Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO:
Auffarth Systems LLC, 30 N Gould St, Ste N, Sheridan, WY 82801, USA
Vertreten durch: Thilo Auffarth · E-Mail: [email protected]

EU-Vertreter (Art. 27 DSGVO): Prighter EU Rep GmbH, Schellinggasse 3/10, 1010 Wien, Österreich
Wir legen Wert auf Ihre Privatsphäre und Ihre Rechte als betroffene Person und haben daher die Prighter Group mit ihren lokalen Partnern als unseren Datenschutzvertreter und Ihre Kontaktstelle für die Europäische Union (EU) benannt. Um Ihre datenschutzbezogenen Rechte auszuüben (z. B. Auskunft oder Löschung personenbezogener Daten) oder unseren Vertreter zu kontaktieren, nutzen Sie bitte folgendes Portal: https://app.prighter.com/portal/14827661967

2. Wofür wir Daten verarbeiten

• Konto: Name, E-Mail, Passwort (nur als kryptografischer Hash), deine Kontoart (Partner oder Betrieb) sowie deine Anzeigeeinstellung (hell oder dunkel), zur Bereitstellung deines Zugangs. Bei der Registrierung kannst du freiwillig deinen Instagram-Namen angeben. Wir speichern ihn an deinem Konto und nutzen ihn nur, um dich als Kunde auch dort erreichen zu können (siehe „Betreuung nach dem Kauf“). Grundlage ist unser berechtigtes Interesse, Kunden über den Weg zu erreichen, den sie selbst angeben (Art. 6 Abs. 1 lit. f DSGVO). Er bleibt, solange dein Konto besteht; ändern oder löschen lassen kannst du ihn jederzeit mit einer Nachricht an [email protected].
• Nutzung der Plattform: erstellte Agenten, Demos, angelegte Kunden (die Betriebe, für die du Assistenten betreibst) sowie aggregierte Kennzahlen (Anzahl Gespräche/Nachrichten/Leads). Gesprächsinhalte werden gespeichert, wenn der Betreiber des jeweiligen Agenten das eingeschaltet hat; bei neu angelegten Agenten ist das voreingestellt und jederzeit abschaltbar. Näheres regelt der Vertrag zur Auftragsverarbeitung (Ziffer 5). Dazu gehören auch die Kontakte, die du im CRM führst, samt deiner Notizen, Anrufergebnisse und der Beträge, die du dort einträgst. Kontakte entstehen auch von selbst, wenn du einen Assistenten, eine Demo oder einen Kunden anlegst, und auf deinen Wunsch aus hochgeladenen Listen. Diese Daten verarbeiten wir ausschließlich in deinem Auftrag, siehe den Vertrag zur Auftragsverarbeitung.
• Zugänge für Mitarbeiter und Kunden unserer Nutzer: Legt ein Nutzer für seine Beschäftigten oder für seinen Kunden einen Zugang an, verarbeiten wir Name, E-Mail-Adresse, das Passwort als kryptografischen Hash, den Zeitpunkt der letzten Anmeldung und ein Protokoll der Anmeldungen und Aktionen. Die Einladung schicken wir per E-Mail an die angegebene Adresse. Wird einem Zugang ein Vorgang zugewiesen, etwa ein Anruf, ein Chat oder eine Rückrufbitte, halten wir am Vorgang fest, welcher Zugang zuständig ist, und schicken ihm eine kurze E-Mail mit dem Namen des Betriebs, einem Hinweis auf den Vorgang und einem Link, ohne Angaben zur anfragenden Person. Wer den Vorgang sehen darf, sieht dabei die Namen der Zugänge, die dafür in Frage kommen, über den Zugang für einen Kunden nur die Zugänge dieses Kunden. Diese Verarbeitung erfolgt im Auftrag des Nutzers; er entscheidet, wer einen Zugang erhält und wie lange. Die Zugänge der Kunden eines Nutzers melden sich in einem Kundenbereich mit seinem Namen und Zeichen an, unter einer Adresse, die wir dafür bereitstellen, und die Mails an sie tragen seinen Namen als Absender. Gibt er auf seiner Seite eine Kontaktadresse an, gehen Antworten auf diese Mails dorthin.
• Chat mit KI-Agenten: die eingegebenen Nachrichten werden zur Beantwortung an unser KI-Modell (EU) übertragen. Hängst du im Chatfenster eine Datei an, wird sie auf unseren Servern in Deutschland abgelegt und an den Betrieb weitergeleitet, mit dem du schreibst. Nach sieben Tagen löschen wir sie automatisch. Ihren Inhalt sehen wir uns nicht an. Bei Praxen, Kanzleien und anderen Berufen mit Schweigepflicht nimmt der Chat keine Dateien an, solange der Betrieb das Mitschreiben nicht freigegeben hat; das geht dort erst, sobald wir es freischalten. Danach sieht sie nur der Betrieb selbst. Bittest du im Chat um einen Rückruf, gehen dein Name, deine Rufnummer und dein Anliegen per E-Mail an den Betrieb. Hast du im Chat deine E-Mail-Adresse genannt und speichert der Betrieb seine Chats, kann er dir eine E-Mail mit einem Link schicken, über den du Fotos nachreichst. Den Anlass halten wir fest, solange der Link gilt, und löschen ihn danach automatisch.
• Abrechnung: Verkauf, Bezahlung und Rechnung laufen über Link, LLC aus der Stripe-Gruppe (siehe unten). Im Checkout gibst du dort Name, Rechnungsadresse und Zahlungsdaten ein. Name, E-Mail-Adresse und Rechnungsadresse sehen wir anschließend in unserem Konto bei Stripe, deine vollständigen Zahlungsdaten nicht. Weitere Betriebe stehen als eigene Posten auf deinen Rechnungen.
• Bestellung: Tarif, gebuchte weitere Betriebe, Abrechnungsrhythmus, Zeitpunkt der Bestellung sowie deine im Bestellvorgang abgegebene Erklärung zum Widerrufsrecht, im Wortlaut. Gibt jemand die Erklärung über einen Zugang deines Kontos ab, halten wir dazu Name und Kennung dieses Zugangs fest. Wir halten das fest, um den Vertrag nachweisen zu können.
• Betreuung nach dem Kauf: Buchst du einen Tarif, legen wir dich als Kontakt in unserem eigenen Vertriebs-CRM an, mit Name, E-Mail-Adresse, gebuchtem Tarif und, wenn du ihn angegeben hast, deinem Instagram-Namen. Dazu kommen unsere eigenen Vermerke, etwa Stand, Wiedervorlage, Notizen zu Gesprächen mit dir und vereinbarte Beträge. Wir nutzen das, um dich nach dem Kauf persönlich zu betreuen und dich auf weitere Angebote von uns anzusprechen, etwa unsere 1:1-Betreuung. Das CRM ist Teil unserer Anwendung auf unseren Servern in Deutschland. Den Eintrag sehen nur wir, keine anderen Nutzer und keine Partner. Schreiben wir dir über Instagram, läuft die Nachricht über Meta, und es gilt zusätzlich die Datenschutzrichtlinie von Meta. Grundlage ist unser berechtigtes Interesse, unsere Kunden zu betreuen und ihnen eigene Angebote zu machen (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen, eine Nachricht an [email protected] genügt. Dann sprechen wir dich nicht mehr an, löschen den Eintrag und legen ihn auch bei einem späteren Kauf nicht wieder an. Dafür vermerken wir an deinem Konto, dass du widersprochen hast. Sonst löschen wir den Eintrag automatisch 24 Monate nach unserem letzten Kontakt mit dir, auch wenn du vorher kündigst, spätestens aber mit der Löschung deines Kontos.
• Empfehlungsprogramm: Kommst du über den Empfehlungslink eines Partners zu uns, steht sein Code in der Adresse der Seite. Registrierst du dich bei diesem Besuch, ordnen wir dich darüber zu. Hast du im Cookie-Hinweis Werbung zugestimmt, merken wir uns den Code außerdem 30 Tage lang in einem Cookie, damit die Empfehlung auch bei einem späteren Besuch zählt (siehe Abschnitt 10). Nach der Registrierung speichern wir an deinem Konto, wer dich empfohlen hat, und berechnen aus deinen Zahlungen dessen Provision. Nimmst du selbst am Programm teil, speichern wir deinen Empfehlungscode, deine Provisionen und die Angaben für die Auszahlung (PayPal-Adresse oder IBAN und Kontoinhaber). Grundlage ist die Teilnahme am Programm (Art. 6 Abs. 1 lit. b DSGVO), für die Zuordnung beim Geworbenen unser berechtigtes Interesse, Provisionen richtig abzurechnen (Art. 6 Abs. 1 lit. f DSGVO), für das Cookie deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Angaben bleiben, solange das jeweilige Konto besteht.
• Kündigung: Kündigst du über „Verträge hier kündigen“, speichern wir deine Erklärung: Name, E-Mail-Adresse, den Vertrag, die Art der Kündigung, bei einer außerordentlichen den Grund, den gewünschten Zeitpunkt, wann sie eingegangen ist und was wir daraufhin eingetragen haben. An die angegebene Adresse schicken wir die Bestätigung. Dazu sind wir gesetzlich verpflichtet (§ 312k BGB, Art. 6 Abs. 1 lit. c DSGVO), und wir brauchen den Nachweis, falls später strittig ist, ob und wann gekündigt wurde (Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Erklärung mit Ablauf von drei Jahren nach dem Ende des Jahres, in dem sie einging, auch wenn du dein Konto vorher löschst. Gehört zu der Adresse kein Konto oder meinst du einen anderen Vertrag, geht die Erklärung zusätzlich an unser Supportpostfach, damit wir sie von Hand zuordnen.
  Grund der Kündigung: Nach der Kündigung fragen wir dich, warum du gehst, oder du nennst den Grund im Kundenportal von Stripe. Beides ist freiwillig und ändert nichts an der Kündigung. Endet ein Abo auf anderem Weg, etwa nach einer ausgebliebenen Zahlung, halten wir den Anlass fest, den Stripe uns mitteilt. Gespeichert werden Grund, Kommentar, Zeitpunkt, der Weg der Kündigung und der Monatsbetrag des Abos, damit wir verstehen, warum Kunden gehen, und unser Angebot verbessern können (Art. 6 Abs. 1 lit. f DSGVO). Nach 24 Monaten, oder früher mit der Löschung deines Kontos, lösen wir diese Angaben von deinem Konto.
• Push-Benachrichtigungen: wenn du Telegram verbindest, deine Telegram-Chat-Kennung und der Zeitpunkt der Verbindung, damit die Meldungen dein Gerät erreichen (siehe Abschnitt 5). Lehnt Telegram die Zustellung ab, etwa weil du den Bot blockiert hast, trennen wir die Verbindung und halten Zeitpunkt und Grund fest.
• Support-Anfragen: deine Nachricht und ggf. ein Screenshot, zur Bearbeitung deines Anliegens. Gibst du beim Melden den Zugriff frei, sehen wir für die angegebene Zeit dein Konto ein, um das Anliegen zu prüfen. Jeder Zugriff wird protokolliert. Zur Fehlersuche, für die Sicherheit und für die Qualität des Dienstes dürfen wir auch ohne Freigabe in Konten sehen; das regelt der Vertrag zur Auftragsverarbeitung (Ziffer 5). Gesprächsinhalte von Assistenten einer Praxis, Kanzlei, Beratungsstelle oder eines anderen Berufs mit Schweigepflicht sehen wir dabei nie, auch nicht mit Freigabe. Zur Auswertung von Support-Fällen nutzen wir auch einen KI-Dienstleister in den USA; dorthin gehen die Fälle nur ohne Namen, Kontaktdaten, Anschriften und Kennungen. Erledigte Anliegen löschen wir nach zwölf Monaten.
