DSGVO & Datenschutz bei intrastat.ai

1. Unser Ansatz zum Datenschutz

intrastat.ai ist ein KI-gestützter B2B-Dienst zur Vorbereitung von Intrastat-Meldungen. Datenschutz ist wichtig, da Kunden Handels-, Rechnungs-, ERP-, Import-/Export- und Meldedaten hochladen können, die personenbezogene Daten enthalten können.

Diese Seite dient der Transparenz und Vertrauensbildung. Sie ist keine Zertifizierung und erhebt keinen Anspruch auf vollständige Compliance in jeder denkbaren Situation.

2. Rollen nach der DSGVO

Bei vom Kunden bereitgestellten Datensätzen, die nach seinen Weisungen verarbeitet werden, kann der Kunde als Verantwortlicher und intrastat.ai als Auftragsverarbeiter handeln.

Bei Konto-, Website-, Kontakt-, Abrechnungs-, Support-, Sicherheits- und Geschäftsverwaltungsdaten von intrastat.ai kann intrastat.ai als Verantwortlicher handeln. Die Datenschutzerklärung erläutert diese Rollen genauer.

3. Auftragsverarbeitungsverträge

Ein Auftragsverarbeitungsvertrag (DPA) kann erforderlich sein, wenn intrastat.ai personenbezogene Daten für einen Kunden als Auftragsverarbeiter verarbeitet.

Ein eingerichteter DPA-Abschlussprozess oder veröffentlichte DPA-Bedingungen wurden für diesen Hinweis nicht verifiziert. Daher verspricht diese Seite keine automatische Verfügbarkeit eines DPA. Kunden sollten die DPA-Regelungen vor Vertragsabschluss bestätigen lassen.

Die Verfügbarkeit eines DPA und der Prozess für dessen Abschluss werden noch nicht veröffentlicht, da sie für diesen Hinweis nicht verifiziert wurden.

4. Kerninfrastruktur in der EU

Die bestehenden Website-Inhalte nennen AWS in der Region Europe (Frankfurt) als Hosting-Infrastruktur der Kernanwendung.

Dies ist keine pauschale Aussage, dass sämtliche Lieferanten, E-Mail-Prozesse, Metadatenvorgänge, Supportabläufe, Vorgänge bei KI-Anbietern oder Sicherungen auf Deutschland oder den EWR beschränkt sind.

5. KI-Anbieter

KI-Funktionen können OpenAI und Mistral AI nutzen, soweit sie aktiviert sind. Diese Anbieter können die Extraktion, Strukturierung, Klassifizierungsunterstützung, Zuordnung, Validierung und Aufbereitung von Meldeinformationen unterstützen.

Welcher Anbieter für eine bestimmte Verarbeitung verwendet wird, kann von der aktivierten Funktion, dem Modell, dem Endpunkt, der Kontokonfiguration und der Kundenvereinbarung abhängen.

6. KI-Verarbeitung in Europa

Soweit das jeweilige Modell, der Endpunkt, der Anbieter und die Kontokonfiguration dies unterstützen, werden geeignete KI-Verarbeitungen über regionale Verarbeitungskontrollen für Europa geleitet.

Der aktive OpenAI-EU-Endpunkt, der europäische Mistral-Endpunkt und die Aufbewahrungseinstellungen der Anbieter wurden nicht für eine Veröffentlichung bestätigt. Daher behauptet diese Seite weder eine ausschließlich europäische KI-Verarbeitung noch den vollständigen Verzicht auf Aufbewahrung durch Anbieter.

Die regionale EU-Verarbeitung bei OpenAI, die Nutzung eines europäischen regionalen Mistral-Endpunkts und die Aufbewahrungskontrollen der Anbieter sollten anhand der aktiven Anbieterkonfiguration bestätigt werden, bevor weitergehende Aussagen veröffentlicht werden.

7. KI-Modelltraining und Kundendaten

Kundendaten sollten zum Zweck der Bereitstellung des Dienstes und der Unterstützung des vertraglich vereinbarten Intrastat-Arbeitsablaufs verarbeitet werden.

Anbieterspezifische Zusagen zum Modelltraining und zur Datennutzung hängen von den jeweiligen OpenAI- und Mistral-AI-Diensten, Vereinbarungen, Kontoeinstellungen und Endpunkten ab. Weitergehende anbieterspezifische Aussagen sollten erst nach Überprüfung dieser Einstellungen veröffentlicht werden.

8. Verwaltung von Unterauftragsverarbeitern

intrastat.ai setzt bei Bedarf externe Dienstleister ein, um den Dienst bereitzustellen, abzusichern und zu unterstützen. Weitere Einzelheiten enthält die Datenschutzerklärung.

AWS

Hosting der Kernanwendung; bestehende Website-Inhalte nennen AWS Europe (Frankfurt).

OpenAI

KI-Verarbeitung, soweit aktiviert; regionale Kontrollen und Aufbewahrungskontrollen müssen überprüft werden.

Mistral AI

KI-Verarbeitung, soweit aktiviert; regionale Kontrollen und Aufbewahrungskontrollen müssen überprüft werden.

