Datenschutzerklärung
1. Verantwortlicher
LuminaByte GmbH
Julius-Hatry-Straße 1, 68163 Mannheim, Deutschland
E-Mail: datenschutz@scoco.ai
2. Hosting und Server-Logdateien
Diese Website wird auf eigener Infrastruktur bei der Hetzner Online GmbH (Rechenzentrum Falkenstein, Deutschland) betrieben. Beim Aufruf der Website verarbeitet unser Webserver automatisch technische Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp), soweit dies für die Auslieferung und die Sicherheit des Dienstes erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). In unserer zentralen Protokollhaltung werden Server-Logdaten nach 7 Tagen gelöscht; die lokalen Kopien auf dem Server sind in der Größe begrenzt und werden laufend überschrieben.
Tritt beim Anzeigen einer Seite in Ihrem Browser ein technischer Fehler auf, sendet die Seite einen Fehlerbericht an unseren Server. Er enthält die Art und den Text des Fehlers (Ziffernfolgen, E-Mail-Adressen und lange Zeichenketten unkenntlich gemacht), die Stellen in unserem Programmcode, an denen er auftrat, die betroffene Seite ohne angehängte Parameter (Teile der Adresse, die wie Kennungen, E-Mail-Adressen oder Nummern aussehen, unkenntlich gemacht), den Browser mit Hauptversion und das Betriebssystem, die Größenklasse des Bildschirms (Telefon, Tablet, Computer), die Sprache, in der die Seite angezeigt wurde, sowie, ob Ihr Browser die Seite übersetzt angezeigt hat. Der Bericht enthält weder Ihre IP-Adresse noch eine Kennung, nichts, was Sie eingegeben haben, und keinen Seitentext; anders als bei sonstigen Aufrufen protokollieren wir zu seiner Übermittlung auch keine IP-Adresse. Wir nutzen ihn ausschließlich, um Fehler zu erkennen und zu beheben, und löschen ihn wie die Server-Logdaten nach 7 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer fehlerfrei funktionierenden Website).
3. Keine Cookies; Reichweitenmessung
Diese Website setzt keine Cookies und speichert keine Informationen auf Ihrem Endgerät. Zur anonymen Reichweitenmessung nutzen wir PostHog (PostHog EU, Verarbeitung auf Servern in der EU) im „cookieless“-Betrieb: Es werden weder Cookies gesetzt noch dauerhafte Kennungen auf Ihrem Gerät gespeichert; die Messdaten (aufgerufene Seiten, grobe technische Merkmale) lassen sich nicht über mehrere Besuche hinweg zu einem Profil verknüpfen. In der Suche unserer Hilfeseiten erfassen wir außerdem, wie viele Treffer eine Suche ergab, und bei einer Suche ohne Treffer den Suchbegriff selbst – Ziffern und E-Mail-Adressen unkenntlich gemacht, auf 60 Zeichen gekürzt –, um fehlende Anleitungen zu ergänzen. Bitte geben Sie in die Suche keine personenbezogenen Daten ein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots). Ein Einwilligungsbanner ist daher nicht erforderlich.
4. Demo-Rufnummern
Auf dieser Website sind Demo-Rufnummern angegeben: +49 621 490799-22 für einen neutralen Musterbetrieb und auf jeder Branchenseite eine eigene Nummer aus demselben Rufnummernblock (+49 621 490799-…). Anrufe auf diese Nummern werden von unserem KI-Telefonassistenten angenommen; darauf weist der Assistent zu Gesprächsbeginn ausdrücklich hin. Zur Erbringung des Dienstes wird das Gespräch in Echtzeit in Text umgewandelt und durch KI-Systeme verarbeitet. Es erfolgt keine Aufzeichnung der Audioverbindung; gespeichert werden ein Gesprächstranskript (Löschung nach spätestens 21 Tagen) und eine Zusammenfassung (Löschung nach spätestens 365 Tagen). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Demonstration unseres Dienstes).
