Datenschutzerklärung HalloFelix (Software)
Stand: 12.10.2026
Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten in der Software „HalloFelix“ (Webanwendung unter app.hallofelix.de sowie die damit betriebenen Telefon- und WhatsApp-Assistenten). Für den Besuch unserer Website hallofelix.de gilt eine eigene Datenschutzerklärung.
1. Verantwortlicher und Kontakt
InsurMagic GmbH
Buchenweg 1
69221 Dossenheim
Deutschland
Vertreten durch die Geschäftsführer Janik Sauerbier und Tim Gutberlet
Handelsregister: Amtsgericht Mannheim, HRB 752114
E-Mail: info@insurmagic.de
Für Fragen zum Datenschutz und zur Geltendmachung Ihrer Rechte erreichen Sie uns unter datenschutz@insurmagic.de.
2. Worum es geht: Unsere zwei Rollen
HalloFelix ist eine Software für Versicherungsvermittler und andere Unternehmen (nachfolgend „Kunde“). Ein KI-gestützter Assistent nimmt im Namen des Kunden Telefonate an oder führt sie, beantwortet WhatsApp-Nachrichten, fasst Gespräche zusammen und stellt die Ergebnisse dem Kunden und seinen Mitarbeitern (nachfolgend „Nutzer“) zur Verfügung. Dabei sind wir in zwei unterschiedlichen Rollen tätig:
- Als Auftragsverarbeiter des Kunden (Art. 28 DSGVO): Wenn Sie als Anrufer, WhatsApp-Kontakt oder sonstiger Kontakt mit einem Kunden kommunizieren, der HalloFelix einsetzt, verarbeiten wir Ihre Daten ausschließlich im Auftrag und nach Weisung dieses Kunden. Verantwortlicher im Sinne der DSGVO ist dann der Kunde, also das Unternehmen, das Sie angerufen oder angeschrieben haben bzw. das Sie kontaktiert hat. Die Einzelheiten regelt ein Auftragsverarbeitungsvertrag zwischen dem Kunden und uns. Abschnitt 5 beschreibt diese Verarbeitung, damit Sie nachvollziehen können, was mit Ihren Daten technisch geschieht.
- Als Verantwortlicher: Für die Daten, die wir benötigen, um die Software anzubieten und abzurechnen, also insbesondere Benutzerkonten der Nutzer, Vertrags- und Abrechnungsdaten, Support-Anfragen sowie technische Nutzungs- und Fehlerdaten, sind wir selbst verantwortlich. Abschnitt 4 beschreibt diese Verarbeitung.
3. Hinweis für Anrufer und Kontakte unserer Kunden
Wenn Sie mit einem HalloFelix-Assistenten telefonieren oder per WhatsApp schreiben, wenden Sie sich mit Fragen zu Ihren Daten und zur Ausübung Ihrer Rechte bitte zunächst an das Unternehmen, mit dem Sie kommuniziert haben. Dieses entscheidet als Verantwortlicher über Zwecke, Rechtsgrundlagen und Speicherdauer und ist für Ihre Information nach Art. 13 und 14 DSGVO verantwortlich. Erreicht uns Ihre Anfrage direkt, leiten wir sie an den zuständigen Kunden weiter und unterstützen ihn bei der Beantwortung.
4. Verarbeitung als Verantwortlicher (Nutzer und Kunden)
4.1 Benutzerkonto und Anmeldung
Für die Nutzung der Software ist ein Benutzerkonto erforderlich. Wir verarbeiten dabei Vor- und Nachname, E-Mail-Adresse, Anmeldedaten (Passwort bzw. Anmeldung über einen externen Konto-Anbieter), die Zugehörigkeit zu einer Organisation und Rolle sowie Sitzungsdaten. Optional können eine Telefonnummer (z. B. für Weiterleitungen) und Benachrichtigungseinstellungen hinterlegt werden. Mitarbeiter werden vom Kunden per E-Mail eingeladen; Einladungslinks sind 90 Tage gültig. Für die Anmeldung setzen wir Clerk ein (siehe Abschnitt 6).
