DATENSCHUTZERKLÄRUNG

1.1. Diese Datenschutzerklärung (die „Richtlinie“) beschreibt, wie Golova Europe SL (der „Verantwortliche“, „Golova“, „wir“) personenbezogene Daten der Nutzer der Website golova.ai, der mobilen Anwendungen (Android, iOS), der Golova-Plattform (SaaS) und der zugehörigen Lösungen Golova.work, Golova.wiki und Golova.market (gemeinsam die „Dienste“) erhebt, verwendet, mitteilt und schützt.

1.2. Diese Richtlinie wird in Übereinstimmung mit der Verordnung (EU) 2016/679 (die „DSGVO“) und dem spanischen Organgesetz 3/2018 vom 5. Dezember über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte („LOPDGDD“) veröffentlicht, die auf den Verantwortlichen als in Spanien niedergelassene Gesellschaft Anwendung finden. Der Verantwortliche fungiert als Betreiber der Dienste in allen Rechtsordnungen, in denen sie angeboten werden.

1.3. Identifikation des Verantwortlichen:

• Firmenname: Golova Europe SL
• Steuernummer (CIF): B70717004
• EU-USt-IdNr.: ESB70717004
• Eingetragener Geschäftssitz: Calle l’Hospital, 95, Planta 1, Puerta 2, 08001 Barcelona, Spanien
• Handelsregister: Spanisches Handelsregister von Barcelona, Band 49139, Folio 218, Blatt B-609178, 1. Eintragung (15.02.2024); EUID ES08005.000701808
• Startup-Status: zertifiziert durch ENISA gemäß dem spanischen Gesetz 28/2022 vom 21. Dezember zur Förderung des Startup-Ökosystems (Zertifizierungsdatum: 18.02.2026).
• E-Mail: privacy@golova.ai
• Telefon: +34 672 390 777

1.4. Datenschutzkontakt: privacy@golova.ai. Der Verantwortliche hat keinen Datenschutzbeauftragten (DSB) förmlich bestellt, da die Voraussetzungen des Artikels 37 DSGVO nicht erfüllt sind. Die Kontaktperson für Datenschutzangelegenheiten ist privacy@golova.ai.

1.5. Diese Richtlinie gilt für alle personenbezogenen Daten, die von Golova im Rahmen der Dienste verarbeitet werden. Die aktuelle Fassung ist unter https://golova.ai/de/privacy-policy und in den anderen Sprachen, in denen die Dienste angeboten werden, verfügbar.

1.6. Diese Richtlinie gilt nicht für: (a) Websites oder Dienste, die von Dritten betrieben werden, auch wenn sie über Links aus den Diensten zugänglich sind; (b) Daten, die von unseren Geschäftskunden verarbeitet werden, die die Dienste zur Verwaltung ihrer eigenen Kunden und ihres Personals nutzen — in diesen Fällen ist unser Geschäftskunde der Verantwortliche und Golova fungiert als Auftragsverarbeiter aufgrund eines gesonderten Auftragsverarbeitungsvertrags.

2.1. Für die Zwecke dieser Richtlinie:

• Personenbezogene Daten — alle Informationen über eine identifizierte oder identifizierbare natürliche Person (Artikel 4 Nr. 1 DSGVO).
• Verarbeitung — jeder Vorgang im Zusammenhang mit personenbezogenen Daten (Erhebung, Erfassung, Speicherung, Veränderung, Abfrage, Verwendung, Offenlegung, Löschung usw.).
• Betroffene Person — die natürliche Person, auf die sich die personenbezogenen Daten beziehen.
• Verantwortlicher — die Stelle, die über die Zwecke und Mittel der Verarbeitung entscheidet.
• Auftragsverarbeiter — die Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• Kunde — juristische Person, Selbständiger oder natürliche Person, die für die Nutzung der Dienste registriert ist.
• Endnutzer — natürliche Person, deren Daten von einem Kunden in die Dienste hochgeladen werden.
• Dienste — die Golova SaaS-Plattform, die Website, die mobilen Anwendungen und die zugehörigen Lösungen Golova.work, Golova.wiki und Golova.market.

