Datenschutzerklärung

Schmiedl Advisory & Ventures GmbH, vertreten durch den Geschäftsführer Jannik Schmiedl, Poppenbütteler Ch 51a, 22397 Hamburg, Deutschland.

E-Mail: kontakt@vermerk.eu

Es werden keine Tracking-Cookies gesetzt. Zur Reichweitenmessung setzen wir eine cookielose, selbst gehostete Analyse-Software ein — Einzelheiten in Ziffer 3.

Keine Drittanbieter-Inhalte (Schriften, Karten, Videos, Pixel) werden eingesetzt. Schriften (Spectral, Schibsted Grotesk, JetBrains Mono) werden selbst gehostet.

Während des Bezahlvorgangs (Checkout) verwenden wir technisch notwendige Session-Cookies; diese sind nach § 25 Abs. 2 Nr. 2 TTDSG einwilligungsfrei.

Beim Aufruf der Website werden serverseitig vorübergehend technische Zugriffsdaten verarbeitet (anonymisierte IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, User-Agent). Speicherdauer maximal 14 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherstellung Betrieb und IT-Sicherheit).

Wir setzen auf dieser Website die selbst gehostete Open-Source-Webanalyse-Software Umami ein. Die Verarbeitung erfolgt ausschließlich auf unserem eigenen Server in Deutschland (Hetzner Online GmbH); es werden keine Daten an Dritte übermittelt.

Umami verwendet keine Cookies und speichert keine personenbezogenen Daten. Erfasst werden ausschließlich anonymisierte Nutzungsdaten: aufgerufene Seiten, Referrer, Browser- und Gerätetyp, Herkunftsland sowie Interaktionsereignisse (z. B. Klicks auf Schaltflächen). Die IP-Adresse wird nicht gespeichert; eine Identifizierung einzelner Besucherinnen und Besucher ist nicht möglich.

Rechtsgrundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO). Da keine Cookies gesetzt und keine personenbezogenen Daten verarbeitet werden, ist eine Einwilligung nicht erforderlich.

Wir setzen folgende Auftragsverarbeiter mit jeweils abgeschlossenem AV-Vertrag nach Art. 28 DSGVO ein. Die vollständige Übersicht inklusive Zweck und Sitz finden Sie auf der Seite /transparenz.

• Hetzner Online GmbH (Deutschland) — Hosting, Compute und Datenspeicher (Audio, Transkripte, Exporte, Datenbank). Rechenzentren Falkenstein und Nürnberg.

• Mistral AI (Frankreich) — Sprach- und Text-KI (Voxtral Transkription, Mistral Small Zusammenfassung). Im Sovereign-Tarif self-hosted auf eigener Hardware in Deutschland.

• Mollie B.V. (Niederlande) — Zahlungsabwicklung (SEPA, Karten, Subscriptions). Übermittlung von Name, Firma, E-Mail, Rechnungsanschrift, USt-Id und Zahlungsdaten.

• united-domains GmbH (Deutschland) — E-Mail-Versand und -Empfang (Anmelde-Links, Bestätigungs- und System-E-Mails). Verarbeitung ausschließlich in Deutschland.

Die Desktop-App (macOS und Windows) ruft beim Start und anschließend alle sechs Stunden, solange sie geöffnet ist, vermerk.eu/api/update/check auf, um auf eine aktuelle Version zu prüfen. Übertragen werden: aktuelle Versionsnummer, Plattform (darwin/windows), Architektur (aarch64/x86_64) sowie die IP-Adresse als technische Zugriffsadresse. Die Anfrage geht ausschließlich an unsere eigene Infrastruktur; Dritte sind nicht beteiligt. Die IP-Adresse wird im Zugriffsprotokoll maximal 14 Tage gespeichert; eine Profilbildung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags — Bereitstellung sicherer, aktueller Software).

