Datenschutzerklärung

Hier erfahren Sie, welche personenbezogenen Daten wir beim Besuch unserer Website und bei der Nutzung unserer Software verarbeiten, wozu wir das tun und auf welcher Rechtsgrundlage.

0. Zwei Rollen – wer wofür verantwortlich ist

Unser Angebot richtet sich an Unternehmen. Datenschutzrechtlich treten wir dabei in zwei verschiedenen Rollen auf, und das ist für das Verständnis dieser Erklärung entscheidend:

• Verantwortlicher sind wir für die Website, die Registrierung einschließlich des dabei angelegten Kontos, die Vertrags- und Abrechnungsdaten unserer Kunden, den Support und die Sicherheit unseres Dienstes (etwa den Schutz der Anmeldung vor Missbrauch).
• Auftragsverarbeiter nach Art. 28 DSGVO sind wir für die Daten, die Beschäftigte unserer Kunden im Kummerkasten hinterlassen – also für Rückmeldungen, Umfrage-Antworten, Ideen und, sofern das Unternehmen sie eingerichtet hat, Meldungen an seine interne Meldestelle nach dem Hinweisgeberschutzgesetz – sowie für die weiteren Verwaltungskonten, die ein Unternehmen für seine Mitarbeitenden anlegt. Verantwortlich dafür ist das jeweilige Unternehmen; wir verarbeiten diese Daten ausschließlich auf dessen Weisung. Wer als Beschäftigte oder Beschäftigter Auskunft oder Löschung verlangen möchte, wendet sich deshalb an das eigene Unternehmen, nicht an uns.

Die Abschnitte zu Feedback, Ideen, E-Mail-Einladungen, Meldestelle, KI-Verarbeitung und Spracheingabe (Ziffern 2c bis 2c4, 5 und 5a) beschreiben, wie wir diese Daten im Auftrag verarbeiten. Kunden erhalten von uns einen Vertrag zur Auftragsverarbeitung, ein Dokument zu den technischen und organisatorischen Maßnahmen sowie die öffentliche Liste unserer Unterauftragsverarbeiter. Alle Unterlagen stehen im Dashboard unter „Einstellungen → Datenschutz-Unterlagen“ bereit.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

JKVertrieb GbR
Jacob Rapp & Kay Weichert
Freienwalder Straße 10
16269 Wriezen
E-Mail: kontakt@deinkummerkasten.com
Telefon: +49 172 572 8634

Einen Datenschutzbeauftragten haben wir nicht benannt, weil die gesetzlichen Voraussetzungen dafür (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen. Für alle Fragen zum Datenschutz erreichen Sie uns unter der oben genannten Adresse.

2. Erhebung und Speicherung personenbezogener Daten sowie Art und Zweck der Verwendung

a) Beim Besuch der Website

Beim Aufrufen unserer Website sendet Ihr Browser automatisch Informationen an den Server unserer Website. Diese Informationen werden vorübergehend in den Protokolldateien unseres Hosting-Anbieters gespeichert. Folgende Informationen werden dabei ohne Ihr Zutun erfasst und bis zur automatisierten Löschung gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser und ggf. das Betriebssystem Ihres Rechners

Die genannten Daten werden zu folgenden Zwecken verarbeitet:

• Gewährleistung eines reibungslosen Verbindungsaufbaus der Website
• Gewährleistung einer komfortablen Nutzung unserer Website
• Auswertung der Systemsicherheit und -stabilität

Die Rechtsgrundlage für die Datenverarbeitung ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse folgt aus den oben aufgelisteten Zwecken zur Datenerhebung.

b) Bei Registrierung und Nutzung der Software

Bei der Registrierung für unseren Dienst „Kummerkasten“ erheben wir folgende Daten:

• E-Mail-Adresse
• Firmenname / Organisationsbezeichnung
• Gewählter Tarifplan
• Passwort für den Zugang zum Verwaltungs-Dashboard – gespeichert wird ausschließlich ein kryptografischer Hash (scrypt), niemals das Passwort im Klartext
• Bei freiwillig aktivierter Zwei-Faktor-Authentifizierung (2FA): ein verschlüsselt gespeichertes TOTP-Geheimnis für die Authenticator-App sowie einmalige Wiederherstellungscodes, von denen ausschließlich nicht umkehrbare Prüfwerte (Hashes) gespeichert werden

Diese Daten sind erforderlich zur Bereitstellung und Absicherung unseres Dienstes (Rechtsgrundlage: Art. 6 Abs. 1 S. 1 lit. b DSGVO – Vertragserfüllung).

