1. Geltungsbereich und Verantwortlicher
Diese Datenschutzerklärung gilt für die Website pharen.de, den browserbasierten Pharen Hub unter pharen.app und die von uns bereitgestellten mobilen Anwendungen, soweit dort auf diese Erklärung verwiesen wird. Verantwortlicher im Sinne der DSGVO ist die Pharen IT GmbH, Hauptstraße 40
04683 Naunhof OT Fuchshain
Deutschland.
Datenschutzanfragen kannst du an info@pharen.de richten. Bitte übermittle über diesen Kontakt keine Passwörter, API-Schlüssel oder sonstigen Zugangsdaten.
2. Unsere Datenschutzrolle im Hub
Für Konto-, Vertrags-, Abrechnungs-, Sicherheits- und Supportdaten entscheidet Pharen grundsätzlich selbst über Zweck und Mittel der Verarbeitung und ist dafür Verantwortlicher.
Für Inhalte, die Organisationen im Hub einstellen oder über Integrationen verarbeiten, legt regelmäßig die jeweilige Organisation Zweck und Mittel fest. Pharen verarbeitet solche Kundendaten dann als Auftragsverarbeiter nach dokumentierten Weisungen. Gesetzliche Pflichten und Verarbeitungen zur Sicherheit des Dienstes bleiben unberührt.
3. Website-Aufruf, Hosting und Inhaltsauslieferung
Beim Aufruf unserer Angebote werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit, Zieladresse, Referrer, Browser- und Geräteinformationen, übertragene Datenmenge sowie Status- und Fehlercodes gehören. Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Abwehr von Angriffen.
Bilder und Videos der Website können über ein Content Delivery Network von Amazon Web Services (CloudFront) ausgeliefert werden. Dabei erhält der ausliefernde Server insbesondere IP-Adresse, angeforderte Datei, Zeitpunkt und technische Browserdaten. Vorübergehende Service-Animationen werden automatisch von Vimeo geladen, sobald der entsprechende Bereich in Sichtnähe kommt; dabei stellt dein Browser eine direkte Verbindung zu Vimeo her.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind der sichere, schnelle und zuverlässige Betrieb unserer digitalen Angebote. Soweit die Verarbeitung für die Anbahnung oder Durchführung eines Vertrags erforderlich ist, gilt zusätzlich Art. 6 Abs. 1 lit. b DSGVO.
4. Kontakt, Terminbuchung und Warteliste
Bei Kontaktanfragen verarbeiten wir Name, E-Mail-Adresse, optional Unternehmen, Tätigkeitsbereich, Budget- und Kontaktpräferenzen, Nachrichteninhalt, Sprache und Quellseite. Zur technischen Absicherung werden außerdem Zeitpunkt, User-Agent und ein mit einem serverseitigen Salt gebildeter Hash der IP-Adresse verarbeitet. Dies erfolgt zur Bearbeitung der Anfrage nach Art. 6 Abs. 1 lit. b DSGVO und zur Missbrauchsabwehr nach Art. 6 Abs. 1 lit. f DSGVO.
Bei einer Wartelistenanmeldung verarbeiten wir E-Mail-Adresse, optional Unternehmen, Sprache, Quellseite und Anmeldezeitpunkt sowie zur Missbrauchsabwehr User-Agent und einen gesalzenen Hash der IP-Adresse. Die Anmeldung ist deine Einwilligung in Launch-Updates und Early-Access-Nachrichten nach Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit per E-Mail mit Wirkung für die Zukunft widerrufen.
Wenn du die externe Terminbuchung von Microsoft Outlook öffnest, verlässt du unsere Website. Microsoft verarbeitet die dort eingegebenen Daten in eigener Verantwortung nach seinen Hinweisen. Alternativ kannst du uns direkt per E-Mail kontaktieren.
