Datenschutzerklärung
Stand: November 2026
1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:
Philip van AppeldornGeschäftsbezeichnung: FutureRoots (Einzelunternehmen)
Kaßstraße 54
46446 Emmerich am Rhein
E-Mail (allgemeine Anfragen): philip@ksklar.de
E-Mail (Datenschutzanfragen): datenschutz@ksklar.de
Für Anfragen zu Ihren Betroffenenrechten (Art. 15–22 DSGVO, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit oder Widerspruch) nutzen Sie bitte bevorzugt datenschutz@ksklar.de.
Datenschutzbeauftragter: Ein Datenschutzbeauftragter wurde nicht benannt, da die gesetzlichen Schwellenwerte gemäß § 38 BDSG (≥ 20 Personen, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind) und Art. 37 Abs. 1 DSGVO (Kerntätigkeit mit umfangreicher regelmäßiger systematischer Überwachung oder umfangreicher Verarbeitung besonderer Kategorien) nicht erreicht sind. Datenschutzanfragen richten Sie bitte an datenschutz@ksklar.de.
2. Übersicht der Verarbeitungen
KSKlar ist eine B2B-SaaS-Lösung zur automatisierten Künstlersozialabgabe-Compliance. Im Rahmen der Nutzung unseres Dienstes verarbeiten wir personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Anwendung sowie unserer Inhalte und Leistungen erforderlich ist.
| Zweck | Rechtsgrundlage |
|---|---|
| Bereitstellung der Webanwendung | Art. 6 Abs. 1 lit. b DSGVO |
| Authentifizierung und Session-Management | Art. 6 Abs. 1 lit. b DSGVO |
| Registrierung und Unternehmensdaten (lit. f: Rolle im Unternehmen sowie freiwillige Angaben zu Unternehmensgröße und Geschäftszweig) | Art. 6 Abs. 1 lit. b DSGVO (lit. f) |
| KI-gestützte Rechnungsklassifikation | Art. 6 Abs. 1 lit. a DSGVO |
| E-Mail-Versand (Transaktions-Mails) | Art. 6 Abs. 1 lit. b DSGVO |
| Zahlungsabwicklung | Art. 6 Abs. 1 lit. b DSGVO |
| Webanalyse (cookieless) | Art. 6 Abs. 1 lit. f DSGVO |
| Zugriffsprotokoll des Reverse-Proxys und Auswertung von Abrufen durch Suchmaschinen und KI-Dienste | Art. 6 Abs. 1 lit. f DSGVO |
| Befragungs-E-Mails Beta | Art. 6 Abs. 1 lit. a bzw. lit. f DSGVO, Widerruf und Widerspruch jederzeit |
| Umfrage (Marktforschung) | Art. 6 Abs. 1 lit. a DSGVO |
| Kurzcheck-Newsletter (Double-Opt-in) | Art. 6 Abs. 1 lit. a DSGVO |
| KSK-Pflicht-Check: Ergebnis als PDF per E-Mail (Double-Opt-in) | Art. 6 Abs. 1 lit. a DSGVO |
| Unternehmensauftritte in sozialen Netzwerken | Art. 6 Abs. 1 lit. f DSGVO |
| Aufbewahrung steuerrelevanter Daten | Art. 6 Abs. 1 lit. c DSGVO |
3. Hosting und Infrastruktur
Unsere gesamte Infrastruktur wird bei der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Dies umfasst:
- Die Webanwendung auf einem Hetzner CX23 VPS (Standort: Nürnberg, Deutschland)
- Den Automatisierungsdienst n8n (Ausführung automatisierter Abläufe) auf einem Hetzner CX33 VPS (Standort: Nürnberg, Deutschland)
- Die PostgreSQL-Datenbank für sämtliche Geschäftsdaten auf dem Hetzner CX33 VPS (Standort: Nürnberg, Deutschland)
- SeaweedFS als S3-kompatibler Dateispeicher für hochgeladene Rechnungsdokumente auf dem Hetzner CX33 VPS (Standort: Nürnberg, Deutschland)
Webanwendung, Automatisierungsdienst, Datenbank und Dateispeicher betreiben wir auf Servern in Deutschland. Für das Hosting findet kein Drittlandtransfer statt. Weitere Empfänger wie Mistral AI, Brevo und Mollie nennen wir in den folgenden Abschnitten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren Bereitstellung). Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist mit Hetzner abgeschlossen.
Server- und Anwendungsprotokolle: Beim Betrieb der Webanwendung schreibt die Anwendung Protokolle in die Standardausgabe ihres Containers. Diese Protokolle können zusätzlich in einem Protokolldienst auf unseren eigenen Servern in Deutschland zusammengeführt werden. Ein Eintrag enthält in der Regel den Zeitpunkt, den Schweregrad, eine Ereignisbezeichnung und technische Kennungen zum Vorgang, zum Beispiel Statuscodes oder interne IDs. Bei Fehlern kann er zusätzlich die Fehlermeldung eines beteiligten Dienstes enthalten. E-Mail-Adressen nehmen wir nur als Hash-Wert auf, nicht im Klartext. Zweck der Protokolle sind die Betriebssicherheit und die Analyse von Fehlern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und störungsfreien Betrieb). Die Protokolle werden automatisch spätestens nach 30 Tagen gelöscht. Für das Zugriffsprotokoll des vorgeschalteten Reverse-Proxys gelten die kürzeren Fristen der folgenden Absätze.
Zugriffsprotokoll des Reverse-Proxys: Alle Abrufe der Dienste auf dem Hetzner CX23 VPS, darunter unsere Website ksklar.de, laufen über einen vorgeschalteten Reverse-Proxy. Dieser schreibt zu jedem Abruf einen Eintrag in eine Protokolldatei auf demselben Server. Ein Eintrag enthält den Zeitpunkt, die IP-Adresse des abrufenden Geräts mit Portnummer, den aufgerufenen Hostnamen, die Anfragemethode, den aufgerufenen Pfad einschließlich eventueller Parameter in der Adresse, den Statuscode der Antwort, die interne Bezeichnung der zuständigen Weiterleitungsregel und die vom Browser übermittelte Kennung (User-Agent). Die zuvor besuchte Seite (Referrer) sowie Cookies und Anmeldeinformationen aus den Kopfzeilen der Anfrage werden nicht protokolliert. Enthält die aufgerufene Adresse einmalige Bestätigungscodes, etwa in Links zur Bestätigung Ihrer E-Mail-Adresse oder zum Zurücksetzen Ihres Passworts, stehen diese Codes bis zur täglichen Löschung in der Datei. Die Datei wird einmal täglich gelöscht; ein Eintrag bleibt dort also höchstens rund 24 Stunden erhalten.
Auswertung von Abrufen durch Suchmaschinen und KI-Dienste: Aus dieser Datei übermitteln wir über das private Netzwerk unserer Server nur Einträge zu ksklar.de und www.ksklar.de, deren Kennung einen bekannten Crawler einer Suchmaschine oder eines KI-Dienstes nennt (zum Beispiel GPTBot, ClaudeBot, PerplexityBot, Googlebot oder Bingbot), an unseren Protokolldienst auf dem Hetzner CX33 VPS. Alle übrigen Einträge, insbesondere Aufrufe mit einem gewöhnlichen Browser, werden schon auf dem CX23 verworfen und nicht übermittelt. Vor der Übermittlung entfernen wir die Parameter aus der Adresse. Bei Crawlern, deren Echtheit sich mangels offizieller Angaben des Anbieters nicht prüfen lässt, kürzen wir außerdem die IP-Adresse (bei IPv4 auf die ersten drei Blöcke, bei IPv6 auf die ersten 48 Bit). Bei den übrigen Crawlern bleibt die IP-Adresse vollständig erhalten, weil die Echtheitsprüfung sie benötigt. Im Protokolldienst werden diese Einträge spätestens nach 8 Tagen automatisch gelöscht.
Einmal wöchentlich werten wir diese Einträge aus. Dabei prüfen wir, ob die IP-Adresse in den vom jeweiligen Anbieter veröffentlichten Adresslisten steht. Gibt sich ein Zugriff als Crawler aus und steht die IP-Adresse nicht in der vom Anbieter veröffentlichten Liste, werten wir ihn als nicht bestätigt. Die IP-Adressen geben wir dabei nicht an Dritte weiter; die Adresslisten laden wir bei den Anbietern herunter. Die Auswertung kann auch Besucher betreffen, die eine Crawler-Kennung nur vortäuschen. Ergebnis der Auswertung sind zusammengefasste Zählungen je Crawler, Seite und Statuscode ohne IP-Adresse und ohne Browserkennung.