• E-Mails: E-Mails, die botbuildr automatisch verschickt, etwa zur Bestätigung deiner Adresse, Anmeldecodes, Links zum Zurücksetzen des Passworts, Hinweise zu Konto und Zahlung, Einladungen zu Zugängen und Hinweise an sie, etwa auf einen zugewiesenen Vorgang, Meldungen aus deinem Konto, Mitteilungen an alle Kunden, Bestätigung und Erinnerungen zu einem Call für das Mentoring (siehe Abschnitt 6c) und, wenn du eingewilligt hast, Tipps und Angebote, versenden wir über Brevo in der EU. Ob du Tipps und Angebote bekommen möchtest, halten wir mit dem Zeitpunkt deiner Einwilligung und der Fassung des Textes fest, dem du zugestimmt hast; abbestellen kannst du sie mit dem Link in jeder dieser Mails. Bestellst du sie ab, halten wir auch fest, wann. Nutzt du dafür den Link in einer Mail von Brevo, erfahren wir das von Brevo und vermerken es an deinem Konto (siehe „Kontaktliste für E-Mails“). Schreibst du uns an [email protected] oder eine andere unserer Adressen, landet deine Mail in unserem Postfach, und darüber antworten wir dir auch. Bis zum Umzug unserer Postfächer liegt es bei Strato in Deutschland, über das Konto eines Unternehmens in Deutschland, das dafür in unserem Auftrag handelt. Danach liegt es bei Microsoft in Rechenzentren in den USA (siehe Abschnitte 4 und 9). Wir nutzen deine Mail, um dein Anliegen zu bearbeiten, auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, wenn es um deinen Vertrag oder eine Anfrage dazu geht, sonst unseres berechtigten Interesses, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir heben sie auf, solange wir sie für dein Anliegen brauchen, und darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten es verlangen. E-Mails, die ein Assistent oder ein Betrieb über botbuildr in dessen Namen schickt, etwa Termin- und Eingangsbestätigungen oder Links zum Nachreichen von Fotos, gehen aus dessen eigenem Postfach (siehe Abschnitt 7). Nur eine Rückrufbitte an einen Betrieb, der noch kein eigenes Postfach verbunden hat, schicken wir über Brevo an die Adresse, die für ihn hinterlegt ist.
• Kontaktliste für E-Mails: Hast du dich selbst bei uns registriert, führen wir dich als Kontakt bei Brevo in der EU (siehe Abschnitt 4), mit Vorname, E-Mail-Adresse, Kontoart (Partner oder Betrieb), Tarif, Stand deines Kontos (etwa ob du ein Abo hast, ob eine Zahlung offen ist oder ob du gekündigt hast), Tag der Registrierung, deiner Antwort auf die Frage, wo du uns zum ersten Mal gesehen hast, ob deine Adresse bestätigt ist, ob du unsere 1:1-Betreuung nutzt, ob du Tipps und Angebote bekommen möchtest und ob wir dabei sehen dürfen, ob du sie öffnest und was du anklickst. Dazu steht dein Kontakt dort auf Listen, etwa für Tipps und Angebote oder für die Mails in den ersten Wochen nach der Registrierung. Ändert sich davon etwas in deinem Konto, ändern wir es dort mit. Tipps und Angebote schicken wir darüber nur, wenn du eingewilligt und deine Adresse bestätigt hast. Tarif und Stand nutzen wir, um sie auf dich abzustimmen, etwa keine Einladung zum Kauf, wenn du schon Kunde bist. Mitteilungen an alle Kunden, etwa zu einer Änderung des Vertrags oder einem neuen Dienstleister, schicken wir ebenfalls über diese Liste. Zugänge, die ein Nutzer für seine Beschäftigten oder Kunden anlegt, Betriebe, die ein Partner bei uns anlegt, und die Kontakte im CRM eines Nutzers führen wir dort nicht. Grundlage ist für Tipps und Angebote deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), sonst unser berechtigtes Interesse, unsere Kunden an einer Stelle zu verwalten, sie über Änderungen zu informieren und eine Einwilligung oder Abmeldung sofort umzusetzen (Art. 6 Abs. 1 lit. f DSGVO). Dem kannst du jederzeit widersprechen, eine Nachricht an [email protected] genügt. Dann löschen wir die Angaben zu deinem Konto dort.
  Öffnen und Klicks: Hast du beim Haken zugestimmt, dass wir sehen dürfen, ob du unsere Mails öffnest und was du darin anklickst, erfasst Brevo das bei Tipps und Angeboten: über ein kleines Bild in der Mail, das beim Öffnen geladen wird, und über Links, die zuerst über Brevo laufen. Wir sehen das an deinem Kontakt und nutzen es, um zu erkennen, welche Inhalte ankommen, und um weitere Tipps und Angebote darauf abzustimmen. Grundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Widerrufen kannst du sie jederzeit über den Link zum Abbestellen in jeder dieser Mails. Hast du früher mit einem Text ohne diesen Satz eingewilligt, messen wir das bei dir nicht.
  Abbestellen und Löschen: Hast du dich mit derselben Adresse auch für das Mentoring beworben, führen wir bei Brevo einen gemeinsamen Kontakt (siehe Abschnitt 6c); bestellst du dort ab, gilt das für beides. Mit deinem Konto löschen wir auch den Kontakt bei Brevo. Hast du Tipps und Angebote abbestellt, behalten wir dort nur deine E-Mail-Adresse mit dem Vermerk, dass du keine mehr möchtest, damit dich auch später keine erreichen.
• Nachweis der Verantwortung bei der Akquise: Bevor die erste Mail aus der Akquise-Funktion rausgeht, bestätigst du einmal, dass du für deine Listen und Mails selbst verantwortlich bist. Wir speichern dazu Konto, Zeitpunkt und den bestätigten Wortlaut, solange das Konto besteht, als Nachweis gegenüber Dritten (Art. 6 Abs. 1 lit. b und f DSGVO).
• Bewerbung für das AI MAXXER Mentoring: Bewirbst du dich auf unserer Bewerbungsseite für das 1:1-Mentoring, verarbeiten wir deine Antworten, deine Kontaktdaten und, wenn du einen Call buchst, den Termin dafür. Was genau, wofür und wie lange, steht in Abschnitt 6c.
• Videos auf unserer Website, in der Academy und im Mitgliederbereich: In den Anleitungen unserer Academy, in den Lektionen des Kurses und bei Aufzeichnungen der Live-Calls binden wir Videos ein, je nach Video von YouTube (im erweiterten Datenschutzmodus), Vimeo, Loom, Wistia oder Bunny. Die Anleitungen der Academy kann jeder öffnen, Kurs und Aufzeichnungen nur angemeldete Mitglieder. Wird ein solches Video angezeigt, lädt dein Browser es direkt beim Anbieter; der erhält deine IP-Adresse und technische Angaben zu deinem Browser und kann eigene Cookies setzen. Vimeo, Loom und Wistia sitzen in den USA, YouTube gehört zu Google und kann Daten dorthin übermitteln, Bunny sitzt in Slowenien. Für die Übermittlung in die USA sind diese Anbieter nach dem EU-US Data Privacy Framework zertifiziert, das die EU-Kommission als angemessen anerkannt hat (Art. 45 DSGVO). Unsere eigenen Videos, etwa die Plattform-Tour auf der Startseite und die Anleitungen der Academy, liegen in unserem Speicher bei Hetzner in Deutschland. Spielst du eines ab, lädt dein Browser es direkt von dort. Dabei werden deine IP-Adresse und technische Angaben zu deinem Browser verarbeitet, Cookies werden dabei nicht gesetzt. Zu den Live-Calls führt ein Link zu Zoom (USA, ebenfalls nach dem Data Privacy Framework zertifiziert); nimmst du teil, verarbeitet Zoom deine Teilnahme und was du dort angibst. Zweck ist, Anleitungen und die Inhalte deines Tarifs als Video zu zeigen. Grundlage ist im Mitgliederbereich Art. 6 Abs. 1 lit. b DSGVO, bei den öffentlichen Anleitungen und Videos unser berechtigtes Interesse, unser Produkt verständlich zu erklären (Art. 6 Abs. 1 lit. f DSGVO). Für die Videos auf unserer Bewerbungsseite für das Mentoring gilt das nicht, sie laden erst nach deinem Klick (siehe Abschnitt 6c).
• Server-Logs: technisch notwendige Protokolle (z. B. IP-Adresse) zur Sicherheit und Missbrauchsabwehr.
• Auslieferung & Bot-Schutz: Die Website wird über Cloudflare ausgeliefert; dabei werden Verbindungsdaten (u. a. IP-Adresse) verarbeitet. An drei Stellen prüft außerdem der Bot-Schutz von Cloudflare, ob ein Mensch die Seite bedient: bei der Registrierung, wenn du auf unserer Startseite einen Assistenten bauen lässt (siehe Abschnitt 6b), und bevor wir eine Bewerbung für das Mentoring annehmen (siehe Abschnitt 6c). Dafür lädt dein Browser ein Skript von Cloudflare, und der Bot-Schutz wertet technische Merkmale deiner Verbindung und deines Browsers aus, etwa IP-Adresse und Browserkennung. Rechtsgrundlage ist unser berechtigtes Interesse an Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO). Soweit der Bot-Schutz dafür auf deinen Browser zugreift, ist das für diese Prüfung unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung und Schritte vor einem Vertrag, um die du selbst bittest (Konto, Leistungserbringung, Abrechnung, Empfehlungsprogramm, Ausprobieren auf unserer Startseite, Anfragen zu deinem Vertrag, der Call für das Mentoring, um den du bittest, samt Termin, Einladung, Zusage, Bestätigung, Erinnerungen, Knöpfen für deinen Kalender und Nachrichten an Thilo auf WhatsApp, siehe Abschnitt 6c).
• Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse (Sicherheit, Missbrauchsabwehr, Nachweis und Auswertung von Kündigungen, Zuordnung von Empfehlungen, Videos in den öffentlichen Anleitungen, Instagram-Name und Betreuung nach dem Kauf, Kontaktliste für E-Mails ohne Einwilligung, siehe Abschnitt 2, sonstige Anfragen per E-Mail, Zählung im Cookie-Hinweis und Vorbereitung der Werbemessung, siehe Abschnitt 10, Zählung und Kampagnenangaben auf der Bewerbungsseite für das Mentoring, unser Vermerk, wie ein Call dort ausging, und die Rückmeldung im Chat dort, siehe Abschnitt 6c).
• Art. 6 Abs. 1 lit. a DSGVO, Einwilligung (z. B. Tipps und Angebote per E-Mail samt Messung von Öffnen und Klicks, Speichern deiner Bewerbung für das Mentoring und Kontakt dazu, das Video auf der Bewerbungsseite, siehe Abschnitt 6c, Statistik und Werbung nach dem Cookie-Hinweis und der Haken „Werbung messen“ bei der Registrierung, siehe Abschnitt 10).
• Art. 6 Abs. 1 lit. c DSGVO, rechtliche Verpflichtungen (z. B. steuerliche Aufbewahrung, Bestätigung einer Kündigung).
• Art. 49 Abs. 1 lit. a DSGVO, ausdrückliche Einwilligung in eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss (nur bei den freiwilligen Telegram-Benachrichtigungen, siehe Abschnitt 5).

