Datenschutzrichtlinie

1. Verantwortliche Stelle

Infragilis LLC ist die verantwortliche Stelle für Ihre personenbezogenen Daten, die über Legati verarbeitet werden. Bei Fragen zu Ihren Daten wenden Sie sich an unseren Datenschutzbeauftragten unter dpo@legati.co.

↑ Top

2. Erhobene Daten

Wir erheben die folgenden personenbezogenen Daten bei der Registrierung und Nutzung von Legati:

• Identitätsdaten: Vorname, Nachname, Geburtsdatum
• Kontaktdaten: E-Mail-Adresse, Telefonnummer, Postanschrift
• Kontodaten: verschlüsselter Passwort-Hash, eindeutiger Verschlüsselungsschlüssel, Benutzercode
• Nutzungsdaten: Anmeldezeitstempel, IP-Adressen (aus Sicherheitsgründen gespeichert)
• Dateimetadaten: Dateinamen, Dateigrößen, Upload-Daten (Dateiinhalte sind verschlüsselt und für uns nicht zugänglich)

↑ Top

3. Verarbeitungszwecke

• Kontoerstellung und -verwaltung (vertragliche Notwendigkeit)
• Bereitstellung verschlüsselter Dateispeicherdienste (vertragliche Notwendigkeit)
• Sicherheitsüberwachung und Betrugsprävention (berechtigtes Interesse)
• Kommunikation über Ihr Konto und Serviceupdates (berechtigtes Interesse)

↑ Top

4. Rechtsgrundlage

• Vertragserfüllung: Verarbeitung, die zur Erbringung des von Ihnen abonnierten Dienstes erforderlich ist
• Berechtigtes Interesse: Sicherheitsüberwachung, Anmeldeprotokollierung und Serviceverbesserung
• Einwilligung: Sie stimmen unserer Datenschutzrichtlinie und den Nutzungsbedingungen bei der Registrierung zu

↑ Top

5. Cookies

Legati verwendet ausschließlich zwingend erforderliche Sitzungscookies für Authentifizierung und CSRF-Schutz; diese sind für die Funktion des Dienstes unerlässlich und können nicht abgelehnt werden, ohne den Zugang zu Ihrem Konto zu verlieren. Wir verwenden keine Tracking-Cookies. Analyse- und Werbe-Tags (Google Analytics 4, Bing) werden nur geladen, nachdem Sie unser Einwilligungsbanner akzeptiert haben, und werden unterdrückt, wenn Sie in Ihrem Browser den Global Privacy Control (GPC) einstellen (Sec-GPC: 1) oder die Einwilligung ablehnen. Die Ablehnung beeinträchtigt niemals die Kernfunktionalität.

↑ Top

6. Datenspeicherung

Ihre Kontodaten werden gespeichert, solange Ihr Konto aktiv ist. Besucherprotokolle werden nach 90 Tagen automatisch gelöscht. Die Anmeldehistorie speichert nur die 5 letzten Einträge. Wenn Sie Ihr Konto löschen, werden alle personenbezogenen Daten, Dateien und zugehörigen Datensätze dauerhaft gelöscht.

↑ Top

7. Datenspeicherort

Wir sind bestrebt, Ihre Daten in Ihrer Region zu belassen. Daten von Nutzern im Europäischen Wirtschaftsraum (EWR) werden ausschließlich in europäischen Rechenzentren gespeichert und nicht routinemäßig außerhalb des EWR übertragen. Sofern eine Weiterübermittlung an einen Verarbeiter in einem Drittland erforderlich ist (z. B. einen Zahlungs- oder Support-Subauftragsverarbeiter), stützen wir uns auf geeignete Garantien, einschließlich der Standardvertragsklauseln (SCC) der Europäischen Kommission und geltender Angemessenheitsbeschlüsse. Daten von Nutzern in den Vereinigten Staaten werden in US-Rechenzentren gespeichert. Wir halten alle geltenden lokalen Datenspeicherungsgesetze und -vorschriften ein, um sicherzustellen, dass Ihre Daten in der Rechtsordnung verbleiben, in der sie entstanden sind.

↑ Top

8. Weitergabe an Dritte

Wir verkaufen, vermieten oder teilen Ihre personenbezogenen Daten nicht mit Dritten. Verschlüsselte Dateipakete werden auf sicherer Infrastruktur gespeichert, sind jedoch mit Ihrem persönlichen Schlüssel vor dem Upload verschlüsselt, wodurch die Inhalte ohne Ihren Schlüssel für niemanden zugänglich sind. Die Zahlungsabwicklung erfolgt über Stripe, das eine eigene DSGVO-konforme Datenschutzrichtlinie hat.

