Datenschutzerklärung

1. Datenschutz auf einen Blick

Die folgenden Hinweise geben Ihnen einen Überblick, was mit Ihren personenbezogenen Daten geschieht, wenn Sie diese Website besuchen. Personenbezogen sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Datenschutzbeauftragter

Wir haben derzeit keinen Datenschutzbeauftragten benannt. Wir prüfen laufend, ob die Voraussetzungen für eine Benennung nach Art. 37 DSGVO und § 38 BDSG vorliegen, und benennen einen Datenschutzbeauftragten, sobald dies erforderlich ist; seine Kontaktdaten veröffentlichen wir dann an dieser Stelle. Datenschutzanfragen richten Sie an den Verantwortlichen unter [email protected].

Nach unserer Prüfung (Schwellenwertanalyse) liegen die Voraussetzungen für die Benennung derzeit nicht vor. Sind Sie anderer Auffassung oder haben Sie Hinweise auf Verstöße gegen den Datenschutz, schreiben Sie uns bitte an [email protected]. Wir prüfen jeden Hinweis zeitnah und ergreifen bei Bedarf Maßnahmen. Ihr Recht, sich an eine Datenschutz-Aufsichtsbehörde zu wenden, bleibt unberührt.

3. Verantwortlicher

DigMa Systems UG (haftungsbeschränkt)
vertreten durch den Geschäftsführer Stanislav Tonkich
Richard-Wagner-Str. 33
94060 Pocking, Deutschland
E-Mail: [email protected]
Telefon: siehe Impressum

4. Hosting

Diese Website wird bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Der Serverstandort ist Nürnberg, Deutschland (Rechenzentrum nbg1). Bei Aufruf der Website werden automatisch Informationen (IP-Adresse, Browsertyp, Betriebssystem, Referrer URL, Uhrzeit) in Server-Log-Dateien erfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technisch fehlerfreier Darstellung). Die auf dem Hetzner-Server gespeicherten Daten liegen in Deutschland. Die Auslieferung der Website erfolgt über das Netzwerk der Cloudflare, Inc. (USA) als Auftragsverarbeiter; dabei werden IP-Adresse und Verbindungsdaten verarbeitet (siehe Ziffer 6). KI-Funktionen nutzen zusätzlich Anbieter in den USA (siehe Ziffer 6 und 8). Ein Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 DSGVO wurde mit Hetzner geschlossen.

5. Datenerfassung auf dieser Website

Kontaktformular

Wenn Sie uns per Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben (Name, E-Mail, Nachricht, optional: Firmenname, Telefon) zwecks Bearbeitung der Anfrage bei uns gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Zur Bearbeitung speichern wir die Angaben zusätzlich in unserem selbst betriebenen CRM (EspoCRM) und bei unserem E-Mail-Dienstleister Brevo in einer Liste für Anfragen; an diese Liste versenden wir keine Werbe-E-Mails. Newsletter und Werbung erhalten Sie nur nach gesonderter Anmeldung mit Double-Opt-In. Die Daten werden gelöscht, sobald der Zweck der Speicherung entfällt.

Vormerkliste, Newsletter und Anfrage zu individuellen Automatisierungen

Wenn Sie sich auf der Vormerkliste eintragen oder den Newsletter bestellen, speichern wir Name (soweit angegeben), E-Mail-Adresse, Quelle der Anmeldung sowie technische Herkunftsangaben (Referrer, Kampagnenparameter, aufgerufene Seite) in unserer Datenbank auf dem Hetzner-Server. Sie erhalten eine Bestätigungs-E-Mail (Double-Opt-In, Versand über Resend). Ihre Angaben werden außerdem in unserem selbst betriebenen CRM (EspoCRM) und bei Brevo gespeichert. Weitere E-Mails über die Bestätigung hinaus (Informationen zum Start, Newsletter) versenden wir erst, nachdem Sie den Bestätigungslink angeklickt haben; unbestätigte Adressen erhalten keine solchen E-Mails. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Daten bleiben bis zu Ihrem Widerruf gespeichert; danach halten wir nur den Nachweis Ihrer Einwilligung und Abmeldung vor (siehe Ziffer 9). Der Widerruf ist jederzeit über den Abmeldelink in jeder E-Mail oder per E-Mail an [email protected] möglich.

Wenn Sie über das Formular eine individuelle Automatisierung anfragen, verarbeiten wir Name, E-Mail-Adresse, optional Unternehmen sowie Ihre Beschreibung, Budgetrahmen und Dringlichkeit, um Ihre Anfrage zu beantworten. Die Angaben werden per E-Mail an uns weitergeleitet und im CRM erfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Speicherdauer: siehe Ziffer 9 (Lead-Datensätze).

Server-Log-Dateien

Der Provider erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch an uns übermittelt: Browsertyp und -version, Betriebssystem, Referrer URL, Hostname, Uhrzeit der Serveranfrage, IP-Adresse. Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen.

Rechtsgrundlagen (Übersicht)

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), gesetzliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO, § 147 AO).

6. KI-Einsatz und Datenverarbeitung durch Dritte

Zur Erbringung unserer Dienstleistungen (KI-gestützte Automatisierungen, Content-Generierung, Workflow-Orchestrierung) setzen wir KI-Systeme und externe Auftragsverarbeiter ein. Im Rahmen dieser Nutzung werden Geschäftsdaten an folgende Auftragsverarbeiter übermittelt:

KI-Werkzeuge (Modell-Anbieter):

• Anthropic, PBC (San Francisco, USA): KI-Verarbeitung (Claude API), Textanalyse und Generierung; Auftragsverarbeitungsvertrag (DPA) einschließlich EU-Standardvertragsklauseln (SCC) liegt vor (Bestandteil der Anthropic-Nutzungsbedingungen); keine Nutzung für Modelltraining (kommerzielle API)
• OpenAI Ireland Ltd. (IE/USA): KI-Verarbeitung (GPT-Modelle für Text-Chat, Textgenerierung und Embeddings; Bild- und Spracherkennungsmodelle nur, soweit einzelne Prototyp-Automatisierungen sie vorsehen, derzeit nicht im Produktivbetrieb); DPA einschließlich EU-Standardvertragsklauseln (SCC) liegt vor; keine Nutzung für Modelltraining (kommerzielle API); API-Protokolle werden nach Anbieter-Standard bis zu 30 Tage zur Missbrauchserkennung gespeichert

Beim Text-Chat im Website-Widget werden die eingegebenen Texte an die hier genannten KI-Modell-Anbieter übermittelt (nach aktuellem Stand ausschließlich OpenAI, Modell gpt-4o-mini). Für Recherche-Dienste, mit denen kein Auftragsverarbeitungsvertrag besteht (z. B. Perplexity Pro; einen Auftragsverarbeitungsvertrag bietet Perplexity nur für API- und Enterprise-Tarife an), geben wir keine Kundendaten ein, sondern nur anonymisierte Anfragen.