Logo-Upload: Laden Sie im Dashboard ein Firmenlogo hoch, wird die Bilddatei im Objektspeicher unseres Hosting-Anbieters (Vercel) abgelegt und über eine zufällig erzeugte, öffentlich erreichbare Adresse ausgeliefert – das ist technisch nötig, damit das Logo auf Ihrer öffentlichen Feedback-Seite erscheint. Ein Logo ist in aller Regel ohnehin öffentlich; laden Sie dort bitte keine Bilder mit personenbezogenen Inhalten hoch.

c) Feedback-Funktion (Kummerkasten)

Die Kernfunktion unseres Produkts ist die anonyme Entgegennahme von Feedback. Die Feedback-Funktion ist so gebaut, dass zu einer Rückmeldung keine Kennung gespeichert wird, die auf die einsendende Person verweist:

• Kein Login erforderlich
• Keine IP-Adressen werden im Feedback gespeichert
• Keine Cookies zur Identifikation
• Zeitverzögerte Anzeige im Dashboard zum Schutz der Anonymität

Gespeichert werden der Text, die gewählten Angaben (Stimmung, Kategorie, optional die Abteilung) und der Eingangszeitpunkt. Der Text selbst ist nicht automatisch anonym: Schreibt jemand Namen oder Umstände hinein, die nur auf wenige Personen passen, kann eine Rückmeldung Rückschlüsse erlauben. Die Inhalte werden in einer Datenbank gespeichert, die der Datenbankanbieter verschlüsselt ablegt (Verschlüsselung im Ruhezustand), und sind im Dashboard für die berechtigten Nutzer des jeweiligen Unternehmens-Accounts einsehbar. Zusätzlich hat unsere Betreiberrolle technisch Zugriff auf die Daten aller Unternehmen (nicht auf Meldungen an eine interne Meldestelle); wir nutzen ihn nur zur Störungsbeseitigung oder im Support auf Anfrage des Unternehmens. Zugriffe dieser Rolle über die Anwendung werden protokolliert; Arbeiten unmittelbar an der Datenbank erfasst dieses Protokoll nicht.

Anonymer Rückkanal (Fallcode): Beim Absenden eines Feedbacks wird optional ein zufällig erzeugter Fallcode angezeigt. Damit kann die einreichende Person später eine Antwort des Unternehmens abrufen und anonym nachfassen. Der Fallcode ist an keine Person geknüpft; gespeichert wird ausschließlich ein nicht umkehrbarer Prüfwert (Hash). Geht der Code verloren, ist kein Zugriff mehr möglich – eine Wiederherstellung wäre nur unter Aufgabe der Anonymität möglich und findet deshalb nicht statt.

c2) Ideenmanagement (optional)

Sofern Ihr Unternehmen das optionale Ideenmanagement nutzt, können Mitarbeitende Vorschläge einreichen und – nach Freigabe durch eine verantwortliche Person – auf einem internen Ideen-Board bewerten und kommentieren. Auch hier gilt: keine IP-Speicherung, keine Identifikations-Cookies.

• Die Angabe eines Namens ist freiwillig. Wer seinen Namen angibt, willigt ein, dass er nach Freigabe zusammen mit der Idee oder dem Kommentar für alle sichtbar ist, die das Board aufrufen können (Art. 6 Abs. 1 S. 1 lit. a DSGVO). Die Einwilligung kann jederzeit gegenüber dem Unternehmen widerrufen werden; es nimmt den Beitrag dann vom Board. Ideen und Kommentare werden spätestens mit Ablauf der vom Unternehmen eingestellten Aufbewahrungsfrist gelöscht.
• In sehr kleinen Teams kann die Kombination aus freiwilliger Namensnennung sowie Abstimmungs- und Kommentarverhalten Rückschlüsse ermöglichen. Wir empfehlen die anonyme Nutzung.
• Zur Verhinderung von Mehrfachabstimmungen wird ein zufälliger Wert im Browser gespeichert (siehe Ziffer 4); eine Identifikation der abstimmenden Person erfolgt nicht.

c3) E-Mail-Einladungen zu Umfragen über hinterlegte Empfängerlisten (optional)

Nutzt Ihr Unternehmen die optionale Einladung per E-Mail, kann es Empfängerlisten mit den E-Mail-Adressen seiner Beschäftigten hinterlegen und Umfrage-Einladungen darüber versenden lassen. Für diese Verarbeitung ist Ihr Unternehmen verantwortlich; wir versenden als Auftragsverarbeiter auf dessen Weisung. Anders als bei der Feedback-Funktion (Ziffer 2c) handelt es sich hier um personenbezogene Daten.

Eine Liste ist kein Benutzerkonto. Sie ist ein Adressverzeichnis für den Versand von Einladungen – keine Voraussetzung für die Teilnahme. Die Rückmeldungen und Umfrage-Antworten selbst werden weiterhin ohne Anmeldung und ohne Adresse abgegeben. Empfängerliste und Antwort sind zwei getrennte Datenbestände, zwischen denen es keine Verknüpfung gibt.

Verarbeitet werden: E-Mail-Adresse, Zugehörigkeit zu einer Liste, Aufnahmedatum, Abmeldezustand sowie – sofern der E-Mail-Dienstleister dies meldet – die Kennzeichnung einer Adresse als unzustellbar.

Zweckbindung. Die Adressen werden ausschließlich verwendet für: Einladungen zu Umfragen des eigenen Unternehmens, die zugehörige Erinnerung an dieselbe Liste, die Bestätigung einer Abmeldung sowie das Führen einer Sperrliste, damit abgemeldete und unzustellbare Adressen nicht erneut angeschrieben werden. Ausdrücklich nicht verwendet werden sie für Werbung oder Newsletter, für eine Verknüpfung mit abgegebenen Antworten, für eine Auswertung je Adresse oder für eigene Zwecke des Anbieters. Eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO oder, soweit vorhanden, eine Betriebsvereinbarung Ihres Unternehmens (Art. 88 DSGVO); die Festlegung trifft Ihr Unternehmen als Verantwortlicher.