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw., soweit Mitarbeiter des Kunden betroffen sind, Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse und das des Kunden, die Software dessen Mitarbeitern bereitzustellen).
4.2 Einrichtung, Vertrag und Abrechnung
Wir verarbeiten Firmen- und Kontaktdaten des Kunden (z. B. Firmenname, Anschrift, Standorte, Öffnungszeiten, Ansprechpartner, Telefonnummern) sowie Vertrags- und Abonnementdaten. Bei der Einrichtung kann die öffentlich zugängliche Website des Kunden automatisiert ausgelesen werden, um den Assistenten vorzubefüllen. Abonnements und Zahlungen werden über das Abrechnungsportal der InsurMagic GmbH mit dem Zahlungsdienstleister Stripe abgewickelt; in der Software speichern wir dazu im Wesentlichen eine Abonnement-Kennung und den Status des Abonnements.
Die InsurMagic GmbH betreibt neben HalloFelix die Plattform InsurMagic. Zur Verwaltung von Zugängen und Abonnements gleichen beide Systeme Kunden-, Abonnement- und Nutzerdaten (insbesondere E-Mail-Adressen und Zugangsstatus) miteinander ab. Wünscht ein Kunde die Übernahme seiner Daten von InsurMagic zu HalloFelix, werden die dort gespeicherten Kontakte, Unterhaltungen, Nachrichten und Anhänge auf seine Veranlassung übertragen.
Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -erfüllung), Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Verwaltung von Zugängen und Abonnements).
4.3 Benachrichtigungen per E-Mail und Push
Die Software versendet E-Mails an Nutzer, z. B. Gesprächszusammenfassungen und Transkripte, Hinweise zu neuen oder zugewiesenen WhatsApp-Unterhaltungen, Tageszusammenfassungen, Einladungen, Hinweise zum Minutenkontingent und Informationen über Produktänderungen. Welche Benachrichtigungen Nutzer erhalten, können sie in den Einstellungen festlegen. Aktiviert ein Nutzer Browser-Push-Benachrichtigungen, speichern wir die vom Browser bereitgestellte Push-Adresse samt Schlüsseln und Browserkennung. Die Benachrichtigungen werden über den Push-Dienst des jeweiligen Browserherstellers (z. B. Google, Apple, Mozilla, Microsoft) zugestellt und können Auszüge aus Nachrichten (z. B. bis zu 120 Zeichen einer WhatsApp-Nachricht) und Kontaktnamen enthalten. Push-Benachrichtigungen lassen sich jederzeit in den Browsereinstellungen abschalten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Speicherung der Push-Daten im Browser erfolgt auf ausdrücklichen Wunsch des Nutzers (§ 25 Abs. 2 Nr. 2 TDDDG).
4.4 Support und Kommunikation
Wenden sich Nutzer per E-Mail oder über die Feedback-Funktion der Software an uns, verarbeiten wir die übermittelten Angaben (z. B. Name, E-Mail-Adresse, Organisation, Inhalt der Anfrage), um die Anfrage zu bearbeiten. Soweit dies zur Fehlerbehebung erforderlich ist, können unsere Mitarbeiter auf die Daten des betroffenen Kontos zugreifen; Daten, die wir im Auftrag des Kunden verarbeiten, nutzen wir dabei nur im Rahmen des Auftragsverarbeitungsvertrags. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen).
4.5 Technischer Betrieb, Sicherheit und Fehleranalyse
Beim Aufruf der Software werden technisch erforderliche Daten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Geräteinformationen. Unsere Hosting-Dienstleister speichern diese Daten in Server-Protokollen, die auch Inhalte von Verarbeitungsvorgängen enthalten können. Zur Erkennung und Behebung technischer Fehler setzen wir Sentry ein. Fehlerberichte enthalten die Nutzer-ID, den Namen und die E-Mail-Adresse des angemeldeten Nutzers sowie den Namen der Organisation, damit wir Fehler einem Konto zuordnen und Betroffene unterstützen können. Felder mit Gesprächsinhalten, Nachrichtentexten, Telefonnummern und E-Mail-Adressen von Kontakten werden vor der Übermittlung, soweit technisch erkennbar, automatisch entfernt. Tritt ein Fehler auf, wird eine Aufzeichnung der Bildschirmabfolge übermittelt, in der alle Texte und Eingaben unkenntlich gemacht sind; ohne Fehler findet keine solche Aufzeichnung statt.
