Datenschutzerklärung

1. Verantwortlichkeit und Geltungsbereich

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten auf dieser Website und im Rahmen der QRAGO AI Plattform ist:

QRAGO GmbH
Lundtweg 1
21035 Hamburg
E-Mail: info@qrago.de
Telefon: 0711/25286790
Geschäftsführer: Christian Ruff

Datenschutzbeauftragter:
Holger Jurna
Lindenstraße 38, 50674 Köln
kontakt@rechtsanwalt-jurna.de

Diese Datenschutzerklärung gilt für die Website qrago.ai, die QRAGO AI Web-Applikation sowie die QRAGO AI Multi-Channel-Plattform (KI-Telefonassistenz, Chat Widget, Telegram Bot, Multi-Channel Inbox, Document AI; nachfolgend zusammen "QRAGO AI" oder "Dienst").

2. Datenverarbeitung auf der Website qrago.ai

2.1 Website-Hosting

Die Website qrago.ai wird auf Servern der DigitalOcean LLC, 101 Avenue of the Americas, New York, NY 10013, USA, gehostet. Beim Aufruf der Website werden automatisch folgende Daten in Server-Logfiles gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit der Anfrage
• Angefragegte URL und Referrer-URL
• Verwendeter Browser und Betriebssystem
• Übertragene Datenmenge

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung und Sicherheit der Website).
Auftragsverarbeiter: DigitalOcean LLC, USA. Datenübermittlung auf Grundlage des EU-US Data Privacy Framework.

2.2 SSL/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL- bzw. TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt.

2.3 Cookies

Technisch notwendige Cookies für Anmeldung und Sitzungsverwaltung setzen wir ohne Ihre Einwilligung ein; ohne sie funktioniert die Seite nicht. Cookies zur Reichweitenmessung und für Werbung setzen wir ausschließlich, wenn Sie im Einwilligungsbanner zugestimmt haben — siehe Abschnitt 3.5. Ihre Entscheidung können Sie am Ende dieser Seite jederzeit ändern.

3. Registrierung und Authentifizierung

3.1 Keycloak (Identitätsmanagement)

Für die Registrierung und Anmeldung bei QRAGO AI nutzen wir Keycloak als Identity und Access Management System. Bei der Registrierung werden folgende Daten erhoben:

• Vorname, Nachname
• E-Mail-Adresse
• Passwort (verschlüsselt gespeichert)
• Unternehmenszugehörigkeit

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen/Vertragserfüllung).
Auftragsverarbeiter: Keycloak wird self-hosted auf Servern der QRAGO GmbH in Frankfurt, Deutschland (DigitalOcean Rechenzentrum, EU) betrieben.

3.2 E-Mail-Verifizierung

Zur Verifizierung Ihrer E-Mail-Adresse versenden wir Bestätigungs-E-Mails über den Dienst Mailgun (Sinch Email, USA). Dabei wird Ihre E-Mail-Adresse an Mailgun übermittelt.

Auftragsverarbeiter: Mailgun Technologies Inc. / Sinch Email, USA. Datenübermittlung auf Grundlage von Standardvertragsklauseln (SCC).

3.3 Testanruf auf unserer Website

Auf unserer Startseite können Sie unseren KI-Assistenten unverbindlich ausprobieren. Dazu verarbeiten wir:

• Ihre E-Mail-Adresse und, falls angegeben, Ihren Firmennamen
• Ihre IP-Adresse und Ihren Browser-Kennzeichner (Missbrauchsschutz, Kontingente)
• Ihre Telefonnummer, wenn Sie sich zurückrufen lassen
• den Gesprächsinhalt, sofern Sie mit dem Assistenten sprechen

Zum Schutz vor automatisierten Anfragen setzen wir Cloudflare Turnstile ein. Dabei werden Ihre IP-Adresse und technische Merkmale Ihres Browsers an Cloudflare übermittelt. Ihre Angaben speichern wir außerdem in unserem CRM-System HubSpot, um Ihnen die angeforderten Unterlagen zu schicken und uns bei Ihnen zu melden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch Absenden des Formulars) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor missbräuchlicher Nutzung).
Auftragsverarbeiter: Cloudflare, Inc., USA und HubSpot, Inc., USA — jeweils auf Grundlage von Standardvertragsklauseln (SCC).
Widerruf: Sie können Ihre Einwilligung jederzeit formlos widerrufen, etwa per E-Mail an datenschutz@qrago.de. Wir löschen Ihre Angaben dann.

3.5 Reichweitenmessung und Werbung

Mit Ihrer Einwilligung setzen wir Google Analytics, Google Ads, das Meta-Pixel und das HubSpot-Besucherskript ein, um zu erkennen, über welchen Weg Besucher zu uns finden und welche unserer Maßnahmen wirken. Dabei werden Cookies und ähnliche Kennungen auf Ihrem Gerät gespeichert und ausgelesen.

