Privatlivspolitik for konto, checkout og produkter i EU Suite

Fassung 2026-10-27

Diese Erklärung gilt für Ihr Konto der EU Suite, für Bestellung, Zahlung und Vertragsverwaltung sowie für die einzelnen Produkte. Für den Besuch der Website eu-suite.de gilt die Datenschutzerklärung unter https://eu-suite.de/rechtliches/datenschutz/. Für EU Inbox gibt es eine ausführliche eigene Erklärung (Abschnitt „EU Inbox“).

1. Verantwortlicher und Kontakt

VICO Ventures UG (haftungsbeschränkt)
Münchener Straße 37
85123 Karlskron
Deutschland
Vertreten durch den Geschäftsführer Richard Brauel
Telefon: +49 1522 1518889
E-Mail: richard.brauel@vico.ventures

Datenschutzanfragen: datenschutz@eu-suite.de

2. Wer ist wofür verantwortlich

• Nutzen Sie ein Produkt als Privatperson, ist VICO Ventures für die Verarbeitung Ihrer Daten verantwortlich.
• Nutzt eine Organisation (zum Beispiel ein Unternehmen, eine Behörde oder ein Verein) die Produkte, ist sie für die Inhalte verantwortlich, die sie und ihre Nutzer in den Produkten verarbeiten. VICO Ventures verarbeitet diese Inhalte als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag (https://eu-suite.de/rechtliches/avv/) und nur nach den Weisungen der Organisation. Für Konto- und Anmeldedaten zur Sicherheit des Dienstes, für Bestell-, Vertrags- und Abrechnungsdaten sowie für die Bearbeitung von Widerruf und Kündigung bleibt VICO Ventures selbst verantwortlich. Fragen zu den Inhalten richten Sie bitte zuerst an Ihre Organisation.

3. Konto und Anmeldung

Ein Konto der EU Suite gilt für alle Produkte. Die Anmeldung läuft in allen Produkten gleich ab: Sie geben Ihre E-Mail-Adresse ein und melden sich dann an

• mit einem Anmeldelink per E-Mail (gültig 15 Minuten, nur einmal verwendbar),
• mit einem Passwort, das wir ausschließlich als Hashwert (scrypt) speichern; die Anmeldung mit Passwort ist erst nach Bestätigung Ihrer E-Mail-Adresse möglich,
• mit einem Passkey (WebAuthn), wobei wir nur den öffentlichen Schlüssel speichern, oder
• in Produkten mit eigener Anmeldung (unter anderem EU Inbox, EU Flow, EU HR und EU Recap) zusätzlich mit „Mit EU Suite anmelden“ über Ihr Konto der EU Suite (Anmeldedienst unter https://eu-track.de); das Produkt erhält dabei Kennung, Name und E-Mail-Adresse.

Für das Konto der EU Suite bieten wir keine Anmeldung über Google- oder Microsoft-Konten an. Zu EU Recap siehe den Abschnitt zu diesem Produkt.

Verarbeitete Daten: Name, E-Mail-Adresse, Rolle und Organisation, Anmeldeinformationen (Passwort-Hash, öffentliche Passkey-Schlüssel), Sitzungen (Zeitpunkt der Anmeldung und letzten Aktivität, IP-Adresse, Browserkennung), beim Ausstellen eines Anmeldelinks die IP-Adresse, Geräte (Browserkennung, Plattform) sowie Sicherheitsereignisse wie Anmeldungen mit IP-Adresse und Browserkennung.

Organisationen können Nutzerkonten über die Schnittstelle SCIM aus ihrem Verzeichnisdienst (zum Beispiel Microsoft Entra ID, Okta oder Keycloak) anlegen und verwalten lassen. Wir erhalten dann Name, E-Mail-Adresse und Gruppenzugehörigkeit von der Organisation.

