Datenschutzerklärung

Hosting bei Google Cloud Services

Unsere Website wird auf Servern von Google Cloud Services (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) gehostet. Hierfür nutzen wir Serverstandorte innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR). Google Cloud Services verarbeitet Nutzungs-, Meta- und Kommunikationsdaten der Besucher unserer Website in unserem Auftrag und auf Grundlage eines Auftragsverarbeitungsvertrages (AV-Vertrag) gemäß Art. 28 DSGVO.

Zur Speicherung von Inhalten und Anfragen sowie zur Verwaltung von Nutzerkonten und zur Authentifizierung setzen wir den Dienst Supabase (Anbieter: Supabase Inc., USA) ein. Die zugehörige Datenbank- und Authentifizierungsinfrastruktur wird ausschließlich innerhalb der Europäischen Union betrieben (Rechenzentrum von Amazon Web Services in der Region eu-central-1, Frankfurt am Main). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art. 28 DSGVO.

Erhebung von Zugriffsdaten (Server-Logfiles)

Bei jedem Zugriff auf unsere Website werden automatisch Informationen durch den Server, auf dem sich dieser Dienst befindet, erfasst und in sogenannten Server-Logfiles gespeichert. Dabei werden insbesondere folgende Datenkategorien verarbeitet:

• IP‑Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser und ggf. das Betriebssystem Ihres Rechners sowie der Name Ihres Access-Providers
• HTTP‑Statuscode der Serverantwort
• Übertragene Datenmenge

Diese Daten werden nicht mit anderen Datenquellen zusammengeführt. Die Verarbeitung erfolgt ausschließlich zur Gewährleistung eines störungsfreien Betriebs der Website, zur Gefahrenabwehr bei Angriffen auf unsere informationstechnischen Systeme und zur technischen Optimierung unseres Angebots.

Rechtsgrundlage und Speicherdauer

Die Verarbeitung der Server-Logfiles erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und stabilen Bereitstellung sowie der technischen Optimierung unserer Website. Die Logfile-Informationen werden aus Sicherheitsgründen (z. B. zur Aufklärung von Missbrauchs- oder Betrugshandlungen) für die Dauer von maximal 7 Tagen gespeichert und danach gelöscht oder vollständig anonymisiert, sofern sie nicht zu Beweiszwecken länger benötigt werden.

Datenkategorien und Zweck

Wenn Sie eines unserer Anfrageformulare nutzen – insbesondere die Anfrage eines Gesprächs (Kontakt-/Potenzial-Gespräch) oder die Anforderung einer Probe-Analyse – erheben und verarbeiten wir die von Ihnen eingegebenen Daten. Je nach Formular sind dies:

• Ihr Name
• Ihre E‑Mail‑Adresse
• ggf. Organisation und Telefonnummer
• Ihre Angabe, wie Sie auf uns aufmerksam geworden sind
• Ihre Nachricht bzw. Ihr Freitext zur Beschreibung des Prozesses oder Anliegens

Diese Daten werden verwendet, um Ihre Anfrage zu bearbeiten und zu beantworten, das angefragte Gespräch bzw. die angefragte Probe-Analyse vorzubereiten und für den Fall von Anschlussfragen bei uns gespeichert.

Rechtsgrundlage

Die Verarbeitung der in das Kontaktformular eingegebenen Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, sofern Ihre Anfrage mit der Erfüllung eines Vertrags zusammenhängt oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist. In anderen Fällen beruht die Verarbeitung auf unserem berechtigten Interesse an der effektiven Bearbeitung der an uns gerichteten Anfragen (Art. 6 Abs. 1 lit. f DSGVO) oder ggf. auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), falls diese abgefragt wurde.

Empfänger

Empfänger der über die Formulare übermittelten Daten sind wir (AiTrain GmbH) sowie die folgenden von uns eingesetzten Auftragsverarbeiter bzw. Empfänger:

• Backend / Speicherung: Unser Anwendungs-Backend wird bei Google Cloud betrieben; die Verarbeitung erfolgt in der Region europe-west3 (Frankfurt, EU) auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO.
• CRM: Zur Verwaltung der Anfrage speichern wir die Angaben in unserem CRM-System Attio (Attio Limited, Vereinigtes Königreich; für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission). Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
• Interne Benachrichtigung: Über eine neue Anfrage informieren wir unser Team über Slack (Slack Technologies / Salesforce, Inc., USA). Dabei können Ihre Angaben in die USA übermittelt werden; die Übermittlung stützt sich auf geeignete Garantien (EU-US Data Privacy Framework bzw. Standardvertragsklauseln gemäß Art. 46 DSGVO).

