Datenschutzerklärung, CallMerlin

Verantwortlich für die Verarbeitung personenbezogener Daten: Small Guy B.V., handelnd unter dem Namen CallMerlin Mit Sitz in Breda, Niederlande (KvK: 70358729) E-Mail: privacy@callmerlin.app

Wir erheben und verarbeiten die folgenden Kategorien personenbezogener Daten: a) Kontodaten: Name, E-Mail-Adresse, Firmenname, Telefonnummer (optional), Sprachpräferenz, IP-Adresse bei der Registrierung. b) Zahlungsdaten: Rechnungsname, Rechnungsadresse, USt-IdNr. Kreditkarten- oder Bankdaten werden ausschließlich von Stripe, Inc. verarbeitet und gespeichert und nicht von CallMerlin gespeichert. c) Nutzungsdaten: Anmeldezeiten, genutzte Funktionen, Sitzungsdauer, Browsertyp, Betriebssystem, Gerätetyp. d) Gesprächsdaten: Transkripte von Merlin-Sitzungen (Audio dieser Sitzungen wird nicht aufbewahrt), Telefonnummern der Anrufer, Gesprächsdauer, Zeitpunkt des Anrufs, Ergebnis des Gesprächs (z. B. ein gebuchter Termin oder eine ausgeführte Aktion) und KI-generierte Zusammenfassungen. e) Verknüpfungsdaten: Zugangsdaten Verbundener Dienste (API-Schlüssel, OAuth-Tokens), verschlüsselt gespeichert (AES-256), sowie die Metadaten der in diesen Diensten im Auftrag des Nutzers ausgeführten Aktionen. f) PIN-Nutzerdaten: Name und PIN-Konfiguration von Personen, denen der Nutzer Sprachzugang gewährt, sowie Verifizierungstelefonnummern für die SMS-Zwei-Faktor-Authentifizierung. g) Kommunikationsdaten: Korrespondenz mit unserem Support- oder Vertriebsteam. h) Anruferdaten: personenbezogene Daten, die Anrufer während eines Gesprächs mit dem Sprachassistenten teilen (z. B. Name, Kontaktdaten und Gegenstand ihres Anliegens). Diese Daten werden im Auftrag des Nutzers (des Verantwortlichen) verarbeitet; CallMerlin handelt als Auftragsverarbeiter. i) OAuth-Anmeldedaten (Google oder Sign in with Slack): E-Mail-Adresse, Name und Profilinformationen vom Identitätsanbieter, nur zur Erstellung oder Authentifizierung Ihres CallMerlin-Kontos. Sign in with Slack verwendet nur die Scopes openid, email und profile. Sign in with Slack (diese Login-App) sendet keine Nutzerdaten an ein LLM. LLM-Verarbeitung beginnt erst nach dem Login, wenn der Kunde aktiv KI-Funktionen nutzt. k) Temporäres Aufnahme-Audio (Live-Meeting-Aufnahme und Anrufen mit Aufnahme in App/Desktop): wenn ein PIN-Nutzer bewusst aufnimmt, wird Audio vorübergehend in der EU gespeichert für Spracherkennung und zur Erstellung einer Zusammenfassung mit Aktionspunkten. Nach erfolgreicher Verarbeitung wird das Roh-Audio gelöscht. Zusammenfassungen bleiben im Konto (siehe Aufbewahrungsfristen). Es gibt keine stille Aufnahme: bei Anrufen mit Aufnahme hören beide Parteien zuerst eine Ankündigung, bevor die Aufnahme startet. Nicht für Werbung.

Wir verarbeiten personenbezogene Daten für die folgenden Zwecke und auf den folgenden Rechtsgrundlagen: a) Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): — Erstellen und Verwalten von Konten — Bereitstellung der Plattform und aller Funktionen, einschließlich der Abwicklung von Anrufen — Verarbeitung von Zahlungen und Rechnungsstellung — Technischer Support — Ausführung von KI-Diensten und Aktionen in Verbundenen Diensten b) Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): — Sicherheit und Betrugsprävention (einschließlich Erkennung von Telefoniemissbrauch) — Verbesserung der Plattform und der Dienstleistungen — Analyse von Nutzungsmustern (wo möglich anonymisiert) — Direkte Kommunikation über den Dienst (kein Marketing) c) Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): — Marketing-E-Mails und Newsletter (Opt-in) — Analytische Cookies, die nicht unbedingt erforderlich sind d) Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): — Steuerliche Aufbewahrungspflichten für Rechnungsdaten — Telekommunikationsvorschriften zur Nummernregistrierung — Mitwirkung an gerichtlichen Anordnungen — Meldepflicht bei Datenschutzverletzungen

