Datenschutzerklärung

1. Einleitung und Geltungsbereich

Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten die AdSimple GmbH („wir“, „uns“) verarbeitet, wenn Sie ChatReact nutzen, auf welcher Rechtsgrundlage das geschieht, welche Dienstleister beteiligt sind und welche Rechte Sie nach der Datenschutz-Grundverordnung (DSGVO) und dem österreichischen Datenschutzgesetz (DSG) haben.

Sie gilt für:

• die Website www.chatreact.ai einschließlich ihrer Sprachversionen, des Blogs, der Dokumentation und der API-Referenz;
• die ChatReact-Webanwendung (Dashboard, Onboarding, Konto- und Abrechnungsbereich);
• das Chat-Widget, das FAQ-Widget und das Formular-Widget, die unsere Kunden auf ihren eigenen Websites einbinden, sowie unser WordPress-Plugin und unsere Shopify-Integration;
• die REST-API und den MCP-Server von ChatReact;
• den E-Mail-Assistenten, der das Microsoft-365-Postfach eines Kunden mit ChatReact verbindet;
• unsere Kommunikation mit Ihnen per E-Mail, Telefon und Kontaktformular.

ChatReact ist ein Dienst für Unternehmen (B2B). Unsere Kunden sind Unternehmen, die KI-Chatbots für ihre eigenen Websites erstellen. Wo diese Erklärung von „Kunden“ spricht, sind diese Unternehmen und die Personen gemeint, die ChatReact in deren Auftrag nutzen. „Besucher“ sind Personen, die unsere Website aufrufen. „Endnutzer“ sind Personen, die mit einem Chatbot chatten, ein Formular ausfüllen oder an ein Postfach schreiben, das ein Kunde mit ChatReact betreibt.

2. Verantwortlicher und Kontakt

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

AdSimple GmbH
Fabriksgasse 20
2230 Gänserndorf
Österreich

Telefon: +43 2282 60 715
E-Mail: [email protected]
Firmenbuch: FN 64500 d, Landesgericht Korneuburg

Die vollständigen Unternehmensangaben finden Sie in unserem Impressum. Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte schreiben Sie bitte an [email protected].

3. Unsere Rolle: Verantwortlicher oder Auftragsverarbeiter

Welche Rolle wir haben, hängt davon ab, wessen Daten verarbeitet werden:

Endnutzerdaten verarbeiten wir ausschließlich nach den dokumentierten Weisungen unseres Kunden auf Grundlage eines Auftragsverarbeitungsvertrags. Abschnitt 13 beschreibt diese Verarbeitung im Detail, damit Endnutzer wissen, was mit ihren Daten geschieht. Anfragen von Endnutzern zu Auskunft, Berichtigung oder Löschung sind an das Unternehmen zu richten, dessen Chatbot oder Formular sie genutzt haben; wir unterstützen dieses Unternehmen bei der Beantwortung.

4. Rechtsgrundlagen im Überblick

Wir verarbeiten personenbezogene Daten nur, wenn eine der folgenden Rechtsgrundlagen zutrifft:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung, zum Beispiel für Webanalyse, Werbemessung und jede andere Verarbeitung, die wir erst nach Ihrer Zustimmung beginnen. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag, für alles, was zur Erbringung des Dienstes erforderlich ist, für den Sie sich registriert haben, einschließlich Kontoverwaltung, Abrechnung und Support.
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung, zum Beispiel die Aufbewahrung von Rechnungen nach österreichischem Steuerrecht.
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen, zum Beispiel die Absicherung unserer Systeme gegen Missbrauch, Fehlerüberwachung, cookielose Reichweitenmessung, die Verteidigung von Rechtsansprüchen und angemessene geschäftliche Kommunikation mit bestehenden Kunden.

Wo wir als Auftragsverarbeiter für einen Kunden tätig sind (Abschnitt 13), ist der Kunde für die Rechtsgrundlage gegenüber seinen Endnutzern verantwortlich.

5. Hosting, Infrastruktur und technische Dienstleister

Für den Betrieb von ChatReact nutzen wir die folgenden Infrastrukturanbieter. Sie verarbeiten personenbezogene Daten in unserem Auftrag auf Grundlage von Auftragsverarbeitungsverträgen (Art. 28 DSGVO).

5.1 Vercel (Hosting und Auslieferung von Inhalten)

Unsere Website und Anwendung werden von Vercel Inc., USA, gehostet. Unser serverseitiger Code läuft in der Vercel-Region Frankfurt (fra1). Statische Inhalte werden über das weltweite Edge-Netzwerk von Vercel ausgeliefert. Wenn Sie eine Seite öffnen oder das Widget unsere Server kontaktiert, verarbeitet Vercel Verbindungsdaten wie Ihre IP-Adresse, die aufgerufene URL, Datum und Uhrzeit, Informationen zu Browser und Betriebssystem sowie die verweisende Seite. Wir nutzen diese Daten, um die Seiten auszuliefern, den Dienst sicher zu halten und Störungen zu analysieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und zuverlässiger Betrieb) und für Kunden Art. 6 Abs. 1 lit. b DSGVO.

