Datenschutzerklärung

Geltungsbereich

Diese Datenschutzerklärung gilt für:

• https://toolyte.com
• https://app.toolyte.com

Sie informiert insbesondere über die Verarbeitung personenbezogener Daten von:

• Websitebesuchern,
• Interessenten,
• Organisationsinhabern,
• Administratoren,
• eingeladenen Benutzern,
• Beschäftigten und freien Mitarbeitern von Kunden,
• Kontakt- und Supportpersonen,
• Personen, deren Daten durch Kunden innerhalb von Toolyte verarbeitet werden.

Toolyte richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB, Selbstständige und sonstige geschäftliche Nutzer.

Datenschutzrechtliche Rollen

Verarbeitung in eigener Verantwortlichkeit

Toolyte ist insbesondere Verantwortlicher für:

• den Betrieb der öffentlichen Website,
• die Registrierung von Organisationsinhabern,
• die Vertrags- und Abrechnungsverwaltung,
• die Bearbeitung von Kontakt- und Supportanfragen,
• die Gewährleistung von Sicherheit und Stabilität,
• die Verwaltung von Einwilligungen,
• die freiwillige Produkt- und Fehleranalyse.

Verarbeitung im Auftrag des Kunden

Soweit Kunden innerhalb von Toolyte eigene Datensätze, Dateien, Sprachaufnahmen, Kontakte, Schemas oder andere Inhalte verarbeiten, entscheidet grundsätzlich der jeweilige Kunde über Zwecke und Rechtsgrundlagen der Verarbeitung.

In diesen Fällen ist regelmäßig der Kunde Verantwortlicher und Toolyte Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags.

Betroffene Personen sollten ihre Datenschutzrechte hinsichtlich solcher Kundeninhalte grundsätzlich gegenüber der Organisation geltend machen, die ihre Daten in Toolyte gespeichert hat. Toolyte unterstützt den jeweiligen Kunden bei der Bearbeitung entsprechender Anfragen.

Aufruf der Website und Server-Logfiles

Beim Aufruf der Website und der Anwendung werden technisch erforderliche Verbindungs- und Zugriffsdaten verarbeitet. Dazu können gehören:

• IP-Adresse,
• Zeitpunkt des Zugriffs,
• aufgerufene URL beziehungsweise Ressource,
• Referrer-URL,
• Browsertyp und Browserversion,
• Betriebssystem,
• HTTP-Statuscode,
• übertragene Datenmenge,
• Request- und Ereigniskennungen.

Die Verarbeitung dient:

• der Auslieferung der Website und Anwendung,
• der Erkennung technischer Störungen,
• der Abwehr unberechtigter Zugriffe,
• der IT-Sicherheit,
• der Sicherstellung von Stabilität und Verfügbarkeit.

Gewöhnliche technische Protokolle werden grundsätzlich für 30 Tage gespeichert. Sicherheitsrelevante Protokolle können für bis zu 90 Tage aufbewahrt werden. Kurzfristig aktivierte Debug-Protokolle werden grundsätzlich spätestens nach sieben Tagen gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Das berechtigte Interesse besteht im sicheren, stabilen und funktionsfähigen Betrieb der Systeme.

Soweit technisch erforderliche Informationen auf dem Endgerät gespeichert oder ausgelesen werden, erfolgt dies auf Grundlage von § 25 Abs. 2 TDDDG.

Kontaktformular und E-Mail-Kommunikation

Bei einer Kontaktaufnahme über das Kontaktformular oder per E-Mail verarbeitet Toolyte insbesondere:

• Name,
• E-Mail-Adresse,
• Inhalt der Nachricht beziehungsweise Notiz,
• sonstige freiwillig mitgeteilte Informationen,
• technische Versand- und Zustellinformationen.

Das Kontaktformular verwendet keinen externen CAPTCHA- oder Bot-Schutz. Die über das Formular übermittelten Nachrichten werden an ein bei ALL-INKL.COM – Neue Medien Münnich geführtes E-Mail-Postfach zugestellt.

