Datenschutzerklärung

Schmiedl Advisory & Ventures GmbH, vertreten durch den Geschäftsführer Jannik Schmiedl, Poppenbütteler Ch 51a, 22397 Hamburg, Deutschland.

E-Mail: kontakt@vermerk.eu

Es werden keine Tracking-Cookies gesetzt. Zur Reichweitenmessung setzen wir eine cookielose, selbst gehostete Analyse-Software ein; Einzelheiten in Ziffer 3.

Keine Drittanbieter-Inhalte (Schriften, Karten, Videos, Pixel) werden eingesetzt. Schriften (Spectral, Schibsted Grotesk, JetBrains Mono) werden selbst gehostet.

Während des Bezahlvorgangs (Checkout) verwenden wir technisch notwendige Session-Cookies; diese sind nach § 25 Abs. 2 Nr. 2 TTDSG einwilligungsfrei.

Beim Aufruf der Website werden serverseitig vorübergehend technische Zugriffsdaten verarbeitet (anonymisierte IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, User-Agent). Speicherdauer maximal 14 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherstellung Betrieb und IT-Sicherheit).

Wir setzen auf dieser Website die selbst gehostete Open-Source-Webanalyse-Software Umami ein. Die Verarbeitung erfolgt ausschließlich auf unserem eigenen Server in Deutschland (Hetzner Online GmbH); es werden keine Daten an Dritte übermittelt.

Umami verwendet keine Cookies und speichert keine personenbezogenen Daten. Erfasst werden ausschließlich anonymisierte Nutzungsdaten: aufgerufene Seiten, Referrer, Browser- und Gerätetyp, Herkunftsland sowie Interaktionsereignisse (z. B. Klicks auf Schaltflächen). Die IP-Adresse wird nicht gespeichert; eine Identifizierung einzelner Besucherinnen und Besucher ist nicht möglich.

Rechtsgrundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO). Da keine Cookies gesetzt und keine personenbezogenen Daten verarbeitet werden, ist eine Einwilligung nicht erforderlich.

Wir setzen folgende Auftragsverarbeiter mit jeweils abgeschlossenem AV-Vertrag nach Art. 28 DSGVO ein. Die vollständige Übersicht inklusive Zweck und Sitz finden Sie auf der Seite /transparenz.

• Hetzner Online GmbH (Deutschland): Hosting, Compute und Datenspeicher (Audio, Transkripte, Exporte, Datenbank). Rechenzentren Falkenstein und Nürnberg.

• Mistral AI (Frankreich): Sprach- und Text-KI (Voxtral Transkription, Mistral Small Zusammenfassung). Im Sovereign-Tarif self-hosted auf eigener Hardware in Deutschland.

• Mollie B.V. (Niederlande): Zahlungsabwicklung (SEPA, Karten, Subscriptions). Übermittlung von Name, Firma, E-Mail, Rechnungsanschrift, USt-Id und Zahlungsdaten.

• united-domains GmbH (Deutschland): E-Mail-Versand und -Empfang (Anmelde-Links, Bestätigungs- und System-E-Mails). Verarbeitung ausschließlich in Deutschland.

Für Transkript, Zusammenfassung und Antworten auf Fragen an eine Aufnahme übermittelt Vermerk folgende Daten an Mistral AI SAS (Paris, Frankreich): den Ton der Aufnahme, das daraus entstehende Transkript, Titel, Mandant bzw. Ordner, die Namen der Teilnehmenden, Ihre Notizen und Ihre Vorbereitung zu einem geplanten Meeting, Begriffe aus dem Vokabular Ihres Workspace sowie Ihre Fragen an eine Aufnahme.

Die Daten werden in der App bzw. im Dashboard von Ihnen erfasst (Aufnahme über das Mikrofon, Eingaben in den Feldern) und verschlüsselt an unseren Server in Deutschland übertragen; von dort sendet Vermerk sie für die jeweilige Verarbeitung an Mistral AI. Verwendet werden sie ausschließlich, um Transkript, Zusammenfassung und Antworten für Sie zu erstellen.

Mistral AI verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO ausschließlich in unserem Auftrag und innerhalb der EU. Mistral speichert die übermittelten Daten nicht über die Verarbeitung hinaus (Zero Data Retention) und nutzt sie nicht zum Training von KI-Modellen. Damit gilt für diese Daten dasselbe Schutzniveau wie bei uns.