3.1. Wir verarbeiten personenbezogene Daten der folgenden Kategorien betroffener Personen:

• Registrierte Kunden (einschließlich Vertreter juristischer Personen);
• Nicht registrierte Besucher der Website und der mobilen Anwendungen;
• Personen, die uns über Kontaktformulare, E-Mail oder Telefon kontaktieren;
• Endnutzer, deren Daten von einem Kunden in die Dienste hochgeladen werden (in diesem Fall fungiert Golova als Auftragsverarbeiter — siehe Abschnitt 12);
• Kandidaten auf Golova.work und Personen, die Equipment auf Golova.market und Golova.wiki einstellen oder einsehen.

3.2. Kategorien personenbezogener Daten, die wir von Kunden und einzelnen Nutzern verarbeiten:

• Identifikationsdaten: Vorname, Nachname, Firmenname, Position.
• Kontaktdaten: E-Mail-Adresse, Telefon, Postanschrift.
• Kontodaten: Benutzername, Passwort (als Hash gespeichert), Kontoeinstellungen, Sprache, Kontotyp.
• Rechnungsdaten: Rechnungsadresse, Steueridentifikationsnummer, ausgestellte Rechnungen. Zahlungskartendaten werden direkt von unserem Zahlungsanbieter (Stripe) verarbeitet.
• Nutzungs- und technische Daten: IP-Adresse, Browsertyp und -version, Betriebssystem, Gerätekennungen, Sprache, Zeitzone, besuchte Seiten, genutzte Funktionen, Aktivitätsprotokolle, Fehlerprotokolle, Sitzungskennungen.
• Inhaltsdaten: alle Daten, die der Kunde in die Plattform hochlädt — Bestandselemente, Projekte, Angebote, Dokumente, interne Notizen, Nachrichten.
• Marketingdaten: Status der Marketing-Einwilligung, Abmeldedatensätze.
• KI-Funktionsdaten: für die KI-Erkennung hochgeladene Rider-Dokumente, Erkennungsergebnis und Rückmeldungen (siehe Abschnitt 11).

3.3. Wir verarbeiten wissentlich keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO). Wenn Kunden solche Daten hochladen (zum Beispiel Ernährungs- oder Zugänglichkeitsanforderungen in Künstler-Ridern), wird Golova diese ausschließlich als Auftragsverarbeiter nach den dokumentierten Anweisungen des Kunden verarbeiten (Abschnitt 12).

3.4. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 14 Jahren (Artikel 7 LOPDGDD). Wenn im Wohnsitzland der betroffenen Person eine strengere Altersgrenze gilt (zum Beispiel 16 in Deutschland), gilt diese Grenze für die betroffene Person.

4.1. Wir verarbeiten personenbezogene Daten ausschließlich für die in diesem Abschnitt angegebenen Zwecke und auf Grundlage einer oder mehrerer der Rechtsgrundlagen des Artikels 6 Absatz 1 DSGVO.

4.2. Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Erstellung und Verwaltung Ihres Kontos, Bereitstellung des Zugangs zur Plattform, Bearbeitung Ihrer Abonnements, technischer Support, Austausch dienstbezogener Mitteilungen, Rechnungsstellung und allgemein Erfüllung der mit Ihnen geschlossenen Nutzungsvereinbarung.

4.3. Erfüllung rechtlicher Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO). Erfüllung der spanischen Steuer- und Buchhaltungsvorschriften, Beantwortung berechtigter Anfragen öffentlicher Behörden und Aufbewahrung der nach den anwendbaren Vorschriften erforderlichen Aufzeichnungen.