Was wir bewusst nicht messen. Damit die Anonymität der Antworten durch den Versand nicht ausgehöhlt wird, fehlen dem Serienversand vier Fähigkeiten, die vergleichbare Werkzeuge mitbringen. Sie fehlen nicht aus Versehen:

• Ein gemeinsamer Link für alle. Alle Empfängerinnen und Empfänger erhalten denselben Umfrage-Link. Es gibt keine personalisierten Links und keine Kennung in der Adresse – eine Zuordnung von Person und Antwort ist dadurch nicht nur unüblich, sondern technisch nicht möglich.
• Kein Öffnungs-Tracking. Die Einladungen enthalten kein Zählpixel und keine umgeschriebenen Links. Es werden weder Öffnungen noch Klicks noch Lesezeitpunkte erfasst. Aus demselben Grund enthalten unsere E-Mails generell keine nachgeladenen Bilder. Die Folge ist beabsichtigt: Es gibt keine Öffnungsrate.
• Erinnerungen gehen an alle. Eine Erinnerung erreicht die gesamte Liste, nie gezielt „Nicht-Teilnehmer“. Ein solcher Versand wäre nur möglich, wenn das System wüsste, wer geantwortet hat – es weiß es nicht.
• Teilnahmequote nur als Summe. Ausgewiesen wird ausschließlich die Rechnung „eingegangene Antworten geteilt durch Listengröße“. Es gibt keine Quote je Person und keine Angabe darüber, wer geantwortet hat.

Abmeldung. Jede Einladung enthält einen Abmeldelink. Er betrifft ausschließlich die Zustellung an genau diese E-Mail-Adresse und gilt pro Liste; wer in zwei Listen steht, meldet sich zweimal ab. Die Abmeldung wirkt sofort und dauerhaft, auch für Erinnerungen zur laufenden Umfrage. Vom Merkmal im Abmeldelink wird ausschließlich ein nicht umkehrbarer Prüfwert gespeichert; es steht nur in der Fußzeile der E-Mail und niemals im Umfrage-Link. Eine Abmeldung ist keine Aussage darüber, ob die Person an einer Umfrage teilgenommen hat – das ist dem System weder vor noch nach der Abmeldung bekannt. Sie schließt auch niemanden von der Teilnahme aus: Der Umfrage-Link funktioniert weiterhin, etwa über Aushang oder QR-Code.

Zustell-Statistik. Je Aussendung werden die Summen „versendet“, „zugestellt“ und „unzustellbar“ ausgewiesen. Diese Zahlen sind Summen ohne Adressbezug; Öffnungs- oder Klickraten enthalten sie nicht.

Versandweg. Der Versand erfolgt über unseren E-Mail-Dienstleister (siehe Ziffer 3) und ausschließlich über unsere eigene, mit SPF, DKIM und DMARC abgesicherte Versanddomäne. Jede Einladung geht an genau einen Empfänger; eine Sammeladressierung, bei der Empfänger einander sehen könnten, findet nicht statt.

c4) Interne Meldestelle nach dem Hinweisgeberschutzgesetz (optional)

Hat Ihr Unternehmen seine interne Meldestelle über Kummerkasten eingerichtet, nimmt die Melde-Seite Hinweise auf Rechtsverstöße entgegen. Verantwortlich ist Ihr Unternehmen; wir verarbeiten die Meldungen als Auftragsverarbeiter.

• Meldungen werden getrennt von allen übrigen Rückmeldungen gespeichert. Sie fließen in keine Auswertung, keinen Bericht und keinen Export ein und werden an keinen KI-Dienst übermittelt.
• Lesen kann sie nur, wer im Unternehmen die Rolle „Meldestelle“ hat und sich mit einem zweiten Faktor anmeldet. Geschäftsführung, Administration und wir als Anbieter erhalten über unsere Rolle in der Software keinen Zugriff.
• Eine Meldung ist ohne Namensangabe möglich. IP-Adressen, Gerätedaten und Cookies werden nicht gespeichert; vom Zugangscode für den Rückkanal speichern wir nur einen nicht umkehrbaren Prüfwert.
• Die Dokumentation eines Vorgangs wird drei Jahre nach Abschluss des Verfahrens automatisch gelöscht (§ 11 Abs. 5 HinSchG). Die Aufbewahrungsfrist, die das Unternehmen für Rückmeldungen einstellt, gilt dafür nicht. Eine längere Aufbewahrung, die das Gesetz im Einzelfall zulässt, sieht die Software nicht vor; braucht die Meldestelle eine Dokumentation länger, sichert sie sie vor Fristablauf selbst.

