Datenschutzerklärung

DocuForge klassifiziert Dokumente, die in einer SharePoint-Bibliothek eingehen, ergänzt ihre Metadaten, legt sie nach den Regeln des Kunden in Ordnern ab und legt auf Wunsch Wiedervorlagen in Microsoft To Do an. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden, wozu und mit welchen Rechten.

1. Verantwortliche Stelle

CreamusPretia GmbH
Mittelstraße 17
82444 Schlehdorf
Deutschland

E-Mail: contact@creamuspretia.com

Für die Dokumente, die Kunden mit DocuForge verarbeiten lassen, verarbeiten wir die Daten in deren Auftrag (Art. 28 DSGVO). Verantwortlich für diese Dokumente bleibt der Kunde; Einzelheiten regelt der Auftragsverarbeitungsvertrag. Für die Anmeldung an DocuForge, den Vertragsabschluss, Kündigungen und den Betrieb sind wir selbst verantwortlich.

2. Welche Daten wir verarbeiten

• Anmeldung: Name, Anmeldename (UPN), Objekt- und Tenant-ID Ihres Microsoft-Kontos (Entra ID), die Microsoft bei der Anmeldung übermittelt; ein Kennwort erhalten wir nicht.
• Dokumente: Inhalte der Dokumente in der freigegebenen Bibliothek, einschließlich der darin enthaltenen personenbezogenen Daten und gegebenenfalls besonderer Kategorien wie Gesundheitsdaten. Die Inhalte werden nur zur Verarbeitung gelesen und nicht gespeichert.
• Metadaten und Protokoll: Dateinamen, ermittelte Merkmale (z. B. Absender, Datum, Dokumententyp), Ablageorte und die Begründung jeder Entscheidung sowie wer wann welche Aktion ausgelöst hat.
• Wiedervorlage: Aufgaben in Microsoft To Do mit Titel, Fälligkeit, zuständiger Person und Link zum Dokument.
• Auftragsverarbeitungsvertrag: die beim Abschluss erfassten Angaben (Firma, Anschrift, vertretungsberechtigte Person, Kontakt-E-Mail), die zustimmende Person mit Anmeldekonto und Zeitpunkt sowie das erzeugte Vertragsdokument.
• Kündigung: bei einer Kündigung über „Verträge hier kündigen“ Name bzw. Firma, E-Mail-Adresse, Vertrag, Art, Grund und Zeitpunkt der Kündigung.
• Plattform-Protokoll: Abschluss, Aufschub und Abruf von Verträgen, Ausnahmen und Kündigungen – ohne Dokumentdaten.
• Technische Daten: IP-Adresse, Zeitpunkt und Art von Anfragen in Server- und Überwachungsprotokollen (Azure Application Insights).

3. Zwecke und Rechtsgrundlagen

• Bereitstellung von DocuForge, Klassifikation, Ablage und Wiedervorlage – im Auftrag nach Art. 28 DSGVO bzw. Art. 6 Abs. 1 lit. b DSGVO (Vertrag).
• Anmeldung, Vertragsabschluss und Kündigung – Art. 6 Abs. 1 lit. b DSGVO.
• Sicherheit, Missbrauchsabwehr, Fehleranalyse und Nachweis der Verarbeitung – Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse); Aufbewahrung des Vertragsnachweises – Art. 6 Abs. 1 lit. c DSGVO.

Wir verkaufen keine Daten, nutzen sie nicht für Werbung und nicht zum Training von KI-Modellen.

4. Künstliche Intelligenz

Zur Texterkennung nutzt DocuForge Azure AI Document Intelligence, zur Ermittlung der Merkmale ein Sprachmodell von Azure OpenAI in der EU-Datenzone. Eingaben und Ausgaben werden von Microsoft nicht zum Training verwendet. Zur Erkennung von Missbrauch kann Microsoft sie nach seinen Bedingungen bis zu 30 Tage in der EU aufbewahren und in Verdachtsfällen durch berechtigte Mitarbeiter prüfen lassen. Die automatische Zuordnung ist keine Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO); Nutzer können jede Ablage korrigieren.

