bejofa.chat ← Zurück zur Startseite

Datenschutzerklärung

Stand: 2026-11-09-v55

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

BeJoFa - Bernhard Fasold Ellen-Gottlieb-Straße 7 79106 Freiburg im Breisgau Deutschland

E-Mail: datenschutz@bejofa.chat Telefon: +49 7661 9729283

2. Überblick über die Datenverarbeitung

bejofa.chat ist eine KI-gestützte Plattform, die Ihnen den Zugang zu Sprachmodellen (Large Language Models, LLMs) verschiedener Anbieter ermöglicht. Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten bei der Nutzung von bejofa.chat.

Datenschutz auf einen Blick

Die vollständigen Angaben stehen in den folgenden Abschnitten.

Inhaltsverzeichnis

  1. Verantwortlicher
  2. Überblick über die Datenverarbeitung
  3. Hosting und technische Infrastruktur
  4. Registrierung und Konto
  5. Einsatz von KI-Sprachmodellen
  6. Erkennung personenbezogener Daten (Privacy Shield)
  7. Token-Erfassung und Abrechnung
  8. Zahlungsabwicklung
  9. Sicherheitsmaßnahmen
  10. Kontakt, Feedback und Support
  11. In-App-Posteingang
  12. Besondere Kategorien personenbezogener Daten
  13. KI-Transparenz und automatisierte Entscheidungen
  14. Cookies und lokale Speicherung
  15. Ihre Rechte als betroffene Person
  16. Datensicherheit
  17. Empfänger und Auftragsverarbeiter
  18. Änderungen dieser Datenschutzerklärung

3. Hosting und technische Infrastruktur

3.1 Serverstandort

bejofa.chat wird auf einem dedizierten Server der Hetzner Online GmbH in Deutschland betrieben.

Verarbeitete Daten: Bei jedem Aufruf protokolliert der Webserver Ihre IP-Adresse, den Zeitpunkt, die aufgerufene Adresse einschließlich ihrer Parameter, die vom Browser mitgesendeten Kopfzeilen (etwa Browserkennung, Spracheinstellung und verweisende Seite; Cookies und Anmeldedaten werden dabei unkenntlich gemacht), den Statuscode sowie Größe und Dauer der Antwort.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen). Das berechtigte Interesse besteht in der Bereitstellung und Absicherung der Plattform.

Speicherdauer: Zugriffsprotokolleinträge werden nach 7 Tagen automatisch gelöscht.

Anwendungsprotokoll. Der Dienst selbst protokolliert technische Ereignisse wie Fehler, ohne Inhalte Ihrer Themen. Einträge können Ihre Nutzer-ID enthalten und, wenn eine Anfrage die Ratenbegrenzung überschreitet (Abschnitt 9.2), auch Ihre IP-Adresse. Zweck sind Fehlersuche und Missbrauchsabwehr, Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Das Protokoll liegt nur auf dem Server und nicht in den Backups. Es wird verworfen, sobald der Dienst neu startet, was mit jeder neuen Version und jedem Neustart des Servers geschieht; eine feste Höchstdauer gibt es derzeit nicht.

Auftragsverarbeiter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. AVV gemäß Art. 28 DSGVO abgeschlossen.

3.2 Verschlüsselte Verbindung

Die Verbindung zu bejofa.chat erfolgt ausschließlich über TLS (HTTPS).

3.3 Backup

Backups werden verschlüsselt auf einem Speicher der Hetzner Online GmbH in Deutschland gespeichert. Sie werden verschlüsselt übertragen und mit dem Verfahren AES-256 verschlüsselt gespeichert.

Aufbewahrung: Die Backups liegen in einer Rotation vor, die die täglichen Kopien der letzten vierzehn Tage und darüber hinaus je eine Kopie pro Woche für die letzten acht Wochen umfasst. Ältere Kopien werden nicht aufbewahrt: jeder Rotationslauf entfernt sie samt der darin enthaltenen gelöschten Daten aus dem Sicherungsspeicher. Gelöschte Daten verschwinden deshalb nicht sofort aus den Backups; für den laufenden Betrieb werden sie ab der Löschung nicht mehr verwendet (§ 12 Abs. 8 AGB).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Datensicherheit).

