Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die hier beschriebenen Verarbeitungen ist

Clemens Waldmann, Geschäftsbezeichnung waldmanntec Löwenzahnweg 9, 4030 Linz, Österreich E-Mail: office@waldmanntec.com UID: ATU80419959

(im Folgenden „wir“). Einen Datenschutzbeauftragten haben wir nicht bestellt. Fragen zum Datenschutz richten Sie bitte an office@waldmanntec.com.

Diese Erklärung gilt für die Website und für die Web-App (Plattform) Tellondi.

2. Zwei Rollen: Wofür wir verantwortlich sind und wofür unsere Kunden

Tellondi ist ein KI-Telefonassistent für Unternehmen. Unsere Kunden leiten ihre Firmennummer auf eine von uns bereitgestellte Nummer um; der Assistent nimmt Anrufe an, notiert das Anliegen als Text und stellt es dem Team des Kunden in der Plattform bereit. Dabei gibt es zwei klar getrennte Rollen:

2.1 Wir sind Verantwortliche

Für diese Verarbeitungen entscheiden wir selbst über Zwecke und Mittel und sind Verantwortliche im Sinn von Art. 4 Nr. 7 DSGVO:

• Besuch unserer Website (Punkt 4),
• Registrierung, Anmeldung und Sicherheit von Nutzerkonten (Punkt 5),
• Vertrag, Pakete, Verbrauch und Abrechnung mit unseren Kunden (Punkt 6),
• Support, Kommunikation per E-Mail und Pflichtmitteilungen (Punkt 7),
• unsere eigenen technischen Protokolle und Sicherheitsmaßnahmen (Punkt 10).

2.2 Wir sind Auftragsverarbeiter

Für alle Daten der Anrufer und für alles, was der Kunde und sein Team innerhalb ihres Kundenbereichs verarbeiten, ist der jeweilige Kunde Verantwortlicher. Wir verarbeiten diese Daten ausschließlich in seinem Auftrag und nach seinen Weisungen als Auftragsverarbeiter (Art. 28 DSGVO) auf Grundlage eines Auftragsverarbeitungsvertrags. Das betrifft insbesondere:

• Rufnummern, Anrufzeiten und Gesprächsinhalte (als Text) der Anrufer,
• Anliegen, Zusammenfassungen, Kategorien, Dringlichkeitsstufen, Notizen, Zuständigkeiten und Verlauf,
• die vom Kunden hinterlegten Inhalte (Begrüßung, Wissen, Öffnungszeiten, Weiterleitungsziele, Regeln),
• Benachrichtigungen an das Team des Kunden,
• Testanrufe im Browser und die KI-gestützte Einrichtungshilfe,
• die Daten der Teammitglieder, soweit sie im Kundenbereich entstehen (Rollen, Einladungen, Weiterleitungsnummern, Bearbeitungen).

Wenn Sie bei einem unserer Kunden angerufen haben und wissen möchten, was mit Ihren Daten passiert, oder Auskunft, Berichtigung oder Löschung wünschen, wenden Sie sich bitte an dieses Unternehmen. Es ist Ihr Ansprechpartner und informiert Sie in seiner eigenen Datenschutzerklärung; der KI-Hinweis zu Beginn des Gesprächs nennt den Firmennamen und, soweit hinterlegt, die Adresse dieser Datenschutzerklärung. Erreicht uns eine solche Anfrage direkt, leiten wir sie unverzüglich an den Kunden weiter und informieren Sie darüber. Was wir als Auftragsverarbeiter tun, beschreibt Punkt 8 zur Information.

2.3 Nutzerkonten

Teammitglieder unserer Kunden legen ein persönliches Nutzerkonto an. Soweit wir Registrierung, Anmeldung, Sitzung, Missbrauchsschutz und das Sicherheitsprotokoll betreiben, tun wir das in eigener Verantwortung, weil diese Verarbeitungen den sicheren Betrieb der Plattform insgesamt betreffen (Punkt 5). Alles, was ein Teammitglied innerhalb des Kundenbereichs tut und einträgt, verarbeiten wir im Auftrag des Kunden (Punkt 2.2).

3. Allgemeines

Rechtsgrundlagen. Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen, wenn Sie selbst unser Kunde sind, etwa als Einzelunternehmer), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Pflichten, insbesondere steuer- und unternehmensrechtliche Aufbewahrung), Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen, insbesondere Sicherheit und Betrieb der Plattform, Vertragsabwicklung mit Kontaktpersonen unserer Kunden, Abwehr und Durchsetzung von Ansprüchen) und, wo wir sie einholen, Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, jederzeit widerrufbar). Gegen Verarbeitungen auf Grundlage berechtigter Interessen können Sie Widerspruch einlegen (Punkt 12).

