Datenschutzerklärung

1. Verantwortlicher

SG5 Digital Solutions — Ing. Simon Gorski, MA, Währinger Strasse 80-82/1, 1180 Wien, Österreich, [email protected], +43 677 62 999 140. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich; Anfragen richten Sie bitte an die genannte Adresse.

2. Zwei Rollen: für wen wir welche Daten verarbeiten

InsightHub wird von Unternehmen („Kunden“) eingesetzt, um deren Website-Besucher, Käufer, Interessenten und Anrufer („Endnutzer“) zu beraten. Dabei sind zwei Rollen zu unterscheiden:

• Wir als Verantwortlicher: für Daten von Besuchern unserer eigenen Seiten (Landing Page, Hilfe), von Interessenten (Kontakt- und Testformulare) und von Nutzern der Plattform my.insighthubapp.com (Kundenkonten, Abrechnung, Support).
• Wir als Auftragsverarbeiter: für alle Daten, die Endnutzer über das Widget, WhatsApp, den Telefonassistenten oder die Plugins eines Kunden erzeugen, sowie für die vom Kunden synchronisierten Shop-, Produkt-, Bestell- und Lead-Daten. Verantwortlicher ist hier der jeweilige Kunde; Grundlage ist unser Auftragsverarbeitungsvertrag. Endnutzer wenden sich mit ihren Anliegen bitte an das Unternehmen, dessen Website oder Shop sie genutzt haben — wir unterstützen den Kunden bei der Beantwortung.

3. Besuch unserer Seiten

Beim Aufruf der Seiten unter www.insighthubapp.com und my.insighthubapp.com verarbeiten unser Hosting-Anbieter und unser Netzwerk-Dienstleister technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser- und Betriebssysteminformationen, Referrer) in Server-Protokollen zur Auslieferung, Absicherung und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Protokolle werden nach spätestens 90 Tagen gelöscht. Wir setzen keine Analyse- oder Marketing-Tracker ein. Schriftarten werden von unseren eigenen Servern geladen.

Die Hilfe-Seiten speichern keine Cookies. Eingebettete Produktvideos werden erst nach Klick von YouTube geladen (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4) im erweiterten Datenschutzmodus; dabei erhält YouTube Ihre IP-Adresse und kann Cookies setzen (Art. 6 Abs. 1 lit. a DSGVO durch das aktive Abspielen). Google ist nach dem EU-US Data Privacy Framework zertifiziert.

4. Kontakt- und Testanfragen

Angaben aus Kontakt- oder Testformularen (Name, E-Mail, Unternehmen, Shop-URL, Plattform, Nachricht) verarbeiten wir zur Bearbeitung der Anfrage und zur Einrichtung der Testumgebung (Art. 6 Abs. 1 lit. b DSGVO). Die Zustellung der Formular-E-Mails erfolgt über den E-Mail-Dienst Postmark (ActiveCampaign, LLC, USA) auf Basis von Standardvertragsklauseln und der Zertifizierung nach dem EU-US Data Privacy Framework. Wir löschen Anfragen, sobald kein Vertrag zustande kommt und keine Aufbewahrungspflicht besteht, spätestens nach zwölf Monaten.

5. Kundenkonto und Abrechnung (my.insighthubapp.com)

• Konto: Name, E-Mail-Adresse, Passwort (als Hash), optional Zwei-Faktor-Geheimnis, Rolle, Sprache, Anmeldezeitpunkte und sicherheitsrelevante Protokolle (Art. 6 Abs. 1 lit. b DSGVO). Die Anwendung setzt technisch notwendige Cookies (Sitzung, CSRF-Schutz); keine Tracking-Cookies.
• Abrechnung: Rechnungs- und Zahlungsdaten verarbeitet unser Zahlungsdienstleister Stripe Payments Europe, Ltd. (Dublin, Irland); Kartendaten erreichen unsere Systeme nicht. Rechnungsdaten bewahren wir gemäss § 132 BAO sieben Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).
• System-E-Mails (Einladungen, Berichte, Benachrichtigungen) versenden wir über Postmark (siehe Ziff. 4).
• Support: Kommunikation per E-Mail oder Ticket verarbeiten wir zur Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). Einer Fehlermeldung aus der Anwendung werden auf Wunsch Diagnosedaten beigefügt (aufgerufene Seite, Version, Browser, die letzten Fehlermeldungen und fehlgeschlagenen Anfragen mit Statuscode und Anfrage-Kennung – keine Eingaben oder Inhalte – sowie ein Bildschirmfoto, das Sie vor dem Senden sehen); diese Daten bleiben in unseren Systemen.

