Datenschutzerklärung

1. Verantwortlicher und Kontakt

Für Website-Anfragen, die Verwaltung der Kundenbeziehung und eigene Betriebszwecke ist der oben genannte Betreiber verantwortlich. Wenn ein Unternehmen Kundendaten, Kontakte oder andere Geschäftsdaten in seinem Workspace verarbeitet, bestimmt grundsätzlich dieses Unternehmen die Zwecke der Verarbeitung. Zentroa verarbeitet diese Daten zur Bereitstellung des Dienstes in dessen Auftrag. Anliegen zu solchen Daten können Sie auch direkt an das betreffende Unternehmen richten.

2. Hosting und technische Bereitstellung

Zentroa nutzt einen VPS von Hostinger. Dort werden Anwendung, Datenbank und hochgeladene Bilder betrieben. Beim Aufruf werden insbesondere IP-Adresse, Zeitpunkt, angeforderte Adresse, technische Browser- und Verbindungsinformationen sowie Status- und Fehlerdaten verarbeitet, soweit sie zur Auslieferung, Sicherheit und Fehlerbehebung benötigt werden. Hostinger kann als Infrastrukturbetreiber diese Daten verarbeiten.

Die Bereitstellung des gebuchten Dienstes erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO; der sichere Betrieb der Website und die Abwehr von Missbrauch auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein zuverlässiges und geschütztes Angebot.

3. Benutzerkonten, Sessions und Workspaces

Für lokale Benutzerkonten verarbeiten wir Namen, E-Mail-Adresse, eine Passwort-Hash-Repräsentation, Bestätigungs- und Wiederherstellungsdaten sowie Sitzungen und Workspace-Mitgliedschaften. Passwörter werden nicht im Klartext als Kontopasswort gespeichert. Rollen und Mitgliedschaften regeln den Zugriff auf Unternehmensdaten. Verifizierung, Einladungen und Passwort-Wiederherstellung können E-Mails auslösen.

Diese Verarbeitung dient der Konto- und Vertragsverwaltung (Art. 6 Abs. 1 lit. b DSGVO) sowie der Zugriffssicherheit (Art. 6 Abs. 1 lit. f DSGVO). Ohne die erforderlichen Angaben können wir kein nutzbares Konto bereitstellen. Geschäftsdaten werden von Ihnen oder von berechtigten Personen Ihres Unternehmens eingegeben.

4. Cookies und Browser-Speicher

Für die Anmeldung verwenden wir das Cookie __Host-zentroa_session mit einer maximalen Laufzeit von 30 Tagen. Das Sitzungscookie __Host-zentroa_workspace merkt den gewählten Workspace. Beide sind Secure- und HttpOnly-Cookies mit SameSite-Schutz; beim Abmelden werden sie entfernt. Sie dienen der ausdrücklich gewünschten Anmeldung und Workspace-Auswahl, nicht der Werbung. Für solche technisch erforderlichen Speicherzugriffe gilt § 25 Abs. 2 Nr. 2 TDDDG; die anschließende personenbezogene Verarbeitung dient der Kontonutzung und Sicherheit.

Wenn Sie Dashboard-Benachrichtigungen als gelesen markieren, speichert der Browser die zugehörigen Ereignisschlüssel im Local Storage unter zentroa:dashboard-read:v1:…. Der Bereich ist je Mitgliedschaft und Workspace getrennt; es werden keine Nachrichtentexte gespeichert. Die Speicherung merkt die von Ihnen gewählte Lesemarkierung (Art. 6 Abs. 1 lit. f DSGVO). Sie hat keine feste zeitliche Ablaufgrenze und kann über die Website-Daten Ihres Browsers gelöscht werden. Dann können Hinweise erneut als ungelesen erscheinen. Es handelt sich nicht um werbliches Tracking.

Public Mira hält Gespräch und einen zufälligen Kennzeichner zur Begrenzung missbräuchlicher Anfragen nur im Arbeitsspeicher der geöffneten Seite. Dafür wird kein dauerhaftes Chat-Cookie oder Local Storage angelegt.