Keine Verarbeitung für Werbung Dritter, kein Verkauf von Daten, kein Profiling. Wir nutzen Ihre Daten nicht zum Training von KI-Modellen.

Empfänger. Soweit nicht anders angegeben, erhalten nur wir und die in Punkt 9 genannten Dienstleister Daten. An Behörden geben wir Daten nur weiter, wenn wir dazu rechtlich verpflichtet sind.

4. Website

4.1 Keine Cookies, keine Drittinhalte

Unsere Website setzt keine Cookies, speichert nichts im Browser (weder Local Storage noch Session Storage) und bindet keine Inhalte von Dritten ein: keine externen Schriften, Skripte, Bilder, Videos oder Karten, keine Analyse- oder Werbedienste, keine Social-Media-Plugins. Videos und Bilder liefern wir von unserem eigenen Server aus. Eine Inhaltssicherheitsrichtlinie (Content Security Policy) erlaubt dem Browser nur Verbindungen zu unserer eigenen Adresse. Deshalb zeigen wir kein Cookie-Banner; eine Einwilligung nach § 165 Abs. 3 TKG 2021 ist nicht erforderlich.

4.2 Zugriffsprotokolle des Servers

Bei jedem Aufruf verarbeitet unser Webserver technisch bedingt: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Methode und -Statuscode, übertragene Datenmenge, Browser- und Betriebssystemkennung (User-Agent) und die zuvor besuchte Seite (Referrer), soweit der Browser sie sendet. Zweck ist die Auslieferung der Seite, die Sicherheit des Servers (Erkennung von Angriffen und Missbrauch) und die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle werden spätestens nach 30 Tagen gelöscht und nicht mit anderen Daten zusammengeführt.

4.3 Keine Reichweitenmessung mit Tracking

Wir setzen kein Statistik- oder Analysewerkzeug ein. Soweit wir Zugriffe auswerten, geschieht das ausschließlich aus den Protokollen nach Punkt 4.2 in zusammengefasster Form (Seitenaufrufe, Herkunftsseiten, Gerätetypen), ohne Cookies, ohne Fingerprinting und ohne Weitergabe an Dritte.

4.4 Kontakt per E-Mail

Wenn Sie uns über die auf der Website genannte Adresse schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b oder f DSGVO), siehe Punkt 7.

5. Registrierung und Nutzerkonto

5.1 Registrierung

Zur Registrierung verarbeiten wir Name, E-Mail-Adresse und Passwort. Das Passwort speichern wir nur als kryptografischen Hash. Wir senden einen Bestätigungslink an die angegebene Adresse. Ist die Adresse schon registriert, erhält sie stattdessen einen Hinweis darauf. Unbestätigte Konten ohne Zuordnung zu einem Kundenbereich löschen wir nach 7 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag mit Ihnen bzw. Ihrem Unternehmen) und lit. f DSGVO (Sicherheit).

Die Zustimmung des Kunden zu den Allgemeinen Geschäftsbedingungen und zum Auftragsverarbeitungsvertrag dokumentieren wir mit Fassung, Zeitpunkt und zustimmender Person als Nachweis (Art. 6 Abs. 1 lit. b und f DSGVO).

5.2 Anmeldung und Sitzung

Nach der Anmeldung setzen wir ein technisch notwendiges Sitzungs-Cookie (__Host-session; HttpOnly, Secure, SameSite=Lax). Es enthält nur eine zufällige Sitzungskennung, keine personenbezogenen Daten. Die Sitzung endet nach 30 Tagen ohne Aktivität, spätestens 90 Tage nach der Anmeldung, oder wenn Sie sich abmelden. Ohne dieses Cookie ist die Anmeldung technisch nicht möglich; eine Einwilligung ist nach § 165 Abs. 3 TKG 2021 nicht erforderlich.

Zusätzlich merkt sich die App im Local Storage Ihres Browsers zwei Einstellungen ohne Personenbezug: die zuletzt geöffnete Firma (ui.lastTenantId) und ob die Seitenleiste eingeklappt ist (ui.sidebarCollapsed). Sie dienen nur dem Bedienkomfort und werden nicht an uns übertragen; Sie können sie jederzeit über die Browser-Einstellungen löschen.