Sendet Ihr Browser ein Ereignis nicht — etwa weil ein Inhaltsblocker aktiv ist — übermitteln wir es zusätzlich von unserem Server aus an Google und Meta (Conversions API beziehungsweise Measurement Protocol). Übertragen werden dabei Ihre E-Mail-Adresse in verschlüsselter Form (SHA-256), Ihre IP-Adresse, die Browser-Kennung und die genannten Cookie-Kennungen. Auch dies geschieht ausschließlich, wenn Sie eingewilligt haben.

Rechtsgrundlage: § 25 Abs. 1 TTDSG und Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Empfänger: Google Ireland Limited und Meta Platforms Ireland Limited, jeweils mit Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und ergänzender Standardvertragsklauseln.
Widerruf: Jederzeit über den Knopf unten auf dieser Seite — Ihre Entscheidung wird dann erneut abgefragt.

3.4 Anforderung von Unterlagen

Über das Formular „Unterlagen anfordern" verarbeiten wir die von Ihnen gemachten Angaben: Vor- und Nachname, Unternehmen, E-Mail-Adresse sowie freiwillig Telefonnummer, Anzahl der Fahrten pro Monat, Ihre Interessengebiete und Ihre Nachricht an uns. Zusätzlich speichern wir den Wortlaut Ihrer Einwilligung mit Datum — damit jederzeit nachvollziehbar ist, wozu Sie zugestimmt haben.

Wir nutzen diese Angaben, um Ihnen die Unterlagen zu schicken und Sie zu QRAGO AI zu kontaktieren. Die Daten werden in unserem CRM-System HubSpot gespeichert, der Versand erfolgt über Mailgun, der Schutz vor automatisierten Anfragen über Cloudflare Turnstile.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung).
Widerruf: Jederzeit formlos möglich, etwa per E-Mail an datenschutz@qrago.de — für die Zukunft wirksam.

4. QRAGO AI Plattform — Datenverarbeitung

Die QRAGO AI Plattform nimmt Anfragen über verschiedene Kanäle entgegen (Telefon, Chat Widget, Telegram) und verarbeitet diese mithilfe von Künstlicher Intelligenz. Dabei werden folgende Daten verarbeitet:

4.1 Telefonie-Infrastruktur (Twilio)

Für die Telefonie-Infrastruktur nutzen wir den Dienst Twilio. Folgende Daten werden bei jedem Anruf verarbeitet:

• Telefonnummer des Anrufers und des Angerufenen
• Call-Metadaten (Anruf-ID, Dauer, Status, Zeitstempel)
• Audio-Streams (Echtzeit-Übertragung, nicht dauerhaft bei Twilio gespeichert)
• SIP-Konfigurationen (sofern verwendet)

Auftragsverarbeiter: Twilio Ireland Limited / Twilio Inc., USA.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenschutz: https://www.twilio.com/legal/privacy

4.2 Sprachverarbeitung und KI (OpenAI)

Für die Spracherkennung, Dialogführung und Sprachsynthese nutzen wir die OpenAI Realtime API. Folgende Daten werden verarbeitet:

• Audio-Daten des Gesprächs (Echtzeit-Verarbeitung)
• Gesprächstranskripte (automatische Verschriftlichung)
• Extrahierte Informationen (Namen, Adressen, Termine, Transportanforderungen)
• KI-Prompts und Agenten-Konfigurationen

Auftragsverarbeiter: OpenAI L.L.C., USA.
Datenaufbewahrung: OpenAI speichert API-Daten für maximal 30 Tage zur Missbrauchserkennung. Zero Data Retention kann auf Anfrage aktiviert werden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenschutz: https://openai.com/privacy

4.3 Sprache-zu-Text (Deepgram) — Optional

Im alternativen Audio-Pipeline-Modus ("Classic") kann Deepgram für die Sprache-zu-Text-Konvertierung eingesetzt werden.

Auftragsverarbeiter: Deepgram Inc., USA.
Datenschutz: https://deepgram.com/privacy

4.4 Text-zu-Sprache (ElevenLabs) — Optional

Im alternativen Audio-Pipeline-Modus kann ElevenLabs für die Sprachsynthese eingesetzt werden.

Auftragsverarbeiter: ElevenLabs Inc., UK/USA.
Datenschutz: https://elevenlabs.io/privacy

4.5 Gesprächsaufzeichnung

Die Aufzeichnung von Gesprächen erfolgt nur nach ausdrücklicher Einwilligung des Anrufers zu Beginn des Gesprächs. Der Anrufer wird vor Beginn der Aufzeichnung informiert und kann diese ablehnen. Aufgezeichnete Gespräche werden gemäß der konfigurierten Aufbewahrungsfrist (Standard: 30 Tage) automatisch gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. Datenspeicherung

5.1 MongoDB (Datenbank)

Alle Anwendungsdaten werden in einer MongoDB-Datenbank gespeichert, die als Managed Service bei DigitalOcean in Frankfurt, Deutschland (EU) betrieben wird. Gespeichert werden:

• Tenant-Daten (Firmenname, Kontaktdaten, Adresse)
• Agenten-Konfigurationen (System-Prompts, Einstellungen)
• Anrufprotokolle (Transkripte, extrahierte Daten, Metadaten)
• Benutzerkonten (E-Mail, verschlüsseltes Passwort)
• Telefonie-Konfigurationen

Auftragsverarbeiter: DigitalOcean LLC, USA. Rechenzentrum: Frankfurt, Deutschland (EU).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Verschlüsselung: Sensible Daten (API-Keys, SIP-Passwörter) werden mit AES-256 verschlüsselt gespeichert.

