Datenschutzerklärung für Glieks

Fassung vom 25.09.2026

Zweck: Informationspflicht nach Art. 13 DSGVO für Besucher der Website glieks.de und Nutzer der Web-Oberfläche von Glieks (Kundenseite und Portal).

Stand: 13.09.2026, ergänzt 18.09.2026 (OA-162/Y-352: zweiter Sprachmodell-Anbieter innerhalb der EU) - ausformulierte Fassung auf Grundlage von datenschutzerklaerung-entwurf.md (12.09.2026), mit aktualisierter Empfänger-/Auftragsverarbeiterliste und geklärtem Löschkonzept (siehe avv.md Anlage 2 Punkt 7). Von einem Anwalt vor Veröffentlichung zu prüfen; als "Dieser Abschnitt ist in rechtlicher Prüfung" markierte Stellen (Wortlaut beim Überfahren/Antippen sichtbar) sind die verbleibenden Prüfpunkte.

Platzhalter-Liste: [Firma]/[Rechtsform-Zusatz]/[Straße, Hausnummer]/[PLZ, Ort]/[Telefonnummer]/[Name(n) Geschäftsführung]/[zuständige Landesdatenschutzbehörde] (abhängig vom endgültigen Firmensitz) - vollständige, firmenweit konsistente Liste in pruefliste-anwalt.md Abschnitt 2. Kontakt-E-Mail-Adressen (support@glieks.de, vorgeschlagen zusätzlich datenschutz@glieks.de) sind technisch auf der bereits aktiven Domain einzurichten, falls noch nicht geschehen.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Glieks, Einzelunternehmen - Inhaber, Anschrift und Kontakt siehe Impressum (https://glieks.de/impressum.html); E-Mail: support@glieks.de

E-Mail: datenschutz@glieks.de [Owner: Postfach vor Veröffentlichung einrichten/bestätigen]

Telefon: [Telefonnummer]

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter wurde nicht bestellt, da nach dem Stand der Kundenreife 1 (kleines Team) die Schwellenwerte des § 38 BDSG (in der Regel 20 Personen, die ständig mit automatisierter Verarbeitung personenbezogener Daten befasst sind) nicht erreicht sind. Angesichts des Geschäftsmodells (Verarbeitung von Kundeninhalten im Auftrag zahlreicher Firmenkunden) ist diese Einschätzung bei wachsendem Team zeitnah erneut zu prüfen. Dieser Abschnitt ist in rechtlicher Prüfung

3. Allgemeines zu den Verarbeitungen und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Plattform sowie unserer Inhalte und Leistungen erforderlich ist. Rechtsgrundlagen sind, je nach Zweck:

• Art. 6 Abs. 1 lit. b DSGVO - Verarbeitung zur Erfüllung eines Vertrags oder zur Durchführung vorvertraglicher Maßnahmen (z. B. Registrierung, Bereitstellung des Kundensystems, Abrechnung),
• Art. 6 Abs. 1 lit. f DSGVO - Verarbeitung zur Wahrung berechtigter Interessen (z. B. IT-Sicherheit, Missbrauchsprävention, technisch notwendige Protokollierung),
• Art. 6 Abs. 1 lit. c DSGVO - Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrungspflichten),
• Art. 6 Abs. 1 lit. a DSGVO - Einwilligung, soweit im Einzelfall eingeholt (z. B. für optionale, nicht technisch notwendige Funktionen, sofern diese künftig angeboten werden).

4. Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website erhebt unser Hosting-Anbieter (Hetzner Online GmbH, siehe Ziffer 8) automatisiert technisch notwendige Zugriffsdaten (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, verwendeter Browser, Referrer-URL). Diese Daten werden zur Bereitstellung der Website, zur Gewährleistung der Systemsicherheit und -stabilität sowie zur technischen Fehleranalyse verarbeitet (Art. 6 Abs. 1 lit. f DSGVO) und nach 14 Tagen gelöscht, soweit keine sicherheitsrelevante Auffälligkeit vorliegt. Die Domainauflösung (DNS) läuft über Cloudflare als reinen DNS-Betrieb ohne Proxy/CDN - der eigentliche Datenverkehr zur Website läuft nicht über Cloudflare, sondern direkt zu unserem Server; siehe Ziffer 9 zur rechtlichen Einordnung dieses Punkts.

