Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die in dieser Datenschutzerklärung beschriebenen eigenen Verarbeitungen ist:

TarifAI UG (haftungsbeschränkt)
[ANSCHRIFT]
E-Mail: [E-MAIL]
Telefon: [TELEFON]
Vertretungsberechtigt: [GESCHÄFTSFÜHRUNG]

Soweit wir personenbezogene Daten ausschließlich nach dokumentierter Weisung eines Unternehmenskunden innerhalb von TarifAI verarbeiten, handeln wir insoweit als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Einzelheiten werden in einer gesonderten Vereinbarung zur Auftragsverarbeitung (AVV) geregelt.

2. Datenschutzbeauftragter

[DATENSCHUTZBEAUFTRAGTER / KONTAKT oder „nicht bestellt“ mit zentraler Datenschutz-Kontaktadresse]

3. Geltungsbereich und Rollenverteilung

Diese Datenschutzerklärung gilt für tarifai.de und app.tarifai.de sowie für die webbasierte SaaS-Plattform TarifAI. TarifAI unterstützt Unternehmenskunden bei der zolltariflichen Einreihung von Waren durch KI-gestützte Analyse von Warenbeschreibungen und – soweit freigeschaltet – hochgeladenen Dokumenten oder sonstigen Produktinformationen.

Wir sind insbesondere für Konto-, Vertrags-, Abrechnungs-, Sicherheits-, Support- und Website-Daten eigener Verantwortlicher. Enthalten Kundeneingaben oder hochgeladene Dateien personenbezogene Daten Dritter oder von Beschäftigten des Kunden, verarbeitet der Anbieter diese Daten im Regelfall im Auftrag des Kunden. Der Kunde bleibt für die Rechtmäßigkeit der Eingabe und die Erfüllung seiner Informationspflichten gegenüber betroffenen Personen verantwortlich, soweit gesetzlich nichts anderes bestimmt ist.

4. Grundsätze und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, wenn hierfür eine Rechtsgrundlage besteht. Je nach Verarbeitung kommen insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, insbesondere sichere und wirtschaftliche Bereitstellung des Dienstes, Missbrauchsprävention und B2B-Kommunikation) in Betracht.

Werden besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO verarbeitet, ist zusätzlich eine einschlägige Ausnahme nach Art. 9 Abs. 2 DSGVO erforderlich. Für die übliche Zolltarifierung sind solche Daten nicht erforderlich und sollen nicht hochgeladen werden.

5. Aufruf der Website, Hosting und Server-Logfiles

Beim Aufruf unserer Website oder Plattform verarbeitet die technische Infrastruktur insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, Referrer-Informationen, Browser-/Geräteinformationen, Betriebssystem, Fehler- und Sicherheitsereignisse. Die Verarbeitung ist für die Auslieferung, Stabilität und Sicherheit des Dienstes erforderlich. Rechtsgrundlage ist regelmäßig Art. 6 Abs. 1 lit. f DSGVO; soweit die Verarbeitung unmittelbar zur Durchführung des Nutzungsvertrags erforderlich ist, zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Das Hosting der Website und Anwendung erfolgt bei Vercel in der Rechenzentrumsregion Frankfurt am Main; Datenbanken betreiben wir bei der Hetzner Online GmbH in Deutschland. Logdaten werden grundsätzlich für [X TAGE] gespeichert, soweit keine Sicherheitsvorfälle oder gesetzlichen Aufbewahrungspflichten eine längere Speicherung erfordern.

6. Registrierung, Nutzerkonten und Authentifizierung

Für die Einrichtung und Nutzung eines Unternehmenskontos verarbeiten wir je nach gewähltem Verfahren insbesondere Name, geschäftliche E-Mail-Adresse, Unternehmen, Rolle/Berechtigung, Login-Zeitpunkte, Authentifizierungs- und Sitzungsinformationen sowie gegebenenfalls SSO- oder FIDO2-bezogene Kennungen. Passwörter sollen – sofern überhaupt eingesetzt – ausschließlich in technisch gesicherter Form verarbeitet werden.

