Datenschutzerklärung

1.1 Verantwortlicher

Der Verantwortliche im Sinne der Verordnung (EU) 2016/679 (DSGVO) ist: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Wien, Österreich. Firmenbuchnummer: FN 618845t (Handelsgericht Wien). UID-Nr.: ATU80258169. E-Mail: [email protected]

1.2 Datenschutzkontakt

Für Fragen zum Datenschutz: [email protected]. Post: Good Point GmbH, z.Hd. Datenschutz, Liechtensteinstrasse 63/10, 1090 Wien, Österreich.

1.3 Geltungsbereich

Diese Datenschutzerklärung gilt für: (a) die Website hanc.ai, (b) die Plattform app.hanc.ai, (c) alle zugehörigen Dienste, APIs und Integrationen.

1.4 Rechtsrahmen

DSGVO, DSG 2018 (AT), BDSG (DE), TDDDG (DE), DSG (CH), EU AI Act, CCPA/CPRA (US-CA), PDPL (VAE).

Die folgende Übersicht bietet einen Überblick über unsere Datenverarbeitungstätigkeiten. Detaillierte Informationen finden Sie in den nachfolgenden Abschnitten.

Website-Besuch: IP-Adresse (anonymisiert), Browser, besuchte Seiten, Referrer. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Aufbewahrung: 90 Tage.

Kontaktformular / E-Mail: Name, E-Mail, Unternehmen, Nachrichteninhalt. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b) oder berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Aufbewahrung: 6 Monate nach Klärung.

Kontoerstellung: Name, E-Mail, Unternehmen, Branche, Adresse. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: Kontodauer + 7 Jahre.

Agenten-Konfiguration: Firmenname, Leistungen, Öffnungszeiten, Begrüßungen, Branche. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: Kontodauer.

Telefongespräche: Anrufernummer, Anrufmetadaten, Audio (wenn Aufnahme aktiviert), Transkripte. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b) + berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Aufbewahrung: 30 Tage Standard (kundenkonfigurierbar).

Zahlungsabwicklung: Zahlungsmethode (via Stripe), Plantyp, Rechnungen. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO). Aufbewahrung: 7 Jahre (BAO § 132).

Analytik: Funktionsnutzung, Sitzungsdaten, Leistungskennzahlen. Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Aufbewahrung: 26 Monate.

Marketing / Newsletter: E-Mail, Name, Präferenzen. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Aufbewahrung: Bis zum Widerruf der Einwilligung.

3.1 Datenminimierung

Wir erheben personenbezogene Daten nur im für die beschriebenen Zwecke erforderlichen Umfang. Die Verarbeitung ist zweckgebunden (Art. 5 Abs. 1 lit. b und c DSGVO).

3.2 Speicherbegrenzung

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Verarbeitungszweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

3.3 Datensicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen um (Art. 32 DSGVO).

4.1 Server-Logdateien

Beim Besuch unserer Website erheben wir: IP-Adresse (anonymisiert), Datum/Uhrzeit, URL, Datenmenge, HTTP-Status, Browser, Betriebssystem, Referrer. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Aufbewahrung: 30 Tage.

4.2 Kontaktaufnahme per E-Mail

Erhobene Daten: E-Mail-Adresse, Name, Unternehmen, Inhalt, Datum/Uhrzeit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder f DSGVO. Aufbewahrung: 6 Monate nach Klärung der Anfrage.

4.3 Kontaktformular

Wie E-Mail, plus Themenauswahl und DSGVO-Einwilligungszeitstempel. HubSpot als Auftragsverarbeiter (AVV vorhanden).

4.4 Newsletter

Falls zutreffend: E-Mail, Name, Unternehmen. Double-Opt-in erforderlich. Brevo (Sendinblue) als Auftragsverarbeiter. Abmeldelink in jeder E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

5.1 Registrierung

Erhobene Daten: E-Mail, Passwort (gehasht), Name, Firmenname, Branche, Geschäftsadresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.2 Agenten-Konfiguration

Erhobene Daten: Firmenname, Leistungen, Arbeitszeiten, Begrüßungstext, Branchenkategorie. Zweck: Agentenerstellung und -betrieb.

