiten wir die von Ihnen angegebenen Daten, insbesondere Name, E-Mail-Adresse und Kommentar- beziehungsweise Bewertungstext. Dies dient der Bearbeitung und Anzeige Ihres Beitrags. Bei einer Verarbeitung auf Grundlage Ihrer Einwilligung gilt Art. 6 Abs. 1 lit. a DSGVO; Sie können diese Einwilligung jederzeit durch Mitteilung an uns für die Zukunft widerrufen. Ob ein Beitrag oder zugehörige Daten zu löschen sind, richtet sich nach den gesetzlichen Voraussetzungen und etwaigen vorrangigen Aufbewahrungsgründen.

5.2 Newsletter und erforderliche Servicenachrichten

Die Anmeldung zum Website-Newsletter erfolgt über das dafür vorgesehene Formular mit ausdrücklicher Einwilligung; die Registrierung oder Anfrage einer Testversion führt nicht automatisch zu einer Anmeldung über dieses Formular. Wir verarbeiten E-Mail-Adresse, gewählte Sprache, Herkunft der Anmeldung, Anmeldezeitpunkt und IP-Adresse. Diese Angaben werden in einer internen Empfängerliste gespeichert und können zur Bearbeitung der Anmeldung per E-Mail an unser Team weitergeleitet werden. Zur Begrenzung missbräuchlicher Anmeldungen wird außerdem ein Hash der IP-Adresse für eine zeitlich begrenzte Anfragesperre verwendet.

Rechtsgrundlage für den Newsletter ist Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit über eine angebotene Abmeldefunktion oder durch Nachricht an office@doards.com widerrufen. Erforderliche Vertrags-, Rechnungs- oder Sicherheitsnachrichten sind davon getrennt und können weiterhin versendet werden. Hierzu können beispielsweise erforderliche Hinweise zu Wartungsarbeiten, sicherheitsrelevanten Updates und der Bereitstellung Ihrer vertraglichen Leistungen gehören.

5.3 Postalische Werbung

Soweit wir postalische Direktwerbung einsetzen, können wir hierfür Namen und Anschriften verwenden, die wir im Zusammenhang mit dem Verkauf einer Ware oder Dienstleistung erhalten haben. Rechtsgrundlage ist unser berechtigtes Interesse an Direktwerbung nach Art. 6 Abs. 1 lit. f DSGVO. Sie können dieser Verwendung jederzeit über die oben genannten Kontaktdaten widersprechen. Eine Zustimmung zu Werbung ist keine Voraussetzung für einen Vertrag.

6. Cookies und Einwilligungen

Cookies sind kleine Textdateien, die über den Browser auf Ihrem Endgerät gespeichert werden. Sie können deren Verwendung auch über die Einstellungen Ihres Browsers steuern und vorhandene Cookies löschen. Das Blockieren technisch erforderlicher Cookies kann dazu führen, dass einzelne Funktionen nicht vollständig nutzbar sind.

Wir verwenden technisch erforderliche Cookies und vergleichbare Speichermechanismen beispielsweise für Anmeldung, Sitzungen, Sicherheitsfunktionen, Sprache und die Speicherung Ihrer Cookie-Auswahl. Soweit diese für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind, beruht der Zugriff auf § 25 Abs. 2 Nr. 2 TDDDG. Die anschließende Verarbeitung personenbezogener Daten richtet sich insbesondere nach Art. 6 Abs. 1 lit. b oder f DSGVO.

Wenn Sie die Funktion „Angemeldet bleiben“ wählen, kann eine Anmeldekennung auf Ihrem Gerät gespeichert werden, um Sie bei späteren Besuchen wiederzuerkennen und die Anmeldung zu ermöglichen. Der dafür verwendete Cookie enthält nicht Ihr Klartextpasswort. Sie können diese Funktion durch Abmelden beziehungsweise Löschen der zugehörigen Cookies beenden; anschließend kann eine erneute Anmeldung erforderlich sein.

