RechtlichesDatenschutz­erklärung

Diese Datenschutzerklärung beschreibt, wie die terminio.ai UG (haftungsbeschränkt) personenbezogene Daten verarbeitet. Sie gilt für den Besuch unserer Website, für die Anlage und die Nutzung eines Kontos, für unsere Webanwendung und, sobald sie verfügbar sind, für die in Vorbereitung befindlichen Apps für iPhone, Android und Smartwatch, für die öffentlichen Buchungsseiten unserer Kunden unter einer Adresse der Form terminio.ai/name sowie für Gespräche mit dem KI-Telefonassistenten. Wir informieren Sie damit nach Art. 13 und Art. 14 DSGVO.

terminio.ai ist eine Software as a Service für Betriebe mit Terminen, etwa Friseure, Kosmetik, Praxen, Physiotherapie, Werkstätten, Fahrschulen, Tierärzte, Studios, Kanzleien und Handwerk. Aus dieser Konstellation folgt eine Besonderheit, die für das Verständnis dieser Erklärung entscheidend ist: Bei einem Teil der Daten sind wir selbst Verantwortlicher, bei einem anderen Teil verarbeiten wir ausschließlich im Auftrag und nach Weisung des Betriebs, der den Dienst einsetzt. Ziffer 3 erklärt diese Trennung im Einzelnen.

Unsere Website ist in 15 Sprachen verfügbar. Die Rechtstexte werden auf Deutsch geführt. Die deutsche Fassung ist maßgeblich.

1. Auf einen Blick

• Verantwortlich für die in dieser Erklärung beschriebenen eigenen Verarbeitungen ist die terminio.ai UG (haftungsbeschränkt), Richard-Goldberg-Str. 15B, 02779 Großschönau, Deutschland.
• Wir verarbeiten Daten, um die Software bereitzustellen, Konten zu führen, Buchungen und Erinnerungen abzuwickeln, Zahlungen zu ermöglichen, den Telefonassistenten zu betreiben, Support zu leisten, abzurechnen und den Dienst gegen Missbrauch zu schützen.
• Für Website, Konto, Abrechnung, Support, Sicherheit und Reichweitenmessung sind wir Verantwortlicher. Für Termin-, Kunden- und Gesprächsdaten, die ein Betrieb über den Dienst verarbeitet, ist der Betrieb Verantwortlicher und wir sind sein Auftragsverarbeiter.
• Die Daten liegen überwiegend in der Europäischen Union. Datenbank, Authentifizierung und Dateispeicher werden in Frankfurt betrieben. Einzelne Dienstleister verarbeiten auch außerhalb des Europäischen Wirtschaftsraums, abgesichert über einen Angemessenheitsbeschluss der Europäischen Kommission oder über die Standardvertragsklauseln der Europäischen Kommission vom 4. Juni 2021; Einzelheiten stehen in Ziffer 10.
• Rechtsgrundlagen sind je nach Verarbeitung die Erfüllung eines Vertrags, eine gesetzliche Pflicht, unser berechtigtes Interesse oder Ihre Einwilligung.
• Ohne Ihre Einwilligung setzen wir nur technisch notwendige Cookies und vergleichbare Speichertechniken ein. Die Reichweitenmessung mit Microsoft Clarity läuft ausschließlich nach Einwilligung.
• Wir nutzen Kundeninhalte, Termindaten und Gesprächsdaten nicht, um allgemeine Modelle der künstlichen Intelligenz zu trainieren, und geben sie nicht zu diesem Zweck an Dritte weiter.
• Wir verkaufen keine personenbezogenen Daten und vermieten sie nicht an Werbenetzwerke.
• Wie lange wir welche Daten speichern, steht vollständig in der Tabelle in Ziffer 11. Die Fristen reichen von einem Tag bis zu zehn Jahren für Handelsbücher; manche Angaben speichern wir gar nicht.
• Sie haben Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch, Widerruf erteilter Einwilligungen und Beschwerde. Ziffer 13 beschreibt, wie Sie sie ausüben.
• Sie erreichen uns in allen Datenschutzfragen unter legal@terminio.ai, telefonisch unter +49 176 64095202 oder postalisch unter der oben genannten Anschrift.
• Zuständige Aufsichtsbehörde ist Die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden.

2. Verantwortlicher, Kontakt und Aufsichtsbehörde

2.1 Verantwortlicher im Sinne der DSGVO

terminio.ai UG (haftungsbeschränkt)
Richard-Goldberg-Str. 15B
02779 Großschönau
Deutschland

Registergericht: Amtsgericht Dresden, HRB 48484
Vertreten durch die Geschäftsführerin Antonia Müller
E-Mail: legal@terminio.ai
Telefon: +49 176 64095202
Umsatzsteuer-Identifikationsnummer: beantragt, noch nicht erteilt

Weitere Pflichtangaben finden Sie im Impressum.

2.2 Kontakt in Datenschutzfragen

Für alle Anliegen zum Datenschutz, für die Ausübung Ihrer Rechte, für Hinweise auf Sicherheitslücken und für die Meldung von Missbrauch nutzen Sie bitte die Adresse legal@terminio.ai. Diese Adresse wird von uns regelmäßig gelesen. Bitte beschreiben Sie Ihr Anliegen so konkret wie möglich und geben Sie an, auf welches Konto, welche Buchung oder welchen Anruf es sich bezieht, damit wir Ihre Daten überhaupt auffinden können. Wenn Sie uns schreiben, nutzen wir Ihre Kontaktdaten ausschließlich zur Bearbeitung Ihres Anliegens.

2.3 Kein Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt. Wir prüfen die Benennungspflicht nach § 38 BDSG regelmäßig und ergänzen diese Erklärung unverzüglich, sobald wir einen Datenschutzbeauftragten benennen. Bis dahin beantwortet die in Ziffer 2.2 genannte Adresse alle Anfragen, die sonst an einen Datenschutzbeauftragten zu richten wären.

2.4 Zuständige Aufsichtsbehörde

Die Sächsische Datenschutz- und Transparenzbeauftragte
Devrientstraße 5
01067 Dresden
Internet: datenschutz.sachsen.de

Sie können sich unabhängig davon auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden. Ein Beschwerderecht besteht unabhängig davon, ob Sie sich zuvor an uns gewandt haben. Wir empfehlen dennoch, uns zuerst anzusprechen, weil sich die meisten Anliegen so schneller klären lassen.

3. Zwei Rollen: wann wir Verantwortlicher und wann wir Auftragsverarbeiter sind

3.1 Die Aufteilung im Überblick

Der Dienst wird von Betrieben eingesetzt, die damit Termine ihrer eigenen Kundschaft verwalten. Deshalb hängt unsere datenschutzrechtliche Rolle davon ab, um welche Daten es geht.

3.2 Was das für Sie bedeutet

Sind wir Verantwortlicher, entscheiden wir über Zwecke und Mittel der Verarbeitung. Dann richten Sie Ihre Anliegen unmittelbar an uns, und wir beantworten sie selbst.

Sind wir Auftragsverarbeiter, entscheidet der Betrieb, welche Daten er erhebt, zu welchem Zweck er sie verarbeitet, auf welche Rechtsgrundlage er sich stützt und wie lange er sie aufbewahrt. Wir verarbeiten diese Daten ausschließlich auf dokumentierte Weisung, greifen nicht zu eigenen Zwecken darauf zu und werten sie nicht aus. Der Betrieb ist deshalb Ihre erste Anlaufstelle, wenn Sie als Endkundin oder Endkunde Auskunft, Berichtigung oder Löschung verlangen. Nur der Betrieb kennt den Zusammenhang, in dem Ihre Daten stehen, und nur er darf über sie entscheiden.

3.3 Wie wir Anfragen weiterleiten

Erreicht uns eine Anfrage, für die ein Betrieb verantwortlich ist, gehen wir wie folgt vor. Wir bestätigen den Eingang, ordnen die Anfrage dem betroffenen Betrieb zu und leiten sie unverzüglich, in der Regel innerhalb von zwei Werktagen, an dessen hinterlegte Kontaktadresse weiter. Wir teilen Ihnen mit, an welchen Betrieb wir weitergeleitet haben, damit Sie den weiteren Verlauf verfolgen können. Wir beantworten die Anfrage nicht selbst und löschen oder ändern keine Daten ohne Weisung, weil uns dazu die Befugnis fehlt und wir sonst in die Rechte des Betriebs und möglicherweise in dessen gesetzliche Aufbewahrungspflichten eingreifen würden. Wir unterstützen den Betrieb technisch bei der Beantwortung, etwa durch Export- und Löschfunktionen im Produkt. Die Weiterleitung selbst stützen wir auf Art. 6 Abs. 1 lit. f DSGVO und auf unsere Pflicht aus Art. 28 Abs. 3 lit. e DSGVO, den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen.

3.4 Grundlage der Auftragsverarbeitung

Für jede Verarbeitung im Auftrag besteht ein Vertrag nach Art. 28 DSGVO. Er ist als Auftragsverarbeitungsvertrag Bestandteil des Vertragsverhältnisses mit jedem Betrieb und wird ohne gesonderte Unterschrift wirksam. Er regelt insbesondere Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Kategorien betroffener Personen, die Weisungsbindung, die Vertraulichkeit der eingesetzten Personen, die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Einbindung von Unterauftragsverarbeitern, die Unterstützung bei Betroffenenrechten und bei Meldepflichten sowie die Löschung und Rückgabe nach Vertragsende.

4. Begriffe

Die folgenden Begriffe verwendet die DSGVO. Wir erläutern sie kurz, damit die weiteren Abschnitte ohne Nachschlagen verständlich sind. Maßgeblich sind die gesetzlichen Definitionen in Art. 4 DSGVO.

5. Verarbeitungen im Einzelnen

Die folgenden Unterabschnitte sind einheitlich aufgebaut. Jeder nennt, was verarbeitet wird, zu welchem Zweck, auf welcher Rechtsgrundlage mit Artikel und Buchstabe, wer die Daten erhält, wie lange sie gespeichert bleiben, ob die Angabe verpflichtend oder freiwillig ist und wie Sie widersprechen oder widerrufen können. Wo wir als Auftragsverarbeiter tätig sind, ist das ausdrücklich vermerkt, und die Angaben zu Rechtsgrundlage und Speicherdauer beschreiben, was wir vertraglich vorsehen, während die Entscheidung beim Betrieb liegt.

5.1 Aufruf der Website und Server-Logs

Was wird verarbeitet. Beim Aufruf unserer Website, unserer Anwendung oder einer Buchungsseite übermittelt Ihr Endgerät technisch notwendige Daten, die in Server-Logs erfasst werden: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Adresse und Methode, übertragene Datenmenge, Statuscode der Antwort, die zuvor besuchte Seite, Browsertyp und Browserversion, Betriebssystem sowie eine Kennung der Anfrage zur Fehlersuche.

Zweck. Auslieferung der angeforderten Inhalte, Sicherstellung der Stabilität und der Betriebssicherheit, Erkennung und Behebung von Fehlern, Nachvollziehbarkeit von Zugriffen bei Störungen sowie Aufklärung von Angriffen und Missbrauch.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht am sicheren, stabilen und nachvollziehbaren Betrieb des Dienstes. Ohne Protokollierung ließen sich weder Fehler noch Angriffe untersuchen. Ihr gegenläufiges Interesse haben wir berücksichtigt, indem wir die Speicherdauer eng begrenzen und die Protokolle nicht mit anderen Datenbeständen zusammenführen, um Nutzungsprofile zu bilden.

Empfänger. Supabase, Inc. über Lovable Cloud als Betreiber der Infrastruktur und Cloudflare, Inc. als Betreiber der Auslieferungsschicht. Beide verarbeiten weisungsgebunden für uns. Die Schriften aller Seiten, auch der Buchungsseiten, liefern wir selbst aus. Hat ein Betrieb für seine Buchungsseite ein Hintergrundbild oder -video aus der Bilddatenbank Pexels gewählt, bei älteren Einstellungen auch ein Video von Mixkit, ruft unser Server die Datei dort ab und liefert sie über terminio.ai aus. Ihr Browser verbindet sich dafür nicht mit Pexels oder Mixkit; Ihre IP-Adresse, Cookies und die Adresse der aufgerufenen Buchungsseite erhalten diese Anbieter nicht.

Speicherdauer. In der Regel 7 bis 30 Tage. Wird ein Eintrag zur Aufklärung eines Sicherheitsvorfalls oder zur Verfolgung eines Missbrauchsfalls benötigt, bewahren wir ihn bis zum Abschluss der Aufklärung und einer etwaigen rechtlichen Auseinandersetzung auf.

Pflicht oder Freiwilligkeit. Die Übermittlung ist technisch zwingend. Ohne diese Daten kann keine Verbindung aufgebaut und keine Seite ausgeliefert werden. Eine Angabe im eigentlichen Sinne findet nicht statt.

Widerspruch und Widerruf. Sie können der Verarbeitung nach Art. 21 Abs. 1 DSGVO aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir prüfen den Widerspruch. Da die Protokollierung für den sicheren Betrieb unerlässlich ist, überwiegen in der Regel zwingende schutzwürdige Gründe. Wir teilen Ihnen das Ergebnis der Abwägung mit.

5.2 Auslieferung über ein Content-Delivery-Netzwerk und Angriffsschutz

Was wird verarbeitet. IP-Adresse, Verbindungs- und Anfragemerkmale, Angaben zur Verschlüsselungsverbindung, Herkunftsregion sowie Merkmale, die auf automatisierte Zugriffe hindeuten, etwa Häufigkeit und Muster der Anfragen. Bei auffälligen Zugriffen kann eine zusätzliche Prüfung erfolgen, bevor die Anfrage durchgelassen oder abgewiesen wird.

Zweck. Schnelle Auslieferung statischer Inhalte, Verteilung der Last, Abwehr von Überlastungsangriffen, Schutz der Anmeldung vor automatisierten Anmeldeversuchen, Filterung schädlicher Anfragen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Verfügbarkeit und die Integrität des Dienstes. Gerade weil über den Dienst Termine und Kundendaten von Betrieben verwaltet werden, ist ein wirksamer Schutz gegen Angriffe zugleich im Interesse aller betroffenen Personen.

Empfänger. Cloudflare, Inc.

Speicherdauer. Die Analyse erfolgt weitgehend in Echtzeit. Protokolle über abgewehrte Zugriffe speichern wir für längstens 30 Tage, im Fall eines laufenden Angriffs bis zu dessen Aufklärung.

Pflicht oder Freiwilligkeit. Die Verarbeitung ist Teil der Auslieferung und nicht abwählbar, solange Sie den Dienst nutzen.

