Datenschutzerklärung

1. Wer verantwortlich ist

Castor Concepts BV ist Verantwortlicher für die personenbezogenen Daten von Besuchern von www.amlr-monitor.com und von Nutzern des Arbeitsbereichs: Konten, Abrechnung, Benachrichtigungen, Kontaktformular und Support. Castor Concepts BV ist auch Verantwortlicher für die geschäftlichen Kontaktdaten der Organisationen, die wir wegen des Dienstes ansprechen.

Für die Inhalte, die eine Organisation in ihren Arbeitsbereich einstellt (Unternehmensprofil, hochgeladene Dokumente, Notizen, Aufgaben, Fragen an den KI-Berater), ist die Organisation selbst Verantwortlicher und Castor Concepts BV Auftragsverarbeiter, der auf ihre Weisung handelt. Wenden Sie sich bei Fragen zu diesen Inhalten an diese Organisation; die Vereinbarung zur Auftragsverarbeitung steht in Abschnitt 12 der Allgemeinen Geschäftsbedingungen.

2. Was wir verarbeiten, und warum

• Besucher: die technischen Daten, die der Hosting-Anbieter bei jeder Anfrage protokolliert (IP-Adresse, Browsertyp, aufgerufene Seite, Zeitpunkt), um die Seiten auszuliefern und Missbrauch zu erkennen. Grundlage: unser berechtigtes Interesse an einer funktionierenden und sicheren Seite. Die Nutzung der Website wird nur nach Ihrer Einwilligung mit Google Analytics 4 gemessen (Abschnitt 5).
• Konto: Name, E-Mail-Adresse, gehashtes Passwort, Zwei-Faktor-Geheimnis und Backup-Codes (verschlüsselt), Rolle, Organisation, Plan und Zeitpunkt des letzten Besuchs. Zweck: Bereitstellung des Arbeitsbereichs, Zugangssicherung, Nachvollziehbarkeit von Änderungen. Grundlage: Vertragserfüllung.
• Administratoren einer Organisation im kostenlosen Plan: Name, E-Mail-Adresse, Art der Organisation und Anmeldedatum, um im ersten Monat höchstens fünf E-Mails darüber zu senden, was die kostenpflichtigen Pläne hinzufügen, und höchstens drei E-Mails rund um eine kostenlose Testwoche. Grundlage: unser berechtigtes Interesse, unseren eigenen Dienst bestehenden Kontoinhabern anzubieten. Jede dieser E-Mails enthält einen Abmeldelink, und Sie können diese E-Mails auch unter Benachrichtigungen abschalten; Benachrichtigungen und Einladungen bleiben unberührt.
• Inhalte des Arbeitsbereichs: was Sie und Ihre Kolleginnen und Kollegen eingeben (Profil, Dokumente, Readiness-Einträge, Notizen, Aufgaben, Konsultationsentwürfe, Fragen und Antworten, Compliance-Protokoll, Audit-Log). Zweck: die Funktionen des Arbeitsbereichs einschließlich der KI-Funktionen. Grundlage: Vertragserfüllung; die Organisation entscheidet, welche Daten sie eingibt.
• Abrechnung: Plan, Testdaten, Abonnementstatus, die von Ihnen eingegebenen Rechnungsangaben (Firmenname, Anschrift, USt-IdNr., Bestellnummer, Rechnungs-E-Mail) und die Kennungen unseres Zahlungsdienstleisters. Karten- und Bankdaten werden beim Zahlungsdienstleister eingegeben und erreichen uns nie. Zweck: Abrechnung und Buchführung. Grundlage: Vertragserfüllung und gesetzliche Pflichten.
• Benachrichtigungen: die unter Alerts eingegebene E-Mail- oder Webhook-Adresse und die Rahmenwerkblöcke, denen Sie folgen. Zweck: Versand der angeforderten Benachrichtigungen und regulatorischen Updates. Grundlage: Ihre Anforderung; Sie können sie jederzeit abschalten.
• Kontaktformular, Plananfragen und Support: Name, E-Mail-Adresse, Organisation, Betreff und Nachricht. Zweck: Ihnen antworten und nachfassen. Grundlage: unser berechtigtes Interesse, Ihnen zu antworten, oder der Vertrag, wenn Sie Kunde sind.
• Organisationen, die wir ansprechen: Name, Website und Land von Beratungsunternehmen, Kanzleien, Schulungsanbietern, Softwareanbietern und Verpflichteten; die allgemeine oder funktionsbezogene E-Mail-Adresse, die sie veröffentlichen (etwa info@, compliance@ oder partnerships@), und eine Kontaktperson nur, wenn ihre eigene Website eine solche für diese Kontakte nennt; bei zugelassenen Instituten die öffentlichen Registerangaben (Aufsichtsbehörde, Art der Zulassung, Datum); eine kurze Notiz, warum wir sie ansprechen; und die ausgetauschten E-Mails. Quellen: ihre eigene Website, öffentliche Register der Aufsichtsbehörden (EBA, ESMA, nationale Aufsichtsbehörden) und Suchergebnisse zu Themen der Geldwäschebekämpfung. Zweck: eine Partnerschaft, Werbung oder eine Testphase des Arbeitsbereichs vorschlagen, mit höchstens einer ersten E-Mail und zwei Erinnerungen. Grundlage: unser berechtigtes Interesse, Partner und Kunden für den Dienst zu finden. Sie können jederzeit widersprechen, etwa indem Sie auf unsere E-Mail antworten; wir löschen dann die Kontaktdaten und die E-Mails und behalten nur Name und Domain der Organisation und eine gehashte Form der Adresse, damit wir nicht erneut schreiben.
• Seitenübersicht: aggregierte Zahlen (Nutzer, Organisationen, Pläne, Aktivität), die der Betreiber sieht, um den Dienst zu führen. Grundlage: berechtigtes Interesse.