Allgemeine Kontaktanfragen werden grundsätzlich spätestens sechs Monate nach abschließender Bearbeitung gelöscht. Soweit die Kommunikation der Anbahnung, Durchführung oder Dokumentation eines Vertragsverhältnisses dient oder gesetzlichen Aufbewahrungspflichten unterliegt, erfolgt die Löschung erst nach Ablauf der maßgeblichen Fristen.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertraglichen Anfragen,
• Art. 6 Abs. 1 lit. f DSGVO bei sonstigen geschäftlichen Anfragen,
• Art. 6 Abs. 1 lit. c DSGVO bei gesetzlichen Aufbewahrungspflichten.

Telefonische Kontaktaufnahme

Telefonate werden nicht aufgezeichnet.

Soweit dies zur Bearbeitung eines Anliegens erforderlich ist, können manuelle Gesprächsnotizen angefertigt werden. Diese können insbesondere enthalten:

• Name und Kontaktdaten,
• Zeitpunkt des Gesprächs,
• Organisation,
• Gesprächsgegenstand,
• vereinbarte Maßnahmen.

Allgemeine Gesprächsnotizen werden grundsätzlich spätestens sechs Monate nach abschließender Bearbeitung gelöscht. Bei vertrags- oder geschäftsrelevanter Kommunikation gelten die gesetzlichen Aufbewahrungs- und Verjährungsfristen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b, lit. c oder lit. f DSGVO, abhängig vom jeweiligen Gesprächskontext.

Registrierung und Organisationskonto

Die Nutzung von Toolyte setzt die Registrierung einer Organisation durch einen Organisationsinhaber voraus.

Dabei werden insbesondere verarbeitet:

• Vorname,
• Nachname,
• E-Mail-Adresse,
• Passwort,
• Organisationszugehörigkeit,
• Benutzer- und Organisationskennung,
• Registrierungs- und Verifizierungsstatus.

Die E-Mail-Adresse wird vor der erstmaligen Nutzung mittels eines einmaligen Bestätigungscodes verifiziert.

Nicht innerhalb von sieben Tagen bestätigte Registrierungen werden gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Authentifizierung

Die Authentifizierung und Passwortverwaltung erfolgen über Amazon Cognito.

Passwörter werden nicht im Klartext gespeichert. Sie werden im Rahmen des Authentifizierungsvorgangs technisch verarbeitet und durch Amazon Cognito nach den dort eingesetzten Sicherheitsverfahren verwaltet.

Zusätzlich können verarbeitet werden:

• Zeitpunkt von Anmeldungen,
• fehlgeschlagene Anmeldeversuche,
• Sitzungs- und Tokeninformationen,
• Passwort-Reset-Vorgänge,
• IP-Adresse und Geräteinformationen,
• sicherheitsrelevante Ereignisse.

Die Verarbeitung dient der sicheren Anmeldung, Sitzungsverwaltung und Missbrauchserkennung.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der Anmeldung,
• Art. 6 Abs. 1 lit. f DSGVO für Sicherheits- und Missbrauchsschutz.

Eingeladene Benutzer

Organisationsadministratoren können weitere Benutzer einladen. Hierfür geben sie insbesondere folgende Daten ein:

• E-Mail-Adresse,
• vorgesehene Rolle,
• vorgesehene Berechtigungen.

Die eingeladene Person erhält über Amazon Simple Email Service eine Einladungs-E-Mail mit einem Registrierungslink.

Nicht innerhalb von 30 Tagen angenommene Einladungen werden gelöscht.

Die Verarbeitung erfolgt grundsätzlich auf Weisung der einladenden Organisation. Soweit Toolyte Daten für eigene Sicherheits- und Betriebszwecke verarbeitet, beruht dies auf Art. 6 Abs. 1 lit. f DSGVO.

Benutzerprofile, Rollen und Berechtigungen

Nach der Registrierung können insbesondere folgende Daten gespeichert werden:

• Vorname,
• Nachname,
• E-Mail-Adresse,
• optionales Profilbild,
• Rollen,
• Berechtigungen,
• Organisationszugehörigkeit,
• Benutzerstatus.

Toolyte verfügt über ein rollenbasiertes Berechtigungssystem. Der Zugriff auf Datensätze, Dateien, KI-Funktionen und organisatorische Informationen richtet sich nach den vom Kunden vergebenen Berechtigungen.

Aus einer Organisation entfernte Benutzerprofile werden grundsätzlich innerhalb von 30 Tagen gelöscht oder pseudonymisiert, soweit keine entgegenstehenden Aufbewahrungs- oder Nachweiserfordernisse bestehen.

