Datenschutzerklärung

Zuletzt aktualisiert: 7. Oktober 2026

Diese Übersetzung dient nur der besseren Verständlichkeit. Bei Abweichungen ist die spanische Fassung maßgeblich.

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten über den Dienst AIM CODEX. BIOMAG, S.L.U. hält die Verordnung (EU) 2016/679 (DSGVO), das spanische Organgesetz 3/2018 (LOPDGDD) und das LSSI ein und gewährleistet Transparenz und Sicherheit bei der Datennutzung.

1. Verantwortlicher

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Aufgrund der Art des Dienstes bestehen zwei Rollen nebeneinander, die man unterscheiden muss:

• BIOMAG, S.L.U. handelt als VERANTWORTLICHER für Konto- und Vertragsdaten: die Daten derjenigen, die den Dienst buchen oder nutzen (Name, E-Mail, Unternehmen, Rechnungsdaten), und die zur Erbringung und zum Schutz des Dienstes nötigen Nutzungsdaten.
• BIOMAG, S.L.U. handelt als AUFTRAGSVERARBEITER für die personenbezogenen Daten, die Nutzer in die Dokumente aufnehmen, die sie über den Dienst versiegeln, teilen oder versenden, sowie für die Daten der Empfänger. In diesem Bereich ist der Nutzer der Verantwortliche, und BIOMAG verarbeitet die Daten in seinem Auftrag und nach seinen Weisungen gemäß dem Auftragsverarbeitungsvertrag.
• Herkunftsseite der Registrierung: Wenn Sie Ihr Konto über eine Schaltfläche auf einer unserer Seiten anlegen (z. B. der Angebotsvorlage), speichern wir den Namen dieser Seite zur Registrierung, um zu wissen, welche Seiten nützlich sind. Nur den Seitennamen: In Ihrem Browser wird nichts gespeichert, und wir verfolgen Sie nicht über Besuche hinweg. Rechtsgrundlage: berechtigtes Interesse.

3. Welche Daten verarbeiten wir?

• Identifikations- und Kontaktdaten: Name, E-Mail-Adresse, Organisation.
• Rechnungsdaten: die für Rechnungen und die Zahlung des Abonnements nötigen Daten.
• Nutzungs- und Sicherheitsdaten: IP-Adresse, Browserdaten und Protokolle der im Dienst ausgeführten Aktionen (Erstellen, Versiegeln, Überprüfen, Annehmen) für Betrieb, Nachweis und Betrugsprävention.
• Inhalt der Dokumente und Empfängerdaten (Name und E-Mail derjenigen, die ein Dokument erhalten, öffnen, überprüfen oder annehmen): verarbeitet als Auftragsverarbeiter im Auftrag des Nutzers als Verantwortlichem.
• An die KI-Funktionen gesendeter Text (ein Dokument entwerfen, prüfen oder erklären), nur wenn der Nutzer sie verwendet. Er kann personenbezogene Daten Dritter enthalten, wenn das Dokument solche enthält; er wird als Auftragsverarbeiter im Auftrag des Nutzers verarbeitet. Verwenden Sie diese Funktionen nicht mit besonderen Kategorien von Daten (Gesundheit, Weltanschauung, Gewerkschaftszugehörigkeit, ethnische Herkunft, Sexualleben, Biometrie, strafrechtliche Daten).
• Audioaufnahmen von Besprechungen, nur wenn der Nutzer die Protokollfunktion verwendet: Das Audio wird an den KI-Anbieter (über OpenRouter) gesendet, um es zu transkribieren und den Protokollentwurf zu erstellen. CODEX bewahrt die Aufnahme nicht auf: Gespeichert werden nur ihr SHA-256-Fingerabdruck und ihre Größe. Sie enthält die Stimmen und das, was die Teilnehmenden sagen; sie wird als Auftragsverarbeiter im Auftrag des Nutzers verarbeitet, der die Teilnehmenden vor der Aufnahme informieren muss.
• Anonyme Messung der Funktionsweise der Website: Beim Verlassen jeder Seite sendet der Browser drei Ladezeiten, die Seite und ob es ein Mobilbildschirm ist. Keine Cookies, keine Kennungen, und die IP-Adresse wird nicht gespeichert.
• Technische Browserberichte, wenn die Sicherheitsrichtlinie der Website etwas blockiert: die Seite (ohne Parameter), die Regel und die blockierte Herkunft. Keine Daten zur Person.
• Antworten auf freiwillige Umfragen zur Verbesserung der Website: anonym; wir fragen weder nach Namen noch nach E-Mail.

Die Verankerung des Nachweises in der öffentlichen Blockchain veröffentlicht nur einen kryptografischen Fingerabdruck (SHA-256-Hash) des Dokuments: weder der Inhalt des Dokuments noch personenbezogene Daten werden in der Kette veröffentlicht.

4. Zwecke und Rechtsgrundlage

5. Empfänger und Auftragsverarbeiter (Unterauftragsverarbeiter)

Daten werden nicht an Dritte weitergegeben, außer wenn das Gesetz es verlangt oder es für den Dienst nötig ist. Dafür verarbeiten folgende Anbieter Daten als Auftragsverarbeiter von BIOMAG, S.L.U. auf Grundlage eines Auftragsverarbeitungsvertrags (die aktuelle Liste mit den Daten, die jeder verarbeitet, und dem Ort steht unter aim-codex.ai/subencargados):