5.2 Neon (Datenbank)

Konto-, Unternehmens-, Chatbot- und Konversationsdaten werden in einer PostgreSQL-Datenbank gespeichert, die von Neon, Inc., USA, betrieben wird. Unsere Datenbank befindet sich in der AWS-Region eu-central-1 (Frankfurt, Deutschland). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5.3 Amazon Web Services (Dateispeicher)

Dateien, die Kunden hochladen (Wissensdatenbank-Dokumente, Logos, Bilder), werden in Amazon S3 in der Region eu-central-1 (Frankfurt) gespeichert, bereitgestellt von Amazon Web Services EMEA SARL, Luxemburg. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.4 Upstash (Ratenbegrenzung)

Um Login, Registrierung, API und Widget vor Missbrauch zu schützen, zählen wir Anfragen pro IP-Adresse oder E-Mail-Adresse in kurzen Zeitfenstern von einer Minute. Dafür nutzen wir den verwalteten Redis-Dienst von Upstash, Inc., USA. Die Zähler verfallen automatisch nach Ablauf des Zeitfensters. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch).

5.5 Inngest (Hintergrundaufgaben)

Länger laufende Aufgaben wie Website-Crawls, Übersetzungen, Postfach-Synchronisierung und Onboarding-E-Mails laufen als Hintergrundjobs, die von Inngest, Inc., USA, gesteuert werden. Die Job-Daten enthalten technische Kennungen (zum Beispiel eine Job-ID, eine Chatbot-ID oder eine URL) und Statusinformationen, nicht den Inhalt Ihrer Dokumente oder Konversationen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5.6 Sentry (Fehlerüberwachung)

Zur Erkennung und Analyse von Fehlern nutzen wir Sentry, einen Dienst der Functional Software, Inc., USA. Tritt ein Fehler auf, erhält Sentry die Fehlermeldung, einen Stacktrace, die betroffene Seite oder Schnittstelle, Browser- und Geräteinformationen und eine pseudonyme Ereignis-ID. Sitzungsaufzeichnungen (Session Replays) werden nur bei einem Fehler erstellt; dabei werden alle Texte maskiert und alle Medien blockiert, bevor die Aufzeichnung Ihren Browser verlässt. Ein kleiner Anteil der Anfragen wird stichprobenartig zur Leistungsmessung erfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Stabilität und Sicherheit des Dienstes).

5.7 Pusher (Echtzeit-Nachrichten)

Live-Chat-Nachrichten zwischen Endnutzern und den Support-Mitarbeitern eines Kunden sowie Statusaktualisierungen im Dashboard werden in Echtzeit über Pusher, einen Dienst der Pusher Ltd, Vereinigtes Königreich, zugestellt. Pusher überträgt den Nachrichteninhalt und technische Kanalkennungen und speichert Nachrichten nicht dauerhaft. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5.8 Webschriften

Die auf unserer Website verwendeten Schriften werden von unseren eigenen Servern ausgeliefert. Beim Laden einer Seite wird keine Verbindung zu den Font-Servern von Google aufgebaut.

6. Cookies, Local Storage und ähnliche Technologien

Wir verwenden eine kleine Zahl von Cookies und Browser-Speichereinträgen. Technisch notwendige Einträge setzen wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO und § 165 Abs. 3 TKG 2021; alle anderen nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Cloudflare Turnstile (Abschnitt 9.3) kann während einer Bot-Prüfung eigene technische Daten unter der Domain challenges.cloudflare.com speichern.

Sie können Cookies und Speichereinträge jederzeit in den Einstellungen Ihres Browsers löschen. Wenn Sie die Einwilligungseinträge löschen, wird der Datenschutz-Dialog beim nächsten Besuch erneut angezeigt.

7. Einwilligungsverwaltung

Wir verwenden unseren eigenen Einwilligungsdialog und keine Consent-Plattform eines Drittanbieters. Beim ersten Besuch von www.chatreact.ai bietet der Dialog drei optionale Kategorien an: Statistik (Google Analytics), Google-Werbemessung und Meta-Werbemessung. Sie können „Nur notwendige“ wählen, alle akzeptieren oder eine individuelle Auswahl speichern. Ihre Auswahl wird in Ihrem Browser (cr_measurement_consent) und in einem HttpOnly-Cookie (cr_measurement) für 180 Tage gespeichert und kann jederzeit über die Schaltfläche unten oder über „Datenschutz-Einstellungen“ in der Fußzeile geändert werden. Wenn Sie angemeldet sind, wird Ihre Auswahl zusätzlich in Ihrem Konto gespeichert (Akquisitionsprofil), damit eine Registrierung oder ein Kauf nur dann an Google oder Meta gemeldet wird, wenn Sie zugestimmt haben. Ohne Einwilligung wird nichts von Google geladen und nichts an Meta gesendet.

