Datenschutzerklärung

Structify Solutions UG (haftungsbeschränkt)
Version 2.0 · gültig ab 01.11.2026

Diese Datenschutzerklärung gilt für alle Produkte von Structify und für unsere Website. Sie besteht aus einem Grundteil, der für alle gilt, und aus Modulen für einzelne Produkte und Anlässe:

Ergänzend beschreibt die KI-Transparenzerklärung, wie wir künstliche Intelligenz einsetzen.

Grundteil

G1 Verantwortlicher und Kontakt

Structify Solutions UG (haftungsbeschränkt)
Gartenstraße 8, 92348 Berg, Deutschland
vertreten durch die Geschäftsführer Tim Rosen und Felix König
Amtsgericht Nürnberg, HRB 46012

Datenschutzanfragen: datenschutz@structify.solutions
Allgemeine Anfragen: info@structify.solutions · Support: support@structify.solutions

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil hierzu keine gesetzliche Pflicht besteht (Art. 37 DSGVO, § 38 BDSG).

G2 Zwei Rollen: Wer ist für Ihre Daten verantwortlich?

Diese Erklärung informiert vollständig über die zweite Zeile. Für die erste Zeile beschreibt sie, was technisch geschieht. Haben Sie als Projektbeteiligter Fragen zu Inhalten, die ein Kunde über Structify verarbeitet, wenden Sie sich bitte an diesen Kunden; erreicht uns Ihre Anfrage, leiten wir sie weiter und unterstützen den Kunden.

G3 Kunden, Verträge, Rechnungen und Zahlungen

Daten: Firma, Anschrift, Ansprechpersonen, Umsatzsteuer-Identifikationsnummer, gebuchte Nutzerplätze, Module und Laufzeiten, Rechnungs-, Zahlungs- und Buchungsdaten, Zustimmungen zu Vertragsdokumenten mit Zeitpunkt und Version.

Zwecke und Rechtsgrundlagen: Abschluss und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO); Erfüllung gesetzlicher Pflichten, insbesondere Buchführung, Aufbewahrung und Prüfung der Umsatzsteuer-Identifikationsnummer (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB, § 14 UStG); Nachweis der Einbeziehung der Vertragsdokumente (Art. 6 Abs. 1 lit. f DSGVO).

Zahlung: Zahlungen wickelt Stripe (Stripe Payments Europe, Ltd., Irland) als eigenständig Verantwortlicher ab. Kartendaten geben Sie in einer Bezahlumgebung von Stripe ein; wir erhalten keine vollständigen Kartendaten, sondern nur Angaben zum Zahlungsstatus. Es gelten ergänzend die Datenschutzhinweise von Stripe.

Empfänger: Für Buchhaltung und Rechnungswesen nutzen wir die Buchhaltungssoftware Lexware (Haufe-Lexware GmbH & Co. KG, Deutschland) als Auftragsverarbeiter. Abrechnungsunterlagen erhält unsere steuerliche Beratung als Berufsgeheimnisträger.

G4 Vermittlung durch Vertriebspartner

Wir arbeiten mit Vertriebspartnern zusammen, die uns Unternehmen vermitteln und dafür eine Provision erhalten; Ihr Preis ändert sich dadurch nicht. Die aktuelle Liste unserer Vertriebspartner steht unter structify.solutions/rechtliches.

Zuordnung: Geben Sie bei der Bestellung den Partnercode eines Vertriebspartners an (über einen Partner-Link oder im Feld „Partnercode“), nennen Sie uns einen Vertriebspartner oder hat ein Vertriebspartner Ihr Unternehmen zuvor als Interessenten gemeldet, ordnen wir Ihren Vertrag diesem Vertriebspartner zu, sofern dies nach unserem Vertrag mit ihm nicht ausgeschlossen ist (etwa weil Ihr Unternehmen bereits Kunde ist oder in den letzten zwölf Monaten war, mit uns schon in individuellem Kontakt stand oder einem anderen Vertriebspartner zugeordnet ist).

Daten: Partnercode, Firma, Buchungsdatum, Art und Anzahl der gebuchten Nutzerplätze, Module und Pakete mit Abrechnungs- und Provisionszeiträumen, vereinnahmtes Nettoentgelt einschließlich späterer Berichtigungen. Hat der Vertriebspartner Ihr Unternehmen gemeldet, stammen die Angaben der Meldung von ihm (Modul M6). Hat er Sie beraten, verarbeiten wir seinen Nachweis, dass er Ihnen seine Stellung als Vertriebspartner und seine Provision vorher offengelegt hat.

Empfänger: Der Vertriebspartner erhält die genannten Abrechnungsangaben, aber keine Namen oder Kontaktdaten Ihrer Nutzer und keine Inhalte aus den Produkten. Scheidet eine Zuordnung aus, teilen wir ihm nur den Grund und auf Verlangen Datum und Art des maßgeblichen Vertrags oder Kontakts mit. Widersprüche und Anfragen, die den Vertriebspartner betreffen, leiten wir an ihn weiter. Der Vertriebspartner ist eigenständig Verantwortlicher und uns gegenüber zur Vertraulichkeit verpflichtet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die korrekte Zuordnung und nachvollziehbare Abrechnung der Provision und die Abwehr unberechtigter Ansprüche.

G5 Support und Kommunikation

Support: Kontaktieren Sie uns per E-Mail oder über die Anwendung, verarbeiten wir Ihre Angaben zur Bearbeitung (Art. 6 Abs. 1 lit. b DSGVO, im Übrigen lit. f). Unsere E-Mail-Postfächer betreibt die IONOS SE, Montabaur, Deutschland, als Auftragsverarbeiter.

Hilfe-Sprachassistent: Im Hilfebereich der Anwendung können Sie freiwillig per Sprache mit unserem Hilfe-Assistenten (Support-Assistent) sprechen. Er ist ein KI-System, kein Mensch. Wir betreiben ihn zu unserem eigenen Zweck, Ihnen bei Fragen zur Nutzung von Structify zu helfen; für diese Verarbeitung sind wir Verantwortlicher, auch wenn Sie Structify für Ihr Unternehmen nutzen. Während des Gesprächs werden Ihre Sprache und die Gesprächsinhalte an Retell AI, Inc., USA (Sprachdialog-Infrastruktur), und an OpenAI, L.L.C., USA (Vertragspartner im EWR: OpenAI Ireland Ltd.; Sprachdialog), übermittelt, die dabei als unsere Auftragsverarbeiter handeln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen lit. f. Die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln, Modul 2 (G7). Nutzen Sie den Assistenten nicht, werden keine Sprachdaten an diese Anbieter übermittelt.

