Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Hinweis: Als kleines Einzelunternehmen ohne Massenverarbeitung besonderer Datenkategorien besteht nach aktuellem Stand keine Pflicht zur Bestellung eines Datenschutzbeauftragten gemäß Art. 37 DSGVO. Für alle datenschutzrechtlichen Anfragen wende dich direkt an den Verantwortlichen unter der oben genannten Adresse.

Wir verarbeiten personenbezogene Daten nur insoweit, wie sie für die jeweils von dir genutzte Funktion erforderlich sind. In der Praxis unterscheiden wir insbesondere zwischen folgenden Datenkategorien:

Wir geben personenbezogene Daten nur an Dritte weiter, soweit dies zur Vertragserfüllung erforderlich ist oder du ausdrücklich eingewilligt hast. Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO.

Für den E-Mail-Versand (Mailgun) und — bei aktiviertem LLM-Opt-in — für KI-gestützte Funktionen über OpenAI kann eine Datenübermittlung in die USA oder andere Drittländer erfolgen. Soweit eine Übermittlung in ein Drittland stattfindet, stützen wir sie auf geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln (SCCs); soweit anwendbar kann zusätzlich ein Angemessenheitsbeschluss als Grundlage dienen.

Bei OpenAI betrifft dies je nach genutzter Funktion insbesondere hochgeladene Vertragsunterlagen, vertragsbezogene Chat-Inhalte sowie die für den API-Aufruf erforderlichen technischen Metadaten.

Für Langfuse hängt die Verarbeitungsregion von der konkret konfigurierten Instanz ab. Wird eine Instanz außerhalb des EU/EWR eingesetzt, gelten die vorstehenden Garantien entsprechend.

Soweit im Angebots- oder Abschlussprozess eine Kommunikation mit Versicherern oder deren technischen Abwicklungsstellen erfolgt, richtet sich eine etwaige Drittlandverarbeitung nach dem jeweils konkret eingesetzten Empfänger; hierüber informieren wir, soweit erforderlich, im konkreten Prozess.

• Nutzerkonto und Profildaten: Bis zur Löschung durch den Nutzer oder auf Anfrage. Nach einer Kontolöschung entfernen wir die zugeordneten Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Vertragsunterlagen und Extraktionsdaten: Bis zur aktiven Löschung durch den Nutzer oder bis zur Löschung des zugehörigen Kontos, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Audit- und Sicherheitsprotokolle: Für die Dauer, die wir für Sicherheits-, Nachweis- und Betriebszwecke benötigen; nutzerbezogene Einträge werden nach aktueller Systemlogik grundsätzlich zusammen mit dem Konto entfernt, soweit keine gesetzlichen Pflichten entgegenstehen.
• E-Mail-Kommunikation und Versandmetadaten: Für die Dauer der Bearbeitung des jeweiligen Vorgangs sowie darüber hinaus nur, soweit dies für Nachweis-, Sicherheits- oder gesetzliche Pflichten erforderlich ist.

wealve verwendet technisch notwendige Cookies und Speichermechanismen für Authentifizierung, Sicherheit, Consent-Management und Sitzungssteuerung:

• Authentifizierungs-Cookies: Z. B. für Access- und Refresh-Tokens, damit geschützte Sitzungen und erneute Authentifizierung technisch möglich sind.
• CSRF-Cookie: Zum Schutz vor Cross-Site-Request-Forgery-Angriffen. Technisch zwingend erforderlich.
• Consent-Speicherung: Deine Auswahl aus dem Cookie-Banner wird lokal im Browser gespeichert; bei eingeloggten Nutzern kann die Analytics-Präferenz zusätzlich im Nutzerkonto gespiegelt werden.

Zusätzlich bieten wir eine optionale Website-Analyse mit Umami an. Das Umami-Skript wird erst nach deiner ausdrücklichen Einwilligung über das Cookie-Banner geladen; bei eingeloggten Nutzern kann die Präferenz zusätzlich im Profil gespeichert werden. Die Einwilligung kann jederzeit über die Cookie-Einstellungen und im Profil mit Wirkung für die Zukunft widerrufen werden.

Tracking- oder Werbe-Cookies werden nicht eingesetzt. Rechtsgrundlage für technisch notwendige Cookies: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. f DSGVO. Rechtsgrundlage für die optionale Website-Analyse: § 25 Abs. 1 TDDDG sowie Art. 6 Abs. 1 lit. a DSGVO.

wealve bietet optional KI-gestützte Funktionen an, insbesondere die Extraktion von Vertragsparametern aus hochgeladenen Dokumenten sowie vertragsbezogene Chat- und Assistenzfunktionen. Diese Funktionen sind standardmäßig deaktiviert und werden nur nach deiner ausdrücklichen Einwilligung aktiviert (LLM-Opt-in in den Kontoeinstellungen).