An der Verarbeitung von Demo-Anrufen sind folgende Auftragsverarbeiter beteiligt:
- Hetzner Online GmbH, Deutschland (Hosting)
- Deepgram Inc., USA (Spracherkennung über EU-Endpunkt; Absicherung durch EU-Standardvertragsklauseln)
- Soniox Inc., USA (Spracherkennung für weitere Gesprächssprachen und Ausfallsicherung der Spracherkennung, Sprachausgabe; Verarbeitung in der EU-Region des Anbieters, Gesprächsaudio und Antworttexte werden flüchtig verarbeitet und nicht gespeichert; Absicherung durch EU-Standardvertragsklauseln)
- ElevenLabs Inc., USA (Sprachausgabe, auch als Ausweichanbieter; zertifiziert nach dem EU-US Data Privacy Framework — die Antworttexte der Assistenz löschen wir aus dem Verlauf des Anbieters spätestens nach einer Stunde, eine Nutzung zur Verbesserung der Modelle des Anbieters ist abgeschaltet)
- Microsoft Ireland Operations Ltd. (Azure OpenAI, EU Data Zone; Azure Speech, Deutschland — Gesprächstexte werden dort nicht gespeichert und nicht für Training verwendet; nur bei automatischem Missbrauchsverdacht kann eine geflaggte Stichprobe zeitlich begrenzt zur menschlichen Prüfung in der EU gespeichert werden)
- seven.io (seven communications GmbH & Co. KG), Deutschland (SMS-Versand)
- Microsoft Azure Communication Services, EU (E-Mail-Versand)
Empfänger: Telekommunikationsanbieter (eigenständiger Verantwortlicher)
Die Telefonanbindung (Anschluss, Rufnummern, Verbindungsaufbau) erbringt die easybell GmbH, Berlin. Sie ist dabei nicht unsere Auftragsverarbeiterin, sondern als Anbieterin von Telekommunikationsdiensten eigenständig Verantwortliche; für die Verarbeitung der Verbindungsdaten in ihrem Netz gelten das Fernmeldegeheimnis und die telekommunikationsrechtlichen Vorschriften (§ 3 TDDDG, § 166 TKG). Es gilt insoweit die Datenschutzerklärung von easybell.
Website-Demo: Ihre eigene KI-Assistenz zum Ausprobieren
Geben Sie auf dieser Website die Adresse Ihrer eigenen Website ein, lesen wir bis zu acht öffentlich zugängliche Seiten davon (zum Beispiel Startseite, Kontakt, Impressum, Leistungen) und bauen daraus eine Demo-Assistenz, die Ihr Unternehmen am Telefon vorstellt. Gespeichert werden die eingegebene Adresse bzw. der Firmenname, die Seite unserer Website, von der Sie kamen, die verweisende Seite, Kampagnenkennzeichen aus der Adresse (utm-Parameter), ob Sie ein Telefon oder einen Computer nutzen, die aus Ihrer Website gelesenen Inhalte (Leistungen, Öffnungszeiten, häufige Fragen, Kontaktangaben des Unternehmens) und die daraus gebaute Assistenz. Ihre IP-Adresse speichern wir dafür nicht; zur Begrenzung von Missbrauch speichern wir nur nicht umkehrbare Prüfwerte (Schlüssel-Hashes) Ihrer Adresse und ihres Netzbereichs. Gespräche mit Ihrer Demo-Assistenz verarbeiten wir wie Anrufe auf die Demo-Rufnummern oben, jedoch mit kürzeren Fristen: Gesprächstranskript höchstens 7 Tage, Zusammenfassung höchstens 30 Tage. Auf Ihrer Demo-Seite zeigen wir die Zusammenfassung dieser Gespräche. Die Demo-Seite ist nur über ihren Link erreichbar — wer den Link kennt, sieht die Demo; geben Sie ihn nur weiter, wenn Sie das möchten. Die Demo und alle zugehörigen Daten löschen wir nach 30 Tagen automatisch. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Vorführung unseres Dienstes und am Schutz vor Missbrauch). Nennt die gelesene Website Personen (etwa Ansprechpartner), stammen diese Angaben aus einer öffentlich zugänglichen Quelle (Art. 14 DSGVO); die Demo nutzt sie nur, soweit eine Telefonassistenz sie für die Auskunft braucht. Für Websites von Banken, Versicherungen, Behörden und großen Marken bauen wir eine neutrale Branchen-Demo ohne Firmennamen.