3. KI-Funktionen

Der KI-Berater, die Unternehmenssuche, die Auswirkungsanalyse, die Länderpunkte, Aufgabenbriefings, Dokumentzusammenfassungen und regulatorischen Updates übermitteln die relevanten Inhalte (Ihre Frage, das Unternehmensprofil, die hochgeladenen Dokumente, die erfasste Readiness) an Anthropic, PBC, deren Claude-Modelle die Antwort erzeugen. Dieselben Modelle durchsuchen das Web mit unseren eigenen Suchbegriffen und Firmennamen, um Organisationen und ihre Websites zu finden, bewerten die öffentliche Website der Organisationen, die wir ansprechen, entwerfen unsere E-Mails an sie und ordnen ihre Antworten ein; der Betreiber gibt jede erste E-Mail und jede Antwort frei, bevor sie versendet wird. Anthropic verarbeitet diese Daten als unser Auftragsverarbeiter zu Geschäftsbedingungen, die die Nutzung Ihrer Daten zum Training von Modellen ausschließen.

Stellen Sie keine personenbezogenen Daten in den Arbeitsbereich ein, die für die Compliance-Arbeit nicht nötig sind, und entfernen Sie Dokumente, die Sie nicht mehr brauchen.

4. Wer Daten erhält (Unterauftragsverarbeiter)

• Vercel, Inc. (Vereinigte Staaten): Hosting und Auslieferung der Seite sowie Anfrageprotokolle; die Anwendung läuft in Frankfurt (EU).
• Neon, Inc. (Vereinigte Staaten): die Datenbank, in der Konten und Inhalte feldweise verschlüsselt gespeichert werden; die Datenbank läuft in Frankfurt (AWS eu-central-1, EU).
• Anthropic, PBC (Vereinigte Staaten): die in Abschnitt 3 beschriebene KI-Verarbeitung.
• Stripe Payments Europe, Ltd. (Irland) und Stripe, Inc. (Vereinigte Staaten): Abonnements, Zahlungen, Rechnungen und Umsatzsteuer-Identifikation.
• Der E-Mail-Anbieter von Castor Concepts BV: E-Mail-Versand (Einladungen, Benachrichtigungen, regulatorische Updates, Kontaktnachrichten, unsere E-Mails an Organisationen, die wir ansprechen) von unserer eigenen Adresse und Empfang der Antworten über eine verschlüsselte Verbindung.
• Google Ireland Ltd: Werbeflächen auf der öffentlichen Startseite, sofern aktiviert, unter Googles eigener Cookie-Einwilligung; Google-Analytics-Statistiken über die Nutzung der Website, mit Cookies nur nach Ihrer Zustimmung
• Bing und andere IndexNow-Suchmaschinen: nur die öffentlichen Adressen neuer Blogartikel, keine personenbezogenen Daten.

Einige dieser Anbieter sind in den Vereinigten Staaten ansässig. Übermittlungen stützen sich auf die Standardvertragsklauseln der Europäischen Kommission und, sofern der Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework. Wir verkaufen keine personenbezogenen Daten und geben sie an niemanden sonst weiter, es sei denn, das Gesetz verpflichtet uns dazu.