4. Registrierung und Konto

4.1 Kontoerstellung

Für die Nutzung von bejofa.chat ist ein Benutzerkonto erforderlich. Bei der Registrierung werden folgende Daten erhoben:

Für die reguläre Anmeldung verwenden wir kein Passwort. Sie erfolgt über Magic-Link (einmaliger Anmeldelink per E-Mail).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Nach Abschluss der Kontoeinrichtung bleiben diese Kontodaten bis zur Kontolöschung gespeichert. Eine ohne Vertragsschluss abgebrochene Registrierung löschen wir nach 48 Stunden beim nächsten Löschlauf, der alle sechs Stunden stattfindet. Ein nach Vertragsschluss noch nicht fertig eingerichtetes Konto ohne Anzeigenamen wird frühestens nach 48 Stunden entfernt und erst, wenn keine Sitzung des Kontos mehr offen ist. Eine abgelaufene Sitzung zählt dabei mit, bis wir sie 30 Tage nach ihrem Ablauf löschen (Abschnitt 4.3).

Beim Abschluss des Nutzungsvertrags speichern wir außerdem Ihre Zustimmung zu den AGB, Ihre Erklärung zur privaten Nutzung und zu Ihrer Volljährigkeit, die Fassungen und Prüfsummen der angezeigten Rechtstexte sowie Anzeige- und Bestätigungszeitpunkt mit Ihrer Kontokennung. Das dokumentiert den Vertragsschluss auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und nach Vertragsende auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, weil wir den Vertragsschluss gegen Ansprüche belegen können müssen. Den Vertragsnachweis bewahren wir acht Jahre ab dem Ende des Kalenderjahres des Vertragsschlusses auf. Für die Nachweise der Kenntnisnahme der Datenschutzhinweise gilt Abschnitt 15.3. Die vor der Zustimmung zwischengespeicherte Zuordnung zu den angezeigten Textfassungen löschen wir beim Vertragsschluss; ohne Abschluss entfernen wir sie nach 24 Stunden beim nächsten Löschlauf.

Wenn Sie einen Anmeldelink anfordern und wenn Sie ihn einlösen, speichern wir jeweils die IP-Adresse, von der die Anfrage kam, mit dem Zeitpunkt. Bei einem Verdacht auf Missbrauch Ihres Kontos können wir so nachvollziehen, von wo ein Link angefordert und eingelöst wurde.

Rechtsgrundlage für die IP-Adresse: Art. 6 Abs. 1 lit. f DSGVO (Schutz Ihres Kontos und der Plattform vor Missbrauch).

Speicherdauer: Ein Anmeldelink ist 30 Minuten gültig. Den Eintrag zum Link löschen wir mit beiden IP-Adressen automatisch, sobald der Link seit 7 Tagen abgelaufen ist.

Wenn Sie Ihre E-Mail-Adresse ändern, schicken wir je einen Bestätigungslink an die alte und an die neue Adresse. Für diesen Vorgang speichern wir die neue Adresse, gehashte Kennungen der beiden Links und die Zeitpunkte der Bestätigungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Die beiden Links sind eine Stunde gültig. Den Vorgang löschen wir automatisch, sobald die Links seit 7 Tagen abgelaufen sind, auch wenn die Änderung abgeschlossen oder abgebrochen wurde. Dass Sie die Änderung angefordert und abgeschlossen haben, hält das Audit-Log jeweils mit der IP-Adresse 90 Tage fest (Abschnitt 9.3).

4.2 Wiederherstellungs-Passphrase

Bei der Kontoeinrichtung wird Ihnen eine Wiederherstellungs- Passphrase angezeigt. Diese dient als Notfallzugang, falls Sie keinen Zugriff auf Ihre E-Mail-Adresse haben. Die Passphrase speichern wir nicht im Klartext, sondern nur als kryptografischen Hash. Wir können sie nicht einsehen oder wiederherstellen. Den Hash speichern wir, solange Ihr Konto besteht, und löschen ihn mit dem Konto. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zugang zu Ihrem Konto).