Zur statistischen Auswertung der Nutzung der Webanwendung (z. B. Anzahl der Seitenaufrufe) setzen wir Vercel Web Analytics ein. Dieser Dienst arbeitet ohne Cookies und ohne Speicherung der IP-Adresse; zur Unterscheidung von Besuchen wird ein täglich wechselnder Hashwert gebildet.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem sicheren, stabilen und fehlerfreien Betrieb der Software.
4.6 Cookies und lokale Speicherung im Browser
Die Software verwendet ausschließlich technisch erforderliche Cookies und Speichertechniken. Werbe- oder Tracking-Cookies setzen wir in der Software nicht ein.
- Anmelde-Cookies (Clerk): halten die Anmeldung aufrecht und schützen vor Missbrauch. Bei der Anmeldung kann eine Prüfung gegen automatisierte Zugriffe (Cloudflare Turnstile) eingebunden sein.
- Cookie „sidebar_state“: speichert, ob die Seitenleiste ein- oder ausgeklappt ist; Speicherdauer 7 Tage.
- Lokaler Speicher (localStorage): speichert Darstellungseinstellungen (z. B. Breite und Zustand von Bereichen). Nutzt der Kunde die lokale Keasy-Bridge, werden zur Kopplung die Installationskennung sowie Windows-Domäne und -Benutzername lokal im Browser gespeichert.
Rechtsgrundlage für den Zugriff auf das Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
4.7 Eingebundene Inhalte und Dienste Dritter
- WhatsApp-Einrichtung (Meta): Öffnet ein Nutzer die Einstellungen zur WhatsApp-Anbindung, wird das JavaScript-SDK von Meta (connect.facebook.net) geladen, um das Konto über den Einrichtungsdialog von Meta zu verbinden. Dabei werden technische Daten (z. B. IP-Adresse, Browserinformationen) an Meta Platforms Ireland Ltd. übermittelt; das SDK wird ohne Cookies initialisiert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
- Videos (YouTube): Auf einzelnen Hilfe- und Informationsseiten der Software sind Videos von YouTube (Google Ireland Limited) eingebunden. Beim Laden dieser Seiten wird eine Verbindung zu Servern von Google hergestellt, wobei insbesondere IP-Adresse und Browserinformationen übermittelt werden; eine Verarbeitung in den USA ist möglich (EU-US Data Privacy Framework). Im Hilfebereich nutzen wir den erweiterten Datenschutzmodus (youtube-nocookie.com). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anschaulichen Erklärungsvideos).
- Testanrufe im Browser: Für Testgespräche mit dem Assistenten direkt im Browser wird die Sprachverbindung über Vapi und dessen Dienstleister Daily (Daily.co, USA) hergestellt; dabei wird die Stimme des testenden Nutzers verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
5. Verarbeitung im Auftrag des Kunden (Anrufer und Kontakte)
Die folgenden Verarbeitungen führen wir als Auftragsverarbeiter im Auftrag des jeweiligen Kunden durch. Der Kunde legt in der Software fest, welche Funktionen genutzt werden (z. B. Gesprächsaufzeichnung, Kalenderanbindung, CRM-Anbindung, WhatsApp-Automatisierung).
5.1 Telefonate mit dem KI-Assistenten
Ruft eine Person die Rufnummer eines Kunden an und wird der Anruf an HalloFelix weitergeleitet, oder führt der Assistent im Auftrag des Kunden einen ausgehenden Anruf durch, verarbeiten wir:
- Rufnummern des Anrufers und der angerufenen Nummer, Zeitpunkt, Dauer und weitere Verbindungsdaten;
- die Sprache des Anrufers als Audiodatenstrom, der in Echtzeit in Text umgewandelt, von einem KI-Sprachmodell verarbeitet und mit synthetischer Stimme beantwortet wird;
- das Gesprächstranskript sowie daraus automatisch erstellte Zusammenfassungen, erkannte Anliegen und strukturierte Angaben (z. B. Name, Kontaktdaten, Versicherungsnummer, Kfz-Kennzeichen, Terminwunsch);
- sofern der Kunde die Speicherung von Gesprächsaufzeichnungen aktiviert hat, die Audioaufzeichnung des Gesprächs. Aus der Aufzeichnung kann nach Gesprächsende ein verbessertes Transkript erstellt werden. Der Kunde kann die Speicherung von Aufzeichnungen in den Einstellungen jederzeit für künftige Gespräche abschalten; das Gesprächstranskript wird auch dann gespeichert.