Optionale Analyse- und Marketing-Technologien werden entsprechend Ihrer Auswahl im Cookie-Dialog eingesetzt. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG für die Speicherung beziehungsweise den Zugriff auf dem Endgerät und Art. 6 Abs. 1 lit. a DSGVO für die damit verbundene Verarbeitung personenbezogener Daten. Unsere Einwilligungs-Cookies user_ck_consent und user_ck_accepted sind auf eine Laufzeit von 30 Tagen eingestellt. Browser können Speicherfristen verkürzen; Sie können Cookies auch vorher löschen.

Sie können Ihre Auswahl über die Cookie-Schaltfläche der jeweiligen Website beziehungsweise Anmeldeseite ändern und eine Einwilligung mit Wirkung für die Zukunft widerrufen. Eine Ablehnung optionaler Cookies verhindert nicht die Anforderung einer Testversion. Die Cookie-Auswahl für Marketing ist keine Freigabe Ihrer Unternehmensdaten für DISI; die KI-Verarbeitung wird in den Abschnitten 9 bis 12 beschrieben.

7. Analyse und Marketing-Pixel

Die öffentliche Website nutzt optionale Analyse- und Marketing-Einbindungen. Auf app.doards.com sind entsprechende Tags im hier beschriebenen Einbindungsmechanismus auf die öffentlichen Seiten /login und /signup beschränkt. Sie werden darüber nicht in den angemeldeten Arbeitsbereichen der Software geladen. Eine Verbindung zu einem eingebundenen Anbieter kann technische Daten wie IP-Adresse und Browserinformationen offenlegen.

7.1 Google Tag, Google Ads und Google Tag Manager

Wir verwenden Google Tag und Google Tag Manager zur Verwaltung von Mess-Tags und zur Auswertung von Kampagnen. Auf der öffentlichen Website richtet sich das Laden nach Ihrer Analyse-Auswahl. Im Anmelde- und Registrierungsbereich wird der Tag Manager bei einer gespeicherten Cookie-Zustimmung eingebunden. Anbieter ist für Nutzer im EWR regelmäßig Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Über eingebundene Tags können Seitenaufrufe, Interaktionen, Herkunft einer Sitzung, Geräteinformationen, Kennungen und beispielsweise eine erfolgreiche Anfrage als Ereignis verarbeitet werden. Welche zusätzlichen Messdienste, etwa Google Analytics, tatsächlich aktiv sind, hängt von der Konfiguration des Tag-Managers ab.

Im Anmelde- und Registrierungsbereich kann eine erfolgreich übermittelte Testanfrage als Lead-Ereignis bereitgestellt werden. Die Laufzeiten zusätzlicher Google-Cookies und die Aufbewahrung von Messdaten richten sich nach den eingesetzten Tags und den jeweiligen Einstellungen; eine pauschale Löschfrist von 14 Monaten für sämtliche Google-Daten wird hier nicht zugesagt. Weitere Informationen: Datenschutzerklärung von Google.

7.2 Meta/Facebook Pixel

Mit Ihrer Marketing-Einwilligung verwenden wir das Meta/Facebook Pixel zur Messung von Seitenaufrufen und Kampagnenerfolgen. Anbieter ist für den EWR Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Erfasst werden können Ereignisse wie der Aufruf der Website, ein Klick auf einen Registrierungslink und eine erfolgreich übermittelte Testanfrage sowie technische Verbindungs- und Browserdaten und Kennungen. Meta kann diese Informationen mit weiteren bei Meta vorhandenen Daten verbinden. Weitere Informationen: Datenschutzrichtlinie von Meta.

7.3 LinkedIn Insight Tag

Auf der öffentlichen Website verwenden wir mit Ihrer Marketing-Einwilligung den LinkedIn Insight Tag zur Kampagnenmessung. Anbieter ist LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland. Dabei können Seitenaufrufe, Referrer, Geräte- und Browserinformationen, IP-Adresse, Zeitstempel und Kennungen verarbeitet und einem LinkedIn-Konto zugeordnet werden. Eine gesonderte Registrierungskonversion wird nur gemeldet, wenn hierfür eine entsprechende Konversionskennung eingerichtet ist. Weitere Informationen: Datenschutzerklärung von LinkedIn.

