Datenschutzerklärung

Diese Datenschutzerklärung beschreibt, wie ZORYVO Technologies personenbezogene Daten verarbeitet. Sie gilt für die Anwendung ZORYVO und für unsere öffentlichen Seiten (Startseite, Kontaktformular, Anmeldung, Passwort vergessen, Einladung, Rechtsseiten). Sie richtet sich an die Nutzer unserer Kunden (Owner-Nutzer und Mitarbeiter), an Besucher dieser Seiten und, in Abschnitt 10, an Besucher der Buchungsseiten unserer Kunden.

1. Verantwortlicher und Kontakt

Verantwortlicher für die in dieser Erklärung beschriebene Verarbeitung ist, soweit Abschnitt 2 nichts anderes sagt:

• ZORYVO Technologies Platzhalter: {{Rechtsform}}
• Platzhalter: {{Straße und Hausnummer}}, Platzhalter: {{PLZ Ort}}
• vertreten durch Platzhalter: {{vertretungsberechtigte Person}}
• E-Mail: Platzhalter: {{E-Mail-Adresse}}, Telefon: Platzhalter: {{Telefonnummer}}
• Register: Platzhalter: {{Registergericht und Registernummer}} (entfällt ohne Registereintragung)
• USt-IdNr.: Platzhalter: {{USt-IdNr.}} (entfällt ohne Umsatzsteuer-Identifikationsnummer)

Für Fragen zum Datenschutz und für die Ausübung Ihrer Rechte erreichen Sie uns unter Platzhalter: {{Datenschutz-Kontakt}}.

Unser Datenschutzbeauftragter ist Platzhalter: {{Name und Kontakt des Datenschutzbeauftragten}}. Offene Rechtsfrage: [bitte klären: Benennungspflicht nach Art. 37 DSGVO und § 38 BDSG prüfen. Besteht keine Pflicht und ist niemand benannt, diesen Satz ersetzen durch: „Wir sind nicht verpflichtet, einen Datenschutzbeauftragten zu benennen, und haben keinen benannt.“]

2. Zwei Rollen: wofür wir verantwortlich sind und wofür unsere Kunden

ZORYVO ist eine Software für Unternehmen. Unsere Vertragspartner nennen wir Kunden; in der Anwendung heißt das Kundenkonto Owner. Nutzer mit der Rolle Owner nennen wir Owner-Nutzer, die zweite Rolle heißt Mitarbeiter. Im Auftragsverarbeitungsvertrag heißt der Kunde Verantwortlicher. Ein Kunde verbindet seine Postfächer, Kalender und Dateiablagen mit ZORYVO, lädt seine Mitarbeiter ein und legt fest, was ZORYVO tun darf.

Wir sind Verantwortlicher für die Nutzerkonten und die Anmeldung (Abschnitt 4), für die technische Sicherheit und Fehlerüberwachung (Abschnitte 3 und 7), für System-Mails (Abschnitt 6), für unsere öffentlichen Seiten (Abschnitt 3) und für Anfragen über unser Kontaktformular (Abschnitt 11).

Für die Inhalte, die ein Kunde in ZORYVO verarbeitet, ist der Kunde Verantwortlicher. Dazu gehören seine Postfächer, Kontakte, Termine, Dateien, Rechnungen und Notizen sowie die Ergebnisse der KI-Analyse. Wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Dieser Vertrag ist Bestandteil unseres Vertrags mit dem Kunden; der Kunde erhält ihn mit dem Vertrag. Abschnitt 8 beschreibt, was wir dabei tun.

Sind Sie Kunde, Lieferant, Interessent oder sonstiger Korrespondenzpartner eines unserer Kunden, wenden Sie sich mit Fragen und Anträgen an diesen Kunden. Wir unterstützen ihn bei der Beantwortung. ZORYVO stellt ihm dafür je Kontakt eine Auskunft, eine Sperrung und ein endgültiges Löschen bereit (Abschnitt 8.7).

Offene Rechtsfrage: [bitte klären: Einordnung des Betreibers als Verantwortlicher für die Nutzerkonten der Mitarbeiter unserer Kunden (eigene Verantwortlichkeit oder Auftragsverarbeitung für den Kunden). Die folgenden Abschnitte gehen von eigener Verantwortlichkeit aus. Der Auftragsverarbeitungsvertrag (§ 7 Abs. 1 und 4, § 8 Abs. 4, Anlage 1) und die Mitarbeiterinformation sind gleichlautend zu fassen.]

3. Hosting und Zugriffsdaten

ZORYVO läuft bei Vercel. Die Serverfunktionen werden in der Region Frankfurt (fra1) ausgeführt. Datenbank, Anmeldedienst und Dateispeicher betreibt Supabase in der Region eu-central-1 (Frankfurt). Dort liegen alle Inhalte und Kontodaten.

Wenn Sie eine Seite aufrufen, übermittelt Ihr Browser technisch bedingt Ihre IP-Adresse, die aufgerufene Adresse, den Zeitpunkt und Angaben zu Browser und Betriebssystem. Vercel verarbeitet diese Daten, um die Seite auszuliefern.

Unsere eigenen Server-Protokolle enthalten je Eintrag unter anderem: Dienstname, Umgebung, Schweregrad, Zeitpunkt, Nachricht, Verarbeitungsschritt, Status, Dauer und die Ablaufkennung (trace_id). Wo bekannt, kommen die Kennung des Kunden und Kennungen betroffener Objekte hinzu, zum Beispiel einer Mail oder eines Kontakts. Bei Fehlern enthalten sie zusätzlich Fehlernummer, Fehlerklasse, Fehlercode und Routenmuster. Sie enthalten keine IP-Adresse, keine E-Mail-Adresse, keinen konkreten Anfragepfad und keine Inhalte. Felder wie Passwort, Token, Cookie, E-Mail, Betreff oder Text werden vor dem Schreiben geschwärzt. Bei Fehlern wird nur das Routenmuster festgehalten, nicht der konkrete Pfad, weil Pfade Einmal-Tokens enthalten können. Diese Protokolle laufen in die Laufzeit-Protokolle von Vercel.

Ihre IP-Adresse verwenden wir selbst nur für Rate-Limits (Abschnitt 4.5). Dabei speichern wir sie nicht im Klartext, sondern nur als SHA-256-Hash.

Offene Rechtsfrage: [bitte klären: ob Vercels eigene Anfrage-Protokolle die IP-Adresse der Besucher enthalten und wie lange Vercel sie im gebuchten Tarif aufbewahrt. Die Angabe ist nachzutragen.]

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb der Anwendung und der öffentlichen Seiten. Für Owner-Nutzer dient die Verarbeitung zugleich der Erfüllung des Vertrags mit dem Kunden (Art. 6 Abs. 1 lit. b DSGVO); für Mitarbeiter gilt Abschnitt 4.8. Offene Rechtsfrage: [bitte klären: Rechtsgrundlage juristisch bestätigen; Vorschlag ohne Rechtsprüfung.]

Alle Seiten tragen Sicherheits-Header (Content-Security-Policy ohne fremde Skripte, Strict-Transport-Security, Referrer-Policy, Permissions-Policy). Eingebettet werden darf nur das Buchungs-Widget (Abschnitt 10), und nur auf den Domains, die der Kunde hinterlegt hat. Alle anderen Seiten sind gegen Einbettung in fremde Seiten gesperrt (X-Frame-Options, frame-ancestors). Es werden keine Skripte Dritter, keine Schriften von Dritten und keine Analysedienste geladen.