4. Auftragsverarbeiter & Dienste

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten weisungsgebunden für uns verarbeiten. Mit allen bestehen Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO, bei den als „über LiveKit" gekennzeichneten Diensten über den Vertrag mit LiveKit, bei Strato über das Unternehmen in Deutschland, das dafür in unserem Auftrag handelt:

Daneben geben wir Daten an Empfänger weiter, die eigenverantwortlich und nicht in unserem Auftrag handeln:

Link, LLC (354 Oyster Point Boulevard, South San Francisco, CA 94080, USA), ein Unternehmen der Stripe-Gruppe, tritt als Merchant of Record auf und schließt den Kauf- und Zahlungsvertrag im eigenen Namen mit dir. Im Checkout steht dafür „Verkauft über Link", auf der Rechnung „Sold through Link, LLC". Für Verkauf und Zahlungsabwicklung sind Link und Stripe daher selbst Verantwortliche; es gilt die Datenschutzerklärung von Stripe, die auch für Link gilt.

Nur mit deiner Einwilligung, im Cookie-Hinweis oder mit dem Haken „Werbung messen“ bei der Registrierung, kommen Google und Meta hinzu, auf unseren öffentlichen Seiten und mit Meldungen von unserem Server: Google für die Statistik als unser Auftragsverarbeiter und für Werbung als eigener Verantwortlicher, Meta gemeinsam mit uns verantwortlich. Siehe Abschnitt 10.

Bewirbst du dich für das Mentoring, kommt Google hinzu: mit Thilos Kalender und Google Meet für den Call, die Google über Google Workspace bereitstellt, und mit dem Video auf der Bewerbungsseite, das erst nach deinem Klick lädt. Siehe Abschnitt 6c.

Schreibst du Thilo von der Seite zur Vorbereitung auf deinen Call aus auf WhatsApp, kommt WhatsApp Ireland Limited hinzu. Siehe Abschnitt 6c.

Für die kurze Rückmeldung im Bewerbungs-Chat setzen wir außerdem Mistral AI aus der Tabelle oben ein. Was dabei übermittelt wird, steht in Abschnitt 6c.

5. Benachrichtigungen über Telegram (freiwillig)

Du kannst Betriebsmeldungen aus deinem Konto statt per E-Mail auf dein Handy bekommen, über Telegram. Warnungen zu deinen Telefonminuten kommen immer auch per E-Mail. Das ist ausgeschaltet, bis du es selbst einrichtest: Du öffnest den Link in den Einstellungen und drückst in Telegram auf „Start". Erst dadurch erfährt unser Server deine Chat-Kennung, und erst dann geht überhaupt etwas dorthin.

Was übermittelt wird: die Meldung selbst, also Überschrift, ein bis drei Sätze und ein Link in dein Konto. Darin stehen die Namen deiner eigenen Demos und Agenten, Zahlen und Zeitpunkte, zum Beispiel „Demo geöffnet" mit dem Namen der Demo oder ein Hinweis, dass eine Kalenderverbindung abgerissen ist. Was nie übermittelt wird: Inhalte von Gesprächen, Daten der Endkunden deiner Betriebe (Name, Anschrift, Termine) und Zahlungsdaten.

Drittland: Telegram wird von Telegram Messenger Inc. betrieben, Unternehmen der Gruppe sitzen auf den Britischen Jungferninseln und in Dubai. Für diese Länder gibt es keinen Angemessenheitsbeschluss der EU-Kommission und keine Standardvertragsklauseln mit uns. Ein Schutzniveau wie in der EU ist damit nicht gewährleistet: Behörden dort können unter Umständen auf Daten zugreifen, und deine Rechte lassen sich schwerer durchsetzen. Rechtsgrundlage ist deshalb allein deine ausdrückliche Einwilligung, Art. 49 Abs. 1 lit. a und Art. 6 Abs. 1 lit. a DSGVO, die du mit dem Verbinden erteilst.

Widerruf: Du kannst die Verbindung in den Einstellungen jederzeit trennen. Wir löschen dann deine Chat-Kennung, und die Meldungen kommen wieder per E-Mail. Was Telegram bereits zugestellt hat, liegt danach weiter in deinem Telegram-Konto; das können nur du und Telegram löschen.

6. KI-Verarbeitung im Chat und im Postfach (Mistral AI, EU)

Chat-Eingaben und, beim Postfach-Assistenten, E-Mails samt Anhängen werden zur Verarbeitung an Mistral AI (Rechenzentren in der EU) übermittelt; das umfasst auch die Texterkennung eingescannter Dokumente. Für Chat und Postfach-Assistent werden keine KI-Anbieter außerhalb der EU eingesetzt. Bitte gib im Chat keine sensiblen personenbezogenen Daten ein, die nicht erforderlich sind.

Bestätigung per SMS nach dem Chat: Buchst du im Chat einen Termin, verschiebst ihn oder bittest um Rückruf und nennst dabei deine Handynummer, kann der Assistent dir das per SMS bestätigen, an genau diese Nummer. Bei Praxen, Kanzleien und anderen Berufen mit Schweigepflicht ist diese Bestätigung aus, solange der Betrieb sie nicht selbst einschaltet. Verschickt wird die SMS über Twilio, in den USA.

Richtest du einen Assistenten ein, gehen auf deinen Klick außerdem der Text der angegebenen Website und deine Angaben zum Betrieb an Mistral AI, um daraus den Assistenten zu bauen oder Vorschläge für seine Einstellungen zu machen. Einen Vorschlag speichern wir erst, wenn du ihn übernimmst. Eine Website, die nur für einen Vorschlag gelesen wird, speichern wir nicht. Trägst du zu einer Leistung eine Rückfrage nur als Stichwort ein, formuliert das KI-Modell daraus eine ganze Frage; du siehst und änderst sie im selben Feld.

Berufe mit Schweigepflicht. Ob dein Betrieb oder der Betrieb deines Kunden einer Schweigepflicht unterliegt, erkennen wir an Name, Branche und Leistungen, die du hinterlegst, und an der Beschreibung, mit der du einen Assistenten anlegst, für Berufe außerhalb der Heilberufe auch an den Namen deiner Kunden. Die Erkennung findet nicht jeden Betrieb; dann hinterlegst du den Beruf selbst. Ist er hinterlegt, ist das Mitschreiben aus, und Inhalte sieht nur der Betrieb selbst, wie im Vertrag zur Auftragsverarbeitung beschrieben. Halten wir einen Betrieb zu Unrecht dafür, schreib uns, dann prüfen wir es. Einschalten lässt sich das Mitschreiben dort nur über eine eigene Freigabe, den Tresor. Den schalten wir erst nach eigener Prüfung frei; bis dahin bleibt das Mitschreiben bei diesen Betrieben aus. Sobald er freigeschaltet ist und du darüber das Mitschreiben freigibst oder wieder schließt, halten wir fest, wer das wann getan und was er dabei bestätigt hat, als Nachweis für dich und uns (Art. 6 Abs. 1 lit. c und f DSGVO). Wir löschen diesen Nachweis drei Jahre nach dem Ende des Jahres, in dem der Assistent gelöscht wird.

Qualitätsauswertung: Zu jedem Gespräch legen wir eine Gesprächsakte an, um die Qualität der Assistenten zu prüfen und zu verbessern. Sie enthält Kennzahlen wie Dauer und Ergebnis, ein technisches Ablaufprotokoll ohne Inhalt und eine Bewertung. Speichert der Betrieb Gespräche, kommt der Verlauf hinzu, aber nur anonymisiert: Namen, Nummern, Adressen und andere Angaben zu deiner Person ersetzen wir automatisch durch Platzhalter und prüfen das Ergebnis maschinell. Diese Akten werten wir auch mit einem KI-Dienstleister aus, der sie nicht zum Training verwendet. Sie werden nach 90 Tagen gelöscht. Bei Praxen, Kanzleien und anderen Berufen mit Schweigepflicht enthält die Akte nie Gesprächsinhalt.

6a. Telefon-Assistent (Spracherkennung, Sprachmodell, Sprachausgabe)

Betreiber eines Agenten können zusätzlich einen Telefon-Assistenten einschalten. Ruft dann jemand an, wird das Gesprochene in Text umgewandelt, an das KI-Sprachmodell übermittelt und die Antwort als Sprache ausgegeben. Zu Beginn jedes Anrufs weist der Assistent darauf hin, dass es sich um eine KI handelt.

• Es entsteht keine Tonaufnahme. Die Stimme wird während des Anrufs verarbeitet und danach nicht abgelegt.
• Die Umschrift wird nur gespeichert, wenn der Betrieb das Mitschreiben für Telefonate eingeschaltet hat. Dann werden die Umschrift und eine Kurzfassung für die von ihm gewählte Frist (30 bis 180 Tage) gespeichert und danach automatisch gelöscht, und der Assistent sagt zu Beginn des Anrufs, dass mitgeschrieben wird. Bei neu angelegten Assistenten ist das voreingestellt und jederzeit abschaltbar; die Einstellung für den Chat gilt dafür nicht. Bei Praxen, Kanzleien, Beratungsstellen und anderen Berufen mit Schweigepflicht ist das Mitschreiben aus. Sobald wir es dort freischalten, kann der Betrieb es selbst einschalten; dann sehen die Inhalte nur er und seine eigenen Mitarbeiter, nicht ein Dienstleister, der den Assistenten für ihn eingerichtet hat, und nicht wir.
• Gespeichert werden Verbindungsdaten ohne Inhalt: welcher Agent angerufen wurde, Beginn und Dauer des Anrufs, eine Vorgangsnummer und das Ergebnis (etwa Termin gebucht oder Rückruf erbeten). Das dient der Abrechnung, der Missbrauchsabwehr und der Übersicht des Betriebs und wird nach sechs Monaten automatisch gelöscht.
• Keine Stimmerkennung: Es werden keine Stimmprofile erstellt oder gespeichert, und niemand wird anhand seiner Stimme wiedererkannt.
• Kein Training mit deinen Gesprächen: Die eingesetzten Sprachdienste sind vertraglich verpflichtet, die Daten weder aufzubewahren noch zu protokollieren noch für das Training von KI-Modellen zu verwenden.
• Die Telefonanbindung läuft über die EU: Eingehende Anrufe werden über einen europäischen Zugangspunkt geführt.
• Die im Gespräch genannten Angaben (Name, Rufnummer, Anliegen, bei Bedarf eine Adresse) gehen unmittelbar in den Kalender des Betriebs. Für die Benachrichtigung des Betriebs liegen sie bis zum Ende des Gesprächs bei uns zwischen, damit er eine vollständige Nachricht bekommt, und werden mit dem Versand gelöscht, spätestens eine Stunde nach dem Anruf. Hat der Betrieb das Mitschreiben eingeschaltet, bleiben sie zusätzlich für die von ihm eingestellte Frist in seiner Anrufübersicht, bei einem Beruf mit Schweigepflicht nur für ihn selbst sichtbar.
• Die Rufnummer, von der aus angerufen wird, wird während des Gesprächs verarbeitet. Möchtest du einen bereits gebuchten Termin verschieben oder absagen, sucht der Assistent ihn damit im Kalender des Betriebs; abgesagt wird erst, wenn du es ausdrücklich bestätigst. Bei uns gespeichert wird die Nummer dafür nicht, und der Assistent nennt von sich aus keine Termine, nach denen du nicht selbst gefragt hast. Nimmt beim Notdienst des Betriebs niemand ab, schicken wir die Nummer mit deinem Anliegen per SMS an den Notdienst, damit er dich zurückrufen kann; bei Berufen mit Schweigepflicht ohne das Anliegen.
• Wiedererkennung: Lässt der Betrieb Chats oder Anrufe mitschreiben und hat er keine Schweigepflicht hinterlegt, kann der Assistent an einen früheren, mitgeschriebenen Kontakt mit demselben Assistenten anknüpfen: an einen Chat, in dem du diese Rufnummer selbst genannt hast, oder an einen Anruf von derselben Rufnummer in den letzten 30 Tagen. Er fragt dann einmal, ob es um das frühere Anliegen geht, und nennt dabei dessen Thema, aber keinen Namen. Sprichst du einen früheren Anruf selbst an, bestätigt er ihn, statt zu fragen. Rufen mehrere Menschen von derselben Nummer an, kann so auch ein anderer erfahren, dass es diesen früheren Kontakt gab, worum es ging und bei einem Anruf ungefähr, wann. Für die Wiedererkennung von Anruf zu Anruf speichern wir deine Rufnummer nicht im Klartext, sondern nur einen Schlüssel, der je Assistent verschieden ist und aus dem sie sich ohne einen gesondert verwahrten Geheimwert nicht zurückrechnen lässt. Er wird nach 30 Tagen gelöscht, früher, wenn der Betrieb das Mitschreiben abschaltet oder eine Schweigepflicht hinterlegt. Dass von derselben Nummer schon angerufen wurde, sieht der Betrieb in seiner Anrufübersicht, so lange wie die übrigen Inhalte des Anrufs.
• SMS: Bei einer Buchung, einer Verschiebung oder einer Rückrufbitte kann der Assistent dir eine Bestätigung per SMS schicken, an die Nummer, die du dafür nennst, sonst an die, von der aus du anrufst. Bei Praxen, Kanzleien und anderen Berufen mit Schweigepflicht ist diese Bestätigung aus, solange der Betrieb sie nicht selbst einschaltet, und einen Link für Fotos gibt es dort nicht. Hat der Betrieb es eingeschaltet, kann er dir per SMS auch einen Link schicken, über den du Fotos oder Unterlagen nachreichst. Die Nummer, an die ein solcher Link ging, und den Anlass halten wir fest, solange der Link gilt, und löschen beides danach automatisch, spätestens am Folgetag. Was du darüber hochlädst, liegt auf unseren Servern in Deutschland und wird nach sieben Tagen gelöscht. Verschickt werden die SMS über Twilio, in den USA.

