Datenschutzerklärung

1. Einleitung

1.1 Allgemeine Hinweise und Pflichtinformationen

Mit dieser Datenschutzerklärung informieren wir über die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der von der cluetec GmbH angebotenen Produkte, Anwendungen und Services. Zur einheitlichen und vereinfachten Darstellung werden diese nachfolgend zusammenfassend als „cluetec Dienste“ bezeichnet. Hierzu zählen insbesondere konkrete Dienste wie beispielsweise „cluetec Audit“ oder „mQuest“.

cluetec nimmt den Schutz Ihrer persönlichen Daten sehr ernst. Wir behandeln Ihre personenbezogenen Daten vertraulich und entsprechend der gesetzlichen Datenschutzvorschriften sowie dieser Datenschutzerklärung. Wenn Sie die cluetec Dienste benutzen, werden verschiedene personenbezogene Daten erhoben. Personenbezogene Daten sind Daten, mit denen Sie persönlich identifiziert werden können. Die vorliegende Datenschutzerklärung erläutert, welche Daten wir erheben und wofür wir sie nutzen. Sie erläutert auch, wie und zu welchem Zweck das geschieht. Wir weisen darauf hin, dass die Datenübertragung im Internet (z.B. bei der Kommunikation per E-Mail) Sicherheitslücken aufweisen kann. Ein lückenloser Schutz der Daten vor dem Zugriff durch Dritte ist nicht möglich.

1.2 Funktionsweise cluetec Dienste

Bei den cluetec Diensten handelt es sich um Softwarelösungen der cluetec GmbH mit Sitz in Karlsruhe. Die cluetec GmbH unterstützt ihre Kunden mit ihren Produkten und Dienstleistungen insbesondere in den Bereichen Auditmanagement, Datenerfassung, Befragung, Erhebung und digitale Checklisten über mobile Endgeräte oder browserbasierte Anwendungen.

cluetec ist technischer Dienstleister. cluetec Dienste werden ausschließlich von cluetec oder von Unternehmen eingesetzt, die dafür von cluetec eine Lizenz erworben haben (im Folgenden „Kunden“). Die cluetec Dienste werden von cluetec als „Software as a Service“ (SaaS) zur Verfügung gestellt. Der direkte Zugriff durch Dritte auf die cluetec Dienste kann nicht ausgeschlossen werden. In manchen Fällen betreiben Kunden von cluetec die Software auch eigenverantwortlich in einem eigenen Rechenzentrum. In diesen Fällen ist der cluetec Kunde einziger Ansprechpartner in Sachen Datenschutz, da die cluetec keine personenbezogenen Daten verarbeitet. Bitte wenden Sie sich in diesen Fällen direkt an den entsprechenden cluetec Kunden. Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie unsere cluetec Dienste nutzen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können. Personenbezogene Daten können sowohl von cluetec Kunden als auch von Nutzern stammen oder von Mitarbeitern der cluetec Kunden eingegeben werden.

Diese Datenschutzerklärung bezieht sich auf die cluetec Dienste. Eventuell stellen unsere Kunden eine kundenspezifische Datenschutzerkläung in einem dafür vorgesehenen Bereich ihren Usern zur Verfügung (bspw. unter Medien&Dateien bei cluetec Audit).

Die Datenschutzerklärung für die Besucher der cluetec Webseite finden Sie unter https://cluetec-audit.de/privacy-statement-eu/

2. Datenverarbeitung bei Nutzung der cluetec Dienste

2.1 Rollen und Verantwortlichkeiten

cluetec Dienste werden als cloudbasierte Multi-Tenant-SaaS-Lösung betrieben. Soweit unsere Kunden personenbezogene Daten in cluetec Diensten erfassen, eingeben, speichern, auswerten oder löschen, verarbeitet cluetec diese Daten grundsätzlich als Auftragsverarbeiter im Auftrag des jeweiligen Kunden. Der jeweilige Kunde ist insoweit Verantwortlicher im Sinne der DSGVO und entscheidet insbesondere über Zwecke, Inhalte, Kategorien personenbezogener Daten, Empfänger und Löschfristen.

Soweit cluetec personenbezogene Daten zur Bereitstellung, Absicherung, Überwachung und Weiterentwicklung der Plattform verarbeitet, erfolgt dies in eigener datenschutzrechtlicher Verantwortung. Dies betrifft insbesondere technische Betriebsdaten, Sicherheitsprotokolle, Telemetrie- und Diagnosedaten sowie Daten, die zur Erkennung, Analyse und Abwehr von Störungen, Missbrauch und Cyberangriffen erforderlich sind.

