Datenschutzerklärung

1. Verantwortlichkeit und Geltungsbereich

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Rahmen der QRAGO AI Plattform ist:

QRAGO GmbH
Lundweg 1
21035 Hamburg
E-Mail: info@qrago.de
Telefon: 0711/25286790
Geschäftsführer: Christian Ruff

Datenschutzbeauftragter:
Holger Jurna
Lindenstraße 38, 50674 Köln
kontakt@rechtsanwalt-jurna.de

Diese Datenschutzerklärung gilt für die Website qrago.ai, die QRAGO AI Web-Applikation sowie die QRAGO AI Multi-Channel-Plattform (KI-Telefonassistenz, Chat Widget, Telegram Bot, Multi-Channel Inbox, Document AI; nachfolgend zusammen "QRAGO AI" oder "Dienst").

2. Datenverarbeitung auf der Website qrago.ai

2.1 Website-Hosting

Die Website qrago.ai wird auf Servern der DigitalOcean LLC, 101 Avenue of the Americas, New York, NY 10013, USA, gehostet. Beim Aufruf der Website werden automatisch folgende Daten in Server-Logfiles gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit der Anfrage
• Angefragegte URL und Referrer-URL
• Verwendeter Browser und Betriebssystem
• Übertragene Datenmenge

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung und Sicherheit der Website).
Auftragsverarbeiter: DigitalOcean LLC, USA. Datenübermittlung auf Grundlage des EU-US Data Privacy Framework.

2.2 SSL/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt.

2.3 Cookies

Die Website verwendet technisch notwendige Cookies für die Authentifizierung und Session-Verwaltung. Es werden keine Tracking- oder Werbe-Cookies eingesetzt.

3. Registrierung und Authentifizierung

3.1 Keycloak (Identitätsmanagement)

Für die Registrierung und Anmeldung bei QRAGO AI nutzen wir Keycloak als Identity und Access Management System. Bei der Registrierung werden folgende Daten erhoben:

• Vorname, Nachname
• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Unternehmenszugehörigkeit

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen/Vertragserfüllung).
Auftragsverarbeiter: Keycloak wird self-hosted auf Servern der QRAGO GmbH in Frankfurt, Deutschland (DigitalOcean Rechenzentrum, EU) betrieben.

3.2 E-Mail-Verifizierung

Zur Verifizierung Ihrer E-Mail-Adresse versenden wir Bestätigungs-E-Mails über den Dienst Mailgun (Sinch Email, USA). Dabei wird Ihre E-Mail-Adresse an Mailgun übermittelt.

Auftragsverarbeiter: Mailgun Technologies Inc. / Sinch Email, USA. Datenübermittlung auf Grundlage von Standardvertragsklauseln (SCC).

4. QRAGO AI Plattform — Datenverarbeitung

Die QRAGO AI Plattform nimmt Anfragen über verschiedene Kanäle entgegen (Telefon, Chat Widget, Telegram) und verarbeitet diese mithilfe von Künstlicher Intelligenz. Dabei werden folgende Daten verarbeitet:

4.1 Telefonie-Infrastruktur (Twilio)

Für die Telefonie-Infrastruktur nutzen wir den Dienst Twilio. Folgende Daten werden bei jedem Anruf verarbeitet:

• Telefonnummer des Anrufers und des Angerufenen
• Call-Metadaten (Anruf-ID, Dauer, Status, Zeitstempel)
• Audio-Streams (Echtzeit-Übertragung, nicht dauerhaft bei Twilio gespeichert)
• SIP-Konfigurationen (sofern verwendet)

Auftragsverarbeiter: Twilio Ireland Limited / Twilio Inc., USA.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenschutz: https://www.twilio.com/legal/privacy

4.2 Sprachverarbeitung und KI (OpenAI)

Für die Spracherkennung, Dialogführung und Sprachsynthese nutzen wir die OpenAI Realtime API. Folgende Daten werden verarbeitet:

• Audio-Daten des Gesprächs (Echtzeit-Verarbeitung)
• Gesprächstranskripte (automatische Verschriftlichung)
• Extrahierte Informationen (Namen, Adressen, Termine, Transportanforderungen)
• KI-Prompts und Agenten-Konfigurationen

Auftragsverarbeiter: OpenAI L.L.C., USA.
Datenaufbewahrung: OpenAI speichert API-Daten für maximal 30 Tage zur Missbrauchserkennung. Zero Data Retention kann auf Anfrage aktiviert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenschutz: https://openai.com/privacy

4.3 Sprache-zu-Text (Deepgram) — Optional

Im alternativen Audio-Pipeline-Modus ("Classic") kann Deepgram für die Sprache-zu-Text-Konvertierung eingesetzt werden.

Auftragsverarbeiter: Deepgram Inc., USA.
Datenschutz: https://deepgram.com/privacy

4.4 Text-zu-Sprache (ElevenLabs) — Optional

Im alternativen Audio-Pipeline-Modus kann ElevenLabs für die Sprachsynthese eingesetzt werden.

