Transparenz, Datenschutz und Rechtssicherheit.
Datenschutzerklärung DealPiloot (Verne AI)
Version 4.3 • 1. September 2026 • Vollständig DSGVO- & EU AI Act-konform1. Identität und Kontaktdaten des Verantwortlichen
Diese Datenschutzerklärung gilt für alle Verarbeitungen personenbezogener Daten durch Verne AI mit Sitz in Utrecht bezüglich des Produkts und des Handelsnamens DealPiloot (Handelsregistereintragung auf Anfrage) (nachfolgend: "DealPiloot", "Verne AI", "wir" oder "uns").
Für alle Anfragen bezüglich Datenschutz, Datensicherheit und der Ausübung Ihrer Rechte können Sie sich direkt an unseren Datenschutzbeauftragten (DSB / DPO) unter privacy@dealpiloot.nl wenden.
2. Geltungsbereich & rechtliche Rollenverteilung (DSGVO Art. 4 Nr. 7 und Nr. 8)
Im Rahmen der Datenschutz-Grundverordnung (DSGVO) unterscheidet DealPiloot zwei getrennte Verarbeitungssituationen:
a) DealPiloot als Verantwortlicher: Wir bestimmen eigenständig die Zwecke und Mittel für die Verarbeitung personenbezogener Daten unserer Website-Besucher, Interessenten, direkten Ansprechpartner bei angeschlossenen Beratungsunternehmen sowie für Abrechnung und Lizenzverwaltung.
b) DealPiloot als Auftragsverarbeiter: Hinsichtlich aller Dossierdaten, Jahresabschlüsse, Banktransaktionen, Handelsregisterauszüge und personenbezogener Daten Dritter (Endkunden/Unternehmer), die durch oder im Namen der Beratungskanzlei in die Anwendung eingegeben werden, fungiert die Beratungskanzlei als Verantwortlicher und DealPiloot ausschließlich als Auftragsverarbeiter gemäß Art. 28 DSGVO. Hierauf findet unser Standard-Auftragsverarbeitungsvertrag (AVV/DPA) uneingeschränkt Anwendung.
3. Kategorien verarbeiteter personenbezogener Daten
Wir verarbeiten ausschließlich Daten, die für den Betrieb des SaaS-Dienstes und die administrative Dossiererstellung zwingend erforderlich sind:
• Berater- und Benutzerdaten: Name, geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer, Kanzleiname, Handelsregisternummer, IP-Adresse, Anmeldezeiten, Rollenberechtigungen und Audit-Logs.
• Finanzielle Dossierdaten (im Auftrag): Firmenname des kreditsuchenden Unternehmens, Handelsregisternummer, Jahresabschlüsse, Bilanzen, Gewinn- und Verlustrechnungen, anonymisierte Banktransaktionsmuster, indikative Kreditbeträge, Sicherheiten und Besprechungsnotizen.
• Sprachdaten (DealPiloot Light): Rohe Audioaufnahmen diktierter Erstgespräche und die daraus generierten Entwurfs-Transkriptionen.
4. Verarbeitungszwecke und Rechtsgrundlagen (DSGVO Art. 6 Abs. 1)
Jede Verarbeitung personenbezogener Daten stützt sich auf eine ausdrückliche gesetzliche Rechtsgrundlage gemäß Art. 6 Abs. 1 DSGVO:
• Vertragserfüllung (Buchstabe b): Bereitstellung des Portalzugangs, Umwandlung von Sprachaufnahmen in Gesprächsberichte (Light), Generierung von Finanzdossiers (CreditPack) und Kundensupport.
• Rechtliche Verpflichtung (Buchstabe c): Führung einer ordnungsgemäßen Geschäftsverwaltung und Erfüllung der gesetzlichen steuerrechtlichen Aufbewahrungspflicht von 7 Jahren (Art. 52 niederländische Abgabenordnung AWR).