Anruf durch die Demo-Assistenz. Mit Ihrer Demo-Assistenz sprechen Sie, indem Sie sich von ihr anrufen lassen. Dafür verarbeiten wir die Mobilnummer, die Sie eingeben (nur Mobilnummern aus Deutschland, Österreich und der Schweiz), und senden an sie einen Bestätigungscode per SMS; den Versand übernimmt seven.io (seven communications GmbH & Co. KG) als unsere Auftragsverarbeiterin. Erst wenn Sie den Code eingegeben und die Einwilligung bestätigt haben, ruft Sie die KI-Assistenz einmal an, sofort (kommt der Anruf nicht innerhalb von 10 Minuten zustande, entfällt er), und schickt Ihnen danach die Zusammenfassung des Gesprächs per SMS (ebenfalls über seven.io). Das Gespräch verarbeiten wir wie oben beschrieben: keine Tonaufnahme, Gesprächstranskript höchstens 7 Tage. Wir rufen von einer unserer Demo-Rufnummern an. Rufen Sie diese Nummer von der bestätigten Mobilnummer aus an, solange Ihre Demo besteht, verbinden wir Sie anhand der übermittelten Rufnummer mit Ihrer Demo-Assistenz (Art. 6 Abs. 1 lit. b DSGVO); alle anderen Anrufer erreichen eine Ansage, über die man sich auch auf unsere Sperrliste setzen lassen kann. Rechtsgrundlage für den Anruf ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen, im Gespräch mit „Stopp“ oder per E-Mail an hallo@scoco.ai. Ihre Einwilligung und jede Nutzung dokumentieren wir in einem Nachweisprotokoll: Zeitpunkte, Wortlaut und Fassung der Hinweise, die bestätigte Nummer, die Kennung der Code-SMS, nicht umkehrbare Prüfwerte (Schlüssel-Hashes) Ihrer IP-Adresse und Ihres Browsers und zu jedem Anruf die anrufende und die angerufene Nummer sowie das Ergebnis. Dazu verpflichtet uns § 7a UWG (Art. 6 Abs. 1 lit. c DSGVO); das Protokoll bewahren wir fünf Jahre nach der Einwilligung und nach ihrer letzten Nutzung auf. Sagen Sie im Gespräch „Nein, das war ich nicht“ oder „Stopp“, setzen wir die Nummer dauerhaft auf unsere Sperrliste für Demo-Anrufe, damit sie nie wieder angerufen wird (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, niemanden ungewollt anzurufen).
5. Kundenkonto und Abrechnung (app.scoco.ai)
Wenn Sie ein Kundenkonto auf app.scoco.ai nutzen, verarbeiten wir Ihre Konto- und Anmeldedaten (Name, E-Mail-Adresse, Rolle im Unternehmen, Passwort ausschließlich als Hashwert, Angaben zur Zwei-Faktor-Authentifizierung) sowie sicherheitsrelevante Protokolldaten (Anmeldezeitpunkte, IP-Adresse, fehlgeschlagene Anmeldeversuche). Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Konten).
Anmeldung mit Google oder Microsoft
Statt mit E-Mail-Adresse und Passwort können Sie sich bei app.scoco.ai auch mit einem bestehenden Google- oder Microsoft-Konto anmelden oder registrieren („Mit Google anmelden“, „Mit Microsoft anmelden“). Das ist freiwillig; die Anmeldung mit E-Mail-Adresse und Passwort steht Ihnen jederzeit offen. Die Schaltflächen sind einfache Links: Erst wenn Sie eine davon anklicken, werden Sie zur Anmeldeseite des Anbieters weitergeleitet. Vorher findet kein Datenaustausch mit Google oder Microsoft statt.
Welche Daten wir erhalten. Wir fordern beim Anbieter ausschließlich die Grundangaben zur Anmeldung an (Berechtigungen „openid“, „email“ und „profile“). Nachdem Sie sich beim Anbieter angemeldet und — falls er danach fragt — der Weitergabe zugestimmt haben, übermittelt er uns Ihren Namen, Ihre E-Mail-Adresse, eine Angabe darüber, ob er die E-Mail-Adresse bestätigt hat, und eine Kennung Ihres Kontos beim Anbieter; bei Microsoft zusätzlich die Kennung der Organisation, zu der das Konto gehört. Weitere Profilangaben, die der Anbieter dabei mitsenden kann (etwa die Adresse eines Profilbilds), speichern wir nicht. Wir erhalten weder Ihr Passwort noch Zugriff auf Ihr Postfach, Ihre Kontakte, Ihren Kalender oder Ihre Dateien. Die Anbindung eines Kalenders (Ziffer 4) ist davon unabhängig und erfordert eine eigene Freigabe.
