Datenschutzerklärung

1. Wofür diese Erklärung gilt

Diese Erklärung beschreibt, wie wir als Verantwortliche personenbezogene Daten verarbeiten: beim Besuch unserer Website, bei Registrierung und Nutzung des Kundenkontos, bei Zahlungen, im Support, im Partnerprogramm und im Newsletter.

Setzen unsere Kunden WebChatAgent ein, etwa als Chat-Widget auf ihrer Website, als Telefonassistent, in ihrem E-Mail-Postfach oder in WhatsApp, Messenger und Instagram, verarbeiten wir die Daten ihrer Besucher, Anrufer und Korrespondenzpartner nur in deren Auftrag (Art. 28 DSGVO). Verantwortlich ist dann der jeweilige Kunde, maßgeblich ist seine Datenschutzerklärung. In Abschnitt 6 beschreiben wir trotzdem, wie diese Verarbeitung technisch abläuft und welche Dienstleister beteiligt sind.

Einen Datenschutzbeauftragten haben wir nicht bestellt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen. Fragen zum Datenschutz beantworten wir unter hello@webchatagent.com.

2. Ihre Rechte

Sie haben uns gegenüber folgende Rechte:

• Auskunft über Ihre Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO); für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) in Düsseldorf

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Verarbeitung für Direktwerbung können Sie jederzeit ohne Begründung widersprechen.

Eine E-Mail an hello@webchatagent.com genügt. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Kunden verarbeiten, leiten wir sie an diesen Kunden weiter.

Automatisierte Entscheidungen nach Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen, treffen wir nicht.

3. Website

Hosting, Datensicherung und Cloudflare

Unsere Server und Datenbanken betreibt die netcup GmbH in Rechenzentren in Deutschland. Datensicherungen der Datenbanken und Dateien legen wir verschlüsselt bei Google Cloud in Frankfurt (Region europe-west3) ab und löschen sie nach 3 Tagen.

Vor unseren Servern steht Cloudflare (Cloudflare, Inc., USA). Aufrufe über webchatagent.com, also Website, Dashboard und Chat-Widget, laufen über Cloudflare, das sie vor Angriffen schützt und schneller ausliefert. White-Label-Instanzen unter der eigenen Domain eines Kunden erreichen unsere Server direkt, ohne Cloudflare. Dabei verarbeitet Cloudflare Ihre IP-Adresse und technische Verbindungsdaten. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten Standardvertragsklauseln. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und schnellen Website (Art. 6 Abs. 1 lit. f DSGVO).

Cloudflare-Datenschutzerklärung

Server-Logdateien

Beim Aufruf unserer Seiten verarbeitet der Server technische Zugriffsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer sowie Browser- und Geräteinformationen. Wir nutzen sie, um den Betrieb abzusichern und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Inhalte aus Chats, E-Mails oder Telefonaten schreiben wir im Normalbetrieb nicht in die Logs; nur bei Verarbeitungsfehlern können kurze Auszüge zur Fehlersuche enthalten sein. Die Logdateien sind in der Größe begrenzt und werden fortlaufend überschrieben.

Cookies und lokale Speicherung

Manche Funktionen speichern Informationen auf Ihrem Gerät oder lesen sie aus. Technisch notwendige Speicherungen setzen wir ohne Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG), alle anderen nur, wenn Sie im Cookie-Banner zustimmen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Kategorien sind Analyse, Komfortfunktionen und Marketing. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ im Fußbereich der Seite oder in den Kontoeinstellungen des Dashboards ändern oder widerrufen.