Cookies: Für die Anmeldung setzen wir das technisch notwendige Cookie eu_session (höchstens 30 Tage gültig) und während einer Registrierung mit Passwort das Cookie eu_registrierung (höchstens 15 Minuten). Rechtsgrundlage für das Speichern ist § 25 Abs. 2 Nr. 2 TDDDG. Wir setzen keine Analyse- oder Werbe-Cookies.

E-Mails zum Konto (Anmeldelinks, Bestätigungen, Hinweise) senden wir über Lettermint (Abschnitt 6) mit Absenderadressen unter mail.eu-suite.de, zum Beispiel suite@mail.eu-suite.de oder der Adresse des jeweiligen Produkts.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Kontos); für Sitzungs- und Sicherheitsdaten Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos und des Dienstes vor Missbrauch).

Speicherdauer: Kontodaten bis zur Löschung des Kontos. Sitzungen sind höchstens 30 Tage gültig. Im Konto auf eu-suite.de, in den Produkten, die über den Server der EU Suite laufen (EU Board, EU Track, EU Docs, EU Sheets und EU Desk), und in EU Inbox löscht ein nächtlicher Löschlauf abgelaufene oder beendete Sitzungen 30 Tage nach Ablauf oder Abmeldung, Anmeldelinks 7 Tage nach Ausstellung, Passkey-Anfragen nach einem Tag und Sicherheitsereignisse zu Ihrem Konto, zum Beispiel Anmeldungen mit IP-Adresse und Browserkennung, nach 12 Monaten. In EU Flow und EU HR ist dieser Löschlauf noch nicht eingerichtet; dort bewahren wir beendete Sitzungen, Anmeldelinks und Sicherheitsereignisse zu Ihrem Konto derzeit ohne feste Löschfrist auf. Löschen Sie Ihr Konto, verweisen noch vorhandene Sicherheitsereignisse auf ein anonymisiertes Konto. Für EU Chat, EU Notes, EU PDF und EU Recap siehe die Angaben in deren Abschnitten.

4. Bestellung, Zahlung und Vertragsverwaltung (Checkout)

4.1 Bestellung

Bei einer Bestellung verarbeiten wir: Kundenart (privat oder geschäftlich), Name, E-Mail-Adresse, bei geschäftlichen Bestellungen Firma, Anschrift und Umsatzsteuer-Identifikationsnummer, gewählte Produkte, Tarif, Preis (brutto oder netto), Abrechnungszeitraum, Vertragsnummer sowie Vertrags- und Zahlungsstatus.

Die Bestellung und die Verwaltung Ihres Abonnements wickeln wir über unsere Kasse ab (admin.vico.ventures), ein System der VICO Ventures, das bei der Hetzner Online GmbH in Deutschland betrieben wird. Die Produkte erhalten von der Kasse nur den Stand Ihres Vertrags, keine Zahlungsdaten.

4.2 Zahlung über Stripe

Zahlungen wickelt die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, ab. Ihre Zahlungsdaten (zum Beispiel Kartendaten) geben Sie bei Stripe ein; wir erhalten keine vollständigen Kartennummern. Stripe erhält von uns Name, E-Mail-Adresse, Betrag und Bestellangaben. Stripe verarbeitet die Daten zur Zahlungsabwicklung und zur Erfüllung eigener gesetzlicher Pflichten (zum Beispiel Geldwäscheprävention und Betrugsabwehr) auch in eigener Verantwortung; es gilt die Datenschutzerklärung von Stripe unter https://stripe.com/de/privacy. Stripe kann Daten an die Stripe, Inc. in den USA übermitteln; Stripe, Inc. ist nach dem EU-US-Datenschutzrahmen zertifiziert (Art. 45 DSGVO). Erstattungen, zum Beispiel nach einem Widerruf, führen wir über Stripe auf das ursprüngliche Zahlungsmittel aus.

