Политика конфиденциальности

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO für diese Plattform ist der Betreiber von Business Twin AI. Jedes Unternehmen, das Business Twin AI nutzt, ist für die über seine öffentliche Seite erhobenen Besucherdaten selbst Verantwortlicher.

[Angaben folgen]

2. Zwecke der Verarbeitung

Business Twin AI verarbeitet personenbezogene Daten für folgende Zwecke:

• Bereitstellung der KI-gestützten Informationsseite für Unternehmen
• Entgegennahme und Weiterleitung von Terminanfragen an das jeweilige Unternehmen
• Betrieb des KI-Chat-Assistenten auf Basis freigegebenen Unternehmenswissens
• Protokollierung unbeantworteter Fragen für den Unternehmer-Review (Learning Inbox)
• Authentifizierung von Dashboard-Nutzern (Unternehmer)
• Schutz der Plattform vor Missbrauch (Rate Limiting)

3. Verarbeitete Datenkategorien

• Terminanfragen (Leads): Name, Telefon oder E-Mail, gewünschter Service, Wunschzeit, optionale Nachricht, Einwilligungsstatus
• Chat-Sitzungen: Chat-Verlauf (Fragen und KI-Antworten), Sprache, Sitzungs-ID; Name / E-Mail / Telefon nur wenn im Chat eine Terminanfrage gestellt wurde
• Unbeantwortete Fragen: Normalisierter Fragetext, Sprache (keine direkten Personenbezüge in diesem Datensatz)
• Dashboard-Authentifizierung: Passwort-Hash, HMAC-Sitzungstoken in HTTP-only-Cookie
• Rate Limiting: IP-Adressen im Redis-Kurzzeitspeicher (TTL ≤ 60 Sekunden)
• Browser-Speicher (localStorage): Chat-Sitzungs-ID und bis zu 20 eigene Chat-Nachrichten des Besuchers, TTL 7 Tage

4. Rechtsgrundlagen

• Terminanfragen: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf Anfrage des Betroffenen)
• Chat-Verarbeitung: Art. 6 Abs. 1 lit. b oder lit. f DSGVO (berechtigtes Interesse)
• Rate Limiting: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse — Schutz vor Missbrauch)
• Dashboard-Authentifizierung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung mit Unternehmern)

5. Empfänger und Auftragsverarbeiter

Folgende Dienstleister können im Rahmen der Datenverarbeitung Zugriff auf personenbezogene Daten haben:

• Datenbankhosting: Railway (railway.app) – Postgres-Datenbank
• KI-Sprachmodell-Anbieter: Wird über Umgebungsvariable AI_PROVIDER konfiguriert. Standardmäßig ist der Mock-Provider aktiv (keine Datenweitergabe an Dritte). Im Produktivbetrieb werden Besucher-Nachrichten und freigegebenes Unternehmenswissen an den konfigurierten Anbieter übertragen.
• Redis-Anbieter (Rate Limiting): IP-Adressen kurzfristig (≤ 60 s)

[Angaben folgen]

6. Drittlandsübertragung

[Angaben folgen]

7. Speicherdauer

• Terminanfragen (Leads): 12 Monate nach Abschluss / letzter Aktualisierung
• Chat-Sitzungen und -Nachrichten: 90 Tage
• Unbeantwortete Fragen (erledigt/abgewiesen): 30 Tage nach Erledigung
• Rate-Limiting-Einträge (Redis): ≤ 60 Sekunden
• Dashboard-Sitzungscookie: 7 Tage
• Chat-localStorage im Browser: 7 Tage (clientseitige TTL)

8. Betroffenenrechte

Sie haben nach der DSGVO folgende Rechte gegenüber dem Verantwortlichen:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)

[Angaben folgen]

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

[Angaben folgen]

10. Cookies und Browser-Speicher

• bt_dashboard_session – HTTP-only-Cookie, 7 Tage TTL. Dient ausschließlich der Authentifizierung des Unternehmers im Dashboard. Technisch notwendig — keine Einwilligung erforderlich.
• business-twin:public-chat:v1:{locale}:{businessSlug} – localStorage im Browser des Besuchers. Speichert die Chat-Sitzungs-ID und bis zu 20 eigene Chatnachrichten, TTL 7 Tage. Keine Weitergabe an Dritte.

Es werden derzeit keine Analyse-, Werbe- oder Tracking-Cookies eingesetzt.

11. KI-Chat

Die KI-Chat-Funktion auf Unternehmensseiten verarbeitet Ihre eingegebenen Nachrichten, um auf Basis des vom Unternehmen freigegebenen Wissens zu antworten. Die KI bestätigt keine Termine und gibt keine medizinischen, rechtlichen oder finanziellen Ratschläge.

Im Produktivbetrieb mit einem externen KI-Anbieter werden Ihre Nachrichten an diesen Anbieter übertragen. Solange nur der interne Mock-Provider aktiv ist, verlassen Ihre Daten den Server nicht.