Notwendig:

• nuxt-session: Anmeldung im Kundenkonto, bis zum Ende der Sitzung
• pending_wl_plan: gewählter Partner-Tarif während der Registrierung, bis zum Ende der Sitzung
• tickets.viewMode und tickets.hideDone: Ansicht der Ticketliste, bis zum Ende der Sitzung
• cc_cookie: Ihre Auswahl im Cookie-Banner, 6 Monate
• locale_explicit und preferred_locale: gewählte Sprache, bis zu 1 Jahr
• wca_currency: Währung der Preisanzeige, 6 Monate
• nuxt-color-mode: helle oder dunkle Darstellung, 1 Jahr

Nur mit Einwilligung in Analyse: Cookies von Google Analytics (_ga, _ga_…, bis zu 2 Jahre) und wca_first_touch (erste Kampagnen- oder Verweisquelle, 90 Tage).

Nur mit Einwilligung in Komfortfunktionen: Unser Support-Chatbot merkt sich Besuche, ausgelöste Hinweise und Ihre Bewertungen im lokalen Speicher (wca_triggers_…, chatThumbRatings_…) und darf Sie mit einer KI-generierten Begrüßung ansprechen; auf der Anmelde- und Registrierungsseite lädt Google One Tap (Cookie g_state, siehe „Anmeldung mit Google“).

Nur mit Einwilligung in Marketing: Cookies von Google Ads (_gcl_…, 90 Tage), Meta Pixel (_fbp, _fbc, 90 Tage) und affiliate_partner (Code eines Partners, 60 Tage).

Im lokalen Speicher des Dashboards merken wir uns außerdem Anzeigeeinstellungen wie Seitenleiste, zuletzt geöffneten Reiter und gelesene Neuigkeiten, welche Einrichtungsschritte erledigt sind (wca_product_event:…) und bei Branchen-Seiten die gewählte Branche (wca_industry_funnel_v1, wca_industry_onboarding_v1); Kampagnenparameter speichern wir dort nur mit Einwilligung in Analyse. Beim Verbinden von WhatsApp lädt das Dashboard das Facebook-SDK von Meta.

Google Tag Manager und Google Analytics 4

Erst wenn Sie in Analyse oder Marketing einwilligen, laden wir den Google Tag Manager der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Der Tag Manager lädt die Messwerkzeuge, denen Sie zugestimmt haben.

Mit Einwilligung in Analyse erfasst Google Analytics 4, wie Sie die Website nutzen: aufgerufene Seiten, Verweildauer, ungefährer Standort, Gerät und Browser, verknüpft mit einer pseudonymen Kennung. Schließen Sie einen White-Label-Kauf ab, melden wir ihn (Betrag, Währung, Produkt) zusätzlich serverseitig mit dieser Kennung an Google Analytics; Name oder E-Mail-Adresse übermitteln wir nicht. Google kann Daten in den USA verarbeiten; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Google Analytics löscht Ereignisdaten und nutzerbezogene Daten nach 2 Monaten; bei einem erneuten Besuch beginnt die Frist für nutzerbezogene Daten neu.

Google-Datenschutzerklärung

Google Ads und Meta Pixel

Mit Einwilligung in Marketing messen wir mit Google Ads (Google Ireland Limited) und dem Meta Pixel (Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland), ob unsere Anzeigen zu Besuchen und Registrierungen führen. Dabei erhalten Google und Meta Ihre IP-Adresse, Geräteinformationen, die aufgerufenen Seiten und Kennungen aus Cookies. Beide können diese Daten mit einem Konto verknüpfen, das Sie bei ihnen haben, und für eigene Zwecke nutzen.

Für die Erhebung und Übermittlung der Daten per Meta Pixel sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Laut der Vereinbarung informieren wir über diese Verarbeitung, Meta ist für die weitere Verarbeitung allein verantwortlich; Ihre Rechte können Sie bei uns und bei Meta geltend machen. Daten können in die USA übermittelt werden; Google LLC und Meta Platforms, Inc. sind nach dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Vereinbarung über gemeinsame Verantwortung mit Meta · Meta-Datenschutzrichtlinie

