Datenschutzhinweise zur Anbindung externer Kalender

Diese Hinweise ergänzen unsere Datenschutzerklärung für die Anbindung externer Kalender an Neurobots (Anwendung „Neurobots Calendar“). Wie die Funktion arbeitet, steht auf der Seite Kalender-Synchronisierung für Ressourcen. Verantwortlicher: Neurobots, Inh. Roman Bohatyrov, Nürnberger Str. 81, 90762 Fürth, Deutschland, E-Mail: info@neurobots.tech.

Anbindung externer Kalender (Google Calendar, Microsoft Outlook, Apple iCloud und CalDAV, .ics-Links)

Kunden von Neurobots können für einzelne Ressourcen (zum Beispiel Mitarbeiter, Räume oder Geräte) einen externen Kalender anbinden. Die Anbindung nimmt ein Administrator des Kunden oder der Mitarbeiter, dem die Ressource zugeordnet ist, selbst vor. Zweck ist ausschließlich, Terminbuchungen mit dem Kalender abzugleichen: Belegte Zeiten im externen Kalender sperren Buchungszeiten in Neurobots, und Termine, die über Neurobots gebucht werden, werden als Ereignis in einen gewählten Kalender eingetragen.

Welche Daten wir abrufen

• Bei Google und Microsoft: die E-Mail-Adresse des verbundenen Kontos, die Liste seiner Kalender (Kennung, Name, Hauptkalender ja/nein, Schreibrecht, Zeitzone) und die Ereignisse der vom Nutzer ausgewählten Kalender.
• Bei Apple iCloud und anderen CalDAV-Servern: Serveradresse, Benutzername und das vom Nutzer erzeugte App-spezifische Passwort; die Kalenderliste und die Ereignisse der ausgewählten Kalender.
• Bei .ics-Links: der Link selbst und die darin veröffentlichten Ereignisse.

Von fremden Ereignissen, also Ereignissen, die nicht von Neurobots angelegt wurden, verwenden und speichern wir nur Zeitangaben: Beginn, Ende, ganztägig ja/nein, ob das Ereignis als „beschäftigt“ oder „frei“ markiert ist, ob es abgesagt oder vom Kontoinhaber abgelehnt wurde, sowie die technische Kennung des Ereignisses. Titel, Beschreibung, Ort, Teilnehmer, Anhänge und sonstige Inhalte fremder Ereignisse rufen wir bei Google Calendar gar nicht ab: Wir fordern von Google nur die genannten Zeitangaben an. Bei Microsoft Outlook, Apple iCloud, anderen CalDAV-Servern und .ics-Links lässt sich der Abruf technisch nicht auf Zeitangaben beschränken; dort werden diese Inhalte mit übertragen, aber von uns sofort verworfen. In keinem Fall speichern wir sie, schreiben sie in Protokolle, zeigen sie an oder geben sie weiter.

Was wir in Ihren Kalender schreiben

Für jede Buchung legt Neurobots im gewählten Kalender ein Ereignis an und hält es aktuell. Es enthält den Namen der Leistung, den Vornamen und den Anfangsbuchstaben des Nachnamens des Kunden, eine Kurzbeschreibung und Dauer der Leistung, die Notiz zur Buchung (Telefonnummern und E-Mail-Adressen werden daraus entfernt), einen Link in den Verwaltungsbereich (nur nach Anmeldung nutzbar) und einen Hinweis, dass Änderungen mit dem Administrator abzustimmen sind. Das Ereignis ist als privat markiert und hat keine Teilnehmer; es werden keine Einladungen verschickt. Wird ein solches Ereignis im externen Kalender verschoben oder gelöscht, ändert Neurobots die Buchung nicht selbst, sondern legt eine Änderungsanfrage an, über die ein Berechtigter des Kunden entscheidet.

Wie wir die Daten verwenden

• Um freie Buchungszeiten zu berechnen, Doppelbuchungen zu verhindern und belegte Zeiten im Kalender des Verwaltungsbereichs als „belegt“ (ohne Inhalt, nur mit dem Namen des Kalenderdienstes) anzuzeigen.
• Um Buchungen als Ereignisse einzutragen, zu ändern und zu löschen.
• Bei Buchungen über Google und Microsoft fragen wir zusätzlich im Moment der Buchung die aktuelle Belegung ab; dieses Ergebnis wird nur für diese Prüfung verwendet und nicht gespeichert.
• Der KI-Mitarbeiter erhält nur freie Zeitfenster und, wenn ein gewünschter Termin belegt ist, Beginn und Ende des belegten Zeitraums mit dem Hinweis „extern belegt“. Inhalte von Kalenderereignissen erhält er nicht.

Wir verwenden Kalenderdaten nicht für Werbung, verkaufen sie nicht, erstellen daraus keine Profile und verwenden sie nicht zum Training von KI-Modellen, weder eigener noch fremder. Mitarbeiter von Neurobots sehen Kalenderdaten nur, wenn der Kunde dem für einen Supportfall ausdrücklich zustimmt, wenn es zur Sicherheit (etwa zur Aufklärung von Missbrauch) erforderlich ist oder wenn das Gesetz es verlangt.

Speicherung und Sicherheit

Die Daten werden auf Servern der Hetzner Online GmbH in Deutschland verarbeitet, in der Instanz des jeweiligen Kunden getrennt von anderen Kunden. Zugangsdaten (OAuth-Zugriffs- und Aktualisierungstoken, CalDAV-Passwörter, .ics-Links) werden mit AES-256-GCM verschlüsselt gespeichert und nie protokolliert. Die Übertragung erfolgt ausschließlich verschlüsselt (HTTPS).

Speicherdauer und Löschung

• Belegte Zeiten speichern wir nur für den Zeitraum von einem Tag in der Vergangenheit bis 180 Tage in der Zukunft. Ältere Einträge werden bei jedem Abgleich (spätestens alle fünf Minuten, solange die Verbindung besteht) gelöscht.
• Wird die Verbindung getrennt, löschen wir sofort die Zugangsdaten, die Kalenderliste, alle gespeicherten belegten Zeiten und die Zuordnung unserer Ereignisse. Bei Google widerrufen wir dabei zusätzlich die erteilte Berechtigung. Bei Microsoft gibt es keinen Widerruf eines einzelnen Tokens; die Berechtigung kann unter myaccount.microsoft.com („Apps“) entzogen werden. Beim Trennen kann der Nutzer wählen, ob die von Neurobots angelegten Ereignisse im externen Kalender ebenfalls gelöscht werden; sonst bleiben sie dort stehen.
• Die Berechtigung kann jederzeit auch direkt beim Anbieter entzogen werden: Google unter myaccount.google.com/permissions, Microsoft wie oben, Apple durch Widerruf des App-spezifischen Passworts unter account.apple.com. Neurobots stellt den Abgleich dann ein und benachrichtigt den Kunden.
• Verschlüsselte Datensicherungen werden nach höchstens 7 Tagen überschrieben.
• Kündigt der Kunde, werden die Daten mit der Instanz gelöscht.

Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrags mit dem Kunden, der die Anbindung einrichtet). Für Ressourcen, die Mitarbeiter des Kunden sind, verarbeiten wir die Daten als Auftragsverarbeiter des Kunden nach Art. 28 DSGVO.

Google API Services User Data Policy

Die Nutzung und Weitergabe von Informationen, die Neurobots von Google APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Neurobots Calendar's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.