Die übermittelten Angaben können zur Vorbereitung des von Ihnen angefragten Gesprächs bzw. der angefragten Analyse intern automatisiert aufbereitet werden.

Speicherdauer

Die von Ihnen übermittelten Daten verbleiben bei uns, bis der Zweck für die Datenspeicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihrer Anfrage), Sie uns zur Löschung auffordern oder eine ggf. erteilte Einwilligung zur Speicherung widerrufen. Zwingende gesetzliche Bestimmungen – insbesondere Aufbewahrungsfristen – bleiben unberührt. In der Regel werden Anfragen spätestens nach 6 Monaten gelöscht, wenn sich daraus keine weitergehende Geschäftsbeziehung oder gesetzliche Aufbewahrungspflicht ergibt.

Chat mit unserem KI-Agenten und automatische Ersteinschätzung

Auf unserer Seite „Beratung“ können Sie im Feld „Welcher Vorgang frisst bei euch Zeit?“ höchstens zwei kurze Nachrichten an unseren KI-Agenten „Feyn“ schreiben und danach Ihre geschäftliche E-Mail-Adresse angeben. Sie erhalten dann automatisch, ohne vorherige Prüfung durch einen Mitarbeiter, eine erste Einschätzung Ihres Anliegens per E-Mail. Dabei verarbeiten wir:

• Ihre Nachrichten (je höchstens 800 Zeichen) und die Antworten des Agenten,
• Ihre geschäftliche E-Mail-Adresse und die für Sie erstellte Ersteinschätzung,
• die Kampagnenangaben Ihres Seiteneinstiegs (Quelle, Kampagne, Anzeigenvariante und bei Google-Anzeigen den Suchbegriff, siehe Abschnitt V Ziffer 3); daraus entsteht auch die Begrüßung des Agenten, nicht aus Angaben über Ihre Person,
• eine zufällige Sitzungskennung, die Ihr Browser zusammen mit dem Gesprächsverlauf nur im Sitzungsspeicher ablegt (siehe Abschnitt IV Ziffer 2),
• Ihre IP-Adresse, ausschließlich um die Zahl der Nachrichten und Einschätzungen je Anschluss und Tag zu begrenzen (Missbrauchsschutz). Sie wird nicht im Klartext gespeichert, sondern nur als tagesbezogener, mit einem geheimen Schlüssel gebildeter Prüfwert (Hash).

KI-Verarbeitung in der EU: Die Antworten des Agenten und die Ersteinschätzung erzeugt ein KI-Sprachmodell (Claude von Anthropic), das wir über Amazon Bedrock nutzen (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg). Die Anfragen gehen an den Endpunkt in Frankfurt am Main und werden ausschließlich in Rechenzentren innerhalb der EU verarbeitet; Amazon verwendet die Eingaben nicht zum Training von Modellen. Eine Übermittlung an OpenAI oder an Modellanbieter in den USA findet für diese Verarbeitung nicht statt. Gesprächsverlauf, E-Mail-Adresse und Ersteinschätzung speichern wir in unserer Datenbank bei Supabase in der Region Frankfurt am Main (EU). Die E-Mail mit der Ersteinschätzung versenden wir über den Dienst Transactional Email der Scaleway SAS (8 rue de la Ville l’Evêque, 75008 Paris, Frankreich) aus einem Rechenzentrum in der EU. Mit diesen Anbietern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Eine Kopie der Ersteinschätzung erhält unser Team über Slack (siehe „Empfänger“ oben).

Kennzeichnung und keine automatisierte Entscheidung: Antworten und Ersteinschätzung stammen von einem KI-System, die E-Mail weist ausdrücklich darauf hin (Art. 50 KI-Verordnung). Die Ersteinschätzung ist eine unverbindliche erste Orientierung; eine Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO trifft der Agent nicht. Über eine Zusammenarbeit entscheiden Menschen.

Geben Sie Ihre E-Mail-Adresse an, entsteht zusätzlich eine Anfrage wie bei unseren übrigen Formularen; Ihre Nachrichten werden dabei gekürzt als Beschreibung Ihres Anliegens übernommen. Für diese Anfrage gelten die Angaben zu Empfängern und Speicherdauer oben in diesem Abschnitt.