Zwecke sind Bereitstellung des Nutzerkontos, Zugriffssteuerung, Mandantentrennung, Vertragsdurchführung und IT-Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei unmittelbar vertraglich betroffenen Nutzern und im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Kontodaten werden nach Ende des Vertrags und Ablauf gesetzlicher Aufbewahrungsfristen gelöscht; Sicherheitslogs werden nach [X TAGE/MONATE] gelöscht oder anonymisiert.

7. Vertrags-, Kunden- und Abrechnungsdaten

Zur Anbahnung und Durchführung von Verträgen verarbeiten wir Unternehmens- und Ansprechpartnerdaten, Kommunikationsdaten, Vertragsdaten, gebuchte Pakete/Volumina, Rechnungs- und Zahlungsstatus sowie Support- und Administrationsinformationen. Rechtsgrundlage ist je nach Konstellation Art. 6 Abs. 1 lit. b oder lit. f DSGVO; handels- und steuerrechtliche Aufbewahrungspflichten beruhen auf Art. 6 Abs. 1 lit. c DSGVO.

8. KI-gestützte Zolltarifierung

8.1 Verarbeitete Eingaben und erzeugte Ergebnisse

Für eine Tarifierungsanfrage können insbesondere folgende Informationen verarbeitet werden: Warenbezeichnung, technische Beschreibung, Material/Zusammensetzung, Funktion und Verwendungszweck, Herstellungs- oder Bearbeitungsmerkmale, Abmessungen, Produkt- oder Artikelnummern, Bilder, Datenblätter, Rechnungs- oder Katalogauszüge sowie sonstige vom Nutzer bereitgestellte Produktinformationen. Aus diesen Eingaben erzeugt das System Vorschläge für eine zolltarifliche Einreihung, mögliche HS-/KN-/TARIC-Positionen, Begründungen, Prüfhinweise und ein erläuterndes Memo.

Personenbezogene Daten sind für die eigentliche Warenklassifizierung typischerweise nicht erforderlich. Nutzer sollen Dokumente vor dem Upload auf nicht benötigte Namen, Kontaktdaten, Unterschriften oder sonstige personenbezogene Informationen prüfen und diese nach Möglichkeit entfernen oder schwärzen.

8.2 Zweck und Rechtsgrundlage

Die Verarbeitung erfolgt, um die vom Kunden beauftragte KI-gestützte Analyse und Dokumentation bereitzustellen, die Anfrage technisch zu verarbeiten, die Systemsicherheit zu gewährleisten und – soweit vereinbart – den Verlauf für spätere Nachweise oder Wiederverwendung im Kundenkonto zu speichern. Soweit der Anbieter eigene Vertragsdaten verarbeitet, beruht dies auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Personenbezogene Inhalte, die der Kunde im Rahmen der SaaS-Nutzung bereitstellt, werden grundsätzlich nach Weisung des Kunden gemäß AVV verarbeitet.

8.3 Einsatz von KI-/Modell-Dienstleistern und Subprozessoren

Zur Erbringung der KI-Funktion werden externe Infrastruktur- und Modellanbieter als Unterauftragsverarbeiter eingesetzt. Die eingesetzten Anbieter und ihre Funktionen sind in Abschnitt 14 benannt. Soweit personenbezogene Daten verarbeitet werden, werden die Anforderungen von Art. 28 DSGVO und – bei Drittlandbezug – Kapitel V DSGVO umgesetzt.

8.4 Kein allgemeines Modelltraining mit Kundeneingaben

Kundeneingaben (Input), hochgeladene Dateien und kundenspezifisch erzeugte Ergebnisse (Output) werden nicht zum Training oder zur Verbesserung allgemeiner, kundenübergreifender KI-Modelle des Anbieters oder eines KI-Dienstleisters verwendet, sofern der Kunde nicht zuvor ausdrücklich und separat in eine solche Nutzung eingewilligt bzw. sie vertraglich freigegeben hat. Soweit technisch möglich, werden bei eingesetzten KI-Dienstleistern Einstellungen oder Vertragsoptionen gewählt, die eine Nutzung der Kundendaten zum allgemeinen Modelltraining ausschließen.

