Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

27Street GmbH Gleimstrasse 36, 10437 Berlin E-Mail: privacy@27street.de Verantwortliche Person: Gero Keller

Wir sind gesetzlich nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet. Sie erreichen uns für datenschutzrelevante Anfragen unter der oben genannten E-Mail-Adresse.

Wir verarbeiten personenbezogene Daten auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Bereitstellung des SaaS-Dienstes, Benutzerkonto, Authentifizierung, Kernfunktionen der Anwendung.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Sicherheitsprotokollierung (Audit-Logs mit IP-Adresse und User-Agent zur Missbrauchserkennung), semantische Einbettungen zur Verbesserung der Suchfunktionalität, Cookie-freie Webanalyse zur aggregierten Nutzungsmessung sowie Betrieb und Optimierung unseres Dienstes.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Soweit wir zukünftig Einwilligungen einholen, werden wir dies gesondert ausweisen.

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, besteht unser berechtigtes Interesse in der Bereitstellung und Verbesserung unseres Dienstes, der aggregierten Nutzungsmessung, der Gewährleistung der IT-Sicherheit und der Betrugsprävention.

Wir erheben und verarbeiten folgende Kategorien personenbezogener Daten:

Wir setzen folgende Auftragsverarbeiter ein:

Einige unserer Auftragsverarbeiter haben ihren Sitz in den USA. Die Übermittlung personenbezogener Daten in die USA erfolgt auf Basis des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework (DPF) gemäß Art. 45 DSGVO, soweit der jeweilige Auftragsverarbeiter unter dem DPF zertifiziert ist.

Zusätzlich haben wir mit allen US-amerikanischen Auftragsverarbeitern Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart, um ein angemessenes Datenschutzniveau sicherzustellen.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Verarbeitungszweck erforderlich ist:

Gelöschte Datensätze werden zunächst als gelöscht markiert (Soft-Delete) und automatisch nach 30 Tagen endgültig entfernt.

Ihnen stehen folgende Rechte gemäß der DSGVO zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung Ihrer Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. Eine Exportfunktion steht Ihnen in der Anwendung unter den Kontoeinstellungen zur Verfügung. Der Export umfasst Ihr Profil, Organisationsmitgliedschaften, Kunden, Aufgaben, Besprechungen, Kommentare und Kalenderverbindungen.
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten, die auf Art. 6 Abs. 1 lit. f DSGVO basiert, jederzeit widersprechen. Dies umfasst insbesondere die Verarbeitung zum Zweck der semantischen Einbettungen. Organisationsadministratoren können die Einbettungsgenerierung in den Organisationseinstellungen unter KI & Datenschutz deaktivieren (Self-Service-Opt-Out).

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an die oben genannte E-Mail-Adresse. Für das Embedding-Opt-Out können Sie den Self-Service-Schalter in Ihren Organisationseinstellungen verwenden.

Soweit die Verarbeitung Ihrer Daten auf einer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) beruht, haben Sie das Recht, diese Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt.

Zuständige Aufsichtsbehörde ist der/die Landesdatenschutzbeauftragte des Bundeslandes, in dem unser Unternehmen seinen Sitz hat. Eine Liste der Datenschutzbeauftragten und deren Kontaktdaten finden Sie unter: https://www.bfdi.bund.de/DE/Service/Anschriften/Laender/Laender-node.html

Unsere Anwendung verwendet ausschließlich technisch notwendige Cookies und lokale Speichermechanismen, die für den Betrieb des Dienstes erforderlich sind. Eine Einwilligung ist hierfür gemäß § 25 Abs. 2 TTDSG nicht erforderlich.

Zusätzlich kann Stripe.js während des Zahlungsvorgangs folgende Cookies setzen:

Diese Cookies sind für die Zahlungsabwicklung und Betrugsprävention technisch notwendig. Eine Einwilligung ist gemäß § 25 Abs. 2 TTDSG nicht erforderlich.

Zusätzlich setzen wir Vercel Web Analytics, einen Cookie-freien Webanalysedienst der Vercel Inc., ein, um aggregierte Seitenaufrufe und Nutzungsmuster zu messen und unseren Dienst technisch zu optimieren.

Die Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. f DSGVO. Da Vercel Web Analytics keine Cookies oder vergleichbaren Speichermechanismen auf Ihrem Endgerät setzt, ist hierfür keine Einwilligung nach § 25 TTDSG erforderlich.

Unsere Anwendung nutzt eine KI-gestützte semantische Suchfunktion, die mittels OpenAI Vektorrepräsentationen (Embeddings) aus Textinhalten erzeugt. Diese werden verwendet für:

• Semantische Suche über Aufgaben, Kommentare und Fragebogenantworten
• Erkennung ähnlicher oder doppelter Einträge
• Rückverfolgbarkeitsanalysen innerhalb von Projekten

Es handelt sich hierbei um eine Unterstützungsfunktion. Es werden keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung getroffen (Art. 22 DSGVO). Die Ergebnisse der semantischen Suche dienen ausschließlich als Hilfestellung für die Nutzer.

Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Sie können der Verarbeitung zum Zweck der semantischen Einbettungen jederzeit gemäß Art. 21 DSGVO widersprechen. Ein Self-Service-Opt-Out ist in den Organisationseinstellungen unter KI & Datenschutz verfügbar.

In bestimmten Fällen verarbeiten wir personenbezogene Daten, die nicht direkt von der betroffenen Person erhoben wurden:

Wir setzen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

• Row-Level Security (RLS) für mandantenfähige Datenisolation
• Verschlüsselung sensibler Daten mittels Supabase Vault
• HMAC-Token-Verifizierung für API-Zugriffe
• CSRF-Schutz für alle Authentifizierungsflüsse
• Verschlüsselte Übertragung aller Daten via HTTPS/TLS

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte rechtliche Anforderungen oder Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite verfügbar. Das Datum der letzten Aktualisierung finden Sie am Anfang dieser Datenschutzerklärung.