Datenschutzerklärung

01 · Ansprechstelle

Verantwortliche Stelle

Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO für die in dieser Erklärung als eigene Verarbeitungen bezeichneten Vorgänge ist:

Datenschutzbeauftragte

Zur Datenschutzbeauftragten der KALION GmbH ist die folgende externe Stelle bestellt:

Sie können sich mit allen Anliegen zum Datenschutz unmittelbar und vertraulich an die Datenschutzbeauftragte wenden. Die Nennung einer bestimmten natürlichen Person ist hierfür nicht erforderlich.

02 · Verantwortlichkeiten

Wer ist wofür verantwortlich?

KALION als Verantwortliche

KALION entscheidet selbst über Zwecke und Mittel der Verarbeitung insbesondere bei Produktwebseiten, Kontakt- und Testanfragen, Vertragsverwaltung, Abrechnung, Bereitstellung und Absicherung von Nutzerkonten, eigenem Support sowie der Erfüllung gesetzlicher Pflichten.

Kundenorganisation als Verantwortliche

Nutzt eine Kanzlei, Rechtsabteilung oder andere Organisation SILCROW zur Verarbeitung eigener Mandats-, Beschäftigten-, Kontakt-, Kommunikations-, Dokument-, Termin- oder Abrechnungsdaten, legt grundsätzlich diese Organisation die Zwecke und wesentlichen Mittel fest. Sie ist dann datenschutzrechtlich Verantwortliche; KALION verarbeitet die Daten regelmäßig auf Grundlage einer Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO und nach dokumentierten Weisungen.

Wichtig für Betroffene: Bezieht sich Ihr Anliegen auf Inhalte einer bestimmten Kanzlei oder Organisation, wenden Sie sich bitte vorrangig an diese Stelle. KALION unterstützt den jeweiligen Verantwortlichen bei der Bearbeitung und leitet Anfragen, soweit erforderlich und zulässig, sicher weiter.

Eigenständige Drittanbieter

Bei bewusst aktivierten externen Diensten – etwa einem Zahlungsdienst, Microsoft 365, einem App-Store oder einem Telekommunikationsdienst – kann der jeweilige Anbieter für bestimmte Verarbeitungsschritte selbst verantwortlich sein. In diesem Fall gelten ergänzend dessen Datenschutzhinweise.

03 · Transparenz

Datenkategorien und Quellen

Je nach Nutzung verarbeiten wir insbesondere folgende Kategorien:

• Stamm- und Kontaktdaten: Name, Organisation, Funktion, Anschrift, E-Mail-Adresse, Telefonnummer.
• Konto- und Berechtigungsdaten: Benutzerkennung, Rollen, Mandantenzuordnung, Einladungs-, Sitzungs- und Mehrfaktorinformationen.
• Vertrags- und Abrechnungsdaten: Tarif, Leistungen, Rechnungs- und Zahlungsstatus sowie steuerlich erforderliche Angaben.
• Nutzungs- und Gerätedaten: aufgerufene Funktionen, Zeitpunkte, technische Ereignisse, Browser-, App- und Geräteinformationen.
• Verbindungs- und Sicherheitsdaten: IP-Adresse, Protokolldaten, fehlgeschlagene Zugriffe, Sicherheits- und Auditereignisse.
• Kommunikationsdaten: Inhalt und Metadaten von Anfragen, Supportfällen, E-Mails, Terminen, Telefonie oder Benachrichtigungen.
• Kundeninhalte: Akten, Kontakte, Dokumente, Nachrichten, Termine, Fristen, Aufgaben, Zeit-, Finanz- und Buchhaltungsdaten.
• Besondere oder besonders vertrauliche Daten: nur soweit sie durch die Kundenorganisation oder berechtigte Nutzer in SILCROW verarbeitet werden, beispielsweise Gesundheitsdaten, Angaben zu Verfahren oder berufsrechtlich geschützte Inhalte.

Die Daten stammen von Ihnen, Ihrer Organisation, von Kommunikationspartnern, aus angebundenen Diensten, aus von Ihnen übermittelten Dokumenten oder – soweit rechtlich zulässig – aus öffentlich zugänglichen Quellen und Registern. Erhalten wir Daten nicht unmittelbar von Ihnen, bestimmt regelmäßig die jeweilige Kundenorganisation deren Erhebung und Nutzung.