• Zweck: Beantwortung Ihrer Anfrage und Erstellung einer ersten Einschätzung, ob und wie ein KI-Agent Ihren Vorgang übernehmen kann.
• Rechtsgrundlage: Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO); die Begrenzung der Anfragen je Anschluss beruht auf unserem berechtigten Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).
• Speicherdauer: Nachrichten, Antworten, E-Mail-Adresse, Herkunftsangaben und Ersteinschätzung werden nach 90 Tagen automatisch gelöscht, der Prüfwert der IP-Adresse nach zwei Tagen.

1. Technisch notwendige Cookies (Anmeldung und Sitzung)

Nutzen Sie unsere Anmeldefunktion (Login über Google, Microsoft oder LinkedIn, siehe Abschnitt VII), setzt unser Authentifizierungsdienst Supabase technisch notwendige Cookies, um den Anmeldevorgang abzusichern und Ihre Sitzung aufrechtzuerhalten. Diese Cookies sind als httpOnly gesetzt (kein Zugriff durch JavaScript) und werden nicht für eine Analyse Ihres Nutzungsverhaltens verwendet:

• `sb-<projekt-ref>-auth-token`: speichert Ihre Anmeldesitzung (Access- und Refresh-Token) nach erfolgreichem Login und hält Sie eingeloggt, bis Sie sich abmelden oder die Sitzung abläuft. Aus technischen Gründen kann dieses Cookie auf mehrere Teil-Cookies mit den Endungen .0 und .1 aufgeteilt werden (Chunking). <projekt-ref> steht dabei für die Kennung unserer Supabase-Instanz.

Rechtsgrundlage: Die Speicherung bzw. der Zugriff auf diese Informationen ist für die Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes (Anmeldung und Sitzungsverwaltung) unbedingt erforderlich; eine Einwilligung ist hierfür nach § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich. Die zugrunde liegende Verarbeitung Ihrer Daten stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des Nutzerkontos auf Ihre Anfrage hin).

2. Sitzungsbezogene Kampagnen-Attribution (Session Storage)

Zur richtigen Einordnung von Anfragen legen wir Attributionsangaben (Kanal, Quelle/Referrer, Kampagne, Einstiegsseite) ausschließlich im Sitzungsspeicher Ihres Browsers (`sessionStorage`) unter Schlüsseln mit dem Präfix ait_attr_ ab. Diese Angaben werden beim Absenden eines Formulars sowie, ohne Bezug zu Ihrer Person, für die anonyme Zählung von Besuchsstufen (Abschnitt V Ziffer 2) an uns übermittelt und mit demSchließen des Browser-Tabs automatisch gelöscht. Ein sitzungsübergreifendes Wiedererkennen oder Profiling findet nicht statt. Schreiben Sie unserem KI-Agenten (Abschnitt III), legt Ihr Browser dort zusätzlich den Gesprächsverlauf und eine zufällige Sitzungskennung unter dem Schlüssel ait_feyn_chat ab, damit ein Neuladen der Seite das Gespräch nicht verliert; auch dieser Eintrag wird mit dem Schließen des Tabs gelöscht. Einzelheiten zu Zweck und Rechtsgrundlage finden Sie in Abschnitt V Ziffer 3.

Rechtsgrundlage: Der Zugriff auf den Sitzungsspeicher ist für den von Ihnen gewünschten Dienst (kontextualisierte Bearbeitung Ihrer Anfrage) erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung beruht auf unserem berechtigten Interesse an der Bewertung unserer eigenen Kommunikationskanäle (Art. 6 Abs. 1 lit. f DSGVO).

3. Keine einwilligungspflichtige Reichweiten- oder Nutzungsmessung

Zur Reichweitenmessung setzen wir den cookielosen Dienst Plausible ein, zur Nutzungsanalyse (Heatmaps, Aufzeichnung von Bewegungsabläufen) Microsoft Clarity in einer Betriebsart ohne Cookies (beide siehe Abschnitt V). Keiner der beiden Dienste speichert Cookies in Ihrer Endeinrichtung oder legt geräte- oder personenbezogene Kennungen an, die Sie über einen Seitenaufruf hinaus wiedererkennen. Ein einwilligungspflichtiger Webanalysedienst (insbesondere Google Analytics) kommt nicht zum Einsatz. Deshalb ist weder ein Cookie-Banner noch eine gesonderte Einwilligung erforderlich.