4. Nutzerkonto und Anmeldung

4.1 Wie ein Konto entsteht

Eine öffentliche Registrierung gibt es nicht. Konten entstehen nur über Einladungen. Den ersten Owner-Nutzer eines Kunden laden wir als Betreiber beim Anlegen des Kundenkontos ein; die E-Mail-Adresse dafür nennt uns der Kunde. Alle weiteren Personen lädt der Kunde ein und weist ihnen eine Rolle zu (Owner oder Mitarbeiter). Ihre E-Mail-Adresse erhalten wir in diesen Fällen vom Kunden, nicht von Ihnen (Art. 14 DSGVO). Zur Einladung speichern wir: E-Mail-Adresse, Rolle, Status, einladende und annehmende Person, Ablaufzeitpunkt, Zeitpunkt des Mailversands oder des Fehlschlags und den SHA-256-Hash des Einladungstokens. Der Token selbst steht nur im Link und ist 7 Tage gültig.

Beim ersten Annehmen einer Einladung wählen Sie einen Anzeigenamen (1 bis 80 Zeichen) und ein Passwort (12 bis 128 Zeichen). Haben Sie schon ein Konto, melden Sie sich damit an und werden Mitglied des weiteren Kunden; Name und Passwort bleiben dann unverändert. Das Passwort speichert ausschließlich unser Anmeldedienst Supabase Auth; ZORYVO selbst speichert es nicht. Die E-Mail-Adresse gilt durch den Einladungslink als bestätigt.

4.2 Welche Kontodaten wir speichern

Zu Ihrem Konto speichern wir: eine Kennung, E-Mail-Adresse, Anzeigename, Anlage- und Änderungszeitpunkt sowie das Merkmal, ob Sie Plattform-Admin sind. Felder für Sprache und Profilbild sind vorhanden, werden aber nicht genutzt: Die Anwendung ist fest auf Deutsch eingestellt, ein Profilbild lässt sich nicht hochladen. Je Kunde, bei dem Sie Mitglied sind, speichern wir Rolle, Rechte, anlegende Person und ein Enddatum der Mitgliedschaft. Neue Mitarbeiter erhalten automatisch die Rechte „Kundendatenbank ansehen“ und „Kundendatenbank bearbeiten“; Owner-Nutzer haben alle Rechte.

Sie können Anzeigename und E-Mail-Adresse in ZORYVO derzeit nicht selbst ändern. Für eine Berichtigung wenden Sie sich an Platzhalter: {{Datenschutz-Kontakt}}. Die Seite „Konto“ zeigt Ihre E-Mail-Adresse, den Weg zum Passwortwechsel, den Stand der Zwei-Faktor-Anmeldung und „Auf allen Geräten abmelden“.

Kolleginnen und Kollegen im selben Kundenkonto sehen von Ihnen nur den Anzeigenamen. Wer Mitarbeiter verwalten darf (Owner-Nutzer und Personen, denen der Kunde dieses Recht gegeben hat), sieht Ihre E-Mail-Adresse in Ihrer Einladung. Der Plattform-Admin sieht E-Mail-Adresse, Anzeigename, Anlagedatum, Rolle, Sperrstatus und offene Einladungen.

4.3 Zwei-Faktor-Anmeldung und Wiederherstellungscodes

Die Zwei-Faktor-Anmeldung läuft über zeitbasierte Einmalcodes (TOTP). Sie ist Pflicht für Owner-Nutzer und für den Plattform-Admin. Für Mitarbeiter legt der Kunde fest, ob sie Pflicht ist. Ein einmal eingerichteter Faktor wird immer abgefragt. Der Faktor liegt bei Supabase Auth.

Bei der Einrichtung erhalten Sie 10 Wiederherstellungscodes mit je 12 Zeichen. Wir speichern nur deren SHA-256-Hash; jeder Code gilt einmal. Wer einen Code einlöst, entfernt damit alle Faktoren, beendet alle Sitzungen und muss die Zwei-Faktor-Anmeldung neu einrichten.

4.4 Sitzungen und Abmeldung

Die Sitzung wird in Cookies gehalten, die nur der Server liest (Abschnitt 5). Bei jeder Anfrage prüft der Server, ob die Sitzung noch gültig ist, ob das Konto gesperrt wurde und ob das Profil noch besteht. Ist das nicht der Fall, werden Sie abgemeldet. Plattform-Admins werden spätestens 8 Stunden nach der Anmeldung abgemeldet.

Sie können sich lokal abmelden oder mit „Auf allen Geräten abmelden“ alle eigenen Sitzungen beenden. Eine Liste Ihrer Sitzungen oder das Beenden einzelner Sitzungen gibt es derzeit nicht. Jeder Owner-Nutzer des Kunden kann Sie mit dem Notschalter „Sofort aussperren“ sofort aus dem Kundenkonto entfernen; dabei enden Ihre Sitzungen, wenn Sie bei keinem weiteren Kunden Mitglied sind. Der Plattform-Admin kann Ihr Konto sperren und entsperren; eine Sperre beendet Ihren Zugang sofort. Jeder dieser Eingriffe verlangt die Angabe eines Grundes und wird protokolliert.

Nach jeder erfolgreichen Anmeldung setzt ZORYVO das Cookie zoryvo_device mit einem zufälligen Wert. In der Datenbank liegt dazu nur ein SHA-256-Hash aus Ihrer E-Mail-Adresse und diesem Wert. Ein Gerät, das sich bei diesem Konto erfolgreich angemeldet hat, bleibt dadurch 90 Tage ab dieser Anmeldung von der kontoweiten Anmeldesperre ausgenommen. Spätere Anmeldungen in diesen 90 Tagen verlängern die Frist nicht. Danach gilt die Ausnahme erst wieder ab der nächsten erfolgreichen Anmeldung.

ZORYVO sendet derzeit keine Hinweis-Mail bei Passwortänderung, neuer Anmeldung oder neuem Gerät.

4.5 Anmeldesperre und Rate-Limits

Zum Schutz vor dem Ausprobieren von Passwörtern zählt ZORYVO Anmeldeversuche: 50 je 15 Minuten je IP-Adresse, 10 je 15 Minuten je Konto und IP-Adresse, dazu 100 Fehlversuche je Stunde je Konto aus allen Adressen (bekannte Geräte ausgenommen). Eine erfolgreiche Anmeldung löscht die Konto-Zähler. Für das Zurücksetzen des Passworts, das Öffnen von E-Mail-Links, das Annehmen und Versenden von Einladungen und die Eingabe von 2FA-Codes gelten weitere Grenzen. Erreicht ein Konto die Grenze von 100 Fehlversuchen, wird das dem Plattform-Admin ohne Nennung der Adresse gemeldet.

Die Zähler liegen in unserer Datenbank. Der Schlüssel besteht aus dem Zweck und dem SHA-256-Hash des Identifikators (E-Mail-Adresse, IP-Adresse oder beides). E-Mail-Adresse und IP-Adresse stehen nie im Klartext in der Datenbank.

4.6 Sicherheitsprotokoll

Sicherheitsereignisse zu Ihrem Konto halten wir in einem Audit-Protokoll fest: Einrichtung der Zwei-Faktor-Anmeldung, Erzeugen und Einlösen von Wiederherstellungscodes, Anlegen des Kontos, Entfernen von Faktoren, Sperren und Entsperren, Beenden von Sitzungen, Änderungen an Mitgliedschaften und Einladungen. Je Ereignis speichern wir: Zeitpunkt, handelnde Person oder System, Kanal, Ereignisname, betroffenes Objekt, Metadaten (Kennungen, Zähler, Feldnamen, Grund) und die Ablaufkennung. Inhalte gehören nicht hinein. ZORYVO wertet keine Leistung von Personen aus: Es gibt keine Ranglisten, keine Antwortzeiten je Mitarbeiter und keinen Filter nach Person im Protokoll.

4.7 Was Supabase Auth selbst speichert

Supabase Auth speichert zu Ihrem Konto die E-Mail-Adresse, den Anzeigenamen (als Nutzer-Metadatum), das Passwort (nur als kryptografischer Hash Offene Rechtsfrage: [bitte klären: Hashverfahren laut Supabase-Dokumentation]), den Sperrstatus, die Sitzungen und die Faktoren der Zwei-Faktor-Anmeldung. Offene Rechtsfrage: [bitte klären: ob Supabase Auth je Sitzung IP-Adresse, Browser-Kennung oder den Zeitpunkt der letzten Anmeldung aufzeichnet; im Projekt prüfen und hier ergänzen.]