7.4 OpenAI Pixel / ChatGPT Ads

Mit Ihrer Marketing-Einwilligung laden wir das OpenAI Measurement Pixel zur Erfolgsmessung von Werbung in ChatGPT. Anbieter für den EWR ist OpenAI Ireland Ltd.; weitere Unternehmen der OpenAI-Gruppe und Dienstleister können beteiligt sein. Das Pixel misst Seitenaufrufe (page_viewed). Nach einer erfolgreich übermittelten Testanfrage in der Registrierung senden wir das Ereignis trial_started mit dem Datentyp plan_enrollment. Dieses Ereignis bezeichnet in unserer Einbindung den Eingang der Testanfrage, nicht die bereits erfolgte Freischaltung eines Kontos.

Verarbeitet werden können Ereignisart und -zeit, Seitenherkunft, technische Verbindungsdaten einschließlich IP-Adresse sowie Browser- und Zuordnungskennungen. Unser eigener Ereignisaufruf übergibt keine Namen, E-Mail-Adressen, Passwörter, Chatverläufe oder ERP-Datensätze. Ist die automatische erweiterte Zuordnung im OpenAI-Werbekonto aktiviert, kann das SDK unterstützte Kontaktdaten auf der Seite erkennen, im Browser normalisieren und als SHA-256-Hash zur Zuordnung übertragen. Solche Hashwerte sind pseudonym und nicht mit anonymen Daten gleichzusetzen.

Das Pixel kann die eigenen Cookies __oppref zur Anzeigenzuordnung mit einer Laufzeit von 30 Tagen und __obref als Browserkennung mit einer Laufzeit von 365 Tagen setzen. Beim erneuten Erfassen eines Anzeigenparameters kann sich die Laufzeit von __oppref erneuern. Bei Widerruf wird die Mess-Einwilligung für OpenAI deaktiviert; nach der SDK-Dokumentation werden dabei beide Cookies entfernt. Diese Cookie-Laufzeiten sind keine Aussage zur Aufbewahrungsdauer bereits übermittelter Daten beim Anbieter.

Für das Pixel gelten die OpenAI Ad Tools-Datenschutzbedingungen; OpenAI verarbeitet die Messdaten grundsätzlich als eigenständiger Verantwortlicher, mit Ausnahmen für die dort geregelte eingeschränkte Verarbeitung. Weitere Informationen: Datenschutzerklärung von OpenAI und Informationen zum Measurement Pixel. Die Bedingungen für die Nutzung der OpenAI-API durch DISI sind davon getrennt.

8. Weitere externe Dienste

Google reCAPTCHA: Kontakt- und Registrierungsformulare verwenden reCAPTCHA zur Abwehr automatisierter oder missbräuchlicher Anfragen. Dabei werden insbesondere IP-Adresse, technische Browserinformationen, ein Prüftoken und gegebenenfalls Interaktionsdaten durch Google verarbeitet. Die Verarbeitung dient dem Schutz unserer Formulare und Systeme auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO; soweit ein nicht erforderlicher Endgerätezugriff erfolgt, ist hierfür eine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich. Informationen stellt Google in seiner Datenschutzerklärung bereit.

Trustpilot: Auf unserer Website ist ein Trustpilot-Bewertungswidget eingebunden. Beim Laden der zugehörigen Ressourcen entsteht eine Verbindung zu Trustpilot, bei der unter anderem IP-Adresse, Browserinformationen und Angaben zum Seitenabruf verarbeitet werden können. Informationen zur Verarbeitung durch den Anbieter enthält die Datenschutzerklärung von Trustpilot.

Spracherkennung: Wir nutzen vorhandene Sprach- und Länderangaben des Browsers beziehungsweise unserer Infrastruktur für eine passende Spracheinstellung. Wenn auf der Registrierungsseite keine Länderinformation vorliegt, kann der Browser eine technische Länderabfrage bei Cloudflare durchführen. Dabei erhält Cloudflare insbesondere die für den Verbindungsaufbau erforderliche IP-Adresse. Die erkannte Länderkennung wird zur Sprachwahl verwendet. Informationen: Datenschutzerklärung von Cloudflare.