5.3 Sicherheit des Kontos

Zum Schutz vor Missbrauch begrenzen wir Anmelde- und Registrierungsversuche, Passwort-vergessen-Anfragen und Einladungen je Konto, E-Mail-Adresse und IP-Adresse; dafür speichern wir IP-Adresse und Zeitpunkt für kurze Zeit, bis das jeweilige Zeitfenster und eine allfällige Sperre abgelaufen sind. Bei wiederholten Fehlversuchen sperren wir die Anmeldung zeitlich begrenzt und informieren das Konto per E-Mail. Passwortänderungen, Zurücksetzungen und das Beenden aller Sitzungen lösen eine Sicherheits-E-Mail aus. Passwörter müssen mindestens 12 Zeichen haben und werden gegen eine Liste bekannter, zu einfacher Passwörter geprüft. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit), Art. 32 DSGVO.

5.4 Protokoll (Audit-Log)

Sicherheitsrelevante Ereignisse (zum Beispiel Anmeldung von Plattform-Administratoren, Passwortänderung, Rollenwechsel, Änderungen an Einstellungen, Löschungen, Support-Zugriffe) schreiben wir in ein unveränderliches Protokoll mit Zeitpunkt, handelnder Person, Aktion, betroffenem Objekt und gekürzter IP-Adresse (IPv4 auf 24 Bit, IPv6 auf 48 Bit). Das Protokoll enthält keine Gesprächsinhalte, keine Notizen und nur maskierte Telefonnummern. Es wird nach 730 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit, Sicherheit, Nachweis gegenüber Kunden), Art. 5 Abs. 2 und Art. 32 DSGVO.

5.5 Profil und Rollen

Ihr Profil enthält Name, E-Mail-Adresse und optional eine Rückrufnummer, die Ihr Unternehmen als Weiterleitungsziel nutzen kann. Rollen (Inhaber, Admin, Mitglied) und Mitgliedschaften vergibt Ihr Unternehmen; diese Verwaltung erfolgt in dessen Verantwortung (Punkt 2.2). Einladungen senden wir im Auftrag Ihres Unternehmens an die eingeladene Adresse.

5.6 Konto löschen

Sie können die Löschung Ihres Kontos jederzeit veranlassen, per E-Mail an office@waldmanntec.com oder, soweit die Plattform das anbietet, direkt in der App. Dabei enden alle Sitzungen und Mitgliedschaften; E-Mail-Adresse, Name, Rückrufnummer und Passwort-Hash werden entfernt. Ein Rumpfdatensatz ohne Personenbezug bleibt, damit Notizen und Verlauf in Kundenbereichen weiterhin „Ehemaliges Mitglied“ anzeigen. Das Protokoll (Punkt 5.4) bleibt bis zum Ablauf seiner Frist.

6. Vertrag, Pakete und Abrechnung

6.1 Kundendaten

Zum Kundenbereich speichern wir Firmenname, Land, Zeitzone, Sprache, die Adresse Ihrer Datenschutzerklärung, den Einrichtungsstand sowie Angaben zu Paket, Abrechnungsperiode, Kündigung und Status. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Kontaktpersonen juristischer Personen Art. 6 Abs. 1 lit. f DSGVO (Vertragsabwicklung mit dem Unternehmen).

6.2 Verbrauch

Zur Abrechnung erfassen wir je Anruf Beginn, Dauer der Gesprächsabschnitte, ob und warum der Anruf zählt, sowie Summen je Abrechnungsperiode. Diese Verbrauchsdaten enthalten keine Gesprächsinhalte. Wird ein Anruf aus Datenschutzgründen gelöscht, bleibt nur ein anonymisierter Datensatz mit Dauer und Zählwert erhalten, damit die Abrechnung stimmt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

6.3 Rechnungsdaten

Für Rechnungen verarbeiten wir Rechnungsname, Rechnungsadresse, Land, UID und Rechnungs-E-Mail sowie die Rechnungen selbst. Rechnungsdaten bewahren wir 7 Jahre nach Ende des Kalenderjahres auf (§ 132 BAO, § 212 UGB). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

6.4 Zahlungsdienstleister

Zahlungen wickeln wir über Stripe ab. Dafür geben wir Rechnungsname, Adresse, Land, UID, Rechnungs-E-Mail, Paket und Beträge an Stripe weiter; Zahlungsdaten (Karte, Konto) geben Sie direkt bei Stripe ein, wir erhalten sie nicht. Stripe prüft UIDs, berechnet die Umsatzsteuer, erstellt Rechnungen und wickelt Zahlungen ab. Für die Zahlungsabwicklung selbst, Betrugsprävention und eigene gesetzliche Pflichten ist Stripe eigenständig verantwortlich. Unser Vertragspartner ist Stripe Payments Europe, Limited, Irland; Daten können an Stripe, Inc. in den USA übermittelt werden. Stripe, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert und verwendet darüber hinaus die Standardvertragsklauseln der Europäischen Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutzinformationen von Stripe: https://stripe.com/at/privacy.

