Datenschutzerklärung für die GRINNO-Business-Plattform

Stand: 29.09.2026

Version: 2026-09-29.1

Status: Freigegebene Fassung

Wie Konten, Unternehmens- und Projektdaten, Dokumente, KI-Anfragen und gegebenenfalls Abrechnungsdaten in der App verarbeitet werden.

1. Geltungsbereich

Diese Hinweise betreffen die GRINNO-Business-Plattform mit Anmeldung, Arbeitsbereichen und Beratungsorganisationen. Sie ergänzen die Datenschutzhinweise des öffentlichen Internetauftritts. Die Nutzung der App führt zu weiteren Verarbeitungen, insbesondere bei Benutzerkonten, Teamverwaltung, Förderprojekten, Dokumenten, KI-Funktionen und Abrechnung.

2. Verantwortlicher und Kontakt

Verantwortlich für die nachfolgend beschriebenen eigenen Verarbeitungen ist PriorApps GmbH, Kreuzkämpchen 11, 40789 Monheim am Rhein, Deutschland. Sie erreichen uns unter hello@grinno.ai oder telefonisch unter +49 172 88 71 771.

Für Datenschutzanfragen, Löschanliegen und die Ausübung Ihrer Rechte verwenden Sie bitte hello@grinno.ai. Bei Daten, die ein Kundenunternehmen in unserem Dienst verarbeitet, gilt die nachfolgend erläuterte Verantwortungsverteilung.

3. Eigene Verantwortlichkeit und Daten im Auftrag

Der App-Anbieter verarbeitet Daten zur Verwaltung der eigenen Kundenbeziehung, zur Vertragskommunikation, zur Abrechnung sowie zur Sicherung seines Dienstes grundsätzlich in eigener Verantwortlichkeit. Bei Konten von Beschäftigten oder anderen eingeladenen Personen richtet sich die genaue Verantwortungsverteilung nach Zweck und Ausgestaltung der Kontoverwaltung.

Inhalte, die ein Kundenunternehmen in seinem Arbeitsbereich für eigene Zwecke verarbeitet, werden grundsätzlich in dessen Auftrag verarbeitet. Dazu können Angaben über Beschäftigte, Mandanten, Ansprechpartner und Projektbeteiligte in Dokumenten, Profilen, Projekten und Chats gehören. Das Kundenunternehmen bestimmt den Zweck, die Berechtigung zur Eingabe und die fachliche Nutzung dieser Daten. Hierfür schließt das Kundenunternehmen einen gesonderten Vertrag zur Auftragsverarbeitung mit Anlagen ab.

Bei Beratungsorganisationen kann das Kundenunternehmen selbst als Auftragsverarbeiter seiner Mandanten handeln. Dann sind die Weisungs- und Genehmigungskette und die Rolle von GRINNO als weiterem Auftragsverarbeiter gesondert festzulegen. Nicht jeder Mitarbeiter schließt einen eigenen AVV. Diese Hinweise ersetzen nicht die Informationspflichten des jeweils verantwortlichen Kundenunternehmens gegenüber den betroffenen Personen.

4. Datenarten und Herkunft

Daten stammen aus Ihren Eingaben, aus Einladungen und Berechtigungszuweisungen durch andere berechtigte Personen sowie aus der technischen Nutzung. Ein Kundenunternehmen kann Daten Dritter einstellen. Solche Inhalte werden im Rahmen seiner Weisungen verarbeitet.

• Konto und Zugang: Name, E-Mail-Adresse, Benutzerkennung, Anmelde- und Sitzungsinformationen, Passwort-Authentifizierungsdaten beim Anmeldedienst und Status des Kontos.

• Organisation und Zusammenarbeit: Unternehmensname und -profil, Kontaktdaten, Mitgliedschaften, Rollen, Einladungen, Zuordnung zu Arbeitsbereichen und Beratungsorganisationen.

• Fachinhalte: Projekttitel und -beschreibungen, wirtschaftliche und betriebliche Angaben, hochgeladene Dateien und daraus gewonnene Texte, Fallakten, Berichte, Bewertungen, Chatnachrichten sowie KI-Ein- und -Ausgaben. Auch Unternehmensdaten können personenbezogen sein, etwa bei Einzelunternehmen.

• Technischer Betrieb: IP-Adresse, Zeitpunkt und Ziel von Anfragen, Browser- und Geräteinformationen sowie Ereignis- und Fehlerdaten, soweit sie bei Hosting, Authentifizierung und Betrieb anfallen.