5. Cookies und lokaler Speicher

• Ein Sitzungscookie nach der Anmeldung (notwendig; höchstens dreißig Tage gültig und beim Abmelden gelöscht).
• Ein Cookie von zehn Minuten während der Zwei-Faktor-Anmeldung.
• Der lokale Speicher Ihres Browsers merkt sich die auf dem Dashboard gewählte Art von Organisation; er verlässt Ihren Browser nie.
• Werbe-Cookies von Google nur auf der öffentlichen Startseite, wenn Werbung aktiviert ist und Sie eingewilligt haben.
• Google-Analytics-Cookies (_ga, höchstens zwei Jahre) nur, nachdem Sie sie im Cookie-Hinweis akzeptiert haben; ohne Zustimmung erhält Google nur cookielose, aggregierte Signale, die niemanden identifizieren.

Die Nutzung der Website messen wir mit Google Analytics 4 im Consent Mode: Ohne Ihre Zustimmung wird kein Analyse-Cookie gesetzt und keine Kennung gespeichert. Sie können Ihre Wahl jederzeit über „Cookies“ in der Fußzeile ändern.

6. Wie lange wir Daten aufbewahren

• Kontodaten: bis Sie Ihr Konto löschen oder ein Administrator die Organisation löscht.
• Inhalte des Arbeitsbereichs und Audit-Log: bis die Organisation sie löscht oder gelöscht wird.
• Gelöschte Daten verschwinden sofort aus der aktiven Datenbank und innerhalb von dreißig Tagen aus Sicherungskopien.
• Abrechnungsunterlagen: sieben Jahre, wie das niederländische Steuerrecht verlangt.
• Kontaktnachrichten und Plananfragen: bis zur Erledigung, höchstens zwei Jahre.
• Angaben zu Organisationen, die wir ansprechen, und die ausgetauschten E-Mails: zwölf Monate nach dem letzten Kontakt, bei Widerspruch sofort gelöscht; nur der Eintrag, der verhindert, dass wir erneut schreiben (die Domain und eine gehashte Adresse), wird länger aufbewahrt.
• Anfrageprotokolle des Hosting-Anbieters und Zustellprotokolle des E-Mail-Anbieters: die kurzen Fristen, die diese Anbieter vorsehen.

7. Wie wir Daten schützen

• Alle personenbezogenen Daten und Inhalte werden vor der Speicherung feldweise verschlüsselt (AES-256-GCM), zusätzlich zur Verschlüsselung der Datenbank im Ruhezustand. Passwörter werden als scrypt-Hash gespeichert; Zwei-Faktor-Geheimnisse und Backup-Codes sind verschlüsselt oder gehasht.
• Verbindungen sind verschlüsselt (TLS). Zwei-Faktor-Authentifizierung steht jedem Nutzer zur Verfügung, und ein Administrator kann sie für die gesamte Organisation verlangen.
• Der Zugang zu entschlüsselten Daten ist auf den Betreiber beschränkt und nur für Support, einen Löschantrag oder die Seitenübersicht möglich. Jede Änderung in einem Arbeitsbereich wird im Audit-Log der Organisation festgehalten.
• Betrifft ein Sicherheitsvorfall Ihre Daten, informieren wir die betroffenen Organisationen unverzüglich und, wo erforderlich, die Aufsichtsbehörde.

8. Ihre Rechte

Sie können Ihre Daten selbst einsehen, berichtigen, exportieren und löschen: Ihr Konto unter Security, die Organisation und ihre Inhalte unter Team (Administratoren), Exporte unter Export and report. Sie haben außerdem das Recht auf Einschränkung, auf Widerspruch, auf Datenübertragbarkeit und darauf, die Einwilligung in Benachrichtigungen jederzeit zu widerrufen. Kontaktieren Sie uns für alles, was Sie nicht selbst tun können; wir antworten innerhalb eines Monats.

Sie können eine Beschwerde bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens) oder bei der Aufsichtsbehörde Ihres Landes einreichen.

9. Kinder

Der Dienst richtet sich an Fachleute. Wir verarbeiten wissentlich keine Daten von Personen unter sechzehn Jahren.

10. Änderungen

Wir können diese Erklärung aktualisieren. Das Datum oben zeigt die letzte Änderung; wesentliche Änderungen werden im Arbeitsbereich oder per E-Mail angekündigt.

11. Kontakt

AMLR Monitor wird von Castor Concepts BV betrieben.