Datenschutzerklärung

§ 1 Verantwortlicher

(1) Verantwortlicher im Sinne des Art. 4 Nr. 7 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, im Folgenden „DSGVO“) ist der im Impressum genannte Anbieter (im Folgenden „Anbieter“).

(2) Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des Art. 37 DSGVO in Verbindung mit § 38 BDSG liegen derzeit nicht vor.

§ 2 Gegenstand und Geltungsbereich

(1) Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei der Nutzung des unter denotato.com erreichbaren Dienstes einschließlich aller zugehörigen Schnittstellen (im Folgenden „Dienst“).

(2) Soweit Nutzer im Dienst personenbezogene Daten Dritter verarbeiten, sind sie hierfür selbst Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Anbieter handelt insoweit als Auftragsverarbeiter nach Art. 28 DSGVO; die Bereitstellung des Dienstes ersetzt keine eigene Rechtsgrundlage des Nutzers.

§ 3 Kategorien verarbeiteter Daten

(1) Verarbeitet werden insbesondere:

• Bestandsdaten des Kontos: Benutzername, Anzeigename, E-Mail-Adresse, Geburtsdatum, Rolle, Zeitpunkte der letzten Änderung von Name und Passwort sowie ein Passwort-Hash nebst Salt; das Passwort selbst wird nicht gespeichert.
• Inhaltsdaten: sämtliche vom Nutzer eingestellten Inhalte, namentlich Dokumente und Blöcke, Karteikarten und Lernstände, Aufgaben, Gewohnheiten, Studiendaten, Tagebuch- und Erinnerungseinträge, Angaben zu Personen, Ereignisse und hochgeladene Dateien.
• Nutzungs- und Metadaten: Zeitpunkte von Zugriffen, Sitzungsdauer, aufgerufene Bereiche, Häufigkeit und Umfang der Nutzung einzelner Funktionen.
• Verbindungsdaten: IP-Adresse, Datum und Uhrzeit der Anfrage, angefragte Ressource, Übertragungsstatus, übertragene Datenmenge, Referrer und Browserkennung.
• Zugangsdaten für angebundene Dienste Dritter, soweit der Nutzer eine solche Verbindung herstellt; sie werden verschlüsselt gespeichert und nicht erneut ausgegeben.
• Kommunikations- und Rückmeldedaten: Inhalt, Zeitpunkt, Benutzername sowie technische Begleitangaben von Meldungen, die über den Dienst übermittelt werden.

(2) Ein Gastkonto entsteht ohne Namen, E-Mail-Adresse und Passwort. Verarbeitet werden dann ein vom Dienst vergebener Benutzername, die Inhalte, die der Nutzer anlegt, und ein Geräteschlüssel, der im lokalen Speicher des Browsers liegt und das Konto wiedererkennt. Wird ein Gastkonto eine vom Anbieter festgelegte Frist lang nicht genutzt, voreingestellt dreißig Tage, wird es mit allen seinen Daten gelöscht.

(3) Um den Missbrauch von Gastkonten zu verhindern, verarbeitet der Dienst die IP-Adresse, von der ein Gastkonto angelegt oder genutzt wird, auf Grundlage seines berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO zu drei Zwecken: Er begrenzt die Zahl neuer Gastkonten je Anschluss und Tag; er begrenzt die Nutzung der KI-Funktionen, die sich alle Gastkonten eines Anschlusses an einem Tag teilen; und er gleicht die Adresse mit öffentlich verfügbaren Listen von Netzen der Rechenzentren und VPN-Dienste sowie der Hochschulen und Forschungseinrichtungen ab. Aus Netzen von Rechenzentren und VPN-Diensten wird kein Gastkonto angelegt, und ein bestehendes Gastkonto kann von dort nichts ändern; aus Netzen von Hochschulen und Forschungseinrichtungen gelten höhere Grenzen. Gespeichert wird die IP-Adresse dafür nicht. Gezählt wird unter einem Hashwert der Adresse, gebildet mit einem zufälligen Schlüssel, der nur im Arbeitsspeicher liegt und täglich wechselt; berücksichtigt werden nur die letzten vierundzwanzig Stunden, ältere Werte verwirft der Dienst mit dem nächsten Schlüsselwechsel und alle Werte bei einem Neustart. Die Listen ruft der Dienst täglich vollständig ab; die IP-Adresse eines Nutzers wird hierfür an keinen Dritten übermittelt.

