Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Anbieter

Kundenchat24 — Nikita Geints

Anschrift

Östlicher Stadtgraben 27, 94469 Deggendorf, Deutschland

E-Mail

[email protected]

2. Erhobene Daten und Verarbeitungszwecke

Wir verarbeiten folgende Daten:

Beim Besuch der Website (Server-Logs)

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Browsertyp und Version

Zweck: Betrieb der Website, Fehleranalyse, Sicherheit gegen Angriffe. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle werden rollierend überschrieben (siehe Abschnitt 8).

Bei Registrierung

• E-Mail-Adresse
• Passwort (nur als bcrypt-Hash, niemals im Klartext)
• Firmenname — nur, wenn du ihn später in den Einstellungen selbst einträgst

Zweck: Bereitstellung des Kundenkontos.

Beim Chatbot-Einsatz

• Vom Endkunden eingegebene Nachrichten
• Konfigurationsentscheidungen (Farbe, Größe, etc.)
• Optional: Name, E-Mail, Telefon (nur wenn Kontaktformular ausgefüllt)

Zweck: Beantwortung von Anfragen, Erstellung von Angeboten.

Wichtig zum Gesprächsverlauf: Der Verlauf eines Chats wird nicht in unserer Datenbank gespeichert. Er liegt nur im Arbeitsspeicher unseres Servers, solange das Gespräch läuft, und ist spätestens beim nächsten Neustart gelöscht. Dauerhaft gespeichert werden nur die Anzahl der Gespräche pro Tag (ohne Inhalte) sowie technische Nutzungsdaten je Anfrage: Zeitpunkt, IP-Adresse und Anzahl der verbrauchten KI-Token. Zweck: Abrechnung und Schutz vor Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Bei einer Anfrage über den Handwerker-Assistenten (kundenchat24.de/<betrieb>)

Einige Handwerksbetriebe nutzen bei uns eine eigene Anfrage-Seite. Wenn du dort eine Anfrage stellst, verarbeiten wir:

• deine Problembeschreibung und die Kategorie der Arbeiten
• optional hochgeladene Fotos des Schadens
• Ort bzw. Postleitzahl und deine Wunschzeit
• deinen Namen und deine Telefonnummer

Zweck: Der Handwerksbetrieb erhält deine Anfrage per E-Mail und/oder Messenger-Nachricht und ruft dich zurück. Wir selbst führen keine Arbeiten aus und schließen keinen Vertrag mit dir. Empfänger: ausschließlich der Betrieb, dessen Anfrage-Seite du benutzt hast. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Speicherdauer: Fotos werden spätestens nach 90 Tagen automatisch gelöscht, die übrigen Angaben der Anfrage nach 12 Monaten. Ein Foto, das du hochlädst, ohne die Anfrage abzuschicken, wird nach 2 Tagen automatisch entfernt. Die Angabe ist freiwillig — ohne Telefonnummer kann dich der Betrieb aber nicht zurückrufen.

Beim Anfordern einer Demo (Formular auf der Startseite)

• Adresse deiner Website
• Deine E-Mail-Adresse
• Zeitpunkt der Anfrage und welches der beiden Formulare benutzt wurde

Zweck: Wir sehen uns deine Website an und antworten dir mit einem Vorschlag. Mehr fragen wir nicht ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf deine Anfrage hin). Es erfolgt kein Newsletter und keine Weitergabe an Dritte. Auf Zuruf an [email protected] löschen wir die Anfrage sofort.

Besuchsstatistik der Startseite

Wir zählen Aufrufe der Startseite. Dabei wird keine IP-Adresse gespeichert, sondern nur ein nicht rückrechenbarer Hashwert aus IP, Browserkennung und einem geheimen Schlüssel — damit können wir wiederkehrende von neuen Besuchern unterscheiden, dich aber nicht identifizieren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Reichweitenmessung ohne Personenbezug). Es werden dafür keine Cookies gesetzt.

3. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (z.B. Kundenkonto, Chatbot-Service)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse (Logs, Sicherheit, Fehleranalyse)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (z.B. Newsletter)

4. Auftragsverarbeiter und Drittlandtransfers

Wir setzen folgende Auftragsverarbeiter ein (Art. 28 DSGVO):

Anbieter	Zweck	Standort	Garantien
Anthropic, PBC	KI-Sprachmodell (Claude) für Chatbot-Antworten	USA	EU-Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO + DPA
MongoDB Atlas	Datenbank-Hosting (Nutzerkonten, Produkte, Bestellungen)	EU (Frankfurt)	Hosting innerhalb der EU, ISO 27001 zertifiziert
Cloudflare, Inc.	CDN, DDoS-Schutz, TLS-Terminierung	Global (EU-Server priorisiert)	EU-Standardvertragsklauseln + Cloudflare DPA
Spaceship Inc.	Domain-Registrar	USA	ICANN-akkreditiert, DPA verfügbar

Anthropic (USA): Der Text der jeweiligen Chat-Nachricht wird zur Erzeugung der Antwort an Anthropic in die USA übertragen. Nach den Commercial Terms von Anthropic werden über die Schnittstelle übermittelte Inhalte nicht zum Training von Modellen verwendet (Commercial Terms).

5. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies (Login-Session, CSRF-Schutz). Diese sind ohne Einwilligung nach § 25 Abs. 2 TDDDG zulässig.

• bl.sid — Login-Session. Wird nur gesetzt, wenn du dich anmeldest (HttpOnly, Secure, SameSite=Lax, Laufzeit 7 Tage).
• bl.csrf — Token zur Absicherung von Formular-Anfragen (Laufzeit 24 Stunden).

Es werden keine Marketing-/Tracking-Cookies ohne deine ausdrückliche Einwilligung gesetzt.

6. Kontaktformular & Chatbot

Wenn du das Kontaktformular oder den Chatbot verwendest, verarbeiten wir die von dir eingegebenen Informationen (Name, E-Mail, Nachricht, Produktwünsche) zur Bearbeitung deiner Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

Speicherdauer: Bis zum Abschluss deiner Anfrage, danach 6 Monate zur Nachverfolgung. Danach Löschung, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

7. Konto und Login

Bei Registrierung speichern wir E-Mail und Passwort-Hash (bcrypt). Wir empfehlen ein einzigartiges, starkes Passwort.

Anmeldeversuche werden zur Sicherheit protokolliert (IP-Adresse, Browserkennung, Zeitstempel) — das schützt dein Konto vor fremden Zugriffsversuchen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Zur Speicherdauer siehe Abschnitt 8.

8. Speicherdauer

• Gesprächsverlauf im Chat: wird nur so lange gespeichert, wie das Gespräch läuft, und automatisch gelöscht — im Produkt-Chat nach 15 Minuten, im Handwerker-Assistenten nach 60 Minuten ohne neue Nachricht.
• Handwerker-Anfragen: Fotos 90 Tage, die übrigen Angaben der Anfrage 12 Monate — danach automatische Löschung.
• Kontodaten: bis zur Kündigung deines Kontos; danach löschen wir sie auf Anfrage sofort.
• Demo-Anfragen (Formular Startseite): bis deine Anfrage erledigt ist, längstens 6 Monate.
• Technische Nutzungs- und Sicherheitsprotokolle (Zeitpunkt, IP, Token-Verbrauch, Anmeldeversuche): rollierend — die ältesten Einträge werden automatisch überschrieben, sobald der reservierte Speicher voll ist.
• Bestellungen: 10 Jahre (gesetzliche Aufbewahrungspflicht § 257 HGB, § 147 AO)

Feste Löschfristen für die technischen Protokolle legen wir derzeit verbindlich fest. Unabhängig davon gilt: Auf Zuruf an [email protected] löschen wir deine Daten sofort und vollständig.

9. Deine Rechte als Betroffener

Du hast folgende Rechte uns gegenüber:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung deiner Rechte schreibe an: [email protected]

Zuständige Aufsichtsbehörde

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Friedrichstr. 219, 10969 Berlin
datenschutz-berlin.de

10. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen (TOM) ein:

• TLS 1.3 Verschlüsselung (HTTPS-only via HSTS)
• Passwort-Hashing mit bcrypt (Cost 12)
• Rate-Limiting gegen Brute-Force-Angriffe
• CSRF- und XSS-Schutz (Helmet, Content-Security-Policy)
• NoSQL-Injection-Schutz (express-mongo-sanitize)
• Tägliche verschlüsselte Backups
• Verhaltensbasierte Angriffserkennung (CrowdSec)
• Server-Standort Deutschland

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Rechtslage oder Funktionsweise ändert. Bei wesentlichen Änderungen informieren wir registrierte Nutzer per E-Mail.