4.8 Rechtsgrundlagen

Für Owner-Nutzer ist die Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO: Das Konto ist nötig, um den Vertrag mit dem Kunden zu erfüllen. Für Mitarbeiter-Konten ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Kunden ist es, die vom Kunden beauftragte Software seinen Mitarbeitern bereitzustellen. Offene Rechtsfrage: [bitte klären: Rechtsgrundlage für Mitarbeiter-Konten; der Vertrag besteht mit dem Kunden, nicht mit dem Mitarbeiter. Alternativ Auftragsverarbeitung für den Kunden, siehe Abschnitt 2.] Für Zwei-Faktor-Anmeldung, Sitzungsprüfung, Rate-Limits und Sicherheitsprotokoll ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO. Unser berechtigtes Interesse ist der Schutz der Konten und der Daten unserer Kunden.

5. Cookies und lokale Speicherung

ZORYVO setzt nur Cookies, die für den Betrieb nötig sind. Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine Skripte Dritter.

Der genaue Name der Supabase-Cookies enthält die Kennung unseres Supabase-Projekts; daher steht hier „…“.

Hell-Dunkel-Darstellung: Die Anwendung übernimmt die Einstellung Ihres Systems. Wenn Sie die Darstellung umschalten, merkt sich Ihr Browser die Wahl im lokalen Speicher (localStorage) unter dem Schlüssel „theme“. Dieser Wert verlässt Ihren Browser nicht. Auf Buchungsseiten ist die Darstellung fest hell; dort wird nichts gespeichert.

Nach unserer Einschätzung sind alle genannten Cookies und der lokale Speicher für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung und ein Cookie-Banner sind daher nicht vorgesehen. Die Verarbeitung der mit diesen Cookies verbundenen Daten (Sitzungsprüfung, Geräte-Hash) beruht auf Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Abschnitt 4.8); für die Buchungssitzung gilt Abschnitt 10. Offene Rechtsfrage: [bitte klären: diese Einschätzung und die Rechtsgrundlage juristisch prüfen, insbesondere für das 90-Tage-Cookie zoryvo_device und die Speicherung der Darstellung.]

6. System-Mails und Benachrichtigungen

Offene Rechtsfrage: [bitte klären: Brevo ist noch nicht eingerichtet (kein Konto, keine Absenderdomain, kein SMTP-Block für Supabase Auth; docs/GO-LIVE-CHECKLIST.md Aufgabe 15). Dieser Abschnitt beschreibt den geplanten Produktionsbetrieb und darf erst nach Einrichtung und Beleg veröffentlicht werden; bis dahin versendet Supabase Auth die Passwort-Mails selbst.]

System-Mails versenden wir über den Dienstleister Brevo (Frankreich, Server in der EU). Sie gehen nie über ein Postfach eines Kunden.

Mails zum Zurücksetzen des Passworts versendet unser Anmeldedienst Supabase Auth über Brevo. Sie enthalten nur den Link mit einem einmal verwendbaren, kurz gültigen Token. Das Öffnen solcher Links ist je IP-Adresse begrenzt. Ungültige oder abgelaufene Links führen mit einem Hinweis zur Anmeldeseite und werden nicht als technischer Fehler gemeldet. Die Antwort auf eine Anfrage zum Zurücksetzen ist für bekannte und unbekannte Adressen gleich.

Unsere eigenen Mails versendet ZORYVO über die Brevo-Schnittstelle:

• Einladung: Anrede ohne Namen, Name des Kundenkontos, Rolle, Link mit Einmal-Token, Ablaufdatum.
• Benachrichtigungen: Zahl und Art der Meldungen, gegebenenfalls Name des Postfachs, Name des Kundenkontos und ein Link in die Anwendung. Nie Betreffe, Namen, Titel oder Beträge.
• Support-Hinweis: Mitteilung an die Owner-Nutzer, wenn der Plattform-Admin unter einer Support-Freigabe Debug-Inhalte angesehen hat (Abschnitt 8.6).
• Hinweis „Neuer Termin gebucht“ an den Gastgeber eines Termins, ohne den Namen des Buchenden (Abschnitt 10).

An Brevo übermitteln wir je Mail: Absendername „ZORYVO“, Absender- und Antwortadresse, Ihre E-Mail-Adresse, Betreff, HTML- und Textfassung, ein Schlagwort (Tag) für die Mail-Art, zum Beispiel „invitation“ oder „notification“, und gegebenenfalls Anhänge. Unsere Vorlagen enthalten keine Bilder, keine Schriften aus dem Netz und keine Zählpixel. Offene Rechtsfrage: [bitte klären: ob die Öffnungs- und Klickverfolgung im Brevo-Konto abgeschaltet ist und wie lange Brevo Versandprotokolle (Empfängeradresse, Betreff) aufbewahrt. Ohne Abschaltung müsste die Verfolgung hier genannt werden.]

Benachrichtigungen in der Anwendung und per E-Mail richten Sie selbst ein: Arten, Kanäle, Ruhezeiten und Tagesbündel. Benachrichtigungs-Mails gehen nur an aktuelle Mitglieder eines Kunden, höchstens 10 je Stunde; dringende Meldungen sofort, andere gebündelt in der Zeitzone des Kunden. Ihre Benachrichtigungen, Einstellungen und Zustellungen sind Ihre persönlichen Daten: Weder der Kunde noch der Plattform-Admin können sie lesen, auch nicht mit Support-Freigabe. Benachrichtigungen und Zustellungen werden nach 90 Tagen gelöscht. Ihre Einstellungen bleiben bestehen, bis Sie sie ändern; automatisch gelöscht werden sie nicht.

Rechtsgrundlage für Einladung und Passwort-Reset ist bei Owner-Nutzern Art. 6 Abs. 1 lit. b DSGVO und bei Mitarbeitern Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung und Schutz des Kontos). Rechtsgrundlage für Benachrichtigungen ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das des Kunden ist es, Sie über Vorgänge in den Postfächern und Bereichen zu informieren, die Sie betreuen; Arten und Kanäle legen Sie selbst fest. Offene Rechtsfrage: [bitte klären: Rechtsgrundlage juristisch bestätigen; Vorschlag ohne Rechtsprüfung.]

7. Fehlerberichte, Überwachung, Alarme

7.1 Fehlerberichte (Sentry)

Technische Fehler melden wir an Sentry in dessen EU-Datenregion Offene Rechtsfrage: [bitte klären: Standort der EU-Region laut Sentry-Dokumentation nachtragen]; die Anwendung startet nicht, wenn eine andere Region eingestellt ist. Ein Fehlerbericht enthält: Ablaufkennung, Fehlernummer, Verarbeitungsschritt, gegebenenfalls Kennung des Kunden, Fehlerklasse und Fehlertext. Vor dem Senden bereinigen wir den Bericht: Die Anfrage wird auf Methode und Adresse ohne Parameter gekürzt, das Nutzerobjekt auf die Kennung reduziert, Zusatzdaten werden gelöscht. Fehlertexte kürzen wir auf 2.000 Zeichen; Darin ersetzen wir E-Mail-Adressen durch „[email]“, entfernen Parameter aus Adressen und maskieren Einmal-Tokens in Pfaden. Fehlertexte technischer Bibliotheken können dennoch vereinzelt Inhalte wie Namen enthalten. Sentry erhält keine Aufzeichnung Ihrer Sitzung (kein Session Replay). Die Stichprobe für Leistungsdaten liegt in Produktion bei 10 %.

Im Browser ist Sentry auf den Seiten der Anwendung aktiv, einschließlich Startseite, Kontaktformular, Anmelde- und Rechtsseiten, nicht auf Buchungsseiten. Browser-Berichte gehen über unseren eigenen Server an Sentry; Ihr Browser verbindet sich nicht mit Sentry.