(4) Meldet sich der Nutzer über Google oder Apple an oder verknüpft er sein Konto mit einem dieser Anbieter, leitet der Dienst seinen Browser zur Anmeldeseite des Anbieters weiter. Nach der Anmeldung dort gibt der Anbieter über den Browser des Nutzers einen einmal verwendbaren Code an den Dienst zurück; der Code steht dabei im Fragment der Adresse, das der Browser nicht an Server übermittelt, und der Dienst entfernt ihn sofort aus der Adresszeile. Der Dienst löst den Code beim Anbieter ein und erhält dafür eine Kennung, unter der der Anbieter den Nutzer gegenüber dem Dienst führt, die E-Mail-Adresse, die Angabe, ob der Anbieter sie bestätigt hat, und den Namen, den Apple nur bei der ersten Anmeldung übermittelt; bei Google kann die Antwort weitere Angaben des Profils enthalten, etwa die Adresse eines Profilbilds, die der Dienst nicht verwendet. Gespeichert werden die Kennung, die E-Mail-Adresse, ob sie bestätigt ist, ob es sich um eine Weiterleitungsadresse von Apple handelt, und die Zeitpunkte der Verknüpfung und der letzten Anmeldung über den Anbieter. Der Name dient nur als Anzeigename eines dabei neu angelegten Kontos. Zugangs- und Aktualisierungstoken der Anbieter speichert der Dienst nicht. Darüber hinaus übermittelt der Dienst den Anbietern keine Inhalte und keine Angaben aus dem Konto. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Der Nutzer kann eine Verknüpfung in den Einstellungen unter „Konto“ jederzeit lösen, solange ihm ein anderer Weg in das Konto bleibt; mit dem Lösen und mit der Löschung des Kontos werden die gespeicherten Angaben gelöscht.

§ 4 Zwecke und Rechtsgrundlagen

(1) Zur Begründung, Durchführung und Beendigung des Nutzungsverhältnisses, insbesondere zur Bereitstellung des Dienstes, zur Kontoverwaltung, zur Authentifizierung und zur Erbringung der vereinbarten Funktionen, auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO.

(2) Auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO zu folgenden Zwecken:

• Gewährleistung der Betriebssicherheit, Stabilität und Integrität des Dienstes sowie Erkennung, Eingrenzung und Verfolgung von Störungen, Missbrauch und Angriffen.
• Analyse, Auswertung und Weiterentwicklung des Dienstes, seiner Funktionen, seiner Bedienbarkeit und seiner Leistungsfähigkeit, einschließlich der Erstellung von Statistiken und Auswertungen in aggregierter oder anonymisierter Form.
• Entwicklung neuer Funktionen und Produkte sowie Erprobung von Verfahren, einschließlich des Trainings und der Bewertung automatisierter Verfahren auf Grundlage anonymisierter oder aggregierter Daten.
• Geschäftsentwicklung, betriebswirtschaftliche Auswertung und Vorbereitung unternehmerischer Entscheidungen, einschließlich der Vorbereitung und Durchführung von Umwandlungen, Beteiligungen, Einbringungen oder Veräußerungen.
• Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen sowie Beweissicherung.
• Direktwerbung für eigene, ähnliche Leistungen im Rahmen des gesetzlich Zulässigen.

(3) Soweit der Nutzer eine Einwilligung erteilt, namentlich bei der Anbindung eines Dienstes Dritter oder bei einer Verarbeitung, die über die vorstehenden Zwecke hinausgeht, auf Grundlage des Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(4) Zur Erfüllung rechtlicher Verpflichtungen des Anbieters auf Grundlage des Art. 6 Abs. 1 lit. c DSGVO.