5. Konto, Workspace und Zusammenarbeit
Für Registrierung und Anmeldung verarbeiten wir insbesondere Vor- und Nachname, E-Mail-Adresse, Passwortprüfwerte, Anmelde- und Sicherheitstoken, Sprache, Konto- und Workspace-Zuordnungen, Rollen, Berechtigungen sowie Anmelde- und Sicherheitsereignisse. Bei Social Login erhalten wir vom gewählten Anbieter die freigegebenen Profildaten und Kennungen.
Im Hub verarbeiten wir die Inhalte, die Nutzer bereitstellen oder erzeugen. Dazu können Nachrichten, E-Mails, Kalender- und Kontaktdaten, Aufgaben, Dokumente, Dateien, Wissensdatenbanken, Workflows, Agentenläufe, Besprechungen, Audio-, Bild- und Videoinhalte sowie Metadaten zur Zusammenarbeit gehören. Welche Daten konkret verarbeitet werden, bestimmt die Nutzung des Workspace.
Rechtsgrundlage für Konto- und Produktfunktionen ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsprotokolle, Missbrauchserkennung und die Sicherung der Dienstqualität beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und nachvollziehbare Betrieb des Hub.
6. Konto- und Missbrauchsschutz
Für Bot- und Missbrauchsschutz kann Cloudflare Turnstile auf Registrierungs-, Anmelde- und Passwortseiten eingesetzt werden. Dabei werden technische Browser-, Geräte-, Netzwerk- und Interaktionsdaten an Cloudflare übermittelt, um automatisierte Zugriffe zu bewerten. Die Verarbeitung ist für die sichere Bereitstellung dieser Funktionen erforderlich und beruht auf Art. 6 Abs. 1 lit. f DSGVO sowie § 25 Abs. 2 Nr. 2 TDDDG.
Bei der Passwortwahl kann über den Dienst Have I Been Pwned geprüft werden, ob das Passwort in bekannten Datenlecks vorkommt. Dabei wird nicht das Passwort übertragen, sondern nur ein kurzer Präfix eines kryptografischen Passwort-Hashs (k-Anonymität). Die Antwort umfasst zahlreiche mögliche Hash-Treffer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist der Schutz von Konten vor bekannten kompromittierten Passwörtern.
7. Vom Nutzer aktivierte Integrationen
Der Hub kann auf Wunsch mit externen Diensten verbunden werden. Je nach verfügbarer und aktivierter Integration gehören dazu insbesondere Dienste von Google (z. B. Gmail, Drive, Kalender, Kontakte, Docs, Sheets, BigQuery, YouTube und Google Analytics), Microsoft (z. B. Outlook, OneDrive, SharePoint, Teams, To Do, Excel, Dynamics und Entra ID), GitHub sowie eigene SMTP-/IMAP-Mailserver.
Erst wenn ein berechtigter Nutzer eine Integration einrichtet oder verwendet, werden die dafür erforderlichen Zugangstoken, Konto- und Ressourcenkennungen, Berechtigungsumfänge und die vom Workflow angeforderten Inhalte zwischen Pharen und dem jeweiligen Dienst ausgetauscht. Umfang und Zweck richten sich nach der gewählten Aktion und den erteilten Berechtigungen.
Externe Anbieter können für ihre Plattform eigene Verantwortliche sein. Workspace-Administratoren müssen Integrationen nur für rechtmäßig zugängliche Daten freischalten, Berechtigungen möglichst eng wählen und nicht mehr benötigte Verbindungen widerrufen.
8. KI-, Medien- und Automationsfunktionen
Bei Nutzung einer KI-Funktion werden Eingaben, Anweisungen, Kontext, ausgewählte Workspace-Inhalte, Anhänge und technische Metadaten an das gewählte Modell bzw. den konfigurierten Anbieter übertragen. Ausgaben und Nutzungsmetadaten werden an den Hub zurückgegeben. Je nach Konfiguration können Modelle von OpenAI, Anthropic, Google, DeepSeek, ElevenLabs oder Black Forest Labs sowie kundeneigene oder selbst betriebene, OpenAI-kompatible Modelle eingesetzt werden.