Karten und Videos: Soweit Sie Funktionen mit eingebetteten Google Maps-Karten oder YouTube-Videos nutzen, können beim Aktivieren dieser Inhalte Verbindungen zu Google entstehen und IP-Adresse, Seitenherkunft, Kennungen sowie Nutzungsdaten verarbeitet werden. Welche Einbindung vorliegt, hängt vom genutzten Modul ab. Ein sogenannter erweiterter Datenschutzmodus bedeutet nicht, dass beim Abspielen eines Videos keine Daten übertragen werden. Für optionale Einbindungen gelten die Einwilligungsanforderungen aus Abschnitt 6.

9. DISI: Funktionsweise und verarbeitete Daten

DISI ist die KI-Unterstützung innerhalb von Doards. Die Funktionen Docer, Getter und Coder verarbeiten eine von Ihnen gestellte Aufgabe und den dazu übergebenen Kontext, um Hilfestellungen, Datenauskünfte oder Softwareanpassungen zu erstellen. Die Doards-Anwendung übermittelt die Anfrage zunächst an den DISI-Dienst. Dieser bereitet die Anfrage auf und ruft je nach Funktion und Konfiguration ein lokal betriebenes Modell oder die API eines externen Modellanbieters auf.

An DISI können insbesondere Ihre Nachricht, ein begrenzter Gesprächsverlauf, die gewünschte Antwortsprache, die aktuelle Seitenbezeichnung beziehungsweise Seitenadresse sowie Mandanten-, Benutzerrollen- und Vorgangskennungen übermittelt werden. Je nach Aufgabe kommen Dokumentation, Quellcode, Abfrageergebnisse oder Fehlermeldungen hinzu. Nicht jedes dieser Felder wird in jeder Modellanfrage verwendet. Freitexte, Datenbankergebnisse und kundenspezifischer Code können personenbezogene oder vertrauliche Informationen enthalten; eine automatische vollständige Anonymisierung wird nicht zugesagt.

9.1 Docer – Hilfe aus der Dokumentation

Docer erhält Ihre Frage, gegebenenfalls frühere Hilfefragen, den aktuellen Seitenkontext und einen nach den Seitenberechtigungen zusammengestellten Katalog. Der Agent wählt passende Doards-Anleitungen aus und verwendet deren Text sowie Beschreibungen und Kennungen zu Dokumentationsbildern für die Antwort. Die dazugehörigen Bilder werden über die Dokumentationsfunktionen angezeigt; dieser Ablauf übermittelt dem Sprachmodell keine laufende Bildschirmaufnahme.

Docer liest in diesem Ablauf keine aktuellen Kundendatensätze aus der Unternehmensdatenbank und ändert weder Datensätze noch Programmdateien. Personenbezogene Angaben können dennoch durch Ihre Frage, den Gesprächsverlauf oder kundenspezifische Dokumentation in den Kontext gelangen. Docer verwendet eine gesondert konfigurierte Modellbereitstellung, standardmäßig lokal. Der automatische Wechsel zu OpenAI bei einem Modellfehler ist für diesen Dokumentationsablauf gesperrt; eine ausdrücklich anders konfigurierte Modellbereitstellung bleibt davon zu unterscheiden.

9.2 Getter – Auskünfte aus Unternehmensdaten

Getter erhält Ihre Datenfrage und gegebenenfalls den Gesprächskontext. Für die Erstellung einer lesenden Abfrage können Tabellen- und Spaltenbeschreibungen, Filter, Zeiträume und Zuordnungswerte verwendet werden. Die Datenbankabfrage wird durch die Doards-Anwendung im Kontext der angebundenen Unternehmensdatenbank ausgeführt. Bei Rückfragen können konkrete Nachschlageergebnisse, beispielsweise Namen und Kennungen von Kunden, Benutzern oder Statuswerten, erneut an DISI und das verwendete Modell übermittelt werden.