Wofür wir sie verwenden. Wir nutzen diese Angaben ausschließlich, um Sie anzumelden, bei der Registrierung Ihr Konto anzulegen und das Anbieter-Konto mit Ihrem scoco-Konto zu verknüpfen — nicht für Werbung, nicht zur Profilbildung und nicht zum Training von KI-Modellen; wir geben sie nicht weiter. Gespeichert werden der Anbieter, die Konto-Kennung (bei Microsoft auch die Organisations-Kennung), die E-Mail-Adresse zum Zeitpunkt der Verknüpfung sowie die Zeitpunkte der Verknüpfung und der letzten Anmeldung. Zugangsschlüssel (Tokens) des Anbieters speichern wir nicht.
Schutz vor Kontoübernahme. Wir verknüpfen ein Anbieter-Konto nur dann mit einem scoco-Konto, wenn feststeht, dass Ihnen die E-Mail-Adresse gehört. Kann der Anbieter das nicht verbindlich bestätigen — etwa bei einem privaten Google-Konto, das auf eine geschäftliche E-Mail-Adresse lautet —, senden wir einen einmaligen sechsstelligen Code an diese Adresse, der 15 Minuten gültig ist. Wird ein Anbieter-Konto mit einem bestehenden scoco-Konto verknüpft oder davon getrennt, informieren wir Sie per E-Mail an die Adresse Ihres scoco-Kontos. Eine eingerichtete Zwei-Faktor-Authentifizierung gilt auch bei der Anmeldung über Google oder Microsoft. Für die Dauer des Anmeldevorgangs setzen wir auf app.scoco.ai verschlüsselte, technisch notwendige Cookies, die spätestens nach 15 Minuten ablaufen (§ 25 Abs. 2 Nr. 2 TDDDG).
Rechtsgrundlagen und Speicherdauer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst unser Vertragspartner sind oder ein Kundenkonto eröffnen; nutzen Sie ein Konto als Mitarbeiterin oder Mitarbeiter eines Kunden, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse unseres Kunden und unser Interesse, eine einfache Anmeldung anzubieten). Die Prüfungen zum Schutz vor Kontoübernahme stützen sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz der Konten). Die Verknüpfung bleibt bestehen, bis Sie sie unter Einstellungen → Sicherheit aufheben oder Ihr Konto gelöscht wird; dann löschen wir sie.
Verarbeitung beim Anbieter. Die Anmeldung auf der Seite des Anbieters — die Eingabe Ihrer Zugangsdaten, dessen eigene Sicherheitsprüfungen und die dabei anfallenden Daten wie Ihre IP-Adresse — findet allein beim Anbieter statt, der dafür selbst verantwortlich ist: die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, bzw. die Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland. Wird Ihr Konto von Ihrer Organisation verwaltet (Google Workspace, Microsoft Entra ID), ist in der Regel Ihre Organisation für dieses Konto verantwortlich. Der Anbieter erfährt dabei, dass Sie sich bei scoco anmelden. Er kann Daten auch in den USA verarbeiten; die Google LLC und die Microsoft Corporation sind nach dem EU-US Data Privacy Framework zertifiziert. Es gelten die Datenschutzhinweise von Google und Microsoft. Die Freigabe für scoco können Sie zusätzlich in den Einstellungen Ihres Google- bzw. Microsoft-Kontos widerrufen.
Für Rechnungsstellung und Zahlungsabwicklung setzen wir die Stripe Payments Europe Ltd., Irland ein. Dorthin gelangen ausschließlich Rechnungsdaten: Firmenname, Rechnungs-E-Mail-Adresse, Anschrift, Umsatzsteuer-Identifikationsnummer und Zahlungsmittel. Gesprächsinhalte, Transkripte und Zusammenfassungen erreichen den Zahlungsdienstleister nicht. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung) und Art. 6 Abs. 1 lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten). Soweit dabei konzerninterne Übermittlungen an die Stripe, Inc. (USA) stattfinden, stützen sich diese auf das EU-US Data Privacy Framework bzw. auf EU-Standardvertragsklauseln nach dem Auftragsverarbeitungsvertrag von Stripe.
Für die Daten, die bei Anrufen auf den Rufnummern unserer Kunden anfallen, ist der jeweilige Kunde Verantwortlicher; wir verarbeiten sie in dessen Auftrag. Anruferinnen und Anrufer informiert die gesonderte Datenschutzinformation für Anrufende.