4.3 Sitzungsverwaltung

Nach erfolgreicher Anmeldung wird eine Sitzung erzeugt und über ein Cookie gehalten.

Zur Sitzung speichern wir: eine Sitzungskennung, eine gehashte Kennung des Sitzungs-Tokens, die IP-Adresse, eine gehashte Browserkennung, den Erstellungszeitpunkt und den Zeitpunkt der letzten Aktivität. Die Sitzung hält Sie angemeldet (Art. 6 Abs. 1 lit. b DSGVO). Die IP-Adresse zeigen wir Ihnen in der Übersicht Ihrer Sitzungen, damit Sie eine fremde Sitzung erkennen und beenden können. Die gehashte Browserkennung zeigen wir nicht an und werten sie nicht automatisch aus. Wir speichern sie, um bei einem Verdacht auf Missbrauch Ihres Kontos nachvollziehen zu können, ob Sitzungen vom selben Browser stammen (Art. 6 Abs. 1 lit. f DSGVO, Schutz Ihres Kontos). Sie steht in Ihrem Datenexport (Abschnitt 15.5).

Speicherdauer: Die Sitzung endet spätestens nach 7 Tagen, nach 24 Stunden ohne Aktivität bereits früher. Während der Nutzung aktualisieren wir den Zeitpunkt der letzten Aktivität. Die gespeicherten Sitzungsdaten löschen wir 30 Tage nach dem festgelegten Ablaufdatum oder einer vorherigen Abmeldung oder Sperrung beim nächsten automatischen Löschlauf.

Unabhängig von der einzelnen Sitzung speichern wir an Ihrem Konto den Zeitpunkt Ihrer letzten Aktivität. Jede angemeldete Anfrage aktualisiert ihn. Der Betreiber sieht ihn bei der Prüfung Ihres Kontos und vor einer Mitteilung an Ihr Konto, ohne Inhalte, und zählt daraus als Summe über alle Konten, wie viele in den letzten 7 und 30 Tagen aktiv waren. Das dient dem Support und dem Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Der Zeitpunkt bleibt bis zur Löschung Ihres Kontos gespeichert und steht in Ihrem Datenexport (Abschnitt 15.5).

4.4 Transaktionale E-Mails

Für den Versand der E-Mails zu Ihrem Konto (Anmelde-, Wiederherstellungs- und Bestätigungslinks, Bestätigungen zu Vertrag, Zahlung, Widerruf, Kündigung und Kontolöschung) und der beiden E-Mails der Warteliste (Abschnitt 4.7) nutzen wir Mailjet SAS (Sinch-Gruppe), Frankreich.

Verarbeitete Daten: E-Mail-Adresse, Zustellstatus, Zeitstempel sowie der Inhalt der jeweiligen Nachricht samt Anlagen. Abrechnungsbezogene E-Mails enthalten die Angaben zum Vorgang, etwa Betrag und Zahlungsreferenz; eine Widerrufsbestätigung enthält zusätzlich den von Ihnen angegebenen Namen (Abschnitt 8.2). E-Mails mit einem Anmelde-, Wiederherstellungs- oder Bestätigungslink nennen die IP-Adresse, von der der Link angefordert wurde, damit Sie eine fremde Anforderung erkennen (Art. 6 Abs. 1 lit. f DSGVO). Diese IP-Adresse erhält damit auch, wer das Postfach liest, an das der Link geht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für die E-Mails der Warteliste Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung, Abschnitt 4.7).

AVV gemäß Art. 28 DSGVO abgeschlossen. Nach den Angaben von Mailjet werden die Daten in Rechenzentren in Frankfurt und Saint-Ghislain (Belgien) gespeichert. Die veröffentlichten Bedingungen sehen daneben Übermittlungen innerhalb der Sinch-Gruppe und an Unterauftragsverarbeiter außerhalb des EWR vor. Die dafür vorgesehenen Garantien, insbesondere Standardvertragsklauseln, beschreibt der Sinch-AVV. Die Liste der Unterauftragsverarbeiter nennt für Mailjet unter anderem Supportdienste in den USA. Eine ausschließliche Verarbeitung in der EU können wir daraus nicht ableiten.

Speicherdauer: Daten zur Zustellverfolgung (Zustellstatus, Zeitstempel sowie die Empfänger-Adresse, gespeichert als kryptografischer Hash und nicht im Klartext) werden automatisch spätestens nach 90 Tagen gelöscht. Wie lange Mailjet den Inhalt der einzelnen Nachrichten speichert, hat Mailjet uns bisher nicht bestätigt. Nach Ende unseres Mailjet-Kontos sieht der Sinch-AVV die Löschung innerhalb von 90 Tagen vor.

4.5 Eignungsprüfung und Rechnungsadresse

bejofa.chat steht Verbraucherinnen und Verbrauchern mit gewöhnlichem Aufenthalt in Deutschland offen (§ 1 Abs. 3 AGB). Soweit wir diese Zugangsberechtigung bei der Registrierung prüfen, bestätigen Sie sie und geben eine Rechnungsadresse in Deutschland an. Diese Angaben brauchen wir, um den auf Deutschland beschränkten Zugang zu prüfen und um handels- und steuerrechtliche Pflichten bei der kostenpflichtigen Nutzung zu erfüllen.

Verarbeitete Daten: Name, Rechnungsadresse, Ihre Bestätigung der Zugangsberechtigung.

Die Rechnungsadresse speichern wir mit dem Verfahren AES-256 verschlüsselt. Der Betreiber kann sie im laufenden Betrieb nicht einsehen. Für den Betreiber wird sie nur über einen gesonderten, protokollierten Vorgang entschlüsselt, etwa zur Erfüllung gesetzlicher Pflichten oder als Buchungsnachweis. Automatisch entschlüsselt der Dienst sie, wenn Sie Ihre Registrierung abschließen und wenn Sie Ihre Daten exportieren (Abschnitt 15.5).

Geben Sie Daten ein, ohne die Registrierung abzuschließen, sind diese unbestätigten Angaben 30 Minuten gültig. Danach löschen wir sie beim nächsten Löschlauf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen).

Speicherdauer: Die Rechnungsadresse speichern wir verschlüsselt, solange Ihr Konto besteht. Haben Sie nie einen Kauf abgeschlossen, löschen wir die Adresse mit dem Konto, soweit kein konkreter Rechtsanspruch oder eine gesetzliche Prüfung ihre weitere Aufbewahrung erfordert. Gab es einen Kauf, entfernen wir bei Kontolöschung die Verknüpfung mit Ihrem Nutzerkonto. Die Adresse und frühere Fassungen bleiben verschlüsselt bei den Zahlungsnachweisen erhalten, solange diese sie zur Zuordnung benötigen (Abschnitt 8.1). Deren achtjährige Frist beginnt mit dem Ende des Kalenderjahres der jeweiligen Aufzeichnung. Eine ältere Adresse kann deshalb noch für einen jüngeren Beleg benötigt werden. Nach Ablauf der erforderlichen Aufbewahrung wird sie automatisch gelöscht. Rechtsgrundlage für die gesetzliche Aufbewahrung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.

4.6 Pflicht zur Bereitstellung und Folgen

Für ein Konto benötigen wir Ihre E-Mail-Adresse und zum Abschluss der Einrichtung einen selbst gewählten Anzeigenamen. Wenn wir Ihre Zugangsberechtigung nach Abschnitt 4.5 prüfen, benötigen wir außerdem Ihren Namen, Ihre Rechnungsadresse und die dort genannte Bestätigung vor der Freischaltung. Ohne die jeweils erforderlichen Angaben können wir den Zugang nicht freischalten. Die Inhalte, die Sie in den Chat eingeben, stellen Sie freiwillig bereit; eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

4.7 Warteliste

Ein Konto kann nur eröffnen, wer einen Einladungscode hat. Ohne Code können Sie sich auf unserer Startseite in eine Warteliste eintragen. Einladungscodes verschicken wir nicht nach einem festen Zeitplan. Wann wir Codes verschicken und wie viele, legen wir jeweils fest. Die Codes gehen an die Personen, die ihren Eintrag am frühesten bestätigt haben.