Zweck ist, zu erkennen, welche Suchmaschinen und KI-Dienste unsere Seiten abrufen und ob diese Abrufe gelingen, sowie Abrufe mit gefälschter Crawler-Kennung zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Auffindbarkeit unserer Inhalte in Suchmaschinen und KI-Diensten sowie in einem sicheren Betrieb. Ihre Interessen berücksichtigen wir, indem Aufrufe mit einem gewöhnlichen Browser nur in der täglich gelöschten Datei stehen und nicht ausgewertet werden, wir Einträge zu Crawlern nur ohne Parameter und höchstens 8 Tage aufbewahren und die Auswertung keine IP-Adressen enthält. Empfänger ist die Hetzner Online GmbH als Auftragsverarbeiter (siehe oben).
Widerspruchsrecht: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die in den vorstehenden Absätzen beschriebene Verarbeitung Widerspruch einzulegen (Art. 21 Abs. 1 DSGVO). Wir verarbeiten die betroffenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Ihren Widerspruch können Sie formlos an datenschutz@ksklar.de richten (siehe auch Abschnitt 15).
4. Authentifizierung
Die Authentifizierung erfolgt über Better Auth, eine self-hosted Open-Source-Authentifizierungslösung. Die gesamte Authentifizierungslogik läuft auf unserer eigenen Infrastruktur bei Hetzner. Es werden keine Daten an Drittanbieter-Auth-Dienste übermittelt.
Bei der Anmeldung setzen wir ein Session-Cookie (httpOnly, secure, sameSite=lax). Es endet spätestens mit dem Logout oder nach diesen Fristen: Haben Sie bei der Anmeldung „Angemeldet bleiben“ gewählt, läuft Ihre Sitzung spätestens 7 Tage nach der letzten Nutzung ab. Ohne „Angemeldet bleiben“ endet die Sitzung mit dem Schließen des Browsers, spätestens aber 24 Stunden nach der Anmeldung, auch wenn Ihr Browser die Sitzung nach einem Neustart wiederherstellt. Weitere Cookies rund um die Anmeldung (etwa wenn Sie „Angemeldet bleiben“ nicht wählen oder die Zwei-Faktor-Authentifizierung nutzen) nennt Abschnitt 12. Gegen Cross-Site Request Forgery schützen uns die Einstellung sameSite=lax des Session-Cookies und eine Prüfung der Herkunft von Anfragen bei der Anmeldung; ein eigenes Cookie ist dafür nicht nötig.
Passwörter werden ausschließlich als kryptographische Hashes gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
4a. Registrierung und Unternehmensdaten
Bei der Registrierung verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Passwort (nur als Hash, siehe Abschnitt 4) und Ihre Rolle im Unternehmen. Die Rolle wählen Sie aus einer festen Liste (Geschäftsführung/Inhaber, Buchhaltung/Finanzen, Marketing/Kommunikation, Steuerberatung (extern), Sonstiges). Alle diese Angaben sind Pflichtangaben. Name, E-Mail-Adresse und Passwort benötigen wir, um Ihr Konto anzulegen und Sie Ihrer Organisation zuzuordnen (Art. 6 Abs. 1 lit. b DSGVO). Ihre Rolle im Unternehmen nutzen wir, um Support-Anfragen richtig einzuordnen und KSKlar für die Aufgaben unserer Nutzer weiterzuentwickeln. Schreiben Sie uns von der E-Mail-Adresse Ihres Kontos, sehen wir Ihre Rolle zusammen mit Ihrer Anfrage. Für die Weiterentwicklung werten wir die Rollen nur zusammengefasst aus, als Anzahl der Konten je Rolle. Rechtsgrundlage ist unser berechtigtes Interesse, Anfragen passend zu beantworten und unser Angebot an den Aufgaben unserer Nutzer auszurichten (Art. 6 Abs. 1 lit. f DSGVO). Ihre Rolle können Sie jederzeit in den Einstellungen unter Profil berichtigen. Wer über eine Einladung einem bestehenden Team beitritt, gibt nur diese Angaben an, keine Unternehmensdaten.
Unmittelbar nach der Registrierung fragen wir die Person, die eine neue Organisation anlegt, vor der ersten Nutzung nach den Unternehmensdaten. Pflichtangaben sind Firmenname, Rechtsform und Geschäftsadresse (Straße und Hausnummer, Postleitzahl, Ort, Land). Ohne abweichende Angabe verwenden wir Firmenname und Geschäftsadresse zugleich als Rechnungsadresse; geben Sie an, dass die Rechnungsadresse abweicht, ist diese Pflichtangabe. Freiwillig sind die Umsatzsteuer-Identifikationsnummer, die KSK-Abgabe- oder Mitgliedsnummer, die Unternehmensgröße und der Geschäftszweig.
Zwecke und Rechtsgrundlagen: Die Pflichtangaben sowie Umsatzsteuer-Identifikationsnummer und KSK-Nummer verarbeiten wir zur Durchführung des Vertrags, insbesondere zur Führung Ihres Kontos und zur Rechnungsstellung (Art. 6 Abs. 1 lit. b DSGVO); für die Angaben auf ausgestellten Rechnungen gelten zusätzlich die steuerlichen Pflichten (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14 UStG). Unternehmensgröße und Geschäftszweig sind freiwillig. Wir nutzen sie, um KSKlar auf die Unternehmen auszurichten, die es einsetzen (Produktverbesserung), und werten sie nur zusammengefasst aus. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Sie können beide Angaben jederzeit in den Einstellungen unter Unternehmen ändern oder auf „Keine Angabe“ setzen.
Empfänger und Speicherdauer: Die Angaben liegen in unserer Datenbank bei Hetzner (Abschnitt 3); wir geben sie nicht an Dritte weiter. Sie bleiben gespeichert, solange Ihr Konto beziehungsweise Ihre Organisation besteht. Mit der Löschung entfernen wir Ihre Rolle, die Unternehmensdaten und die Rechnungsadresse; die Anschrift auf bereits ausgestellten Rechnungen bewahren wir für die gesetzlichen Fristen auf (Abschnitt 13).
5. KI-gestützte Klassifikation (Mistral AI)
Zur automatischen Erkennung und Klassifikation von KSK-pflichtigen Rechnungen setzen wir Mistral AI (Paris, Frankreich) ein. Mistral AI ist ein EU-Unternehmen; es findet kein Drittlandtransfer statt. Mistral AI verwendet Ihre Daten nicht für das Training ihrer KI-Modelle (vertraglich im Data-Processing-Agreement nach Art. 28 DSGVO zugesichert, entsprechende Workspace-Einstellung ist aktiviert) und speichert API-Anfragen gemäß Mistral-Datenschutzerklärung standardmäßig maximal 30 Tage (zur Missbrauchserkennung und Fehlerdiagnose, branchenüblicher Standard), anschließend automatische Löschung. Eine vertragliche Zero-Retention-Option (sofortige Löschung nach jeder Anfrage) ist bei Mistral nur über einen Enterprise-Vertrag verfügbar und als Upgrade-Pfad vorgesehen.
Dabei kommen zwei Modelle zum Einsatz:
- Mistral OCR (aktuelles Document-AI-Modell von Mistral AI): Extraktion von Textinhalten aus hochgeladenen Rechnungsdokumenten (PDF/Bilder)
- Mistral Large 3: KSK-Klassifikation der extrahierten Rechnungsdaten
Die Verarbeitung erfolgt in zwei getrennten Schritten mit unterschiedlichem Datenumfang. Wir benennen beide hier ausdrücklich, weil sich der Datenumfang in Schritt 1 (Texterkennung) wesentlich von Schritt 2 (Klassifikation) unterscheidet:
Schritt 1: Texterkennung (Mistral OCR)
Bei hochgeladenen PDF- oder Bild-Rechnungen wird das vollständige Dokument an Mistral OCR übertragen. Ohne Übermittlung des gesamten Dokuments wäre keine maschinelle Texterkennung möglich (technisch unvermeidbar für gescannte oder bildbasierte Rechnungen).
Verarbeitete Datenkategorien in Schritt 1: alle im hochgeladenen Dokument enthaltenen Daten, einschließlich Name und vollständige Adresse des Rechnungsstellers, IBAN, BIC, Bank-Name, Steuernummer, USt-IdNr, Telefonnummer, E-Mail-Adresse sowie Rechnungspositionen und Beträge.