Weitere Informationen zur Verarbeitung Ihrer Meldung erhalten Sie von der Meldestelle Ihres Unternehmens.

d) Zahlungsdaten

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe kann Daten auch an die Stripe, Inc. in den USA übermitteln (EU-U.S. Data Privacy Framework, EU-Standardvertragsklauseln). Wir selbst speichern keine vollständigen Zahlungsdaten (Kreditkartennummern, Kontodaten). Zur Betrugsprävention und zur Erfüllung gesetzlicher Pflichten verarbeitet Stripe Zahlungsdaten auch als eigenständiger Verantwortlicher: stripe.com/de/privacy

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. b DSGVO (Vertragserfüllung).

e) Protokoll sicherheitsrelevanter Vorgänge (Audit-Spur)

Sicherheitsrelevante Vorgänge im Verwaltungs-Dashboard – etwa die Vergabe einer Rolle, die Ernennung der internen Meldestelle, eine Datenrückgabe, die Löschung eines Unternehmenskontos, ein Zugriff unseres Supports über die Anwendung auf die Daten eines Unternehmens oder die Annahme von AGB und Auftragsverarbeitungsvertrag bei der Registrierung (mit der angenommenen Fassung) – werden in einer eigenen Tabelle in unserer Datenbank festgehalten. Ohne diesen Nachweis ließe sich später nicht mehr belegen, wer eine sicherheitsrelevante Änderung veranlasst hat.

Gespeichert wird ausschließlich ein geschlossener Satz technischer Angaben:

• ein Ereignis-Schlüssel (z. B. „Rolle geändert“)
• die Art des Handelnden (Person, System, Webhook) und das Ergebnis (erfolgreich oder abgewiesen)
• die interne Kennung des Unternehmens, der handelnden Person und des betroffenen Objekts
• eine Anfrage-Kennung und der Zeitpunkt

Nicht gespeichert werden: IP-Adressen, Browser- oder Gerätekennungen, E-Mail-Adressen, Feedback-Texte, Umfrage-Antworten, Fallcodes und sonstige Freitexte. Die Einträge werden ausschließlich angefügt; es gibt keine Funktion, die eine Zeile nachträglich ändert.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Nachvollziehbarkeit sicherheitsrelevanter Änderungen und im Nachweis der eigenen Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO).

f) Schutz vor Missbrauch (Anfragebegrenzung)

Um automatisierte Massenanfragen und das Durchprobieren von Passwörtern zu verhindern, zählen wir Anfragen je Absender in festen Zeitfenstern. Dafür bilden wir aus Ihrer IP-Adresse, bei der Anmeldung und beim Zurücksetzen des Passworts zusätzlich aus der eingegebenen E-Mail-Adresse, mit einem nur uns bekannten Schlüssel einen Prüfwert; die IP-Adresse selbst speichern wir nicht. Wer nur die gespeicherten Zähler sieht, kann daraus keine Adresse zurückrechnen. Wir als Inhaber des Schlüssels könnten es grundsätzlich; davor schützt, dass wir die Zähler nicht auswerten und dass sie spätestens nach 24 Stunden verfallen. Die Zähler liegen bei unserem Dienstleister Upstash (USA, EU-Standardvertragsklauseln) und verfallen mit Ablauf des jeweiligen Zeitfensters, je nach Funktion nach einer Minute bis zu 24 Stunden. Ist dieser Dienst nicht erreichbar, zählt ersatzweise unsere eigene Datenbank.

Rechtsgrundlage ist Art. 6 Abs. 1 S. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz des Dienstes und der Konten vor Missbrauch.

3. Weitergabe von Daten und eingesetzte Auftragsverarbeiter

Eine Übermittlung Ihrer Daten an Dritte findet nur an die folgenden, sorgfältig ausgewählten Dienstleister statt:

• Vercel Inc. – Hosting und Bereitstellung der Anwendung (Rechenzentrum Frankfurt am Main; statische Seiten über ein weltweites Auslieferungsnetz)
• Neon Inc. – Datenbank-Hosting (Serverstandort: Frankfurt am Main)
• Stripe Payments Europe, Ltd. / Stripe, Inc. (Irland/USA) – Zahlungsabwicklung (siehe Ziffer 2d)
• Resend, Inc. (USA) – Transaktionale E-Mails (Passwort-Reset- und Passwort-Setup-Links, Einladungen, Benachrichtigungen) sowie – sofern Ihr Unternehmen den E-Mail-Versand von Umfrage-Einladungen nutzt – der Versand dieser Einladungen und Erinnerungen an die hinterlegten Empfängerlisten (siehe Ziffer 2c3)
• Upstash, Inc. (USA) – Schutz vor Missbrauch und Überlastung (Rate-Limiting, siehe Ziffer 2f); gespeichert werden nur Prüfwerte, keine Feedback-Inhalte
• Functional Software, Inc. (Sentry) (USA) – technisches Fehler-Monitoring; sensible Inhalte werden vor der Übermittlung serverseitig entfernt. Derzeit nicht aktiv – es fließen keine Daten dorthin; eine Aktivierung kündigen wir vorab an
• Anthropic Ireland, Limited / Anthropic PBC (Irland/USA, Verarbeitung in den USA) – Übersetzung fremdsprachiger Rückmeldungen in die Hauptsprache des Unternehmens (in allen Tarifen, siehe Ziffer 5), die optionale KI-Auswertung (Berichte und automatische Themen- und Risiko-Analyse) sowie Gesprächsführung und Zusammenfassung im optionalen KI-Dialog
• Google Ireland Limited (Gemini) und OpenAI Ireland Ltd. / OpenAI, L.L.C. – Ausfalloptionen für die optionale KI-Auswertung, bei OpenAI zusätzlich die Umwandlung von Sprachaufnahmen in Text (siehe Ziffer 5a). Derzeit nicht eingerichtet – es fließen keine Daten dorthin; eine Einrichtung kündigen wir vorab an
• Slack Technologies, LLC / Microsoft Corporation (USA) – nur, wenn Ihr Unternehmen die optionale Kanal-Benachrichtigung selbst einrichtet; übermittelt wird dabei ausschließlich eine inhaltsfreie Hinweis-Nachricht (Kategorie und Link), niemals Feedback-Text