System-E-Mails: Einladungen, Anmelde- und Sicherheitshinweise, Benachrichtigungen und Rechnungen versenden wir über Plus Five Five, Inc. („Resend“), USA, als Auftragsverarbeiter (Drittland: siehe G7).

Terminbuchung: Buchen Sie ein Gespräch mit uns, nutzen wir den Buchungsdienst Cal.com, Inc., USA. Die Termindaten (Name, E-Mail-Adresse, Zeitpunkt, Ihre Angaben zum Anlass) werden dabei an Cal.com übermittelt. Der Buchungskalender wird erst geladen, wenn Sie ihn aufrufen und zustimmen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); die Verarbeitung der Termindaten beruht auf Art. 6 Abs. 1 lit. b DSGVO.

G6 Empfänger

Innerhalb von Structify erhalten nur die Personen Zugriff, die ihn für ihre Aufgaben benötigen. Externe Empfänger sind:

Auftragsverarbeiter für unsere eigenen Verarbeitungen (Art. 28 DSGVO): Supabase Pte. Ltd. (Singapur; Datenbank und Hosting in Frankfurt am Main), Vercel Inc. (USA; Auslieferung von Website und Webanwendung), Hetzner Online GmbH (Deutschland; verschlüsselte Sicherungskopien), IONOS SE (Deutschland; E-Mail-Postfächer), Plus Five Five, Inc. („Resend“, USA; System-E-Mails), Cal.com, Inc. (USA; Terminbuchung), Retell AI, Inc. und OpenAI, L.L.C. (USA; Hilfe-Sprachassistent, G5), Haufe-Lexware GmbH & Co. KG (Deutschland; Buchhaltung), für die Ansprache potenzieller Kunden, Partner und Investoren Apify Technologies s.r.o. (Tschechien), Anthropic (USA) und Instantly (USA, einschließlich der Versandpostfächer „Instantly AirMail“) (M5).

Unterauftragsverarbeiter für die Inhalte unserer Kunden: die im Auftragsverarbeitungsvertrag (Anlage 3) genannten Dienstleister. Die Liste ist öffentlich unter structify.solutions/rechtliches/avv abrufbar und wird dort aktuell gehalten.

Eigenständig Verantwortliche: Stripe (Zahlungen), die OpenStreetMap Foundation (Kartenausschnitte, M1.6), Vertriebspartner (G4), unsere steuerliche Beratung, Betreiber von App-Stores (Auslieferung der Apps), Behörden und Gerichte, soweit wir gesetzlich zur Herausgabe verpflichtet sind.

Andere Empfänger erhalten Ihre Daten nur, wenn Sie oder der Kunde dies veranlassen, etwa durch Einladung von Projektbeteiligten oder den Versand von Dokumenten aus der Anwendung.

G7 Übermittlung in Drittländer

Hosting und Speicherung in Deutschland (EU). Für KI-Auswertungen (Sprache, Text, Bilder) nutzen wir US-Anbieter (OpenAI, Anthropic; für den Sprachassistenten Retell AI) auf Grundlage von Auftragsverarbeitungsverträgen und EU-Standardvertragsklauseln.

Im Einzelnen:

• Speicherort: Die Datenbank und die Dateiablagen liegen im Rechenzentrum Frankfurt am Main, die verschlüsselten Sicherungskopien im Rechenzentrum Falkenstein.
• Weitere Dienstleister mit Sitz außerhalb der EU: Neben den KI-Anbietern setzen wir Dienstleister mit Sitz in den USA für die Auslieferung der Webanwendung und der Website (Vercel), den E-Mail-Versand (Resend), den Hilfe-Sprachassistenten (Retell AI, G5), die Terminbuchung (Cal.com), die Rechenleistung für 3D-Rundgänge (RunPod, Verarbeitung in einer EU-Region) und den E-Mail-Versand in der Geschäftsanbahnung (Instantly, M5) ein. Der Vertragspartner unseres Datenbankdienstes, Supabase Pte. Ltd., sitzt in Singapur; ein Support- oder Konzernzugriff aus Singapur oder den USA ist nicht ausgeschlossen.
• Grundlage: Wir stützen alle diese Übermittlungen auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914), und zwar:
  • auf Modul 2 (Übermittlung vom Verantwortlichen an einen Auftragsverarbeiter), soweit wir Daten für eigene Zwecke verarbeiten, etwa beim Betrieb unserer Website (M4), bei eingebundenen Inhalten (M1.6), bei Support, Hilfe-Sprachassistent und Terminbuchung (G5) und bei der Ansprache potenzieller Kunden, Partner und Investoren (M5);
  • auf Modul 3 (Übermittlung von einem Auftragsverarbeiter an einen Unterauftragsverarbeiter), soweit wir Inhalte im Auftrag unserer Kunden verarbeiten; diese Unterauftragsverarbeiter nennt Anlage 3 des Auftragsverarbeitungsvertrags.
• Abschätzung der Übermittlungsfolgen: Für jeden Anbieter haben wir die Folgen der Übermittlung abgeschätzt und ergänzende Maßnahmen festgelegt, etwa Verschlüsselung, Datenminimierung, begrenzte Speicherdauer und den Ausschluss des KI-Trainings.
• Data Privacy Framework: Ist ein Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert, ziehen wir dies ergänzend heran; derzeit betrifft das Vercel, Resend, Atlassian (Loom) und, soweit wir Dienste von Google einsetzen, Google. Grundlage bleiben in jedem Fall die Standardvertragsklauseln und unsere Abschätzung der Übermittlungsfolgen. Für Singapur besteht kein Angemessenheitsbeschluss für kommerzielle Übermittlungen.
• Kopie: Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an datenschutz@structify.solutions; sie sind außerdem auf der Website der Europäischen Kommission veröffentlicht.

Eine Übermittlung in andere Drittländer findet nur statt, soweit diese Erklärung sie beschreibt oder das Gesetz sie erlaubt.

G8 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den Zweck erforderlich ist oder das Gesetz es verlangt.

G9 Unsere eigene Nutzung von Daten

Kein KI-Training ohne Zustimmung. Wir verwenden Inhalte unserer Kunden nicht zum Training von KI-Modellen, es sei denn, die Geschäftsführung des Kunden hat dies für ihre Organisation ausdrücklich eingeschaltet. Diese Einstellung ist standardmäßig aus. Solange wir sie nicht anbieten, findet kein Training statt. Unsere KI-Anbieter dürfen Inhalte vertraglich nicht zum Training verwenden.

