Datenschutzerklärung

Als Einzelunternehmer bin ich für die Einhaltung der Datenschutzvorgaben verantwortlich.

2. Besuch der Webseite (Server-Logfiles)

Beim Aufruf unserer Webseite werden automatisch Daten verarbeitet, die für den technischen Betrieb und die Sicherheit der Systeme erforderlich sind:

• IP-Adresse

• Datum und Uhrzeit der Anfrage

• Browsertyp und Version

• Verwendetes Betriebssystem

• Referrer-URL (die zuvor besuchte Seite)

• Aufgerufene Seiten und Dateien

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der technischen Sicherheit, Stabilitätswahrung und Funktionsfähigkeit der Webseite).

Speicherdauer: Die Daten werden nach spätestens 7 Tagen automatisiert gelöscht.

3. Verarbeitung in unseren Anwendungen (Apps)

Wir betreiben technisch getrennte Anwendungen zur Bereitstellung unserer KI-Dienste. Beide Systeme folgen einem strikten Zero-Retention-Ansatz: Ihre Prompt-Eingaben und die generierten Outputs werden ausschließlich flüchtig im Arbeitsspeicher verarbeitet und nach Beendigung der Anfrage sofort gelöscht. Es findet keine dauerhafte Speicherung und ausdrücklich kein Training von KI-Basis-Modellen mit Ihren Daten statt.

3.1 Lokale Verarbeitung (Client-Side, Stateless)

Ein Teil der Funktionen wird vollständig lokal in Ihrem Browser ausgeführt:

• Texteingaben zur lokalen Bearbeitung

• Design- und Layout-Funktionen

• Ebenenverwaltung

• Temporäre Speicherung im localStorage Ihres Endgeräts

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. Durchführung vorvertraglicher Maßnahmen). Es findet in dieser Stufe keine Übertragung von personenbezogenen Daten an unsere Server oder Dritte statt.

3.2 KI-Verarbeitung über die Google Gemini API (EU-Region)

Für die Bereitstellung der KI-gestützten Funktionen nutzen wir die Google Gemini API über die Google Cloud Platform (Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland). Die Verarbeitung erfolgt ausschließlich in den EU-Rechenzentren (Regionen: europe-west1 / europe-west3).

• Übermittelte Daten: Eingegebene Texte (Prompts), Kontextparameter, System-Prompts, technische Metadaten (IP-Adresse, Sprache, Browser) sowie hochgeladene Bilddateien bei multimodalen Funktionen.

• Zero-Retention: Die Datenverarbeitung erfolgt flüchtig im In-Memory-Speicher. Es findet ausdrücklich kein Training von Google-Modellen mit Ihren Kundendaten statt.

• Speicherung & Löschung: Die Datenverarbeitung erfolgt flüchtig im In-Memory-Speicher. Technisch notwendige Error-Logs (ausnahmslos ohne Inhaltsdaten) werden nach spätestens 30 Tagen gelöscht.

• Transparenz- und Sicherheitsnachweise von Google Cloud: Der Anbieter dokumentiert seine strengen Sicherheitsmaßnahmen, Zertifikate und Verträge in folgenden Portalen, die in ihrer jeweils aktuellen Fassung gelten:

  • Die vertragliche Absicherung und Einhaltung der DSGVO erfolgt über das Google Cloud Data Processing Addendum (DPA).

  • Die Übersicht aller eingesetzten Unterauftragsverarbeiter ist einsehbar unter Google Cloud Subprocessors.

  • Die Einhaltung globaler Sicherheitsstandards (SOC 2, ISO 27001, HIPAA) sowie spezifischer EU-Datenschutzvorgaben wird im Google Cloud Trust Enterprise Compliance Center nachgewiesen.

  • Die spezifischen Bedingungen für generative KI-Modelle und der Ausschluss des Modelltrainings sind geregelt in den Google Cloud Service Specific Terms (Abschnitt: Generative AI).

• Rechtsgrundlage:

  • Bei privater Nutzung (B2C): Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrages).

  • Bei beruflicher/geschäftlicher Nutzung (B2B): Art. 28 DSGVO (Auftragsverarbeitung im Auftrag und nach Weisung des Kunden auf Basis des abgeschlossenen AVV).

3.3 Voiceflow (Workflow-Orchestrierung)

Für die technische Weiterleitung und Workflow-Orchestrierung nutzen wir den Dienst Voiceflow (Sensory Technologies Inc., 110 Spadina Ave, Suite 100, Toronto, ON M5V 2K4, Kanada).

• Verarbeitung: Rein stateless Routing, es erfolgt keine dauerhafte Speicherung der Inhaltsdaten.

• Drittstaaten-Transfer & Zertifizierung: Kanada verfügt über einen offiziellen EU-Angemessenheitsbeschluss. Soweit Daten über Server in den USA geroutet werden, ist der Transfer über das EU-U.S. Data Privacy Framework (DPF) sowie den Abschluss eines DPAs auf Basis der aktuellen EU-Standardvertragsklauseln (SCCs) abgesichert.

• Transparenz- und Sicherheitsnachweise von Voiceflow: Die datenschutzrechtliche Absicherung und die technischen Sicherheitsvorkehrungen sind über folgende offizielle Dokumente und Portale geregelt:

  • Die vertragliche Bindung als Unterauftragsverarbeiter erfolgt über das Voiceflow Data Processing Addendum (DPA).

  • Die Kernvorgaben zur DSGVO-Compliance des Dienstes sind transparent zusammengefasst unter Voiceflow GDPR Compliance.

  • Die technischen und organisatorischen Maßnahmen (TOM) zum Schutz der Daten (Verschlüsselung, SOC 2 Typ II, ISO 27001) sind einsehbar unter Voiceflow Security Standards.

• Rechtsgrundlage:

  • Bei privater Nutzung (B2C): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

  • Bei geschäftlicher Nutzung (B2B): Art. 28 DSGVO (Auftragsverarbeitung gemäß AVV).

3.4 Newsletter & E-Mail-Kommunikation (GoHighLevel)

Für den Versand von System-E-Mails, Benachrichtigungen und Newslettern nutzen wir die Plattform GoHighLevel (HighLevel Inc., 4005 Via Oro Ave, Suite 200, Long Beach, CA 90810, USA).

• Verarbeitung: Verwaltung von Kontaktdaten sowie Durchführung des Double-Opt-In (DOI) Verfahrens.

• Drittstaaten-Transfer & Zertifizierung: Die Datenverarbeitung erfolgt in den USA. Der Transfer ist rechtlich abgesichert über die offizielle Zertifizierung des Anbieters unter dem EU-U.S. Data Privacy Framework (DPF). Zudem wurde ein datenschutzkonformer Auftragsverarbeitungsvertrag auf Basis der EU-Standardvertragsklauseln geschlossen.

• Transparenz- und Sicherheitsnachweise des Unterauftragsverarbeiters: Der Anbieter dokumentiert seine datenschutzrechtlichen Maßnahmen und die Kette seiner Subunternehmer in den nachfolgenden Verträgen und Sicherheitsportalen, die in ihrer jeweils aktuellen Fassung gelten:

• Die vertragliche Absicherung, das Data Processing Addendum (DPA) sowie die Liste der Unterauftragsverarbeiter sind zentral einsehbar auf dem HighLevel Legal Portal.

• Technische Sicherheitsnachweise und Compliance-Zertifikate finden Sie unter Privacy and Security und im HighLevel Trust Center.

• Rechtsrelevante Grundlagen:

  • Newsletter-Versand: Art. 6 Abs. 1 lit. a DSGVO (Freiwillige Einwilligung des Nutzers).

  • System-E-Mails & Vertragsabwicklung: Art. 6 Abs. 1 lit. b DSGVO (Erforderlich zur Vertragserfüllung).

