Ihr Recht auf Widerspruch (Art. 21 DSGVO)
Verarbeiten wir Ihre Daten auf Grundlage eines berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie dieser Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Verarbeiten wir Ihre Daten für Direktwerbung, können Sie dem jederzeit und ohne Angabe von Gründen widersprechen; wir verwenden Ihre Daten dann nicht mehr für diesen Zweck.
Ein formloser Hinweis an datenschutz@klarium.at genügt.
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist [Firmenwortlaut laut Firmenbuch], Flexible Kapitalgesellschaft (FlexCo), Sitz [Sitz laut Firmenbuch], [Straße und Hausnummer], [Postleitzahl] [Ort], Österreich, [Firmenbuchnummer (FN …)], eingetragen beim [Firmenbuchgericht].
Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@klarium.at oder unter der Anschrift oben. Weitere Kontaktwege finden Sie im Impressum.
Die Tabelle fasst unsere Verarbeitungen zusammen; Einzelheiten stehen in Abschnitt 3, die Empfänger in Abschnitt 5 und die Speicherfristen in Abschnitt 6. „Art. 6 Abs. 1 lit. f“ bedeutet, dass wir die Verarbeitung auf ein berechtigtes Interesse stützen — welches, steht jeweils dabei.
| Verarbeitung | Daten | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Website-Aufruf | IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserangaben | Auslieferung und Sicherheit der Website | Art. 6 Abs. 1 lit. f (sicherer, stabiler Betrieb) |
| Bot-Schutz (Cloudflare Turnstile) | IP-Adresse, Browser- und Gerätesignale | Schutz von Anmeldung, Registrierung und Demo vor automatisierten Angriffen | Art. 6 Abs. 1 lit. f (Schutz vor Missbrauch) |
| Kontakt und Support | Name, Kontaktdaten, Inhalt der Anfrage | Bearbeitung Ihres Anliegens | Art. 6 Abs. 1 lit. b (Kunden, vorvertragliche Anfragen) bzw. lit. f (sonstige Anfragen) |
| Chat-Assistent der Website | Nachrichten, Sprache, Sitzungskennung, Bewertung | Beantwortung Ihrer Fragen zu Klarium | Art. 6 Abs. 1 lit. b (Anfrage vor Vertragsschluss) bzw. lit. f (Information Interessierter) |
| Demo-Termin und Interessenten | Name, E-Mail, Telefonnummer, Wunschtermin, Branche | Vereinbarung und Durchführung einer Vorführung | Art. 6 Abs. 1 lit. b (auf Ihre Anfrage) |
| Website-Demo und Demo-Anruf | Website-Adresse, Firmenname, abgeleitetes Profil, gekürzte IP-Kennung, optional E-Mail, Gesprächsinhalt | Vorführung des Assistenten mit Ihren eigenen Inhalten | Art. 6 Abs. 1 lit. b (auf Ihre Anfrage); für Dritte auf der Website lit. f |
| Kundenkonto und Vertrag | Name, E-Mail, Passwort (verschlüsselt), Betriebsdaten, Zustimmungen | Abschluss und Erfüllung des Vertrags | Art. 6 Abs. 1 lit. b; Nachweis der Zustimmungen lit. c iVm Art. 7, lit. f |
| Teammitglieder | Name, E-Mail, Rolle, Dienstplan | Bereitstellung der Zugänge im Konto des Kunden | Art. 6 Abs. 1 lit. f (Organisation des Kunden) |
| Abrechnung | Rechnungsdaten, Zahlungsstatus, Rechnungen, Belege | Abrechnung, Buchhaltung, steuerliche Pflichten | Art. 6 Abs. 1 lit. b und lit. c (§ 132 BAO, § 212 UGB, § 11 UStG) |
| Belege und Anfechtung | Bewertung je Gespräch, Kennzahlen, Begründungen, Anfechtungen | Ergebnisbasierte Abrechnung und Prüfung von Einwänden | Art. 6 Abs. 1 lit. b; für Mitarbeitende des Kunden lit. f |
| System-E-Mails | E-Mail-Adresse, Inhalt der Nachricht | Anmeldecodes, Benachrichtigungen, Rechnungen | Art. 6 Abs. 1 lit. b bzw. lit. f |
| Sicherheitsprotokolle | IP-Adresse, Browserkennung, Ereignis, Prüfsumme des Inhalts | Erkennung und Abwehr von Angriffen und Missbrauch | Art. 6 Abs. 1 lit. f (Sicherheit unserer Systeme) |
| Rechtsdurchsetzung und Nachweise | Je nach Fall | Geltendmachung und Abwehr von Ansprüchen, Nachweis erledigter Löschungen | Art. 6 Abs. 1 lit. f bzw. lit. c |
Informationen zu unserer Interessenabwägung erhalten Sie auf Anfrage.
3.1 Besuch unserer Website
Rufen Sie unsere Website auf, übermittelt Ihr Browser technisch zwingend Ihre IP-Adresse, den Zeitpunkt, die aufgerufene Adresse und Angaben zu Browser und Betriebssystem. Die Seiten liefert Cloudflare, Inc. für uns aus (Hosting und Content Delivery Network); Cloudflare verarbeitet diese Daten in unserem Auftrag, um die Seiten auszuliefern und Angriffe abzuwehren. Funktionen, die Daten mit unserer Schnittstelle austauschen (etwa Chat, Demo und Kundenkonto), laufen über unseren Hosting-Dienstleister Microsoft (Azure); die Anmeldung selbst über Supabase (3.7). Beide Dienstleister löschen ihre Protokolle nach [Speicherdauer der Server-Protokolle bei Cloudflare (Website) und Microsoft Azure (Schnittstelle)] gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist ein sicherer und stabiler Betrieb.
Wir setzen keine Analyse-, Werbe- oder Tracking-Werkzeuge ein. Schriften, Bilder und Videos der Website liefern wir selbst aus. Externe Inhalte laden wir nur dort, wo Sie eine Funktion nutzen: den Bot-Schutz von Cloudflare in Formularen (3.2) und den Zahlungsdienst Stripe im Bezahlschritt (3.10).
3.2 Bot-Schutz mit Cloudflare Turnstile
Anmeldung, Registrierung, Passwort-Zurücksetzung, die Einrichtung des Kontos (Onboarding) und die Website-Demo schützen wir mit Cloudflare Turnstile vor automatisierten Zugriffen. Das Prüfskript wird erst geladen, wenn eines dieser Formulare angezeigt wird. Es wertet Signale Ihres Browsers und Geräts aus und übermittelt sie mit Ihrer IP-Adresse an Cloudflare, Inc. (USA); für die Website-Demo senden wir Ihre IP-Adresse zur Prüfung zusätzlich selbst an Cloudflare. Cloudflare setzt dafür keine Cookies. Für die Erkennung handelt Cloudflare in unserem Auftrag, für die Verbesserung seiner Erkennungsdienste als eigener Verantwortlicher.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist der Schutz Ihres Kontos und unserer Systeme vor Angriffen und massenhaftem Missbrauch. Ohne die Prüfung können diese Formulare nicht abgeschickt werden.
3.3 Kontaktaufnahme und Support
Schreiben Sie uns oder rufen Sie uns an, verarbeiten wir Ihre Angaben und den Inhalt Ihrer Anfrage, um sie zu beantworten. Nimmt unser eigener KI-Assistent einen Anruf oder eine Nachricht an, sagt er das zu Beginn; die Verarbeitung erfolgt dann wie in Abschnitt 4 beschrieben, mit Klarium selbst als Verantwortlichem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag mit uns betrifft oder vorbereitet, sonst lit. f (Interesse an der Beantwortung von Anfragen). Wir bewahren die Korrespondenz bis zu drei Jahre nach Abschluss der Anfrage auf, länger nur, soweit sie für laufende Ansprüche oder als Geschäftsbrief (§ 212 UGB) benötigt wird.
3.4 Chat-Assistent auf unserer Website
Auf unserer Website beantwortet ein KI-Assistent Fragen zu Klarium. Er weist zu Beginn darauf hin, dass Sie mit einer KI schreiben. Wenn Sie ihn nutzen, verarbeiten wir Ihre Nachrichten (bis zu 40 Nachrichten je Gespräch mit je höchstens 500 Zeichen), die gewählte Sprache, eine zufällige Sitzungskennung und Ihre Bewertung einer Antwort (Daumen hoch oder runter).
Jede Nachricht wird zunächst automatisch auf Missbrauch geprüft (Moderation), dann in unseren eigenen Wissensinhalten über Klarium gesucht und schließlich von einem Sprachmodell beantwortet. Dafür übermitteln wir sie an unseren Text-KI-Anbieter (derzeit [Text-KI-Anbieter in Produktion]) und für die Suche und Moderation an OpenAI (USA). Frage und Antwort speichern wir im Klartext, um den Assistenten zu verbessern und Missbrauch nachzuvollziehen, und löschen sie nach 30 Tagen [Löschjob für den Website-Chat (30 Tage) umsetzen]. Bitte geben Sie im Chat keine Gesundheitsdaten oder andere sensible Angaben ein.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie sich über einen möglichen Vertrag informieren, sonst lit. f; unser Interesse ist die Information interessierter Besucher und die Qualität des Assistenten.
3.5 Demo-Termin und Interessenten
Buchen Sie über den Chat oder die Website einen Vorführtermin, verarbeiten wir Name, E-Mail-Adresse, Telefonnummer, Wunschtermin und Branche, um den Termin zu vereinbaren und durchzuführen. Hinterlassen Sie im Chat Ihre E-Mail-Adresse für eine persönliche Demo, verwenden wir sie nur dafür. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahme auf Ihre Anfrage). Wir löschen diese Daten sechs Monate nach dem Termin bzw. nach dem letzten Kontakt, wenn daraus kein Vertrag entsteht [Löschjob für Interessenten und Demo-Termine (6 Monate) umsetzen]. Werbung schicken wir Ihnen nur mit Ihrer ausdrücklichen Einwilligung.
3.6 Website-Demo und Demo-Anruf
In der Website-Demo geben Sie die Adresse einer Website oder Firmenname, Branche und Leistungen ein, optional Ihre E-Mail-Adresse. Wir lesen dann automatisiert bis zu fünf öffentlich zugängliche Seiten dieser Website (Kennung „Klarium-DemoBot“) und lassen daraus von einem Sprachmodell ein kurzes Profil des Betriebs erstellen. Den Seitentext speichern wir nicht, wohl aber Website, Firmenname, das Profil, Ihre E-Mail-Adresse und eine aus Ihrer IP-Adresse gebildete Prüfsumme, mit der wir die Zahl der Demos je Besucher begrenzen. Die Prüfsumme ist kein anonymer Wert, sondern ein pseudonymes Datum.
Anschließend können Sie unsere Demo-Nummer anrufen und mit dem Assistenten sprechen. Das Gespräch wird live über unseren Telefonie-Dienstleister Telnyx und den Sprach-KI-Dienst ElevenLabs (beide USA) verarbeitet; ein Mitschnitt oder Transkript des Demo-Anrufs wird bei Klarium nicht gespeichert, ElevenLabs löscht Audio und Text sofort nach dem Gespräch. Den Demo-Zugang löschen wir nach 30 Tagen, die IP-Prüfsumme nach 48 Stunden [Löschjob für die Website-Demo (30 Tage, IP-Prüfsumme 48 Stunden) umsetzen]. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vorführung auf Ihre Anfrage), für die Begrenzung der Demos lit. f (Schutz vor Missbrauch).
Werden auf der eingelesenen Website Personen genannt (etwa Inhaber oder Ansprechpartner), stammen deren Daten aus dieser öffentlich zugänglichen Quelle. Wir verarbeiten sie nur, soweit sie in das Demo-Profil eingehen, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Interesse an einer realistischen Vorführung) und löschen sie mit dem Demo-Zugang. Sie können dem jederzeit widersprechen (Abschnitt 7).
3.7 Registrierung, Kundenkonto und Vertrag
Für ein Konto verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Passwort, das unser Dienstleister Supabase nur verschlüsselt (als Hashwert) speichert. Bestätigungs- und Passwort-E-Mails versendet Supabase [Versanddienst der Supabase-Auth-E-Mails (eigener SMTP) bestätigen]. Bei der Einrichtung erfassen wir die Angaben zu Ihrem Betrieb (Name, Branche, Art und Größe des Betriebs, Telefonnummer, Website, Öffnungszeiten, Leistungen, gegebenenfalls einen Zugangscode). Ihre Website lesen wir dabei automatisiert ein, um die Wissensbasis Ihres Assistenten anzulegen.
Bei der Registrierung speichern wir außerdem, dass Sie als Unternehmer handeln und welchen Fassungen der AGB und des Auftragsverarbeitungsvertrags Sie wann zugestimmt haben, um den Vertragsschluss nachweisen zu können. Auf Wunsch rufen wir zur Vorführung Ihre eigene Telefonnummer an; dafür geht die Nummer an Telnyx.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Nachweis der Zustimmungen lit. f (Beweisinteresse). Ist Ihr Unternehmen unser Vertragspartner und nicht Sie persönlich, stützen wir die Verarbeitung Ihrer Daten als dessen Vertreterin oder Vertreter auf lit. f (Interesse an der Durchführung des Vertrags mit Ihrem Unternehmen). Löschen Sie das Konto oder endet der Vertrag, löschen wir die Kontodaten nach Ablauf der Abrufphase (AGB, Anbieterwechsel und Datenexport) [Vollständige Kontolöschung inkl. Anmeldekonto, Stripe-Kunde und Dateien umsetzen], soweit wir sie nicht für Rechnungen aufbewahren müssen (Abschnitt 6).
3.8 Teammitglieder
Lädt ein Kunde Mitarbeitende in sein Konto ein, erhalten wir Name, E-Mail-Adresse und Rolle der eingeladenen Person nicht von ihr selbst, sondern vom einladenden Administrator (Art. 14 DSGVO). Wir verwenden diese Angaben, um die Einladung zu versenden und den Zugang bereitzustellen. Dienstpläne und Abwesenheiten, die der Kunde für seine Teammitglieder pflegt, verarbeiten wir in seinem Auftrag; die Angabe eines Abwesenheitsgrundes ist freiwillig und wird nicht protokolliert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das Interesse liegt in der Organisation des Kunden und im Betrieb des Kontos. Nicht angenommene Einladungen löschen wir nach 30 Tagen [Ablauf offener Einladungen (30 Tage) umsetzen].
3.9 Verbindung mit Google- und Microsoft-Konten
Verbindet ein Kunde Postfach oder Kalender, meldet er sich über die Anmeldeseite von Google bzw. Microsoft an und erteilt Klarium die Zugriffe, die für die gewählte Funktion nötig sind. Die Zugangsschlüssel speichern wir verschlüsselt. Die Inhalte (E-Mails, Termine) verarbeiten wir im Auftrag des Kunden nach dem Auftragsverarbeitungsvertrag. Wir fordern nur diese Berechtigungen an:
- Gmail: E-Mails lesen (gmail.readonly) und senden (gmail.send); neue E-Mails meldet Google über Google Cloud Pub/Sub,
- Google Kalender: Termine lesen und anlegen (calendar.events),
- Microsoft 365 / Outlook: Profil (User.Read), E-Mails lesen und senden (Mail.Read, Mail.Send), bei geteilten Postfächern zusätzlich Mail.Read.Shared und Mail.Send.Shared, dauerhafter Zugriff (offline_access),
- Outlook-Kalender: Termine lesen und schreiben (Calendars.ReadWrite).
Die Nutzung und Weitergabe von Informationen, die Klarium über Google-APIs erhält, erfolgt gemäß der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen („Klarium’s use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.“). Daten aus Google Workspace verwenden wir nicht zum Trainieren oder Verbessern von KI-Modellen. Zum Schutz der Anmeldung setzen wir dabei für zehn Minuten technisch notwendige Cookies (Abschnitt 10). Der Kunde kann die Verbindung jederzeit in Klarium oder in seinem Google- bzw. Microsoft-Konto trennen.
3.10 Bezahlung und Abrechnung
Zahlungen wickeln wir über Stripe Payments Europe, Ltd. (Dublin, Irland) ab. Ihre Karten- oder Kontodaten geben Sie im Bezahlschritt direkt in ein Eingabefeld von Stripe ein; wir erhalten sie nicht. Das Skript von Stripe laden wir erst im Bezahlschritt. Stripe verarbeitet die Zahlungsdaten und Angaben zu Ihrem Gerät zur Durchführung der Zahlung und zur Betrugsprävention teils als eigener Verantwortlicher und überträgt dabei auch Daten in die USA (Angemessenheitsbeschluss bzw. Standardvertragsklauseln). Über das Kundenportal von Stripe verwalten Sie Zahlungsmittel, Rechnungsadresse und Kündigung.
Wir verarbeiten Rechnungsdaten (Firma, Anschrift, UID-Nummer, E-Mail), gebuchte Plätze, Nutzung, Zahlungsstatus und Rechnungen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und die gesetzlichen Aufbewahrungs- und Rechnungspflichten (lit. c iVm § 132 BAO, § 212 UGB, § 11 UStG).
3.11 Ergebnisbasierte Abrechnung, Belege und Anfechtung
Neben dem Platzentgelt rechnen wir je gelöstem Anliegen ab. Ob ein Gespräch als gelöst gilt, bewertet ein Sprachmodell anhand des Gesprächsverlaufs; das Ergebnis halten wir in einem Beleg fest, den der Kunde einsehen und anfechten kann. Die Belege eines Kunden sind über Prüfsummen fälschungssicher miteinander verkettet. Wie die Bewertung funktioniert und welche Rechte Sie haben, steht in Abschnitt 8 und in den AGB. Für die Abrechnung verarbeiten wir dabei Gesprächsinhalte, die wir im Auftrag des Kunden speichern, auch zu diesem eigenen Zweck; die Abrechnung ist Gegenstand des Vertrags mit dem Kunden.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit Mitarbeitende des Kunden betroffen sind (etwa beim Einreichen einer Anfechtung), lit. f (Interesse an einer nachvollziehbaren Abrechnung). Die Gesprächsinhalte eines Belegs löschen bzw. anonymisieren wir mit der Frist, die der Kunde für seine Gespräche eingestellt hat; die für die Abrechnung nötigen Kennzahlen bewahren wir wie Buchungsbelege sieben Jahre auf.
3.12 System-E-Mails
Anmeldecodes, Einladungen, Benachrichtigungen, Erinnerungen und Rechnungen versenden wir über unseren Dienstleister Postmark (AC PM LLC, USA). Unsere E-Mails enthalten keine Zählpixel und keine nachverfolgten Links [Öffnungs- und Klick-Tracking in Postmark abschalten bzw. bestätigen]. Postmark speichert Nachrichteninhalte bis zu 45 Tage und führt Listen unzustellbarer und abgemeldeter Adressen, damit an diese nichts mehr versendet wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Sicherheitsmeldungen lit. f.
3.13 Sicherheits- und Betriebsprotokolle
Erkennen unsere Schutzmechanismen im Website-Chat oder im Chat-Widget einen Angriff oder Missbrauch — etwa eine eingeschleuste Anweisung, einen Moderationstreffer oder eine überschrittene Grenze —, protokollieren wir Zeitpunkt, Art des Ereignisses, betroffene Schnittstelle, IP-Adresse, Browserkennung und eine Prüfsumme des Inhalts, nicht aber den Text selbst. IP-Adresse und Browserkennung löschen wir nach 30 Tagen, das übrige Ereignis nach zwölf Monaten [Fristen für Sicherheitsprotokolle (30 Tage / 12 Monate) umsetzen]. Soweit aktiviert, erfasst Microsoft Application Insights in unserem Auftrag technische Betriebsdaten zu Anfragen an unsere Schnittstelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist die Sicherheit und Verfügbarkeit unserer Systeme.
3.14 Einlesen von Websites (Klarium-KnowledgeBot)
Für die Wissensbasis unserer Kunden liest Klarium im Auftrag des jeweiligen Kunden dessen Website ein und frischt sie regelmäßig auf (Kennung „Klarium-KnowledgeBot“). Verantwortlich für personenbezogene Daten auf diesen Seiten ist der Kunde. Inhaber einer Website, die Fragen zu unserem Bot haben, erreichen uns unter office@klarium.at.
3.15 Rechtsdurchsetzung und Nachweis erledigter Löschungen
Soweit nötig, verarbeiten wir Daten, um Ansprüche geltend zu machen oder abzuwehren und um nachzuweisen, dass wir Löschungs- und Widerspruchsverlangen erfüllt haben. Für diesen Nachweis behalten wir nur einen minimalen Eintrag (Zeitpunkt, Art der Löschung, pseudonyme Kennung) drei Jahre lang [Löschnachweis minimieren (ohne Klartext-Kontaktdaten, 3 Jahre)]. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO bzw. lit. c iVm Art. 5 Abs. 2 DSGVO.
Ordinationen, Kanzleien, Handwerksbetriebe, Restaurants und andere Betriebe setzen Klarium ein, um Anrufe, E-Mails, WhatsApp- und SMS-Nachrichten und Chats auf ihrer Website zu beantworten und Termine zu vereinbaren. Dabei ist der jeweilige Betrieb Verantwortlicher für Ihre Daten; Klarium verarbeitet sie nur in seinem Auftrag und nach seinen Weisungen (Art. 28 DSGVO). Wie und wozu Ihre Daten verarbeitet werden, entnehmen Sie bitte der Datenschutzerklärung des Betriebs.
Zur Einordnung, wie die Verarbeitung technisch abläuft:
- Der Assistent sagt zu Beginn jedes Gesprächs, dass Sie mit einer KI sprechen oder schreiben.
- Telefonate werden live in Text umgewandelt und von Sprach-KI-Diensten in den USA verarbeitet (standardmäßig OpenAI, auf Wahl des Betriebs ElevenLabs). Eine Tonaufnahme speichert Klarium nicht; gespeichert werden Transkript, Zusammenfassung und das Ergebnis des Gesprächs. Widersprechen Sie der Speicherung zu Beginn des Gesprächs, wird kein Transkript gespeichert.
- Die Stimmungsanalyse erfolgt textbasiert auf Grundlage des Gesprächstranskripts; es werden keine biometrischen Daten verarbeitet und keine Emotionen aus Stimmmerkmalen abgeleitet.
- Der Assistent kann sich für den Betrieb Ihre Anliegen und Präferenzen merken, um Ihnen beim nächsten Kontakt schneller zu helfen. Dieser Profilbildung können Sie jederzeit widersprechen, etwa im Kundenportal des Betriebs.
- Gespräche werden standardmäßig nach 90 Tagen gelöscht; der Betrieb kann eine andere Frist einstellen.
- Das Chat-Widget auf der Website des Betriebs speichert eine Gesprächskennung, gegebenenfalls Ihre Anmeldung per E-Mail-Code und Ihre Zufriedenheitsbewertung nur im Sitzungsspeicher Ihres Browsers (bis zum Schließen des Tabs); es setzt keine Cookies.
Wenden Sie sich mit Anfragen zu Ihren Daten bitte an den Betrieb. Schreiben Sie uns trotzdem an, leiten wir Ihre Anfrage unverzüglich an den Betrieb weiter und unterstützen ihn bei der Beantwortung. Welche Dienstleister wir dabei einsetzen, zeigt die Liste der Subauftragsverarbeiter.
Wir geben Ihre Daten nur an die folgenden Empfänger weiter, und nur soweit es für den jeweiligen Zweck erforderlich ist. Wir verkaufen keine Daten und trainieren keine KI-Modelle mit Ihren Daten.
| Empfänger | Rolle | Zweck | Ort |
|---|---|---|---|
| Microsoft Ireland Operations Limited (Azure) | Auftragsverarbeiter | Hosting, Dateispeicher, Schlüsselverwaltung, Betriebstelemetrie | EU ([Azure-Region laut Portal]) |
| Supabase Pte. Ltd. (Singapur) mit Supabase Inc. (USA) | Auftragsverarbeiter | Datenbank, Anmeldung, Bestätigungs- und Passwort-E-Mails | [Supabase-Region laut Projekt]; Zugriff aus Singapur und den USA |
| OpenAI Ireland Limited mit OpenAI, L.L.C. (USA) | Auftragsverarbeiter | Moderation und Suche im Website-Chat; Sprach-KI und Texterzeugung im Kundenbetrieb | USA |
| Mistral AI SAS (Paris) | Auftragsverarbeiter | Texterzeugung, soweit als Text-KI-Anbieter eingesetzt | EU |
| Eleven Labs Inc. (New York) | Auftragsverarbeiter | Sprach-KI im Demo-Anruf und auf Wahl des Kunden | USA |
| Telnyx LLC (Chicago) | Auftragsverarbeiter; für eigene Konto- und Nutzungsdaten eigener Verantwortlicher | Rufnummern, Telefonie, WhatsApp-Transport; SMS, soweit als SMS-Anbieter eingestellt | USA |
| seven communications GmbH & Co. KG (seven.io, Kiel) | Auftragsverarbeiter | Versand und Empfang von SMS, soweit als SMS-Anbieter eingestellt | EU (Deutschland) |
| WhatsApp Ireland Limited (Meta) | Auftragsverarbeiter | Zustellung von WhatsApp-Nachrichten | EU, USA |
| AC PM LLC (Postmark) | Auftragsverarbeiter | Versand und Empfang von E-Mails | USA |
| Cloudflare, Inc. | Auftragsverarbeiter; für die Verbesserung seiner Dienste eigener Verantwortlicher | Auslieferung der Website (Hosting, Content Delivery Network), Bot-Schutz (Turnstile) | USA; Auslieferung aus dem Rechenzentrum nahe dem Aufrufer |
| Stripe Payments Europe, Ltd. | Eigener Verantwortlicher bzw. Auftragsverarbeiter | Zahlungsabwicklung, Betrugsprävention | EU, USA |
| Google bzw. Microsoft | Vom Kunden gewählter Dienst | Postfach- und Kalenderverbindung des Kunden | je nach Konto des Kunden |
| Behörden, Gerichte, Rechtsvertreter, Steuerberatung | Eigene Verantwortliche | Nur bei gesetzlicher Pflicht oder zur Rechtsdurchsetzung | Österreich |
Einige Dienstleister sitzen in den USA oder Singapur oder greifen von dort zu. In die USA übermitteln wir, soweit der Empfänger nach dem EU-U.S. Data Privacy Framework zertifiziert ist, auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Zusätzlich haben wir die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO) vereinbart; sie gelten für nicht zertifizierte Empfänger und für Singapur und greifen auch, falls der Angemessenheitsbeschluss wegfällt. Eine Kopie erhalten Sie auf Anfrage an datenschutz@klarium.at. Neue Empfänger oder Drittländer nehmen wir erst auf, nachdem wir diese Erklärung aktualisiert haben.
| Daten | Speicherdauer |
|---|---|
| Server-Protokolle der Website | [Speicherdauer der Server-Protokolle bei Cloudflare (Website) und Microsoft Azure (Schnittstelle)] |
| Website-Chat (Nachrichten und Antworten) | 30 Tage [Löschjob für den Website-Chat (30 Tage) umsetzen] |
| Interessenten und Demo-Termine | 6 Monate nach dem Termin bzw. letzten Kontakt [Löschjob für Interessenten und Demo-Termine (6 Monate) umsetzen] |
| Website-Demo | 30 Tage, IP-Prüfsumme 48 Stunden [Löschjob für die Website-Demo (30 Tage, IP-Prüfsumme 48 Stunden) umsetzen] |
| Support-Korrespondenz | bis zu 3 Jahre nach Abschluss der Anfrage |
| Kundenkonto und Betriebsdaten | für die Dauer des Vertrags; danach Abrufphase von 30 Tagen und Löschung binnen weiterer 30 Tage |
| Rechnungen, Buchungsbelege, Abrechnungskennzahlen | 7 Jahre ab Ende des Kalenderjahres (§ 132 BAO, § 212 UGB), länger nur während eines laufenden Verfahrens |
| Zustimmungen zu AGB und AVV | für die Dauer des Vertrags und danach bis zum Ablauf der Verjährungsfristen (in der Regel 3 Jahre) |
| Sicherheitsprotokolle | IP-Adresse und Browserkennung 30 Tage, Ereignis 12 Monate [Fristen für Sicherheitsprotokolle (30 Tage / 12 Monate) umsetzen] |
| Anmelde- und Bestätigungscodes | 10 Minuten bzw. bis zur Verwendung |
| Nachweis erledigter Löschungen | 3 Jahre [Löschnachweis minimieren (ohne Klartext-Kontaktdaten, 3 Jahre)] |
| Daten bei Postmark | Nachrichteninhalte bis zu 45 Tage; Sperrlisten unzustellbarer und abgemeldeter Adressen bis zur Löschung des Kontos |
| Datensicherungen | Sicherungen werden nach [Aufbewahrung der Datensicherungen in Tagen] Tagen überschrieben; bis dahin bleiben gelöschte Daten dort gesperrt. |
Sie haben das Recht auf Auskunft über Ihre Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20) und auf Widerspruch (Art. 21). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt davon unberührt.
Sie können Ihre Rechte auf jedem Weg geltend machen, am einfachsten per E-Mail an datenschutz@klarium.at. Wir antworten innerhalb eines Monats; ist die Anfrage besonders umfangreich, kann sich die Frist um zwei Monate verlängern — dann sagen wir Ihnen das innerhalb des ersten Monats. Das Grundrecht auf Geheimhaltung nach § 1 Datenschutzgesetz (DSG) schützt auch juristische Personen.
Beschwerde bei der Datenschutzbehörde
Meinen Sie, dass wir Ihre Daten nicht rechtmäßig verarbeiten, können Sie sich bei der Aufsichtsbehörde beschweren (Art. 77 DSGVO). In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, www.dsb.gv.at. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts oder Arbeitsplatzes wenden oder die Gerichte anrufen (Art. 79 DSGVO, § 29 DSG). Wir freuen uns aber, wenn Sie zuerst mit uns sprechen.
Ob für ein Gespräch das Lösungsentgelt anfällt, entscheidet unser System automatisch (Art. 22 Abs. 2 lit. a DSGVO, erforderlich für die Erfüllung des Vertrags). Das betrifft Sie persönlich, wenn Sie als natürliche Person unser Kunde sind — etwa als Einzelunternehmer oder in einer Ordination. Die Logik:
- Ein Sprachmodell bewertet jedes abgeschlossene Gespräch anhand des Verlaufs und vergibt eine Note von 1 bis 5. Ein Textgespräch gilt als abgeschlossen, wenn es jemand im Konto abschließt oder wenn es 24 Stunden ohne offene Übergabe ruht.
- Abrechenbar ist ein Gespräch nur, wenn es als gelöst eingestuft ist, nicht an einen Menschen übergeben wurde, die Antworten des Assistenten nicht als unbelegt erkannt wurden, alle ausgelösten Aktionen erfolgreich waren und entweder die Note mindestens 4 beträgt oder der Endkunde die Lösung ausdrücklich bestätigt hat.
- Das Ergebnis halten wir in einem Beleg mit Begründung fest, den Sie im Konto einsehen können.
Sie können jeden Beleg anfechten, Ihren Standpunkt darlegen und eine Prüfung durch einen Menschen bei Klarium verlangen, per E-Mail an help@klarium.at. Das Verfahren und die Fristen regeln die AGB.
Für ein Konto brauchen wir Ihren Namen, Ihre E-Mail-Adresse und ein Passwort, für einen bezahlten Vertrag die Rechnungsdaten Ihres Unternehmens. Die UID-Nummer benötigen wir, wenn das Gesetz sie auf der Rechnung verlangt, insbesondere bei Unternehmen in anderen EU-Mitgliedstaaten (Übergang der Steuerschuld). Ohne diese Angaben können wir kein Konto anlegen bzw. keinen Vertrag schließen. Formulare mit Bot-Schutz lassen sich ohne die Prüfung durch Cloudflare Turnstile nicht absenden. Alle anderen Angaben sind freiwillig.
Wir setzen derzeit keine Analyse-, Marketing- oder Tracking-Technologien ein und holen deshalb keine Einwilligung für Cookies ein. Wir speichern nur, was für eine von Ihnen ausdrücklich gewünschte Funktion unbedingt erforderlich ist (§ 165 Abs. 3 Satz 3 Telekommunikationsgesetz 2021). Das sind die folgenden Einträge im lokalen Speicher (localStorage), im Sitzungsspeicher (sessionStorage) und als Cookie:
| Eintrag | Art | Wo | Zweck | Dauer |
|---|---|---|---|---|
| klarium_rechtstexte_sprache | localStorage | Rechtstexte | gewählte Sprache der Rechtstexte | bis Sie ihn löschen |
| klarium_chat_session_id | sessionStorage | Website | zufällige Kennung, damit Website-Chat und Demo-Buchung derselben Sitzung zugeordnet werden | bis zum Schließen des Tabs |
| klarium_chat_session | sessionStorage | Website | Verlauf und Sprache Ihres Website-Chats | bis zum Schließen des Tabs |
| klarium_chat_consent_v1 | localStorage | Website | dass Sie die Hinweise zum Website-Chat gelesen haben | bis Sie ihn löschen |
| klarium_banner_closed:… | sessionStorage | Website | dass Sie eine Hinweisleiste geschlossen haben | bis zum Schließen des Tabs |
| bookingEmail, bookingName, enterOnboardingMorph | sessionStorage | Website → Registrierung | Übernahme Ihrer Angaben aus der Demo-Buchung in die Registrierung, Übergangsanimation | bis zur Übernahme bzw. zum Schließen des Tabs |
| sb-…-auth-token | localStorage | Konto | Ihre Anmeldung (Supabase), einschließlich eines Prüfwerts während der Anmeldung | bis zur Abmeldung |
| klarium.tenant, klarium.sidebar.collapsed, klarium_custom_templates, klarium-onboarding:… | localStorage | Konto | gewählter Betrieb, Ansicht der Seitenleiste, eigene Vorlagen, Zwischenstand der Einrichtung | bis zur Löschung bzw. Abmeldung |
| ms_oauth_nonce, google_oauth_nonce, google_postfach_nonce, ms_postfach_oauth | Cookie (nur Übertragung an unsere Schnittstelle, für Skripte nicht lesbar) | Konto | Schutz der Verbindung mit Google bzw. Microsoft vor Fälschung (Abschnitt 3.9) | 10 Minuten |
| ARRAffinity, ARRAffinitySameSite | Cookie unseres Hosting-Dienstes | Schnittstelle | Zuordnung Ihrer Anfragen zum selben Server (Lastverteilung), soweit aktiv | bis zum Schließen des Browsers |
| __stripe_mid, __stripe_sid | Cookie von Stripe | nur im Bezahlschritt | Durchführung der Zahlung und Betrugsprävention | bis zu 1 Jahr bzw. 30 Minuten |
| Cloudflare Turnstile | Auslesen von Browsersignalen, kein Cookie | Formulare mit Bot-Schutz | Erkennung automatisierter Zugriffe (Abschnitt 3.2) | nur während der Prüfung |
Alle Einträge können Sie in den Einstellungen Ihres Browsers löschen; einzelne Funktionen (etwa die Anmeldung) stehen dann bis zur erneuten Nutzung nicht zur Verfügung. Die Speicherungen des Chat-Widgets auf den Websites unserer Kunden beschreibt Abschnitt 4.
Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern; der Stand oben zeigt die aktuelle Fassung. Bevor wir Daten zu einem neuen Zweck verarbeiten oder an neue Empfänger in Drittländern übermitteln, informieren wir Sie hier und — soweit Sie unser Kunde sind — per E-Mail.