6. Zahlungsabwicklung

6.1 Stripe

Für die Zahlungsabwicklung, Abonnement-Verwaltung und Rechnungsstellung nutzen wir Stripe. Folgende Daten werden verarbeitet:

• Zahlungsinformationen (Kreditkarte, SEPA-Lastschrift — direkt bei Stripe, nicht auf unseren Servern)
• Rechnungsadresse und USt-IdNr.
• Nutzungsdaten (Gesprächsminuten, Anzahl Agenten, Telefonie-Konfigurationen)
• Rechnungen und Zahlungsverlauf

Auftragsverarbeiter: Stripe Payments Europe Ltd., Irland.
PCI DSS: Stripe ist PCI DSS Level 1 zertifiziert. Kartendaten werden zu keinem Zeitpunkt auf unseren Servern gespeichert.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Datenschutz: https://stripe.com/de/privacy

7. Übersicht der Auftragsverarbeiter

Für alle US-basierten Anbieter besteht ein angemessenes Datenschutzniveau durch das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) und/oder Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

8. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
• Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
• Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit (Art. 20 DSGVO): Sie können die Herausgabe Ihrer Daten in einem maschinenlesbaren Format verlangen.
• Widerspruch (Art. 21 DSGVO): Sie können der Verarbeitung auf Grundlage berechtigter Interessen widersprechen.
• Widerruf (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können jederzeit widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
• Beschwerde (Art. 77 DSGVO): Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@qrago.de

9. Datenweitergabe an Dritte

Eine Weitergabe personenbezogener Daten an Dritte erfolgt ausschließlich:

• An die unter Abschnitt 7 genannten Auftragsverarbeiter im Rahmen der Auftragsverarbeitung
• Zur Erfüllung gesetzlicher Verpflichtungen (z.B. Steuerrecht, Geldwäschegesetz)
• An Steuerberater und Wirtschaftsprüfer im Rahmen gesetzlicher Pflichten
• An Rechtsanwälte zur Durchsetzung oder Verteidigung rechtlicher Ansprüche

Wir verkaufen Ihre Daten niemals an Dritte.

10. Aufbewahrungsfristen

11. Technische und organisatorische Maßnahmen

Wir setzen folgende Maßnahmen zum Schutz Ihrer Daten ein:

• SSL/TLS-Verschlüsselung für alle Datenübertragungen
• AES-256-Verschlüsselung für sensible Daten in der Datenbank (API-Keys, Passwörter)
• Zugriffsbeschränkung durch rollenbasierte Berechtigungen
• Regelmäßige Sicherheitsupdates und Monitoring
• Pseudonymisierung von Daten, wo möglich
• Automatische Löschung gemäß konfigurierten Aufbewahrungsfristen
• Multi-Tenant-Architektur mit strikter Datentrennung zwischen Kunden
• DSGVO-konforme Gesprächsaufzeichnung nur nach Einwilligung

12. Besonderer Hinweis zu sensiblen Daten

Im Rahmen der QRAGO AI Plattform können Nutzer über alle Kanäle (Telefon, Chat, Telegram) freiwillig Gesundheitsdaten mitteilen (z.B. Transportart, medizinische Anforderungen wie Sauerstoff oder Infektionsstatus). Diese Daten werden ausschließlich zur Erfüllung des Transportauftrags verarbeitet und nicht zu anderen Zwecken verwendet.

Wir empfehlen, keine darüber hinausgehenden besonderen Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (z.B. ethnische Herkunft, religiöse Überzeugungen, genetische oder biometrische Daten) über die Plattform mitzuteilen.

13. Online-Streitbeilegung

Die Europäische Kommission stellt eine Plattform zur Online-Streitbeilegung (OS) bereit: https://ec.europa.eu/consumers/odr.

Wir sind nicht bereit oder verpflichtet, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen.

Ihre Einwilligung in die Reichweitenmessung

Hier können Sie Ihre Entscheidung jederzeit ändern. Nach dem Widerruf werden die Skripte von Google, Meta und HubSpot nicht mehr geladen und wir fragen Sie erneut.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, insbesondere bei Änderungen der eingesetzten Dienste oder der Rechtslage. Die aktuelle Version finden Sie stets unter qrago.ai/datenschutz.