• Railway (USA): Hosting der Anwendung und der Datenbank auf Servern in den Niederlanden.
• Resend (USA): Versand der E-Mails des Dienstes aus seiner europäischen Region (Irland).
• Migadu-Mail GmbH (Schweiz): das Kontaktpostfach und der Ersatzversand von E-Mails.
• OpenRouter, Inc. (USA): Zugang zu den KI-Modellen, nur wenn diese Funktionen genutzt werden: erhält den Text und, wenn Besprechungsprotokolle genutzt werden, die Audioaufnahme. Jede Anfrage verlangt, dass der Anbieter, der das Modell ausführt, die Daten nicht speichert und nicht zum Training verwendet.
• Paddle.com Market Limited (Vereinigtes Königreich): Abrechnung der Abonnements als Wiederverkäufer; verarbeitet die Zahlungsdaten als Verantwortlicher, nicht in unserem Auftrag.
• Zeitstempel-Kalender der öffentlichen Blockchain (OpenTimestamps) und Zeitstempeldienste (DigiCert, Sectigo und FreeTSA): erhalten nur den SHA-256-Fingerabdruck, keine personenbezogenen Daten.
• Öffentliche Bitcoin-Explorer (blockstream.info und mempool.space): Wenn Sie ein Dokument prüfen, fragt Ihr Browser dort direkt die öffentlichen Daten des Blocks ab, in dem es verankert ist; wie jede Website erhalten sie Ihre IP-Adresse und die Blocknummer, nie das Dokument oder seinen Fingerabdruck. Auch unser Server fragt sie ab, nur mit der Blocknummer.
• Steuer- und Buchhaltungsberater, Prüfer und Rechtsdienstleister, soweit erforderlich, und Behörden, wenn das Gesetz es verlangt.

Wo Ihre Daten liegen. Ihre Kontodaten und Ihre Dokumente werden in der Europäischen Union gespeichert. Text und Audio, die Sie an die KI-Funktionen senden, werden in den Vereinigten Staaten oder in anderen Ländern verarbeitet, in denen die Modellanbieter sitzen.

Internationale Übermittlungen: Railway, Resend und OpenRouter sind US-Unternehmen. Jede Übermittlung oder jeder Zugriff von außerhalb des Europäischen Wirtschaftsraums ist durch die Standardvertragsklauseln der Europäischen Kommission in ihren Auftragsverarbeitungsverträgen abgesichert und im Fall von Resend zusätzlich durch den EU-US-Datenschutzrahmen. Für die Schweiz und das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission.

6. Speicherdauer

• Konto- und Dokumentdaten: solange das Konto aktiv ist und nach der Kündigung für den vom Nutzer bestimmten Zeitraum oder so lange, wie es zur Erfüllung gesetzlicher Pflichten nötig ist.
• Rechnungen: die steuer- und handelsrechtlich vorgeschriebenen Fristen.
• Anfragen/Support: bis zur Erledigung und gegebenenfalls zur Nachverfolgbarkeit.
• Sicherheit/Betrug: solange nötig; danach gesperrt zur Erfüllung von Haftungspflichten.
• Linkaufrufe und Codes: IP-Adresse und Browser jedes Aufrufs werden nach 12 Monaten gelöscht (nur das Datum bleibt); Bestätigungscodes und Links zum Zurücksetzen des Passworts am Tag nach ihrem Ablauf; nie bestätigte Benachrichtigungs-Abonnements nach 30 Tagen.
• Nach Löschung des Kontos: seine Dokumente und Daten werden gelöscht. Von jedem versiegelten Dokument bleiben nur sein kryptografischer Fingerabdruck, die Version, das Siegeldatum und ob es widerrufen war oder ablief, ohne Titel und ohne personenbezogene Daten, damit der Empfänger weiterhin prüfen kann, dass es echt ist.

Löschung der Daten von Unterzeichnenden oder Empfangsbestätigenden. Auf Verlangen der Person löscht der Aussteller ihre Daten in der Konsole: Name, E-Mail, IP und Browser verschwinden aus den Listen, dem Aktivitätsprotokoll und den Exporten, und ihr Link funktioniert nicht mehr. Bereits versiegelte Belege und Dossiers werden nicht verändert, weil sich sonst ihr Fingerabdruck ändern würde und sie nichts mehr bewiesen: Sie werden ohne öffentlichen Link aufbewahrt, nur der Aussteller kann sie herunterladen, und nur zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO); mit dem Konto werden sie gelöscht. In per Link geteilten Dossiers sind die E-Mail-Adressen maskiert.

7. Ihre Rechte

Sie können Ihre Rechte auf Auskunft, Berichtigung, Löschung, Widerspruch, Einschränkung, Datenübertragbarkeit und Widerruf der Einwilligung ausüben, indem Sie sich wenden an:

• Post: c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Spanien).
• E-Mail: hola@aim-codex.ai.

Wir können einen Identitätsnachweis verlangen. Antwortfrist: höchstens 1 Monat (verlängerbar um 2 Monate). Werden Daten als Auftragsverarbeiter verarbeitet (die Daten in den Dokumenten eines Kunden), leiten wir Anfragen betroffener Personen an den verantwortlichen Kunden weiter. Sie können bei der spanischen Datenschutzbehörde Beschwerde einlegen: www.aepd.es.

8. Minderjährige

Der Dienst richtet sich nicht an Kinder unter 14 Jahren, und ihre Daten werden nicht wissentlich verarbeitet. Werden sie festgestellt, werden sie gelöscht.

9. Sicherheit und Datenschutzverletzungen

Wir setzen geeignete technische und organisatorische Maßnahmen ein (Zugangskontrolle, Verschlüsselung bei der Übertragung, Versiegelung und Unversehrtheit des Nachweises, Protokollierung von Vorfällen und Sicherungskopien). Bei einer Datenschutzverletzung mit Risiko melden wir sie der AEPD innerhalb von höchstens 72 Stunden und, falls erforderlich, den betroffenen Personen.

10. Cookies

Informationen zu Cookies finden Sie in der Cookie-Richtlinie.