Elektronische Unterzeichnung des Auftragsverarbeitungsvertrags. Auf der AVV-Seite können Sie den Vertrag elektronisch unterzeichnen. Dafür betreiben wir den Signaturdienst DocuSeal selbst (sign.sg5.biz). Verarbeitet werden Firmenname, Name der unterzeichnenden Person, E-Mail-Adresse, Geschäftsadresse, die Signatur, der Zeitpunkt sowie die IP-Adresse im Prüfprotokoll des Dokuments. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsabschluss). Das unterzeichnete Dokument bewahren wir für die Dauer der Geschäftsbeziehung und anschliessend gemäss den gesetzlichen Aufbewahrungsfristen auf.

6. Was InsightHub im Auftrag unserer Kunden verarbeitet

Die folgenden Verarbeitungen finden nur statt, wenn der Kunde die jeweilige Funktion aktiviert. Verantwortlicher ist der Kunde; wir verarbeiten nach dessen Weisung (Art. 28 DSGVO).

• Chat-Widget: Nachrichten der Endnutzer und Antworten des Assistenten, Zeitpunkt, Sprache, ggf. vom Kunden übergebene Kennungen (z. B. Kunden-ID). Im Browser speichert das Widget lediglich die Sprachwahl und den Anzeigezustand (Local Storage) sowie eine Sitzungsmarkierung für die Kampagnenzuordnung (Session Storage); es setzt keine Cookies.
• KI-Verarbeitung: Zur Beantwortung werden Nachrichten und die relevanten Wissensdaten an ein Sprachmodell übergeben. Standardmässig ist dies der Azure OpenAI Service von Microsoft (Microsoft Ireland Operations Ltd.) mit Verarbeitung ausschliesslich in der Azure-Region Schweden-Mitte (EU); die Suche nutzt Embeddings von Mistral AI (Paris, Frankreich, EU). Die Modelle werden nicht mit Kundendaten trainiert. Hinterlegt ein Kunde eigene Schlüssel eines anderen Anbieters (z. B. OpenAI), erfolgt die Verarbeitung dort in seiner Verantwortung.
• Kampagnen-Zuordnung: UTM-Parameter, Landing-Page, Referrer, Zeitpunkt und eine zufällige Besucherkennung, um Anfragen einer Kampagne zuzuordnen.
• Leads und Kontakte: vom Endnutzer oder vom Kunden eingegebene Kontaktdaten (Name, E-Mail, Telefon, Anliegen, benutzerdefinierte Felder), Gesprächsverlauf, Status, Notizen sowie Dokumente, die der Kunde zu einem Lead ablegt. Dokumente liegen im Objektspeicher der Hetzner Online GmbH (Falkenstein, Deutschland), sofern der Kunde keinen eigenen Speicher (Nextcloud, S3, SFTP) hinterlegt.
• WhatsApp-Kanal (Add-on): Telefonnummer, Profilname und Nachrichteninhalte der WhatsApp-Kommunikation, übermittelt über die WhatsApp Cloud API der Meta Platforms Ireland Ltd. (Dublin). Für die Übermittlung innerhalb von WhatsApp gelten die Datenschutzhinweise von WhatsApp; der Kunde ist für seinen WhatsApp-Business-Account verantwortlich.
• Telefonassistent InsightHub Voice (Add-on): Rufnummer des Anrufers, Zeitpunkt, Dauer und das Textprotokoll des Gesprächs. Gespräche werden nicht als Audio aufgezeichnet. Die Telefonie erfolgt über Twilio Ireland Ltd. (Dublin), die Umwandlung von Sprache in Text und zurück über Deepgram, Inc. (USA, Standardvertragsklauseln). Rückrufwünsche werden als Lead gespeichert; Weiterleitungen erfolgen an vom Kunden hinterlegte Rufnummern.
• Shop-Daten: Produkte, Inhalte, Kategorien sowie — je nach Funktion — Kunden- und Bestelldaten (Name, E-Mail, Bestellnummer, Positionen, Status), die der Kunde aus seinem Shop-System synchronisiert.
• Bewertungen und Umfragen: E-Mail-Adresse und Name für Einladungen, Antworten, Bewertungen und Freitexte; Einladungen enthalten einen Abmeldelink. Auf Wunsch des Kunden importieren wir öffentliche Google-Bewertungen über die Google-Schnittstellen (Google Ireland Limited).
• Terminbuchung (Google Kalender): Verbindet der Kunde seinen Google Kalender, liest InsightHub ausschließlich die Belegt-Zeiten (Beginn und Ende, keine Inhalte) des gewählten Kalenders, um freie Termine anzubieten, und legt die über InsightHub gebuchten Termine dort als Termin an bzw. löscht sie bei Absage. Weitere Kalenderinhalte werden nicht gelesen oder gespeichert; die Zugangsdaten (Refresh-Token) werden verschlüsselt gespeichert und können jederzeit in den Einstellungen getrennt werden. Die Nutzung von Google-Nutzerdaten erfolgt gemäß der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.
• Warenkorb-Erinnerungen: Warenkorb (Artikel, Wert), E-Mail-Adresse, ggf. Name und Telefonnummer. Erinnerungen werden nur nach ausdrücklicher Einwilligung des Käufers versendet (Art. 6 Abs. 1 lit. a DSGVO); Einwilligungstext und Zeitpunkt werden protokolliert, jede E-Mail enthält einen Abmeldelink, Warenkörbe werden nach der vom Kunden konfigurierten Frist (Standard 60 Tage) gelöscht.
• Helpdesk: Anliegen, E-Mail-Adresse und Verlauf von Support-Tickets, die Endnutzer über das Widget eröffnen.