Die Übermittlung erfolgt nur für die konkret gewählte Funktion und auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO bzw. bei Kundendaten nach Weisung der verantwortlichen Organisation. Nutzer sollten keine Daten an ein Modell senden, für die ihnen Berechtigung oder Rechtsgrundlage fehlt. Vertrauliche oder besondere Kategorien personenbezogener Daten dürfen nur verarbeitet werden, wenn dies vertraglich und datenschutzrechtlich freigegeben ist.
KI-Ergebnisse können unzutreffend oder unvollständig sein. Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung dürfen nicht ungeprüft allein auf eine KI-Ausgabe gestützt werden. Pharen trifft im Rahmen der Standardfunktionen keine ausschließlich automatisierte Entscheidung über Nutzer im Sinne von Art. 22 DSGVO.
9. Verträge, Abrechnung und Self-Hosted-Lizenzen
Für Angebote, Abonnements, Rechnungen und Self-Hosted-Lizenzen verarbeiten wir Kontaktdaten, Unternehmens- und Rechnungsanschrift, Land, optional Umsatzsteuer-ID, gewählten Tarif, Nutzer- und Laufzeitoptionen, Rabatt- oder Verlängerungsangaben, Bestellstatus, Beträge sowie Zahlungs- und Rechnungsreferenzen. Vollständige Zahlungsdaten werden regelmäßig vom im Checkout angezeigten Zahlungsdienst verarbeitet.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Steuer- und handelsrechtlich erforderliche Unterlagen verarbeiten wir nach Art. 6 Abs. 1 lit. c DSGVO.
10. Reichweitenmessung und Browserspeicher
Auf pharen.de verwenden wir Umami für cookielose Seitenstatistiken. Erfasst werden Seitenaufrufe, Referrer, Browser, Betriebssystem, Gerätetyp, ungefähres Herkunftsland, ausgewählte Interaktionen und technische Leistungswerte wie LCP, INP und CLS. Sitzungsaufzeichnungen und Google Analytics setzen wir auf pharen.de nicht ein. Details zu lokalen Einstellungen, notwendigen Hub-Cookies und externen Medien enthält unsere Cookie-Richtlinie.
Die statistische Auswertung dient der technischen und inhaltlichen Verbesserung nach Art. 6 Abs. 1 lit. f DSGVO. Unser Interesse ist zu verstehen, welche Inhalte genutzt werden, ohne Marketingprofile oder websiteübergreifende Verfolgung einzusetzen.
11. Empfänger und Kategorien von Dienstleistern
Daten erhalten intern nur Personen, die sie für Betrieb, Support, Sicherheit, Vertrieb, Buchhaltung oder die vereinbarte Leistung benötigen. Externe Empfänger können Hosting- und Infrastrukturunternehmen, Content-Delivery-, E-Mail-, Kommunikations-, Sicherheits-, Abrechnungs- und Zahlungsdienstleister, KI-/Medienanbieter sowie die vom Nutzer aktivierten Integrationsanbieter sein.
Dienstleister, die Daten ausschließlich in unserem Auftrag verarbeiten, werden vertraglich nach Art. 28 DSGVO gebunden. Andere Anbieter verarbeiten Daten in eigener Verantwortung, wenn Nutzer deren Dienst unmittelbar aufrufen oder ein eigenes Konto mit dem Hub verbinden. Behörden oder Beratende erhalten Daten nur bei gesetzlicher Verpflichtung oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
12. Übermittlungen außerhalb des EWR
Einige Anbieter oder deren Unterauftragnehmer befinden sich außerhalb Deutschlands oder des Europäischen Wirtschaftsraums, insbesondere in den USA. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, etwa durch einen Angemessenheitsbeschluss, eine gültige Zertifizierung unter dem EU-US Data Privacy Framework oder EU-Standardvertragsklauseln mit erforderlichen zusätzlichen Maßnahmen.