8.5 KI-Transparenz, menschliche Prüfung und Art. 22 DSGVO

Nutzer werden im Rahmen der Plattform klar darauf hingewiesen, dass sie mit einem KI-gestützten System arbeiten. KI-Ausgaben können probabilistisch erzeugt werden und Fehler, unvollständige Schlussfolgerungen oder sogenannte Halluzinationen enthalten. Das System trifft keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung über eine natürliche Person im Sinne von Art. 22 DSGVO; es erzeugt fachliche Vorschläge zur Warenklassifizierung, die durch den Nutzer zu prüfen sind.

Soweit die Transparenz- und Kennzeichnungspflichten des Art. 50 der Verordnung (EU) 2024/1689 (KI-VO) anwendbar sind, werden entsprechende Hinweise und technische Kennzeichnungen vorgesehen. Die vom Kunden verantwortete Veröffentlichung KI-generierter Inhalte bleibt Sache des Kunden.

8.6 Speicherfristen für Tarifierungsvorgänge

Tarifierungsanfragen, hochgeladene Dokumente und Ergebnisse werden innerhalb des Kundenkontos für die vertraglich vereinbarte Dauer gespeichert. Nach Vertragsende gelten die in Ziffer 14 und Anlage 1 unserer AGB beschriebenen Abruf- und Löschfristen. Gesetzliche Aufbewahrungspflichten oder berechtigte Sicherungsinteressen können für einzelne Metadaten zu einer längeren Speicherung führen. Backup-Kopien werden innerhalb des technisch festgelegten Backup-Zyklus von höchstens [X TAGE] überschrieben oder gelöscht.

8.7 Testen ohne Anmeldung

Über „Kostenlos testen“ können Besucher eine begrenzte Zahl von Tarifierungsanfragen ohne Nutzerkonto durchführen. Dafür vergeben wir eine zufällige, pseudonyme Gast-Kennung, die in einem technisch erforderlichen Cookie gespeichert wird (siehe Abschnitt 12). Die eingegebenen Warenbeschreibungen, die Rückfragen und Antworten sowie die Ergebnisse werden dieser Gast-Kennung zugeordnet gespeichert, damit der Besucher seine Einreihung abrufen und das Kontingent der kostenlosen Testeinreihungen eingehalten werden kann. Im Testmodus sind nur Texteingaben möglich; Dateien und Bilder können nicht hochgeladen werden.

Zum Schutz vor Missbrauch der kostenlosen Testfunktion begrenzen wir die Zahl der Testeinreihungen und neu vergebenen Gast-Kennungen je Internetanschluss und Tag. Dazu verarbeiten wir die IP-Adresse ausschließlich in Form eines mit einem geheimen Schlüssel gebildeten Hashwerts (HMAC); bei IPv6-Adressen wird vorher nur das /64-Präfix verwendet. Die IP-Adresse selbst wird hierfür nicht gespeichert. Die Zähler werden nach spätestens drei Tagen gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem missbrauchsfreien, kostenlosen Testangebot und an der Begrenzung der damit verbundenen Kosten (Art. 6 Abs. 1 lit. f DSGVO); für die Bereitstellung der vom Besucher angeforderten Testeinreihung zusätzlich Art. 6 Abs. 1 lit. b DSGVO.

Testdaten ohne anschließende Registrierung werden sieben Tage nach Beginn des Tests automatisch gelöscht. Registriert sich der Besucher mit demselben Browser, werden seine Testeinreihungen in das neue Nutzerkonto übernommen und die Gast-Kennung gelöscht; ab dann gelten die Speicherfristen für Kundenkonten (Abschnitt 8.6).