Anmeldung mit Google

Sie können sich mit Ihrem Google-Konto registrieren und anmelden. Haben Sie in Komfortfunktionen eingewilligt, blendet Google auf der Anmelde- und der Registrierungsseite zusätzlich ein Anmeldefenster ein (One Tap); Ihr Browser lädt dazu ein Skript von Google, wodurch Google Ihre IP-Adresse und die besuchte Seite erfährt. Das Skript setzt das Cookie g_state, mit dem Google sich merkt, ob Sie das Fenster geschlossen haben. Rechtsgrundlage dafür ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Melden Sie sich an, erhalten wir Name, E-Mail-Adresse, Google-Kennung und gegebenenfalls Ihr Profilbild. Rechtsgrundlage ist der Vertrag oder seine Anbahnung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer einfachen Anmeldung (Art. 6 Abs. 1 lit. f DSGVO). Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Die Verknüpfung können Sie jederzeit in Ihrem Google-Konto entfernen.

Unser Support-Chatbot

Auf unserer Website setzen wir den eigenen WebChatAgent-Chatbot ein, damit Sie Fragen zu Bedienung und Funktionen stellen können. Ihre Nachrichten verarbeiten wir wie in Abschnitt 6 beschrieben, hier aber als Verantwortliche auf Grundlage unseres berechtigten Interesses an schnellem Support (Art. 6 Abs. 1 lit. f DSGVO).

Kontakt per E-Mail

Schreiben Sie uns eine E-Mail, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen, Betreff und Inhalt sowie unsere Antwort. Antwortentwürfe erstellt unser eigener KI-E-Mail-Assistent über die in Abschnitt 6 genannten KI-Anbieter; jede Antwort prüft und versendet ein Mensch. Rechtsgrundlage ist die Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an effizientem Support (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern die Korrespondenz, bis Ihre Anfrage erledigt ist und gesetzliche Aufbewahrungsfristen abgelaufen sind.

Partner-Anfrage (White-Label)

Über das Formular auf unserer White-Label-Seite verarbeiten wir Ihren Namen, Ihre Firma, Ihre E-Mail-Adresse, die geschätzte Zahl Ihrer Endkunden, Ihre Nachricht sowie die Herkunft der Anfrage (aufgerufene Seite, Sprache, gegebenenfalls Kampagnenparameter). Ihre IP-Adresse nutzen wir kurzzeitig, um Missbrauch zu begrenzen. Zweck ist die Beantwortung und die Vorbereitung eines möglichen Vertrags (Art. 6 Abs. 1 lit. b und f DSGVO). Die Anfrage geht per E-Mail an unser Team; für Werbung nutzen wir sie nicht. Kommt kein Vertrag zustande, löschen wir sie spätestens sechs Monate nach Abschluss der Kommunikation, sonst bewahren wir sie als Geschäftskorrespondenz auf (§ 257 HGB, bis zu sechs Jahre).

Newsletter

Für den Newsletter brauchen wir Ihre E-Mail-Adresse und Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Als Nachweis des Double-Opt-in speichern wir Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung. Nie bestätigte Anmeldungen ohne Kundenkonto löschen wir nach 30 Tagen; bei Anmeldung über ein Kundenkonto endet die Speicherung mit dessen Löschung. Nachweise über Abmeldungen löschen wir nach drei Jahren. Abmelden können Sie sich über den Link in jeder Ausgabe.

Mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) speichern wir für jede Empfängeradresse, ob und wann ein Newsletter geöffnet und welche Links angeklickt wurden, um die Inhalte zu verbessern. Versendet wird über Amazon Simple Email Service der Amazon Web Services EMEA SARL (38 avenue John F. Kennedy, 1855 Luxemburg) in der Region Frankfurt; Amazon handelt als unser Auftragsverarbeiter. Die Öffnungs- und Klickwerte löschen wir mit dem Abmeldenachweis oder mit Ihrem Kundenkonto.

Partnerprogramm (Affiliate)

Nehmen Sie am Partnerprogramm teil, verarbeiten wir Ihre Kontodaten, Ihren Partnercode, die über Ihren Link vermittelten Registrierungen und Umsätze sowie Ihre Auszahlungsdaten, um Provisionen zu berechnen und auszuzahlen (Art. 6 Abs. 1 lit. b DSGVO).

