1. Verantwortlicher
Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Valente Ventures GmbH
Jahnstr. 62
60318 Frankfurt am Main
Deutschland
E-Mail: hello@valente.ventures
Telefon: +49 (0) 1520 / 8544 838
Ein Datenschutzbeauftragter ist nicht benannt, weil dafür keine Pflicht besteht (Art. 37 DSGVO, § 38 BDSG). Fragen zum Datenschutz gehen an hello@valente.ventures.
2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter
qapt.ai führt im Auftrag eines Unternehmens kurze Gespräche mit dessen Kunden, Interessenten oder Kollegen und gibt die Antworten als fertigen Datensatz zurück. Dabei sind zwei Rollen zu unterscheiden:
- Für die Website, das Onboarding und die Konten der Workspace-Inhaber sind wir Verantwortlicher. Dafür gilt diese Datenschutzerklärung.
- Für die Inhalte, die ein Unternehmen mit qapt bei seinen Kunden oder Kollegen erfasst (Gespräche, Sprachaufnahmen, hochgeladene Dokumente, Datensätze), ist das Unternehmen Verantwortlicher und wir sind sein Auftragsverarbeiter nach Art. 28 DSGVO. Wir verarbeiten diese Daten nur nach seinen Weisungen.
Wer einen Link von einem Unternehmen erhalten hat und Fragen zu seinen Antworten hat, wendet sich am besten zuerst an dieses Unternehmen. Anfragen, die bei uns eingehen, leiten wir an das Unternehmen weiter. Einen Vertrag zur Auftragsverarbeitung (AVV) stellen wir Unternehmen auf Anfrage an hello@valente.ventures bereit.
3. Wo die Daten verarbeitet werden
qapt.ai läuft vollständig auf Microsoft Azure. Vertragspartner ist die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als unser Auftragsverarbeiter (Microsoft Products and Services Data Protection Addendum). Wir nutzen:
- Hosting der Anwendung mit Datenbank, Dateispeicher und Serverprotokollen in der Region France Central (Paris).
- KI-Modelle (Azure OpenAI) für das Gespräch, das Lesen von Dokumenten und die Umwandlung von Sprache in Text in der Region Sweden Central, als Bereitstellung in der EU-Datenzone: Anfragen werden nur in Rechenzentren in der EU verarbeitet.
- Versand von E-Mails (Anmeldelinks und Erinnerungen) mit Datenspeicherort Europa.
Microsoft gibt an, dass Eingaben und Antworten der Azure-OpenAI-Modelle nicht zum Training von Modellen verwendet und nicht an OpenAI weitergegeben werden. Zur Erkennung von Missbrauch kann Microsoft Eingaben und Antworten für begrenzte Zeit innerhalb derselben Region speichern; nur bei einem Verdacht dürfen berechtigte Microsoft-Mitarbeitende sie einsehen.
Andere Dienstleister setzen wir nicht ein. Schriftarten und alle Dateien der Website kommen von unserem eigenen Server; beim Aufruf der Seite geht keine Anfrage an Google oder andere Dritte.
4. Besuch der Website
Beim Aufruf von qapt.ai verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Sie dienen der Auslieferung der Seite, der Sicherheit und der Abwehr von Missbrauch, zum Beispiel einer Begrenzung, wie oft von einer Adresse aus E-Mails angefordert werden können. Die IP-Adresse wird dafür nur im Arbeitsspeicher gehalten.
Serverprotokolle werden 30 Tage aufbewahrt. Sie enthalten keine Gesprächsinhalte und keine E-Mail-Adressen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
5. Cookies
qapt.ai setzt nur Cookies, die für den Dienst unbedingt erforderlich sind. Dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Es gibt keine Analyse-, Tracking- oder Werbe-Cookies und keine vergleichbaren Techniken.
- Ein Cookie, das diesen Browser wiedererkennt, solange ein Onboarding oder ein Gespräch über einen Link ohne Anmeldung läuft, damit niemand anderes es fortsetzen kann. Es enthält eine zufällige Kennung und wird 7 Tage gespeichert.
- Ein Cookie, das Workspace-Inhaber angemeldet hält: 30 Tage oder bis zur Abmeldung.
6. Onboarding und Workspace
Im Onboarding beschreibt ein Unternehmen im Gespräch, was es erfassen möchte; daraus entsteht sein Workspace. Dabei fallen an: die Angaben im Gespräch (zum Beispiel Name, Rolle, Unternehmen, Website, E-Mail-Adresse, auf Wunsch Telefonnummer), Sprachaufnahmen, wenn das Mikrofon genutzt wird, und hochgeladene Dokumente oder Vorlagen. Wird eine Website-Adresse genannt, liest qapt die öffentlich erreichbaren Seiten dieser Website, um Fragen vorauszufüllen.
Zur Anmeldung schicken wir einen Link und einen 6-stelligen Code an die E-Mail-Adresse; beide gelten 10 Minuten. Zu jeder Anmeldung speichern wir IP-Adresse und Browserkennung, um das Konto zu schützen; diese Angaben laufen mit der Anmeldung nach 30 Tagen ab.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Dienstes und Schritte vor einem Vertrag) und für die Schutzdaten zur Anmeldung Art. 6 Abs. 1 lit. f DSGVO.
