Datenschutzerklärung

Stand: 24.10.2026

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in dieser Erklärung beschriebenen Verarbeitungen ist:

Gläser IT-Solutions, Inhaber Daniel Gläser

Georgstraße 46, 09111 Chemnitz, Deutschland
E-Mail: support@auditspiegel.de

Weitere Angaben finden Sie im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Für alle Datenschutzanliegen erreichen Sie uns unter der oben genannten E-Mail-Adresse.

2. Zwei Rollen: Ihre Konto- und Vertragsdaten und die Daten aus Ihrem Microsoft-365-Tenant

3. Hosting und Ort der Verarbeitung

Auditspiegel läuft auf Servern der Hetzner Online GmbH (Gunzenhausen) in den Rechenzentren Falkenstein und Nürnberg, Deutschland. Datenbank, gespeicherte Berichte und Datensicherungen liegen ausschließlich dort. Hetzner ist unser Auftragsverarbeiter (Art. 28 DSGVO). Welche weiteren Dienstleister wir einsetzen und wo diese Daten verarbeiten, steht in Abschnitt 11 und in der Liste der Unterauftragsverarbeiter.

4. Besuch der Website

Server-Protokolle. Beim Aufruf unserer Seiten verarbeitet unser Server technisch notwendig Ihre IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Statuscode und die Browser-Kennung. Protokolliert werden nur fehlgeschlagene Anfragen (Fehlerstatus) — ohne Ihre IP-Adresse — sowie Anwendungsereignisse zur Fehlersuche. Zweck ist der sichere und stabile Betrieb, Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an IT-Sicherheit und Fehlerbehebung). Die Protokolle werden in unserer zentralen Protokollablage nach 14 Tagen gelöscht; die lokalen Protokolldateien auf dem Server sind in der Größe begrenzt und werden laufend überschrieben.

Cookies und ähnliche Techniken. Wir setzen nur Cookies, die für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Dafür ist keine Einwilligung nötig; einen Cookie-Hinweis zeigen wir deshalb nicht. Beim bloßen Besuch unserer Seiten wird kein Cookie gesetzt.

Local Storage oder Session Storage beschreiben wir nicht.

Reichweitenmessung (Plausible). Um zu sehen, wie oft die öffentlichen Seiten unserer Website aufgerufen werden (Startseite, Preise, Selbsttest, Ratgeber mit seinen Anleitungen und Rechtstexte), nutzen wir Plausible Analytics. Plausible betreiben wir selbst auf einem eigenen Server in unseren Geschäftsräumen in Chemnitz, Deutschland. Ihr Browser lädt dafür kein Skript und nimmt keinen Kontakt zu Plausible auf: Rufen Sie eine dieser Seiten auf, meldet unser Webserver den Aufruf selbst an unsere Plausible-Instanz. Er übermittelt dabei die aufgerufene Adresse (ohne Parameter; nur Kampagnen-Kennzeichen wie utm_source bleiben erhalten), die Herkunftsseite (ohne Parameter), die Browser-Kennung und Ihre IP-Adresse — so, wie sie mit Ihrem Seitenaufruf ohnehin bei unserem Server ankommen. Aufrufe im Kundenbereich, bei der Anmeldung und beim Verbinden eines Tenants zählen wir nicht. Für die Reichweitenmessung wird auf Ihrem Gerät nichts gespeichert und nichts ausgelesen; Cookies gibt es dafür nicht.

Die Meldung gelangt verschlüsselt über das Netz der Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA) zu unserem Plausible-Server. Cloudflare leitet sie als unser Auftragsverarbeiter nur weiter und speichert ihren Inhalt nicht dauerhaft; dabei kann Cloudflare die übermittelten Angaben einschließlich IP-Adresse und Browser-Kennung zur Kenntnis nehmen. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023); ergänzend gelten die Standardvertragsklauseln aus dem Auftragsverarbeitungsvertrag von Cloudflare. Ihre Audit-Daten und Ihr Kundenkonto laufen nicht über Cloudflare.