Widerspruch und Widerruf. Ein Widerspruch nach Art. 21 Abs. 1 DSGVO ist möglich. Die Schutzfunktion lässt sich für einzelne Personen jedoch nicht abschalten, ohne den Schutz aller aufzugeben. Wir prüfen deshalb, ob eine Ausnahme im Einzelfall technisch vertretbar ist, und begründen unsere Entscheidung.

5.3 Cookies, ähnliche Techniken und Einwilligungsverwaltung

Was wird verarbeitet. Informationen, die auf Ihrem Endgerät gespeichert oder aus ihm ausgelesen werden. Technisch notwendig sind die Anmeldeinformation für die Anwendung, ein Cookie von Cloudflare zur Abwehr automatisierter Zugriffe, die Speicherung der gewählten Sprache und Ihrer Cookie-Entscheidung sowie Zwischenstände eines Buchungs- oder Bezahlvorgangs. Nicht notwendig und nur nach Einwilligung sind die Merkmale der Reichweitenmessung nach Ziffer 5.17. Ihre Cookie-Entscheidung speichern wir auf Ihrem Endgerät zusammen mit dem Zeitpunkt und der Fassung des Hinweises. Die vollständige Übersicht enthält die Cookie-Richtlinie.

Zweck. Betrieb der Anmeldung und der Anwendung, Sicherheit der Sitzung, Beibehaltung Ihrer Einstellungen, Einholung, Dokumentation und Umsetzung Ihrer Einwilligung.

Rechtsgrundlage. Für die Speicherung und das Auslesen technisch notwendiger Informationen § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. f DSGVO. Für alle nicht notwendigen Techniken § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Für die Dokumentation der Einwilligung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

Empfänger. Technisch notwendige Informationen verbleiben in unserer Infrastruktur bei Supabase, Inc. über Lovable Cloud und Cloudflare, Inc. Einwilligungspflichtige Techniken führen zu einer Übermittlung an Microsoft Ireland Operations Ltd., und nur dann, wenn Sie eingewilligt haben.

Speicherdauer. Sitzungsmerkmale enden mit der Sitzung oder nach der hinterlegten Gültigkeitsdauer. Ihre Cookie-Entscheidung liegt auf Ihrem Endgerät und gilt zwölf Monate; danach, oder wenn sich die Fassung des Hinweises geändert hat, fragen wir erneut. Eine Kopie davon speichern wir nicht auf unseren Servern. Die Laufzeiten der einzelnen Cookies nennt die Cookie-Richtlinie.

Pflicht oder Freiwilligkeit. Technisch notwendige Cookies sind für den Betrieb erforderlich. Alle übrigen sind freiwillig. Wenn Sie ablehnen, bleibt der Dienst vollständig nutzbar.

Widerspruch und Widerruf. Sie können Ihre Einwilligung jederzeit über den Link „Cookie-Einstellungen" im Fußbereich der Website, auch auf den albanischsprachigen Branchenseiten, oder über den Link in der Cookie-Richtlinie widerrufen. Der Link löscht Ihre gespeicherte Entscheidung und öffnet den Cookie-Hinweis erneut; lief die Reichweitenmessung, wird sie beendet, wie in Ziffer 5.17 beschrieben. Der Widerruf wirkt für die Zukunft. Zusätzlich können Sie gespeicherte Informationen in Ihrem Browser löschen.

5.4 Registrierung und Konto

Was wird verarbeitet. Name der Ansprechperson, E-Mail-Adresse, Passwort ausschließlich als kryptografischer Hashwert, Firmierung und Anschrift des Betriebs, Telefonnummer, gewählte Sprache, Zeitzone, angebotene Leistungen mit Dauer und Preis, Öffnungs- und Arbeitszeiten, Abwesenheiten, angelegte Mitarbeitende mit Rolle und Berechtigung sowie die Adresse der öffentlichen Buchungsseite.

Zweck. Begründung und Durchführung des Nutzungsvertrags, Einrichtung und Verwaltung des Kontos, Zuordnung von Berechtigungen innerhalb des Betriebs, Bereitstellung der öffentlichen Buchungsseite, Kommunikation über den Dienst.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO für die Durchführung des Vertrags mit dem Betrieb. Für die Daten der Mitarbeitenden, die der Betrieb anlegt, ist der Betrieb Verantwortlicher, wir sind insoweit Auftragsverarbeiter. Für die Ansprechperson des Betriebs stützen wir uns ergänzend auf Art. 6 Abs. 1 lit. f DSGVO, weil wir einen festen Kontaktweg für vertragliche Mitteilungen benötigen.

Nachweis der Vertragsannahme. Bei der Registrierung und auf der Bezahlseite weisen wir darauf hin, dass der Dienst nur für Unternehmer bestimmt ist und dass die AGB und der AVV gelten. Zum Nachweis der Annahme speichern wir den Zeitpunkt, den Weg (Registrierung mit E-Mail-Adresse, mit Google oder mit Apple oder Bestellung über die Bezahlseite), die Sprache der Seite und die Fassung der angenommenen AGB und des AVV, dazu die Zuordnung zum Konto, bei einer Bestellung die Kennung der Bestellung beim Zahlungsdienstleister und die Angabe, ob das Kästchen zur Annahme auf der Bezahlseite angeklickt wurde. Fassung und Sprache stehen außerdem bei der Bestellung beim Zahlungsdienstleister. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für den Nachweis des Abschlusses des AVV zusätzlich Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 28 Abs. 3 und 9 und Art. 5 Abs. 2 DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, den Vertragsschluss und die jeweils geltende Fassung nachweisen zu können. Diese Angaben bewahren wir für die Vertragslaufzeit zuzüglich der gesetzlichen Verjährungsfrist auf.

Empfänger. Supabase, Inc. über Lovable Cloud für Speicherung und Authentifizierung, Lovable für den Versand der Bestätigungs- und Systemnachrichten, Cloudflare, Inc. für die Auslieferung.

Speicherdauer. Für die Dauer des Vertrags. Nach dessen Ende halten wir die Daten 30 Tage zum Export bereit und löschen sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht. Abrechnungsrelevante Daten unterliegen den Fristen aus Ziffer 5.12.

Pflicht oder Freiwilligkeit. Name, E-Mail-Adresse und Passwort sind für die Anlage eines Kontos erforderlich. Firmierung und Anschrift benötigen wir für Vertrag und Rechnung. Alle weiteren Angaben, etwa Leistungsbeschreibungen und Bilder, sind freiwillig und dienen der Gestaltung Ihrer Buchungsseite.

Widerspruch und Widerruf. Sie können das Konto jederzeit kündigen und damit die Verarbeitung beenden. Einzelne Angaben können Sie in den Einstellungen ändern oder entfernen. Ein Widerspruch gegen die Verarbeitung zur Vertragserfüllung ist rechtlich nicht vorgesehen, weil ohne diese Daten kein Dienst erbracht werden kann.

5.5 Anmeldung mit Google

Was wird verarbeitet. Auf der Anmelde- und Registrierungsseite wird der Knopf „Mit Google anmelden" von Google geladen. Schon beim Aufruf dieser Seite erhält Google dabei Ihre IP-Adresse und technische Angaben zum Browser, und Google kann den Cookie g_state setzen, der den Anzeigestatus des Anmeldedialogs festhält. Wenn Sie sich mit Ihrem Google-Konto anmelden, erhalten wir über die Berechtigungen openid, email und profile eine eindeutige Kennung Ihres Google-Kontos, Ihre E-Mail-Adresse und deren Bestätigungsstatus, Ihren angezeigten Namen und, sofern vorhanden, Ihr Profilbild. Ein Passwort erhalten wir nicht.

Zweck. Anlage und Wiedererkennung Ihres Kontos ohne eigenes Passwort, Absicherung der Anmeldung, Verknüpfung eines bestehenden Kontos mit derselben E-Mail-Adresse.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, weil die Anmeldung Voraussetzung für die Nutzung des Dienstes ist und Sie diesen Anmeldeweg selbst wählen. Die Übermittlung von Google zu uns beruht auf Ihrer Handlung im Anmeldedialog von Google. Für das Laden des Anmeldeknopfs beim Aufruf der Anmeldeseite stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser Interesse ist es, die Anmeldung mit Google ohne zusätzlichen Zwischenschritt anzubieten.

Empfänger. Google Ireland Limited als Betreiber des Anmeldedienstes, Supabase, Inc. über Lovable Cloud für die Speicherung der Kontoverknüpfung.

Speicherdauer. Für die Dauer des Kontos. Trennen Sie die Verknüpfung, löschen wir die Google-Kennung und behalten das Konto mit E-Mail-Adresse und Passwort bei, sofern Sie eines gesetzt haben.

Pflicht oder Freiwilligkeit. Vollständig freiwillig. Sie können sich stattdessen mit E-Mail-Adresse und Passwort registrieren.

Widerspruch und Widerruf. Sie können die Verknüpfung in den Kontoeinstellungen aufheben und zusätzlich den Zugriff in den Google-Kontoberechtigungen entziehen. Einzelheiten zu den Google-Nutzerdaten stehen in Ziffer 7.

5.5a Anmeldung mit Apple

Was wird verarbeitet. Wenn Sie sich mit Ihrer Apple-ID anmelden, erhalten wir von Apple eine eindeutige Kennung Ihrer Apple-ID, Ihre E-Mail-Adresse oder, wenn Sie das bei Apple so wählen, eine von Apple erzeugte Weiterleitungsadresse, und bei der ersten Anmeldung Ihren Namen, soweit Sie ihn freigeben. Ein Passwort erhalten wir nicht. Das Anmeldeskript von Apple wird erst geladen, wenn Sie den Knopf für die Anmeldung mit Apple wählen.

Zweck. Anlage und Wiedererkennung Ihres Kontos ohne eigenes Passwort, Absicherung der Anmeldung.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, weil die Anmeldung Voraussetzung für die Nutzung des Dienstes ist und Sie diesen Anmeldeweg selbst wählen.

Empfänger. Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland, als Betreiber des Anmeldedienstes, Supabase, Inc. über Lovable Cloud für die Speicherung der Kontoverknüpfung. Apple kann Daten auch an die Apple Inc. in den USA übermitteln; dafür gelten die Datenschutzhinweise von Apple.

Speicherdauer. Für die Dauer des Kontos.

Pflicht oder Freiwilligkeit. Vollständig freiwillig. Sie können sich stattdessen mit E-Mail-Adresse und Passwort registrieren.

Widerspruch und Widerruf. Sie können die Verknüpfung in den Einstellungen Ihrer Apple-ID unter den Apps, die „Mit Apple anmelden" verwenden, aufheben. Ihr Konto bei uns können Sie jederzeit kündigen.

5.6 Nutzung der Anwendung und Protokolle im Konto

Was wird verarbeitet. Zeitpunkt von Anmeldung und Abmeldung, verwendete Anwendung und Version, grobe Angaben zum Gerät und zum Browser, sicherheitsrelevante Vorgänge wie Passwortänderung, Änderung der E-Mail-Adresse, Einladung und Entfernung von Mitarbeitenden, Änderung von Rollen und Berechtigungen sowie Fehlermeldungen und Diagnosedaten, die bei einer Störung anfallen. Außerdem erfassen wir Nutzungsereignisse in der Anwendung, etwa welche Bereiche geöffnet und welche Links geteilt wurden, jeweils mit Zeitpunkt, Seite, Plattform (Web, iPhone oder Android) und der Kennung des handelnden Kontos. Beim Aufruf einer Buchungsseite zählen wir außerdem ohne Cookies, ohne andere Einträge auf Ihrem Gerät und ohne Angaben zur Person, woher der Besuch kam, also die verweisende Website und etwaige Kampagnenangaben (utm-Werte).

Zweck. Nachvollziehbarkeit sicherheitsrelevanter Änderungen innerhalb eines Betriebs, Erkennung unberechtigter Zugriffe, Fehlersuche und Verbesserung der Stabilität, Nachweis gegenüber dem Betrieb, wer welche Änderung vorgenommen hat. Die Nutzungsereignisse dienen der Betreuung unserer Kunden und der Verbesserung des Produkts, die Herkunftsstatistik zeigt dem Betrieb und uns, über welche Wege die Buchungsseite gefunden wird.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO für Sicherheit und Stabilität, Art. 6 Abs. 1 lit. b DSGVO, soweit die Protokolle für die vertragsgemäße Bereitstellung erforderlich sind, sowie Art. 32 DSGVO als Maßstab der zu treffenden Maßnahmen. Für die Nutzungsereignisse und die Herkunftsstatistik Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Betreuung unserer Kunden und der Verbesserung des Produkts. Für Protokolle über Handlungen von Mitarbeitenden eines Betriebs ist der Betrieb Verantwortlicher.

Empfänger. Supabase, Inc. über Lovable Cloud, Cloudflare, Inc. Nutzen Sie in der Anwendung die Bildersuche für die Hintergründe Ihrer Buchungsseite, übermittelt unser Server den Suchbegriff an die Bilddatenbank Pexels, und Ihr Browser lädt die Vorschaubilder unmittelbar von Pexels; dabei erhält Pexels Ihre IP-Adresse und technische Angaben zum Browser. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie die Bildersuche selbst aufrufen.

Speicherdauer. Sicherheitsrelevante Protokolle und Nutzungsereignisse bis zu 90 Tage, Diagnosedaten bis zu 30 Tage, die Herkunftsstatistik der Buchungsseiten zwölf Monate. Länger nur, wenn ein konkreter Vorfall die Aufklärung erfordert.

Pflicht oder Freiwilligkeit. Die Protokollierung ist Bestandteil des Dienstes und nicht abwählbar. Sie schützt zugleich Ihre eigenen Daten.

Widerspruch und Widerruf. Widerspruch nach Art. 21 Abs. 1 DSGVO ist möglich. Wegen der Sicherheitsfunktion überwiegen regelmäßig zwingende schutzwürdige Gründe. Eine Auswertung zur Leistungs- oder Verhaltenskontrolle von Mitarbeitenden nehmen wir nicht vor.

5.7 Buchungen über die öffentliche Buchungsseite

Was wird verarbeitet. Name, Telefonnummer, optional E-Mail-Adresse, gewählte Leistung, gewählter Zeitpunkt und Dauer, die zugeordnete Person im Betrieb, der Status des Termins, der Zahlungsstatus und der gezahlte Betrag, der Zustellstatus der WhatsApp-Nachricht sowie, bei aktivierter Kalendersynchronisation, die Kennung des Google-Kalendereintrags. Endkunden benötigen weder eine App noch ein Konto.

Zweck. Zustandekommen und Abwicklung des Termins zwischen Endkunde und Betrieb, Vermeidung von Doppelbuchungen, Versand von Bestätigung und Erinnerung, Zuordnung einer Zahlung.