Anonymisierte Nutzungsstatistik. Wir erfassen, welche Funktionen wann und wie genutzt werden (Nutzungsereignisse mit Zeitstempel und technischen Kennzahlen wie Ladezeiten oder Fehlercodes), aber keine Inhalte. Diese Angaben verdichten wir zu anonymen Statistiken, um die Produkte zu verbessern, den Betrieb zu sichern, Kapazitäten zu planen und unsere Leistungsangaben zu belegen. Die Rohdaten löschen wir nach der Verdichtung, spätestens nach 90 Tagen. Soweit Rohdaten Inhalte unserer Kunden betreffen, erfolgt die Verdichtung auf Weisung des Kunden nach dem Auftragsverarbeitungsvertrag; soweit es um Ihre Nutzungsdaten als Nutzer geht, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Verbesserung und am sicheren Betrieb der Produkte). Sie können dem nach G10 widersprechen.

Wir setzen keine Werbe-Tracker, keine Analysedienste zu Werbezwecken und keine Werbung in unseren Produkten ein.

G10 Ihre Rechte

Sie haben das Recht auf

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

In der Anwendung finden Sie unter Einstellungen → Datenschutz & DSGVO einen Datenexport und die Beantragung der Kontolöschung. Im Übrigen genügt eine formlose Nachricht an datenschutz@structify.solutions.

Widerspruchsrecht (Art. 21 DSGVO). Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient Rechtsansprüchen. Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; wir nutzen Ihre Daten dann nicht mehr für diesen Zweck.

G11 Beschwerde bei einer Aufsichtsbehörde

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Land, in dem Sie leben oder arbeiten. Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, Deutschland.

Weitere Behörden in unserem Vertriebsgebiet:

• Österreich: Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.
• Liechtenstein: Datenschutzstelle Liechtenstein, Kirchstrasse 8, Postfach 684, 9490 Vaduz.
• Schweiz: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern.

Hinweise für Personen in der Schweiz. Soweit das Schweizer Datenschutzgesetz (DSG) anwendbar ist, gelten die Angaben dieser Erklärung entsprechend; Ihre Rechte ergeben sich dann aus Art. 25 ff. DSG. Deutschland und die EU bieten nach Schweizer Recht einen angemessenen Datenschutz. Für Übermittlungen in die USA und nach Singapur nutzen wir die Standardvertragsklauseln mit den Anpassungen für die Schweiz. Einen Vertreter in der Schweiz (Art. 14 DSG) haben wir nicht bestellt: Wir verarbeiten Daten von Personen in der Schweiz weder regelmäßig in großem Umfang noch mit einem hohen Risiko für die betroffenen Personen. Wir prüfen dies erneut, wenn sich unsere Tätigkeit in der Schweiz ausweitet.

G12 Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Sie sind gesetzlich nicht verpflichtet, uns Daten bereitzustellen. Ohne Konto-, Firmen- und Abrechnungsangaben können wir jedoch keinen Vertrag schließen und keinen Zugang einrichten.

Eine ausschließlich automatisierte Entscheidung einschließlich Profiling mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 DSGVO) findet nicht statt. Unsere KI-Funktionen erzeugen Vorschläge; die Entscheidung trifft ein Mensch. Ausgenommen sind nur automatische Benachrichtigungen in Structify Operate: Sie werden nach festen Regeln ausgelöst, etwa wenn ein erfasster Messwert einen eingestellten Grenzwert überschreitet oder eine Störung über eine festgelegte Zeit unbearbeitet bleibt, und nicht durch eine Entscheidung der KI; die KI formuliert dabei nur Erläuterungen und Nachrichtentexte. Diese Benachrichtigungen betreffen den Betrieb der Anlagen, nicht Entscheidungen über Personen, und haben keine rechtliche oder ähnlich erhebliche Wirkung im Sinne von Art. 22 DSGVO (Einzelheiten in M3.1).

G13 Datensicherheit

Wir schützen Daten nach dem Stand der Technik, insbesondere durch Speicherung in Deutschland, Verschlüsselung bei Übertragung und Speicherung, strikte Trennung der Kundendaten auf Datenbankebene, verpflichtende Zwei-Faktor-Authentifizierung für Nutzerkonten (ausgenommen sind Test- und Demozugänge bis zum Testende, ein Prüfzugang mit fiktiven Daten für die App-Store-Prüfung sowie die zwei protokollierten Konten der Plattformadministration), Protokollierung sicherheitsrelevanter Vorgänge und ein gestuftes Sicherungsverfahren: Die Datenbank wird stündlich gesichert, Sicherungsstände werden bis zu sechs Monate vorgehalten, gelöschte Dateien 90 Tage; wiederhergestellt wird auf einen solchen Sicherungsstand, nicht auf einen beliebigen Zeitpunkt. Zusätzlich sichert unser Hosting-Anbieter die Datenbank täglich und hält diese Sicherungen sieben Tage vor. Unsere eigenen Sicherungskopien werden vor der Ablage verschlüsselt und in einem zweiten Rechenzentrum in Falkenstein gespeichert; die Schlüssel verbleiben bei uns. Während eines Sicherungslaufs verarbeitet ein von uns verwalteter Server beim selben Anbieter die Daten kurzzeitig unverschlüsselt, ausschließlich im Arbeitsspeicher. Wir prüfen die Sicherungen wöchentlich automatisch und üben die Wiederherstellung vierteljährlich. Löschungen wirken in den Sicherungen mit deren Auslaufen, spätestens nach sechs Monaten. Einzelheiten stehen in Anlage 2 des Auftragsverarbeitungsvertrags.

G14 Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Produkte, Dienstleister oder die Rechtslage ändern. Sie ist eine Information und bedarf keiner Zustimmung. Jede Fassung trägt die gemeinsame Versionsnummer der Rechtstexte; frühere Fassungen finden Sie unter structify.solutions/rechtliches. Über wesentliche Änderungen informieren wir in der Anwendung.

M1 Structify Web und Structify Desktop

M1.1 Konto und Anmeldung

Daten: Name, dienstliche E-Mail-Adresse, Organisation, Rolle, Passwort (nur als Hashwert), Angaben zum zweiten Faktor, Zeitpunkte und Umstände der Anmeldung. Laden Sie Ihr Unternehmen ein, erhalten wir Ihren Namen und Ihre E-Mail-Adresse zunächst von ihm (Art. 14 DSGVO).

