Datenschutzerklärung

1. Verantwortlicher

zynd GmbH
Spittelwiese 15, 4020 Linz, Österreich
FN 575396x, Landesgericht Linz
E-Mail: elvis@aktenschrank.at

2. Rollenverteilung: Verantwortlicher und Auftragsverarbeiter

Für die Daten unserer Kundinnen und Kunden (Registrierung, Vertragsabwicklung, Abrechnung, Support) sowie für diese Website sind wir Verantwortlicher im Sinne der DSGVO.

Für alle Inhalte, die Kundinnen und Kunden in Elvis einbringen — also hochgeladene Dokumente, Chatnachrichten, Sprachnachrichten, Meeting-Aufzeichnungen, Belege und die daraus gebildete Wissensdatenbank — handeln wir als Auftragsverarbeiter. Verantwortlicher ist in diesem Fall der jeweilige Kunde (der Betrieb). Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO schließen wir auf Wunsch des Kunden ab. Betroffene Personen (z. B. Mitarbeitende oder Endkunden eines Betriebs) wenden sich für ihre Rechte bitte an den jeweiligen Betrieb; wir unterstützen ihn dabei.

3. Verarbeitungen beim Besuch dieser Website

3.1 Server-Logs

Beim Aufruf der Website werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, übertragene Datenmenge, Referrer, Browsertyp und Betriebssystem. Zweck ist die Auslieferung der Website, die Systemsicherheit und die Abwehr von Angriffen. Rechtsgrundlage ist unser berechtigtes Interesse am sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Logdaten werden gelöscht, sobald sie für diese Zwecke nicht mehr erforderlich sind.

3.2 Reichweitenmessung mit Matomo

Wir nutzen Matomo, eine Open-Source-Analysesoftware, die wir auf eigener Infrastruktur in der EU betreiben (analytics.zynd.at). Bei Matomo werden keine Daten an Dritte übertragen. Verarbeitet werden aufgerufene Seiten, Verweildauer, Referrer, IP-Adresse, Gerätetyp und Browser. Matomo ist bei uns so eingestellt, dass keine Cookies gesetzt werden. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Analyse der Websitenutzung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald sie für diesen Zweck nicht mehr erforderlich sind.

3.3 Produktanalyse mit PostHog

Ergänzend nutzen wir PostHog zur Analyse der Websitenutzung. Anbieter ist die PostHog, Inc. (USA); die Verarbeitung erfolgt auf der EU-Instanz von PostHog mit Serverstandort in Deutschland. Verarbeitet werden aufgerufene Seiten, Klick- und Scrollinteraktionen, Referrer, Gerätetyp, Browser sowie technische Performance-Kennzahlen (Core Web Vitals). PostHog ist bei uns so eingestellt, dass keine Cookies gesetzt werden, keine Profile zu einzelnen Personen gebildet werden und keine Wiedererkennung über die einzelne Sitzung hinaus erfolgt; Sitzungsaufzeichnungen sind deaktiviert. Werbe-Kennungen in aufgerufenen Adressen (z. B. gclid, fbclid) werden vor der Übertragung entfernt. Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Analyse der Websitenutzung (Art. 6 Abs. 1 lit. f DSGVO). Mit PostHog besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO; da PostHog, Inc. ihren Sitz in den USA hat, ist ein behördlicher Zugriff nicht vollständig auszuschließen — die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln. Näheres findest du in der Datenschutzerklärung von PostHog.

3.4 Schriftarten

Die verwendeten Schriftarten (Plus Jakarta Sans, Inter) werden beim Build-Vorgang lokal eingebettet und von unserem eigenen Server ausgeliefert. Es erfolgt keine Verbindung zu Google Fonts.

3.5 Cookies

Diese Website setzt keine Cookies, die einer Einwilligung nach § 165 Abs. 3 TKG 2021 bedürfen. Es kommen ausschließlich technisch notwendige Mechanismen zum Einsatz. Unsere Analysewerkzeuge (Matomo, PostHog) sind cookiefrei konfiguriert.