5. Kontakt- und Demo-Anfragen

Bei einer Anfrage verarbeiten wir Name, Unternehmen, E-Mail-Adresse, gegebenenfalls Telefonnummer, Branche, Unternehmensgröße, Unterstützungsbedarf, Nachricht und die Bestätigung im Formular. Die Anfrage wird als Vorgang und Nachricht gespeichert; anschließend wird eine Benachrichtigung per E-Mail versucht. Ein Fehler beim E-Mail-Versand hebt die Speicherung nicht auf.

Die Daten dienen ausschließlich der Bearbeitung Ihres Anliegens und einer möglichen Geschäftsbeziehung. Grundlage sind bei vorvertraglichen Anfragen Art. 6 Abs. 1 lit. b DSGVO, bei sonstiger Korrespondenz unser berechtigtes Interesse an ihrer Beantwortung (lit. f) und, soweit die Verarbeitung auf Ihrer Einwilligung beruht, lit. a. Sie können eine Einwilligung jederzeit für die Zukunft widerrufen. Pflichtfelder werden zur Zuordnung und Beantwortung benötigt; optionale Angaben können Sie weglassen.

6. Hostinger Business Email

Für geschäftliche Korrespondenz, Kontaktbenachrichtigungen und Konto-E-Mails verwenden wir Hostinger Business Email. Dabei werden Absender- und Empfängeradressen, Betreff, Nachrichtentext, Zustellinformationen sowie gegebenenfalls Aktivierungslinks oder PDF-Anhänge verarbeitet. Wenn Sie einen geschäftlichen Versand beauftragen, erhalten auch die ausgewählten Empfänger und ihre Mailanbieter den Inhalt.

Die Verarbeitung richtet sich nach dem jeweiligen Zweck der Nachricht, insbesondere Vertragsabwicklung, Bearbeitung einer Anfrage oder Kontosicherheit. Aktuelle Anbieterinformationen finden Sie in der Datenschutzerklärung von Hostinger.

7. Verbindung von E-Mail-Postfächern (Google Gmail, Microsoft Outlook/365)

OWNER und ADMIN eines Unternehmens können ein Postfach über die Anmeldung beim jeweiligen Anbieter (OAuth) mit Zentroa verbinden. Dabei werden nur diese Berechtigungen angefragt: bei Google gmail.readonly (Nachrichten lesen) und gmail.send (Antworten senden); bei Microsoft User.Read (Adresse des Kontos), Mail.ReadWrite (Nachrichten lesen und eine Antwort als Entwurf anlegen, der sofort gesendet wird), Mail.Send (senden) und offline_access (Verbindung ohne erneute Anmeldung halten). Alternativ kann ein Postfach technisch per IMAP/SMTP mit einem App-Passwort angebunden werden.

Zentroa liest ausschließlich Nachrichten, die nach dem Verbinden im Posteingang eingehen: Absender- und Empfängeradressen und -namen, Betreff, Nachrichtentext, technische Kopfzeilen (etwa Message-ID, Bezug auf frühere Nachrichten, Authentifizierungsergebnisse und Kennzeichen automatischer Nachrichten) sowie Name, Typ und Größe von Anhängen. Inhalte von Anhängen werden nicht abgerufen. Ältere Nachrichten, Entwürfe und andere Ordner werden nicht übernommen. Die Nachrichten werden als Anfragen im Workspace des Unternehmens gespeichert und sind nur für dessen berechtigte Mitglieder sichtbar. Gesendet werden nur Antworten auf solche Unterhaltungen, und zwar vom empfangenden Postfach.

Das Refresh-Token wird verschlüsselt gespeichert, das kurzlebige Zugriffstoken nur im Arbeitsspeicher; Tokens erscheinen nicht in Protokollen. Beim Trennen des Postfachs wird das Token sofort gelöscht und die Freigabe bei Google widerrufen, sofern kein weiteres Postfach dieses Unternehmens dasselbe Google-Konto nutzt; bereits übernommene Nachrichten bleiben im Workspace, bis das Unternehmen sie löscht. Sie können den Zugriff außerdem jederzeit in Ihrem Google-Konto oder Ihrem Microsoft-Konto entziehen. Für die Nachrichten und Kontaktdaten im Postfach ist das verbindende Unternehmen verantwortlich; Zentroa verarbeitet sie in dessen Auftrag zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO, Art. 28 DSGVO). Datenschutzinformationen der Anbieter: Google, Microsoft.