4.4. Berechtigte Interessen des Verantwortlichen (Art. 6 Abs. 1 lit. f DSGVO). Vorbehaltlich einer zu Ihren Gunsten ausfallenden Interessenabwägung: Dienstsicherheit und Missbrauchsprävention; Dienstverbesserung; Direktmarketing an bestehende Geschäftskunden (Artikel 21.2 LSSI-CE); Verteidigung von Ansprüchen. Sie haben das Recht, dieser Verarbeitung jederzeit zu widersprechen (Abschnitt 9).

4.5. Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Wenn das Gesetz dies erfordert: nicht wesentliche Cookies und ähnliche Tracking-Technologien; Marketing-Mitteilungen an Privatpersonen; Verarbeitung von Daten mit besonderen Kategorien (Artikel 9 Abs. 2 lit. a DSGVO). Sie können Ihre Einwilligung jederzeit widerrufen, ohne dass dies die Rechtmäßigkeit der vorangegangenen Verarbeitung berührt.

4.6. Zusammenfassende Übersicht der Zwecke:

• Kontoerstellung und Authentifizierung — Vertrag; Aufbewahrung: Kontolebenszyklus + 6 Jahre.
• Abonnementverwaltung und Zahlungen — Vertrag + rechtliche Verpflichtung; Aufbewahrung: 6 Jahre ab Jahresende.
• Kundendienst — Vertrag; Aufbewahrung: 3 Jahre ab Fallabschluss.
• Dienstsicherheit und Protokolle — berechtigtes Interesse; Aufbewahrung: 12 Monate.
• Direktmarketing an bestehende Kunden — berechtigtes Interesse; Aufbewahrung: bis Widerspruch oder 3 Jahre Inaktivität.
• Analyse und Produktverbesserung — Einwilligung; Aufbewahrung: wie in der Cookie-Richtlinie angegeben.
• Steuer- und Buchhaltungspflichten — rechtliche Verpflichtung; Aufbewahrung: 6 Jahre.
• KI-Rider-Erkennung — Vertragserfüllung + Einwilligung (wenn besondere Kategorien betroffen); Aufbewahrung: Projektlebenszyklus + 12 Monate.

5.1. Direkt von Ihnen: bei der Registrierung, beim Ausfüllen eines Formulars, bei der Kontaktaufnahme mit uns, beim Abonnieren von Mitteilungen, bei Zahlungen, beim Hochladen von Daten in die Plattform oder bei anderen Interaktionen mit den Diensten.

5.2. Automatisch: über Cookies, Serverprotokolle, Analyse-Tools und Diagnosesysteme der mobilen Anwendungen — wie in unserer Cookie-Richtlinie dargelegt.

5.3. Von Dritten: von unseren Kunden, die Ihre Daten als Verantwortliche in die Dienste hochladen können (siehe Abschnitt 12); von Zahlungsanbietern in Bezug auf das Ergebnis einer Transaktion; aus öffentlichen Registern in begrenzten Fällen.

6.1. Wir verkaufen, vermieten oder tauschen keine personenbezogenen Daten. Wir geben personenbezogene Daten nur an die unten genannten Kategorien von Empfängern weiter, soweit dies für die Zwecke dieser Richtlinie und mit angemessenen Garantien erforderlich ist.

6.2. Dienstleister, die als unsere Auftragsverarbeiter aufgrund schriftlicher Verträge gemäß Artikel 28 DSGVO handeln. Die aktualisierte Liste der Auftragsverarbeiter wird unter https://golova.ai/de/subprocessors veröffentlicht und umfasst die folgenden Kategorien:

• Hosting und Cloud-Infrastruktur: Hetzner Online GmbH, Rechenzentren in Helsinki, Finnland (EU); Cloudflare Inc. (CDN, DDoS-Schutz, Traffic-Routing).
• Zahlungsabwicklung: Stripe Payments Europe Ltd (Irland) und seine US-Tochtergesellschaften, soweit von den Kartennetzwerken vorgeschrieben.
• E-Mail und transaktionale Nachrichten: Brevo (Sendinblue SAS, Frankreich — EU).
• Kundensupport-Tools: Crisp (Crisp IM SAS, Frankreich — EU).
• Analyse: Plausible Analytics (Plausible Insights OÜ, Estland — EU).
• Fehlerüberwachung: Functional Software Inc. (Sentry) — EU-Region.
• Push-Benachrichtigungen: Apple Push Notification Service (Apple Inc., USA) für iOS; Firebase Cloud Messaging (Google LLC, USA) für Android.