Diese Verarbeitung findet überwiegend in den Vereinigten Staaten statt. Eingesetzt werden LiveKit (Gesprächsvermittlung), Twilio (Telefonanbindung), Deepgram (Spracherkennung), Inworld (Sprachausgabe) und als Sprachmodell Mistral AI in der EU. Grundlage sind Auftragsverarbeitungsverträge und die EU-Standardvertragsklauseln (Art. 46 DSGVO). Wo eine Verarbeitung in der EU angeboten wird, nutzen wir sie. Der Chat ist davon nicht betroffen, und wer den Telefon-Assistenten nicht einschaltet, ebenfalls nicht.

Qualitätsauswertung: Zu jedem Gespräch legen wir eine Gesprächsakte an, um die Qualität der Assistenten zu prüfen und zu verbessern. Sie enthält Kennzahlen wie Dauer und Ergebnis, ein technisches Ablaufprotokoll ohne Inhalt und eine Bewertung. Speichert der Betrieb Gespräche, kommt der Verlauf hinzu, aber nur anonymisiert: Namen, Nummern, Adressen und andere Angaben zu deiner Person ersetzen wir automatisch durch Platzhalter und prüfen das Ergebnis maschinell. Diese Akten werten wir auch mit einem KI-Dienstleister aus, der sie nicht zum Training verwendet. Sie werden nach 90 Tagen gelöscht. Bei Praxen, Kanzleien und anderen Berufen mit Schweigepflicht enthält die Akte nie Gesprächsinhalt.

6b. Ausprobieren auf unserer Startseite (Assistent und Test-Anruf)

Auf unserer Startseite kannst du aus der Adresse einer Website einen KI-Assistenten bauen lassen und ihn ausprobieren, im Chat und mit einem Anruf im Browser. Verantwortlich im Sinne der DSGVO sind dafür wir selbst, nicht ein Partner.

• Der Bau: Wir rufen die öffentlich erreichbaren Seiten der Website ab, die du eingibst, und werten sie mit unserem KI-Modell aus (siehe Abschnitt 6). Bevor wir bauen, prüft ein Bot-Schutz, ob ein Mensch die Seite bedient (siehe Abschnitt 2). Der Assistent übernimmt aus der Website die Angaben, die dort über den Betrieb stehen. Den Link, mit dem du ihn ausprobierst, kannst du drei Tage nutzen, im Chat und für den Anruf. Den Assistenten selbst und die übernommenen Angaben löschen wir sechs Monate nach dem Bau automatisch, zusammen mit allem, was dann noch an ihm hängt.
• Der Anruf: Möchtest du den Assistenten hören, rufst du ihn mit einem Klick direkt im Browser an. Dafür nutzt dein Browser dein Mikrofon, sobald du es erlaubst. Eine Rufnummer fragen wir dafür nicht ab, und wir rufen dich nicht an. Zu Beginn des Gesprächs sagt der Assistent, dass er eine KI ist.
• Früherer Anruf aufs Handy: Bis Oktober 2026 konnte man sich vom Assistenten auch auf dem eigenen Handy anrufen lassen. Hast du das genutzt, bewahren wir den Nachweis deiner Einwilligung (Rufnummer, IP-Adresse, Zeitpunkt und Wortlaut der Einwilligung) fünf Jahre auf, damit wir sie belegen können, und löschen ihn danach automatisch (Art. 6 Abs. 1 lit. c und f DSGVO).
• Mitschrift: Das Gespräch wird als Text mitgeschrieben. Dazu halten wir eine Kurzfassung fest und die Angaben, die du im Gespräch nennst, etwa Name, Rufnummer und Anliegen. Wir nutzen das, um den Assistenten zu prüfen und Missbrauch zu erkennen. In unserer Anrufübersicht löschen wir Mitschrift, Kurzfassung und diese Angaben 30 Tage nach dem Gespräch automatisch. Eine Tonaufnahme entsteht nicht. Zeitpunkt und Dauer des Anrufs bewahren wir ohne Inhalt sechs Monate auf, wie bei jedem Telefonat (siehe Abschnitt 6a). Bitte nenne im Test-Anruf keine Gesundheitsdaten oder andere sensible Angaben, für den Test braucht es sie nicht.
• Sprache: Für das Gespräch setzen wir dieselben Dienstleister ein wie beim Telefon-Assistenten (siehe Abschnitt 6a), ohne Telefonanbindung. Das Gesprochene wird in Text umgewandelt, von einem KI-Sprachmodell beantwortet und als Sprache ausgegeben. Das geschieht überwiegend in den Vereinigten Staaten, auf Grundlage von Auftragsverarbeitungsverträgen und EU-Standardvertragsklauseln (Art. 46 DSGVO).
• Testtermin und Rückrufbitte: Du kannst im Gespräch ausprobieren, einen Termin zu vereinbaren oder um Rückruf zu bitten. Einen Termin trägt der Assistent mit den Angaben, die du ihm nennst, in unseren eigenen Vorführkalender ein; die Verbindung dorthin läuft über unseren Kalender-Dienstleister (siehe Abschnitt 4). Im Chat nehmen wir ihn gleich danach automatisch wieder heraus, beim Test-Anruf nach dem Gespräch. Bricht die Verbindung ungewöhnlich ab, nehmen wir ihn ebenfalls automatisch heraus, spätestens am Folgetag. Eine Kalendereinladung, eine Bestätigung per E-Mail oder eine SMS verschickt der Assistent beim Ausprobieren nicht.
• Dateien: Fotos und Dateien, die du im Chat hochlädst, liegen auf unseren Servern in Deutschland und werden nach sieben Tagen automatisch gelöscht.
• Rechtsgrundlagen: Der Bau, das Ausprobieren im Chat und im Browser, ein Testtermin und eine Rückrufbitte gehören zum Ausprobieren, um das du selbst gebeten hast (Art. 6 Abs. 1 lit. b DSGVO). Die Mitschrift und den Bot-Schutz stützen wir auf unser berechtigtes Interesse, den Assistenten zu prüfen und Missbrauch abzuwehren (Art. 6 Abs. 1 lit. f DSGVO).
• Widerspruch: Der Mitschrift kannst du jederzeit widersprechen, eine Nachricht an [email protected] genügt; wir löschen sie dann vorzeitig. Legst du während des Gesprächs auf, endet es sofort.

6c. Bewerbung für das AI MAXXER Mentoring

Auf unserer Bewerbungsseite (aimaxxer.de) kannst du dich für das 1:1-Mentoring von Thilo Auffarth bewerben und, wenn es passt, direkt einen Call mit ihm buchen. Verantwortlich im Sinne der DSGVO sind dafür wir selbst, nicht ein Partner. Der Chat dort stellt feste Fragen. Auf deine freien Antworten zu deinem Beruf und zu dem, was du bisher versucht hast, formuliert ein KI-Modell von Mistral AI (Frankreich) eine kurze Rückmeldung im Chat. Dafür geht nur der Text, den du in diese eine Antwort schreibst, mit der Frage dazu an Mistral. Deinen Namen, deine Kontaktdaten und deine übrigen Antworten fügen wir nicht hinzu. Mistral ist vertraglich verpflichtet, den Text weder aufzubewahren noch für das Training von KI-Modellen zu verwenden. Für die Rückmeldung speichern wir weder deine Antwort noch die Rückmeldung. Gespeichert wird deine Antwort erst, wenn du die Bewerbung abschickst. Ob ein Call passt, entscheiden feste Regeln, nicht das Modell. Google Analytics und den Meta-Pixel laden wir auf dieser Seite nicht, und Cookies für Statistik oder Werbung setzen wir dort keine. Deshalb erscheint dort auch kein Cookie-Hinweis.