8. Mira im E-Mail-Postfach: Entwürfe und automatische Antworten

Fordert eine berechtigte Person einen Antwortentwurf an oder hat das Unternehmen eine automatische Antwortart aktiviert, werden Betreff, Text und Absendername der eingegangenen Nachricht, die vom Unternehmen freigegebenen Einträge im Firmenwissen und seine Kontaktdaten an die OpenAI API übermittelt, um eine Antwort zu formulieren. Im Modus SAFE_AUTO können zusätzlich begrenzte Angaben zum zugeordneten Kunden dieses Unternehmens übermittelt werden, nur wenn der Absender technisch bestätigt ist; Antworten mit solchen Angaben werden nie automatisch gesendet.

Standard ist der manuelle Modus: Antworten werden erst nach Bestätigung durch eine Person gesendet. Automatische Antworten aktiviert nur OWNER oder ADMIN des Unternehmens ausdrücklich; sie lassen sich jederzeit wieder auf manuell stellen. Auch dann antwortet Mira nicht auf Systemnachrichten, noreply-Adressen, Newsletter und automatisch erzeugte Nachrichten, nur innerhalb fester Mengengrenzen und nur mit Inhalten aus dem freigegebenen Firmenwissen. Nachrichten mit Anhängen, sensiblen Themen (etwa Beschwerden, Rechnungen, Kündigungen, Datenschutz) oder unbestätigten Angaben gehen zur Prüfung an eine Person. Jede automatisch gesendete Antwort wird protokolliert. Grundlage ist die vom Unternehmen gewünschte Bearbeitung seiner Korrespondenz (Art. 6 Abs. 1 lit. b DSGVO, im Auftrag nach Art. 28 DSGVO).

9. Google API Services – eingeschränkte Nutzung (Limited Use)

Die Nutzung und Übertragung von Informationen, die Zentroa über Google APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Gmail-Daten werden nur verwendet, um die für das Unternehmen sichtbaren Funktionen bereitzustellen: Posteingang, Antwortentwürfe und Antworten. Sie werden nicht für Werbung verwendet, nicht verkauft und nicht zum Training allgemeiner KI- oder Machine-Learning-Modelle verwendet. An OpenAI werden sie nur übertragen, um den jeweils angeforderten Entwurf oder die Antwort zu erstellen. Menschen lesen diese Daten nur mit Zustimmung des Unternehmens, wenn es für Sicherheit oder Missbrauchsabwehr erforderlich ist, wenn das Gesetz es verlangt, oder in aggregierter, anonymisierter Form für den internen Betrieb.

English summary: Zentroa's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Gmail data is used only to provide the inbox, reply drafts and replies of the connecting company, is never used for advertising, never sold and never used to train generalized AI or machine learning models.

10. Profilbilder und Firmenlogos

Optional hochgeladene Profilbilder und Firmenlogos werden dem Benutzer oder Workspace zugeordnet, serverseitig geprüft, verkleinert und als WebP auf dem eigenen Server dauerhaft gespeichert. Dafür nutzen wir keinen externen Bildverarbeitungsdienst. Die Verarbeitung dient der von Ihnen gewünschten Darstellung Ihres Profils oder Unternehmens (Art. 6 Abs. 1 lit. b DSGVO). Bitte laden Sie nur Bilder hoch, die Sie verwenden dürfen. Eine Entfernung können Sie über den oben genannten Kontakt anfragen.

11. Betriebsprotokolle und Audit

Technische Logs helfen, Fehler und Missbrauch zu erkennen. Audit- und Ausführungsdaten dokumentieren unter anderem Benutzer- und Workspace-Zuordnung, Zeitpunkte, Aktionen, Freigaben und Ergebnisse. Bei Mira können dazu auch geschäftliche Eingaben und Zwischenergebnisse gehören, die für die Fortsetzung eines Vorgangs benötigt werden. Es wird kein externer Analyse- oder Fehlerüberwachungsdienst eingesetzt.

Zwecke sind Sicherheit, Nachvollziehbarkeit und die Vermeidung doppelter Ausführungen (Art. 6 Abs. 1 lit. f DSGVO; bei beauftragten Vorgängen zusätzlich lit. b). Offene oder fehlgeschlagene Vorgänge können zur Klärung länger benötigt werden als abgeschlossene Vorgänge.