Die IP-Adresse speichert Plausible nicht. Um Besucher eines Tages zählen zu können, bildet es aus IP-Adresse, Browser-Kennung und Website-Adresse zusammen mit einem geheimen Zufallswert (Salt) einen Hash, der sich nicht zurückrechnen lässt. Der Salt wechselt alle 24 Stunden und der alte wird gelöscht; Besuche an verschiedenen Tagen oder auf anderen Websites lassen sich daher nicht verknüpfen, ein Nutzerprofil entsteht nicht. Land, Gerätetyp, Browser und Betriebssystem werden aus der Anfrage abgeleitet, danach verwirft Plausible IP-Adresse und Browser-Kennung. Wir sehen nur zusammengefasste Zahlen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, die Reichweite unserer Website anonym zu messen, um Inhalte und Bedienung zu verbessern; durch den Verzicht auf Skripte, Cookies, Kennungen und Profile ist der Eingriff gering.

Widerspruch gegen die Reichweitenmessung. Sie können jederzeit ohne Angabe von Gründen widersprechen:

  • Per Browsersignal: Aktivieren Sie in Ihrem Browser „Global Privacy Control" (GPC) oder „Do Not Track" (DNT). Sendet Ihr Browser eines dieser Signale, meldet unser Server Ihre Seitenaufrufe nicht an Plausible. Wir prüfen das Signal bei jedem Seitenaufruf neu und speichern dafür nichts auf Ihrem Gerät.
  • Per E-Mail an support@auditspiegel.de. Weil Plausible keine Kennung speichert, können wir Ihre Besuche nicht wiedererkennen und einen Widerspruch per E-Mail keinem Browser zuordnen. Bereits erfasste Zahlen lassen sich nicht auf Sie beziehen. Damit künftig keine Aufrufe von Ihnen gezählt werden, nutzen Sie bitte zusätzlich das Browsersignal; wir helfen gern bei der Einrichtung.

5. Kundenkonto und Anmeldung

Für Ihr Konto verarbeiten wir Name, E-Mail-Adresse, ein Passwort (nur als Hash), die Daten der Zwei-Faktor-Anmeldung (TOTP-Geheimnis verschlüsselt, Wiederherstellungscodes nur als Hash) sowie zu jeder aktiven Sitzung die IP-Adresse und die Browser-Kennung, damit Sie Ihre angemeldeten Geräte erkennen und abmelden können. Abgelaufene Sitzungen löschen wir täglich; bleibt eine Sitzung länger als 30 Tage aktiv, kürzen wir die gespeicherte IP-Adresse (IPv4 auf die ersten drei Blöcke, IPv6 auf die ersten 48 Bit). Ihr Unternehmen und Ihre Rolle darin speichern wir, um Konto und Tenant zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag); die Zwei-Faktor-Anmeldung dient zusätzlich der Sicherheit nach Art. 32 DSGVO.

Konten ohne Buchung. Zu jedem Konto speichern wir den Zeitpunkt der letzten abgeschlossenen Anmeldung. Wurde über ein Konto nie ein Einmal-Audit oder ein Abo gebucht und hat sich 12 Monate lang niemand darin angemeldet, löschen wir das Konto vollständig — mit Zugangs- und Zwei-Faktor-Daten, verbundenen Tenants und allen gespeicherten Daten, wie bei einer Konto-Löschung (Abschnitt 10). Hat sich nach der Registrierung nie jemand angemeldet, rechnen die 12 Monate ab der Registrierung. Wir kündigen die Löschung 30 Tage vorher per E-Mail an die Adresse des Kontos an und nennen das Datum; melden Sie sich bis dahin an, entfällt die Löschung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): Daten eines Kontos, das niemand nutzt, bewahren wir nicht unbegrenzt auf.