Ein Benutzer kann mehreren Organisationen nur über jeweils eigenständige organisationsbezogene Profile und gegebenenfalls unterschiedliche E-Mail-Adressen zugeordnet sein.

Kundeninhalte

Kunden können innerhalb von Toolyte eigene Datenstrukturen und Schemas anlegen und darin insbesondere verarbeiten:

• Kunden- und Lieferantendaten,
• Beschäftigtendaten,
• Kontaktdaten,
• Termine und Aufgaben,
• Notizen,
• Dokumente,
• Dateien,
• Kommunikationsinhalte,
• Sprachaufnahmen und Transkripte,
• sonstige individuell definierte Daten.

Der Kunde bleibt für die Rechtmäßigkeit dieser Verarbeitung verantwortlich. Dazu gehören insbesondere:

• das Vorliegen einer Rechtsgrundlage,
• die Erfüllung von Informationspflichten,
• die Wahrung von Betroffenenrechten,
• die Einhaltung gesetzlicher Aufbewahrungsfristen,
• die Zulässigkeit von Sprachaufnahmen,
• die Kontrolle von Zugriffsrechten.

Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, strafrechtlicher Daten nach Art. 10 DSGVO, von Sozialdaten und besonders schutzbedürftigen Daten Minderjähriger ist ohne vorherige ausdrückliche Vereinbarung nicht gestattet.

KI-Funktionen

Toolyte bietet KI-gestützte Funktionen zur Erstellung, Bearbeitung und Organisation betrieblicher Daten.

Dabei können insbesondere verarbeitet werden:

• eingegebene oder transkribierte Texte,
• Sprachaufnahmen,
• Datensätze,
• aufrufbare Datensätze innerhalb des Berechtigungskontexts,
• frühere Unterhaltungen,
• Dateien,
• Organisationsinformationen,
• Benutzerinformationen,
• Schemas und Datenstrukturen.

Die KI erhält keine von einem Benutzer unabhängigen Zugriffsrechte. Sie darf nur Informationen verarbeiten, auf die der auslösende Benutzer innerhalb seiner Organisation zugreifen darf.

Die KI kann insbesondere:

• Datensätze anlegen,
• Datensätze ändern,
• Schemas anlegen,
• Schemas ändern.

Schemaänderungen müssen durch den Benutzer bestätigt werden. Datensätze können im Rahmen einer ausdrücklich ausgelösten KI-Funktion ohne erneute Einzelbestätigung angelegt oder geändert werden. KI-ausgelöste Änderungen werden im Audit-Protokoll als solche gekennzeichnet und dem auslösenden Benutzer zugeordnet.

Die KI kann nach dem gegenwärtigen Funktionsumfang nicht selbstständig:

• Datensätze oder Dateien löschen,
• Berechtigungen ändern,
• E-Mails versenden,
• externe Termine buchen,
• externe APIs aufrufen.

Toolyte verwendet keine Embeddings oder Vektordatenbanken für die beschriebene KI-Verarbeitung.

KI-Dienstleister Noirdoc

Zur Bereitstellung der KI-Funktionen setzt Toolyte die

mit ihrem Dienst „Noirdoc“ als Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter ein.

Noirdoc stellt ein KI-Gateway bereit und übermittelt Anfragen an verwaltete KI-Modelle, insbesondere an über Microsoft Azure OpenAI innerhalb der Europäischen Union bereitgestellte Modelle.

Nach den vertraglichen Vereinbarungen werden Eingaben und erzeugte Ausgaben nicht zum Training, Fine-Tuning oder zur sonstigen Verbesserung von KI-Modellen verwendet.

Der Anfrageinhalt wird bei Noirdoc grundsätzlich nur flüchtig verarbeitet und nicht dauerhaft gespeichert. Technische Metadaten, insbesondere Zeitstempel, Mandanten- und Schlüsselkennungen, verwendetes Modell und Token-Verbrauch, werden grundsätzlich für 30 Tage gespeichert.

Bei einzelnen Modellanbietern kann eine Missbrauchsüberwachung stattfinden. Dabei können als auffällig erkannte Inhalte vorübergehend gespeichert und durch hierzu berechtigte Personen innerhalb des Europäischen Wirtschaftsraums überprüft werden. Umfang und Dauer richten sich nach dem eingesetzten Modellanbieter und den vereinbarten Einstellungen.