§ 5 Empfänger und Übermittlung an Dritte

(1) Der Anbieter setzt zur Erbringung des Dienstes Auftragsverarbeiter nach Art. 28 DSGVO ein, insbesondere für Betrieb, Versand von Nachrichten, Sicherung und Wartung. Eine Übermittlung an sonstige Dritte erfolgt nur, soweit dies zur Erfüllung der in § 4 genannten Zwecke erforderlich, gesetzlich vorgeschrieben oder vom Nutzer veranlasst ist.

(2) Der Dienst ruft von sich aus die nachfolgend aufgeführten Stellen auf. Die Aufstellung entspricht dem im Dienst geführten Verzeichnis ausgehender Verbindungen und wird aus diesem erzeugt.

(3) Für die Funktionen des Begleiters, die ein Sprachmodell verwenden, übermittelt der Dienst die in der vorstehenden Aufstellung zu api.anthropic.com genannten Daten an Anthropic als Anbieter des Sprachmodells. Dazu gehören Inhaltsdaten im Sinne des § 3, soweit das Konto des Nutzers sie selbst lesen darf, einschließlich Tagebucheinträgen und der Einträge im Gedächtnis des Begleiters nach Maßgabe des Absatzes 4; Passwörter und Zugangsdaten für angebundene Dienste werden nicht übermittelt. Die Übermittlung dient der Erbringung der vereinbarten Funktionen auf Grundlage des Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung kann in den Vereinigten Staaten von Amerika erfolgen; Grundlage ist ein Angemessenheitsbeschluss der Europäischen Kommission oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

(4) Tagebucheinträge und Einträge im Gedächtnis des Begleiters können Angaben zur Gesundheit und andere besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO enthalten. Sie werden nur dann an Anthropic übermittelt, wenn der Nutzer darin ausdrücklich eingewilligt hat (Art. 9 Abs. 2 lit. a in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO). Der Dienst fragt die Einwilligung im Begleiter ab, bevor diese Daten erstmals übermittelt würden, und speichert, ob und wann sie erteilt wurde und zu welcher Fassung des Wortlauts. Die Einwilligung ist freiwillig; ohne sie bleibt der Begleiter ohne Tagebuch und Gedächtnis nutzbar. Sie kann jederzeit in den Einstellungen unter „Lernen“ mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Übermittlung bleibt unberührt.

(5) Soweit der Nutzer eine Verbindung zu einem Dienst Dritter herstellt, werden die dabei übermittelten Daten von dem betreffenden Anbieter in eigener Verantwortung verarbeitet. Dies kann eine Übermittlung in Drittländer außerhalb des Europäischen Wirtschaftsraums einschließen, insbesondere in die Vereinigten Staaten von Amerika. Grundlage ist die Einwilligung des Nutzers nach Art. 49 Abs. 1 lit. a DSGVO, im Übrigen ein Angemessenheitsbeschluss der Europäischen Kommission oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Der Nutzer entscheidet über die Herstellung einer solchen Verbindung; der Dienst ist ohne sie nutzbar.

(6) Im Falle einer Umwandlung, Einbringung, Verschmelzung, Beteiligung oder Veräußerung des Geschäftsbetriebs oder von Teilen davon ist der Anbieter berechtigt, die Nutzungsverhältnisse und die zu ihrer Durchführung erforderlichen Daten auf den Erwerber oder Rechtsnachfolger zu übertragen. Der Nutzer wird hierüber in Textform unterrichtet.

(7) Wiki-Seiten des Dienstes, die für Leser geöffnet sind, veröffentlicht der Anbieter unter ihrer Adresse auf denotato.com. Sie sind ohne Konto für jedermann abrufbar und können von Suchmaschinen erfasst und in deren Ergebnissen angezeigt werden. Veröffentlicht werden Titel, Inhalt und Zeitpunkt der letzten Änderung einer Seite, nicht aber Angaben dazu, wer sie verfasst oder bearbeitet hat.

§ 6 Speicherdauer

(1) Personenbezogene Daten werden gespeichert, solange dies für die in § 4 genannten Zwecke erforderlich ist, längstens jedoch bis zum Ablauf der gesetzlichen Aufbewahrungsfristen.