4.3 Prüfung der Umsatzsteuer-Identifikationsnummer

Bei geschäftlichen Bestellungen prüfen wir die angegebene Umsatzsteuer-Identifikationsnummer über das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission. Dabei übermitteln wir Länderkennung und Nummer an die Europäische Kommission. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den umsatzsteuerrechtlichen Vorschriften und Art. 6 Abs. 1 lit. b DSGVO.

4.4 Firmensuche

Bei geschäftlichen Bestellungen aus Deutschland können Sie Ihre Firma über eine Suche im Handelsregister auswählen, statt alle Angaben einzutippen. Dafür übermitteln wir nur den eingegebenen Suchbegriff an OpenRegister (Descartes Technologies GmbH, Berlin, Deutschland). Die Treffer halten wir höchstens zwei Minuten im Arbeitsspeicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Nutzung der Suche ist freiwillig.

4.5 Vertragsnachweise

Zum Nachweis des Vertragsschlusses speichern wir unveränderlich, welche Erklärungen Sie im Bestellvorgang abgegeben haben: Zeitpunkt (UTC), Konto, erklärende Person (Name, E-Mail-Adresse), Kundenart, die Fassung und eine Prüfsumme (SHA-256) jedes bestätigten Textes (zum Beispiel AGB, Widerrufsbelehrung, Verlangen nach vorzeitigem Leistungsbeginn, bei Unternehmern Unternehmereigenschaft und Fassung des Auftragsverarbeitungsvertrags) sowie das Angebot (Preis, brutto oder netto, Abrechnungszeitraum). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Nachweis des Vertragsschlusses und der abgegebenen Erklärungen (zum Beispiel des Verlangens nach vorzeitigem Leistungsbeginn nach § 357a Abs. 2 BGB oder des Abschlusses des Auftragsverarbeitungsvertrags nach Art. 28 Abs. 9 DSGVO) sowie die Abwehr von Ansprüchen.

4.6 Bestell-, Widerrufs- und Kündigungsbestätigungen

Bestellbestätigungen, Eingangsbestätigungen für Widerruf und Kündigung und Auswahl-E-Mails bei mehreren Verträgen senden wir über Lettermint (Abschnitt 6). Zum Widerruf und zur Kündigung über unsere öffentlichen Formulare siehe auch die Datenschutzerklärung der Website, Abschnitt 7.

4.7 Rechtsgrundlagen und Speicherdauer

Rechtsgrundlage für Bestellung, Zahlung und Vertragsverwaltung ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO. Vertragsnachweise, Bestellungen, Widerrufs- und Kündigungserklärungen bewahren wir bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren ab dem Ende des Jahres auf, in dem der Vertrag endet. Rechnungen, Buchungsbelege und Handelsbriefe bewahren wir so lange auf, wie es die handels- und steuerrechtlichen Aufbewahrungspflichten verlangen (§ 257 HGB, § 147 AO; bis zu zehn Jahre).

5. Betrieb, Speicherorte und Sicherheit (alle Produkte)

• Hosting: Alle Produkte laufen auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, in Rechenzentren in Nürnberg und Falkenstein (Deutschland).
• Datenbanksicherungen: fortlaufend und nächtlich, im Hetzner Object Storage in Helsinki (Finnland), 30 Tage aufbewahrt. Dateiablagen der Dienste werden nächtlich verschlüsselt gesichert und ebenfalls 30 Tage aufbewahrt. Gelöschte Daten können bis zum Ablauf dieser Frist noch in Sicherungen enthalten sein; Sicherungen verwenden wir nur zur Wiederherstellung.
• Technische Protokolle der Server (zum Beispiel Aufrufe mit IP-Adresse und Fehlermeldungen) werden 30 Tage aufbewahrt und dann automatisch gelöscht, soweit unten für ein Produkt nichts anderes angegeben ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb).
• Verschlüsselung: Verbindungen zu unseren Diensten sind mit TLS verschlüsselt (HTTPS mit HSTS), die Verbindungen zwischen unseren Servern mit WireGuard. Geheimnisse wie Schlüssel und Zugangsdaten sind im Cluster verschlüsselt gespeichert. Eine zusätzliche Verschlüsselung der Datenträger sagen wir nicht zu.
• Zugriff: Verwaltungszugriff auf Server und Datenbanken hat nur ein Administrator; die Anmeldung erfolgt über eine zentrale Identitätsprüfung (GitHub). Entwickler können Betriebszustand und technische Protokolle einsehen und freigegebene Versionen ausrollen, haben aber keinen Zugriff auf Geheimnisse und Datenbanken. Wir greifen auf Inhalte nur zur Störungsbeseitigung, auf Ihre Bitte oder Weisung, aus Sicherheitsgründen oder aufgrund gesetzlicher Pflicht zu.
• Wir verkaufen keine Daten, nutzen Inhalte nicht für Werbung und verwenden Ihre Inhalte nicht zum Training von Modellen künstlicher Intelligenz.