Zwecke und Rechtsgrundlagen: Bereitstellung des Zugangs und der Funktionen (Art. 6 Abs. 1 lit. b DSGVO); sind Sie nicht selbst Vertragspartner, sondern Nutzer eines Kunden, ist Rechtsgrundlage unser berechtigtes Interesse, die Plattform dem Kunden und seinen Nutzern bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO). Die Zwei-Faktor-Authentifizierung dient der Sicherheit Ihres Kontos (Art. 6 Abs. 1 lit. b und f DSGVO).

Zustimmung zu Rechtstexten: Wir speichern, welche Version der Nutzungsbedingungen und, bei vertretungsberechtigten Personen, der AGB Sie wann bestätigt haben (Art. 6 Abs. 1 lit. f DSGVO: Nachweis).

M1.3 Server- und Sicherheitsprotokolle

Beim Zugriff verarbeiten wir technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Ressource, technische Fehlermeldungen) für den sicheren Betrieb, die Fehleranalyse und die Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Server-Protokolle mit IP-Adresse speichern wir 30 Tage. Sicherheitsereignisse, etwa Anmeldungen, fehlgeschlagene Anmeldeversuche, Änderungen am zweiten Faktor und das Koppeln von Geräten, protokollieren wir einschließlich IP-Adresse und Browser- bzw. App-Kennung 12 Monate lang, damit wir Sicherheitsvorfälle aufklären können.

M1.4 Cookies und Speicherung im Browser

Wir verwenden nur technisch notwendige Cookies und vergleichbare Speicher im Browser (etwa für die Sitzung und Ihre Einstellungen). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG und für die weitere Verarbeitung Art. 6 Abs. 1 lit. b bzw. f DSGVO. Inhalte Dritter, die nicht unbedingt erforderlich sind, laden wir erst nach Ihrer Zustimmung (M1.6).

Schriften: Die Schriften der Anwendung liefern wir von unseren eigenen Servern aus; beim Laden werden keine Daten an Schriftanbieter übermittelt.

M1.5 KI-Funktionen

Die Anwendung enthält KI-Funktionen, etwa den Assistenten „KAI“, die Transkription von Sprachaufnahmen, die Auswertung von Fotos und Dokumenten und Vorschläge für Protokolle, Tickets und Berichte. Nutzen Sie diese Funktionen, werden die dafür nötigen Inhalte (Texte, Aufnahmen, Fotos, Dokumente, Projektangaben) an folgende Anbieter übermittelt und dort verarbeitet:

• Anthropic PBC, USA (Vertragspartner im EWR: Anthropic Ireland, Limited): Textverständnis, Bild- und Dokumentauswertung, Assistent „KAI“;
• OpenAI, L.L.C., USA (Vertragspartner im EWR: OpenAI Ireland Ltd.): Transkription von Sprachaufnahmen.

Betreffen die Inhalte Daten eines Kunden, verarbeiten wir sie als Auftragsverarbeiter, die Anbieter als Unterauftragsverarbeiter. Den Hilfe-Sprachassistenten betreiben wir in eigener Verantwortung (G5). Übermittlung in die USA: siehe G7. Die Anbieter dürfen Inhalte vertraglich nicht zum Training verwenden. Analysefotos der KI-Foto-Auswertung löschen wir nach 90 Tagen. KI-Ergebnisse sind gekennzeichnet. Mehr dazu in der KI-Transparenzerklärung.

Hinweis vor der ersten Übermittlung: Bevor Inhalte von Ihnen erstmals an KI-Dienste übermittelt werden, zeigen wir Ihnen einmalig einen Hinweis, einheitlich in Structify Web, Structify Desktop, Structify Mobile und Structify Operate. Mit einem Häkchen bestätigen Sie, dass Sie die Hinweise zur Übermittlung an KI-Dienste gelesen und zur Kenntnis genommen haben, und klicken auf „Zustimmen“. Damit bestätigen Sie die Kenntnisnahme. Rechtsgrundlage der Übermittlung ist der Auftragsverarbeitungsvertrag Ihres Unternehmens, keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Wir speichern Ihre Bestätigung mit Zeitpunkt und Version (Art. 6 Abs. 1 lit. f DSGVO: Nachweis). Sie können sie in den Einstellungen widerrufen; vor der nächsten Übermittlung erscheint der Hinweis dann erneut.

M1.6 Eingebundene Inhalte

• Anleitungsvideos (Loom): Einzelne Anleitungsvideos stammen vom Dienst Loom (Loom, Inc., ein Unternehmen der Atlassian-Gruppe, USA). Video und Vorschaubild werden erst geladen, wenn Sie auf „Abspielen“ klicken; vorher wird nichts von Loom abgerufen. Mit dem Klick werden Ihre IP-Adresse und technische Daten an Loom übermittelt (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln, Modul 2 (G7); Atlassian ist zusätzlich nach dem Data Privacy Framework zertifiziert.
• Kartenausschnitt (OpenStreetMap): Enthält ein Foto in der Fotogalerie eines Projekts eine Standortangabe, können Sie sich den Aufnahmeort auf einer Karte von OpenStreetMap anzeigen lassen. Anbieter der Karte ist die OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich (eingetragen in England und Wales unter der Nummer 05912761). Die Karte wird erst geladen, wenn Sie im Reiter „Standort“ auf „Karte laden“ klicken; vorher wird nichts von OpenStreetMap abgerufen. Mit dem Klick ruft Ihr Browser den Kartenausschnitt direkt bei der OpenStreetMap Foundation ab. Dabei werden Ihre IP-Adresse, technische Angaben zu Ihrem Browser und Gerät (Browsertyp, Betriebssystem, Datum und Uhrzeit des Abrufs) sowie die Koordinaten des angezeigten Kartenausschnitts übermittelt; aus diesen Koordinaten lässt sich der Aufnahmeort des Fotos ablesen. Zweck ist die Anzeige des Aufnahmeorts auf Ihren Wunsch. Rechtsgrundlage ist unser berechtigtes Interesse, Ihnen diese Kartenfunktion anzubieten (Art. 6 Abs. 1 lit. f DSGVO); da die Karte nur auf Ihren Klick geladen wird, bestimmen Sie selbst, ob diese Übermittlung stattfindet. Die eingebettete Karte setzt nach unserem Kenntnisstand keine Cookies und bindet keine Reichweitenmessung ein. Die OpenStreetMap Foundation verarbeitet die Daten in eigener Verantwortung nach ihrer Datenschutzerklärung (osmfoundation.org/wiki/Privacy_Policy); sie speichert die Zugriffsdaten nach eigenen Angaben nur vorübergehend und nennt dafür keine feste Frist. Kartenseite und Kartenkacheln liefert sie über ein weltweites Netz von Zwischenspeichern aus; welcher Server antwortet, hängt von Ihrem Standort und vom Zeitpunkt der Anfrage ab. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO; Durchführungsbeschluss (EU) 2021/1772, verlängert durch Durchführungsbeschluss (EU) 2025/2574 vom 19. Dezember 2025 bis zum 27. Dezember 2031); weitere Garantien sind daher nicht erforderlich.

