1. Wer wir sind
VISTE FORGE SRL („Complair“, „wir“, „uns“) ist Verantwortlicher für personenbezogene Daten, die über unsere Marketing-Website erhoben werden, und – für Kundendaten, die im Dienst verarbeitet werden – Auftragsverarbeiter, der im Namen unserer Kunden handelt.
2. Geltungsbereich dieser Erklärung
Diese Erklärung gilt für personenbezogene Daten, die verarbeitet werden, wenn Sie complair.eu besuchen, sich für ein Konto registrieren oder den Complair-Workspace nutzen. Sie erfasst keine Websites Dritter, zu denen wir gegebenenfalls verlinken.
Soweit Complair personenbezogene Daten im Auftrag eines Kunden verarbeitet (z. B. die von Nutzern eines Kunden eingetragene KI-System-Inventarliste), ist der Kunde Verantwortlicher und wir sind Auftragsverarbeiter. In diesen Fällen gilt die eigene Datenschutzerklärung des Kunden; unsere Verarbeitung richtet sich nach den Bedingungen unseres Auftragsverarbeitungsvertrags.
3. Welche Daten wir erheben
Kontodaten
- Vollständiger Name, E-Mail-Adresse, Passwort-Hash, Rolle im Workspace
- Firmenname, Land und bevorzugte Währung
- Onboarding-Antworten (Unternehmensgröße, Branche, KI-Reifegrad)
Workspace-Inhalte
- Einträge im KI-System-Inventar, Klassifizierungen und Begründungen
- Checklistenpunkte und deren Status (nicht begonnen, in Bearbeitung, abgeschlossen, verifiziert)
- Generierte Dokumente, Antworten aus Lieferantenfragebögen, Audit-Logs
- Assistenten-Gespräche (Eingaben + Antworten), zu Ihrem Verlauf gespeichert
Abrechnungsdaten
- Tarif, Abonnementstatus, Abrechnungsintervall, Rechnungshistorie
- Zahlungsdaten werden direkt von Stripe verarbeitet – wir sehen keine Kartennummern; wir speichern lediglich eine Stripe-Kunden-ID und Tarif-Metadaten
Technische Daten
- IP-Adresse, User-Agent, Session-Cookies
- Zugriffs-Zeitstempel, Fehlerereignisse, minimale Performance-Telemetrie
Wir erfragen oder erheben keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und tun dies auch nicht absichtlich. Laden Sie solche Daten nicht in Ihren Workspace, ohne uns vorher zu kontaktieren.
4. Wie wir Ihre Daten verwenden
- Bereitstellung, Betrieb und Wartung des Dienstes
- Authentifizierung von Nutzern, Verwaltung des Workspace-Zugriffs, Durchsetzung der Rollenrechte
- Abrechnung von Abonnements, Rechnungsstellung, Verhinderung von Zahlungsbetrug
- Versand von Service-E-Mails (Einladungen, Passwort-Resets, Abrechnungsbenachrichtigungen)
- Bereitstellung von Kundensupport und Beantwortung Ihrer Anfragen
- Untersuchung von Missbrauch, Fehlerbehebung, Verbesserung von Stabilität und Leistung
- Einhaltung gesetzlicher Pflichten (Steuer, Buchhaltung, rechtmäßige Ersuchen)
Wir verkaufen keine personenbezogenen Daten und verwenden Kundendaten nicht zum Training von maschinellen Lernmodellen.
5. Rechtsgrundlagen (Art. 6 DSGVO)
| Verarbeitung | Rechtsgrundlage |
|---|---|
| Erbringung des Dienstes gegenüber einem registrierten Kunden | Vertrag (Art. 6 Abs. 1 lit. b) |
| Abrechnung, Rechnungsstellung, Steuerunterlagen | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) |
| Service-E-Mails und Sicherheitsbenachrichtigungen | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Optionale Marketing-E-Mails | Einwilligung (Art. 6 Abs. 1 lit. a) |
| Analyse, Missbrauchsprävention, Produktverbesserung | Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) |
| Befolgung rechtmäßiger Ersuchen von Behörden | Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) |
Soweit wir uns auf ein berechtigtes Interesse stützen, haben wir geprüft, dass dieses Ihre Grundrechte und Grundfreiheiten nicht überwiegt. Sie haben ein Widerspruchsrecht (siehe Abschnitt 11).
6. KI-gestützte Verarbeitung
Wenn Sie KI-gestützte Funktionen nutzen – Risikoklassifizierung, den Compliance-Assistenten, die Dokumentengenerierung –, senden wir den jeweiligen Prompt samt Kontext zur Inferenz an Anthropic, PBC (Claude). Anthropic fungiert als unser Unterauftragsverarbeiter und verwendet Prompt-Inhalte gemäß den mit uns vereinbarten kommerziellen API-Bedingungen nicht zum Training seiner Modelle.
