Datenschutzerklärung — ordnetta.de

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Rahmen des Dienstes „Ordnetta" (ordnetta.de) ist:

Volker Wasmuth, handelnd unter der Geschäftsbezeichnung „Ordnetta"
Kölner Straße 89
50859 Köln
Deutschland

E-Mail: volker.wasmuth@blue-moon.tv
Telefon: +49 2234 430 33 75
Inhaber: Volker Wasmuth

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO, § 38 BDSG nicht vorliegen.

Diese Datenschutzerklärung gilt sowohl für die öffentliche Website ordnetta.de (inklusive des dort bereitgestellten Fragebogens) als auch für den Login-Bereich, den unsere Kundinnen und Kunden (Betriebe) und deren Mitarbeitende zur Nutzung des Dienstes verwenden.

2. Übersicht der Verarbeitungen

Wir verarbeiten personenbezogene Daten in folgenden Zusammenhängen:

• Aufruf der öffentlichen Website und Bereitstellung der technischen Infrastruktur (Server-Logs, Hosting)
• Ausfüllen eines Fragebogens auf der öffentlichen Website, optional inklusive einer freiwilligen Sprachaufnahme im Browser
• Anlage und Nutzung eines Kundenkontos (Login-Bereich) für Betriebe, die den Dienst „Ordnetta" gebucht haben
• Verwaltung von Kundendaten, Vorgängen und Terminen innerhalb des Kundenkontos
• Bearbeitung eines Posteingangs, in den Betriebe Briefe, PDFs und Fotos hochladen können, die anschließend KI-gestützt analysiert werden
• Verwaltung von Team-, Schicht- und Zeiterfassungsdaten der Beschäftigten unserer Kunden, sofern diese Funktion genutzt wird
• optional, sofern eingerichtet: Weiterleitung von E-Mails an eine betriebsspezifische Eingangsadresse
• KI-gestützte Erstellung von Entwürfen und Zusammenfassungen auf Basis der vorstehend genannten Inhalte

Nähere Einzelheiten zu Zwecken, Rechtsgrundlagen und Speicherdauern folgen in den nachstehenden Abschnitten.

3. Hosting & Server-Logs

Diese Website sowie der Dienst „Ordnetta" werden bei Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, USA) gehostet. Vercel stellt die technische Infrastruktur (Webserver, Serverless Functions) bereit, über die sämtliche Anfragen an ordnetta.de verarbeitet werden. Datei-Anhänge (z. B. hochgeladene Briefe, PDFs, Fotos) speichern wir über Vercel Blob in der Speicherregion Frankfurt am Main (fra1); die Dateien sind dort nach Anbieterangaben mit AES-256 verschlüsselt.

Bei jedem Aufruf unserer Website erhebt Vercel im Rahmen des technischen Betriebs automatisch sogenannte Server-Logfiles, die Ihr Browser übermittelt. Dazu gehören typischerweise:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• aufgerufene URL
• Referrer-URL
• verwendeter Browser und Betriebssystem
• übertragene Datenmenge und HTTP-Statuscode

Die Verarbeitung dieser Daten erfolgt zur Gewährleistung eines störungsfreien Betriebs, zur Auslastungskontrolle und zur Absicherung unserer Systeme (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb der Website).

Drittlandübermittlung: Vercel Inc. hat ihren Sitz in den USA. Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; für die Übermittlung gilt damit der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ergänzend sieht der mit Vercel geschlossene Auftragsverarbeitungsvertrag EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO vor. Weitere Informationen erhalten Sie auf Anfrage unter der oben genannten Kontaktadresse.

4. Cookies

Wir setzen ausschließlich ein technisch notwendiges Cookie ein: ein Session-Cookie zur Authentifizierung eingeloggter Nutzerinnen und Nutzer im Kundenbereich. Dieses Cookie ist als „httpOnly" gesetzt (d. h. es ist per JavaScript nicht auslesbar) und signiert, um Manipulationen zu erkennen. Es enthält keine Trackingdaten und wird nicht zu Marketing- oder Analysezwecken verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erforderlichkeit zur Durchführung des Nutzungsverhältnisses) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer funktionierenden, sicheren Anmeldung). Da es sich um ein technisch notwendiges Cookie im Sinne des § 25 Abs. 2 Nr. 2 TDDDG handelt, ist keine gesonderte Einwilligung erforderlich.

