Daten­schutz­erklärung

A. Verantwortliche Stelle

Shibo Call
Inh. Nikita Ursulian
Höhenweg 2
84066 Mallersdorf-Pfaffenberg
Deutschland
E-Mail: webmaster@shibo-call.de

B. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer KI-Telefonie-Leistungen erforderlich ist.

• Art. 6 Abs. 1 lit. a DSGVO: Verarbeitung auf Basis Ihrer Einwilligung.
• Art. 6 Abs. 1 lit. b DSGVO: Verarbeitung zur Erfüllung eines Vertrags.
• Art. 6 Abs. 1 lit. f DSGVO: Verarbeitung zur Wahrung berechtigter Interessen.

C. Hosting (Cloudflare & Render)

Unsere Website wird über Cloudflare Pages (USA) bereitgestellt und durch Cloudflares CDN sowie Sicherheitsdienste geschützt. Das Backend läuft bei Render (USA). Mit beiden Anbietern bestehen AVV inkl. EU-Standardvertragsklauseln gemäß Art. 46 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

C2. Server-Protokolle

Beim Aufruf unserer Website und bei jeder Anfrage an unsere Schnittstelle verarbeiten unsere Dienstleister technisch notwendige Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browsertyp und Statuscode. Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Diese Protokolle werden von den Anbietern nach kurzer Zeit automatisch gelöscht.

Zusätzlich protokollieren wir administrative Zugriffe auf Kundenkonten (Zeitpunkt, handelndes Konto, Art der Änderung, IP-Adresse) zur Erfüllung unserer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO. Betroffen ist jeweils das handelnde Konto: in der Regel eines unserer Administratorkonten — und dann, wenn ein Kunde eine Aktion selbst auslöst (Auskunft oder Löschung zu einer Rufnummer, Pausieren seines Assistenten), sein eigenes Kundenkonto. Anrufer sind davon nicht betroffen. Festgehalten werden die Art der Änderung und die Namen betroffener Felder, nicht deren Inhalte; Rufnummern nur maskiert. Speicherdauer: 12 Monate. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Um Anmeldeversuche und Aufrufe unserer Schnittstelle zu begrenzen und damit das Durchprobieren von Passwörtern zu verhindern, speichern wir kurzzeitig Zählerstände zu einer IP-Adresse beziehungsweise zu einer Prüfsumme der E-Mail-Adresse. Diese Einträge werden mit dem Ende des jeweiligen Zeitfensters automatisch gelöscht, spätestens nach einer Stunde. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO i. V. m. Art. 32 DSGVO.

C3. Zwei-Faktor-Anmeldung

Für Konten in unserem Dashboard bieten wir eine Zwei-Faktor-Anmeldung an. Sie ist freiwillig und lässt sich jederzeit wieder abschalten. Wird sie eingeschaltet, speichern wir dazu ein verschlüsseltes Geheimnis (AES-256-GCM) für die Erzeugung der Einmalcodes, Prüfsummen von zehn Ersatzcodes, den Zeitpunkt der Aktivierung sowie den zuletzt verwendeten Zeitzähler, damit derselbe Code nicht zweimal gilt.

Die Einmalcodes werden nach dem offenen Verfahren TOTP (RFC 6238) auf Ihrem eigenen Gerät erzeugt. Es ist kein externer Anmeldedienst beteiligt; die Daten verlassen unsere Datenbank nicht. Das Geheimnis wird Ihnen einmalig bei der Einrichtung angezeigt und danach nicht wieder herausgegeben.

Beim Abschalten und beim Löschen des Kontos werden diese Daten vollständig entfernt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO in Verbindung mit Art. 32 DSGVO (Sicherheit der Verarbeitung).

D. Datenbank (MongoDB)

Account- und Buchungsdaten werden bei MongoDB Atlas gespeichert. Es besteht ein AVV inkl. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

E. Anrufverarbeitung (Twilio)

Für Telefonnummern und Anrufverarbeitung nutzen wir Twilio (USA). Verbindungsdaten und Audiostreams werden zur Vertragserfüllung verarbeitet. Mit Twilio besteht ein AVV inkl. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

F. Sprachsynthese (ElevenLabs)

Zur Sprachein- und -ausgabe während des Telefonats wird der Audiostream in Echtzeit an ElevenLabs übermittelt. Eine Audioaufzeichnung findet nicht statt. Es besteht ein AVV inkl. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

G. Speicherdauer & automatisierte Entscheidungsfindung bei Anrufdaten

Wir zeichnen Telefonate nicht auf und speichern keine Gesprächsinhalte. Es werden weder Tonaufnahmen noch Transkripte, Zusammenfassungen oder Stimmungsanalysen gespeichert. Eine KI-Auswertung von Gesprächsinhalten findet nicht statt.

