Datenschutzerklärung

1. Verantwortlicher

PODSCHI AI UG (haftungsbeschränkt)
Karolinenplatz 2
80333 München
Deutschland

Vertreten durch die Geschäftsführer Alexander Thomas und Nick Thomas

E-Mail: hallo@podschi.de

2. Überblick der Verarbeitungstätigkeiten

Wir erheben und verarbeiten personenbezogene Daten im Rahmen folgender Tätigkeiten:

• Bereitstellung unserer Website (podschi.de)
• Bereitstellung und Betrieb von KI-gestützten Voice Agents für unsere Geschäftskunden
• Verarbeitung von Kontaktanfragen über unser Kontaktformular
• Kommunikation per E-Mail mit Kunden, Interessenten, Geschäftspartnern und Dienstleistern
• Anrufe bei unserer Demo-Rufnummer und bei unserer KI-Assistentin
• Reichweitenmessung der Website, nur mit Ihrer Einwilligung

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO, Einwilligung des Betroffenen
• Art. 6 Abs. 1 lit. b DSGVO, Vertragserfüllung oder vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO, Erfüllung rechtlicher Pflichten (z. B. gesetzliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO, Berechtigtes Interesse (z. B. IT-Sicherheit, stabiler Betrieb der Website)

4. Hosting und Content Delivery

4.1 Vercel

Unsere Website wird auf der Plattform Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Beim Besuch unserer Website werden automatisch Informationen an die Server von Vercel übermittelt und in sogenannten Server-Logfiles gespeichert. Hierzu gehören:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit der Anfrage
• Übertragene Datenmenge
• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren Bereitstellung unserer Website). Die Server-Logfiles werden aus Sicherheitsgründen (z. B. zur Aufklärung von Missbrauch oder Angriffen) für eine Dauer von maximal 14 Tagen gespeichert und anschließend gelöscht.

Datentransfer USA: Vercel Inc. ist unter dem EU-US Data Privacy Framework zertifiziert. Der Datentransfer erfolgt somit auf Basis eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO. Ergänzend wurden EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO abgeschlossen.

Weitere Informationen: https://vercel.com/legal/privacy-policy

5. Kontaktformular

Wenn Sie unser Kontaktformular nutzen, werden die von Ihnen eingegebenen Daten (z. B. Name, E-Mail-Adresse, Nachricht) an unseren selbst gehosteten Automatisierungsserver (n8n) innerhalb der Europäischen Union übermittelt und dort verarbeitet.

Erhobene Daten:

• Name (erforderlich)
• E-Mail-Adresse (erforderlich)
• Unternehmen (optional)
• Telefonnummer (optional)
• Branche (optional)
• Ungefähres Anrufaufkommen (optional)
• Nachricht (optional)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: Ihre Anfrage erreicht uns als E-Mail. Für Speicherdauer und Empfänger gilt deshalb Abschnitt 5a.

Bereitstellung: Die Bereitstellung Ihrer Daten ist weder gesetzlich noch vertraglich vorgeschrieben. Die Angabe der als erforderlich markierten Daten ist jedoch notwendig, um Ihre Anfrage bearbeiten und beantworten zu können.

Verarbeitung: Das Formular leitet Ihre Angaben über unsere selbst betriebene n8n-Instanz auf einem Server der Hetzner Online GmbH in Deutschland als E-Mail an unser Postfach weiter. Ab dort gilt Abschnitt 5a.

5a. Kommunikation per E-Mail

Kurz gesagt: Ihre E-Mail lesen bei uns die Personen, die Ihr Anliegen bearbeiten. Beim Sortieren und Beantworten hilft uns ein KI-Dienst (Claude von Anthropic); jede Antwort an Sie prüft und verschickt ein Mensch. Geschäftsbriefe und Buchungsbelege müssen wir sechs beziehungsweise acht Jahre aufbewahren, alles andere behalten wir nur, solange wir es brauchen. Für Auskunft, Löschung oder Widerspruch genügt eine E-Mail an hallo@podschi.de.