Verarbeitete Daten: Ihre E-Mail-Adresse, ein kryptografischer Hash dieser Adresse, an dem wir einen doppelten Eintrag erkennen, die Zeitpunkte der Eintragung und der Bestätigung, die Fassung des Einwilligungstextes, dem Sie zugestimmt haben, und gehashte Kennungen der Links zum Bestätigen und zum Austragen. Eine IP-Adresse speichern wir zu Ihrem Eintrag nicht.

Nach dem Absenden schicken wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst wenn Sie ihn öffnen, gilt Ihr Eintrag. Kam die Bestätigung nicht an, schicken wir sie auf eine erneute Eintragung hin noch einmal. Nach einem erfolgreichen Versand geschieht das frühestens eine Stunde später.

Sind Sie bei einem Versand an der Reihe, prüfen wir zuerst, ob zu Ihrer E-Mail-Adresse schon ein Konto bei uns besteht. Besteht eines, brauchen Sie keinen Code mehr. Wir löschen Ihren Eintrag dann ohne weitere E-Mail und bewahren auch keinen Nachweis Ihrer Einwilligung auf. Sonst schicken wir Ihnen einen Einladungscode, der 14 Tage gültig ist. Sobald er verschickt ist, löschen wir Ihre E-Mail-Adresse aus der Warteliste. Nach einer technischen Störung beim Versand kann ein zweiter Code ankommen. Andere E-Mails als die Bestätigung und den Einladungscode schicken wir Ihnen über die Warteliste nicht.

In unserer Datenbank speichern wir den Einladungscode nur als Hash und ohne Bezug zu Ihrer E-Mail-Adresse. Die E-Mail mit dem Code verschicken wir über Mailjet (Abschnitt 4.4).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die E-Mail mit dem Einladungscode lädt Sie zur Registrierung ein und gilt deshalb als Werbung, für die wir Ihre vorherige ausdrückliche Einwilligung brauchen (§ 7 Abs. 2 UWG). Die Bestätigung über den Link weist diese Einwilligung nach.

Empfänger: Die beiden E-Mails versenden wir über Mailjet (Abschnitt 4.4).

Speicherdauer: Einen Eintrag, den Sie nicht bestätigen, löschen wir nach 7 Tagen. Einen bestätigten Eintrag löschen wir, sobald wir Ihnen den Einladungscode geschickt oder ein bestehendes Konto zu Ihrer Adresse festgestellt haben, spätestens aber 12 Monate nach Ihrer Eintragung. Haben wir Ihnen den Code geschickt, bewahren wir den Nachweis Ihrer Einwilligung bis zum Ablauf des dritten Kalenderjahres nach dem Jahr des Versands auf und löschen ihn danach automatisch. Der Nachweis besteht aus dem Hash Ihrer Adresse, der Fassung des Einwilligungstextes und den Zeitpunkten von Eintragung, Bestätigung und Versand, nicht aus der Adresse selbst. Rechtsgrundlage dafür ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 und Art. 5 Abs. 2 DSGVO (Nachweis der Einwilligung) sowie Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, uns gegen Ansprüche wegen der E-Mail mit dem Einladungscode verteidigen zu können, die in der Regel nach drei Jahren zum Jahresende verjähren. Der Löschlauf geht stündlich.