2.2 Cookies und vergleichbare Technologien

Die webbasierten cluetec Dienste verwenden Cookies sowie vergleichbare Technologien, insbesondere Browser-Speicher, Sitzungs- und Sicherheitstoken, um die sichere und funktionsfähige Bereitstellung des Dienstes zu ermöglichen.

Hierzu zählen insbesondere Technologien, die erforderlich sind für:

• Anmeldung und Sitzungsverwaltung
• Lastverteilung und Systemsicherheit
• Speicherung sicherheitsrelevanter Einstellungen
• Fehleranalyse und technische Bereitstellung der Anwendung

Diese technisch erforderlichen Technologien werden eingesetzt, um die cluetec Dienste sicher und nutzbar bereitzustellen. Soweit hierbei personenbezogene Daten verarbeitet werden, erfolgt die Verarbeitung zur Erfüllung des Nutzungsverhältnisses mit dem jeweiligen Kunden oder auf Grundlage unseres berechtigten Interesses an der sicheren, stabilen und technisch ordnungsgemäßen Bereitstellung der cluetec Dienste gemäß Art. 6 Abs. 1 lit. f DSGVO.

Sie können Ihren Browser so konfigurieren, dass Sie über das Setzen von Cookies informiert werden oder Cookies ganz oder teilweise ablehnen. Bitte beachten Sie, dass die Funktionalität der cluetec Dienste hierdurch eingeschränkt sein kann, soweit technisch erforderliche Funktionen betroffen sind.

2.3 Technische Protokolle und Sicherheitslogs

Bei der Nutzung der cluetec Dienste werden aus technischen und sicherheitsbezogenen Gründen Protokoll- und Diagnosedaten verarbeitet. Hierzu können insbesondere folgende Daten gehören:

• Zeitpunkt des Zugriffs und der Anfrage
• technische Informationen zum genutzten Endgerät, Betriebssystem, Browser oder zur App-Version
• System- und Statusinformationen
• Fehler- und Leistungsdaten
• pseudonymisierte Benutzer- und Sitzungskennungen
• Informationen zu API-Aufrufen und Systemereignissen
• sicherheitsrelevante Ereignisse und Auffälligkeiten

Diese Verarbeitung erfolgt, soweit sie der Betriebsstabilität, Fehlersuche, Missbrauchserkennung, Angriffserkennung, Systemhärtung und IT-Sicherheit dient, auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO. Protokoll- und Sicherheitsdaten in Azure werden grundsätzlich für bis zu drei Monate gespeichert und anschließend gelöscht oder anonymisiert, soweit keine längere Speicherung zur Aufklärung konkreter Sicherheitsvorfälle, zur Erfüllung gesetzlicher Pflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Soweit Protokolle unmittelbar kundenbezogene Aktionen innerhalb der Anwendung dokumentieren, etwa im Rahmen von Audit- oder Nachvollziehbarkeitsfunktionen, verarbeitet cluetec diese Daten im Auftrag des jeweiligen Kunden.

2.4 Benutzerkonten und Zugangsverwaltung

Für die Nutzung von cluetec Diensten können Benutzerkonten erforderlich sein. Dabei werden die für die Einrichtung, Verwaltung und Nutzung des Benutzerkontos erforderlichen Daten verarbeitet. Hierzu zählen regelmäßig insbesondere:

• geschäftliche E-Mail-Adresse
• Anmelde- und Authentifizierungsinformationen
• Rollen- und Berechtigungszuweisungen
• vom Kunden konfigurierte Profildaten

Weitere Angaben können je nach Ausgestaltung durch den Kunden optional sein. Die Verarbeitung dieser Daten erfolgt im Rahmen der Bereitstellung des Dienstes im Auftrag des jeweiligen Kunden. Der Kunde entscheidet über Einrichtung, Berechtigungen, Änderungen, Sperrung und Löschung von Benutzerkonten.

2.5 Kundendaten und Datenverarbeitung im Auftrag

Die in cluetec Diensten erfassten Inhalte, Formulardaten, Auditdaten, Feststellungen, Maßnahmen, Anhänge, Kommentare, Chatverläufe, hochgeladenen Dokumente und sonstigen vom Kunden oder dessen Nutzern eingegebenen Daten werden ausschließlich nach Weisung des jeweiligen Kunden verarbeitet.

Der jeweilige Kunde bestimmt, welche personenbezogenen Daten in cluetec Diensten verarbeitet werden und auf welcher Rechtsgrundlage dies erfolgt. Bitte wenden Sie sich daher bei Fragen zur inhaltlichen Datenerfassung, zu Betroffenenrechten im Hinblick auf Kundendaten oder zur inhaltlichen Löschung grundsätzlich an den jeweiligen Kunden.