Wir teilen personenbezogene Daten mit den folgenden Kategorien von Empfängern: a) Hostinganbieter: Google Cloud Platform (Region europe-west4, Eemshaven, Niederlande). Verarbeitung ausschließlich innerhalb der EU. b) Content Delivery Network: Cloudflare, Inc. (EU-Konfiguration). Edge-Caching für statische Inhalte; keine Speicherung personenbezogener Daten. c) Zahlungsdienstleister: Stripe, Inc. / Stripe Payments Europe, Ltd. Verarbeitung gemäß PCI-DSS Level 1. d) Telekommunikationsanbieter: für die Bereitstellung von Telefonnummern, das Routing von Anrufen und den Versand von SMS-Nachrichten (z. B. 2FA-Codes). e) KI-Modellanbieter - xAI, Inc. (Grok): für die Bereitstellung von KI-Diensten (Spracherkennung, Sprachmodelle, Chat und Sprache). Chatnachrichten, Sprachaufnahmen/Transkripte und im Gespräch geteilte Dateien können zur Inferenz an xAI gesendet werden. Wir kontrahieren mit xAI unter einem Auftragsverarbeitungsvertrag mit Opt-out für Modelltraining mit Kundendaten. Kundendaten werden nicht zum Training von KI-Modellen verwendet. In den mobilen Apps erfolgt diese Weitergabe erst nach ausdrücklicher In-App-Zustimmung. f) E-Mail-Anbieter: für den Versand transaktionaler E-Mails (Kontobestätigungen, Passwort-Resets, Rechnungen). g) Verbundene Dienste: Im Auftrag des Nutzers übergibt der Sprachassistent Daten an die vom Nutzer konfigurierten Verbundenen Dienste (z. B. zur Terminbuchung). Der Nutzer bestimmt, welche Dienste verknüpft sind. h) Website-Analyse: Google LLC (Google Analytics 4 / Google Tag Manager), Apollo.io (Website Visitors: besuchende Unternehmen identifizieren) und Hotjar Ltd. (Sitzungsaufzeichnungen und Heatmaps; Datenspeicherung in der EU, Irland), nur wenn der Besucher analytische Cookies akzeptiert hat. Wir verkaufen niemals personenbezogene Daten an Dritte. Wir geben keine personenbezogenen Daten an Dritte für deren eigene Marketingzwecke weiter. Eine aktuelle Liste der Unterauftragsverarbeiter ist auf Anfrage unter privacy@callmerlin.app erhältlich.

5.1. Die gesamte primäre Datenverarbeitung findet innerhalb der Europäischen Union statt, in der Google-Cloud-Region europe-west4 (Eemshaven, Niederlande). 5.2. Für bestimmte KI-, Telefonie- oder Website-Analyse-Dienste (Apollo.io) können personenbezogene Daten an Unterauftragsverarbeiter mit Sitz in den Vereinigten Staaten übermittelt werden. In diesen Fällen stützt sich die Übermittlung auf: a) das EU-US Data Privacy Framework (DPF), soweit der Empfänger DPF-zertifiziert ist; oder b) Standardvertragsklauseln (SCCs) gemäß Durchführungsbeschluss (EU) 2021/914; und c) ergänzende technische Maßnahmen, einschließlich Verschlüsselung der Daten während der Übertragung und Beschränkung des Verarbeitungsumfangs. 5.3. Auf Anfrage informiert CallMerlin den Nutzer über die spezifischen Garantien für Übermittlungen außerhalb der EU.

