Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und in der Plattform miovea ist:

iunto Finanzen GmbH, Niederberger Höhe 14b, 56077 Koblenz, E-Mail: datenschutz@iunto-finanzen.de

Datenschutzbeauftragter: Felix Crombach, erreichbar unter datenschutz@iunto-finanzen.de

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

miovea ist eine Plattform für Versicherungsmakler. Es gilt eine geteilte Rollenverteilung:

• Für die Account- und Vertragsdaten unserer Kunden (Makler) sowie für Besucher dieser Website sind wir selbst Verantwortlicher.
• Für die Daten der Endkunden, die Makler in der Plattform verarbeiten (einschließlich Gesundheitsdaten), ist der jeweilige Makler Verantwortlicher. Wir verarbeiten diese Daten ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Maßgeblich für Endkunden ist zusätzlich die Datenschutzerklärung des jeweiligen Maklers.

3. Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO)

Die Plattform verarbeitet im Auftrag der Makler besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten aus Arztrechnungen, Patientenquittungen und Gesundheitsfragebögen. Rechtsgrundlage ist die ausdrückliche Einwilligung der betroffenen Endkunden (Art. 9 Abs. 2 lit. a DSGVO, § 22 BDSG) einschließlich einer Schweigepflichtentbindung, die der Makler vor der Verarbeitung einholt. Ohne dokumentierte Einwilligung blockiert die Plattform die Verarbeitung von Gesundheitsdokumenten.

4. KI-gestützte Dokumentenauswertung

Zur Auswertung hochgeladener Gesundheitsdokumente und eingehender E-Mails setzen wir KI-Dienstleister als Unterauftragsverarbeiter ein:

• Mistral AI SAS (Frankreich): Texterkennung (OCR) der hochgeladenen Dokumente und Mailanhänge. Dafür wird das Originaldokument übermittelt.
• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C., USA): Extraktion strukturierter Befunddaten, Zuordnung eingehender E-Mails, Vorschläge für Fragebögen sowie Interpretation und Aufbereitung. Vor der inhaltlichen Auswertung werden Name, Geburtsdatum und Kontaktdaten der Endkunden durch Platzhalter ersetzt. Im Klartext verarbeitet werden nur Angaben, die für die jeweilige Aufgabe erforderlich sind: die Erkennung der Identität aus einem hochgeladenen Dokument, der Import von Kundenlisten und Board-Screenshots sowie Absender und Betreff bei der Vorsortierung eingehender E-Mails.

Mit allen KI-Dienstleistern bestehen Auftragsverarbeitungsverträge. Die Daten werden von den Dienstleistern nicht für das Training von KI-Modellen verwendet; OpenAI speichert Anfragen höchstens 30 Tage zur Missbrauchserkennung. Die KI-Auswertung dient als Assistenz; die fachliche Entscheidung trifft stets der Makler.

5. Registrierung und Authentifizierung (Clerk)

Für Registrierung, Anmeldung und Sitzungsverwaltung nutzen wir Clerk, Inc. (USA). Verarbeitet werden Name, E-Mail-Adresse, Anmeldedaten und Sitzungsinformationen unserer Makler-Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework sowie ergänzend abgeschlossener Standardvertragsklauseln.

6. Hosting und Speicherung

• Vercel Inc. (USA): Hosting der Anwendung mit Serverfunktionen in Frankfurt am Main. DPF und Standardvertragsklauseln.
• Railway Corp. (USA): Betrieb von Datenbank, Hintergrunddiensten und Dokumentenspeicher in der EU-Region (Amsterdam, Niederlande); Speicher-Backend ist Tigris Data, Inc. (USA). Hochgeladene Dokumente liegen in einem privaten Speicher und sind nur über zeitlich befristete, signierte Links nach Berechtigungsprüfung abrufbar. Auftragsverarbeitungsvertrag mit Standardvertragsklauseln.

7. Zahlungsabwicklung (Stripe)

Abonnements und Zahlungen wickelt Stripe Payments Europe, Ltd. (Irland) ab. Stripe erhält die für die Zahlung erforderlichen Daten (Name, E-Mail, Zahlungsdaten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zahlungsdaten werden nicht auf unseren Systemen gespeichert.

8. E-Mail-Versand und -Empfang

Für den Versand von Risikovoranfragen an Versicherer sowie den Empfang von Antworten nutzen wir MailerSend (Rechenzentrum in Belgien). Vor dem Versand von Voranfragen werden die Namen der Endkunden aus Mailtext, Fragebogen und Dateinamen entfernt. Geburtsdatum, Geschlecht und Beruf werden übermittelt, soweit die Risikoprüfung sie erfordert; beigefügte Dokumente werden nur geschwärzt, wenn der Makler Schwärzungen gesetzt hat.