Wir setzen keine Tracking- oder Marketing-Cookies und keine Analyse-Tools (z. B. Webanalyse-Dienste) ein. Sollte sich dies ändern, passen wir diese Datenschutzerklärung entsprechend an und holen, sofern erforderlich, Ihre Einwilligung ein.

5. Kundenkonten / Login-Bereich

Betriebe, die „Ordnetta" nutzen, erhalten ein Kundenkonto. Im Rahmen dieses Kontos verarbeiten wir insbesondere:

• Zugangsdaten (E-Mail-Adresse, Passwort in gehashter Form)
• Angaben zum Betrieb (Firmierung, Kontaktdaten, ggf. Rechnungsdaten)
• Angaben zu Mitarbeitenden des Betriebs, soweit im Rahmen von Rollen, Schicht- und Zeiterfassung erfasst (siehe Abschnitt 9)
• Kunden- und Vorgangsdaten, die der Betrieb selbst im System anlegt (z. B. Angaben zu dessen eigenen Kundinnen und Kunden, Terminen, Vorgängen)

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Verarbeitung zur Erfüllung des Vertrags über die Nutzung von „Ordnetta" zwischen uns und dem jeweiligen Betrieb erforderlich ist.

Hinweis zur Verantwortlichkeit: Für die im Kundenkonto erfassten Daten Dritter (z. B. Kundinnen und Kunden des Betriebs, Beschäftigte des Betriebs) ist regelmäßig der jeweilige Betrieb datenschutzrechtlich Verantwortlicher; wir handeln insoweit als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Einzelheiten regelt der zwischen uns und dem Betrieb geschlossene Auftragsverarbeitungsvertrag (AVV).

6. Fragebogen und Sprachaufnahme auf der öffentlichen Website

Auf der öffentlichen Website bieten wir interessierten Betrieben einen Fragebogen an, um deren Bedarf zu erfassen. Dabei können Sie optional eine freiwillige In-Browser-Sprachaufnahme nutzen, statt (oder zusätzlich zu) Ihre Angaben als Text einzugeben.

Wenn Sie die Sprachaufnahme nutzen, wird die Audioaufnahme gespeichert und anschließend mithilfe von Künstlicher Intelligenz automatisch transkribiert (siehe Abschnitt 7). Die Nutzung dieser Funktion ist freiwillig; Sie können den Fragebogen jederzeit auch ohne Sprachaufnahme ausfüllen.

Rechtsgrundlage für die Verarbeitung der Sprachaufnahme (einschließlich Speicherung und Transkription) ist Ihre Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO, die Sie durch das Absenden des Fragebogens mit beigefügter Aufnahme erklären. Für die übrigen im Fragebogen erhobenen Angaben stützen wir uns auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. auf Ihre Einwilligung, sofern kein Vertragsanbahnungsverhältnis besteht.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie uns über die in Abschnitt 1 genannten Kontaktdaten kontaktieren. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

Speicherdauer: Wir speichern Fragebogenantworten und Sprachaufnahmen für die Dauer der Bedarfsklärung und höchstens zwölf Monate nach dem letzten Kontakt, sofern kein Vertrag zustande kommt. Kommt ein Vertrag über die Nutzung von „Ordnetta" zustande, können die Angaben zur Einrichtung des Kundenkontos weiterverwendet werden.

7. KI-gestützte Verarbeitung

Für zahlreiche Funktionen von „Ordnetta" setzen wir KI-Sprachmodelle des Anbieters Anthropic PBC (548 Market Street, PMB 90375, San Francisco, CA 94104, USA) ein, die über eine Programmierschnittstelle (API) angesprochen werden. Dazu übermitteln wir je nach Funktion unter anderem folgende Inhalte an Anthropic:

• inhaltliche Auswertung und Strukturierung von Sprachaufnahmen aus dem Fragebogen bzw. deren Transkripten (Abschnitt 6; die Transkription selbst erfolgt auf eigenen Systemen des Anbieters oder — perspektivisch — über Groq, siehe unten)
• Inhalte hochgeladener Dokumente aus dem Posteingang zur Zusammenfassung, Fristerkennung und Erstellung von Antwortentwürfen (Abschnitt 8)
• sonstige Textinhalte, für die im System Entwürfe oder Zusammenfassungen erstellt werden

Zweck dieser Verarbeitung ist ausschließlich die automatisierte Erstellung von Entwürfen und Zusammenfassungen, die von einem Menschen geprüft, bearbeitet und final entschieden werden. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt (siehe auch Abschnitt 15).