12. Interne Mira und OpenAI API

Wenn Sie die interne Mira verwenden, werden Ihre Eingabe, ein begrenzter Ausschnitt der Unterhaltung und die zur Bearbeitung benötigten Ergebnisse autorisierter Werkzeuge an die OpenAI API übermittelt. Dazu können Kunden- und Kontaktdaten, Objekte, Anfragen, Angebote, Aufträge, Aufgaben, Rechnungsangaben oder relevante Nachrichten gehören. Der Zugriff bleibt auf Ihren Workspace und Ihre Berechtigungen beschränkt. Sensible Aktionen erfordern eine Bestätigung.

Die Verarbeitung dient der angeforderten KI-Unterstützung. Für eigene Kontodaten beruht sie auf Art. 6 Abs. 1 lit. b DSGVO; für Geschäftsdaten legt das verantwortliche Workspace-Unternehmen die zulässige Verarbeitung fest. Bitte übermitteln Sie keine Passwörter, Schlüssel oder nicht erforderlichen sensiblen Daten. Gespräche und Ausführungsstände werden in Zentroa zur Fortsetzung gespeichert.

13. Public Mira

Der öffentliche Chat dient der Produktberatung. Erst beim Absenden einer Nachricht werden Ihre Eingabe und ein kurzer vorheriger Gesprächsausschnitt serverseitig an OpenAI übermittelt. Public Mira erhält keinen Zugriff auf Workspaces, interne Gespräche oder Geschäftsdaten. Auch hier kann freiwillig eingegebener Text personenbezogene Daten enthalten; geben Sie bitte keine vertraulichen Informationen ein.

Grundlage ist die Bearbeitung Ihrer vorvertraglichen Produktanfrage (Art. 6 Abs. 1 lit. b DSGVO) beziehungsweise unser Interesse an der Beantwortung allgemeiner Produktfragen (lit. f). Sie können alternativ das Kontaktformular oder E-Mail nutzen. Die öffentliche Unterhaltung wird von dieser Chat-Funktion nicht dauerhaft in der Zentroa-Datenbank gespeichert.

14. Telefon und Mira am Telefon

Die Zentroa-Rufnummer +49 8841 4939999 ist in Betrieb. Anrufe unter dieser Nummer nimmt Mira, unser KI-Sprachassistent, entgegen; über dieselbe Leitung führt Zentroa auch ausgehende Anrufe, etwa Rückrufe zu geschäftlichen Anfragen. Dabei werden Rufnummern, Zeitpunkte, Dauer, Status und der Gesprächsinhalt verarbeitet. Sprache und Audio verarbeitet in Echtzeit der Telefonieanbieter Telnyx mit dem dort eingebundenen Sprachmodell von OpenAI (gpt-live). Zentroa erhält die Gesprächsbeiträge als Text, damit Mira antworten kann. Zur Nachverfolgung hält Zentroa das Gespräch als Text fest (welche Seite was gesagt hat), zusammen mit Zeitpunkt, Rufnummer, Dauer, Ergebnis und gegebenenfalls Notizen oder einer Zusammenfassung. Gespräche werden nicht als Audio aufgezeichnet. Mira stellt sich zu Beginn als KI-Beraterin von Zentroa vor und weist darauf hin, dass das Gespräch als Text festgehalten wird. Die Gesprächstexte werden nach 90 Tagen automatisch gelöscht. Einsehen kann sie nur der Plattforminhaber von Zentroa; jeder Abruf wird protokolliert. Sie können der Speicherung widersprechen oder die vorzeitige Löschung verlangen (info@zentroa.de).

Telefonie für Kundenunternehmen (eigene Rufnummern der Unternehmen in Zentroa) ist noch nicht für den Echtbetrieb freigegeben; dafür werden derzeit keine echten Anrufe geführt. Grundlage ist die Bearbeitung Ihrer Anfrage beziehungsweise einer möglichen Geschäftsbeziehung (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an der Beantwortung von Anrufen sowie an einer verlässlichen Nachverfolgung des Gesprächs (lit. f). Telnyx und OpenAI können Daten auch außerhalb der EU, insbesondere in den USA, verarbeiten (siehe Abschnitt 15). Informationen des Anbieters: Datenschutzerklärung von Telnyx.