Weitere Informationen:

https://noirdoc.de/datenschutz/

Sprachaufnahmen und Transkription

Toolyte ermöglicht die Aufnahme und Verarbeitung gesprochener Inhalte. Dabei werden verarbeitet:

• die vollständige Audiodatei,
• das erzeugte Transkript,
• technische Metadaten,
• Zuordnung zum jeweiligen Datensatz und Benutzer.

Die Audiodatei wird zur Transkription über Noirdoc an das jeweils eingesetzte, innerhalb der EU bereitgestellte Modell übertragen. Audiodateien und Transkripte werden nicht zum Training der eingesetzten Modelle verwendet.

Innerhalb von Toolyte bleiben Audiodatei und Transkript gespeichert, bis sie durch den Kunden gelöscht werden oder die Organisation gelöscht wird.

Während einer Aufnahme wird ein sichtbarer Aufnahmeindikator angezeigt. Der Kunde und seine Benutzer sind dafür verantwortlich, alle aufgenommenen Personen zu informieren und sicherzustellen, dass die Aufnahme rechtmäßig erfolgt. Heimliche oder unbefugte Aufnahmen sind nicht gestattet.

Dateien

Benutzer können insbesondere folgende Dateien hochladen:

• Bilder,
• PDF-Dokumente,
• Office-Dateien,
• Audio- und Videodateien,
• sonstige unterstützte Dateiformate.

Dateien werden in Amazon S3 gespeichert. Der Zugriff richtet sich nach den Berechtigungen der jeweiligen Organisation.

Dateien können im Rahmen einer vom Benutzer ausgelösten KI-Funktion an Noirdoc und die eingesetzten Modelle übermittelt werden, soweit dies zur Bearbeitung der Anfrage erforderlich ist.

Dateien werden gespeichert, bis sie durch den Kunden gelöscht werden, eine festgelegte Aufbewahrungsfrist abläuft oder die Organisation gelöscht wird.

Audit-Protokoll

Zur Sicherstellung von Integrität, Nachvollziehbarkeit, Fehleranalyse und IT-Sicherheit führt Toolyte ein manipulationsgeschütztes Audit-Protokoll.

Es kann insbesondere enthalten:

• Ereignis-ID,
• Zeitpunkt,
• Benutzer und Rollen,
• auslösende Organisation,
• Herkunft der Änderung,
• Kennzeichnung als Benutzer- oder KI-Änderung,
• IP-Adresse,
• Request-ID,
• betroffener Datensatz,
• geändertes Feld,
• vorheriger Wert,
• neuer Wert.

Die Audit-Einträge werden kryptografisch verkettet. Organisationsadministratoren können sie nicht nachträglich verändern oder löschen.

Audit-Protokolle können frühere und neue Feldwerte enthalten. Wird ein Datensatz innerhalb der Anwendung gelöscht, können zugehörige Änderungsinformationen daher bis zur Löschung der Organisation im Audit-Protokoll erhalten bleiben.

Die Audit-Protokolle werden bis zur Löschung der jeweiligen Organisation gespeichert. Bei Löschung der Organisation werden sie aus den Produktivsystemen entfernt. In technischen Sicherungen vorhandene Kopien werden innerhalb der Backup-Fristen überschrieben.

Supportzugriffe

Ein regulärer Zugriff von Toolyte auf Kundeninhalte findet nicht statt.

Bei einem konkreten Supportfall kann ein Organisationsinhaber oder Administrator innerhalb der Anwendung einen zeitlich begrenzten Supportzugriff freigeben.

Dabei werden insbesondere dokumentiert:

• freigebende Person,
• Zeitpunkt,
• betroffene Organisation,
• Zweck,
• zugreifende Person,
• tatsächliche Zugriffe,
• Zeitpunkt des Widerrufs oder Ablaufs.

Der Zugriff ist auf die betroffene Organisation beschränkt und wird nach Ablauf der Freigabe automatisch beendet. Daneben können technisch beschränkte Zugriffe auf Infrastruktur- und Protokolldaten zur Gewährleistung von Sicherheit und Betrieb erforderlich sein.

Hosting und Infrastruktur

Toolyte wird überwiegend auf Infrastruktur von Amazon Web Services betrieben. Die primäre Region ist eu-central-1 in Frankfurt am Main.