SMTP-E-Mail-Infrastruktur

Versand von Kontakt-E-Mails der Website über die konfigurierte SMTP-Infrastruktur.

9. Internationale Übermittlungen

Bei einer Verarbeitung außerhalb des EWR sollten, soweit erforderlich, geeignete Garantien eingesetzt werden, etwa Auftragsverarbeitungsverträge mit Anbietern, Standardvertragsklauseln, Angemessenheitsbeschlüsse und ergänzende Maßnahmen.

Diese Seite behauptet nicht, dass keine internationalen Übermittlungen stattfinden, da die vollständige Anbieterkette und die Kontokonfiguration nicht überprüft wurden.

10. Datenminimierung und Zweckbindung

Kundendaten sollten nur verarbeitet werden, soweit dies zur Bereitstellung, Absicherung, Unterstützung und Verbesserung des Dienstes sowie zur Erfüllung geltender vertraglicher oder gesetzlicher Pflichten erforderlich ist.

Kunden sollten nur die für die Vorbereitung von Intrastat-Meldungen erforderlichen Daten hochladen und unnötige personenbezogene Daten in Handelsdatensätzen vermeiden.

11. Zugriffskontrollen und menschliche Prüfung

Soweit eine menschliche Prüfung angeboten wird, dient sie der Qualitätskontrolle bei unsicheren Klassifizierungen, Ausnahmen oder Prüfabläufen.

Eine menschliche Prüfung stellt weder eine behördliche Genehmigung noch Rechts-, Steuer- oder Zollberatung oder eine formelle Autorisierung einer Meldung dar. Zugriffskontrollen und Vertraulichkeitsbedingungen sollten in der jeweiligen Vereinbarung bestätigt werden.

12. Aufbewahrung und Löschung

Aufbewahrung und Löschung sollten sich nach der jeweiligen Kundenvereinbarung, dem DPA, gesetzlichen Pflichten, Sicherungspraktiken und dem betrieblichen Aufbewahrungsplan richten.

Ein verifizierter Aufbewahrungsplan wurde nicht für eine Veröffentlichung bestätigt. Daher veröffentlicht diese Seite keine festen Aufbewahrungsfristen.

Aufbewahrungsfristen für Konten, Kundendatensätze, Berichte, Protokolle, Support-, Abrechnungs- und Sicherungsdaten sowie gelöschte Konten werden noch nicht veröffentlicht, da sie für diesen Hinweis nicht verifiziert wurden.

13. Anfragen betroffener Personen

Anfragen zu Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch oder Widerruf einer Einwilligung können an info@intrastat.ai gesendet werden.

Soweit intrastat.ai als Auftragsverarbeiter handelt, unterstützt es den Kunden bzw. Verantwortlichen grundsätzlich bei der Bearbeitung entsprechender Anfragen nach Maßgabe des vertraglichen und datenschutzrechtlichen Rahmens.

14. Sicherheit

Der Dienst wird mit europäischem Hosting, kontrollierter Prüfung und nachvollziehbaren Entscheidungen für sensible Intrastat-Daten beschrieben.

Sicherheitsdetails werden allgemein beschrieben, um interne Implementierungsdetails nicht offenzulegen. Diese Seite behauptet nicht, dass Sicherheitsvorfälle unmöglich sind.

15. Umgang mit Vorfällen und Datenschutzverletzungen

intrastat.ai sollte Verfahren zur Bewertung von Sicherheitsvorfällen und Verletzungen des Schutzes personenbezogener Daten sowie zur Erfüllung geltender gesetzlicher und vertraglicher Meldepflichten vorhalten.

Über geltendes Recht und den jeweiligen Vertrag hinaus werden hier keine konkreten Meldefristen genannt, da eine verifizierte Richtlinie zur Reaktion auf Vorfälle nicht für eine Veröffentlichung bestätigt wurde.

16. KI-Transparenz und menschliche Aufsicht

intrastat.ai nutzt KI zur Unterstützung des Meldeprozesses. KI kann bei der Vorbereitung, Ergänzung, Validierung und Strukturierung von Daten helfen; KI-Ergebnisse können jedoch Korrekturen erfordern.

Kunden sollten Ergebnisse vor der Nutzung prüfen. Eine menschliche Prüfung kann als zusätzlicher Schritt zur Qualitätskontrolle verfügbar sein; weder KI noch menschliche Prüfung autorisieren jedoch eigenständig eine Intrastat-Meldung.

17. Kontrolle durch Kunden und abschließende Verantwortung

intrastat.ai unterstützt Verarbeitung, Vorbereitung und Qualitätskontrolle.

Der Kunde bleibt dafür verantwortlich, seine Meldepflichten festzustellen, die endgültigen Angaben zu validieren, die Meldung freizugeben, erforderliche Berechtigungen aufrechtzuerhalten und die Meldung offiziell bei der zuständigen Behörde hochzuladen oder einzureichen, sofern eine gesonderte schriftliche Vereinbarung nicht ausdrücklich etwas anderes bestimmt.

18. Kontakt und Datenschutzfragen

Fragen zur DSGVO oder zum Datenschutz können an info@intrastat.ai gesendet werden.