Datenschutzerklärung
Was operanda mit personenbezogenen Daten macht, wohin sie gehen und wie lange sie bleiben.
Stand: 16. Oktober 2026
1. Verantwortlicher
Verantwortlich für die Verarbeitung personenbezogener Daten auf diesen Seiten und in der Plattform operanda ist:
itelly GmbH, Hauptstr. 27, 79256 Buchenbach, Deutschland
Geschäftsführer: Jannik Seven. Telefon 07661 97 59059, E-Mail info@itelly.de.
Für alles, was Datenschutz betrifft, erreichst du uns unter jannik.seven@itelly.de. Einen bestellten Datenschutzbeauftragten haben wir nicht; die Voraussetzungen des § 38 BDSG liegen bei uns nicht vor.
2. Wofür diese Erklärung gilt
Sie gilt für die Seite operanda.eu, für die Plattform unter app.operanda.eu und für die Projekte, die wir darin für Kunden betreiben (Adressen der Form name.operanda.eu und name-app.operanda.eu).
Bei den Inhalten, die ein Kunde in seine Projekte gibt, sind wir nicht der Verantwortliche. Dort entscheidet der Kunde, welche Daten er verarbeitet und welche Systeme er anbindet; wir arbeiten in seinem Auftrag nach Artikel 28 DSGVO. Wer als Beschäftigter eines Kunden wissen will, was mit seinen Daten geschieht, wendet sich an seinen Arbeitgeber. Diese Erklärung beschreibt trotzdem, wie die Technik dahinter arbeitet, weil der Auftragsverarbeiter sonst eine Blackbox bliebe.
Für die Verarbeitung im Auftrag schließen wir mit jedem Kunden einen Vertrag nach Artikel 28 DSGVO. Er liegt vor dem ersten Einsatz vor.
3. Aufruf der Seiten
Die Plattform läuft auf einem Server der Hetzner Online GmbH in Falkenstein, Deutschland. Wir betreiben ihn selbst; Hetzner stellt die Maschine und das Rechenzentrum.
Beim Aufruf einer Seite verarbeitet der Server die IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, den Antwortstatus und die Kennung des Browsers. Ohne diese Angaben lässt sich keine Verbindung beantworten. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist der Betrieb und die Abwehr von Angriffen.
TLS-Zertifikate holen wir bei Let's Encrypt (Internet Security Research Group). Dabei wird der aufgerufene Name der Seite übermittelt, keine Nutzerdaten.
4. Anfragen über die Startseite
Wer auf operanda.eu das Formular abschickt, übermittelt die geschäftliche E-Mail-Adresse und den gewählten Vorgang, dazu, falls ausgefüllt, Programme, Freitext, Name und Telefonnummer sowie die Werte des Rechners auf der Seite. Mit der Anfrage gehen außerdem die Adresse der Seite mit, über die Sie gekommen sind, samt einer Kennung der Anzeige, falls Sie über eine Anzeige kamen (utm-Angaben in der Adresse), der Name der Website, von der Sie zu uns gewechselt sind, und welche Beispielabläufe Sie angeklickt haben. So sehen wir, welche Anzeige zu einer Anfrage geführt hat. Cookies oder andere Speicher in Ihrem Browser nutzen wir dafür nicht. Wir speichern die Anfrage mit Zeitpunkt und IP-Adresse auf unserem Server und schicken sie uns selbst per E-Mail (Versand siehe „E-Mail“). An die angegebene Adresse schreiben wir erst, wenn wir antworten.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, die Anbahnung eines Vertrags. Die IP-Adresse speichern wir nach Buchstabe f, um massenhafte Anfragen abwehren zu können.
Auf den Branchenseiten (etwa operanda.eu/hausverwaltung) können Sie für einen Probe-Entwurf eine Anfrage einfügen und bis zu drei Unterlagen hochladen. Bitte ersetzen oder schwärzen Sie vorher Namen, Anschriften, Vertrags- und Kontonummern; Daten Dritter sollen nicht darin stehen. Um den Entwurf zu schreiben, geben wir Text und Unterlagen in unsere eigene operanda-Umgebung. Dabei verarbeitet ein Sprachmodell den Inhalt über den europäischen Zugang, wie unter „Sprachmodelle“ beschrieben. Die Unterlagen liegen auf unserem Server in Deutschland und werden 30 Tage nach dem Eingang gelöscht, die übrige Anfrage wie unten beschrieben.
Geben Sie dort eine Mobilnummer an und setzen den Haken für WhatsApp, willigen Sie ein, dass wir Ihnen zu dieser Anfrage per WhatsApp schreiben (Artikel 6 Absatz 1 Buchstabe a DSGVO). WhatsApp ist ein Dienst der Meta-Gruppe; dabei können Daten in die USA übermittelt werden. Die Einwilligung können Sie jederzeit per Mail an uns widerrufen.
Wird aus einer Anfrage kein Vertrag, löschen wir sie zwölf Monate nach ihrem Eingang.
Über den Eingang einer Anfrage benachrichtigt uns ein Push-Dienst (ntfy). Dabei geht nur der gewählte Vorgang mit, keine Ihrer Angaben.
Die Startseite lädt Schriften und Bilder nur von unserem eigenen Server.
5. Musterbüro
Auf den Branchenseiten können Sie ein Musterbüro öffnen: ein erfundenes Büro mit erfundenen Mails und Unterlagen, in dem Sie operanda ausprobieren. Jedes Musterbüro gehört nur der Person, die es angefordert hat; andere Interessenten sehen davon nichts.
Dafür verarbeiten wir die E-Mail-Adresse, die gewählte Branche und Personenzahl, die Adresse der Seite, über die Sie kamen, samt Kennung einer Anzeige (utm-Angaben) und der Website, von der Sie gewechselt sind. An die Adresse schicken wir den Anmeldelink (Versand siehe „E-Mail“). Aus der Adresse entsteht ein Konto ohne Passwort, das nur das Musterbüro sieht.
Während Sie das Musterbüro nutzen, speichern wir Ihre Fragen und die Antworten als Chat, dazu, wie oft und an welchen Tagen Sie gefragt haben, welche Schritte Sie erreicht haben (Link eingelöst, erste Frage, Antwort mit Fundstelle, Termin angefragt) und die Kosten der Modellaufrufe. Ihre Fragen und die Musterdaten verarbeitet ein Sprachmodell wie unter „Sprachmodelle“ beschrieben. Bitte geben Sie im Musterbüro keine echten Personendaten ein, weder eigene noch die von Kunden.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, die Anbahnung eines Vertrags. Die IP-Adresse nutzen wir beim Anfordern nur flüchtig, um massenhafte Anfragen abzuwehren (Buchstabe f); gespeichert wird sie am Musterbüro nicht.
Nach 14 Tagen löschen wir das Musterbüro samt Chats, Konto und Anmeldelinks. Für unsere Auswertung bleibt danach ein Datensatz ohne E-Mail-Adresse: Branche, Personenzahl, Herkunft, erreichte Schritte, Zahl der Fragen und Kosten. Ihn löschen wir nach zwölf Monaten. Die Zählung der Seitenaufrufe und Schritte speichert weder IP-Adresse noch E-Mail-Adresse.
Nachfassmails schicken wir nur, wenn Sie beim Anfordern das eigene, nicht vorausgewählte Häkchen setzen (Artikel 6 Absatz 1 Buchstabe a DSGVO und § 7 Absatz 2 UWG). Es sind höchstens drei Mails zu Ihrem Musterbüro, darunter ein Terminangebot. Mit Einwilligung behalten wir die E-Mail-Adresse dafür bis zu 30 Tage über das Ende des Musterbüros hinaus, danach löschen wir sie. Die Einwilligung können Sie jederzeit über den Link in jeder Mail oder per Mail an uns widerrufen; wir speichern Zeitpunkt und Wortlaut der Einwilligung als Nachweis.
Drücken Sie im Musterbüro „Mit meinem Postfach ausprobieren“, wird daraus eine Anfrage wie unter „Anfragen über die Startseite“ beschrieben, mit Ihrer Adresse, der Branche und Ihrem Terminwunsch. Ihr eigenes Postfach verbinden wir erst im Termin und erst nach einem Vertrag zur Auftragsverarbeitung.
7. Konto, Anmeldung und Unternehmen
Ein Konto entsteht durch eine Einladung. Gespeichert werden die E-Mail-Adresse, ein Name, falls angegeben, der Hashwert des Passworts (scrypt, nie das Passwort selbst), die Rolle, der Zeitpunkt der Anlage und das zuletzt gewählte Unternehmen.
Wer sich mit Microsoft Entra ID anmeldet, statt ein Passwort zu setzen, bei dem speichern wir zusätzlich die Kennungen des Verzeichnisses und des Kontos, die Microsoft uns dabei nennt.
Der zweite Faktor ist für Inhaber, Verwalter und Betreiber Pflicht. Dafür liegen ein verschlüsseltes Geheimnis und die Hashwerte der Wiederherstellungscodes am Konto.
Einladungen stehen mit Adresse, Frist und Absender in einer eigenen Ablage. Eine Einladung gilt 7 Tage, ein Zugangslink 24 Stunden, ein Anmeldelink 15 Minuten.
Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO, für Beschäftigte unserer Kunden die Verarbeitung im Auftrag nach Artikel 28 DSGVO.
8. Chats, Dateien und die Ablage eines Unternehmens
Ein Chat liegt als Datei im Datenbereich der Plattform, getrennt je Konto, lesbar nur für den Prozess der Plattform. Dazu gehören der Verlauf, das gewählte Modell und angehängte Dateien.
Zeichnungen liegen ebenso als Datei im Datenbereich der Plattform, samt eingefügten Bildern. Der Editor dafür (Excalidraw) wird von der Plattform selbst ausgeliefert, Schriften und Programmteile kommen nicht von fremden Servern.
Hochgeladene Dateien eines Unternehmens liegen im Konnektor-Dienst, getrennt je Unternehmen, samt dem daraus gewonnenen Text.
Was in einem Chat steht, bestimmt der Nutzer. Personenbezogene Daten Dritter geraten damit in die Verarbeitung, wenn er sie hineinschreibt oder ein angebundenes System sie liefert. Verantwortlich dafür ist der Kunde.
9. Sprachmodelle
Eine Anfrage an ein Sprachmodell geht über den europäischen Endpunkt des Routers der Requesty Ltd (router.eu.requesty.ai, Frankfurt am Main). Von dort erreicht sie das gewählte Modell.
Angeboten werden Modelle, die in europäischen Rechenzentren laufen: Anthropic Claude über Amazon Bedrock, Modelle von Google über Vertex AI, OpenAI-Modelle über Microsoft Azure sowie Mistral. Die Region steht in der Kennung des Modells, etwa eu-central-1 oder swedencentral.
Offene Modelle wie Kimi, DeepSeek und GLM betreibt ein spezialisierter Anbieter auf eigener Hardware in Europa: TensorX Ltd. (Dublin) in Rechenzentren in Irland und Finnland. Anfragen hält TensorX nur flüchtig im Arbeitsspeicher, nutzt sie nicht zum Training und gibt sie nicht an die Hersteller der Modelle weiter. Unternehmen können die Auswahl der Modelle in ihren Richtlinien einschränken.
Übermittelt werden der Inhalt der Anfrage und, als Kennzeichen für die Abrechnung, die E-Mail-Adresse des Nutzers sowie die Kennungen von Projekt und Zugang. Anmeldedaten, Cookies und Weiterleitungs-Kopfzeilen entfernen wir vorher.
Requesty sagt für zahlende Kunden zu, keine Modelle mit diesen Daten zu trainieren, und speichert Protokolle, falls eingeschaltet, verschlüsselt in der EU für höchstens 30 Tage.
Für die Reihenfolge von Treffern in der Wissenssuche nutzen wir Strom, ein Entscheidungsmodell der Uprelic GmbH (Berlin), betrieben bei Scaleway in Frankreich. Es erhält Dateinamen, Textausschnitte und den Anfang eines Dokuments samt der Frage, speichert Anfragen bis zu 90 Tage und trainiert nicht damit.
Das Ergebnis eines Modells kann falsch sein. Es ersetzt keine fachliche Prüfung.
10. Eigenes Konto bei einem KI-Anbieter
Statt des europäischen Zugangs kann ein Nutzer sein eigenes Konto bei Anthropic (Claude) oder OpenAI (ChatGPT, Codex) verbinden, sofern sein Unternehmen das zulässt. Dann gehen die Anfragen samt Inhalt aus dem Projekt direkt an diesen Anbieter, auch in die Vereinigten Staaten, und nicht über unseren europäischen Zugang.
Für die Verarbeitung beim Anbieter gilt der Vertrag, den der Nutzer oder sein Unternehmen mit ihm geschlossen hat; der Anbieter handelt dabei nicht in unserem Auftrag. Wir halten die Anmeldung im Speicher des Projekts auf unserem Server, damit der Agent sie benutzen kann. Unternehmen können diesen Zugang in ihren Richtlinien abschalten; dann bleibt nur der europäische.
11. Europa Plus: Hilfe aus dem eigenen Abo mit Platzhaltern
Im Modus „Europa Plus“ läuft ein Chat auf den europäischen Modellen. Für schwierige Aufgaben nutzt er zusätzlich das eigene Abo der Person bei Anthropic (Claude) oder OpenAI (ChatGPT). Bevor Text an dieses Abo geht, ersetzt die Plattform Personenangaben durch Platzhalter: Namen, Anschriften, Telefonnummern, E-Mail-Adressen, IBANs, Kennungen und die Namen kleinerer Betriebe. Die Zuordnung zwischen Platzhalter und echtem Wert bleibt auf unserem Server in Deutschland. Die Antwort setzt die Plattform mit den echten Werten wieder zusammen.
Die Texte mit Platzhaltern verarbeitet der Anbieter des Abos im Rahmen des Vertrags, den die Person mit ihm geschlossen hat, auch in den Vereinigten Staaten. Er handelt dabei nicht in unserem Auftrag.
Kein Verfahren dieser Art erkennt jede Angabe. Nach unseren Messungen bleibt ein kleiner Teil der Namen im Klartext, unter fünf Prozent der Namen, meist in Dateinamen und Kennungen. Wir messen diesen Rest bei jeder Änderung an der Erkennung und beobachten ihn im Betrieb. Umschreibungen ohne Namen, etwa „der Chef der Bäckerei“, erkennt der Schutz nicht.
Ob Europa Plus in einem Projekt eingeschaltet ist, entscheidet der Inhaber des Unternehmens je Projekt. In neuen Projekten ist der Schutz von Anfang an eingeschaltet; der Inhaber kann ihn je Projekt ausschalten. Für Unternehmen, die einem Berufsgeheimnis unterliegen, ist der Modus gesperrt (siehe Nutzungsbedingungen, „Berufsgeheimnis“).
12. Verbundene Systeme
Ein Agent arbeitet mit den Systemen, die ein Kunde selbst verbindet. Heute sind das Microsoft 365, Google Workspace, Google Ads, HubSpot, Notion, Plaud, WhatsApp, Impower, lexoffice, sevDesk, BuchhaltungsButler, eigene Windows-Rechner über ein Gateway, Make, Mateo (hellomateo), Superchat, Flixcheck, Higgsfield, Pocket, Stripe, Shopify, TimeTac, Matomo, Postfächer über IMAP, Kalender über CalDAV, Nextcloud und eigene Server über SFTP, FTP oder WebDAV.
Beim Verbinden speichern wir die Zugangsdaten verschlüsselt (AES-256-GCM) und daneben eine Kennung des Kontos im Klartext, damit erkennbar bleibt, welches Konto verbunden ist: bei Microsoft der Benutzername, bei Google und Google Ads die Adresse und die Kennung des Kontos, bei HubSpot Portal und Benutzer, bei Plaud Kennung, Name und E-Mail-Adresse des Kontos, bei IMAP Server und Benutzername, bei lexoffice die Kennung und der Name der Firma, bei sevDesk ein aus dem Schlüssel berechneter Prüfwert und der Name, den der Kunde vergibt, bei BuchhaltungsButler ein aus dem API-Key berechneter Prüfwert und der Name, den der Kunde vergibt, beim Windows-Gateway Kennung und Name des Kontos, die das Gateway nennt, bei Make Zone, Kennung, Name und E-Mail-Adresse des Benutzers, bei Mateo die Kennung der Organisation und der Name des API-Tokens, bei Superchat die Kennung des Nutzers, dem der Schlüssel gehört, und der Name des Workspace, bei Flixcheck die Kennungen von Konto und Nutzer und der Name des Nutzers, bei Higgsfield ein Prüfwert der Schlüssel-Id, bei Pocket ein Prüfwert des Schlüssels, bei Stripe ein Prüfwert des Schlüssels und ob er für den Testmodus gilt, bei Shopify Kennung, Name und Adresse des Shops, bei TimeTac der Kontoname, die Client-ID und die Adresse, unter der das Konto erreichbar ist, bei Matomo die Adresse der Matomo-Installation und ein Prüfwert des Tokens, bei CalDAV Adresse, Benutzer und der Ordner der Kalender auf dem Server, bei SFTP und FTP Server, Benutzer und Startordner, bei SFTP dazu der Fingerabdruck des Serverschlüssels, bei WebDAV und Nextcloud Adresse, Benutzer und Startordner.
Die Zugangsdaten liegen nicht im Container des Projekts. Sie reisen bei jedem Aufruf aus der Plattform in den Konnektor-Dienst und von dort zum Anbieter. Der Konnektor-Dienst ist von außen nicht erreichbar und verbindet sich nur mit Servern im Internet, nie mit Adressen in internen Netzen.
Welche Daten dabei fließen, bestimmen die Rechte, die der Kunde beim Verbinden vergibt. Eine Verbindung lässt sich jederzeit in der Plattform trennen. Die Zugangsdaten löschen wir dann bei uns. Bei Google und Notion widerrufen wir die Freigabe zusätzlich beim Anbieter (bei Google Ads nicht, weil das alle Google-Dienste von operanda zugleich träfe), eine WhatsApp-Kopplung melden wir ab. Bei Microsoft 365 und HubSpot nimmt der Kunde die Freigabe beim Anbieter selbst zurück; bei Plaud nehmen wir die Freigabe nicht zurück, sie bleibt dort bestehen, bis der Kunde sie entfernt oder Plaud sie beendet; einen API-Schlüssel oder ein Passwort (etwa bei Impower, IMAP, lexoffice, sevDesk, BuchhaltungsButler, Windows-Gateway, Make, Mateo, Superchat, Flixcheck, Higgsfield, Pocket, Stripe, Shopify, TimeTac, Matomo, CalDAV, SFTP, FTP, WebDAV und Nextcloud) kann nur er dort löschen oder ändern.
Einen Windows-Rechner bedient ein Gateway, das der Kunde selbst betreibt. Die Plattform schickt ihm die Aufgabe, die ein Agent startet, samt den Werten dafür, und liest Stand, Schritte und Ergebnis zurück. Um den Rechner zu bedienen, wertet das Gateway Bildschirmfotos aus. Dabei können Bildschirminhalte an ein Sprachmodell von OpenAI (GPT-6 Luna) gehen. Was auf dem Bildschirm steht, bestimmt der Kunde mit der Aufgabe und den Programmen auf dem Rechner.
13. Anmeldungen auf Websites
Ein Kunde kann einen Agenten Websites bedienen lassen, bei denen er selbst ein Konto hat. Dazu meldet er sich in einem Browser an, der auf unserem Server läuft. Wir speichern danach die Sitzung dieser Website (Cookies und lokaler Speicher), verschlüsselt mit AES-256-GCM in einem eigenen Dienst, der von außen nicht erreichbar ist und einen eigenen Schlüssel hat. An der Verbindung stehen im Klartext nur Name und Adresse der Website.
Auf Wunsch hinterlegt der Kunde zusätzlich Benutzername und Passwort der Website. Sie liegen verschlüsselt im selben Dienst, nicht in der Plattform und nicht im Container des Projekts. Läuft die Sitzung ab, trägt der Dienst sie auf der Anmeldeseite dieser Website ein; ein Sprachmodell bekommt sie nicht zu sehen. Anzeigen lassen sie sich nicht mehr, nur ersetzen oder löschen. An der Verbindung vermerken wir nur, dass es sie gibt, und den gekürzten Benutzernamen.
Eine Sitzung, die 30 Tage nicht benutzt wurde, löschen wir. Trennt der Kunde die Verbindung, löschen wir Sitzung und Zugangsdaten. Ob die Website automatisierten Zugriff erlaubt, prüft der Kunde; dafür ist er verantwortlich.
Der Browser ist ein Zugang ins offene Internet. Die Stufe, die der Kunde für eine Website wählt, beschreibt die Absicht; eine technische Sperre ist sie nicht. Auch in der Stufe „Lesen“ kann der Browser Formulare absenden und auf der Website handeln. Welche Websites der Kunde dem Browser öffnet und was dort geschieht, verantwortet der Kunde.
14. Daten aus Google-Konten
Wer sein Google-Konto verbindet, gibt operanda Zugriff auf die Dienste, die er im Zustimmungsbildschirm auswählt: Gmail, Google Drive, Google Kalender, Google Tabellen, Google Docs und Kontakte.
Wir nutzen diese Daten ausschließlich, um die Aufgabe auszuführen, die der Nutzer im Chat stellt. Eine Mail wird gelesen, wenn er nach ihr fragt; ein Entwurf entsteht, wenn er einen verlangt. Inhalte aus Google-Diensten gehen dabei an das Sprachmodell, das die Aufgabe bearbeitet (siehe „Sprachmodelle“), und sonst an niemanden.
Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung und nicht, um allgemeine KI- oder Machine-Learning-Modelle zu entwickeln, zu verbessern oder zu trainieren. Menschen bei uns lesen sie nicht, außer der Nutzer bittet ausdrücklich um Unterstützung, es ist zur Abwehr eines Sicherheitsvorfalls nötig oder das Recht verlangt es.
Das Zugriffstoken liegt verschlüsselt bei der Verbindung und wird gelöscht, sobald die Verbindung getrennt wird. Der Zugriff lässt sich außerdem jederzeit im Google-Konto unter myaccount.google.com/permissions entziehen.
operanda's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Auf Deutsch: Die Verwendung und Weitergabe von Informationen, die operanda über Google-APIs erhält, richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.
15. Diktat
Wer in den Chat spricht statt zu tippen, dessen Aufnahme geht zur Umwandlung in Text an die Mistral AI SAS in Paris (api.mistral.ai). Die Aufnahme liegt dabei nur im Arbeitsspeicher; wir speichern sie nicht.
16. Zugriffsprotokoll
Jeder Zugriff auf ein Projekt und jede Handlung in der Verwaltung stehen in einem Protokoll: Zeitpunkt, Ereignis, IP-Adresse, Browserkennung, Konto, Unternehmen, Projekt, Adresse und Antwortstatus.
Was jemand in den Chat schreibt, steht nicht darin. Protokolliert wird die Zahl der Zeichen, nicht der Inhalt.
Gewöhnliche Zeilen halten wir 3 Monate. Zeilen über einen Zugriff des Betreibers halten wir 24 Monate, weil sie der Nachweis für einen Zugriff sind, für den der Kunde nicht einzeln gefragt wurde. Danach werden sie gelöscht.
Ein Inhaber kann das Protokoll seines Unternehmens jederzeit einsehen und als CSV herunterladen.
17. E-Mail
Einladungen, Anmeldelinks und Hinweise verschicken wir über Brevo, einen Dienst der Sendinblue GmbH (Köpenicker Str. 126, 10179 Berlin). Brevo verarbeitet die Daten in Rechenzentren in Frankreich und Belgien. Dabei werden Empfängeradresse, Name und der Inhalt der Nachricht übermittelt.
Die Übermittlung in die Vereinigten Staaten stützen wir auf die Standardvertragsklauseln der Europäischen Kommission. Trotz dieser Klauseln lässt sich ein Zugriff durch US-Behörden nicht mit derselben Sicherheit ausschließen wie in der EU.
18. Rückmeldungen
In der Oberfläche steckt ein Button, mit dem sich ein Fehler melden lässt. Das Werkzeug dahinter läuft auf einem eigenen Server der itelly GmbH (feedback.itelly.eu). Erst wenn jemand eine Meldung absendet, übermittelt es die Beschreibung, die aufgerufene Adresse, ein Bild des Bildschirms und fehlgeschlagene Anfragen der Seite. Wer nichts meldet, sendet nichts.
Ein Bild des Bildschirms kann zeigen, was gerade offen war. Deshalb: vor dem Absenden hinsehen.
19. Betreuung durch uns
Mitarbeitende der itelly GmbH mit Betreuungsrolle können die Plattform so sehen, wie eine Person eines Kunden sie sieht. Auf Wunsch handeln sie auch im Auftrag dieser Person, passen etwa Apps, Abläufe und Einstellungen an oder führen Chats. Dabei benutzen sie die Verbindungen, die diese Person oder ihr Unternehmen eingerichtet hat, also zum Beispiel ihr Postfach.
Wir tun das, um Störungen zu beheben, bei der Einrichtung und im Rahmen einer Betreuung, die der Kunde gebucht hat. Zu jeder Betreuung kann ein Grund angegeben werden. Sie gilt 30 Minuten am Stück und endet danach von selbst.
Ausgeschlossen ist dabei: eine Freigabe für das eigene Konto einer Person zu erteilen oder zu widerrufen, das Konto der Person selbst zu ändern (Passwort, zweiter Faktor), ein Unternehmen zu kündigen oder zu löschen und ein Projekt zu löschen.
Jede Handlung steht mit dem Namen der Person bei uns, dem Grund, sofern einer angegeben wurde, und bei Änderungen mit dem Stand vorher und nachher im Protokoll des Unternehmens. Diese Zeilen halten wir 24 Monate.
Mit den Daten des Kunden arbeiten wir dabei als sein Auftragsverarbeiter im Rahmen unseres Vertrags (Artikel 28 DSGVO). Das Protokoll führen wir nach Artikel 6 Absatz 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist der Nachweis, wer wann was getan hat.
20. Empfänger
Außer den Stellen, die unten stehen, geben wir keine Daten weiter. Eine Übermittlung an Behörden erfolgt nur, wenn wir dazu verpflichtet sind.
| Empfänger | Wofür | Ort |
|---|---|---|
| Hetzner Online GmbH | Server, Rechenzentrum und Datensicherung; auch der Server für Fehlermeldungen | Deutschland (Falkenstein, Nürnberg) |
| Requesty Ltd | Router zu den Sprachmodellen | Sitz Vereinigtes Königreich, EU-Endpunkt Frankfurt am Main |
| Amazon Web Services, Google Cloud, Microsoft Azure, Mistral AI, TensorX | Betrieb der Sprachmodelle | EU |
| Mistral AI SAS | Umwandlung von Diktat in Text | Frankreich |
| Uprelic GmbH | Entscheidungsmodell Strom für die Reihenfolge von Suchtreffern (Wissenssuche) und Prüfungen im Website-Browser | Frankreich (Scaleway), Sicherungen Niederlande |
| Microsoft, Google, HubSpot, Notion, Meta, Impower, Lexware (lexoffice), sevDesk, BuchhaltungsButler | nur, wenn der Kunde das System verbindet | je Anbieter |
| Plaud Inc., Dover (Delaware) | nur, wenn der Kunde Plaud verbindet: Aufnahmen, Transkripte, Zusammenfassungen und Notizen aus seinem Plaud-Konto, die ein Agent liest | Vereinigte Staaten (Abruf über den MCP-Server von Plaud); gespeichert je nach Region des Plaud-Kontos, auch in Deutschland |
| MATEO Estate GmbH (hellomateo), Potsdam | nur, wenn der Kunde Mateo verbindet: Konversationen, Nachrichten und Kontakte aus seinem Mateo; Nachrichten, die ein Agent auf Wunsch sendet, verschickt Mateo über WhatsApp, SMS oder E-Mail | Deutschland, gespeichert bei Amazon Web Services in Frankfurt am Main |
| SuperX GmbH (Superchat), Berlin | nur, wenn der Kunde Superchat verbindet: Konversationen, Nachrichten und Kontakte aus seinem Superchat; Nachrichten, die ein Agent auf Wunsch sendet, verschickt Superchat über WhatsApp, Instagram, E-Mail oder SMS | Deutschland, gespeichert in Frankfurt am Main |
| Flixcheck GmbH, Essen | nur, wenn der Kunde Flixcheck verbindet: Checks mit Antworten und Dateien seiner Kunden; Checks, die ein Agent auf Wunsch verschickt, sendet Flixcheck per E-Mail, SMS oder WhatsApp | Deutschland |
| Higgsfield Inc., San Francisco | nur, wenn der Kunde Higgsfield verbindet: Beschreibungen und Bilder für die Erzeugung und die erzeugten Bilder und Videos. Higgsfield nutzt Eingaben und Ergebnisse nach seinen Bedingungen zum Training seiner Modelle, außer bei Enterprise-Verträgen | Vereinigte Staaten (EU-U.S. Data Privacy Framework oder Standardvertragsklauseln) |
| Open Vision Engineering Inc. (Pocket), Newark (Delaware) | nur, wenn der Kunde Pocket verbindet: Aufnahmen, Transkripte und Zusammenfassungen aus seinem Pocket-Konto, die ein Agent liest oder durchsucht | Sitz in den Vereinigten Staaten; einen Speicherort nennt Pocket nicht |
| Stripe Payments Europe, Ltd., Dublin | nur, wenn der Kunde Stripe verbindet: Zahlungen, Kunden, Rechnungen und Abos aus seinem Stripe-Konto; was ein Agent auf Wunsch anlegt, erstattet oder als Rechnung versendet, führt Stripe aus | Irland; Stripe übermittelt Daten auch in die Vereinigten Staaten und nach Indien |
| Shopify International Ltd., Dublin | nur, wenn der Kunde Shopify verbindet: Bestellungen, Produkte, Bestand und Kunden aus seinem Shop; Versandmeldungen, Erstattungen und Stornos, die ein Agent auf Wunsch auslöst, führt Shopify aus | Irland; Shopify übermittelt Daten nach Kanada und in die Vereinigten Staaten |
| TimeTac GmbH, Graz | nur, wenn der Kunde TimeTac verbindet: Mitarbeitende, Zeitbuchungen, Tageskonten, Abwesenheiten und Projektzeiten aus seinem TimeTac-Konto, die ein Agent liest | Österreich; Server laut TimeTac in der EU |
| Matomo-Installation, die der Kunde verbindet | nur, wenn der Kunde Matomo verbindet: Berichte über Besuche, Seiten, Herkunft, Geräte, Länder und Ziele seiner Websites, die ein Agent liest | beim Kunden oder dort, wo sein Matomo-Anbieter die Installation betreibt |
| Make (Celonis) | nur, wenn der Kunde Make verbindet: Szenarien, ihre Daten und Ausführungen | je nach Zone, die der Kunde wählt, EU oder Vereinigte Staaten |
| Windows-Gateway des Kunden | Aufgaben für den Windows-Rechner; das Gateway kann Bildschirminhalte an OpenAI (GPT-6 Luna) geben | beim Kunden |
| Server, die der Kunde über SFTP, FTP, WebDAV oder Nextcloud verbindet | nur Dateien in dem Ordner, den der Kunde dabei wählt | beim Kunden |
| Kalenderserver, die der Kunde über CalDAV verbindet | nur Termine aus den Kalendern dieses Kontos; Einladungen an Gäste verschickt auf Wunsch der Kalenderserver | beim Kunden oder seinem Kalenderanbieter |
| Anthropic, OpenAI | nur, wenn ein Nutzer sein eigenes Konto verbindet (siehe „Eigenes Konto bei einem KI-Anbieter“ und „Europa Plus“) | Vereinigte Staaten |
| Stripe Payments Europe, Ltd., Dublin | Abrechnung des Pakets Solo: Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsart und Zahlungen | Irland; Stripe übermittelt Daten auch in die Vereinigten Staaten |
| ntfy.sh (Push-Dienst) | Hinweis an uns über eine neue Anfrage oder knappes Guthaben, ohne Kontaktdaten | außerhalb der EU möglich |
| GitHub, Inc. | Ablage der Programmstände und der Container-Abbilder | Vereinigte Staaten |
| Let's Encrypt (ISRG) | TLS-Zertifikate | Vereinigte Staaten |
| Sendinblue GmbH (Brevo) | Versand von E-Mail | EU (Frankreich, Belgien) |
Bei Empfängern außerhalb der EU, die wir selbst beauftragen, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission. In die Ablage bei GitHub gelangen Programmstände, keine Kundendaten. Ein eigenes Konto bei Anthropic oder OpenAI beauftragt der Nutzer selbst.
21. Wie lange wir speichern
Solange ein Konto besteht, bleiben die Daten des Kontos bestehen. Wir löschen sie auf Anfrage an jannik.seven@itelly.de.
Ein Konto lässt sich derzeit nicht selbst löschen. Wer das möchte, schreibt uns; wir löschen es und bestätigen die Löschung.
Ein archiviertes Projekt wird nach 90 Tagen samt seinem Datenträger gelöscht. 14 Tage vorher weisen wir darauf hin.
Chats ohne eine einzige Nachricht räumen wir nach derselben Frist weg, samt Verlauf und Anhängen.
Zugriffsprotokolle: siehe „Zugriffsprotokoll“. Mitgeschriebene WhatsApp-Nachrichten löschen wir nach 90 Tagen.
Löst ein Kunde sein Unternehmen auf, löschen wir die Projekte samt Datenträgern, die Ablage, die Verbindungen samt Widerruf beim Anbieter, die Mitgliedschaften und die Einladungen. Die Konten der einzelnen Personen bleiben bestehen, weil sie auch zu anderen Unternehmen gehören können.
In den nächtlichen Sicherungen bleiben gelöschte Daten bis zu 30 Tage erhalten, danach sind sie auch dort entfernt.
Wo uns handels- oder steuerrechtliche Fristen zur Aufbewahrung zwingen, halten wir die Daten bis zum Ablauf dieser Fristen und sperren sie im Übrigen.
22. Sicherheit
Der Verkehr läuft durchgehend über TLS. Passwörter liegen als scrypt-Hash, Zugangsdaten verbundener Systeme und das Geheimnis des zweiten Faktors verschlüsselt mit AES-256-GCM.
Jedes Projekt läuft in einem eigenen Container mit der Laufzeit gVisor, in einem eigenen Netz, ohne Port nach außen und ohne zusätzliche Rechte. Fremde Projekte sind für ein Konto nicht sichtbar.
Wir können zur Betreuung die Ansicht einer Person eines Kunden einnehmen oder in ihrem Auftrag handeln (siehe „Betreuung durch uns“). Der Zugriff endet nach 30 Minuten, und jede Zeile im Protokoll trägt den Namen der Person bei uns, die gehandelt hat.
Die Daten der Plattform sichern wir jede Nacht verschlüsselt auf einen Speicher der Hetzner Online GmbH in Falkenstein und bewahren die Sicherungen 30 Tage auf. Die Wiederherstellung haben wir erprobt. Eine Zusage, einzelne Daten wiederherzustellen, gibt es ohne gesonderte Vereinbarung nicht.
23. Deine Rechte
Du hast das Recht auf Auskunft (Artikel 15 DSGVO), Berichtigung (16), Löschung (17), Einschränkung der Verarbeitung (18), Datenübertragbarkeit (20) und Widerspruch gegen eine Verarbeitung, die wir auf ein berechtigtes Interesse stützen (21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.
Wende dich dafür an jannik.seven@itelly.de oder an die Anschrift oben. Wir antworten innerhalb eines Monats.
Bist du Beschäftigter eines Kunden, gehen diese Rechte gegen deinen Arbeitgeber; wir leiten eine Anfrage an ihn weiter.
Du kannst dich außerdem bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
24. Änderungen
Ändert sich die Plattform, ändert sich diese Erklärung mit. Oben steht, wann sie zuletzt angefasst wurde. Frühere Fassungen schicken wir auf Anfrage zu.