Menü
Rechtliches

Datenschutzerklärung

Stand: 30. Oktober 2026 Verantwortlicher: Peter Nguyen, KUKANILEA

Fassung 1.8.0Veröffentlicht am 2026-10-30Wirksam seit 2026-10-30Fassungen und Änderungen

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten beim Besuch von www.kukanilea.de und bei der Nutzung der von dort verlinkten kostenlosen Browser-Werkzeuge. Die meisten Werkzeuge verarbeiten Eingaben lokal im Browser. Einzelne Werkzeuge nutzen nach einer ausdrücklichen Handlung einen externen Datenweg; der aktuelle Bestand und die technischen Ziele stehen in Abschnitt 4 und den Verarbeitungshinweisen. Die installierte Software KUKANILEA ist davon getrennt zu betrachten — was dort gilt, steht in Abschnitt 13.

1. Verantwortlicher

KUKANILEA — Inh. Peter Nguyen, Märkische Allee 394, 12689 Berlin, Deutschland. Telefon: +49 1567 8350504, E-Mail: datenschutz@kukanilea.de. USt-IdNr.: DE355871328.

2. Überblick

  • Keine externen Schriften (Google Fonts u. ä.) — Schriftarten werden vom Endgerät bezogen.
  • Keine Newsletter-Einbindung. Es findet keine automatisierte Entscheidungsfindung statt.
  • Zur Webanalyse setzen wir Dienste ein, die Cookies bzw. vergleichbare Speichertechniken nutzen können — diese werden erst nach Ihrer Einwilligung aktiv (Abschnitte 5 und 6).
  • Die kostenlosen Werkzeuge laden Dateien nicht automatisch hoch. Eingaben bleiben im Browser, sofern die jeweilige Oberfläche keinen externen Schritt ausdrücklich ankündigt.
  • Die frühere Terminbuchung über TidyCal ist abgeschaltet. Anfragen sind per E-Mail möglich; Hinweise zu früheren Buchungen stehen in Abschnitt 9.

3. Technische Bereitstellung und Serverdaten

3.1 Auslieferung der Website

Die Website wird statisch über Cloudflare Pages (Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA) ausgeliefert. Beim Aufruf werden technisch notwendige Daten verarbeitet (IP-Adresse, User-Agent, angeforderte URL, Zeitpunkt). Diese Daten dienen ausschließlich der Auslieferung, Sicherheit und Abuse-Prevention. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am stabilen, sicheren Betrieb). Eine Auftragsverarbeitung mit Cloudflare besteht; Cloudflare verarbeitet Daten in der Regel innerhalb der EU, kann jedoch auch US-Infrastruktur einbeziehen (Standardvertragsklauseln nach Art. 46 DSGVO).

3.2 Freiwillige Kurzfragen auf der Startseite

Auf der Startseite steht unter drei Befunden je eine freiwillige Frage („Kurz nachgefragt“). Die Antworten wirken zunächst nur auf der Seite in Ihrem Browser. Nur wenn Sie in den Datenschutzeinstellungen „Kurzfragen mitzählen“ erlaubt haben, sendet Ihr Browser nach der dritten Antwort einmal je Seitenaufruf, welche drei Antworten gewählt sind (zum Beispiel „ja, nein, ja“), an einen Dienst unter www.kukanilea.de. Er läuft auf Cloudflare Workers und speichert in einer Cloudflare-D1-Datenbank mit Datenstandort in der Europäischen Union je Kalendertag nur, wie oft jede Antwortkombination gewählt wurde. Gespeichert werden weder IP-Adresse noch Browserangaben, Uhrzeit, Cookies oder eine Kennung. Zum Schutz vor Missbrauch bildet der Dienst aus IP-Adresse und laufender Minute einen Hashwert, den er nur im Arbeitsspeicher hält und nach Ablauf der Minute nicht mehr verwendet. Weil sich die Tageszähler keiner Person zuordnen lassen, kann eine einzelne Antwort nachträglich nicht gelöscht werden. Zweck ist, zu erkennen, welche der Befunde Besuchende für ihren Betrieb bestätigen, um die Website darauf auszurichten. Rechtsgrundlage ist Ihre Einwilligung in den Datenschutzeinstellungen (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie dort jederzeit über „Datenschutzeinstellungen“ im Seitenfuß widerrufen, mit Wirkung für künftige Antworten. Ohne diese Einwilligung wird nichts übertragen. Die Tageszähler werden nach zwölf Monaten gelöscht.

