Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten auf dieser Website und – soweit wir nicht als Auftragsverarbeiter für unsere Kunden tätig sind – auf der Kapsio-Plattform ist:

BSE IT CONSULTING SRL, Goraslau nr. 2, sc. B, et. 2, ap. 31, 550356 Sibiu, Rumänien. Handelsregister: J32/2209/2022, Steuernummer (CUI): 46969664. Vertreten durch: Horia Basca. E-Mail: kontakt (at) kapsio.de . Weitere Angaben finden Sie im Impressum.

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht nicht vorliegen. Für alle Fragen zum Datenschutz erreichen Sie uns unter der vorstehenden E-Mail-Adresse.

2. Grundsätze

Wir verarbeiten personenbezogene Daten ausschließlich nach den Vorgaben der Datenschutz-Grundverordnung (DSGVO) und der ergänzend anwendbaren nationalen Vorschriften. Kapsio ist als Plattform für Datensouveränität konzipiert. Deshalb gilt für die Website und für die Plattform:

• Sämtliche Daten werden ausschließlich auf Infrastruktur innerhalb der Europäischen Union verarbeitet und gespeichert, und zwar bei Dienstleistern mit Sitz in der Europäischen Union (Ziffer 6).
• Es findet keine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU bzw. des EWR statt.
• Inhalte, Eingaben und Ausgaben unserer Kunden werden nicht zum Training oder zur Verbesserung von KI-Modellen verwendet – weder durch uns noch durch die von uns eingesetzten Dienstleister.
• Diese Website setzt keine Cookies, bindet keine Ressourcen von Servern Dritter ein (Schriftarten und Skripte werden lokal ausgeliefert) und verwendet keine Analyse-, Tracking- oder Marketing-Werkzeuge.
• Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

3. Besuch dieser Website (Server-Logdaten)

Beim Aufruf dieser Website verarbeitet der Webserver technisch bedingt folgende Daten: IP-Adresse des anfragenden Geräts, Datum und Uhrzeit des Zugriffs, aufgerufene Seite bzw. Datei, übertragene Datenmenge, HTTP-Statuscode, Referrer-URL sowie Browsertyp und -version und Betriebssystem (User-Agent).

• Zweck: technische Bereitstellung, Stabilität und Sicherheit der Website (z. B. Abwehr von Angriffen, Fehleranalyse).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
• Speicherdauer: Die Logdaten werden nicht mit anderen Datenquellen zusammengeführt und spätestens nach 14 Tagen gelöscht, soweit kein sicherheitsrelevanter Vorfall eine längere Aufbewahrung zur Aufklärung erfordert.
• Empfänger: Die Website wird auf Servern der Hetzner Online GmbH, Gunzenhausen, Deutschland, in Rechenzentren innerhalb der Europäischen Union betrieben (Auftragsverarbeitung nach Art. 28 DSGVO).

4. Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten (E-Mail-Adresse, Name, ggf. Organisation und Telefonnummer sowie den Inhalt Ihrer Nachricht), um Ihre Anfrage zu bearbeiten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf den Abschluss oder die Durchführung eines Vertrags gerichtet ist; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).
• Speicherdauer: Wir löschen die Korrespondenz, sobald sie für die Bearbeitung nicht mehr erforderlich ist und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Geschäftliche Korrespondenz, die einem Vertragsverhältnis zuzuordnen ist, bewahren wir für die Dauer der gesetzlichen handels- und steuerrechtlichen Fristen auf.
• Empfänger: Unser E-Mail-Dienst wird von der Hetzner Online GmbH, Gunzenhausen, Deutschland, gehostet (Auftragsverarbeitung nach Art. 28 DSGVO).

5. Nutzung der Kapsio-Plattform

5.1 Zugang und Nutzerkonten

Der Zugang zur Kapsio-Plattform wird von uns individuell für die Nutzer unserer Kunden eingerichtet; eine Selbstregistrierung ist nicht möglich. Für die Bereitstellung des Zugangs verarbeiten wir Bestandsdaten der berechtigten Nutzer (Name, geschäftliche E-Mail-Adresse, Organisation, zugewiesene Rolle) sowie Authentifizierungsdaten. Die Anmeldung erfolgt über einen von uns betriebenen Identitätsdienst (Keycloak), der in der Kundeninstanz jeweils einen eigenen, getrennten Bereich verwendet.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags mit unserem Kunden) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb); im Verhältnis zu den Nutzern erfolgt die Verarbeitung im Auftrag des jeweiligen Kunden (Ziffer 5.3).
• Cookies: Beim Anmelden und während der Nutzung werden ausschließlich technisch notwendige Session-Cookies gesetzt (Sitzung des Identitätsdienstes und Sitzung der Plattform). Sie enthalten keine Tracking-Informationen und werden mit dem Abmelden bzw. dem Ablauf der Sitzung ungültig.
• Speicherdauer: Nutzerkonten bestehen für die Dauer des Vertrags mit unserem Kunden und werden nach Vertragsende zusammen mit der Kundeninstanz gelöscht (Ziffer 7).