Sicherheitsprotokoll. Sicherheitsrelevante Vorgänge (z. B. Anmeldung, Änderung der Zwei-Faktor-Anmeldung, Verbindung oder Trennung eines Tenants, Start eines Audits, Abruf eines Berichts, Annahme eines Vertrags, Konto-Löschung) protokollieren wir mit Zeitpunkt, Browser-Kennung und einem Hash Ihrer IP-Adresse. Den Hash bilden wir mit einem geheimen, täglich wechselnden Schlüssel; ohne diesen Schlüssel lässt sich die IP-Adresse nicht zurückrechnen. Zweck ist die Missbrauchserkennung und der Nachweis von Vertragserklärungen; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 32 DSGVO. Löschung nach 2 Jahren, spätestens mit der Löschung des Kontos; danach bleibt nur ein Vermerk, dass und wann gelöscht wurde, ohne Bezug zu Ihrer Person.

Vertragserklärungen. Die Annahme von AGB und AVV (Version, Zeitpunkt, vertretungsberechtigte Person mit Funktion, IP-Hash) bewahren wir als Vertragsnachweis für die Dauer des Vertragsverhältnisses auf (Art. 6 Abs. 1 lit. b, c und f DSGVO). Mit der Löschung des Kontos entfernen wir Name, Nutzerkennung, IP-Hash und ein hochgeladenes AVV-Dokument; nur Unternehmen, Dokument, Version, Zeitpunkt und die Funktion der annehmenden Person bleiben bis zum Ablauf der regelmäßigen Verjährungsfrist erhalten (drei Jahre ab Ende des Jahres der Löschung, Art. 17 Abs. 3 lit. e DSGVO).

6. Audit Ihres Microsoft-365-Tenants (Auftragsverarbeitung)

Nach der Administratorzustimmung in Ihrem Tenant liest Auditspiegel über Microsoft Graph ausschließlich lesend Konfigurations- und Verzeichnisdaten: Sicherheitsrichtlinien (z. B. bedingter Zugriff, MFA-Einstellungen), Rollen- und Lizenzzuordnungen, Secure-Score-Werte und Tenant-Stammdaten (Name, Anzahl Nutzer). Inhalte aus Postfächern, Dateien, Chats oder Kalendern sowie Kennwörter liest Auditspiegel nicht.

Gespeichert werden die Prüfergebnisse und je Befund ein kurzer Nachweis-Auszug. Darin können einzelne Konten als Stichprobe vorkommen (höchstens 5 je Befund, z. B. Anzeigename, Objekt-ID und — bei Administratorkonten — der Anmeldename), damit Ihre Administration den Befund nachvollziehen kann. Diese Stichproben löschen wir mit den übrigen Prüfergebnissen (Abschnitt 10). Vollständige Antworten der Schnittstelle werden höchstens 2 Stunden zwischengespeichert, ein Protokoll der Schnittstellenaufrufe ohne Inhalte 90 Tage. Berichte erzeugen wir als PDF und speichern sie in einem privaten Speicherbereich bei Hetzner; Download-Links sind 7 Tage gültig.

Diese Verarbeitung erfolgt im Auftrag und nach Weisung Ihres Unternehmens; Einzelheiten, insbesondere zur Löschung, regelt der AVV.

Bitten Sie eine Kollegin oder einen Kollegen per Weiterleitungs-E-Mail um die Administratorzustimmung, verarbeiten wir deren E-Mail-Adresse, um die Anfrage zuzustellen (Art. 6 Abs. 1 lit. b und f DSGVO).

6a. KI-Funktionen (nur nach Aktivierung)

Die KI-Funktionen sind ausgeschaltet, bis eine berechtigte Person Ihrer Organisation sie in den Kontoeinstellungen ausdrücklich aktiviert. Wir speichern, wann, von wem und zu welcher Fassung des Hinweises das geschah, und protokollieren das Ein- und Ausschalten im Sicherheitsprotokoll. Ohne Aktivierung übermitteln wir nichts an einen KI-Dienst.

Nach der Aktivierung erstellt ein Sprachmodell (Claude von Anthropic) aus den Ergebnissen Ihrer Scans eine Zusammenfassung für die Geschäftsführung und einen Maßnahmenplan, beantwortet „Fragen zum Bericht" und schlägt Antworten auf hochgeladene Fragebögen vor. Übermittelt werden dafür nur: die Bewertungen, Messwerte und Nachweis-Auszüge der Prüfungen, Lizenzstand, die Beschreibung der Prüfungen aus unserem Katalog, bei „Fragen zum Bericht" Ihre Frage und der bisherige Verlauf zu diesem Bericht, bei Fragebögen das hochgeladene Dokument.

