Datenschutzerklärung

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Wir verarbeiten Daten nur auf Grundlage der gesetzlichen Bestimmungen, insbesondere der Datenschutz-Grundverordnung (DSGVO), des Datenschutzgesetzes (DSG) und des Telekommunikationsgesetzes 2021 (TKG 2021). Diese Erklärung informiert Sie, welche Daten wir auf dieser Website und in der Anwendung Lexploris verarbeiten, wozu, wie lange, an wen wir sie weitergeben und welche Rechte Sie haben.

Verantwortlicher

Neuralis GmbH i.G.
Stephansplatz 8/20, 1010 Wien, Österreich
E-Mail: kontakt@lexploris.com
Telefon: +43 1 3058463

Ein Datenschutzbeauftragter ist nicht bestellt, weil keine gesetzliche Pflicht dazu besteht. Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.

Überblick

Aufruf der Website

Beim Aufruf dieser Website verarbeiten wir technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, übertragene Datenmenge, Browser und Betriebssystem. Ohne diese Daten kann die Website nicht ausgeliefert und nicht vor Angriffen geschützt werden. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Website, Anwendung und Datenbank laufen auf einem Server, den wir bei der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, mieten. Der Server steht in einem Rechenzentrum in Wien, Österreich. netcup handelt als unser Auftragsverarbeiter (Art. 28 DSGVO) und ist nach ISO/IEC 27001 zertifiziert. Die verschlüsselte Verbindung (TLS) zu Ihrem Browser endet direkt auf diesem Server; dazwischen ist kein weiterer Dienstleister eingeschaltet.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse. Die IP-Adresse wird dafür nur im Arbeitsspeicher gehalten, höchstens eine Stunde, und nicht dauerhaft gespeichert. Zugriffsprotokolle mit IP-Adressen führen wir nicht. Server-Protokolle löschen wir nach spätestens 30 Tagen, außer sie werden zur Aufklärung eines Sicherheitsvorfalls benötigt.

Schriftarten und Grafiken laden wir vom eigenen Server. Diese Website bindet keine Inhalte Dritter ein, keine Werbung und keine Social-Media-Plugins.

Namensauflösung (DNS)

Damit Ihr Browser unseren Server findet, wird der Name lexploris.com über die Nameserver der webgo GmbH, Heidenkampsweg 81, 20097 Hamburg, Deutschland, aufgelöst. webgo erhält dabei nur die Anfrage des DNS-Dienstes, den Ihr Gerät nutzt, meist den Ihres Internetanbieters. Inhalte der Website und der Anwendung laufen nicht über webgo. Rechtsgrundlage ist unser berechtigtes Interesse an einer erreichbaren Website (Art. 6 Abs. 1 lit. f DSGVO).

Cookies und lokale Speicherung

Wir verwenden nur Cookies, die technisch notwendig sind, um einen von Ihnen ausdrücklich gewünschten Dienst bereitzustellen oder die Website vor Angriffen zu schützen. Dafür ist keine Einwilligung erforderlich (§ 165 Abs. 3 TKG 2021). Die Liste der Cookies mit Zweck und Speicherdauer finden Sie unter Cookie-Einstellungen.

Statistik- oder Marketing-Cookies setzen wir derzeit nicht ein. Sollten wir künftig einen Statistikdienst nutzen, geschieht das nur nach Ihrer ausdrücklichen Einwilligung über einen Hinweis, in dem „Ablehnen“ gleichwertig zu „Zustimmen“ ist. Ihre Wahl protokollieren wir mit einer zufälligen Kennung, ohne IP-Adresse. Sie können die Einwilligung jederzeit unter Cookie-Einstellungen widerrufen.

Kontaktformular und Anfragen

Wenn Sie uns über ein Formular (Kontakt, Demo, Enterprise, Presse) oder per E-Mail kontaktieren, verarbeiten wir Ihre Angaben: Name, E-Mail-Adresse, optional Unternehmen, Telefonnummer, Unternehmensgröße, Interessen und Nachricht. Wir nutzen sie nur, um Ihre Anfrage zu bearbeiten und Anschlussfragen zu beantworten. Rechtsgrundlage sind vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO).