Eingesetzt werden insbesondere:

• Amazon API Gateway,
• AWS Lambda,
• Amazon Cognito,
• Amazon RDS,
• Amazon S3,
• Amazon DynamoDB,
• Amazon EventBridge,
• Amazon SES,
• Amazon CloudFront,
• Amazon Route 53,
• Amazon CloudWatch,
• AWS Secrets Manager,
• Amazon VPC.

Die Kommunikation erfolgt verschlüsselt über TLS. Daten werden auch bei der Speicherung nach Maßgabe der eingesetzten AWS-Dienste verschlüsselt.

Globale Dienste wie CloudFront und Route 53 sowie administrative Support- und Sicherheitsprozesse können technisch nicht in jedem Fall ausschließlich auf Deutschland beschränkt werden.

Produktanalyse mit PostHog

Toolyte verwendet nach vorheriger Einwilligung PostHog EU Cloud des Anbieters PostHog Inc.

PostHog wird auf der Website und in der Anwendung in getrennten Projekten verwendet.

Dabei können verarbeitet werden:

• pseudonyme Benutzerkennung,
• aufgerufene Seiten und Funktionen,
• Klick- und Interaktionsereignisse,
• Sitzungsinformationen,
• Browser und Betriebssystem,
• Geräte- und Bildschirmmerkmale,
• Spracheinstellung,
• technische Nutzungsdaten,
• maskierte Sitzungsaufzeichnungen.

Name und E-Mail-Adresse werden nicht an PostHog übermittelt.

Sitzungsaufzeichnungen sind so zu konfigurieren, dass Eingaben, sichtbare Kundeninhalte und sensible Bereiche maskiert und Netzwerk-Payloads nicht erfasst werden.

Produktanalyseereignisse werden grundsätzlich für zwölf Monate gespeichert. Sitzungsaufzeichnungen werden spätestens nach 30 Tagen gelöscht.

Die Verarbeitung erfolgt nur nach vorheriger Einwilligung.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO,
• § 25 Abs. 1 TDDDG.

Fehler- und Performanceanalyse mit Sentry

Toolyte verwendet in der Anwendung nach vorheriger Einwilligung Sentry des Anbieters Functional Software, Inc. d/b/a Sentry.

Die Verarbeitung erfolgt in einer EU-Datenregion.

Verarbeitet werden können:

• technische Fehlermeldungen,
• Stacktraces,
• Browser und Betriebssystem,
• Geräteinformationen,
• aufgerufene technische Ressourcen,
• Performance- und Trace-Informationen,
• Zeitpunkt und Umgebung des Fehlers.

Sentry Session Replay wird nicht eingesetzt. Die Übermittlung standardmäßiger personenbezogener Daten ist deaktiviert. Potenziell personenbezogene Inhalte, insbesondere Request-Bodies, Cookies, Authentifizierungsdaten, Prompts und Datensatzinhalte, werden vor der Übermittlung entfernt oder maskiert.

Sentry-Daten werden grundsätzlich für 30 Tage gespeichert.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO,
• soweit Endgeräteinformationen gespeichert oder ausgelesen werden: § 25 Abs. 1 TDDDG.

Cookies und ähnliche Technologien

Toolyte verwendet Cookies, Local Storage und vergleichbare Technologien für:

• Anmeldung,
• Sitzungsverwaltung,
• Sicherheit,
• Speicherung der Consent-Auswahl,
• Produktanalyse,
• Fehler- und Performanceanalyse.

Technisch erforderliche Technologien werden auf Grundlage von § 25 Abs. 2 TDDDG verwendet. Die damit verbundene Verarbeitung personenbezogener Daten beruht auf Art. 6 Abs. 1 lit. b oder lit. f DSGVO.

PostHog und Sentry werden erst nach vorheriger Einwilligung aktiviert.

Die Einwilligung kann jederzeit über die innerhalb der Website und Anwendung erreichbaren „Datenschutzeinstellungen“ widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

Consent-Nachweise

Zum Nachweis erteilter oder verweigerter Einwilligungen verarbeitet Toolyte:

• pseudonyme Benutzer- oder Gerätekennung,
• Consent-Version,
• ausgewählte Kategorien,
• Zeitpunkt der Entscheidung,
• Zeitpunkt eines Widerrufs,
• Domain und Sprache.

