1. Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und in der Plattform miovea ist:
iunto Finanzen GmbH, Niederberger Höhe 14b, 56077 Koblenz, E-Mail: datenschutz@iunto-finanzen.de
Datenschutzbeauftragter: Felix Crombach, erreichbar unter datenschutz@iunto-finanzen.de
2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter
miovea ist eine Plattform für Versicherungsmakler. Es gilt eine geteilte Rollenverteilung:
- Für die Account- und Vertragsdaten unserer Kunden (Makler) sowie für Besucher dieser Website sind wir selbst Verantwortlicher.
- Für die Daten der Endkunden, die Makler in der Plattform verarbeiten (einschließlich Gesundheitsdaten), ist der jeweilige Makler Verantwortlicher. Wir verarbeiten diese Daten ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Maßgeblich für Endkunden ist zusätzlich die Datenschutzerklärung des jeweiligen Maklers.
3. Verarbeitung von Gesundheitsdaten (Art. 9 DSGVO)
Die Plattform verarbeitet im Auftrag der Makler besondere Kategorien personenbezogener Daten, insbesondere Gesundheitsdaten aus Arztrechnungen, Patientenquittungen und Gesundheitsfragebögen. Rechtsgrundlage ist die ausdrückliche Einwilligung der betroffenen Endkunden (Art. 9 Abs. 2 lit. a DSGVO, § 22 BDSG) einschließlich einer Schweigepflichtentbindung, die der Makler vor der Verarbeitung einholt. Ohne dokumentierte Einwilligung blockiert die Plattform die Verarbeitung von Gesundheitsdokumenten.
4. KI-gestützte Dokumentenauswertung
Zur Auswertung hochgeladener Gesundheitsdokumente setzen wir KI-Dienstleister als Unterauftragsverarbeiter ein:
- Mistral AI SAS (Frankreich): Texterkennung (OCR) der hochgeladenen Dokumente.
- OpenAI (OpenAI Ireland Ltd. / OpenAI LLC): Extraktion strukturierter Befunddaten sowie Interpretation und Aufbereitung. Vor dieser Verarbeitung werden bekannte Identifikatoren der Endkunden (z. B. Name, Geburtsdatum) pseudonymisiert.
Mit allen KI-Dienstleistern bestehen Auftragsverarbeitungsverträge. Die Daten werden von den Dienstleistern nicht für das Training von KI-Modellen verwendet. Die KI-Auswertung dient als Assistenz; die fachliche Entscheidung trifft stets der Makler.
5. Registrierung und Authentifizierung (Clerk)
Für Registrierung, Anmeldung und Sitzungsverwaltung nutzen wir Clerk, Inc. (USA). Verarbeitet werden Name, E-Mail-Adresse, Anmeldedaten und Sitzungsinformationen unserer Makler-Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Übermittlung in die USA erfolgt auf Grundlage des EU-U.S. Data Privacy Framework sowie ergänzend abgeschlossener Standardvertragsklauseln.
6. Hosting und Speicherung
- Vercel Inc. (USA): Hosting der Anwendung und Speicherung hochgeladener Dokumente (Vercel Blob, Zugriff nur über authentifizierte Serverfunktionen). DPF und Standardvertragsklauseln.
- Railway Corp. (USA): Betrieb der Datenbank in der EU-Region (Amsterdam, Niederlande). Auftragsverarbeitungsvertrag mit Standardvertragsklauseln.
7. Zahlungsabwicklung (Stripe)
Abonnements und Zahlungen wickelt Stripe Payments Europe, Ltd. (Irland) ab. Stripe erhält die für die Zahlung erforderlichen Daten (Name, E-Mail, Zahlungsdaten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zahlungsdaten werden nicht auf unseren Systemen gespeichert.
8. E-Mail-Versand und -Empfang
Für den Versand von Risikovoranfragen an Versicherer sowie den Empfang von Antworten nutzen wir MailerSend (Rechenzentrum in Belgien). Ausgehende Voranfragen werden vor dem Versand anonymisiert; bekannte Identifikatoren der Endkunden werden entfernt.