(2) Im Einzelnen gilt:

• Bestands- und Inhaltsdaten: bis zur Löschung des Kontos, darüber hinaus bis zum Ablauf der Verjährungsfristen für Ansprüche aus dem Nutzungsverhältnis, in der Regel drei Jahre zum Schluss des Jahres, in dem der Anspruch entstanden ist.
• Verbindungsdaten des Webservers: vierzehn Tage.
• Zugriffsschlüssel für die dauerhafte Anmeldung: dreißig Tage ab Ausstellung.
• Zugangsdaten für angebundene Dienste: bis zur Trennung der Verbindung durch den Nutzer.
• Gespräche mit dem Begleiter: bis der Nutzer sie löscht, längstens bis zum Ablauf einer vom Anbieter festgelegten Frist ohne neue Frage, die mindestens dreißig Tage und höchstens zehn Jahre beträgt.
• Absätze des Begleiters im Briefing und seine Hinweise: sieben Tage.
• Einträge im Nutzungsprotokoll nach § 7a: bis zum Ablauf einer vom Anbieter festgelegten Frist von höchstens 365 Tagen, voreingestellt neunzig Tage.
• Handels- und steuerrechtlich aufbewahrungspflichtige Unterlagen: sechs beziehungsweise zehn Jahre nach den §§ 257 HGB, 147 AO.

(3) Anstelle einer Löschung kann eine Anonymisierung treten. Anonymisierte Daten unterliegen nicht mehr dieser Erklärung und können ohne zeitliche Begrenzung weiterverwendet werden.

§ 7 Speicherung von Informationen im Endgerät

(1) Der Dienst setzt keine Cookies. Im lokalen Speicher und im Sitzungsspeicher des Browsers legt er Angaben folgender Arten ab: (1) Anmeldung und Sitzung, darunter die Kennung der Sitzung, auf Wunsch ein Schlüssel, an dem der Dienst das Gerät wiedererkennt, und die zuletzt aufgerufene Seite, zu der eine erneute Anmeldung zurückführt; (2) Sprache und Darstellung des Geräts, etwa Dichte, Schrift und Lesefassung; (3) gemerkte Ansichten, etwa die gewählte Ansicht des Kalenders; (4) zuletzt genutzte Stellen und Angebote, etwa für die Schnellsuche oder zuletzt besuchte Kurse; (5) zwischengespeicherte Kopien zuletzt geladener Daten zur Anzeige bei Verbindungsstörungen sowie technische Hilfsangaben, etwa ein Zeitpunkt, der wiederholtes Neuladen verhindert.

(2) Diese Speicherung ist unbedingt erforderlich, um den vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung zu stellen; sie erfolgt daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Die Daten verbleiben auf dem Endgerät und werden nicht an den Anbieter übermittelt. Hiervon unberührt bleibt das Nutzungsprotokoll nach § 7a, für das der Dienst Angaben im Browser nur mit Einwilligung erhebt.

§ 7a Nutzungsprotokoll

(1) Zur Weiterentwicklung des Dienstes führt der Anbieter ein Nutzungsprotokoll. Ein Eintrag enthält den aufgerufenen Bereich als Muster ohne Kennungen und Suchanfragen, die Art der Handlung aus einer festen Liste, den Zeitpunkt sowie bei Seitenaufrufen die Dauer, während der die Seite sichtbar war, und den Teil dieser Dauer, in dem der Nutzer Eingaben vorgenommen hat, die Zeit vom Aufruf eines Bereichs bis zur ersten Antwort des Dienstes, den zuvor aufgerufenen Bereich und die Art, wie der Bereich erreicht wurde, etwa über die Navigationsleiste, die Schnellsuche oder einen Verweis, aus einer festen Liste. Konto, Sitzung und gegebenenfalls der betroffene Gegenstand, etwa ein Dokument, werden ausschließlich als Pseudonym im Sinne des Art. 4 Nr. 5 DSGVO gespeichert, das mit einem geheimen Schlüssel gebildet wird; der Schlüssel wird getrennt von der Datenbank aufbewahrt. Zu jedem Eintrag speichert der Anbieter außerdem die Stunde und den Wochentag in der Zeitzone, die für das Konto eingestellt ist. Zeigt der Dienst eine Fehlermeldung, wird nur ihr Code erfasst, nicht ihr Wortlaut. Inhalte, Titel, Suchbegriffe und die IP-Adresse werden nicht erfasst.