6.3. Wir werden Kunden über jede Änderung der Auftragsverarbeiter-Liste mindestens 30 Tage vor deren Inkrafttreten informieren.

6.4. Unabhängige Verantwortliche — wir können personenbezogene Daten in ihrer eigenen Eigenschaft als Verantwortliche weitergeben an: unsere professionellen Berater (der Vertraulichkeit unterliegen); öffentliche Behörden (wenn gesetzlich vorgeschrieben); Erwerber oder Investoren im Rahmen einer Unternehmenstransaktion (mit angemessenen Vertraulichkeitsgarantien).

6.5. Wir geben personenbezogene Daten nicht ohne Ihre vorherige Einwilligung an nicht wesentliche Geschäftspartner weiter.

7.1. Wir hosten die Dienste in Rechenzentren innerhalb des Europäischen Wirtschaftsraums (EWR), hauptsächlich in der Republik Finnland und der Bundesrepublik Deutschland. Personenbezogene Daten von Nutzern aus der EU/EWR werden standardmäßig im EWR gespeichert.

7.2. Einige unserer Auftragsverarbeiter sind außerhalb des EWR niedergelassen oder betreiben Server außerhalb des EWR, insbesondere in den Vereinigten Staaten. Internationale Übermittlungen können stattfinden für: Zahlungsabwicklung (Stripe); Push-Benachrichtigungsdienste (Apple, Google); globales Cloudflare-Netzwerk.

7.3. Für jede dieser Übermittlungen stützen wir uns auf eine oder mehrere der folgenden Garantien aus Kapitel V der DSGVO:

• Angemessenheitsbeschluss der Europäischen Kommission (Artikel 45 DSGVO) — insbesondere das EU-US Data Privacy Framework und der Angemessenheitsbeschluss für das Vereinigte Königreich (Dezember 2025).
• Standardvertragsklauseln (SCC) gemäß Beschluss 2021/914 (Artikel 46 Abs. 2 lit. c DSGVO), ergänzt durch eine Transfer Impact Assessment (TIA) und ggf. zusätzliche technische und organisatorische Maßnahmen.
• Ausnahmen nach Artikel 49 DSGVO in begrenzten Fällen.

7.4. Sie können eine Kopie der auf eine bestimmte Übermittlung angewandten Garantien anfordern, indem Sie an privacy@golova.ai schreiben.

7.5. Wir übermitteln keine personenbezogenen Daten an die Russische Föderation oder andere Drittländer ohne anwendbaren Angemessenheitsbeschluss und ohne umgesetzte Garantien. Die russischsprachige Version der unter golova.io betriebenen Plattform ist ein separater Dienst einer anderen juristischen Person ohne gemeinsame Dateninfrastruktur mit golova.ai.

8.1. Wir bewahren personenbezogene Daten nur so lange auf, wie es für die Zwecke, für die sie erhoben wurden, erforderlich ist, unter Berücksichtigung gesetzlicher Aufbewahrungspflichten, Verjährungsfristen und berechtigter Erwartungen betroffener Personen.