4. Browser-Werkzeuge und externe Datenwege

4.1 Lokale Fachverarbeitung

Die Webtools werden als statische Anwendungen ausgeliefert. Bei lokalen Werkzeugen werden Dateien und Eingaben ausschließlich im Arbeitsspeicher oder im Local Storage Ihres Browsers verarbeitet. KUKANILEA erhält diese Inhalte nicht. Die Anwendung kann für die gewünschte Funktion notwendige Speicherwerte wie Theme, zuletzt verwendete Werkzeuge oder Einwilligungsstand im Browser ablegen; Einzelheiten stehen auf der Seite Cookies & Speicher.

4.2 Bewusst ausgelöste externe Schritte

  • Mobile Signatur: Für die Übertragung zwischen Desktop und Mobilgerät wird ein verschlüsseltes AES-GCM-Paket über ein KUKANILEA-Relay vermittelt. Das Relay erhält eine Sitzungskennung und Chiffretext, nicht den Schlüssel; der Schlüssel bleibt im URL-Fragment. Der Inhalt wird im Browser entschlüsselt.
  • Screensharing: Ein KUKANILEA-Relay vermittelt Signalisierungsdaten (Sitzungscode, SDP/ICE und damit technische Netzwerkdaten). Der Bildschirmstrom läuft anschließend zwischen den Peers. Öffentliche Google-STUN-Endpunkte können IP-Adresse und Port für die Verbindungsanbahnung sehen.
  • Dokumentenscanner – Handy-Brücke: Auf Wunsch lassen sich Fotos von einem Smartphone in den Dokumentenscanner am PC übertragen. Die Bilddaten werden vor dem Senden im Browser des Mobilgeräts mit AES-GCM (256 Bit) verschlüsselt. Der Schlüssel steht ausschließlich im Fragment der Aufrufadresse (hinter „#“); Fragmente übermittelt der Browser nicht an Server. Der Vermittlungsdienst unter dokumentenscanner.kukanilea.de erhält den Schlüssel daher nicht und kann die Bilder nicht entschlüsseln. Er reicht Raumkennung, verschlüsselte Datenpakete und kurze Steuermeldungen (Beginn, Ende, Seitennummer, Bytezahl) zwischen den beiden Geräten weiter. Bilddaten reicht er ausschließlich im Arbeitsspeicher an das andere Gerät weiter, ohne sie in einer Datenbank oder einem Speicherdienst abzulegen; für die Dauer einer Verbindung hält er lediglich Rolle, Startzeitpunkt, gewählte Gültigkeitsdauer und die Zahl der übertragenen Bytes. Um Missbrauch zu begrenzen, zählt er, wie viele Links von derselben IP-Adresse innerhalb einer Minute erzeugt werden (höchstens fünf). Dazu bildet er aus IP-Adresse und laufender Minute einen Hashwert, den er nur im Arbeitsspeicher hält und nach Ablauf der Minute nicht mehr verwendet. Darüber hinaus protokolliert der Vermittlungsdienst keine IP-Adressen; beim Aufbau der Verbindung verarbeitet unser Hosting-Dienstleister Cloudflare sie wie bei jedem Seitenaufruf (Abschnitt 3). Ein Link gilt je nach Wahl zwischen drei und 90 Minuten oder solange der Tab am PC geöffnet ist; danach wird nichts mehr vermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, benutzerfreundlichen und datensparsamen Bereitstellung des Werkzeugs sowie in der Abwehr missbräuchlicher Nutzung.
  • Online-Senden: Mit diesem Werkzeug übertragen Sie Dateien direkt von Ihrem Browser in den Browser einer Person, der Sie einen Link geben. Die Dateien werden dabei nicht auf unseren Servern gespeichert. Für den Aufbau der direkten Verbindung (WebRTC) tauschen die beiden Browser über unseren Vermittlungsdienst unter online-senden.kukanilea.de Verbindungsangaben aus; diese sind mit einem Schlüssel verschlüsselt, der ausschließlich im Fragment des Links (hinter „#“) steht und vom Browser nicht an Server übermittelt wird. Damit sich die Browser gegenseitig erreichen können, fragen sie zudem den STUN-Dienst von Cloudflare (stun.cloudflare.com) nach ihrer öffentlichen IP-Adresse; dabei werden IP-Adresse und Port an Cloudflare übermittelt, keine Dateiinhalte. Die beiden beteiligten Browser erfahren im Zuge der direkten Verbindung die IP-Adressen des jeweils anderen Geräts. Kommt keine direkte Verbindung zustande (etwa hinter einer strengen Firewall), reicht der Vermittlungsdienst die Dateien in einzeln verschlüsselten Paketen durch, ohne sie entschlüsseln zu können und ohne sie in einer Datenbank oder einem Speicherdienst abzulegen; dieser Umweg ist auf 2 GB je Übertragung begrenzt. Für die Dauer einer Verbindung hält der Vermittlungsdienst lediglich Rolle, Startzeitpunkt sowie die Zahl der Nachrichten und übertragenen Bytes. Um das kostenlose Angebot vor Überlastung zu schützen, zählt er die insgesamt an einem Tag durchgereichte Datenmenge (eine Zahl je Tag, ohne Bezug zu Personen) und die Verbindungen, die von derselben IP-Adresse innerhalb einer Minute aufgebaut werden (höchstens 20); dazu bildet er aus IP-Adresse und laufender Minute einen Hashwert, den er nur im Arbeitsspeicher hält und nach Ablauf der Minute nicht mehr verwendet. Darüber hinaus protokolliert der Vermittlungsdienst keine IP-Adressen; beim Aufbau der Verbindung verarbeitet unser Hosting-Dienstleister Cloudflare sie wie bei jedem Seitenaufruf (Abschnitt 3). Die Vermittlung endet, sobald die Person, die den Link erzeugt hat, ihr Browserfenster schließt, spätestens nach 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer sicheren, benutzerfreundlichen und datensparsamen Bereitstellung des Werkzeugs sowie in der Abwehr missbräuchlicher Nutzung.
  • Währungsrechner: Für Wechselkurse werden Währungscodes und das ausgewählte Datum an Frankfurter übermittelt. Es werden keine Dateien oder Namen übertragen.