(2) Erfasst werden ausschließlich folgende Handlungen:

• Seite aufgerufen
• Seite wieder angesehen
• Seite geladen
• Kaltstart
• Reaktionszeit
• Mehrfach auf dieselbe Stelle geklickt
• Karte bewertet
• To-do abgehakt
• Notiz oder Dokument angelegt
• Termin angelegt
• Befehle aus der Schnellsuche, mit der Kennung des Befehls
• Knöpfe, die im Dienst als messbar gekennzeichnet sind, mit ihrer Kennung
• Fehlermeldungen, die der Schirm zeigt, nur mit ihrem Code
• Benutzte Rücknahmen und Wiederholungen, mit der Art der Handlung
• Beginn, Ende und Abbruch einer Lernsitzung, des Bearbeitens eines Dokuments, eines Gesprächs mit dem Tutor und eines Timers, jeweils mit der Dauer

(3) Die Angaben nach Absatz 2 erhebt der Browser des Nutzers und übermittelt sie an den Anbieter. Mit der ersten Handlung einer Sitzung übermittelt er zudem die Geräteklasse nach der Breite des Fensters (Telefon, Tablet oder Schreibtisch), ob mit Berührung oder mit Maus bedient wird, ob der Dienst als App installiert ist, das gewählte Farbschema und die Sprache der Oberfläche, jeweils aus einer festen Liste; die genaue Bildschirmgröße, die Kennung des Browsers und die installierten Schriften werden nicht erhoben. Dies geschieht nur mit Einwilligung des Nutzers nach § 25 Abs. 1 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO. Um Aufrufe innerhalb eines Browserfensters einander zuordnen zu können, legt der Browser im Speicher des jeweiligen Tabs (sessionStorage) eine zufällige Kennung ab; sie wird nach dreißig Minuten ohne Eingabe durch eine neue ersetzt, erlischt mit dem Schließen des Tabs und wird beim Widerruf gelöscht, und der Anbieter speichert sie nur als Pseudonym. Der Dienst fragt die Einwilligung einmal nach der Anmeldung ab; ohne Erteilung unterbleibt die Erhebung. Gespeichert wird, ob und wann sie erteilt wurde und zu welcher Fassung des Wortlauts (Art. 7 Abs. 1 DSGVO). Die Einwilligung ist freiwillig und kann jederzeit in den Einstellungen unter „Deine Daten“ mit Wirkung für die Zukunft widerrufen werden; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

(4) Angaben, die der Anbieter ausschließlich aus Anfragen ableitet, die der Browser zur Erbringung des Dienstes ohnehin stellt, verarbeitet er auf Grundlage seines berechtigten Interesses an der Weiterentwicklung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Dies sind die aufgerufene Funktion des Dienstes, unterschieden danach, ob sie Daten liest oder ändert, und bei einem Zugriff über die MCP-Schnittstelle die Bezeichnung des genutzten Werkzeugs, jeweils mit dem Zeitpunkt und der Dauer bis zur Antwort; Konto und Sitzung werden wie nach Absatz 1 nur als Pseudonym gespeichert. Der Nutzer kann dieser Verarbeitung jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen, indem er in den Einstellungen unter „Deine Daten“ den Schalter „Nutzung erfassen“ ausschaltet. Danach legt der Anbieter für das Konto keine Einträge im Nutzungsprotokoll mehr an, auch nicht nach Absatz 3.

(5) Die Einträge sehen die Administratoren des Dienstes in einer Auswertung über alle Konten; an Dritte werden sie nicht übermittelt. Sie werden nach der in § 6 genannten Frist gelöscht, mit der Löschung des Kontos sofort. Zuvor fasst der Anbieter sie zu Summen je Tag zusammen, etwa wie oft ein Bereich aufgerufen wurde und von wie vielen Konten; diese Summen enthalten weder Konto noch Sitzung, auch nicht als Pseudonym, und bleiben über die Frist und die Löschung eines Kontos hinaus erhalten.