Vor dem Versand ersetzen wir Anmeldenamen, E-Mail-Adressen und Anzeigenamen durch Platzhalter („Konto A", „Konto B"), die Domains Ihres Tenants durch „Ihre Domain" und den Namen Ihres Unternehmens durch „Ihr Unternehmen" (Pseudonymisierung). IP-Adressen, technische Kennungen (Objekt- und Tenant-IDs), Zugangsdaten und Schlüssel entfernen wir. In der Antwort setzen wir die Platzhalter wieder ein. Ein hochgeladenes PDF wird unverändert übertragen; Texte aus Word-, Excel- und CSV-Dateien pseudonymisieren wir wie oben.

Es wird jeweils einer der folgenden Dienste eingesetzt; welcher, steht im Hinweis vor der Aktivierung:

Bei uns gespeichert werden die erzeugten Texte (bis zur Löschung des Scans bzw. Kontos), der Verlauf von „Fragen zum Bericht" je Person und Bericht (bis Sie ihn löschen, spätestens mit dem Konto), die Fragen und Antworten aus Fragebögen (bis Sie den Fragebogen löschen, spätestens mit dem Konto) und je Anfrage ein Verbrauchseintrag ohne Inhalte (Funktion, Modell, Anzahl Token, geschätzte Kosten) für Kontingente und Abrechnung. Die hochgeladene Datei selbst löschen wir, sobald die Auswertung abgeschlossen ist.

Soweit Daten aus Ihrem Tenant betroffen sind, handeln wir als Auftragsverarbeiter nach dem AVV (§7a); die Aktivierung ist Ihre Weisung. Für Ihre Fragen im Konto ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Die Texte sind KI-gestützt erstellt, gestützt auf die Prüfergebnisse und mit Prüf-IDs belegt; eine automatisierte Entscheidung über Personen findet nicht statt.

7. Bestellung, Zahlung und Rechnungen

Auditspiegel wird ausschließlich an Unternehmen verkauft. Bei einer Bestellung verarbeiten wir Firmenname, Geschäftsanschrift, Land, die USt-IdNr (für Unternehmen im EU-Ausland erforderlich, sonst freiwillig), die E-Mail-Adresse des bestellenden Kontos sowie Ihre Bestätigung, als Unternehmer zu handeln (mit Zeitstempel und IP-Hash als Nachweis).

Die Zahlung, die Erstellung der Rechnungen, die Steuerberechnung und die Prüfung angegebener USt-IdNr über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission übernimmt die Stripe Payments Europe, Ltd. (Dublin, Irland). Kartendaten geben Sie direkt bei Stripe ein; wir speichern davon nur eine maskierte Kennung (Kartenmarke und die letzten vier Stellen, verschlüsselt). Benachrichtigungen von Stripe zu Zahlungsvorgängen speichern wir 90 Tage zur Fehleranalyse.

Stripe handelt für Zahlungsabwicklung und Rechnungserstellung als unser Auftragsverarbeiter, für eigene Zwecke — insbesondere Betrugsprävention sowie gesetzliche Pflichten als Zahlungsdienstleister (z. B. Geldwäscheprävention) — als eigenständig Verantwortlicher; dafür gilt die Datenschutzerklärung von Stripe. Stripe kann Daten an die Stripe, LLC in den USA übermitteln; diese ist nach dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023, Art. 45 DSGVO), ergänzend gelten Standardvertragsklauseln.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten). Rechnungen und Buchungsbelege bewahren wir nach § 147 AO und § 14b UStG zehn Jahre auf, Geschäftsbriefe sechs Jahre. Die Rechnungen liegen bei Stripe; löschen Sie Ihr Konto, behalten wir zu ihrer Zuordnung nur Firmenname, USt-IdNr und die Kundennummer bei Stripe und beenden ein laufendes Abo.

