Datenschutzerklärung

Der Website-Betreiber, der das Widget einbindet, ist der Verantwortliche für die Daten seiner Besucher und für den Inhalt seiner Website. Wir handeln als Auftragsverarbeiter im Auftrag des Betreibers, und Google Cloud ist Unterauftragsverarbeiter (Vertex AI Search / Discovery Engine und Gemini für Indexierung, Suche und Antwortgenerierung; Cloud Storage für die Zwischenablage beim Indeximport; Firestore für Konten, Konfiguration, Anfrage- und Auditprotokolle; Firebase Authentication / Identity Platform für Authentifizierung und Sitzungen). Für das eigene Konto des Betreibers (E-Mail, Zahlungen) sind wir der Verantwortliche.

Darüber hinaus verarbeiten wir den Anfragetext von Besuchern in begrenztem Umfang für eigene Zwecke — Qualitätskennzahlen und Missbrauchsschutz; in diesem eng begrenzten Teil handeln wir als eigenständig Verantwortlicher. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6(1)(f) GDPR) daran, den Dienst betriebsbereit, sicher und korrekt zu halten; wir haben eine Abwägung der berechtigten Interessen (LIA) durchgeführt, und dieses Interesse überwiegt nicht die Betroffenenrechte.

Zahlungen werden von Paddle als Merchant of Record abgewickelt: In Bezug auf die Zahlungstransaktion handelt Paddle als Merchant of Record und als eigenständig Verantwortlicher für Zahlungsdaten, nicht als unser Unterauftragsverarbeiter.

• Website-Inhalte — die öffentlichen Seiten des Betreibers werden indexiert, damit Antworten auf ihnen beruhen können.
• Besucheranfragen — der Fragetext wird zur Erstellung einer Antwort an Google Vertex/Gemini übermittelt.
• Technische Daten des Besuchers — die IP-Adresse wird nur vorübergehend im Arbeitsspeicher zum Zweck des Missbrauchsschutzes und der Ratenbegrenzung verarbeitet und wird nicht gespeichert, weder in Protokollen noch in einer Datenbank (Grundsatz der Datenminimierung).
• Nutzungskennzahlen — Anzahl der Anfragen und Antwortqualität (keine Inhalte über das erforderliche Maß hinaus).
• Betreiberkonto — E-Mail- und Abrechnungsdaten (Zahlungen werden von Paddle als Merchant of Record abgewickelt; wir speichern keine Kartendaten).

Unsere öffentliche Website kann Analyse-Cookies verwenden — diese werden nur mit Ihrer Einwilligung gesetzt; Einzelheiten finden Sie in der Cookie-Richtlinie.

Daten von Kindern. Der Dienst ist ein B2B-Produkt und richtet sich nicht an Kinder unter 16 Jahren.

Antwortgenerierung, Indexierung und unterstützende Verarbeitung laufen in der für den Dienst konfigurierten Google-Cloud-Region gemäß den Enterprise-Bedingungen von Google. Gemäß diesen Bedingungen verwendet Google die an Vertex AI und die Gemini API übermittelten Daten nicht zum Training seiner Modelle. Auch wir verwenden Ihre Inhalte oder Anfragen nicht zum Training von Modellen.

Der Betreiber des Dienstes ist in Israel niedergelassen. Übermittlungen personenbezogener Daten aus der EU nach Israel stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission für Israel; Übermittlungen an die Dienste von Google unterliegen dem Cloud Data Processing Addendum von Google und, soweit erforderlich, den Standard Contractual Clauses (SCC) und/oder dem EU-US Data Privacy Framework.

KI-Transparenz. Antworten werden von künstlicher Intelligenz auf Grundlage indexierter Inhalte erstellt; die Widget-Oberfläche weist darauf hin, dass die KI antwortet, und Antworten enthalten Links zu ihren Quellen.

• Google Cloud — Vertex AI Search (Discovery Engine) und Gemini — Indexierung, Suche und Antwortgenerierung.
• Google Cloud Storage — Zwischenspeicherung extrahierter Texte für den Import in den Index.
• Google Cloud Firestore — Betreiberkonten, Dienstkonfiguration, Anfrage- und Auditprotokolle.
• Firebase Authentication / Identity Platform — Kontoauthentifizierung und Sitzungsverwaltung.

Paddle verarbeitet Abonnements und Zahlungen als Merchant of Record und handelt in dieser Rolle als eigenständig Verantwortlicher und nicht als Unterauftragsverarbeiter.

Eine aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage erhältlich. Wir informieren im Voraus über geplante Änderungen unserer Unterauftragsverarbeiter und räumen die Möglichkeit ein, dagegen Widerspruch einzulegen.