Welche Daten: Ihr Name und Ihre E-Mail-Adresse, weitere Angaben aus Nachricht und Signatur (zum Beispiel Unternehmen, Funktion, Telefonnummer), der Inhalt einschließlich Anhängen sowie technische Angaben wie Datum, Uhrzeit, Absender- und Empfängeradressen. Daten weiterer Personen, die in einer Nachricht vorkommen, verarbeiten wir für die in diesem Abschnitt genannten Zwecke.

Zwecke und Rechtsgrundlagen:

• Anfragen beantworten und Verträge anbahnen oder erfüllen, wenn Sie selbst unser Vertragspartner sind oder werden wollen (etwa als Einzelunternehmer), soweit die Verarbeitung dafür erforderlich ist: Art. 6 Abs. 1 lit. b DSGVO.
• Auf Grundlage unserer berechtigten Interessen (Art. 6 Abs. 1 lit. f DSGVO): mit Ansprechpartnern von Unternehmen korrespondieren und bestehende Geschäftsbeziehungen pflegen; Vorgänge dokumentieren und Rechtsansprüche geltend machen, ausüben oder verteidigen; unsere Postfächer vor Spam und Schadsoftware schützen; E-Mails mit KI-Unterstützung sortieren, zusammenfassen und Antwortentwürfe erstellen.
• Gesetzliche Aufbewahrung: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 257 HGB und § 147 AO.

Werbliche E-Mails senden wir nur mit Ihrer vorherigen ausdrücklichen Einwilligung oder, bei bestehenden Kunden, unter den gesetzlichen Voraussetzungen.

Herkunft der Daten: Meist erhalten wir Ihre Daten von Ihnen selbst. Andernfalls stammen sie aus Nachrichten anderer Personen, etwa Ihrer Kolleginnen, Kollegen oder Geschäftspartner, aus einer persönlichen Empfehlung oder aus öffentlich zugänglichen beruflichen Quellen.

Empfänger:

• Postfächer und Kalender: Microsoft 365. Für unseren Microsoft-Zugang gilt die EU-Datengrenze von Microsoft (EU Data Boundary): Microsoft speichert und verarbeitet die Inhalte in Rechenzentren in Staaten der EU und der EFTA. In begrenzten Fällen, etwa für Sicherheit und technischen Support, sind Übermittlungen außerhalb dieses Gebiets möglich (siehe Abschnitt 12).
• KI-Unterstützung: der KI-Dienst Claude der Anthropic Ireland, Limited (Dublin, Irland). Dazu wird der Text der E-Mail an Anthropic übermittelt, im Einzelfall auch Anhänge. Anthropic verarbeitet die Daten nach seiner eigenen Datenschutzerklärung auch für eigene Zwecke und auch in den USA; für Übermittlungen in die USA stützt sich Anthropic nach eigenen Angaben auf Standardvertragsklauseln der EU-Kommission. Weitere Informationen: https://www.anthropic.com/legal/privacy
• Server: IONOS SE, Rechenzentrum in Deutschland, für unsere E-Mail-Verwaltung und Dokumentenablage.
• Dokumentenablage: GitHub, Inc. (USA), für Unterlagen und Notizen zu Geschäftsvorgängen, die Inhalte aus E-Mails enthalten können; Übermittlung auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO).
• Unsere Steuerberatung, soweit E-Mails Buchungsbelege sind.
• Behörden, Gerichte und Rechtsanwälte, wenn wir gesetzlich dazu verpflichtet sind oder Rechtsansprüche geltend machen, ausüben oder verteidigen.