8. Webanalyse und Werbemessung

8.1 Vercel Web Analytics und Speed Insights (ohne Cookies)

Um zu verstehen, wie viele Personen welche Seiten besuchen und wie schnell die Seiten laden, nutzen wir Vercel Web Analytics und Vercel Speed Insights, beide bereitgestellt von Vercel Inc., USA. Diese Werkzeuge setzen keine Cookies und erzeugen keine dauerhaften Kennungen. Vercel leitet aus der Anfrage einen kurzlebigen Hash ab, um Besuche zu zählen, und erfasst technische Leistungskennzahlen (Core Web Vitals), den Seitenpfad, die verweisende Seite, das Land, den Browser und den Gerätetyp. Einzelne Besucher können wir mit diesen Daten nicht identifizieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung und Leistungsüberwachung).

8.2 Google Analytics 4 (mit Ihrer Einwilligung)

Wenn Sie „Statistik“ zustimmen, nutzen wir Google Analytics 4 von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Das Google-Skript wird erst nach Ihrer Einwilligung geladen. Wir haben Google Analytics wie folgt konfiguriert:

• Der Consent Mode wird mit allen Kategorien auf „abgelehnt“ initialisiert; nur die von Ihnen akzeptierten Kategorien werden freigegeben.
• Google Signals, Werbepersonalisierung und geräteübergreifende Funktionen sind abgeschaltet.
• Seiten-URLs werden vor dem Senden bereinigt: Abfrageparameter werden entfernt, und Seiten innerhalb der Anwendung werden nur als „/app“ gemeldet. Verweisende Seiten werden nicht übertragen.
• Gemessene Ereignisse: Seitenaufrufe, das Anzeigen des Registrierungsformulars, die Seite „E-Mail prüfen“, Registrierungsfehler, die Preisseite, ein Verweilen von fünf Minuten auf der Website, abgeschlossene Registrierungen, Schritte der Chatbot-Einrichtung, die erste Chatbot-Antwort und abgeschlossene Zahlungen. Bei Zahlungen senden wir die Rechnungsnummer, den Betrag und die Währung. Wir senden niemals E-Mail-Adressen, Namen, Unternehmensangaben oder Chat-Inhalte.
• Registrierungen und Zahlungen werden von unserem Server über das Google-Analytics-Measurement-Protocol gemeldet, unter Verwendung der pseudonymen Client- und Sitzungs-ID aus dem Cookie cr_measurement.

Google verarbeitet eine pseudonyme Client-ID, eine Sitzungs-ID, Ereignisdaten, den ungefähren Standort sowie Geräte- und Browserinformationen. Google kann diese Daten an Google LLC in die USA übermitteln; Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert, zusätzlich bestehen Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit über den Datenschutz-Dialog widerrufen; wir löschen dann die Google-Cookies und beenden jede Messung.

8.3 Google-Ads-Conversion-Messung (mit Ihrer Einwilligung)

Wir bewerben ChatReact über Google Ads. Wenn Sie zusätzlich der „Google-Werbemessung“ zustimmen, darf das Google-Analytics-Konto Registrierungen und Zahlungen der Google-Ads-Kampagne zuordnen, über die Sie auf unsere Website gekommen sind. Dafür bleiben die Anzeigen-Klickkennungen (gclid, gbraid, wbraid) und Kampagnenparameter (utm_*) aus der URL der Einstiegsseite in der gemessenen Seiten-URL erhalten, und die Einwilligungskategorien ad_storage und ad_user_data werden freigegeben. Die Werbepersonalisierung bleibt deaktiviert. Wir verwenden diese Daten ausschließlich zur Erfolgsbewertung unserer Kampagnen; wir erstellen keine Werbeprofile. Anbieter: Google Ireland Limited (siehe 8.2). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

8.4 Meta Conversions API (mit Ihrer Einwilligung)

Wir werben auch auf Facebook und Instagram. Wenn Sie gesondert der „Meta-Werbemessung“ zustimmen, melden wir abgeschlossene Registrierungen über die Conversions API an Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland (Server zu Server, es wird kein Meta-Pixel in Ihrem Browser geladen). Die Meldung enthält das Ereignis „CompleteRegistration“, den Zeitpunkt, eine Ereigniskennung, die Seite, auf der Sie sich registriert haben, einen SHA-256-Hash Ihrer E-Mail-Adresse und, falls Sie über eine Meta-Anzeige gekommen sind, die Klickkennung aus dem Parameter fbclid, die wir höchstens 90 Tage speichern. Meta kann die gehashte E-Mail-Adresse Ihrem Facebook- oder Instagram-Konto zuordnen; diese Daten sind für Meta also nicht anonym. Wir senden keine Chat-Inhalte, Unternehmensangaben oder Namen. Registrierungen werden spätestens sieben Tage nach ihrem Eintritt gemeldet und nur, wenn Ihre Einwilligung noch gültig ist. Meta kann die Daten an Meta Platforms, Inc. in die USA übermitteln; Meta ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Ein Widerruf beendet alle künftigen Meldungen; bereits gesendete Meldungen unterliegen der Aufbewahrung von Meta.