8.2. Spezifische Aufbewahrungsfristen nach Datenkategorie:

• Kontodaten (aktive Konten): während der Lebensdauer des Kontos.
• Kontodaten nach Löschung: innerhalb von 30 Tagen aus aktiven Systemen entfernt; Backups innerhalb von 90 Tagen gelöscht.
• Abrechnungs- und Buchhaltungsdaten: 6 Jahre ab Jahresende (Artikel 30 des spanischen Handelsgesetzbuches).
• Verträge und Korrespondenz: 5 Jahre ab Beendigung der Vertragsbeziehung.
• Kundendienstaufzeichnungen: 3 Jahre ab Fallabschluss.
• Zugriffs- und Sicherheitsprotokolle: 12 Monate ab Erstellung.
• Marketingdaten: bis Widerspruch, Widerruf oder 3 Jahre Inaktivität.
• Cookie- und Analysedaten: wie in der Cookie-Richtlinie angegeben.
• Einwilligungsdatensätze: während der Geltungsdauer der Verarbeitung und 3 Jahre danach.
• KI-Rider-Erkennungsdaten: Projektlebenszyklus + 12 Monate, sofern nicht vorher vom Kunden gelöscht.

8.3. Nach Ablauf der anwendbaren Aufbewahrungsfrist löschen oder anonymisieren wir die Daten.

9.1. Vorbehaltlich der in den Artikeln 15 bis 22 DSGVO festgelegten Bedingungen und Grenzen haben Sie das Recht auf:

• Auskunft (Artikel 15) — Bestätigung, ob wir Ihre Daten verarbeiten, und Erhalt einer Kopie.
• Berichtigung (Artikel 16) — Korrektur unrichtiger oder unvollständiger Daten.
• Löschung (Artikel 17) — „Recht auf Vergessenwerden“, vorbehaltlich der Ausnahmen in Artikel 17 Abs. 3.
• Einschränkung der Verarbeitung (Artikel 18).
• Datenübertragbarkeit (Artikel 20) — Erhalt Ihrer Daten in einem strukturierten, gängigen und maschinenlesbaren Format.
• Widerspruch (Artikel 21) — einschließlich des unbedingten Rechts auf Widerspruch gegen Direktmarketing.
• Nicht einer ausschließlich automatisierten Entscheidung unterworfen zu werden (Artikel 22). Derzeit trifft Golova keine derartigen Entscheidungen.
• Widerruf Ihrer Einwilligung jederzeit (Artikel 7 Abs. 3 DSGVO), ohne Auswirkung auf die vorangegangene Verarbeitung.
• Beschwerde bei einer Aufsichtsbehörde. Die federführende Aufsichtsbehörde ist die AEPD (www.aepd.es). Im Rahmen des One-Stop-Shop-Mechanismus (Artikel 56 DSGVO) können Sie auch eine Beschwerde bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts einreichen, die mit der AEPD zusammenarbeiten wird.

9.2. Senden Sie Ihre Anfrage an privacy@golova.ai mit dem Betreff „DSGVO-Rechte-Anfrage“; geben Sie das Recht an, das Sie ausüben möchten, und stellen Sie ausreichende Informationen zur Identifizierung bereit.

9.3. Wir bearbeiten Ihre Anfrage innerhalb eines Monats (Artikel 12 Abs. 3 DSGVO). Die Ausübung Ihrer Rechte ist kostenlos, es sei denn, die Anfrage ist offenkundig unbegründet oder exzessiv.

9.4. Viele Rechte können direkt aus Ihrem Golova-Konto ausgeübt werden (Daten herunterladen, Konto löschen, Marketing-Präferenzen verwalten, Cookies verwalten).

10.1. Wir implementieren geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Artikel 32 DSGVO), einschließlich: Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand; rollenbasierte Zugriffskontrolle; Multi-Faktor-Authentifizierung; regelmäßige Backups; Netzwerksegmentierung und Firewalls; Protokollierung; Lieferantenmanagement; Sicherheitsbewertungen und Schwachstellenmanagement; Vertraulichkeitsverpflichtungen; Vorfallsreaktionsverfahren.

10.2. Im Falle einer Verletzung des Schutzes personenbezogener Daten, die ein Risiko darstellen kann, werden wir diese unverzüglich, möglichst innerhalb von 72 Stunden, der AEPD melden (Artikel 33 DSGVO) und ggf. betroffene Personen benachrichtigen (Artikel 34 DSGVO).