Speicherdauer: Wir bewahren E-Mails auf, solange wir sie für Ihr Anliegen oder die Geschäftsbeziehung brauchen, also bis Ihr Anliegen abschließend erledigt ist oder die Geschäftsbeziehung endet. Darüber hinaus nur, soweit das Gesetz es verlangt oder wir sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen. Gesetzlich aufzubewahren sind E-Mails, die Handels- oder Geschäftsbriefe sind, sechs Jahre, und E-Mails, die als Buchungsbeleg dienen, acht Jahre (§ 257 HGB, § 147 AO). Die Frist beginnt mit dem Ende des Kalenderjahres, in dem der Brief empfangen oder abgesandt wurde, bei Buchungsbelegen mit dem Ende des Jahres, in dem der Beleg entstanden ist. Sie kann sich nach Maßgabe von § 147 Abs. 3 AO verlängern.

Bereitstellung: Die Kontaktaufnahme per E-Mail ist freiwillig. Ohne eine Kontaktmöglichkeit können wir Ihre Anfrage aber nicht beantworten, und für einen Vertrag brauchen wir die dafür nötigen Angaben.

Ihre Rechte: siehe Abschnitt 9, insbesondere das Widerspruchsrecht.

6. KI-gestützte Voice Agents (Dienstleistung für Geschäftskunden)

Im Rahmen unserer Dienstleistung entwickeln und betreiben wir KI-gestützte Voice Agents für unsere Geschäftskunden (z. B. Hotels, Hausverwaltungen, Kanzleien). Dabei werden personenbezogene Daten der Anrufer verarbeitet.

Hinweis: Die datenschutzrechtliche Verantwortlichkeit für die Verarbeitung von Anruferdaten liegt beim jeweiligen Geschäftskunden (z. B. dem Hotel). Podschi agiert als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die Verarbeitung erfolgt ausschließlich auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) mit dem jeweiligen Geschäftskunden.

6.1 Verarbeitete Daten

Im Rahmen des Voice-Agent-Betriebs können folgende Daten verarbeitet werden:

• Audiodaten des Telefonats (Stimme des Anrufers)
• Vom Anrufer mitgeteilte Informationen (z. B. Name, E-Mail-Adresse, Telefonnummer, Buchungswünsche)
• Technische Metadaten (Anrufzeitpunkt, Anrufdauer, Telefonnummer des Anrufers)

6.2 Eingesetzte Unterauftragsverarbeiter

Zur Erbringung unserer Voice-Agent-Dienstleistung setzen wir die folgenden Dienstleister als Unterauftragsverarbeiter ein:

VAPI setzt seinerseits weitere Unterauftragsverarbeiter ein, für die jeweils separate Verträge zwischen VAPI und dem Anbieter bestehen. Es handelt sich um folgende Kategorien von Empfängern:

• Sprachmodelle (LLM) für die Gesprächsführung
• Spracherkennung (Speech-to-Text) für das Verstehen des Gesagten
• Sprachsynthese (Text-to-Speech) für die Sprachausgabe
• Cloud-Infrastruktur für Betrieb und Übertragung

Welche Anbieter diese Aufgaben aktuell übernehmen, führen wir namentlich und tagesaktuell in unserem Trust Center sowie im Trust Center von VAPI. Wir nennen sie dort statt hier, weil sich der eingesetzte Modell-Anbieter ändern kann; die Kategorien und die Rechtsgrundlagen bleiben davon unberührt.

Datentransfers in die USA an unter dem EU-US Data Privacy Framework zertifizierte Anbieter erfolgen auf Basis des Angemessenheitsbeschlusses gemäß Art. 45 DSGVO. Für nicht zertifizierte Anbieter erfolgt die Übermittlung auf Basis von EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Welche Grundlage für welchen Empfänger gilt, ist in der Übersicht in Abschnitt 12 und im Trust Center ausgewiesen.

6.3 Rechtsgrundlage und Speicherdauer

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber unserem Geschäftskunden) in Verbindung mit Art. 28 DSGVO (Auftragsverarbeitung).