Rechtsgrundlage. Wir sind hier Auftragsverarbeiter des Betriebs. Der Betrieb bestimmt die Rechtsgrundlage. Für die Abwicklung des Termins ist das in aller Regel Art. 6 Abs. 1 lit. b DSGVO, weil der Vertrag über die gebuchte Leistung zwischen Endkunde und Betrieb zustande kommt, niemals mit terminio.ai. Ergänzend kann sich der Betrieb auf Art. 6 Abs. 1 lit. f DSGVO stützen, etwa zur Vermeidung von Terminausfällen. Ergeben sich aus der Leistung besondere Kategorien nach Art. 9 DSGVO, muss der Betrieb eine Erlaubnis nach Art. 9 Abs. 2 DSGVO sicherstellen, in der Regel eine ausdrückliche Einwilligung oder die Behandlungssituation.

Empfänger. Supabase, Inc. über Lovable Cloud, Cloudflare, Inc., für die Benachrichtigung über WhatsApp der Server der WhatsApp-Anbindung nach Ziffer 5.9 und, bei Angabe einer E-Mail-Adresse, Lovable für die Bestätigung per E-Mail, Stripe Payments Europe, Limited bei einer Online-Zahlung, Google Ireland Limited bei aktivierter Kalendersynchronisation. Verantwortlich für die Daten bleibt der Betrieb.

Speicherdauer. Nach Weisung des Betriebs. Voreingestellt bleiben Termindaten für die Dauer des Vertrags des Betriebs verfügbar, damit Historie und Terminübersicht funktionieren. Nach Vertragsende gelten die Lösch- und Rückgaberegeln des Auftragsverarbeitungsvertrags.

Pflicht oder Freiwilligkeit. Name und Telefonnummer sind erforderlich, weil der Betrieb Sie sonst nicht erreichen und den Termin nicht bestätigen kann. Die E-Mail-Adresse ist freiwillig und dient der zusätzlichen Buchungsbestätigung per E-Mail.

Widerspruch und Widerruf. Wenden Sie sich an den Betrieb, bei dem Sie gebucht haben. Er entscheidet über Löschung und Widerspruch. Wir leiten Anfragen nach Ziffer 3.3 weiter.

5.8 Kundenkartei und Notizen des Betriebs

Was wird verarbeitet. Name, Telefonnummer und Notizen, die der Betrieb selbst einträgt, dazu die Historie der Termine dieser Person im Betrieb.

Zweck. Wiedererkennung wiederkehrender Kundschaft, Vorbereitung von Terminen, interne Organisation des Betriebs.

Rechtsgrundlage. Bestimmt der Betrieb als Verantwortlicher, üblicherweise Art. 6 Abs. 1 lit. b oder lit. f DSGVO. Trägt der Betrieb in das Notizfeld Angaben ein, die besondere Kategorien nach Art. 9 DSGVO betreffen, etwa Hinweise zu Gesundheit oder Behandlung, benötigt er dafür eine Erlaubnis nach Art. 9 Abs. 2 DSGVO. Wir weisen im Produkt darauf hin, dass das Notizfeld sparsam zu verwenden ist. Unterliegt der Betrieb einer Schweigepflicht nach § 203 StGB, etwa als Praxis oder Kanzlei, sind wir und die von uns eingesetzten Personen als sonstige mitwirkende Personen im Sinne des § 203 Abs. 3 StGB zur Verschwiegenheit verpflichtet, und wir verpflichten unsere Unterauftragsverarbeiter entsprechend.

Empfänger. Supabase, Inc. über Lovable Cloud. Eine Weitergabe an weitere Empfänger findet nur statt, wenn der Betrieb eine Funktion nutzt, die eine solche Weitergabe voraussetzt, etwa den Versand einer Erinnerung.

Speicherdauer. Nach Weisung des Betriebs. Der Betrieb kann Einträge jederzeit löschen. Nach Vertragsende gelten die Regeln des Auftragsverarbeitungsvertrags.

Pflicht oder Freiwilligkeit. Gegenüber uns besteht keine Pflicht zur Angabe. Ob und welche Notizen erfasst werden, entscheidet der Betrieb im Rahmen der Datenminimierung nach Art. 5 Abs. 1 lit. c DSGVO.

Widerspruch und Widerruf. Anlaufstelle ist der Betrieb. Wir greifen auf Kundenkarteien nicht zu eigenen Zwecken zu und werten sie nicht aus.

5.9 Bestätigungen und Erinnerungen über WhatsApp und E-Mail

Was wird verarbeitet. Telefonnummer oder E-Mail-Adresse der empfangenden Person, Name, Angaben zum Termin wie Leistung, Zeitpunkt und Ort, der Text der Nachricht sowie Sende- und Zustellstatus einschließlich Fehlermeldungen des Netzes. WhatsApp-Nachrichten werden von der eigenen Nummer des Betriebs versendet, sodass die empfangende Person den Betrieb als Absender erkennt. Erinnerungen gehen ausschließlich über WhatsApp; per E-Mail versenden wir die Buchungsbestätigung, wenn eine E-Mail-Adresse angegeben wurde.

Zweck. Bestätigung der Buchung, Erinnerung an den Termin, Mitteilung von Änderungen und Absagen, Verringerung nicht wahrgenommener Termine, Nachweis der Zustellung gegenüber dem Betrieb.

Rechtsgrundlage. Wir sind Auftragsverarbeiter. Der Betrieb bestimmt die Rechtsgrundlage, im Regelfall Art. 6 Abs. 1 lit. b DSGVO, weil Bestätigung und Erinnerung zur Abwicklung des Termins gehören. Für darüber hinausgehende, werbliche Nachrichten benötigt der Betrieb eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und muss die Vorgaben des § 7 UWG einhalten. Der Betrieb ist außerdem verpflichtet, die Bedingungen von WhatsApp für sein eigenes Konto einzuhalten und die empfangenden Personen zu informieren.

Empfänger. Der Versand über WhatsApp erfolgt vom eigenen WhatsApp-Konto des Betriebs, das der Betrieb per QR-Code als verknüpftes Gerät mit terminio.ai verbunden hat. Die Verbindung hält ein Server mit der Evolution API, einer nicht offiziellen Schnittstelle zu WhatsApp, den wir dafür einsetzen; Angaben zu seinem Betreiber stehen in Ziffer 9.2. Es handelt sich nicht um die WhatsApp Business Platform. Inhalt und Empfängernummer erhält WhatsApp Ireland Limited als Anbieter des WhatsApp-Kontos des Betriebs; für WhatsApp gelten dessen eigene Datenschutzhinweise, und eine Verarbeitung außerhalb der Europäischen Union ist möglich. Das Adressbuch und die weiteren Funktionen der WhatsApp-App auf dem verknüpften Telefon liegen in der Verantwortung des Betriebs und außerhalb unseres Einflusses. Buchungsbestätigungen per E-Mail versendet Lovable für uns. Die Speicherung des Status erfolgt bei Supabase, Inc. über Lovable Cloud.

Speicherdauer. Zustellprotokolle bis zu 90 Tage, weil sie zur Klärung von Zustellproblemen und zur Abrechnung von Kontingenten benötigt werden. Der Nachrichtenbezug zum Termin bleibt so lange bestehen, wie der Termin gespeichert ist.

Pflicht oder Freiwilligkeit. Ohne Telefonnummer ist keine Bestätigung und keine Erinnerung über WhatsApp möglich. Ob zusätzlich eine Buchungsbestätigung per E-Mail versendet wird, entscheidet die buchende Person durch Angabe ihrer Adresse.

Widerspruch und Widerruf. Der Empfang von Erinnerungen lässt sich beim Betrieb abbestellen. Bei werblichen Nachrichten besteht ein jederzeitiges, kostenfreies Widerspruchsrecht. Da der Betrieb Verantwortlicher ist, richten Sie den Widerspruch an ihn. Erreicht uns ein Widerspruch, leiten wir ihn nach Ziffer 3.3 weiter.

5.10 KI-Telefonassistent

Was wird verarbeitet. Ruft eine Person die für einen Betrieb in den Paketen Pro Voice oder Pro Voice Flex bereitgestellte Rufnummer an, verarbeiten wir die Rufnummer der anrufenden Person, die Startzeit, die Endzeit, die Dauer in Sekunden, das Ergebnis des Gesprächs, eine automatisch erzeugte Zusammenfassung, einen Verweis auf ein Transkript, die Kennungen des Telefonie- und des KI-Anbieters, die Kosten des Gesprächs sowie die Verknüpfung zu einem angelegten, verschobenen oder abgesagten Termin. Während des Gesprächs werden außerdem die Angaben verarbeitet, die die anrufende Person nennt, etwa Name, Wunschleistung und Wunschzeit. Das Gespräch wird nicht als Audio aufgezeichnet, weder in terminio.ai noch bei ElevenLabs Inc.

Zweck. Annahme eingehender Anrufe außerhalb der Erreichbarkeit oder bei Gesprächsandrang, Prüfung des Kalenders in Echtzeit, Buchen, Verschieben und Absagen von Terminen, Beantwortung der vom Betrieb hinterlegten Fragen, Angebot einer Warteliste, Notieren von Rückrufwünschen, auf Wunsch Weiterleitung an eine hinterlegte Rufnummer, Erstellung der Zusammenfassung mit Ergebnis und Dauer in der Anwendung, in den Apps auf Wunsch mit Push-Nachricht, sowie Abrechnung der Gesprächsminuten.

Rechtsgrundlage. Für die Gesprächsdaten sind wir Auftragsverarbeiter des Betriebs, der die Rechtsgrundlage bestimmt, in der Regel Art. 6 Abs. 1 lit. b DSGVO für die Terminvereinbarung und Art. 6 Abs. 1 lit. f DSGVO für die Erreichbarkeit. Für die Abrechnung der verbrauchten Minuten gegenüber dem Betrieb sind wir Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und für die Aufbewahrung der Belege auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Empfänger. Twilio Ireland Limited für die Telefonie, ElevenLabs Inc. für Sprachsynthese und Gesprächsführung einschließlich des KI-Sprachmodells, das ElevenLabs dafür als eigenen Unterauftragsverarbeiter einsetzt, Supabase, Inc. über Lovable Cloud für die Speicherung der Gesprächsdaten, Google Ireland Limited nur dann, wenn der Betrieb die Kalendersynchronisation aktiviert hat.

Speicherdauer. Gesprächsdaten und Zusammenfassungen in terminio.ai für die Dauer des Vertrags des Betriebs, längstens bis zu einer früheren Löschweisung des Betriebs. Bei ElevenLabs Inc. wird das Transkript, auf das der Verweis zeigt, 30 Tage nach dem Gespräch gelöscht; bis dahin bleibt es gespeichert, damit die Zusammenfassung erstellt und das Gespräch nachvollzogen werden kann. Eine Audioaufzeichnung entsteht nicht. Bereits eingerichtete Telefonassistenten werden auf diese Einstellungen und auf den Hinweis zu Beginn des Gesprächs automatisch nach und nach umgestellt; bis zur Umstellung können für kurze Zeit noch die vorherigen Einstellungen gelten, und Gespräche, die vor der Umstellung geführt wurden, ändert ElevenLabs dadurch nicht nachträglich. Abrechnungsrelevante Angaben wie Dauer und Kosten unterliegen den gesetzlichen Aufbewahrungsfristen nach § 147 AO und § 257 HGB.

Pflicht oder Freiwilligkeit. Die Nutzung des Telefonassistenten ist für anrufende Personen freiwillig. Wer nicht mit einem KI-Assistenten sprechen möchte, kann auflegen und den Betrieb auf einem anderen Weg erreichen oder im Gespräch die Weiterleitung an eine Person verlangen, soweit der Betrieb eine solche Rufnummer hinterlegt hat.

Widerspruch und Widerruf. Anlaufstelle ist der Betrieb als Verantwortlicher. Einzelheiten für anrufende Personen stehen eigenständig lesbar in Ziffer 6.

Ergänzende Hinweise. Der Assistent sagt zu Beginn jedes Gesprächs, dass die anrufende Person mit einem KI-Assistenten spricht und das Gespräch für den Betrieb zusammengefasst wird. Dieser Satz ist fest eingebaut; der Betrieb kann ihn nicht entfernen. Die Informationspflicht aus Art. 50 Abs. 1 der Verordnung (EU) 2024/1689 trifft uns als Anbieter des KI-Systems; der Betrieb darf den Hinweis nicht unterlaufen und den Assistenten nicht als Mensch auftreten lassen. Der Dienst ist kein öffentlich zugänglicher Telekommunikationsdienst im Sinne des TKG. Über den Dienst und die bereitgestellte Rufnummer können keine Notrufe abgesetzt oder entgegengenommen werden.

5.11 Online-Zahlungen von Endkunden

Was wird verarbeitet. Betrag, Währung, Zahlungsstatus, Zeitpunkt, Zuordnung zum Termin und zum Betrieb, die von Stripe vergebenen Kennungen des Zahlungsvorgangs sowie Hinweise auf Rückerstattungen und Rückbuchungen. Vollständige Kartennummern, Prüfziffern und Bankzugangsdaten erheben und speichern wir nicht. Diese Angaben geben Sie unmittelbar bei unserem Zahlungsdienstleister ein.

Zweck. Abwicklung der bei der Buchung gewählten Online-Zahlung des vollen Leistungspreises, Verringerung von Terminausfällen, Zuordnung des Zahlungseingangs zum Termin, Bearbeitung von Erstattungen, Betrugsprävention.

Rechtsgrundlage. Gegenüber dem Endkunden bestimmt der Betrieb als Verantwortlicher die Rechtsgrundlage, regelmäßig Art. 6 Abs. 1 lit. b DSGVO. Für die von uns erhobene Gebühr von 6 Prozent zuzüglich 0,25 Euro je Zahlung sind wir Verantwortlicher auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Der Zahlungsdienstleister verarbeitet die Zahlungsdaten zusätzlich als eigener Verantwortlicher, insbesondere zur Erfüllung aufsichtsrechtlicher und geldwäscherechtlicher Pflichten nach Art. 6 Abs. 1 lit. c DSGVO.

Empfänger. Stripe Payments Europe, Limited, dazu die kartenausgebende Stelle und die beteiligten Banken. In der Zahlungskette fällt zusätzlich die Stripe-Gebühr von 1,5 Prozent zuzüglich 0,25 Euro für EU-Karten an. Leistungen ab 0,70 Euro können bezahlt werden.

Speicherdauer. Zahlungsbezogene Belege acht Jahre nach § 147 AO, Handelsbücher und Abschlüsse zehn Jahre nach § 257 HGB, jeweils ab dem Ende des Kalenderjahres. Der Zahlungsstatus am Termin bleibt so lange sichtbar, wie der Termin gespeichert ist.

Pflicht oder Freiwilligkeit. Bietet der Betrieb die Online-Zahlung an, ist sie freiwillig: Die buchende Person kann auch ohne Online-Zahlung buchen.