Damit der Assistent Anrufer wiedererkennen und auf frühere Anliegen eingehen kann, werden ihm zu Beginn des Gesprächs beim Kunden bereits gespeicherte Angaben zur anrufenden Nummer mitgegeben (z. B. Name, E-Mail-Adresse und Zusammenfassungen früherer Gespräche, ggf. Daten aus dem angebundenen CRM- oder Maklerverwaltungsprogramm). Je nach Konfiguration kann der Assistent im Auftrag des Kunden eine SMS oder E-Mail an den Anrufer senden, einen Termin im Kalender des Kunden eintragen oder den Anruf an einen Mitarbeiter weiterleiten. Nach Gesprächsende werden Transkripte automatisiert auf die Qualität der Gesprächsführung durch den Assistenten geprüft.
Anrufer können im Gespräch auch besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) mitteilen, insbesondere Gesundheitsdaten im Zusammenhang mit Versicherungs- oder Schadensfällen. Diese werden nur verarbeitet, soweit Anrufer sie von sich aus nennen.
5.2 WhatsApp-Kommunikation
Verbindet ein Kunde seine WhatsApp-Business-Nummer mit HalloFelix, verarbeiten wir die Telefonnummer und den WhatsApp-Profilnamen der Kontakte, Inhalte ein- und ausgehender Nachrichten einschließlich Bilder, Dokumente und Sprachnachrichten (Sprachnachrichten werden automatisch transkribiert), Reaktionen, Zustell- und Lesestatus sowie interne Notizen und Zuweisungen der Nutzer. Ist die KI-Antwortfunktion aktiviert, beantwortet der Assistent eingehende Nachrichten automatisch; Nutzer können jederzeit selbst antworten, wodurch die automatische Antwort für die Unterhaltung pausiert. Auf Wunsch kann eine Unterhaltung als PDF archiviert oder an ein angebundenes System übergeben werden.
5.3 Kontakte, Kalender und angebundene Systeme
Der Kunde kann Kontakte in der Software anlegen oder aus angebundenen Systemen übernehmen. Unterstützt werden insbesondere Maklerverwaltungsprogramme und CRM-Systeme wie Professional Works, AMEISE (blau direkt, ARISECUR), VEMAoffice, iCRM (Jung, DMS & Cie.) und Keasy. Dabei werden Kontaktdaten (z. B. Name, Telefonnummern, E-Mail-Adressen, weitere im Quellsystem gespeicherte Angaben) in HalloFelix gespiegelt, und Gesprächstranskripte oder Unterhaltungsarchive werden auf Veranlassung des Kunden in das jeweilige System übertragen. Über die Kalenderanbindung prüft der Assistent freie Zeiten und trägt Termine mit Name, Telefonnummer und E-Mail-Adresse des Anrufers in den Kalender des Kunden ein. Richtet der Kunde eine Schnittstelle oder einen Webhook zu weiteren Systemen ein, werden die dafür freigegebenen Daten an diese übermittelt. Die Anbieter dieser Systeme sind Empfänger im Auftrag des Kunden.
5.4 Zwecke und Rechtsgrundlagen
Die Verarbeitung dient dazu, Anfragen der Anrufer und Kontakte entgegenzunehmen, zu dokumentieren und an den Kunden zu übergeben, Termine zu vereinbaren und die Kommunikation des Kunden zu unterstützen. Die Rechtsgrundlage bestimmt der Kunde als Verantwortlicher; in Betracht kommen insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erreichbarkeit und Dokumentation) sowie für Gesundheitsdaten Art. 9 Abs. 2 DSGVO, z. B. eine ausdrückliche Einwilligung. Wir verarbeiten diese Daten nur zur Erbringung unserer Leistungen gegenüber dem Kunden und zum Support, nicht für eigene Zwecke, und verwenden sie nicht zum Training eigener KI-Modelle.