• Berechtigte Interessen (Buchstabe f): Gewährleistung der Netzwerk- und Informationssicherheit, Einbruchserkennung, Betrugsprävention, Mandantentrennung und Qualitätsüberwachung unserer Infrastruktur.
• Einwilligung (Buchstabe a): Ausschließlich für optionale Webanalyse-Cookies über unseren Consent-Manager.
5. Sprachdaten & strikte Null-Modelltraining-Garantie
Unser Umgang mit Sprach- und Dossierdaten basiert auf Privacy-by-Design:
• Kryptografischer Audio-Purge: Sprachaufnahmen über DealPiloot Light werden ausschließlich für die direkte Speech-to-Text-Transkription genutzt. Innerhalb von maximal 24 Stunden nach der Transkription wird die rohe Audiodatei permanent und unwiderruflich von unseren Servern gelöscht.
• Zero Model Training: Keine Sprachaufnahme, Transkription, kein Finanzdokument oder Kundeninformation wird jemals dazu verwendet, öffentliche, kommerzielle oder generische KI-Modelle Dritter zu trainieren. Unsere Enterprise-Cloud- und Modellvereinbarungen schließen Datenhaltung zu Trainingszwecken vertraglich und technisch zu 100% aus.
6. Ausdrückliches Verbot von Bürgerservicenummern (BSN / Steuer-IDs) & automatisierte Schwärzung
Gemäß Art. 46 des niederländischen DSGVO-Ausführungsgesetzes (UAVG) darf eine gesetzlich vorgeschriebene Identifikationsnummer wie die Bürgerservicenummer (BSN) nur zur Ausführung des betreffenden Gesetzes oder für gesetzlich bestimmte Zwecke verwendet werden. DealPiloot erbringt reine SaaS-Dienste und besitzt keine gesetzliche Befugnis zur Verarbeitung von BSNs.
Zwingende Verpflichtung für Berater: Benutzern ist es ausdrücklich untersagt, unzensierte BSNs oder nationale Identifikationsnummern in DealPiloot einzugeben oder hochzuladen. Als zusätzliche Sicherheitsmaßnahme wendet DealPiloot automatische heuristische Mustererkennung an, um versehentlich übermittelte BSNs sofort unkenntlich zu machen (Maskierung). DealPiloot übernimmt keinerlei Haftung, wenn der Benutzer entgegen diesem Verbot BSN-Daten übermittelt.
7. Aufbewahrungsfristen & Datenlöschungskonzept
Wir speichern personenbezogene Daten niemals länger, als es für den Zweck der Verarbeitung zwingend erforderlich ist:
• Rohe Audio-Sprachaufnahmen: Maximal 24 Stunden nach Transkription (anschließend automatische Löschung).
• Kreditdossiers und Berechnungen: Während der Laufzeit des Lizenzvertrags mit der Kanzlei zzgl. 30 Tage Exportfrist nach Beendigung.
• Rechnungs- und Zahlungsdaten: 7 Jahre gemäß den gesetzlichen steuerlichen Aufbewahrungspflichten.
• Sitzungs- und Sicherheitsprotokolle: 90 Tage bis maximal 12 Monate, danach automatische Logrotation.
8. Unterauftragsverarbeiter & strikte EWR-Datenresidenz
Alle unsere Anwendungsserver, Produktionsdatenbanken, Speichercluster und Backups befinden sich physisch innerhalb des Europäischen Wirtschaftsraums (EWR), konkret in Tier-3-Rechenzentren in den Regionen Amsterdam (Niederlande) und Frankfurt (Deutschland). Diese Rechenzentren verfügen über aktuelle Zertifizierungen nach ISO 27001, ISO 27017, ISO 27018 und SOC 2 Typ II.
Es findet kein Datenexport in Drittländer außerhalb des EWR statt, es sei denn, es liegen geeignete Übermittlungsinstrumente gemäß DSGVO Kapitel V vor (z. B. EU-Standardvertragsklauseln und EU-US Data Privacy Framework-Zertifizierungen).