Widerspruch und Widerruf. Ein Widerspruch gegen die Verarbeitung zur Zahlungsabwicklung ist nicht möglich, solange die Zahlung durchgeführt oder gesetzlich aufbewahrt werden muss. Fragen zu Erstattungen beantwortet der Betrieb. Die Regeln, die wir für unsere eigenen Entgelte anwenden, stehen in der Erstattungsrichtlinie.

5.12 Abrechnung des eigenen Abonnements

Was wird verarbeitet. Firmierung, Rechnungsanschrift, E-Mail-Adresse für Rechnungen, Umsatzsteuer-Identifikationsnummer, gewähltes Paket, Beginn und Ende der Laufzeit, Zahlungsart, die letzten vier Stellen der verwendeten Karte, Betrag, Steuerbetrag und Steuerkennzeichen, Rechnungsnummer, Zahlungsstatus, Mahnstatus, verbrauchte Gesprächsminuten in den Paketen Pro Voice und Pro Voice Flex und daraus abgeleitete Zusatzentgelte.

Zweck. Abrechnung der Pakete Free, Pro, Pro Voice und Pro Voice Flex, Erstellung und Versand von Rechnungen, Ermittlung der Umsatzsteuer, Führung der Buchhaltung, Durchsetzung offener Forderungen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung, Art. 6 Abs. 1 lit. c DSGVO für handels- und steuerrechtliche Pflichten, Art. 6 Abs. 1 lit. f DSGVO für die Durchsetzung offener Forderungen.

Empfänger. Stripe Payments Europe, Limited für Zahlung und Umsatzsteuerermittlung, Lovable für den Versand von Rechnungen und Zahlungshinweisen, unsere Steuerberatung im erforderlichen Umfang, bei gerichtlicher Durchsetzung die beteiligten Rechtsanwälte und Gerichte.

Speicherdauer. Rechnungen und Buchungsbelege acht Jahre nach § 147 AO, Handelsbücher, Inventare und Jahresabschlüsse zehn Jahre nach § 257 HGB, jeweils ab dem Ende des Kalenderjahres, in dem der Beleg entstanden ist. Nicht genutzte Gesprächsminuten verfallen zum Ende des Abrechnungszeitraums, die Verbrauchsdaten bleiben jedoch als Abrechnungsgrundlage erhalten.

Pflicht oder Freiwilligkeit. Die Angaben sind für einen kostenpflichtigen Vertrag erforderlich. Ohne Rechnungsanschrift können wir keine ordnungsgemäße Rechnung ausstellen. Die Angabe der Umsatzsteuer-Identifikationsnummer ist für Unternehmen im EU-Ausland erforderlich, wenn das Reverse-Charge-Verfahren angewendet werden soll.

Widerspruch und Widerruf. Gegen die gesetzlich vorgeschriebene Aufbewahrung besteht kein Widerspruchsrecht. Nach Ablauf der Fristen löschen wir die Daten. Ein Widerspruch gegen die Verarbeitung zur Forderungsdurchsetzung ist nach Art. 21 Abs. 1 DSGVO möglich, wird aber regelmäßig an zwingenden schutzwürdigen Gründen scheitern.

5.13 Kalendersynchronisation mit Google Calendar

Was wird verarbeitet. Auf Ihre Veranlassung hin eine Kennung Ihres Google-Kontos, ein Zugriffs- und ein Aktualisierungstoken, die Liste Ihrer Kalender zur Auswahl, aus fremden Terminen ausschließlich Beginn, Ende und der Frei-oder-Belegt-Status zur Konflikterkennung sowie die Kennungen der Kalendereinträge, die terminio.ai selbst angelegt hat.

Zweck. Vermeidung von Doppelbuchungen, automatische Übernahme der über terminio.ai gebuchten Termine in Ihren Kalender, Aktualisierung und Löschung dieser Einträge bei Verschiebung oder Absage.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, weil Sie die Funktion als Bestandteil des Dienstes aktiv einschalten. Für die Termindaten des Betriebs, die dabei in den Kalender geschrieben werden, sind wir Auftragsverarbeiter.

Empfänger. Google Ireland Limited, Supabase, Inc. über Lovable Cloud für die verschlüsselte Speicherung der Token.

Speicherdauer. Token bis zur Trennung der Verbindung oder bis zum Widerruf in Ihrem Google-Konto. Die Kennungen der angelegten Einträge bleiben so lange gespeichert, wie der zugehörige Termin gespeichert ist.

Pflicht oder Freiwilligkeit. Vollständig freiwillig. Ohne Synchronisation ist der Dienst uneingeschränkt nutzbar, lediglich die Konflikterkennung mit externen Kalendern entfällt.

Widerspruch und Widerruf. Sie können die Verbindung jederzeit im Bereich für Kalender trennen. Beim Trennen widerrufen und löschen wir die gespeicherten Token. Bereits angelegte Einträge bleiben in Ihrem Kalender bestehen, bis Sie sie dort löschen. Ziffer 7 beschreibt die Limited-Use-Zusicherung vollständig.

5.13a Kalendersynchronisation per CalDAV

Was wird verarbeitet. Verbinden Sie einen Kalender über CalDAV, etwa bei iCloud, mailbox.org, Nextcloud oder einem anderen Anbieter, verarbeiten wir die Adresse des Kalenderservers, Ihren Benutzernamen, das dafür eingegebene App-Passwort, die Auswahl der Kalender, aus fremden Terminen die Zeiten zur Konflikterkennung sowie die Termine, die über terminio.ai gebucht und in Ihren Kalender geschrieben werden. Das Passwort speichern wir verschlüsselt.

Zweck. Vermeidung von Doppelbuchungen und Übernahme der über terminio.ai gebuchten Termine in Ihren Kalender.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, weil Sie die Funktion als Bestandteil des Dienstes aktiv einschalten. Für die Termindaten des Betriebs sind wir Auftragsverarbeiter.

Empfänger. Der von Ihnen gewählte Kalenderanbieter. Er ist nicht unser Dienstleister, sondern Ihr eigener Anbieter, und verarbeitet die Daten nach seinen Bedingungen. Die Speicherung der Verbindungsdaten erfolgt bei Supabase, Inc. über Lovable Cloud.

Speicherdauer. Bis Sie die Verbindung trennen oder das Konto gelöscht wird.

Pflicht oder Freiwilligkeit. Vollständig freiwillig.

Widerspruch und Widerruf. Sie können die Verbindung jederzeit im Bereich für Kalender trennen; dabei löschen wir die gespeicherten Zugangsdaten. Das App-Passwort können Sie zusätzlich bei Ihrem Kalenderanbieter widerrufen.

5.14 Push-Benachrichtigungen und mobile Anwendungen

Push-Benachrichtigungen gibt es nur in den Apps, die derzeit in Vorbereitung sind; in der Webanwendung werden keine Push-Kennungen erhoben. Die folgenden Angaben gelten, sobald Sie eine dieser Apps nutzen.

Was wird verarbeitet. Eine von Ihrem Gerät bereitgestellte Push-Kennung, die Zuordnung dieser Kennung zu Ihrem Konto, Gerätetyp und Betriebssystemversion, der Zeitpunkt der Registrierung sowie der Auslöser und der Zustellstatus einer Benachrichtigung. Inhalt einer Benachrichtigung sind knappe Hinweise, etwa auf eine neue Buchung, eine Absage oder das Ergebnis eines Anrufs beim Telefonassistenten.

Zweck. Zeitnahe Information der Mitarbeitenden eines Betriebs über Ereignisse im Konto, Zustellung der Zusammenfassung nach einem Anruf, Hinweise auf sicherheitsrelevante Vorgänge.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO für Benachrichtigungen, die zur Nutzung des Dienstes gehören, Art. 6 Abs. 1 lit. a DSGVO, soweit das Betriebssystem Ihres Geräts eine gesonderte Erlaubnis für Mitteilungen abfragt und diese Erlaubnis als Einwilligung ausgestaltet ist.

Empfänger. Die Zustellung erfolgt über den Benachrichtigungsdienst der jeweiligen Betriebssystemplattform Ihres Geräts. Die Verwaltung der Kennungen erfolgt bei Supabase, Inc. über Lovable Cloud. Werbe- oder Analysebausteine Dritter setzen wir in unseren Anwendungen für Web, iPhone, Android und Smartwatch nicht ein.

Speicherdauer. Push-Kennungen bis zur Abmeldung des Geräts, zur Deinstallation der Anwendung oder bis das Gerät die Kennung als ungültig meldet. Zustellprotokolle bis zu 30 Tage.

Pflicht oder Freiwilligkeit. Freiwillig. Sie können Benachrichtigungen ablehnen und den Dienst dennoch vollständig nutzen. Ereignisse sehen Sie dann in der Anwendung.

Widerspruch und Widerruf. Sie können Mitteilungen in den Einstellungen Ihres Geräts oder in der Anwendung jederzeit abschalten. Nach dem Abschalten löschen wir die Kennung bei der nächsten Synchronisation.

5.15 Support und Kommunikation

Was wird verarbeitet. Ihre Kontaktdaten, der Inhalt Ihrer Nachricht einschließlich freiwillig übersandter Anlagen und Bildschirmfotos, die Kennung des betroffenen Kontos, der Verlauf der Bearbeitung, unsere Antworten und interne Vermerke zur Lösung.

Zweck. Bearbeitung Ihrer Anfrage, Behebung von Störungen, Nachvollziehbarkeit der Kommunikation, Verbesserung von Hilfetexten und Produkt anhand wiederkehrender Fragen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag mit uns betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO wegen unseres Interesses an der Beantwortung von Anfragen und an der Dokumentation des Verlaufs. Für Anfragen, die Daten eines Betriebs betreffen, handeln wir als Auftragsverarbeiter.

Empfänger. Lovable für den Versand unserer E-Mails, Supabase, Inc. über Lovable Cloud für die Speicherung. Weitere Empfänger nur, wenn ein Vorgang die Einbindung eines Dienstleisters erfordert, etwa bei einem technischen Fehler in dessen Verantwortungsbereich.

Speicherdauer. Bis zur abschließenden Bearbeitung, danach bis zu drei Jahre zur Nachvollziehbarkeit und zur Abwehr möglicher Ansprüche. Handels- und steuerrechtlich relevante Korrespondenz unterliegt den Fristen aus Ziffer 5.12.

Pflicht oder Freiwilligkeit. Sie entscheiden, ob und mit welchem Inhalt Sie uns schreiben. Ohne eine Kontaktadresse können wir nicht antworten. Bitte übersenden Sie keine Daten besonderer Kategorien und keine vollständigen Kundenlisten, wenn dies für die Klärung nicht erforderlich ist.

Widerspruch und Widerruf. Sie können der Speicherung nach Abschluss des Vorgangs nach Art. 21 Abs. 1 DSGVO widersprechen. Wir löschen dann, sofern keine Aufbewahrungspflicht und kein erkennbarer Anspruch entgegensteht.

5.16 Service-Nachrichten und Marketing

Was wird verarbeitet. E-Mail-Adresse, Name, Sprache, gebuchtes Paket, Zustell- und Öffnungsstatus auf aggregierter Ebene, Zeitpunkt und Inhalt einer erteilten oder widerrufenen Einwilligung sowie ein Vermerk über einen erklärten Widerspruch.

Zweck. Information über Änderungen des Dienstes, über Wartungen, über sicherheitsrelevante Ereignisse und über die Abrechnung. Daneben Hinweise auf eigene ähnliche Leistungen, etwa auf neue Funktionen der Pakete.

Rechtsgrundlage. Für Service-Nachrichten, die zur Durchführung des Vertrags gehören, Art. 6 Abs. 1 lit. b DSGVO, ergänzend Art. 6 Abs. 1 lit. f DSGVO. Für werbliche Nachrichten Art. 6 Abs. 1 lit. a DSGVO, wenn Sie eingewilligt haben, sonst Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit § 7 Abs. 3 UWG. Diese Vorschrift erlaubt Werbung an Bestandskunden für eigene ähnliche Waren oder Dienstleistungen, wenn wir die Adresse im Zusammenhang mit einem Vertrag erhalten haben, Sie nicht widersprochen haben und wir Sie bei Erhebung und bei jeder Verwendung klar auf das Widerspruchsrecht hinweisen. Für die Dokumentation der Einwilligung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

Empfänger. Lovable für den Versand, Supabase, Inc. über Lovable Cloud für die Speicherung der Einstellungen.

Speicherdauer. Bis zum Widerruf oder Widerspruch. Anschließend führen wir Ihre Adresse in einer Sperrliste, damit Sie keine weiteren Nachrichten erhalten. Nachweise über Einwilligung, Widerruf und Widerspruch bewahren wir bis zu drei Jahre nach deren Ende auf.

Pflicht oder Freiwilligkeit. Service-Nachrichten mit vertraglichem oder sicherheitsrelevantem Inhalt können Sie nicht abbestellen, solange der Vertrag läuft, weil wir Sie sonst nicht über wesentliche Umstände informieren könnten. Werbliche Nachrichten sind vollständig freiwillig.

Widerspruch und Widerruf. Jede werbliche E-Mail enthält einen Abmeldelink. Er führt auf die Seite terminio.ai/unsubscribe, auf der Sie mit einem Klick abbestellen. Unterstützt Ihr E-Mail-Programm die Abmeldung mit einem Klick über den Kopf der E-Mail (List-Unsubscribe nach RFC 8058), können Sie auch diesen Weg nutzen. Nach der Abmeldung steht Ihre Adresse auf der Sperrliste, und Sie erhalten keine werblichen E-Mails mehr. Zusätzlich genügt eine formlose Nachricht an legal@terminio.ai. Die Abmeldung ist kostenfrei, wirkt für die Zukunft und hat keine Nachteile für die Nutzung des Dienstes.

5.17 Reichweitenmessung mit Microsoft Clarity

Was wird verarbeitet. Nur nach Ihrer Einwilligung eine pseudonyme Kennung, aufgerufene Seiten, Verweildauer, Klick-, Scroll- und Bewegungsverhalten auf der Seite, Bildschirmgröße, Browser und Betriebssystem sowie eine gekürzte Angabe zur Herkunftsregion. Texte und Eingaben der Seiten werden bei der Aufzeichnung maskiert.

Zweck. Verstehen, welche Inhalte unserer Website gefunden und genutzt werden, Erkennen von Bedienproblemen, Verbesserung von Aufbau und Verständlichkeit der Seiten.

Rechtsgrundlage. § 25 Abs. 1 TDDDG für die Speicherung und das Auslesen von Informationen auf Ihrem Endgerät sowie Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung. Ohne Einwilligung findet keine Messung statt.