Die iOS-App fragt vor der ersten Aufnahme bzw. Frage auf einem Gerät um Ihre Erlaubnis für diese Verarbeitung. Sie können sie jederzeit in den Einstellungen der App unter „Datenschutz“ widerrufen; danach startet die App keine Aufnahme mehr, bis Sie erneut zustimmen. Die Sprechererkennung (Ziffer 9) läuft nicht bei Mistral, sondern auf unseren eigenen Servern in Deutschland.

Die Desktop-App (macOS und Windows) ruft beim Start und anschließend alle sechs Stunden, solange sie geöffnet ist, vermerk.eu/api/update/check auf, um auf eine aktuelle Version zu prüfen. Übertragen werden: aktuelle Versionsnummer, Plattform (darwin/windows), Architektur (aarch64/x86_64) sowie die IP-Adresse als technische Zugriffsadresse. Die Anfrage geht ausschließlich an unsere eigene Infrastruktur; Dritte sind nicht beteiligt. Die IP-Adresse wird im Zugriffsprotokoll maximal 14 Tage gespeichert; eine Profilbildung findet nicht statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags: Bereitstellung sicherer, aktueller Software).

Audio-Aufnahmen, Transkripte, Zusammenfassungen, erzeugte Exportdateien (PDF, DOCX, Markdown) sowie Titel, Mandant, Teilnehmernamen, Notizen und Einwilligungsnachweise einer Aufnahme werden vor der Speicherung auf unseren Servern mit einem pro Aufnahme zufällig erzeugten Schlüssel (Data Encryption Key, DEK) per AES-256-GCM verschlüsselt. Der DEK wird durch einen pro Mandant unterschiedlichen Schlüssel (Key Encryption Key, KEK) in einem in Deutschland betriebenen HashiCorp Vault gekapselt. Die unverschlüsselten Daten sind nur während der KI-Verarbeitung (Transkription, Zusammenfassung) im Arbeitsspeicher der Worker präsent.

Plattform-Personal mit Datenbank- oder Storage-Zugriff hat ohne Vault-Token keinen Lesezugriff auf Aufnahmen, Transkripte, Zusammenfassungen oder Exporte. Ausgenommen ist der Suchindex der Funktion "Fragen an Vermerk": die daraus abgeleiteten mathematischen Vektoren liegen unverschlüsselt in der Datenbank, da die Ähnlichkeitssuche darauf rechnen muss. Die zugehörigen Textabschnitte selbst sind verschlüsselt. Die Datenträger unserer Server sind zusätzlich auf Betriebssystemebene verschlüsselt.

Für die Registrierung und Nutzung des Dienstes verarbeiten wir: E-Mail-Adresse, Anzeigename, Firmen-/Workspace-Name, Rolle (Admin/Mitglied) sowie Zeitstempel der Anmeldungen.

Inhaltsdaten (Audio-Aufnahmen, Transkripte, Zusammenfassungen, Exporte) speichern wir entsprechend der Speicherdauer Ihres Tarifs (Free 90 Tage · Standard 1 Jahr · Premium 6 Jahre · Sovereign 10 Jahre). Nach Ablauf werden die Daten automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Workspaces können optional die Sprechererkennung aktivieren: wiederkehrende Stimmen werden dann in neuen Aufnahmen automatisch erkannt und im Transkript mit Namen versehen. Die Funktion ist standardmäßig deaktiviert und wird je Workspace bewusst durch einen Administrator eingeschaltet.

Dabei werden aus Aufnahmen mathematische Stimm-Merkmale (Voice-Embeddings) berechnet. Das sind biometrische Daten zur eindeutigen Identifizierung natürlicher Personen im Sinne von Art. 9 Abs. 1 DSGVO. Die Merkmale werden wie alle Inhaltsdaten AES-256-GCM-verschlüsselt gespeichert; Roh-Stimmproben über die Aufnahme selbst hinaus werden nicht angelegt. Die Berechnung erfolgt ausschließlich auf unserer eigenen Infrastruktur in Deutschland (self-hosted Modell); es ist kein externer KI-Anbieter beteiligt.