1. Reichweitenmessung mit Plausible (ohne Cookies)

Ergänzend setzen wir den cookielosen Webanalysedienst Plausible (Anbieter: Plausible Insights OÜ, Estland) ein. Die Verarbeitung und Speicherung der erhobenen Daten erfolgt ausschließlich auf Infrastruktur europäischer Anbieter innerhalb der EU (u. a. in Deutschland); eine Übermittlung in Drittländer (insbesondere die USA) findet nicht statt. Einzelheiten zu den eingesetzten Subunternehmern stellt der Anbieter unter plausible.io/data-policy bereit. Mit dem Anbieter besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO. Plausible verwendet keine Cookies, speichert keine Informationen in Ihrer Endeinrichtung und legt keine geräte- oder personenbezogenen Kennungen an. Es werden ausschließlich aggregierte, anonyme Statistiken erhoben (z. B. aufgerufene Seiten, ungefähre Herkunft auf Länderebene, Quelle/Referrer, eingesetztes Gerät/Browser sowie etwaige Kampagnen-Parameter der Einstiegs-URL). Ein Wiedererkennen einzelner Besucher über Seitenaufrufe oder Sitzungen hinaus findet nicht statt.

• Zweck: Reichweitenmessung und Verständnis darüber, über welche Kanäle Besucher zu uns finden, um unser Angebot zu verbessern.
• Rechtsgrundlage: Berechtigtes Interesse an einer datenschonenden, anonymen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO). Da Plausible keine Informationen in Ihrer Endeinrichtung speichert oder ausliest, ist hierfür keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich.

2. Anonyme Zählung von Besuchsstufen (ohne Cookies)

Um zu verstehen, welche unserer Kanäle und Anzeigen Besucher bringen, die sich tatsächlich mit unserem Angebot befassen, zählen wir auf unseren eigenen Servern anonym, wie viele Besuche bestimmte Stufen erreichen (z. B. Seite gelesen, Interesse gezeigt, Anfrage gesendet). Gespeichert wird je Tag nur eine Anzahl, zusammen mit Kanal, Kampagne, Anzeigenvariante, Einstiegsseite und Geräteklasse (Handy, Tablet, Desktop). Es werden keine Cookies gesetzt, keine IP-Adressen gespeichert und keine Kennungen gebildet, mit denen Sie wiedererkannt werden könnten; ob eine Stufe in Ihrer laufenden Sitzung bereits gezählt wurde, merkt sich Ihr Browser nur im Sitzungsspeicher (siehe Abschnitt IV Ziffer 2). Eine Weitergabe an Dritte, insbesondere an Werbeplattformen, findet nicht statt.

• Zweck: Bewertung der Wirksamkeit unserer eigenen Kommunikationskanäle.
• Rechtsgrundlage: berechtigtes Interesse an einer datenschonenden Erfolgsmessung (Art. 6 Abs. 1 lit. f DSGVO).

3. Kampagnen-Attribution (First-Party, sitzungsbezogen)

Damit wir nachvollziehen können, über welchen Kanal oder welche Kampagne eine Anfrage zustande kam, werten wir beim Seiteneinstieg vorhandene Kampagnen-Parameter (z. B. utm_source, utm_medium, utm_campaign), die Referrer-Information und die Einstiegsseite aus. Diese Angaben werden ausschließlich im Sitzungsspeicher Ihres Browsers (`sessionStorage`) abgelegt und beim Absenden einer Kontakt-/Gesprächsanfrage an diese angehängt, damit wir Ihre Anfrage richtig einordnen können. Die Daten werden nicht über die Sitzung hinaus gespeichert und mit dem Schließen des Browser-Tabs gelöscht; es findet kein sitzungsübergreifendes Profiling statt.