↑ Top

9. Ihre Rechte (DSGVO)

Gemäß der DSGVO haben Sie folgende Rechte:

• Auskunftsrecht: Fordern Sie eine Kopie Ihrer personenbezogenen Daten an (nutzen Sie „Meine Daten exportieren" in Ihrem Profil)
• Recht auf Berichtigung: Aktualisieren Sie Ihre persönlichen Informationen jederzeit in Ihrem Profil
• Recht auf Löschung: Löschen Sie Ihr Konto und alle zugehörigen Daten dauerhaft
• Recht auf Datenübertragbarkeit: Exportieren Sie Ihre Daten im maschinenlesbaren JSON-Format
• Widerspruchsrecht: Kontaktieren Sie unseren DSB, um bestimmter Verarbeitung zu widersprechen
• Beschwerderecht: Sie können eine Beschwerde bei Ihrer zuständigen Datenschutzbehörde einreichen

↑ Top

10. Verschlüsselte Sicherungen

Dateipakete, die in den sicheren Speicher hochgeladen werden, werden vor der Übertragung mit Ihrem persönlichen Verschlüsselungsschlüssel verschlüsselt. Diese Pakete enthalten keine personenbezogenen Informationen in ihren Dateinamen. Verschlüsselte Pakete können auch nach der Kontolöschung im sicheren Speicher verbleiben, da sie nicht einer Person zugeordnet oder ohne den ursprünglichen Verschlüsselungsschlüssel entschlüsselt werden können.

↑ Top

11. Datenschutzbeauftragter

Sie können unseren Datenschutzbeauftragten bei Fragen oder Anfragen bezüglich Ihrer personenbezogenen Daten kontaktieren: dpo@legati.co oder nutzen Sie unser DSGVO-Kontaktformular unter /contact/dpo. Wir antworten innerhalb von 30 Tagen.

↑ Top

13. Kalifornische Datenschutzrechte (CCPA/CPRA)

Wenn Sie in Kalifornien ansässig sind, gewährt Ihnen der California Consumer Privacy Act (CCPA), in der durch den California Privacy Rights Act (CPRA) geänderten Fassung, zusätzliche Rechte in Bezug auf Ihre persönlichen Daten.

Kategorien der erhobenen persönlichen Daten

• Identifikatoren: Name, E-Mail-Adresse, Telefonnummer, Postanschrift, Benutzercode
• Kontoinformationen: verschlüsselter Passwort-Hash, Verschlüsselungsschlüssel, Geburtsdatum
• Geschäftsinformationen: Abonnementtarif, Zahlungshistorie (über Stripe)
• Internet-/elektronische Aktivität: Anmeldezeitstempel, IP-Adressen, Browser- und Geräteinformationen
• Dateimetadaten: Dateinamen, Dateigrößen, Upload-Daten (Dateiinhalte sind verschlüsselt und für uns nicht zugänglich)

Geschäftszwecke der Erhebung

• Bereitstellung und Wartung des verschlüsselten Dateispeicherdienstes
• Kontoerstellung, Authentifizierung und Sicherheitsüberwachung
• Zahlungsabwicklung und Abonnementverwaltung

Kein Verkauf oder Weitergabe persönlicher Daten

Legati verkauft, vermietet oder teilt Ihre persönlichen Daten nicht mit Dritten für kontextübergreifende verhaltensbasierte Werbung oder andere Zwecke. Analyse- und Werbe-Tags werden nur nach Ihrer Einwilligung geladen und unterdrückt, wenn Ihr Browser das Global Privacy Control-Signal (GPC) (Sec-GPC: 1) sendet. Wir haben in den letzten 12 Monaten keine persönlichen Daten verkauft.

Ihre kalifornischen Verbraucherrechte

• Auskunftsrecht: Sie können verlangen, dass wir die Kategorien und spezifischen persönlichen Daten offenlegen, die wir über Sie erhoben haben.
• Löschungsrecht: Sie können verlangen, dass wir die von uns erhobenen persönlichen Daten löschen. Sie können Ihr Konto auch direkt über Ihr Profil löschen.
• Berichtigungsrecht: Sie können verlangen, dass wir unrichtige persönliche Daten berichtigen. Sie können Ihr Profil auch direkt aktualisieren.
• Widerspruchsrecht gegen Verkauf: Nicht zutreffend — Legati verkauft Ihre persönlichen Daten nicht. Sie können in Ihrem Browser außerdem den Global Privacy Control (GPC) einstellen; wir respektieren diesen als globalen Opt-out.
• Recht auf Nichtdiskriminierung: Wir werden Sie nicht benachteiligen, wenn Sie Ihre CCPA-Rechte ausüben.

Anfrage einreichen

Um Ihre kalifornischen Datenschutzrechte auszuüben, reichen Sie eine Anfrage über unser CCPA-Anfrageformular ein oder nutzen Sie unsere Kontaktseite. Sie können auch einen bevollmächtigten Vertreter benennen, der in Ihrem Namen eine Anfrage stellt.