9. Registrierung, Anmeldung und Ihr Konto

9.1 Anmeldung per Magic Link

Sie registrieren sich und melden sich ausschließlich mit Ihrer E-Mail-Adresse an. Wir senden Ihnen per E-Mail einen einmaligen Anmeldelink; ein Passwort wird nicht gespeichert. Wir bewahren ein Verifizierungstoken auf, bis der Link verwendet wurde oder abläuft, und eine Datenbank-Sitzung für bis zu 30 Tage (täglich verlängert, solange Sie aktiv sind). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9.2 Passkeys

Optional können Sie Ihrem Konto Passkeys (WebAuthn) hinzufügen. Wir speichern den öffentlichen Schlüssel, die Credential-ID, einen Signaturzähler, den Authenticator-Typ (Plattform oder Sicherheitsschlüssel), die Übertragungswege, eine von Ihnen gewählte Bezeichnung und die letzte Verwendung. Biometrische Daten verlassen Ihr Gerät nie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9.3 Bot-Schutz

Unsere Anmelde- und Registrierungsformulare sind durch mehrere Maßnahmen geschützt:

• Cloudflare Turnstile, ein Dienst der Cloudflare, Inc., USA, wird geladen, sobald Sie beginnen, das Formular auszufüllen. Turnstile analysiert technische Signale Ihres Browsers und Ihre IP-Adresse, um Menschen von Bots zu unterscheiden; unser Server prüft das entstehende Token zusammen mit Ihrer IP-Adresse bei Cloudflare. Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Versteckte Honeypot-Felder, die nur automatisierte Skripte ausfüllen.
• Anfragelimits pro IP-Adresse und E-Mail-Adresse (Abschnitt 5.4).
• Jede geschützte Anmeldeanfrage wird als datensparsames Audit-Ereignis (Ergebnis, Zeitpunkt, gehashte Kennungen) protokolliert, das nach 30 Tagen gelöscht wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Spam).

9.4 Prüfung geschäftlicher E-Mail-Adressen

ChatReact richtet sich an Unternehmen. Wenn Sie sich mit der Adresse eines kostenlosen E-Mail-Anbieters registrieren, fragen wir Sie nach der Website Ihres Unternehmens. Unser Server ruft die Impressums-, Rechts- oder Kontaktseite dieser öffentlichen Website ab und prüft, ob Ihre E-Mail-Adresse dort angeführt ist. Wir speichern Ihre E-Mail-Adresse, die Website-URL, die gefundene Seite und den Zeitpunkt der Prüfung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verhinderung des Missbrauchs kostenloser Tarife) und Art. 6 Abs. 1 lit. b DSGVO. Schlägt die Prüfung fehl, können Sie uns kontaktieren, und wir prüfen Ihre Anfrage manuell.

9.5 Konto-, Unternehmens- und Teamdaten

Für den Betrieb Ihres Kontos speichern wir: E-Mail-Adresse, Name, Profilbild (optional), Sprache der Benutzeroberfläche, Rolle, Tarif und Abonnementstatus, Test- und Abrechnungszeiträume, Stripe-Kunden- und Abonnement-IDs, Benachrichtigungseinstellungen, Onboarding-Fortschritt und die Unternehmen, die Ihnen gehören oder denen Sie angehören. Für jedes Unternehmen speichern wir Name, URL-Kürzel, Website, Logo, Beschreibung und Einstellungen. Wenn Sie Teammitglieder einladen, speichern wir deren E-Mail-Adresse, Rolle und die einladende Person. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9.6 Audit-Protokolle

Wichtige Aktionen im Dashboard und alle API-Anfragen werden in einem Audit-Protokoll erfasst, das die Aktion, das betroffene Objekt, Ihre Benutzer- und Unternehmens-ID, IP-Adresse, Browser, HTTP-Methode, Pfad, Statuscode, Dauer und bei schreibenden Anfragen einen gekürzten Anfrageinhalt enthält. Das Protokoll hilft uns, Sicherheitsvorfälle und Supportanfragen aufzuklären. Aufbewahrung: technische Anfrageprotokolle 7 Tage, Datenänderungen 30 Tage, sicherheitsrelevante Aktionen 365 Tage. Wenn Sie Ihr Konto löschen, werden die Einträge anonymisiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Nachvollziehbarkeit) und Art. 6 Abs. 1 lit. c DSGVO.