Rückgabe aus Schritt 1: Mistral OCR liefert uns daraus ein strukturiertes Feld-Set zurück. Es umfasst die in Schritt 2 genannten Kategorien sowie zusätzlich die Stadt des Rechnungsstellers und die Rechnungsnummer. Das Whitelist-Schema begrenzt an dieser Stelle also nur die Rückgabe, nicht die Übertragung: Das Dokument selbst wird wie oben beschrieben vollständig übermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), eingeholt einmalig pro Organisation über den Consent-Dialog vor der ersten KI-Analyse. Empfänger: Mistral AI SAS, Paris, Frankreich (EU-Verarbeitung, kein Drittlandtransfer). Speicherdauer bei Mistral: max. 30 Tage zur Missbrauchserkennung gemäß Mistral Privacy Policy, anschließend automatische Löschung; vertraglich zugesicherter Trainings-Ausschluss („No Training“-Opt-out im Workspace, im Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO bestätigt). Eine technische Vor-Maskierung von IBAN, Steuernummer etc. vor dem OCR-Aufruf ist nach derzeitigem Stand der Technik nicht zuverlässig möglich, weil diese Felder im Bild noch nicht extrahiert sind. Wir prüfen den Wechsel auf Enterprise Zero Data Retention bei Mistral als technische Verschärfung (interne Roadmap „Zero-Retention-Upgrade“).
Schritt 2: KSK-Klassifikation (Mistral Large 3)
Für die eigentliche KSK-Klassifikation senden wir nicht das Originaldokument, sondern ein durch ein technisches Whitelist-Schema reduziertes Feld-Set an Mistral Large 3. Die Filterung wird auf unserem Server (Hetzner, Nürnberg/DE) vor dem API-Aufruf durchgesetzt (src/lib/schemas/invoice-data-guard.ts).
Verarbeitete Datenkategorien in Schritt 2:
- Name des Rechnungsstellers
- Rechnungsdatum
- Netto- und Bruttobetrag
- Leistungsbeschreibung
- Rechtsform des Rechnungsstellers
- Belegart: eine von vier festen Angaben (Rechnung, Abrechnungsgutschrift, Stornogutschrift, unklar)
- Sitz des Rechnungsstellers: eine von drei festen Angaben (Inland, Ausland, unbekannt)
Das sind abschließend alle Kategorien, die in Schritt 2 übermittelt werden. Das Whitelist-Schema erlaubt daneben zwar die Stadt des Rechnungsstellers und die Rechnungsnummer, beide werden jedoch nicht befüllt und damit nie an die Klassifikations-KI gesendet.
Zu Belegart und Sitz: Diese beiden Angaben sind keine Inhalte aus Ihrer Rechnung, sondern Einstufungen. Sie entstehen in Schritt 1 aus dem Gesamtdokument und werden dort auf einen von vier beziehungsweise drei festen Werten reduziert. An die Klassifikations-KI geht nur dieser Wert, nicht die Angaben, aus denen er gebildet wurde: Anschrift, Länderkennzeichen, IBAN und Währung werden dabei nicht übermittelt. Die Einstufung „Ausland“ sagt also, dass ein Auslandsbezug vorliegt, aber nicht, welches Land es ist. Beide Angaben sind erforderlich, weil sich zwei rechtlich entscheidende Fragen ohne sie nicht beantworten lassen: Wer hat die Leistung erbracht, wenn Ihr Auftraggeber im Gutschriftverfahren abrechnet, und unterliegt der Vorgang überhaupt der deutschen Künstlersozialabgabe.
Zur Rechtsform: Diese Angabe wird bei jeder Klassifikation übermittelt. Sie stammt aus der in KSKlar hinterlegten Einstufung des Rechnungsstellers: aus einem CSV-Import, aus einer manuellen Angabe in der Anwendung oder aus einer früheren KI-Einstufung. Liegt keine Einstufung vor, übermitteln wir den Wert „unbekannt“.
Technisch ausgeschlossen in Schritt 2 (BLOCKED_FIELDS): IBAN, BIC, Bank-Name, Konto-Inhaber, Steuernummer, USt-IdNr, vollständige Straße, PLZ, Telefonnummer, E-Mail-Adresse. Der Aufruf bricht mit Validierungsfehler ab, falls eines dieser Felder versehentlich übergeben würde.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Empfänger: Mistral AI SAS, Paris. Speicherdauer: identisch zu Schritt 1 (max. 30 Tage Mistral-seitig).
Die Original-Rechnungsdokumente verbleiben nach erfolgreicher Klassifikation auf unserem Server (Hetzner DE, verschlüsseltes SeaweedFS-Storage). Der von Mistral OCR zurückgelieferte Volltext wird bei neuen Rechnungen gar nicht mehr dauerhaft gespeichert: Aus der OCR-Verarbeitung übernehmen wir ausschließlich strukturierte Rechnungsangaben sowie PII-freie technische Metadaten (Positionskoordinaten, Konfidenzwerte). Dauerhaft gespeichert werden daraus Name des Rechnungsstellers, Rechnungsnummer, Rechnungsdatum, Netto- und Bruttobetrag sowie Leistungsbeschreibung. Dieser Umfang ist nicht deckungsgleich mit Schritt 2: Die Rechnungsnummer wird gespeichert, aber nicht an die Klassifikations-KI gesendet; die Stadt des Rechnungsstellers wird weder gespeichert noch an die Klassifikations-KI gesendet. Bereits vor dieser Umstellung gespeicherte Volltexte aus dem Altbestand werden automatisiert gelöscht: spätestens 30 Tage nach abgeschlossener Prüfung der Klassifikation und in jedem Fall innerhalb von 90 Tagen, unabhängig vom Prüfstatus. Bei der Löschung des Kontos gemäß Art. 17 DSGVO erfolgt die Löschung ebenfalls.
Widerruf der Einwilligung: Die Einwilligung in die KI-Analyse kann jederzeit mit Wirkung für die Zukunft in den Einstellungen widerrufen werden (Art. 7 Abs. 3 DSGVO). Bei Widerruf wird die KI-Klassifikation deaktiviert; bereits klassifizierte Rechnungen bleiben unverändert, da sie Teil Ihrer Unterlagen sind. Sie können sie jederzeit löschen oder exportieren.
Weitere Details zur KI-gestützten Verarbeitung finden Sie auf unserer Detailseite zur KI-Analyse.
5a. KI-Wissens-Assistent (Mistral AI)
In der Prüfansicht einer Rechnung können Sie dem KI-Wissens-Assistenten Fragen zur Künstlersozialabgabe stellen. Die Antwort erzeugt ein KI-System von Mistral AI SAS (Paris, Frankreich) aus der von uns hinterlegten Wissensbibliothek. Der Assistent steht nur zur Verfügung, wenn Ihre Organisation die KI-Analyse nach Abschnitt 5 freigegeben hat.
Verarbeitete Daten: der Text Ihrer Frage (höchstens 500 Zeichen) und, wenn Sie die Frage zu einer Rechnung stellen, folgende Angaben dieser Rechnung: Name und Rechtsform des Rechnungsstellers, Leistungsbeschreibung, Rechnungsdatum sowie Netto- und Bruttobetrag. Nicht übermittelt werden der Volltext der Rechnung, Bank- und Steuerdaten, Anschrift, Kontaktdaten und interne Kennungen. Bitte geben Sie in Ihrer Frage keine Angaben zu Personen ein, die für die Antwort nicht nötig sind.
Zweck und Rechtsgrundlage: Beantwortung Ihrer Frage als Teil des vereinbarten Leistungsumfangs, Art. 6 Abs. 1 lit. b DSGVO. Für die mitgesendeten Rechnungsangaben gilt dieselbe Grundlage wie für die KI-Analyse in Abschnitt 5. Empfänger: Mistral AI SAS als Auftragsverarbeiter.
Speicherdauer: Frage und Antwort speichern wir nicht. Für die Abrechnung Ihres Kontingents speichern wir nur, dass und wann eine Frage gestellt wurde, zusammen mit der Kennung Ihres Nutzerkontos und Ihrer Organisation; diese Einträge löschen wir mit Ihrem Konto. Mistral AI weisen wir an, die Unterhaltung nicht zu speichern. Für die Speicherung der Anfrage bei Mistral gilt im Übrigen dieselbe Frist wie in Abschnitt 5 (höchstens 30 Tage zur Missbrauchserkennung).
6. E-Mail- und SMS-Versand (Brevo)
Für den Versand von Transaktions-E-Mails nutzen wir Brevo (ehemals Sendinblue), Brevo SA, 7 rue de Madrid, 75008 Paris, Frankreich. Brevo verarbeitet die Daten innerhalb der EU (Frankreich/Deutschland).