Buchhaltungs-Verbindung (optional). Verbinden Sie in Ihrem Konto Ihr eigenes lexoffice- oder sevDesk-Konto, übertragen wir unsere Rechnungen an Sie als Eingangsbeleg mit PDF dorthin. Das geschieht auf Ihre Veranlassung (Art. 6 Abs. 1 lit. b DSGVO); Empfänger ist der Anbieter Ihrer Buchhaltungssoftware (Haufe-Lexware GmbH & Co. KG bzw. sevDesk GmbH, beide Deutschland). Die Zugangsschlüssel speichern wir verschlüsselt und löschen sie, wenn Sie die Verbindung trennen oder Ihr Konto gelöscht wird.

8. E-Mails

Wir senden Ihnen E-Mails, die zum Dienst gehören: Bestätigung der E-Mail-Adresse, Sicherheitshinweise, Benachrichtigungen zu abgeschlossenen Scans (mit Tenant-Name und Zählwerten), Hinweise zu Rechnungen, Zahlungen und Vertragsänderungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für den Versand betreiben wir einen eigenen Mailserver (Postal) auf Servern der Hetzner Online GmbH in Deutschland; Hetzner ist dabei unser Auftragsverarbeiter (siehe Unterauftragsverarbeiter). Werbe-E-Mails versenden wir nicht.

Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihres Anliegens (Art. 6 Abs. 1 lit. b oder f DSGVO) und löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflicht (z. B. sechs Jahre für Geschäftsbriefe) entgegensteht.

8a. Selbsttest und Auswertung per E-Mail

Selbsttest. Auf der Seite „Selbsttest" können Sie zehn Fragen zu den Einstellungen Ihres Microsoft 365 beantworten. Ihre Antworten schickt Ihr Browser an unseren Server, der daraus die Einschätzung berechnet und die Seite mit dem Ergebnis zurückgibt. Dabei speichern wir die Antworten nicht, setzen kein Cookie und legen nichts auf Ihrem Gerät ab. Die Server-Protokolle aus Abschnitt 4 enthalten die Antworten nicht.

Auswertung per E-Mail. Wenn Sie die Auswertung per E-Mail anfordern und dazu das Kontrollkästchen ankreuzen, speichern wir Ihre E-Mail-Adresse, Ihre zehn Antworten (als Ja, Nein oder Weiß nicht), einen nicht umkehrbaren Prüfwert (Hash) des Bestätigungslinks und die Zeitpunkte von Anforderung, Bestätigung und Versand. Weitere Angaben, etwa Name, Unternehmen oder IP-Adresse, speichern wir dazu nicht.

Wir schicken Ihnen zuerst eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Erst wenn Sie dort bestätigen, senden wir Ihnen die Auswertung. So stellen wir sicher, dass die Adresse Ihnen gehört. Einen Newsletter oder Werbung senden wir Ihnen nicht.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und die Erfüllung der von Ihnen angeforderten Leistung, der Zusendung der Auswertung (Art. 6 Abs. 1 lit. b DSGVO). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel per E-Mail an support@auditspiegel.de; wir löschen Ihre Angaben dann.

Speicherdauer. Bestätigen Sie den Link nicht, löschen wir Ihre Angaben nach 7 Tagen. Nach der Bestätigung löschen wir sie 30 Tage später. Kaufen Sie in dieser Zeit unter derselben E-Mail-Adresse ein Audit, gehören die Angaben zu Ihrer Kundenbeziehung und werden mit Ihrem Kundenkonto gelöscht (Abschnitt 10). Die Löschung läuft täglich automatisch.

Schutz vor Missbrauch. Damit niemand über das Formular massenhaft E-Mails an fremde Adressen auslöst, begrenzen wir die Zahl der Anforderungen je Verbindung und je E-Mail-Adresse. Dafür speichern wir höchstens 24 Stunden einen Zähler unter einem Hash Ihrer IP-Adresse (gebildet mit einem täglich wechselnden geheimen Schlüssel) und einem Hash der E-Mail-Adresse; die Adresse selbst steht dort nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem sicheren Betrieb und am Schutz Dritter vor unerwünschten E-Mails).