Gespeichert werden ausschließlich:

• Termindaten, die Sie im Gespräch ausdrücklich angeben (Name, Rufnummer, Datum, Uhrzeit) – zur Durchführung des Termins. Diese werden nach 90 Tagen automatisiert anonymisiert.
• Anwesenheitsstatus des Termins (wahrgenommen, nicht wahrgenommen, nicht bewertet). Dieser Wert wird ausschließlich vom angerufenen Betrieb im Dashboard gesetzt, nicht vom KI-Assistenten, und dient der Terminverwaltung. Er wird mit dem Termin gelöscht bzw. anonymisiert. Eine Bewertung oder Auswahl von Anrufern auf dieser Grundlage findet nicht statt.
• Eine technische Zuordnung des laufenden Anrufs – Ihre Rufnummer, eine Anrufkennung und die Kennung des angerufenen Betriebs. Sie stellt sicher, dass ein Termin nur im Kalender des tatsächlich angerufenen Betriebs angelegt werden kann, und begrenzt die Zahl der Anrufe je Rufnummer, um Missbrauch zu unterbinden (Art. 32 DSGVO, Sicherheit der Verarbeitung). Dieser Eintrag wird automatisch nach zwei Stunden gelöscht, unabhängig davon, ob ein Termin zustande kam. Rufen Sie mit unterdrückter Rufnummer an, wird keine Nummer gespeichert.
• Einen Rückrufwunsch, wenn der Assistent Ihr Anliegen nicht abschließen kann und Sie einen Rückruf wünschen. Gespeichert werden dazu Ihre Rufnummer, Ihr Name, sofern Sie ihn nennen, der Zeitpunkt sowie eine von vier festen Anlasskategorien (Terminwunsch, Preisauskunft, Reklamation, Sonstiges). Diese Kategorie bezeichnet den Anlass in einem Wort; der Inhalt Ihres Gesprächs wird auch hier nicht gespeichert, es gibt kein Freitextfeld dazu. Der Eintrag wird nach 90 Tagen automatisch vollständig gelöscht und kann vom angerufenen Betrieb jederzeit vorher entfernt werden. Ohne Rufnummer entsteht kein Eintrag.
• Anonyme Statistikwerte pro Tag: Anzahl und Gesamtdauer der Anrufe, die Zahl der Anrufe je Stunde sowie die Zahl bestimmter Vorgänge (gebuchte, verschobene und abgesagte Termine, Rückrufwünsche je Anlasskategorie, Weiterleitungen, Fragen nach der Warenverfügbarkeit). Es sind reine Zähler – ohne Wortlaut, Namen oder Rufnummern und ohne Bezug zu einem einzelnen Gespräch –, ausschließlich zur Abrechnung und zur Anzeige im Kundendashboard.

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Der KI-Assistent nimmt lediglich Terminwünsche entgegen; auf Wunsch werden Sie jederzeit an einen Menschen weitergeleitet.

G2. Rolle bei Anrufen unserer Geschäftskunden

Wenn Sie bei einem Unternehmen anrufen, das Shibo Call einsetzt, ist dieses Unternehmen der Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Wir handeln insoweit ausschließlich als Auftragsverarbeiter nach Art. 28 DSGVO und verarbeiten die Daten nur nach dessen Weisung. Betroffenenrechte machen Sie bitte gegenüber dem angerufenen Unternehmen geltend; wir unterstützen dieses dabei. Für unsere Website und die Konten unserer Geschäftskunden sind wir selbst Verantwortlicher.

G3. E-Mail-Versand (Resend)

Systemnachrichten wie Passwort-Zurücksetzungen versenden wir über Resend. Verarbeitet werden dabei E-Mail-Adresse und Nachrichteninhalt. Es besteht ein AVV inkl. EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

G4. Hinweis auf KI-Einsatz

Am Telefon spricht ein KI-Assistent. Darauf werden Sie zu Beginn jedes Gesprächs hingewiesen (Art. 50 Abs. 1 KI-Verordnung). Auf Wunsch werden Sie jederzeit an eine Mitarbeiterin oder einen Mitarbeiter weitergeleitet.

G5. Anfragen über die Website

Wenn Sie unser Kontaktformular (/kontakt) oder das Formular „Demo anfragen“ nutzen, verarbeiten wir die dort eingegebenen Angaben, um Ihre Anfrage zu beantworten: Name, Betrieb, Rolle, E-Mail-Adresse sowie – bei Demo- und Testphasen-Anfragen erforderlich, sonst freiwillig – die Telefonnummer nebst gewünschter Erreichbarkeit sowie – freiwillig – die geschätzten Anrufe pro Woche, das gewählte Anliegen und Ihre Nachricht. Der Versand an unser Postfach erfolgt über Resend (siehe G3). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zur Vertragsanbahnung, sonst Art. 6 Abs. 1 lit. f DSGVO.