Zur Formulierung der Antwort können anschließend die ausgewählten Ergebniszeilen, Summen, Rechnungs- oder Buchungsangaben sowie Fehlerinformationen verarbeitet werden. Die Ergebnisübertragung ist technisch begrenzt; eine Begrenzung oder Kürzung ist jedoch keine Anonymisierung. Bei einem externen Modell können daher auch personenbezogene Werte aus diesen Ergebnissen an dessen Anbieter gelangen. Getter ist für lesende Auskünfte ausgelegt und führt in diesem Ablauf keine schreibenden Datenbankabfragen aus. Die Beschränkung auf Lesen ersetzt keine Prüfung der Zugriffsberechtigungen und der Zulässigkeit der abgefragten Inhalte.

9.3 Coder – Erstellen und Ändern von Software

Coder verarbeitet Ihre Änderungsanweisung, Gesprächskontext, Seitenname und -adresse sowie den Code der zu bearbeitenden Seite. Dazu kann die vollständige übergebene Zieldatei gehören. Zusätzlich können benötigte Ausschnitte aus einer aufbereiteten Doards-Referenz, technische Dokumentation, Datenstrukturen, verfügbare Anwendungsaktionen sowie mandantenspezifische Status-, Typ- und Kategoriebezeichnungen verwendet werden. Zur Fehlerkorrektur können erzeugter Code, Laufzeitfehler und Diagnoseinformationen erneut in eine Modellanfrage aufgenommen werden.

Die Referenzwerkzeuge greifen auf einen beschränkten, aufbereiteten Projektbestand zu. Dies ist keine Zusicherung, dass jede von Ihnen übergebene Zieldatei oder Nachricht frei von personenbezogenen Daten oder Geheimnissen ist. Solche Inhalte würden bei einer externen Modellverarbeitung ebenfalls in den übergebenen Kontext gelangen. Übermitteln Sie deshalb nur für die Aufgabe erforderliche Inhalte und keine Zugangsdaten oder privaten Schlüssel.

Der Modellanbieter erhält in diesem Ablauf keinen allgemeinen Datenbankzugang. Die Anwendung prüft die zurückgelieferten Änderungen und kann sie im Rahmen der freigeschalteten Coder-Funktion auf Programmdateien anwenden. Angeforderte Anpassungen können deshalb über eine reine Textantwort hinaus Auswirkungen auf die Software haben.

9.4 Zwecke, Rechtsgrundlagen und sensible Inhalte

Die Verarbeitung dient der von Ihnen angeforderten Hilfestellung, Datenauswertung oder Softwareanpassung sowie der zugehörigen Fehleranalyse und Absicherung. Für eigene Vertragsbeziehungen kann Art. 6 Abs. 1 lit. b DSGVO einschlägig sein; für erforderlichen Support und den sicheren Betrieb kommt Art. 6 Abs. 1 lit. f DSGVO in Betracht. Bei Verarbeitung im Auftrag bestimmt das einsetzende Unternehmen die einschlägige Rechtsgrundlage und die zulässigen Datenkategorien. Eine gesondert eingeholte Einwilligung beruht auf Art. 6 Abs. 1 lit. a DSGVO.

Gesundheitsdaten und andere besondere Kategorien personenbezogener Daten dürfen nur auf einer passenden zusätzlichen Grundlage nach Art. 9 DSGVO und in einer dafür freigegebenen Bereitstellung verarbeitet werden. Die Freischaltung eines Modells oder eine Marketing-Einwilligung allein schafft diese Grundlage nicht. KI-Antworten können unzutreffend sein und müssen vor ihrer Verwendung für folgenreiche Entscheidungen geprüft werden. Die beschriebenen Funktionen dienen der Unterstützung und sind nicht auf automatisierte Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung über Personen ausgerichtet.

10. DISI mit OpenAI

Wenn OpenAI als Backend verwendet wird oder eine freigegebene Ausweichverarbeitung darauf zurückgreift, werden die für den jeweiligen Modellaufruf zusammengestellten Inhalte aus Abschnitt 9 an die OpenAI-API übermittelt. Hierzu können Fragen und Gesprächsausschnitte, Dokumentation, Quellcode, Werkzeugergebnisse, Datenbankergebnisse und Fehlermeldungen gehören. Hinzu kommen technische Anfragedaten. Die Übermittlung erfolgt vom DISI-Dienst; sie setzt kein privates ChatGPT-Konto des Nutzers voraus.