6.5 Zahlungsverzug

Bei fehlgeschlagenen Zahlungen informieren wir Sie per E-Mail und in der App und speichern den Verlauf der Mahnungen. Zur Durchsetzung offener Forderungen können wir Daten an Rechtsvertreter oder Inkassounternehmen weitergeben (Art. 6 Abs. 1 lit. f DSGVO).

7. Support, Kommunikation und E-Mails

7.1 Support per E-Mail

Anfragen an office@waldmanntec.com beantworten wir per E-Mail. Wir verarbeiten dabei Ihre Adresse, den Inhalt und den Verlauf der Kommunikation, solange es für die Bearbeitung und für den Nachweis erforderlich ist (in der Regel bis 3 Jahre nach Abschluss, Art. 6 Abs. 1 lit. b und f DSGVO). Unser Postfach wird bei Microsoft (Microsoft 365) betrieben; Vertragspartner ist Microsoft Ireland Operations Limited, Dublin, Irland. Dabei ist eine Übermittlung an Microsoft Corporation in die USA möglich; Microsoft Corporation ist nach dem EU-US Data Privacy Framework zertifiziert und verwendet die Standardvertragsklauseln der Europäischen Kommission. Bitte senden Sie uns keine Gesprächsinhalte oder Daten von Anrufern per E-Mail, wenn es nicht nötig ist; für Löschanfragen zu einer Anrufernummer genügt die Nummer.

7.2 E-Mails der Plattform

Transaktions-E-Mails (Bestätigungslinks, Einladungen, Sicherheitsmeldungen, Benachrichtigungen über neue Anliegen, Kontingentwarnungen, Rechnungs- und Mahnhinweise) versenden wir über unseren eigenen Mailserver in der EU, ohne externen Versanddienst und ohne Öffnungs- oder Klick-Tracking. Benachrichtigungs-E-Mails über Anliegen enthalten nur eine kurze Zusammenfassung und einen Link in die Plattform, keine Mitschrift; diese Inhalte verarbeiten wir im Auftrag Ihres Unternehmens (Punkt 2.2). Den Versand protokollieren wir ohne Inhalte (Empfänger, Typ, Status) für 30 Tage, bei Kontingentwarnungen 35 Tage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

7.3 Pflichtmitteilungen

Änderungen der AGB, des Auftragsverarbeitungsvertrags, der Unterauftragsverarbeiter, Preise oder wesentlicher Funktionen sowie Sicherheitsvorfälle teilen wir Inhabern und Admins per E-Mail mit (Art. 6 Abs. 1 lit. b und c DSGVO).

8. Was wir im Auftrag unserer Kunden tun (zur Information)

Dieser Punkt beschreibt zur Transparenz, wie die Plattform Daten von Anrufern verarbeitet. Verantwortlich dafür ist der jeweilige Kunde (Punkt 2.2); verbindlich ist seine Datenschutzerklärung.