7. Empfänger und Auftragsverarbeiter

Mit allen Dienstleistern bestehen Verträge zur Auftragsverarbeitung. Eine Weitergabe zu Werbezwecken oder ein Verkauf von Daten findet nicht statt. Behörden erhalten Daten nur bei gesetzlicher Verpflichtung.

8. Übermittlung in Drittländer

Hosting und KI-Verarbeitung erfolgen in der EU. Für die in Ziff. 7 genannten Dienstleister mit Sitz oder Verarbeitung in den USA stützen wir die Übermittlung auf Angemessenheitsbeschlüsse (EU-US Data Privacy Framework) bzw. die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) sowie ergänzende Massnahmen wie Transportverschlüsselung.

9. Speicherdauer

• Konto- und Vertragsdaten: für die Vertragsdauer; danach Löschung nach 30 Tagen, soweit keine Aufbewahrungspflichten bestehen.
• Im Auftrag verarbeitete Daten (Chats, Leads, Protokolle, Shop-Daten): für die Vertragsdauer bzw. bis zur Löschung durch den Kunden; vollständige Löschung spätestens 30 Tage nach Vertragsende. Kunden können Daten jederzeit einzeln löschen.
• Server-Protokolle: bis 90 Tage. Warenkörbe: nach konfigurierter Frist (Standard 60 Tage). Rechnungsdaten: sieben Jahre.
• Backups: verschlüsselt, rollierend, Löschung innerhalb der Backup-Rotation.

10. Datensicherheit

Transportverschlüsselung (TLS) auf allen Verbindungen, Verschlüsselung gespeicherter Zugangsdaten und Schlüssel, rollenbasierte Zugriffsrechte, Zwei-Faktor-Authentifizierung, logische Mandantentrennung, verschlüsselte Backups sowie Protokollierung sicherheitsrelevanter Vorgänge. Details enthält Anlage 2 des Auftragsverarbeitungsvertrags.

11. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen. Wenden Sie sich dazu an [email protected]. Betrifft Ihr Anliegen die Website oder den Shop eines unserer Kunden, leiten wir es an diesen weiter oder unterstützen ihn bei der Beantwortung. Sie haben ausserdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren, in Österreich bei der Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

12. Keine automatisierte Entscheidungsfindung

InsightHub trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO. Der Assistent beantwortet Fragen und nimmt Anliegen auf; Entscheidungen über Verträge, Preise oder Ansprüche trifft der jeweilige Kunde.

13. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unser Angebot, unsere Dienstleister oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie unter dieser Adresse; wesentliche Änderungen teilen wir Kunden per E-Mail oder im Kundenkonto mit.