Datenschutzerklärung

1. Datenschutz auf einen Blick

Allgemeine Hinweise

Die folgenden Hinweise geben einen einfachen Überblick darüber, was mit Ihren personenbezogenen Daten passiert, wenn Sie diese Website besuchen. Personenbezogene Daten sind alle Daten, mit denen Sie persönlich identifiziert werden können.

2. Verantwortliche Stelle

Zavulo GmbH
Im Isengrind 35
8046 Zürich
Schweiz
E-Mail: info@zavulo.space

EU-Vertreter nach Art. 27 DSGVO

Da die Zavulo GmbH ihren Sitz in der Schweiz hat und personenbezogene Daten von EU-Bürgern verarbeitet, sind wir gemäß Art. 27 DSGVO verpflichtet, einen Vertreter in der Europäischen Union zu benennen. Die Bestellung eines entsprechenden EU-Vertreters ist derzeit in Vorbereitung. Bis zur formellen Benennung können Anfragen aus der EU formlos an die oben genannte E-Mail-Adresse gerichtet werden – wir leiten diese unverzüglich an unseren zukünftigen EU-Vertreter weiter und gewährleisten die fristgerechte Bearbeitung gemäß Art. 12-22 DSGVO.

3. Datenerfassung auf dieser Website

Wie erfassen wir Ihre Daten?

Ihre Daten werden zum einen dadurch erhoben, dass Sie uns diese mitteilen (z. B. bei der Registrierung oder Kontaktaufnahme). Andere Daten werden automatisch oder nach Ihrer Einwilligung beim Besuch der Website durch unsere IT-Systeme erfasst.

Welche Daten erfassen wir?

• Name und E-Mail-Adresse (bei Registrierung)
• Geschäftsdaten (z. B. Öffnungszeiten, Dienstleistungen)
• Chat-Verläufe (zur Bereitstellung des Chatbot-Dienstes)
• Buchungsanfragen (Name, E-Mail, Telefon, gewünschter Termin)
• Technische Daten (IP-Adresse, Browser-Typ, Zeitstempel)

4. Zweck der Datenverarbeitung

Wir verarbeiten Ihre Daten für folgende Zwecke:

• Bereitstellung des KI-Chatbots und der Terminbuchungsfunktion
• Benutzerauthentifizierung und -verwaltung
• Kundensupport und technische Optimierung
• Vertragserfüllung und Abrechnung
• Erfüllung gesetzlicher Aufbewahrungspflichten

5. Rechtsgrundlage

Die Verarbeitung erfolgt gemäß Art. 6 DSGVO auf Basis von:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung)
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)

6. Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie dies zur Erfüllung der genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies vorsehen. Chat-Verläufe werden für die Dauer der Nutzung des Dienstes gespeichert und können jederzeit gelöscht werden.

7. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter: info@zavulo.space

Unabhängig davon haben Sie das Recht, sich bei der für Ihren Wohnsitz zuständigen Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für die Schweiz ist dies der EDÖB (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter). EU-Bürger können sich darüber hinaus an die Aufsichtsbehörde ihres jeweiligen Mitgliedstaats wenden – etwa in Deutschland den BfDI, in Österreich die DSB.

8. Hosting & Infrastruktur

Die Zavulo-Plattform nutzt für ihre Kerninfrastruktur (Hosting, Datenbank, KI-Inferenz) ausschließlich Anbieter mit Datenverarbeitung in der Europäischen Union. Für die in Abschnitt 9 aufgeführten optionalen Drittdienste – namentlich Google-Login und Google-Calendar-Sync – können bei Aktivierung durch Sie Daten in die USA übertragen werden; die jeweilige Rechtsgrundlage ist ebenfalls in Abschnitt 9 erläutert.

• Vercel Inc. (Bereitstellung der Web-Application). Unsere Serverless Functions werden nach Möglichkeit in der EU-Region Frankfurt (fra1) deployed (Vercel-Plan-abhängig) – die tatsächlich aktive Region ist im Vercel-Dashboard unter „Functions Region" einsehbar. Globale Edge-Caching-Knoten von Vercel können außerhalb der EU antworten; Endkunden-Chat-Inhalte werden nicht über diese Edge-CDN transportiert.
• Neon (spezialisierter PostgreSQL-Anbieter). Die Datenbank mit allen BotConfigs, Buchungen, Chat-Logs und User-Accounts liegt in der EU-Region Frankfurt.
• Mistral AI SAS (KI-Inferenz für den Chatbot). Server- Standort Paris/Frankreich, siehe Abschnitt 10 für Details zur Sub-Processor-Vereinbarung.

Wir setzen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein: TLS 1.3 für die Datenübertragung, AES-256-Verschlüsselung für sensible Token- Geheimnisse (BotConfig.calendlyAccessToken, googleRefreshToken) via ENCRYPTION_SECRET, Rate-Limits für eingehende API-Anfragen (IP-tier + Bot-tier Kostenkontrolle gegen Angriffs-Surface-Aufblähung).