Betriebsdaten und Statistiken
Für Bereitstellung, Abrechnung, Sicherheit und Weiterentwicklung von scoco verarbeiten wir in eigener Verantwortung zusammengefasste Betriebsdaten je Kundenkonto und mindestens je Kalendertag: Anzahl und Dauer von Anrufen und Unterhaltungen, deren Ergebnisse (etwa Nachricht aufgenommen, Termin gebucht), Antwortzeiten, Häufigkeit von Fehlern sowie die eingesetzten Anbieter, Modelle, Sprachen und Funktionen. Gesprächsinhalte und die Rufnummern von Anrufenden gehören nicht dazu. Wir bewahren Betriebsdaten höchstens 24 Monate auf, soweit sie nicht als Abrechnungsunterlagen länger aufzubewahren sind. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit wir die Daten zur Abrechnung benötigen, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, stabilen und sich verbessernden Dienst). Gesprächsinhalte verwenden wir nie zum Training oder Feinabstimmen von KI-Modellen und nicht für eigene Zwecke. Gespräche eines Kunden prüft unser Team nur in dessen Auftrag: zur Bearbeitung seiner Anfragen und Störungsmeldungen oder, wenn er es angewiesen hat, im Qualitätsprogramm seines Auftragsverarbeitungsvertrags, um Fehler und Qualitätsmängel in seinem Dienst zu finden und zu beheben. Aus den Betriebsdaten mehrerer Kunden können wir anonymisierte Statistiken bilden, die keinen Rückschluss auf einen Kunden oder eine Person zulassen; veröffentlicht wird eine solche Statistik nur, wenn sie auf den Daten von mindestens zehn Kunden beruht.
Nutzungsstatistik im Kundenkonto
Um scoco zu verbessern, zählen wir, welche Seiten und Funktionen in app.scoco.ai genutzt werden. Das geschieht auf unseren Servern, nicht in Ihrem Browser: Rufen Sie angemeldet eine Funktion auf, halten wir fest, welche (die technische Bezeichnung der Funktion, etwa „Assistent ändern“, ohne die Kennung des betroffenen Datensatzes), wann, ob sie gelang und mit welcher Rolle (Inhaber, Admin, Mitarbeiter, Nur Lesen). Ihr Nutzerkonto und Ihr Unternehmen erscheinen dabei nur unter je einer Zufallskennung, die allein in unserer Datenbank Ihrem Konto zugeordnet ist. Nicht erfasst werden Inhalte – keine Anrufe, Nachrichten, Namen, Rufnummern, Eingaben oder Suchbegriffe –, keine IP-Adresse und nichts, was in Ihrem Browser gespeichert oder aus ihm ausgelesen wird; Cookies oder vergleichbare Techniken setzen wir dafür nicht ein. Ruft eine Seite dieselbe Funktion wiederholt ab, zählen wir das höchstens einmal je Minute.
Ausgewertet werden die Ereignisse mit PostHog (PostHog Inc., Verarbeitung auf Servern in Frankfurt am Main) als unserem Auftragsverarbeiter. PostHog bewahrt die Ereignisse bis zu sieben Jahre auf. Wird Ihr Nutzerkonto gelöscht oder werden Sie aus dem Team entfernt, löschen oder ersetzen wir die Zufallskennung; die bei PostHog verbliebenen Ereignisse lassen sich dann niemandem mehr zuordnen, sobald auch unsere verschlüsselten Sicherungskopien abgelaufen sind (spätestens nach sechs Monaten). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, unser Produkt anhand seiner tatsächlichen Nutzung zu verbessern).
Sie können dem jederzeit widersprechen (Art. 21 DSGVO): unter Einstellungen → Konto mit dem Schalter „Zur Nutzungsstatistik beitragen“. Das Ausschalten wirkt sofort und nur für Sie; Ihr Team sieht diese Einstellung nicht. Auf Wunsch löschen wir auch die bereits zu Ihrer Kennung erfassten Ereignisse; schreiben Sie dazu an datenschutz@scoco.ai.