• KI-Hinweis. Jedes Gespräch beginnt mit dem Hinweis, dass ein KI-Assistent des genannten Unternehmens spricht und das Anliegen schriftlich erfasst wird, mit Verweis auf die Datenschutzinformationen des Unternehmens, soweit hinterlegt. Der Hinweis kann vom Kunden nicht abgeschaltet werden.
• Keine Tonaufnahme. Audio existiert nur während des Gesprächs im Arbeitsspeicher und wird nicht gespeichert. Es gibt keine Funktion zum Mithören, auch nicht für uns.
• Text statt Ton. Die Sprach-KI erzeugt eine Mitschrift; daraus entstehen Zusammenfassung, Kategorie und Dringlichkeitsstufe. Anrufer werden nur an der Rufnummer erkannt, nie an der Stimme; es gibt keine Stimmabdrücke und keine Emotionserkennung.
• Dienstleister. Für Telefonie nutzen wir Twilio und für die Sprach- und Text-KI Google (Gemini API), beides US-Unternehmen; die Sprach-KI verarbeitet Gespräche derzeit ohne Zusage einer EU-Region. Gespeichert werden Daten auf Servern in der EU. Einzelheiten und Übermittlungsgrundlagen stehen in der Liste der Unterauftragsverarbeiter (Anlage 2 zum Auftragsverarbeitungsvertrag).
• Kein Training. Gespräche und Anliegen trainieren keine KI-Modelle.
• Löschfristen (Standard): Mitschrift 90 Tage ab Gesprächsende; Anliegen samt Notizen und Verlauf 730 Tage ab Eingang; Anrufdaten (Zeit, Dauer, Rufnummer, Ablauf) 365 Tage ab Anrufbeginn; Testanrufe 7 Tage (inhaltsfreie Abrechnungszeile 35 Tage); Sicherungskopien höchstens 30 Tage. Die Löschung läuft täglich automatisch und endgültig.
• Löschung auf Anfrage. Auf Anforderung des Kunden löschen wir alle Daten zu einer Anrufernummer binnen 24 Stunden.
• Zugriff durch uns. Wir sehen ohne Freigabe des Kunden nur technische Metadaten mit maskierten Rufnummern. Gesprächsinhalte sehen wir nur nach schriftlicher Freigabe des Kunden, zweckgebunden, befristet und protokolliert.
• Testanrufe und Einrichtungshilfe. Bei Testanrufen im Browser wird das Mikrofonsignal des Nutzers wie ein echter Anruf an die Sprach-KI übertragen und nicht gespeichert; die Mitschrift wird nach 7 Tagen gelöscht. Die KI-gestützte Einrichtungshilfe überträgt die eingegebenen Einstellungen und den Chatverlauf zur Beantwortung an die Text-KI; der Chatverlauf wird nicht dauerhaft gespeichert.

9. Empfänger und Dienstleister für unsere eigenen Verarbeitungen

Die Dienstleister, die Daten von Anrufern im Auftrag unserer Kunden verarbeiten (Twilio, Google), stehen in Anlage 2 des Auftragsverarbeitungsvertrags.

10. Datensicherheit

Alle Verbindungen zu Website, Plattform und Schnittstellen sind mit TLS 1.2 oder höher verschlüsselt. Daten werden auf Servern in der EU gespeichert, nach Kunden getrennt (Mandantentrennung bis auf Datenbankebene) und über Rollen abgesichert. Passwörter sind gehasht, Sitzungen serverseitig. Plattform-Administratoren melden sich mit Passwort und zweitem Faktor an. Sicherungskopien bewahren wir höchstens 30 Tage auf. Technische Protokolle enthalten keine Gesprächsinhalte und nur maskierte Rufnummern und E-Mail-Adressen; sie werden nach 30 Tagen gelöscht. Einzelheiten stehen in der Anlage „Technische und organisatorische Maßnahmen“ zum Auftragsverarbeitungsvertrag.

11. Speicherdauer (eigene Verarbeitungen)

Nach Ende eines Kundenvertrags haben Inhaber und Admins 30 Tage lesenden Zugriff und können einen Export erhalten; danach löschen wir alle Inhaltsdaten des Kundenbereichs. Stamm- und Rechnungsdaten bleiben nur für die genannten Fristen.

12. Ihre Rechte

Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wenden Sie sich dazu an office@waldmanntec.com; zur Prüfung Ihrer Identität können wir Rückfragen stellen. Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Kunden verarbeiten (Punkt 2.2), leiten wir es an den Kunden weiter und teilen Ihnen das mit.

Außerdem haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren. In Österreich ist das die Österreichische Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, Telefon +43 1 52 152-0, E-Mail dsb@dsb.gv.at, https://www.dsb.gv.at. Sie können sich auch an die Aufsichtsbehörde Ihres Aufenthalts- oder Arbeitsorts wenden.

13. Keine automatisierte Entscheidung im Einzelfall

Wir treffen Ihnen gegenüber keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Die Dringlichkeits- und Kategorieeinstufung von Anliegen ist eine unverbindliche Vorsortierung für das Team des Kunden; der Kunde entscheidet selbst, wie er darauf reagiert.

14. Pflicht zur Bereitstellung

Für die Nutzung der Plattform sind Name, E-Mail-Adresse und Passwort sowie für kostenpflichtige Pakete die Rechnungsdaten erforderlich. Ohne diese Angaben können wir den Vertrag nicht erfüllen. Alle übrigen Angaben sind freiwillig.

15. Änderungen

Wir passen diese Erklärung an, wenn sich die Plattform, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung steht unter /datenschutz; über wesentliche Änderungen informieren wir registrierte Nutzer per E-Mail oder in der Plattform.