15. KI-Anbieter und internationale Verarbeitung

Alle Mira-Funktionen (interne Mira, E-Mail-Entwürfe und automatische Antworten, Public Mira) verwenden die OpenAI API mit deaktivierter Speicherung des Antwortobjekts (store: false). Dies bedeutet nicht, dass beim Anbieter keinerlei Sicherheits- oder Missbrauchsprotokolle entstehen. OpenAI beschreibt eine standardmäßige Aufbewahrung solcher Protokolle von bis zu 30 Tagen, mit möglichen gesetzlichen oder sicherheitsbedingten Ausnahmen. API-Inhalte werden laut Anbieter standardmäßig nicht zum Modelltraining verwendet. Eine ausschließlich europäische Verarbeitung oder Zero Data Retention wird hier nicht zugesichert. Siehe OpenAI: API-Datenverarbeitung und Aufbewahrung.

Bei den eingesetzten Anbietern und deren Unterauftragnehmern kann eine Verarbeitung außerhalb der EU bzw. des EWR, insbesondere in den USA, stattfinden. Für solche Übermittlungen sind die Voraussetzungen der Art. 44 ff. DSGVO maßgeblich, etwa ein anwendbarer Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln. Informationen zu den für Ihre Verarbeitung einschlägigen Empfängern und Garantien sowie eine Kopie der Garantien können Sie bei uns anfordern.

16. Speicherdauer und Löschanfragen

Wir speichern Daten entsprechend ihrem Zweck: Kontodaten für die Kontoverwaltung, Anfragen für deren Bearbeitung und Nachverfolgung, Geschäftsdaten für den beauftragten Dienst und Protokolle für Sicherheit und Klärung von Vorgängen. Gesetzliche Aufbewahrungspflichten und die erforderliche Sicherung oder Abwehr von Ansprüchen können einer sofortigen Löschung entgegenstehen. Daten in Sicherungen können bis zu deren regulärer Ablösung verbleiben und sind nicht für die laufende Nutzung bestimmt.

Sie können die Löschung Ihres Kontos oder Ihrer Daten an info@zentroa.de richten. Wir prüfen Identität, Zuständigkeit und entgegenstehende Pflichten. Das Entfernen einer einzelnen Mitgliedschaft bedeutet nicht automatisch die Löschung sämtlicher Unternehmensdaten. Bei Daten eines Workspace-Unternehmens koordinieren wir das Anliegen mit dem Verantwortlichen.

17. Ihre Rechte

Nach Maßgabe der DSGVO können Sie Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit verlangen. Einwilligungen sind für die Zukunft widerrufbar. Gegen Verarbeitungen aufgrund berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen; gegen Direktwerbung jederzeit. Kontaktieren Sie uns hierzu unter der oben genannten E-Mail-Adresse.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Aufenthalts- oder Arbeitsort. Für private Unternehmen in Bayern ist das Bayerische Landesamt für Datenschutzaufsicht zuständig. Zentroa trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Sie; KI-Ausgaben können fehlerhaft sein und sind zu prüfen.

18. Zahlungsabwicklung und weitere Dienste

Stripe ist für Checkout, Abonnements und das Kundenportal eingebunden. Derzeit wird ausschließlich der Sandbox-Testbetrieb verwendet; Live-Zahlungen sind nicht freigeschaltet. Dabei können E-Mail-Adresse, Rechnungsadresse, Paket- und Abrechnungsangaben sowie eine interne Workspace-Zuordnung an Stripe übermittelt werden. Zahlungsangaben werden im gehosteten Stripe-Checkout erfasst. Zentroa verarbeitet die zurückgemeldeten Kunden-, Abonnement-, Rechnungs- und Zahlungsstatusdaten. PayPal kann als Zahlungsart innerhalb von Stripe angeboten werden, soweit es dort verfügbar und aktiviert ist; eine separate direkte PayPal-Anbindung besteht nicht. Weitere Informationen: Datenschutzerklärung von Stripe.

Derzeit verwenden wir weder Google Analytics noch Meta Pixel oder Advertising Tracking. Zur Telefonie siehe Abschnitt 14. Website-Schriften und Bilder werden lokal ausgeliefert.

Ein Newsletter ist derzeit nicht aktiv. Sollte er eingeführt werden, erfolgt eine gesonderte Information über Anbieter, Daten und Zweck sowie eine ausdrückliche Einwilligung mit Double-Opt-In und Abmeldemöglichkeit. Eine Kontaktanfrage ist keine Newsletter-Anmeldung.