9. Vertrauliche Produktdaten und Geschäftsgeheimnisse

Produktbeschreibungen, Stücklisten, technische Zeichnungen, Spezifikationen oder interne Artikelinformationen können Geschäftsgeheimnisse enthalten. Solche Inhalte werden nur im zur Vertragserfüllung erforderlichen Umfang verarbeitet. Zugriff erhalten nur berechtigte Personen und erforderliche Dienstleister unter entsprechenden Vertraulichkeits- und Datenschutzpflichten. Der Kunde bleibt verantwortlich dafür, dass er zur Übermittlung der jeweiligen Informationen berechtigt ist und dass exportkontrollrechtliche oder sonstige Übermittlungsverbote beachtet werden.

10. Support, Kontaktformular, E-Mail und Telefon

Bei Kontaktaufnahme verarbeiten wir die von Ihnen mitgeteilten Kontakt- und Kommunikationsdaten sowie gegebenenfalls technische Diagnoseinformationen, Screenshots oder Vorgangskennungen. Die Verarbeitung dient der Bearbeitung Ihrer Anfrage und erfolgt je nach Anlass auf Grundlage von Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Supportinhalte werden für [X MONATE] nach Abschluss des Vorgangs gespeichert, soweit keine längere Speicherung zur Rechtsverteidigung oder aufgrund gesetzlicher Pflichten erforderlich ist.

11. Zahlungsabwicklung

Bei Online-Zahlungen über Stripe Payments Europe, Ltd. werden Zahlungs- und Authentifizierungsdaten unmittelbar durch den Zahlungsdienstleister verarbeitet. Wir erhalten grundsätzlich nur die für Abrechnung und Vertragsverwaltung erforderlichen Status- und Transaktionsinformationen. Der Zahlungsdienstleister kann hinsichtlich der eigentlichen Zahlungsabwicklung eigenständig Verantwortlicher sein.

12. Cookies, lokale Speicher und Einwilligungsmanagement

Soweit Informationen auf dem Endgerät des Nutzers gespeichert oder von dort ausgelesen werden, beachten wir § 25 TDDDG. Technisch unbedingt erforderliche Vorgänge, die zur Bereitstellung eines ausdrücklich gewünschten digitalen Dienstes notwendig sind, können ohne Einwilligung zulässig sein. Wir setzen ausschließlich solche technisch erforderlichen Cookies ein, insbesondere für die Anmeldung und Sitzungsverwaltung sowie – beim Testen ohne Anmeldung – das Cookie „tarifai_guest“. Es enthält eine zufällige, signierte Gast-Kennung, ist für Skripte im Browser nicht auslesbar, dient allein der Zuordnung der Testeinreihungen und der Einhaltung des Testkontingents und wird nach 30 Tagen bzw. bei Registrierung gelöscht (§ 25 Abs. 2 Nr. 2 TDDDG). Ein Tracking findet damit nicht statt. Cookies oder vergleichbare Zugriffe, die einer Einwilligung bedürfen, setzen wir nicht ein.

13. Reichweitenanalyse (ohne Cookies)

Zur Messung der Nutzung und der Ladezeiten setzen wir Vercel Web Analytics und Vercel Speed Insights ein. Diese Dienste arbeiten ohne Cookies und ohne geräteübergreifendes Tracking; es werden keine dauerhaften Kennungen im Browser gespeichert und keine Nutzungsprofile über Websites hinweg gebildet. IP-Adressen werden nicht dauerhaft gespeichert. Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung und technischen Optimierung (Art. 6 Abs. 1 lit. f DSGVO); eine Einwilligung nach § 25 TDDDG ist mangels Zugriffs auf Informationen im Endgerät nicht erforderlich.

14. Empfänger und Kategorien von Empfängern

Personenbezogene Daten können – soweit für die jeweiligen Zwecke erforderlich – an folgende Empfängerkategorien übermittelt werden: Hosting- und Rechenzentrumsanbieter, KI-/Modell-Dienstleister, Authentifizierungs-/SSO-Dienstleister, E-Mail- und Supportanbieter, IT-Sicherheitsdienstleister, Zahlungsdienstleister, Steuer-/Rechtsberater, Behörden und sonstige Stellen bei gesetzlicher Verpflichtung. Auftragsverarbeiter werden vertraglich nach Art. 28 DSGVO gebunden.