Denselben Nachweis nutzen wir für einen zweiten Zweck. Über die Warteliste soll jede Person nur einen Einladungscode bekommen. Tragen Sie sich mit einer Adresse ein, an die wir schon einen Code geschickt haben, gleichen wir den Hash dieser Adresse mit den gespeicherten Nachweisen ab. Finden wir einen Nachweis, speichern wir die Adresse nicht und schicken keine Bestätigungs-E-Mail. Die Seite nach dem Absenden sieht dann aus wie bei jeder anderen Eintragung, damit über das Formular niemand erfährt, ob eine Adresse bei uns bekannt ist. Eintragen können Sie sich mit dieser Adresse wieder, sobald der Nachweis gelöscht ist. Länger als oben genannt bewahren wir ihn dafür nicht auf. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die begrenzte Zahl an Einladungscodes gerecht unter den Wartenden zu verteilen. Mit dem Zweck, für den wir den Nachweis aufbewahren, ist dieser zweite Zweck vereinbar (Art. 6 Abs. 4 DSGVO), weil beide denselben Einladungscode betreffen, wir dafür keine weiteren Daten erheben und nur den Hash nutzen, nicht die Adresse. Widersprechen können Sie nach Abschnitt 15.6.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Link „Austragen“ aus der Bestätigungs-E-Mail öffnen oder an datenschutz@bejofa.chat schreiben. Wir löschen Ihren Eintrag dann sofort.

Die Eintragung ist freiwillig. Ohne sie erhalten Sie über die Warteliste keinen Einladungscode.

4.8 Eigener Einladungscode und Empfehlungsbonus

Sobald wir eigene Einladungscodes ausgeben, zeigen wir Ihnen in den Einstellungen einen eigenen Code, den Sie weitergeben können. Wann Sie ihn erhalten, wie oft er genutzt werden kann und welchen Bonus Sie dafür bekommen, steht in der Preisliste. Den Code speichern wir nicht im Klartext. Wir berechnen ihn bei Bedarf aus der Kennung Ihres Kontos.

Registriert sich jemand mit Ihrem Code, speichern wir, dass dieses Konto mit Ihrem Code eröffnet wurde. Diese Verknüpfung brauchen wir, um Ihnen den Empfehlungsbonus gutzuschreiben, sobald eine Buchung eines Zugangszeitraums der eingeladenen Person nicht mehr widerrufen werden kann. Dafür prüfen wir, ob eine ihrer Buchungen bestätigt, nicht widerrufen und ihre Widerrufsfrist abgelaufen ist. Beträge oder andere Angaben zu dieser Buchung geben wir nicht weiter.

Verarbeitete Daten: die Kennung Ihres Kontos, die Zahl der Nutzungen Ihres Codes, je Nutzung bis zur Gutschrift die Kennung des Kontos der eingeladenen Person, sowie Betrag und Zeitpunkt jeder Gutschrift. Die Aufzeichnung einer Gutschrift nennt die eingeladene Person nicht.

Rechtsgrundlage: Für Sie als einladende Person Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der Bonuszusage aus der Preisliste). Für die eingeladene Person Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, die Bonuszusage gegenüber der einladenden Person zu erfüllen. Von der eingeladenen Person verwenden wir dafür nur die Tatsache, dass eine ihrer Buchungen endgültig ist.

Was die einladende Person erfährt: In den Einstellungen zeigen wir nur, wie viele Nutzungen des Codes übrig sind und wie viel Empfehlungsbonus insgesamt gutgeschrieben wurde. Wer sich registriert oder gebucht hat, zeigen wir nicht. Hat die einladende Person ihren Code nur einer einzigen Person gegeben, kann sie trotzdem Schlüsse ziehen. Sinkt die Zahl der übrigen Nutzungen, hat sich diese Person registriert. Folgt eine Gutschrift, hat sie einen Zugangszeitraum gebucht und nicht widerrufen.

Speicherdauer: Die Verknüpfung zwischen den beiden Konten löschen wir mit der Gutschrift, spätestens 12 Monate nach der Registrierung der eingeladenen Person, auch wenn keine Gutschrift folgt. Löscht eine der beiden Personen ihr Konto, entfällt die Verknüpfung sofort. Die Aufzeichnung Ihrer Gutschriften bleibt bei Ihrem Konto, bis Sie es löschen, und steht in Ihrem Datenexport.