Infrastruktur und Operations:

• Hetzner Online GmbH (Gunzenhausen / Nürnberg, Deutschland): Hosting + Server-Infrastruktur, einschließlich der selbst betriebenen Anwendungen (CRM, Workflow-Automatisierung). Die auf dem Hetzner-Server gespeicherten Daten liegen in Deutschland. Der Datenverkehr läuft zusätzlich über Cloudflare (siehe unten); die hier genannten KI-Dienste sitzen teilweise in den USA. Der Hosting-Anbieter weist für seine Rechenzentren eine Zertifizierung nach ISO/IEC 27001 aus (Angabe des Anbieters).
• Cloudflare, Inc. (San Francisco, USA; EU-Vertreter: Cloudflare Germany GmbH, München): DNS-Verwaltung, CDN, Reverse Proxy und DDoS-Schutz für bot-agent.de und Subdomains; verarbeitet IP-Adressen, User-Agent und Request-Header; Cloudflare Customer DPA einschließlich SCC (nach den Cloudflare-Nutzungsbedingungen durch Verweis einbezogen). Die Übermittlung in die USA stützt sich auf diese Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), zusätzlich auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und schnelle Auslieferung der Website)
• Sendinblue SAS (Brevo)(55 Rue d'Amsterdam, 75008 Paris, Frankreich, EU): E-Mail-Marketing, Newsletter mit Double-Opt-In, automatisierte E-Mail-Sequenzen sowie Versand der PDF-Berichte aus den kostenlosen Online-Tools. Datenhaltung in EU-Rechenzentren; Zugriffe durch Unterauftragsverarbeiter außerhalb der EU regelt das Brevo-DPA. Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wurde mit Brevo abgeschlossen; das Data Processing Agreement ist als Anhang 3 der Nutzungsbedingungen unter brevo.com/legal/termsofuse einsehbar.
• Selbst betriebenes CRM-System (EspoCRM) (Open-Source, selbst gehostet auf Hetzner-Server in Deutschland): Lead- und Kontakt-Management (keine externe Auftragsverarbeitung im Sinne des Art. 28 DSGVO, wir sind zugleich Betreiber dieser Anwendung; die zugrunde liegende Infrastruktur ist über den AVV mit Hetzner abgedeckt)
• Selbst betriebene Workflow-Automatisierung (n8n) (Open-Source, selbst gehostet auf Hetzner-Server in Deutschland; die Instanz ist unter einer Subdomain geo.step-seeds.de der DigMa Systems UG (haftungsbeschränkt) erreichbar, Verantwortlicher ist derselbe): Workflow-Orchestrierung (Lead-Scoring, Drip-Sequenzen, Datenflüsse zwischen Kontaktformularen, Tools, externem E-Mail-Dienst und CRM; technisches Monitoring; keine externe Auftragsverarbeitung)
• Resend (Plus Five Five, Inc.) (San Francisco, USA): Versand transaktionaler Plattform-E-Mails (Bestellbestätigungen, Rechnungen, System-Benachrichtigungen); DPA + EU-Standardvertragsklauseln (SCC)
• Sentry (Functional Software, Inc.) (San Francisco, USA; Verarbeitung in EU-Region Frankfurt): Erfassung technischer Fehler; Leistungsmessung und Aufzeichnung fehlerhafter Sitzungen nur nach Ihrer Einwilligung (siehe Ziffer 11a); DPA + EU-Standardvertragsklauseln (SCC)

KI-Voice-Agent „BotAgent“ im Website-Widget (siehe Ziffer 8):

• Vapi, Inc. (San Francisco, USA): Voice-AI-Orchestrierung für den browserbasierten Voice-Agent (Web-SDK, kein Telefonanschluss; Audioaufnahme in der Vapi-Konfiguration deaktiviert, das Gespräch wird als Text protokolliert); das DPA ist in die Vapi-Nutzungsbedingungen einbezogen und mit Nutzungsbeginn wirksam (einschließlich SCC)
• Daily, Inc. (San Francisco, USA): Übertragung des Sprachstroms in Echtzeit (WebRTC) zwischen Ihrem Browser und Vapi; Unterauftragsverarbeiter von Vapi (Vertragskette über das Vapi-DPA, siehe security.vapi.ai). Ihr Browser verbindet sich dafür direkt mit Servern von Daily; dabei wird Ihre IP-Adresse übermittelt
• Deepgram, Inc. (San Francisco, USA): Spracherkennung (Speech-to-Text, Modell „nova-3“) aus dem Mikrofon-Audio im Browser; Unterauftragsverarbeiter von Vapi (Vertragskette über das Vapi-DPA)
• Sprachsynthese (Text-to-Speech, Stimme „de-DE-KatjaNeural“): erfolgt über Vapi; als Sub-Auftragsverarbeiter von Vapi wird dafür der Dienst Microsoft Azure genutzt (siehe die Unterauftragsverarbeiter-Liste von Vapi unter security.vapi.ai, Stand der von uns geprüften Fassung: 09.06.2026). Übertragen wird nur der generierte Antworttext des KI-Assistenten, keine Angaben zu Ihrer Person. Ein eigener Vertrag mit Microsoft besteht nicht; die Vertragskette läuft über Vapi.
• OpenAI, L.L.C. (San Francisco, USA): LLM (Modell gpt-4o-mini) für Antwortgenerierung im Voice Agent, aufgerufen innerhalb der Vapi-Orchestrierung (abweichend vom direkten API-Zugang über OpenAI Ireland Ltd. für die übrigen KI-Werkzeuge, siehe oben); kein Modell-Training auf Kundendaten (kommerzielle API); API-Protokolle nach Anbieter-Standard bis zu 30 Tage; DPA einschließlich EU-Standardvertragsklauseln liegt vor (zusätzlich EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist)