5.3 Abrechnung

Stripe als Zahlungsdienstleister. Wir speichern: Plantyp, Abrechnungszyklus, Rechnungshistorie. Stripe speichert: Zahlungsmitteldetails (PCI DSS Level 1). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Nutzungsanalytik

PostHog für Business Intelligence. Daten: Funktionsnutzung, Sitzungsdaten, Agentenleistungskennzahlen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

5.5 Demo-Rückrufservice

Wenn Sie einen Demo-Rückruf anfordern, verarbeiten wir Ihre Telefonnummer ausschließlich zum Zweck eines einzelnen Demonstrationsanrufs. Rechtsgrundlage: Ihre ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Verarbeitete Daten: Telefonnummer im Format E.164. Speicherdauer: Automatische Löschung innerhalb von 24 Stunden. Auftragsverarbeiter: Twilio Inc. (USA), Standardvertragsklauseln. KI-Offenlegung gemäß EU AI Act Art. 50.

6.1 Anrufdaten

Wir verarbeiten: Rufnummer des Anrufers, Zeitstempel, Anrufdauer, Agenten-ID, Anrufergebnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

6.2 Sprachdaten

Echtzeit-Sprache-zu-Text-Verarbeitung über Azure (EU-Region). Sprachaudio wird im Arbeitsspeicher verarbeitet und nicht dauerhaft gespeichert, es sei denn, die Anrufaufnahme wird vom Kunden aktiviert.

6.3 Anrufaufnahmen

Optional, vom Kunden gesteuert. Verschlüsselt in Azure EU gespeichert. Aufbewahrung: kundendefiniert (Standard 90 Tage). Der Kunde ist für die Einhaltung der lokalen Gesetze zur Anrufaufnahme verantwortlich.

6.4 KI-Verarbeitung

Gesprächsdaten werden von Azure OpenAI (EU-Region) verarbeitet. Kein Training mit Kundendaten. Datenverarbeitung gemäß Microsoft-AVV.

6.5 Transkripte

Verschlüsselt gespeichert. Für den Kunden über das Dashboard zugänglich. Aufbewahrung: kundendefiniert.

6.6 EU AI Act (Art. 50)

Anrufer werden zu Beginn jedes Gesprächs darüber informiert, dass sie mit einem KI-System sprechen.

7.1 Essentielle Cookies

Sitzungsverwaltung, Authentifizierung, Sprachpräferenz. Keine Einwilligung erforderlich (TDDDG § 25 Abs. 2).

7.2 Analytik-Cookies

PostHog (selbst gehostet / EU). Einwilligung erforderlich (TDDDG § 25 Abs. 1). Cookie-Banner mit Opt-in.

7.3 Marketing-Cookies

Keine zum Start. Bei Hinzufügen: Einwilligung erforderlich, im Cookie-Banner aufgeführt.

7.4 Cookie-Banner

Consent-Management-Plattform. Granulares Opt-in/Opt-out. Einwilligung wird 12 Monate gespeichert. Widerruf jederzeit möglich.

7.5 Cookie-Liste

hanc_session: Sitzungsverwaltung — erhält den Sitzungsstatus. Dauer: Sitzung. Typ: Essentiell.

hanc_locale: Sprachpräferenz — speichert die gewählte Oberflächensprache. Dauer: 1 Jahr. Typ: Essentiell.

hanc_consent: Cookie-Einwilligungsstatus — zeichnet Einwilligungsentscheidungen auf. Dauer: 1 Jahr. Typ: Essentiell.

_ph_*: PostHog-Analytik — verfolgt anonymisierte Nutzungsmuster. Dauer: 1 Jahr. Typ: Analytik.

_hs*: HubSpot-Tracking — ermöglicht CRM-Integration. Dauer: 13 Monate. Typ: Marketing.

stripe_*: Zahlungsabwicklung — unterstützt sichere Stripe-Sitzungen. Dauer: Sitzung. Typ: Essentiell.

Wir nutzen folgende Unterauftragsverarbeiter:

Microsoft (Azure): Cloud-Hosting, LLM, STT, TTS. Standort: Dublin, Irland / USA. Zweck: Infrastruktur, KI-Verarbeitung. Schutzmaßnahme: EU-Hosting (Azure West Europe), Art. 28 AVV, EU-US DPF.

LiveKit Inc.: Echtzeit-Sprache / WebRTC. Standort: San Jose, USA. Zweck: Anrufinfrastruktur. Schutzmaßnahme: Art. 46 Abs. 2 lit. c SCCs, EU-Relay-Server.