• Das Video: Es lädt erst, wenn du darauf klickst. Das Vorschaubild davor holt unser Server bei YouTube, dein Browser verbindet sich bis zu deinem Klick nicht mit YouTube. Mit dem Klick lädt dein Browser die Steuerung des Players von YouTube und das Video im erweiterten Datenschutzmodus. Google Ireland Limited erhält dabei deine IP-Adresse und Angaben zu deinem Browser, kann Cookies oder ähnliche Speicher in deinem Browser nutzen und Daten an Google LLC in den USA übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 45 DSGVO). Nach dem Klick misst die Seite in deinem Browser, wie weit du das Video ansiehst. Gespeichert wird das nur, wenn du deine Bewerbung abschickst, und dann mit ihr. Dass das Video gestartet und zu einem Viertel, zur Hälfte, zu drei Vierteln und zu 90 Prozent gesehen wurde, zählen wir außerdem ohne Bezug zu dir (siehe „Zählung ohne Cookies“). Schließt du die Seite oder lädst sie neu, endet die Verbindung, und das Video lädt erst nach einem neuen Klick. Die Videos auf der Seite zur Vorbereitung auf deinen Call, das Willkommensvideo und die kurzen Antworten auf häufige Fragen, kommen aus unserem eigenen Speicher bei Hetzner in Deutschland, nicht von YouTube: Das Vorschaubild lädt dein Browser von dort mit der Seite, das Video erst, wenn du darauf klickst. Dabei werden deine IP-Adresse und technische Angaben zu deinem Browser verarbeitet, Cookies werden nicht gesetzt, Google ist nicht beteiligt, und wie weit du schaust, halten wir nicht fest. Liegt dort noch kein eigenes Willkommensvideo, zeigen wir es von YouTube wie oben beschrieben, auch dann ohne festzuhalten, wie weit du schaust.
• Deine Antworten: Im Chat beantwortest du Fragen zu deinem Ziel, zu dem, was du bisher versucht hast, zu deinem Beruf und wie viel du arbeitest, wenn du selbstständig bist auch, ob du davon lebst, wie viel Umsatz du ungefähr im Monat machst und seit wann du selbstständig bist, zu deiner freien Zeit, zu deinem Plan und, wenn du schon einen hast, wobei du noch Hilfe brauchst, wie wichtig dir die Umsetzung ist, ob du investieren möchtest und ob du das Video gesehen hast. Dazu kommen Name, E-Mail-Adresse und Handynummer. Bis du abschickst, speichern wir nichts davon. Nur deine Antworten zu Beruf und bisherigen Versuchen schickt dein Browser schon vorher einzeln über unseren Server an Mistral, für die Rückmeldung im Chat (siehe oben). Damit beim Neuladen nichts verloren geht, merkt sich dein Browser den Chat mit deinen Antworten und nach einer Buchung den Termin, bis du den Tab schließt. Gesundheitsdaten oder andere sensible Angaben braucht es nicht, bitte schreib keine in die freien Antworten.
• Zwei Haken: Abschicken kannst du nur mit dem ersten. Damit willigst du ein, dass wir deine Antworten und Kontaktdaten speichern, um deine Bewerbung zu prüfen und dich dazu zu kontaktieren, auch wenn kein Call zustande kommt. Ohne Speichern können wir eine Bewerbung nicht prüfen. Der zweite Haken ist freiwillig und nicht vorausgewählt: Mit ihm willigst du ein, dass wir dir Tipps und Angebote von AI MAXXER per E-Mail schicken und sehen dürfen, ob du sie öffnest und was du darin anklickst (siehe „Kontaktliste für E-Mails“ in Abschnitt 2). Wir halten fest, wann du die Haken gesetzt hast und welche Fassung des Textes du dabei gesehen hast. Hast du vor dem 31. Oktober 2026 eingewilligt, nannte der Text auch Tipps und Angebote zu botbuildr; dafür gilt deine Einwilligung weiter, bis du sie widerrufst. Weil wir deine Adresse bei der Bewerbung nicht prüfen, gilt der zweite Haken erst, wenn du ihn bestätigst: In der Bestätigung deines Calls steht dafür ein Knopf, mit dem du auf unserer Seite bestätigst, dass die Adresse dir gehört. Ohne diese Bestätigung bekommst du keine Tipps und Angebote, auch nicht, wenn du keinen Call buchst. Erst danach tragen wir deinen Vornamen, deine E-Mail-Adresse und den Tag deiner Bewerbung in unsere Liste für Tipps und Angebote bei Brevo ein (siehe Abschnitt 4) und halten fest, wann du bestätigt hast. Deine Antworten, deine Handynummer und unsere Vermerke gehen nicht dorthin.
• Ob ein Call passt: Ob wir dir direkt einen Termin anbieten, entscheidet unser Server nach festen Regeln anhand deiner Antworten zu deinem Beruf und wie viel du arbeitest (bei Selbstständigkeit auch, ob du davon lebst und wie viel Umsatz du machst), deiner freien Zeit, wie wichtig dir die Umsetzung ist und ob du investieren möchtest. Das KI-Modell ist daran nicht beteiligt. Eine Entscheidung mit rechtlicher Wirkung für dich ist das nicht. Möchtest du trotzdem mit Thilo sprechen, schreib ihm in unserer Skool-Community oder an [email protected].
• Der Call: Wählst du einen Termin, tragen wir den Call mit deinem Namen, deiner E-Mail-Adresse und deiner Handynummer in Thilos Google-Kalender ein, ohne deine Antworten. Die Verbindung zum Kalender läuft über unseren Kalender-Dienstleister Nylas (siehe Abschnitte 4 und 9). Kalender und Google Meet stellt Google Ireland Limited über Google Workspace bereit, auch hier kann Google Daten an Google LLC in den USA übermitteln (Data Privacy Framework). Google schickt dir die Einladung mit dem Link zum Call an deine E-Mail-Adresse. Nimmst du teil, verarbeitet Google deine Teilnahme mit Bild und Ton. Deine Handynummer nutzen wir nur, um dich zu deiner Bewerbung und zum Call zu erreichen, etwa wenn der Link nicht klappt. Sagst du in der Einladung ab, wird der Platz frei, und wir vermerken die Absage an deiner Bewerbung. Nimmst du die Einladung an, sehen wir das in Thilos Kalender und vermerken den Zeitpunkt der Zusage am Termin. Kam keine Einladung an, kannst du den Call auf der Seite zur Vorbereitung auch selbst in deinen Kalender eintragen: Der Knopf für Google oder Outlook öffnet die Seite des jeweiligen Anbieters und übergibt ihr Titel, Zeitpunkt, Beschreibung und Link des Calls, ohne deinen Namen. Die Datei für Apple erzeugt unser Server nur aus Beginn und Ende des Calls. Was du damit in deinem Kalender speicherst, liegt bei deinem Kalenderanbieter.
• E-Mails zum Call: Nach der Buchung bekommst du sofort eine Bestätigung und vor dem Call zwei Erinnerungen, 24 Stunden und eine Stunde vorher. Buchst du weniger als 36 Stunden vorher, entfällt die erste Erinnerung. Diese Mails enthalten nur, was du für den Call brauchst, keine Werbung. Hast du den zweiten Haken gesetzt, steht in der Bestätigung zusätzlich der Knopf, mit dem du ihn bestätigst. Wir verschicken sie über Brevo in der EU, mit deinem Namen, deiner E-Mail-Adresse und Zeitpunkt und Link des Calls, dazu gegebenenfalls dem Link zum Bestätigen (siehe Abschnitt 4). Eine SMS schicken wir nicht.
• WhatsApp: Auf der Seite zur Vorbereitung kannst du Thilo über einen Knopf auf WhatsApp schreiben. Der Knopf ist ein einfacher Link: Solange du ihn nicht antippst, lädt die Seite nichts von WhatsApp. Tippst du ihn an, öffnet sich WhatsApp mit einem vorbereiteten Text ohne deinen Namen und ohne deinen Termin, und erst wenn du auf Senden tippst, geht die Nachricht an Thilo. Ab dann verarbeitet WhatsApp Ireland Limited deine Nummer, dein Profil und eure Nachrichten und kann Daten an Meta Platforms, Inc. in den USA übermitteln, die nach dem EU-US Data Privacy Framework zertifiziert ist (Art. 45 DSGVO). Thilo nutzt den Chat nur für deine Bewerbung und deinen Call, nicht für Werbung. Den Chat löscht er, wenn er für deine Bewerbung und den Call nicht mehr gebraucht wird, spätestens wenn wir deinen Eintrag im CRM löschen (siehe „Speichern und Löschen“), und sofort, wenn du widerrufst. Möchtest du WhatsApp nicht nutzen, erreichst du ihn genauso in unserer Skool-Community oder per E-Mail.
• Meldung an Thilo: Auf sein Handy bekommt Thilo nur eine kurze Meldung wie „Neue Bewerbung“ oder „Call gebucht“, ohne deinen Namen, deine Kontaktdaten, deine Antworten und ohne den Zeitpunkt des Calls. Eine Zusammenfassung deiner Bewerbung mit deinen Antworten und deiner Handynummer schicken wir per E-Mail an unser eigenes Postfach, versendet über Brevo (siehe „E-Mails“ in Abschnitt 2). Dort bewahren wir sie nicht länger auf als deinen Eintrag im CRM. Widerrufst du oder bittest du um Löschung, löschen wir auch diese Mails.
• Speichern und Löschen: Deine Bewerbung speichern wir in unserem eigenen Vertriebs-CRM auf unseren Servern in Deutschland. Den Eintrag sehen nur wir, keine anderen Nutzer und keine Partner. Gespeichert werden deine Antworten und Kontaktdaten, ob ein Call passt, ob du einen gebucht hast, wann er ist und der Link dazu, nach dem Call unser Vermerk, ob du dabei warst und ob daraus eine Zusammenarbeit wurde, wie weit du das Video gesehen hast, wann du welchen Haken gesetzt und wann du Tipps und Angebote bestätigt oder abbestellt hast, unsere Vermerke und die Kampagnenangaben aus der Adresse, über die du kamst (etwa utm_source, nie aus einem Cookie), dazu der Name der Website, von der du kamst. Bewirbst du dich mit derselben E-Mail-Adresse noch einmal oder stehst du als Kunde schon in unserem CRM, ergänzen wir den bestehenden Eintrag. Wir löschen ihn 24 Monate nach unserem letzten Kontakt mit dir, sofort, wenn du deine Einwilligung widerrufst. Eine Nachricht an [email protected] genügt, was bis dahin geschah, bleibt rechtmäßig. Mit dem Eintrag löschen wir auch den Termin in Thilos Kalender und die Angaben aus deiner Bewerbung bei Brevo. Liegt der Call noch vor dir, bekommst du dazu eine Absage aus dem Kalender. Den zweiten Haken widerrufst du mit einer Nachricht an uns oder über den Link zum Abbestellen in jeder dieser Mails. Nutzt du den Link, erfahren wir das von Brevo und vermerken es an deiner Bewerbung. Dann schicken wir dir keine Tipps und Angebote mehr, und deine Bewerbung bleibt. Bei Brevo bleibt dann nur deine E-Mail-Adresse mit dem Vermerk, dass du keine mehr möchtest.
• Zählung ohne Cookies: Wir zählen, wie oft die Bewerbungsseite aufgerufen wird, wie oft das Video startet und zu einem Viertel, zur Hälfte, zu drei Vierteln und zu 90 Prozent gesehen wird, wie oft im Chat jede einzelne Frage und das Feld für deine Kontaktdaten erscheint, wie oft eine Bewerbung abgeschickt wird, wie viele davon bei uns ankommen, wie viele unser Server ablehnt und wie viele passen, wie oft freie Termine angezeigt und wie viele Calls gebucht werden. Was du antwortest, zählen wir dabei nicht, nur dass eine Frage erschienen oder entfallen ist, etwa die Frage zum Video, wenn du es schon gesehen hast. Eine Nachfrage erscheint nur nach bestimmten Antworten, ihre Zahl zeigt also, wie viele so geantwortet haben. Auf der Seite zur Vorbereitung zählen wir, wie oft sie aufgerufen wird und wie oft jemand den Knopf für WhatsApp oder einen Kalender antippt und ein Video startet. Gespeichert wird nur eine Summe je Tag, Schritt und Quelle, ohne IP-Adresse, ohne Kennung, ohne Uhrzeit und ohne Cookie. Als Quelle zählt die Kampagnenangabe aus der Adresse (utm_source), sonst ob du aus unserer App, aus einer unserer E-Mails zum Call oder aus dem Kalendertermin kamst, sonst der Name der Website, von der du kamst (zum Beispiel YouTube oder Skool), nie die ganze Adresse. Buchst du einen Call, merken wir uns diese Quelle auch am Termin. Deine IP-Adresse hält unser Server nur kurz im Arbeitsspeicher, um übermäßig viele Meldungen zu bremsen. Damit sehen wir, welche Kampagne Bewerbungen bringt und an welcher Stelle jemand aussteigt.
• Bot-Schutz: Bevor wir eine Bewerbung annehmen, prüft der Bot-Schutz von Cloudflare, ob ein Mensch die Seite bedient (siehe Abschnitt 2). Zu viele Bewerbungen von derselben IP-Adresse bremst unser Server, ebenso zu viele Anfragen nach einer Rückmeldung im Chat; auch dafür liegt sie nur kurz im Arbeitsspeicher.
• Rechtsgrundlagen: Den Call, um den du bittest, samt Termin im Kalender, Einladung, Zusage, Bestätigung, Erinnerungen, den Knöpfen für deinen Kalender und Nachrichten, die du Thilo auf WhatsApp schickst, stützen wir auf Art. 6 Abs. 1 lit. b DSGVO. Das Speichern deiner Bewerbung und den Kontakt dazu stützen wir auf deine Einwilligung mit dem ersten Haken (Art. 6 Abs. 1 lit. a DSGVO), Tipps und Angebote per E-Mail und die Messung von Öffnen und Klicks auf deine Einwilligung mit dem zweiten Haken, die du über den Knopf bestätigst (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG, § 25 Abs. 1 TDDDG), das Video auf deine Einwilligung durch den Klick (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Dass dein Browser Antworten und Termin bis zum Schließen des Tabs speichert, ist für die Bewerbung, um die du bittest, unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Zählung, Kampagnenangaben, unseren Vermerk nach dem Call, Bot-Schutz und die Rückmeldung des KI-Modells auf deine freien Antworten stützen wir auf unser berechtigtes Interesse, zu sehen, welche Wege Bewerbungen und Kunden bringen, Missbrauch abzuwehren und das Gespräch im Chat persönlich zu führen (Art. 6 Abs. 1 lit. f DSGVO). Dem kannst du jederzeit widersprechen, eine Nachricht an [email protected] genügt.
• Früheres Formular: Angaben aus unserem früheren Formular für ein Strategiegespräch nutzen wir nur für dieses Gespräch, auf Grundlage deiner damaligen Einwilligung, und löschen sie 24 Monate nach unserem letzten Kontakt mit dir.

