Mit jedem dieser Unternehmen haben wir einen Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen, der ihm dieselben Datenschutzpflichten auferlegt, die wir gegenüber unseren Kunden übernehmen. Übermittlungen in Drittländer stützen wir auf das EU-U.S. Data Privacy Framework (DPF), soweit der Empfänger zertifiziert ist, und auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3) mit einer dokumentierten Bewertung des Übermittlungsrisikos. Zertifizierungen zuletzt geprüft am [Datum der DPF-Registerprüfung].

KI-Anbieter: Training und Speicherung

• OpenAI: Inhalte, die wir über die Programmierschnittstelle übermitteln, verwendet OpenAI nach seinen Unternehmensbedingungen nicht zum Training. OpenAI speichert sie bis zu 30 Tage zur Erkennung von Missbrauch; [Null-Speicherung (Zero Data Retention) bei OpenAI beantragen oder diese Angabe beibehalten].
• Mistral AI: Die Verwendung unserer Inhalte zum Training haben wir ausgeschlossen. [Opt-out und Null-Speicherung bei Mistral AI vor dem Livegang setzen und belegen]
• ElevenLabs: Die Stimme wird nicht aufgezeichnet; Audio und Transkripte löscht ElevenLabs unmittelbar nach dem Gespräch (Aufbewahrung 0 Tage). Die Nutzung zur Verbesserung der Modelle ist ausgeschaltet. [„Data use“ bei ElevenLabs deaktivieren und belegen]
• Telnyx: Telnyx verwendet Inhalte nicht zum Training. Konto-, Nutzungs- und KI-Nutzungsdaten (etwa Verbindungszeiten) verarbeitet Telnyx als eigener Verantwortlicher für eigene Zwecke wie Abrechnung und Betrugsabwehr.

Die Datenverarbeitungsverträge mit diesen Unternehmen und die Listen ihrer eigenen Unterauftragsverarbeiter senden wir Ihnen auf Anfrage an datenschutz@klarium.at.

Verbindet ein Kunde Klarium mit einem eigenen Konto bei einem anderen Anbieter, fließen Daten auf seine Weisung an diesen Anbieter. Diese Anbieter sind keine Subauftragsverarbeiter von Klarium: Der Kunde wählt sie aus, schließt den Vertrag mit ihnen selbst und verantwortet die Übermittlung, auch in Drittländer. Das betrifft:

• Postfächer und Kalender bei Google (Gmail, Google Kalender) und Microsoft (Outlook, Exchange, Microsoft 365),
• die Aktions-Konnektoren Acuity Scheduling, Airtable, Brevo, Cal.com, Calendly, Exa, HubSpot, Jira, Lexware Office, Mailchimp, Notion, Pipedrive, sevDesk, Shopify, Slack, Stripe (Konto des Kunden) und WooCommerce,
• eigene Aktionen und ausgehende Webhooks an Systeme des Kunden,
• die Benutzerverwaltung über SCIM aus dem Verzeichnis des Kunden.

Mit dem Exa-Konnektor gehen Suchanfragen, die der Assistent aus einem Gespräch bildet, an Exa Labs, Inc. in den USA.

Bevor wir einen Subauftragsverarbeiter hinzuziehen oder ersetzen, informieren wir unsere Kunden mindestens 30 Tage im Voraus per E-Mail an den hinterlegten Datenschutzkontakt und aktualisieren diese Seite. Kunden können der Änderung aus sachlichen Gründen widersprechen; die Folgen regelt der Auftragsverarbeitungsvertrag. Wer Änderungen zusätzlich per E-Mail erhalten möchte, schreibt an datenschutz@klarium.at mit dem Betreff „Subauftragsverarbeiter“.

Nach Art. 28 der Verordnung (EU) 2023/2854 (Data Act) informieren wir darüber, welcher Rechtsordnung die für unseren Dienst eingesetzte Infrastruktur unterliegt und wie wir nicht-personenbezogene Daten, die in der Union gespeichert sind, vor unrechtmäßigen Zugriffen staatlicher Stellen aus Drittstaaten schützen.

Unsere Schutzmaßnahmen:

• Verschlüsselung bei der Übertragung und bei der Speicherung; Zugangsdaten und Schlüssel liegen in einer gesonderten Schlüsselverwaltung.
• Zugriffe nur nach dem Erforderlichkeitsprinzip, mit Protokollierung.
• Vertragliche Pflicht unserer Dienstleister, Ersuchen von Behörden zu prüfen, soweit möglich anzufechten, nur das zwingend Erforderliche offenzulegen und uns zu informieren, soweit das erlaubt ist.
• Ersuchen, die uns selbst erreichen, prüfen wir auf ihre Rechtsgrundlage, informieren den betroffenen Kunden vorab, soweit zulässig, und geben nur heraus, wozu wir gesetzlich verpflichtet sind (Art. 32 Data Act).