Auftragsverarbeiter: ElevenLabs Inc., UK/USA.
Datenschutz: https://elevenlabs.io/privacy

4.5 Gesprächsaufzeichnung

Die Aufzeichnung von Gesprächen erfolgt nur nach ausdrücklicher Einwilligung des Anrufers zu Beginn des Gesprächs. Der Anrufer wird vor Beginn der Aufzeichnung informiert und kann diese ablehnen. Aufgezeichnete Gespräche werden gemäß der konfigurierten Aufbewahrungsfrist (Standard: 30 Tage) automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. Datenspeicherung

5.1 MongoDB (Datenbank)

Alle Anwendungsdaten werden in einer MongoDB-Datenbank gespeichert, die als Managed Service bei DigitalOcean in Frankfurt, Deutschland (EU) betrieben wird. Gespeichert werden:

• Tenant-Daten (Firmenname, Kontaktdaten, Adresse)
• Agenten-Konfigurationen (System-Prompts, Einstellungen)
• Anrufprotokolle (Transkripte, extrahierte Daten, Metadaten)
• Benutzerkonten (E-Mail, verschlüsseltes Passwort)
• Telefonie-Konfigurationen

Auftragsverarbeiter: DigitalOcean LLC, USA. Rechenzentrum: Frankfurt, Deutschland (EU).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Verschlüsselung: Sensible Daten (API-Keys, SIP-Passwörter) werden mit AES-256 verschlüsselt gespeichert.

6. Zahlungsabwicklung

6.1 Stripe

Für die Zahlungsabwicklung, Abonnement-Verwaltung und Rechnungsstellung nutzen wir Stripe. Folgende Daten werden verarbeitet:

• Zahlungsinformationen (Kreditkarte, SEPA-Lastschrift — direkt bei Stripe, nicht auf unseren Servern)
• Rechnungsadresse und USt-IdNr.
• Nutzungsdaten (Gesprächsminuten, Anzahl Agenten, Telefonie-Konfigurationen)
• Rechnungen und Zahlungsverlauf

Auftragsverarbeiter: Stripe Payments Europe Ltd., Irland.
PCI DSS: Stripe ist PCI DSS Level 1 zertifiziert. Kartendaten werden zu keinem Zeitpunkt auf unseren Servern gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenschutz: https://stripe.com/de/privacy

7. Übersicht der Auftragsverarbeiter

Für alle US-basierten Anbieter besteht ein angemessenes Datenschutzniveau durch das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) und/oder Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

8. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
• Widerruf (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
• Beschwerde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@qrago.de

9. Datenweitergabe an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt ausschließlich:

• An die unter Abschnitt 7 genannten Auftragsverarbeiter im Rahmen der Auftragsverarbeitung
• Zur Erfüllung gesetzlicher Verpflichtungen (z.B. Steuerrecht, Geldwäschegesetz)
• An Steuerberater und Wirtschaftsprüfer im Rahmen gesetzlicher Pflichten
• An Rechtsanwälte zur Durchsetzung oder Verteidigung rechtlicher Ansprüche

Wir verkaufen Ihre Daten niemals an Dritte.

10. Aufbewahrungsfristen

11. Technische und organisatorische Maßnahmen

Wir setzen folgende Maßnahmen zum Schutz Ihrer Daten ein:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• AES-256-Verschlüsselung für sensible Daten in der Datenbank (API-Keys, Passwörter)
• Zugriffsbeschränkung durch rollenbasierte Berechtigungen
• Regelmäßige Sicherheitsupdates und Monitoring
• Pseudonymisierung von Daten, wo möglich
• Automatische Löschung gemäß konfigurierten Aufbewahrungsfristen
• Multi-Tenant-Architektur mit strikter Datentrennung zwischen Kunden
• DSGVO-konforme Gesprächsaufzeichnung nur nach Einwilligung

12. Besonderer Hinweis zu sensiblen Daten

Im Rahmen der QRAGO AI Plattform können Nutzer über alle Kanäle (Telefon, Chat, Telegram) freiwillig Gesundheitsdaten mitteilen (z.B. Transportart, medizinische Anforderungen wie Sauerstoff oder Infektionsstatus). Diese Daten werden ausschließlich zur Erfüllung des Transportauftrags verarbeitet und nicht zu anderen Zwecken verwendet.

Wir empfehlen, keine darüber hinausgehenden besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z.B. ethnische Herkunft, religiöse Überzeugungen, genetische oder biometrische Daten) über die Plattform mitzuteilen.

13. Online-Streitbeilegung

Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung (OS) bereit: https://ec.europa.eu/consumers/odr.

Wir sind nicht bereit oder verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei Änderungen der eingesetzten Dienste oder der Rechtslage. Die aktuelle Version finden Sie stets unter qrago.ai/datenschutz.