4. Kontaktaufnahme

Wenn du uns per E-Mail schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen und den Inhalt deiner Nachricht, um die Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation). Anfragen werden nach vollständiger Erledigung gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Unsere Postfächer und der Versand von Support- und Transaktions-E-Mails werden von der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, betrieben. Die Schweiz gilt aufgrund eines Angemessenheitsbeschlusses der Europäischen Kommission als sicheres Drittland, sodass für die Übermittlung kein zusätzliches Schutzinstrument erforderlich ist. Näheres findest du in der Datenschutzerklärung von Proton.

5. Registrierung und Nutzung von Elvis

5.1 Kundenkonto

Für die Registrierung verarbeiten wir Firmenname, Vor- und Nachname, E-Mail-Adresse, Telefon- bzw. WhatsApp-Nummer, Rechnungsanschrift und UID-Nummer. Zweck ist die Bereitstellung des Dienstes und die Vertragsabwicklung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Registrierung, Anmeldung und Sitzungsverwaltung wickeln wir über Keycloak ab, eine Open-Source-Software für Identitäts- und Zugriffsverwaltung, die wir selbst auf eigener Infrastruktur in der EU betreiben. Dabei werden die Zugangsdaten (E-Mail-Adresse und Passwort, letzteres ausschließlich als kryptografischer Hash), Anmeldezeitpunkte, IP-Adresse und Sitzungsinformationen verarbeitet. Zweck sind die Authentifizierung, die Zugriffssteuerung und die Erkennung missbräuchlicher Anmeldeversuche. Für die Sitzungsverwaltung sind technisch notwendige Cookies erforderlich, die ohne Einwilligung gesetzt werden dürfen (§ 165 Abs. 3 TKG 2021); sie enthalten keine Analyse- oder Werbefunktion. Eine Übermittlung an Dritte findet nicht statt.

5.2 WhatsApp-Kommunikation

Elvis wird über WhatsApp bedient. Dabei verarbeiten wir deine WhatsApp-Telefonnummer, den Profilnamen sowie die Inhalte der Nachrichten (Text, Sprachnachrichten, gesendete Dokumente und Bilder), um deine Anfragen zu beantworten. Die Übermittlung erfolgt über die WhatsApp Business Platform von Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin 2, Irland. Meta verarbeitet dabei Metadaten (z. B. Telefonnummern, Zeitpunkt und Zustellstatus der Nachrichten) auch für eigene Zwecke und kann Daten in Drittländer, insbesondere die USA, übermitteln. Grundlage dafür sind die EU-Standardvertragsklauseln sowie der EU-US Data Privacy Framework. Auf die Verarbeitung durch Meta haben wir keinen bestimmenden Einfluss. Bitte beachte die Datenschutzhinweise von WhatsApp. Wenn du diese Übermittlung vermeiden möchtest, nutze bitte stattdessen unsere Web-Oberfläche oder kontaktiere uns per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Übermittlung an Meta erfolgt auf Grundlage deiner Entscheidung, den Dienst über WhatsApp zu nutzen.

5.3 Dokumente, Sprachnachrichten und Wissensdatenbank

Hochgeladene Dokumente (z. B. Hersteller-PDFs, Preislisten, Belege) sowie Sprachnachrichten und Meeting-Aufnahmen werden verarbeitet, um daraus durchsuchbares Wissen zu erzeugen: Text wird extrahiert, Audio transkribiert, Inhalte werden in Abschnitte zerlegt und als Vektor-Embeddings gespeichert, damit Elvis passende Antworten findet. Diese Verarbeitung erfolgt in unserer Rolle als Auftragsverarbeiter im Auftrag des jeweiligen Kunden (siehe Punkt 2).

Für die Sprachmodell-Inferenz, die Transkription und die Erzeugung von Embeddings setzen wir die Unternehmens-Schnittstellen (APIs) von Anthropic und OpenAI ein. Dabei werden die jeweils erforderlichen Inhalte an diese Anbieter übermittelt und dort zur Beantwortung der konkreten Anfrage verarbeitet. Eine Verarbeitung auf Servern außerhalb der EU, insbesondere in den USA, ist dabei möglich (siehe Punkt 7).

Wir verwenden Kundendaten nicht zum Training von KI-Modellen und geben sie nicht zu diesem Zweck an Dritte weiter.