Den Versand übernimmt derselbe Mailserver wie in Abschnitt 8.

9. Betrieb, Überwachung und Datensicherung

Für Überwachung und Fehlersuche erfassen wir Metriken und Anwendungsprotokolle mit selbst betriebenen Werkzeugen (Prometheus, Loki, Grafana) auf unseren Servern in Deutschland; Protokolle werden nach 14 Tagen gelöscht. Die Datenbank sichern wir täglich verschlüsselt auf einen getrennten Speicher bei Hetzner in Deutschland und bewahren 30 Tagesstände auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO und Art. 32 DSGVO (Verfügbarkeit und Wiederherstellbarkeit). Gelöschte Daten verschwinden spätestens mit dem Ablauf der Datensicherungen nach 30 Tagen auch dort.

10. Speicherdauer im Überblick

Vertragsende ist beim Abo das Ende des letzten bezahlten Abrechnungszeitraums, beim Einmal-Audit das Ende des Zugangszeitraums (30 Tage nach dem Kauf oder nach der Fertigstellung des letzten Berichts, je nachdem, was später liegt). Die Fristen für Rechnungen beginnen mit dem Ende des Kalenderjahres, in dem die Rechnung erstellt wurde.

11. Empfänger und Übermittlung in Drittländer

Empfänger Ihrer Daten sind ausschließlich unsere Auftragsverarbeiter (Hosting einschließlich E-Mail-Versand, Zahlungsabwicklung) und, soweit beschrieben, Stripe als eigenständig Verantwortlicher sowie Behörden, wenn wir gesetzlich dazu verpflichtet sind. Die vollständige Liste der Unterauftragsverarbeiter für die Daten unserer Kunden steht unter Unterauftragsverarbeiter; für die Reichweitenmessung kommt Cloudflare hinzu (Abschnitt 4), das keine Kundendaten verarbeitet.

Eine Übermittlung in ein Land außerhalb der EU findet nur statt bei der Zahlungsabwicklung (Stripe, LLC, USA — Data Privacy Framework, siehe Abschnitt 7), bei der Weiterleitung der Reichweitenmessung (Cloudflare, Inc., USA — Data Privacy Framework, siehe Abschnitt 4) und bei der Microsoft Corporation, deren Identitätsplattform (Microsoft Entra ID) unsere Anwendung für den Zugriff auf Ihren Tenant anmeldet. Microsoft verarbeitet diese Daten innerhalb der EU-Datengrenze; die Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln des Microsoft Products and Services Data Protection Addendum.

Haben Sie die KI-Funktionen aktiviert und setzen wir dafür die Claude API ein, übermitteln wir pseudonymisierte Prüfergebnisse und Ihre Fragen an Anthropic; verarbeitet wird auch in den USA, auf Grundlage der EU-Standardvertragsklauseln (Abschnitt 6a). Mit Amazon Bedrock bleibt die Verarbeitung in der EU.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Reichweitenmessung können Sie ohne Angabe von Gründen widersprechen (Abschnitt 4).

Auskunfts- und Löschanträge können Sie direkt in Ihrem Konto unter „Konto → DSGVO-Rechte" stellen oder per E-Mail an support@auditspiegel.de richten. Wir bestätigen den Eingang innerhalb von 72 Stunden und antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Betrifft Ihr Anliegen Daten aus dem Microsoft-365-Tenant Ihres Arbeitgebers, leiten wir es an Ihren Arbeitgeber als Verantwortlichen weiter.

Beschwerderecht (Art. 77 DSGVO): Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden (Postanschrift: Postfach 11 01 32, 01330 Dresden), E-Mail post@sdtb.sachsen.de, www.datenschutz.sachsen.de.

13. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Die Angaben für Konto und Bestellung sind für den Vertragsschluss erforderlich; ohne sie können wir den Dienst nicht erbringen. Der Reichweitenmessung können Sie jederzeit widersprechen (Abschnitt 4). Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt; die Bewertung Ihrer Tenant-Konfiguration betrifft technische Einstellungen, keine Personen.

14. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung; den Stand finden Sie oben auf dieser Seite.