Vertragspartner für Kunden im EWR ist nach den OpenAI-Geschäftsbedingungen OpenAI Ireland Ltd. Die Verarbeitung der über die API übergebenen Kundeninhalte richtet sich nach den Geschäftsbedingungen und dem OpenAI Data Processing Addendum. Weitere Unternehmen der OpenAI-Gruppe und Unterauftragnehmer können beteiligt sein.

Nach den OpenAI-Informationen zu API-Daten werden API-Inhalte standardmäßig nicht zum Training von OpenAI-Modellen verwendet, sofern keine ausdrückliche Datenfreigabe erfolgt. Das bedeutet nicht, dass keine Speicherung stattfindet: Inhalte können grundsätzlich bis zu 30 Tage für die Missbrauchsüberwachung und in beschriebenen Ausnahmefällen länger aufbewahrt werden. Zusätzlich können funktions- oder modellabhängige Zwischenspeicher anfallen. Abweichende Kontrollen wie Zero Data Retention gelten nur, wenn sie für das tatsächlich verwendete Konto und die eingesetzten Funktionen vereinbart und wirksam eingerichtet sind; eine solche Einstellung wird hier nicht pauschal zugesagt.

11. DISI mit Claude / Anthropic

Wenn Claude als Backend verwendet wird, übermittelt DISI die aufgabenbezogenen Modellinhalte aus Abschnitt 9 an die Anthropic-API. Dazu können insbesondere Eingaben, Gesprächsausschnitte, Quellcode, Dokumentation, ausgewählte Unternehmensdaten und Werkzeug- beziehungsweise Fehlerergebnisse gehören. Der Umfang richtet sich nach dem Agenten und der konkreten Aufgabe. Dies ist eine geschäftliche API-Nutzung und kein Versand in ein privates Claude-Chatkonto.

Anbieter ist für Kunden im EWR nach den Commercial Terms Anthropic Ireland, Limited; Unternehmen der Anthropic-Gruppe und Unterauftragnehmer können beteiligt sein. Für Kundeninhalte gelten insbesondere die Anthropic-Vereinbarung zur Auftragsverarbeitung und die gewählten Produktbedingungen.

Anthropic verwendet Inhalte kommerzieller API-Kunden nach eigener Darstellung standardmäßig nicht zum Modelltraining. Nach den Angaben zur Aufbewahrung werden API-Eingaben und -Ausgaben grundsätzlich innerhalb von 30 Tagen gelöscht. Ausnahmen gelten unter anderem für abweichende Vereinbarungen, bestimmte Funktionen beziehungsweise Modelle, Sicherheitsprüfungen und gesetzliche Pflichten. Eine gegebenenfalls vereinbarte Zero-Data-Retention-Regelung muss die konkret genutzten Funktionen und Modelle abdecken; sie folgt nicht allein aus der Wahl von Claude.

12. DISI mit lokal betriebenen Modellen

Bei einer ausschließlich lokalen Modellverarbeitung laufen die Modelle auf der von Doards beziehungsweise dem betreibenden Unternehmen bereitgestellten Infrastruktur. Die Modellanfrage wird dabei nicht an OpenAI, Anthropic oder den Hersteller der Modellgewichte gesendet. „Lokal“ bezeichnet den betriebenen Modellserver; dieser muss sich nicht auf Ihrem eigenen Endgerät befinden. Die Übertragung von der Doards-Anwendung zum DISI-Dienst und die dortige Speicherung bleiben hiervon unberührt.

In der Projektkonfiguration sind unter anderem Qwen3.5-Modelle mit 9B oder 27B Parametern, Qwen3.6- und Qwen3.8-Varianten mit 27B Parametern sowie Devstral Small 2 mit 24B Parametern vorgesehen. Es können angepasste beziehungsweise quantisierte GGUF-Varianten und weitere kompatible Modelle über llama.cpp eingesetzt werden. Die tatsächlich geladene Modelldatei hängt von der Bereitstellung ab; eine Modellbezeichnung in der Auswahl allein ist kein Nachweis für eine bestimmte Datei. Auch ein lokales Modell, dessen Name auf eine Claude-basierte Destillation verweist, nutzt dadurch nicht automatisch die Anthropic-API.