5. Einsatz von KI-Sprachmodellen (Large Language Models)

Stand dieses Abschnitts: 2026-11-09-v33

5.1 Beschreibung und Umfang der Verarbeitung

bejofa.chat ermöglicht Ihnen den Zugang zu KI-Sprachmodellen verschiedener Anbieter. Ihre Chats heißen Themen. Jedes Thema gehört zu einer Klasse, die beim Anlegen des Themas feststeht und danach nicht mehr wechselt:

Wenn Sie in einem Thema eine Nachricht absenden, ordnet zuerst ein Modell der Klasse des Themas Ihre Nachricht ein (Router). Es erhält dafür Ihre Nachricht mit dem nötigen Zusammenhang aus dem Thema, die Namen Ihrer Anhänge und die Namen und Anwendungszeilen Ihrer Wissenseinträge (Abschnitt 5.10). Es bestimmt, in welcher Stufe (Schnell, Standard oder Gründlich) geantwortet wird und welche Wissenseinträge in die Antwort eingehen. Danach schreibt das Modell dieser Stufe die Antwort. Welches Modell einordnet und welches Modell je Stufe antwortet, legen Sie in den Einstellungen unter „Modelle" fest; ohne eigene Wahl gilt unsere Voreinstellung. Beide gehören immer zur Klasse des Themas. Fällt das einordnende Modell aus, nehmen wir ein anderes Modell derselben Klasse. In eine andere Klasse wechseln wir nie.

Wechseln Sie selbst die Klasse, etwa über die Karte bei einem Ausfall, entsteht ein neues Thema in der anderen Klasse; das bisherige bleibt unverändert. Bestätigen Sie dort die Zusammenfassung mit „Ja“, geht der von Ihnen markierte Verlauf des bisherigen Themas an das Modell der Stufe Standard der neuen Klasse, das daraus die Zusammenfassung schreibt. So kann ein Inhalt aus einem Thema der EU-Klasse an ein Modell der US-Klasse gehen.

Zu einer Antwort können weitere Aufrufe gehören, etwa das Lesen von Anhängen (Abschnitt 5.8), eine Websuche (Abschnitt 5.6) oder zusätzliche Arbeitsschritte des Modells in der Stufe Gründlich. Jeder dieser Aufrufe geht an ein Modell der Klasse des Themas. Davon ausgenommen sind die Texterkennung und die Prüfung mitgegebener Dateien, die bei Mistral in der EU laufen (Abschnitt 5.8), die Namensprüfung vor der Übermittlung einer Datei an ein Modell der US-Klasse und, je nach Ihrer Einstellung, vor einer Websuche, die ebenfalls bei Mistral in der EU läuft (Abschnitt 6.1), die Websuche, die über den gewählten Suchdienst läuft (Abschnitt 5.6), und die Kurzfassung nach dem Sprechen, die in jeder Klasse ein Modell der EU-Klasse schreibt (Abschnitt 5.7). Die Infokarte zu jeder Antwort nennt jeden Aufruf mit Anbieter, dessen Sitzland und Preis.

Folgende Datenkategorien werden verarbeitet:

Schutz Ihrer Inhalte:

5.2 Rechtsgrundlage

Die Verarbeitung Ihrer Eingaben durch Übermittlung an KI-Sprachmodelle erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Bereitstellung von KI-gestütztem Chat ist der wesentliche Vertragsgegenstand. Ohne die Übermittlung Ihrer Eingaben an KI-Anbieter kann der vertraglich geschuldete Dienst nicht erbracht werden. Das gilt auch für die Einordnung durch den Router und für die weiteren Aufrufe einer Antwort, weil der Dienst ohne sie keine Antwort in der passenden Stufe erbringen kann.