Für die im Grundbetrieb eingesetzten Auftragsverarbeiter (Vercel, Neon, Resend, Upstash, Anthropic) gilt jeweils deren Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO, die nach den Vertragsbedingungen des Anbieters Bestandteil des Nutzungsvertrags ist; die Fundstellen stehen auf der Seite Unterauftragsverarbeiter. Mit den derzeit nicht eingerichteten Anbietern (Sentry, Google, OpenAI) wird die Vereinbarung vor der Einrichtung geschlossen. Stripe verarbeitet nur unsere eigenen Vertrags- und Zahlungsdaten (Ziffer 2d); Slack und Microsoft richtet Ihr Unternehmen selbst ein. Soweit Anbieter Daten in den USA verarbeiten, erfolgt dies auf Grundlage geeigneter Garantien gemäß Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln bzw. EU-U.S. Data Privacy Framework).

Eine tabellarische Übersicht mit Zweck, Unternehmenssitz, tatsächlichem Verarbeitungsort, Garantie für Drittlandtransfers und Stand-Datum finden Sie auf der Seite Unterauftragsverarbeiter. Wechsel oder Hinzunahme eines Dienstleisters teilen wir unseren Kunden mindestens 30 Tage im Voraus mit; innerhalb dieser Frist besteht ein Widerspruchsrecht.

4. Cookies und lokale Speicherung im Browser

Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein. Gespeichert wird nur, was für die von Ihnen genutzte Funktion unbedingt erforderlich ist:

• kk_session (Cookie, nur lesbar für den Server) – hält die Anmeldung im Verwaltungs-Dashboard aufrecht; läuft nach spätestens 14 Tagen ab.
• kk_locale (lokaler Speicher) – merkt die gewählte Sprache der öffentlichen Seiten. Kein Personenbezug.
• kk_case:… (lokaler Speicher, nur auf Ihren Wunsch) – merkt Ihren Fallcode, wenn Sie nach dem Absenden „Auf diesem Gerät merken“ wählen. Auf gemeinsam genutzten Geräten raten wir davon ab, weil die nächste Person den Code sehen könnte; Sie können den Eintrag an derselben Stelle jederzeit wieder entfernen.
• kk_voter_id / kk_voted_… (lokaler Speicher, nur beim optionalen Ideen-Board) – verhindern Mehrfachabstimmungen. Es wird lediglich ein zufälliger Wert im Browser gespeichert; serverseitig wird hiervon nur ein nicht umkehrbarer Prüfwert abgelegt. Eine Identifikation der abstimmenden Person erfolgt nicht.
• kk_signup_draft (Sitzungsspeicher, nur während der Registrierung) – hält Tarif, Firmenname und E-Mail-Adresse für die Rückkehr aus dem Zahlungsdialog; wird mit dem Schließen des Tabs gelöscht.
• kk_onb_… (lokaler Speicher, nur im Dashboard) – merkt, welche Einrichtungshinweise Sie bereits erledigt oder ausgeblendet haben.

Rechtsgrundlage für das Speichern und Auslesen dieser Informationen auf Ihrem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst). Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 S. 1 lit. b DSGVO (Dashboard, Registrierung) bzw. Art. 6 Abs. 1 S. 1 lit. f DSGVO (Funktionsfähigkeit der öffentlichen Seiten und Schutz vor Manipulation).

5. KI-Verarbeitung

Automatische Übersetzung (bei allen Tarifen). Die öffentlichen Seiten stehen in acht Sprachen zur Verfügung. Geht eine Rückmeldung in einer anderen Sprache als der eingestellten Hauptsprache des Unternehmens ein, wird ihr Text zur Übersetzung an Anthropic (USA) übermittelt und die Übersetzung anschließend gespeichert. Das gilt unabhängig davon, ob KI-Auswertungen gebucht sind; ohne diesen Schritt könnte das Unternehmen fremdsprachige Rückmeldungen nicht lesen. Ihr Unternehmen kann die KI-Verarbeitung einschließlich dieser Übersetzung in den Einstellungen vollständig abschalten. Übermittelt wird auch hier ausschließlich der Text selbst; identifizierende Angaben werden zu Rückmeldungen gar nicht erst gespeichert.

KI-Dialog (optional). Hat Ihr Unternehmen den KI-Dialog freigeschaltet, können Beschäftigte ihr Anliegen im Gespräch mit einem KI-Assistenten beschreiben, statt es selbst zu formulieren. Der Assistent ist als solcher gekennzeichnet. Für jeden Gesprächsschritt wird der bisherige Gesprächsverlauf an Anthropic (USA) übermittelt. Mit dem Tippen auf „Abschicken“ fasst der Assistent das Gespräch zusammen; die Zusammenfassung wird ohne weitere Vorschau sofort als anonyme Rückmeldung übermittelt und im Dashboard des Unternehmens als „KI-Zusammenfassung“ gekennzeichnet. Den Gesprächsverlauf speichern wir nicht, weder in der Datenbank noch in Protokolldateien; gespeichert wird nur die abgeschickte Zusammenfassung. Übermittelt werden nur die Gesprächsinhalte und die gewählte Sprache, keine IP-Adressen oder Gerätekennungen. Der Dialog ist freiwillig; das normale Textfeld steht immer gleichwertig zur Verfügung.