Ausweichverarbeitung: Für bestimmte DISI-Abläufe kann bei einem Fehler des lokalen Modells ein erneuter Aufruf über OpenAI erfolgen, sofern diese Funktion eingerichtet ist. Dann verlassen die betreffenden Modellinhalte die lokale Infrastruktur, auch wenn zunächst eine lokale Option gewählt wurde. Eine ausschließlich lokale Verarbeitung setzt voraus, dass alle beteiligten Modellschritte lokal betrieben werden und kein externer Ausweichdienst aktiv ist. Docer sperrt in seinem Dokumentationsablauf den automatischen OpenAI-Fallback. Ein ausdrücklich extern konfiguriertes Docer-Modell ist keine ausschließlich lokale Bereitstellung.

Der lokale Betrieb verhindert keine Verarbeitung personenbezogener Daten: Eingaben, Antworten, Code und Diagnoseinformationen können weiterhin in der Doards- und DISI-Infrastruktur gespeichert werden. Eine Modellanfrage ist zudem keine automatische Freigabe zum Nachtrainieren eines Modells.

13. Speicherung, Empfänger und internationale Übermittlungen

Gesprächsnachrichten und die Bearbeitung von DISI-Anfragen können in der Anwendung als Nachrichten und Aktivitäten gespeichert werden. Der DISI-Dienst kann außerdem Arbeitsdateien, hochgeladene Zieldateien, gekürzte Gesprächszusammenfassungen, Auftragsstände sowie technische Protokolle führen. Je nach Protokollierung enthalten diese auch Eingabetexte, Antworten, Quellcode, Werkzeugergebnisse oder Fehlermeldungen und nicht ausschließlich anonyme Messwerte. Dies dient der Fortsetzung von Gesprächen, der Bearbeitung von Aufträgen, der Fehleranalyse und dem Nachweis von Vorgängen.

Für Docer werden die Inhalte der Modellprompts und -antworten im speziellen Modell-Trace ausgeblendet. Daraus folgt nicht, dass eine Frage oder Antwort an keiner anderen Stelle gespeichert wird: Der Chat, Aktivitäten und Betriebsprotokolle können weiterhin entsprechende Inhalte enthalten. Auch das Ende einer Modellanfrage oder das Ablaufen eines technischen Kontextfensters bedeutet nicht, dass alle Nachrichten, Protokolle, Uploads und Sicherungskopien bereits gelöscht sind.

Die Speicherdauer richtet sich nach dem jeweiligen Verarbeitungszweck, dem Vertragsverhältnis, dem zur Fehleranalyse und Absicherung erforderlichen Zeitraum und gesetzlichen Aufbewahrungs- beziehungsweise Nachweispflichten. Für Daten, die wir im Auftrag verarbeiten, gelten zusätzlich die Weisungen und vereinbarten Löschregeln des verantwortlichen Unternehmens. Nach Wegfall des Zwecks sind Daten zu löschen, soweit keine vorrangige Rechtsgrundlage ihre weitere Aufbewahrung erfordert. Die Speicherregeln eines Modellanbieters ersetzen nicht die Löschregeln für die eigene Doards- und DISI-Infrastruktur. Konkrete Angaben zu einer eingesetzten Bereitstellung und Löschanfragen erhalten Sie über die oben genannten Kontaktdaten beziehungsweise das für Ihr Konto verantwortliche Unternehmen.

Empfänger können die mit Betrieb und Support befassten Personen, das jeweils verantwortliche Unternehmen sowie eingesetzte Hosting-, Kommunikations-, Analyse- und Modellanbieter sein. Bei externen Anbietern kann eine Verarbeitung außerhalb des EWR, insbesondere in den USA, stattfinden. Eine europäische Vertragsgesellschaft bedeutet nicht automatisch eine ausschließlich europäische Verarbeitung.