Der Voice-Agent ist ausschließlich über das Website-Widget im Browser erreichbar (Mikrofon-Berechtigung erforderlich); es besteht keine Telefonnummer und keine Rufnummern-/Caller-ID-Erhebung. Drittlandtransfer in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), zusätzlich auf Grundlage des EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist. Mit Vapi besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO, Deepgram und Microsoft Azure sind dort als Unterauftragsverarbeiter eingebunden. Das Data Processing Addendum von Vapi ist nach den Vapi-Nutzungsbedingungen Vertragsbestandteil (vapi.ai/terms-of-service); das Dokument selbst wird von Vapi über das Vapi Trust Center bereitgestellt, Teile der dortigen Unterlagen nur auf Zugangsanfrage; die Liste der Unterauftragsverarbeiter ist unter security.vapi.ai einsehbar. Details zu Aufbewahrungsdauer und Einwilligungsverfahren siehe Ziffer 8.

Interne Content-Generierung (Blog blog.bot-agent.de):

• OpenRouter, Inc. (Wilmington, DE, USA): LLM-Gateway für interne Blog-Themen- und Textgenerierung im n8n-Workflow; keine Kunden-/Endkunden-PII wird übertragen, nur Themen, Keywords und Stil-Vorgaben; das DPA ist Bestandteil der OpenRouter-Nutzungsbedingungen. Zusätzlich im kostenlosen Chatbot-Check zur Bewertung der Antworten fremder Website-Chatbots (Testfragen und Chatbot-Antworten, keine Nutzerdaten)
• KIE.ai (USA): KI-Bildgenerierung für Blog-Header und Inline-Illustrationen im n8n-Workflow; keine personenbezogenen Daten, nur Text-Prompts; ein gesonderter AVV liegt nicht vor und wird vom Anbieter nicht angeboten, daher werden ausschließlich Text-Prompts ohne Personenbezug übermittelt

Drittlandtransfer in die USA erfolgt auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Da ausschließlich Geschäftsdaten (Themen, Stil, Bildbeschreibungen) übertragen werden, ist das datenschutzrechtliche Risiko gering.

Zahlungsabwicklung: Aktuell findet keine Zahlungsverarbeitung über die Website statt. Bei Inbetriebnahme des Zahlungssystems wird die Datenschutzerklärung um folgende Auftragsverarbeiter ergänzt. Die Information erfolgt vor Aktivierung:

• Mollie B.V. (Amsterdam, Niederlande): Zahlungsabwicklung (Karten, SEPA, Sofortüberweisung)
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg): PayPal-Zahlungen
• Haufe-Lexware GmbH & Co. KG (Freiburg, Deutschland): Rechnungsstellung (lexoffice), Buchhaltung, DATEV-Export für Steuerberater

Alle drei vorgesehenen Anbieter haben ihren Sitz innerhalb der EU; ob und welche Unterauftragsverarbeiter in Drittländern eingesetzt werden, teilen wir vor Aktivierung mit.

Es werden ausschließlich Geschäftsdaten verarbeitet (Firmenname, Business-DNA, Marketingkennzahlen, Workflow-Konfigurationen). Personenbezogene Daten Ihrer Endkunden werden nicht ohne separate vertragliche Grundlage an KI-Systeme übermittelt. Gemäß Art. 50 der EU-KI-Verordnung (Verordnung (EU) 2024/1689) weisen wir transparent auf den KI-Einsatz hin. Die KI dient als automatisiertes Hilfsmittel, nicht als alleinige Entscheidungsinstanz.

6a. Information über neue Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO)

Sofern wir personenbezogene Daten im Auftrag eines Kunden verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO, geregelt im jeweiligen Auftragsverarbeitungs-Vertrag), informieren wir den Auftraggeber mindestens 10 Tage im Voraus in Textform (E-Mail genügt) über die Beauftragung neuer Unter-Auftragsverarbeiter, insbesondere bei:

• Wechsel oder Ergänzung von KI-Modell-Anbietern (z. B. neuer LLM-Provider für Automatisierungen oder Voice Agent)
• Wechsel oder Ergänzung von Hosting- oder Speicher-Anbietern
• Wechsel oder Ergänzung von E-Mail-, Voice- oder Monitoring-Dienstleistern, soweit diese personenbezogene Daten verarbeiten
• Verlagerung der Verarbeitung in ein anderes Land

Der Auftraggeber kann innerhalb dieser Frist in Textform an [email protected] widersprechen, wenn berechtigte Datenschutzbedenken bestehen. Wir bemühen uns nach Treu und Glauben um eine einvernehmliche Lösung. Kommt diese nicht zustande, kann der Auftraggeber den betroffenen Dienstanteil kündigen.

Diese Regelung gilt zusätzlich zu den Informationspflichten aus Art. 13/14 DSGVO gegenüber den betroffenen Personen und ergänzt etwaige Subprozessor-Listen im jeweiligen AVV.

7. Kostenlose Online-Tools (Diagnose-Module)

Unter bot-agent.de/check stellen wir mehrere kostenlose Online-Diagnose-Module bereit (z. B. Automation-Check, Agent-Readiness-Check, Chatbot-Check, DSGVO-Check, ROI-Check). Sie dienen als vorvertragliche Informations- und Bewertungs-Hilfen für Geschäftskunden („Lead-Magneten“) und stehen ausschließlich Unternehmern im Sinne des § 14 BGB zur Verfügung.

Funktionsweise: Der Nutzer gibt geschäftliche Daten ein (Branche, Geschäftsbereich, ggf. konkrete Use Cases, Website-URL). Die Eingabedaten werden serverseitig analysiert. Anschließend gibt der Nutzer seine geschäftliche E-Mail-Adresse an, um den vollständigen PDF-Bericht zu erhalten. Der Bericht wird über Brevo als E-Mail-Anhang an die angegebene Adresse versandt. Dafür speichern wir Ihre Adresse bei Brevo in einer Liste, die ausschließlich der Zustellung des angeforderten Berichts und der Beantwortung von Rückfragen dazu dient; an diese Liste versenden wir keine Werbe-E-Mails. Ein Lead-Datensatz in unserem selbst betriebenen CRM-System (EspoCRM) entsteht nur, wenn Sie uns zusätzlich eine Kontaktanfrage senden oder um Rückmeldung bitten. Weitere E-Mails (Tipps, Newsletter, E-Mail-Sequenzen) erhalten Sie nur, wenn Sie die gesonderte Marketing-Einwilligung erteilt und per Double-Opt-In bestätigt haben; die selbst betriebene Workflow-Automatisierung (n8n) versendet Folge-E-Mails ausschließlich an bestätigte Adressen.

Optionale Marketing-Einwilligung: Beim Anfordern des Reports steht zusätzlich ein eigenes, nicht vorangekreuztes Kästchen bereit, mit dem Sie freiwillig Tipps und Hinweise zu Marketing-Themen per E-Mail anfordern können. Der Versand des Reports hängt davon nicht ab. Setzen Sie das Kästchen, senden wir Ihnen über Brevo zunächst eine Bestätigungs-E-Mail (Double-Opt-In); erst mit dem Klick auf den Bestätigungslink wird die Einwilligung wirksam und Ihre Adresse in einen Marketing-Verteiler aufgenommen. Zum Nachweis speichern wir den Zeitpunkt der Anfrage, die Version des angezeigten Einwilligungstextes und die Bestätigung durch Brevo. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, zum Beispiel über den Abmeldelink in jeder E-Mail oder per Nachricht an uns.

Datenkategorien: geschäftliche Eingabedaten (Branche, Bereich, Use Cases, Website-URL, Mitarbeiterzahl-Range); geschäftliche E-Mail-Adresse; optional: Firmenname, Ansprechpartner; technisch: IP-Adresse, Zeitstempel, User-Agent (Rate-Limit-/Missbrauchs-Schutz).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Anfrage des Nutzers); für weiterführende E-Mail-Sequenzen (Drip, Newsletter): Art. 6 Abs. 1 lit. a DSGVO (gesonderter Double-Opt-In erforderlich); für Rate-Limit-/Missbrauchsschutz: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an IT-Sicherheit).

Speicherdauer: Tool-Eingabedaten werden nach 30 Tagen aus den Tool-Logs gelöscht (automatischer wöchentlicher Löschlauf). Ein Lead-Datensatz in EspoCRM, sofern er entstanden ist, bleibt bis zum Widerruf, längstens jedoch 12 Monate nach der letzten Änderung des Datensatzes gespeichert; danach wird er durch einen automatischen wöchentlichen Löschlauf gelöscht, sofern keine Geschäftsbeziehung entstanden ist. Zweck ist die Beantwortung von Rückfragen zum angeforderten Bericht; ein längerer Zeitraum ist dafür nicht erforderlich.

Zur Ratenbegrenzung und zum Schutz vor Missbrauch werden zusätzlich ein gehashter IP-Wert sowie der User-Agent des Browsers gespeichert; dies erfolgt auf Grundlage des berechtigten Interesses an IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO) und unterliegt derselben 30-tägigen Löschfrist. Blockierte Analyseversuche (bei Erreichen des täglichen kostenlosen Kontingents) werden aus demselben Grund und mit derselben Frist protokolliert. Auf Anfrage per Kontaktformular können einzelne Nutzer von der Ratenbegrenzung ausgenommen werden; die hierfür gespeicherte gehashte IP-Kennung wird für höchstens 12 Monate ab der Freischaltung aufbewahrt und danach automatisch gelöscht; auf Ihren Wunsch löschen wir sie früher (Art. 6 Abs. 1 lit. f DSGVO). Eine Freischaltung kann auf erneute Anfrage wiederholt werden.

Sicherheitsmaßnahmen: Honeypot-Feld zur Bot-Abwehr, Rate-Limit (max. 10 Analysen / 3 PDF-Anfragen pro Minute und IP), ausschließliche Übertragung via HTTPS (TLS), keine Weitergabe der Eingabedaten an Dritte über die in Ziffer 6 genannten Auftragsverarbeiter hinaus.

KI-Transparenz (Art. 50 EU AI Act):Module mit KI-Komponente werden im erzeugten PDF-Bericht entsprechend gekennzeichnet („KI-gestützt erstellt“; ein Zusatz zur fachlichen Prüfung steht dort nur, wenn eine Prüfung stattgefunden hat).

8. KI-Voice-Agent „BotAgent“ im Website-Widget

Im Chat-Widget unserer Website bieten wir neben dem Text-Chat auch einen Anruf-Tab („🎙️ Anruf“) an, über den Sie direkt im Browser (Mikrofon-Berechtigung erforderlich) mit einem KI-gestützten Sprachassistenten („BotAgent“) sprechen können. Es handelt sich nicht um einen Telefonanruf: Es gibt keine geschäftliche Rufnummer für den Voice-Agent, keine Anrufweiterleitung und keine Erhebung einer Anrufer-Telefonnummer (Caller-ID). Nutzerinnen und Nutzer werden zu Beginn jedes Gesprächs transparent informiert, dass sie mit einem KI-System sprechen (Art. 50 Abs. 1 EU-KI-Verordnung). Der Assistent qualifiziert Interessenten und übergibt komplexe Anfragen an einen menschlichen Ansprechpartner. Der Voice Agent schließt keine Verträge ab und gibt keine rechtsverbindlichen Auskünfte.

Information bei Gesprächsbeginn (Art. 13 DSGVO): Da Mikrofon-Audio und Gesprächsinhalt direkt im Browser beim Nutzer als betroffener Person erhoben werden, erfolgt die Information nach Art. 13 DSGVO durch eine automatisierte Ansage zu Beginn jedes Gesprächs mit folgendem Mindestinhalt: (1) Identität des Verantwortlichen (Stanislav Tonkich / Bot-Agent), (2) Hinweis, dass es sich um ein KI-System handelt (Art. 50 EU AI Act), (3) Zweck der Verarbeitung (Erstqualifikation, Vertragsanbahnung), (4) Rechtsgrundlage (Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, durch Klick auf „Einverstanden“), (5) Hinweis auf die vorliegende Datenschutzerklärung sowie (6) Hinweis auf die Betroffenenrechte (siehe Abschnitt 12).