Transaktions-Mails umfassen: Registrierungsbestätigungen, Passwort-Zurücksetzungen, Fristenerinnerungen (z. B. Entgeltmeldung, Vorauszahlung) und Systembenachrichtigungen.
Verarbeitete Daten: E-Mail-Adresse, Name. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Ein AVV gemäß Art. 28 DSGVO ist mit Brevo abgeschlossen.
Außerdem versendet Brevo die Befragungs-E-Mails der Beta (Abschnitt 9b), ohne Öffnungs- und Klickverfolgung.
Telefonnummer und SMS-Bestätigung: Um in der Testphase Rechnungen anzulegen, bestätigen Sie Ihre Mobilfunknummer. Dafür senden wir über Brevo einen sechsstelligen Bestätigungscode per SMS an die angegebene Nummer; der Code ist fünf Minuten gültig. Verarbeitet werden Ihre Telefonnummer, der Bestätigungscode, der Zeitpunkt und das Ergebnis der Bestätigung. Zweck ist der Schutz der kostenlosen Testphase vor Missbrauch (eine Testphase je Telefonnummer) und die Sicherheit Ihres Kontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer missbrauchsfreien Testphase). Die Angabe ist freiwillig; ohne bestätigte Telefonnummer können Sie in der Testphase jedoch keine Rechnungen anlegen. Die Telefonnummer speichern wir in Ihrem Nutzerkonto bis zu dessen Löschung. Empfänger sind Brevo als Auftragsverarbeiter und der Mobilfunkanbieter, der die SMS zustellt. Für die Zustellung kann Brevo nach eigener Angabe Dienstleister einsetzen, die SMS auch über Netze außerhalb der EU weiterleiten; solche Übermittlungen sichert Brevo nach eigener Angabe über Standardvertragsklauseln der EU-Kommission oder das EU-US Data Privacy Framework ab.
Den Newsletter, den Sie über den Kurzcheck bestellen können, versenden wir ebenfalls über Brevo. Einzelheiten dazu finden Sie in Abschnitt 10.
6a. Kontaktaufnahme per E-Mail
Schreiben Sie uns an support@ksklar.de, datenschutz@ksklar.de oder kontakt@ksklar.de, übernehmen wir Ihre Nachricht automatisch in unser internes Anfragensystem in der Webanwendung, damit wir sie nachverfolgen und beantworten können. Gespeichert werden Ihre E-Mail-Adresse, Ihr Name, soweit angegeben, der Betreff, der Text der Nachricht, der Eingangszeitpunkt sowie der Bearbeitungsstand und unsere Antwort. Den Eingang bestätigen wir Ihnen per E-Mail über Brevo (Abschnitt 6). Die Postfächer betreibt Hetzner (Abschnitt 16), das Anfragensystem läuft auf unseren eigenen Servern in Deutschland.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag mit uns oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Anfragen zu Ihren Datenschutzrechten bearbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. c in Verbindung mit Art. 12 DSGVO.
Speicherdauer: Anfragen an support@ksklar.de und kontakt@ksklar.de löschen wir automatisch 12 Monate nach Abschluss der Bearbeitung. Anfragen an datenschutz@ksklar.de bewahren wir auf, solange wir nachweisen müssen, dass wir Ihr Anliegen ordnungsgemäß bearbeitet haben (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO); eine automatische Löschfrist ist dafür noch nicht eingerichtet.
7. Zahlungsabwicklung (Mollie)
Für die Zahlungsabwicklung nutzen wir Mollie. Unser Vertragspartner ist Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Niederlande). Für die Zahlungsdienste (SEPA-Lastschrift und wiederkehrende Zahlungen) ist Mollie eigenständig Verantwortlicher im Sinne der DSGVO und bestimmt Zwecke und Mittel dieser Verarbeitung selbst (Artikel 7.1 des Mollie-Nutzungsvertrags). Wir übermitteln Mollie dafür die unten genannten Daten; ein Auftragsverarbeitungsvertrag ist für diese Verarbeitung nicht vorgesehen. Als Auftragsverarbeiter wird Mollie nur für einzelne Zusatzdienste tätig (Rechnungsversand, Bearbeitung von Zahlungsstreitigkeiten, Belegerfassung). Den Rechnungsversand und die Belegerfassung von Mollie nutzen wir nicht.
Die Zahlungen erfolgen per SEPA-Lastschrift auf Grundlage eines erteilten SEPA-Mandats. Dabei werden folgende Daten an Mollie übermittelt: Name, E-Mail-Adresse, Rechnungs-Adresse, SEPA-Mandat-Referenz (Mandate-ID, nicht IBAN-Klartext) und Mollie-Customer-ID. Konto- oder Kartendaten im Klartext werden ausschließlich von Mollie verarbeitet und nicht auf unseren Servern gespeichert.
SEPA-Mandate werden von Mollie gemäß den Vorgaben für Zahlungsdienstleister 14 Monate nach der letzten Nutzung aufbewahrt.
Keine Drittlandübermittlung: Mollie B.V. hat ihren Sitz in den Niederlanden und verarbeitet die Daten innerhalb der Europäischen Union. Eine Übermittlung in ein Drittland außerhalb der EU oder des EWR findet nicht statt.
Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus PSD2 und Geldwäscherecht). Weitere Informationen zur Datenverarbeitung durch Mollie finden Sie in der Datenschutzerklärung von Mollie.
8. Webanalyse (Plausible Analytics)
Wir verwenden Plausible Analytics für die Webanalyse. Plausible ist self-hosted auf unserem eigenen Server bei Hetzner (analytics.ksklar.de).
Plausible arbeitet cookieless: Es werden keine Cookies gesetzt und keine dauerhaften Nutzerprofile gebildet. Die IP-Adresse wird ausschließlich serverseitig und kurzzeitig zu einem täglich wechselnden, nicht rückrechenbaren Hash-Wert verarbeitet, um Besuche zu zählen und Bot-Traffic herauszufiltern; sie wird nicht im Klartext gespeichert. Ausgewertet werden nur zusammengefasste Statistiken.
Was das Skript in Ihrem Browser tut: Das Plausible-Skript legt nichts in Ihrem Browser ab, es setzt also weder Cookies noch Einträge im lokalen Speicher. Beim Laden einer Seite liest es aber aus dem lokalen Speicher Ihres Browsers (localStorage) den Schalter plausible_ignore. Diesen Schalter setzen wir nicht. Er ist nur vorhanden, wenn Sie ihn selbst angelegt haben, um Ihre Besuche von der Zählung auszunehmen; dann sendet das Skript für Ihren Besuch keine Daten. Außerdem prüft das Skript einige Eigenschaften Ihres Browsers, um automatisierte Zugriffe auszuschließen (zum Beispiel navigator.webdriver), und ermittelt während Ihres Besuchs, wie weit Sie eine Seite herunterscrollen und wie lange sie aktiv im Vordergrund ist.
Übermittelte Daten: Das Skript sendet an unseren Plausible-Server die aufgerufene Adresse, die zuvor besuchte Seite (Referrer), die Scrolltiefe und die aktive Verweilzeit sowie einzelne Ereignisse, etwa Klicks auf Downloads oder auf Links zu anderen Websites (mit der Zieladresse) und das Gesamtergebnis unserer Checks (siehe Abschnitt 9a). Technisch bedingt werden dabei auch Ihre IP-Adresse und die Kennung Ihres Browsers (User-Agent) übertragen; daraus entstehen nur der oben beschriebene Hash-Wert, zusammengefasste Angaben zu Browser, Betriebssystem und Gerätetyp sowie das Land, aus dem der Zugriff erfolgt. Der Inhalt Ihres lokalen Speichers wird nicht übertragen.
Speicherdauer: Die übermittelten Ereignisse und die daraus gebildeten Besuchsdaten löscht unser Plausible-Server automatisch nach 25 Monaten. So bleiben Vergleiche mit dem Vorjahr möglich. Den geheimen Schlüssel, mit dem der Hash-Wert gebildet wird, wechselt Plausible täglich und löscht den alten. Danach lässt sich ein gespeicherter Hash-Wert keinem späteren Besuch mehr zuordnen.
Ladezeiten: Auf den Seiten unserer Website messen wir außerdem mit einer Schnittstelle Ihres Browsers, wie schnell eine Seite lädt und reagiert (Ladezeit, Reaktionszeit, Layoutverschiebung), und senden die gerundeten Messwerte mit einer Bewertung als Ereignis an unseren Plausible-Server.
