Die Fakten für IT, Einkauf und Datenschutz.

1 · Hosting & Speicherort

Gespeichert wird in Frankreich.

Anwendung, Datenbank, Dateiablage, Backups und Mailversand laufen bei Scaleway in Frankreich. Die Anmeldung läuft über ein gehostetes Keycloak bei Cloud-IAM, ebenfalls in Frankreich.

Anwendung

Scaleway, Frankreich (EU)

Datenbank

Scaleway Managed PostgreSQL, Frankreich (EU) – verschlüsselt im Ruhezustand

Dateiablage

Scaleway Object Storage, Frankreich (EU) – verschlüsselt im Ruhezustand

Backups

automatisierte Managed Backups der Datenbank beim Hoster, Frankreich (EU); Wiederherstellungskonzept vorhanden

Anmeldung

Cloud-IAM (gehostetes Keycloak), Frankreich (EU); Zwei-Faktor-Authentifizierung ab der ersten Buchung Pflicht

E-Mail-Versand

Scaleway Transactional Email, Frankreich (EU)

Spracherkennung & OCR

eigene GPU-Instanz bei Scaleway, Frankreich (EU); wird nur bei Nutzung gestartet, Aufnahmen werden nicht gespeichert

Übertragung

durchgehend TLS-verschlüsselt (HTTPS erzwungen)

Speicherung und Verarbeitung sind zu unterscheiden: Ihre Daten liegen bei Scaleway in Frankreich. Wenn Ihr Konto einen externen KI-Anbieter wählt, werden die für die jeweilige Analyse erforderlichen Inhalte an diesen Anbieter übermittelt und dort nach dessen Bedingungen verarbeitet – siehe Abschnitt KI-Verarbeitung.

2 · Mandantentrennung

Jede Datenzeile gehört einem Konto.

Row Level Security

Jede Datenzeile ist auf Datenbank-Ebene an das Kundenkonto gebunden. Inhalte eines Kontos sind für andere Konten technisch nicht erreichbar – auch nicht für KI-Analysen.

Rollen und Sichtbarkeit

Kontorollen Inhaber, Admin und Mitglied; Projektmitgliedschaften mit Projektrolle; Recherchen, Protokolle und Aufgaben wahlweise privat oder für das Team sichtbar.

Betreiberzugriff

Unser Support kann ein Konto nur über eine protokollierte Impersonation betreten – und Sie können diesen Zugriff in Ihrem Konto jederzeit abschalten.

Geteilte Reports

Freigaben sind Nur-Lese-Momentaufnahmen hinter einem nicht erratbaren Link, optional passwortgeschützt, mit Ablaufdatum und jederzeit widerrufbar – Widerruf wirkt sofort. Geteilt wird nur der Report, nie das Projekt.

3 · KI-Verarbeitung

Der KI-Anbieter ist Ihre Wahl.

Ihre Inhalte werden ausschließlich zur Erbringung der angeforderten Funktion verarbeitet. Wenn Sie einen externen KI-Anbieter nutzen, werden die für die jeweilige Analyse erforderlichen Inhalte an den gewählten Anbieter übermittelt.

Der Anbieter wird je Konto vom Konto-Admin gewählt. Ohne ausdrückliche Wahl eines US-Anbieters bleibt der KI-Pfad in der EU. Der Zugriff erfolgt ausschließlich über Geschäfts-Schnittstellen (API), nie über Endnutzer-Chat-Produkte.

inventMAP selbst trainiert keine KI-Modelle mit Ihren Daten. Kontoübergreifend werden nur destillierte, anonyme Methodenmuster verwendet – nie Ihre Inhalte.

Die verbindliche Beschreibung steht in der Datenschutzerklärung und in der Unterauftragsverarbeiter-Anlage des AVV. Angaben zu Speicherfristen und Trainingsausschluss gelten je Anbieter und Tarif – wir nennen hier nur, was für den eingesetzten Zugang belegt ist. Datenschutzerklärung →

4 · Recherche- und Zusatzdienste

Nur Suchanfragen verlassen das System.

Für Recherchen fragt inventMAP externe Quellen ab. Übermittelt werden dabei Suchbegriffe und Suchanfragen – keine Kundendokumente und keine personenbezogenen Daten Ihrer Nutzer.

Websuche

Erstquelle ist unsere selbst betriebene Meta-Suche (SearXNG) auf eigener Infrastruktur in Frankreich. Nur wenn die Treffer zu dünn sind oder die eigene Instanz ausfällt, ergänzt ein externer Suchdienst (Brave Search, USA) – auch dann nur mit Suchbegriffen.

Patentdaten

Questel (kommerzielle Patentdatenbank) oder öffentliche Ämter: Europäisches Patentamt (EPO OPS) und DPMA. Übermittelt werden nur Suchanfragen.

Wissenschaftliche Publikationen

OpenAlex, eine offene Publikationsdatenbank (OurResearch, USA). Übermittelt werden nur Suchanfragen.

Zahlung und Rechnung

Zahlungsabwicklung bei kostenpflichtiger Nutzung über Mollie (Niederlande), Rechnungsstellung über sevdesk (Deutschland).

5 · Unterauftragsverarbeiter

Wer für uns verarbeitet.

Die verbindliche Liste ist Anlage 2 des Auftragsverarbeitungsvertrags. Neue oder wechselnde Unterauftragsverarbeiter teilen wir vorab mit; Sie können begründet widersprechen (Art. 28 Abs. 2 DSGVO).

6 · Löschung & Betroffenenrechte

Sie behalten die Kontrolle über Ihre Daten.

Im laufenden Betrieb

Projekte, Recherchen, Dokumente und Freigabelinks verwalten und entfernen Sie selbst in der Anwendung. Widerrufene Freigabelinks sind sofort ungültig.

Kündigung

Der Konto-Admin kündigt das Konto in den Einstellungen. Die Daten bleiben zunächst erhalten und die Kündigung lässt sich zurücknehmen, solange nichts gelöscht wurde.

Datenexport

Nach der Kündigung stellen wir Ihre Daten über einen gesicherten, zeitlich befristeten Download-Link bereit (Data Act Art. 25).

Vollständige Löschung

Nach Ablauf des Download-Fensters wird das Konto automatisch und vollständig gelöscht – kaskadierend über alle Datenbestände einschließlich der Dateien im Objektspeicher. Gesetzliche Aufbewahrungspflichten (z. B. Rechnungsdaten) bleiben unberührt.

Backups

Gelöschte Daten verschwinden aus den automatisierten Backups mit deren regulärem Zyklus beim Hoster; Backups werden nicht zur Wiederherstellung gelöschter Kundendaten verwendet.

Betroffenenrechte

Auskunft, Berichtigung, Löschung und Datenübertragbarkeit: Anfragen an die im Impressum genannte Stelle; Details in der Datenschutzerklärung.