Empfänger. Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Microsoft sind wir und Microsoft gemeinsam verantwortlich (Art. 26 DSGVO); Ihre Rechte können Sie uns gegenüber geltend machen. Für die weitere Verarbeitung durch Microsoft zu eigenen Zwecken, etwa mit der Kennung MUID, die Microsoft nach eigenen Angaben auch für Werbung nutzt, ist Microsoft allein verantwortlich. Eine Übermittlung an die Microsoft Corporation in den Vereinigten Staaten ist möglich. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung beruht auf dem Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO), ergänzend auf den Standardvertragsklauseln.

Speicherdauer. Nach den in der Cookie-Richtlinie angegebenen Laufzeiten der eingesetzten Merkmale. Ihre Entscheidung liegt auf Ihrem Endgerät und gilt zwölf Monate.

Pflicht oder Freiwilligkeit. Vollständig freiwillig. Die Ablehnung hat keinerlei Auswirkung auf die Nutzbarkeit der Website oder des Dienstes.

Widerspruch und Widerruf. Sie widerrufen die Einwilligung über den Link „Cookie-Einstellungen" im Fußbereich der Website, auch auf den albanischsprachigen Branchenseiten, oder über den Link in der Cookie-Richtlinie. Lief Clarity auf der Seite, teilen wir Clarity den Widerruf mit, löschen die Cookies _clck und _clsk und laden die Seite neu; danach wird Clarity nicht mehr geladen. Ab dem Widerruf werden keine weiteren Daten erhoben. Die Reichweitenmessung findet ausschließlich auf unserer eigenen Website statt, nicht in der Anwendung, die Betriebe zur Terminverwaltung und Einrichtung nutzen, nicht auf den Buchungsseiten der Betriebe, nicht auf den Seiten für Anmeldung, Registrierung, Passwort und die Rückleitung nach der Anmeldung, nicht auf der Begrüßungsseite nach einem Kauf und nicht beim Abbestellen von E-Mails. Beim Laden übermitteln wir Clarity das Signal, dass die Analyse erlaubt ist und für Werbezwecke keine Einwilligung vorliegt.

5.18 Bewerbungen

Was wird verarbeitet. Name, Kontaktdaten, Anschreiben, Lebenslauf, Zeugnisse, Angaben zu Qualifikationen und Verfügbarkeit sowie Notizen aus Gesprächen. Angaben zu besonderen Kategorien, etwa zu einer Schwerbehinderung, verarbeiten wir nur, wenn Sie sie von sich aus mitteilen oder eine gesetzliche Pflicht besteht.

Zweck. Durchführung des Auswahlverfahrens, Entscheidung über die Begründung eines Beschäftigungsverhältnisses, Nachweis der Gleichbehandlung.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO für die Anbahnung eines Beschäftigungsverhältnisses, Art. 9 Abs. 2 lit. b DSGVO in Verbindung mit § 26 Abs. 3 BDSG für besondere Kategorien im arbeitsrechtlichen Zusammenhang, Art. 6 Abs. 1 lit. f DSGVO für die Abwehr von Ansprüchen nach dem Allgemeinen Gleichbehandlungsgesetz, Art. 6 Abs. 1 lit. a DSGVO für eine Aufnahme in einen Bewerberpool.

Empfänger. Lovable für die Kommunikation per E-Mail, Supabase, Inc. über Lovable Cloud für die Speicherung. Eine Weitergabe an Dritte findet nicht statt.

Speicherdauer. Spätestens sechs Monate nach Abschluss des Verfahrens löschen wir die Unterlagen. Diese Frist trägt der Klagefrist des Allgemeinen Gleichbehandlungsgesetzes und einer möglichen gerichtlichen Auseinandersetzung Rechnung. Haben Sie in eine längere Aufbewahrung eingewilligt, speichern wir bis zum Widerruf, längstens zwei Jahre.

Pflicht oder Freiwilligkeit. Die Übersendung einer Bewerbung ist freiwillig. Ohne die für die Beurteilung erforderlichen Angaben können wir Ihre Bewerbung jedoch nicht berücksichtigen.

Widerspruch und Widerruf. Sie können Ihre Bewerbung jederzeit zurückziehen und eine Einwilligung in die Aufnahme in einen Bewerberpool jederzeit widerrufen. Wir löschen dann unverzüglich.

5.19 Sicherheits- und Missbrauchsabwehr

Was wird verarbeitet. Merkmale fehlgeschlagener Anmeldeversuche, Häufigkeit und Muster von Anfragen, auffällige Buchungsmuster wie eine Vielzahl von Buchungen mit derselben Rufnummer, Hinweise auf gefälschte Rufnummern, Meldungen über missbräuchliche Inhalte auf Buchungsseiten, Kennungen gesperrter Konten sowie die zugehörigen Protokolle.

Zweck. Schutz der Konten unserer Kunden und der Daten ihrer Endkunden, Verhinderung von Spam und Betrug, Durchsetzung der Richtlinie zur zulässigen Nutzung, Aufklärung von Vorfällen, Erfüllung unserer Pflicht aus Art. 32 DSGVO.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das Interesse aller Nutzenden liegen in einem sicheren Dienst. Ergänzend Art. 6 Abs. 1 lit. c DSGVO, soweit uns die DSGVO zur Sicherstellung eines angemessenen Schutzniveaus verpflichtet.

Empfänger. Cloudflare, Inc., Supabase, Inc. über Lovable Cloud, Twilio Ireland Limited bei Missbrauch von Telefonie- und Nachrichtenfunktionen. Bei Straftaten können Strafverfolgungsbehörden Empfänger sein.

Speicherdauer. Regelmäßig bis zu 90 Tage. Bei einem konkreten Vorfall bis zu dessen abschließender Aufklärung und bis zum Ablauf der Fristen für die Geltendmachung von Ansprüchen.

Pflicht oder Freiwilligkeit. Die Verarbeitung erfolgt automatisch im Rahmen des Betriebs. Eine Angabe durch Sie ist damit nicht verbunden.

Widerspruch und Widerruf. Widerspruch nach Art. 21 Abs. 1 DSGVO ist möglich. Wir prüfen jeden Widerspruch einzeln. Die Sicherheit des Gesamtsystems begründet regelmäßig zwingende schutzwürdige Gründe, die Ihre Interessen überwiegen. Halten wir eine Sperre für unzutreffend, heben wir sie auf.

5.20 Erfüllung gesetzlicher Pflichten

Was wird verarbeitet. Rechnungs- und Buchhaltungsdaten, steuerlich relevante Belege, Vertragsunterlagen, Nachweise über Einwilligungen, Dokumentation von Datenschutzvorfällen, Auskünfte an Behörden und Gerichte im gesetzlich vorgeschriebenen Umfang.

Zweck. Erfüllung handels-, steuer- und datenschutzrechtlicher Pflichten sowie Beantwortung rechtmäßiger behördlicher Anfragen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und den Nachweispflichten aus Art. 5 Abs. 2, Art. 7 Abs. 1 und Art. 33 DSGVO.

Empfänger. Steuerberatung, Finanzverwaltung, Aufsichtsbehörden, Gerichte und Strafverfolgungsbehörden, jeweils nur im gesetzlich vorgesehenen Rahmen. Wir prüfen jedes Auskunftsersuchen auf seine Rechtsgrundlage und beschränken die Herausgabe auf das Erforderliche. Soweit rechtlich zulässig, informieren wir den betroffenen Betrieb vorab.

Speicherdauer. Nach den jeweils einschlägigen gesetzlichen Fristen, siehe die Tabelle in Ziffer 11.

Pflicht oder Freiwilligkeit. Die Verarbeitung beruht auf gesetzlicher Anordnung und steht nicht zu unserer Disposition.

Widerspruch und Widerruf. Ein Widerspruch ist bei Verarbeitungen zur Erfüllung rechtlicher Verpflichtungen nach Art. 21 DSGVO nicht vorgesehen. Ein Löschanspruch besteht während der Aufbewahrungsfrist nach Art. 17 Abs. 3 lit. b DSGVO nicht.

5.21 Geltendmachung und Abwehr von Rechtsansprüchen

Was wird verarbeitet. Vertragsunterlagen, Rechnungen und Zahlungsverläufe, Korrespondenz, Protokolle über die Nutzung des Dienstes und über sicherheitsrelevante Vorgänge, soweit sie für die Beurteilung eines Anspruchs erheblich sind.

Zweck. Prüfung, Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen, etwa bei offenen Forderungen, bei Streit über die Leistung oder bei Ansprüchen Dritter.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Rechtsverfolgung und die Rechtsverteidigung. Betreffen die Daten besondere Kategorien, stützen wir uns zusätzlich auf Art. 9 Abs. 2 lit. f DSGVO.

Empfänger. Rechtsberatung, Gerichte, gegnerische Parteien und deren Bevollmächtigte, Inkassodienstleister und Versicherer, jeweils nur im erforderlichen Umfang.

Speicherdauer. Bis zum rechtskräftigen Abschluss der Auseinandersetzung und bis zum Ablauf der maßgeblichen Verjährungsfristen. Die regelmäßige Verjährungsfrist beträgt nach §§ 195, 199 BGB drei Jahre ab dem Schluss des Jahres, in dem der Anspruch entstanden ist und wir davon Kenntnis erlangt haben.

Pflicht oder Freiwilligkeit. Eine gesonderte Angabe durch Sie erfolgt nicht. Verarbeitet werden Daten, die bereits vorhanden sind.

Widerspruch und Widerruf. Widerspruch nach Art. 21 Abs. 1 DSGVO ist möglich. Während einer laufenden Auseinandersetzung überwiegen jedoch regelmäßig zwingende schutzwürdige Gründe, weil wir uns sonst nicht verteidigen könnten.

5.22 Demo-Anruf über die Website

Was wird verarbeitet. Wer auf der Seite „Demo-Anruf" seinen Vornamen und eine deutsche oder Schweizer Rufnummer einträgt und den Anruf anfordert, erhält einen einmaligen Anruf unserer KI-Telefonassistentin Ela. Angerufen wird nur zwischen 8 und 20 Uhr deutscher Zeit. Verarbeitet werden der Vorname (nur für die Begrüßung), die Rufnummer (zum Wählen), die IP-Adresse der anfordernden Person, der Zeitpunkt, die gewählte Sprache sowie Verbindungsdaten des Anrufs. Den Inhalt des Gesprächs speichern wir nicht. Für diese Anrufe ist beim Anbieter der Gesprächsführung die Aufzeichnung von Audio abgeschaltet und eingestellt, dass Audio, Transkript und personenbezogene Daten des Gesprächs nach einem Tag gelöscht werden. Diese Einstellungen werden regelmäßig und vor Anrufen automatisch beim Anbieter abgefragt, höchstens alle fünf Minuten neu. Meldet der Anbieter abweichende Einstellungen, setzen wir sie einmal neu; bestätigt er sie danach nicht, wird nicht gewählt. Ist der Anbieter vorübergehend nicht erreichbar oder bestätigt er die Einstellungen nicht vollständig, wird nur gewählt, wenn die letzte erfolgreiche Prüfung höchstens 24 Stunden zurückliegt. In unserer Datenbank speichern wir Rufnummer und IP-Adresse nicht im Klartext, sondern pseudonymisiert als Prüfwerte (HMAC mit einem geheimen Schlüssel). Wer diesen Schlüssel kennt, könnte eine bekannte Rufnummer ihrem Prüfwert zuordnen; die Prüfwerte sind deshalb weiterhin personenbezogene Daten. Außerdem speichern wir den Status der Anforderung, die Kennungen, unter denen der Anruf bei den Anbietern geführt wird (Gesprächskennung von ElevenLabs und Anrufkennung von Twilio), und gegebenenfalls eine Fehlermeldung. Den Vornamen speichern wir in unserer Datenbank nicht.

Website Ihres Betriebs, freiwillig. Geben Sie zusätzlich die Website Ihres Betriebs an und bestätigen, dass es Ihre eigene Website ist oder Sie befugt sind, sie zu nutzen, rufen wir die Startseite und bis zu drei Unterseiten einmalig ab, wandeln sie in Text um, lassen Team-Seiten aus, schwärzen darin enthaltene E-Mail-Adressen und Rufnummern und übergeben diesen Text für dieses Gespräch an ElevenLabs Inc. und das von ElevenLabs eingesetzte KI-Sprachmodell (USA), damit Ela im Gespräch auf Ihren Betrieb eingehen kann. Den Text speichern wir nicht. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Zweck. Vorführung des KI-Telefonassistenten auf Wunsch der interessierten Person, Beantwortung von Fragen zu terminio.ai im Gespräch, sowie Schutz vor Missbrauch der Funktion (Begrenzung auf eine Vorführung je Rufnummer und Tag, je Absender und insgesamt, Sperrliste für Rufnummern, die nicht angerufen werden sollen).

Rechtsgrundlage. Für die Durchführung des angeforderten Anrufs Art. 6 Abs. 1 lit. b DSGVO, weil wir den Anruf auf Ihre Anfrage hin führen. Für die Missbrauchsabwehr und die Sperrliste Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Schutz vor unerwünschten Anrufen an Dritte und vor Kostenschäden. Mit dem Häkchen im Formular willigen Sie zugleich in den Anruf im Sinne des § 7 UWG ein. Für die Auswertung Ihrer Website gilt Art. 6 Abs. 1 lit. a DSGVO.

Empfänger. Twilio Ireland Limited für die Telefonie, ElevenLabs Inc. (USA) für Sprachsynthese und Gesprächsführung einschließlich des von ElevenLabs als Unterauftragsverarbeiter eingesetzten KI-Sprachmodells, Supabase, Inc. über Lovable Cloud für die Speicherung der Prüfwerte. Die Übermittlung in die USA beruht auf den in Ziffer 9.2 genannten Garantien; Einzelheiten zu Drittlandsübermittlungen stehen in Ziffer 10.

Speicherdauer. Für die gespeicherten Angaben zur Anforderung, also Prüfwerte, Zeitpunkt, Sprache, Status, Anbieterkennungen und Fehlermeldung, gilt eine Löschfrist von 30 Tagen, für Anforderungen, die unser Schutz gegen automatisierte Eingaben aussortiert, eine Löschfrist von einem Tag. Beim Anbieter der Gesprächsführung ist die Löschung der Gesprächsdaten nach einem Tag eingestellt. Verlangt jemand, für diese Funktion nicht angerufen zu werden, bewahren wir nur den Prüfwert der Rufnummer in einer Sperrliste dauerhaft auf, damit die Sperre wirkt. Verbindungsdaten unterliegen den Aufbewahrungsfristen der Telefonieanbieter.

Pflicht oder Freiwilligkeit. Freiwillig. Die Rufnummer ist zum Wählen erforderlich; ohne sie kann kein Anruf erfolgen. Die Angabe einer Website ist freiwillig. Wer den Anruf nicht angefordert hat und dennoch angerufen wird, kann jederzeit auflegen; die Assistentin nennt zu Beginn ausdrücklich den Anlass des Anrufs und dass sie eine KI-Telefonassistentin ist.