5.4 Protokollierung und Qualitätssicherung der KI-Verarbeitung

Zur Fehleranalyse und Qualitätssicherung protokollieren wir die Verarbeitung von Anfragen durch die KI-Modelle. Erfasst werden die Inhalte von Anfrage und Antwort, die herangezogenen Dokumentabschnitte, das verwendete Modell sowie technische Kennzahlen; die Protokolle sind einer pseudonymen Konto- und Sitzungskennung zugeordnet. Wir setzen dafür die Open-Source-Software Langfuse ein, die wir selbst auf einem separaten Server in Deutschland betreiben — eine Übermittlung an Dritte erfolgt nicht.

Der Zugriff ist ausschließlich der Geschäftsführung vorbehalten. Kunden können der Protokollierung jederzeit formlos widersprechen — wir deaktivieren sie dann für das betreffende Konto vollständig: elvis@aktenschrank.at.

5.5 Rechnungslegung und Zahlung

Die Verrechnung erfolgt direkt durch uns; ein Zahlungsdienstleister ist nicht eingebunden. Wir verarbeiten dafür Firmenname, Rechnungsanschrift, UID-Nummer, E-Mail-Adresse sowie die Zahlungsdaten aus der Überweisung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungsdaten bewahren wir gemäß § 132 BAO sieben Jahre auf (Art. 6 Abs. 1 lit. c DSGVO).

6. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister ein. Sie verarbeiten Daten weisungsgebunden für uns; Meta verarbeitet die Metadaten der Nachrichtenzustellung darüber hinaus für eigene Zwecke und ist insoweit selbst Verantwortlicher.

Darüber hinaus können Daten an Steuerberatung, Rechtsvertretung oder Behörden übermittelt werden, soweit dies gesetzlich vorgeschrieben oder zur Rechtsdurchsetzung erforderlich ist.

7. Übermittlung in Drittländer

Die Anwendung und die Speicherung der Kundeninhalte liegen bei der Hetzner Online GmbH in Deutschland. Eine Übermittlung in Drittländer kann in folgenden Fällen stattfinden:

• bei der Auslieferung dieser Website über Cloudflare, Inc.,
• bei der Analyse der Websitenutzung über die PostHog, Inc., deren EU-Instanz in Deutschland betrieben wird, bei der ein Zugriff aus den USA jedoch nicht ausgeschlossen werden kann,
• bei der Zustellung von WhatsApp-Nachrichten über Meta Platforms Ireland Limited,
• bei der Verarbeitung einzelner Anfragen durch die Sprachmodelle von Anthropic und OpenAI,
• bei der E-Mail-Kommunikation über die Proton AG in der Schweiz, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht.

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der Europäischen Kommission (EU-US Data Privacy Framework), soweit der Empfänger dort zertifiziert ist, andernfalls auf die EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Im Einzelnen:

• Kundenkonto und Inhalte: für die Dauer des Vertrags; nach Vertragsende werden sie gelöscht, sofern nicht anders vereinbart oder gesetzlich vorgeschrieben
• Protokolle der KI-Verarbeitung (Punkt 5.4): Löschung auf Wunsch des Kunden jederzeit
• Rechnungs- und Buchhaltungsdaten: sieben Jahre (§ 132 BAO, § 212 UGB)

9. Automatisierte Entscheidungen

Elvis erzeugt Antworten und Vorschläge mithilfe von KI-Modellen. Eine automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet dabei nicht statt — alle Ergebnisse sind Vorschläge, die von Menschen geprüft und verwendet werden.

10. Deine Rechte

Dir stehen gegenüber uns folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wende dich dafür an elvis@aktenschrank.at. Wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die DSGVO verstößt, kannst du dich bei der österreichischen Datenschutzbehörde beschweren: Barichgasse 40—42, 1030 Wien, www.dsb.gv.at.

11. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen zum Schutz der Daten, insbesondere Transportverschlüsselung (TLS), Zugriffsbeschränkung auf den erforderlichen Personenkreis und Trennung der Kundendaten. Unsere Infrastruktur wird in ISO-27001-zertifizierten Rechenzentren betrieben.

12. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.