M1.7 Weitere Funktionen

• Begehbare 3D-Rundgänge: Laden Sie ein Begehungsvideo für einen 3D-Rundgang hoch, wird es auf Rechnern der RunPod, Inc. (USA) in einer EU-Region verarbeitet; abgebildete Personen werden vorher automatisiert unkenntlich gemacht.
• Elektronische Signatur: Für die Unterzeichnung von Dokumenten, etwa Abnahmen, nutzen wir Oneflow AB (Schweden).
• Verbindungen zu Diensten Ihrer Wahl: Verbindet Ihr Unternehmen die Anwendung mit eigenen Konten bei anderen Diensten, etwa Kalendern oder Code- und Speicherablagen, übermitteln wir Daten auf Weisung des Kunden in dessen Konto. Für die Verarbeitung dort ist der jeweilige Dienst nach seinen Bedingungen verantwortlich.
• Datenexport: Download-Links für Exporte sind 48 Stunden gültig.

M1.8 Besonderheiten von Structify Desktop

Structify Desktop greift auf dieselbe Plattform zu wie Structify Web; es gelten M1.1 bis M1.7. Auf dem Gerät speichert die App Sitzungsdaten (die Anmeldung verschlüsselt im Schlüsselbund des Betriebssystems), Einstellungen sowie vorübergehend nicht abgeschlossene Eingaben wie Entwürfe und technische Angaben zu noch nicht abgeschlossenen Uploads. Die App selbst erstellt keine eigenen Absturzberichte; technische Fehlermeldungen verarbeiten wir wie in M1.3 beschrieben. Beziehen Sie die App über den Mac App Store, verarbeitet Apple Daten zum Bezug und zu Updates als eigenständig Verantwortlicher; wir erhalten von Apple nur zusammengefasste Statistiken.

M2 Structify Mobile

Für Structify Mobile gelten M1.1 bis M1.5 entsprechend. Ergänzend gilt:

M2.1 Berechtigungen auf Ihrem Gerät

Die App fragt eine Berechtigung erst an, wenn Sie die Funktion nutzen. Sie können Berechtigungen im Betriebssystem jederzeit widerrufen. Eine Standortermittlung im Hintergrund findet nicht statt; ohne Standortfreigabe werden Fotos ohne Ort gespeichert. Die Inhalte verarbeiten wir als Auftragsverarbeiter des Kunden (G2).

Foto-Metadaten: Fotos können vom Gerät gespeicherte Metadaten enthalten, etwa Aufnahmezeitpunkt, Gerätemodell oder Aufnahmeort. Diese werden derzeit mit dem Foto übertragen und gespeichert.

M2.2 Speicherung auf dem Gerät

Ohne Netzverbindung erfasste Daten hält die App bis zur Übertragung auf dem Gerät vor und löscht sie danach. Noch nicht übertragene Erfassungen bleiben auch nach einer Abmeldung erhalten und werden übertragen, wenn sich dieselbe Person wieder anmeldet. Zwischengespeicherte Projektangaben werden bei der Abmeldung gelöscht. Mit der Deinstallation werden alle lokalen Daten entfernt. Wir erstellen von lokalen Daten keine Sicherung.

M2.3 Hinweis vor der KI-Nutzung

Vor der ersten Sprachaufnahme, dem ersten Diktat und dem ersten Dokument-Upload zeigt die App den Hinweis auf die Übermittlung an die KI-Dienste (Anthropic, OpenAI) nach M1.5: Häkchen zur Kenntnisnahme und „Zustimmen“. Mit „Zustimmen“ bestätigen Sie die Kenntnisnahme. Rechtsgrundlage ist der Auftragsverarbeitungsvertrag Ihres Unternehmens, keine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Bestätigung wird mit Kontokennung, Zeitpunkt und Version gespeichert. Sie können sie unter Profil → Rechtliches & KI-Transparenz widerrufen; danach fragt die App vor der nächsten Übermittlung erneut. Aufnahmen, die beim Widerruf bereits auf die Übertragung warten, werden noch übertragen.

M2.4 Kopplung per QR-Code

Koppeln Sie die App mit einer angemeldeten Sitzung von Structify Web, erzeugt die App eine zufällige Gerätekennung. Wir speichern nur deren Hashwert, eine Plattformbezeichnung (etwa „Structify-App (iPhone/iPad)“) sowie die Zeitpunkte der Kopplung und der letzten Nutzung (Art. 6 Abs. 1 lit. b und f DSGVO). Der QR-Code zur Kopplung ist nur einmal einlösbar und 5 Minuten gültig. Eine Kopplung gilt höchstens 30 Tage, bei Test- und Demozugängen höchstens bis zum Ende der Testphase; nach Ablauf, Widerruf oder einem Passwortwechsel wird sie gelöscht.

M2.5 App-Stores

Die iOS-App verteilt Apple über den App Store, die Android-App stellen wir als Installationsdatei auf unserer Website bereit. Beim Bezug über den App Store verarbeitet Apple Daten als eigenständig Verantwortlicher; wir erhalten nur zusammengefasste Statistiken. Die App enthält keine Werbung und keine Werbe-Tracker.

M3 Structify Operate

M3.1 Betriebstagebuch

Daten: Konto- und Anmeldedaten der Nutzer (Name, E-Mail-Adresse, Rolle Admin, Anwender oder Zuschauer); Einträge im Betriebstagebuch mit Verfasser und Zeitstempel; Wartungen und Fristen; Störungen und Tickets; Einsatzstoffe und Lieferungen mit Lieferanten und deren Ansprechpersonen; Komponenten mit Einbau- und Austauschhistorie; Zählerstände; Fotos und Nachweise; Angaben zur Rufbereitschaft und zu Benachrichtigungseinstellungen (Name, E-Mail-Adresse, Telefonnummer, gewählte Benachrichtigungsarten).

Rollen: Die Inhalte des Betriebstagebuchs verarbeiten wir als Auftragsverarbeiter des Betreibers (G2); Konto-, Sicherheits- und Supportdaten als Verantwortlicher nach M1.1 und M1.3.