Speicherdauer: Anrufe werden in der Standard-Konfiguration nicht als Audio gespeichert. Während des Gesprächs entstehende Transkripte und Anruf-Metadaten (Telefonnummer, Anrufzeitpunkt, Anrufdauer) liegen in der Anrufhistorie unseres Telefonie-Dienstleisters VAPI und werden dort nach 14 Tagen gelöscht. Daten, die wir im Auftrag an unseren Geschäftskunden weitergeben, etwa eine Buchung oder ein aufgenommenes Anliegen, verarbeitet und speichert dieser eigenverantwortlich; die Fristen dafür regelt der jeweilige Auftragsverarbeitungsvertrag.

6.4 Demo-Telefonat auf unserer Website

Wenn Sie die auf unserer Website angebotene Demo-Nummer anrufen, verarbeiten wir Ihre personenbezogenen Daten (insbesondere Ihre Telefonnummer, den Anrufzeitpunkt, Ihre Stimme sowie die Gesprächsinhalte) als datenschutzrechtlich Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, also nicht als Auftragsverarbeiter eines Geschäftskunden, sondern in eigener Verantwortung.

Zweck: Die Verarbeitung dient ausschließlich dem Zweck, Ihnen die Funktionsweise unserer KI-Telefonassistenten zu demonstrieren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Ihre Einwilligung erteilen Sie konkludent durch das aktive Wählen und Anrufen der auf unserer Website ausgewiesenen Demo-Nummer, nachdem Sie über den Charakter des Anrufs (KI-Demo) und die Datenverarbeitung informiert wurden. Sie können die Einwilligung jederzeit widerrufen, indem Sie das Gespräch beenden; danach werden keine weiteren Gesprächsinhalte erhoben. Die bis dahin entstandenen Daten werden nach der unten genannten Frist gelöscht. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Hinweis nach EU AI Act (Art. 50 Abs. 1): Sie sprechen während des gesamten Demo-Anrufs ausschließlich mit einem KI-gestützten Sprachassistenten und nicht mit einer natürlichen Person. Hierauf werden Sie zu Beginn des Gesprächs ausdrücklich hingewiesen.

Stimme / Art. 9 DSGVO: Ihre Stimme wird ausschließlich zur Spracherkennung (Speech-to-Text) verarbeitet. Eine biometrische Identifikation oder die Erstellung eines Stimm-Profils im Sinne von Art. 9 Abs. 1 DSGVO findet nicht statt.

Speicherdauer: Der Demo-Anruf wird nicht als Audio aufgezeichnet. Das Transkript und technische Verbindungsdaten entstehen beim Betrieb der Telefonie und liegen in der Anrufhistorie unseres Telefonie-Dienstleisters VAPI; sie werden dort nach 14 Tagen gelöscht. Eine darüber hinausgehende Speicherung durch uns findet nicht statt.

Empfänger: Für den Betrieb der Demo-Telefonie nutzen wir die in Abschnitt 6.2 genannten Dienstleister und Empfänger-Kategorien. Die Rechtsgrundlagen für die Drittlandtransfers in die USA sind in Abschnitt 12 aufgeführt.

6.5 Anruf bei unserer KI-Assistentin

Neben der Hotel-Demo bieten wir eine eigene Rufnummer an, unter der Sie mit unserer KI-Assistentin sprechen können. Sie beantwortet Fragen zu unserem Angebot und nimmt auf Wunsch Ihre Kontaktdaten und Ihr Anliegen für ein Erstgespräch auf. Auch hier sind wir Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO.

Verarbeitete Daten: Ihre Telefonnummer, der Anrufzeitpunkt, Ihre Stimme und die Gesprächsinhalte. Wenn Sie ein Erstgespräch wünschen, zusätzlich die Angaben, die Sie im Gespräch nennen, in der Regel Name, Kontaktdaten und Ihr Anliegen.

Zweck und Rechtsgrundlage: Beantwortung Ihrer Anfrage und Vorbereitung eines Erstgesprächs, Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin).