Nutzungsanalyse im Browser (mit Ihrer Einwilligung)
Nur wenn Sie in app.scoco.ai ausdrücklich einwilligen, erfassen wir zusätzlich in Ihrem Browser, wie Sie das Dashboard bedienen: Klicks (ohne den Text des angeklickten Elements), Mausbewegungen und Scrollen für Heatmaps, Klicks ohne Wirkung und gehäufte Klicks sowie Aufzeichnungen Ihrer Sitzungen, die den Bildschirmaufbau nachzeichnen, dazu technische Angaben wie Browser, Betriebssystem, Bildschirmgröße und Zeitzone. Alle Inhalte und Eingaben sind darin unkenntlich gemacht, Bilder ausgeblendet; lesbar bleiben nur die festen Beschriftungen der Oberfläche (Menüpunkte, Überschriften, Schaltflächen), nie Namen, Zahlen oder von Ihnen eingegebene Texte. Seiten mit Anrufen, Nachrichten, Kontakten, Terminen, Wissen und Berichten, „Frag scoco“ und Suchen zeichnen wir nie auf; dort erfassen wir nur, dass die Seite aufgerufen wurde. Seitenadressen erfassen wir ohne die Kennungen von Datensätzen und ohne Suchbegriffe.
Dazu lädt das Dashboard die Software von PostHog und legt in Ihrem Browser (im lokalen Speicher) eine Kennung ab. Die Daten gehen über unseren Server, ohne Ihre IP-Adresse, an PostHog (PostHog Inc., Verarbeitung auf Servern in Frankfurt am Main) als unseren Auftragsverarbeiter und erscheinen dort unter derselben Zufallskennung wie die Nutzungsstatistik oben. Aufzeichnungen werden nach 30 Tagen gelöscht, die übrigen Ereignisse bis zu sieben Jahre aufbewahrt; für das Löschen und Ersetzen der Zufallskennung gilt das oben Gesagte. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG für den Zugriff auf Ihr Endgerät, Art. 6 Abs. 1 lit. a DSGVO für die Verarbeitung).
Die Einwilligung ist freiwillig: Das Dashboard funktioniert ohne sie genauso, und Ihr Team erfährt Ihre Entscheidung nicht. Wir fragen einmal nach der Anmeldung. Sie können die Einwilligung jederzeit unter Einstellungen → Konto mit dem Schalter „In die Nutzungsanalyse im Browser einwilligen“ widerrufen; der Widerruf wirkt sofort, entfernt die Kennung aus Ihrem Browser und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt (Art. 7 Abs. 3 DSGVO).
Fehlerberichte aus dem Dashboard
Tritt im Dashboard ein technischer Fehler auf, sendet es einen Fehlerbericht an unseren Server, mit den Angaben wie bei der Website (Abschnitt 2, Fehlerberichte) und, wenn der Fehler beim Aufbau der Seite auf unserem Server entstand, einer Kennnummer, unter der wir ihn in unseren Server-Protokollen finden. Von der Adresse der Seite enthält er nur die Namen der Bereiche (etwa „inbox“): Kennungen von Anrufen, Kontakten und anderen Einträgen ersetzen wir, bevor der Bericht Ihren Browser verlässt. Bei einem Fehler unserer Schnittstelle sendet er nur dessen Status- und Fehlercode, nie die Meldung, die Sie auf dem Bildschirm sehen. Der Bericht wird ohne Ihr Sitzungs-Cookie und ohne die Adresse der zuvor geöffneten Seite übermittelt und enthält keine Kennung Ihres Kontos. Er hängt nicht von Ihrer Einwilligung in die Nutzungsanalyse ab, weil er nur dazu dient, das von Ihnen genutzte Dashboard funktionsfähig zu halten (§ 25 Abs. 2 Nr. 2 TDDDG). Wir löschen ihn wie die Server-Logdaten nach 7 Tagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfrei funktionierenden Dienst).
Protokolle
Änderungen an den Einstellungen eines Kundenkontos protokollieren wir und zeigen sie dem Kunden im Dashboard an („Protokoll“). Ebenso zeigen wir die Zugriffe unseres Teams auf ein Kundenkonto über die Anwendung, die Verwaltungskonsole und die Kommandozeile an, je Zeitfenster von 15 Minuten (welcher einzelne Anruf geöffnet wurde, wird nicht festgehalten). Notfallsitzungen unmittelbar auf der Datenbank werden protokolliert und gezählt, lassen sich aber keinem Kundenkonto zuordnen und erscheinen nicht im Dashboard. Die Protokolle bewahren wir 24 Monate auf; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Sicherheit).