Konto- und Organisationsdaten unseres Sentry-Kontos liegen in den USA; das betrifft nur Beschäftigte von ZORYVO Technologies, nicht Sie. Offene Rechtsfrage: [bitte klären: Aufbewahrungsdauer der Sentry-Ereignisse in der EU-Region; Standard laut Anbieter 90 Tage, nicht belegt.]

7.2 Eigene Protokolle und Fehlerliste

Jeder technische Ablauf erhält eine Ablaufkennung. Daraus leiten wir eine sechsstellige Fehlernummer ab, die Sie bei technischen Fehlern sehen und die der Plattform-Admin suchen kann. Je Verarbeitungsschritt speichern wir Kennungen, Schrittname, Status, Dauer, Anbieter, HTTP-Status, Fehlercode, Versuchsnummer und KI-Modell, nie Inhalte. Gruppierte Fehler stehen in einer Fehlerliste mit Fehlerart, Stufe, Zeiten, Zählern und Bestätigung.

Fehlerdetails (Name, Meldung, Stack) und bei fehlgeschlagenen Schritten Anfrage und Antwort speichern wir nur verschlüsselt (AES-GCM mit eigenem Schlüsselring), nach Entfernen von Geheimnissen, mit einem Ablaufdatum von 14 Tagen. Nach Ablauf sind sie nicht mehr lesbar. Ein Löschlauf, der sie physisch entfernt, läuft derzeit nicht. Der Plattform-Admin sieht diese Debug-Inhalte eines Kunden nur mit gültiger Support-Freigabe (Abschnitt 8.6).

7.3 Verfügbarkeitsprüfung (healthchecks.io)

Ein Prüfjob ruft alle 5 Minuten die Statusseite der Anwendung auf und meldet den Erfolg an healthchecks.io (Betreiber in Lettland, Server in Deutschland). Übertragen wird nur der Zeitpunkt des Aufrufs: kein Inhalt, keine Kennungen, keine Daten von Nutzern. Bleiben die Meldungen aus, alarmiert healthchecks.io den Betreiber. Offene Rechtsfrage: [bitte klären: healthchecks.io ist noch nicht eingerichtet (kein Konto, keine Ping-Adressen; docs/GO-LIVE-CHECKLIST.md Aufgabe 13); vor Veröffentlichung belegen oder Abschnitt streichen.]

7.4 Alarme an den Betreiber (Telegram und E-Mail)

Schwere Fehler melden wir an die Plattform-Admins per E-Mail (über Brevo) und per Telegram-Bot. Offene Rechtsfrage: [bitte klären: Der E-Mail-Kanal setzt Brevo voraus und fehlt bis zu dessen Einrichtung; bis dahin laufen Alarme nur über Telegram.] Ein Alarm enthält: Stufe, festen Fehlertitel, Firmenname des Kunden mit gekürzter Kennung, Automation, Fehlerart, Zeiten, Zähler, Fehlernummer und einen Link in den Admin-Bereich. Nie enthalten sind Fehlermeldungen, Betreffe, Absender oder Kontaktnamen. Eine neue Anfrage aus dem Kontaktformular (Abschnitt 11) meldet ZORYVO per Telegram nur mit dem Text „Neue Kontaktanfrage“, der Uhrzeit und einem Link, ohne Angaben aus dem Formular, höchstens einmal je 15 Minuten. Telegram sitzt außerhalb der EU und schließt keinen Auftragsverarbeitungsvertrag. Drückt ein Plattform-Admin einen Knopf im Alarm, wird seine Telegram-Nutzer-Kennung im Audit-Protokoll festgehalten; das Ereignis, das den Knopfdruck verarbeitet, trägt im Job-Dienst Inngest zusätzlich die Chat-Kennung. Das betrifft nur Beschäftigte von ZORYVO Technologies. Offene Rechtsfrage: [bitte klären: ob der Firmenname eines Kunden (zum Beispiel bei Einzelunternehmern) als personenbezogenes Datum gilt und wie Telegram ohne Auftragsverarbeitungsvertrag zu bewerten ist; ob Beschäftigte des Betreibers hier oder gesondert informiert werden.]

Rechtsgrundlage für Abschnitt 7 ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Fehler zu erkennen, zu beheben und die Sicherheit der Anwendung zu gewährleisten (Art. 32 DSGVO). Offene Rechtsfrage: [bitte klären: Rechtsgrundlage juristisch bestätigen; Vorschlag ohne Rechtsprüfung.]

8. Verarbeitung im Auftrag unserer Kunden

In diesem Abschnitt ist der jeweilige Kunde Verantwortlicher. Wir handeln nach seinen Weisungen. Weisungen sind der Vertrag und die Einstellungen, die der Kunde in ZORYVO trifft.

8.1 Postfächer

Verbindet der Kunde ein Postfach (Google Workspace oder Microsoft 365), ruft ZORYVO Mails ab und speichert je Mail die Metadaten (Absender, Empfänger, Kopie, Antwortadresse, Betreff, Zeitpunkte, Labels oder Kategorien) und den Text. Das HTML der Mail wird in Text umgewandelt und nicht gespeichert; versteckter Text wird entfernt; Texte werden bei 100.000 Zeichen abgeschnitten. Anhänge werden zunächst nur als Dateiname, Typ und Größe erfasst und nur geladen, wenn eine Funktion sie braucht (Rechnungen erfassen, Anhänge ablegen). Bei Gmail werden alle Mails außer Entwürfen, Spam, Papierkorb und Chat übernommen; bei Microsoft nur Posteingang und Gesendete Elemente. Der Kunde wählt beim Verbinden, wie viele Tage alte Mails importiert werden (0, 30, 90 oder 365 Tage). Ohne KI bestimmt ZORYVO aus den Kopfzeilen, ob der Absender vom Mailserver bestätigt ist und ob es sich um eine automatische Mail oder einen Newsletter handelt.

Ein persönliches Postfach eines Mitarbeiters verbindet nur dieser Mitarbeiter selbst. Es ist zunächst nur für ihn sichtbar, und nur er kann es für andere freigeben. Geteilte Postfächer verbindet der Kunde. Welche Personen ein geteiltes Postfach lesen, Entwürfe daraus freigeben, senden oder verwalten dürfen, legt der Kunde fest.

8.2 Kalender, Dateien, Kundendatenbank

Im Kalender liest ZORYVO freie und belegte Zeiten und legt Termine an, ändert oder sagt sie ab. Geändert oder abgesagt werden nur Termine, die ZORYVO selbst angelegt hat. In Google Drive sieht und schreibt ZORYVO nur Ordner und Dateien, die es selbst angelegt hat. Bei Microsoft umfasst die erteilte Berechtigung das ganze OneDrive des verbundenen Kontos. Hochgeladene Dateien liegen in einem privaten Dateispeicher bei Supabase.

Für den Virenscan ist ein von uns betriebener Server mit ClamAV vorgesehen. Jede hochgeladene Datei und jeder geladene Anhang wird ohne Dateinamen dorthin übertragen und dort nicht gespeichert. Nur Dateien mit gespeichertem Urteil „sauber“ legt ZORYVO in Google Drive oder OneDrive ab. Derzeit ist der Scanner nicht eingerichtet: Es findet kein Virenscan statt, und ZORYVO legt keine Dateien in Google Drive oder OneDrive ab. Offene Rechtsfrage: [bitte klären: Server, Vertrag mit Hetzner und Standort (Deutschland oder Finnland) vor Veröffentlichung einrichten und belegen; danach den Satz „Derzeit …“ streichen.]

Die Kundendatenbank enthält Kontakte, Firmen, Leads, Notizen, Aufgaben, Vorgänge, Termine, Rechnungsdaten (auch IBAN) und ein geschäftliches Gedächtnis je Kontakt mit Quellenangabe.

8.3 KI-Analyse

Die KI ist je Kunde standardmäßig ausgeschaltet. Der Kunde kann sie nur einschalten, wenn er zuvor in ZORYVO die Rechtsgrundlage dokumentiert (Vertrag, berechtigtes Interesse oder Einwilligung, mit Begründung, Zeitpunkt und dokumentierender Person).

