Datenschutzerklärung
Stand: Juli 2026 · Vorläufige Fassung – vor Aufnahme des regulären Betriebs mit Kundendaten wird diese Erklärung durch einen Datenschutzbeauftragten geprüft und finalisiert.
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
SchLock Digital Products GmbH
Parkweg 26b
14656 Brieselang
Deutschland
E-Mail: info@schlockdigital.com
2. Welche Daten wir verarbeiten
Kontodaten
Bei der Registrierung erfassen wir Name, E-Mail-Adresse und — sofern kein Microsoft-Entra-ID-Login genutzt wird — ein bcrypt-gehashtes Passwort. Das Klartext-Passwort wird weder gespeichert noch übertragen.
Authentifizierungsdaten (Microsoft Entra ID)
Wer sich über Microsoft Entra ID (Azure Active Directory) anmeldet, übermittelt seine Identität über einen OIDC-OAuth-Fluss. Wir empfangen dabei ausschließlich Name, E-Mail-Adresse und eine unveränderliche Nutzer-ID aus dem Unternehmensverzeichnis des Pilotkunden. Passwörter gelangen nicht zu uns.
Fachliche Arbeitsdaten
Für die Kernfunktion der Plattform verarbeiten wir Inhalte, die Nutzer aktiv eingeben oder hochladen: Interviewtranskripte (Texteingabe oder Datei-Upload), Beschreibungen von Arbeitsprozessen, Rollenbeschreibungen sowie alle daraus abgeleiteten Daten (semantische Entitäten, Prozessmodelle, Bewertungen, Produktdefinitionen, Venture Thesen). Diese Inhalte können personenbezogene Daten Dritter enthalten, wenn Transkripte echte Gesprächspartner namentlich erwähnen.
Nutzungs- und Protokolldaten
Jede fachlich relevante Aktion (Bestätigen, Ablehnen, Korrigieren von Ergebnissen) wird in einem Audit-Log mit Nutzer-ID, Aktion und Zeitstempel festgehalten. Technische Serverprotokolle (IP-Adresse, HTTP-Methode, Pfad, Statuscode) werden durch die Hosting-Infrastruktur erzeugt.
Sitzungsdaten
Die Anmeldesitzung wird als signiertes JWT im Browser gespeichert (HTTP-Only Cookie). Es werden keine Tracking-Cookies, Werbe-Cookies oder Drittanbieter-Analytics eingesetzt.
3. Zwecke und Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:
- Vertragsdurchführung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der Plattformfunktionen für registrierte Nutzer.
- Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Sicherheits-Logging, Mandantentrennung und Missbrauchsschutz.
- Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Protokolldaten soweit gesetzlich erforderlich.
4. Eingesetzte Dienste und Auftragsverarbeiter
Alle produktiven Dienste laufen in Microsoft-Azure-Rechenzentren in der Region Schweden (swedencentral), die EU-Datenresidenz gewährleistet.
Microsoft Azure — Hosting und Datenbank
Die Plattform läuft auf Azure Container Apps. Alle Nutzer- und Arbeitsdaten werden in einer Azure PostgreSQL Flexible Server-Datenbank gespeichert. Hochgeladene Dateien (Transkripte) werden in Azure Blob Storage archiviert. Zwischen SchLock Digital Products GmbH und Microsoft besteht ein Auftragsverarbeitungsvertrag (Data Processing Agreement) im Rahmen der Microsoft-Online-Services-Bedingungen.
Datenschutzinformationen Microsoft: microsoft.com/de-de/trust-center/privacy
Azure OpenAI Service — KI-Verarbeitung
Interviewtranskripte und Arbeitsdaten werden zur KI-gestützten Verarbeitung (Extraktion, Prozessmodellierung, Produktdefinition) an den Azure OpenAI Service (Ressource in der Region swedencentral, Modell GPT-5.1) übermittelt. Vor der Übertragung werden offensichtliche personenbezogene Daten wie E-Mail-Adressen und Telefonnummern automatisch maskiert.
Hinweis zum Abuse Monitoring: Im Standardbetrieb kann Microsoft im Rahmen seines Missbrauchsüberwachungsprogramms Zugriff auf Prompt-Inhalte nehmen. Für den Einsatz mit hochsensiblen Kundendaten ist die Beantragung von „Limited/Modified Abuse Monitoring" beim Microsoft-Support empfohlen, bevor der Betrieb aufgenommen wird.
Azure OpenAI Datenschutz: learn.microsoft.com/de-de/legal/cognitive-services/openai/data-privacy
Microsoft Entra ID — Optionaler SSO-Login
Sofern der Pilotkunde die Entra-ID-Anmeldung aktiviert hat, erfolgt die Authentifizierung über den Azure-AD-Tenant des Pilotkunden. Die dabei verarbeiteten Daten (Name, E-Mail, Nutzer-ID) unterliegen zusätzlich der Datenschutzerklärung des jeweiligen Unternehmens.
5. Datenspeicherung und Löschung
Personenbezogene Daten werden gespeichert, solange das Nutzerkonto aktiv ist oder der Zweck der Verarbeitung dies erfordert, längstens jedoch für die gesetzlich vorgeschriebenen Aufbewahrungsfristen.
Nutzer können ihr Konto jederzeit selbst löschen (Funktion im Konto-Bereich). Das Konto wird dabei zunächst deaktiviert (kein weiterer Login möglich); Audit-Log-Einträge werden anonymisiert, sodass der Revisionspfad erhalten bleibt ohne Rückschluss auf die Person.
Workspace-Administratoren können den gesamten Workspace inklusive aller enthaltenen Daten unwiderruflich löschen.
6. Datensicherheit
Wir setzen folgende technische und organisatorische Maßnahmen ein:
- Verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen
- Mandantentrennung auf Datenbankebene durch Row-Level Security (PostgreSQL)
- Passwörter werden ausschließlich als bcrypt-Hash gespeichert
- Zugriffsschutz durch signierte JWT-Tokens mit kurzer Laufzeit
- Alle Azure-Ressourcen laufen in einer dedizierten Resource Group mit eingeschränkten Zugriffsrechten
- Kostenüberwachung und Budgetalerts zur Erkennung von Missbrauch
7. Ihre Rechte als betroffene Person
Nach der DSGVO stehen Ihnen folgende Rechte zu:
- Auskunft (Art. 15 DSGVO): Welche Daten wir über Sie gespeichert haben
- Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten
- Löschung (Art. 17 DSGVO): Löschung Ihrer Daten
- Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
- Datenübertragbarkeit (Art. 20 DSGVO): Herausgabe Ihrer Daten in maschinenlesbarem Format
- Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen
- Beschwerde: Beschwerde bei einer Aufsichtsbehörde, zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Brandenburg
Zur Ausübung Ihrer Rechte wenden Sie sich an: info@schlockdigital.com
8. Keine automatisierte Entscheidungsfindung
Die Plattform verwendet KI-Modelle ausschließlich zur Unterstützung menschlicher Entscheidungen. Alle KI-generierten Ergebnisse müssen vor ihrer Verwendung durch einen Menschen bestätigt werden (Human-in-the-loop). Es findet keine vollständig automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt.
Diese Datenschutzerklärung ist eine vorläufige Fassung für die Pilotphase und wurde noch nicht abschließend juristisch geprüft. Sie wird vor Aufnahme des regulären Betriebs mit Kundendaten aktualisiert.