Wesentliche Unterauftragsverarbeiter sind derzeit:

• Clerk — Authentifizierung und Nutzerkonten-Verwaltung
• Stripe Payments Europe Ltd. — Zahlungsabwicklung als Merchant of Record (inkl. Steuerabführung und Rechnungsstellung)
• Vercel — Hosting und Auslieferung der Anwendung
• Hetzner Online GmbH — Datenbank-Hosting (Speicherung von Konto- und Einreihungsdaten, Rechenzentrum in Deutschland)
• Google / Vercel AI Gateway — KI-Verarbeitung der Produktbeschreibungen (Einreihung)
• OpenAI (über Vercel AI Gateway) — KI-Prüfung der Einreihungsbegründung sowie Auslesen hochgeladener PDF-Dateien
• Voyage AI (über Vercel AI Gateway) — Semantische Suche: Umwandlung der Produktbeschreibungen in Vektoren und Sortierung der Suchtreffer

15. Drittlandübermittlungen

Soweit personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet werden, erfolgt dies nur unter Beachtung der Art. 44 ff. DSGVO. Je nach Empfänger stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder geeignete Garantien, insbesondere Standardvertragsklauseln, gegebenenfalls ergänzt um zusätzliche technische und organisatorische Maßnahmen. Einzelheiten sind im AVV beschrieben.

16. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu zählen – je nach Systemarchitektur – insbesondere verschlüsselte Übertragung, Zugriffskontrollen, Rollen- und Berechtigungskonzepte, Mandantentrennung, Protokollierung sicherheitsrelevanter Ereignisse, Backup-/Wiederherstellungsverfahren, Schwachstellen- und Patchmanagement sowie organisatorische Vertraulichkeitsmaßnahmen. Die konkret vereinbarten TOM sind Bestandteil des AVV.

17. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie dies für den jeweiligen Zweck erforderlich ist, vertraglich vereinbart wurde oder gesetzliche Aufbewahrungspflichten bestehen. Danach werden die Daten gelöscht oder anonymisiert. Für Kundeninhalte und exportierbare Daten nach Vertragsende gelten zusätzlich die Data-Act-Regelungen in Ziffer 14 und Anlage 1 unserer AGB. Gesetzlich aufzubewahrende Abrechnungs- oder Geschäftsunterlagen werden erst nach Ablauf der einschlägigen Fristen gelöscht. Daten aus dem Testen ohne Anmeldung werden nach sieben Tagen, die zugehörigen Missbrauchszähler nach drei Tagen gelöscht (Abschnitt 8.7).

18. Rechte betroffener Personen

Betroffene Personen haben – soweit die gesetzlichen Voraussetzungen vorliegen – insbesondere Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO (Art. 21). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Zur Ausübung der Rechte genügt eine Nachricht an [DATENSCHUTZ-KONTAKT].

Soweit wir Daten ausschließlich als Auftragsverarbeiter eines Unternehmenskunden verarbeiten, leiten wir Betroffenenanfragen nach Maßgabe des AVV an den verantwortlichen Kunden weiter und unterstützen ihn bei der Erfüllung seiner Pflichten.

19. Beschwerderecht

Betroffene Personen haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere bei der Behörde ihres gewöhnlichen Aufenthaltsorts, ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständige Aufsichtsbehörde des Anbieters: [BEHÖRDE / KONTAKT].

20. Pflicht zur Bereitstellung von Daten

Die Bereitstellung der für Kontoeröffnung, Vertragsschluss und technische Nutzung erforderlichen Daten ist notwendig, um den Dienst bereitstellen zu können. Ohne diese Angaben kann ein Vertrag gegebenenfalls nicht geschlossen oder die Plattform nicht genutzt werden. Nicht erforderliche personenbezogene Daten sollen nicht in Tarifierungsanfragen oder Uploads aufgenommen werden.

21. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich Verarbeitungen, eingesetzte Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung ist unter tarifai.de/datenschutz abrufbar. Bei wesentlichen Änderungen, die registrierte Nutzer betreffen, erfolgt eine angemessene Information über die Plattform oder per E-Mail.