Ein wiedererkennbares Stimmprofil einer Person wird erst aktiv, nachdem der Workspace deren ausdrückliche Einwilligung bestätigt hat (Art. 9 Abs. 2 lit. a DSGVO). Für die Einholung und Dokumentation dieser Einwilligung ist der Workspace-Betreiber als Verantwortlicher zuständig; wir verarbeiten die Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Stimmprofile sind jederzeit einzeln löschbar; mit dem Löschen endet die Erkennung sofort. Beim Löschen einer Aufnahme werden die zugehörigen Stimm-Merkmale mitgelöscht. Es findet keine Verwendung außerhalb des jeweiligen Workspace statt.

Der Abgleich einer Stimme gegen die Profile eines Workspace findet ausschließlich auf unseren Servern in Deutschland statt. Stimmprofile verlassen unsere Infrastruktur nicht und werden nicht auf Ihre Geräte übertragen oder dort zwischengespeichert; die App sendet lediglich die berechneten Stimm-Merkmale einer Aufnahme TLS-gesichert zum Abgleich und erhält das Ergebnis zurück.

Workspaces können optional erlauben, KI-Anwendungen und andere MCP-Clients (zum Beispiel Claude oder ChatGPT) über unseren MCP-Server mcp.vermerk.eu mit Vermerk zu verbinden. Die Funktion ist standardmäßig deaktiviert und wird je Workspace durch einen Administrator eingeschaltet. Danach verbindet jede Person jede Anwendung selbst: Sie meldet sich bei Vermerk an, sieht Name und Herkunft der Anwendung und erteilt den Zugriff ausdrücklich, zum Lesen und auf Wunsch zum Bearbeiten.

Übermittelte Daten: Auf Anfrage der verbundenen Anwendung übermitteln wir die Inhalte, auf die die angemeldete Person in Vermerk Zugriff hat, also Titel, Datum, Mandant, Teilnehmende, Notizen, Zusammenfassungen und Transkripte von Aufnahmen sowie ihre eigenen geplanten Besprechungen. Mit Bearbeitungsrecht übernehmen wir Änderungen, die die Anwendung zurückschreibt (Besprechungen planen, Titel, Mandant, Teilnehmende und Zusammenfassungen ändern). Löschen kann eine Anwendung nichts. Inhalte archivierter Aufnahmen werden nicht übermittelt.

Zweck und Rechtsgrundlage: Ausführung der Anfragen, die die Person über die Anwendung stellt (Art. 6 Abs. 1 lit. b DSGVO); für Inhaltsdaten handeln wir als Auftragsverarbeiter des Workspace (Art. 28 DSGVO).

Empfänger: der Anbieter der Anwendung, die Sie verbinden. Er ist kein Unterauftragsverarbeiter von Vermerk, sondern wird vom Workspace beziehungsweise der Person ausgewählt; für die Verarbeitung dort gelten seine Bedingungen und Datenschutzhinweise, einschließlich möglicher Übermittlungen in Drittländer.

Was wir dazu speichern: Name und technische Kennung der Anwendung, Zeitpunkt und Umfang der Zustimmung, Zeitpunkt der letzten Nutzung sowie Zugangsschlüssel ausschließlich als Hashwert. Jeder Zugriff erzeugt einen Eintrag im Audit-Log des Workspace (Werkzeug, Anwendung, betroffene Aufnahmen, keine Inhalte).

Speicherdauer und Kontrolle: Zugangsschlüssel gelten eine Stunde, Erneuerungsschlüssel 90 Tage ab der letzten Nutzung. Verbindungen bestehen, bis sie getrennt werden: von der Person selbst (Sicherheit), von einem Administrator (Einstellungen) oder für alle auf einmal durch Abschalten des MCP-Zugriffs. Registrierungen von Anwendungen, die nie verbunden wurden, löschen wir nach 30 Tagen. Inhalte, die bereits an eine Anwendung übermittelt wurden, löschen Sie in der jeweiligen Anwendung.

Zahlungsdaten (Kreditkarte, SEPA-Mandat, PayPal) werden ausschließlich durch Mollie verarbeitet und nicht von uns gespeichert. Wir speichern lediglich Referenz-IDs (Kunden-, Mandats- und Abonnement-ID) zur Zuordnung des Abonnements.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Anfragen richten Sie bitte an kontakt@vermerk.eu.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Zuständig für unseren Sitz ist die Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg, mailbox@datenschutz.hamburg.de.