Offene Rechtsfrage: [bitte klären: Die KI-Anbieter sind noch nicht eingerichtet (kein Vertex-Projekt, kein Mistral-Konto, keine Umgebungswerte; docs/GO-LIVE-CHECKLIST.md Aufgaben 16 und 17). Ohne eingerichteten Anbieter wird keine Mail analysiert. Die folgenden Angaben beschreiben das im Code festgelegte Verhalten und sind vor Veröffentlichung gegen die tatsächliche Einrichtung zu prüfen (Region, Modell, Verträge).]

Primärer Anbieter ist Google Vertex AI (Gemini) mit einem festen Endpunkt in einer EU-Region; die Anwendung lässt nur EU-Standorte zu. Ausweichanbieter ist Mistral über den EU-Server api.eu.mistral.ai. Der Kunde kann den Ausweichanbieter ausschließen. Der Ausweichanbieter wird nur genutzt, wenn der primäre Anbieter ausfällt, und darf nie mehr automatisch ausführen als der primäre.

An die Analyse gehen je Mail: Richtung, Adresse des Postfachs, Datum, Kategorienliste des Kunden, Absenderkategorien, Absender, Empfänger, Betreff, Dateinamen und Typen der Anhänge (nicht deren Inhalt) und der Mailtext bis 20.000 Zeichen. Für Antwortentwürfe gehen zusätzlich bis zu 5 frühere Nachrichten des Verlaufs, der Kundenkontext (Anrede, Titel, Name, Firma, Position, Status, Kundennummer, Gedächtnis, vom Kunden freigegebene Felder, Zusammenfassungen oder ersatzweise Betreffe von höchstens 10 Mails), Firmenwissen und Antwort-Bausteine. Telefonnummer, Adresse und Einwilligungen bleiben verborgen. Für Dokumente und Rechnungen gehen die Dateien selbst (PDF, JPEG, PNG, bei Vertex AI auch HEIC) an den Anbieter.

Nicht automatisch analysiert werden: Mails, die der Kunde per Regel ausschließt (zum Beispiel ein Postfach oder ein Label); eingehende automatische Mails und Newsletter, sofern keine Regel des Kunden sie zulässt (Mails aus vom Kunden hinterlegten Webformularen werden analysiert); Mails von Absendern der Kategorien Privat und Personal/Bewerber nach einer Schutz-Vorgabe, die als Regel nur ein Owner-Nutzer mit ausdrücklicher Bestätigung lockern kann.

Eine Person mit dem Recht „Freigeben“ oder „Verwalten“ für das Postfach kann eine solche Mail einzeln mit „Analysieren“ dennoch analysieren lassen. Das gilt auch für die Kategorien Privat und Personal/Bewerber. Die Anforderung wird mit Person und Zeitpunkt im Protokoll festgehalten. Ist die KI ausgeschaltet, findet auch dann keine Analyse statt. Mails gesperrter Kontakte (Einschränkung der Verarbeitung) werden nie analysiert, auch nicht auf Anforderung.

Importierte alte Mails lösen nie Aktionen aus; für sie gibt es höchstens Vorschläge. Die KI ist angewiesen, Anweisungen aus Mails nie zu befolgen und besondere Kategorien personenbezogener Daten (Gesundheit, Religion, politische Meinung, Gewerkschaft, sexuelle Orientierung, ethnische Herkunft, Vorstrafen) sowie Privates nicht in das Gedächtnis zu schreiben. Das ist eine Anweisung an das Modell, kein deterministischer Filter.

Gespeichert werden zur Analyse Anbieter, Modell, Versuche, Token-Zahlen, Dauer, Kategorie, Zusammenfassung, strukturierte Ausgabe und die Rohantwort. Ob die KI-Anbieter übermittelte Daten zum Training ihrer Modelle verwenden, hängt von Vertragseinstellungen ab, die wir vor dem ersten Einsatz treffen. Offene Rechtsfrage: [bitte klären: Beleg für Training-Ausschluss, Datenresidenz und Caching bei Vertex AI sowie Training-Opt-out und Zero-Data-Retention bei Mistral (Standard dort: Training an, Aufbewahrung 30 Tage). Ohne Beleg keine Zusage „kein Training“.]

8.4 Keine automatisierten Entscheidungen mit Rechtswirkung

ZORYVO trifft keine Entscheidungen, die gegenüber einer Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die KI sortiert, fasst zusammen, erkennt Aufgaben und entwirft. Antwortentwürfe werden von einer Person freigegeben; der automatische Versand von KI-Antworten ist im Code gesperrt. Von der KI aus Rechnungsdateien (PDF, Bilder) gelesene Werte werden nie ohne Prüfung durch eine Person abgelegt; ZORYVO bezahlt keine Rechnungen.

Vor jeder Aktion nach außen prüfen feste Tore Sicherheitsregeln. Vor dem Versand sind das unter anderem Notbremse, importierte Mail, unbestätigter Absender, automatische Mail, Zahlungsthemen und „bereits beantwortet“. Vor der Ablage von Rechnungen und Anhängen sind das unter anderem Notbremse, importierte Mail und die Warnung bei geänderter Bankverbindung. Nach den Schutz-Vorgaben erhalten Behörden, Gerichte, Sozialversicherung, Banken, Versicherungen und Berater keine automatische Antwort; ein Owner-Nutzer kann eine Schutz-Vorgabe nur mit ausdrücklicher Bestätigung lockern, was protokolliert wird. Keine Automation überschreibt, was eine Person von Hand gesetzt hat.

Jede fachliche Änderung wird mit altem und neuem Wert, handelnder Person oder Automation und Begründung protokolliert. Änderungen an Kontakten und Firmen lassen sich je Feld rückgängig machen, Übernahmen aus Dateien je Datei. Ein allgemeines Rückgängig für alle Änderungen gibt es derzeit nicht.

8.5 Kennzeichnung gesendeter Mails

Jede Mail mit KI-Text trägt die Kopfzeilen X-ZORYVO-AI-Generated mit dem Wert „assisted“ und X-ZORYVO-AI-Model (Anbieter und Modell). KI-Antworten gehen derzeit nur nach Freigabe durch eine Person hinaus (Abschnitt 8.4). Am Ende der Mail steht ein sichtbarer Hinweis, in der Vorgabe: „Diese Nachricht wurde mit Unterstützung eines KI-Systems erstellt.“ Der Hinweis ist vorgegeben und nur von der Rolle Owner abschaltbar. Automatisch versendete Vorlagen-Mails ohne KI-Text, zum Beispiel Erinnerungen, tragen keine KI-Kopfzeilen, aber die Kopfzeile Auto-Submitted: auto-replied. Gesendete Mails gehen über das Postfach des Kunden und enthalten keine Bilder und keine Zählelemente.

8.6 Zugriff des Betreibers auf Inhalte

Der Plattform-Admin ist in der Datenbank ein normaler Nutzer. Ohne Freigabe sieht er nur Metadaten: Kunde, Automation, Aufgabentyp, Status, Fehlerart, Fehlernummer, Zeitpunkte, Nutzungs- und Kostenzahlen und Verbindungsstatus, dazu E-Mail-Adresse, Anzeigename, Rolle und Sperrstatus der Nutzer und offene Einladungen (Abschnitt 4.2) sowie Audit-Einträge mit Kennungen, ohne Inhalte. Betreff, Absenderadresse, Kontaktnamen, Beträge, Dateinamen und Entwürfe gelten als Inhalt und sind gesperrt.

