Datenschutzhinweise ore

Diese Hinweise gelten für die Nutzung der Plattform ore, also für Kanzleien, Unternehmen, deren Mitarbeitende, Mandanten und Dritte, die über ore angefragt werden. Für den Besuch unserer Website gilt die Datenschutzerklärung der Website.

1. Wer verantwortlich ist

Für die Inhalte: Ihre Kanzlei oder Ihr Unternehmen

Was in ore an Inhalten liegt, etwa Prüfungsakten, Unterlagen, Abschlussdaten und Angaben zu Mandanten, verarbeiten wir im Auftrag der Kanzlei oder des Unternehmens, das ore nutzt. Verantwortlich im Sinne der DSGVO ist dann diese Kanzlei oder dieses Unternehmen. Wir sind Auftragsverarbeiter nach Art. 28 DSGVO und handeln nur auf Weisung, auf Grundlage eines Auftragsverarbeitungsvertrags. Fragen zu diesen Inhalten richten Sie bitte an die Kanzlei oder das Unternehmen, mit dem Sie über ore zusammenarbeiten.

Für den Betrieb: die Oreamnos GmbH

Für die Daten, die wir brauchen, um ore bereitzustellen, abzusichern und abzurechnen, sind wir selbst verantwortlich. Darum geht es in den folgenden Abschnitten.

Oreamnos GmbH, vertreten durch die Geschäftsführer Andreas Schmitz und Dmitri Steinbach
Dürener Straße 334-336, 50935 Köln
Tel.: +49 221 466 791, E-Mail: info@oreamnos.de

Wenn sich die Dauer einer Speicherung nicht genauer angeben lässt, gilt: Wir löschen personenbezogene Daten, sobald der Zweck entfällt und keine Aufbewahrungspflicht entgegensteht.

2. Bereitstellung der Plattform

Welche Daten

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse und HTTP-Statuscode
• Browser, Browserversion und Betriebssystem

Zweck und Rechtsgrundlage

Wir brauchen diese Daten, um ore auszuliefern, Fehler zu beheben und Angriffe oder Missbrauch zu erkennen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Die Protokolldateien werden nach 14 Tagen gelöscht. Einträge, die wir zur Aufklärung eines Sicherheitsvorfalls brauchen, bewahren wir auf, bis der Vorfall geklärt ist.

3. Benutzerkonto

Welche Daten

• Vor- und Nachname, E-Mail-Adresse
• Passwort, nur als nicht umkehrbarer Hashwert gespeichert
• Zugehörigkeit zu Kanzlei, Unternehmen und Mandaten sowie Ihre Rollen und Berechtigungen
• Zeitpunkt der Registrierung und der letzten Anmeldung
• Spracheinstellung und weitere Einstellungen, die Sie selbst vornehmen

Zweck und Rechtsgrundlage

Das Konto ist Voraussetzung, um ore zu nutzen, und stellt sicher, dass jede Person nur sieht, wofür sie berechtigt ist. Rechtsgrundlage ist der Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Haben Sie das Konto über Ihren Arbeitgeber oder eine Kanzlei erhalten, stützt sich die Verarbeitung zusätzlich auf deren berechtigtes Interesse an einer geordneten Zusammenarbeit (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Bis das Konto gelöscht wird oder der Nutzungsvertrag endet, danach nur noch, soweit gesetzliche Aufbewahrungspflichten bestehen. Ihre Kanzlei oder Ihr Unternehmen kann Ihr Konto jederzeit deaktivieren oder löschen lassen.

Müssen Sie die Daten angeben?

Name und E-Mail-Adresse brauchen wir, um ein Konto anzulegen. Ohne sie können Sie ore nicht nutzen. Alle weiteren Einstellungen sind freiwillig.

4. Abrechnung

Welche Daten

• Name und Anschrift der Kanzlei oder des Unternehmens, Ansprechperson und E-Mail-Adresse für Rechnungen
• gebuchter Tarif, Laufzeit, Rechnungen und Zahlungsstatus
• Zahlungsart, bei Karten nur Kartenmarke und die letzten vier Ziffern

Karten- und Kontodaten geben Sie direkt bei unserem Zahlungsdienstleister Stripe ein. Sie erreichen unsere Server nicht.

Zweck und Rechtsgrundlage

Wir brauchen die Daten, um den Nutzungsvertrag abzurechnen (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsbelege bewahren wir auf, weil Handels- und Steuerrecht das verlangen (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO).

Speicherdauer

Bis zum Ende des Vertrags, danach so lange, wie die gesetzlichen Aufbewahrungsfristen laufen. Für Rechnungen und Buchungsbelege sind das derzeit acht Jahre, für Handels- und Geschäftsbriefe sechs Jahre.

Müssen Sie die Daten angeben?

Ja, ohne Rechnungs- und Zahlungsangaben können wir keinen kostenpflichtigen Vertrag schließen.

5. E-Mails aus der Plattform

Welche Daten

Name und E-Mail-Adresse der Empfänger, Inhalt der Nachricht, Zeitpunkt des Versands und der Zustellstatus (zugestellt, abgewiesen, als unerwünscht gemeldet). Bei Antworten an ore außerdem die eingehende E-Mail mit Anhängen.