Für solche Übermittlungen müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein. Je nach Empfänger und tatsächlich geltender Vereinbarung können insbesondere ein anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln und erforderliche ergänzende Maßnahmen einschlägig sein. Die verlinkten Datenschutz- und Auftragsverarbeitungsbedingungen der Anbieter enthalten hierzu weitere Angaben. Informationen zu den für eine konkrete Verarbeitung geltenden Garantien können Sie bei uns anfordern.

14. Ihre Rechte und Kontakt

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit nach Art. 15 bis 20 DSGVO. Sie können eine erteilte Einwilligung jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

14.1 Auskunftsrecht

Sie können nach Art. 15 DSGVO eine Bestätigung darüber verlangen, ob wir Sie betreffende personenbezogene Daten verarbeiten. Ist dies der Fall, haben Sie ein Recht auf Auskunft über diese Daten und die gesetzlich vorgesehenen weiteren Informationen zur Verarbeitung.

14.2 Recht auf Berichtigung

Sie können nach Art. 16 DSGVO die Berichtigung unrichtiger personenbezogener Daten und, unter Berücksichtigung der Verarbeitungszwecke, die Vervollständigung unvollständiger Angaben verlangen.

14.3 Recht auf Löschung

Sie können nach Art. 17 DSGVO die Löschung Ihrer personenbezogenen Daten verlangen, wenn die gesetzlichen Voraussetzungen vorliegen, etwa wenn die Daten für die verfolgten Zwecke nicht mehr erforderlich sind. Gesetzliche Aufbewahrungspflichten und andere gesetzliche Ausnahmen können einer Löschung entgegenstehen. Ein laufender Vertrag schließt ein Löschungsrecht nicht pauschal aus; entscheidend ist, ob die konkreten Daten weiterhin auf einer gültigen Grundlage benötigt werden.

14.4 Recht auf Einschränkung der Verarbeitung

Sie können nach Art. 18 DSGVO eine Einschränkung verlangen, wenn eine der gesetzlichen Voraussetzungen erfüllt ist, beispielsweise während der Prüfung bestrittener Datenrichtigkeit oder eines Widerspruchs. Das Recht kann auch bestehen, wenn eine Verarbeitung unrechtmäßig ist und Sie anstelle der Löschung eine Einschränkung verlangen.

14.5 Recht auf Datenübertragbarkeit

Soweit die Verarbeitung auf Ihrer Einwilligung oder einem Vertrag beruht und automatisiert erfolgt, können Sie nach Art. 20 DSGVO die von Ihnen bereitgestellten personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Unter den gesetzlichen Voraussetzungen können Sie auch die direkte Übermittlung an einen anderen Verantwortlichen verlangen, soweit dies technisch machbar ist.

14.6 Widerspruchsrecht

Bei einem Widerspruch aus Gründen Ihrer besonderen Situation gegen eine Verarbeitung nach Art. 6 Abs. 1 lit. e oder f DSGVO verarbeiten wir die betroffenen Daten nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für Direktwerbung gilt das jederzeitige Widerspruchsrecht nach Art. 21 DSGVO.

14.7 Widerruf und Vertragsverhältnis

Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Verarbeitung vor dem Widerruf bleibt davon unberührt. Der Widerruf einer Marketing-Einwilligung oder ein Widerspruch gegen Werbung setzt keine Kündigung Ihres Softwarevertrags voraus. Soweit Daten zur Vertragserfüllung oder wegen gesetzlicher Pflichten weiterhin benötigt werden, prüfen wir eine Löschung im Rahmen dieser Voraussetzungen.

14.8 Beschwerderecht und Ausübung Ihrer Rechte

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere an Ihrem Aufenthaltsort, Arbeitsplatz oder am Ort des vermuteten Verstoßes. Für datenschutzrechtliche Anliegen erreichen Sie uns unter office@doards.com. Betrifft Ihre Anfrage Daten, die Ihr Arbeitgeber oder ein anderes Unternehmen in Doards verarbeitet, wenden Sie sich bitte auch an dieses verantwortliche Unternehmen; wir unterstützen dessen Bearbeitung im Rahmen unserer Aufgaben.