Ihre Anfrage wird in unserer Datenbank gespeichert und per E-Mail an unser Postfach weitergeleitet; das Postfach betreibt unser E-Mail-Dienstleister (siehe „E-Mail-Versand und Postfach“). Kommt kein Vertrag zustande, löschen wir die Anfrage 12 Monate nach ihrem Eingang.

Selbsttest

Beim Selbsttest speichern wir nur Ihre Antworten, die erreichte Punktzahl und den Reifegrad, ohne Namen, E-Mail-Adresse oder IP-Adresse. Wenn Sie sich anschließend registrieren, verknüpfen wir das Ergebnis mit Ihrer Organisation, damit Sie es im Onboarding als Ausgangswert sehen. Nicht verknüpfte Ergebnisse werten wir nur zusammengefasst aus.

Benutzerkonto und Anmeldung

Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Organisation, Rolle, Spracheinstellung, Passwort (nur als sicherer Hash mit Argon2id), auf Wunsch das Geheimnis für die Zwei-Faktor-Anmeldung (verschlüsselt), bestätigte Geräte, aktive Sitzungen mit Browserkennung sowie Zeitpunkte der Anmeldung und der Zustimmung zu AGB und Auftragsverarbeitungsvertrag. Diese Daten brauchen wir, um Ihnen den Zugang sicher bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO). Fehlgeschlagene Anmeldungen zählen wir, um Konten vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Berater-Lizenz. Arbeiten Sie als Beraterin oder Berater in mehreren Organisationen, verarbeiten wir Ihre Kontodaten in jeder dieser Organisationen in deren Auftrag. Für die Sammelrechnung an Ihre eigene Organisation verwenden wir den Namen jedes Mandanten sowie Beginn und Ende des Mandats (Art. 6 Abs. 1 lit. b DSGVO).

Anmeldung mit Google oder Microsoft. Sofern wir diese Anmeldung anbieten und Sie sie nutzen, leiten wir Sie zum jeweiligen Anbieter weiter. Wir erhalten von dort Ihren Namen, Ihre E-Mail-Adresse und eine Kennung Ihres Kontos, aber kein Passwort. Anbieter sind die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Für die Anmeldung beim Anbieter gelten dessen Datenschutzbestimmungen. Bei Enterprise-Kunden kann die Anmeldung über den Identitätsdienst des Kunden erfolgen (Single Sign-on); verantwortlich für diesen Dienst ist der Kunde.

Nutzung der Anwendung

In der Anwendung erfassen Kundinnen und Kunden Unternehmensprofile, Bereiche, Zuständigkeiten, Entscheidungen, Aufgaben, Kommentare und Nachweise. Jede fachliche Änderung wird mit Person und Zeitpunkt im Audit-Trail protokolliert, weil Kundinnen und Kunden damit ihre Nachweispflichten erfüllen.

Soweit dabei personenbezogene Daten verarbeitet werden, etwa Namen von Zuständigen, ist der jeweilige Kunde Verantwortlicher. Wir handeln als Auftragsverarbeiter auf Grundlage des Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Anfragen zu diesen Daten richten Sie bitte an Ihre Organisation; wir unterstützen sie bei der Beantwortung.

Wir sichern Datenbank und Dateien täglich und verschlüsseln die Sicherungen mit AES-256. Sie bleiben 14 Tage auf dem Server in Wien. Eine zweite Kopie holt ein eigener Server des Betreibers in Österreich ab und hält sie höchstens 30 Tage. Den Schlüssel haben nur wir.

Benachrichtigungen per E-Mail enthalten die Schlagzeile einer Änderung oder Aufgabe und Links in die Anwendung. Links für Entscheidungen direkt aus der E-Mail sind einmalig verwendbar und befristet.

Verbundene Anwendungen (MCP). Wenn Sie eine Anwendung wie claude.ai mit Lexploris verbinden, übermittelt Lexploris auf Ihre Anweisung Daten Ihrer Organisation an diese Anwendung, im Umfang der gewählten Rechte. Die Anwendung wählen Sie selbst. Ihr Anbieter ist kein Auftragsverarbeiter von Lexploris. Wir speichern, wer wann welche Anwendung mit welchen Rechten verbunden hat. Sie können die Verbindung jederzeit unter Einstellungen › Schnittstellen widerrufen.