Widerspruch und Widerruf. Der Anruf erfolgt einmalig auf Ihre Anforderung. Ihre Einwilligung in die Auswertung Ihrer Website können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Wer einen Anruf auf seine Nummer unterbinden möchte, den eine andere Person angefordert hat, wendet sich an die in Ziffer 2 genannte Adresse; wir sperren die Rufnummer dann für diese Funktion.

Hinweis für Personen in der Schweiz. Für Personen in der Schweiz gilt ergänzend das Bundesgesetz über den Datenschutz (DSG). Die Empfänger der Daten sitzen in der Europäischen Union und in den USA; zu den Garantien für die USA siehe Ziffer 10.

5.23 KI-Chat auf Buchungsseiten und weitere KI-Funktionen

Was wird verarbeitet. Hat ein Betrieb den KI-Chat auf seiner Buchungsseite eingeschaltet, verarbeiten wir die Nachrichten, die Sie in den Chat schreiben, zusammen mit den Angaben, die der Betrieb für den Chat hinterlegt hat, etwa Leistungen, Preise, Öffnungszeiten und Hinweistexte. Buchen Sie über den Chat, kommen Name, Telefonnummer und, falls angegeben, E-Mail-Adresse hinzu. Der Chat antwortet mit Hilfe eines KI-Sprachmodells und ist in seiner Kopfzeile als KI-Assistent gekennzeichnet; er ist angewiesen, sich nie als Mensch auszugeben, und seine Antworten sind im Seitencode maschinenlesbar als KI-erzeugt markiert. Daneben setzen wir KI-Sprachmodelle für weitere Funktionen ein: im Konto für den Assistenten der Anwendung, für Gestaltungsvorschläge und für die Auswertung der Website eines Betriebs bei der Einrichtung, auf den albanischsprachigen Branchenseiten für das Erzeugen einer Beispiel-Buchungsseite aus einer kurzen Beschreibung. Dabei werden die jeweils eingegebenen Texte verarbeitet.

Zweck. Beantwortung von Fragen zu Leistungen, Zeiten und Preisen des Betriebs und Unterstützung bei der Buchung, bei den weiteren Funktionen die jeweils angeforderte Hilfe.

Rechtsgrundlage. Beim KI-Chat sind wir Auftragsverarbeiter des Betriebs. Der Betrieb bestimmt die Rechtsgrundlage, in der Regel Art. 6 Abs. 1 lit. b DSGVO für Anfragen und Buchungen. Für die weiteren KI-Funktionen, die Sie selbst aufrufen, Art. 6 Abs. 1 lit. b DSGVO.

Empfänger. Lovable Labs Incorporated als Betreiber des KI-Gateways, über das die Anfragen an das Sprachmodell geleitet werden, und Google als Anbieter des eingesetzten Gemini-Sprachmodells, den Lovable als eigenen Unterauftragsverarbeiter einsetzt. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums ist dabei möglich; Einzelheiten stehen in den Ziffern 9.2 und 10.

Speicherdauer. Die Nachrichten im KI-Chat und die Eingaben in die weiteren KI-Funktionen speichern wir nicht; wir übermitteln sie nur, um die jeweilige Antwort zu erzeugen. Eine eigene Aufbewahrungsfrist beim Betreiber des KI-Gateways oder beim Anbieter des Sprachmodells haben wir technisch nicht festgelegt; dort gelten deren Bedingungen zur Auftragsverarbeitung. Kommt über den Chat eine Buchung zustande, gelten für die Termindaten die Regeln aus Ziffer 5.7. Wir nutzen diese Nachrichten nicht, um KI-Modelle zu trainieren.

Pflicht oder Freiwilligkeit. Freiwillig. Sie können auch ohne den Chat über die Buchungsseite buchen. Bitte schreiben Sie keine Gesundheitsangaben oder andere besonders schützenswerte Daten in den Chat.

Widerspruch und Widerruf. Beim KI-Chat ist der Betrieb Ihre Anlaufstelle; wir leiten Anfragen nach Ziffer 3.3 weiter. Die weiteren KI-Funktionen nutzen Sie nur, wenn Sie sie selbst aufrufen.

5.24 Voice-Demo über die Website

Was wird verarbeitet. Auf der Seite „Voice-Demo" können Sie eine kurze Sprachprobe des Telefonassistenten erzeugen. Dafür verarbeiten wir die eingegebenen Angaben, also Name des Betriebs, Ort, Branche, gewählte Stimme und Einstellungen, sowie Ihre IP-Adresse.

Zweck. Erzeugung der Sprachprobe und Begrenzung der Zahl der Anfragen je IP-Adresse zum Schutz vor Missbrauch.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist es, Interessierten auf deren Anforderung eine Vorführung des Telefonassistenten zu ermöglichen und die Funktion vor Missbrauch zu schützen.

Empfänger. ElevenLabs Inc. (USA) für die einmalige Sprachsynthese des erzeugten Textes. Einzelheiten zu Drittlandsübermittlungen stehen in Ziffer 10.

Speicherdauer. Die Angaben und die Sprachprobe speichern wir nicht. Die IP-Adresse halten wir nur im Arbeitsspeicher des Servers, solange sie für die Begrenzung der Anfragen benötigt wird.

Pflicht oder Freiwilligkeit. Freiwillig. Die Sprachprobe lässt sich auch ohne Namen des Betriebs und ohne Ort erzeugen.

Widerspruch und Widerruf. Widerspruch nach Art. 21 Abs. 1 DSGVO ist möglich. Da wir die Angaben nicht speichern, endet die Verarbeitung ohnehin mit der Erzeugung der Sprachprobe.

5.25 Sprachassistent auf den albanischsprachigen Branchenseiten

Was wird verarbeitet. Auf den albanischsprachigen Branchenseiten unter terminio.ai/sq können Sie einen KI-Sprachassistenten ausprobieren, der eine Beispielbuchung durchspielt. Erst wenn Sie das Gespräch im Fenster des Assistenten starten, fragt Ihr Browser nach dem Zugriff auf das Mikrofon, und Ihre Stimme wird per WebRTC live an ElevenLabs Inc. (USA) übertragen, damit der Assistent antworten kann. Verarbeitet werden Ihre Stimme, das Gesagte, die Antworten des Assistenten sowie technische Verbindungsdaten wie Ihre IP-Adresse. Das Fenster weist vor dem Start darauf hin, dass Sie mit einer KI und nicht mit einem Menschen sprechen und wohin Ihre Stimme geht. Der Assistent ist angewiesen, für die Beispielbuchung nur erfundene Angaben zu erfragen; bitte nennen Sie keine echten persönlichen Daten.

Zweck. Vorführung des Sprachassistenten auf Ihre Anforderung und Schutz der Funktion vor Missbrauch, etwa durch eine Begrenzung der Gespräche je IP-Adresse.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, weil wir die Vorführung auf Ihre Anfrage hin durchführen, für die Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO. Den Zugriff auf das Mikrofon erteilen Sie selbst in Ihrem Browser.

Empfänger. ElevenLabs Inc. (USA) für Spracherkennung, Gesprächsführung und Sprachsynthese einschließlich des von ElevenLabs eingesetzten KI-Sprachmodells. Die Übermittlung in die USA beruht auf den in Ziffer 9.2 genannten Garantien; Einzelheiten stehen in Ziffer 10.

Speicherdauer. Wir selbst speichern das Gespräch nicht. ElevenLabs bewahrt Gesprächsdaten nach den beim Anbieter für diesen Assistenten eingestellten Aufbewahrungsfristen auf; eine kürzere Frist haben wir dafür technisch nicht festgelegt. Die IP-Adresse halten wir für die Begrenzung der Gespräche nur im Arbeitsspeicher des Servers.

Pflicht oder Freiwilligkeit. Vollständig freiwillig. Ohne Start des Gesprächs wird keine Verbindung zu ElevenLabs aufgebaut und kein Mikrofon geöffnet.

Widerspruch und Widerruf. Sie können das Gespräch jederzeit beenden. Widerspruch nach Art. 21 Abs. 1 DSGVO gegen die Missbrauchsabwehr ist möglich; Anfragen richten Sie an die in Ziffer 2 genannte Adresse.

6. Hinweise für anrufende Personen und für Endkunden eines Betriebs

Dieser Abschnitt ist eigenständig lesbar. Er richtet sich an Personen, die bei einem Betrieb einen Termin buchen oder die bei einem Betrieb anrufen, der den KI-Telefonassistenten von terminio.ai einsetzt. Sie haben keinen Vertrag mit uns und benötigen weder App noch Konto.

6.1 Wer für Ihre Daten verantwortlich ist

Verantwortlich ist der Betrieb, den Sie anrufen oder bei dem Sie buchen, also die Praxis, das Studio, der Salon oder die Werkstatt. Der Betrieb entscheidet, ob er einen Telefonassistenten einsetzt, wie dieser sich meldet, welche Fragen er beantwortet und wie lange Daten gespeichert bleiben. terminio.ai stellt lediglich die Technik bereit und verarbeitet ausschließlich auf Weisung des Betriebs. Wir nutzen Ihre Gesprächsdaten nicht für eigene Zwecke.

6.2 Was beim Anruf geschieht

Ihr Anruf wird über eine deutsche Rufnummer entgegengenommen, die dem Betrieb in den Paketen Pro Voice oder Pro Voice Flex zugeordnet ist. Sie sprechen mit einem KI-Assistenten. Der Assistent sagt zu Beginn jedes Gesprächs, dass Sie mit einem KI-Assistenten sprechen und das Gespräch für den Betrieb zusammengefasst wird. Dieser Satz ist fest eingebaut; der Betrieb kann ihn nicht entfernen. Das System versteht Ihr Anliegen, prüft den Kalender des Betriebs in Echtzeit und kann einen Termin buchen, verschieben oder absagen. Es beantwortet Fragen, die der Betrieb hinterlegt hat, etwa zu Anfahrt oder Öffnungszeiten, bietet auf Wunsch eine Warteliste an und notiert einen Rückrufwunsch. Hat der Betrieb eine Rufnummer für die Weiterleitung hinterlegt, können Sie verlangen, an eine Person weitergeleitet zu werden. Ob Preise genannt werden und ob Wünsche zu einer bestimmten Mitarbeiterin oder einem bestimmten Mitarbeiter berücksichtigt werden, stellt der Betrieb ein. Nach dem Gespräch erhält der Betrieb in der Anwendung eine Zusammenfassung mit Ergebnis und Dauer, in den Apps auf Wunsch auch als Push-Nachricht.

6.3 Welche Daten dabei entstehen

Gespeichert werden Ihre Rufnummer, die Startzeit, die Endzeit, die Dauer in Sekunden, das Ergebnis des Gesprächs, eine automatisch erzeugte Zusammenfassung, ein Verweis auf ein Transkript, die Kennungen des Telefonie- und des KI-Anbieters, die Kosten des Gesprächs und, falls ein Termin zustande kommt, die Verknüpfung zu diesem Termin. Kommt ein Termin zustande, entstehen zusätzlich die in Ziffer 5.7 genannten Termindaten. Das Gespräch wird nicht als Audio aufgezeichnet, weder in terminio.ai noch bei ElevenLabs Inc. ElevenLabs verarbeitet Ihre Sprache während des Gesprächs für die Gesprächsführung und die Zusammenfassung und löscht das Transkript 30 Tage nach dem Gespräch. Zur Umstellung bereits eingerichteter Telefonassistenten auf diese Einstellungen siehe Ziffer 5.10.

An der Verarbeitung sind Twilio Ireland Limited für die Telefonie und ElevenLabs Inc. für Sprachsynthese und Gesprächsführung beteiligt, dazu das KI-Sprachmodell, das ElevenLabs als eigenen Unterauftragsverarbeiter einsetzt. Die Speicherung in terminio.ai erfolgt bei Supabase, Inc. über Lovable Cloud in der Europäischen Union. Einzelheiten zu Drittlandsübermittlungen stehen in Ziffer 10.

6.4 Wie lange die Daten bleiben

Die Gesprächsdaten bleiben grundsätzlich für die Dauer des Vertrags des Betriebs mit uns gespeichert, längstens bis der Betrieb ihre Löschung anweist. Der Betrieb kann Gesprächsdaten jederzeit früher löschen. Das Transkript bei ElevenLabs wird 30 Tage nach dem Gespräch gelöscht, siehe Ziffer 6.3. Angaben, die für die Abrechnung der Gesprächsminuten benötigt werden, unterliegen den gesetzlichen Aufbewahrungsfristen aus § 147 AO und § 257 HGB. Nach Ende des Vertrags des Betriebs greifen die Lösch- und Rückgaberegeln des Auftragsverarbeitungsvertrags.

6.5 Wie Sie widersprechen oder Ihre Rechte ausüben

Wenden Sie sich bitte an den Betrieb, bei dem Sie angerufen oder gebucht haben. Nur er kann über Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch entscheiden. Wenn Sie nicht mit einem KI-Assistenten sprechen möchten, können Sie das Gespräch beenden, den Betrieb zu seinen Öffnungszeiten persönlich anrufen, ihn per E-Mail erreichen oder über die Buchungsseite buchen. Verlangen Sie im Gespräch eine Weiterleitung an eine Person, richtet das System diese ein, soweit der Betrieb eine Rufnummer hinterlegt hat.

Erreicht uns Ihre Anfrage dennoch, bestätigen wir den Eingang und leiten sie nach Ziffer 3.3 an den Betrieb weiter. Wir dürfen Ihre Daten nicht ohne Weisung des Betriebs löschen oder ändern.

6.6 Grenzen des Dienstes

Der Dienst ist kein öffentlich zugänglicher Telekommunikationsdienst im Sinne des TKG. Über den Dienst und die bereitgestellte Rufnummer können keine Notrufe abgesetzt oder entgegengenommen werden. In einem Notfall wählen Sie bitte die 112 oder wenden sich an den ärztlichen Bereitschaftsdienst.

Der Vertrag über die gebuchte Leistung kommt zwischen Ihnen und dem Betrieb zustande, niemals mit terminio.ai. Welche Regeln für die Buchung selbst gelten, steht in den Buchungsbedingungen.

6.7 KI-Chat auf der Buchungsseite

Hat der Betrieb den KI-Chat eingeschaltet, beantwortet ein KI-Assistent Ihre Fragen und kann eine Buchung für Sie anlegen. Er ist in der Kopfzeile des Chats als KI-Assistent gekennzeichnet. Verantwortlich ist auch hier der Betrieb; Ihre Nachrichten speichern wir nicht, wir übermitteln sie nur für die Antworten an ein KI-Sprachmodell. Einzelheiten stehen in Ziffer 5.23.