Ihre Angaben werden nicht in einer Datenbank gespeichert, sondern ausschließlich per E-Mail übermittelt; in unseren Betriebsprotokollen wird nur das gewählte Anliegen festgehalten, keine personenbezogenen Angaben. Wir löschen die Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen, spätestens nach zwölf Monaten. Eine Weitergabe zu Werbezwecken findet nicht statt.

Nach dem Absenden erhalten Sie eine automatische Eingangsbestätigung an die angegebene Adresse. Sie enthält keine Ihrer Angaben, sondern nur das gewählte Anliegen und den Hinweis, wie Sie uns erreichen.

Zum Schutz vor automatisierten Masseneinsendungen enthält das Formular ein für Menschen unsichtbares Feld, es wird die Bearbeitungsdauer des Formulars ausgewertet, und die Zahl der Einsendungen wird je IP-Adresse und je E-Mail-Adresse begrenzt (Zählerstände wie unter C2 beschrieben, längstens eine Stunde). Eine darüber hinausgehende Auswertung Ihres Verhaltens findet nicht statt.

G6. Newsletter

Sie können unseren Newsletter unter /newsletter bestellen. Wir verwenden dafür das Double-Opt-In-Verfahren: Nach der Eingabe Ihrer Adresse senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst wenn Sie darin bestätigen, nehmen wir die Adresse in den Verteiler auf. Bestätigen Sie nicht, wird die Adresse nach sieben Tagen automatisch gelöscht.

Verarbeitet werden: Ihre E-Mail-Adresse, der Zeitpunkt und die IP-Adresse von Anmeldung und Bestätigung, Ihr Browserkennzeichen (gekürzt) sowie die Fassung des Einwilligungstextes, dem Sie zugestimmt haben. Die letzten vier Angaben dienen ausschließlich dem Nachweis Ihrer Einwilligung, zu dem wir nach Art. 7 Abs. 1 DSGVO verpflichtet sind. Weitere Angaben erheben wir nicht — das Formular hat ein einziges Feld, wir fragen weder Namen noch Unternehmen ab.

Rechtsgrundlage für den Versand ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, für den Nachweis unser berechtigtes Interesse bzw. unsere rechtliche Verpflichtung nach Art. 6 Abs. 1 lit. f und lit. c DSGVO.

Sie können die Einwilligung jederzeit widerrufen. In jeder E-Mail steht ein Abmeldelink; zusätzlich unterstützen unsere Mails die Abmeldefunktion Ihres E-Mail-Programms. Eine formlose Nachricht an uns genügt ebenfalls. Nach dem Widerruf löschen wir Ihre Adresse. Es verbleiben lediglich ein nicht rückrechenbarer Prüfwert Ihrer Adresse sowie die Zeitpunkte von Anmeldung, Bestätigung und Abmeldung — als Nachweis, dass eine Einwilligung vorlag und wann sie endete. Auch diese Angaben werden nach drei Jahren automatisch gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Keine Erfolgsmessung. Unsere Newsletter enthalten keine Zählpixel und keine nachverfolgten Links. Wir erheben nicht, ob und wann Sie eine E-Mail öffnen oder worauf Sie klicken. Der Versand erfolgt über Resend (siehe G3), die Speicherung in unserer Datenbank (siehe D).

G7. Ansprache von Betrieben per Post

Wir sprechen Betriebe in unserer Region auch per Brief an. Die Anschriften stammen aus öffentlich zugänglichen Unternehmensverzeichnissen der jeweiligen Gemeinde. Verarbeitet werden Firmenname, Anschrift, die im Verzeichnis veröffentlichte Telefonnummer und die Branche. Da viele Handwerksbetriebe unter dem Namen ihrer Inhaberin oder ihres Inhabers geführt werden, kann es sich dabei um personenbezogene Daten handeln.

Rechtsgrundlage ist unser berechtigtes Interesse an der Ansprache regionaler Betriebe (Art. 6 Abs. 1 lit. f DSGVO); Direktwerbung kann nach Erwägungsgrund 47 ein solches Interesse darstellen. Da wir die Daten nicht bei Ihnen selbst erhoben haben, informieren wir Sie hierüber spätestens mit dem ersten Schreiben (Art. 14 Abs. 3 lit. b DSGVO); der entsprechende Hinweis steht im Fuß jedes Briefes.

Sie können der Verwendung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO) — ein Anruf oder eine kurze E-Mail genügt, eine Begründung ist nicht nötig. Wir löschen die Anschrift dann und schreiben Sie nicht erneut an. Ohne Widerspruch löschen wir die Daten mit dem Ende der jeweiligen Aktion, spätestens nach zwölf Monaten. Eine Weitergabe an Dritte findet nicht statt; die Liste verlässt unseren Rechner nicht.

