Datenschutz & DSGVO

Informationen zur Verarbeitung personenbezogener Daten bei Website, Kundenkonto, Trial, Abonnement, Support und digitalen Mitarbeitern.

Trust & Compliance Kontakt aufnehmen

Stand: 28.05.2026Deutschland- und EU-relevante Pflichten berücksichtigtJuristische Endfreigabe vor zahlungspflichtigem Livegang erforderlich

Launch-Prüfung

Anwalt / Datenschutzbeauftragter vor zahlungspflichtigem Livegang

Register-, Steuer-, Rechnungs- und Zahlungsdaten final verifizieren
Subprozessoren, Regionen, TOMs und Transfermechanismen final dokumentieren
AVV/DPA, AGB, Widerruf, Kündigung und Datenschutzerklärung final juristisch freigeben
Consent-Management aktivieren, bevor optionale Tracking- oder Marketing-Technologien eingebunden werden

Verantwortlicher

NovaHaus s.r.o. - Zweigniederlassung Köln
Ringstr. 29, 51067 Köln, Deutschland
Allgemeiner Kontakt: kontakt@novahaus-koeln.de
Datenschutzkontakt: datenschutz@novahaus-koeln.de
Ein externer Datenschutzbeauftragter wird benannt, soweit dies gesetzlich erforderlich ist.

Kurzübersicht

Metapolis verarbeitet personenbezogene Daten, um Website, Registrierung, Google Login, Kundenkonto, Trial, Abonnement, Rechnungen, Support, Sicherheit und digitale Mitarbeiter bereitzustellen.
Bei eigenen Website-, Account-, Vertrags-, Zahlungs-, Sicherheits- und Supportdaten handelt die Anbieterin regelmäßig als Verantwortliche.
Bei Kundendaten, die Kunden in Workspaces, Uploads, Nachrichten, Fotos, PDFs, Voice Notes oder digitale Mitarbeiter einbringen, handelt die Anbieterin regelmäßig als Auftragsverarbeiterin nach Weisung des Kunden.
Besondere Kategorien personenbezogener Daten, Healthcare-Workflows und produktive Massendaten sind nur im freigegebenen, AVV-gebundenen Kundenkontext zulässig.

Rollenmodell Verantwortlicher / Auftragsverarbeiter

Für Website, Account, Trial, Vertrag, Rechnung, Sicherheit, Support, Missbrauchsschutz und eigene Produktkommunikation handelt die Anbieterin grundsätzlich als Verantwortliche.
Wenn Kunden personenbezogene Daten ihrer Mitarbeiter, Mieter, Patienten, Auftraggeber, Lieferanten oder sonstiger Betroffener in Metapolis hochladen, importieren oder durch digitale Mitarbeiter verarbeiten lassen, handelt die Anbieterin für diese Kundendaten regelmäßig als Auftragsverarbeiterin nach Weisung des Kunden.
Der Kunde bleibt für Rechtsgrundlage, Information der Betroffenen, Datenrichtigkeit, Upload-Berechtigung, fachliche Freigaben und besondere Kategorien personenbezogener Daten verantwortlich.
Produktive Massendaten oder besondere Kategorien dürfen erst nach Abschluss des erforderlichen AVV/DPA und nach Freigabe der konkreten Subprozessorliste verarbeitet werden.
Soweit gemeinsam verantwortliche Verarbeitung oder eigenverantwortliche Provider-Verarbeitung entsteht, wird dies im jeweiligen Vertrag, AVV oder Subprozessorhinweis gesondert ausgewiesen.

Kategorien personenbezogener Daten

Accountdaten: Name, E-Mail-Adresse, Firma, Rolle, Login-Status, Passwort-Hash, Google-OAuth-Referenzen und Sessiondaten.
Vertragsdaten: Tarif, Trial-Status, digitale Mitarbeiter, Workspace, Buchungs- und Kündigungsstatus.
Rechnungsdaten: Rechnungsadresse, Zahlungsstatus, Steuer-/Registerdaten, Rechnungsnummern, PDF-Referenzen und E-Mail-Zustellstatus.
Nutzungsdaten: Uploads, PDFs, Fotos, Voice Notes, Objektinformationen, Workflows, Action Receipts, Dashboard-Signale und Freigaben.
Kommunikationsdaten: E-Mails, Supportanfragen, Demo-Anfragen, Trial-Nachrichten, Rückfragen, Freigaben und optional übermittelte Projektinformationen.
Technische Daten: IP-Adresse, Browser, Geräteinformationen, Logdaten, Sicherheitsereignisse, notwendige Cookies, OAuth-State, Sessionstatus und Consent-Status.
Inhaltsdaten des Kunden: vom Kunden eingebrachte Texte, Bilder, PDFs, Dokumente, Objektdaten, Kommunikationsinhalte, Audio-/Voice-Notizen und daraus erzeugte Arbeitsergebnisse.