Die genannten Werkzeuge zeigen den externen Schritt in ihrer Oberfläche. Bei Nutzung ist vorher zu prüfen, ob die Übermittlung der betreffenden Daten an den jeweiligen Dienst zulässig ist. Für die Relays der mobilen Signatur und des Screensharings ist die Aufbewahrungsdauer derzeit nicht belegt. Deshalb sagen wir keine bestimmte Löschfrist zu und klären den Status vor einer Ausweitung des Dienstes.

Die konkreten werkzeugbezogenen Datenwege und Empfängerabschnitte beschreiben Auslöser, Datenarten, Transfer- und Aufbewahrungsstand.

5. Einwilligung und Speicherzugriffe

5.1 Verwaltung der Auswahl

Für nicht zwingend erforderliche Dienste – Google Analytics und Microsoft Clarity (Abschnitt 6) – holen wir Ihre Einwilligung über ein Cookie-Banner ein; beide Dienste können Sie getrennt erlauben oder ablehnen. Erst danach werden entsprechende Cookies bzw. Zugriffe auf Informationen in Ihrem Endgerät gesetzt. Rechtsgrundlage ist § 25 Abs. 1 TDDDG (vormals TTDSG) für die Speicherung sowie Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung. Ihre Auswahl speichern wir, damit das Banner nicht bei jedem Besuch erneut erscheint.

Wir verwenden den Google Consent Mode v2 in der Grundvariante („Basic“): Bis zu einer aktiven Einwilligung ist der Analysespeicher auf denied gesetzt und die zugehörigen Skripte werden gar nicht erst geladen. Vor Ihrem Klick baut die Website deshalb keine Verbindung zu Googles Analysediensten auf — auch keine cookielosen Messsignale und keine vorbereitenden Verbindungen (preconnect). Erst nach einer aktiven Einwilligung in Google Analytics wird der Google Tag Manager nachgeladen. Ebenso wird Microsoft Clarity erst nach einer Einwilligung in Clarity geladen; vorher besteht keine Verbindung zu Microsoft, auch nicht für cookielose Messungen. Clarity erhält dabei das Signal, dass Werbezwecke abgelehnt sind. Werbespeicherung, werbebezogene Nutzerdaten und Anzeigenpersonalisierung bleiben auf denied — auch nach Ihrer Einwilligung (siehe Abschnitt 6). Verbindungen, die einzelne Werkzeuge erst auf Ihre ausdrückliche Aktion hin aufbauen, etwa zu STUN-Servern beim Screensharing, beschreibt Abschnitt 4.2.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder anpassen, indem Sie über „Datenschutzeinstellungen“ im Seitenfuß die Auswahl erneut aufrufen. Beim Widerruf löschen wir die von diesen Diensten gesetzten Cookies, soweit uns das technisch möglich ist, und laden die Seite neu, damit bereits geladene Skripte beendet werden.