5.5 Einsatz Künstlicher Intelligenz und Transparenz
Die Gesprächsführung am Telefon und in WhatsApp sowie Zusammenfassungen, die Erkennung von Anliegen und die Extraktion von Angaben erfolgen mithilfe von KI-Sprachmodellen (derzeit von OpenAI, über Vapi eingebunden) sowie Diensten zur Spracherkennung und Sprachausgabe (siehe Abschnitt 6). Die Stimme des Assistenten ist synthetisch erzeugt.
- In der Standardeinstellung stellt sich der Assistent zu Beginn jedes Telefonats als „digitale Assistentin“ bzw. „digitaler Assistent“ des Kunden vor. Zusätzlich weist er in der Standardeinstellung darauf hin, dass der Anruf automatisch bearbeitet und gespeichert wird.
- Kunden können Begrüßung und Hinweistext anpassen oder den Hinweis abschalten. Sie sind dafür verantwortlich, dass Anrufer und WhatsApp-Kontakte weiterhin klar erkennen, dass sie mit einem KI-System kommunizieren, und über die Verarbeitung ihrer Daten informiert werden.
- Die vom Assistenten erstellten Zusammenfassungen und Einordnungen dienen der Vorbereitung der Bearbeitung durch den Kunden. Der Assistent trifft keine Entscheidungen, die Anrufern gegenüber rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO); die inhaltliche Bearbeitung von Anliegen erfolgt durch den Kunden. KI-generierte Inhalte können fehlerhaft sein und werden dem Kunden als solche bereitgestellt.
6. Empfänger und Dienstleister
Wir setzen für den Betrieb der Software sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag bzw. als Unterauftragsverarbeiter im Auftrag des Kunden verarbeiten und an unsere Weisungen gebunden sind. Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn der Kunde dies veranlasst (z. B. an angebundene CRM-Systeme, siehe Abschnitt 5.3), wenn wir gesetzlich dazu verpflichtet sind oder wenn dies zur Durchsetzung unserer Rechte erforderlich ist.
Vercel Inc., USA
- Zweck: Hosting der Webanwendung app.hallofelix.de und ihrer Schnittstellen.
- Daten: Alle über die Software verarbeiteten Daten während der Übertragung und Verarbeitung; technische Zugriffsdaten (z. B. IP-Adresse, Zeitpunkt, aufgerufene Adresse).
- Verarbeitungsort: Rechenzentrumsregion Frankfurt am Main (Deutschland); einzelne optionale Funktionen können in den USA ausgeführt werden.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
Neon Inc., USA
- Zweck: Betrieb der Datenbank, in der die Daten der Software gespeichert werden.
- Daten: Alle in der Software gespeicherten Daten (siehe Abschnitte 4 und 5).
- Verarbeitungsort: Rechenzentrum in der EU (Frankfurt am Main, Region AWS eu-central-1).
- Garantie bei Drittlandübermittlung: Verarbeitung in der EU; für etwaige Zugriffe aus den USA EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Hetzner Online GmbH, Gunzenhausen, Deutschland
- Zweck: Server für Hintergrundprozesse (z. B. Verarbeitung nach Gesprächsende, WhatsApp-Verarbeitung, Warteschlangen, Echtzeit-Benachrichtigungen, PDF-Erzeugung).
- Daten: Daten der jeweiligen Verarbeitungsaufträge, z. B. Gesprächstranskripte und WhatsApp-Nachrichten.
- Verarbeitungsort: Deutschland.
- Garantie bei Drittlandübermittlung: Verarbeitung in der EU.
Cloudflare, Inc., USA (Cloudflare R2)
- Zweck: Speicherung von Dateien, insbesondere Gesprächsaufzeichnungen, WhatsApp-Medien und Ansagetexten als Audiodatei.