Was verarbeitet wird:

• Mikrofon-Audio während des Gesprächs (nur zur Live-Transkription; es erfolgt keine Audioaufnahme und keine dauerhafte Speicherung als Audiodatei)
• Gesprächsinhalt als Transkript
• Angaben, die Sie im Gespräch selbst machen: Ihr Name (freiwillig; der Assistent fragt am Gesprächsende danach), der Name Ihres Unternehmens sowie Ihre Antworten auf die Qualifizierungsfragen (Branche, Mitarbeiterzahl, aktuelle Zeit- oder Arbeitsbelastung im Tagesgeschäft, Erfahrung mit Automatisierung). Eine Telefonnummer oder ein Rückrufzeitpunkt wird nur verarbeitet, wenn Sie diese im Gespräch von sich aus nennen.
• Daraus abgeleitet: eine Empfehlung für ein passendes Produkt aus unserem Katalog und eine kurze Gesprächszusammenfassung
• Ihre E-Mail-Adresse wird am Telefon nicht abgefragt. Nach dem Gespräch können Sie sie freiwillig selbst in das Kontaktformular eintragen; nur dann erhalten Sie eine Bestätigungs-E-Mail mit der Gesprächszusammenfassung.

Automatisierte Unterstützung (Art. 22 DSGVO): Die Produktempfehlung ist eine automatisierte Einschätzung als Hilfsmittel für das Gespräch. Sie entfaltet keine rechtliche oder ähnlich erhebliche Wirkung für Sie: Es kommt dadurch kein Vertrag zustande, es ändern sich keine Preise oder Konditionen, und eine Bestellung erfolgt nur, wenn Sie diese selbst auslösen. Auf Wunsch prüft eine Person bei uns die Einschätzung.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für die Verarbeitung Ihrer Sprache und des Gesprächs im Voice-Agent: Sie willigen ein, indem Sie nach dem Hinweis auf „Einverstanden, Anruf starten“ klicken und den Mikrofonzugriff freigeben. Die Einwilligung können Sie jederzeit widerrufen, indem Sie das Gespräch beenden; bereits gespeicherte Daten löschen wir auf Anfrage; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt (Art. 7 Abs. 3 Satz 2 DSGVO). Soweit die Übermittlung in die USA erfolgt, stützt sich diese auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), zusätzlich auf das EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist, und ergänzend auf Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO).
• Art. 6 Abs. 1 lit. b DSGVO, soweit Sie im Gespräch konkrete Fragen zu unseren Leistungen stellen oder um Rückmeldung bitten (vorvertragliche Maßnahmen auf Ihre Anfrage).
• Transparenz nach Art. 50 EU AI Act (Kennzeichnungspflicht, keine Rechtsgrundlage der Verarbeitung): Hinweis vor dem Start und Ansage zu Gesprächsbeginn („Sie sprechen mit einem KI-Assistenten“)

Aufbewahrungsdauer:

• Transkript-Inhalte und Gesprächszusammenfassung (in unserem CRM EspoCRM und bei Brevo): 90 Tage, danach automatische Löschung (wöchentlicher Löschlauf). Zweck der 90 Tage: Rückruf und Nachverfolgung Ihrer Anfrage (Art. 6 Abs. 1 lit. b und lit. f DSGVO); danach ist die Speicherung nicht mehr erforderlich. Das gilt auch für Anfragen, aus denen später eine Kundenbeziehung wird: die Gesprächsinhalte werden nach 90 Tagen entfernt. Es erfolgt keine Audioaufnahme.
• Lead-Datensatz (Name, Firmenname, Anliegen): ohne Rückmeldung von Ihnen und ohne Bearbeitung durch uns 90 Tage, danach Löschung des gesamten Datensatzes. Bei einer qualifizierten Anfrage (in Bearbeitung) bis zum Abschluss der Vertragsanbahnung, automatische Löschung 24 Monate nach der letzten Änderung des Datensatzes; im Kundenverhältnis für die Dauer der Geschäftsbeziehung zuzüglich der gesetzlichen Aufbewahrungsfristen. Sie können der Speicherung jederzeit widersprechen.
• Vapi-Logs (technische Anruf-Metadaten): bis zu 90 Tage, danach Löschung
• Kurzzeitiger Zwischenspeicher für die Bestätigungs-E-Mail: Falls Sie im Anschluss an den Anruf unser Kontaktformular ausfüllen, wird die vom KI-Assistenten selbst erstellte Gesprächszusammenfassung für maximal 7 Tage zwischengespeichert, um sie in die Bestätigungs-E-Mail an Sie aufzunehmen; danach automatische Löschung (kein Rohtranskript, keine erneute KI-Verarbeitung Ihrer Angaben).

Eingesetzte Auftragsverarbeiter:

Vapi, Inc. (Orchestrierung), Daily, Inc. (Sprachübertragung), Deepgram, Inc. (Spracherkennung), Microsoft Azure (Sprachsynthese, Stimme „de-DE-KatjaNeural“) und OpenAI (Antwortgenerierung). Daily, Deepgram, Microsoft Azure und OpenAI sind über Vapi eingebunden. Die Übermittlung in die USA stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), zusätzlich auf das EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist. Details siehe Ziffer 6 oben.

Datenschutz-Folgenabschätzung: Für den Voice-Agent liegt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO für die aktuelle technische Konfiguration vor (Web-Widget, Vapi, Daily, Microsoft Azure, Deepgram, OpenAI; Stand 17.09.2026). Sie wird bei Änderungen der Konfiguration fortgeschrieben.

Ihre Rechte: Sie können jederzeit Auskunft, Berichtigung oder Löschung Ihrer gespeicherten Daten verlangen, schriftlich oder per E-Mail an [email protected]. Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO). Bei einem Löschverlangen erfolgt die unverzügliche Löschung des Transkripts in sämtlichen Systemen.

8a. KI-Text-Chat im Website-Widget

Im Widget bieten wir einen KI-Assistenten als Text-Chat an. Vor der ersten Nutzung weisen wir Sie darauf hin, dass Sie mit einer KI sprechen (Art. 50 EU AI Act). Ihre Eingaben werden zur Beantwortung an unsere selbst betriebene Workflow-Automatisierung (n8n, Hetzner, Deutschland) und von dort an den KI-Modell-Anbieter übermittelt (nach aktuellem Stand ausschließlich OpenAI, Modell gpt-4o-mini). Der Chatverlauf wird zur Qualitätssicherung und zur Bearbeitung Ihrer Anfrage gespeichert und nach spätestens 90 Tagen gelöscht. Bitte geben Sie im Chat keine sensiblen Daten (Gesundheit, Religion und Ähnliches) und keine Kundendaten Dritter ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie eine Anfrage zu unseren Leistungen stellen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Betrieb und Qualitätssicherung des Chats). Zur Speicherung Ihrer Bestätigung des Hinweises und einer Sitzungskennung nutzen wir den lokalen Speicher bzw. Sitzungsspeicher Ihres Browsers (technisch notwendig, § 25 Abs. 2 Nr. 2 TDDDG). Sie können der Verarbeitung widersprechen und die Löschung Ihres Verlaufs verlangen ([email protected]).