6. Webanalyse und Reichweitenmessung (nur mit Einwilligung)

Sofern Sie in den jeweiligen Dienst einwilligen, setzen wir folgende Dienste ein, um die Nutzung unserer Website zu verstehen und sie zu verbessern. Hierbei können Cookies gesetzt, Online-Kennungen verarbeitet und Daten an Server außerhalb der EU (insbesondere USA) übertragen werden (siehe Abschnitt 11). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO.

  • Google Tag Manager (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) — verwaltet das Auslösen der nachfolgenden Dienste. Der Tag Manager selbst speichert grundsätzlich keine personenbezogenen Daten, ist aber technische Voraussetzung für deren Einbindung.
  • Google Analytics 4 (Google Ireland Ltd.) — Analyse des Nutzungsverhaltens (z. B. aufgerufene Seiten, Verweildauer, Interaktionen, ungefähre Region). Nach Googles aktueller Dokumentation werden individuelle IP-Adressen von Nutzenden in EU, Schweiz und Vereinigtem Königreich nicht protokolliert oder gespeichert; sie können zuvor zur Ableitung grober Standortdaten verwendet und dann verworfen werden. Andere Messdaten, Online-Kennungen und Cookies können weiterhin verarbeitet werden.
  • Microsoft Clarity (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland; Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA) — Analyse, wie die Website bedient wird: Klicks, Mausbewegungen, Scrollverhalten und Seitenwechsel, daraus Heatmaps und Wiedergaben einzelner Besuche (Sitzungsaufzeichnungen). Wir haben die strengste Maskierung eingestellt: Alle Texte und Eingaben werden im Browser unkenntlich gemacht, bevor Daten übertragen werden. Auf der Kontaktseite wird Clarity nicht geladen. Clarity speichert die Kennungen _clck (ein Jahr) und _clsk (ein Tag) auf Ihrem Gerät und verarbeitet Online-Kennungen, Geräte- und Browserangaben, die aufgerufenen Seiten sowie die IP-Adresse, unter anderem zur groben Standortbestimmung.

Google Analytics 4 verwenden wir ausschließlich nach Ihrer Einwilligung in Google Analytics. Die Einwilligung für Werbespeicherung, werbebezogene Nutzerdaten und Anzeigenpersonalisierung bleibt unabhängig von Ihrer Auswahl verweigert. Google-Signale, mit denen Google Besuche mit angemeldeten Google-Konten geräteübergreifend verknüpfen könnte, sind ausgeschaltet.

Microsoft Clarity verwenden wir ausschließlich nach Ihrer Einwilligung in Clarity. Microsoft ist nach den Nutzungsbedingungen von Clarity für die ihm übermittelten Daten eigenständig verantwortlich und nutzt sie nach eigenen Angaben auch für eigene Zwecke, unter anderem zur Verbesserung seiner Produkte und Dienste sowie für Werbung (Microsoft Advertising). Wir haben Clarity mit keinem Werbekonto verknüpft und signalisieren Clarity, dass Werbezwecke abgelehnt sind; auf die eigene Verarbeitung durch Microsoft haben wir darüber hinaus keinen Einfluss. Clarity ist mit unserer Google-Analytics-Property verbunden: Clarity ruft daraus zusammengefasste Kennzahlen ab, zeigt sie neben den eigenen Auswertungen an und kann dafür in Google Analytics eine eigene Dimension anlegen; Aufzeichnungen selbst werden dabei nicht an Google Analytics übertragen. Näheres: Datenschutzerklärung von Microsoft, Nutzungsbedingungen von Clarity.