• Bei aktivierter Abrechnung: Vertrags- und Tarifdaten, Rechnungskontakt, Rechnungsanschrift, steuerliche Angaben, Zahlungsstatus, Kunden- und Transaktionskennungen. Zahlungsinstrumente werden im Zahlungsdialog des Zahlungsdienstleisters erfasst.

• Vertragsnachweise: bei einem freigegebenen elektronischen AVV-Abschluss Angaben zum Kundenunternehmen, zur erklärenden Person, ihrer Vertretungsbefugnis, zum Abschlusszeitpunkt und zu den vereinbarten Dokumentversionen.

5. Zwecke und Rechtsgrundlagen eigener Verarbeitungen

Soweit Sie selbst Vertragspartner sind, beruhen erforderliche Verarbeitungsvorgänge zur Bereitstellung des Kontos und zur Erfüllung des Vertrags auf Art. 6 Abs. 1 Buchst. b DSGVO. Handeln Sie als Beschäftigter oder Ansprechpartner einer Organisation, erfolgt die für unsere Geschäftsbeziehung erforderliche Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse besteht in der Bereitstellung des von Ihrer Organisation genutzten Dienstes und einer verlässlichen Kommunikation.

Technische Bereitstellung, Missbrauchsabwehr, Fehleranalyse und Zugriffsschutz erfolgen, soweit erforderlich, auf Art. 6 Abs. 1 Buchst. f DSGVO. Das berechtigte Interesse ist ein funktionsfähiger und sicherer Dienst. Gesetzlich vorgeschriebene Verarbeitungen, beispielsweise zur Erfüllung von Aufbewahrungs- oder Nachweispflichten, beruhen auf Art. 6 Abs. 1 Buchst. c DSGVO in Verbindung mit der einschlägigen gesetzlichen Verpflichtung.

Soweit im Einzelfall eine freiwillige Einwilligung eingeholt wird, ist Art. 6 Abs. 1 Buchst. a DSGVO maßgeblich. Eine solche Einwilligung wird gesondert und zweckbezogen eingeholt und kann für die Zukunft widerrufen werden. Das Lesen oder die bestätigte Kenntnisnahme dieser Hinweise ist keine Einwilligung in sämtliche Datenverarbeitungen.

Für Auftragsdaten bestimmt der jeweils Verantwortliche die Rechtsgrundlage. Ein AVV ist die Regelung der Auftragsverarbeitung und ersetzt keine erforderliche Rechtsgrundlage des Kundenunternehmens.

6. Hosting, Anmeldung und technischer Betrieb

Die App nutzt Google Cloud und Firebase für Hosting, Datenbanken, Dateispeicher, Anmeldung und technische Betriebsdienste. Nach dem dokumentierten Betriebsstand vom September 2026 laufen die Anwendungsserver und die Förderdatenbank in den Niederlanden; die Anwendungsdatenbank und der Dateispeicher befinden sich in Deutschland. Diese Angaben beziehen sich auf diese Komponenten und bedeuten keine ausschließlich europäische Verarbeitung aller Daten.

Firebase Authentication verarbeitet Anmeldedaten nach den vorliegenden Anbieterinformationen in den USA. Für globale technische Dienste und Supportzugriffe kann eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums (EWR) ebenfalls relevant sein. Einzelheiten zu den Empfängern und zum Stand der Übermittlungsgrundlagen enthält die Anlage Unterauftragnehmer und weitere Dienstleister.

7. KI-Unterstützung und semantische Suche

Für KI-Chat, Dokumentauswertung, Gutachten, Konzepte und Berichtsprosa wird die Anthropic API eingesetzt. Je nach ausgelöster Funktion werden Chatnachrichten, Fall- und Projektinhalte, extrahierter Dokumenttext sowie relevante Angaben aus dem Unternehmensprofil und Förderprogrammtexte übermittelt. Dazu können Unternehmensname, Standort, Branche, Beschäftigtenzahl und wirtschaftliche Kennzahlen gehören. Auch Texte mit Angaben über Dritte können dadurch an den KI-Dienst gelangen.

