Datenschutzerklärung

Als Einzelunternehmer bin ich für die Einhaltung der Datenschutzvorgaben verantwortlich.

2. Besuch der Webseite (Server-Logfiles)

Beim Aufruf unserer Webseite werden automatisch Daten verarbeitet, die für den technischen Betrieb und die Sicherheit der Systeme erforderlich sind:

• IP-Adresse

• Datum und Uhrzeit der Anfrage

• Browsertyp und Version

• Verwendetes Betriebssystem

• Referrer-URL (die zuvor besuchte Seite)

• Aufgerufene Seiten und Dateien

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der technischen Sicherheit, Stabilitätswahrung und Funktionsfähigkeit der Webseite).

Speicherdauer: Die Daten werden nach spätestens 7 Tagen automatisiert gelöscht.

3. Verarbeitung in unseren Anwendungen (Apps)

Wir betreiben technisch getrennte Anwendungen zur Bereitstellung unserer KI-Dienste. Beide Systeme folgen einem strikten Zero-Retention-Ansatz: Ihre Prompt-Eingaben und die generierten Outputs werden ausschließlich flüchtig im Arbeitsspeicher verarbeitet und nach Beendigung der Anfrage sofort gelöscht. Es findet keine dauerhafte Speicherung und ausdrücklich kein Training von KI-Basis-Modellen mit Ihren Daten statt.

3.1 Lokale Verarbeitung (Client-Side, Stateless)

Ein Teil der Funktionen wird vollständig lokal in Ihrem Browser ausgeführt:

• Texteingaben zur lokalen Bearbeitung

• Design- und Layout-Funktionen

• Ebenenverwaltung

• Temporäre Speicherung im localStorage Ihres Endgeräts

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen). Es findet in dieser Stufe keine Übertragung von personenbezogenen Daten an unsere Server oder Dritte statt.

3.2 KI-Verarbeitung über die Google Gemini API (EU-Region)

Für die Bereitstellung der KI-gestützten Funktionen nutzen wir die Google Gemini API über die Google Cloud Platform (Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland). Die Verarbeitung erfolgt ausschließlich in den EU-Rechenzentren (Regionen: europe-west1 / europe-west3).

• Übermittelte Daten: Eingegebene Texte (Prompts), Kontextparameter, System-Prompts, technische Metadaten (IP-Adresse, Sprache, Browser) sowie hochgeladene Bilddateien bei multimodalen Funktionen.

• Zero-Retention: Die Datenverarbeitung erfolgt flüchtig im In-Memory-Speicher. Es findet ausdrücklich kein Training von Google-Modellen mit Ihren Kundendaten statt.

• Speicherung & Löschung: Die Datenverarbeitung erfolgt flüchtig im In-Memory-Speicher. Technisch notwendige Error-Logs (ausnahmslos ohne Inhaltsdaten) werden nach spätestens 30 Tagen gelöscht.

• Transparenz- und Sicherheitsnachweise von Google Cloud: Der Anbieter dokumentiert seine strengen Sicherheitsmaßnahmen, Zertifikate und Verträge in folgenden Portalen, die in ihrer jeweils aktuellen Fassung gelten:

  • Die vertragliche Absicherung und Einhaltung der DSGVO erfolgt über das Google Cloud Data Processing Addendum (DPA).

  • Die Übersicht aller eingesetzten Unterauftragsverarbeiter ist einsehbar unter Google Cloud Subprocessors.

  • Die Einhaltung globaler Sicherheitsstandards (SOC 2, ISO 27001, HIPAA) sowie spezifischer EU-Datenschutzvorgaben wird im Google Cloud Trust Enterprise Compliance Center nachgewiesen.

  • Die spezifischen Bedingungen für generative KI-Modelle und der Ausschluss des Modelltrainings sind geregelt in den Google Cloud Service Specific Terms (Abschnitt: Generative AI).

• Rechtsgrundlage:

  • Bei privater Nutzung (B2C): Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages).

  • Bei beruflicher/geschäftlicher Nutzung (B2B): Art. 28 DSGVO (Auftragsverarbeitung im Auftrag und nach Weisung des Kunden auf Basis des abgeschlossenen AVV).