Bewertung mit künstlicher Intelligenz

Lexploris bewertet Rechtsänderungen, fasst Texte zusammen und beantwortet Fragen mit Sprachmodellen. Die Ergebnisse sind Vorschläge und als KI-generiert gekennzeichnet. Entscheidungen trifft immer ein Mensch. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Wir protokollieren jeden Aufruf ohne Inhalt (Zeitpunkt, Zweck, Anbieter, Modell, Umfang) zur Qualitätssicherung.

An das Modell übermitteln wir Texte aus der Rechtsdatenbank, das Unternehmens- und Bereichsprofil Ihrer Organisation, Angaben zu Entscheidungen und Übersteuerungen Ihrer Organisation sowie Ihre Fragen. Für die Prüfung interner Richtlinien, das Bescheid-Management und den Assistenten kommen die Inhalte hinzu, die Sie dafür hochladen oder die zur Frage passen: interne Richtlinien mit ihren Dateieigenschaften (etwa Autor und „Zuletzt geändert von“), der Spruch hochgeladener Bescheide (ohne Begründung), Stellungnahmen und Aufgabenbeschreibungen. Namen von Personen sind für die Bewertung nicht nötig; in Richtlinien, Dateieigenschaften und Bescheiden können sie enthalten sein, etwa von Sachverständigen, Nachbarn oder anderen Beteiligten. Bitte geben Sie in Profilen, Begründungen und Fragen keine personenbezogenen Daten, keine Geschäftsgeheimnisse Dritter und keine Informationen ein, die einer beruflichen Verschwiegenheitspflicht unterliegen, etwa Mandatsdaten.

Anbieter: Mistral AI (Frankreich)

Die Sprachmodelle nutzen wir bei der Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich. Mistral AI handelt als unser Auftragsverarbeiter (Art. 28 DSGVO) und verarbeitet die Inhalte in Rechenzentren in der EU. Mistral AI darf die Inhalte nur in unserem Auftrag verarbeiten. Der Nutzung unserer Daten zum Training von Modellen haben wir widersprochen. Setzt Mistral AI dafür eigene Dienstleister außerhalb der EU ein, gelten die Standardvertragsklauseln der Europäischen Kommission (siehe „Übermittlung in Drittländer“).

Ausweichanbieter für Störungen: Amazon Bedrock (Frankfurt)

Fällt Mistral AI aus oder liefert es keine brauchbaren Ergebnisse, können wir vorübergehend auf Amazon Bedrock wechseln. Anbieter ist die Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, Region Frankfurt am Main (eu-central-1). Nach Angaben von Amazon speichert Bedrock Ein- und Ausgaben nicht, verwendet sie nicht zum Training und gibt sie nicht an die Modellhersteller weiter. Amazon gehört zu einem Konzern mit Sitz in den USA. Jeder KI-Aufruf wird mit dem Anbieter protokolliert. Einen Wechsel beenden wir, sobald der EU-Anbieter wieder zuverlässig arbeitet.

Wenn Sie nicht möchten, dass Inhalte Ihrer Organisation an einen KI-Anbieter übermittelt werden, schreiben Sie uns an kontakt@lexploris.com. Wir schalten die KI-Bewertung für Ihre Organisation dann ab; Lexploris zeigt Änderungen weiterhin, mit einer regelbasierten Einstufung ohne KI.

Anfrage an eine Kanzlei

Aus einer Bewertung heraus können Sie eine Frage an eine Kanzlei richten. Wir übermitteln dann Ihre Frage, Ihren Namen, Ihre E-Mail-Adresse, den Namen Ihrer Organisation und die betroffene Rechtsänderung per E-Mail. Rechtsgrundlage ist die Durchführung des Vertrags auf Ihren Wunsch (Art. 6 Abs. 1 lit. b DSGVO). Hat Ihre Organisation eine eigene Kanzlei hinterlegt, geht die Anfrage an diese. Ist keine Kanzlei hinterlegt und keine Partnerkanzlei von uns benannt, geht die Anfrage an uns; wir beantworten keine Rechtsfragen im Einzelfall und leiten die Anfrage nur mit Ihrem Einverständnis an eine Kanzlei weiter. Eine Kanzlei verarbeitet die Daten in eigener Verantwortung und unter ihrer beruflichen Verschwiegenheit.