Wir wenden die folgenden Aufbewahrungsfristen an: a) Kontodaten: aufbewahrt, solange das Konto aktiv ist. Nach der Beendigung werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht. b) Rechnungsdaten: 7 Jahre nach dem Geschäftsjahr, in dem die Rechnung ausgestellt wurde, gemäß den niederländischen steuerlichen Aufbewahrungspflichten (Art. 52 AWR). c) Gesprächstranskripte und KI-Zusammenfassungen: maximal 90 Tage nach dem Gespräch, sofern der Nutzer keine andere Aufbewahrungsfrist konfiguriert. Audio von Merlin-Sitzungen wird nicht aufbewahrt. Bei Live-Meeting-Aufnahme und Anrufen mit Aufnahme gilt: Gesprächs- oder Live-Aufnahme → temporärer EU-Speicher → Spracherkennung → Zusammenfassung/Aktionspunkte → Roh-Audio wird nach erfolgreicher Verarbeitung gelöscht. d) Verknüpfungsdaten: sofort gelöscht, wenn der Nutzer die Verknüpfung widerruft, und in jedem Fall innerhalb von 30 Tagen nach Kontobeendigung. e) Zugriffs- und Sicherheitsprotokolle: maximal 12 Monate. f) Anruferdaten (als Auftragsverarbeiter verarbeitet): gemäß den Anweisungen des Nutzers (Verantwortlichen) aufbewahrt und innerhalb von 30 Tagen nach Kontobeendigung gelöscht.

7.1. Die Marketing-Website (callmerlin.app) verwendet: a) Unbedingt erforderliche Cookies: für Authentifizierung, Sitzungsintegrität und Spracheinstellungen. Keine Einwilligung erforderlich. b) Cookielose Analytics: Umami Cloud misst Seitenaufrufe und anonymisierte Nutzungsstatistiken ohne Cookies und ohne personenbezogene Daten. Keine Einwilligung erforderlich. c) Analytische Cookies: zur Messung der Website-Nutzung über Google Analytics 4 (geladen über Google Tag Manager), zur Identifizierung besuchender Unternehmen über Apollo.io Website Visitors und für Sitzungsaufzeichnungen und Heatmaps über Hotjar. Werden nur nach ausdrücklicher Einwilligung (Opt-in) über das Cookie-Banner gesetzt. 7.2. Das Dashboard verwendet unbedingt erforderliche Cookies für Authentifizierung und Sitzungsverwaltung. Optional, nur nach ausdrücklicher Einwilligung über das Cookie-Banner, lädt Hotjar für Sitzungsaufzeichnungen und Heatmaps der Dashboard-Navigation. Sensible Dashboard-Inhalte (z. B. Gespräche, PIN-Daten und Kontonamen) werden in Aufzeichnungen maskiert. 7.3. Das einbettbare Sprach-Widget setzt keine Tracking-Cookies auf der Website des Nutzers. Der Nutzer ist dafür verantwortlich, seine Website-Besucher gemäß der ePrivacy-Richtlinie zu informieren. 7.4. Der Nutzer kann Cookie-Einstellungen über das Cookie-Banner oder die Browsereinstellungen verwalten.

Nach der DSGVO hat jede betroffene Person die folgenden Rechte: a) Auskunftsrecht (Art. 15 DSGVO): das Recht zu erfahren, ob und welche personenbezogenen Daten verarbeitet werden. b) Recht auf Berichtigung (Art. 16 DSGVO): das Recht, unrichtige oder unvollständige Daten korrigieren zu lassen. c) Recht auf Löschung / Vergessenwerden (Art. 17 DSGVO): das Recht, die Löschung personenbezogener Daten zu verlangen, soweit keine gesetzliche Aufbewahrungspflicht besteht. d) Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): das Recht, die Verarbeitung unter bestimmten Umständen einzuschränken. e) Recht auf Datenübertragbarkeit (Art. 20 DSGVO): das Recht, personenbezogene Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. f) Widerspruchsrecht (Art. 21 DSGVO): das Recht, der Verarbeitung auf Grundlage berechtigten Interesses zu widersprechen. g) Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Wo die Verarbeitung auf Einwilligung beruht, kann diese jederzeit widerrufen werden, ohne dass die Rechtmäßigkeit der vorherigen Verarbeitung berührt wird. h) Recht auf Beschwerde bei der niederländischen Datenschutzbehörde (Autoriteit Persoonsgegevens): als Aufsichtsbehörde in den Niederlanden. Website: https://autoriteitpersoonsgegevens.nl Anträge können an privacy@callmerlin.app gerichtet werden. Wir antworten innerhalb von 7 Tagen. Bei komplexen Anträgen kann diese Frist um bis zu 60 Tage verlängert werden; darüber informieren wir die betroffene Person innerhalb der ersten 7 Tage. Anrufer, deren Daten im Auftrag eines Nutzers (unseres Kunden) verarbeitet werden, sollten ihren Antrag in erster Linie an diesen Nutzer richten, der der Verantwortliche ist. Wir unterstützen den Nutzer bei der Bearbeitung solcher Anträge.