Im angemeldeten Bereich: Die Messung läuft auch in der Anwendung, außer bei der Anmeldung und in der Administration. Dort zählen wir zusätzlich einzelne Nutzungsschritte wie den ersten Rechnungs-Upload oder den Export der Entgeltmeldung, ohne Inhalte, ohne Namen und ohne Nutzerkennung. Die aufgerufene Adresse kann dabei interne Kennungen von Datensätzen enthalten, zum Beispiel einer Entgeltmeldung. Auf der Registrierungsseite kann die Adresse die Kennung eines Einladungs-Links enthalten. Auf einzelnen Seiten (Registrierung, Warteliste, Bestätigung der Umfrage) kann die Adresse einen persönlichen Rabattcode enthalten. Seiten, deren Adresse einen Bestätigungs-Link, einen Link zum Zurücksetzen des Passworts oder Ihre E-Mail-Adresse enthält, etwa der Hinweis nach der Registrierung, messen wir nicht.
Ob das Auslesen des Schalters, die Messung von Scrolltiefe und Verweilzeit und die Messung der Ladezeiten in Ihrem Browser eine Einwilligung nach § 25 TDDDG erfordern, ist rechtlich nicht abschließend geklärt. Wir gehen derzeit davon aus, dass keine Einwilligung nötig ist, und setzen deshalb kein Cookie-Consent-Banner ein. Diese Einschätzung ist noch nicht abschließend rechtlich geprüft. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen, pseudonymen Reichweitenmessung).
9. Umfrage (Marktforschung)
Auf unserer Website bieten wir unter ksklar.de/umfrage eine freiwillige Umfrage zur Künstlersozialabgabe an. Die Teilnahme ist ohne Angabe Ihres Namens oder Ihrer E-Mail-Adresse möglich; die Angabe einer E-Mail-Adresse ist optional. Während der Open Beta fragen wir in der Umfrage keine E-Mail-Adresse ab.
Verarbeitete Daten: Ihre Umfrage-Antworten, optional Ihre E-Mail-Adresse (während der Open Beta nur in dem unter „Zwecke“ beschriebenen Fall), Kampagnenparameter aus der Aufruf-URL (utm_source, utm_medium, utm_campaign), technische Metadaten (User-Agent, Referrer) sowie einen mit einem geheimen Schlüssel gebildeten Hash-Wert Ihrer IP-Adresse (Pseudonym). Diesen Hash-Wert speichern wir zusammen mit Ihrer Antwort und, falls Sie eine E-Mail-Adresse angeben, mit Ihrer Einwilligung, um Missbrauch wie Mehrfachteilnahmen erkennen zu können.
Wie beim Check (Abschnitt 9a) zählen wir außerdem anonym, wie oft die Umfrage begonnen und abgeschlossen wird. Für die Zählung der begonnenen Umfragen gilt die kurzzeitige Hash-Bildung aus Abschnitt 9a; sie ist von dem oben genannten, gespeicherten Hash-Wert getrennt.
Zwecke: Zusammengefasste Auswertung der Umfrage zu Marktforschungszwecken, Auswertung der Kampagnen-Herkunft (UTM-Attribution) sowie, außerhalb der Open Beta, bei Angabe Ihrer E-Mail-Adresse und entsprechender Einwilligung, die Zusendung eines persönlichen Rabattcodes und gelegentlicher Produkt-Updates per E-Mail. Während der Open Beta fragt die Umfrage keine E-Mail-Adresse ab. Haben Sie die Umfrageseite noch vor der Open Beta geladen und geben dort Ihre E-Mail-Adresse mit beiden Einwilligungen an, behandeln wir sie wie außerhalb der Open Beta: Wir speichern sie auf Grundlage Ihrer Einwilligung, es gilt die unten genannte Speicherdauer, und nach Ihrer Bestätigung erhalten Sie den zugesagten Rabattcode. Er bleibt gültig und ist nach der Open Beta bei der Buchung eines Tarifs einlösbar. Ihre E-Mail-Adresse wird nur gespeichert, wenn Sie beide Einwilligungen (Rabattcode und Produkt-Updates sowie Datenschutzhinweise) erteilt haben. Der E-Mail-Versand erfolgt im Double-Opt-In-Verfahren über Brevo (siehe Abschnitt 6); der Bestätigungslink ist 24 Stunden gültig.
Rechtsgrundlagen: Die Speicherung Ihrer E-Mail-Adresse und die Zusendung des Rabattcodes und von Produkt-Updates beruhen auf Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Speicherung Ihrer Antworten mit Kampagnenparametern, User-Agent, Referrer und dem Hash-Wert Ihrer IP-Adresse, auch wenn Sie keine E-Mail-Adresse angeben, beruht auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Marktforschung zur Künstlersozialabgabe und am Schutz der Umfrage vor Missbrauch wie Mehrfachteilnahmen). Dieser Verarbeitung können Sie nach Art. 21 DSGVO widersprechen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an philip@ksklar.de oder über den Abmeldelink in jeder E-Mail.
Speicherdauer: Die Umfrage-Antworten und die optional angegebene E-Mail-Adresse speichern wir bis zum Widerruf Ihrer Einwilligung beziehungsweise bis zu einem Löschantrag (siehe Betroffenenrechte). Den Hash-Wert Ihrer IP-Adresse, den User-Agent und den Referrer speichern wir zusammen mit Ihrer Antwort und löschen sie gemeinsam mit ihr.
9a. KSK-Pflicht-Check: Ergebnis als PDF per E-Mail
Auf unserer Website bieten wir unter ksklar.de/ksk-pflicht-check einen kostenlosen Check an, ob Ihr Unternehmen voraussichtlich die Künstlersozialabgabe zahlen muss. Das Ergebnis sehen Sie sofort auf der Seite, ohne Angabe personenbezogener Daten. Optional können Sie sich das Ergebnis als PDF per E-Mail zusenden lassen.
Anonyme Zählung: Für unsere Statistik zählen wir, wie oft der Check (ebenso der DRV-Prüfungs-Check) gestartet und mit welchem Gesamtergebnis er abgeschlossen wurde, zum Beispiel „pflichtig“, „nicht pflichtig“ oder „vermutlich pflichtig“, und wie oft eine Schaltfläche im Ergebnis angeklickt wurde. Gespeichert werden nur die Art des Ereignisses, die Seite, das Gesamtergebnis, bei Klicks auf Schaltflächen deren Kennung und der Zeitpunkt, ohne Ihre Antworten, ohne IP-Adresse und ohne eine Kennung Ihrer Person oder Ihres Geräts. Wir verknüpfen diese Zählung mit keinen anderen Daten. Zum Schutz vor Missbrauch bilden wir aus Ihrer IP-Adresse mit einem geheimen Schlüssel einen Hash-Wert, der zur Begrenzung der Anfragen bis zu eine Stunde im Zwischenspeicher liegt (Art. 6 Abs. 1 lit. f DSGVO); die IP-Adresse selbst speichern wir nicht. Das Gesamtergebnis übermitteln wir zusätzlich als Ereignis an unsere Webanalyse (Abschnitt 8), beim DRV-Prüfungs-Check als Prüfklasse und Vorbereitungs-Ampel.
Verarbeitete Daten: Ihre E-Mail-Adresse, Ihre Antworten im Check (zum Beispiel, ob Sie Aufträge an selbstständige Kreative vergeben, und optional die Höhe der Honorare pro Jahr), das daraus berechnete Ergebnis, außerhalb der Open Beta nach Ihrer Bestätigung den Ihnen zugeteilten persönlichen Rabattcode, sofern Ihnen der Check einen zugesagt hat, Ihre Einwilligung mit Zeitpunkt sowie Ihre IP-Adresse ausschließlich als mit einem geheimen Schlüssel gebildeter Hash-Wert (Pseudonym) zum Schutz vor Missbrauch (Rate-Limiting).
Zwecke: Versand einer Bestätigungs-E-Mail (Double-Opt-in) und, nach Ihrer Bestätigung, Versand Ihres Ergebnisses als PDF (Einschätzung, geschätzte Abgabe, nächste Schritte). Außerhalb der Open Beta enthält die E-Mail als Bonus einen persönlichen Rabattcode für KSKlar. Während der Open Beta sagen wir keine neuen Rabattcodes zu. Wurde Ihnen ein Rabattcode schon zugesagt, etwa in einer Bestätigungs-E-Mail von vor der Open Beta, erhalten Sie ihn trotzdem. Er bleibt gültig und ist nach der Open Beta bei der Buchung eines Tarifs einlösbar.
So speichern wir Ihre Antworten: Ihre Antworten legen wir nicht in unserer Datenbank ab. Sie werden verschlüsselt in den Bestätigungslink geschrieben, den nur Sie per E-Mail erhalten. Erst wenn Sie den Link öffnen, erzeugen wir daraus das PDF und versenden es. Danach verwerfen wir die Antworten; das PDF selbst speichern wir nicht. Der Bestätigungslink ist 24 Stunden gültig; nach Ablauf verarbeiten wir die Antworten nicht mehr.
Empfänger: Brevo (Brevo SA, Paris, Frankreich) als Auftragsverarbeiter für den E-Mail-Versand (siehe Abschnitt 6). Brevo erhält dabei Ihre E-Mail-Adresse, den Bestätigungslink und das PDF als Anhang. Brevo führt zu den Versandmails (Bestätigungs-E-Mail mit dem verschlüsselten Link und E-Mail mit Ihrem Ergebnis-PDF) Versandprotokolle mit Empfänger, Betreff, Zeitpunkt und Zustellstatus. Diese Versandprotokolle und die E-Mail-Vorschauen bewahrt Brevo 30 Tage auf und löscht sie danach.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Verarbeitung des IP-Hashs zum Schutz vor Missbrauch erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Absicherung des Angebots).
Speicherdauer: Ihre Antworten speichern wir nicht über den Versand hinaus (siehe oben). Haben Sie einen persönlichen Rabattcode erhalten, speichern wir Ihre E-Mail-Adresse, den Rabattcode und den Nachweis Ihrer Einwilligung bis zum Widerruf beziehungsweise bis zu einem Löschantrag. Erhalten Sie Ihr PDF ohne Rabattcode, wie während der Open Beta, ist der Zweck mit dem Versand Ihres PDFs erfüllt: Dann löschen wir Ihre E-Mail-Adresse samt Hash-Wert und Einwilligung unmittelbar nach dem Versand. Es bleiben nur die Versandprotokolle bei Brevo (siehe Empfänger), die nach 30 Tagen gelöscht werden. Ohne Ergebnis, das wir Ihnen als PDF senden könnten, und ohne zugesagten Rabattcode speichern wir keine E-Mail-Adresse. Bestätigen Sie die Anmeldung nicht, verfällt der Link nach 24 Stunden und wir löschen Ihre E-Mail-Adresse samt Hash spätestens nach 30 Tagen.
Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, per E-Mail an philip@ksklar.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
9b. Beta-Feedback
Während der Beta bitten wir um freiwillige Rückmeldungen zu KSKlar: in KSKlar nach jeweils 5 analysierten Rechnungen mit einer Kurzbefragung und per E-Mail an die Feedback-Kontakte jeder teilnehmenden Organisation mit höchstens 5 Befragungen, im Abstand von mindestens 14 Tagen, mit höchstens einer Erinnerung je Befragung und höchstens 7 Fragen (§ B5 der Beta-Bedingungen). Feedback-Kontakt ist zunächst die Person, die die Organisation angelegt hat, wenn sie in die Befragungs-E-Mails eingewilligt hat; Administratoren der Organisation können weitere Mitglieder benennen. Ein benanntes Mitglied erhält Befragungs-E-Mails nur mit seiner eigenen Einwilligung.
Verarbeitete Daten: Ihre Antworten und Freitexte, der Zeitpunkt, Ihre Nutzerkennung und Organisation sowie die Zahl der bis dahin analysierten Rechnungen. Bei den Befragungen per E-Mail zusätzlich Ihr Name und Ihre E-Mail-Adresse als Feedback-Kontakt, wer Sie benannt hat, ob und wann Sie eingewilligt, abgelehnt oder widerrufen haben (mit der Fassung der Beta-Bedingungen), die Zeitpunkte von Einladung, Erinnerung und Antwort sowie ein erklärter Widerspruch. Die Links in den E-Mails sind persönlich; wir speichern von ihnen nur einen Prüfwert. Die Zahl der Rechnungen und den Beginn der Entgeltmeldung Ihrer Organisation nutzen wir nur, um den Zeitpunkt der Befragungen festzulegen.
Zwecke und Rechtsgrundlagen: Die Befragungen dienen der Durchführung der Beta. Befragungs-E-Mails (Einladung und Erinnerung) versenden wir nur an Personen, die selbst eingewilligt haben (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Die Person, die die Organisation angelegt hat, erteilt die Einwilligung bei der Registrierung oder später in KSKlar. Mitglieder, die Administratoren als Feedback-Kontakt benannt haben, erteilen sie selbst in KSKlar: bei ihrer nächsten Anmeldung nach der Benennung oder später in den Einstellungen. Die Benennung allein ist keine Einwilligung, und wir fragen die Einwilligung nicht per E-Mail an. Jede Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Die Benennung selbst, den Hinweis dazu in KSKlar und die Kurzbefragung in KSKlar stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die mit Ihrer Organisation vereinbarte Beta durchzuführen. Die Auswertung der Antworten zur Fehlerbehebung und Produktentwicklung stützen wir immer auf Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem fehlerfreien und nutzbaren Produkt. Bleiben mindestens 2 Befragungen einer Organisation unbeantwortet, sehen wir uns das Antwortverhalten dieser Organisation an und fragen einmal persönlich nach, ob es Probleme mit KSKlar gibt (Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einer funktionierenden Beta); das hat keine Folgen.
Pflicht zur Bereitstellung: Sie sind weder gesetzlich noch vertraglich verpflichtet, an den Befragungen teilzunehmen; Ihre Nutzung der Beta hängt nicht davon ab. Die Kurzbefragung in KSKlar können Sie überspringen oder auf später verschieben, alle Funktionen bleiben verfügbar (§ B5 Absatz 3 der Beta-Bedingungen). Eine unbeantwortete Befragung, ein Widerspruch, ein Widerruf oder eine fehlende Benennung hat keine Folgen.
Empfänger:
- Server und Versand: Die Daten werden auf unseren Servern bei Hetzner in Deutschland gespeichert. Die Befragungs-E-Mails versendet Brevo als Auftragsverarbeiter (Abschnitt 6), ohne Öffnungs- und Klickverfolgung.
- Keine Weitergabe, keine KI: Eine Weitergabe an Dritte oder eine Übermittlung an KI-Dienstleister findet nicht statt; auch die Auswertung erfolgt ohne KI.
- Sichtbarkeit in Ihrer Organisation: Inhaber und Administratoren sehen in KSKlar, welche Personen als Feedback-Kontakt benannt sind. Wer nicht eingewilligt, abgelehnt, widerrufen oder widersprochen hat, erscheint dort weiter als benannt wie alle anderen, erhält aber keine Befragungs-E-Mails. Ob und wann eine bestimmte Person eingewilligt, abgelehnt, widerrufen oder widersprochen hat, zeigt KSKlar ihnen nicht an. Andere Mitglieder sehen nur ihren eigenen Status.
Speicherdauer:
- Antworten: Die Zuordnung der Antworten zu Ihrer Person und alle Freitexte löschen wir spätestens 12 Monate nach dem Ende der Beta. Danach bleiben nur die geschlossenen Antworten ohne Personenbezug, mit Monatsangabe statt genauem Zeitpunkt.
- Angaben als Feedback-Kontakt: Ihre Benennung, Ihre Entscheidung über die Einwilligung, die Versanddaten und die Protokolleinträge zu Benennung, Einwilligung, Ablehnung, Widerruf, Widerspruch und Rücknahme löschen wir spätestens 12 Monate nach dem Ende der Beta, früher, wenn Ihr Konto oder Ihre Organisation gelöscht wird oder Sie die Organisation verlassen.
- Bei Löschung oder Austritt: Wir löschen zugleich Ihre Freitexte. Ihre geschlossenen Antworten bleiben nur ohne Personenbezug und mit Tagesangabe statt genauem Zeitpunkt.
- Nachweise: Den Nachweis Ihrer Einwilligung in die Befragungs-E-Mails und ihres Widerrufs, eines Widerspruchs gegen die Befragungs-E-Mails, seiner Rücknahme und eines Widerspruchs gegen die Auswertung bewahren wir verschlüsselt bis zum Ende des dritten Kalenderjahres nach dem Ende der Beta auf, unabhängig von einer früheren Löschung Ihres Kontos. Wir verwenden sie ausschließlich zur Abwehr von Rechtsansprüchen (Art. 6 Abs. 1 lit. f, Art. 17 Abs. 3 lit. e DSGVO).
Ihr Widerspruchsrecht
Befragungs-E-Mails: Sie können Ihre Einwilligung jederzeit widerrufen und dem Empfang der Befragungs-E-Mails jederzeit widersprechen: über den Link in jeder Befragungs-E-Mail, in KSKlar unter Einstellungen, Beta-Feedback oder per E-Mail an support@ksklar.de. Widerruf und Widerspruch wirken sofort und ohne Bedingung für Ihre Person, auch wenn Ihre Organisation Sie benannt hat.