• Je nach genutzter Funktion können insbesondere hochgeladene Vertragsunterlagen, vertragsbezogene Texteingaben, Chat-Inhalte und die für den Aufruf erforderlichen technischen Metadaten an die OpenAI API übermittelt werden. Nach Angaben von OpenAI werden API-Eingaben standardmäßig nicht zum Training der Modelle verwendet; Ein- und Ausgaben können für bis zu 30 Tage gespeichert werden.
• Wenn Langfuse für den jeweiligen LLM-Pfad aktiviert ist, können Prompt-/Response-Inhalte sowie technische Metadaten zusätzlich für Monitoring- und Fehleranalysezwecke an Langfuse übermittelt werden.
• Ohne aktiviertes LLM-Opt-in erfolgt keine OpenAI-basierte Dokumentenextraktion und kein OpenAI-basierter Vertragschat. Hochgeladene Dateien können jedoch weiterhin in deinem Konto gespeichert bleiben, bis du sie oder dein Konto löschst.
• Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft in den Kontoeinstellungen widerrufen. Bereits verarbeitete Extraktionsdaten bleiben davon unberührt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

wealve bietet einen Newsletter zu Themen der Altersvorsorge an. Dieser wird ausschließlich nach deiner ausdrücklichen Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO versendet. Wir verwenden das Double-Opt-in-Verfahren: Du erhältst nach der Anmeldung eine Bestätigungs-E-Mail, mit der du deine Anmeldung aktiv bestätigen musst. Ohne diese Bestätigung wirst du nicht in den Verteiler aufgenommen.

Du kannst den Newsletter jederzeit ohne Angabe von Gründen abbestellen — entweder über den Abmeldelink in jeder Newsletter-E-Mail oder über wealve.de/newsletter/unsubscribe. Nach der Abmeldung wird deine E-Mail-Adresse aus dem Verteiler entfernt; bereits verarbeitete Sendungen bleiben davon unberührt.

Der Versand erfolgt über den E-Mail-Dienstleister Mailgun (EU-Region, Frankfurt). Dabei werden insbesondere deine E-Mail-Adresse, der jeweilige Nachrichteninhalt sowie technische Versand- und Double-Opt-in-Metadaten verarbeitet. Mit Mailgun besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): Du kannst Auskunft über die von uns verarbeiteten Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Du kannst die Berichtigung unrichtiger Daten fordern.
• Löschung (Art. 17 DSGVO): Du kannst die Löschung deiner Daten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Du kannst die Einschränkung der Verarbeitung verlangen, z. B. während einer Überprüfung der Richtigkeit deiner Daten.
• Datenübertragbarkeit (Art. 20 DSGVO): Du hast das Recht, deine Daten in einem strukturierten, maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21 DSGVO): Du kannst der Verarbeitung auf Basis von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) jederzeit widersprechen.
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO): Du kannst eine erteilte Einwilligung (z. B. LLM-Opt-in) jederzeit mit Wirkung für die Zukunft widerrufen, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.

Zur Ausübung deiner Rechte genügt eine formlose E-Mail an datenschutz@wealve.de. Wir antworten innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

Du hast gemäß Art. 77 DSGVO das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Schutz deiner Daten hat für uns höchste Priorität. Wir setzen umfassende technische und organisatorische Maßnahmen (TOMs) gemäß Art. 32 DSGVO ein:

• Verschlüsselte Übertragung: Alle Daten zwischen deinem Browser und unseren Servern werden ausschließlich über HTTPS mit TLS übertragen. Unverschlüsselte Verbindungen werden serverseitig abgewiesen.
• Primäre Datenspeicherung in Deutschland: Unsere Kernsysteme und Datenbanken werden auf Infrastruktur in Deutschland betrieben. Abweichende Speicher- oder Verarbeitungsorte ergeben sich nur, soweit in den Abschnitten 4 und 5 beschrieben.
• Datentrennung auf Infrastrukturebene: Identitäts-, Finanz- und Audit-Daten werden in getrennten Datenbankschemas gespeichert und sind technisch voneinander isoliert. Ein unberechtigter Zugriff auf Finanzdaten über die Identitätsschicht ist architektonisch ausgeschlossen.
• Passwort-Hashing: Passwörter werden ausschließlich als kryptographische Hashes (bcrypt) gespeichert. Der Klartext wird zu keinem Zeitpunkt persistiert.
• Secret Rotation: Zugangsdaten, API-Keys und interne Systemgeheimnisse unterliegen einem geregelten Rotationsverfahren. Kompromittierte oder abgelaufene Credentials werden aktiv erneuert; veraltete Secrets werden automatisch ungültig gemacht.
• Serversicherheit und Zugriffskontrolle: Unsere Server sind durch restriktive Firewall-Regeln und VPN-basierte Administrationszugänge abgesichert. Der direkte Zugriff auf Produktionssysteme ist auf autorisierte Personen beschränkt und vollständig protokolliert.
• Verschlüsselte Backups: Datensicherungen werden regelmäßig erstellt und verschlüsselt gespeichert. Die Backup-Verschlüsselung entspricht dem Stand der Technik (AES-256).
• Audit-Logging: Sicherheitsrelevante Vorgänge (Anmeldungen, Datenexporte, Konfigurationsänderungen) werden revisionssicher protokolliert und sind für externe Überprüfungen verfügbar.

Bei Verdacht auf einen Sicherheitsvorfall oder eine Datenpanne wende dich bitte umgehend an datenschutz@wealve.de. Wir sind gesetzlich verpflichtet, Datenpannen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO).