Datenschutzerklärung

1. Verantwortlicher und Kontaktdaten

1.1 Verantwortlicher

Der Verantwortliche im Sinne der Verordnung (EU) 2016/679 (DSGVO) ist: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Wien, Österreich. Firmenbuchnummer: FN 618845t (Handelsgericht Wien). UID-Nr.: ATU80258169. E-Mail: legal@hanc.ai

1.2 Datenschutzkontakt

Für Fragen zum Datenschutz: datenschutz@hanc.ai. Post: Good Point GmbH, z.Hd. Datenschutz, Liechtensteinstrasse 63/10, 1090 Wien, Österreich.

1.3 Geltungsbereich

Diese Datenschutzerklärung gilt für: (a) die Website hanc.ai, (b) die Plattform app.hanc.ai, (c) alle zugehörigen Dienste, APIs und Integrationen.

1.4 Rechtsrahmen

DSGVO, DSG 2018 (AT), BDSG (DE), TDDDG (DE), DSG (CH), EU AI Act.

2. Übersicht der Verarbeitungstätigkeiten

Die folgende Übersicht bietet einen Überblick über unsere Datenverarbeitungstätigkeiten. Detaillierte Informationen finden Sie in den nachfolgenden Abschnitten.

Website-Besuch: IP-Adresse (anonymisiert), Browser, besuchte Seiten, Referrer. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Aufbewahrung: 90 Tage.

Kontaktformular / E-Mail: Name, E-Mail, Unternehmen, Nachrichteninhalt. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Aufbewahrung: 6 Monate nach Klärung.

Kontoerstellung: Name, E-Mail, Unternehmen, Branche, Adresse. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: Kontodauer + 7 Jahre.

Agenten-Konfiguration: Firmenname, Leistungen, Öffnungszeiten, Begrüßungen, Branche. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: Kontodauer.

Telefongespräche: Anrufernummer, Anrufmetadaten, Audio (wenn Aufnahme aktiviert), Transkripte. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b) + berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Aufbewahrung: 30 Tage Standard (kundenkonfigurierbar).

Zahlungsabwicklung: Zahlungsmethode (via Stripe), Plantyp, Rechnungen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: 7 Jahre (BAO § 132).

Analytik: Funktionsnutzung, Sitzungsdaten, Leistungskennzahlen. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Aufbewahrung: 26 Monate.

Marketing / Newsletter: E-Mail, Name, Präferenzen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Aufbewahrung: Bis zum Widerruf der Einwilligung.

3. Grundsätze der Datenverarbeitung

3.1 Datenminimierung

Wir erheben personenbezogene Daten nur im für die beschriebenen Zwecke erforderlichen Umfang. Die Verarbeitung ist zweckgebunden (Art. 5 Abs. 1 lit. b und c DSGVO).

3.2 Speicherbegrenzung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

3.3 Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen um (Art. 32 DSGVO).

4. Verarbeitung beim Besuch der Website

4.1 Server-Logdateien

Beim Besuch unserer Website erheben wir: IP-Adresse (anonymisiert), Datum/Uhrzeit, URL, Datenmenge, HTTP-Status, Browser, Betriebssystem, Referrer. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Aufbewahrung: 30 Tage.

4.2 Kontaktaufnahme per E-Mail

Erhobene Daten: E-Mail-Adresse, Name, Unternehmen, Inhalt, Datum/Uhrzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder f DSGVO. Aufbewahrung: 6 Monate nach Klärung der Anfrage.

4.3 Kontaktformular

Wie E-Mail, plus Themenauswahl und DSGVO-Einwilligungszeitstempel. HubSpot als Auftragsverarbeiter (AVV vorhanden).

4.4 Newsletter

Falls zutreffend: E-Mail, Name, Unternehmen. Double-Opt-in erforderlich. Brevo (Sendinblue) als Auftragsverarbeiter. Abmeldelink in jeder E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

5. Verarbeitung bei Nutzung der Plattform

5.1 Registrierung

Erhobene Daten: E-Mail, Passwort (gehasht), Name, Firmenname, Branche, Geschäftsadresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.2 Agenten-Konfiguration

Erhobene Daten: Firmenname, Leistungen, Arbeitszeiten, Begrüßungstext, Branchenkategorie. Zweck: Agentenerstellung und -betrieb.

5.3 Abrechnung

Stripe als Zahlungsdienstleister. Wir speichern: Plantyp, Abrechnungszyklus, Rechnungshistorie. Stripe speichert: Zahlungsmitteldetails (PCI DSS Level 1). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Nutzungsanalytik

PostHog für Business Intelligence. Daten: Funktionsnutzung, Sitzungsdaten, Agentenleistungskennzahlen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5.5 Demo-Rückrufservice

Wenn Sie einen Demo-Rückruf anfordern, verarbeiten wir Ihre Telefonnummer ausschließlich zum Zweck eines einzelnen Demonstrationsanrufs. Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Verarbeitete Daten: Telefonnummer im Format E.164. Speicherdauer: für die Dauer des Vertragsverhältnisses; Löschung bei Kontolöschung. Empfänger: Kategorien von Unterauftragsverarbeitern wie oben beschrieben; die aktuelle Liste ist auf Anfrage über privacy@hanc.ai erhältlich. KI-Offenlegung gemäß EU AI Act Art. 50.

6. Verarbeitung von Telefongesprächen und KI-Interaktionen

6.1 Anrufdaten

Wir verarbeiten: Rufnummer des Anrufers, Zeitstempel, Anrufdauer, Agenten-ID, Anrufergebnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

6.2 Sprachdaten

Echtzeit-Sprache-zu-Text-Verarbeitung über Azure (EU-Region). Sprachaudio wird im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert, es sei denn, die Anrufaufnahme wird vom Kunden aktiviert.

6.3 Anrufaufnahmen

Optional, vom Kunden gesteuert. Verschlüsselt in Azure EU gespeichert. Speicherdauer: für die Dauer des Vertragsverhältnisses; es erfolgt kein automatischer zeitbasierter Ablauf; Löschung bei Kontolöschung oder auf Anfrage. Der Kunde ist für die Einhaltung der lokalen Gesetze zur Anrufaufnahme verantwortlich.

6.4 KI-Verarbeitung

Gesprächsdaten werden von Azure OpenAI (EU-Region) verarbeitet. Kein Training mit Kundendaten. Datenverarbeitung gemäß Microsoft-AVV.

6.5 Transkripte

Verschlüsselt gespeichert. Für den Kunden über das Dashboard zugänglich. Speicherdauer: für die Dauer des Vertragsverhältnisses; es erfolgt kein automatischer zeitbasierter Ablauf; Löschung bei Kontolöschung oder auf Anfrage.

6.6 EU AI Act (Art. 50)

Anrufer werden zu Beginn jedes Gesprächs darüber informiert, dass sie mit einem KI-System sprechen.

7. Cookies und ähnliche Technologien

7.1 Essentielle Cookies

Sitzungsverwaltung, Authentifizierung, Sprachpräferenz. Keine Einwilligung erforderlich (TDDDG § 25 Abs. 2).

7.2 Analytik-Cookies

PostHog Cloud EU (Frankfurt). Einwilligung erforderlich (TDDDG § 25 Abs. 1). Cookie-Banner mit Opt-in.

7.3 Marketing-Cookies

Keine zum Start. Bei Hinzufügen: Einwilligung erforderlich, im Cookie-Banner aufgeführt.

7.4 Cookie-Banner

Consent-Management-Plattform. Granulares Opt-in/Opt-out. Einwilligung wird 12 Monate gespeichert. Widerruf jederzeit möglich.

7.5 Cookie-Liste

hanc_session: Sitzungsverwaltung — erhält den Sitzungsstatus. Dauer: Sitzung. Typ: Essentiell.

hanc_locale: Sprachpräferenz — speichert die gewählte Oberflächensprache. Dauer: 1 Jahr. Typ: Essentiell.

hanc_consent: Cookie-Einwilligungsstatus — zeichnet Einwilligungsentscheidungen auf. Dauer: 1 Jahr. Typ: Essentiell.

_ph_*: PostHog-Analytik — verfolgt anonymisierte Nutzungsmuster. Dauer: 1 Jahr. Typ: Analytik.

_hs*: HubSpot-Tracking — ermöglicht CRM-Integration. Dauer: 13 Monate. Typ: Marketing.

stripe_*: Zahlungsabwicklung — unterstützt sichere Stripe-Sitzungen. Dauer: Sitzung. Typ: Essentiell.

8. Drittanbieter und Datenübermittlungen

Wir setzen Dienstleister in den Kategorien Hosting, Datenbank, KI-Verarbeitung, Telefonie, Zahlungen, E-Mail und Analyse ein. Die detaillierte Liste der Unterauftragsverarbeiter ist über unser Trust Center verfügbar: security.hanc.ai.

9. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu: Recht auf Auskunft (Art. 15), Recht auf Berichtigung (Art. 16), Recht auf Löschung (Art. 17), Recht auf Einschränkung der Verarbeitung (Art. 18), Recht auf Datenübertragbarkeit (Art. 20), Recht auf Widerspruch (Art. 21), Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3) und das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Kontakt: datenschutz@hanc.ai

Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, dsb@dsb.gv.at

10. Aufbewahrungsfristen

Server-Logdateien: 30 Tage (berechtigtes Interesse).

Kontaktformularanfragen: 6 Monate nach Klärung (Vertrag/berechtigtes Interesse).

Kontodaten: Vertragsdauer + 7 Jahre (Vertrag + BAO § 132).

Abrechnung / Rechnungen: 7 Jahre (BAO § 132).

Anrufaufnahmen: Vertragsdauer, keine automatische Löschfrist (Vertragserfüllung).

Anruftranskripte: Vertragsdauer, keine automatische Löschfrist (Vertragserfüllung).

Analytikdaten: 26 Monate (berechtigtes Interesse).

Cookie-Einwilligungsprotokolle: 12 Monate (TDDDG).

11. Internationale Datenübermittlungen und Compliance

11.1 DSGVO (EU/EWR)

Primärer Compliance-Rahmen. Anwendungs- und Sprachinfrastruktur wird bei Hetzner in Deutschland gehostet, die primäre Datenbank bei MongoDB Atlas in Frankfurt, Microsoft-Azure-Dienste laufen in EU-Regionen; ergänzende KI-Workloads können außerhalb des EWR verarbeitet werden, jede Übermittlung ist anbieterbezogen in unserer Compliance-Dokumentation unter security.hanc.ai dokumentiert.

11.2 DSG 2018 (AT)

Zusätzliche nationale Bestimmungen für Österreich.

11.3 BDSG (DE)

Zusätzliche Bestimmungen für deutsche Nutzer.

11.4 DSG (CH)

Compliance für Schweizer Nutzer. Datenangemessenheit von der EU anerkannt.

11.5 EU AI Act

Transparenzpflichten nach Art. 50. Anruferbenachrichtigung zu Gesprächsbeginn.

12. Datensicherheit

Verschlüsselung: TLS 1.3 bei der Übertragung, AES-256 im Ruhezustand.

Zugangskontrolle: Rollenbasiert, Multi-Faktor-Authentifizierung für Administratorzugang.

Infrastruktur: Hetzner (Deutschland) und Microsoft-Azure-EU-Regionen.

Überwachung: Intrusion Prevention auf Serverebene sowie die Überwachung durch unsere Infrastrukturanbieter.

Vorfallreaktion: 72-Stunden-Benachrichtigung gemäß Art. 33 DSGVO.

Zertifizierungen: Unsere Infrastrukturanbieter sind zertifiziert (Hetzner: ISO 27001; Stripe: PCI DSS Level 1). Hanc.AI selbst besitzt keine SOC-2- oder ISO-27001-Zertifizierung.

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden registrierten Nutzern per E-Mail und durch einen deutlichen Hinweis auf unserer Website mitgeteilt. Das Datum der letzten Überarbeitung ist am Anfang dieser Erklärung angegeben.

Die Verarbeitung im Auftrag von Geschäftskunden richtet sich nach unserem Auftragsverarbeitungsvertrag, der Bestandteil unserer Nutzungsbedingungen ist, bei der Registrierung vorgelegt wird und im Kundenkonto sowie über unser Trust Center verfügbar ist: security.hanc.ai.