11.1. Golova nutzt Funktionen der künstlichen Intelligenz („KI“), insbesondere eine KI-Rider-Erkennungsfunktion, die hochgeladene Rider-Dokumente verarbeitet und das entsprechende Equipment aus dem Bestand des Kunden vorschlägt.

11.2. Diese KI-Funktionen treffen keine Entscheidungen mit rechtlicher Wirkung oder erheblichen Auswirkungen im Sinne von Artikel 22 DSGVO. Das Ergebnis ist ein Vorschlag zur manuellen Überprüfung durch den Kunden.

11.3. Gemäß der Verordnung (EU) 2024/1689 (KI-Verordnung) klassifizieren wir unsere KI-Funktionen als KI-Systeme mit „begrenztem Risiko“. Wir informieren die Nutzer darüber, dass sie mit einem KI-System interagieren.

11.4. Wir verwenden personenbezogene Daten von EU-Betroffenen nicht zum Training von allgemeinen KI-Modellen Dritter ohne geeignete Rechtsgrundlage.

12.1. Wenn ein Kunde personenbezogene Daten seiner Endnutzer in die Dienste hochlädt, fungiert Golova als Auftragsverarbeiter und der Kunde ist der Verantwortliche im Sinne von Artikel 4 Nr. 7 DSGVO.

12.2. Die Bedingungen dieser Verarbeitung unterliegen einem Auftragsverarbeitungsvertrag (AVV), der Bestandteil des Vertrags des Kunden mit Golova ist und unter https://golova.ai/de/dpa verfügbar ist.

12.3. Endnutzer, die ihre Rechte ausüben möchten, sollten ihre Anfragen zunächst an den Kunden richten. Wenn Golova eine solche Anfrage direkt erhält, leitet es sie unverzüglich an den entsprechenden Kunden weiter.

13.1. Die Dienste richten sich nicht an Minderjährige. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 14 Jahren ohne elterliche Einwilligung (Artikel 7 LOPDGDD). Wenn im Wohnsitzland der betroffenen Person eine strengere Altersgrenze gilt (zum Beispiel 16 in Deutschland), gilt diese Grenze für die betroffene Person. Wenn Sie Kenntnis davon haben, dass ein Minderjähriger uns ohne Einwilligung Daten zur Verfügung gestellt hat, kontaktieren Sie uns unter privacy@golova.ai.

14.1. Wir können diese Richtlinie regelmäßig aktualisieren, um Änderungen in unseren Diensten, gesetzlichen Anforderungen oder Branchenpraktiken Rechnung zu tragen.

14.2. Wenn die Änderungen wesentlich sind, werden wir registrierte Kunden mindestens 30 Tage vor deren Inkrafttreten per E-Mail oder durch einen hervorgehobenen Hinweis innerhalb der Dienste informieren.

14.3. Nicht wesentliche Änderungen treten mit ihrer Veröffentlichung in Kraft. Die aktuelle Fassung ist stets unter https://golova.ai/de/privacy-policy verfügbar.

15.1. Diese Richtlinie wird auf Englisch als Stammfassung veröffentlicht. Übersetzungen ins Spanische, Katalanische, Deutsche, Französische und brasilianische Portugiesisch werden zur Annehmlichkeit der Nutzer dieser Sprachen bereitgestellt. Für Geschäftskunden geht bei Abweichungen zwischen Sprachfassungen die englische Fassung vor. Für Verbraucher ist die Sprachfassung verbindlich, in der der Kunde den Vertrag geschlossen hat.

15.2. Sollte eine Bestimmung dieser Richtlinie ungültig oder undurchsetzbar sein, bleiben die übrigen Bestimmungen in vollem Umfang wirksam.

15.3. Anfragen, Anträge und Beschwerden zu dieser Richtlinie können an privacy@golova.ai gerichtet werden.