G8. Gespräche vor Ort und Einwilligung in Rückrufe

Sprechen wir persönlich mit Ihnen — etwa in Ihrem Geschäft oder an einem Marktstand —, notieren wir danach, was für die weitere Betreuung nötig ist: Firma, Anschrift und Telefonnummer des Betriebs, den Namen Ihrer Ansprechperson, Zeitpunkt und Ergebnis des Gesprächs, genannte Einwände in festen Kategorien (etwa „Preis“ oder „Datenschutz“) und eine kurze Notiz. Rechtsgrundlage ist unser berechtigtes Interesse an der Anbahnung eines Vertrags und an der Ansprache regionaler Betriebe (Art. 6 Abs. 1 lit. f DSGVO).

Erlauben Sie uns, Sie anzurufen oder Ihnen E-Mails zu senden, halten wir diese Einwilligung mit Datum, Uhrzeit, dem Namen der zustimmenden Person, dem Anlass und dem Wortlaut unserer Frage fest. Das dient ausschließlich dem Nachweis, zu dem wir als Werbende verpflichtet sind (§ 7 UWG; Art. 6 Abs. 1 lit. c und f DSGVO). Sie können die Einwilligung jederzeit widerrufen — ein Satz am Telefon oder eine kurze E-Mail genügt. Die Rechtmäßigkeit der bis dahin erfolgten Ansprache bleibt unberührt.

Die Angaben liegen ausschließlich auf einem Rechner in unserem Betrieb — nicht bei einem Dienstleister und nicht in einer Cloud; eine Weitergabe findet nicht statt. Wir löschen sie zwölf Monate nach dem letzten Kontakt, wenn kein Vertrag zustande kommt. Widersprechen Sie der Ansprache (Art. 21 Abs. 2 DSGVO, siehe unten), löschen wir Anschrift und Kontaktdaten sofort; es bleiben nur der Firmenname, das Datum und ein nicht rückrechenbarer Prüfwert der Anschrift, damit wir Sie nicht erneut ansprechen, sowie ein etwaiger Einwilligungsnachweis — beides für drei Jahre.

H. Zahlungsabwicklung (Stripe)

Zahlungen werden über Stripe (Irland) abgewickelt. Stripe verarbeitet Zahlungsdaten eigenverantwortlich. Ein AVV ist vorhanden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

I. Kalender-Integration (Google)

Bei freiwilliger Verknüpfung Ihres Google Kalenders speichern wir ein Authentifizierungs-Token für automatische Terminbuchungen. Das Token wird verschlüsselt abgelegt (AES-256-GCM). Widerruf jederzeit im Dashboard möglich. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

Ist der Kalender verknüpft, übermitteln wir die Termindaten — Name und Rufnummer der anrufenden Person sowie Datum und Uhrzeit — an Google (USA), damit der Termin im Kalender des Betriebs erscheint. Umgekehrt lesen wir bestehende Termine, um bereits belegte Zeiten nicht erneut zu vergeben. Mit Google besteht ein AVV inkl. EU-Standardvertragsklauseln. Verantwortlich für diese Verknüpfung ist der angerufene Betrieb; er entscheidet über ihre Einrichtung.

J. Cookies

Unsere Website setzt aktuell keine Analyse- oder Marketing-Cookies ein. Es werden ausschließlich technisch notwendige Cookies bzw. vergleichbare Technologien verwendet, soweit dies für den Betrieb der Website erforderlich ist. Sollten künftig Analyse- oder Marketing-Tools eingesetzt werden, wird diese Datenschutzerklärung entsprechend ergänzt und eine Einwilligung über ein Cookie-Consent-Tool eingeholt.

K. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) – zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA)

Widerspruchsrecht (Art. 21 DSGVO): Wenn wir Ihre personenbezogenen Daten auf Basis unseres berechtigten Interesses verarbeiten, haben Sie das jederzeitige Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, gegen diese Verarbeitung Widerspruch mit Wirkung für die Zukunft einzulegen. Machen Sie von Ihrem Widerspruchsrecht Gebrauch, beenden wir die Verarbeitung der betroffenen Daten, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen.

Widerspruch gegen Direktwerbung (Art. 21 Abs. 2 DSGVO): Soweit wir Sie zu Werbezwecken ansprechen — etwa per Brief nach Abschnitt G7 oder nach einem Gespräch vor Ort nach G8 —, können Sie dem jederzeit und ohne Angabe von Gründen widersprechen. Nach Ihrem Widerspruch verarbeiten wir Ihre Daten nicht mehr zu diesen Zwecken; eine Abwägung findet hier nicht statt.

Kontakt: webmaster@shibo-call.de