9.7 Onboarding-E-Mails und Abbruch-Umfrage

Wenn Sie sich registriert, aber noch kein Unternehmen, keinen Chatbot oder keine Wissensdatenbank angelegt haben, senden wir Ihnen gegebenenfalls bis zu drei Onboarding-E-Mails, die den nächsten Schritt erklären. Diese E-Mails enden automatisch, sobald Sie die Einrichtung abgeschlossen haben, und Sie können jederzeit widersprechen, indem Sie antworten oder an [email protected] schreiben. Wenn Sie die App während des Onboardings verlassen möchten, zeigen wir Ihnen gegebenenfalls eine kurze Umfrage nach dem Grund; die Antwort, die optionale Freitextnachricht, die Seite und die Sprache werden in Ihrem Konto gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Kunden-Onboarding, Produktverbesserung) und § 174 TKG 2021.

10. Kontakt und Kommunikation

Das Kontaktformular auf unserer Website ist ein ChatReact-Formular. Wenn Sie es absenden, speichern wir die von Ihnen ausgefüllten Felder (typischerweise Name, E-Mail-Adresse und Nachricht), den Zeitpunkt, Ihre IP-Adresse, Ihren Browser und die verweisende Seite, und wir führen eine automatisierte Spam-Prüfung durch (Abschnitt 12.4). E-Mails und Telefonate verarbeiten wir zur Beantwortung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) oder Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen). Kontaktanfragen bewahren wir so lange auf, wie es zur Bearbeitung und für mögliche Rückfragen nötig ist, sofern keine längere gesetzliche Aufbewahrungspflicht gilt.

11. Zahlungen und Abrechnung

Kostenpflichtige Tarife werden über Stripe abgerechnet, bereitgestellt von Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland, und Stripe, Inc., USA. Wenn Sie einen Bezahlvorgang starten, legen wir bei Stripe einen Kunden mit Ihrer E-Mail-Adresse, Ihrem Namen und Ihrer ChatReact-Benutzer-ID an. Zahlungsdaten (Kartennummer, IBAN) geben Sie im eingebetteten Checkout von Stripe ein; sie gehen direkt an Stripe, wir erhalten und speichern sie nie. Stripe informiert uns über signierte Webhooks über den Status von Abonnements, Zahlungen und Rechnungen, und wir speichern Ihre Stripe-Kunden- und Abonnement-ID, Tarif, Status und Abrechnungszeitraum. Stripe verwendet Cookies zur Betrugsprävention (Abschnitt 6) und kann Daten auf Grundlage des EU-U.S. Data Privacy Framework und von Standardvertragsklauseln in die USA übermitteln. Rechnungen und Zahlungsbelege werden gemäß § 132 BAO sieben Jahre aufbewahrt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO.

12. Verarbeitung innerhalb der ChatReact-Plattform

Dieser Abschnitt beschreibt, was mit Daten geschieht, die Sie als Kunde in ChatReact einbringen, und mit den Daten Ihrer Endnutzer. Für Endnutzerdaten sind wir Ihr Auftragsverarbeiter (Abschnitt 3).

12.1 Wissensdatenbank und Website-Crawler

Ihr Chatbot beantwortet Fragen auf Grundlage der Wissensdatenbank, die Sie aufbauen: hochgeladene Dokumente, Seiten Ihrer Website, FAQs und Anweisungen. Dokumente werden in Amazon S3 gespeichert (Abschnitt 5.3) und, damit die KI sie durchsuchen kann, in einen Vektorspeicher bei OpenAI (Abschnitt 14) hochgeladen, der zu Ihrem Chatbot gehört. Website-Seiten werden von unserem eigenen Crawler auf unseren Servern abgerufen oder, wenn in unseren Plattformeinstellungen aktiviert, vom Crawling-Dienst Firecrawl, USA, der die von Ihnen eingegebenen öffentlichen URLs erhält. Wir crawlen ausschließlich öffentlich zugängliche Seiten der von Ihnen angegebenen Websites. Wenn Sie ein Dokument oder Ihr Konto löschen, löschen wir die Datei, die Einträge im Vektorspeicher und die Crawl-Ergebnisse.

12.2 Chatbot-Konversationen

Wenn ein Endnutzer einem Chatbot schreibt, speichern wir eine Chat-Sitzung mit einer zufälligen, im Browser erzeugten Besucher-ID, den Nachrichten, der URL der Seite, auf der der Chat stattfand, der Browsersprache und, falls Sie ein Vorab-Formular aktiviert haben, den vom Besucher ausgefüllten Feldern (zum Beispiel Name und E-Mail-Adresse). Die Nachrichten des Endnutzers werden zusammen mit den relevanten Inhalten der Wissensdatenbank und Ihren Anweisungen an OpenAI gesendet, um die Antwort zu erzeugen. Abgeschlossene Konversationen können automatisch analysiert werden, um eine Vertrauenskategorie zuzuweisen, FAQ-Einträge vorzuschlagen, Verbesserungsmöglichkeiten zu erkennen (Improvement Agent) und eine Zusammenfassung zur Überprüfung für Sie zu erstellen; dafür nutzen wir Google Gemini und OpenAI (Abschnitt 14). Konversationen bleiben in Ihrem Dashboard verfügbar, bis Sie sie oder Ihr Konto löschen.