Auswertung und Missbrauchsabwehr: Wir werten die gespeicherten Chatverläufe aus, um zu verstehen, welche Fragen Besucher stellen, den Chat zu verbessern und Manipulationsversuche zu erkennen. Dazu speichern wir je Unterhaltung den Zeitpunkt sowie Land und Stadt, die lokal aus Ihrer IP-Adresse abgeleitet werden. Die IP-Adresse selbst wird dafür nicht gespeichert und nicht an Dritte übermittelt; eine tagesbezogene Kennung, die nach einem Tag gelöscht wird, dient nur dazu, Nachrichten derselben Unterhaltung zusammenzuführen. Längere Unterhaltungen werden mit Hilfe eines KI-Dienstleisters (Auftragsverarbeiter: OpenRouter, Inc., USA; die Verarbeitung erfolgt ohne Datenspeicherung beim Modellanbieter über Amazon Web Services oder Google Cloud) kurz zusammengefasst; Kontaktdaten werden vorher maskiert. Kontaktdaten, die Sie im Chat selbst angeben (z. B. E-Mail-Adresse oder Telefonnummer), verwenden wir nur, um Ihre Anfrage zu beantworten. Nachrichten, die auf eine akute Notlage hindeuten, beantwortet der Chat mit festen Hilfehinweisen (Notruf 112, TelefonSeelsorge) und speichert sie nicht im Wortlaut. Nachrichtentext, Kontaktangaben und Zusammenfassung werden nach 90 Tagen gelöscht, statistische Kennzahlen (Anzahl, Land, Stadt) nach spätestens 365 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Qualitätssicherung, Missbrauchsabwehr, Verbesserung des Angebots). Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen.

9. Speicherdauer (Übersicht)

Personenbezogene Daten werden nur so lange gespeichert, wie es für die Erfüllung der jeweiligen Zwecke erforderlich ist (Art. 5 Abs. 1 lit. e DSGVO):

10. Cookies

Diese Website setzt nicht notwendige Cookies und ähnliche Technologien nur mit Ihrer ausdrücklichen Einwilligung ein (§ 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO). Beim ersten Besuch wird ein Cookie-Banner angezeigt, in dem „Alle akzeptieren“ und „Alle ablehnen“ gleichwertig zur Wahl stehen. Bevor Sie einwilligen, werden weder der Google Tag Manager noch Google Analytics geladen und es wird keine Verbindung zu Servern von Google aufgebaut. Technisch notwendige Speicherungen (Ihre Cookie-Auswahl als Cookie und im lokalen Speicher Ihres Browsers, Chat-Sitzungskennung, Bedienungseinstellungen) benötigen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Die Einwilligung ist in drei Kategorien gegliedert: „Notwendig“ (immer aktiv), „Statistik“ (Google Analytics sowie Leistungsmessung und Fehler-Sitzungsaufzeichnung von Sentry, standardmäßig aus) und „Marketing / Werbung“ (Google Signals, gesonderte Einwilligung, standardmäßig aus). Ihre Auswahl können Sie jederzeit mit Wirkung für die Zukunft ändern oder widerrufen: über das Fingerabdruck-Symbol unten links auf jeder Seite. Bei Widerruf werden Google-Analytics-Cookies gelöscht und die Seite neu geladen.

11. Analyse-Tools

Google Tag Manager

Nur wenn Sie im Cookie-Banner in „Statistik“ einwilligen, laden wir den Google Tag Manager (GTM) der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. GTM verwaltet Website-Tags und setzt selbst keine Cookies; beim Laden des Skripts werden jedoch Ihre IP-Adresse und Geräteinformationen an Google übermittelt, weshalb wir dies nur mit Ihrer Einwilligung tun. Ohne Einwilligung wird der GTM nicht geladen. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Der Widerruf ist jederzeit möglich (siehe Ziffer 10).

Google Analytics 4

Nach Ihrer Einwilligung wird über den Google Tag Manager Google Analytics 4 (GA4) eingebunden. GA4 verarbeitet pseudonyme Nutzungsdaten (aufgerufene Seiten, Verweildauer, Klicks, Geräte- und Browserinformationen, ungefährer Standort) unter Verwendung von Cookies und Kennungen. Diese Daten sind pseudonym, aber personenbezogen. GA4 protokolliert und speichert keine IP-Adressen. Die Aufbewahrungsdauer beträgt für Ereignisdaten 2 Monate und für Daten auf Nutzerebene (Cookies und Kennungen) bis zu 14 Monate; danach werden sie automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit über das Fingerabdruck-Symbol unten links widerrufen.

Google Signals und Marketing-Einwilligung

Google Signals ist eine Funktion von Google Analytics. Sie verknüpft Daten von Nutzern, die in ihrem Google-Konto angemeldet sind und dort personalisierte Werbung nicht deaktiviert haben, geräteübergreifend. Wir nutzen sie für geräteübergreifende Berichte sowie für Berichte zu Demografie und Interessen. Die Berichte sind aggregiert; wir verwenden sie nicht, um einzelne Personen zu identifizieren. Die Funktion ist nur aktiv, wenn Sie zusätzlich zur Analyse gesondert in „Marketing / Werbung“ einwilligen. Dabei werden die Google-Einwilligungssignale ad_storage, ad_user_data und ad_personalization auf „gewährt“ gesetzt. Ohne diese Einwilligung bleiben sie auf „verweigert“.

Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Es ist möglich, dass Daten an Google LLC in den USA übermittelt werden; hierfür gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (siehe unten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG. Die Speicherdauer entspricht der von Google Analytics 4: Ereignisdaten 2 Monate, Daten auf Nutzerebene bis zu 14 Monate. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft über das Fingerabdruck-Symbol unten links widerrufen. Ihre Nichteinwilligung hat keine Nachteile für die Nutzung dieser Website.