Inhalte sieht er nur mit einer Support-Freigabe, die ein Owner-Nutzer des Kunden erteilt: mit Umfang (Debug-Inhalte, ein bestimmtes Objekt oder alle Inhalte), Grund und Dauer (Vorgabe 48 Stunden, höchstens 7 Tage), jederzeit widerrufbar. Persönliche Postfächer von Mitarbeitern kann ein Owner-Nutzer so nicht öffnen. Protokolliert werden Erteilung, Änderung und Widerruf jeder Freigabe sowie jedes Ansehen von Debug-Inhalten. Das Lesen einzelner Mails oder Kontakte unter einer Freigabe wird derzeit nicht je Zugriff protokolliert. Beim ersten Ansehen von Debug-Inhalten je Freigabe erhalten die Owner-Nutzer eine Mail, danach höchstens eine Tageszusammenfassung.

8.7 Rechte der Betroffenen gegenüber dem Kunden

Der Kunde kann je Kontakt eine Auskunft (JSON) erstellen, einen Kontakt sperren und einen Kontakt endgültig löschen. Die Sperrung setzt die Einschränkung der Verarbeitung nach Art. 18 DSGVO um: Mails der Person werden nicht mehr analysiert, der Kontakt fällt aus Automationen, Antwortkontext und Export heraus und ist nur noch für die Rolle Owner sichtbar.

Das endgültige Löschen entfernt den Kontakt, die von ihm gesendeten Mails und die Mails, deren einzige Empfänger seine Adressen sind, samt Analysen, Gedächtnis, Aufgaben, Freigaben, Buchungen, Dateien und Debug-Inhalten. In übrigen Texten, in Mails mit weiteren Beteiligten und in Protokollen schwärzt es E-Mail-Adresse, Name und Telefonnummer in der Schreibweise, die im Kontakt gespeichert ist; Nennungen nur mit Vor- oder Nachname oder in anderer Schreibweise werden nicht gefunden. Rechnungen und die Dateien, aus denen eine Rechnung erfasst wurde, bleiben bestehen und werden nicht geschwärzt; die Vorschau weist darauf hin. Ob eigene Aufbewahrungspflichten das Behalten rechtfertigen, beurteilt der Kunde als Verantwortlicher. Kopien, die ZORYVO in Google Drive oder OneDrive des Kunden abgelegt hat, werden nicht gelöscht, sondern dem Kunden in der Vorschau aufgelistet, damit er sie selbst löscht. Termine im Kalender des Kunden und die Originale im Postfach des Kunden bleiben unberührt; ZORYVO zeigt diese Termine in der Vorschau nicht an und löscht sie nicht.

9. Nutzung von Google-Nutzerdaten

Dieser Abschnitt beschreibt, wie ZORYVO Daten aus Google-Konten verwendet, die ein Kunde verbindet. Er gilt zusätzlich zu Abschnitt 8.

9.1 Welche Daten und Berechtigungen

ZORYVO fragt nur die Berechtigungen an, die zu den vom Kunden gewählten Fähigkeiten gehören:

Wählt der Nutzer im Google-Dialog Berechtigungen ab, erkennt ZORYVO das und schaltet die Fähigkeit nicht ein. Die Oberfläche zeigt je Verbindung die erteilten Berechtigungen.

Für Gmail-Änderungsmeldungen ist Google Cloud Pub/Sub im Google-Cloud-Projekt des Betreibers vorgesehen. Die Meldung enthält nur die Postfachadresse und eine Änderungsnummer, keine Inhalte. Unabhängig davon fragt ZORYVO alle 30 Minuten selbst nach Änderungen. Offene Rechtsfrage: [bitte klären: Region des Pub/Sub-Themas; Pub/Sub ist noch nicht eingerichtet, bis dahin holt ZORYVO Änderungen nur über diese regelmäßige Abfrage.]

9.2 Wofür wir Google-Nutzerdaten verwenden

Wir verwenden Google-Nutzerdaten ausschließlich, um die Funktionen bereitzustellen, die der Kunde eingeschaltet hat: Mails speichern und analysieren, Antworten entwerfen, nach Freigabe senden, Rechnungen erfassen, Anhänge ablegen, Termine verwalten. Wir verwenden sie nicht für Werbung und verkaufen sie nicht. Wir geben sie an Dritte nur weiter, soweit es zur Bereitstellung dieser Funktionen nötig ist, zur Abwehr eines Sicherheitsvorfalls oder weil ein Gesetz es verlangt.

Zur Bereitstellung nötig sind nur diese Auftragsverarbeiter: Vercel (Ausführung der Anwendung in Frankfurt), Supabase (Speicherung in Frankfurt), Google Cloud Pub/Sub (Postfachadresse und Änderungsnummer), Google Vertex AI und ausweichend Mistral (KI-Analyse, nur wenn der Kunde die KI eingeschaltet hat), der von uns betriebene Virenscanner bei Hetzner (Anhänge) sowie Inngest (nur Kennungen und Status) und Sentry (Fehlerberichte mit gekürzten und maskierten Fehlertexten, Abschnitt 7.1). Pub/Sub, die KI-Anbieter und der Virenscanner sind derzeit nicht eingerichtet (Abschnitte 8.2, 8.3 und 9.1).

Menschen bei ZORYVO Technologies lesen Google-Nutzerdaten nur mit einer Support-Freigabe des Kunden (Abschnitt 8.6), wenn es zur Abwehr eines Sicherheitsvorfalls nötig ist oder wenn das Gesetz es verlangt. Wir verwenden Google-Nutzerdaten nicht, um allgemeine KI-Modelle zu trainieren. Offene Rechtsfrage: [bitte klären: Beleg Vertex/Mistral zum Training-Ausschluss, siehe Abschnitt 8.3; ohne Beleg Satz anpassen.]

Die Verwendung der aus Google-APIs erhaltenen Daten durch ZORYVO und ihre Weitergabe an andere Anwendungen richten sich nach der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Offene Rechtsfrage: [bitte klären: Wortlaut vor der Google-Verifizierung gegen die aktuelle Policy prüfen; Link auf die Policy einfügen, sobald die Adresse in docs/SUBPROCESSORS.md (Quellen) steht.]

9.3 Speicherung und Trennung

Zugriffs- und Erneuerungstoken speichern wir mit AES-256-GCM verschlüsselt, gebunden an Kunde und Verbindung. Die Tabelle mit den Tokens kann nur die Systemrolle unserer Anwendung (Server und Hintergrundverarbeitung) lesen, kein Nutzerkonto. Der Job-Dienst Inngest erhält keine Tokens, nur Kennungen. Trennt der Kunde die Verbindung, beendet ZORYVO die Änderungsmeldungen, widerruft das Token bei Google und löscht alle Tokens. Bereits in ZORYVO gespeicherte Mails und Dateien bleiben, bis der Kunde sie löscht oder der Vertrag endet (Abschnitt 14).

9.4 Microsoft-Daten

Für Microsoft 365 fragt ZORYVO an: openid, profile, email, offline_access, User.Read (Identität); Mail.ReadWrite, Mail.Send (Postfach); Calendars.ReadWrite (Kalender); Files.ReadWrite (OneDrive, umfasst das ganze OneDrive des Kontos); für geteilte Postfächer zusätzlich Mail.ReadWrite.Shared, Mail.Send.Shared, Calendars.ReadWrite.Shared. Synchronisiert werden nur Posteingang und Gesendete Elemente. Verwendung, Weitergabe und Zugriff gelten wie in Abschnitt 9.2. Beim Trennen löscht ZORYVO die Tokens; einen Widerruf der Berechtigung bei Microsoft kann ZORYVO nicht auslösen. Der Kunde oder sein Microsoft-Administrator entfernt ZORYVO selbst in den Einstellungen seines Microsoft-Kontos.

10. Öffentliche Buchungsseiten und Widget

Kunden können eine öffentliche Buchungsseite und ein einbettbares Widget nutzen. Die Buchungsseiten liegen auf einer eigenen Buchungsadresse unter dem Pfad /book, getrennt von der Adresse der Anwendung. Verantwortlicher für die Daten, die Sie dort eingeben, ist der Kunde, dessen Termin Sie buchen. Sein Impressum und seine Datenschutzerklärung sind im Fuß jeder Buchungsseite verlinkt; ohne diese Links lässt sich keine Buchungsseite aktivieren. Wir verarbeiten die Daten technisch in seinem Auftrag.