Vertragspartner für Kunden im EWR ist nach den veröffentlichten kommerziellen Standardbedingungen Anthropic Ireland, Limited, Dublin, Irland. Die Bedingungen beziehen den Datenverarbeitungsnachtrag ein und untersagen das Training von Modellen mit den darüber verarbeiteten Kundeninhalten. Die Verarbeitung kann außerhalb des EWR, insbesondere in den USA, stattfinden. Für einschlägige Übermittlungen enthält der Datenverarbeitungsnachtrag EU-Standardvertragsklauseln.

Originaldateien werden in den geprüften Auswertungspfaden als extrahierter Text an das Sprachmodell übergeben. Passwörter und Sitzungscookies sind nicht Teil dieser Anfragen. Anthropic nennt für API-Ein- und -Ausgaben standardmäßig eine Löschung innerhalb von 30 Tagen. Ausnahmen gelten insbesondere für gesetzliche Pflichten und die Durchsetzung der Nutzungsregeln; bei als Verstoß eingestuften Inhalten nennt Anthropic bis zu zwei Jahre für Ein- und Ausgaben und bis zu sieben Jahre für Sicherheitsklassifizierungen. Eine besondere Vereinbarung zur Nullspeicherung wird für GRINNO nicht zugesagt.

Die semantische Suche verwendet Vertex AI von Google Cloud über einen globalen Endpunkt. Dabei werden Suchtexte, Projektbeschreibungen und, abhängig von der Funktion, Angaben aus dem Unternehmensprofil in numerische Suchrepräsentationen umgewandelt. Diese Verarbeitung kann auch beim Aufruf von Förderempfehlungen stattfinden und ist nicht auf Chatnachrichten beschränkt. Ein ausschließlich europäischer Verarbeitungsort wird hierfür nicht zugesagt.

Geben Sie nur Daten ein, die für die jeweilige Aufgabe erforderlich sind und für deren Verarbeitung Sie berechtigt sind. Besonders geschützte Daten, etwa Gesundheitsdaten, sowie Daten über strafrechtliche Verurteilungen sind nicht Gegenstand des vorgesehenen Standardumfangs. Eine hiervon abweichende Nutzung bedarf vorab einer gesonderten Prüfung und Vereinbarung.

KI-Ergebnisse unterstützen menschliche Entscheidungen. Die App bewilligt keine Fördermittel und trifft nach ihrem vorgesehenen Funktionsumfang keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung gegenüber betroffenen Personen. Bewertungen und Ausgaben müssen fachlich geprüft werden; sie können unzutreffend oder unvollständig sein.

8. E-Mails, Support und Abrechnung

Einladungen werden bei entsprechend eingerichteter Versandfunktion über SMTP2GO von Sand Dune Mail Ltd, Neuseeland, versendet. Dafür werden die Empfängeradresse, Angaben zur einladenden Person, zum Arbeitsbereich oder zur Organisation, die zugewiesene Rolle und der Einladungsinhalt verarbeitet. Passwort-E-Mails werden auch durch Firebase Authentication versendet. Der SMTP2GO-API-Versand der App verwendet den EU-Endpunkt. Die Anbieterangaben sehen standardmäßig 35 Tage Aufbewahrung für Versandaktivitätsdaten vor; zusätzliche kostenpflichtige Aufbewahrungs- oder Archivfunktionen können hiervon abweichen. Die Empfänger-Mailbox unterliegt den Einstellungen und Diensten des jeweiligen Empfängers.

SMTP2GO beschreibt außerdem eine stichprobenartige Speicherung von einer aus tausend versendeten Nachrichten für 35 Tage zur Missbrauchskontrolle. Eine für das GRINNO-Konto abweichend vereinbarte Abschaltung dieser Anbieterfunktion wird hier nicht zugesagt.

Bei Kontaktanfragen verarbeiten wir die übermittelten Kontakt- und Inhaltsdaten, um Ihr Anliegen zu bearbeiten. Bitte senden Sie nur die dafür erforderlichen Angaben. Eine allgemeine Freigabe aller Arbeitsbereichsinhalte für Supportzwecke ergibt sich daraus nicht.

Sofern die Zahlungsabwicklung in der App freigeschaltet ist und Sie einen Tarif oder eine zusätzliche Leistung buchen, wird Stripe für Checkout, Zahlungsabwicklung, Rechnungen und das Rechnungsportal eingesetzt. Die App übermittelt insbesondere Name des Abrechnungskunden, E-Mail-Adresse, interne Zuordnungskennungen sowie Tarif- und Transaktionsdaten. Im Stripe-Dialog werden erforderliche Zahlungs-, Rechnungs- und Steuerdaten erhoben. GRINNO erhält insbesondere Zahlungs- und Vertragsstatus sowie Zuordnungskennungen zurück.