7. Google-Nutzerdaten

Unsere Nutzung und Weitergabe von Informationen, die wir über Google APIs erhalten, entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

7.1 Verwendete Berechtigungen

Wir fordern nur diese Berechtigungen an und beschränken uns damit auf den Umfang, der für die aktivierte Funktion erforderlich ist. Aus fremden Kalendereinträgen lesen wir ausschließlich Beginn, Ende und den Frei-oder-Belegt-Status. Titel, Beschreibungen, Orte und Teilnehmende fremder Einträge werten wir nicht aus.

7.2 Speicherung und Schutz der Token

Zugriffs- und Aktualisierungstoken speichern wir verschlüsselt in unserer Datenbank in der Europäischen Union. Sie werden ausschließlich verwendet, um Aufrufe in Ihrem Auftrag auszuführen. Der Zugriff auf diese Bestände ist auf die Personen beschränkt, die ihn für Betrieb und Fehlerbehebung benötigen, und wird protokolliert. Token werden nicht an Dritte weitergegeben und nicht für andere Konten verwendet.

7.3 Limited Use: was wir nicht tun

• Wir verkaufen Google-Nutzerdaten nicht und geben sie nicht für Werbung, Retargeting oder interessenbasierte Angebote weiter.
• Wir verwenden Google-Nutzerdaten nicht für Zwecke außerhalb der von Ihnen aktivierten Anmeldung und Kalendersynchronisation.
• Wir übertragen Google-Nutzerdaten nicht an Datenhändler, Informationsmakler oder Weiterverkäufer.
• Menschen lesen diese Daten nicht, außer mit Ihrer ausdrücklichen Zustimmung, zur Untersuchung eines konkreten Sicherheitsvorfalls, zur Erfüllung einer gesetzlichen Pflicht oder in aggregierter und anonymisierter Form.
• Wir verwenden Google-Nutzerdaten nicht zum Training von Modellen der künstlichen Intelligenz oder des maschinellen Lernens.

7.4 Widerruf und Löschung

Sie können die Verbindung jederzeit im Bereich für Kalender in der Anwendung trennen oder den Zugriff in den Google-Kontoberechtigungen entziehen. In beiden Fällen widerrufen und löschen wir die gespeicherten Token. Ab diesem Zeitpunkt findet keine Synchronisation mehr statt. Bereits angelegte Einträge bleiben in Ihrem Google-Kalender bestehen, bis Sie sie dort löschen, weil wir nach dem Entzug keinen Zugriff mehr haben. Löschen Sie Ihr terminio.ai-Konto, werden die Token im Rahmen der Kontolöschung mit entfernt.

8. Herkunft der Daten

Nicht alle Daten erhalten wir unmittelbar von Ihnen. Die folgende Übersicht zeigt, woher sie stammen.

Erhalten wir Daten nicht von Ihnen selbst, informieren wir nach Art. 14 DSGVO. Diese Erklärung erfüllt diese Pflicht, soweit wir Verantwortlicher sind. Wo ein Betrieb Verantwortlicher ist, obliegt die Information dem Betrieb.

9. Empfänger und Auftragsverarbeiter

9.1 Grundsatz

Wir geben personenbezogene Daten nur weiter, wenn dafür eine Rechtsgrundlage besteht. Dienstleister setzen wir sorgfältig ausgewählt und weisungsgebunden ein. Mit jedem von ihnen besteht ein Vertrag nach Art. 28 DSGVO. Wir prüfen vor dem Einsatz, ob die getroffenen technischen und organisatorischen Maßnahmen angemessen sind, und wir beschränken den Datenfluss auf das, was die jeweilige Funktion erfordert.

9.2 Eingesetzte Dienstleister

WhatsApp Ireland Limited erhält Nachrichten, die über das verknüpfte WhatsApp-Konto eines Betriebs versendet werden, als Anbieter dieses Kontos und nicht als unser Dienstleister, siehe Ziffer 5.9. Verbinden Sie einen Kalender per CalDAV, erhält der von Ihnen gewählte Kalenderanbieter die Daten als Ihr eigener Anbieter, siehe Ziffer 5.13a.

Microsoft Clarity dient ausschließlich der Analyse unserer eigenen Website. Der Dienst kommt in der Anwendung, mit der Betriebe ihre Termine verwalten, und auf den Buchungsseiten der Betriebe nicht zum Einsatz und ist deshalb kein Unterauftragsverarbeiter für die Verarbeitung im Auftrag unserer Kunden. Die für die Auftragsverarbeitung maßgebliche Liste der Unterauftragsverarbeiter führen wir im Auftragsverarbeitungsvertrag und kündigen Änderungen dort mit Vorlauf an.

9.3 Weitere Empfängerkategorien

• Steuer- und Rechtsberatung, Wirtschaftsprüfung. Im erforderlichen Umfang zur Erfüllung unserer Pflichten und zur Wahrnehmung unserer Rechte. Diese Empfänger unterliegen einer eigenen beruflichen Verschwiegenheitspflicht.
• Banken und Zahlungsdienstleister. Zur Ausführung von Zahlungen, Lastschriften und Erstattungen sowie zur Klärung von Rückbuchungen.
• Behörden und Gerichte. Soweit wir gesetzlich zur Auskunft verpflichtet sind oder die Herausgabe zur Durchsetzung oder Verteidigung von Rechtsansprüchen erforderlich ist. Wir prüfen jedes Ersuchen auf seine Rechtsgrundlage, widersprechen unzulässigen Ersuchen und beschränken die Herausgabe auf das Erforderliche.
• Versicherer. Bei der Regulierung eines Schadens, sofern eine Versicherung betroffen ist und die Übermittlung zur Prüfung des Anspruchs erforderlich ist.
• Erwerber bei einer Unternehmenstransaktion. Sollten wir Teile unseres Geschäftsbetriebs veräußern, verschmelzen oder umstrukturieren, können personenbezogene Daten an den Erwerber übergehen. Vor jeder Offenlegung in einer Prüfungsphase verpflichten wir den Interessenten zur Vertraulichkeit, legen zunächst nur aggregierte oder pseudonymisierte Informationen offen und beschränken den Zugriff auf das für die Prüfung Erforderliche. Ein Erwerber ist an den Zweck gebunden, zu dem die Daten erhoben wurden. Über einen Wechsel des Verantwortlichen informieren wir betroffene Kunden rechtzeitig in Textform. Bei Daten, die wir im Auftrag verarbeiten, gelten zusätzlich die Regeln des Auftragsverarbeitungsvertrags.

Eine Weitergabe zu Werbezwecken Dritter findet nicht statt. Ziffer 16 beschreibt das ausdrücklich.

10. Übermittlung in Drittländer

10.1 Grundsatz

Wir betreiben den Dienst so, dass personenbezogene Daten vorrangig in der Europäischen Union verarbeitet werden. Datenbank, Authentifizierung und Dateispeicher liegen in Frankfurt. Eine Verarbeitung außerhalb des Europäischen Wirtschaftsraums findet nur statt, soweit sie für die jeweilige Funktion erforderlich ist, insbesondere bei Telefonie, Sprachsynthese, KI-Sprachmodellen, E-Mail-Versand, Angriffsschutz und der optionalen Reichweitenmessung.

10.2 Rechtsgrundlagen der Übermittlung

Besteht für das Empfängerland ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, stützen wir die Übermittlung darauf. Andernfalls schließen wir mit dem Empfänger die Standardvertragsklauseln der Europäischen Kommission in der Fassung vom 4. Juni 2021 nach Art. 46 Abs. 2 lit. c DSGVO ab, jeweils in dem Modul, das der Rollenverteilung entspricht. In eng begrenzten Ausnahmefällen kommt Art. 49 DSGVO in Betracht, etwa wenn eine Übermittlung für die Erfüllung eines Vertrags mit Ihnen zwingend erforderlich ist. Auf diese Ausnahme stützen wir keine regelmäßigen Übermittlungen.

10.3 Ergänzende Maßnahmen

Zusätzlich zu den vertraglichen Garantien treffen wir technische und organisatorische Maßnahmen: Verschlüsselung während der Übertragung und im Ruhezustand, Beschränkung der übermittelten Datenfelder auf das für die Funktion Notwendige, Pseudonymisierung, wo sie möglich ist, strenge Zugriffsbeschränkungen, Protokollierung der Zugriffe sowie vertragliche Verpflichtungen der Empfänger, uns über behördliche Zugriffsersuchen zu informieren und ihnen zu widersprechen, soweit das rechtlich zulässig ist.

10.4 Risikoprüfung und behördliche Zugriffe

Vor jeder Übermittlung in ein Drittland prüfen wir die Rechtslage im Empfängerland und bewerten, ob die vertraglichen Garantien in der Praxis wirksam sein können. Wir berücksichtigen dabei die Art der Daten, den Umfang der Übermittlung, die Dauer der Speicherung und die Wahrscheinlichkeit behördlicher Zugriffe. Uns ist bewusst, dass Behörden in Drittländern unter bestimmten Voraussetzungen Zugriff auf Daten verlangen können und dass die Rechtsschutzmöglichkeiten dort hinter dem europäischen Standard zurückbleiben können. Deshalb übermitteln wir Gesprächs-, Termin- und Kundendaten nur in dem Umfang, der für die jeweilige Funktion technisch notwendig ist, und wir halten die dauerhafte Speicherung dieser Daten in der Europäischen Union. Erhalten wir Kenntnis von einem behördlichen Zugriffsersuchen, prüfen wir dessen Rechtmäßigkeit, informieren betroffene Kunden, soweit uns das rechtlich erlaubt ist, und ziehen die Aussetzung der Übermittlung in Betracht, wenn wir das Schutzniveau nicht mehr für gewährleistet halten. Führt eine Prüfung zu einem negativen Ergebnis, beenden wir die Übermittlung oder wechseln den Dienstleister.

10.5 Kopie der Garantien

Sie haben nach Art. 46 Abs. 1 DSGVO Anspruch darauf, eine Kopie der geeigneten Garantien zu erhalten oder zu erfahren, wo sie verfügbar sind. Senden Sie uns dazu eine Nachricht an legal@terminio.ai. Wir stellen die Standardvertragsklauseln zur Verfügung und schwärzen dabei Geschäftsgeheimnisse und Angaben, die nicht die Garantien betreffen, etwa Preise.

11. Speicherdauer im Überblick

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wie es gesetzliche Aufbewahrungspflichten vorschreiben. Danach löschen wir sie oder anonymisieren sie unwiderruflich. Sind Daten für mehrere Zwecke gespeichert, sperren wir sie, sobald der ursprüngliche Zweck entfällt, und verarbeiten sie nur noch für den fortbestehenden Zweck.

12. Automatisierte Entscheidungen, Profiling und KI-Training

12.1 Keine automatisierte Einzelfallentscheidung

Eine automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung nach Art. 22 DSGVO findet nicht statt. Wir bewerten Personen nicht automatisiert im Hinblick auf Kreditwürdigkeit, Zuverlässigkeit oder Verhalten, und wir erstellen keine Persönlichkeitsprofile zu Werbezwecken.

12.2 Wie Vorschläge im Produkt zustande kommen

Der Dienst enthält Funktionen, die Vorschläge erzeugen. Sie beruhen nicht auf einer Bewertung Ihrer Person, sondern auf einfachen, nachvollziehbaren Regeln und auf Daten, die der Betrieb selbst hinterlegt hat.

• Freie Zeiten auf der Buchungsseite ergeben sich aus den Arbeits- und Abwesenheitszeiten, der Dauer der gewählten Leistung, den bereits vergebenen Terminen und, sofern aktiviert, den Belegungen aus dem verbundenen Kalender. Die Dienstpläne werden in 15-Minuten-Schritten geführt.
• Der Telefonassistent schlägt Termine vor, indem er dieselbe Verfügbarkeit prüft und die im Gespräch genannten Wünsche berücksichtigt. Er entscheidet nicht darüber, ob ein Termin gewährt wird. Diese Entscheidung trifft der Betrieb über seine Einstellungen, und er kann jeden Termin nachträglich ändern oder absagen.
• Die Zusammenfassung eines Gesprächs ist eine sprachliche Verdichtung des Gesagten. Sie enthält keine Bewertung der anrufenden Person. Der Betrieb kann sie in der App einsehen und den zugehörigen Termin prüfen.
• Sicherheitsmechanismen können automatisiert Anfragen verlangsamen oder blockieren. Diese Maßnahmen betreffen den Zugriff, nicht die Person, und werden auf Hinweis überprüft und wieder aufgehoben, wenn sie unzutreffend waren.

12.3 Kein Training allgemeiner Modelle

Wir nutzen Kundeninhalte, Termindaten und Gesprächsdaten nicht, um allgemeine Modelle der künstlichen Intelligenz zu trainieren, und geben sie nicht zu diesem Zweck an Dritte weiter. Unsere Dienstleister haben wir vertraglich entsprechend verpflichtet. Für die Verbesserung des Produkts verwenden wir aggregierte oder anonymisierte Kennzahlen, etwa die Zahl der Buchungen je Tag oder die durchschnittliche Gesprächsdauer, aus denen sich kein Personenbezug herstellen lässt.

12.4 Rollen nach der KI-Verordnung

Beim KI-Telefonassistenten und beim KI-Chat auf Buchungsseiten sind wir Anbieter des KI-Systems, der Betrieb ist Betreiber. Die Pflicht aus Art. 50 Abs. 1 der Verordnung (EU) 2024/1689, Personen darüber zu informieren, dass sie mit einem KI-System interagieren, trifft uns als Anbieter. Beim KI-Chat weist die Kopfzeile des Chats ihn als KI-Assistent aus, und seine Antworten sind im Seitencode maschinenlesbar als KI-erzeugt markiert. Beim Telefonassistenten sagt der Assistent zu Beginn jedes Gesprächs, dass die anrufende Person mit einem KI-Assistenten spricht und das Gespräch für den Betrieb zusammengefasst wird. Dieser Satz ist fest eingebaut. Der Betrieb ist vertraglich verpflichtet, diese Hinweise nicht zu unterlaufen und den Assistenten weder im Begrüßungstext noch in der Beschreibung seiner Rolle als Mensch auftreten zu lassen. Er setzt den Assistenten nur für die vorgesehenen Zwecke ein.

13. Ihre Rechte

Sie haben die folgenden Rechte. Sind wir Auftragsverarbeiter, richten Sie sie bitte an den verantwortlichen Betrieb. Wir unterstützen ihn dabei und leiten Anfragen nach Ziffer 3.3 weiter.