Alternativ können Makler in den Einstellungen ein eigenes E-Mail-Postfach (IMAP/SMTP) verbinden. In diesem Fall werden Vorgangs-E-Mails direkt über den Mailserver des jeweiligen Postfach-Anbieters versendet und empfangen; MailerSend ist daran nicht beteiligt. Die dafür erforderlichen Zugangsdaten speichern wir verschlüsselt (AES-256-GCM). Um die Servereinstellungen zu ermitteln, wird die Domain der Postfach-Adresse bei der Autokonfiguration von Mozilla Thunderbird und beim Mailanbieter abgefragt. Beim Abruf werden zunächst nur Absender und Betreff gelesen. Übernommen und gespeichert werden E-Mails, die einem Vorgang zugeordnet werden können oder voraussichtlich Antworten von Versicherern sind; zur Vorsortierung werden Absender und Betreff an OpenAI übermittelt. Hat der Makler den Agenten-Modus aktiviert, werden alle nicht automatisch erzeugten E-Mails übernommen, damit sein KI-Agent sie bearbeiten kann. Übernommene E-Mails, die keinem Vorgang zugeordnet werden, löschen wir einschließlich Anhängen 90 Tage nach Eingang. Alle übrigen Nachrichten des Postfachs werden nicht gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung kann jederzeit in den Einstellungen getrennt werden; dabei werden die Zugangsdaten gelöscht.

9. Cookies und optionale Produktanalyse

Technisch notwendige Cookies und Speicherungen verwenden wir für die Authentifizierung (Clerk) und die Theme-Einstellung (§ 25 Abs. 2 Nr. 2 TDDDG). Zusätzlich können angemeldete Makler ausdrücklich in eine optionale Produktanalyse mit PostHog einwilligen. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine Ablehnung hat keine Auswirkung auf die Nutzbarkeit der Plattform. Die Einwilligung kann jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen werden.

Anbieter ist PostHog, Inc. (USA); wir verwenden ausschließlich die EU-Cloud und den EU-Ingestion-Endpunkt. Übertragen werden nur wenige, vorab festgelegte Produktmeilensteine und grobe Kategorien. Nicht übertragen werden Kunden- oder Gesundheitsdaten, Namen, E-Mail-Adressen, URLs, Inhalte, Freitexte oder interne Datensatz-IDs. Der Accountbezug wird vor der Übertragung mit HMAC-SHA-256 pseudonymisiert. Automatische Seitenerfassung, Session Replay, Heatmaps, Fehlererfassung, Umfragen und dauerhafte Analytics-Cookies oder Browser-Speicher sind technisch deaktiviert.

Die Einwilligungsentscheidung wird serverseitig zusammen mit der Version des Hinweises gespeichert. Erteilung und Widerruf werden zum Nachweis dokumentiert. Die Analyse-Events werden im PostHog-Projekt nach zwölf Monaten gelöscht. Eine Übermittlung in die USA kann im Rahmen von Support- und Konzernzugriffen nicht vollständig ausgeschlossen werden; sie wird durch den Auftragsverarbeitungsvertrag und geeignete Garantien nach Art. 46 DSGVO abgesichert.

10. Server-Logs

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch bedingt Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit). Logs werden nach kurzer Zeit automatisch gelöscht.

11. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Endkundendaten löschen wir gemäß den Weisungen des verantwortlichen Maklers; die Plattform stellt dafür eine vollständige Löschfunktion (einschließlich Dokumenten) bereit. Abgelaufene Kundenlinks und zugehörige Übermittlungsdaten werden 90 Tage nach Ablauf automatisiert bereinigt. Löscht ein Makler seine Organisation, werden alle Daten 30 Tage danach endgültig gelöscht. Organisationen ohne Abonnement, die 90 Tage nicht genutzt werden, löschen wir nach vorheriger Ankündigung per E-Mail. Datensicherungen werden spätestens nach drei Monaten überschrieben. Gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtlich für Rechnungsdaten) bleiben unberührt.

12. Drittlandübermittlung

Soweit Dienstleister mit Sitz in den USA eingesetzt werden, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework) und ergänzend abgeschlossener EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wo verfügbar, konfigurieren wir eine Datenverarbeitung in EU-Regionen.

13. Ihre Rechte

Ihnen stehen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z. B. bei der Aufsichtsbehörde Ihres Bundeslandes.

Endkunden von Maklern wenden sich für die Ausübung ihrer Rechte an den jeweiligen Makler als Verantwortlichen; wir unterstützen die Makler dabei vertraglich und technisch.

14. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO und § 22 Abs. 2 BDSG, insbesondere Transportverschlüsselung (TLS), Verschlüsselung sensibler Zugriffstoken, strikte mandantenbezogene Zugriffskontrolle, passwortgeschützte und zeitlich befristete Kundenlinks, Pseudonymisierung vor der inhaltlichen KI-Auswertung sowie Protokollierung aller Änderungen und der Zugriffe des Betreibers. Einzelheiten stehen in Anlage 2 der AGB.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.