Auswertung: Aus Gründen, die sich aus Ihrer besonderen Situation ergeben, können Sie außerdem der Auswertung Ihrer Antworten widersprechen (Art. 21 Abs. 1 DSGVO), formlos per E-Mail an support@ksklar.de. Dann löschen wir Ihre Freitexte und lösen Ihre übrigen Antworten von Ihrer Person. Spätere Antworten speichern wir ohne Bezug zu Ihrer Person und ohne Freitexte.
Beide Widersprüche gelten weiter, wenn Sie die Organisation verlassen und ihr später wieder beitreten. Dafür merken wir uns nur, dass und wann Sie widersprochen haben.
Veröffentlichung: nur anonymisiert oder zusammengefasst. Ihr Name oder Ihr Unternehmen wird nur mit Ihrer gesonderten Einwilligung genannt.
9c. Prüfung der E-Mail-Adresse und Schutz der Beta vor Missbrauch
Ein Konto bei KSKlar können Sie nur mit einer E-Mail-Adresse Ihrer Unternehmensdomain anlegen. Die Domain ist der Teil Ihrer E-Mail-Adresse nach dem @-Zeichen. Bei der Registrierung, bei einer Änderung Ihrer E-Mail-Adresse und wenn Sie eine Person in Ihr Team einladen, gleichen wir die Domain mit einer in KSKlar hinterlegten Liste allgemeiner E-Mail-Anbieter ab (zum Beispiel gmail.com oder web.de); eine Abfrage bei Dritten findet dabei nicht statt. Gehört die Adresse zu einem solchen Anbieter, lehnen wir die Registrierung, die Änderung oder die Einladung ab. Es wird dann kein Konto angelegt, keine Adresse geändert und keine Einladung versandt.
Damit die kostenlosen Beta-Plätze fair verteilt werden, erhält während der Beta je Unternehmensdomain nur eine Organisation einen Beta-Platz. Hat Ihre Domain bereits eine Beta-Organisation, lehnen wir die Registrierung mit dem Hinweis ab, sich von dieser Organisation einladen zu lassen; mit einer offenen Einladung ist die Registrierung möglich. Wird dennoch eine weitere Organisation derselben Domain angelegt, erhält sie statt eines Beta-Platzes die reguläre Testphase.
Unabhängig von der Beta lehnen wir bei der Registrierung und bei einer Änderung Ihrer E-Mail-Adresse Wegwerf-E-Mail-Adressen ab. Dazu gleichen wir die Domain Ihrer Adresse mit einer in KSKlar hinterlegten Liste bekannter Wegwerf-Anbieter ab; eine Abfrage bei Dritten findet dabei nicht statt. Bei einer Ablehnung wird kein Konto angelegt.
Verarbeitete Daten: die bei der Registrierung, bei einer Änderung oder in einer Einladung angegebene E-Mail-Adresse und die daraus abgeleitete Domain sowie die Zuordnung bestehender Beta-Organisationen und offener Einladungen. Domain und Abgleich ermitteln wir jeweils aus den ohnehin gespeicherten Konto- und Organisationsdaten.
Tägliche Übersicht: Einmal täglich erhalten die Administratoren von KSKlar per E-Mail eine Liste der neu angelegten Beta-Organisationen mit Organisationskennung, Name der Organisation, Domain, Zeitpunkt der Anlage, Zahl der Nutzer und Status. Die Liste enthält keine E-Mail-Adressen und keine Rechnungsinhalte; bei allgemeinen E-Mail-Anbietern steht dort nur die Domain. Sie dient dazu, auffällige Häufungen zu erkennen und Missbrauch zu unterbinden. Der Versand erfolgt über Brevo (Abschnitt 6).
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, KSKlar nur Unternehmen zur Verfügung zu stellen, einen Missbrauch der kostenlosen Beta zu verhindern und die begrenzten Beta-Plätze fair zu verteilen.
Speicherdauer: Für die Prüfung werden keine zusätzlichen Daten gespeichert; es gelten die Fristen der Konto- und Organisationsdaten (Abschnitt 13). Die tägliche Liste wird in KSKlar nicht gesondert gespeichert, sondern nur per E-Mail an die Administratoren versandt.
10a. Unternehmensauftritte in sozialen Netzwerken
KSKlar ist mit eigenen Unternehmensauftritten auf LinkedIn, Facebook, Instagram, YouTube und X vertreten. Wenn Sie diese Auftritte besuchen, mit Beiträgen interagieren oder uns dort Nachrichten schreiben, verarbeitet der jeweilige Betreiber Ihre Daten nach seinen eigenen Bedingungen und in eigener Verantwortung. Auf diese Verarbeitung haben wir keinen Einfluss. Wir sehen dort nur, was Sie öffentlich teilen oder uns direkt schreiben.
Zwecke und Rechtsgrundlage: Information über KSKlar und die Künstlersozialabgabe sowie Kommunikation mit Interessierten. Rechtsgrundlage ist unser berechtigtes Interesse an einer zeitgemäßen Öffentlichkeitsarbeit (Art. 6 Abs. 1 lit. f DSGVO).
Seitenstatistiken und gemeinsame Verantwortlichkeit: LinkedIn und Meta stellen uns zusammengefasste Statistiken über die Nutzung unserer Seiten bereit (Seiten-Insights). Für die Verarbeitung, die diesen Statistiken zugrunde liegt, sind wir mit dem Betreiber gemeinsam verantwortlich (Art. 26 DSGVO; EuGH, Urteil vom 5. Juni 2018, C-210/16). Die Betreiber haben die wesentlichen Inhalte der Vereinbarung veröffentlicht und übernehmen danach die Erfüllung der Betroffenenrechte für diese Daten: Vereinbarung von LinkedIn (LinkedIn Ireland Unlimited Company) und Informationen zu Seiten-Insights von Meta (Meta Platforms Ireland Limited, für Facebook). Ihre Rechte können Sie beim Betreiber oder bei uns geltend machen; Anfragen, die nur der Betreiber erfüllen kann, leiten wir an ihn weiter.
Datenschutzhinweise der Betreiber: LinkedIn, Facebook, Instagram, YouTube (Google) und X. Die Betreiber verarbeiten Daten zum Teil auch außerhalb der EU, insbesondere in den USA.
Werkzeug zum Veröffentlichen: Unsere Beiträge planen und veröffentlichen wir mit dem Werkzeug Blotato der Blotato Inc. (Salt Lake City, USA). Blotato erhält dafür die Texte und Bilder unserer Beiträge sowie die Berechtigung, für unsere Unternehmenskonten zu veröffentlichen, und ruft zusammengefasste Kennzahlen zu unseren Beiträgen ab. Kommentare und Direktnachrichten verarbeiten wir nicht über Blotato. Daten von Ihnen als Besucherin oder Besucher dieser Website oder als Nutzerin oder Nutzer der App erhält Blotato nicht.
11. Schriftarten
Wir verwenden die Schriftart „Geist“ von Google Fonts. Die Schriftart wird über next/font/google zur Build-Zeit eingebunden und anschließend self-hosted ausgeliefert. Es finden keine Anfragen an Google-Server zur Laufzeit statt. Es erfolgt kein Drittlandtransfer.