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO: Mit Google gilt der Auftragsverarbeitungsvertrag (Google Data Processing Terms für Google Analytics und Google Tag Manager), der für Kunden mit Sitz im Europäischen Wirtschaftsraum Bestandteil der Nutzungsbedingungen von Google Analytics und Google Tag Manager ist. Die Bedingungen finden Sie unter business.safety.google/processorterms. Für die Übermittlung in die USA gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Google LLC ist zertifiziert, dataprivacyframework.gov/list); ergänzend sind EU-Standardvertragsklauseln Bestandteil der Google-Bedingungen. Die Annahme im Google-Konto wird vor Verkaufsstart bestätigt.

11a. Fehler- und Performance-Monitoring (Sentry)

Zur Erkennung, Analyse und Behebung technischer Fehler nutzen wir den Dienst Sentry der Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA. Beim Auftreten technischer Fehler werden automatisch folgende Informationen an Sentry übermittelt: Fehlermeldung und Stack Trace, URL der besuchten Seite, Browser-Typ und -Version, Betriebssystem, Bildschirmauflösung und Zeitstempel des Fehlers. Personenbezogene Daten wie IP-Adressen, Cookies oder Eingabefelder werden standardmäßig nicht übertragen (sendDefaultPii: false). Ohne Ihre Einwilligung findet keine Aufzeichnung von Sitzungen (Session-Replay) und keine Leistungsmessung statt; übermittelt werden dann nur Daten zu technischen Fehlern. Auch serverseitig (Server und Edge) werden keine Leistungsmessung, keine Protokollmeldungen und keine lokalen Variablen an Sentry übermittelt.

Nur mit Einwilligung (Kategorie „Statistik“ im Cookie-Banner): Haben Sie in „Statistik“ eingewilligt, aktivieren wir ab dem nächsten Seitenaufruf zusätzlich (1) eine Leistungsmessung für einen Teil der Seitenaufrufe (Ladezeiten, Seitenwechsel), (2) technische Protokollmeldungen der Anwendung und (3) eine Aufzeichnung des Seitenablaufs ausschließlich dann, wenn in dieser Sitzung ein Fehler auftritt. Eine allgemeine Aufzeichnung von Sitzungen ohne Fehler findet nicht statt. Die Aufzeichnung maskiert sämtliche Texte und Eingabefelder und blendet Medieninhalte aus, bevor Daten übertragen werden; dafür nutzt Sentry den Sitzungsspeicher Ihres Browsers. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i. V. m. § 25 Abs. 1 TDDDG). Sie können sie jederzeit über das Fingerabdruck-Symbol unten links widerrufen.

Datenspeicherung: Die Verarbeitung erfolgt ausschließlich in der EU-Region (Frankfurt am Main, Deutschland). Ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO wurde mit Sentry abgeschlossen und ist unter sentry.io/legal/dpa einsehbar. Die Datenschutzerklärung von Sentry finden Sie unter sentry.io/privacy.

Speicherdauer: Fehlerdaten werden für maximal 90 Tage gespeichert, Aufzeichnungen fehlerhafter Sitzungen (nur nach Einwilligung) für 30 Tage, anschließend automatisch gelöscht.

Rechtsgrundlage der Fehlererfassung: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfreien und sicheren Bereitstellung unserer Website). Sie haben das Recht, dieser Verarbeitung jederzeit zu widersprechen (siehe Ziffer 12, „Ihre Rechte“).

12. Ihre Rechte als betroffene Person (Betroffenenrechte nach DSGVO)

Als von der Datenverarbeitung betroffene Person stehen Ihnen die folgenden Betroffenenrechte zu. Insbesondere haben Sie ein Auskunftsrecht (Art. 15 DSGVO), ein Recht auf Löschung („Recht auf Vergessenwerden“, Art. 17 DSGVO) sowie ein Widerspruchsrecht (Art. 21 DSGVO). Sie haben jederzeit das Recht auf:

• Auskunftsrecht / Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Der Widerruf berührt nicht die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung (Art. 7 Abs. 3 S. 2 DSGVO).
• Keine automatisierte Einzelentscheidung (Art. 22 DSGVO): Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. Automatisierte Vorgänge wie Lead-Scoring oder Tarif-Empfehlungen durch n8n-Workflows dienen ausschließlich der internen Priorisierung; die finale Bewertung und Auftragsannahme erfolgt durch den Verantwortlichen persönlich.

Widerspruchsrecht (Art. 21 DSGVO): Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Art. 6 Abs. 1 lit. f DSGVO beruht, Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Werden Ihre Daten für Direktwerbung verarbeitet, können Sie jederzeit ohne Angabe von Gründen widersprechen.

Pflicht zur Datenbereitstellung (Art. 13 Abs. 2 lit. e DSGVO): Die Bereitstellung Ihrer Daten bei Nutzung des Kontaktformulars, der Online-Tools oder bei Beauftragung einer Automatisierung ist für die Durchführung vorvertraglicher Maßnahmen bzw. zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO). Ohne Angabe einer gültigen geschäftlichen E-Mail-Adresse und der jeweils abgefragten geschäftlichen Daten (Business DNA, Plattform-Credentials) ist eine Bearbeitung Ihrer Anfrage bzw. Einrichtung der Automatisierungen nicht möglich. Eine gesetzliche Pflicht zur Datenbereitstellung besteht nicht.

Bitte wenden Sie sich dazu an: [email protected]. Wir beantworten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO).

13. Beschwerderecht

Sie haben das Recht, sich bei der zuständigen Aufsichtsbehörde zu beschweren:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de

14. Externe Links

Unser Angebot enthält Links zu externen Webseiten. Wir haben keinen Einfluss auf deren Inhalt und Datenschutzpraktiken. Bitte lesen Sie die jeweiligen Datenschutzerklärungen der verlinkten Seiten.