- Daten: Audioaufzeichnungen von Telefonaten (sofern aktiviert), Bilder, Dokumente und Sprachnachrichten aus WhatsApp-Unterhaltungen.
- Verarbeitungsort: Rechenzentren von Cloudflare; eine Speicherung außerhalb der EU, insbesondere in den USA, ist möglich.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Vapi, Inc., USA
- Zweck: Steuerung der sprachbasierten KI: Annahme und Führung von Telefonaten, KI-gestützte Beantwortung von WhatsApp-Nachrichten, Durchsuchen der vom Kunden hinterlegten Wissensdokumente.
- Daten: Rufnummern, Audiodaten, Transkripte, Gesprächsverläufe, WhatsApp-Nachrichten, dem Gespräch mitgegebene Kontextdaten (z. B. Name des Anrufers, frühere Gesprächszusammenfassungen), vom Kunden hochgeladene Wissensdokumente.
- Verarbeitungsort: USA.
- Garantie bei Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) mit ergänzender Transfer-Folgenabschätzung.
Twilio Inc., USA
- Zweck: Telefonie: Rufnummern, Verbindungsaufbau und Weiterleitung von Anrufen, Versand von SMS.
- Daten: Rufnummern, Verbindungs- und Metadaten (z. B. Zeitpunkt, Dauer), Audiodaten während des Gesprächs, Inhalt versendeter SMS.
- Verarbeitungsort: Gesprächssteuerung über die Region Irland mit Netzzugang in Frankfurt am Main; SMS-Versand und Rufnummernverwaltung über die USA.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
OpenAI Ireland Ltd., Irland, und OpenAI OpCo, LLC, USA
- Zweck: KI-Sprachmodelle für die Gesprächsführung am Telefon und in WhatsApp, für Zusammenfassungen, die Erkennung von Anliegen und Kontaktdaten, die Verbesserung von Transkripten und die Transkription von Sprachnachrichten.
- Daten: Gesprächsinhalte (Transkripte, ggf. Audiodaten), WhatsApp-Nachrichten und Sprachnachrichten, Kontextdaten zum Kontakt.
- Verarbeitungsort: USA.
- Garantie bei Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Anbieter für Spracherkennung und Sprachausgabe (über Vapi eingebunden): Deepgram, Inc. (USA), Gladia SAS (Frankreich), ElevenLabs Inc. (USA), Cartesia AI, Inc. (USA); optional AssemblyAI, Inc. (USA) und Soniox, Inc. (USA)
- Zweck: Umwandlung von Sprache in Text (Spracherkennung) und von Text in Sprache (Stimme der Assistentin). Welche Dienste genutzt werden, hängt von Sprache und Konfiguration des Assistenten ab.
- Daten: Audiodaten der Anrufer, von der Assistentin gesprochene Texte (die Angaben der Anrufer enthalten können).
- Verarbeitungsort: USA bzw. EU (Gladia: Region EU-West; Deepgram teilweise über den EU-Endpunkt).
- Garantie bei Drittlandübermittlung: Soweit Drittland: EU-US Data Privacy Framework (Art. 45 DSGVO) bzw. EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Google Ireland Limited, Irland, und Google LLC, USA (über Vapi eingebunden)
- Zweck: Durchsuchen der vom Kunden hinterlegten Wissensdokumente (Wissensdatenbank), damit die Assistentin am Telefon und in WhatsApp Fragen anhand dieser Dokumente beantworten kann.
- Daten: Inhalte der vom Kunden hochgeladenen Wissensdokumente sowie aus dem Gespräch abgeleitete Suchanfragen.
- Verarbeitungsort: Rechenzentren von Google; eine Verarbeitung in den USA ist möglich.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
Daily, Co. (Daily.co), USA (über Vapi eingebunden)
- Zweck: Herstellung der Sprachverbindung bei Testgesprächen mit dem Assistenten direkt im Browser.
- Daten: Audiodaten (Stimme des testenden Nutzers), technische Verbindungsdaten (z. B. IP-Adresse, Browserinformationen).