Kundendaten werden entsprechend den vertraglichen Vereinbarungen, den vom Kunden konfigurierten Aufbewahrungs- und Löschregeln sowie nach Beendigung des Vertragsverhältnisses gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten oder technisch erforderlichen, zeitlich begrenzten Restbestände in Sicherungskopien entgegenstehen.

2.6 Pseudonymisierte Produkt- und Nutzungsmetriken

Zur Überwachung, Fehleranalyse und nutzerorientierten Weiterentwicklung von cluetec Diensten setzen wir Microsoft Azure Application Insights ein. Dabei verarbeiten wir pseudonymisierte Telemetrie- und Nutzungsdaten, insbesondere zu Performance, Stabilität, Fehlermustern, Seitenaufrufen, Funktionsnutzung sowie technischen Nutzungspfaden innerhalb der Anwendung.

Hierbei werden keine Tracking- oder Marketingprofile erstellt. IP-Adressen werden nicht gespeichert. Es werden pseudonymisierte Benutzer- und Sitzungskennungen verarbeitet; unmittelbar identifizierende personenbezogene Daten werden in diesem Zusammenhang nicht erhoben.

Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses gemäß Art. 6 Abs. 1 lit. f DSGVO, unsere cluetec Dienste sicher, performant, nutzerfreundlich und wirtschaftlich bereitzustellen und fortlaufend zu verbessern.

2.7 Datenverarbeitung bei Audit Intelligence

Audit Intelligence umfasst die KI-gestützten Funktionen in cluetec Diensten, die der Unterstützung von Analysen, Auswertungen, Zusammenfassungen, Vorschlägen, Such- und Assistenzfunktionen im cluetec Diensten-Kontext dienen.

Soweit Kunden solche Funktionen nutzen, können die hierfür erforderlichen Kundendaten, insbesondere Auditberichte, Feststellungen, Maßnahmen, Dokumentinhalte, Prompts, Chatverläufe, Eingaben und generierte Ausgaben, verarbeitet werden. Sofern diese Inhalte personenbezogene Daten enthalten, erfolgt die Verarbeitung durch cluetec als Auftragsverarbeiter im Auftrag des jeweiligen Kunden.

Für die Bereitstellung von Audit Intelligence nutzt cluetec Dienste von Microsoft Azure OpenAI und Azure AI Services in EU-Regionen, derzeit insbesondere West Europe und Sweden Central. Die Verarbeitung erfolgt innerhalb der EU. Die Daten werden mandantenbezogen verarbeitet und sind nicht für andere Kunden zugänglich. Sie werden nicht anderen Kunden oder anderen Modellanbietern offengelegt und nicht zur Schulung generativer KI-Grundmodelle verwendet, sofern der Kunde hierzu nicht ausdrücklich eine gesonderte Weisung oder Einwilligung erteilt hat.

Prompts, Chatverläufe und generierte Ausgaben werden als Bestandteil der Kundendaten behandelt. Für ihre Speicherung, Aufbewahrung und Löschung gelten daher dieselben vertraglichen und kundenspezifischen Regelungen wie für sonstige in cluetec Diensten gespeicherte Inhalte, einschließlich kundenspezifischer Löschfristen oder automatisierter TTL-Regeln.

3. Ihre Rechte

Sie haben das Recht:

• gemäß Art. 15 DSGVO Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen. Insbesondere können Sie Auskunft über die Verarbeitungszwecke, die Kategorie der personenbezogenen Daten, die Kategorien von Empfängern, gegenüber denen Ihre Daten offengelegt wurden oder werden, die geplante Speicherdauer, das Bestehen eines Rechts auf Berichtigung, Löschung, Einschränkung der Verarbeitung oder Widerspruch, das Bestehen eines Beschwerderechts, die Herkunft ihrer Daten, sofern diese nicht bei uns erhoben wurden, sowie über das Bestehen einer automatisierten Entscheidungsfindung einschließlich Profiling und ggf. aussagekräftigen Informationen zu deren Einzelheiten verlangen;
• gemäß Art. 16 DSGVO unverzüglich die Berichtigung unrichtiger oder Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen;
• gemäß Art. 17 DSGVO die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist;
• gemäß Art. 18 DSGVO die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird, die Verarbeitung unrechtmäßig ist, Sie aber deren Löschung ablehnen und wir die Daten nicht mehr benötigen, Sie jedoch diese zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen oder Sie gemäß Art. 21 DSGVO Widerspruch gegen die Verarbeitung eingelegt haben;
• gemäß Art. 20 DSGVO Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesebaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen;
• gemäß Art. 7 Abs. 3 DSGVO Ihre einmal erteilte Einwilligung jederzeit gegenüber uns zu widerrufen. Dies hat zur Folge, dass wir die Datenverarbeitung, die auf dieser Einwilligung beruhte, für die Zukunft nicht mehr fortführen dürfen und
• gemäß Art. 77 DSGVO sich bei einer Aufsichtsbehörde zu beschweren. In der Regel können Sie sich hierfür an die Aufsichtsbehörde Ihres üblichen Aufenthaltsortes oder Arbeitsplatzes oder unseres Sitzes wenden.
• Bitte richten Sie Anfragen (bspw. Betroffenenanfrage, Auskunftsanfragen usw.) an die verantwortliche Stelle, im Normalfall den cluetec Kunden, der die cluetec Dienste nutzt.