CallMerlin hat geeignete technische und organisatorische Maßnahmen implementiert, um personenbezogene Daten vor unbefugter oder unrechtmäßiger Verarbeitung, versehentlichem Verlust, Zerstörung oder Beschädigung zu schützen: a) Verschlüsselung: TLS 1.3 für Daten während der Übertragung; AES-256 für ruhende Daten, einschließlich Zugangsdaten Verbundener Dienste. b) Zugriffskontrolle: Role-Based Access Control (RBAC), Least-Privilege-Prinzip, Zwei-Faktor-Authentifizierung für Admin-Konten, PIN-Verifizierung für Sprachzugang. c) Datenisolation: Multi-Tenant-Architektur mit strikter Trennung pro Konto. d) Überwachung: Echtzeit-Protokollierung und Alarmierung bei ungewöhnlichen Zugriffsmustern und Telefoniemissbrauch. e) Backups: tägliche automatisierte Backups mit verschlüsselter Speicherung. f) Incident Response: dokumentierter Incident-Response-Plan mit Datenpannenverfahren. g) Sensibilisierung: regelmäßige Mitarbeiterschulungen zum Datenschutz.

Die Plattform richtet sich nicht an Personen unter 16 Jahren. Wir erheben nicht wissentlich personenbezogene Daten von Kindern. Stellen wir fest, dass personenbezogene Daten eines Kindes ohne Zustimmung der Eltern oder Erziehungsberechtigten erhoben wurden, löschen wir diese Daten schnellstmöglich.

11.1. Wenn ein Nutzer Google-Dienste (z. B. Kalender, Docs, Sheets, Kontakte oder Gmail senden) per OAuth verbindet, greift CallMerlin auf Google-Workspace-Nutzerdaten nur zu, um die vom Nutzer per Sprache oder Chat angeforderten nutzerseitigen Funktionen bereitzustellen. 11.2. Limited-Use-Erklärung: Die Verwendung roher oder abgeleiteter Nutzerdaten aus Google-Workspace-APIs entspricht der Google User Data Policy einschließlich der Limited-Use-Anforderungen. 11.3. CallMerlin verwendet, überträgt oder verkauft Google-Workspace-Nutzerdaten (einschließlich roher, aggregierter oder abgeleiteter Daten) nicht, um fundamentale oder allgemeine KI/ML-Modelle zu erstellen, zu trainieren oder zu verbessern. 11.4. Werden Google-Workspace-Daten von einem Drittanbieter-KI-Dienst zur Inference verarbeitet (um die Anfrage zu verstehen und Tools auszuführen), ist diese Verarbeitung auf die nutzergerichtete Funktion beschränkt. Mit Anbietern ist vereinbart, dass Kundendaten über die API ohne ausdrückliche Erlaubnis nicht für das Modelltraining verwendet werden. 11.5. Nutzer können den Google-Zugriff jederzeit über CallMerlin-Verbindungen und über https://myaccount.google.com/permissions widerrufen.

12.1. CallMerlin kann diese Datenschutzerklärung von Zeit zu Zeit ändern. Änderungen werden mindestens 30 Tage im Voraus per E-Mail an die registrierte E-Mail-Adresse angekündigt. 12.2. Die aktuelle Version der Datenschutzerklärung ist stets unter callmerlin.app/de/legal/privacy verfügbar. 12.3. Die fortgesetzte Nutzung der Plattform nach dem Inkrafttreten der geänderten Datenschutzerklärung gilt als Annahme.

Bei Fragen zu dieser Datenschutzerklärung oder zur Ausübung Ihrer Rechte: Small Guy B.V. (CallMerlin) E-Mail: privacy@callmerlin.app Wir antworten innerhalb von 7 Tagen. Sie können auch eine Beschwerde bei der niederländischen Datenschutzbehörde einreichen: https://autoriteitpersoonsgegevens.nl