5.2 Verarbeitung in der Kundeninstanz

Jede Kundenumgebung wird als gekapselte, dedizierte Instanz mit eigenem Dokumentenspeicher, eigener Vektordatenbank, eigenem Authentifizierungsbereich und eigener Zugriffskontrolle betrieben. Innerhalb der Instanz verarbeiten wir folgende Datenkategorien:

• Dokumente und sonstige Inhalte, die unser Kunde einbringt, einschließlich der daraus erzeugten Suchindizes (Textabschnitte und Vektorrepräsentationen).
• Chat-Verläufe der Nutzer (Fragen und Antworten). Sie werden dem jeweiligen Nutzerkonto zugeordnet gespeichert und können vom Nutzer selbst gelöscht werden.
• Protokolldaten zu Anfragen und Antworten einschließlich technischer Metadaten (Zeitstempel, verwendete Quellen, Modellparameter) zur Sicherstellung des Betriebs, zur Fehleranalyse und zur Qualitätssicherung. Sie werden spätestens 90 Tage nach ihrer Entstehung gelöscht.
• Sicherungskopien der Instanz, die täglich erstellt und bis zu 60 Tage aufbewahrt werden.

Zur Erzeugung von Antworten werden die Frage des Nutzers und die dazu aus den Kundeninhalten ermittelten Textabschnitte an ein großes Sprachmodell übermittelt, das bei unserem Dienstleister Scaleway SAS in Paris, Frankreich, betrieben wird (Ziffer 6). Die Berechnung der Vektorrepräsentationen für die Suche erfolgt beim selben Dienstleister. Die übermittelten Daten werden dort ausschließlich zur Beantwortung der jeweiligen Anfrage verarbeitet und nicht zum Training von Modellen verwendet.

5.3 Rolle als Auftragsverarbeiter

Inhalte, Eingaben, Chat-Verläufe und Protokolldaten, die im Rahmen der Nutzung einer Kundeninstanz anfallen, verarbeiten wir ausschließlich im Auftrag und nach Weisung des jeweiligen Kunden auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO. Verantwortlicher im Sinne der DSGVO ist insoweit unser Kunde. Betroffene Personen (z. B. Nutzer oder in Dokumenten genannte Personen) wenden sich zur Ausübung ihrer Rechte an den jeweiligen Kunden; wir unterstützen unsere Kunden dabei im Rahmen des Auftragsverarbeitungsvertrags.

6. Empfänger und Auftragsverarbeiter

Wir setzen zur Bereitstellung unserer Leistungen folgende Dienstleister ein. Mit jedem Dienstleister besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; die Verarbeitung erfolgt ausschließlich in Rechenzentren innerhalb der Europäischen Union.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting dieser Website, E-Mail-Dienst sowie Rechen- und Speicherinfrastruktur für die Kundeninstanzen der Plattform (Rechenzentrumsstandorte Deutschland und Finnland; beide innerhalb der Europäischen Union).
• Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich: Betrieb der großen Sprachmodelle und der Vektorberechnung (KI-Inferenz), Speicherung der verschlüsselt übertragenen Sicherungskopien sowie Verwaltung technischer Zugangsgeheimnisse (Rechenzentrumsstandort Paris, Frankreich).

Eine Weitergabe personenbezogener Daten an sonstige Dritte erfolgt nur, wenn eine gesetzliche Verpflichtung besteht, die Weitergabe zur Durchsetzung unserer Rechte erforderlich ist oder Sie eingewilligt haben. Änderungen an der Liste der Dienstleister teilen wir unseren Kunden vorab im Rahmen des Auftragsverarbeitungsvertrags mit.

7. Speicherdauer

Soweit in dieser Erklärung keine speziellere Frist genannt ist, speichern wir personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist. Im Überblick:

• Server-Logdaten der Website: spätestens 14 Tage.
• E-Mail-Korrespondenz: bis zur abschließenden Bearbeitung; bei Vertragsbezug für die Dauer der gesetzlichen Aufbewahrungsfristen.
• Nutzerkonten und Inhalte einer Kundeninstanz: für die Vertragslaufzeit; nach Vertragsende Bereitstellung zum Export innerhalb von 30 Tagen, anschließend Löschung der Instanz.
• Protokolldaten der Plattform: spätestens 90 Tage.
• Sicherungskopien: bis zu 60 Tage; Sicherungskopien einer gelöschten Instanz sind damit spätestens 60 Tage nach der Löschung überschrieben.
• Vertrags- und Abrechnungsdaten: für die Dauer der gesetzlichen handels- und steuerrechtlichen Aufbewahrungsfristen.

8. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine E-Mail an kontakt (at) kapsio.de . Soweit wir Daten im Auftrag eines Kunden verarbeiten (Ziffer 5.3), leiten wir Ihre Anfrage an den verantwortlichen Kunden weiter.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist die rumänische Aufsichtsbehörde ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, B-dul G-ral. Gheorghe Magheru 28-30, 010336 Bukarest, www.dataprotection.ro). Sie können sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

9. Datensicherheit

Die Übertragung von Daten zu dieser Website und zur Plattform erfolgt durchgehend TLS-verschlüsselt. Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um die verarbeiteten Daten gegen Verlust, Missbrauch und unberechtigten Zugriff zu schützen, insbesondere die strikte technische Trennung der Kundeninstanzen, Zugriffsbeschränkung nach dem Prinzip der minimalen Rechte, verschlüsselte Übertragung der Sicherungskopien und regelmäßige Aktualisierung der eingesetzten Software. Diese Maßnahmen entwickeln wir fortlaufend weiter; ihre Beschreibung ist Bestandteil des Auftragsverarbeitungsvertrags mit unseren Kunden.

10. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Leistungen oder die eingesetzten Dienstleister ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Stand: September 2026