Keine Trainingsnutzung: Anthropic verwendet über die API übermittelte Inhalte standardmäßig nicht zum Training seiner Modelle und löscht sie nach Anbieterangaben spätestens 30 Tage nach der Verarbeitung.

Rechtsgrundlage für diese Verarbeitung ist, je nach zugrunde liegender Funktion, Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber dem Betrieb bzw. vorvertragliche Maßnahme gegenüber Interessenten) sowie, im Fall der Sprachaufnahme, Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Drittlandübermittlung: Anthropic PBC hat ihren Sitz in den USA und ist nicht unter dem EU-US Data Privacy Framework zertifiziert. Wir stützen die Übermittlung auf die mit Anthropic vereinbarten EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des Auftragsverarbeitungsvertrags von Anthropic sind.

Perspektivisch und optional setzen wir außerdem Groq, LLC (P.O. Box 1778, Mountain View, CA 94042, USA) zur automatischen Transkription von Audioaufnahmen (Whisper-Modell) ein. Sofern diese Funktion aktiv genutzt wird, gelten die vorstehenden Ausführungen zu Zweck und Rechtsgrundlage entsprechend; die Übermittlung stützen wir auf die mit Groq vereinbarten EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO.

8. E-Mail-Eingang und Weiterleitung (geplante Funktion)

Wir planen, Betrieben eine betriebsspezifische E-Mail-Eingangsadresse anzubieten: Eingehende E-Mails würden an unser System weitergeleitet, dort gespeichert und — wie unter Abschnitt 7 beschrieben — KI-gestützt ausgewertet (z. B. Zusammenfassung, Fristerkennung).

Diese Funktion ist derzeit nicht produktiv. Bevor sie aktiviert wird, benennen wir den eingesetzten E-Mail-Dienstleister in dieser Datenschutzerklärung und aktualisieren die Liste der Auftragsverarbeiter (Abschnitt 11).

Rechtsgrundlage wird Art. 6 Abs. 1 lit. b DSGVO im Verhältnis zum Betrieb sein, der diese Funktion aktiviert. Enthalten weitergeleitete E-Mails personenbezogene Daten Dritter, gilt die Verantwortlichkeitsregelung aus Abschnitt 5 entsprechend: Der Betrieb ist insoweit Verantwortlicher, wir handeln als Auftragsverarbeiter.

9. Beschäftigtendaten (Team-, Schicht- und Zeiterfassung)

Innerhalb des Kundenkontos können Betriebe Team-, Schicht- und Zeiterfassungsdaten ihrer eigenen Beschäftigten verwalten. Hierbei handelt es sich um Beschäftigtendaten der Betriebe, nicht um eigene Beschäftigtendaten von uns.

Für diese Verarbeitung sind die Betriebe als Arbeitgeber datenschutzrechtlich Verantwortliche (u. a. nach § 26 BDSG); wir stellen ausschließlich die technische Plattform bereit und verarbeiten diese Daten weisungsgebunden als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Näheres regelt der Auftragsverarbeitungsvertrag zwischen uns und dem jeweiligen Betrieb.

10. Datenbank & Datei-Speicherung

Personenbezogene Daten, die im Rahmen der Nutzung von „Ordnetta" anfallen, speichern wir in einer Postgres-Datenbank bei Neon, LLC (eine Gesellschaft der Databricks-Gruppe; Databricks, Inc., 160 Spear Street, 15th Floor, San Francisco, CA 94105, USA) in der EU-Region Frankfurt am Main (AWS eu-central-1). Die Daten sind dort nach Anbieterangaben mit AES-256 verschlüsselt. Datei-Anhänge (z. B. im Posteingang hochgeladene Briefe, PDFs, Fotos) speichern wir über Vercel Blob in der Speicherregion Frankfurt am Main (siehe Abschnitt 3).