Kommen Sie über einen Partnerlink zu uns, merken wir uns den Partnercode für diesen Besuch, ohne etwas auf Ihrem Gerät zu speichern. Nur mit Ihrer Einwilligung in Marketing speichern wir ihn 60 Tage in einem Cookie. Registrieren Sie sich, ordnen wir Ihr Konto dem Partner zu.

Die Zuordnung beruht auf unserem berechtigten Interesse, Provisionen korrekt zu berechnen (Art. 6 Abs. 1 lit. f DSGVO). Der Partner sieht in seinem Konto nur das Datum Ihrer Registrierung, Ihren Plan und eine gekürzte Kennung, nicht Ihren Namen oder Ihre E-Mail-Adresse. Die Zuordnung speichern wir, solange Ihr Konto besteht.

Social-Media-Profile und Videos

Im Fußbereich verlinken wir unsere Profile bei Facebook, Instagram und YouTube. Erst wenn Sie einen Link anklicken, wechseln Sie zum jeweiligen Anbieter; dort gelten dessen Datenschutzbestimmungen.

Für unsere Facebook-Seite sind wir gemeinsam mit Meta Platforms Ireland Ltd. verantwortlich, soweit Meta Statistiken zur Seite erstellt (Seiten-Insights, Art. 26 DSGVO). Meta übernimmt nach der Vereinbarung die Hauptverantwortung, auch für Ihre Rechte; diese können Sie direkt gegenüber Meta geltend machen. Rechtsgrundlage für unseren Auftritt ist unser berechtigtes Interesse an der Kommunikation mit Interessenten und Kunden (Art. 6 Abs. 1 lit. f DSGVO).

Tutorial-Videos binden wir über youtube-nocookie.com von Google Ireland Ltd. ein. Das Video lädt erst, wenn Sie es anklicken; dann erhält Google Ihre IP-Adresse und kann Daten auf Ihrem Gerät speichern. Rechtsgrundlage ist Ihre Einwilligung durch den Klick (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Google und Meta können Daten in die USA übermitteln; Google LLC und Meta Platforms, Inc. sind nach dem EU-US Data Privacy Framework zertifiziert.

Vereinbarung zu Seiten-Insights · Google-Datenschutzerklärung

4. Kundenkonto, Vertrag und Zahlung

Registrierung und Kundenkonto

Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse, Passwort (nur als Hashwert), Sprache, IP-Adresse und Zeitpunkt sowie Zeitpunkt und Fassung der akzeptierten AGB und des Auftragsverarbeitungsvertrags. Im Betrieb speichern wir Zeitpunkt, IP-Adresse und ungefähres Land Ihres letzten Zugriffs, um Missbrauch zu erkennen. Haben Sie in Analyse eingewilligt, ordnen wir die erste Kampagnen- oder Verweisquelle Ihrem Konto zu.

Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO), für Missbrauchserkennung und Kampagnenauswertung unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Daten speichern wir bis zur Löschung des Kontos, danach nur, was wir aus steuer- und handelsrechtlichen Gründen bis zu zehn Jahre aufbewahren müssen. Ihr Konto können Sie im Kundenkonto selbst löschen.

Per E-Mail informieren wir Sie über wichtige Änderungen am Dienst und schicken Service-Nachrichten zu Ihrem Konto, etwa zu Ihrem Kontingent (Art. 6 Abs. 1 lit. b DSGVO). Außerdem schicken wir einzelne Tipps zur Einrichtung und rund um das Ende der Testphase, etwa zum nächsten Schritt oder zum passenden Tarif (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG). Diese Tipps können Sie jederzeit über den Link in jeder dieser E-Mails oder in den Kontoeinstellungen abbestellen.