7. Gespräche mit Kunden eines Unternehmens
Teilt ein Unternehmen einen Link, beantwortet die eingeladene Person dort Fragen schriftlich oder per Spracheingabe und kann Dokumente hochladen. qapt verarbeitet dafür die Antworten, Sprachaufnahmen, Dokumente, gegebenenfalls Name und E-Mail-Adresse, die das Unternehmen angegeben hat, und erstellt daraus einen Datensatz für das Unternehmen. Bleibt ein Gespräch stehen und ist eine E-Mail-Adresse bekannt, erinnert qapt nach 24 und 72 Stunden per E-Mail. Hat das Unternehmen eine eigene Adresse für die Übergabe eingerichtet (Webhook), wird der fertige Datensatz dorthin geschickt.
Die Antworten bleiben gespeichert, solange der Datensatz besteht, also bis das Unternehmen den Datensatz oder seinen Workspace löscht; eine feste Frist gibt es nicht. Diese Verarbeitung erfolgt im Auftrag des Unternehmens (siehe Abschnitt 2); die Rechtsgrundlage bestimmt das Unternehmen. Religionszugehörigkeit, Gesundheitsangaben, Passwörter und Kartennummern fragt qapt im Gespräch grundsätzlich nicht ab. Bankverbindungen, Steuer-Identifikationsnummern, Sozialversicherungsnummern sowie Pass- und Ausweisnummern werden nur in einem sicheren Feld eingegeben: Diese Angaben gehen verschlüsselt an qapt und werden verschlüsselt gespeichert, die KI liest sie nicht, und das Unternehmen sieht sie maskiert, bis es sie anzeigt; jedes Anzeigen wird protokolliert.
Hochgeladene Dokumente liest die KI vollständig. Vertrauliche Angaben wie eine IBAN oder die Steuer-Identifikationsnummer gehören deshalb in das sichere Feld, nicht in ein Dokument.
8. Kontakt per E-Mail
Wer uns an hello@valente.ventures schreibt, dessen Nachricht und Kontaktdaten verarbeiten wir, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Nachricht, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.
9. Einwilligung
Wo wir um eine Einwilligung bitten, ist Rechtsgrundlage Art. 6 Abs. 1 lit. a DSGVO; sie kann jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO). Derzeit bittet qapt.ai um keine Einwilligung, weil nichts verarbeitet wird, das eine erfordert. Den Zugriff auf das Mikrofon erlaubt der Browser nur auf Nachfrage, und die Spracheingabe ist freiwillig.
10. Speicherdauer
- Nicht abgeschlossenes Onboarding ohne Anmeldung: 7 Tage, mit allen Dateien.
- Abgeschlossenes Onboarding, dessen Workspace nie per Anmeldung übernommen wurde oder als „Das war ich nicht“ markiert wurde: 30 Tage.
- Sprachaufnahmen: nach 22 Tagen automatisch gelöscht, spätestens nach 30 Tagen endgültig fort. Der Text der Antwort bleibt im Gespräch.
- Workspace, Gespräche, Dokumente und Datensätze, auch die Antworten der Kunden eines Unternehmens: solange der Datensatz besteht, bis das Unternehmen ihn oder den ganzen Workspace löscht. Eine feste Frist gibt es nicht. Das Löschen des Workspace entfernt alle Gespräche, Datensätze, Dateien und das Konto.
- Gelöschte Dateien sind noch 7 Tage wiederherstellbar (Schutz vor versehentlichem Löschen) und dann endgültig fort. Das gilt auch für eine Sprachaufnahme, die eine vertrauliche Angabe wie eine IBAN oder eine Steuer-Identifikationsnummer enthielt: Sie wird sofort gelöscht und ist spätestens nach 7 Tagen endgültig fort. Schlägt das Löschen auch nach mehreren Versuchen fehl, entfernt die automatische Löschung aller Sprachaufnahmen sie spätestens nach 30 Tagen.
- Sicherungen der Datenbank: 7 Tage.
- Serverprotokolle: 30 Tage. Anmeldelink und Code: 10 Minuten. Anmeldung: 30 Tage.
Gesetzliche Aufbewahrungspflichten, etwa für Rechnungen, bleiben unberührt.
11. Übermittlung in Drittländer
Eine Übermittlung in Länder außerhalb der EU ist nicht vorgesehen. Alle genutzten Azure-Dienste laufen in Regionen in der EU. Microsoft verpflichtet sich mit der EU Data Boundary, Kundendaten dieser Dienste in der EU zu speichern und zu verarbeiten; Microsoft nennt dazu eng begrenzte Ausnahmen, etwa für Sicherheit und Support. Soweit dabei im Einzelfall Daten in die USA gelangen, ist Microsoft nach dem EU-U.S. Data Privacy Framework zertifiziert, und das Data Protection Addendum enthält die Standardvertragsklauseln der EU-Kommission.
12. Rechte betroffener Personen
Betroffene Personen haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine Einwilligung kann jederzeit widerrufen werden.
Eine Nachricht an hello@valente.ventures genügt. Betrifft die Anfrage ein Gespräch, das ein Unternehmen mit qapt geführt hat, leiten wir sie an dieses Unternehmen weiter und unterstützen es bei der Antwort.
Eine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO findet nicht statt. Die KI stellt Fragen und ordnet Antworten zu; was mit dem Datensatz geschieht, entscheidet das Unternehmen.
13. Beschwerde bei einer Aufsichtsbehörde
Jede betroffene Person kann sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1, 65189 Wiesbaden
Postfach 31 63, 65021 Wiesbaden
Telefon 0611 1408-0
datenschutz.hessen.de
14. Sicherheit
Verbindungen sind verschlüsselt (TLS). Die Datenbank ist aus dem Internet nicht erreichbar, Dateien liegen in einem privaten Speicher, Schlüssel in einem eigenen, geschützten Schlüsselspeicher. Jede Abfrage im Workspace prüft, dass die Daten zum angemeldeten Workspace gehören.
15. Änderungen
Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.