- Verarbeitungsort: USA; Infrastruktur des Anbieters weltweit.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
TypeSafe AI, Inc., USA
- Zweck: Automatische Qualitätsprüfung abgeschlossener Gespräche (z. B. Erkennung von Fehlern der Assistentin).
- Daten: Gesprächstranskripte.
- Verarbeitungsort: USA.
- Garantie bei Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Der Anbieter verwendet die übermittelten Daten nach eigenen Angaben nicht zum Training von KI-Modellen.
Nylas, Inc., USA
- Zweck: Anbindung der Kalender des Kunden (Google, Microsoft) für Verfügbarkeitsabfragen und Terminbuchungen durch die Assistentin.
- Daten: Termintitel und -zeitpunkt, in der Terminbeschreibung Name, Telefonnummer und E-Mail-Adresse des Anrufers.
- Verarbeitungsort: EU-Region von Nylas; Anbieter mit Sitz in den USA.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
Resend, Inc., USA
- Zweck: Versand von E-Mails der Software (z. B. Gesprächszusammenfassungen und Benachrichtigungen an Nutzer sowie E-Mails, die die Assistentin im Auftrag des Kunden an Anrufer sendet).
- Daten: E-Mail-Adressen, Namen, Inhalte der E-Mails (z. B. Transkripte als PDF, Auszüge aus WhatsApp-Nachrichten).
- Verarbeitungsort: USA.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO); ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Clerk, Inc., USA
- Zweck: Anmeldung, Benutzerkonten, Organisationen und Einladungen von Mitarbeitern.
- Daten: Name, E-Mail-Adresse, Anmeldedaten, Sitzungsdaten, IP-Adresse und Browserinformationen bei der Anmeldung.
- Verarbeitungsort: USA.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
Functional Software, Inc. (Sentry), USA
- Zweck: Erkennung und Analyse technischer Fehler.
- Daten: Fehlerberichte und technische Protokolle, Nutzer-ID, Name und E-Mail-Adresse des angemeldeten Nutzers, Name der Organisation, Browser- und Geräteinformationen; bei Fehlern eine maskierte Aufzeichnung der Bildschirmabfolge (Texte und Eingaben unkenntlich).
- Verarbeitungsort: Datenannahme in der EU (Frankfurt am Main).
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
Meta Platforms Ireland Ltd., Irland (WhatsApp Business Cloud API)
- Zweck: Empfang und Versand von WhatsApp-Nachrichten über die WhatsApp-Nummer des Kunden sowie Einrichtung der WhatsApp-Anbindung.
- Daten: Telefonnummern, WhatsApp-Profilnamen, Nachrichteninhalte und Medien, Vorlagen; bei der Einrichtung Daten des WhatsApp-Business-Kontos des Kunden.
- Verarbeitungsort: EU; eine Verarbeitung durch Meta Platforms, Inc. in den USA ist möglich.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
SideGuide Technologies, Inc. (Firecrawl), USA
- Zweck: Auslesen der öffentlich zugänglichen Website des Kunden bei der Einrichtung, um den Assistenten mit Unternehmensinformationen vorzubefüllen.
- Daten: Öffentliche Angaben auf der Website des Kunden (z. B. Firmenname, Adresse, Öffnungszeiten, ggf. Namen von Ansprechpartnern).
- Verarbeitungsort: USA.
- Garantie bei Drittlandübermittlung: EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
Stripe Payments Europe, Ltd., Irland
- Zweck: Abwicklung von Abonnements und Zahlungen (über das Abrechnungsportal der InsurMagic GmbH) und Zuordnung des Abonnements zum Konto.
- Daten: Name, E-Mail-Adresse, Abonnement- und Zahlungsdaten.
- Verarbeitungsort: EU; eine Verarbeitung durch Stripe, Inc. in den USA ist möglich.
- Garantie bei Drittlandübermittlung: EU-US Data Privacy Framework (Art. 45 DSGVO).