5. Registrierung, Kundenkonto, Anmeldung

Zur Nutzung von Glieks ist die Einrichtung eines Kundensystems mit Nutzerkonten erforderlich. Dabei verarbeiten wir: Name, geschäftliche E-Mail-Adresse, Rolle (Admin/Builder/Viewer), Anmeldedaten im Sinne von Passschlüsseln (WebAuthn) bzw. Einmalcodes, sowie Zeitpunkt und Ergebnis von Anmeldevorgängen (Art. 6 Abs. 1 lit. b DSGVO). Der erste Zugang wird über einen einmaligen, per E-Mail zugestellten Einrichtungscode angelegt. Zusatzfaktoren (Zweitgerät-Bestätigung, "Zeremonie") werden ausschließlich zur Absicherung sicherheitsrelevanter Vorgänge (z. B. Freigaben, sofortige Löschung) verarbeitet.

6. Nutzung des Dienstes: Aufträge, Läufe, Ergebnisse

6.1 Erteilt ein Nutzer über die Oberfläche einen Arbeitsauftrag, verarbeiten wir die dafür eingegebenen Inhalte, hochgeladenen Dateien sowie die daraus erzeugten Zwischenstände, Ergebnisse (Artefakte) und zugehörigen Protokolle innerhalb des Kundensystems des jeweiligen Unternehmens, für das der Nutzer handelt (Art. 6 Abs. 1 lit. b DSGVO, jeweiliger Nutzungsvertrag). Jeder Arbeitsauftrag läuft in einer eigenen, nach Abschluss verworfenen Mikro-Laufumgebung.

6.2 Soweit ein Kunde (Unternehmen) uns mit der Verarbeitung personenbezogener Daten Dritter beauftragt (z. B. Daten von Kunden oder Beschäftigten des Kunden in Auftragsinhalten), handeln wir insoweit als Auftragsverarbeiter im Sinne von Art. 28 DSGVO auf Grundlage eines gesonderten Auftragsverarbeitungsvertrags mit diesem Kunden (avv.md). Verantwortlich für die Rechtmäßigkeit dieser Verarbeitung im Innenverhältnis zu den betroffenen Personen ist in diesem Fall der jeweilige Kunde, nicht wir. Betroffene Personen, die Fragen zu solchen Inhalten haben, wenden sich bitte an das Unternehmen, das den Auftrag erteilt hat.

6.3 Kann der Kunde sein Kundensystem mit einem eigenen Schlüssel versiegeln; ab diesem Zeitpunkt haben wir technisch keinen inhaltlichen Zugriff mehr auf die Daten - auch nicht zur Beantwortung von Betroffenenanfragen (siehe avv.md § 7).

6.4 Spracheingabe: Wer einen Auftrag oder Beitrag statt zu tippen einspricht, verarbeiten wir die Tonaufnahme ausschließlich auf dem Kundensystem des jeweiligen Unternehmens (Art. 6 Abs. 1 lit. b DSGVO) - kein externer Spracherkennungsdienst, keine Übermittlung nach außen. Die Tonaufnahme selbst wird zu keinem Zeitpunkt gespeichert (weder als Datei noch dauerhaft im Arbeitsspeicher); erzeugt wird ausschließlich der daraus abgeleitete Text, der wie jeder andere eingegebene Auftragstext behandelt wird.

6.5 Fehlermeldungen: Meldet ein Nutzer über den Knopf "Fehler melden" einen Fehler an einem eigenen Lauf, verarbeiten wir den dabei eingegebenen Freitext sowie - nur bei gesetztem Haken "Anonymisiertes Laufprotokoll mitschicken" - ein automatisch anonymisiertes Laufprotokoll (Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung/Produktverbesserung). Vor dem Speichern werden aus diesem Protokoll Zugangs-, Auftrags-, Lauf-, Projekt- und Dateikennungen durch fortlaufende Platzhalter ersetzt sowie E-Mail-Adressen, Namen und Dateinamen entfernt; erhalten bleiben nur technische Angaben wie Auftragsart, Werkzeugkategorie, Zustände, Zeiten, Fehlertexte, Kosten und Modellklasse. Für eine angenommene Meldung schreiben wir dem Zugang eine Token-Gutschrift gut; die Anzahl begünstigter Meldungen ist je Zugang und Monat begrenzt.

7. Cookies und lokaler Speicher

Wir setzen ausschließlich technisch notwendige Cookies bzw. Einträge im lokalen Speicher des Browsers ein, die zur Bereitstellung der Web-Oberfläche zwingend erforderlich sind (z. B. Anmeldesitzung, Sicherheits-Kennung, Spracheinstellung). Diese fallen unter die Ausnahme des § 25 Abs. 2 TDDDG (vormals § 25 Abs. 2 TTDSG) und bedürfen keiner Einwilligung. Nicht-notwendige Cookies (z. B. Marketing, Analyse-Tracking) setzen wir zum Stand dieser Fassung nicht ein. Sollte sich dies ändern, ist vor Einsatz ein Einwilligungsmechanismus nachzurüsten.