Bei nutzeraktivierten Integrationen kann sich der Übermittlungsort außerdem aus dem vom Nutzer gewählten Anbieter, Konto und Speicherort ergeben.
13. Speicherdauer und Löschung
Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck benötigt werden. Maßgeblich sind Vertragslaufzeit, Konto- und Workspace-Status, vom Kunden festgelegte Aufbewahrungsregeln, Verjährungsfristen sowie handels- und steuerrechtliche Nachweispflichten.
Kontaktanfragen werden nach Abschluss der Bearbeitung gelöscht, sofern sie nicht für ein Vertragsverhältnis oder gesetzliche Nachweise benötigt werden. Wartelistendaten werden bis zum Ende der Launch-/Early-Access-Kommunikation oder bis zum Widerruf verarbeitet. Sicherheitsdaten bleiben nur so lange erhalten, wie sie zur Abwehr und Aufklärung erforderlich sind.
Für technische Ausführungsverläufe von Workflows und Agenten gilt standardmäßig eine Aufbewahrung von bis zu 90 Tagen, sofern keine andere zulässige Workspace-Konfiguration greift. Bei einer Konto- oder Workspace-Löschung werden produktive Daten nach Ablauf der angezeigten Sicherheitsfrist gelöscht; gesetzlich aufzubewahrende Abrechnungsdaten und zeitlich begrenzte Sicherungskopien können länger bestehen.
14. Pflicht zur Bereitstellung
Technisch notwendige Verbindungsdaten sind für den Aufruf erforderlich. Als Pflichtfelder gekennzeichnete Konto-, Kontakt- und Rechnungsdaten werden für die jeweilige Anfrage oder den Vertrag benötigt. Ohne sie können wir die gewünschte Funktion oder Leistung nicht bereitstellen. Optionale Angaben sind als solche gekennzeichnet.
15. Deine Datenschutzrechte
Zur Ausübung deiner Rechte genügt eine Nachricht an info@pharen.de. Wir können zusätzliche Angaben verlangen, wenn dies erforderlich ist, um deine Identität sicher festzustellen.
- Auskunft nach Art. 15 DSGVO sowie Berichtigung nach Art. 16 DSGVO.
- Löschung nach Art. 17 DSGVO und Einschränkung nach Art. 18 DSGVO, soweit die Voraussetzungen erfüllt sind.
- Datenübertragbarkeit nach Art. 20 DSGVO bei einer automatisierten Verarbeitung auf Grundlage von Einwilligung oder Vertrag.
- Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft; die Rechtmäßigkeit der bisherigen Verarbeitung bleibt unberührt.
- Widerspruch nach Art. 21 DSGVO gegen eine Verarbeitung aufgrund berechtigter Interessen aus Gründen deiner besonderen Situation. Gegen Direktwerbung kannst du jederzeit ohne Begründung widersprechen.
16. Beschwerderecht
Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist grundsätzlich die Sächsische Datenschutz- und Transparenzbeauftragte, Maternistraße 17, 01067 Dresden, E-Mail: post@sdtb.sachsen.de. Weitere Informationen und das Beschwerdeformular findest du unter datenschutz.sachsen.de.
17. Datensicherheit und Änderungen
Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Veränderung, unbefugter Offenlegung und unbefugtem Zugriff zu schützen. Dazu gehören insbesondere Transportverschlüsselung, rollenbasierte Zugriffe, Protokollierung und Maßnahmen gegen missbräuchliche Anmeldungen.
Wir aktualisieren diese Erklärung, wenn sich Funktionen, Anbieter oder Rechtslage wesentlich ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar. Bei Änderungen, die eine Einwilligung oder Vertragsinformation betreffen, informieren wir zusätzlich in geeigneter Weise.