  • DOI-Tracking: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse zum Nachweis der Einwilligung).

3.5 Content Delivery Network (Google Cloud CDN)

Zur schnellen und sicheren Auslieferung unserer App-Inhalte nutzen wir das Google Cloud CDN. Die Auslieferung erfolgt primär über Server innerhalb der EU. Die datenschutzrechtliche Absicherung (einschließlich Sicherheitszertifikate und Supportzugriffe) ist vollumfänglich über die in Kapitel 3.2 genannten Verträge und Sicherheitsgarantien der Google Cloud abgedeckt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse an der Performance-Optimierung, Lastverteilung und IT-Sicherheit unserer Anwendungen).

3.6 Datenerhebung bei Registrierung

Die von Ihnen bei der Registrierung bereitgestellten Daten (Stammdaten, Kontaktdaten, Auswahl des Nutzungsstatus B2C/B2B) dienen der Identifikation als Vertragspartner, der Vertragserfüllung sowie der automatisierten Erstellung des notwendigen Auftragsverarbeitungsvertrags (AVV). Eine zweckentfremdete Nutzung findet nicht statt.

4. Rollenklärung nach DSGVO und EU AI Act

Für eine transparente Nutzung wird zwischen folgenden Verantwortlichkeiten unterschieden:

• Anbieter (Wir): Wir agieren als Bereitsteller der technischen Infrastruktur (Downstream Provider). Wir verantworten die technische Datensicherheit und die Einhaltung der anbieterseitigen Transparenzpflichten nach Art. 50 des EU AI Acts.

• Geschäftlicher Nutzer (B2B): Sie agieren als eigenständiger Verantwortlicher für die Eingabe Ihrer Kundendaten und als Betreiber (Deployer) im Sinne des EU AI Acts. Für diese Nutzung ist der Abschluss des bereitgestellten AVV (AVV-A für die Gemini-App, AVV-B für die Voiceflow-App) zwingend vorgeschrieben.

• Privater Nutzer (B2C): Sie bleiben alleiniger Verantwortlicher für Ihre persönlichen Eingaben. Ein AVV ist für die rein familiäre oder persönliche Nutzung nicht erforderlich.

5. Protokollierung von Einwilligungen

Zur Erfüllung der gesetzlichen Nachweispflichten nach Art. 7 Abs. 1 DSGVO protokollieren wir:

• Version des akzeptierten Textes (AGB, Datenschutzerklärung)

• Gewählte Nutzungsart (B2C / B2B) sowie den AVV-Status

• Es werden hierbei ausdrücklich keine inhaltlichen Prompts oder KI-Eingaben protokolliert.

6. Ihre Betroffenenrechte (Art. 15–21 DSGVO)

Sie haben gegenüber dem Verantwortlichen jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO): Über Ihre von uns verarbeiteten Daten.

• Berichtigung (Art. 16 DSGVO): Bei unrichtigen oder unvollständigen Daten.

• Löschung (Art. 17 DSGVO): Sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

• Einschränkung der Verarbeitung (Art. 18 DSGVO).

• Datenübertragbarkeit (Art. 20 DSGVO).

• Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen, die auf Basis eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) erfolgen.

• Widerruf (Art. 7 Abs. 3 DSGVO): Einmal erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft uns gegenüber widerrufen.

Beschwerderecht: Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt.

7. Datensicherheit (TOM nach Art. 32 DSGVO)

Zum Schutz Ihrer Daten setzen wir modernste technische und organisatorische Maßnahmen ein:

• Durchgehende Transportverschlüsselung (SSL/TLS)

• Strenge, rollenbasierte Zugriffskontrollen

• Konsequente Umsetzung von "Privacy by Design & Default"

• Flüchtige In-Memory-Verarbeitung ohne Datenspeicherung (Zero-Retention-Architektur)

8. Speicherdauer-Übersicht