Erteilen Sie keine Einwilligung, werden diese Dienste nicht aktiviert.

7. Cloudflare Web Analytics

Cloudflare Web Analytics setzen wir derzeit nicht ein — es wird kein entsprechendes Skript ausgeliefert und keine Aufrufstatistik über diesen Dienst erhoben. Sollten wir den Dienst künftig aktiv einsetzen, aktualisieren wir diesen Abschnitt vor der Aktivierung.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail kontaktieren, werden Ihre Angaben (Name, E-Mail-Adresse, ggf. Firma und Inhalt) zur Bearbeitung Ihrer Anfrage verarbeitet (Art. 6 Abs. 1 lit. b/f DSGVO). Die E-Mail-Links öffnen das auf Ihrem Gerät eingerichtete E-Mail-Programm. Ein Kontaktformular wird auf dieser Website derzeit nicht angeboten. Wir speichern eingegangene Anfragen, solange dies zur Bearbeitung erforderlich ist, und löschen oder anonymisieren sie anschließend.

9. Terminbuchung (TidyCal)

Diese Website bietet derzeit keine Terminbuchung an. Die früher hier angebotene Weiterleitung auf den externen Dienst TidyCal (Sumo Group, Inc., Delaware/USA) wurde am 3. September 2026 abgeschaltet; die Adressen /demo und /termin führen seitdem auf die Kontaktseite und nicht mehr zu einem externen Anbieter. Es findet dadurch keine Datenverarbeitung durch TidyCal mehr statt, die von dieser Website ausgeht. Für Anfragen erreichen Sie uns per E-Mail.

Dieser Abschnitt bleibt stehen, weil Buchungen, die vor dem 3. September 2026 über TidyCal zustande kamen, weiterhin dort verarbeitet wurden. Details dazu stehen in der Datenschutzerklärung des Anbieters unter tidycal.com/privacy-policy.

10. Empfänger

Empfänger sind die in dieser Erklärung genannten Dienstleister im Rahmen der beschriebenen Zwecke, insbesondere Hosting und Webanalyse (Google, Microsoft), sowie Behörden bei rechtlicher Verpflichtung. Angaben zur früheren Terminbuchung finden Sie in Abschnitt 9.

11. Übermittlung in Drittländer

Bei der Webanalyse (Abschnitt 6) und bei der Auslieferung dieser Website (Abschnitt 3) können personenbezogene Daten in die USA übermittelt werden: an Google LLC im Zusammenhang mit Google Analytics (unser Vertragspartner ist Google Ireland Limited), an Microsoft Corporation im Zusammenhang mit Microsoft Clarity (für Nutzende im Europäischen Wirtschaftsraum ist Microsoft Ireland Operations Limited zuständig) und an Cloudflare, Inc. Alle drei Unternehmen sind nach dem EU-US-Datenschutzrahmen (EU-U.S. Data Privacy Framework) zertifiziert; geprüft am 16. Oktober 2026 in der Teilnehmerliste des US-Handelsministeriums (dataprivacyframework.gov). Für Übermittlungen an zertifizierte Unternehmen gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795, Art. 45 DSGVO). Soweit dieser Rahmen nicht greift, stützen die Anbieter die Übermittlung nach ihren Vertragsbedingungen auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914, veröffentlicht im Amtsblatt der Europäischen Union).

Der Datenschutzrahmen sieht für Personen in der EU Rechtsbehelfe vor: gegenüber dem zertifizierten Unternehmen eine Beschwerde, ein kostenloses unabhängiges Streitbeilegungsverfahren und zuletzt ein Schiedsverfahren; gegen Zugriffe US-amerikanischer Nachrichtendienste eine Beschwerde, die Sie bei Ihrer Datenschutzaufsichtsbehörde einreichen und die bis zum Data Protection Review Court führen kann. Behörden in den USA können nach dortigem Recht auf übermittelte Daten zugreifen; solche Zugriffe sind an die dort gesetzlich geregelten Voraussetzungen gebunden.

Für frühere Buchungen über Sumo Group/TidyCal gilt die Einordnung in Abschnitt 9.