Das Formular erhebt: Name und E-Mail-Adresse (Pflicht), Telefonnummer und Anmerkung (freiwillig), bis zu drei Antworten auf Fragen des Kunden (freiwillig, sofern der Kunde sie nicht als Pflicht kennzeichnet), eine Adresse nur bei Terminen vor Ort (dann Pflicht), Ihre Sprache und Zeitzone, die gewählte Zeit und die Lösung der Bot-Prüfung. Nach dem Absenden wird der Termin 30 Minuten reserviert, und Sie erhalten eine Mail mit einem Bestätigungslink. Erst der Klick auf „Termin bestätigen“ bucht den Termin. Unbestätigte Anfragen werden nach 24 Stunden mit allen Angaben gelöscht. Mit der Bestätigung entstehen in der Kundendatenbank des Kunden ein Kontakt und ein Lead (Interessent). Ist Ihre Adresse dort schon als Kontakt erfasst, bleibt dieser unverändert. Sind Sie dort bereits als Kunde oder als Ansprechpartner einer Kundenfirma geführt, entsteht kein Lead. Besteht schon ein offener Lead, entsteht kein zweiter. Im Kalender des Kunden wird ein Termin mit Ihrem Namen, Ihrer E-Mail-Adresse und Ihren Angaben angelegt; die Kalendereinladung sendet der Kalenderanbieter des Kunden. Sie erhalten eine Terminbestätigung mit Kalenderdatei (.ics) sowie Mails bei Verschiebung und Absage. Hat der Kunde es für die Terminart eingestellt, erhalten Sie außerdem eine Erinnerung 24 Stunden vor dem Termin (Vorgabe an) und 1 Stunde vor dem Termin (Vorgabe aus).

Diese Mails gehen über das Postfach, das der Kunde für seine Buchungsseiten gewählt hat, oder bei einer Buchung aus einer Mail-Unterhaltung über das Postfach dieser Unterhaltung. Ist kein solches Postfach festgelegt oder ist es nicht nutzbar (zum Beispiel getrennt oder abgelaufen), versendet Brevo sie mit dem Firmennamen des Kunden als Absender; Brevo erhält dann Ihren Namen, Ihre E-Mail-Adresse und die Termindaten. Brevo ist derzeit nicht eingerichtet (Abschnitt 6). Der Gastgeber erhält einen Hinweis „Neuer Termin gebucht“ ohne Ihren Namen.

Die Bot-Prüfung (Captcha nach dem ALTCHA-Protokoll) läuft vollständig auf unseren Servern und in Ihrem Browser, ohne Drittanbieter und ohne fremdes Skript; sie verarbeitet keine Daten über Sie. Ihre IP-Adresse dient nur Rate-Limits (60 Seitenaufrufe je Minute, 10 Formular-Absendungen je Stunde) und wird nur als SHA-256-Hash gespeichert. Das Cookie zoryvo_book (Abschnitt 5) hält Ihre Buchungssitzung; es gilt nur auf der Buchungsadresse. Die Buchungsseiten setzen kein weiteres Cookie, laden keine fremden Skripte oder Schriften, sind für Suchmaschinen gesperrt (noindex) und senden keinen Referrer. Im Browser läuft dort kein Fehlerberichtsdienst. Das Widget-Skript setzt kein Cookie und sendet nichts über Sie; es erstellt nur einen Rahmen und übernimmt dessen Höhe. Die Buchungsseite zeigt nur freie Zeitfenster, nie andere Termine des Kunden.

Für diese technischen Schutzmaßnahmen und für die Zugriffsdaten des Hostings (Abschnitt 3) sind wir Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere Betrieb der Buchungsseiten und der Schutz vor Missbrauch. Offene Rechtsfrage: [bitte klären: Rollenverteilung für die Zugriffsdaten der Buchungsseiten (eigene Verantwortlichkeit oder Auftragsverarbeitung für den Kunden) und Rechtsgrundlage juristisch bestätigen; Vorschlag ohne Rechtsprüfung.]

Trägt Ihre Adresse beim Kunden das Kennzeichen „Nicht anschreiben“, wird keine Bestätigungsmail gesendet; die Seite zeigt das nicht an. Bei pausiertem Kunden oder ausgelöster Notbremse ist die Online-Buchung nicht möglich.

11. Kontaktformular „Zugang anfragen“

Über das Formular unter /kontakt können Sie einen Zugang zum Pilotbetrieb von ZORYVO anfragen. Verantwortlicher ist ZORYVO Technologies (Abschnitt 1).

Das Formular erhebt: Name, Firma, E-Mail-Adresse und Nachricht (Pflicht), Telefonnummer und den Anbieter Ihres Postfachs (Google Workspace, Microsoft 365, anderer Anbieter, weiß nicht; freiwillig) sowie die Lösung der Bot-Prüfung. Wir verwenden die Angaben nur, um Ihre Anfrage zu beantworten. Wir antworten persönlich per E-Mail oder Telefon; ZORYVO sendet keine automatische Bestätigung.

Die Anfrage liegt in unserer Datenbank bei Supabase in Frankfurt (Abschnitt 3). Lesen kann sie nur der Plattform-Admin von ZORYVO Technologies. Eine neue Anfrage meldet ZORYVO dem Betreiber per Telegram nur mit dem Text „Neue Kontaktanfrage“, der Uhrzeit und einem Link in den Admin-Bereich, ohne Ihre Angaben (Abschnitt 7.4). Die Bot-Prüfung (Captcha nach dem ALTCHA-Protokoll) läuft wie auf den Buchungsseiten nur auf unseren Servern und in Ihrem Browser (Abschnitt 10). Ihre IP-Adresse dient nur einem Rate-Limit (5 Absendungen je Stunde) und wird nur als SHA-256-Hash gespeichert (Abschnitt 4.5). Ein für Menschen unsichtbares Feld erkennt Programme, die jedes Feld ausfüllen; solche Absendungen speichern wir nicht.

Wir löschen die Anfrage 180 Tage nach Eingang automatisch. Anfragen können wir auch früher von Hand löschen, etwa wenn sie erledigt sind oder Sie die Löschung verlangen. Wird aus der Anfrage ein Vertrag, übernehmen wir die nötigen Angaben in die Vertragsunterlagen. Offene Rechtsfrage: [bitte klären: Speicherdauer von 180 Tagen bestätigen; ob Anfragen, aus denen ein Vertrag wird, länger aufzubewahren sind (Handels- und Steuerrecht) und ob das hier zu nennen ist.]

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags auf Ihre Anfrage); fragen Sie für ein Unternehmen an, dessen Vertreter oder Beschäftigter Sie sind, Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist die Beantwortung Ihrer Anfrage. Für Bot-Prüfung und Rate-Limit gilt Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch). Offene Rechtsfrage: [bitte klären: Rechtsgrundlage juristisch bestätigen (lit. b oder lit. f bei Anfragen für ein Unternehmen); Vorschlag ohne Rechtsprüfung.]

12. Empfänger und Unterauftragsverarbeiter

Die folgenden Dienste erhalten Daten von uns. Supabase, Vercel, Inngest, Google Vertex AI, Mistral, Brevo, Hetzner, Sentry und Google Cloud Pub/Sub sind für Kundendaten (Abschnitt 8) unsere Unterauftragsverarbeiter nach Art. 28 Abs. 2 DSGVO und in Anlage 3 des Auftragsverarbeitungsvertrags aufgeführt. healthchecks.io und Telegram erhalten keine Inhalte unserer Kunden und keine Daten der Nutzer unserer Kunden; sie handeln als eigene Verantwortliche ohne Auftragsverarbeitungsvertrag.

Google Vertex AI, Mistral, Brevo, Hetzner, healthchecks.io und Google Cloud Pub/Sub sind derzeit nicht eingerichtet und erhalten heute keine Daten (Abschnitte 6 bis 9).