12.3 Live-Chat

Wenn Sie den Live-Chat aktivieren, können Endnutzer in Echtzeit mit Ihrem Team sprechen. Wir speichern die Live-Chat-Sitzung, Name und E-Mail-Adresse des Besuchers, falls angegeben, die Nachrichten und welcher Mitarbeiter die Konversation betreut hat. Nachrichten werden über Pusher zugestellt (Abschnitt 5.7).

12.4 Leads, Smart Forms und Kontaktformulare

Chatbots und Formulare können Leads mit den von Ihnen definierten Feldern erfassen (zum Beispiel Name, E-Mail-Adresse, Telefonnummer). Formularübermittlungen werden mit den übermittelten Daten, IP-Adresse, Browser und verweisender Seite gespeichert. Jede Übermittlung wird von einem KI-Modell bei OpenAI, das den übermittelten Text erhält, auf Spam bewertet; die Bewertung und eine kurze Begründung werden Ihnen angezeigt, damit Sie über den Umgang entscheiden können. Leads können Benachrichtigungen an Ihr Team und Webhooks an Ihre eigenen Systeme auslösen (Abschnitt 12.7).

12.5 E-Mail-Assistent (Microsoft 365)

Der E-Mail-Assistent verbindet ein Microsoft-365-Postfach mit einem Chatbot, damit eingehende E-Mails kategorisiert, sortiert und mit Entwürfen beantwortet werden. Wenn Sie ein Postfach verbinden, autorisieren Sie ChatReact bei Microsoft (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) mit den Berechtigungen „Mail.ReadWrite“, „Mail.Send“, „MailboxSettings.ReadWrite“ und „offline_access“. Die Zugriffs- und Aktualisierungstoken speichern wir mit AES-256-GCM verschlüsselt; der Schlüssel wird außerhalb der Datenbank aufbewahrt. Wir verarbeiten nur E-Mails, die nach dem Herstellen der Verbindung eingehen.

Für jede neue E-Mail senden wir den Absender, den Betreff und bis zu die ersten 4.000 Zeichen des Inhalts an Google Gemini (ersatzweise an OpenAI), um zu ermitteln, ob es sich um eine echte Anfrage handelt und welche Kategorie zutrifft. Antwortentwürfe werden von OpenAI unter Verwendung Ihrer Wissensdatenbank erzeugt und als Entwürfe in Ihrem Postfach gespeichert; nichts wird automatisch versendet. Anfragen an OpenAI für den E-Mail-Assistenten werden mit deaktivierter Antwortspeicherung gesendet, sodass OpenAI den E-Mail-Inhalt nicht als abrufbares Antwortobjekt aufbewahrt. Wir speichern dauerhaft nur Metadaten: Nachrichten- und Konversations-ID, Absenderadresse, den auf 200 Zeichen gekürzten Betreff, Empfangszeit, Kategorie, Ergebnis und Entwurfs-ID. E-Mail-Inhalte werden von ChatReact nie gespeichert. Zur Personalisierung der Entwürfe führen wir pro Absender einen Kontaktdatensatz (E-Mail-Adresse, Name, Organisation, Beziehung, Sprache, gelernte Fakten und Ihre Notizen), den Sie im Dashboard bearbeiten oder löschen können. Das Trennen des Postfachs löscht die Token, Kategorien und das Aktivitätsprotokoll sofort. Für die E-Mails in Ihrem Postfach bleiben Sie verantwortlich; wir sind Ihr Auftragsverarbeiter.

12.6 Dashboard-Assistent und Fehlermeldungen

Das Dashboard enthält einen KI-Assistenten, der Ihnen bei der Bedienung von ChatReact hilft. Ihre Fragen werden zusammen mit den relevanten Daten Ihres Kontos (zum Beispiel den Namen Ihrer Chatbots) an OpenAI gesendet, um eine Antwort zu erzeugen; der Assistent kann von Ihnen gewünschte Dashboard-Aktionen ausführen. Wenn Sie über den Assistenten einen Fehler melden, wird ein Ticket in unserem Issue-Tracker bei GitHub, Inc., USA, erstellt, das Ihre Beschreibung, Ihre Benutzer-ID und, falls Sie einen anhängen, einen Screenshot enthält, der in einem von uns betriebenen Repository gespeichert wird. Bitte nehmen Sie keine sensiblen Daten in Fehlermeldungen auf. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12.7 Webhooks, REST-API, MCP-Server und Integrationen

Sie können ChatReact mit Ihren eigenen Systemen verbinden. Webhooks senden Ereignisdaten (zum Beispiel einen neuen Lead oder eine abgeschlossene Konversation) an die von Ihnen konfigurierte URL; für den Empfänger sind Sie verantwortlich. API-Schlüssel und MCP-Zugangstoken werden gehasht gespeichert; wir erfassen das Präfix, die letzte Verwendung und die damit gestellten Anfragen (Abschnitt 9.6). Unser WordPress-Plugin und unsere Shopify-Integration rufen unsere API von Ihrer Website aus mit einem Integrationsschlüssel auf; Endnutzer, die das Widget auf Ihrer Website laden, verbinden sich mit unseren Servern wie in Abschnitt 13 beschrieben.