Name, E-Mail-Adresse und Passwort brauchen wir, um ein Konto anzulegen; ohne sie ist keine Registrierung möglich. Für kostenpflichtige Pläne sind zusätzlich Rechnungsangaben nötig.

System-E-Mails

Bestätigungen, Passwort-Links und Benachrichtigungen, etwa über neue Leads, Anrufe oder E-Mails, die geprüft werden müssen, versenden wir über Fastmail (Fastmail Pty Ltd, Australien) mit Servern in den USA. Benachrichtigungen enthalten die Angaben, die Sie für die Bearbeitung brauchen, zum Beispiel Name und Rufnummer eines Anrufers. Die Übermittlung ist durch Standardvertragsklauseln abgesichert. Ein Versandprotokoll mit Empfänger, Betreff und Zeitpunkt löschen wir nach 90 Tagen. Rundmails an alle Kunden versenden wir wie den Newsletter über Amazon SES, ohne Öffnungs- und Klickmessung.

Zahlungen über Stripe

Kostenpflichtige Pläne wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Irland; für einzelne Verarbeitungen Stripe, Inc., USA). Verarbeitet werden Name, E-Mail-Adresse, Rechnungsanschrift, Firma und USt-ID, Zahlungsmittel in tokenisierter Form (z. B. Kartenmarke, letzte vier Ziffern), Transaktionsdaten, Geräte- und Risikodaten zur Betrugsprävention sowie Ihre Kennung bei uns und, falls Sie in Analyse eingewilligt haben, die erste Kampagnen- oder Verweisquelle. Vollständige Kartennummern speichern wir nicht.

Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO), für Betrugsprävention unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) und für Buchhaltung die gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO). Stripe kann Daten in die USA übermitteln; Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert. Rechnungsdaten bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre auf.

Stripe-Datenschutzerklärung

Buchhaltung

Für Rechnungen und Buchhaltung übernehmen wir Name, E-Mail-Adresse, Rechnungsanschrift, USt-ID und Rechnungsbeträge aus Stripe in Lexware Office (Haufe Group, Freiburg; Verarbeitung in Deutschland). Rechtsgrundlage ist die gesetzliche Aufbewahrungspflicht (Art. 6 Abs. 1 lit. c DSGVO); die Aufbewahrung dauert bis zu zehn Jahre.

Verbundene Konten und Integrationen

Verbinden Sie ein Konto, etwa Google Kalender, Google Drive, Microsoft (SharePoint, OneDrive oder ein Postfach), Notion, Confluence, Nextcloud, einen SFTP-Server oder ein eigenes E-Mail-Postfach, speichern wir Zugangsdaten und Token verschlüsselt und greifen nur auf den Kalender, das Verzeichnis oder das Postfach zu, das Sie auswählen. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Die Inhalte verarbeiten wir als Auftragsverarbeiter (Abschnitt 6). Trennen Sie die Verbindung, endet der Zugriff.

Beim Google Kalender lesen wir Frei- und Belegtzeiten und erstellen oder stornieren Termine in dem von Ihnen gewählten Kalender. Die Nutzung von Daten aus Google-APIs richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Wir verwenden diese Daten nicht zum Training von KI-Modellen.

Google API Services User Data Policy

5. Datensicherheit

Wir übertragen Daten nur verschlüsselt (TLS), speichern Passwörter als Hashwert und Zugangsdaten verschlüsselt, spielen Sicherheitsupdates zeitnah ein und begrenzen den Zugriff auf das Nötige. Details stehen in den technischen und organisatorischen Maßnahmen unseres Auftragsverarbeitungsvertrags.

6. Verarbeitung im Auftrag unserer Kunden

Die folgenden Angaben beschreiben die technische Verarbeitung, wenn ein Kunde WebChatAgent einsetzt. Verantwortlich ist der Kunde (siehe Abschnitt 1); die Rechtsgrundlage gegenüber Besuchern, Anrufern und Korrespondenzpartnern bestimmt er.

