Petersen KI

1. Verantwortlicher

Petersen KI Betriebssteuerung
Inhaber: Carsten Petersen
Im Sträßchen 14, 40789 Monheim am Rhein
E-Mail: info@petersen-ki-pilot.de
Telefon: +49 176 56392975

2. Verarbeitungszwecke, Rechtsgrundlagen und Empfänger

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Anwendung erforderlich ist. Folgende Auftragsverarbeiter und Drittanbieter sind eingebunden:

a) Login / Nutzerkonto

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Wir speichern E-Mail-Adresse, Passwort-Hash, Rolle, Freischaltungs-Status und Profil-Stammdaten, um Ihren Zugang zur Anwendung zu ermöglichen.

b) Supabase (Datenbank & Auth)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Empfänger: Supabase Inc., Hosting in der EU-Region (Frankfurt/Irland). Verarbeitet werden alle in der Anwendung eingegebenen Geschäftsdaten (Kunden, Rechnungen, Artikel, Aufgaben, Karten etc.).

c) Stripe (Abrechnung)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Empfänger: Stripe Payments Europe Ltd., Irland. Es werden Name, E-Mail, Rechnungsbetrag und Zahlungsstatus übermittelt. Stripe wird zur Abwicklung der Abo-Zahlungen eingesetzt. Zahlungsdaten (Kreditkarte etc.) werden direkt an Stripe übermittelt — wir speichern sie nicht.

d) OpenAI (KI-Funktionen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Empfänger: OpenAI Ireland Ltd., Irland. Für KI-Funktionen (Chat, Tagesbericht, OCR-Erkennung, Analysen) werden die von Ihnen eingegebenen Texte und ggf. Lager-/Geschäftsdaten an OpenAI übermittelt. OpenAI verwendet diese Daten gemäß API-Vertrag nicht für Trainingszwecke. Lieferantennamen werden vor der Übermittlung pseudonymisiert.
Opt-out: KI-Funktionen können vom Inhaber unter Einstellungen → Kundensteuerung → KI-Steuerung pro Account deaktiviert werden (openai_master_toggle). Bei deaktiviertem Toggle werden keine Daten an OpenAI übermittelt.

e) Resend (Transaktions-E-Mails)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Empfänger: Resend Inc., USA (Übermittlung auf Basis EU-Standardvertragsklauseln). Versand von Rechnungs-, Bestätigungs- und Service-E-Mails an Sie und Ihre Kunden.

f) Sentry (Fehlertracking)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabilem Betrieb).
Empfänger: Functional Software, Inc. (Sentry), Verarbeitung in der EU-Region (Frankfurt). Erfasst werden Fehlermeldungen, anonymisierte Request-Pfade, Browser-/OS-Informationen — keine Cookies, keine Auth-Header (werden vor Versand entfernt).

g) Web-Push-Benachrichtigungen

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Browser-Permission).
Push-Endpoints werden an die Push-Dienste der Browser-Hersteller übermittelt: Google LLC (FCM), Apple Inc. (APNs), Mozilla Foundation (autopush). Es werden ausschließlich pseudonyme Endpoint-URLs verwendet. Sie können die Einwilligung jederzeit in den Browser-Einstellungen widerrufen.

h) Vercel (Hosting)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Empfänger: Vercel Inc., USA (Übermittlung auf Basis EU-Standardvertragsklauseln). Vercel hostet die Anwendung und protokolliert technisch notwendige Request-Logs (IP-Adresse, Zeitstempel, User-Agent).

3. Speicherdauer und Aufbewahrungsfristen

Wir löschen oder anonymisieren personenbezogene Daten, sobald der jeweilige Zweck entfallen ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Im Einzelnen gelten folgende Fristen:

• Rechnungen und steuerrelevante Belege: 10 Jahre (§ 147 AO).
• Anwendungs- und Aktivitäts-Logs (user_audit_log): 90 Tage — danach automatische Löschung durch täglichen Cron-Job.
• KI-Antwort-Cache (ki_response_cache): 30 Tage — danach automatische Löschung durch täglichen Cron-Job.
• Backups: 30 Tage rollierend — ältere Backups werden automatisch überschrieben.
• Inaktive Nutzerkonten: 24 Monate nach letzter Anmeldung — danach Kontaktaufnahme und ggf. Löschung.
• Nutzerkonto allgemein: bis zur Löschung durch Sie oder bis 6 Monate nach Vertragsende.

Die automatische Bereinigung abgelaufener Logs und KI-Cache-Einträge erfolgt täglich durch einen serverseitigen Hintergrundprozess (Retention-Sweep-Cron), der ausschließlich innerhalb Ihrer Mandanten-Daten operiert.

4. Betroffenenrechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine formlose E-Mail an info@petersen-ki-pilot.de.

5. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

6. Datensicherheit

Die Anwendung ist ausschließlich über TLS (HTTPS) erreichbar. Passwörter werden ausschließlich als Hash gespeichert. Zugriff auf Geschäftsdaten ist durch Row-Level-Security auf Datenbank-Ebene begrenzt — jeder Account sieht nur seine eigenen Daten.