Die Nachweise werden für die Dauer der Einwilligung und anschließend ausschließlich für den erforderlichen rechtlichen Nachweiszeitraum gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

Zahlungsabwicklung und Rechnungen

Für kostenpflichtige Leistungen verwendet Toolyte Stripe Checkout und weitere Abrechnungsfunktionen der Stripe Technology Company Limited.

Dabei können insbesondere verarbeitet werden:

• Name beziehungsweise Unternehmensbezeichnung,
• E-Mail-Adresse,
• Rechnungsanschrift,
• Umsatzsteuer-ID,
• gebuchter Tarif,
• Rechnungsbetrag,
• Zahlungsmethode,
• Zahlungsstatus,
• Rechnungs- und Transaktionsdaten,
• Informationen zur Betrugsprävention.

Stripe erstellt Rechnungen automatisiert.

Toolyte speichert insbesondere:

• Stripe-Customer-ID,
• Subscription-ID,
• Price-ID,
• Tarif,
• Abonnementstatus,
• Zahlungsstatus.

Toolyte erhält keine vollständigen Kreditkartendaten.

Stripe handelt je nach Verarbeitung als Auftragsverarbeiter oder als eigener Verantwortlicher, insbesondere bei gesetzlichen Prüf-, Sicherheits-, Betrugspräventions- und finanzrechtlichen Pflichten.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO,
• Art. 6 Abs. 1 lit. c DSGVO,
• Art. 6 Abs. 1 lit. f DSGVO für Betrugs- und Missbrauchsprävention.

Transaktions-E-Mails

Toolyte versendet insbesondere:

• Registrierungs- und Verifizierungs-E-Mails,
• Einladungen,
• Passwort-Reset-E-Mails,
• sicherheitsbezogene Mitteilungen,
• Vertrags- und Löschbestätigungen.

Der Versand erfolgt über Amazon Simple Email Service.

Marketing-E-Mails oder Newsletter werden derzeit nicht versendet.

Kostenlose Testphase

Toolyte kann für 14 Tage kostenlos getestet werden.

Wird nach Ablauf der Testphase kein kostenpflichtiger Vertrag abgeschlossen, wird die Organisation deaktiviert. Die zugehörigen Daten werden 30 Tage nach Ablauf der Testphase gelöscht, sofern nicht vorher ein kostenpflichtiger Vertrag abgeschlossen wird.

Vor der endgültigen Löschung wird der Organisationsinhaber entsprechend informiert. In technischen Sicherungen vorhandene Kopien werden innerhalb der Backup-Fristen überschrieben.

Löschung einer Organisation

Bei vollständiger Löschung einer Organisation werden insbesondere folgende Daten aus den Produktivsystemen entfernt:

• Organisationsdaten,
• organisationsbezogene Benutzerprofile,
• Datensätze,
• Dateien,
• Sprachaufnahmen,
• Transkripte,
• Schemas,
• Audit-Protokolle.

Je nach Sicherungssystem können Kopien noch für bis zu 30 Tage in geschützten Backups oder nicht aktuellen Objektversionen enthalten sein. Sie stehen währenddessen nicht mehr für den gewöhnlichen Betrieb zur Verfügung und werden anschließend überschrieben beziehungsweise gelöscht.

Gesetzlich aufzubewahrende Vertrags-, Rechnungs- und Buchhaltungsdaten bleiben von der Organisationslöschung unberührt.

Empfänger

Mit Auftragsverarbeitern bestehen beziehungsweise werden vor Beginn der Verarbeitung Vereinbarungen gemäß Art. 28 DSGVO abgeschlossen.

Drittlandübermittlungen

Die primäre Verarbeitung der Toolyte-Kundendaten erfolgt innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums.

Bei einzelnen US-amerikanischen Dienstleistern, insbesondere PostHog Inc. und Functional Software, Inc. d/b/a Sentry, kann ein Zugriff oder eine Verarbeitung aus den Vereinigten Staaten nicht vollständig ausgeschlossen werden.

Soweit personenbezogene Daten in ein Drittland übermittelt werden, erfolgt dies insbesondere auf Grundlage:

• eines Angemessenheitsbeschlusses der Europäischen Kommission,
• des EU-US Data Privacy Framework, sofern der jeweilige Empfänger zertifiziert ist,
• der Standardvertragsklauseln der Europäischen Kommission,
• zusätzlicher technischer und organisatorischer Schutzmaßnahmen.