Überprüfung und Bearbeitungszeitraum

Wir überprüfen Ihre Identität vor der Bearbeitung Ihrer Anfrage, indem wir die von Ihnen bereitgestellten Informationen mit unseren Aufzeichnungen abgleichen. Wir antworten auf überprüfbare Verbraucheranfragen innerhalb von 45 Kalendertagen. Wenn wir zusätzliche Zeit benötigen, werden wir Sie über die Verlängerung und den Grund informieren.

↑ Top

14. Gesundheitsdatenschutz (HIPAA)

Legati ist darauf ausgelegt, die Sicherheitsanforderungen des Health Insurance Portability and Accountability Act (HIPAA) zu erfüllen. Obwohl Legati ein universeller verschlüsselter Dateispeicherdienst ist, können Nutzer, die geschützte Gesundheitsinformationen (PHI) speichern, auf die folgenden Schutzmaßnahmen vertrauen.

Technische Schutzmaßnahmen

• AES-256-CBC-Verschlüsselung: Alle Dateien werden mit eindeutigen benutzerspezifischen Verschlüsselungsschlüsseln im Ruhezustand verschlüsselt
• Zugriffskontrollen: Passwortgeschützte Konten mit optionaler Zwei-Faktor-Authentifizierung (SMS oder Hardware-Sicherheitsschlüssel)
• Prüfungskontrollen: Anmeldeverlauf mit IP-Adressen und Zeitstempeln
• Übertragungssicherheit: Alle Daten werden über TLS/SSL-verschlüsselte Verbindungen übertragen
• Integritätskontrollen: Dateien werden beim Hoch- und Herunterladen überprüft, um unbefugte Änderungen zu verhindern

Geschützte Gesundheitsinformationen

Legati greift nicht auf die Inhalte Ihrer verschlüsselten Dateien zu, sieht sie nicht ein und verarbeitet sie nicht. Dateiinhalte werden mit Ihrem persönlichen Verschlüsselungsschlüssel vor der Speicherung verschlüsselt, wodurch sie für Legati-Mitarbeiter und -Systeme nicht zugänglich sind. Nur Dateimetadaten (Name, Größe, Upload-Datum) sind für das System sichtbar.

Ihre HIPAA-Rechte

• Zugangsrecht: Sie können Ihre Dateien jederzeit herunterladen und Ihre Kontodaten über Ihr Profil exportieren.
• Berichtigungsrecht: Sie können Ihre persönlichen Informationen über Ihre Profileinstellungen aktualisieren.
• Einschränkungsrecht: Sie können Einschränkungen der Verwendung Ihrer Informationen beantragen, indem Sie uns kontaktieren.
• Recht auf Rechenschaftsbericht: Sie können einen Bericht über die Offenlegung Ihrer Informationen anfordern.
• Recht auf Benachrichtigung bei Datenschutzverstößen: Sie werden innerhalb von 60 Tagen benachrichtigt, wenn ein Verstoß vorliegt, der Ihre Daten betrifft.

HIPAA-Anfrage einreichen

Um Ihre HIPAA-Rechte auszuüben, reichen Sie eine Anfrage über unser HIPAA-Anfrageformular ein oder nutzen Sie unsere Kontaktseite. Wir antworten auf Anfragen innerhalb von 30 Tagen.

Benachrichtigung bei Datenschutzverstößen

Im Falle eines Datenschutzverstoßes, der geschützte Gesundheitsinformationen betrifft, wird Legati betroffene Personen innerhalb von 60 Tagen gemäß der HIPAA Breach Notification Rule benachrichtigen. Die Benachrichtigung erfolgt per E-Mail und gegebenenfalls per Einschreiben.

↑ Top

15. Änderungen dieser Richtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren. Änderungen werden auf dieser Seite mit einem aktualisierten Datum veröffentlicht. Die fortgesetzte Nutzung von Legati nach Änderungen gilt als Zustimmung zur überarbeiteten Richtlinie.

↑ Top

Compliance-Status

Einwilligungsbasierte Werbung ist vollständig live: Analyse- und Werbe-Tags (Google Analytics 4, Bing) werden nur nach Zustimmung geladen und durch den Global Privacy Control (GPC) oder durch Ablehnung unterdrückt. Grenzüberschreitende Übermittlungen außerhalb des EWR sind durch Standardvertragsklauseln und geltende Angemessenheitsbeschlüsse abgedeckt.

Offene Punkte: Zwei Compliance-Punkte befinden sich noch in Arbeit und sind oben noch nicht berücksichtigt: (1) die Vervollständigung der Löschung von Zahlungsdatensätzen (payment_errors, payment_refunds) bei der Kontolöschung und (2) die Dokumentation des SCC-/Übermittlungsmechanismus (DPA) mit Auftragsverarbeitern. Sie werden in unserem öffentlichen Compliance-Backlog verfolgt und aus dieser Anmerkung entfernt, sobald sie abgeschlossen sind.

↑ Top