Datenschutzerklärung

1. Verantwortlicher

Je nach deinem Unternehmenssitz ist eine der folgenden Gesellschaften für die Verarbeitung deiner personenbezogenen Daten zuständig.

EU- und UK-Kunden: Oxira GmbH, August-Borsig-Ring 30A, 15566 Schöneiche bei Berlin, Deutschland, mail@oxira.one, Telefon 030 70016382. Zuständige Aufsichtsbehörde: Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Friedrichstraße 219, 10969 Berlin, mailbox@datenschutz-berlin.de.

Kunden außerhalb EU/UK (USA, Asien, Latam, weltweit): Oxira LLC, Florida, USA, 3833 Powerline Road, Fort Lauderdale, FL 33309, USA, mail@oxira.one, Telefon 030 70016382.

Beide Gesellschaften werden operativ durch dieselbe Geschäftsführung (Dino Bongartz) betrieben und nutzen dieselbe technische Infrastruktur und dieselben Datenschutzstandards. Datenschutzbeauftragte: Anne Winter. Für alle datenschutzbezogenen Anfragen gilt – unabhängig von der zuständigen Gesellschaft – datenschutz@pathlane.app oder mail@oxira.one.

2. Überblick und Grundsätze

Oxira verarbeitet personenbezogene Daten nach den Grundsätzen der DSGVO sowie den jeweils anwendbaren nationalen und internationalen Datenschutzgesetzen. Diese Erklärung gilt für:

• die Website pathlane.app und alle Subdomains
• die SaaS-Plattform Pathlane und alle dazugehörigen Dienste
• alle sonstigen Kontaktkanäle (E-Mail, Telefon, Formulare)
• Pathlane ist ausschließlich im B2B-Bereich tätig; wir verarbeiten keine Daten von Minderjährigen
• Kein Werbe-Tracking, keine Profilbildung zu Werbezwecken, kein Verkauf personenbezogener Daten

3. Server-Logfiles und technischer Betrieb

Beim Besuch unserer Website werden technisch notwendige Verbindungsdaten in Server-Logfiles erhoben: gekürzte IP-Adresse, Browsertyp und -version, Betriebssystem, Referrer-URL, Datum und Uhrzeit, aufgerufene Ressourcen, übertragene Datenmenge und HTTP-Statuscode.

Diese Daten dienen ausschließlich dem technischen Betrieb, der Fehleranalyse und der Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Löschung: automatisch nach 30 Tagen.

4. Cookies und lokale Speicherung

Pathlane verwendet ausschließlich technisch notwendige Cookies und lokale Speichertechnologien (Session Storage, LocalStorage), die für Funktionsfähigkeit und Authentifizierung erforderlich sind. Tracking-, Analytics-, Werbe-Cookies oder Social-Media-Plugins setzen wir nicht ein.

• Session-Cookies: Sitzungsverwaltung und Authentifizierung, werden beim Schließen des Browsers gelöscht
• Authentifizierungs-Token (JWT): verschlüsselte Zugangstoken für angemeldete Nutzer, Gültigkeit 1–24 Stunden
• CSRF-Token: Schutz vor Cross-Site-Request-Forgery, sicherheitskritisch
• Da keine Tracking- oder Analyse-Cookies zum Einsatz kommen, ist kein Cookie-Einwilligungsbanner erforderlich. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO

5. Kein Tracking, kein Analytics, keine Werbung

Auf der Website und in der Plattform Pathlane setzen wir keine externen Tracking- oder Analytics-Dienste ein (insbesondere nicht Google Analytics, Google Ads, Meta Pixel, LinkedIn Insight Tag, HubSpot, Hotjar, Mixpanel oder vergleichbare Dienste). Es findet keine Profilerstellung zu Werbezwecken, kein Behavioural Targeting und keine Weitergabe an Werbenetze statt. Oxira verdient ausschließlich durch die Bereitstellung seiner Software-Dienste.

6. Kontaktformular und E-Mail-Kontakt

Bei Kontakt über das Formular oder per E-Mail verarbeiten wir Name, E-Mail-Adresse, optional Unternehmen, das gewählte Thema, den Nachrichteninhalt und den Zeitpunkt der Anfrage – ausschließlich zur Bearbeitung deiner Anfrage. Anfragen richtest du an hallo@pathlane.app.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Speicherdauer: 24 Monate nach letztem Kontakt, sofern kein Vertragsverhältnis entsteht; bei Vertragsschluss für die Dauer des Vertrags zzgl. gesetzlicher Aufbewahrungsfristen.