5. Empfänger und Auftragsverarbeiter

• Microsoft Azure: Ausführung, Speicher, Schlüsselverwaltung, Überwachung, Texterkennung und Sprachmodell – Region Deutschland, Westen-Mitte; das Sprachmodell in einer Ressource in Schweden mit Verarbeitung in der EU-Datenzone.
• Azure Communication Services: Versand von E-Mails (Eingangsbestätigung einer Kündigung, Bestätigung des Vertragsschlusses, tägliche Fehlerübersicht an die vom Kunden benannten Empfänger, ohne Dokumentdaten) – Datenspeicherort Europa.
• Microsoft 365 des Kunden: SharePoint, Microsoft To Do und Entra ID gehören zum Microsoft 365 des Kunden und werden nur im Rahmen seiner Freigaben genutzt.

Die Daten werden in der EU gespeichert. Microsoft ist ein Unternehmen mit Sitz in den USA; eine Übermittlung in die USA im Rahmen von Wartung und Support kann nicht ausgeschlossen werden und erfolgt auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln.

6. Speicherdauer

• Dokumentinhalte und erkannter Text: nicht gespeichert, nur während der Verarbeitung.
• Konfiguration, Referenzlisten und Verarbeitungszustand: bis zur Löschung des Mandanten; frühere Versionen höchstens 30 Tage.
• Protokoll der Verarbeitung: 400 Tage, bei Löschung des Mandanten sofort.
• Auftragsverarbeitungsvertrag: bis zur Löschung des Mandanten; der Nachweis des Abschlusses (Fassung, Zeitpunkt, zustimmende Person, Prüfsumme) bleibt im Plattform-Protokoll bis zum Ende des dritten Kalenderjahres nach der Löschung.
• Kündigungen und Plattform-Protokoll: bis zum Ende des dritten Kalenderjahres nach dem Eintrag, dann automatisch gelöscht.
• Technische Protokolle (Application Insights): 90 Tage.

7. Zugriff widerrufen

Administratoren eines Kunden können DocuForge die Freigabe der Site entziehen und die Anwendung in ihrem Microsoft Entra ID unter „Unternehmensanwendungen“ entfernen. Benutzer sehen ihre Zustimmung zur Anmeldung unter myapps.microsoft.com.

8. Sicherheit

Übertragung ausschließlich verschlüsselt (HTTPS). DocuForge meldet sich mit einer verwalteten Identität ohne gespeicherte Passwörter an und erhält nur Zugriff auf die ausdrücklich freigegebene Site. Die Daten verschiedener Mandanten werden getrennt gespeichert; jede Abfrage der Verwaltung prüft die Berechtigung für den Mandanten.

9. Cookies und lokale Speicherung

DocuForge verwendet ausschließlich ein technisch notwendiges Sitzungs-Cookie für die Anmeldung (AppServiceAuthSession) und speichert im Browser lokal, welcher Mandant zuletzt gewählt war, sowie – nur für die laufende Sitzung –, ob der Auftragsverarbeitungsvertrag auf „später“ verschoben wurde. Es gibt keine Tracking- oder Werbe-Cookies und keine Analysewerkzeuge im Browser. Schriften werden von Google Fonts geladen; dabei erhält Google die IP-Adresse des Browsers.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wenden Sie sich dazu an contact@creamuspretia.com. Sie können sich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere bei der für uns zuständigen: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

Betrifft Ihr Anliegen ein Dokument, das ein Kunde von DocuForge verarbeiten lässt, ist dieser Kunde verantwortlich; wenden Sie sich bitte an ihn. Anfragen, die uns erreichen, leiten wir an ihn weiter.

11. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst ändert.

Stand: 19.10.2026