04 · Zwecke

Wesentliche Verarbeitungsvorgänge

Soweit wir uns auf Art. 6 Abs. 1 lit. f DSGVO stützen, liegen unsere berechtigten Interessen in einem sicheren, stabilen und wirtschaftlichen Betrieb, der Verhinderung von Missbrauch, der Verbesserung von Bedienbarkeit und Support sowie der Geltendmachung oder Abwehr von Ansprüchen. Eine Interessenabwägung berücksichtigt Art, Umfang, Kontext und vernünftige Erwartungen der betroffenen Personen.

05 · Technischer Betrieb

Aufruf, Protokolle und Sicherheit

Beim Aufruf eines SILCROW-Dienstes verarbeitet der ausliefernde Server technisch erforderliche Angaben. Dazu können IP-Adresse, Datum und Uhrzeit, angeforderte Adresse, übertragene Datenmenge, Status- und Fehlercode, Referrer sowie Browser-, Betriebssystem- und Geräteangaben gehören. Die Verarbeitung ist erforderlich, um Inhalte auszuliefern, Sitzungen zuzuordnen, technische Fehler zu erkennen und Angriffe abzuwehren.

Sicherheits- und Auditprotokolle werden nur berechtigten Personen zugänglich gemacht und nicht zur Erstellung von Werbeprofilen verwendet. Eine längere Aufbewahrung erfolgt nur, wenn ein konkretes Sicherheitsereignis, eine gesetzliche Pflicht oder die Rechtsverfolgung dies erfordert.

Datensparsame Rechtstexte: Diese Impressums- und Datenschutzseiten enthalten keine externen Analysewerkzeuge, Social-Media-Pixel, Werbenetzwerke oder extern geladenen Schriftarten.

06 · Nutzung von SILCROW

Konto, Vertrag, Support und Zahlung

Nutzerkonto und Organisation

Konten werden durch KALION oder durch eine berechtigte Administration der jeweiligen Kundenorganisation eingerichtet. Verarbeitet werden die zur Identifikation, Mandantenzuordnung, Lizenzierung, Rechtevergabe und Absicherung erforderlichen Daten. Passwörter werden nicht im Klartext gespeichert. Bei aktivierter Mehrfaktor- Authentifizierung werden die hierfür erforderlichen Geheimnisse, Wiederherstellungs- und Statusdaten geschützt verarbeitet.

Kontakt, Testzugang und Support

Wenn Sie uns schreiben, einen Testzugang anfragen oder Support nutzen, verarbeiten wir Ihre Angaben zur Bearbeitung des Anliegens. Freitextfelder sollten nur Informationen enthalten, die für die Anfrage erforderlich sind. Für Fehleranalysen können nach Ihrer Freigabe technische Diagnoseinformationen verarbeitet werden; produktive Kundeninhalte werden nur einbezogen, wenn dies erforderlich und autorisiert ist.

Vertrag und optionale Online-Zahlung

Für Vertragsverwaltung und Abrechnung verarbeiten wir Ansprechpartner-, Leistungs-, Rechnungs- und Zahlungsstatusdaten. Wird eine optionale Online-Zahlung angeboten und ausgewählt, werden die zur Durchführung notwendigen Daten an den Zahlungsdienst übermittelt. Vollständige Karten- oder Bankzugangsdaten werden dabei regelmäßig direkt durch den Zahlungsdienst erhoben und nicht von KALION gespeichert.

07 · Auftragsverarbeitung

Kundeninhalte und besonders geschützte Daten

SILCROW kann je nach gebuchtem und freigeschaltetem Funktionsumfang Akten-, Kontakt-, Dokument-, Nachrichten-, Kalender-, Fristen-, Aufgaben-, Zeit-, Rechnungs-, Zahlungs- und Buchhaltungsdaten verarbeiten. Solche Inhalte können Berufsgeheimnisse, Informationen über Gerichts- oder Verwaltungsverfahren, Daten nach Art. 9 DSGVO oder Angaben zu strafrechtlichen Verurteilungen und Straftaten nach Art. 10 DSGVO enthalten.

Für diese Inhalte ist grundsätzlich die jeweilige Kundenorganisation verantwortlich. Sie bestimmt Zulässigkeit, Rechtsgrundlagen, Informationspflichten, Berechtigungen, Löschfristen und den Umgang mit Betroffenenrechten. KALION verarbeitet die Inhalte weisungsgebunden, setzt technische und organisatorische Maßnahmen ein und unterstützt die Organisation nach Maßgabe der Auftragsverarbeitungsvereinbarung.