7. Übermittlung in Drittländer
Die Software wird überwiegend in der EU betrieben. Einige der in Abschnitt 6 genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort; dies betrifft insbesondere die Steuerung der Telefon- und WhatsApp-KI (Vapi) und die KI-Sprachmodelle (OpenAI). Eine Übermittlung in die USA erfolgt nur, wenn der Empfänger unter dem EU-US Data Privacy Framework zertifiziert ist (Angemessenheitsbeschluss der EU-Kommission, Art. 45 DSGVO) oder wir mit ihm die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) vereinbart haben, bei Bedarf ergänzt durch zusätzliche Maßnahmen. Für die Übermittlung an Vapi haben wir eine Transfer-Folgenabschätzung durchgeführt. Eine Kopie der Garantien können Sie über die in Abschnitt 1 genannte Adresse anfordern.
8. Speicherdauer
- Benutzerkonten und Vertragsdaten: für die Dauer des Vertrags bzw. der Mitgliedschaft in der Organisation. Danach werden sie gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (insbesondere bis zu 10 Jahre für Rechnungs- und Buchungsunterlagen nach § 147 AO und § 257 HGB).
- Daten, die wir im Auftrag des Kunden verarbeiten (Gespräche, Transkripte, Aufzeichnungen, WhatsApp-Unterhaltungen, Kontakte): Die Speicherdauer bestimmt der Kunde. Eine automatische Löschung nach einer festen Frist ist derzeit nicht voreingestellt; die Daten bleiben gespeichert, bis der Kunde sie in der Software löscht oder der Vertrag endet. Nach Vertragsende werden sie nach den Regelungen des Auftragsverarbeitungsvertrags gelöscht oder an den Kunden herausgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
- Technische Zwischenspeicherung: Daten in internen Verarbeitungswarteschlangen werden nach erfolgreicher Verarbeitung je nach Art des Vorgangs nach 24 Stunden bis 30 Tagen entfernt; Protokolle fehlgeschlagener Vorgänge werden zur Fehleranalyse länger vorgehalten. Der Gesprächszusammenhang einer KI-Unterhaltung in WhatsApp wird beim KI-Dienstleister für 24 Stunden vorgehalten. Abruflinks für Gesprächsaufzeichnungen sind eine Stunde gültig.
- Server- und Fehlerprotokolle: nach den Aufbewahrungsfristen der jeweiligen Dienstleister, soweit sie nicht zur Aufklärung eines Sicherheitsvorfalls länger benötigt werden.
9. Datensicherheit
Wir treffen technische und organisatorische Maßnahmen, um die Daten zu schützen. Dazu gehören insbesondere die verschlüsselte Übertragung (TLS), eine nach Kunden getrennte Datenhaltung, ein Berechtigungskonzept mit möglichst wenigen administrativen Zugängen, die Trennung von Produktiv- und Testsystemen sowie die Verpflichtung unserer Mitarbeiter auf Vertraulichkeit.
10. Ihre Rechte
Sie haben nach der DSGVO das Recht auf
- Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO),
- Berichtigung unrichtiger Daten (Art. 16 DSGVO),
- Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
- Datenübertragbarkeit (Art. 20 DSGVO),
- Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO),
- Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Für Verarbeitungen, die wir im Auftrag eines Kunden durchführen (Abschnitt 5), richten Sie Ihr Anliegen bitte an den jeweiligen Kunden (siehe Abschnitt 3). Für alle übrigen Verarbeitungen wenden Sie sich an datenschutz@insurmagic.de.
Beschwerderecht bei einer Aufsichtsbehörde
Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:
Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Heilbronner Straße 35
70191 Stuttgart
www.baden-wuerttemberg.datenschutz.de
11. Pflicht zur Bereitstellung
Die Angaben für das Benutzerkonto sind für die Nutzung der Software erforderlich; ohne sie können wir keinen Zugang bereitstellen. Anrufer und Kontakte unserer Kunden sind nicht verpflichtet, im Gespräch bestimmte Angaben zu machen; ohne die Angaben kann ihr Anliegen jedoch möglicherweise nicht bearbeitet werden.
12. Änderungen dieser Datenschutzerklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Software, die eingesetzten Dienstleister oder die rechtlichen Vorgaben ändern. Es gilt die jeweils hier veröffentlichte Fassung.
Stand: 12.10.2026