• Zweck: zutreffende Einordnung Ihrer Anfrage und Messung der Wirksamkeit unserer eigenen Kommunikationskanäle.
• Rechtsgrundlage: Berechtigtes Interesse an der Bewertung unserer Marketing-Maßnahmen (Art. 6 Abs. 1 lit. f DSGVO). Der Zugriff auf den Sitzungsspeicher ist für den von Ihnen gewünschten Dienst (kontextualisierte Bearbeitung Ihrer Anfrage) erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

4. Nutzungsanalyse mit Microsoft Clarity (ohne Cookies)

Um zu verstehen, wie Besucher unsere Seiten tatsächlich nutzen (welche Bereiche gelesen, welche Schaltflächen geklickt und wie weit Seiten gescrollt werden), setzen wir den Dienst Microsoft Clarity ein (Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Clarity erstellt daraus Heatmaps und aufgezeichnete Bewegungsabläufe (Mausbewegungen, Klicks, Scrollen, Seitenaufbau) und erfasst dazu technische Angaben wie Gerätetyp, Browser, Bildschirmgröße, aufgerufene Seite und ungefähre Herkunft auf Länderebene. Wir betreiben Clarity in einer Betriebsart ohne Cookies: Der Dienst speichert keine Cookies in Ihrer Endeinrichtung und vergibt lediglich eine zufällige Kennung je Seitenaufruf, die mit dem Verlassen der Seite ihre Bedeutung verliert. Ein Wiedererkennen über mehrere Seitenaufrufe oder Besuche hinweg findet nicht statt. Eingaben in Formularfelder werden bereits in Ihrem Browser maskiert und niemals an Clarity übermittelt; dasselbe gilt für die gesamten Formularbereiche unserer Kontakt-, Download- und Anmeldeseiten. Auf Seiten, die nicht Teil unseres öffentlichen Angebots sind (z. B. Umfrage- oder Teilnehmerseiten), wird Clarity nicht geladen.

Die Daten werden in der Microsoft-Cloud (Azure) verarbeitet; dabei kann eine Übermittlung an die Microsoft Corporation in die USA erfolgen. Diese stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, unter dem Microsoft zertifiziert ist, ergänzend auf Standardvertragsklauseln gemäß Art. 46 DSGVO. Mit Microsoft gelten die Datenschutzbestimmungen für Microsoft-Produkte und -Dienste einschließlich der darin enthaltenen Auftragsverarbeitungsregelungen. Weitere Informationen: privacy.microsoft.com/de-de/privacystatement.

• Zweck: Verständnis der tatsächlichen Nutzung unserer Seiten, um Aufbau, Inhalte und Bedienbarkeit zu verbessern.
• Rechtsgrundlage: Berechtigtes Interesse an der Analyse und Verbesserung unseres Online-Angebots (Art. 6 Abs. 1 lit. f DSGVO). Da Clarity in der von uns gewählten Betriebsart keine Informationen in Ihrer Endeinrichtung speichert oder ausliest, ist keine Einwilligung nach § 25 Abs. 1 TDDDG erforderlich.
• Widerspruch: Sie können der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), etwa per E-Mail an die in Abschnitt I genannte Adresse. Gängige Inhaltsblocker unterbinden das Laden von Clarity zudem vollständig; unsere Website funktioniert davon unabhängig.

5. Meldung anonymer Dokument-Abrufe (ohne Kontaktdaten)

Einzelne Fachdokumente stellen wir ohne vorgeschaltetes Formular frei zum Abruf bereit (derzeit das Pii-Zero-Whitepaper auf der Seite „Sicherheit"). Klicken Sie dort auf den Download, übermittelt Ihr Browser zusätzlich eine kurze Meldung an unseren Server, die wir in unseren internen Vertriebskanal (Slack, siehe VI.) weiterleiten. Übertragen werden ausschließlich der Titel des Dokuments, die Stelle auf der Seite sowie die unter V.3 beschriebenen Attributionsangaben — keine E-Mail-Adresse, kein Name und keine sonstige Angabe, die Sie identifiziert. Ihre IP-Adresse wird dabei ausschließlich flüchtig im Arbeitsspeicher zur Begrenzung der Anfragefrequenz (Missbrauchsschutz) verarbeitet und nicht gespeichert. Der Download funktioniert unabhängig davon: Unterbleibt die Meldung, etwa wegen eines Inhaltsblockers, erhalten Sie das Dokument dennoch.

• Zweck: zeitnahe Kenntnis darüber, dass und über welchen Kanal unsere Fachpublikationen abgerufen werden.
• Rechtsgrundlage: Berechtigtes Interesse an der Messung der Wirksamkeit unserer Fachkommunikation (Art. 6 Abs. 1 lit. f DSGVO).