Vertraulichkeitsprinzip: Zugriffe von KALION auf produktive Inhalte erfolgen nur, soweit sie für Betrieb, Sicherheit oder beauftragten Support erforderlich, rechtlich zulässig und organisatorisch abgesichert sind. Berechtigungen werden nach dem Erforderlichkeitsprinzip vergeben und protokolliert.

08 · Weitergabe

Empfänger und optionale Dienste

Innerhalb von KALION erhalten nur Personen Zugriff, die ihn für ihre Aufgaben benötigen. Eine Übermittlung an externe Stellen erfolgt nur, wenn sie für die Leistung erforderlich, von der Kundenorganisation aktiviert oder angewiesen, gesetzlich vorgeschrieben oder anderweitig datenschutzrechtlich zulässig ist.

Die konkret verfügbaren und tatsächlich aktivierten Integrationen können je Kundenorganisation abweichen. Soweit ein Empfänger als Auftragsverarbeiter tätig wird, wird er vertraglich nach Art. 28 DSGVO gebunden. Informationen zu den für eine konkrete Instanz eingesetzten Unterauftragsverarbeitern können über den Datenschutzkontakt oder nach Maßgabe der Auftragsverarbeitungsvereinbarung angefordert werden.

09 · KALINA

KI-gestützte Funktionen

SILCROW kann optionale KI-Funktionen bereitstellen, etwa für Entwürfe, Zusammenfassungen, Klassifizierung, Suche oder die Erkennung von Informationen in Dokumenten. Die Funktion verarbeitet nur die hierfür ausgewählten oder nach einer dokumentierten Weisung bereitgestellten Inhalte. Wo es mit dem Zweck vereinbar ist, werden Inhalte vor einer externen Verarbeitung minimiert, pseudonymisiert oder von unmittelbar identifizierenden Merkmalen bereinigt.

Welcher technische Dienst verwendet wird und ob Daten eine von KALION kontrollierte Infrastruktur verlassen, richtet sich nach der vertraglichen und technischen Konfiguration der Kundeninstanz. Externe KI-Dienste werden nur mit geeigneter datenschutzrechtlicher Grundlage und den erforderlichen vertraglichen Schutzmaßnahmen eingesetzt. KALION verwendet Kundeninhalte nicht für ein eigenes allgemeines Modelltraining, sofern dies nicht zuvor ausdrücklich und gesondert vereinbart wurde.

Menschliche Kontrolle: KI-Ausgaben sind Vorschläge. SILCROW trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung über betroffene Personen. Fachlich bedeutsame Ergebnisse müssen von einer hierzu befugten Person geprüft werden.

10 · Endgeräte

Desktop, Mobile und Office-Add-ins

Desktop- und Mobilanwendungen können die SILCROW-Cloud in einer geschützten Webansicht bereitstellen und zusätzlich Gerätefunktionen nutzen. Hierzu können Gerätekennung, Betriebssystem, App-Version, Update- und Diagnosestatus, sichere lokale Sitzungsdaten, Deep Links sowie – nach Ihrer Freigabe – Mikrofon, Kamera, Dateiablage oder Push-Benachrichtigungen gehören. Berechtigungen können in den System- oder App-Einstellungen widerrufen werden; einzelne Funktionen stehen dann möglicherweise nicht mehr zur Verfügung.

Word- und Outlook-Add-ins greifen auf Dokumente, E-Mails oder Anhänge nur im Rahmen der angezeigten Berechtigungen und ausgelösten SILCROW-Funktion zu. Inhalte können dabei zur Speicherung oder Bearbeitung an die autorisierte Kundeninstanz übertragen werden. Der jeweilige Office- oder App-Plattformanbieter verarbeitet daneben eigene Konto-, Store- und Telemetriedaten in eigener Verantwortlichkeit.

11 · Endgerätespeicher

Cookies, Local Storage und ähnliche Techniken

SILCROW verwendet technisch erforderliche Cookies oder vergleichbare Speichertechniken, um Anmeldung und Sitzung abzusichern, Sprache und Darstellung zu speichern, Mandantenkontext und Gerätekopplung bereitzustellen, Eingaben vor unbeabsichtigtem Verlust zu schützen sowie Offline- und Updatefunktionen zu ermöglichen. Die Rechtsgrundlage ist § 25 Abs. 2 TDDDG; die anschließende Verarbeitung erfolgt nach Art. 6 Abs. 1 lit. b oder f DSGVO.