3.3 Voiceflow (Workflow-Orchestrierung)

Für die technische Weiterleitung und Workflow-Orchestrierung nutzen wir den Dienst Voiceflow (Sensory Technologies Inc., 110 Spadina Ave, Suite 100, Toronto, ON M5V 2K4, Kanada).

• Verarbeitung: Rein stateless Routing, es erfolgt keine dauerhafte Speicherung der Inhaltsdaten.

• Drittstaaten-Transfer & Zertifizierung: Kanada verfügt über einen offiziellen EU-Angemessenheitsbeschluss. Soweit Daten über Server in den USA geroutet werden, ist der Transfer über das EU-U.S. Data Privacy Framework (DPF) sowie den Abschluss eines DPAs auf Basis der aktuellen EU-Standardvertragsklauseln (SCCs) abgesichert.

• Transparenz- und Sicherheitsnachweise von Voiceflow: Die datenschutzrechtliche Absicherung und die technischen Sicherheitsvorkehrungen sind über folgende offizielle Dokumente und Portale geregelt:

  • Die vertragliche Bindung als Unterauftragsverarbeiter erfolgt über das Voiceflow Data Processing Addendum (DPA).

  • Die Kernvorgaben zur DSGVO-Compliance des Dienstes sind transparent zusammengefasst unter Voiceflow GDPR Compliance.

  • Die technischen und organisatorischen Maßnahmen (TOM) zum Schutz der Daten (Verschlüsselung, SOC 2 Typ II, ISO 27001) sind einsehbar unter Voiceflow Security Standards.

• Rechtsgrundlage:

  • Bei privater Nutzung (B2C): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

  • Bei geschäftlicher Nutzung (B2B): Art. 28 DSGVO (Auftragsverarbeitung gemäß AVV).

3.4 Nutzerverwaltung & E-Mail-Kommunikation (GHL-Infrastruktur via Dienstleister)

Für das Hosting der Registrierungs-Infrastruktur, die Verwaltung von Kundenkonten (Stammdaten) sowie den Versand von E-Mails nutzen wir die White-Label-Infrastruktur der Plattform GoHighLevel. Diese wird uns im Rahmen einer Auftragsverarbeitung durch unseren Technologie-Dienstleister (RainMakerAI, LLC, 7660 Fay Ave PMB 307, #307 California, CA 92037 United States) bereitgestellt.

Wichtig: Über diese Plattform werden zu keinem Zeitpunkt Ihre vertraulichen KI-Prompts oder App-Eingaben verarbeitet oder gespeichert. Die Verarbeitung beschränkt sich rein auf administrative Stammdaten.

• Verarbeitete Daten: Name, E-Mail-Adresse, Registrierungsstatus (B2B/B2C), Passwort-Hashes sowie Protokolldaten zum Double-Opt-In und AVV-Abschluss.

• Absicherung & Drittstaaten-Transfer: Die vertragliche Absicherung mit unserem vorgenannten Dienstleister erfolgt über ein Data Processing Agreement (DPA) in Kombination mit den EU-Standardvertragsklauseln (SCC Module 2) für den sicheren Datentransfer in die USA. Die zugrundeliegende Server-Infrastruktur von HighLevel Inc. (USA) ist offiziell unter dem EU-U.S. Data Privacy Framework (DPF) zertifiziert, wodurch das Datenschutzniveau nach Art. 45 DSGVO rechtlich abgesichert ist.

• Transparenz- und Sicherheitsnachweise des Unterauftragsverarbeiters: Der Infrastruktur-Anbieter dokumentiert seine datenschutzrechtlichen Maßnahmen und die Kette seiner Subunternehmer in den nachfolgenden Portalen, die in ihrer jeweils aktuellen Fassung gelten:

  • Die vertraglichen Kernvorgaben und lizenzierten Bedingungen sind zentral einsehbar auf dem HighLevel Legal Portal.

  • Technische Sicherheitsnachweise, Compliance-Zertifikate und Audits finden Sie unter Privacy and Security und im HighLevel Trust Center.

• Rechtsrelevante Grundlagen:

  • System-E-Mails, Token/Credits-Verwaltung & Vertragsabwicklung: Art. 6 Abs. 1 lit. b DSGVO (Erforderlich zur Vertragserfüllung).