KI-Verarbeitung

Damit der Assistent antworten kann, übermitteln wir die Anfrage, passende Ausschnitte aus der Wissensbasis, den bisherigen Gesprächsverlauf und die Anweisungen des Kunden an ein Sprachmodell. Enthält eine Anfrage Namen, Kontaktdaten oder Kundennummern oder übergibt die Website des Kunden solche Angaben, gehen sie mit an das Modell. Welches Modell antwortet, legt der Kunde fest:

• Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd.): Standardmodell für Telefonate, außerdem Übersetzungen, Gesprächszusammenfassungen, Hilfsfunktionen des E-Mail-Kanals (z. B. Themen erkennen) und KI-Textvorschläge im Dashboard. Verarbeitung in der EU-Datenzone; zur Missbrauchserkennung kann Microsoft Eingaben bis zu 30 Tage in Deutschland speichern.
• Google Vertex AI (Google Cloud, EU): Gemini-Modelle, Hilfsfunktionen der Wissenssuche (z. B. Suchanfragen umformulieren) und die Embeddings für die Wissenssuche in der EU-Multi-Region; Claude-Modelle von Anthropic laufen in der Region europe-west1 (Belgien) bzw. Claude Haiku 5.5 in der EU-Multi-Region; Claude Haiku 5.5 ist derzeit das Standardmodell „Auto (EU)“ für neue Chatbots und plant im Telefonkanal die Wissenssuche.
• Google Gemini API (global): einzelne Modelle ohne EU-Verfügbarkeit, Gemini Live im Telefonkanal, eigene API-Schlüssel eines Kunden und die Embeddings älterer Chatbots, deren Wissensbasis noch nicht neu indexiert wurde (ältere Chatbots können dafür auch OpenAI nutzen). Daten können in die USA gehen; Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.
• OpenAI (USA), xAI (USA) und Mistral AI (Frankreich): nur, wenn der Kunde ein Modell dieser Anbieter wählt. Für die USA gelten Standardvertragsklauseln.

Wir nutzen die kostenpflichtigen Geschäftskunden-Schnittstellen der Anbieter; nach deren Bedingungen werden die Daten nicht zum Training der Modelle verwendet. Bei eigenen API-Schlüsseln eines Kunden gelten dessen Verträge. Im Wissens-Optimierer kann der Kunde Testfragen samt passender Wissensausschnitte an mehrere Modelle gleichzeitig senden, auch an Anbieter in den USA.

Microsoft · Google · Anthropic · OpenAI · xAI · Mistral AI

Chat-Widget, Inline-Chat und Team-Wiki

Verarbeitet werden Nachrichten und Antworten, Zeitpunkt, Sprache, IP-Adresse, ungefähres Land, die aufrufende Seite und eine zufällige Sitzungskennung. Kontaktdaten, Kundennummern oder Dateien kommen hinzu, wenn der Besucher sie angibt oder die Website des Kunden sie übergibt.

Das Widget setzt keine Cookies. Im lokalen Speicher des Browsers legt es die Sitzungskennung, den Zustand des Fensters und eine Liste der letzten bis zu 20 Gespräche ab, damit der Besucher sie fortsetzen kann. Das ist für den gewünschten Chat erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Optionale Angaben wie Trigger-Verlauf und Bewertungen speichert es nur mit Einwilligung. Beendet der Besucher ein Gespräch über das Schließen-Symbol, entfernt das Widget es aus dem lokalen Speicher.

Hochgeladene Dateien löschen wir nach 7 Tagen; in der Konversation bleiben Dateiname, Typ und Größe. Konversationen speichern wir, bis der Kunde sie löscht oder seine automatische Löschfrist greift (bei neuen Konten 30 Tage, einstellbar). Beim Löschen entfernen wir Inhalt, IP-Adresse und Dateien; ein inhaltsleerer Zähleintrag bleibt für die Abrechnung des Nachrichtenkontingents.