7. Kalender, E-Mail-Versand und Postfach-Assistent (Google, Microsoft)

Betreiber eines Agenten können den Kalender ihres Betriebs mit botbuildr verbinden, damit der Agent freie Zeiten prüfen und Termine buchen kann. Bei Microsoft können sie zusätzlich den Postfach-Assistenten einschalten. Die Verbindung wird über unseren Dienstleister Nylas hergestellt und ausschließlich vom Betrieb selbst erteilt. Sie kann jederzeit wieder getrennt werden.

• Worauf zugegriffen wird: auf Kalenderdaten (bestehende Termine, um freie Zeiten zu prüfen und einen gebuchten Termin wiederzufinden; Anlegen, Ändern und Absagen von Terminen) und, sofern der Betrieb es aktiviert, auf den Versand von E-Mails aus seiner eigenen Adresse. Auf eingehende E-Mails nur bei Microsoft und nur, wenn der Betrieb den Postfach-Assistenten einschaltet.
• Bei Google: Wir fordern ausschließlich die Berechtigung zum Senden an (gmail.send) sowie den Kalenderzugriff. Ein Lesezugriff auf das Gmail-Postfach besteht nicht, weder technisch noch tatsächlich. Wir haben keinen Zugriff auf empfangene Nachrichten, Entwürfe, Labels oder Kontakte.
• Bei Microsoft: Microsofts Schnittstelle gibt die Berechtigung zum Senden nicht einzeln heraus. Wer den Versand über ein Microsoft-Konto nutzt, erteilt technisch zugleich Lese- und Schreibrechte am Postfach. Solange der Betrieb den Postfach-Assistenten nicht einschaltet, lesen wir keine E-Mails, rufen keine ab, speichern keine und werten keine aus. Genutzt wird dann ausschließlich das Versenden der Nachricht, die der Betrieb selbst ausgelöst hat.
• Postfach-Assistent (freiwillig, nur bei Microsoft): Schaltet ein Betrieb ihn für sein Postfach ein, werden eingehende E-Mails samt Anhängen gelesen, eingescannte Dokumente per Texterkennung, um sie einzuordnen, zusammenzufassen, in Ordner zu verschieben und Antworten vorzubereiten. Nach Regeln, die der Betrieb selbst festlegt, leitet der Assistent E-Mails oder Anhänge an Ziele weiter, die der Betrieb bestimmt hat, etwa an seine Buchhaltung, oder legt sie dort ab. Ohne eine solche Regel geht nichts weiter, und eine Adresse aus einer E-Mail wird nie als Ziel übernommen. Die KI-Verarbeitung findet in der EU statt (Abschnitt 6). Inhalte von E-Mails speichern wir nicht; nur ein Anhang, der an ein Ziel gehen soll, liegt bis zur Zustellung höchstens sieben Tage auf unseren Servern in Deutschland. Entwürfe liegen im Postfach des Betriebs. Antworten sendet er nur, wenn der Betrieb oder eine von ihm berechtigte Person sie einzeln freigibt. Der Betrieb kann den Assistenten jederzeit abschalten.
• Worauf in keinem Fall: kein Zugriff auf Kontakte, keiner auf Dateien außerhalb von E-Mails, keine Nutzung von Postfachinhalten für eigene Zwecke, keine Weitergabe außer an Ziele, die der Betrieb selbst festlegt, und kein Training von KI-Modellen damit.
• Wofür: einzig zur Ausführung der vom Betrieb bestellten Funktionen, also Verfügbarkeit prüfen, Termine anlegen, verschieben, absagen, Anfragen weitergeben, die zugehörigen Bestätigungen und Benachrichtigungen versenden, auf seinen Klick Links zum Nachreichen von Fotos verschicken und, wenn er ihn einschaltet, der Postfach-Assistent.
• Was gespeichert wird: die Zugangskennung der Verbindung, die E-Mail-Adresse des verbundenen Kontos, der Anbieter und die Kennung des gewählten Kalenders. Termininhalte werden nicht auf Vorrat gespeichert, sondern bei Bedarf abgerufen. Beim Postfach-Assistenten kommen Kennungen, Einordnung und Bearbeitungsstand der E-Mails hinzu, nicht ihr Inhalt; ausgenommen ist ein Anhang auf dem Weg zu einem Ziel (siehe oben).
• Was wir nicht tun: Wir geben diese Daten nicht an Dritte weiter, nutzen sie nicht für Werbung, verkaufen sie nicht und verwenden sie nicht zum Trainieren von KI-Modellen. Weiterleitungen, die der Betrieb beim Postfach-Assistenten selbst festlegt, führen wir in seinem Auftrag aus.

Die Nutzung von Daten aus Google-Konten erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Der Betrieb kann die Verbindung jederzeit in botbuildr trennen oder in seinem Google- bzw. Microsoft-Konto unter den verbundenen Apps entziehen; danach ist kein Zugriff mehr möglich. Die gespeicherte Zugangskennung löschen wir, sobald die Verbindung in botbuildr getrennt oder das Konto gelöscht wird.

8. Kontaktlisten für die Akquise

Partner mit Zugang zur Akquise-Funktion können eine eigene Liste von Betrieben hochladen, für die botbuildr automatisch eine unverbindliche Demo baut. Für diese Listen ist der jeweilige Partner der Verantwortliche, nicht wir. Wir verarbeiten die Angaben ausschließlich in seinem Auftrag; Grundlage ist der Auftragsverarbeitungsvertrag.

• Welche Angaben: Firmenname, Website, geschäftliche E-Mail-Adresse und Telefonnummer, also die Kontaktdaten, die der Betrieb selbst öffentlich angibt, und gegebenenfalls der Name eines Ansprechpartners, für die Anrede. Angaben zu Privatpersonen gehören nicht in eine solche Liste.
• Wozu: die Website öffentlich abrufen, daraus eine Demo erzeugen und dem Betrieb auf Veranlassung des Partners eine Nachricht schicken.
• Wenn du eine Demo öffnest: Der Partner erfährt, ob und wann du sie geöffnet oder darin geschrieben hast. Die Meldung darüber enthält nicht, was du schreibst. Dazu speichern wir je Besuch eine Zufallskennung, die bei jedem Aufruf neu entsteht, die Zahl deiner Nachrichten, Zeitpunkte und einen Vermerk, ob ein Mensch die Demo geöffnet hat. Deine IP-Adresse und deinen Namen speichern wir dafür nicht. 180 Tage nach dem jeweiligen Besuch löschen wir diese Angaben automatisch, mit der Demo auch früher. Ob das Gespräch selbst gespeichert wird, entscheidet der Partner für seinen Assistenten (siehe Abschnitt 2). Das gilt für jede Demo, die dir ein Partner schickt, auch ohne Liste.
• Wer sendet: die Mail geht aus dem eigenen Postfach des Partners und mit seiner Absenderangabe raus, sofort oder zu einem vom Partner gewählten Zeitpunkt. Jede einzelne Mail gibt er selbst frei, es gibt keinen automatischen Massenversand.
• Wie lange: eine hochgeladene Liste wird spätestens nach 30 Tagen vollständig gelöscht, unabhängig davon, ob sie abgearbeitet wurde. Der Partner kann sie jederzeit vorher löschen. Daraus gebaute Demos bleiben im Konto des Partners, bis er sie löscht. Hat der Partner eingestellt, dass Betriebe aus seinen Listen sofort in sein CRM übernommen werden, oder hat er dir geschrieben, stehen Firmenname und die Kontaktdaten aus der Liste dort als Kontakt, bis er ihn löscht oder sein Konto endet.
• Was wir nicht tun: Wir nutzen diese Listen nicht für eigene Zwecke, geben sie nicht weiter, führen sie nicht mit Listen anderer Partner zusammen und trainieren damit keine KI-Modelle.

Der Partner ist dafür verantwortlich, die Betriebe seiner Liste nach Art. 14 DSGVO zu informieren und die Anforderungen an geschäftliche Ansprache (u. a. § 7 UWG) einzuhalten. Wenn du eine solche Nachricht erhalten hast und nicht weiter kontaktiert werden möchtest, wende dich an den Absender der Mail; er ist für seine Liste verantwortlich. Du erreichst aber auch uns unter den Kontaktdaten in Abschnitt 1, wir leiten dein Anliegen weiter.

Sperrliste. Jede dieser Nachrichten enthält einen Abmeldelink. Wer ihn nutzt oder auf anderem Weg widerspricht, wird in eine Sperrliste aufgenommen, und zwar plattformweit: Danach kann kein Partner diese Adresse mehr anschreiben, auch nicht aus einer anderen Liste. Gespeichert wird dafür ausschließlich das nötige Minimum, nämlich eine Prüfsumme der E-Mail-Adresse (kein Klartext) und gegebenenfalls die Domain des Betriebs, dazu Zeitpunkt und Anlass der Sperre. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO, also die Pflicht, einem Widerspruch dauerhaft nachzukommen. Genau dafür bleibt dieser Eintrag bestehen: Ohne ihn könnte dieselbe Adresse bei einer späteren Recherche erneut erfasst werden. Zu anderen Zwecken wird die Sperrliste nicht genutzt.