  • Marketing-Newsletter: Art. 6 Abs. 1 lit. a DSGVO (Freiwillige Einwilligung des Nutzers über das Double-Opt-In-Verfahren).

  • AVV- & DOI-Tracking: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse zum lückenlosen, rechtssicheren Nachweis erteilter Zusagen und geschlossener Verträge).

3.5 Content Delivery Network (Google Cloud CDN)

Zur schnellen und sicheren Auslieferung unserer App-Inhalte nutzen wir das Google Cloud CDN. Die Auslieferung erfolgt primär über Server innerhalb der EU. Die datenschutzrechtliche Absicherung (einschließlich Sicherheitszertifikate und Supportzugriffe) ist vollumfänglich über die in Kapitel 3.2 genannten Verträge und Sicherheitsgarantien der Google Cloud abgedeckt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Performance-Optimierung, Lastverteilung und IT-Sicherheit unserer Anwendungen).

3.6 Datenerhebung bei Registrierung

Die von Ihnen bei der Registrierung bereitgestellten Daten (Stammdaten, Kontaktdaten, Auswahl des Nutzungsstatus B2C/B2B) dienen der Identifikation als Vertragspartner, der Vertragserfüllung sowie der automatisierten Erstellung des notwendigen Auftragsverarbeitungsvertrags (AVV). Eine zweckentfremdete Nutzung findet nicht statt.

4. Rollenklärung nach DSGVO und EU AI Act

Für eine transparente Nutzung wird zwischen folgenden Verantwortlichkeiten unterschieden:

• Anbieter (Wir): Wir agieren als Bereitsteller der technischen Infrastruktur (Downstream Provider). Wir verantworten die technische Datensicherheit und die Einhaltung der anbieterseitigen Transparenzpflichten nach Art. 50 des EU AI Acts.

• Geschäftlicher Nutzer (B2B): Sie agieren als eigenständiger Verantwortlicher für die Eingabe Ihrer Kundendaten und als Betreiber (Deployer) im Sinne des EU AI Acts. Für diese Nutzung ist der Abschluss des bereitgestellten AVV (AVV-A für die Gemini-App, AVV-B für die Voiceflow-App) zwingend vorgeschrieben.

• Privater Nutzer (B2C): Sie bleiben alleiniger Verantwortlicher für Ihre persönlichen Eingaben. Ein AVV ist für die rein familiäre oder persönliche Nutzung nicht erforderlich.

5. Protokollierung von Einwilligungen

Zur Erfüllung der gesetzlichen Nachweispflichten nach Art. 7 Abs. 1 DSGVO protokollieren wir:

• Version des akzeptierten Textes (AGB, Datenschutzerklärung)

• Gewählte Nutzungsart (B2C / B2B) sowie den AVV-Status

• Es werden hierbei ausdrücklich keine inhaltlichen Prompts oder KI-Eingaben protokolliert.

6. Ihre Betroffenenrechte (Art. 15–21 DSGVO)

Sie haben gegenüber dem Verantwortlichen jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO): Über Ihre von uns verarbeiteten Daten.

• Berichtigung (Art. 16 DSGVO): Bei unrichtigen oder unvollständigen Daten.

• Löschung (Art. 17 DSGVO): Sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Einschränkung der Verarbeitung (Art. 18 DSGVO).

• Datenübertragbarkeit (Art. 20 DSGVO).

• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen, die auf Basis eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfolgen.

• Widerruf (Art. 7 Abs. 3 DSGVO): Einmal erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft uns gegenüber widerrufen.

Beschwerderecht: Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt.

7. Datensicherheit (TOM nach Art. 32 DSGVO)

Zum Schutz Ihrer Daten setzen wir modernste technische und organisatorische Maßnahmen ein:

• Durchgehende Transportverschlüsselung (SSL/TLS)

• Strenge, rollenbasierte Zugriffskontrollen

• Konsequente Umsetzung von "Privacy by Design & Default"

• Flüchtige In-Memory-Verarbeitung ohne Datenspeicherung (Zero-Retention-Architektur)

8. Speicherdauer-Übersicht