KI-Ausgaben werden in Ihrem Workspace gespeichert. Sie sind probabilistisch und können ungenau sein; Sie sind dafür verantwortlich, sie vor einer Verwendung in Compliance-Entscheidungen zu überprüfen.
8. Internationale Datenübermittlungen
Anwendungsdaten werden auf Servern in Frankfurt, Deutschland (Europäische Union) gespeichert. Einige Unterauftragsverarbeiter (insbesondere Anthropic und Resend) befinden sich in den Vereinigten Staaten. Für diese Übermittlungen stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission (Modul 3, Auftragsverarbeiter-zu-Auftragsverarbeiter) und wenden ergänzende technische Maßnahmen wie Verschlüsselung bei Übertragung und im Ruhezustand sowie Datenminimierung an.
Eine Kopie der SCC ist auf Anfrage unter privacy@complair.eu erhältlich.
9. Speicherdauer
- Konto- & Workspace-Daten – für die Laufzeit Ihres Abonnements. Nach Beendigung werden die Daten 30 Tage zum Export aufbewahrt und dann dauerhaft gelöscht.
- Rechnungen & Abrechnungsunterlagen – 10 Jahre, zur Einhaltung des rumänischen Buchhaltungsrechts (Gesetz Nr. 82/1991).
- Audit-Logs – 2 Jahre, als Sicherheits- und Compliance-Nachweis.
- Anwendungs-Fehlerprotokolle – 30 Tage.
- Backups – verschlüsselt, innerhalb von 35 Tagen aus dem Cold Storage rotiert.
10. Sicherheit
- TLS 1.2+ bei der Übertragung; AES-256 im Ruhezustand
- Mit bcrypt gehashte Passwörter; Session-Tokens auf den Workspace beschränkt
- Rollenbasierte Zugriffskontrolle (Pundit-Policies) und Mandantenisolation auf Datenbankebene
- Least-Privilege-Zugriff für Complair-Mitarbeiter, vierteljährlich auditiert
- Zentralisiertes Logging, Anomalie-Alerts und regelmäßiges Scannen von Abhängigkeiten
- Regelmäßige verschlüsselte Backups mit getesteten Wiederherstellungsverfahren
Sollten wir eine Verletzung des Schutzes personenbezogener Daten feststellen, die Sie betrifft, benachrichtigen wir, sofern erforderlich, die zuständige Aufsichtsbehörde binnen 72 Stunden und informieren Sie unverzüglich.
Eine ausführliche Darstellung unseres Sicherheitsniveaus finden Sie auf unserer Sicherheitsseite.
11. Ihre Rechte
Nach der DSGVO und vergleichbaren Gesetzen haben Sie das Recht auf:
- Auskunft über die von uns gespeicherten personenbezogenen Daten
- Berichtigung unrichtiger oder unvollständiger Daten
- Löschung Ihrer Daten („Recht auf Vergessenwerden“), vorbehaltlich gesetzlicher Aufbewahrungspflichten
- Einschränkung oder Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen
- Datenübertragbarkeit – Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format
- Widerruf Ihrer Einwilligung jederzeit, unbeschadet bereits erfolgter Verarbeitungen
- Nicht Gegenstand einer ausschließlich automatisierten Entscheidung zu werden, die rechtliche Wirkung entfaltet oder vergleichbar erheblich beeinträchtigt (wir treffen keine solchen Entscheidungen)
Schreiben Sie an privacy@complair.eu, um ein Recht auszuüben. Wir antworten innerhalb eines Monats. Liegen Ihre Daten in einem Workspace, in dem Ihr Arbeitgeber Verantwortlicher ist, leiten wir die Anfrage an diesen weiter.
13. Kinder
Complair ist ein Geschäftstool, das sich nicht an Kinder richtet. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Wenn Sie glauben, dass wir Daten über einen Minderjährigen gespeichert haben, kontaktieren Sie uns bitte; wir löschen diese umgehend.
14. Änderungen dieser Erklärung
Wir aktualisieren diese Erklärung mit der Weiterentwicklung des Dienstes. Wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail oder durch einen In-App-Banner angekündigt. Das oben angegebene Datum „Zuletzt aktualisiert“ spiegelt die jüngste Überarbeitung wider.
15. Kontakt & Beschwerden
Datenschutzfragen, Rechteausübung oder Beschwerden: privacy@complair.eu.
Sie haben zudem das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzureichen – bei uns ist das die Rumänische Nationale Aufsichtsbehörde für die Verarbeitung personenbezogener Daten (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal — ANSPDCP) unter dataprotection.ro – oder bei der Behörde Ihres EU-Wohnsitzlandes.