13.1 Auskunft

Nach Art. 15 DSGVO können Sie Auskunft darüber verlangen, ob wir Daten über Sie verarbeiten. Ist das der Fall, teilen wir Ihnen die Zwecke, die Kategorien der Daten, die Empfänger oder Kategorien von Empfängern, die geplante Speicherdauer oder die Kriterien für deren Festlegung, das Bestehen Ihrer weiteren Rechte, die Herkunft der Daten und das Bestehen einer automatisierten Entscheidungsfindung mit. Auf Wunsch stellen wir eine Kopie der verarbeiteten Daten bereit. Für weitere Kopien können wir ein angemessenes Entgelt auf Grundlage der Verwaltungskosten verlangen.

13.2 Berichtigung

Nach Art. 16 DSGVO können Sie die Berichtigung unrichtiger Daten und die Vervollständigung unvollständiger Daten verlangen. Viele Angaben können Sie in Ihrem Konto unmittelbar selbst ändern, was in der Regel der schnellste Weg ist.

13.3 Löschung

Nach Art. 17 DSGVO können Sie die Löschung verlangen, wenn die Daten für die Zwecke nicht mehr erforderlich sind, Sie eine Einwilligung widerrufen haben und es an einer anderen Rechtsgrundlage fehlt, Sie wirksam widersprochen haben, die Verarbeitung unrechtmäßig war oder eine rechtliche Verpflichtung zur Löschung besteht. Die Löschung scheidet aus, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung, zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen oder zur Wahrnehmung des Rechts auf freie Meinungsäußerung erforderlich ist. Daten, die einer gesetzlichen Aufbewahrungsfrist unterliegen, sperren wir statt sie zu löschen, und wir verarbeiten sie bis zum Fristablauf ausschließlich zu diesem Zweck.

13.4 Einschränkung der Verarbeitung

Nach Art. 18 DSGVO können Sie die Einschränkung verlangen, wenn Sie die Richtigkeit der Daten bestreiten, für die Dauer unserer Prüfung, wenn die Verarbeitung unrechtmäßig ist und Sie statt der Löschung die Einschränkung wünschen, wenn wir die Daten nicht mehr benötigen, Sie sie aber zur Rechtsverfolgung brauchen, oder solange ein Widerspruch geprüft wird. Eingeschränkte Daten kennzeichnen wir und verarbeiten sie nur noch in den gesetzlich vorgesehenen Fällen. Vor der Aufhebung einer Einschränkung informieren wir Sie.

13.5 Datenübertragbarkeit

Nach Art. 20 DSGVO können Sie die Daten, die Sie uns bereitgestellt haben und die wir auf Grundlage einer Einwilligung oder eines Vertrags automatisiert verarbeiten, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder deren direkte Übermittlung an einen anderen Verantwortlichen verlangen, soweit dies technisch machbar ist. Für Konten stellt der Dienst Exportfunktionen bereit.

13.6 Widerspruch

Hinweis nach Art. 21 Abs. 4 DSGVO: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten, die auf Grundlage von Art. 6 Abs. 1 lit. e oder lit. f DSGVO erfolgt, Widerspruch einzulegen. Legen Sie Widerspruch ein, verarbeiten wir diese Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden Ihre Daten verarbeitet, um Direktwerbung zu betreiben, haben Sie das Recht, jederzeit und ohne Angabe von Gründen Widerspruch gegen diese Verarbeitung einzulegen. Das gilt auch für ein Profiling, soweit es mit solcher Direktwerbung in Verbindung steht. Nach einem solchen Widerspruch verarbeiten wir Ihre Daten für diese Zwecke nicht mehr.

Der Widerspruch ist an keine Form gebunden. Eine Nachricht an legal@terminio.ai genügt.

13.7 Widerruf von Einwilligungen

Haben Sie in eine Verarbeitung eingewilligt, können Sie diese Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Der Widerruf ist so einfach wie die Erteilung. Für Cookies nutzen Sie den Link „Cookie-Einstellungen", für Werbung den Abmeldeweg in der jeweiligen Nachricht, für die Kalendersynchronisation die Trennung der Verbindung.

13.8 Beschwerde bei einer Aufsichtsbehörde

Nach Art. 77 DSGVO können Sie sich unbeschadet anderer Rechtsbehelfe bei einer Aufsichtsbehörde beschweren, insbesondere bei der in Ziffer 2.4 genannten Behörde oder bei der Behörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes. Daneben steht Ihnen der Rechtsweg offen.

13.9 Wie Sie einen Antrag stellen

Eine formlose Nachricht an legal@terminio.ai oder ein Schreiben an unsere Anschrift genügt. Ein bestimmtes Formular verlangen wir nicht. Hilfreich ist es, wenn Sie angeben, welches Recht Sie ausüben möchten, auf welchen Zusammenhang sich Ihr Anliegen bezieht, etwa auf ein Konto, eine Buchung bei einem bestimmten Betrieb oder einen Anruf, und über welchen Weg wir Ihnen antworten sollen.

13.10 Fristen

Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang. Ist ein Antrag besonders komplex oder liegen mehrere Anträge vor, können wir die Frist nach Art. 12 Abs. 3 DSGVO um bis zu zwei weitere Monate verlängern. In diesem Fall informieren wir Sie innerhalb eines Monats über die Verlängerung und deren Gründe. Die Bearbeitung ist grundsätzlich unentgeltlich.

13.11 Identitätsnachweis

Bestehen begründete Zweifel an Ihrer Identität, können wir nach Art. 12 Abs. 6 DSGVO zusätzliche Informationen anfordern. Das geschieht in Ihrem Interesse, weil eine Auskunft an eine unbefugte Person Ihre Rechte verletzen würde. Wir verlangen zunächst nur Angaben, die uns bereits vorliegen, etwa die Bestätigung über die hinterlegte E-Mail-Adresse oder die Nennung von Merkmalen einer Buchung. Eine Kopie eines Ausweisdokuments fordern wir nur, wenn kein milderes Mittel bleibt, und bitten Sie in diesem Fall, alle nicht benötigten Angaben zu schwärzen. Zur Identitätsprüfung übermittelte Unterlagen verwenden wir ausschließlich dafür und löschen sie unmittelbar nach der Prüfung.

13.12 Wann wir einen Antrag ablehnen dürfen

Wir dürfen einen Antrag ablehnen oder einschränken, wenn Sie sich nicht identifizieren lassen und wir Sie deshalb nicht zuordnen können, wenn ein Antrag offenkundig unbegründet oder exzessiv ist, insbesondere bei häufiger Wiederholung ohne neuen Anlass, wenn die Erfüllung die Rechte und Freiheiten anderer Personen beeinträchtigen würde, etwa Betriebs- und Geschäftsgeheimnisse oder die Daten weiterer betroffener Personen, oder wenn eine gesetzliche Ausnahme greift, etwa eine Aufbewahrungspflicht, die einer Löschung entgegensteht. In diesen Fällen teilen wir Ihnen die Ablehnung innerhalb der Monatsfrist mit, begründen sie nachvollziehbar unter Angabe der herangezogenen Vorschrift und weisen Sie auf die Möglichkeit einer Beschwerde bei der Aufsichtsbehörde und auf den Rechtsweg hin. Soweit ein Antrag nur teilweise nicht erfüllt werden kann, erfüllen wir ihn im Übrigen.

14. Sicherheit der Verarbeitung

14.1 Technische und organisatorische Maßnahmen

Wir treffen nach Art. 32 DSGVO Maßnahmen, die unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung dem Risiko angemessen sind. Dazu gehören insbesondere:

• Verschlüsselung der Übertragung nach dem Stand der Technik und Verschlüsselung ruhender Daten in der Datenbank und im Dateispeicher.
• Trennung der Mandanten auf Datenbankebene, sodass ein Betrieb ausschließlich auf seine eigenen Daten zugreifen kann.
• Rollenbasierte Zugriffsrechte nach dem Grundsatz der geringsten erforderlichen Rechte, sowohl für Mitarbeitende eines Betriebs als auch für unsere eigenen administrativen Zugriffe.
• Speicherung von Passwörtern ausschließlich als Hashwert mit einem dafür geeigneten Verfahren.
• Verschlüsselte Ablage von Zugangstoken für verbundene Dienste.
• Protokollierung sicherheitsrelevanter Zugriffe und Änderungen.
• Regelmäßige Sicherungen und geprüfte Wiederherstellungswege.
• Getrennte Umgebungen für Entwicklung und Betrieb, kein Einsatz echter Kundendaten in Testumgebungen.
• Verpflichtung aller eingesetzten Personen auf Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus.
• Ein dokumentierter Ablauf für die Erkennung, Bewertung, Behebung und Meldung von Sicherheitsvorfällen.

Eine ausführliche Beschreibung der Maßnahmen enthält die Anlage zu den technischen und organisatorischen Maßnahmen im Auftragsverarbeitungsvertrag. Angaben zur Verfügbarkeit des Dienstes stehen in der Vereinbarung zum Servicelevel.

14.2 Meldewege bei einer Verletzung des Schutzes personenbezogener Daten

Stellen wir eine Verletzung des Schutzes personenbezogener Daten fest, dokumentieren wir den Vorfall, bewerten das Risiko und ergreifen unverzüglich Maßnahmen zur Eindämmung und Behebung.

• Gegenüber der Aufsichtsbehörde. Sind wir Verantwortlicher, melden wir den Vorfall der zuständigen Aufsichtsbehörde unverzüglich, in der Regel binnen 72 Stunden nach Bekanntwerden, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Erfolgt die Meldung später, legen wir die Gründe für die Verzögerung dar.
• Gegenüber dem verantwortlichen Betrieb. Sind wir Auftragsverarbeiter, informieren wir den betroffenen Betrieb unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, damit er seine eigene Meldefrist einhalten kann. Wir teilen die uns bekannten Umstände mit, benennen eine Ansprechperson, beschreiben die wahrscheinlichen Folgen und die getroffenen oder vorgeschlagenen Maßnahmen und ergänzen die Angaben, sobald weitere Erkenntnisse vorliegen.
• Gegenüber betroffenen Personen. Besteht voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten, benachrichtigen wir Sie unverzüglich in klarer und einfacher Sprache, soweit wir Verantwortlicher sind. Sind wir Auftragsverarbeiter, obliegt diese Benachrichtigung dem Betrieb, und wir unterstützen ihn dabei.

14.3 Hinweise auf Sicherheitslücken

Hinweise auf Schwachstellen nehmen wir unter legal@terminio.ai entgegen. Wir bestätigen den Eingang, prüfen den Hinweis und behandeln ihn vertraulich. Wir gehen gegen Personen, die eine Schwachstelle in gutem Glauben melden, ohne Daten Dritter abzugreifen, zu veröffentlichen oder den Betrieb zu stören, nicht rechtlich vor. Bitte veröffentlichen Sie eine Schwachstelle nicht, bevor wir sie beheben konnten.

15. Kinder und Jugendliche

Der Dienst richtet sich an Unternehmer im Sinne des § 14 BGB und nicht an Kinder. Konten für Personen unter 16 Jahren richten wir nicht ein. Wir erheben nicht wissentlich Daten von Kindern für eigene Zwecke.

Bucht eine minderjährige Person einen Termin bei einem Betrieb oder ruft sie den Telefonassistenten an, ist der Betrieb als Verantwortlicher dafür zuständig, die Anforderungen des Art. 8 DSGVO und die Vorgaben zur Einwilligungsfähigkeit einzuhalten. Der Betrieb entscheidet auch, ob er Buchungen Minderjähriger zulässt und ob er die Zustimmung der Sorgeberechtigten einholt.

Erlangen wir Kenntnis davon, dass uns Daten eines Kindes ohne die erforderliche Grundlage übermittelt wurden, löschen wir sie unverzüglich, soweit wir Verantwortlicher sind, und informieren den Betrieb, soweit er Verantwortlicher ist. Hinweise darauf nehmen wir unter legal@terminio.ai entgegen.

16. Kein Verkauf und keine Werbevermarktung von Daten

Wir verkaufen keine personenbezogenen Daten. Wir vermieten, tauschen oder verleasen sie nicht. Wir stellen sie keinem Werbenetzwerk, keinem Datenhändler, keinem Informationsmakler und keinem Anbieter von Bewertungs- oder Scoringdiensten zur Verfügung.

Wir werten Termindaten, Kundenkarteien und Gesprächsdaten unserer Kunden nicht aus, um Werbung auszuspielen oder Zielgruppen zu bilden. Wir bilden keine betriebsübergreifenden Profile von Endkunden. Wir binden in unserer Anwendung keine Werbe- oder Trackingbausteine Dritter ein. Auf unserer Website beschränkt sich die Messung auf die in Ziffer 5.17 beschriebene Reichweitenmessung, die ausschließlich nach Einwilligung stattfindet und der Verbesserung der Website dient.

Werbung für eigene Leistungen senden wir nur im Rahmen von Ziffer 5.16. Eine Weitergabe Ihrer Kontaktdaten an Dritte zu deren Werbezwecken findet nicht statt.

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst, unsere Verarbeitungen, die eingesetzten Dienstleister oder die Rechtslage ändern. Maßgeblich ist stets die auf dieser Seite veröffentlichte Fassung mit dem oben genannten Stand.

Jede Fassung trägt eine Nummer und ein Datum. Die vorliegende Fassung 3.2 ersetzt alle früheren Fassungen. Über wesentliche Änderungen, insbesondere über neue Verarbeitungszwecke, neue Empfängerkategorien oder eine Verlängerung von Speicherfristen, informieren wir unsere Kunden zusätzlich in Textform oder in der Anwendung, in der Regel mindestens 30 Tage vor dem Wirksamwerden. Ist für eine Änderung eine Einwilligung erforderlich, holen wir sie gesondert ein und setzen die Änderung ohne diese Einwilligung nicht um.

Frühere Fassungen stellen wir auf Anfrage in Textform zur Verfügung. Eine Nachricht an legal@terminio.ai genügt. Änderungen der Liste der Unterauftragsverarbeiter für die Verarbeitung im Auftrag kündigen wir im Auftragsverarbeitungsvertrag an.

Diese Erklärung liegt derzeit nur auf Deutsch vor; die deutsche Fassung ist verbindlich.

18. Kontakt

Für alle Fragen zum Datenschutz, zur Ausübung Ihrer Rechte, zu Sicherheitshinweisen und zu Missbrauchsmeldungen erreichen Sie uns unter:

terminio.ai UG (haftungsbeschränkt)
Richard-Goldberg-Str. 15B
02779 Großschönau
Deutschland

E-Mail: legal@terminio.ai
Telefon: +49 176 64095202

Weitere Rechtstexte finden Sie unter Impressum, Allgemeine Geschäftsbedingungen, Cookie-Richtlinie, Auftragsverarbeitungsvertrag, Richtlinie zur zulässigen Nutzung, Erstattungsrichtlinie, Vereinbarung zum Servicelevel und Buchungsbedingungen.