Marketing- oder Reichweitentechniken, die eine Einwilligung erfordern, werden nicht ohne vorherige informierte Auswahl gesetzt. Soweit eine solche optionale Funktion künftig angeboten wird, ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG die Grundlage. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Sie können Speicherinhalte über Browser- oder App-Einstellungen löschen. Das Blockieren technisch notwendiger Speicherungen kann dazu führen, dass Anmeldung, Sicherheit oder Kernfunktionen nicht ordnungsgemäß arbeiten.

12 · Internationaler Datentransfer

Verarbeitung außerhalb von EU und EWR

Der zentrale SILCROW-Kernbetrieb erfolgt in Deutschland. Bei optionalen Integrationen, weltweiten Supportstrukturen eines Anbieters oder der Nutzung durch eine international aufgestellte Kundenorganisation kann eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nicht vollständig ausgeschlossen sein.

Ein Drittlandtransfer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses nach Art. 45 DSGVO – bei zertifizierten US-Empfängern gegebenenfalls des EU-US Data Privacy Framework – oder geeigneter Garantien nach Art. 46 DSGVO, regelmäßig EU-Standardvertragsklauseln und, soweit erforderlich, ergänzender technischer und organisatorischer Maßnahmen. Eine Kopie oder weitere Informationen zu den einschlägigen Garantien können über datenschutz@silcrow-global.com angefordert werden.

13 · Löschung

Speicherdauer

Personenbezogene Daten werden gelöscht oder anonymisiert, sobald der jeweilige Zweck entfällt und keine gesetzlichen, vertraglichen oder beweissichernden Gründe entgegenstehen. Maßgeblich sind insbesondere folgende Kriterien:

• Konto- und Vertragsdaten: für die Dauer des Vertrags und anschließend soweit gesetzliche Aufbewahrungs- oder Verjährungsfristen dies erfordern.
• Handels-, Steuer- und Abrechnungsunterlagen: entsprechend den gesetzlichen Fristen, abhängig von der Dokumentart regelmäßig sechs bis zehn Jahre.
• Kontakt- und Testanfragen ohne Vertrag: bis zur abschließenden Bearbeitung und danach nur für einen begrenzten Zeitraum zur Nachweisführung und angemessenen Anschlusskommunikation.
• Supportkommunikation: bis zur Erledigung und anschließend, soweit dies für Qualitätssicherung, Vertragserfüllung oder die Verteidigung von Ansprüchen erforderlich ist.
• Sicherheits- und technische Protokolle: für den zur Betriebs- und Angriffssicherheit erforderlichen Zeitraum; bei einem konkreten Vorfall bis zu dessen Aufklärung und Abschluss erforderlicher Maßnahmen.
• Einwilligungsnachweise: bis zum Widerruf und darüber hinaus nur soweit erforderlich, um die rechtmäßige Verarbeitung nachweisen zu können.
• Kundeninhalte: nach Weisung und Löschkonzept der verantwortlichen Kundenorganisation sowie den Regelungen der Auftragsverarbeitungsvereinbarung. Gesetzliche Sicherungs- oder Aufbewahrungspflichten der Organisation bleiben unberührt.
• Sicherungen: gelöschte Daten können für einen begrenzten Sicherungszyklus in zugriffsbeschränkten Backups verbleiben und werden dort mit der planmäßigen Überschreibung entfernt, sofern keine gesetzliche Sicherungspflicht besteht.

Statt einer Löschung kann eine Einschränkung der Verarbeitung erfolgen, wenn Daten nur noch zur Erfüllung einer gesetzlichen Pflicht oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt werden.

14 · Schutzmaßnahmen

Datensicherheit

KALION trifft unter Berücksichtigung von Stand der Technik, Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören – abhängig vom Schutzbedarf – insbesondere:

• verschlüsselte Übertragung und geschützte Speicherung sicherheitsrelevanter Geheimnisse,
• Mandantentrennung sowie rollen- und funktionsbezogene Zugriffskontrollen,
• Mehrfaktor-Authentifizierung und sichere Sitzungsverwaltung,
• Protokollierung sicherheitsrelevanter Vorgänge und Schutz vor missbräuchlichen Zugriffen,
• Datensicherungen, Wiederherstellungsverfahren und kontrollierte Aktualisierungen,
• Vertraulichkeitsverpflichtungen, Berechtigungskontrollen und Verfahren zur Reaktion auf Sicherheitsvorfälle.

Kein Übertragungs- oder Speichersystem kann absolute Sicherheit garantieren. Bitte schützen Sie Zugangsdaten, verwenden Sie Mehrfaktor-Authentifizierung und melden Sie verdächtige Vorgänge unverzüglich an support@silcrow-global.com.

15 · Rechtmäßigkeit

Rechtsgrundlagen im Überblick

• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, etwa für optionale Benachrichtigungen oder einwilligungsbedürftige Kommunikation.
• Art. 6 Abs. 1 lit. b DSGVO: Vertragsanbahnung und Durchführung eines Vertrags mit Ihnen.
• Art. 6 Abs. 1 lit. c DSGVO: Erfüllung gesetzlicher Pflichten, insbesondere handels-, steuer-, sicherheits- und nachweisbezogener Pflichten.
• Art. 6 Abs. 1 lit. f DSGVO: berechtigte Interessen an sicherem Betrieb, Missbrauchsabwehr, Support, wirtschaftlicher Kommunikation und Rechtsverteidigung.
• Art. 28 DSGVO: weisungsgebundene Auftragsverarbeitung von Kundeninhalten; die Rechtsgrundlage der zugrunde liegenden Verarbeitung bestimmt die Kundenorganisation.

Soweit besondere Kategorien personenbezogener Daten betroffen sind, muss zusätzlich eine Voraussetzung des Art. 9 Abs. 2 DSGVO vorliegen. Bei Kundeninhalten wird diese durch die verantwortliche Kundenorganisation festgelegt und dokumentiert.

16 · Ihre Kontrolle

Betroffenenrechte

Nach Maßgabe der gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf:

• Auskunft über die Verarbeitung und eine Kopie Ihrer Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16 DSGVO),
• Löschung Ihrer Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format (Art. 20 DSGVO),
• Widerspruch gegen bestimmte Verarbeitungen (Art. 21 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO).

Richten Sie Anfragen an datenschutz@silcrow-global.com. Zum Schutz der Daten können wir einen angemessenen Identitätsnachweis verlangen. Bezieht sich die Anfrage auf Kundeninhalte, nennen Sie bitte nach Möglichkeit die zuständige Organisation. Rechte können durch gesetzliche Ausnahmen, Rechte Dritter oder Geheimhaltungspflichten begrenzt sein.

17 · Art. 21 DSGVO

Besonderer Hinweis zum Widerspruchsrecht

18 · Aufsicht

Beschwerderecht

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für KALION ist regelmäßig zuständig:

Ihr Recht, zunächst KALION oder die verantwortliche Kundenorganisation zu kontaktieren, bleibt davon unberührt.

19 · Entscheidungsfreiheit

Pflicht zur Bereitstellung und automatisierte Entscheidungen

Bestimmte Angaben sind für Vertragsanbahnung, Kontoeröffnung, sichere Authentifizierung oder die Nutzung einer ausgewählten Funktion erforderlich. Ohne Pflichtangaben können wir den Vertrag oder die betreffende Funktion gegebenenfalls nicht bereitstellen. Freiwillige Angaben sind als solche erkennbar oder ergeben sich aus dem Kontext.

KALION trifft im eigenen Verantwortungsbereich keine ausschließlich automatisierten Entscheidungen nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Sicherheitsmechanismen können Zugriffe vorübergehend blockieren oder zur manuellen Prüfung markieren. Eine fachliche Bewertung von Kundeninhalten obliegt der verantwortlichen Kundenorganisation.

20 · Aktualität

Änderungen dieser Erklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich Rechtslage, SILCROW-Funktionen, Empfänger oder Verarbeitungsvorgänge wesentlich ändern. Die jeweils aktuelle Fassung ist unter /datenschutz.html abrufbar. Bei erheblichen Änderungen, die bestehende Konten betreffen, informieren wir zusätzlich in angemessener Form innerhalb der Anwendung oder über die hinterlegten Kontaktdaten.

Ergänzende vertragliche Datenschutzinformationen und die Vereinbarung zur Auftragsverarbeitung gehen für die dort konkret beschriebenen Kundenverarbeitungen vor.