Zweck und Rechtsgrundlage

ore verschickt Einladungen, Benachrichtigungen, Erinnerungen und Anfragen an Dritte und ordnet Antworten der richtigen Akte zu. Nachrichten zu Ihrem Konto, etwa die Einladung oder das Zurücksetzen des Passworts, beruhen auf dem Nutzungsvertrag (Art. 6 Abs. 1 lit. b DSGVO). Nachrichten zu Inhalten einer Akte verschicken wir im Auftrag der Kanzlei oder des Unternehmens, siehe Abschnitt 1. Den Zustellstatus werten wir aus, damit Nachrichten ankommen und unsere Absenderadresse nicht gesperrt wird (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer

Den Zustellstatus speichern wir bei der jeweiligen Nachricht. Er wird so lange aufbewahrt wie die Nachricht selbst. Eingehende E-Mails gehören zur Akte und werden so lange aufbewahrt wie diese.

6. Fehleranalyse

Welche Daten

Tritt in ore ein technischer Fehler auf, erfassen wir die Fehlermeldung, die betroffene Funktion und Seite, Zeitpunkt, Browser und Betriebssystem. Name, E-Mail-Adresse, Cookies, Inhalte von Formularen und Suchparameter in Adressen schicken wir nicht mit, Kennungen in Adressen werden vor dem Versand entfernt. Bildschirmaufzeichnungen machen wir nicht.

Zweck und Rechtsgrundlage

Wir wollen Fehler erkennen und beheben, bevor sie viele Nutzer treffen. Rechtsgrundlage ist unser berechtigtes Interesse an einer fehlerfreien Plattform (Art. 6 Abs. 1 lit. f DSGVO). Dienstleister ist Sentry, siehe Empfänger.

Speicherdauer

Fehlerberichte werden nach 90 Tagen gelöscht.

7. Schutz von Registrierung und Anmeldung

Welche Daten

Bei Registrierung und Anmeldung prüft Cloudflare Turnstile, ob ein Mensch oder ein automatisiertes Programm zugreift. Dafür werden IP-Adresse, Browserkennung, TLS-Fingerabdruck und technische Merkmale des Browsers ausgewertet. Turnstile liest dazu Informationen aus Ihrem Browser aus.

Zweck und Rechtsgrundlage

Wir schützen Konten vor automatisierten Anmeldeversuchen und Massenregistrierungen. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit der Plattform (Art. 6 Abs. 1 lit. f DSGVO). Das Auslesen von Informationen aus Ihrem Browser ist für die von Ihnen gewünschte sichere Anmeldung unbedingt erforderlich und deshalb ohne Einwilligung zulässig (§ 25 Abs. 2 Nr. 2 TDDDG).

Speicherdauer

Wir selbst speichern nur das Ergebnis der Prüfung. Wie lange Cloudflare die Daten in eigener Verantwortung speichert, regelt Cloudflare in seiner Datenschutzerklärung.

8. Protokollierung in der Akte

Welche Daten

ore hält fest, wer wann was in einer Akte getan hat: Änderungen, Freigaben, Kommentare, hochgeladene Dokumente, Rückfragen und Einladungen.

Zweck und Rechtsgrundlage

Prüfungs- und Abschlussarbeit muss nachvollziehbar sein, das verlangen Berufsrecht und Prüfungsstandards. Die Protokollierung ist deshalb Teil der Leistung, die wir für Ihre Kanzlei oder Ihr Unternehmen erbringen, und erfolgt in deren Auftrag.

Speicherdauer

Die Protokolle gehören zur Akte und werden so lange aufbewahrt wie diese. Die Fristen legt die Kanzlei oder das Unternehmen fest, bei Wirtschaftsprüfern etwa nach § 51b WPO.

9. Mandantenportal und Anfragen an Dritte

Über ore liefern Mandanten Unterlagen, und Dritte wie Banken, Rechtsanwälte oder Geschäftspartner beantworten Bestätigungsanfragen. Dafür verarbeiten wir Name, Kontaktdaten und die Antworten der angefragten Personen. Dritte brauchen kein Konto, sie erhalten einen persönlichen Link. Auch diese Verarbeitung geschieht im Auftrag der Kanzlei, die die Anfrage stellt.

10. KI-Funktionen

Welche KI in ore arbeitet, entscheidet Ihre Kanzlei oder Ihr Unternehmen: einer der unten genannten Anbieter, über unseren oder einen eigenen Schlüssel, oder ein lokales Modell auf eigener Infrastruktur. An den gewählten Anbieter gehen nur die Inhalte, die für die jeweilige Funktion nötig sind. Mit jedem Anbieter, den wir anbieten, besteht ein Auftragsverarbeitungsvertrag; das Training mit Ihren Daten ist vertraglich ausgeschlossen. Ergebnisse der KI sind Vorschläge, über die Menschen entscheiden. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

11. Empfänger

Für den Betrieb von ore setzen wir folgende Dienstleister ein, jeweils mit Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wo ein Dienstleister für einen Teil der Verarbeitung selbst verantwortlich ist, steht es dabei.

• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen

  Zweck

  Server für den Betrieb der Plattform

  Ort der Verarbeitung

  Deutschland (Nürnberg, Falkenstein)

  Garantie bei Drittlandbezug

  keine Drittlandübermittlung

• Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513

  Zweck

  Datenbank, Anmeldung, Dateispeicher

  Ort der Verarbeitung

  Frankfurt am Main (Rechenzentrum von Amazon Web Services, Region eu-central-1)

  Garantie bei Drittlandbezug

  Standardvertragsklauseln der EU-Kommission als Teil des Auftragsverarbeitungsvertrags, für Zugriffe von außerhalb der EU, etwa im Support

• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg

  Zweck

  Versand und Empfang von E-Mails aus der Plattform (Amazon SES), Ablage eingehender E-Mails

  Ort der Verarbeitung

  Frankfurt am Main (Region eu-central-1); AWS überträgt die Daten nicht aus der gewählten Region, außer für vom Kunden ausgelöste Dienste oder auf gesetzliche Anordnung

  Garantie bei Drittlandbezug

  Standardvertragsklauseln der EU-Kommission als Teil des AWS-Datenverarbeitungsnachtrags, für Übermittlungen in Drittländer

• Deutsche Post E-POST Solutions GmbH und Deutsche Post AG, Bonn (E-POST)

  Zweck

  Digitale Einlieferung, Druck und Versand von Briefen, etwa Bestätigungsanfragen an Dritte

  Ort der Verarbeitung

  Rechenzentren innerhalb der EU

  Garantie bei Drittlandbezug

  keine Drittlandübermittlung

• Functional Software, Inc. (Sentry), 45 Fremont Street, San Francisco, CA 94105, USA

  Zweck

  Erkennung und Analyse technischer Fehler

  Ort der Verarbeitung

  EU-Datenregion von Sentry in Deutschland, Zugriffe aus den USA möglich

  Garantie bei Drittlandbezug

  EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln (Data Processing Addendum 5.1.0)

• Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA (Turnstile)

  Zweck

  Schutz von Registrierung und Anmeldung vor automatisierten Zugriffen. Verarbeitet werden IP-Adresse, TLS-Fingerabdruck und Browserkennung. Um die Bot-Erkennung zu verbessern, ist Cloudflare selbst Verantwortlicher.

  Ort der Verarbeitung

  weltweites Netz von Cloudflare, Übermittlung in die USA

  Garantie bei Drittlandbezug

  EU-US Data Privacy Framework (Cloudflare Data Processing Addendum 6.4)

• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland

  Zweck

  Zahlungsabwicklung. Für einen Teil davon, etwa Betrugsprävention und gesetzliche Pflichten als Zahlungsdienstleister, ist Stripe selbst Verantwortlicher.

  Ort der Verarbeitung

  EU, Übermittlung in die USA möglich

  Garantie bei Drittlandbezug

  EU-US Data Privacy Framework, ergänzend Standardvertragsklauseln (Stripe-Datenverarbeitungsvereinbarung)

KI-Anbieter, je nach Wahl der Kanzlei oder des Unternehmens:

• Anthropic Ireland, Limited, Dublin, Irland (Claude)

  Zweck

  KI-Funktionen, wenn von der Kanzlei oder dem Unternehmen gewählt

  Ort der Verarbeitung

  USA

  Garantie bei Drittlandbezug

  Standardvertragsklauseln der EU-Kommission nach irischem Recht als Teil des Anthropic Data Processing Addendum (24.02.2025)

• OpenAI Ireland Ltd., Dublin, Irland (ChatGPT)

  Zweck

  KI-Funktionen, wenn von der Kanzlei oder dem Unternehmen gewählt

  Ort der Verarbeitung

  Übermittlung an verbundene Unternehmen von OpenAI und an Unterauftragsverarbeiter außerhalb der EU möglich, insbesondere in die USA

  Garantie bei Drittlandbezug

  Standardvertragsklauseln der EU-Kommission oder Angemessenheitsbeschluss nach Art. 45 DSGVO als Teil des OpenAI Data Processing Addendum (Fassung v.010126, unterzeichnet am 29.10.2026)

12. Ihre Rechte

Sie haben gegenüber uns folgende Rechte:

• Bestätigung, ob wir Daten zu Ihnen verarbeiten, und Auskunft samt Kopie (Art. 15 DSGVO)
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO)
• Löschung, soweit keine Pflicht zur Aufbewahrung besteht (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Herausgabe Ihrer Daten in einem gängigen, maschinenlesbaren Format (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen, aus Gründen Ihrer besonderen Situation (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Für Daten, die wir selbst verantworten, wenden Sie sich an info@oreamnos.de. Für Inhalte, die wir im Auftrag verarbeiten, ist Ihre Kanzlei oder Ihr Unternehmen der richtige Ansprechpartner; wir unterstützen sie dabei. Für uns zuständige Aufsichtsbehörde ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2-4, 40213 Düsseldorf.

13. Änderungen

Entwickeln wir ore weiter oder ändert sich die Rechtslage, passen wir diese Hinweise an. Es gilt jeweils die hier veröffentlichte Fassung.