Möchten Sie sich direkt an cluetec als Auftragsverarbeiter wenden, kontaktieren Sie uns bitte unter datenschutz@cluetec.de oder an den auf unsere Webseite angegebenen Kontakt: https://cluetec-audit.de/privacy-statement-eu

4. Sicherheit

4.1 Technische und organisatorische Maßnahmen

cluetec setzt angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten gegen Verlust, unbefugten Zugriff, unbefugte Veränderung, unbefugte Offenlegung sowie gegen sonstige unrechtmäßige oder unbeabsichtigte Verarbeitungen zu schützen. Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der Risiken fortlaufend überprüft und bei Bedarf angepasst.

4.2 Verschlüsselung und sichere Übertragung

Die Übertragung von Daten zwischen Endgeräten, Apps, Browsern und den cluetec Diensten erfolgt verschlüsselt nach dem Stand der Technik. Für öffentlich erreichbare Verbindungen setzen wir insbesondere TLS-gesicherte Übertragungswege ein. Daten werden zudem in den von uns genutzten Datenbanken und Speichersystemen verschlüsselt gespeichert.

4.3 Mandantentrennung und Zugriffsschutz

cluetec Dienste sind als Multi-Tenant-Plattform mit logischer Trennung von Kundendaten ausgelegt. Zugriffe auf Daten sind auf berechtigte Personen und Systeme beschränkt und folgen dem Need-to-know- und Least-Privilege-Prinzip. Zum Schutz der Zugänge unterstützen bzw. verwenden wir je nach Einsatzszenario, insbesondere rollenbasierte Berechtigungskonzepte, Single Sign-on, Multi-Faktor-Authentifizierung und moderne Authentifizierungsverfahren wie Passkeys.

4.4 Betriebssicherheit und Resilienz

Zur Sicherstellung von Verfügbarkeit, Integrität und Belastbarkeit der cluetec Dienste setzt cluetec Maßnahmen wie Systemüberwachung, Protokollierung sicherheitsrelevanter Ereignisse, Schwachstellenmanagement, Datensicherungen sowie Wiederherstellungsverfahren ein. Sicherheitsrelevante Vorfälle werden nach etablierten Prozessen erkannt, bewertet und bearbeitet.

4.5 Vertraulichkeit

Personenbezogene Daten, die über die cluetec Dienste verarbeitet werden, werden vertraulich behandelt. Zugriff auf Kundendaten erhalten nur solche Personen oder Subunternehmer, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen und entsprechend auf Vertraulichkeit verpflichtet sind. Soweit cluetec externe Dienstleister einsetzt, erfolgt dies unter Beachtung der datenschutzrechtlichen und vertraglichen Anforderungen.

4.6 Ort der Verarbeitung

Die Datenverarbeitung im Rahmen der cluetec Dienste erfolgt ausschließlich innerhalb der Europäischen Union. Dies gilt auch für die von uns eingesetzten KI-Dienste im Rahmen von Audit Intelligence.

5. Datenschutzbeauftragte Person

Gesetzlich vorgeschriebene Datenschutzbeauftragte Person

Wir haben für unser Unternehmen einen Datenschutzbeauftragten bestellt.

Datenschutz perfect GmbH

datenschutz@cluetec.de

Orte der Datenverarbeitung

Die Datenverarbeitung durch cluetec findet ausschließlich innerhalb der EU statt.

7. Unterlieferanten

Anbieter von Cloud Diensten

Microsoft Ireland Operations Limited
Private Company Limited by Shares | Eingetragen in Irland | Nr. 256796
70 Sir John Rogerson’s Quay | Dublin 2 | Irland
https://azure.microsoft.com/de-de/

MongoDB, Inc.
1633 Broadway | 38th Floor | New York, NY 10019
https://www.mongodb.com/

8. Änderungen dieser Datenschutzerklärung

Wir behalten uns das Recht vor, unsere Datenschutzerklärungen zu ändern, falls dies aufgrund neuer Technologien notwendig sein sollte. Bitte stellen Sie sicher, dass Ihnen die aktuellste Version vorliegt.