Alternativ können Makler in den Einstellungen ein eigenes E-Mail-Postfach (IMAP/SMTP) verbinden. In diesem Fall werden Vorgangs-E-Mails direkt über den Mailserver des jeweiligen Postfach-Anbieters versendet und empfangen; MailerSend ist daran nicht beteiligt. Die dafür erforderlichen Zugangsdaten speichern wir verschlüsselt (AES-256-GCM). Beim Abruf werden ausschließlich E-Mails übernommen, die einem Vorgang zugeordnet werden können; alle übrigen Nachrichten des Postfachs werden weder gespeichert noch ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung kann jederzeit in den Einstellungen getrennt werden; dabei werden die Zugangsdaten gelöscht.
9. Cookies und optionale Produktanalyse
Technisch notwendige Cookies und Speicherungen verwenden wir für die Authentifizierung (Clerk) und die Theme-Einstellung (§ 25 Abs. 2 Nr. 2 TDDDG). Zusätzlich können angemeldete Makler ausdrücklich in eine optionale Produktanalyse mit PostHog einwilligen. Rechtsgrundlagen sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine Ablehnung hat keine Auswirkung auf die Nutzbarkeit der Plattform. Die Einwilligung kann jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen werden.
Anbieter ist PostHog, Inc. (USA); wir verwenden ausschließlich die EU-Cloud und den EU-Ingestion-Endpunkt. Übertragen werden nur wenige, vorab festgelegte Produktmeilensteine und grobe Kategorien. Nicht übertragen werden Kunden- oder Gesundheitsdaten, Namen, E-Mail-Adressen, URLs, Inhalte, Freitexte oder interne Datensatz-IDs. Der Accountbezug wird vor der Übertragung mit HMAC-SHA-256 pseudonymisiert. Automatische Seitenerfassung, Session Replay, Heatmaps, Fehlererfassung, Umfragen und dauerhafte Analytics-Cookies oder Browser-Speicher sind technisch deaktiviert.
Die Einwilligungsentscheidung wird serverseitig zusammen mit der Version des Hinweises gespeichert. Erteilung und Widerruf werden zum Nachweis dokumentiert. Die Analyse-Events werden im PostHog-Projekt nach zwölf Monaten gelöscht. Eine Übermittlung in die USA kann im Rahmen von Support- und Konzernzugriffen nicht vollständig ausgeschlossen werden; sie wird durch den Auftragsverarbeitungsvertrag und geeignete Garantien nach Art. 46 DSGVO abgesichert.
10. Server-Logs
Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch bedingt Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Betriebssicherheit). Logs werden nach kurzer Zeit automatisch gelöscht.
11. Speicherdauer und Löschung
Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist. Endkundendaten löschen wir gemäß den Weisungen des verantwortlichen Maklers; die Plattform stellt dafür eine vollständige Löschfunktion (einschließlich Dokumenten) bereit. Abgelaufene Kundenlinks und zugehörige Übermittlungsdaten werden automatisiert bereinigt. Gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtlich für Rechnungsdaten) bleiben unberührt.
12. Drittlandübermittlung
Soweit Dienstleister mit Sitz in den USA eingesetzt werden, erfolgt die Übermittlung auf Grundlage eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework) und ergänzend abgeschlossener EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Wo verfügbar, konfigurieren wir eine Datenverarbeitung in EU-Regionen.
13. Ihre Rechte
Ihnen stehen folgende Rechte zu:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), z. B. bei der Aufsichtsbehörde Ihres Bundeslandes.
Endkunden von Maklern wenden sich für die Ausübung ihrer Rechte an den jeweiligen Makler als Verantwortlichen; wir unterstützen die Makler dabei vertraglich und technisch.
14. Datensicherheit
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO und § 22 Abs. 2 BDSG, insbesondere Transportverschlüsselung (TLS), Verschlüsselung sensibler Zugriffstoken, strikte mandantenbezogene Zugriffskontrolle, passwortgeschützte und zeitlich befristete Kundenlinks, Pseudonymisierung vor KI-Auswertung sowie Protokollierung sicherheitsrelevanter Ereignisse.
15. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.