Stripe verarbeitet Zahlungsdaten je nach Vorgang als Dienstleister des App-Anbieters oder in eigener Verantwortlichkeit, etwa bei gesetzlichen Pflichten und bestimmten Sicherheitsaufgaben. Im Zahlungsdialog gelten ergänzend die dort bereitgestellten Datenschutzhinweise von Stripe. Der Einsatz für eigene Abrechnung macht Stripe nicht zum Unterauftragnehmer für die vom Kunden in Projekten gespeicherten Fachinhalte.

9. Empfänger und Drittlandübermittlungen

Innerhalb eines Arbeitsbereichs können berechtigte Mitglieder entsprechend ihrer Rolle auf Inhalte zugreifen. Bei Zuordnung zu einer Beratungsorganisation richten sich weitere Zugriffe nach deren eingerichteten Berechtigungen. Der jeweilige Verantwortliche muss diese Zuordnungen und Freigaben kontrollieren.

Weitere Empfänger können beauftragte technische Dienstleister, berechtigte Support- und Betriebspersonen sowie, bei Vorliegen einer gesetzlichen Verpflichtung, Behörden sein. Die Anlage Unterauftragnehmer und weitere Dienstleister nennt die eingesetzten Anbieter, Leistungen, Datenkategorien und Verarbeitungsorte.

Für Übermittlungen in Länder außerhalb des EWR gelten Art. 44 ff. DSGVO. Die Cloud-Vertragsbedingungen von Google enthalten Regeln zu Angemessenheitsbeschlüssen und EU-Standardvertragsklauseln. Google nennt für Übermittlungen an und über Google LLC in den USA das EU-US Data Privacy Framework als Übermittlungsgrundlage; für weitere von den Klauseln erfasste Übermittlungen gelten die darin vorgesehenen Garantien. Anthropics Datenverarbeitungsnachtrag bezieht für erforderliche Drittlandübermittlungen EU-Standardvertragsklauseln ein. Ein EU-Rechenzentrum allein sagt nichts über sämtliche weiteren Verarbeitungs- oder Supportorte aus.

Informationen über die für eine konkrete Übermittlung einschlägigen Garantien und gegebenenfalls eine Kopie dieser Garantien erhalten Sie über hello@grinno.ai. Der AVV und eine Kenntnisnahme der Datenschutzhinweise ersetzen keine notwendige Übermittlungsgrundlage.

10. Cookies und lokaler Speicher

Für die angeforderte Anmeldung verwendet die App das Sitzungscookie __session mit einer technischen Gültigkeit von bis zu fünf Tagen. Eine erneute Anmeldung oder Sitzungserneuerung kann ein neues Cookie ausstellen; beim Abmelden wird das Sitzungscookie gelöscht. Firebase Authentication verwendet außerdem Browser-Speicher zur Verwaltung des Anmeldestatus. Soweit diese Vorgänge für den ausdrücklich gewünschten Zugang unbedingt erforderlich sind, erfolgt der Zugriff nach § 25 Abs. 2 Nr. 2 TDDDG; für die anschließende Verarbeitung personenbezogener Daten gelten die oben genannten Rechtsgrundlagen.

Nach dem geprüften App-Stand ist kein Analyse- oder Werbetracking eingebunden. Schriften werden durch die App selbst ausgeliefert. Vor einem späteren Einsatz zusätzlicher, einwilligungspflichtiger Speicher- oder Trackingtechniken sind die Hinweise anzupassen und erforderliche Einwilligungen einzuholen.

11. Speicherdauer, Löschung und Vertragsnachweise

Eigene Konto- und Kontaktdaten verarbeiten wir während der Nutzung und anschließend nur, soweit sie für die Vertragsabwicklung, gesetzliche Pflichten oder die Geltendmachung, Ausübung beziehungsweise Verteidigung von Rechtsansprüchen benötigt werden. Maßgeblich sind Zweckfortbestand, Ende der Kundenbeziehung, geltende Aufbewahrungspflichten und Verjährungsfristen. Daten, die nur noch für einen solchen begrenzten Zweck erforderlich sind, werden nicht für andere Zwecke weiterverwendet.