Google (Gmail, Kalender, Drive) und Microsoft (Postfach, Kalender, OneDrive) sind keine Empfänger von uns. Sie sind Dienste des Kunden, die ZORYVO in dessen Auftrag anspricht.

Offene Rechtsfrage: [bitte klären: Vertragsbelege je Dienst (Supabase-DPA, Vercel-DPA ab Tarif Pro, Brevo-DPA, Sentry-DPA, Hetzner-AVV, Inngest-AVV) liegen beim Betreiber vor? Der AVV mit Inngest ist Bedingung vor dem ersten Kunden. Die Adresse des Google Cloud Data Processing Addendum (Vertex AI, Pub/Sub) eintragen, sobald sie in docs/SUBPROCESSORS.md (Quellen) steht.]

13. Übermittlung in Drittländer

Inhalte und personenbezogene Daten unserer Kunden und ihrer Kontakte speichern wir nur in der EU. Dienste, die Daten außerhalb der EU verarbeiten, erhalten höchstens Metadaten. Vercel, Google und Sentry haben ihren Sitz in den USA, verarbeiten Inhalte aber in EU-Regionen. Einzelheiten und Übermittlungsgrundlagen:

• Vercel (USA): Die Serverfunktionen laufen in Frankfurt. Anfrage-Protokolle und Sicherungen des Anbieters können in den USA verarbeitet werden. Grundlage sind die Standardvertragsklauseln der EU-Kommission (2021) im Auftragsverarbeitungsvertrag von Vercel. Offene Rechtsfrage: [bitte klären: Der Vercel-Vertrag zur Auftragsverarbeitung gilt erst ab Tarif Pro; Buchung und Annahme belegen; Übermittlungsgrundlage juristisch formulieren.]
• Sentry (USA): Fehlerberichte bleiben in der EU-Region. Konto- und Organisationsdaten unseres Sentry-Kontos liegen in den USA; sie betreffen nur Beschäftigte von ZORYVO Technologies. Grundlage: EU-US Data Privacy Framework, ersatzweise Standardvertragsklauseln.
• Inngest (AWS, Region nicht angegeben): erhält nur Kennungen und Status, keine Inhalte und keine Adressen. Offene Rechtsfrage: [bitte klären: Auftragsverarbeitungsvertrag mit Inngest und Region; ohne Vertrag Wechsel auf selbst betriebenes Inngest in der EU.]
• Google Vertex AI: Verarbeitung an EU-Endpunkten. Google ist ein US-Unternehmen; es gilt das Google Cloud Data Processing Addendum mit Standardvertragsklauseln und Data Privacy Framework. Offene Rechtsfrage: [bitte klären: Datenresidenz je Modell und Region belegen.]
• Google Cloud Pub/Sub: erhält nur Postfachadresse und Änderungsnummer. Grundlage wie bei Vertex AI: Google Cloud Data Processing Addendum mit Standardvertragsklauseln und Data Privacy Framework. Offene Rechtsfrage: [bitte klären: Region des Pub/Sub-Themas.]
• Telegram (außerhalb der EU): erhält nur Alarme an den Betreiber und den Hinweis auf neue Kontaktanfragen, ohne personenbezogene Daten von Nutzern, Kontakten oder Anfragenden; Telegram ist eigener Verantwortlicher ohne Auftragsverarbeitungsvertrag. Offene Rechtsfrage: [bitte klären: Bewertung, siehe Abschnitt 7.4.]
• healthchecks.io: EU-Unternehmen, Server in Deutschland; Sicherungen des Anbieters liegen verschlüsselt bei AWS S3 ohne Regionsangabe. Es werden nur Zeitstempel übertragen.

14. Speicherdauer

Wie lange wir Daten heute speichern, zeigt die folgende Übersicht. Wo derzeit keine automatische Löschung läuft, steht das dabei.

Bei Vertragsende exportiert und löscht der Betreiber die Daten des Kunden derzeit nach Absprache von Hand, mit Nachweis in Textform; ein automatischer Ablauf existiert nicht. Offene Rechtsfrage: [bitte klären: Fristen für Rückgabe und Löschung bei Vertragsende festlegen.]

15. Ihre Rechte

Sie haben gegenüber uns als Verantwortlichem folgende Rechte: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21, siehe unten). Beruht eine Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten (Abschnitte 3, 4.8, 5, 6, 7, 10 und 11), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung wenden Sie sich per E-Mail an Platzhalter: {{Datenschutz-Kontakt}}. Für Ihr Nutzerkonto gibt es in ZORYVO keinen Selbstservice für Auskunft, Export oder Löschung; wir bearbeiten Ihre Anfrage von Hand. Offene Rechtsfrage: [bitte klären: Verfahren und Frist für Betroffenenanfragen zu Nutzerkonten (Löschung von Profil und Anmeldekonto durch den Betreiber) festlegen.]

Betrifft Ihre Anfrage Daten, die ein Kunde in ZORYVO verarbeitet (Abschnitte 8 und 10), richten Sie sie an diesen Kunden. Er ist Verantwortlicher und kann Auskunft, Sperrung und Löschung je Kontakt in ZORYVO auslösen. Wir unterstützen ihn dabei.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei Platzhalter: {{zuständige Aufsichtsbehörde}}.

16. Weitere Angaben

16.1 Pflicht zur Bereitstellung

Für ein Nutzerkonto müssen Sie eine E-Mail-Adresse, einen Anzeigenamen, ein Passwort und, wo Pflicht, einen zweiten Faktor bereitstellen. Ohne diese Angaben können Sie ZORYVO nicht nutzen. Auf Buchungsseiten sind Name und E-Mail-Adresse Pflicht, bei Terminen vor Ort zusätzlich die Adresse; der Kunde kann einzelne seiner Fragen als Pflichtangabe kennzeichnen. Ohne Pflichtangaben ist keine Buchung möglich. Im Kontaktformular sind Name, Firma, E-Mail-Adresse und Nachricht Pflicht; ohne sie können wir die Anfrage nicht annehmen. Alle anderen Angaben sind freiwillig.

16.2 Keine automatisierte Entscheidungsfindung

Wir treffen keine Entscheidungen im Sinne von Art. 22 DSGVO. Rate-Limits und die Anmeldesperre begrenzen nur die Zahl der Versuche in einem Zeitfenster und heben sich von selbst auf; sie entfalten keine rechtliche Wirkung. Zur KI-Verarbeitung im Auftrag unserer Kunden siehe Abschnitt 8.4.

16.3 Datensicherheit

Wir schützen Daten mit folgenden Maßnahmen: Mandantentrennung durch Zugriffsregeln auf jeder Tabelle der Datenbank (Row Level Security), die auch für Hintergrundjobs und den Plattform-Admin gelten; Zwei-Faktor-Anmeldung; Übertragung nur über HTTPS (Strict-Transport-Security für zwei Jahre); Verschlüsselung von Zugriffstoken und Debug-Inhalten mit AES-256-GCM und getrennten Schlüsselringen; Speicherung von Einmal-Tokens (Einladungen, Buchungslinks), Wiederherstellungscodes und Rate-Limit-Identifikatoren nur als Hash; getrennte Umgebungen für Entwicklung, Test und Betrieb, ohne echte Daten in der Entwicklung; Protokolle ohne Inhalte und Fehlerberichte mit gekürzten und maskierten Fehlertexten (Abschnitt 7.1); Ablage von Dateien in Google Drive oder OneDrive nur nach Virenscan (derzeit ist kein Scanner eingerichtet, daher findet keine solche Ablage statt); eine Notbremse für alle Aktionen nach außen; Support-Freigaben mit Frist und Protokoll; interne Sicherheitsprüfungen des Codes. Ein externer Penetrationstest und eine Zertifizierung liegen nicht vor.

16.4 Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen, Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie unter /rechtliches/datenschutz. Maßgeblich ist der unten genannte Stand.

Stand: 2026-10-09