8. Empfänger und Auftragsverarbeiter

Zur Bereitstellung von Glieks setzen wir folgende Auftragsverarbeiter ein, mit denen jeweils Verträge nach Art. 28 DSGVO bestehen (vollständige Liste mit Anschrift, Leistung, Verarbeitungsort und Rechtsgrundlage: avv.md Anlage 3):

• Hosting/Serverbetrieb: Hetzner Online GmbH, Deutschland - Betrieb der Kundensystem-Maschine und der Laufumgebungen.
• Modellhosting/Inferenz für KI-Bildmodelle sowie einen Teil der KI-Sprachmodelle: IONOS SE (AI Model Hub), Deutschland, Rechenzentrum de-txl (Berlin) - inhaltliche Ausführung von Modellrunden, einschließlich Bilderzeugung und optional zubuchbarer GPU-Leistung.
• Modellhosting/Inferenz für einen Teil der KI-Sprachmodelle: Scaleway SAS, 8 rue de la Ville l'Eveque, 75008 Paris, Frankreich - inhaltliche Ausführung von Modellrunden ausgewählter Sprachmodelle auf eigener Infrastruktur in der Europäischen Union, ohne Trainingsnutzung. Welcher Anbieter für ein konkretes Modell zuständig ist, weisen wir bei der Modellauswahl je Modell aus.
• E-Mail-Versand: Mailjet SAS (Sinch-Gruppe), Frankreich - Versand von System-E-Mails (Einrichtungscode, Einladungen, Benachrichtigungen) für die Domain glieks.de.
• DNS-Auflösung: Cloudflare - ausschließlich DNS-Betrieb (kein Proxy, kein CDN, kein Durchleiten des Datenverkehrs unserer Plattform) sowie technische Weiterleitung des internen Postfachs support@glieks.de.
• Sicherung: [EU-Objektspeicher-Anbieter - Platzhalter, vor Veröffentlichung zu benennen].

Eine Weitergabe an sonstige Dritte (z. B. zu Werbezwecken) findet nicht statt.

9. Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums ist nicht vorgesehen. Hosting- und Modellanbieter (Hetzner, IONOS, Scaleway) sowie der E-Mail-Versanddienstleister (Mailjet/Sinch) verarbeiten ausschließlich innerhalb der Europäischen Union: Server, Speicher und Laufräume in Deutschland (Hetzner, Falkenstein); Sprachmodelle je nach Modell in Deutschland (IONOS, Berlin) oder in der EU (Scaleway, Paris); das Bildmodell in Deutschland (IONOS, Berlin). Keiner dieser Anbieter unterliegt dem US CLOUD Act.

Eine Besonderheit besteht bei der DNS-Auflösung unserer Domains über Cloudflare: Cloudflare ist ein Unternehmen mit Sitz außerhalb der EU. Da Cloudflare in unserer Konfiguration ausschließlich als reiner DNS-Betreiber (nicht proxied) eingesetzt wird, läuft der eigentliche Inhalts- und Datenverkehr unserer Plattform nicht über Cloudflare-Server; verarbeitet werden allenfalls technische DNS-Anfragen (Domainname, anfragende Resolver-Adresse) sowie - für die interne Weiterleitung von support@glieks.de - Kopfdaten dieser E-Mails. Dieser Abschnitt ist in rechtlicher Prüfung Sollte sich der Einsatz weiterer, außereuropäischer Dienstleister ändern, informieren wir vorab und stellen sicher, dass ein angemessenes Datenschutzniveau (z. B. durch EU-Standardvertragsklauseln) besteht.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Glieks kennt zwei unabhängige Löschwege (Einzelheiten: avv.md Anlage 2 Punkt 7): einen automatischen, zweistufigen Verfall für unbenutzte Objekte, und eine gezielte sofortige Löschung ohne Papierkorb für bewusste Löschentscheidungen.

11. Rechte der betroffenen Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte gegenüber uns:

• Auskunft über die verarbeiteten personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO),
• Beschwerde bei einer Datenschutzaufsichtsbehörde (Art. 77 DSGVO), insbesondere bei der für unseren Sitz zuständigen Aufsichtsbehörde: [zuständige Landesdatenschutzbehörde - abhängig vom endgültigen Firmensitz].