12.8 Benachrichtigungen und Transaktions-E-Mails

Wir senden E-Mails, die für den Dienst erforderlich sind: Anmeldelinks, Team-Einladungen, Benachrichtigungen über Nutzungslimits, verarbeitete Dokumente, Crawls, erfasste Leads, Live-Chat-Anfragen, Chat-Überprüfungen und Abrechnung. Die meisten Benachrichtigungen und ihre Zusammenfassungsfrequenz können Sie in Ihrem Konto einstellen. Diese E-Mails werden über den in unserer Plattform konfigurierten Transaktions-E-Mail-Anbieter versendet, derzeit Mailaura (mailaura.io); alternativ können Amazon SES (AWS, Frankfurt) oder Resend, Inc., USA, zum Einsatz kommen. Der Anbieter erhält zur Zustellung die Empfängeradresse, den Betreff und den Inhalt der E-Mail. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

12.9 Übersetzungen

Widget-Texte, FAQs und Wissensinhalte können in die 24 EU-Sprachen übersetzt werden. Die Texte werden zur Übersetzung an OpenAI oder Google Gemini gesendet; personenbezogene Daten enthalten sie nur, wenn Sie diese in die Texte aufnehmen.

13. Informationen für Endnutzer von Websites, die ChatReact nutzen

Wenn Sie mit einem Chatbot chatten, ein Formular nutzen oder an ein Unternehmen schreiben, das ChatReact einsetzt, ist dieses Unternehmen der Verantwortliche und wir verarbeiten Ihre Daten in dessen Auftrag. Es gilt:

• Speicherung in Ihrem Browser: Das Widget speichert eine zufällige Besucher-ID, die aktuelle Sitzungs-ID, die letzten Nachrichten, Eingaben im Vorab-Formular, ein Merkmal, ob der Chat automatisch geöffnet wurde, und eine Live-Chat-Sitzungs-ID im Local Storage Ihres Browsers unter dem Präfix „chatreact_“. Das Widget setzt keine Cookies. Diese Einträge existieren nur für die besuchte Website und können in Ihrem Browser gelöscht werden.
• An unsere Server übermittelte Daten: Ihre Nachrichten, die Seiten-URL, die verweisende Seite, Ihre Browsersprache und Ihr User-Agent, Ihre IP-Adresse (für Ratenbegrenzung und Serverprotokolle verwendet, nicht in der Konversation gespeichert) sowie alle Angaben, die Sie in Vorab-, Lead- oder Kontaktformulare eingeben.
• KI-Verarbeitung: Ihre Nachrichten werden von OpenAI verarbeitet, um Antworten zu erzeugen; abgeschlossene Konversationen können im Auftrag des Unternehmens von Google Gemini oder OpenAI analysiert werden (Abschnitt 14). E-Mails, die Sie an ein Postfach mit E-Mail-Assistent senden, werden wie in Abschnitt 12.5 beschrieben verarbeitet.
• Hosting: Alle Daten werden wie in Abschnitt 5 beschrieben in der EU (Frankfurt) gespeichert.
• Aufbewahrung: Konversationen bleiben gespeichert, bis das Unternehmen sie löscht oder sein Konto schließt.
• Ihre Rechte: Bitte wenden Sie sich an das Unternehmen, dessen Website oder Postfach Sie genutzt haben. Wir unterstützen das Unternehmen bei der Beantwortung und leiten Anfragen, die uns direkt erreichen, weiter.

Bitte geben Sie keine sensiblen Daten (zum Beispiel Gesundheits- oder Finanzinformationen) in einen Chatbot ein, sofern das Unternehmen Sie nicht ausdrücklich darum bittet.

14. KI-Dienstleister

ChatReact nutzt große Sprachmodelle externer Anbieter. Wir senden ihnen nur die Daten, die für die jeweilige Aufgabe nötig sind (eine Konversation, einen Dokumentabschnitt, eine E-Mail, eine Formularübermittlung oder einen zu übersetzenden Text), und wir erlauben nicht, dass unsere Daten zum Training ihrer Modelle verwendet werden.