Auch Stripe und AWS können im Rahmen globaler Support-, Sicherheits- und Unternehmensstrukturen Daten außerhalb der EU verarbeiten. Maßgeblich sind die mit den jeweiligen Anbietern vereinbarten Datenschutzbedingungen.

Speicherdauer

Datensicherheit

Toolyte setzt technische und organisatorische Maßnahmen ein. Dazu gehören insbesondere:

• TLS-verschlüsselte Übertragung,
• Verschlüsselung gespeicherter Daten,
• rollenbasierte Berechtigungen,
• logische Mandantentrennung,
• Mehr-Faktor-Authentifizierung für administrative Zugänge,
• sichere Geheimnisverwaltung,
• Protokollierung sicherheitsrelevanter Ereignisse,
• kryptografisch verkettete Audit-Einträge,
• zeitlich begrenzte Supportzugriffe,
• Backups und Wiederherstellungsverfahren,
• regelmäßige Überprüfung von Berechtigungen.

Automatisierte Entscheidungen

Toolyte verwendet KI-Funktionen zur Unterstützung der Benutzer und zur Ausführung ausdrücklich ausgelöster Aktionen.

Es erfolgt keine ausschließlich automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder einer vergleichbar erheblichen Beeinträchtigung gemäß Art. 22 DSGVO.

Die Verwendung von Toolyte für automatisierte Entscheidungen über Beschäftigung, Kreditwürdigkeit, Versicherungen, Gesundheit oder vergleichbar erhebliche persönliche Angelegenheiten ist ohne vorherige ausdrückliche Vereinbarung nicht gestattet.

Datenquellen

Toolyte erhält personenbezogene Daten insbesondere:

• direkt von betroffenen Personen,
• von Organisationsinhabern und Administratoren,
• durch Einladungen,
• aus von Kunden hochgeladenen Dateien,
• aus durch Kunden angelegten Datensätzen,
• aus Spracheingaben,
• aus technisch erzeugten Protokollen,
• von Stripe im Rahmen der Zahlungsabwicklung.

Soweit Toolyte ausschließlich als Auftragsverarbeiter handelt, obliegt die Information betroffener Personen grundsätzlich dem jeweiligen Kunden.

Verpflichtung zur Bereitstellung

Für Registrierung und Vertragsschluss sind insbesondere Name, E-Mail-Adresse und erforderliche Abrechnungsdaten bereitzustellen. Ohne diese Angaben kann Toolyte das Benutzerkonto beziehungsweise den Vertrag nicht bereitstellen.

Optionale Angaben, insbesondere ein Profilbild, müssen nicht bereitgestellt werden.

Analyse- und Diagnoseeinwilligungen sind freiwillig. Ihre Verweigerung hat keine Auswirkungen auf die wesentlichen Funktionen von Toolyte.

Rechte betroffener Personen

Betroffene Personen haben insbesondere folgende Rechte:

• Auskunft gemäß Art. 15 DSGVO,
• Berichtigung gemäß Art. 16 DSGVO,
• Löschung gemäß Art. 17 DSGVO,
• Einschränkung gemäß Art. 18 DSGVO,
• Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Widerspruch gemäß Art. 21 DSGVO,
• Widerruf einer Einwilligung gemäß Art. 7 Abs. 3 DSGVO,
• Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO.

Zur Ausübung der Rechte genügt eine Nachricht an:

privacy@toolyte.com

Betrifft die Anfrage Daten, die ein Kunde in Toolyte gespeichert hat, wird die Anfrage an den zuständigen Kunden weitergeleitet beziehungsweise nach dessen Weisung bearbeitet.

Besonderer Hinweis zum Widerspruchsrecht

Soweit eine Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO beruht, haben betroffene Personen aus Gründen, die sich aus ihrer besonderen Situation ergeben, das Recht, jederzeit Widerspruch gegen die Verarbeitung einzulegen.

Beschwerderecht

Betroffene Personen können sich bei einer Datenschutzaufsichtsbehörde beschweren.

Für Toolyte ist grundsätzlich zuständig:

Website: https://www.ldi.nrw.de

Änderungen

Toolyte kann diese Datenschutzerklärung anpassen, wenn sich Funktionen, Dienstleister, Datenverarbeitungen oder gesetzliche Anforderungen ändern.

Bei wesentlichen Änderungen werden Benutzer in geeigneter Weise informiert.