12. Aufbewahrung und Löschung

Server-Logs werden in der Regel kurzfristig zur Sicherheit und Fehleranalyse vorgehalten und nach Wegfall des Zwecks gelöscht. Anfragen per E-Mail werden gelöscht, sobald sie nicht mehr benötigt werden, spätestens nach Ablauf gesetzlicher Aufbewahrungsfristen. In Google Analytics ist die Aufbewahrung der Ereignis- und Nutzerdaten auf 14 Monate eingestellt; danach löscht Google diese Daten. Für die Nutzerdaten zu einer Kennung beginnt die Frist mit jeder neuen Aktivität neu. Zusammengefasste Berichte ohne Bezug zu einzelnen Besuchenden bleiben davon unberührt. In Microsoft Clarity werden Sitzungsaufzeichnungen nach 30 Tagen gelöscht; Heatmaps, Klickdaten und markierte Aufzeichnungen nach 9 Monaten. Nach Angaben von Microsoft behält Clarity außerdem eine Stichprobe von 1 % der Aufzeichnungen, mindestens zehn je Tag, bis zu 9 Monate. Wie lange die Analyse-Cookies und Ihre Einwilligungsentscheidung auf Ihrem Gerät gespeichert bleiben, steht unter Cookies und Speicher. Die Tageszähler der Kurzfragen auf der Startseite (Abschnitt 3.2) werden nach zwölf Monaten gelöscht.

13. Die Software KUKANILEA (Abgrenzung zu dieser Website)

Die Abschnitte 1 bis 12 betreffen die Hauptwebsite und, soweit dort ausdrücklich genannt, die verlinkten kostenlosen Browser-Werkzeuge. Die installierte Software KUKANILEA ist davon getrennt: Sie wird nicht über diese Website betrieben und verarbeitet keine Daten unserer Websitebesucher. Weil auf den Produktseiten dennoch Aussagen zum Datenschutz stehen, halten wir hier fest, was für die installierte Software tatsächlich gilt.

  • Lokale Datenhaltung. KUKANILEA läuft grundsätzlich auf Ihrer eigenen Hardware. Die Fachdaten werden lokal im Betrieb gespeichert; eine laufende Speicherung Ihrer Bürodaten in einer KUKANILEA-Cloud findet nicht statt. Verantwortlicher im Sinne der DSGVO für diese Daten sind Sie.
  • Einrichtung und mögliche Datenübernahme. Falls der schriftlich angebotene Umfang solche Leistungen vorsieht, kann dabei ein Zugriff auf personenbezogene Daten entstehen. Art und Umfang werden vor dem Start konkret festgehalten.
  • Updates und Fernwartung. Updates spielen wir nach vereinbartem Termin per Fernwartung ein. Während einer solchen Sitzung ist ein Zugriff auf das System und damit auf personenbezogene Daten technisch möglich.
  • Support. Support läuft per E-Mail. Die Funktion „Problem melden“ in der Software versendet erst nach Ihrer ausdrücklichen Freigabe etwas; welche Angaben übertragen werden, sehen Sie vorher.
  • Verbindungen nach außen. Die Kernbereiche laufen lokal. Internetverbindungen entstehen je nach Nutzung auch beim E-Mail-Abgleich, bei externen Kalendern, eingebetteten Webdiensten, den Webtools und bewusst aktivierter externer KI sowie bei der Lizenzprüfung und vereinbarter Fernwartung. Das Programm sendet keine Nutzungsstatistik und keine Telemetrie an uns.
  • Dienste, die Sie selbst anbinden. Für eigene Postfächer per IMAP/SMTP, externe Kalender und optionale KI-Anbieter gelten die jeweiligen Verträge und Datenschutzhinweise. Je nach Funktion können Inhalte und personenbezogene Daten an diese Anbieter übertragen werden. Weitere Hinweise zu Online-Funktionen stehen unter Lokaler Betrieb; für Google- und Microsoft-Konten gilt Abschnitt 13.1.

Zur Auftragsverarbeitung. Ob für Einrichtung, Altdaten-Übernahme, Fernwartung oder Support eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich ist, hängt von der konkreten Einrichtung und den möglichen Datenzugriffen ab. Wir klären das vor dem Start gemeinsam mit Ihnen und halten das Ergebnis schriftlich fest. Eine pauschale Aussage, dass keine Vereinbarung nötig sei, treffen wir bewusst nicht — diese Frage ist rechtlich zu prüfen und nicht durch eine Produkteigenschaft allein beantwortet. Diese Erklärung ersetzt keine Rechtsberatung.

13.1 Verbindung mit Google- und Microsoft-Konten

In der installierten Software können Sie freiwillig ein Google-Konto (Gmail, Google Kalender) oder ein Microsoft-Konto (Outlook, Microsoft 365) verbinden. Die Anmeldung erfolgt direkt bei Google bzw. Microsoft über das Verfahren OAuth 2.0; Ihr Passwort gibt KUKANILEA nicht ein und erhält es nicht.

  • Gmail (Berechtigung https://mail.google.com/): E-Mails einschließlich Kopfzeilen, Inhalt und Anhängen sowie Ordner und Markierungen Ihres Postfachs – damit die Software Ihr Postfach anzeigen und abgleichen, E-Mails in Ihrem Auftrag senden und Ihre Aktionen (lesen, markieren, verschieben, löschen) ausführen kann.
  • Google Kalender (Berechtigung https://www.googleapis.com/auth/calendar): Ihre Kalender und Termine – damit die Software Termine anzeigen, anlegen, ändern und löschen kann.
  • Basisprofil (openid, email, profile): E-Mail-Adresse und Name zur Zuordnung des verbundenen Kontos.
  • Microsoft-Konten (Microsoft Graph): die entsprechenden Berechtigungen für E-Mail, Kalender und Aufgaben.

Speicherort. Die Verarbeitung findet auf Ihrer eigenen Hardware statt. Maßgeblich bleibt Ihr Postfach beim jeweiligen Anbieter; KUKANILEA hält lokal nur eine Arbeitskopie für Anzeige und Abgleich. Die Zugriffs- und Aktualisierungstoken werden lokal verschlüsselt gespeichert. An Server von KUKANILEA werden diese Daten nicht übertragen.

Künstliche Intelligenz. Die eingebaute KI-Unterstützung nutzt standardmäßig ein lokal laufendes Sprachmodell. Inhalte aus Google- oder Microsoft-Konten gelangen nur dann an einen externen KI-Anbieter, wenn Sie einen solchen Anbieter selbst ausdrücklich aktivieren. Daten aus Google-Konten werden in keinem Fall zum Training allgemeiner KI-Modelle verwendet.

Keine Weitergabe, keine Werbung. Daten aus verbundenen Konten werden nicht verkauft, nicht für Werbung genutzt und nicht an Dritte weitergegeben, soweit dies nicht zur Ausführung Ihrer Aktionen beim jeweiligen Anbieter erforderlich ist (etwa beim Senden einer E-Mail). Wir lesen diese Daten nicht – es sei denn, Sie stimmen im Supportfall ausdrücklich zu oder eine gesetzliche Pflicht verlangt es.

Widerruf und Löschung. Sie können ein verbundenes Konto jederzeit in der Software trennen; die lokal gespeicherten Daten dieses Kontos einschließlich Anhängen werden nach Ablauf von 14 Tagen gelöscht. Den Zugriff können Sie zusätzlich jederzeit direkt beim Anbieter widerrufen: bei Google unter myaccount.google.com/permissions, bei Microsoft unter account.live.com/consent/Manage bzw. in der Kontoverwaltung Ihrer Organisation.

Google API Services User Data Policy. Die Nutzung und Übertragung von Informationen, die KUKANILEA über Google-APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“).

KUKANILEA's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

14. Rechte betroffener Personen

  • Auskunft (Art. 15 DSGVO)
  • Berichtigung (Art. 16 DSGVO)
  • Löschung (Art. 17 DSGVO)
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. der Berliner Beauftragten für Datenschutz und Informationsfreiheit

Zur Ausübung dieser Rechte schreiben Sie an datenschutz@kukanilea.de. Eine erteilte Einwilligung in die Webanalyse können Sie jederzeit über „Datenschutzeinstellungen“ im Seitenfuß widerrufen.

15. Sicherheit

Die Verbindung zur Website erfolgt verschlüsselt (TLS). Wir setzen Sicherheits-Header (z. B. Strict-Transport-Security, X-Content-Type-Options, Referrer-Policy) ein.

16. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Funktionen oder Rechtslage ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.

Der Zusammenhang dieser Erklärung mit den übrigen Dokumenten steht im rechtlichen Rahmen; frühere Fassungen stehen im Versionsregister.