E-Mail-Versand und Postfach

Systemnachrichten wie Bestätigungscodes, Einladungen, Benachrichtigungen und Fristerinnerungen versenden wir über den Mailserver eines Webhosting-Anbieters in Deutschland; dort liegt auch unser Postfach (siehe Unterauftragnehmer). Dabei werden Name, E-Mail-Adresse und Inhalt der Nachricht verarbeitet. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), bei Anfragen zusätzlich unser berechtigtes Interesse an deren Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

Zahlung über Stripe

Wenn Sie ein Paket buchen, leiten wir Sie zum Bezahlformular von Stripe weiter. Stripe erhebt dort E-Mail-Adresse, Name, Unternehmen, Rechnungsadresse, UID-Nummer und Zahlungsdaten, wickelt die Zahlung ab und stellt das Kundenportal für Rechnungen und Kündigung bereit. Vollständige Karten- und Kontodaten erhält nur Stripe; wir sehen Zahlungsart, Kartentyp, die letzten vier Ziffern und den Zahlungsstatus.

Anbieter ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe ist für die Zahlungsabwicklung sowie die gesetzliche Betrugs- und Geldwäscheprävention teilweise selbst verantwortlich und kann Zahlungen automatisiert auf Betrugsrisiken prüfen. Lehnt Stripe eine Zahlung ab, können Sie sich an uns wenden; wir klären den Fall mit Stripe. Stripe kann Daten auch in den USA verarbeiten (siehe „Übermittlung in Drittländer“). Weitere Informationen: stripe.com/at/privacy (öffnet in neuem Tab).

Rechnungen und Buchungsbelege bewahren wir sieben Jahre auf (§ 132 BAO, § 212 UGB; Art. 6 Abs. 1 lit. c DSGVO).

Newsletter

Wenn Sie unseren wöchentlichen Newsletter bestellen, verarbeiten wir Ihre E-Mail-Adresse, die gewählten Themen, die Sprache und die Zeitpunkte von Anmeldung, Bestätigung und Abmeldung.

• Zweck: Versand des Newsletters zu den gewählten Themen.
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 174 TKG 2021).
• Bestätigung: Wir senden zuerst eine E-Mail mit einem Bestätigungslink (Double-Opt-in). Ohne Bestätigung senden wir keinen Newsletter und löschen die Anmeldung nach 30 Tagen.
• Nachweis: Wir speichern, welchen Einwilligungstext Sie gesehen und wann Sie bestätigt haben. Wir speichern keine IP-Adresse.
• Widerruf: jederzeit über den Link in jeder Ausgabe oder per E-Mail an uns. Der Widerruf gilt für die Zukunft.
• Speicherdauer: bis zum Widerruf. Danach bewahren wir den Nachweis von Einwilligung und Widerruf drei Jahre auf (Verjährungsfrist), dann löschen wir ihn.
• Empfänger: der Mailserver der webgo GmbH in Hamburg, Deutschland, als Auftragsverarbeiter (siehe Unterauftragnehmer). Keine Weitergabe an Dritte, keine Auswertung von Öffnungen oder Klicks.
• Inhalt: Die Kurzfassungen erstellt eine KI aus amtlichen Quellen. Ihre Daten fließen nicht in die KI.

Statistik

Wir setzen derzeit keine Werkzeuge zur Reichweitenmessung ein. Sollte sich das ändern, nutzen wir sie nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021) und ergänzen diese Erklärung vorher.

Empfänger und Unterauftragnehmer

Wir geben Ihre Daten nicht zu Werbezwecken weiter. Für den Betrieb setzen wir Dienstleister ein, mit denen Verträge nach Art. 28 DSGVO bestehen, soweit sie in unserem Auftrag tätig sind: netcup (Server in Wien), Mistral AI (Sprachmodelle), unseren E-Mail-Dienstleister und, nur bei Störungen des KI-Anbieters, Amazon Web Services (Amazon Bedrock). webgo betreibt außerdem die Nameserver unserer Domain (siehe „Namensauflösung“). Die aktuelle Liste mit Zweck und Ort der Verarbeitung finden Sie unter Unterauftragnehmer.

Darüber hinaus übermitteln wir Daten nur, wenn Sie es veranlassen (etwa bei einer Anfrage an eine Kanzlei), wenn wir gesetzlich dazu verpflichtet sind, etwa an Finanzbehörden, oder wenn es zur Rechtsverfolgung erforderlich ist, etwa an Rechtsvertreter oder Gerichte.

Übermittlung in Drittländer

Anwendung, Datenbank, Dateien und Sicherungen betreiben wir in Österreich. Die Sprachmodelle laufen in der EU. Daten können in folgenden Fällen außerhalb der EU verarbeitet werden, insbesondere in den USA:

• Stripe (Zahlungsdaten) sowie, falls Sie diese Anmeldung nutzen, Google und Microsoft,
• Dienstleister von Mistral AI außerhalb der EU, soweit Mistral AI solche einsetzt,
• Amazon Web Services: Die Verarbeitung findet in Frankfurt statt. Als Teil eines US-Konzerns kann Amazon aber nach US-Recht zur Herausgabe von Daten verpflichtet werden. Bedrock nutzen wir nur bei Störungen des EU-Anbieters.

Das angemessene Schutzniveau ergibt sich aus dem Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und im Übrigen aus den Standardvertragsklauseln der Europäischen Kommission in den Verträgen mit diesen Anbietern (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an kontakt@lexploris.com; der Text der Klauseln ist unter eur-lex.europa.eu/eli/dec_impl/2021/914/oj (öffnet in neuem Tab) abrufbar. In den USA können Behörden nach dortigem Recht auf Daten zugreifen; dagegen stehen Ihnen nicht in jedem Fall dieselben Rechtsbehelfe wie in der EU zur Verfügung.

Speicherdauer

Pflicht zur Bereitstellung

Für die Nutzung der Website müssen Sie keine personenbezogenen Daten angeben; die technisch notwendigen Verbindungsdaten fallen beim Aufruf jedoch zwingend an. Für ein Benutzerkonto, einen Vertrag und die Abrechnung brauchen wir Name, E-Mail-Adresse, Organisation und, bei Buchung eines Pakets, die Rechnungsangaben. Ohne diese Angaben können wir kein Konto anlegen und keinen Vertrag schließen. Angaben in Formularen, die nicht als Pflichtfeld gekennzeichnet sind, sind freiwillig.

Ihre Rechte

Ihnen stehen die Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit zu (Art. 15 bis 20 DSGVO). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die bis dahin erfolgte Verarbeitung bleibt rechtmäßig. Wenden Sie sich dazu an kontakt@lexploris.com. Wir antworten innerhalb eines Monats.

Widerspruchsrecht (Art. 21 DSGVO). Soweit wir Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Wenn Sie glauben, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt, können Sie sich bei der Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Web: www.dsb.gv.at (öffnet in neuem Tab)

Hinweise für Nutzerinnen und Nutzer aus der Schweiz

Für Personen in der Schweiz gilt ergänzend das Bundesgesetz über den Datenschutz (DSG) in der seit 1. September 2023 geltenden Fassung. Wir verarbeiten Ihre Daten in Österreich und, für die Sprachmodelle, in der EU; die Schweiz anerkennt den Datenschutz in den Staaten der EU als angemessen. Für Übermittlungen in die USA gilt das oben Gesagte; die Schweiz hat für zertifizierte Empfänger in den USA ebenfalls ein angemessenes Schutzniveau festgestellt (Swiss-US Data Privacy Framework). Ihre Rechte auf Auskunft, Berichtigung und Löschung können Sie bei uns geltend machen. Beschwerden können Sie an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch (öffnet in neuem Tab), richten.

Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Über wesentliche Änderungen informieren wir Kundinnen und Kunden in der Anwendung.