Hinweis nach EU AI Act (Art. 50 Abs. 1): Sie sprechen mit einem KI-gestützten Sprachassistenten und nicht mit einer natürlichen Person. Hierauf werden Sie zu Beginn des Gesprächs hingewiesen. Ihre Stimme wird ausschließlich zur Spracherkennung verarbeitet; eine biometrische Identifikation findet nicht statt.

Speicherdauer: Das Gespräch wird nicht als Audio aufgezeichnet. Transkript und Verbindungsdaten liegen in der Anrufhistorie unseres Telefonie-Dienstleisters VAPI und werden dort nach 14 Tagen gelöscht. Kontaktdaten und Anliegen, die Sie für ein Erstgespräch nennen, behandeln wir wie eine Kontaktanfrage; es gilt Abschnitt 5a.

Empfänger: Für den Betrieb der Telefonie nutzen wir die in Abschnitt 6.2 genannten Dienstleister und Empfänger-Kategorien. Die Weiterleitung Ihrer Anfrage an uns läuft über unsere selbst gehostete n8n-Instanz innerhalb der EU. Einen genannten Terminwunsch tragen wir in unseren Geschäftskalender ein, der bei Microsoft 365 (Microsoft Ireland Operations Ltd.) innerhalb der EU Data Boundary geführt wird; siehe Abschnitt 12.

8. SSL- bzw. TLS-Verschlüsselung

Diese Seite nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

9. Ihre Rechte als betroffene Person

Ihnen stehen folgende Rechte gemäß der DSGVO zu:

• Auskunftsrecht (Art. 15 DSGVO): Sie haben das Recht, Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten zu erhalten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie haben das Recht, unrichtige oder unvollständige Daten berichtigen zu lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Sie haben das Recht, eine erteilte Einwilligung jederzeit zu widerrufen.

Zur Ausübung Ihrer Rechte können Sie sich jederzeit an uns wenden: hallo@podschi.de

10. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
https://www.lda.bayern.de

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen umzusetzen. Für Ihren erneuten Besuch gilt dann die neue Datenschutzerklärung.

12. Drittlandtransfers, Zusammenfassung

Die Standardvertragsklauseln der EU-Kommission sind öffentlich abrufbar unter https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_de

13. Keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO

Wir treffen keine ausschließlich automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 Abs. 1 DSGVO. Auch ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO, das eine entsprechende Wirkung entfaltet, findet nicht statt.

Die im Rahmen unserer Voice-Agent-Dienstleistung getroffenen Verarbeitungsschritte (z. B. Routing eines Anrufs, Vorerfassung einer Buchungs- oder Terminanfrage, automatisierte Beantwortung von Standardfragen) entfalten keine rechtliche Wirkung gegenüber dem Anrufer und unterliegen, soweit eine inhaltliche Entscheidung getroffen wird, der nachgelagerten Prüfung durch den jeweiligen Geschäftskunden bzw. dessen Mitarbeiter.

14. Hinweise nach EU AI Act (Verordnung (EU) 2024/1689)

Wir setzen KI-gestützte Sprachassistenten (Voice Agents) ein. Gemäß Art. 50 Abs. 1 der KI-Verordnung (EU AI Act) informieren wir Sie hiermit darüber, dass Sie bei jedem Telefonat mit einem unserer Voice Agents, sei es im Rahmen einer Demo auf unserer Website (vgl. Abschnitt 6.4) oder im Auftrag eines unserer Geschäftskunden (vgl. Abschnitt 6), mit einem KI-System und nicht mit einer natürlichen Person sprechen. Dieser Hinweis wird zusätzlich zu Beginn jedes Gesprächs in geeigneter Form (Stimm-Ansage) vermittelt.

Bei Voice-Agent-Diensten, die wir im Auftrag eines Geschäftskunden bereitstellen, ist der Geschäftskunde nach Art. 50 EU AI Act „Betreiber" („Deployer") des KI-Systems und damit primär für die Erfüllung der Transparenzpflicht gegenüber Anrufern verantwortlich; wir unterstützen unsere Geschäftskunden hierbei vertraglich und technisch.