Wählt der Kunde eine Google-Schrift für das Widget, lädt der Browser des Besuchers sie von Servern der Google Ireland Limited. Für diese Einbindung ist der Kunde verantwortlich.

Telefonassistent

Hat ein Kunde den Telefonkanal aktiviert, nimmt ein KI-Assistent Anrufe unter seiner Rufnummer an. Zu Beginn jedes Anrufs erfährt der Anrufer, dass er mit einem KI-Assistenten spricht. Verarbeitet werden:

• die Rufnummer des Anrufers, soweit sie übermittelt wird
• das Gesprochene, in Echtzeit zur Erzeugung der Antworten
• ein Text-Transkript, nur wenn der Anrufer der Speicherung zustimmt
• eine automatisch erstellte Zusammenfassung und das Gesprächsergebnis
• Anrufzeitpunkt, Dauer und Sprache

Tonaufnahmen speichern wir nicht. Beteiligt sind Twilio (Twilio Ireland Ltd. und Twilio Inc.; europäische Rufnummern laufen über die Region Irland; bei Störungen übernimmt Twilio Spracherkennung und Sprachausgabe), Deepgram (Spracherkennung, EU-Region), Microsoft Azure OpenAI (Standard-Sprachmodell und Zusammenfassung, EU), ElevenLabs (Standard-Sprachausgabe, USA) und Google Vertex AI (Aufbereitung der Wissenssuche, EU). Je nach Einstellung kommen Google Gemini Live, OpenAI Realtime, xAI Grok (Sprachagent in den USA, Spracherkennung und -ausgabe in der EU-Region) oder Cartesia (Sprachausgabe, USA) hinzu. Für Übermittlungen in die USA gelten Standardvertragsklauseln und, soweit der Anbieter zertifiziert ist, das EU-US Data Privacy Framework.

Widerruft der Anrufer seine Zustimmung, löschen wir das Transkript. Rufnummer, Zusammenfassung und Anrufdaten speichern wir, bis der Kunde sie löscht oder seine Löschfrist greift. Benachrichtigungen über Anrufe mit Rufnummer, Name und Zusammenfassung schickt das System per E-Mail an den Kunden.

Twilio · Deepgram · ElevenLabs · Cartesia

Registrierung von Rufnummern

In manchen Ländern verlangt die Regulierungsbehörde, dass der Inhaber einer Rufnummer vor der Aktivierung registriert wird. Dafür übermitteln wir Name und Anschrift des Inhabers, Firmen- und Registerangaben sowie hochgeladene Nachweise (z. B. Handelsregisterauszug, Ausweis, Adressnachweis) an Twilio, das sie nach den behördlichen Vorgaben prüft, auch in den USA (Standardvertragsklauseln, EU-US Data Privacy Framework). Die Nachweisdokumente speichern wir nicht dauerhaft. Adressvorschläge im Formular holen wir über den Dienst Photon der komoot GmbH (Deutschland); dabei geht die eingegebene Adresse an komoot. Rechtsgrundlage ist der Vertrag mit dem Kunden (Art. 6 Abs. 1 lit. b DSGVO) und die rechtliche Pflicht des Telekommunikationsanbieters (Art. 6 Abs. 1 lit. c DSGVO). Für Adressvorschläge bei der Eingabe senden wir nur den eingetippten Adresstext über unseren Server an den Dienst Photon der komoot GmbH (Potsdam, Deutschland); Ihre IP-Adresse oder weitere Angaben erhält komoot nicht (Art. 6 Abs. 1 lit. f DSGVO).

WhatsApp, Messenger, Instagram und Kommentare

Verbindet ein Kunde WhatsApp Business, Facebook Messenger oder Instagram, verarbeiten wir über die Schnittstellen der Meta Platforms Ireland Ltd. Nachrichten, Medien, Zeitstempel, Rufnummern oder Profilkennungen, Profilnamen und Zustellstatus. Auf Wunsch des Kunden beantwortet der Assistent außerdem öffentliche Kommentare unter Facebook-Beiträgen und Instagram-Medien; dabei verarbeiten wir Kommentartext, Name und Kennung der kommentierenden Person.