KI-Auswertung (buchbar). Im Rahmen der buchbaren KI-Funktionen werden Feedback-Texte zur Auswertung an Anthropic übermittelt. Die KI-Funktionen umfassen die Erstellung von Auswertungs-Reports sowie – bei aktivierter KI – eine automatische Analyse eingegangener Feedback-Texte (Themen-Erkennung, Stimmungs-Einschätzung und Hinweis-Prüfung auf mögliche Risikofälle wie z. B. Mobbing). Die im Code vorgesehenen Ausfalloptionen Google Gemini und OpenAI sind derzeit nicht eingerichtet; es werden keine Inhalte an sie übermittelt. Vor einer Einrichtung aktualisieren wir diese Erklärung und informieren unsere Kunden. Dabei gilt:

• Übermittelt wird ausschließlich der Feedback-Text selbst (ggf. mit gewählter Kategorie und Stimmungswert). An die KI werden keine IP-Adressen, Geräteinformationen oder sonstigen identifizierenden Angaben übermittelt – solche werden zu Rückmeldungen auch nicht gespeichert. Gespeichert wird pro Rückmeldung ein Eingangszeitpunkt; er ist technisch notwendig für die zeitversetzte Anzeige (siehe Ziffer 2c) und für Monatsauswertungen, wird aber nicht an die KI übermittelt.
• Berichte (auch KI-Berichte), Monatsverlauf und Themen-Ranglisten werden erst ab fünf Rückmeldungen erstellt (k-Anonymität); für Auswertungen nach Abteilungen, Themen-Ranglisten und die öffentliche Ergebnisseite ist diese Untergrenze fest und kann nicht gesenkt werden. Die Übersichtskennzahlen im Dashboard (Gesamtzahl, Verteilung nach Stimmung und Kategorie, Wochenverlauf) erscheinen dagegen ab der ersten sichtbaren Rückmeldung. Die KI ist zudem angewiesen, zu paraphrasieren statt wörtlich zu zitieren. Die Schwelle schützt die Auswertungen, nicht die einzelne Rückmeldung: Deren Text liest das Unternehmen im Dashboard im Wortlaut.
• Ergibt die automatische Analyse einen möglichen Risikofall, erhält das Unternehmen auf Wunsch einen Hinweis – dieser enthält niemals den Feedback-Text, sondern nur die Risiko-Kategorie und einen Verweis in das geschützte Dashboard.
• Die Verarbeitung erfolgt ausschließlich zur Erstellung der Auswertung für Ihr Unternehmen.
• Anthropic verwendet Inhalte, die über die Programmierschnittstelle (API) übermittelt werden, nach seinen Geschäftsbedingungen nicht zum Training seiner KI-Modelle.
• Die KI-Auswertung ist an den gebuchten Tarif bzw. das optionale KI-Add-on gekoppelt. Ein Schalter in den Einstellungen beendet jede KI-Verarbeitung, also auch Übersetzung und KI-Dialog.

Da Anthropic die Inhalte in den USA verarbeitet, erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Keine automatisierten Entscheidungen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. KI-Ergebnisse – Übersetzungen, Themen, Stimmungswerte, Risiko-Hinweise und Berichte – sind Hilfsmittel für das Unternehmen; sie beziehen sich auf anonyme Rückmeldungen und nicht auf bestimmte Personen, und jede Entscheidung trifft ein Mensch.

5a. Spracheingabe (optional, nur nach ausdrücklicher Einwilligung)

Die Spracheingabe ist derzeit nicht freigeschaltet; es werden keine Sprachaufnahmen verarbeitet. Vor einer Freischaltung legen wir die Verarbeitungsregion fest, nennen sie in diesem Abschnitt und informieren unsere Kunden. Für die freigeschaltete Spracheingabe gilt:

Sofern Ihr Unternehmen die Spracheingabe im KI-Dialog nutzt, kann eine Rückmeldung gesprochen statt getippt werden. Die Aufnahme dient ausschließlich der Umwandlung in Text; anschließend arbeiten Sie nur mit dem Text weiter. Dabei gilt:

• Einwilligung vorab: Vor der ersten Aufnahme wird ausdrücklich um Ihre Einwilligung gebeten (Art. 6 Abs. 1 S. 1 lit. a DSGVO). Die Bedienoberfläche startet das Mikrofon erst nach dieser Bestätigung. Die Bestätigung gilt nur für die geöffnete Seite und wird weder in einem Cookie noch auf dem Server gespeichert; nach einem Neuladen der Seite wird erneut gefragt. Die Einwilligung ist jederzeit für die Zukunft widerrufbar, indem Sie die Spracheingabe nicht weiter nutzen.
• Freiwillig und gleichwertig ersetzbar: Die Texteingabe steht unverändert und gleichwertig zur Verfügung. Wer nicht sprechen möchte, hat dadurch keinerlei Nachteil.
• Dienstleister und Zweck: Die Aufnahme wird an OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C.) übermittelt und dort ausschließlich zur automatischen Umwandlung von Sprache in Text (Transkription) verarbeitet.
• Keine Speicherung bei uns: Die Aufnahme wird von uns zu keinem Zeitpunkt gespeichert – sie besteht nur für die Dauer der einzelnen Anfrage im Arbeitsspeicher und wird danach verworfen. Sie wird nicht auf Datenträgern abgelegt, nicht in Protokolldateien geschrieben und ist für niemanden anhörbar – weder für Ihr Unternehmen noch für uns. OpenAI verwendet Inhalte, die über die Programmierschnittstelle übermittelt werden, nach seinen Bedingungen nicht zum Training seiner Modelle und löscht sie spätestens nach 30 Tagen, es sei denn, sie werden zur Aufklärung eines Missbrauchs länger benötigt.
• Keine Zusatzangaben: Übermittelt werden ausschließlich die Audiodaten und die gewählte Sprache. Es werden keine Namen, IP-Adressen, Gerätekennungen oder Zeitstempel mitgesendet.
• Abschaltbar: Die Spracheingabe ist eine gesondert freizuschaltende Zusatzfunktion. Ist sie nicht freigeschaltet, wird kein Mikrofon angeboten und es werden keinerlei Audiodaten übermittelt.

Hinweis: Eine Stimme kann eine Person unter Umständen erkennbar machen. Genau deshalb wird die Aufnahme nirgends gespeichert, ist für niemanden abrufbar und wird nur nach Ihrer vorherigen Bestätigung erhoben.

5b. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten es verlangen. Im Einzelnen:

• Server-Logdateien (Ziffer 2a): Sie entstehen bei unserem Hosting-Anbieter Vercel und werden dort nach dessen Aufbewahrungsfristen automatisch gelöscht. Wir legen keine eigene Kopie an und werten sie nicht personenbezogen aus.
• Rückmeldungen, Umfrage-Antworten, Ideen und Rückkanal-Dialoge: Das Unternehmen legt die Aufbewahrungsfrist selbst fest. Ohne abweichende Einstellung gilt eine Frist von 24 Monaten; einstellbar ist ein Wert zwischen 3 und 36 Monaten. Nach Ablauf der Frist entfernt ein automatischer nächtlicher Lauf die Daten endgültig aus der Datenbank; sie werden nicht nur ausgeblendet.
• Empfängerlisten für Umfrage-Einladungen (Ziffer 2c3): Sie unterliegen bewusst nicht der oben genannten Aufbewahrungsfrist – eine Adressliste ist ein gepflegtes Arbeitsmittel und kein Inhalt, dessen Alter die Anonymität gefährdet; eine stille Frist würde einen Verteiler unbemerkt zerfallen lassen. Stattdessen gibt es drei ausdrückliche Löschwege: Ihr Unternehmen entfernt eine einzelne Adresse, es löscht eine ganze Liste, oder das Konto wird beendet. In den ersten beiden Fällen wird der Eintrag mit Adresse, Listenzuordnung und Abmelde-Prüfwert auf Weisung aus der Datenbank entfernt; im dritten Fall spätestens 30 Tage nach Vertragsende zusammen mit allen übrigen Daten. Abgeschlossene Aussendungen behalten ihre Zustell-Summen (versendet, zugestellt, unzustellbar) – diese Zahlen haben keinen Adressbezug.
• Meldungen an die interne Meldestelle (Ziffer 2c4): drei Jahre nach Abschluss des Verfahrens (§ 11 Abs. 5 HinSchG). Die Löschung übernimmt derselbe nächtliche Lauf; ein noch laufender Vorgang wird nicht gelöscht. Auch das Ende des Nutzungsvertrags verkürzt diese Frist nicht (siehe unten).
• Verwaltungskonten (E-Mail-Adresse, Rolle, Passwort-Prüfwert, 2FA-Angaben): bis zur Entfernung des Kontos durch das Unternehmen, spätestens 30 Tage nach Ende des Nutzungsvertrags (zur Ausnahme bei gespeicherten Meldungen siehe den letzten Punkt dieser Liste).
• Nicht abgeschlossene Registrierungen: Kommt nach der Registrierung kein Vertrag zustande, etwa weil Sie den Zahlungsdialog abbrechen, löschen wir Firmenname, E-Mail-Adresse und das angelegte Konto spätestens 12 Monate nach der Registrierung.
• Einmal-Links für Passwort-Setup, Passwort-Reset und Einladungen: Reset-Links 20 Minuten, Setup- und Einladungs-Links 7 Tage; danach werden sie ungültig und entfernt.
• Anmeldesitzungen: längstens 14 Tage; ein Passwort-Reset beendet alle bestehenden Sitzungen sofort.
• Zähler der Anfragebegrenzung (Ziffer 2f): Sie verfallen mit Ablauf des jeweiligen Zeitfensters, je nach Funktion nach einer Minute bis zu 24 Stunden.
• Protokolle sicherheitsrelevanter Vorgänge (Ziffer 2e): Die ausführlichen technischen Zeilen laufen in das Betriebsprotokoll unseres Hosting-Anbieters und unterliegen dessen kurzer Aufbewahrungsfrist. Die Audit-Spur in unserer Datenbank bleibt dagegen dauerhaft bestehen – sie enthält keine Freitexte, keine Fallcodes, keine IP-Adressen und keine E-Mail-Adressen, sondern nur Ereignis-Schlüssel, Zeitpunkt und interne Kennungen. Sie wird bewusst nicht mit dem Unternehmenskonto gelöscht: Der Eintrag, der eine Löschung dokumentiert, würde sich sonst selbst mitlöschen. Sobald das Unternehmenskonto entfernt ist, existiert die zugehörige Benutzerzeile nicht mehr; die verbliebene Kennung lässt sich dann keiner Person mehr zuordnen. Übrig bleibt ein pseudonymer Vorgangsnachweis.
• Fehlerprotokolle im technischen Monitoring: Ein gesonderter Monitoring-Dienst ist derzeit nicht aktiv; sobald einer eingesetzt wird, gelten dessen Aufbewahrungsfristen (beim vorbereiteten Dienst 90 Tage). Inhalte von Rückmeldungen sind darin nicht enthalten, weil sie vor der Übermittlung serverseitig entfernt werden.
• Vertrags- und Rechnungsunterlagen (unsere eigenen, nicht die Inhalte im Kummerkasten): nach den handels- und steuerrechtlichen Fristen (§ 147 AO, § 257 HGB, § 14b UStG) – 8 Jahre für Rechnungen und andere Buchungsbelege, 6 Jahre für empfangene und abgesandte Handels- und Geschäftsbriefe, 10 Jahre für Bücher, Inventare, Eröffnungsbilanzen und Jahresabschlüsse samt den zu ihrem Verständnis erforderlichen Arbeitsanweisungen und Organisationsunterlagen. Die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Unterlage entstanden ist; sie verlängert sich, soweit eine steuerliche Festsetzungsfrist noch läuft. Bis zum Fristablauf werden diese Daten gesperrt und nicht weiter verarbeitet.
• Ende des Nutzungsvertrags: Alle Daten des Unternehmens werden auf dessen Wahl herausgegeben oder gelöscht. Vertragsende ist das Ende des letzten laufenden Abonnements, also des Tarifs und gesondert gebuchter Zusatzmodule; bei einem individuell vereinbarten Vertrag das dort vereinbarte Ende. Ohne abweichende Weisung werden die Daten spätestens 30 Tage nach Vertragsende endgültig gelöscht; bis dahin kann das Unternehmen sie im Dashboard unter „Einstellungen → Datenschutz-Unterlagen“ exportieren, und seine Administratorinnen und Administratoren erhalten mit dem Ende des Tarif-Abonnements eine E-Mail mit dem Löschdatum. Bei einem individuell vereinbarten Vertrag wird das Konto mit dem Vertragsende gesperrt. Davon ausgenommen sind die gesetzlich aufzubewahrenden Vertrags- und Rechnungsunterlagen sowie die pseudonyme Audit-Spur, die den Löschvorgang selbst belegt (Ziffer 2e und der Punkt „Protokolle sicherheitsrelevanter Vorgänge“ in dieser Liste). Ausnahme interne Meldestelle: Solange Meldungen gespeichert sind – laufende Verfahren ebenso wie abgeschlossene, deren Frist nach § 11 Abs. 5 HinSchG noch läuft –, wird das Unternehmenskonto auch nach Vertragsende nicht endgültig gelöscht. Die Meldungen sichert und übergibt die Meldestelle des Unternehmens selbst; wir haben darauf keinen Zugriff und geben sie nicht heraus. Nach der Übergabe löschen wir Meldungen und Konto auf Weisung des Unternehmens; bis dahin gilt für die übrigen Daten weiter die eingestellte Aufbewahrungsfrist.