9. Verantwortlicher außerhalb der EU

Anwendung und Datenbank laufen in Deutschland, die KI-Verarbeitung im Chat und beim Postfach-Assistenten in Frankreich. Wir selbst greifen ortsunabhängig auf die Daten zu, auch aus Staaten außerhalb der EU. Ausgeliefert wird die Website über Cloudflare, das auch den Bot-Schutz stellt (siehe Abschnitt 2). Cloudflare sitzt in den USA und kann die dabei übertragenen Daten, etwa die IP-Adresse, auch außerhalb der EU verarbeiten. Kalender und Postfächer werden über Nylas angebunden (siehe Abschnitt 7), einen US-Anbieter, bei dem die Daten in einem Rechenzentrum in London liegen. Für das Vereinigte Königreich gilt ein Angemessenheitsbeschluss der EU-Kommission. Für beide gelten ein Auftragsverarbeitungsvertrag und, für Zugriffe aus den USA, das EU-U.S. Data Privacy Framework oder die EU-Standardvertragsklauseln.

Darüber hinaus gibt es zwei Ausnahmen. Die erste ist das Telefon: der Telefon-Assistent, auch beim Test-Anruf im Browser auf unserer Startseite (siehe Abschnitte 6a und 6b). Dabei werden Daten in den Vereinigten Staaten verarbeitet. Verantwortlicher ist eine US-Gesellschaft; soweit personenbezogene Daten in ein Drittland übermittelt werden, stützen wir uns auf die EU-Standardvertragsklauseln (Art. 46 DSGVO) als geeignete Garantie. Für die EU haben wir zudem einen Vertreter nach Art. 27 DSGVO benannt (siehe Abschnitt 1).

Die zweite sind die Benachrichtigungen über Telegram (siehe Abschnitt 5), und sie greift nur, wenn du sie selbst einschaltest. Dorthin gehen Daten in ein Land ohne Angemessenheitsbeschluss, getragen von deiner ausdrücklichen Einwilligung. Ohne diese beiden Funktionen findet keine dieser Übermittlungen statt.

Daneben können Daten in die USA gehen, an Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind, das die EU-Kommission als angemessen anerkannt hat (Art. 45 DSGVO): an Google und Meta, wenn du im Cookie-Hinweis Statistik oder Werbung zustimmst oder bei der Registrierung den Haken „Werbung messen“ setzt (siehe Abschnitt 10), an Google, wenn du dich für das Mentoring bewirbst und einen Call buchst oder dort ein Video startest (siehe Abschnitt 6c), an Meta, wenn du Thilo von der Seite zur Vorbereitung aus auf WhatsApp schreibst (siehe Abschnitt 6c), an die Anbieter der Videos in der Academy und im Mitgliederbereich (siehe Abschnitt 2) und, ab dem Umzug unserer E-Mail-Postfächer, an Microsoft. Dann liegen E-Mails an uns und von uns in Rechenzentren von Microsoft in den USA (siehe Abschnitt 2, „E-Mails“).

10. Cookies, Statistik und Werbung

Notwendige Cookies setzen wir ohne Nachfrage, weil die Seite ohne sie nicht funktioniert (§ 25 Abs. 2 Nr. 2 TDDDG): deine Anmelde-Sitzung und deine Auswahl im Cookie-Hinweis (bb_einwilligung). Die Auswahl gilt 12 Monate, wenn du allem zustimmst, und 6 Monate bei jeder anderen Wahl. Danach fragen wir dich erneut, früher nur, wenn wir den Umfang ändern. Der Bot-Schutz (siehe Abschnitt 2) liest Merkmale deines Browsers aus und kann technisch notwendige Informationen darin ablegen. Wir setzen ihn nur für diese Prüfung ein. In unserer Academy merkt sich dein Browser, ob du sie als Partner oder für deinen eigenen Betrieb liest und welche Lektionen du abgeschlossen hast, damit du dort weitermachen kannst, wo du warst. Das liegt nur im Speicher deines Browsers, wir bekommen es nicht zu sehen. Löschst du die Websitedaten in deinem Browser, ist es weg.

Alles Weitere nur mit deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Du gibst sie im Cookie-Hinweis auf unseren öffentlichen Seiten, etwa Startseite, Ausprobieren, Academy und Rechtstexte, für Statistik und Werbung einzeln, oder mit dem Haken „Werbung messen“ bei der Registrierung (siehe unten). Google und Meta laden wir nur auf diesen öffentlichen Seiten. Auf unserer Bewerbungsseite für das Mentoring laden wir weder Google Analytics noch den Meta-Pixel und zeigen dort deshalb keinen Cookie-Hinweis (siehe Abschnitt 6c). In deinem Konto, in Chatfenstern auf den Websites unserer Kunden und auf Seiten unserer Partner setzen wir keine Cookies von Google oder Meta und laden ihre Dienste nicht. Was du in deinem Konto selbst tust, etwa einen Assistenten bauen oder einen Tarif kaufen, kann unser Server mit deiner Einwilligung trotzdem an Google und Meta melden (siehe „Meldungen von unserem Server“). Gemeldet werden dabei nur Schritte deines Kontos bei uns. Daten deiner Kunden, Inhalte deiner Assistenten und ihre Gespräche sind nie dabei.

• Statistik (Google Analytics): Google Analytics zählt, welche Seiten aufgerufen werden, woher Besucher kommen, etwa über welche Anzeige oder Website, und was sie auf der Seite tun: wie weit sie scrollen, Klicks auf Links zu anderen Websites, Suchen, Interaktionen mit Formularen (ohne deine Eingaben), Videos und Downloads. Dazu melden wir eigene Ereignisse: ob du die Preise ansiehst, einen Tarif wählst (mit Tarif und Preis), einen Probier-Assistenten baust oder ihn im Browser anrufst. Google erfasst dabei Gerätetyp, Betriebssystem, Browser, Sprache, Bildschirmgröße und deinen ungefähren Ort, den Google aus der IP-Adresse ableitet, und legt eine zufällige Kennung in einem Cookie ab. Damit sehen wir, welche Seiten helfen, wo Besucher abspringen und welche Wege Kunden bringen. Solange du Werbung nicht zustimmst, laufen keine Google-Signale und keine Werbefunktionen, und wir geben die Daten aus deinem Browser nicht für Werbung frei. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, für die Statistik als unser Auftragsverarbeiter. Cookies: _ga und _ga_… mit dieser Kennung, 12 Monate. Die Auswertungsdaten löscht Google nach 14 Monaten.
• Werbung, Meta-Pixel: Der Meta-Pixel meldet Meta, welche unserer Seiten du aufrufst und welche Knöpfe du klickst, samt Beschriftung und Angaben zur Seite, dazu die Ereignisse oben (Preise angesehen, Tarif gewählt, Probier-Assistent gebaut, Test-Anruf gestartet). Mit dabei sind IP-Adresse, Browser- und Geräteangaben und die Kennungen aus den Cookies _fbp und _fbc; kommst du über eine Anzeige, steht in _fbc die Kennung dieses Klicks. Gibst du auf diesen Seiten eine E-Mail-Adresse oder Telefonnummer in ein Formular ein, bildet der Pixel in deinem Browser einen Hash davon und schickt ihn mit. Ein Hash ist eine Prüfsumme: Die Adresse lässt sich daraus nicht ablesen, Meta kann ihn aber mit den Hashes seiner Nutzer vergleichen und dich so deinem Facebook- oder Instagram-Konto zuordnen, wenn du eines hast. Meta verbindet die Daten mit Daten von anderen Websites und Apps und nutzt sie auch für eigene Zwecke, etwa um Anzeigen auszuspielen und seine Produkte zu verbessern. Wir nutzen sie, um zu messen, welche Anzeige jemanden zu uns gebracht hat, und um Zielgruppen zu bilden: Wir zeigen unsere Anzeigen dir, etwa wenn du etwas ausprobiert, aber noch kein Konto hast, und Menschen mit ähnlichen Merkmalen, und wir nehmen Kunden aus Anzeigen heraus, die für neue Kunden gedacht sind. Cookies: _fbp und _fbc, 3 Monate.
• Gemeinsam mit Meta verantwortlich: Für das Erheben deiner Daten mit dem Pixel und für das Übermitteln an Meta, auch durch unseren Server, sind wir mit Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, gemeinsam verantwortlich (Art. 26 DSGVO). Die Vereinbarung dazu stellt Meta unter facebook.com/legal/controller_addendum bereit. Danach informieren wir dich und holen deine Einwilligung ein, Meta sorgt für die Sicherheit seiner Werkzeuge und beantwortet deine Anfragen zu den Daten, die Meta gespeichert hat. Deine Rechte kannst du bei uns oder bei Meta geltend machen; was Meta betrifft, leiten wir weiter. Was Meta danach mit den Daten tut, verantwortet Meta allein, siehe die Datenschutzrichtlinie von Meta.
• Werbung, Google: Stimmst du Werbung zu, schalten wir in Google Analytics zusätzlich die Werbefunktionen und Google-Signale frei. Bist du bei Google angemeldet und hast dort personalisierte Werbung erlaubt, verknüpft Google deine Besuche mit deinem Google-Konto, auch über deine Geräte hinweg, und ergänzt Angaben wie Altersgruppe, Geschlecht und Interessen; wir sehen davon nur zusammengefasste Berichte. Google darf die Daten aus Google Analytics dann auch für Werbung nutzen, ebenso die Meldungen unseres Servers (siehe unten), und kann dafür Werbe-Cookies setzen (_gcl_…, 90 Tage). Stimmst du nur Werbung zu, ohne Statistik, laden wir Google Analytics trotzdem, aber ohne das Cookie _ga und ohne Kennung: Google erfährt dann, welche Seiten aufgerufen werden, und die Ereignisse oben, mit IP-Adresse und Browserangaben, und ordnet sie über die Werbe-Cookies den Anzeigen zu, über die jemand kam. Für diese Nutzung zu Werbezwecken ist Google selbst verantwortlich, siehe die Datenschutzerklärung von Google.
• Werbung, Empfehlungslink: Kommst du über den Link eines Partners, merken wir uns seinen Code 30 Tage lang im Cookie agentify_ref, damit seine Empfehlung auch zählt, wenn du dich erst bei einem späteren Besuch registrierst (siehe Abschnitt 2, Empfehlungsprogramm). Der Code bleibt bei uns.

Meldungen von unserem Server. Manche Schritte passieren dort, wo weder Pixel noch Google Analytics laufen, etwa in deinem Konto oder bei der Zahlung. Diese meldet unser Server direkt an Meta und Google, die auf unseren öffentlichen Seiten zusätzlich zum Pixel, damit nichts verloren geht und Meta denselben Schritt nicht doppelt zählt. Gemeldet wird, wenn du

• auf unserer Startseite einen Probier-Assistenten baust (vom Server nur an Meta),
• dich registrierst,
• deinen ersten Assistenten baust oder zum ersten Mal einen live schaltest, also das Telefon einschaltest, als Partner einen Assistenten an deinen ersten Kunden übergibst oder dein Chatfenster auf einer Website zum ersten Mal ein Gespräch führt (gemeldet wird dann nur, dass es stattfand, nichts daraus, und bei Assistenten mit hinterlegter Schweigepflicht gar nicht),
• eine Bestellung beginnst oder einen Tarif, Credits oder Minuten kaufst, mit Tarif, Laufzeit und Betrag,
• deinen Tarif hochstufst, mit dem vorherigen Tarif und dem Mehrbetrag im Monat,
• eine Kündigung vormerkst oder sie zurücknimmst, mit Tarif und Laufzeit.