6. Empfänger und Auftragsverarbeiter (alle Produkte)

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Hosting und Speicher (Nürnberg, Falkenstein; Sicherungen in Helsinki, Finnland).
• Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande: Versand von E-Mails zu Konto, Bestellung, Widerruf und Kündigung sowie von Benachrichtigungen der Produkte; Verarbeitung in der EU.
• Mistral AI SAS, Paris, Frankreich: Verarbeitung der Inhalte, die Sie an KI-Funktionen übergeben (siehe die jeweiligen Produkte); Verarbeitung in der EU.
• Fehlo, Fehler-Monitoring der EU Suite, betrieben von der NeuralMedic GmbH, Ingolstadt, Deutschland, auf Servern der Hetzner Online GmbH in Nürnberg: technische Fehlerberichte (Fehlermeldung, Programmstelle, Version, Browser und Betriebssystem) für EU Chat, EU Notes und EU PDF.
• Stripe Payments Europe, Ltd., Dublin, Irland: Zahlungsabwicklung (Abschnitt 4.2).
• Europäische Kommission (VIES) und Descartes Technologies GmbH (OpenRegister): Prüfungen im Checkout (Abschnitte 4.3 und 4.4).
• Microsoft Ireland Operations Ltd., Dublin, Irland: unsere geschäftliche E-Mail, wenn Sie uns an Adressen unter eu-suite.de oder vico.ventures schreiben (Einzelheiten und Drittlandbezug in der Datenschutzerklärung der Website, Abschnitt 8).

Eine Übermittlung in Drittländer findet nur in den Fällen statt, die bei Stripe und Microsoft beschrieben sind, oder wenn Sie selbst Dienste außerhalb der EU anbinden oder Inhalte an Empfänger außerhalb der EU senden.

7. Die Produkte im Einzelnen

8. Ende des Vertrags und Löschung

Nach Ende eines kostenpflichtigen Vertrags können Sie Ihre Inhalte noch 30 Tage exportieren. Danach löschen wir sie, soweit keine gesetzliche Aufbewahrungspflicht besteht; aus den Sicherungen verschwinden sie spätestens 30 Tage später. Ihr Konto können Sie jederzeit löschen lassen; schreiben Sie dazu an datenschutz@eu-suite.de, soweit das Produkt keine eigene Löschfunktion anbietet.

9. Pflicht zur Bereitstellung, keine automatisierte Entscheidung

Die Angaben zu Konto und Bestellung sind für den Vertragsschluss und die Nutzung erforderlich. Ohne sie können wir die Produkte nicht bereitstellen. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

10. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Wenden Sie sich dazu an datenschutz@eu-suite.de. Verarbeiten wir Ihre Daten im Auftrag einer Organisation, leiten wir Ihr Anliegen an diese weiter.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de.

11. Änderungen

Wir passen diese Erklärung an, wenn sich die Produkte oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Die aktuelle Fassung hat den Stand 27. Oktober 2026.