9. Keine automatisierten Entscheidungen & Profiling (DSGVO Art. 22 & EU AI Act)
DealPiloot nutzt keine automatisierten Entscheidungsfindungen oder Profiling mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. Die Software führt keine eigenständige Kreditwürdigkeitsprüfung oder Kreditvergabe durch.
DealPiloot basiert auf dem Prinzip des Human-in-the-Loop gemäß dem europäischen AI Act: Die Software generiert ausschließlich indikative Rechenmodelle (wie DSCR- und EBITDA-Berechnungen) und strukturierte Textentwürfe zur Vorbereitung eines Dossiers. Der menschliche Berater und der Risikoprüfer des Finanzierungsinstituts bleiben jederzeit zu 100% für die inhaltliche Prüfung und die endgültige Kreditentscheidung verantwortlich.
10. Rechte der betroffenen Personen (DSGVO Kapitel III)
Als betroffene Person stehen Ihnen nach der DSGVO folgende gesetzliche Rechte zu:
• Auskunftsrecht (Art. 15): Auskunft darüber, welche personenbezogenen Daten wir über Sie verarbeiten.
• Recht auf Berichtigung (Art. 16): Korrektur unrichtiger oder unvollständiger Daten.
• Recht auf Löschung / Vergessenwerden (Art. 17): Löschung von Daten bei Wegfall der Rechtsgrundlage.
• Recht auf Einschränkung der Verarbeitung (Art. 18): Vorübergehendes Einfrieren der Datenverarbeitung.
• Recht auf Datenübertragbarkeit (Art. 20): Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21): Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen.
Anfragen können über das untenstehende DSR-Portal oder per E-Mail an privacy@dealpiloot.nl eingereicht werden. Wir bestätigen den Eingang innerhalb von 48 Stunden und bearbeiten das Anliegen innerhalb der gesetzlichen Frist von maximal einem Monat.
11. Technische und organisatorische Maßnahmen (DSGVO Art. 32)
DealPiloot setzt strenge Sicherheitsstandards um, um Datenverlust und unrechtmäßige Verarbeitungen zu verhindern:
• Verschlüsselung während der Übertragung über TLS 1.3 mit modernen Verschlüsselungsprotokollen;
• Verschlüsselung im Ruhezustand (at-rest) gemäß AES-256 auf allen Datenspeichern und Datenbanken;
• Logische Mandantentrennung mit kryptografischer Isolation pro Kanzlei;
• Verpflichtende Multi-Faktor-Authentifizierung (MFA/TOTP) für administrative Systemzugänge;
• Automatisierte Schwachstellenscans und kontinuierliche Aufzeichnung von Audit-Trails.
12. Beschwerderecht bei der Aufsichtsbehörde & anwendbares Recht
Wenn Sie der Ansicht sind, dass DealPiloot bei der Datenverarbeitung gegen geltendes Datenschutzrecht verstößt, haben Sie das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen: Autoriteit Persoonsgegevens (AP), Postbus 93374, 2509 AJ Den Haag, Niederlande (autoriteitpersoonsgegevens.nl).
Auf diese Datenschutzerklärung findet ausschließlich niederländisches Recht Anwendung. Ausschließlicher Gerichtsstand für alle Streitigkeiten ist das Bezirksgericht Midden-Nederland (Standort Utrecht).
DSGVO / GDPR DSR-Portal: Betroffenenrechte geltend machen
Sind Sie Berater oder betroffene Person, deren Daten in DealPiloot verarbeitet wurden? Stellen Sie hier direkt eine Anfrage an unseren Datenschutzbeauftragten (DSB):
⚖️ Es gilt stets niederländisches Recht. Bei Auslegungsunterschieden zwischen Übersetzungen ist der niederländische Originaltext rechtlich verbindlich.