7. Oxira als Auftragsverarbeiter und als Verantwortlicher

In Bezug auf Pathlane handelt Oxira in zwei Rollen:

• Als Verantwortlicher: Verarbeitung der Kontodaten unserer Kunden für Kontoführung, Abrechnung und Support
• Als Auftragsverarbeiter (Art. 28 DSGVO): Verarbeitung der von Kunden eingestellten Kontakt-, Kandidaten- und Bedarfsdaten ausschließlich im Auftrag und nach Weisung des Kunden – die Rechtsgrundlage bestimmt der Kunde
• Es gelten die geschlossenen Datenverarbeitungsverträge (AVV nach Art. 28 DSGVO für EU/UK-Kunden, DPA nach US-Recht für sonstige Kunden)

8. Kundenkontodaten (Oxira als Verantwortlicher)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, insbesondere § 147 AO für Rechnungsdaten – 10 Jahre – und § 257 HGB für Handelsbriefe – 6 Jahre).

• Name des Account-Inhabers
• E-Mail-Adresse und Passwort (ausschließlich gehasht, nie im Klartext)
• Unternehmensname und Rechnungsadresse
• Zahlungsdaten (tokenisiert, verarbeitet durch einen PCI-DSS-zertifizierten Zahlungsdienstleister)
• IP-Adresse sowie Nutzungs- und Zugangsprotokolle (30 Tage)
• Support- und Kommunikationshistorie

9. Kandidatendaten und Einwilligung

Profile von Kandidaten sind in Pathlane standardmäßig nicht sichtbar. Sichtbarkeit für eine bestimmte Organisation entsteht erst durch eine zweckgebundene Einwilligung mit Ablaufdatum; diese ist jederzeit widerrufbar. Die Sichtbarkeitsprüfung wird technisch auf Datenbankebene erzwungen, nicht nur in der Oberfläche.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Der Widerruf wirkt sofort und beendet die Sichtbarkeit; bereits erfolgte Verarbeitungen bleiben rechtmäßig. Kandidaten können ihre Angaben zusätzlich über einen persönlichen Self-Service-Link selbst prüfen und aktualisieren.

10. KI-Funktionen, Pseudonymisierung und Trainingsverbot

Pathlane nutzt KI ausschließlich als Assistenz: für Matching-Vorschläge, Textentwürfe, semantische Suche und Hinweise zur Datenpflege. Vor jedem Modellaufruf werden Namen, Kontaktdaten und direkte Identifikatoren durch interne Referenzcodes ersetzt (Pseudonymisierung).

Absolutes Trainingsverbot: Oxira und die eingesetzten KI-Dienstleister sind vertraglich verpflichtet, personenbezogene Daten zu keinem Zeitpunkt zum Training, Fine-Tuning, zur Kalibrierung oder zur Verbesserung von Modellen zu verwenden. Das gilt für alle Unterauftragsverarbeiter ohne Ausnahme.

• Prompts und Kontextdaten: nach unmittelbarer Verarbeitung gelöscht (Zero Data Retention), kein menschliches Review
• Mandantenisolierung: Eingaben verschiedener Kunden werden getrennt verarbeitet, keine mandantenübergreifende Verarbeitung
• Scores, die Personen betreffen (z. B. Trust Score, Datenfrische), sind regelbasiert und erklärbar – nicht per KI erzeugt

11. Keine automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Pathlane trifft keine automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung und betreibt kein entsprechendes Profiling. KI erzeugt ausschließlich Vorschläge mit Score und Begründung; jede Freigabe oder Ablehnung wird von einer verantwortlichen Person getroffen und mit Zeitpunkt, Person und Begründung dokumentiert.

12. Unterauftragsverarbeiter und Drittlandtransfers

Mit jedem Dienstleister besteht ein Datenverarbeitungsvertrag. Für Transfers in Drittländer außerhalb des EWR werden geeignete Garantien gemäß Art. 46 DSGVO sichergestellt.

• Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513 – Datenbank, Authentifizierung, Storage; Datenhaltung AWS eu-central-1 (Frankfurt); Transfergrundlage: SCC (EU 2021/914)
• AWS EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg (EU) – Cloud-Infrastruktur; EU-Entität, kein Drittlandtransfer
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin D02 H210, Irland (EU) – Zahlungsabwicklung, PCI-DSS Level 1; EU-Entität, kein Drittlandtransfer
• Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA – transaktionale E-Mails; Transfer: EU-U.S. DPF + SCC (EU 2021/914)
• Anthropic, PBC, 548 Market St, PMB 90375, San Francisco, CA 94104, USA – KI-Sprachmodelle auf pseudonymisierten Daten; Transfer: SCC; alternativ AWS Bedrock eu-central-1 (Frankfurt, kein Transfer)

13. Aktuelle Subprozessorenliste

Eine vollständige, stets aktuelle Liste aller Unterauftragsverarbeiter einschließlich Transfermechanismen ist Bestandteil des Auftragsverarbeitungsvertrags (AVV, Anlage C) und auf Anfrage verfügbar.

14. Deine Rechte – EU und EWR (DSGVO, Art. 15–22)

• Auskunft (Art. 15): Zwecke, Kategorien, Empfänger, Speicherdauer, Herkunft
• Berichtigung (Art. 16): unverzügliche Korrektur unrichtiger oder unvollständiger Daten
• Löschung (Art. 17): Recht auf Vergessenwerden, sofern keine Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20): strukturiertes, gängiges, maschinenlesbares Format
• Widerspruch (Art. 21) gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde (Art. 77) bei der Aufsichtsbehörde – zuständig für die Oxira GmbH: BlnBDI, Friedrichstraße 219, 10969 Berlin, Tel. +49 30 13889-0, mailbox@datenschutz-berlin.de

15. Deine Rechte – Vereinigtes Königreich (UK GDPR)

• Inhaltlich entsprechen die Rechte den EU-Rechten aus Abschnitt 14
• Aufsichtsbehörde: Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, UK, Tel. +44 303 123 1113, www.ico.org.uk
• Drittlandtransfers aus dem UK: UK Addendum zu den EU Standard Contractual Clauses
• Geltendmachung: mail@oxira.one

16. Deine Rechte – Schweiz (revDSG)

Für Personen mit Wohnsitz in der Schweiz gilt das revidierte Bundesgesetz über den Datenschutz (revDSG). Rechte auf Auskunft, Berichtigung, Löschung, Datenherausgabe und Widerspruch kannst du gegenüber der Oxira GmbH geltend machen. Zuständig: Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB), Feldeggweg 1, 3003 Bern, www.edoeb.admin.ch.

17. Deine Rechte – USA

In den USA gibt es kein einheitliches Bundesdatenschutzgesetz. Da Oxira ausschließlich im B2B-Bereich tätig ist, gelten die meisten US-Verbraucherschutzgesetze nicht direkt. Die folgenden Angaben betreffen Daten von in den USA ansässigen Personen, die im Rahmen von Pathlane verarbeitet werden könnten.

Kalifornien (CCPA/CPRA): Die Oxira LLC agiert als „Service Provider“. Kein Verkauf personenbezogener Daten, kein Sharing für Cross-Context Behavioral Advertising, Verarbeitung ausschließlich für den Business Purpose. Rechte: Auskunft, Löschung, Berichtigung, Opt-Out, Nichtdiskriminierung. Antwortfrist: 45 Tage (einmalig um 45 Tage verlängerbar).

Texas (TDPSA): Oxira LLC agiert als „Processor“. Rechte: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Opt-Out von Targeted Advertising, Profiling und Verkauf. Antwortfrist: 45 Tage.

• Weitere Bundesstaaten mit vergleichbaren Rechten: Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Montana (MCDPA), Oregon (OCPA), Delaware (DPDPA)
• In allen Fällen agiert die Oxira LLC als „Processor“. Anfragen an den verantwortlichen Kunden oder an mail@oxira.one

18. Deine Rechte – Kanada, Brasilien, Australien

• Kanada: PIPEDA (Auskunft, Berichtigung, Einwilligungsprinzip, Rechenschaftspflicht), Quebec Loi 25, PIPA Alberta und PIPA BC. Antwortfrist gemäß PIPEDA: 30 Tage
• Brasilien: LGPD – Oxira agiert als „Operador“. Rechte: Bestätigung, Auskunft, Berichtigung, Anonymisierung/Löschung, Datenübertragbarkeit, Auskunft über Weitergaben, Widerspruch, Widerruf. Behörde: ANPD
• Australien: Privacy Act 1988 (Cth) mit den Australian Privacy Principles – Auskunft (APP 12), Berichtigung (APP 13), Beschwerde beim OAIC (www.oaic.gov.au). Meldungen nach dem Notifiable Data Breaches Scheme