Audio-Aufnahmen, Transkripte, Zusammenfassungen, erzeugte Exportdateien (PDF, DOCX, Markdown) sowie Titel, Mandant, Teilnehmernamen, Notizen und Einwilligungsnachweise einer Aufnahme werden vor der Speicherung auf unseren Servern mit einem pro Aufnahme zufällig erzeugten Schlüssel (Data Encryption Key, DEK) per AES-256-GCM verschlüsselt. Der DEK wird durch einen pro Mandant unterschiedlichen Schlüssel (Key Encryption Key, KEK) in einem in Deutschland betriebenen HashiCorp Vault gekapselt. Die unverschlüsselten Daten sind nur während der KI-Verarbeitung (Transkription, Zusammenfassung) im Arbeitsspeicher der Worker präsent.

Plattform-Personal mit Datenbank- oder Storage-Zugriff hat ohne Vault-Token keinen Lesezugriff auf Aufnahmen, Transkripte, Zusammenfassungen oder Exporte. Ausgenommen ist der Suchindex der Funktion "Fragen an Vermerk": die daraus abgeleiteten mathematischen Vektoren liegen unverschlüsselt in der Datenbank, da die Ähnlichkeitssuche darauf rechnen muss. Die zugehörigen Textabschnitte selbst sind verschlüsselt. Die Datenträger unserer Server sind zusätzlich auf Betriebssystemebene verschlüsselt.

Für die Registrierung und Nutzung des Dienstes verarbeiten wir: E-Mail-Adresse, Anzeigename, Firmen-/Workspace-Name, Rolle (Admin/Mitglied) sowie Zeitstempel der Anmeldungen.

Inhaltsdaten (Audio-Aufnahmen, Transkripte, Zusammenfassungen, Exporte) speichern wir entsprechend der Speicherdauer Ihres Tarifs (Free 90 Tage · Standard 1 Jahr · Premium 6 Jahre · Sovereign 10 Jahre). Nach Ablauf werden die Daten automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Workspaces können optional die Sprechererkennung aktivieren: wiederkehrende Stimmen werden dann in neuen Aufnahmen automatisch erkannt und im Transkript mit Namen versehen. Die Funktion ist standardmäßig deaktiviert und wird je Workspace bewusst durch einen Administrator eingeschaltet.

Dabei werden aus Aufnahmen mathematische Stimm-Merkmale (Voice-Embeddings) berechnet — biometrische Daten zur eindeutigen Identifizierung natürlicher Personen im Sinne von Art. 9 Abs. 1 DSGVO. Die Merkmale werden wie alle Inhaltsdaten AES-256-GCM-verschlüsselt gespeichert; Roh-Stimmproben über die Aufnahme selbst hinaus werden nicht angelegt. Die Berechnung erfolgt ausschließlich auf unserer eigenen Infrastruktur in Deutschland (self-hosted Modell); es ist kein externer KI-Anbieter beteiligt.

Ein wiedererkennbares Stimmprofil einer Person wird erst aktiv, nachdem der Workspace deren ausdrückliche Einwilligung bestätigt hat (Art. 9 Abs. 2 lit. a DSGVO). Für die Einholung und Dokumentation dieser Einwilligung ist der Workspace-Betreiber als Verantwortlicher zuständig; wir verarbeiten die Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Stimmprofile sind jederzeit einzeln löschbar; mit dem Löschen endet die Erkennung sofort. Beim Löschen einer Aufnahme werden die zugehörigen Stimm-Merkmale mitgelöscht. Es findet keine Verwendung außerhalb des jeweiligen Workspace statt.

Der Abgleich einer Stimme gegen die Profile eines Workspace findet ausschließlich auf unseren Servern in Deutschland statt. Stimmprofile verlassen unsere Infrastruktur nicht und werden nicht auf Ihre Geräte übertragen oder dort zwischengespeichert; die App sendet lediglich die berechneten Stimm-Merkmale einer Aufnahme TLS-gesichert zum Abgleich und erhält das Ergebnis zurück.

Zahlungsdaten (Kreditkarte, SEPA-Mandat, PayPal) werden ausschließlich durch Mollie verarbeitet und nicht von uns gespeichert. Wir speichern lediglich Referenz-IDs (Kunden-, Mandats- und Abonnement-ID) zur Zuordnung des Abonnements.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen richten Sie bitte an kontakt@vermerk.eu.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für unseren Sitz ist die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, mailbox@datenschutz.hamburg.de.