Datensicherung: In der zeitpunktgenauen Wiederherstellung des Datenbankanbieters bleiben gelöschte Daten technisch bedingt bis zum Ablauf des dort eingestellten Wiederherstellungsfensters erhalten; sie werden in dieser Zeit nicht verwendet und danach automatisch verworfen.

Sprachaufnahmen (Ziffer 5a) und Gesprächsverläufe des KI-Dialogs (Ziffer 5) werden zu keinem Zeitpunkt gespeichert und haben deshalb keine Speicherdauer.

6. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Haben Sie eine Einwilligung erteilt (etwa für die Namensangabe im Ideenmanagement oder die Spracheingabe), können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: kontakt@deinkummerkasten.com

7. Beschwerderecht bei einer Aufsichtsbehörde

Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs steht Ihnen das Recht auf Beschwerde bei einer Aufsichtsbehörde zu, wenn Sie der Ansicht sind, dass die Verarbeitung der Sie betreffenden personenbezogenen Daten gegen die DSGVO verstößt.

Die für uns zuständige Aufsichtsbehörde ist:
Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg
Stahnsdorfer Damm 77, 14532 Kleinmachnow

8. Datensicherheit

Website und Anwendung werden ausschließlich über eine TLS-verschlüsselte Verbindung (HTTPS) ausgeliefert; unverschlüsselte Aufrufe werden auf HTTPS umgeleitet, und der Browser wird angewiesen, künftig nur noch verschlüsselt zu verbinden (HSTS). Welche TLS-Version und welches Verschlüsselungsverfahren verwendet werden, handeln Ihr Browser und der Server beim Verbindungsaufbau aus. Alle innerhalb der Anwendung übertragenen Daten werden verschlüsselt übermittelt.

9. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand 6. Oktober 2026. Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung zu ändern.

Stand: 6. Oktober 2026