Zur Ausübung dieser Rechte genügt eine formlose Mitteilung an die in Ziffer 1 genannten Kontaktdaten. Ist ein Kunde (Unternehmen) für die betreffende Verarbeitung als datenschutzrechtlich Verantwortlicher einzustufen (Ziffer 6.2), leiten wir Anfragen an diesen weiter bzw. verweisen auf ihn.

12. Pflicht zur Bereitstellung von Daten

Die für die Registrierung und Vertragsdurchführung erforderlichen Daten (z. B. Name, geschäftliche E-Mail-Adresse) müssen bereitgestellt werden, um Glieks nutzen zu können; ohne diese Daten ist ein Vertragsschluss nicht möglich. Die Bereitstellung von Auftragsinhalten ist freiwillig, aber Voraussetzung für die Ausführung des jeweiligen Arbeitsauftrags.

13. Automatisierte Entscheidungsfindung und Profiling

Wir setzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO ein. Protokoll- und Nutzungsdaten werden ausschließlich aggregiert auf Ebene des Kundensystems bzw. Mandanten ausgewertet (z. B. für Abrechnung, Kapazitätsplanung); eine auf einzelne Personen bezogene Auswertung (Leistungs- oder Verhaltensprofil) findet nicht statt und ist als Voreinstellung deaktiviert. Wir setzen keine Auswertung von Gesichtern, Gefühlen oder biometrischen Merkmalen ein.

14. KI-Verarbeitung ohne Trainingsnutzung

Für jeden eingesetzten Modellzugang führen wir ein Faktenblatt mit Angaben zu Sitz, Speicherort, Speicherdauer, Rechtsgrundlage und Trainingsnutzung. Als Voreinstellung nehmen wir an, dass die eingesetzten Modellanbieter Kundeninhalte nicht zum Training eigener Modelle verwenden; diese Annahme beruht auf der üblichen Praxis der eingesetzten Anbieter und ist für den einzelnen Zugang nicht gesondert verifiziert - siehe hierzu ausdrücklich avv.md Anlage 2 Punkt 11 und pruefliste-anwalt.md. Ihre Daten bleiben dabei immer in Deutschland oder der Europäischen Union - nie außerhalb der EU.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Datenverarbeitung oder der Rechtslage dies erfordern. Es gilt jeweils die zum Zeitpunkt des Aufrufs unserer Website veröffentlichte Fassung.

16. Kontakt

Für Fragen zum Datenschutz wenden Sie sich an: datenschutz@glieks.de.

Quellen

• Art. 13, 15-22, 77 DSGVO (Verordnung (EU) 2016/679): https://www.gesetze-im-internet.de/eu_2016_679/
• § 25 TDDDG (vormals § 25 TTDSG), Cookie-Einwilligung und Ausnahme für technisch notwendige Speicherung/Auslesevorgänge: https://www.gesetze-im-internet.de/tddig/__25.html Dieser Abschnitt ist in rechtlicher Prüfung
• § 38 BDSG, Pflicht zur Bestellung eines Datenschutzbeauftragten: https://www.gesetze-im-internet.de/bdsg_2018/__38.html
• §§ 147 AO, 257 HGB, handels-/steuerrechtliche Aufbewahrungsfristen: https://www.gesetze-im-internet.de/ao_1977/ und https://www.gesetze-im-internet.de/hgb/
• Handbuch Datenordnung (Verfall, Papierkorb, Löschantrag, Export): glieks/evidence/handbuch/23-datenordnung.md
• Auftragsverarbeitungsvertrag Glieks (Anlage 3, Unterauftragsverarbeiter): avv.md
• Owner-Entscheid OF-21 (nur EU-Anbieter, kein Drittland), OF-71 (Nichttrainings-Zusage als Annahme), OA-162 (zweiter Sprachmodell-Anbieter Scaleway innerhalb der EU): (internes Owner-Entscheide-Dokument der Bauleitung, entscheide-2026-09-10.md)
• Datenschutz-Beleg Scaleway Generative APIs (Sitz, Zero Data Retention, keine Trainingsnutzung, kein US CLOUD Act): (interner Beleg der Bauleitung, scaleway-datenschutz-2026-09-18.md)

Hinweis: Diese Erklärung beschreibt den Zielzustand zum Stand dieser Fassung. Sie ist vor Veröffentlichung mit dem tatsächlich implementierten Stand abzugleichen (insbesondere Cookie-Einsatz, Logfile-Fristen, Aufsichtsbehörde, Backup-Zielanbieter).