Zuschauer: Betreiber können Externe als Zuschauer mit nur lesendem Zugriff einladen. Wir erhalten dabei Name und E-Mail-Adresse vom Betreiber (Art. 14 DSGVO).

KI-Funktionen: Structify Operate enthält KI-Funktionen, etwa den Assistenten „KAI“, Auswertungen von Betriebs- und Messdaten, Berechnungen, Empfehlungen zu Wartung, Bestellungen und Verbrauch, Berichte, Texterkennung aus Fotos von Zählern, Lieferscheinen und Rechnungen sowie die Transkription von Sprachnotizen und Schichtübergaben. Nutzen Sie diese Funktionen, übermitteln wir die dafür nötigen Inhalte an Anthropic PBC, USA (Vertragspartner im EWR: Anthropic Ireland, Limited), für die Transkription an OpenAI, L.L.C., USA (Vertragspartner im EWR: OpenAI Ireland Ltd.). Es gilt M1.5 entsprechend, einschließlich des Hinweises vor der ersten Übermittlung. Structify Operate gibt keine Steuerbefehle an Anlagen aus; Empfehlungen werden erst umgesetzt, wenn eine berechtigte Person sie prüft und freigibt. Ausgenommen sind automatische Benachrichtigungen nach festen Regeln, etwa bei Überschreitung eingestellter Grenzwerte oder bei unbearbeiteten Störungen: Structify Operate legt dann ohne vorherige Freigabe Tickets an, kennzeichnet sie als „eskaliert“ und benachrichtigt die dafür eingetragenen Personen in der Anwendung und per E-Mail; die KI formuliert dabei nur Erläuterungen und Nachrichtentexte. Diese Benachrichtigungen betreffen den Betrieb der Anlagen, nicht Entscheidungen über Personen. Eine ausschließlich automatisierte Entscheidung (Art. 22 DSGVO) findet nicht statt.

Speicherort und Auslieferung: Structify Operate läuft auf unserer Plattform. Datenbank und Dateiablagen liegen im Rechenzentrum Frankfurt am Main, die verschlüsselten Sicherungskopien in Falkenstein (G7, G13). Die Anwendung wird unter operate.structify.solutions über Vercel ausgeliefert; Schriften liefern wir von unseren eigenen Servern aus.

M3.2 Informationsseite zu Structify Operate

Die Informationsseite zu Structify Operate enthält kein eigenes Kontaktformular. Für eine Demo verweist sie auf structify.solutions/demo; dort gelten M4.3 und M4.4. Schriften liefern wir von unseren eigenen Servern aus. Für den Besuch der Informationsseite gelten M4.1 und M4.2 entsprechend.

M4 Website structify.solutions

Dieses Modul gilt für unsere Website structify.solutions, die Informationsseite zu Structify Operate und die Landingpages, die auf diese Erklärung verweisen.

M4.1 Hosting und Server-Protokolle

Die Website wird von Vercel Inc., USA, betrieben und über den Standort Frankfurt am Main ausgeliefert. Beim Aufruf werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Zugriffsstatus, übertragene Datenmenge, Referrer und Browser-Kennung. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach 14 Tagen gelöscht. Die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln, Modul 2 (G7); Vercel ist zusätzlich nach dem Data Privacy Framework zertifiziert.

M4.2 Cookies

Wir verwenden auf der Website nur technisch notwendige Cookies, etwa um Ihre Entscheidung zu eingebundenen Inhalten zu speichern (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking-Cookies, Analysedienste und Werbe-Pixel setzen wir nicht ein.

M4.3 Kontakt- und Demo-Anfragen

Fragen Sie über die Website eine Demo an oder schreiben Sie uns, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Unternehmen, Ihre Nachricht und Angaben zu Ihrem Interesse), um Ihre Anfrage zu beantworten, eine Demo vorzubereiten und durchzuführen und Ihre Anfrage in unserem Kundenbeziehungssystem zu verwalten. Die Daten speichern wir in unserer Datenbank in Frankfurt am Main (Supabase). Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und lit. f (Verwaltung von Anfragen). Speicherdauer: siehe G8.

M4.4 Terminbuchung

Buchen Sie auf der Website einen Termin für eine Demo oder ein Gespräch, gilt G5 (Cal.com).

M4.6 KI-Sprachassistent „Kai“

Bieten wir auf der Website den KI-Sprachassistenten „Kai“ an, können Sie freiwillig ein Sprachgespräch mit ihm führen. Kai ist ein KI-System, kein Mensch. Das Gespräch beginnt erst nach Ihrer ausdrücklichen Einwilligung im Gesprächsfenster. Während des Gesprächs werden Ihre Sprachdaten in Echtzeit an ElevenLabs (Eleven Labs Inc., USA) übertragen und dort zur Gesprächsführung verarbeitet. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die Übermittlung in die USA stützen wir auf die Standardvertragsklauseln, Modul 2 (G7). Sie können das Gespräch jederzeit beenden; damit endet die Verarbeitung. Nutzen Sie den Assistenten nicht, werden keine Sprachdaten verarbeitet.

M4.7 KI-Bilder

Einige Bilder auf der Website sind mit künstlicher Intelligenz erzeugt. Welche das sind, erklärt die KI-Transparenzerklärung.

M5 Ansprache potenzieller Kunden, Partner und Investoren (Information nach Art. 14 DSGVO)

Dieses Modul gilt, wenn wir Sie von uns aus geschäftlich ansprechen, ohne dass Sie uns Ihre Daten selbst gegeben haben: als Ansprechperson eines Unternehmens, das plant, baut oder Anlagen betreibt und als Kunde oder Partner in Betracht kommt, oder als mögliche Investorin oder möglicher Investor. Meldet uns ein Vertriebspartner Ihre Kontaktdaten, gilt zusätzlich Modul M6.

Daten: Name, Anrede, Funktion, Unternehmen, dienstliche Kontaktdaten (E-Mail-Adresse, Telefonnummer, Geschäftsanschrift, Website), Adresse Ihres öffentlichen beruflichen Profils (etwa LinkedIn), Branche, Größe und Region Ihres Unternehmens, die Zuordnung zu einer Zielgruppe, das Ergebnis unserer Prüfung, ob eine Ansprache in Betracht kommt, sowie der Verlauf unseres Kontakts (Nachrichten, Antworten, Widersprüche, Termine, Notizen). Private Kontaktdaten verarbeiten wir nicht.