Speicherdauer nach Vertragsende
Endet der Vertrag oder eine Testphase ohne Buchung, bleibt das Kundenkonto mindestens 30 Tage lesbar. Nach Maßgabe der für das Konto geltenden Vertragsbedingungen löschen wir es frühestens 30 Tage nach dem Ende mit allen Inhalten und kündigen die Löschung mindestens 14 Tage vorher per E-Mail an; bis dahin bleibt es erhalten. Rechnungen, Zahlungsbelege und die monatlichen Nutzungssummen bewahren wir nach der Löschung bis zum Ablauf von acht Jahren nach dem Ende des Jahres auf, in dem die Rechnung ausgestellt, bezahlt oder ausgebucht wurde (§ 147 AO, § 14b UStG; Art. 6 Abs. 1 lit. c DSGVO), ohne Zugriff über das Dashboard, und löschen sie danach.
WhatsApp verbinden (Meta)
Verbindet ein Inhaber in app.scoco.ai ein WhatsApp-Business-Konto, lädt das Dashboard das JavaScript-SDK von Meta (connect.facebook.net), sobald er die Schaltfläche zum Verbinden ansteuert, und öffnet damit Metas Anmeldefenster. Dabei erhält die Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland, die technischen Daten Ihres Browsers (etwa die IP-Adresse) und kann Cookies auf facebook.com lesen; für diese Verarbeitung ist Meta selbst verantwortlich, es gilt die Datenschutzrichtlinie von Meta. Ohne diesen Schritt findet kein Austausch mit Meta statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die vom Kunden gewünschte Verbindung).
KI-Anwendungen verbinden (Claude, ChatGPT und andere)
Verbindet eine Person ihren Zugang in app.scoco.ai über unsere Schnittstelle für KI-Anwendungen (MCP) mit einer KI-Anwendung, etwa Claude (Anthropic) oder ChatGPT (OpenAI), übermitteln wir dieser Anwendung auf ihre Anfrage die Daten aus dem Kundenkonto, die die Person beim Verbinden freigegeben hat und die ihre Rolle zulässt. Den Anbieter der Anwendung wählt der Kunde selbst; dieser verarbeitet die Daten nach seinen eigenen Bedingungen und ist insoweit nicht unser Auftragsverarbeiter. Zu jeder Verbindung speichern wir, welche Anwendung verbunden ist (mit den Angaben, die die Anwendung über sich veröffentlicht), wer sie verbunden hat, was sie darf und wann sie zuletzt genutzt wurde, sowie je Tag, wie oft sie welches Werkzeug aufgerufen hat — nicht aber die abgerufenen Inhalte. Diese Tageszahlen bewahren wir 400 Tage auf; eine getrennte Verbindung löschen wir 90 Tage nach dem Trennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (die vom Kunden gewünschte Verbindung), für die Tageszahlen Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit und Sicherheit).
E-Mails an Kunden
An die im Kundenkonto hinterlegten Adressen senden wir Mitteilungen zum Vertrag und zum Dienst — etwa Rechnungen, Zahlungserinnerungen, Sicherheitshinweise, Benachrichtigungen über Anrufe und Änderungen der Vertragsbedingungen (Art. 6 Abs. 1 lit. b DSGVO). Werbung per E-Mail senden wir derzeit nicht. Sollten wir Kunden künftig über eigene ähnliche Leistungen informieren (§ 7 Abs. 3 UWG), weisen wir in jeder solchen E-Mail darauf hin, dass Sie dem jederzeit widersprechen können, ohne dass Ihnen dafür andere als die Übermittlungskosten nach den Basistarifen entstehen; ein Widerspruch an datenschutz@scoco.ai genügt.
Vom Kunden selbst verbundene Dienste (keine Auftragsverarbeiter)
Verbindet ein Kunde sein eigenes Konto bei Microsoft (Microsoft Graph) oder bei der Google LLC, USA, greifen wir mit seiner Freigabe (delegierter OAuth-Zugriff) auf Kontakte und Kalender dieses Kontos zu — gelesen werden ausschließlich Frei/Belegt-Zeiten, bei einer Terminbuchung wird ein Termin angelegt. Microsoft und Google verarbeiten diese Daten im Rahmen des Vertrags zwischen dem Kunden und ihnen; die Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.