Die Datenbank wird in einer EU-Region betrieben; die gespeicherten Inhalte verlassen die EU im Regelbetrieb nicht. Da die Anbietergruppe ihren Sitz in den USA hat, kann ein Zugriff aus einem Drittland (z. B. zu Support-Zwecken) nicht vollständig ausgeschlossen werden. Für diesen Fall gilt: Neon, LLC ist über die Zertifizierung der Databricks-Gruppe unter dem EU-US Data Privacy Framework (DPF) erfasst (Art. 45 DSGVO); ergänzend sieht der Auftragsverarbeitungsvertrag EU-Standardvertragsklauseln (SCC) vor.

11. Auftragsverarbeiter

Wir setzen zur Erbringung unserer Dienste folgende Auftragsverarbeiter bzw. Dienstleister ein, mit denen — soweit gesetzlich erforderlich — Verträge nach Art. 28 DSGVO geschlossen sind:

Weitere Auftragsverarbeiter setzen wir derzeit nicht ein. Den E-Mail-Dienstleister für die geplante E-Mail-Funktion (Abschnitt 8) benennen wir hier, bevor die Funktion aktiviert wird. Änderungen an dieser Liste werden wir hier aktualisieren.

12. Drittlandübermittlungen — Zusammenfassung

Eine Übermittlung personenbezogener Daten in Drittländer (insbesondere USA) erfolgt im Zusammenhang mit dem Einsatz von Vercel, Neon/Databricks und Anthropic sowie — sofern genutzt — Groq. Wir stützen diese Übermittlungen auf geeignete Garantien im Sinne von Art. 44 ff. DSGVO: bei Vercel und Neon/Databricks auf deren Zertifizierung unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO) sowie ergänzend auf EU-Standardvertragsklauseln; bei Anthropic und Groq auf EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der jeweils vereinbarten Garantien können Sie über die in Abschnitt 1 genannten Kontaktdaten anfragen.

13. Speicherdauer

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. handels- und steuerrechtliche Fristen nach §§ 257 HGB, 147 AO) dies vorschreiben. Im Einzelnen:

• Daten aus dem Kundenkonto: für die Dauer der Vertragsbeziehung mit dem jeweiligen Betrieb; nach Vertragsende werden sie innerhalb von 30 Tagen gelöscht bzw. zurückgegeben (entsprechend Ziffer 10 des Auftragsverarbeitungsvertrags), soweit keine gesetzlichen Aufbewahrungsfristen entgegenstehen
• Fragebogenantworten und Sprachaufnahmen ohne anschließenden Vertragsschluss: höchstens zwölf Monate nach dem letzten Kontakt (siehe Abschnitt 6)
• Server-Logfiles: kurzzeitig beim Hosting-Anbieter, in der Regel wenige Tage und höchstens 30 Tage
• Inhalte des Posteingangs (Briefe, PDFs, Fotos) und daraus erzeugte KI-Entwürfe/Zusammenfassungen: für die Dauer der Vertragsbeziehung mit dem jeweiligen Betrieb, danach wie Daten aus dem Kundenkonto

14. Ihre Rechte als betroffene Person

Ihnen stehen nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte zu:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die in Abschnitt 1 genannten Kontaktdaten.

Beschwerderecht: Sie haben zudem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder unseres Unternehmenssitzes. Zuständig für uns ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf.

15. Keine automatisierte Entscheidungsfindung

Wir setzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO ein, die rechtliche Wirkung Ihnen gegenüber entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Die von uns eingesetzte Künstliche Intelligenz erstellt ausschließlich Entwürfe und Zusammenfassungen (z. B. Antwortentwürfe, Fristhinweise, Transkriptionen); die inhaltliche Prüfung, Bearbeitung und finale Entscheidung obliegt in jedem Fall einem Menschen — entweder auf unserer Seite oder beim jeweiligen Betrieb.

16. Änderungsvorbehalt

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes bzw. der Datenverarbeitung anzupassen. Für Ihren erneuten Besuch gilt die jeweils aktuelle Fassung. Bei wesentlichen Änderungen informieren wir Sie, soweit gesetzlich erforderlich, gesondert.

Stand dieser Datenschutzerklärung: 9. Juli 2026