Twilio: Telefonie (SIP/PSTN). Standort: Dublin, Irland / USA. Zweck: Telefonanrufe. Schutzmaßnahme: EU-Hosting, Art. 28 AVV, EU-US DPF.

ElevenLabs Inc.: TTS/STT (optional). Standort: New York, USA. Schutzmaßnahme: Art. 46 Abs. 2 lit. c SCCs.

Cartesia AI, Inc.: TTS/STT (optional). Standort: San Francisco, USA. Schutzmaßnahme: Art. 46 Abs. 2 lit. c SCCs.

PostHog Inc.: Analytik. Standort: San Francisco, USA. Schutzmaßnahme: EU-Self-Hosting-Option, Art. 46 Abs. 2 lit. c SCCs.

HubSpot Ireland Ltd: CRM. Standort: Dublin, Irland. Schutzmaßnahme: EU-Hosting, Art. 28 AVV.

Brevo (Sendinblue SAS): E-Mail. Standort: Paris, Frankreich. Schutzmaßnahme: EU-Hosting, Art. 28 AVV.

Stripe Payments Europe Ltd: Zahlungen. Standort: Dublin, Irland. Schutzmaßnahme: PCI DSS Level 1, EU-Hosting.

Nach der DSGVO stehen Ihnen folgende Rechte zu: Recht auf Auskunft (Art. 15), Recht auf Berichtigung (Art. 16), Recht auf Löschung (Art. 17), Recht auf Einschränkung der Verarbeitung (Art. 18), Recht auf Datenübertragbarkeit (Art. 20), Recht auf Widerspruch (Art. 21), Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3) und das Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Kontakt: [email protected]

Aufsichtsbehörde: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, [email protected]

Server-Logdateien: 30 Tage (berechtigtes Interesse).

Kontaktformularanfragen: 6 Monate nach Klärung (Vertrag/berechtigtes Interesse).

Kontodaten: Vertragsdauer + 7 Jahre (Vertrag + BAO § 132).

Abrechnung / Rechnungen: 7 Jahre (BAO § 132).

Anrufaufnahmen: Kundendefiniert, Standard 90 Tage (Vertragserfüllung).

Anruftranskripte: Kundendefiniert, Standard 90 Tage (Vertragserfüllung).

Analytikdaten: 26 Monate (berechtigtes Interesse).

Cookie-Einwilligungsprotokolle: 12 Monate (TDDDG).

11.1 DSGVO (EU/EWR)

Primärer Compliance-Rahmen. Alle Daten in der EU gehostet (Azure West Europe).

11.2 DSG 2018 (AT)

Zusätzliche nationale Bestimmungen für Österreich.

11.3 BDSG (DE)

Zusätzliche Bestimmungen für deutsche Nutzer.

11.4 DSG (CH)

Compliance für Schweizer Nutzer. Datenangemessenheit von der EU anerkannt.

11.5 EU AI Act

Transparenzpflichten nach Art. 50. Anruferbenachrichtigung zu Gesprächsbeginn.

11.6 CCPA/CPRA (Kalifornien)

Kein Verkauf personenbezogener Daten. Recht auf Auskunft, Löschung, Widerspruch. Kontakt: [email protected] mit Betreff „CCPA-Anfrage“.

11.7 PDPL (VAE/Saudi-Arabien)

Compliance für Nutzer in der Golfregion. Arabischsprachiger Hinweis für AR-Lokalisierungen.

Verschlüsselung: TLS 1.3 bei der Übertragung, AES-256 im Ruhezustand.

Zugangskontrolle: Rollenbasiert, Multi-Faktor-Authentifizierung für Administratorzugang.

Infrastruktur: Azure West Europe mit Geo-Redundanz.

Überwachung: Automatische Bedrohungserkennung, Intrusion-Detection-Systeme.

Vorfallreaktion: 72-Stunden-Benachrichtigung gemäß Art. 33 DSGVO.

Ausstehende Zertifizierungen: SOC 2 Type II, ISO 27001.

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden registrierten Nutzern per E-Mail und durch einen deutlichen Hinweis auf unserer Website mitgeteilt. Das Datum der letzten Überarbeitung ist am Anfang dieser Erklärung angegeben.