19. Deine Rechte – Asien-Pazifik

• Japan (APPI, Revision 2022): Auskunft über Verwendungszweck und gespeicherte Daten, Berichtigung, Ergänzung, Löschung, Untersagung der Nutzung bei Verstoß
• Südkorea (PIPA, Revision 2023): Auskunft, Berichtigung, Löschung, Verarbeitungsstopp. Behörde: PIPC (www.pipc.go.kr)
• Singapur (PDPA 2012, Revision 2021): Oxira agiert als „Data Intermediary“. Rechte: Access, Correction, Withdrawal of Consent. Behörde: PDPC (www.pdpc.gov.sg)
• Indien (DPDP Act 2023): Oxira agiert als „Data Processor“. Rechte: Auskunft, Berichtigung, Löschung, Beschwerde bei der Data Protection Board of India

20. Sanktionierte Länder und Gebiete

Pathlane wird nicht in Ländern oder Gebieten bereitgestellt, gegen die umfassende internationale Sanktionen bestehen – derzeit (Juli 2026) insbesondere Syrien, Nordkorea (DVRK), Iran, Kuba sowie die Regionen Krim, Donezk und Luhansk. Dort werden keine personenbezogenen Daten verarbeitet und keine Verträge geschlossen.

21. Speicherdauer und Löschkonzept

Nach Vertragsende stehen deine Daten 30 Tage zum Export bereit (Export-Window), danach erfolgt die endgültige Löschung. Eine schriftliche Löschbestätigung senden wir innerhalb von 5 Werktagen. Löschungen werden in einem fortschreibbaren Löschprotokoll dokumentiert.

• Kontakt-, Kandidaten- und Bedarfsdaten: auf Weisung des Verantwortlichen, spätestens 30 Tage nach Vertragsende; zusätzlich gebunden an Einwilligung und deren Ablauf
• KI-Prompts und Zwischenergebnisse: sofort nach Verarbeitung (Zero Retention)
• Protokoll- und Logdaten: 30 Tage automatisch
• Backups: 30 Tage rollierend
• Rechnungsdaten: 10 Jahre (§ 147 AO)
• Handelsbriefe und Verträge: 6 Jahre (§ 257 HGB)

22. Datensicherheit

Alle Übertragungen erfolgen TLS-verschlüsselt, ruhende Daten werden verschlüsselt gespeichert. Zugriffsrechte sind rollenbasiert und werden zusätzlich auf Datenbankebene über Row-Level-Security erzwungen (Least-Privilege). Zugriffe auf Kandidatendaten und alle Freigabeentscheidungen werden protokolliert; Mandanten sind vollständig getrennt.

Die technischen und organisatorischen Maßnahmen sind als Anlage B Bestandteil des AVV. Bei Datenschutzverletzungen benachrichtigen wir den verantwortlichen Kunden innerhalb von 24 Stunden; die Meldung an Aufsichtsbehörden liegt beim Kunden als Verantwortlichem.

23. Kontakt für Datenschutzanfragen

Anfragen beantworten wir in der Regel innerhalb von 14 Werktagen. Bei komplexen Anfragen oder gesetzlichen Fristen informieren wir über eine etwaige Fristverlängerung.

• E-Mail: datenschutz@pathlane.app oder mail@oxira.one
• Ansprechpartner: Dino Bongartz, Datenschutzbeauftragte: Anne Winter
• Anschrift (EU/UK): Oxira GmbH, August-Borsig-Ring 30A, 15566 Schöneiche bei Berlin, Deutschland
• Anschrift (sonstige): Oxira LLC, 3833 Powerline Road, Fort Lauderdale, FL 33309, USA

24. Aktualität und Änderungen

Diese Datenschutzerklärung hat den Stand Juli 2026 und wird bei Änderungen der Dienste, der Unterauftragsverarbeiter oder der Rechtslage aktualisiert. Die aktuelle Fassung findest du stets auf dieser Seite; über wesentliche Änderungen informieren wir registrierte Kunden per E-Mail.