§ 8 Rechte der betroffenen Person

(1) Der betroffenen Person stehen gegenüber dem Anbieter die folgenden Rechte zu:

• Auskunft über die verarbeiteten personenbezogenen Daten nach Art. 15 DSGVO.
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten nach Art. 16 DSGVO.
• Löschung nach Art. 17 DSGVO, soweit keine gesetzliche Aufbewahrungspflicht und kein sonstiger Ausschlussgrund entgegensteht.
• Einschränkung der Verarbeitung nach Art. 18 DSGVO.
• Datenübertragbarkeit nach Art. 20 DSGVO; der Dienst stellt hierfür eine Ausgabe der eigenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereit.
• Widerspruch gegen eine Verarbeitung auf Grundlage des Art. 6 Abs. 1 lit. f DSGVO nach Art. 21 DSGVO; gegen Verarbeitung zum Zwecke der Direktwerbung besteht ein Widerspruchsrecht ohne Angabe von Gründen.
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

(2) Zur Ausübung genügt eine Mitteilung an die vorstehend genannte Kontaktadresse. Der Anbieter beantwortet sie unverzüglich, in jedem Fall aber innerhalb eines Monats nach Eingang; diese Frist kann sich bei Komplexität des Antrags oder einer Vielzahl von Anträgen um weitere zwei Monate verlängern, worüber die antragstellende Person innerhalb des ersten Monats unter Angabe der Gründe unterrichtet wird (Art. 12 Abs. 3 DSGVO). Der Anbieter ist berechtigt, zur Feststellung der Identität geeignete Nachweise zu verlangen, wenn begründete Zweifel an der Identität der antragstellenden Person bestehen (Art. 12 Abs. 6 DSGVO).

(3) Für die Auskunft nach Art. 15 und die Datenübertragbarkeit nach Art. 20 steht unter „Einstellungen → Deine Daten“ ein Datenexport bereit, der die eigenen Daten strukturiert und vollständig ausgibt; für die Löschung nach Art. 17 steht dort die Kontolöschung bereit. Beide Wege stehen ohne Wartezeit und ohne Mitteilung an den Anbieter offen. Für die übrigen in diesem Paragraphen genannten Rechte sowie dann, wenn der Zugang zum Konto nicht oder nicht mehr möglich ist, bleibt die vorstehend genannte Kontaktadresse der Weg.

(4) Unabhängig hiervon besteht ein Beschwerderecht bei einer Aufsichtsbehörde nach Art. 77 DSGVO. Zuständig für den Anbieter ist die nachstehend genannte Behörde.

§ 9 Erforderlichkeit der Bereitstellung

Die Bereitstellung der Bestandsdaten ist für den Abschluss und die Durchführung des Nutzungsverhältnisses erforderlich. Ohne sie kann ein Konto nicht eingerichtet und der Dienst nicht erbracht werden. Eine gesetzliche Verpflichtung zur Bereitstellung besteht nicht.

§ 10 Automatisierte Entscheidungsfindung

Eine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung, die der betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), findet derzeit nicht statt. Sollte eine solche Verarbeitung eingeführt werden, wird hierüber gesondert informiert.

§ 11 Datensicherheit

(1) Die Übertragung zwischen Endgerät und Server erfolgt verschlüsselt nach dem Stand der Technik (TLS). Die Inhalte der Schnittstellenaufrufe werden zusätzlich Ende-zu-Ende verschlüsselt (Diffie-Hellman-Schlüsselaustausch, AES-256-GCM). Passwörter werden ausschließlich als Hash mit individuellem Salt gespeichert.

(2) Der Anbieter trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Eine absolute Sicherheit der Datenübertragung im Internet kann nicht gewährleistet werden.

§ 12 Änderungen dieser Erklärung

Der Anbieter behält sich vor, diese Erklärung anzupassen, um sie geänderten Rechtslagen, Änderungen des Dienstes oder geänderten Verarbeitungen anzupassen. Maßgeblich ist die jeweils zum Zeitpunkt der Nutzung veröffentlichte Fassung.