KI-erzeugte Inhalte können fehlerhaft sein. Chatbot-Antworten, Kategorien, Spam-Bewertungen und Entwürfe sind Vorschläge, die unsere Kunden prüfen und für die sie verantwortlich bleiben; sie entfalten für sich allein keine rechtliche Wirkung (Abschnitt 20).

15. Partnerprogramm

Unternehmen und Einzelpersonen können sich für unser Partnerprogramm (Affiliate-Programm) bewerben. Wir verarbeiten die Daten, die Sie in Ihrer Bewerbung angeben (Unternehmen, Website, Motivation), Ihre Auszahlungsdaten (PayPal-E-Mail-Adresse oder IBAN, BIC, Kontoinhaber und Steuernummer), Ihren Partnercode sowie Statistiken zu Klicks, Registrierungen, Conversions, Provisionen und Auszahlungen. Kommt ein Besucher über Ihren Partnerlink, speichern wir die Einstiegsseite, Kampagnenparameter, eine gehashte IP-Adresse und den Browser dieses Besuchers, setzen das Empfehlungs-Cookie (Abschnitt 6) und verknüpfen das neue Konto mit Ihrer Empfehlung, wenn sich der Besucher innerhalb der Cookie-Laufzeit registriert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Partnervereinbarung) und Art. 6 Abs. 1 lit. c DSGVO (Buchführung). Auszahlungs- und Provisionsbelege werden gemäß § 132 BAO sieben Jahre aufbewahrt.

16. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur an die in dieser Erklärung genannten Dienstleister weiter, an Behörden, wenn wir dazu gesetzlich verpflichtet sind, und an zur Verschwiegenheit verpflichtete Berater, soweit dies zur Verteidigung von Rechtsansprüchen erforderlich ist. Sollte ChatReact an ein anderes Unternehmen übertragen werden, würden Daten im gesetzlich zulässigen Rahmen weitergegeben.

Einige unserer Dienstleister sind in den USA und im Vereinigten Königreich ansässig oder können Daten dorthin übermitteln. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss. Für die USA stützen wir uns auf das EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, und zusätzlich auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) samt ergänzenden Maßnahmen wie Verschlüsselung bei der Übertragung und Speicherung.

17. Speicherdauer

Wir bewahren personenbezogene Daten nur so lange auf, wie es für die oben beschriebenen Zwecke erforderlich ist. Wichtige Fristen:

18. Datensicherheit

Wir schützen Ihre Daten mit dem Risiko angemessenen technischen und organisatorischen Maßnahmen: TLS-Verschlüsselung aller Verbindungen, Verschlüsselung gespeicherter Daten bei unseren Hosting-Anbietern, AES-256-GCM-Verschlüsselung der Postfach-Token, gehashte API-Schlüssel und passwortlose Anmeldung mit Magic Links und Passkeys, rollenbasierte Zugriffskontrolle pro Unternehmen, Ratenbegrenzung, Audit-Protokollierung, Trennung von Produktions- und Testumgebungen, das Prinzip der minimalen Rechte für unsere Mitarbeiter und regelmäßige Aktualisierungen unserer Systeme.

19. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

• Auskunft über die personenbezogenen Daten, die wir über Sie gespeichert haben (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17) – Ihr Konto können Sie in den Kontoeinstellungen selbst löschen,
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20) – Konversationen, Leads und FAQs können aus dem Dashboard exportiert werden,
• Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21),
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3), zum Beispiel über den Datenschutz-Dialog.

Zur Ausübung Ihrer Rechte schreiben Sie an [email protected]. Wir können Sie bitten, Ihre Identität zu bestätigen. Wenn Sie der Ansicht sind, dass wir Ihre Daten rechtswidrig verarbeiten, können Sie sich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist die Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, Österreich, Telefon +43 1 52 152-0, E-Mail [email protected], www.dsb.gv.at.

20. Automatisierte Entscheidungsfindung

Wir treffen keine ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Automatisierte Prüfungen wie die Prüfung geschäftlicher E-Mail-Adressen, die Spam-Bewertung und die E-Mail-Kategorisierung unterstützen lediglich Entscheidungen, die von unseren Kunden oder von uns überprüft werden; Sie können sich jederzeit an uns wenden, um ein Ergebnis von einer Person überprüfen zu lassen.

21. Minderjährige

ChatReact richtet sich an Unternehmen. Unsere Dienste dürfen nicht von Personen unter 18 Jahren genutzt werden, und wir erheben wissentlich keine Daten von Minderjährigen. Wenn Sie glauben, dass uns eine minderjährige Person personenbezogene Daten übermittelt hat, kontaktieren Sie uns bitte, damit wir sie löschen können.

22. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Dienste, unsere Anbieter oder die Rechtslage ändern. Die aktuelle Fassung mit Datum ist stets unter www.chatreact.ai/de/privacy abrufbar. Über wesentliche Änderungen, die bestehende Kunden betreffen, informieren wir Sie per E-Mail oder im Dashboard.