Quellen: öffentlich zugängliche Quellen, insbesondere Websites und Impressumsangaben von Unternehmen, Handelsregister, Berufs- und Branchenverzeichnisse und öffentlich einsehbare Profile im beruflichen Netzwerk LinkedIn; außerdem Begegnungen auf Veranstaltungen, Empfehlungen und unser eigener Kontakt mit Ihnen.

Zweck und Rechtsgrundlage: Wir stellen Ihnen unsere Produkte oder eine mögliche Zusammenarbeit oder Beteiligung vor, dokumentieren den Kontakt und vermeiden Mehrfachansprachen. Rechtsgrundlage ist unser berechtigtes Interesse an der Anbahnung von Geschäftsbeziehungen im geschäftlichen Verkehr (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47).

E-Mails nur mit Ihrer Einwilligung: Werbliche E-Mails senden wir Ihnen nur, wenn Sie vorher ausdrücklich eingewilligt haben (§ 7 Abs. 2 Nr. 2 UWG; in Österreich § 174 TKG 2021). Ohne Einwilligung sprechen wir Sie nicht per E-Mail an. Über berufliche Netzwerke wie LinkedIn oder telefonisch sprechen wir Sie nur an, soweit das Wettbewerbsrecht es erlaubt. Jede Nachricht enthält einen Hinweis, wie Sie weiteren Kontakt ablehnen können.

Dienstleister und Empfänger:

• Recherche: Für die automatisierte Zusammenstellung öffentlich zugänglicher Angaben, auch aus Datenbanken mit geschäftlichen Kontaktdaten, nutzen wir das Recherche-Werkzeug Apify (Apify Technologies s.r.o., Vodičkova 704/36, 110 00 Prag 1, Tschechien) ausschließlich über ein eigenes Konto von Structify, als Auftragsverarbeiter.
• KI-gestützte Vorauswahl: Um einzuschätzen, ob Ihr Unternehmen zu unserer Zielgruppe gehört, und um öffentliche Angaben zusammenzufassen, nutzen wir KI-Modelle von Anthropic PBC, USA (Vertragspartner im EWR: Anthropic Ireland, Limited), als Auftragsverarbeiter. Die Einschätzung ist ein Vorschlag; ob und wie wir Sie ansprechen, entscheidet ein Mensch.
• Speicherung: Die Daten speichern wir in unserem Akquise-System in unserer Datenbank in Frankfurt am Main (Supabase); Zugriff hat nur unsere Geschäftsführung.
• E-Mail-Kampagnen: Für E-Mail-Kampagnen haben wir die Plattform Instantly (Foo Monk, LLC dba Instantly.ai, 30 N. Gould St., Ste. R, Sheridan, WY 82801, USA) mit den darin enthaltenen Versandpostfächern „Instantly AirMail“ genutzt, die Instantly auf eigenen Servern betreibt; derzeit laufen dort keine Kampagnen. Soweit dort noch Kontaktdaten und der Verlauf früherer Kampagnen gespeichert sind, verarbeitet Instantly sie als unser Auftragsverarbeiter. Unsere übrigen Postfächer betreibt die IONOS SE (G5).
• LinkedIn: Nachrichten, die wir Ihnen über LinkedIn senden, verarbeitet die LinkedIn Ireland Unlimited Company, Dublin, Irland, als eigenständig Verantwortliche nach ihren eigenen Datenschutzbestimmungen.

Übermittlung in Drittländer: Anthropic und Instantly haben ihren Sitz in den USA; bei Supabase ist ein Support- oder Konzernzugriff aus Singapur oder den USA nicht ausgeschlossen. Wir stützen diese Übermittlungen auf die EU-Standardvertragsklauseln, Modul 2 (G7).

Speicherdauer: solange eine Geschäftsbeziehung oder Beteiligung realistisch in Betracht kommt, spätestens 24 Monate nach unserem letzten Kontakt; kommt ein Vertrag zustande, gelten die Fristen nach G8. Widersprechen Sie, speichern wir nur die Angaben, die nötig sind, um Ihren Widerspruch dauerhaft zu beachten (Sperrliste; Art. 6 Abs. 1 lit. c i. V. m. Art. 21 Abs. 3 DSGVO).

Zeitpunkt dieser Information: Wir weisen Sie spätestens bei unserer ersten Kontaktaufnahme auf diese Information hin.

Ihr Widerspruch: Sie können der Verarbeitung zur Direktwerbung jederzeit ohne Angabe von Gründen widersprechen, etwa mit einer kurzen Antwort auf unsere Nachricht oder per E-Mail an datenschutz@structify.solutions. Ihre weiteren Rechte stehen in G10 und G11.

M6 Kundenmeldungen durch Vertriebspartner (Information nach Art. 14 DSGVO)

Unsere Vertriebspartner können uns Unternehmen melden, die an Structify interessiert sind, und dabei Namen und Kontaktdaten von Ansprechpersonen übermitteln. Für jeden Vertriebspartner, der dies tut, gibt es einen eigenen Abschnitt, den der Vertriebspartner der gemeldeten Person übergibt. Die Liste der Vertriebspartner steht unter structify.solutions/rechtliches.

M6.1 Datenschutzhinweise für Kundenmeldungen – Aqua Consulting GmbH

Information nach Art. 14 DSGVO für Ansprechpersonen, deren Kontaktdaten uns die Aqua Consulting GmbH als Vertriebspartnerin übermittelt
Structify Solutions UG (haftungsbeschränkt) · Stand 01.11.2026

Sie erhalten diese Hinweise, weil die Aqua Consulting GmbH, Wien, uns Ihren Namen und Ihre dienstlichen Kontaktdaten als Ansprechperson eines Unternehmens übermittelt, das an unserer Software „Structify“ interessiert ist. Die Aqua Consulting GmbH ist unsere Vertriebspartnerin; sie ist für ihre eigene Verarbeitung Ihrer Daten selbst verantwortlich und informiert Sie darüber gesondert.

1. Verantwortlicher
Structify Solutions UG (haftungsbeschränkt), Gartenstraße 8, 92348 Berg b. Neumarkt i.d.OPf., Deutschland, vertreten durch die Geschäftsführer Tim Rosen und Felix König. Datenschutzanfragen richten Sie bitte an datenschutz@structify.solutions. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil hierzu keine gesetzliche Pflicht besteht.