Sprachnachrichten gehen direkt an das KI-Modell oder werden vorher über Deepgram in der EU in Text umgewandelt. Medien löschen wir nach 7 Tagen. Meta kann Daten in den USA verarbeiten (Standardvertragsklauseln, EU-US Data Privacy Framework). Bei WhatsApp endet die Ende-zu-Ende-Verschlüsselung an den Servern von Meta, die die Nachrichten an unsere Schnittstelle weiterleiten.

WhatsApp-Datenschutzrichtlinie · Meta-Datenschutzrichtlinie

E-Mail-Kanal und E-Mail-Arbeitsbereich

Bindet ein Kunde ein Postfach an (per IMAP/SMTP oder Anmeldung über Microsoft), ruft das System fortlaufend eingehende E-Mails ab, auch E-Mails Dritter, und beantwortet sie automatisch oder legt Entwürfe zur Prüfung an. Verarbeitet werden Absender und Empfänger, Betreff, Inhalt, Kopfdaten und die erstellten Antworten. Beim ersten Kontakt eines Absenders übernimmt das System einmalig frühere Korrespondenz mit dieser Adresse als Kontext in den Gesprächsverlauf. Aus bis zu zwei Dokumentanhängen je E-Mail liest es den Text und gibt ihn an das Sprachmodell; der Text wird zusammen mit der E-Mail im Gesprächsverlauf gespeichert und mit ihm gelöscht.

Im E-Mail-Arbeitsbereich speichern wir Kopien der E-Mails (ohne Anhanginhalte) aus dem Zeitraum, den der Kunde je Postfach festlegt (Standard: die letzten zwölf Monate), bauen daraus einen privaten Suchindex und werten Verläufe aus, etwa Zusammenfassungen, offene Fragen und Zusagen. Um im gewohnten Ton zu antworten, erhält das Modell bis zu drei frühere E-Mails des Postfachs an dieselbe Person. Sind Telefon oder WhatsApp aktiv, erfährt das Modell, ob dieselbe Person dort kürzlich Kontakt hatte; Gesprächsinhalte nur, wenn der Anrufer der Speicherung zugestimmt hat.

Automatisch versendete E-Mails enthalten einen sichtbaren Hinweis auf die KI-Erstellung und die Kopfzeile X-AI-Generated. Adressen, die keine automatischen Antworten mehr erhalten sollen, führen wir in einer Sperrliste. Zugangsdaten und Token speichern wir verschlüsselt; beim Trennen des Postfachs löschen wir die Kopien. Kopien folgen der Löschfrist des Kunden; E-Mails, die eine aktive private Suche als Quelle nutzt, bleiben gespeichert, solange diese Suche besteht. Beantwortete E-Mails bleiben als Konversation erhalten, bis der Kunde sie löscht oder seine Löschfrist greift. Den Korrespondenzpartnern gegenüber verantwortlich ist der Kunde.

Wissensbasis, Schnittstellen und Benachrichtigungen

Websites liest unser eigener Crawler, Dateien werten wir auf unseren Servern aus. Die Texte zerlegen wir in Abschnitte und berechnen deren Embeddings über Google Vertex AI in der EU; ältere, noch nicht neu indexierte Chatbots nutzen dafür noch die Gemini API oder OpenAI.

Richtet ein Kunde REST-API-Connectoren oder MCP-Server (Model Context Protocol) ein, übermittelt der Assistent die vom Kunden festgelegten Daten an diese Systeme. Für deren Auswahl und Rechtmäßigkeit ist der Kunde verantwortlich.

Aktiviert ein Nutzer Browser-Benachrichtigungen, etwa für Livechat-Anfragen, laufen die verschlüsselten Benachrichtigungen über den Push-Dienst seines Browsers (z. B. Google, Apple oder Mozilla).

7. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unser Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.