15. KI-Transparenz nach Art. 50 EU AI Act

Bot-Agent setzt KI-Systeme (u.a. Anthropic, OpenAI, Google) zur Erstellung von Automatisierungen, Inhalten und für den KI-Assistenten (Voice Agent, browserbasiertes Sprach-Widget, keine Telefonnummer) ein. Zur Erfüllung der Transparenzpflichten nach Art. 50 EU AI Act (Verordnung (EU) 2024/1689) wird der KI-Einsatz transparent gemacht:

• Im Footer dieser Website: KI-Hinweis nach Art. 50 EU AI Act
• Im Blog blog.bot-agent.de: Kennzeichnung „Mit KI-Unterstützung erstellt und automatisiert geprüft (Regel- und Qualitätsprüfung)“ am Ende jedes Beitrags
• In allen generierten Inhalten: Kennzeichnung als KI-generiert
• Beim Voice Agent: Ansage zu Gesprächsbeginn („Sie sprechen mit einem KI-Assistenten“)
• Der Kunde prüft und verantwortet alle generierten Inhalte vor der Veröffentlichung

Die KI-Systeme dienen als automatisiertes Hilfsmittel. Die inhaltliche Letztverantwortung liegt beim jeweiligen Kunden.

16. Datenschutzvorfälle (DSGVO Art. 33/34)

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, melden wir den Vorfall der zuständigen Aufsichtsbehörde (BayLDA) unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Bekanntwerden (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko werden die betroffenen Personen ebenfalls unverzüglich benachrichtigt (Art. 34 DSGVO). Wir führen ein internes Incident-Response-Playbook und dokumentieren jeden Vorfall vollständig.

17. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir setzen geeignete technische und organisatorische Maßnahmen ein, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Zu den getroffenen Maßnahmen zählen insbesondere:

• Verschlüsselung der Datenübertragung: Alle Verbindungen zur Website und zu unseren Online-Tools erfolgen ausschließlich über HTTPS (TLS 1.2 / 1.3); HTTP wird automatisch zu HTTPS weitergeleitet.
• Speicherort und Zugangsdaten: Die Datenbanken (EspoCRM, n8n-Workflows) werden auf dem Hetzner-Server in Deutschland betrieben; API-Zugangsdaten der Kunden werden in n8n mit der n8n-eigenen Credential-Verschlüsselung abgelegt.
• Zugangsbeschränkung: Zugriff auf personenbezogene Daten (CRM, Workflow-Automatisierung, Server) ist auf autorisierte Personen beschränkt. Der Server-Zugang per SSH ist nur mit Schlüssel möglich (Passwort-Anmeldung ist abgeschaltet); die Verwaltungsoberfläche des Servers ist zusätzlich durch Zwei-Faktor-Authentifizierung geschützt.
• Datensparsamkeit: Es werden ausschließlich die für den jeweiligen Zweck erforderlichen Daten erhoben und verarbeitet (Art. 5 Abs. 1 lit. c DSGVO).
• Pseudonymisierung: Technische Logs und Fehlerberichte werden vor Übermittlung an externe Dienste (Sentry) von direkten Personenkennzeichen bereinigt (sendDefaultPii: false; Maskierung von Texten und Eingabefeldern in Aufzeichnungen fehlerhafter Sitzungen, die nur nach Einwilligung stattfinden).
• Trennung von Test- und Produktivdaten: Entwicklungs- und Testumgebungen sind logisch und netzwerktechnisch von Produktivsystemen getrennt.
• Datensicherung: Wir erstellen täglich automatisierte Datensicherungen unserer Systeme (Website-Daten und Datenbanken) und bewahren sie 7 Tage auf. Die Sicherungen werden auf demselben Server gespeichert.
• Schutz vor Missbrauch: Rate-Limit auf öffentlichen Endpunkten (Formulare, Tool-APIs, Webhooks), Honeypot-Felder zur Bot-Abwehr, fail2ban und eine Server-Firewall (eingehender Verkehr standardmäßig gesperrt). Der Website ist Cloudflare vorgeschaltet (Grundschutz gegen Überlastungsangriffe).
• Überprüfung: Sicherheitsmaßnahmen werden bei Bedarf überprüft und aktualisiert und intern dokumentiert.
• Auftragsverarbeiter-Management: Die eingesetzten Auftrags- verarbeiter werden auf Einhaltung geeigneter Sicherheitsstandards geprüft. Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO liegen für Anthropic und OpenAI (DPA einschließlich SCC), Vapi (über die Nutzungsbedingungen), Hetzner und Brevo vor; für Microsoft Azure (Sprachsynthese) besteht die Vertragskette über Vapi; mit KIE.ai besteht kein AVV (keine personenbezogenen Daten).

Die vollständige interne TOM-Dokumentation ist auf behördliche Anfrage verfügbar (Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht).

18. Hinweis zur B2B-Ausrichtung

Bot-Agent erbringt seine Leistungen ausschließlich gegenüber Unternehmern (§ 14 BGB). Diese Datenschutzerklärung beschreibt die Verarbeitung von Geschäftsdaten der Auftraggeber sowie der Kontaktdaten der Ansprechpartner (natürliche Personen, die in Vertretung des Unternehmens handeln). Unser Angebot richtet sich ausschließlich an Unternehmer (§ 14 BGB). Unabhängig davon können beim Besuch der Website, im Chat oder im Voice-Agent personenbezogene Daten einzelner Personen anfallen; dafür gilt diese Erklärung.

19. Interne Datenschutz-Dokumentation

Über die Pflichtangaben dieser Datenschutzerklärung hinaus führt der Verantwortliche folgende interne Datenschutz-Dokumentation, die auf Anfrage der zuständigen Aufsichtsbehörde (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA) vorgelegt werden soll:

• Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO
• Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO für die Bot-Agent-Plattform und für den Voice-Agent (siehe Ziffer 8)
• Dokumentation der Drittlandtransfers nach Art. 44 bis 49 DSGVO inklusive der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und Transfer Impact Assessments, soweit vorhanden
• Übersicht aller Auftragsverarbeitungsverträge nach Art. 28 DSGVO mit DPA-PDFs als Evidenz, soweit vorhanden
• Incident-Response-Playbook für Datenschutzverletzungen mit dokumentiertem 72-Stunden-Meldeverfahren nach Art. 33 DSGVO und Benachrichtigungsverfahren nach Art. 34 DSGVO
• EU-AI-Act-Compliance-Assessment nach Verordnung (EU) 2024/1689, insbesondere zu den Transparenzpflichten gemäß Art. 50 EU AI Act

Diese Dokumente werden nicht öffentlich gemacht, um den Schutz der dokumentierten internen Sicherheitsmaßnahmen nicht zu gefährden, sind jedoch jederzeit auf behördliche Anfrage zugänglich (Art. 5 Abs. 2 DSGVO: Rechenschaftspflicht).

Stand: Oktober 2026