Datenschutzerklärung
für die Plattform CONSULTSUITE.de · Stand: 4. Oktober 2026
- Verantwortlicher
- Rollen: wofür wir verantwortlich sind und wofür der Kunde
- Verarbeitungen im Einzelnen
- Empfänger und Auftragsverarbeiter
- Verarbeitung außerhalb der Europäischen Union
- Speicherdauer
- Ihre Rechte
- Pflicht zur Bereitstellung, automatisierte Entscheidungen
- Datensicherheit
- Änderungen dieser Erklärung
1. Verantwortlicher
Verantwortlich für die in dieser Erklärung beschriebenen Verarbeitungen ist:
Inhaber: Stefan Rütter
Wormser Straße 21a, 55130 Mainz, Deutschland
E-Mail: kontakt@consultsuite.de
Umsatzsteuer-Identifikationsnummer: DE364255944
Ein Datenschutzbeauftragter ist nicht bestellt.
2. Rollen: wofür wir verantwortlich sind und wofür der Kunde
Die Plattform wird von Unternehmen genutzt. Dabei sind zwei Arten von Daten zu unterscheiden, für die unterschiedliche Stellen verantwortlich sind.
Daten, für die wir verantwortlich sind
Alles, was für den Betrieb der Plattform und die Abwicklung des Vertrages nötig ist: Zugangsdaten der Nutzerkonten, technische Protokolle, Angaben zur Nutzung und zum Verbrauch sowie die Kommunikation mit uns. Für diese Verarbeitungen gilt die vorliegende Erklärung.
Daten, für die der Kunde verantwortlich ist
Alle Inhalte, die Nutzer in die Plattform eingeben oder hochladen — Fragen, Dokumente, Gesprächsverläufe. Enthalten diese personenbezogene Daten, ist der Kunde dafür Verantwortlicher im Sinne der Datenschutz-Grundverordnung; wir verarbeiten sie in seinem Auftrag. Vor einer solchen Nutzung schließen wir mit dem Kunden einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Dieser geht den Regelungen dieser Erklärung vor.
Betroffene Personen, deren Daten ein Kunde eingibt, wenden sich für Auskunft oder Löschung an diesen Kunden. Wir leiten entsprechende Anfragen weiter.
3. Verarbeitungen im Einzelnen
3.1 Aufruf der Internetseiten
Beim Aufruf unserer Seiten verarbeitet der eingesetzte Rechenzentrumsdienstleister technische Zugriffsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge und Angaben zum verwendeten Browser. Diese Daten sind erforderlich, um die Seiten auszuliefern und den Betrieb abzusichern.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse liegt in der technischen Bereitstellung und der Abwehr von Angriffen.
3.2 Nutzerkonto und Anmeldung
Für die Nutzung der Plattform legen wir ein Konto an. Verarbeitet werden Name, E-Mail-Adresse, eine Nutzerkennung, das Passwort, die Rolle sowie die freigegebenen Arbeitsumgebungen. Fehlgeschlagene Anmeldeversuche werden gezählt, um Angriffe auf Zugänge zu erschweren.
Nach der Anmeldung speichert der Browser einen Nachweis über die bestehende Sitzung. Dieser ist für die Nutzung technisch erforderlich; ein Einsatz von Cookies zu Werbe- oder Analysezwecken findet nicht statt.
Hinterlegt ein Nutzer in den Einstellungen eine persönliche Anweisung (Angaben zu Rolle, Arbeitsgebiet oder gewünschter Form der Antworten), wird sie mit seinem Konto gespeichert und bei jeder Anfrage an den Anbieter des Sprachmodells übermittelt. Sie lässt sich jederzeit ändern, abschalten oder löschen.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, für die Absicherung der Zugänge zusätzlich Buchstabe f.
3.3 Arbeit mit den Beratern
Eingaben, hochgeladene Dokumente und der bisherige Gesprächsverlauf werden zur Erzeugung einer Antwort an den für die jeweilige Arbeitsumgebung hinterlegten Anbieter von Sprachmodellen übermittelt. Welche Anbieter das sind, steht in Abschnitt 4 und 5; der geltende Verarbeitungsmodus ist in der Anwendung sichtbar.
Ihre Gespräche bleiben in Ihrem Browser. Auf unserem Server liegt nur, was Sie ausdrücklich speichern oder was ohne Ihr Zutun läuft, etwa wiederkehrende Termine – und das verschlüsselt. Ausgenommen sind Stichpunkte aus Rückmeldungen an einen Berater: Sie werden Teil seines Profils und bleiben ohne Ihren Namen lesbar. Hochgeladene Dokumente löschen wir nach 24 Stunden ohne Nutzung. Zur Beantwortung geht Ihre Frage an den Anbieter von Sprachmodellen Ihrer Arbeitsumgebung.
Das Archiv vergangener Meetings liegt im Speicher des jeweiligen Browsers und damit im Verantwortungsbereich des Nutzers.
Darüber hinaus werden auf unseren Servern gespeichert:
- Hochgeladene Dokumente für die Dauer der Bearbeitung in einem Zwischenspeicher.
- Dauerhaft angeheftete Dokumente, die der Nutzer einer Arbeitsumgebung zuordnet, damit sie in jedem Gespräch zur Verfügung stehen.
- Protokolle und Zusammenfassungen wiederkehrender Termine, damit an den vorherigen Stand angeknüpft werden kann.
- Stichpunkte aus Rückmeldungen, die ein Nutzer einem Berater gibt. Sie werden im Profil des Beraters gespeichert und wirken in künftigen Gesprächen fort. Der Nutzer kann sie in der Anwendung einsehen und einzeln entfernen.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO; enthalten die Eingaben personenbezogene Daten Dritter, gelten die Regelungen zur Auftragsverarbeitung nach Abschnitt 2.
3.3a Notizen vom Foto
In Arbeitsumgebungen im Enterprise-Modus können Nutzer Fotos handschriftlicher Notizen in Text umwandeln lassen. Verarbeitet wird das Foto mit den darauf erkennbaren Inhalten, auch mit Namen und Aussagen einzelner Personen. Das Foto wird dazu an den für die Arbeitsumgebung gewählten Anbieter übermittelt, Google oder OpenAI, beide mit Sitz in den Vereinigten Staaten. Für die Übermittlung in ein Drittland gilt Abschnitt 5, für die Verarbeitung beim Anbieter gelten die Abschnitte 4 und 5. In Arbeitsumgebungen mit europäischer Verarbeitung steht die Funktion nicht zur Verfügung.
Auf unseren Servern wird das Foto nicht gespeichert. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO; enthält das Foto personenbezogene Daten Dritter, gelten die Regelungen zur Auftragsverarbeitung nach Abschnitt 2.
3.4 Recherche im Internet
Die Berater können eine Websuche durchführen. Dabei verlässt die Suchanfrage das System: Sie wird an den jeweiligen Anbieter und von dort an eine Suchmaschine übermittelt und kann dort gespeichert werden. Das gilt auch in Arbeitsumgebungen mit europäischer Verarbeitung — das Sprachmodell bleibt dort in der Europäischen Union, die Suchanfrage selbst ist für die Suchmaschine sichtbar.
Die Recherche lässt sich in der Anwendung abschalten. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.
3.5 E-Mail-Entwürfe und Versand
Die Plattform versendet keine E-Mails selbsttätig. Ein Berater kann einen Entwurf oder Textvorschlag vorbereiten. Versendet wird nur nach ausdrücklicher Freigabe durch einen Nutzer, und zwar allein der Text, den der Nutzer freigegeben hat. Für wiederkehrende Termine kann ein automatischer Versand an zuvor freigegebene Adressen aktiviert werden; diese Funktion ist standardmäßig ausgeschaltet.
Über jeden Versand und jeden gescheiterten Versandversuch führen wir einen Nachweis. Er enthält Zeitpunkt, Arbeitsumgebung, Absender, Empfänger, Betreff, wer den Versand freigegeben oder den automatischen Versand eingerichtet hat, und bei einem Fehlschlag den Grund — nicht den Inhalt der Nachricht. Der Nachweis dient dazu, gegenüber dem Kunden nachvollziehbar zu halten, was an wen versendet wurde, und Auskünfte nach Artikel 15 DSGVO zu erteilen.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, für den Nachweis zusätzlich Buchstabe f — unser berechtigtes Interesse liegt darin, nachvollziehbar zu halten, wer einen Versand veranlasst hat.
3.6 Verbrauchs- und Kostenaufzeichnung
Jede Antwort eines Beraters wird mit Zeitpunkt, Arbeitsumgebung, Nutzerkennung, verwendetem Modell, Leistungsstufe, Anzahl der verarbeiteten Token und den angefallenen Kosten aufgezeichnet. Ebenfalls festgehalten werden der Mandant, der beteiligte Berater, die Art des Aufrufs, ob eine Recherche stattfand, wie viele Fundstellen sie ergab und wie lange die Antwort gedauert hat. Diese Aufzeichnung ist die Grundlage für die Abrechnung der vereinbarten Verrechnungseinheiten und für die Beantwortung von Rückfragen zu Rechnungen.
Inhalte werden dabei nicht gespeichert. Die Aufzeichnung enthält weder Fragen noch Antworten noch Auszüge daraus.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO sowie Buchstabe c in Verbindung mit den handels- und steuerrechtlichen Aufzeichnungspflichten.
3.7 Technische Protokolle und Sicherungen
Für den Betrieb führen wir technische Protokolle, aus denen sich Störungen nachvollziehen lassen. Sie enthalten Zeitpunkte, aufgerufene Funktionen, Fehlermeldungen, Nutzerkennungen und in Einzelfällen gekürzte E-Mail-Adressen; Zugangsdaten und Schlüssel werden vor dem Schreiben unkenntlich gemacht.
Werden Einstellungen der Plattform geändert, halten wir fest, wer wann welche Datei geändert hat, und legen die vorherige Fassung als Sicherung ab. Das dient der Nachvollziehbarkeit und der Wiederherstellung im Fehlerfall.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse liegt im sicheren und nachvollziehbaren Betrieb.
3.8 Kontaktaufnahme
Wenden Sie sich per E-Mail an uns, verarbeiten wir Ihre Angaben zur Bearbeitung des Anliegens. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO bei vertragsbezogenen Anfragen, sonst Buchstabe f.
4. Empfänger und Auftragsverarbeiter
Wir geben personenbezogene Daten nur weiter, soweit das für die Erbringung der Leistung erforderlich ist oder eine gesetzliche Pflicht besteht. Eingesetzt werden folgende Kategorien von Dienstleistern:
| Kategorie | Zweck | Sitz |
|---|---|---|
| Anbieter von Sprachmodellen | Erzeugung der Antworten | Europäische Union; in Arbeitsumgebungen im Enterprise-Modus zusätzlich Vereinigte Staaten |
| Suchdienste | Recherche, mittelbar über die Anbieter der Sprachmodelle | abhängig vom jeweiligen Anbieter |
| Rechenzentrums- und Hostingdienstleister | Betrieb der Server | Deutschland |
| Geodatendienst | Suche nach Betrieben im Branchen-Radar | Europäische Union (Zypern) |
| E-Mail-Dienstleister | Versand freigegebener Nachrichten | Deutschland |
| Steuerberatung, Rechtsberatung, Zahlungsdienstleister | Abrechnung und Erfüllung gesetzlicher Pflichten | Europäische Union |
Derzeit werden in Arbeitsumgebungen mit europäischer Verarbeitung Modelle von Mistral AI (Frankreich) eingesetzt, im Enterprise-Modus zusätzlich Modelle von Anthropic, OpenAI, Google und xAI. Den jeweils aktuellen Stand der eingesetzten Auftragsverarbeiter teilen wir auf Anfrage mit. Mit allen eingesetzten Dienstleistern bestehen Verträge zur Auftragsverarbeitung, soweit sie personenbezogene Daten in unserem Auftrag verarbeiten.
Den Geodatendienst betreibt die KEPTAGO LTD, Paphos, Zypern, unter dem Namen Geoapify. Die Anfrage stellt unser Server; übermittelt werden nur Ort und Branche, keine Daten von Nutzern. Soweit die Ergebnisse personenbezogene Daten enthalten, ist Rechtsgrundlage Artikel 6 Absatz 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist das Auffinden öffentlich verzeichneter Betriebe.
5. Verarbeitung außerhalb der Europäischen Union
Arbeitsumgebungen mit europäischer Verarbeitung — die Voreinstellung für Kundenmandate — übermitteln Eingaben, Dokumente und Gesprächsverläufe ausschließlich an einen Anbieter mit Sitz und Rechenzentren in der Europäischen Union. Eine Übermittlung in ein Drittland findet dabei nicht statt. Ist für eine solche Arbeitsumgebung versehentlich ein anderes Modell hinterlegt, verweigert das System die Verarbeitung, statt auf einen anderen Anbieter auszuweichen.
Arbeitsumgebungen im Enterprise-Modus nutzen zusätzlich Anbieter mit Sitz in den Vereinigten Staaten. Hier ist eine Übermittlung personenbezogener Daten in ein Drittland möglich. Die Übermittlung wird auf einen Angemessenheitsbeschluss der Europäischen Kommission nach Artikel 45 DSGVO gestützt, soweit der jeweilige Anbieter entsprechend zertifiziert ist, im Übrigen auf Standardvertragsklauseln nach Artikel 46 DSGVO. Welcher Modus für eine Arbeitsumgebung gilt, ist in der Anwendung sichtbar und wird im Angebot benannt.
Hinweis zum Zugriff durch Behörden in Drittländern
Unternehmen, die dem Recht der Vereinigten Staaten unterliegen, können nach dortigen Vorschriften — insbesondere dem Clarifying Lawful Overseas Use of Data Act — zur Herausgabe von Daten verpflichtet werden. Das kann unabhängig davon gelten, in welchem Land die Daten gespeichert sind. Ein solcher Zugriff lässt sich durch vertragliche Vereinbarungen nicht vollständig ausschließen.
Der Angemessenheitsbeschluss für die Vereinigten Staaten ist zum Stand dieser Erklärung in Kraft. Er wird derzeit gerichtlich überprüft; ein Rechtsmittel ist beim Gerichtshof der Europäischen Union anhängig. Sollte die Grundlage entfallen, prüfen wir die betroffenen Übermittlungen erneut und informieren betroffene Kunden.
Wer diese Übermittlung vermeiden möchte, nutzt eine Arbeitsumgebung mit europäischer Verarbeitung. Dort findet keine Drittlandübermittlung statt.
6. Speicherdauer
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten es verlangen.
| Daten | Dauer |
|---|---|
| Nutzerkonto und Zugangsdaten | Für die Dauer der Vertragsbeziehung. Nach Vertragsende werden die Daten gelöscht, soweit keine Aufbewahrungspflicht entgegensteht. |
| Gesprächsverläufe | Nur für die Dauer der Sitzung im Arbeitsspeicher. Das Archiv im Browser löscht der Nutzer selbst. |
| Hochgeladene Dokumente | Für die Dauer der Bearbeitung. Dauerhaft angeheftete Dokumente bleiben, bis der Nutzer sie entfernt oder die Arbeitsumgebung endet. |
| Protokolle wiederkehrender Termine | Solange die Terminserie besteht. Mit ihrer Löschung entfällt auch der gespeicherte Stand. |
| Stichpunkte aus Rückmeldungen | Bis der Nutzer sie entfernt oder der Berater aus der Arbeitsumgebung genommen wird. |
| E-Mail-Entwürfe | Bis zur Freigabe oder zum Verwerfen. |
| Nachweis über versandte Nachrichten | Für die Dauer der Vertragsbeziehung und darüber hinaus, soweit gesetzliche Aufbewahrungspflichten bestehen. |
| Verbrauchs- und Kostenaufzeichnung | Für die Dauer der Vertragsbeziehung und darüber hinaus, solange sie für die Abrechnung, für Rückfragen zu Rechnungen oder zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten benötigt wird. |
| Technische Protokolle zur Fehlersuche | Sie werden fortlaufend überschrieben, sobald ein festgelegter Umfang erreicht ist, und dienen ausschließlich der Fehlersuche. |
| Aufzeichnung geänderter Einstellungen | Für die Dauer der Vertragsbeziehung, wie die Sicherungen von Einstellungen. |
| Sicherungen von Einstellungen | Für die Dauer der Vertragsbeziehung, längstens bis sie für eine Wiederherstellung nicht mehr benötigt werden. |
| Kontaktanfragen | Bis das Anliegen abschließend bearbeitet ist, danach im Rahmen gesetzlicher Aufbewahrungsfristen. |
Für Daten, die wir im Auftrag eines Kunden verarbeiten, gelten vorrangig die Regelungen des jeweiligen Vertrages zur Auftragsverarbeitung.
7. Ihre Rechte
Sie haben uns gegenüber folgende Rechte:
- Auskunft darüber, ob und welche Daten wir zu Ihnen verarbeiten (Artikel 15 DSGVO)
- Berichtigung unrichtiger oder unvollständiger Daten (Artikel 16 DSGVO)
- Löschung, soweit keine Aufbewahrungspflicht oder ein anderer Grund entgegensteht (Artikel 17 DSGVO)
- Einschränkung der Verarbeitung (Artikel 18 DSGVO)
- Datenübertragbarkeit für Daten, die Sie uns bereitgestellt haben (Artikel 20 DSGVO)
- Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Artikel 21 DSGVO)
Zur Ausübung genügt eine formlose Nachricht an kontakt@consultsuite.de.
Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Artikel 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz in Mainz.
8. Pflicht zur Bereitstellung, automatisierte Entscheidungen
Die Angabe von Name und E-Mail-Adresse ist erforderlich, um ein Nutzerkonto einzurichten und die vertraglich vereinbarte Leistung zu erbringen. Ohne diese Angaben ist eine Nutzung der Plattform nicht möglich. Eine darüber hinausgehende Verpflichtung zur Bereitstellung von Daten besteht nicht.
Eine automatisierte Entscheidungsfindung einschließlich Profilbildung, die gegenüber betroffenen Personen rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Artikel 22 DSGVO), findet nicht statt. Die von der Plattform erzeugten Texte und Auswertungen dienen der Vorbereitung von Entscheidungen, die Menschen treffen.
9. Datensicherheit
Die Übertragung zwischen Ihrem Browser und unseren Servern erfolgt verschlüsselt. Der Zugriff auf die Plattform setzt eine Anmeldung voraus; jeder Nutzer sieht ausschließlich die für ihn freigegebenen Arbeitsumgebungen. Der Zugriff auf die Systeme ist auf den Betreiber beschränkt. Wir treffen technische und organisatorische Maßnahmen, um die Daten gegen Verlust, Veränderung und unbefugten Zugriff zu schützen, und passen diese dem Stand der Technik an.
10. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich die beschriebenen Verarbeitungen, die eingesetzten Dienstleister oder die rechtlichen Anforderungen ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum steht am Anfang des Dokuments.