2. Welche Daten wir verarbeiten und woher sie stammen
Wir verarbeiten die Angaben, die uns die Aqua Consulting GmbH, Taborstraße 38/9, 1020 Wien, Österreich, übermittelt (Art. 14 Abs. 2 lit. f DSGVO): Ihren Namen, Ihre Funktion, Ihre dienstliche E-Mail-Adresse und gegebenenfalls Telefonnummer, Firma, Anschrift, Land und Branche bzw. Bürotyp Ihres Unternehmens, den Anlass und Bedarf, die Art des Erstkontakts, ob die Aqua Consulting GmbH Ihr Unternehmen berät und Ihnen ihre Stellung als unsere Vertriebspartnerin offengelegt hat, das Datum, an dem Ihnen diese Hinweise übergeben wurden, sowie Datum, Kanal und Art Ihrer Einwilligung in eine Kontaktaufnahme durch uns.

3. Zwecke und Rechtsgrundlagen
a) Geschäftsanbahnung. Wir nehmen mit Ihnen Kontakt auf, stellen Ihnen unsere Software vor und unterbreiten Ihrem Unternehmen gegebenenfalls ein Angebot. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Anbahnung von Geschäftsbeziehungen mit Unternehmen. Per E-Mail oder Telefon sprechen wir Sie nur an, soweit Sie hierin eingewilligt haben (§ 7 UWG, § 174 öTKG 2021).
b) Zuordnung und Abrechnung mit unserer Vertriebspartnerin. Wir ordnen Ihr Unternehmen der Aqua Consulting GmbH zu, rechnen deren Provision ab und weisen die Zuordnung nach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer nachvollziehbaren Abrechnung mit unseren Vertriebspartnern) sowie, für Abrechnungsunterlagen, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten.
Kommt ein Vertrag mit Ihrem Unternehmen zustande, gilt für die weitere Verarbeitung ergänzend unsere Datenschutzerklärung unter structify.solutions/rechtliches/datenschutz.

4. Empfänger
Aqua Consulting GmbH: Sie erhält von uns die Bestätigung der Kundenmeldung oder den Grund eines Widerspruchs (etwa einen bereits bestehenden Kontakt Ihres Unternehmens zu uns, mit Datum und Art), die Mitteilung, ob ein Vertrag geschlossen wurde, zur Abrechnung Firma, Buchungsdatum, Art und Anzahl der gebuchten Lizenzen und das Nettoentgelt sowie, soweit sie die Aqua Consulting GmbH betreffen, den Widerruf Ihrer Einwilligung, Ihren Werbewiderspruch oder Ihre Anfrage als betroffene Person. Weitere personenbezogene Daten über Sie übermitteln wir nicht.
Dienstleister (Auftragsverarbeiter nach Art. 28 DSGVO): Supabase für Datenbank und Hosting (Datenstandort EU-Region Frankfurt; Vertragspartner Supabase Pte. Ltd., Singapur), die IONOS SE, Deutschland, für unsere E-Mail-Postfächer sowie die Hetzner Online GmbH, Gunzenhausen, für die Erstellung und Aufbewahrung verschlüsselter Sicherungskopien im Rechenzentrum Falkenstein.
Weitere Empfänger: für Abrechnungsunterlagen der Anbieter unserer Buchhaltungssoftware und gegebenenfalls unsere steuerliche Beratung; Behörden, soweit wir gesetzlich zur Weitergabe verpflichtet sind.

5. Übermittlung in Drittländer
Ihre Daten werden in der EU gespeichert. Ein Zugriff aus Singapur oder den USA durch unseren Datenbankdienst, etwa im Support, kann jedoch nicht ausgeschlossen werden. Für Singapur besteht kein Angemessenheitsbeschluss der EU-Kommission; auf das EU-U.S. Data Privacy Framework stützen wir diese Übermittlungen nicht. Wir sichern sie durch die EU-Standardvertragsklauseln ab (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914, Modul 2), ergänzt um eine Abschätzung der Übermittlungsfolgen. Eine Kopie erhalten Sie auf Anfrage an datenschutz@structify.solutions; die Standardvertragsklauseln sind zudem auf der Website der Europäischen Kommission veröffentlicht.

6. Speicherdauer
Kommt kein Vertrag zustande, löschen wir Ihre Daten aus unseren Vertriebssystemen, sobald sie für Anbahnung und Zuordnung nicht mehr erforderlich sind, spätestens 24 Monate nach unserem letzten Kontakt.
Die Kundenmeldung selbst ist geschäftliche Korrespondenz mit der Aqua Consulting GmbH; wir bewahren sie als Handelsbrief sechs Jahre auf (§ 257 HGB, § 147 AO; Art. 6 Abs. 1 lit. c DSGVO) und nutzen sie in dieser Zeit nur als Nachweis.
Ist Ihr Unternehmen der Aqua Consulting GmbH zugeordnet, speichern wir die Angaben zur Zuordnung, solange Provisionen anfallen, und danach bis zur Verjährung von Ansprüchen aus der Vertriebspartnerschaft (Art. 6 Abs. 1 lit. f DSGVO: Nachweis und Verteidigung von Rechtsansprüchen).
Abrechnungsunterlagen bewahren wir nach den gesetzlichen Aufbewahrungsfristen auf (derzeit acht Jahre für Buchungsbelege).
Widersprechen Sie der Kontaktaufnahme, speichern wir nur noch die Angaben, die nötig sind, um Ihren Widerspruch dauerhaft zu beachten (Art. 6 Abs. 1 lit. c i. V. m. Art. 21 Abs. 3 DSGVO).
In verschlüsselten Sicherungskopien können gelöschte Daten noch bis zu sechs Monate enthalten sein; sie werden dort nicht mehr genutzt und rotieren automatisch aus.

7. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO). Eine Einwilligung in die Kontaktaufnahme können Sie jederzeit mit Wirkung für die Zukunft widerrufen, gegenüber uns oder gegenüber der Aqua Consulting GmbH.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten zum Zweck der Direktwerbung jederzeit ohne Angabe von Gründen widersprechen; wir verarbeiten Ihre Daten dann nicht mehr für diesen Zweck. Einer Verarbeitung auf Grundlage unseres berechtigten Interesses können Sie außerdem aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Eine formlose E-Mail an datenschutz@structify.solutions genügt.
Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa beim Bayerischen Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, oder bei der Aufsichtsbehörde Ihres Aufenthaltsorts oder Arbeitsplatzes, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien.

8. Weitere Hinweise
Eine automatisierte Entscheidungsfindung einschließlich Profiling (Art. 22 DSGVO) findet nicht statt. Wir passen diese Hinweise an, wenn sich die Verarbeitung oder die Rechtslage ändert; die jeweils aktuelle Fassung erhalten Sie mit unserer ersten Kontaktaufnahme und auf Anfrage an datenschutz@structify.solutions.