9. Drittanbieter & Cookies

Für folgende Funktionen setzen wir externe Sub-Processor ein, mit denen wir Auftragsverarbeitungs-Verträge gemäß Art. 28 DSGVO abgeschlossen haben:

• Stripe Payments Europe Ltd. (Zahlungsabwicklung). Verarbeitung in der EU (Irland); Datenschutzerklärung: stripe.com/de/privacy.
• Resend Inc. (Transaktions-E-Mails). Konfiguriert mit EU-Datenresidenz (Frankfurt); Datenschutzerklärung: resend.com/legal/privacy-policy.
• Mistral AI SAS (KI-Inferenz für den Chatbot). Details siehe Abschnitt 10.
• Google LLC (OAuth-Login, optional Google Calendar Sync – nur wenn Sie diese Features aktivieren). Bei Aktivierung dieser Features findet ein Daten-Transfer in die USA statt. Die Rechtsgrundlage hierfür ist die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework (DPF) gemäß Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 – der Transfer erfolgt damit auf einer DSGVO-konformen Grundlage gemäß Art. 45 DSGVO, ohne dass zusätzliche Standardvertragsklauseln (SCCs) erforderlich sind.

Wir verwenden keine Tracking-Cookies ohne Ihre ausdrückliche Einwilligung (siehe Cookie-Banner). Funktionale Cookies für die Authentifizierung werden gemäß Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) eingesetzt.

10. Chatbot & KI-Verarbeitung

Für die KI-gestützten Antworten Ihres Zavulo-Chatbots setzen wir Mistral La Plateforme als Auftragsverarbeiter (Sub-Processor) ein. Mistral AI SAS ist ein französisches Unternehmen mit Server-Standort Paris/Frankreich – alle Chat-Anfragen und -Antworten werden DSGVO-konform innerhalb der Europäischen Union verarbeitet.

Was wird verarbeitet?

Während eines aktiven Chat-Dialogs werden die folgenden Daten an Mistral übermittelt, ausschließlich zum Zweck der Antwortgenerierung:

• Die aktuelle Kunden-Nachricht (z. B. „Haben Sie morgen 14 Uhr frei?")
• Die Geschäftsdaten aus Ihrer BotConfig (Öffnungszeiten, Dienstleistungen, bereits belegte Slots) als System-Kontext
• Der Verlauf der aktuellen Konversation (max. 10 letzte Nachrichten pro Session)

Personenbezogene Daten wie Name, E-Mail-Adresse oder Adresse werden nur dann an Mistral übermittelt, wenn der Kunde diese im Chat-Verlauf preisgegeben hat. Die Speicherung dieser Daten erfolgt in unserer eigenen EU-Datenbank (Neon), nicht bei Mistral.

Kein Training, kein Drittland-Transfer

Mistral AI SAS verarbeitet Chat-Daten gemäß dem Standard-Mistral-ToS, der eine Auftragsverarbeitungs-Klausel (DPA) sowie eine ausdrückliche No-Training-Klausel enthält: Mistral verwendet Ihre Prompts und Antworten nicht für das Training oder die Verbesserung seiner Modelle. Diese Garantie greift im Standardvertrag – es ist kein Enterprise-Vertrag oder gesonderte DPA-Verhandlung erforderlich.

Die Chat-Inferenz erfolgt in Paris/Frankreich und die Persistenz (Datenbank, Token-Geheimnisse) liegt in der EU. Für Inferenz- und Persistenz-Daten findet kein Drittland-Transfer gemäß Art. 44 ff. DSGVO statt. Für die Auslieferung statischer Assets über das globale Vercel-CDN-Netzwerk können in seltenen Fällen Edge-Knoten außerhalb der EU antworten – dies überträgt in der Regel keine Endkunden-Chat-Inhalte. EU-Standardvertragsklauseln (SCCs) sind für die Inferenz- und Persistenzpfade nicht erforderlich.

Speicherdauer & Löschung

Chat-Logs werden in unserer EU-Datenbank gespeichert, solange Sie den Zavulo-Service aktiv nutzen. Sie können die Löschung aller Chat-Verläufe eines BotConfig jederzeit per E-Mail an info@zavulo.space anfordern – dies geschieht in der Regel binnen 7 Tagen.

Verantwortlichkeit gegenüber Endkunden

Sie (als Zavulo-Kunde) sind für die Information Ihrer Endkunden über die KI-gestützte Verarbeitung auf Ihrer eigenen Website verantwortlich. Zavulo empfiehlt, einen Link auf diese /datenschutz-Seite oder eine vergleichbare Datenschutzerklärung in das Bot-Widget einzubinden. Endkunden, die Auskunft oder Löschung ihrer Chat-Daten verlangen, können sich direkt an Sie (den Bot-Owner) wenden – wir unterstützen Sie bei der Umsetzung gemäß Art. 12-22 DSGVO binnen 7 Tagen.

11. Google API Services User Data Policy (Limited Use Disclosure)

The use and transfer of information received from Google APIs to any other app by Zavulo Kalender will adhere to the Google API Services User Data Policy, including the Limited Use requirements.