Für Auftragsdaten bestimmen die dokumentierten Weisungen des Kundenunternehmens sowie der AVV die Rückgabe und Löschung. Das Entfernen einer Mitgliedschaft beendet Zugriffsrechte, löscht jedoch nicht automatisch sämtliche von der Person mitbearbeiteten Unternehmens- oder Projektunterlagen. Archivierung und endgültige Löschung sind zu unterscheiden.

Berechtigte Nutzer können Dateien und Projekte über die vorgesehenen Funktionen löschen. Die Projektlöschung umfasst die zugehörigen Dateien, Bewertungen, Projektchats und Nachrichten, Maßnahmen und Konzepte im Anwendungsbestand. Eine Deaktivierung des Kontos oder das Ausblenden eines Unternehmens dient dagegen zunächst der Zugriffsbeschränkung. Für eine vollständige Konto- oder Unternehmenslöschung sowie für die Datenrückgabe wenden Sie sich bitte an hello@grinno.ai. Auftragsdaten werden bei Ende des Auftrags nach Wahl und Weisung des Kunden zurückgegeben oder gelöscht, soweit keine gesetzliche Speicherpflicht entgegensteht.

Nach dem dokumentierten Betriebsstand werden Datenbanksicherungen sieben Tage aufbewahrt; für gelöschte Speicherobjekte besteht eine siebentägige Wiederherstellungsmöglichkeit. Diese Sicherungszeiträume sind von der dienstinternen endgültigen Löschung beim Infrastrukturbetreiber zu unterscheiden. Google sieht hierfür im Cloud-Datenverarbeitungsnachtrag nach einer wirksamen Löschanweisung höchstens 180 Tage vor, vorbehaltlich gesetzlicher Speicherung. Bei Ende des Google-Dienstvertrags kann eine Wiederherstellungsphase von bis zu 30 Tagen vorausgehen.

Firebase Authentication bewahrt nach Anbieterangaben protokollierte IP-Adressen wenige Wochen und sonstige Authentifizierungsinformationen bis zur veranlassten Kontolöschung auf. Anschließend erfolgt die Entfernung aus Live- und Sicherungssystemen innerhalb von 180 Tagen. Für KI-Anfragen und Versanddaten gelten ergänzend die oben beschriebenen anbieterbezogenen Aufbewahrungen. Technische Protokolle werden nach ihrem Betriebs- und Sicherheitszweck aufbewahrt; bei konkreten Vorfällen kann eine erforderliche Beweissicherung länger dauern.

12. Ihre Rechte und Beschwerdemöglichkeiten

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie das Recht auf Auskunft über Ihre personenbezogenen Daten, Berichtigung unrichtiger Daten, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

WIDERSPRUCHSRECHT: Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchst. e oder f DSGVO beruht, können Sie aus Gründen Ihrer besonderen Situation widersprechen. Soweit personenbezogene Daten für Direktwerbung verarbeitet werden, können Sie dieser Verarbeitung jederzeit widersprechen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des vermuteten Verstoßes. Für den in Nordrhein-Westfalen ansässigen App-Anbieter ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen erreichbar unter www.ldi.nrw.de.

Richten Sie Anfragen zu eigenen Konto- oder Vertragsdaten an hello@grinno.ai. Betreffen Anfragen Inhalte, die ein Kundenunternehmen in eigener Verantwortung verarbeitet, ist dieses Unternehmen der zuständige Ansprechpartner; wir unterstützen es im Rahmen unserer gesetzlichen und vertraglichen Pflichten. Eine sichere Identitätsprüfung kann erforderlich sein.

13. Erforderlichkeit und Änderungen

Ohne die erforderlichen Zugangs- und Zuordnungsdaten kann ein persönliches Konto nicht bereitgestellt werden. Ohne die für eine konkrete kostenpflichtige Buchung erforderlichen Vertrags- und Zahlungsangaben kann diese Buchung nicht bearbeitet werden. Freiwillige Fachinhalte sind nur im für die gewünschte Funktion benötigten Umfang anzugeben; deren Weglassen kann das Ergebnis oder die Nutzbarkeit dieser Funktion einschränken.

Wesentliche Änderungen der Datenverarbeitung erfordern angepasste Hinweise. Maßgeblich ist die jeweils ausgewiesene Fassung. Neue Zwecke oder Einwilligungserfordernisse entstehen nicht allein dadurch, dass ein aktualisierter Text veröffentlicht wird.