An Meta gehen dabei, soweit vorhanden, deine E-Mail-Adresse, dein Vor- und Nachname, wenn dein Name im Konto wie einer aussieht, deine Telefonnummer, wenn du eine hinterlegt hast, und deine Kundennummer, jeweils als Hash, dazu IP-Adresse, Browserangaben, die Seite, der Zeitpunkt, ob du Partner oder Betrieb bist, die Angaben zu Tarif und Betrag aus der Liste oben und bei einem Kauf eine Bestellnummer, die wir aus der Zahlung bilden. Hast du im Cookie-Hinweis Werbung zugestimmt, kommen die Kennungen aus _fbp und _fbc dazu. An Google gehen dieselben Schritte mit Kontoart, Tarif und Betrag, aber ohne E-Mail-Adresse, Name, Telefonnummer und IP-Adresse, verknüpft mit der Kennung aus deinem Cookie _ga, wenn du Statistik zugestimmt hast. Liegt diese Kennung an deinem Konto nicht vor, oder hast du nur Werbung zugestimmt, nehmen wir eine Kennung, die wir aus deiner Kundennummer bilden. Meta bekommt diese Meldungen, wenn du im Cookie-Hinweis Werbung zugestimmt oder den Haken „Werbung messen“ gesetzt hast, Google, wenn du Statistik oder Werbung zugestimmt oder den Haken gesetzt hast. Für Werbung freigegeben sind sie bei Google nur mit Werbung oder dem Haken. Den Probier-Assistenten melden wir nur mit Zustimmung zu Werbung im Cookie-Hinweis. Stimmst du erst zu, während oder nachdem dein Probier-Assistent entsteht, meldet unser Server diesen einen Bau nach deiner Zustimmung nach, solange du auf der Seite bist, höchstens eine Stunde nach dem Bau. Dafür hält er bis dahin nur zwei Kennungen im Arbeitsspeicher: eine Zufallszahl deines Browsers für diesen Bau und den gebauten Assistenten. Solange du noch nicht zugestimmt hast, stützen wir dieses Vormerken auf unser berechtigtes Interesse, eine spätere Zustimmung vollständig umzusetzen (Art. 6 Abs. 1 lit. f DSGVO); gemeldet wird erst mit ihr. Schritte in deinem Konto melden wir als deine, auch wenn jemand mit einem Zugang zu deinem Konto sie auslöst; über diese Person selbst melden wir nichts. Für Konten unseres eigenen Teams und für Vorführkonten melden wir nie etwas, ebenso nichts aus einer Sitzung, in der wir für den Support in deinem Konto sind.

Was wir dafür an deinem Konto speichern. Einen Kauf meldet uns unser Zahlungsdienstleister ohne deinen Browser. Damit er trotzdem nur mit deiner Einwilligung und richtig zugeordnet gemeldet wird, halten wir deine Wahl an deinem Konto fest. Dafür übernimmt unser Server bei der Registrierung, beim Anmelden, beim Beginn einer Bestellung und nach deiner Wahl im Cookie-Hinweis deine Auswahl aus dem Cookie bb_einwilligung. Dein Browser schickt dabei auch die Cookies _fbp, _fbc und _ga mit; deren Kennungen übernehmen wir nur, soweit du Werbung (_fbp, _fbc) oder Statistik (_ga) zugestimmt hast. Gespeichert werden deine Wahl mit Tag und Fassung des Hinweises, diese Kennungen samt der laufenden Sitzung bei Google, mit Werbung oder dem Haken deine IP-Adresse und Browserangaben, und der Zeitpunkt eines Widerrufs. So können wir deine Einwilligung auch nachweisen (Art. 7 Abs. 1 DSGVO). Die Kopie löschen wir automatisch 12 Monate nach deiner Wahl, wenn du allem zugestimmt hast, sonst nach 6 Monaten, sofort bei einem Widerruf und mit deinem Konto. Den Zeitpunkt eines Widerrufs und die zuletzt übernommene Auswahl aus dem Cookie (Statistik, Werbung, Tag und Fassung) behalten wir, solange das Konto besteht, damit eine ältere Zustimmung von einem anderen Gerät den Widerruf nicht aufhebt und wir nachweisen können, was du wann gewählt hast. Wann du deinen ersten Assistenten gebaut und zum ersten Mal einen live geschaltet hast, halten wir auch ohne Einwilligung an deinem Konto fest, damit dieser Schritt nur einmal gemeldet wird (Art. 6 Abs. 1 lit. f DSGVO). Gemeldet wird er nur mit Einwilligung.

Haken „Werbung messen“ bei der Registrierung. Hast du im Cookie-Hinweis Werbung nicht zugestimmt oder ihn nie gesehen, fragen wir dich bei der Registrierung mit einem eigenen Haken, ob Meta und Google erfahren dürfen, dass du dich registriert, deinen ersten Assistenten gebaut oder live geschaltet, eine Bestellung begonnen, etwas gekauft oder gekündigt hast. Er ist freiwillig und nicht vorangekreuzt, die Registrierung geht ohne ihn genauso. Setzen kannst du ihn auch später in deinem Konto. Mit dem Haken gehen die Meldungen von unserem Server wie oben beschrieben an Meta, mit E-Mail-Adresse, Vor- und Nachname, Kundennummer und, falls hinterlegt, Telefonnummer als Hash, IP-Adresse und Browserangaben, aber ohne Kennungen aus Cookies, denn der Haken erlaubt nur Meldungen von unserem Server, kein Auslesen deines Browsers. Google bekommt statt einer Kennung aus einem Cookie eine, die wir aus deiner Kundennummer bilden; die Schritte lassen sich dort keinem Besuch zuordnen. Wir speichern, wann und wo du den Haken gesetzt hast (bei der Registrierung oder in deinem Konto), welche Fassung des Textes du gesehen hast, deine IP-Adresse und Browserangaben. Der Haken gilt 12 Monate, danach löschen wir ihn automatisch und melden nichts mehr. Lehnst du später im Cookie-Hinweis Werbung ab oder widerrufst in deinem Konto, fällt er sofort weg.

Wie oft der Cookie-Hinweis angenommen wird. Wir zählen, wie oft der Hinweis erscheint, wie oft jemand die Einstellungen öffnet und wie entschieden wird (alles akzeptiert, abgelehnt, nur Statistik, nur Werbung). Dafür meldet dein Browser unserem Server das jeweilige Ereignis, die Wahl liest der Server aus dem Cookie bb_einwilligung. Gespeichert wird nur eine Summe je Tag, getrennt nach Fassung des Hinweises, Geräteart (Handy oder Computer) und Art der Seite, ohne IP-Adresse, ohne Kennung, ohne Uhrzeit und ohne Cookie. Deine IP-Adresse hält der Server nur kurz im Arbeitsspeicher, um übermäßig viele Meldungen zu bremsen. Damit sehen wir, wie viele zustimmen, und können nachweisen, dass der Hinweis niemanden zu einer Wahl drängt. Grundlage ist unser berechtigtes Interesse daran (Art. 6 Abs. 1 lit. f DSGVO). Die Summen lassen keinen Rückschluss auf dich zu.

Übermittlung in die USA: Google und Meta können Daten an ihre Muttergesellschaften Google LLC und Meta Platforms, Inc. in den Vereinigten Staaten übermitteln. Beide sind nach dem EU-US Data Privacy Framework zertifiziert, das die EU-Kommission als angemessen anerkannt hat (Art. 45 DSGVO).

Widerruf: Du kannst deine Auswahl jederzeit ändern oder widerrufen, über „Cookie-Einstellungen“ unten auf jeder unserer öffentlichen Seiten oder direkt hier: Cookie-Einstellungen öffnen. Hast du ein Konto, geht es auch dort unter „Einstellungen“ in der Karte „Statistik und Werbung“: „Alles widerrufen“ nimmt die Einwilligung aus dem Cookie-Hinweis und den Haken zurück. Mit dem Widerruf löschen wir die genannten Cookies in deinem Browser, soweit er das zulässt, laden die Dienste nicht mehr, melden nichts mehr von unserem Server und leeren die Angaben an deinem Konto. Was bis dahin übermittelt wurde, bleibt rechtmäßig. Was Google und Meta schon gespeichert haben, löschen sie nach ihren eigenen Fristen; deine Rechte dazu kannst du auch direkt bei ihnen geltend machen.

11. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist bzw. gesetzliche Aufbewahrungsfristen bestehen. Nach Löschung deines Kontos werden zugehörige Daten gelöscht, soweit oben keine eigene Frist genannt ist und keine Aufbewahrungspflicht entgegensteht.

Gesprächsakten zur Qualitätsauswertung: 90 Tage nach dem Gespräch.

Bewerbungen für das Mentoring: 24 Monate nach unserem letzten Kontakt mit dir, sofort bei einem Widerruf; der Termin in Thilos Kalender und die Angaben bei Brevo zusammen mit ihr (siehe Abschnitt 6c).

Kontakt bei Brevo: solange dein Konto besteht oder, nach einer Bewerbung, solange wir sie speichern. Hast du Tipps und Angebote abbestellt, bleibt danach nur deine E-Mail-Adresse mit diesem Vermerk, damit dich auch später keine erreichen (siehe Abschnitt 2).

12. Deine Rechte

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18).
• Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).
• Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Zur Ausübung genügt eine E-Mail an [email protected].

13. Nutzerinnen und Nutzer in der Schweiz

Für Personen in der Schweiz gilt zusätzlich das Schweizer Datenschutzgesetz (revDSG). Die oben beschriebenen Verarbeitungen und Schutzmassnahmen sind dieselben; die Begriffe unterscheiden sich teilweise. Was die DSGVO „Auftragsverarbeitung" nennt, heisst im revDSG „Auftragsbearbeitung" (Art. 9 revDSG), und aus „personenbezogenen Daten" werden „Personendaten".

• Deine Rechte: Auskunft (Art. 25 revDSG), Berichtigung, Löschung und Herausgabe oder Übertragung deiner Daten (Art. 28 revDSG) sowie Widerspruch gegen eine Bearbeitung. Eine E-Mail an [email protected] genügt, genau wie oben.
• Aufsicht: Beschwerden richtest du an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), Feldeggweg 1, 3003 Bern. Die Beschwerde bei einer EU-Aufsichtsbehörde bleibt daneben möglich.
• Datenfluss: Anwendung, Datenbank und die KI-Verarbeitung im Chat und im Postfach liegen in der EU. Die Schweiz und die EU erkennen das Datenschutzniveau der jeweils anderen Seite als angemessen an, für die Übermittlung braucht es deshalb keine zusätzlichen Garantien. Ausgenommen sind die Auslieferung über Cloudflare, die Anbindung über Nylas und, ab ihrem Umzug, unsere E-Mail-Postfächer bei Microsoft (siehe Abschnitt 9) sowie der Telefon-Assistent und der Test-Anruf (siehe Abschnitte 6a und 6b), für die die Standardvertragsklauseln gelten (Art. 16 Abs. 2 lit. d revDSG), und die freiwilligen Telegram-Benachrichtigungen (siehe Abschnitt 5), für die deine ausdrückliche Einwilligung gilt (Art. 17 Abs. 1 lit. a revDSG). Google und Meta nach deiner Einwilligung (siehe Abschnitt 10), Google bei einer Bewerbung für das Mentoring (siehe Abschnitt 6c) und die Anbieter der Videos (siehe Abschnitt 2) übermitteln in die USA an Unternehmen, die nach dem Data Privacy Framework zertifiziert sind; der Bundesrat erkennt das für zertifizierte Unternehmen als angemessen an (Art. 16 Abs. 1 revDSG).
• Vertretung in der Schweiz: Eine Vertretung nach Art. 14 revDSG ist nur vorgeschrieben, wenn die Bearbeitung umfangreich, regelmässig und mit einem hohen Risiko verbunden ist. Das trifft auf uns derzeit nicht zu. Sollte sich das ändern, benennen wir eine Vertretung und veröffentlichen sie an dieser Stelle.

14. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert.