Datenschutz in der NURIS-Plattform

Die Bebor GmbH verarbeitet Daten in der NURIS-Plattform in unterschiedlichen Rollen — je nachdem, wer über Zweck und Mittel entscheidet: (1) Als Verantwortlicher für eigene Zwecke verarbeiten wir: das Vertragsverhältnis mit den Kundenbetrieben (Ansprechpartner, Vertragsdaten, Abrechnung), unsere eigenen Betreiber- und Administratorkonten sowie die Sicherheit unserer eigenen Infrastruktur (Fehler-Monitoring, Missbrauchserkennung). Auch die Bebor GmbH nutzt NURIS intern — dieser Eigenbetrieb ist interne Verarbeitung, nicht Gegenstand eines Auftragsverarbeitungsvertrags mit uns selbst. (2) Als Auftragsverarbeiter (Art. 28 DSGVO) verarbeiten wir die Fachdaten des jeweiligen Kundenbetriebs: Beschäftigte, Klient:innen, Dienste, Connect-Inhalte und die Einrichtung der Mandantenkonten. Das umfasst auch den technischen Betrieb und Support der Fachdaten — er erfolgt auf Grundlage des Auftragsverarbeitungsvertrags und dokumentierter Weisungen, nicht als eigener Zweck. Für diese Daten bleibt Ihr Betrieb verantwortlich.

• Vertragsverhältnis mit Kundenbetrieben: Ansprechpartner (Name, Funktion, berufliche Kontaktdaten), Vertrags- und Abrechnungsdaten. • Betreiber- und Administratorkonten unserer eigenen Organisation: Name, E-Mail, Rolle, Anmeldedaten. • Sicherheits- und Auditprotokolle unserer Plattformverwaltung: Verwaltungszugriffe und sicherheitsrelevante Ereignisse (Anmeldungen, Token-Ausstellung und -Entzug) zur Missbrauchserkennung und Nachvollziehbarkeit. • Fehler-Monitoring: technische Fehlerberichte (Stacktraces, Request-Metadaten) zur Stabilität der Plattform.

• Vertragserfüllung und Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO): Vertragsverhältnis mit eigenen Vertragspartnern und Bearbeitung von Demo-/Kontaktanfragen. • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Kommunikation mit Ansprechpartnern unserer juristischen Kunden im Vertragsverhältnis sowie Sicherheit und Stabilität unserer Infrastruktur (Protokolle, Fehler-Monitoring) — unser Interesse liegt in Integrität und Vertraulichkeit der Systeme. • Gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO): steuer- und handelsrechtliche Aufbewahrung von Vertrags- und Abrechnungsunterlagen. • Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): nur dort, wo sie freiwillig erteilt wird — etwa für Werbung.

Für den Betrieb setzen wir Dienstleister ein: Hosting, E-Mail-Betrieb und KI-Dienste bei Mittwald (Deutschland); Zustellung von Push-Benachrichtigungen über Google Firebase Cloud Messaging, Apple Push Notification Service und Browser-Push-Dienste; Fehler-Monitoring über Sentry. Welche juristische Vertragspartei und welche Transfergrundlage je Dienst gilt, prüfen wir derzeit vertragsseitig; bei den Push-Zustelldiensten kann eine Verarbeitung in Drittländern (u. a. USA) nicht ausgeschlossen werden — übertragen wird ausschließlich ein neutralisierter Hinweis ohne Namen oder Inhalte. Die verbindliche Dienstleisterliste ist Anlage zum Auftragsverarbeitungsvertrag Ihres Betriebs.

Die Dauer richtet sich nach der Datenklasse: • Vertrags- und Abrechnungsdaten: gesetzliche Aufbewahrungsfristen (in der Regel 6 bis 10 Jahre ab Vertragsende). • Sicherheits- und Support-Protokolle: Fristbeginn ist das Ende des jeweiligen Vorgangs; Kriterien sind Nachweis- und Rechtfertigungsfunktion sowie Missbrauchserkennung. Die konkrete Dauer je Protokollklasse wird im Löschkonzept festgelegt und hier nach Freigabe benannt. • Demo-/Kontaktanfragen über die Website: siehe Datenschutzerklärung Website und Kontakt — Formularinhalte werden unmittelbar nach erfolgreicher E-Mail-Übermittlung gelöscht. • Fachdaten Ihres Betriebs (Auftragsverarbeitung): die Aufbewahrungsfristen legt Ihr Betrieb als Verantwortlicher fest; wir setzen sie weisungsgebunden um. Ihre Rechte und den richtigen Ansprechpartner finden Sie unter „Meine Rechte und Datenschutzkontakt".