Bevor Sie im Banner eine Auswahl treffen, arbeitet das Google-Tag mit abgelehnter Speicherung und kann cookielose technische Signale — etwa Seiten-URL, Verweisquelle, Einwilligungsstatus und das Vorhandensein von Anzeigenklick-Informationen — für aggregierte Berichte und Modellierung an Google LLC senden. Analyse- und Werbe-Cookies werden weder gesetzt noch gelesen. Grundlage dieser minimalen Verarbeitung ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), die Wirksamkeit unserer öffentlichen Website unter Anwendung der Datenminimierung zu messen.

Wenn Sie in Werbemessungs-Cookies einwilligen, erhält Google die Tatsache, dass eine Conversion stattgefunden hat, sowie die Kennung des vorangegangenen Anzeigenklicks. Dies dient ausschließlich der Messung der Leistung unserer Werbung. Rechtsgrundlage der vollständigen Messung ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit über den Link „Cookie-Einstellungen“ im Seitenfuß widerrufen. Wir aktivieren keine Werbepersonalisierung, und diese Daten werden nicht zur Profilbildung für Werbung auf anderen Websites verwendet.

Speicherfristen:

• IP-Adressen der Besucher — werden nicht gespeichert: Sie werden nur vorübergehend im Arbeitsspeicher zum Missbrauchsschutz verarbeitet und unmittelbar nach Bearbeitung der Anfrage verworfen.
• Anfragetext der Besucher — 90 days, danach wird er anonymisiert oder gelöscht; aggregierte Kennzahlen ohne personenbezogene Daten können länger aufbewahrt werden.
• Indexierungsartefakte im Zwischenspeicher — werden planmäßig gelöscht, in der Regel innerhalb von 7 days.
• Website-Index — solange das Projekt aktiv ist; wird ein Projekt geschlossen, werden der Index und die zugehörigen Ressourcen gelöscht.
• Kontodaten des Betreibers — solange das Konto aktiv ist; nach der Schließung werden sie gelöscht, vorbehaltlich gesetzlicher Aufbewahrungsfristen (zum Beispiel im Bereich Buchhaltung und Steuern).

Betroffene Personen können Auskunft über ihre Daten, deren Berichtigung, Löschung oder Einschränkung der Verarbeitung verlangen und der Verarbeitung widersprechen; nach der CCPA — Kenntnis der Datenkategorien verlangen, Löschung beantragen und einem „Verkauf" widersprechen (wir verkaufen keine Daten). Da der Betreiber in Israel niedergelassen ist, gilt zudem das Protection of Privacy Law (PPL) in der durch Amendment 13 geänderten Fassung: Rechte auf Auskunft und Berichtigung, Transparenzpflichten sowie die Meldung schwerwiegender Sicherheitsvorfälle an die Aufsichtsbehörde.

So stellen Sie eine Anfrage (DSAR). Anfragen zu Daten von Besuchern sind an den Website-Betreiber als Verantwortlichen zu richten — wir unterstützen ihn dabei als Auftragsverarbeiter (Auffinden und Löschen von Daten, Bereinigung von Protokollen, Löschung des Projekts). Anfragen zu Daten des Betreiberkontos senden Sie bitte über das Kontaktformular an uns. Wir beantworten Anfragen innerhalb der gesetzlich vorgesehenen Fristen (nach der GDPR in der Regel innerhalb von one month).

Wir können zwingende Pflichten aus GDPR/CCPA/PPL nicht vertraglich abbedingen — die Verantwortlichkeit richtet sich nach dem Gesetz.

Daten werden über TLS übertragen; der Zugriff über Service-Accounts folgt dem Prinzip der geringsten Rechte. Anfragen werden bereinigt und ratenbegrenzt, bevor ein kostenpflichtiger Dienst aufgerufen wird (Schutz vor Injection und Denial-of-Wallet). Projekte sind isoliert: Jedes läuft gegen seinen eigenen Index. Wenn aktiviert, wird Google reCAPTCHA Enterprise im optionalen Überwachungsmodus zur Erkennung von Bots und Missbrauch eingesetzt und kann Interaktionssignale des Besuchers gemäß den Datenschutzbestimmungen von Google verarbeiten; das Widget sendet möglicherweise kein Token.

Im Falle eines schwerwiegenden Sicherheitsvorfalls, der personenbezogene Daten betrifft, informieren wir die zuständige Behörde (in Israel die Privacy Protection Authority, PPA) sowie, soweit gesetzlich vorgeschrieben, die betroffenen Personen und den Website-Betreiber innerhalb der geltenden Fristen.

Datenschutz- und DSAR-Anfragen an den Beta-Dienst: senden Sie diese über das Kontaktformular.

Bei Anfragen zu Besucherdaten wenden Sie sich an den Betreiber der Kundenwebsite als Verantwortlichen.