Besondere Kategorien und Gesundheitsdaten

Metapolis ist nicht für medizinische Diagnose, Therapieentscheidung, Dosierungsänderung oder Rechts-/Steuerberatung bestimmt.
Healthcare- oder Praxis-Workflows dürfen Gesundheitsdaten nur im vereinbarten, freigegebenen und AVV-gebundenen Rahmen verarbeiten.
Kunden müssen für besondere Kategorien personenbezogener Daten, etwa Gesundheitsdaten, eine eigene tragfähige Rechtsgrundlage und erforderliche Schutzmaßnahmen sicherstellen.
Ohne ausdrückliche Freigabe für den jeweiligen Kunden- und Subprozessor-Kontext bleiben besondere Kategorien im produktiven Masseneinsatz gesperrt.

Zwecke und Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO: Registrierung, Trial, Abonnement, Kundenkonto, digitale Mitarbeiter, Upload-Verarbeitung, Rechnungen, Support und vorvertragliche Demo-/Pilotkommunikation.
Art. 6 Abs. 1 lit. c DSGVO: steuerliche Aufbewahrung, Buchhaltung, Nachweise, gesetzliche Auskunfts-, Sicherheits- und Compliance-Anforderungen.
Art. 6 Abs. 1 lit. f DSGVO: IT-Sicherheit, Missbrauchsschutz, Fehleranalyse, Kapazitätssteuerung, Produktstabilität, Durchsetzung von Nutzungsgrenzen, Rechtsverteidigung und interne Produktverbesserung ohne produktive Offenlegung von Kundendaten.
Art. 6 Abs. 1 lit. a DSGVO: optionale Cookies, Marketing-Kommunikation, Newsletter, optionale Integrationen oder freiwillige Zusatzfunktionen.
Art. 28 DSGVO: Verarbeitung von Kundendaten im Auftrag des Kunden, soweit ein AVV/DPA abgeschlossen ist.

Login, Passwort und externe Anmeldung

Der E-Mail-/Passwort-Login speichert keine Klartextpasswörter, sondern nur serverseitige Passwort-Hashes.
Google OAuth wird nur genutzt, wenn Nutzer die Anmeldung mit Google aktiv auswählen.
Metapolis fordert dafür die Scopes openid, email und profile an, um Identität, E-Mail-Adresse und Accountzuordnung zu prüfen.
OAuth-State-Cookies schützen den Anmeldevorgang vor CSRF; Session-Cookies halten die Anmeldung für das Kundenkonto aufrecht.
Wenn Google Login nicht genutzt wird, erfolgt keine OAuth-Kommunikation mit Google durch diese Login-Funktion.

Digitale Mitarbeiter und AI-Verarbeitung

Digitale Mitarbeiter verarbeiten Kundeneingaben nur für den gebuchten Zweck, zum Beispiel Intake, Zusammenfassung, fehlende Informationen, Action Receipts oder Workflow-Vorbereitung.
Uploads können personenbezogene oder vertrauliche Inhalte enthalten. Kunden müssen sicherstellen, dass sie zur Übermittlung berechtigt sind.
AI-Ausgaben sind Arbeitshilfen und ersetzen keine eigene rechtliche, technische, medizinische, steuerliche oder sicherheitsrelevante Prüfung.
Kundeninhalte werden nicht ohne ausdrückliche Vereinbarung für öffentliches Modelltraining freigegeben.
Soweit Modellanbieter, lokale Modelle oder AI-Infrastruktur eingesetzt werden, werden Zweck, Datenkategorien, Speicherort, Speicherfristen und Schutzmaßnahmen in der Subprozessorliste oder im AVV dokumentiert.
Freigabepflichtige Entscheidungen bleiben human-in-the-loop: Der digitale Mitarbeiter bereitet vor, der Mensch entscheidet.

Empfänger und Subprozessoren

Empfänger können Hosting-, Authentifizierungs-, Zahlungs-, E-Mail-, Storage-, Security-, Monitoring- und AI-Dienstleister sein, soweit sie für Betrieb oder Vertragserfüllung erforderlich sind.
Google kann für OAuth-Anmeldung eingesetzt werden, wenn der Nutzer diese Login-Methode auswählt.
Zahlungs- und Rechnungsdienstleister erhalten nur die für Zahlung, Rechnung, Steuer, Nachweis und Zustellung erforderlichen Daten.
Support- und Sicherheitsdaten werden nur rollenbasiert verarbeitet; produktive Kundendaten dürfen nicht unkontrolliert in Support-, Test- oder Entwicklungsumgebungen kopiert werden.
Die jeweils aktuelle Subprozessorlogik ist auf der Subprozessorseite und im AVV/DPA-Prozess dokumentiert.