Kalender und Kontakte aus Google (Limited Use)
Verbindet ein Kunde in app.scoco.ai ein Google-Konto mit einer Assistenz, erhält scoco über die Google-Schnittstellen: die Frei/Belegt-Zeiten des verbundenen Kalenders und die Termine, die die Assistenz dort anlegt, sowie — bei der Kontaktanbindung — Namen, E-Mail-Adressen, Telefonnummern und Firmen der Kontakte, damit die Assistenz Anrufende erkennt. Wir verwenden diese Daten ausschließlich, um dem Kunden diese Funktionen bereitzustellen. Während eines Anrufs verarbeitet das Sprachmodell der Assistenz (Ziffer 4) sie nur, um den Anruf zu bearbeiten.
scoco’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Das heißt insbesondere: Daten aus Google-Schnittstellen werden nicht zum Entwickeln, Verbessern oder Trainieren allgemeiner KI- oder Machine-Learning-Modelle verwendet, nicht für Werbung, nicht verkauft und nur an Dienstleister weitergegeben, die wir für die genannten Funktionen einsetzen. Unsere Mitarbeitenden lesen sie nur mit Zustimmung des Kunden, zur Sicherheit des Dienstes oder wenn das Gesetz es verlangt. Der Kunde kann die Verbindung jederzeit in app.scoco.ai trennen oder den Zugriff in seinem Google-Konto widerrufen.
Schutz, Speicherdauer und Löschung. Wir erhalten außerdem die E-Mail-Adresse des verbundenen Google-Kontos, damit der Kunde sieht, welches Konto verbunden ist. Die Daten liegen auf unseren Servern bei Hetzner in Deutschland und werden nur verschlüsselt (TLS) übertragen; das von Google ausgestellte Zugriffstoken speichern wir verschlüsselt, nie im Klartext. Frei/Belegt-Zeiten werden abgefragt, wenn sie gebraucht werden, und nicht gespeichert. Trennt der Kunde die Verbindung, löschen wir das Zugriffstoken sofort und widerrufen es bei Google. Schon übernommene Kontakte und die von der Assistenz gebuchten Termine bleiben ohne weiteren Abgleich im Kundenkonto, bis der Kunde sie löscht oder das Kundenkonto gelöscht wird (siehe „Speicherdauer nach Vertragsende“ oben).
6. Kontakt per E-Mail
Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b DSGVO) bzw. auf Grundlage unseres berechtigten Interesses an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald sie für die Bearbeitung nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.
Testzugang anfragen
Wenn Sie über das E-Mail-Feld auf unserer Website einen Testzugang anfragen, speichern wir Ihre E-Mail-Adresse, die Sprache der Seite und die Seite, von der Sie die Anfrage gesendet haben, und schicken unserem Team eine Benachrichtigung mit Ihrer Adresse per E-Mail (Versand über Microsoft Azure Communication Services, EU). Zweck ist, Ihnen einen Einladungslink zu schicken; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Maßnahmen vor Vertragsschluss auf Ihre Anfrage). Mit der Anfrage selbst speichern wir keine IP-Adresse; zu den Server-Logdateien siehe Ziffer 2. Die Anfrage wird nach 90 Tagen automatisch gelöscht, auf Wunsch früher; die Benachrichtigung löschen wir, sobald wir Ihnen geantwortet haben.
7. Übermittlung in Drittländer
Soweit Dienstleister mit Sitz außerhalb der EU/des EWR eingesetzt werden (siehe Ziffern 4 und 5), erfolgt die Übermittlung entweder auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework — soweit der jeweilige Anbieter dort zertifiziert ist — oder auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Stützt sich eine Übermittlung auf Standardvertragsklauseln, führen wir zusätzlich eine dokumentierte Folgenabschätzung der Übermittlung durch und ergreifen ergänzende Maßnahmen, insbesondere die Verarbeitung auf EU-Endpunkten und die durchgehende Transportverschlüsselung (TLS) auf allen Verbindungen zu den Verarbeitungsdiensten.
8. Ihre Rechte
Sie haben gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Wenden Sie sich dazu an datenschutz@scoco.ai.
Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für uns ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW), Lautenschlagerstraße 20, 70173 Stuttgart.
9. Stand und Änderungen
Stand: November 2026 (zuletzt geändert am 04.11.2026: Fehlerberichte der Website und des Dashboards; am 02.11.2026: Website-Demo, Rückruf durch die Demo-Assistenz; am 30.10.2026: Nutzungsanalyse im Browser, Nutzungsstatistik im Kundenkonto, KI-Anwendungen verbinden, Schutz und Speicherdauer der Kalender- und Kontaktdaten aus Google; am 29.10.2026: Betriebsdaten, Protokolle, Speicherdauer nach Vertragsende, E-Mails an Kunden; Gladia als Dienstleister entfernt). Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert; es gilt die jeweils hier veröffentlichte Fassung.