13. Aufbewahrungsfristen
Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Rechnungen, Bewertungen und Entgeltmeldungen: während der Vertragslaufzeit beziehungsweise der Beta. Nach einem Löschauftrag oder dem Ende der Beta können Sie die Daten 90 Tage lang vollständig exportieren. Endet der Vertrag oder ein Testzeitraum ohne Buchung (Kontingent ausgeschöpft und danach 30 Tage ohne Anmeldung oder Upload, spätestens nach 6 Monaten ohne Anmeldung oder Upload), bleiben die Daten zunächst 12 Monate im Lesemodus erhalten. Danach kündigen wir die Löschung per E-Mail an und löschen die Daten frühestens 90 Tage nach dieser Ankündigung vollständig (siehe §§ 2, 7 und 9 der AGB). Grund für die 12 Monate (Art. 5 Abs. 1 lit. e DSGVO): Die Entgeltmeldung zur Künstlersozialabgabe ist einmal im Jahr fällig. Wer nach dem Vertragsende für die nächste Meldung oder eine Rückfrage der Künstlersozialkasse zurückkommt, soll die Zahlen des Vorjahres noch vorfinden; danach dienen die Daten keinem Zweck des Vertrags mehr. Die Aufbewahrungspflicht nach § 257 HGB und § 147 AO trifft das nutzende Unternehmen selbst
- OCR-Rohdaten: Werden automatisiert gelöscht, spätestens 30 Tage nach abgeschlossener Prüfung der Klassifikation
- Kontodaten: Bei einem Löschauftrag wird der Zugang sofort gesperrt; die Daten löschen wir nach 90 Tagen, sofern Sie die Löschung nicht vorher durch Anmelden abbrechen
- Zustimmungs- und Löschnachweise: Nachweise über erteilte Zustimmungen und über die Löschung (Firma, Name, E-Mail-Adresse, Konto- und Organisationskennung, Fassung des Textes, Zeitpunkt, gekürzte IP-Adresse, Browserkennung) bewahren wir verschlüsselt und getrennt von den übrigen Daten 3 Jahre auf. Wir verwenden sie ausschließlich, um Rechtsansprüche abzuwehren (Art. 17 Abs. 3 lit. e, Art. 6 Abs. 1 lit. f DSGVO), und löschen sie danach automatisch. Abweichend davon gilt für die Nachweise zu den Befragungen der Beta eine feste Frist bis zum Ende des dritten Kalenderjahres nach dem Ende der Beta (Abschnitt 9b)
- Unsere eigenen Belege: Rechnungen über die Nutzungsgebühr und die zugehörigen Zahlungsnachweise sind Buchungsbelege; wir bewahren sie 8 Jahre auf. Vertrags- und Kündigungskorrespondenz, soweit sie Handelsbrief ist, bewahren wir 6 Jahre auf. Die Fristen beginnen mit dem Ende des Kalenderjahres, in dem das Dokument entstanden ist, und laufen nicht ab, solange es für eine noch offene Steuerfestsetzung von Bedeutung ist (§ 147 Abs. 3 Satz 5 AO). Rechtsgrundlage ist die gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB, § 147 AO und § 14b UStG); ein Löschverlangen erfasst diese Unterlagen nicht (Art. 17 Abs. 3 lit. b DSGVO)
- Rechnungsadresse: Die hinterlegte, änderbare Rechnungsadresse wird bei Löschung des Kontos entfernt. Die Empfängerdaten auf bereits ausgestellten Rechnungen bleiben davon unberührt und für 8 Jahre gemäß § 14b UStG Bestandteil des Dokuments (Art. 17 Abs. 3 lit. b DSGVO)
- Server-Logfiles: Systemprotokolle der Server (zum Beispiel Anmelde- und Sicherheitsprotokolle) und Protokolle der Anwendungen werden automatisch spätestens nach 30 Tagen gelöscht. Das Zugriffsprotokoll des Reverse-Proxys wird täglich gelöscht, die daraus übermittelten Einträge zu Abrufen durch Suchmaschinen und KI-Dienste spätestens nach 8 Tagen (siehe Abschnitt 3)
14. Datensicherung (Backups)
Zur Absicherung gegen Datenverlust erstellen wir verschlüsselte Sicherungskopien (Backups) unserer Datenbanken und Datei-Speicher (BorgBackup). Die Backups werden auf einer Hetzner Storage Box in Deutschland (Rechenzentrum Falkenstein) gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Ausfallsicherheit und Wiederherstellbarkeit).
Sicherungen der Datenbanken und Datei-Speicher, die personenbezogene Daten enthalten, werden spätestens nach 24 Monaten automatisch gelöscht. Sicherungen von Programmcode, Datenbankschema und Infrastruktur-Konfiguration enthalten keine Daten unserer Nutzer und werden bis zu 24 Monate aufbewahrt. Werden Daten im Live-System gelöscht (etwa bei einer Konto-Löschung), sind sie damit nicht sofort aus allen Sicherungskopien entfernt, sondern erst mit dem Auslaufen der jeweiligen Backup-Generation. Backups werden ausschließlich zur Wiederherstellung genutzt und nicht zu anderen Zwecken ausgewertet.
14a. Datenexport und Löschung mit Wartefrist
Datenexport: Als Inhaber oder Administrator der Organisation können Sie alle Daten Ihrer Organisation jederzeit und unabhängig vom Tarif als ZIP-Datei herunterladen (Art. 15 und Art. 20 DSGVO), auch im Lesemodus und während einer laufenden Löschfrist. Mitglieder in anderen Rollen erhalten ihre persönlichen Daten und die Rechnungsliste der Organisation. Der vollständige Export enthält die hochgeladenen Originaldateien, die Rechnungsdaten, die KI-Einstufungen mit Begründung, Sicherheit, Modell und Zeitpunkt sowie Ihre Bestätigungen und Korrekturen, die Abgabe-Berechnungen, die Entgeltmeldungen samt PDF, das Protokoll Ihrer Organisation, die Teammitglieder und die Einstellungen. Der Download ist nur nach Anmeldung möglich; unsere E-Mails enthalten nie einen direkten Link auf die Datei. Eine Prüfsumme (SHA-256) belegt, welche Fassung Sie heruntergeladen haben.
Löschung mit Wartefrist: Beauftragen Sie die Löschung Ihres Kontos, sperren wir den Zugang sofort und löschen die Daten nach 90 Tagen vollständig. Wir erinnern Sie per E-Mail am Tag des Auftrags, einen und zwei Monate danach sowie 14, 7 und 1 Tag vor der Löschung. Bis dahin können Sie sich anmelden, Ihre Daten herunterladen und die Löschung mit Ihrem Passwort abbrechen. Nach dem Ende der Beta stehen die Daten ebenfalls noch 90 Tage zum Export bereit. Endet der Vertrag oder ein Testzeitraum ohne Buchung, bleiben Ihre Daten zunächst 12 Monate im Lesemodus erhalten. Danach informieren wir Sie per E-Mail mit mindestens 90 Tagen Vorlauf über die Löschung; in dieser Zeit können Sie alle Daten exportieren und die Löschung durch Buchung eines Tarifs abwenden. Wir fragen nie per E-Mail nach Ihrem Passwort.
15. Betroffenenrechte
Ihnen stehen folgende Rechte gegenüber uns hinsichtlich Ihrer personenbezogenen Daten zu:
- Recht auf Auskunft (Art. 15 DSGVO)
- Recht auf Berichtigung (Art. 16 DSGVO)
- Recht auf Löschung (Art. 17 DSGVO)
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Recht auf Datenportabilität (Art. 20 DSGVO)
- Widerspruchsrecht (Art. 21 DSGVO)
- Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
Zur Wahrnehmung Ihrer Rechte nutzen Sie bitte bevorzugt unsere Datenschutz-Kontaktadresse: datenschutz@ksklar.de (oder alternativ philip@ksklar.de).
Sie haben außerdem das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren:
Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)Hausanschrift: Kavalleriestraße 2–4, 40213 Düsseldorf
Postanschrift: Postfach 20 04 44, 40102 Düsseldorf
Telefon: +49 211 38424-0
E-Mail: poststelle@ldi.nrw.de
Website: www.ldi.nrw.de
16. Auftragsverarbeiter und Dienstleister
| Dienstleister | Zweck | Standort | AVV |
|---|---|---|---|
| Hetzner Online GmbH | Hosting, Datenbank, Dateispeicher | Deutschland | Vorhanden |
| Brevo SA | Transaktions-E-Mails, Newsletter, SMS-Bestätigungscodes | Frankreich (EU) | Vorhanden |
| Mistral AI SAS | KI-Klassifikation (OCR + Analyse), KI-Wissens-Assistent | Frankreich (EU) | Abgeschlossen (2026-04-20) |
| Mollie B.V. | Zahlungsabwicklung (SEPA-Lastschrift) | Niederlande (EU) | Nicht erforderlich: eigenständig Verantwortlicher (siehe Abschnitt 7) |
| Hetzner Online GmbH | Business-E-Mail (philip@ksklar.de, datenschutz@ksklar.de, support@ksklar.de) | Deutschland | Vorhanden |
Für den Betrieb der Business-E-Mail-Postfächer philip@ksklar.de, datenschutz@ksklar.de und support@ksklar.de nutzen wir den E-Mail-Dienst der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen). Die Server stehen ausschließlich in Deutschland. Die Verarbeitung ist durch den bestehenden Auftragsverarbeitungsvertrag mit Hetzner gemäß Art. 28 DSGVO abgedeckt (dieselbe Rechtsperson wie der Hosting-Anbieter). Keine Drittlandübermittlung.
17. Änderungen der Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.
Hinweis: KSKlar bietet Informationen und Berechnungen zur Künstlersozialabgabe. Dies stellt keine Rechts- oder Steuerberatung dar. Für verbindliche Auskünfte wenden Sie sich bitte an einen Rechtsanwalt oder Steuerberater.