Drittlandtransfer und Subprozessorfreigabe

Neue Hosting-, Auth-, Payment-, E-Mail-, Storage-, Monitoring- oder AI-Subprozessoren werden mit Anbietername, Zweck, Region, Datenkategorien und Transfermechanismus dokumentiert.
Drittlandtransfers für Kundendaten erfolgen nur, wenn ein geeigneter Transfermechanismus, eine Risiko- und Schutzmaßnahmenprüfung und die erforderliche vertragliche Freigabe dokumentiert sind.
Bei B2B-Kundendaten gilt der im AVV vereinbarte Informations-, Genehmigungs- und Widerspruchsprozess für Subprozessoren.
Bis zur Freigabe eines konkreten produktiven Subprozessors dürfen Kundendaten nur in den ausdrücklich freigegebenen Betriebsmodi verarbeitet werden.

Speicherdauer

Account- und Vertragsdaten werden für die Dauer des Kundenverhältnisses und anschließend nach gesetzlichen Fristen gespeichert.
Rechnungs- und steuerlich relevante Daten werden entsprechend handels- und steuerrechtlichen Aufbewahrungspflichten regelmäßig bis zu 10 Jahre gespeichert.
Trial-Uploads und AI-Arbeitsdaten werden gelöscht, anonymisiert oder in ein bezahltes Kundenkonto übernommen, sobald sie für Trial, Vertrag, Sicherheit, Abrechnung oder Nachweis nicht mehr erforderlich sind.
Sicherheits- und Serverlogs werden grundsätzlich nur so lange gespeichert, wie sie für Sicherheit, Fehleranalyse und Missbrauchsschutz erforderlich sind; längere Speicherung ist bei Vorfällen oder Nachweispflichten möglich.
Kunden können im Kundenkonto Export, Löschung oder Einschränkung anfragen, soweit keine gesetzlichen Pflichten, Vertragsnachweise oder berechtigten Sicherheitsinteressen entgegenstehen.

Automatisierte Entscheidungen und DSFA

Metapolis trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Betroffene ohne menschliche Prüfung und Freigabe.
Digitale Mitarbeiter erstellen Entwürfe, Vorbereitungen, Zusammenfassungen, Risiko-Hinweise und Receipts; der Mensch entscheidet über operative, rechtliche, medizinische, preisliche oder vertragliche Folgen.
Vor großflächiger Verarbeitung sensibler Daten, systematischer Überwachung, Healthcare-Workflows oder Hochrisiko-AI muss eine Datenschutz-Folgenabschätzung geprüft und dokumentiert werden.

Betroffenenrechte

Betroffene Personen können Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch verlangen.
Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.
Bei Verarbeitung auf Grundlage berechtigter Interessen besteht ein Widerspruchsrecht aus Gründen, die sich aus der besonderen Situation ergeben.
Es besteht ein Beschwerderecht bei einer zuständigen Datenschutzaufsichtsbehörde.

Aufsichtsbehörde und Anfragen

Für den Standort Köln kommt regelmäßig die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen als Aufsichtsbehörde in Betracht.
Website der Aufsichtsbehörde: https://www.ldi.nrw.de/
Datenschutzanfragen bitte an datenschutz@novahaus-koeln.de senden.
Betroffenenanfragen werden dokumentiert, geprüft und innerhalb der gesetzlichen Fristen beantwortet; bei Kundendaten wird der jeweilige Kunde als Verantwortlicher eingebunden.

Sicherheit

Metapolis setzt technische und organisatorische Maßnahmen ein, darunter Zugriffsbeschränkung, Mandantentrennung, Protokollierung, Verschlüsselung soweit passend, Backups, Freigabeprozesse und Incident-Handling.
Produktivdaten, Testdaten, Rechnungen und AI-Verarbeitung werden durch Rollen, Workspaces und dokumentierte Subprozessoren getrennt.
Sicherheitsvorfälle werden nach internen Prozessen bewertet und, soweit erforderlich, den betroffenen Personen, Kunden oder Behörden gemeldet.
Zugriffe auf Kundendaten erfolgen nach Need-to-know-Prinzip, soweit dies für Support, Betrieb, Sicherheit, Fehlerbehebung oder Vertragserfüllung erforderlich ist.