Die Speicherung Ihres Chatverlaufs erfolgt ebenfalls auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, da die Möglichkeit, vergangene Gespräche einzusehen und fortzuführen, Bestandteil des vertraglichen Leistungsumfangs ist. Sie können einzelne Themen oder Ihren gesamten Chatverlauf jederzeit löschen (Abschnitt 5.10).

5.3 Empfänger und Auftragsverarbeiter

Ihre Eingaben werden je nach Klasse des Themas und Stufe der Antwort an einen KI-Anbieter als Auftragsverarbeiter (Art. 28 DSGVO) übermittelt. Welche Modelle bei welchem Anbieter und an welchem Ort verarbeitet werden, beschreiben die folgenden Absätze. Eine Gesamtübersicht aller Empfänger mit Region, Speicherdauer und Vertragsgrundlage steht in Abschnitt 17.

Mistral AI (Sitz Paris) verarbeitet unsere Anfragen über seinen EU-Endpunkt in unserem Auftrag (Art. 28 DSGVO). Das gilt für Chat, Texterkennung, die Prüfung mitgegebener Dateien, die Namensprüfung, das Reinsprechen in jeder Klasse und das Vorlesen in der EU-Klasse. Das Vorlesen in der US-Klasse übernehmen andere Anbieter (Abschnitt 5.7). Eine Speicherung zur Missbrauchserkennung findet für unser Konto nicht statt: Zero Data Retention ist vertraglich aktiviert und gilt für Chat, Texterkennung, Reinsprechen, Vorlesen und den Prüfdienst, mit dem wir mitgegebene Dateien prüfen (Abschnitt 5.8). Mistral speichert Ein- und Ausgaben nur so lange, wie die Erzeugung der Antwort es erfordert; Einzelheiten zur Speicherdauer stehen in Abschnitt 5.4. Zu den Modellen bei Mistral gehören auch offene Modelle anderer Hersteller, etwa GLM des chinesischen Herstellers Z.ai, die Mistral selbst betreibt. Ihre Eingaben gehen dabei an Mistral und nicht an Z.ai.

Wie weit diese Ortsbindung reicht. Sie betrifft Ihre Inhalte, also alles, was Sie schreiben, hochladen oder diktieren, und alles, was das Modell daraus erzeugt. Mistral behält sich begrenzte, abgesicherte Übermittlungen an eigene Unterauftragsverarbeiter außerhalb der EU vor, auch für die Erzeugung der Antwort. Dass ausnahmslos jedes Datum die EU nie verlässt, sagen wir deshalb nicht zu. Gelangen Daten in ein Land außerhalb des Europäischen Wirtschaftsraums, geschieht das nach unserem Auftragsverarbeitungsvertrag mit Mistral nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission, geeigneter Garantien oder der EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914).

Offene Modelle wie GPT-OSS und Qwen stellen wir über OVHcloud AI Endpoints bereit. Die Verarbeitung findet in Gravelines, Frankreich statt; Anbieter ist ein europäisches Unternehmen. Diese Modelle gehören deshalb zur EU-Klasse.

Die Claude-Modelle stellen wir ausschließlich EU-gehostet über Amazon Bedrock bereit; einen anderen Weg zu Claude-Modellen gibt es auf der Plattform nicht. Unsere Anfragen gehen an das Rechenzentrum von AWS in Frankfurt. AWS kann sie von dort an ein anderes seiner Rechenzentren in der EU weiterleiten, die Verarbeitung findet deshalb in der EU statt, aber nicht immer in Deutschland. Ihre Eingaben verlassen die EU im Regelbetrieb nicht. Anbieter ist allerdings ein US-Konzern (Amazon) — ein nach US-Recht behördlich erzwungener Zugriff (etwa nach dem US CLOUD Act) lässt sich rechtlich nicht vollständig ausschließen. Diese Modelle gehören zur US-Klasse. Als Absicherung dienen der AWS-Auftragsverarbeitungsvertrag, die darin einbezogenen Standardvertragsklauseln (Modul 2), die Zertifizierung von Amazon nach dem EU-US Data Privacy Framework sowie ergänzende Maßnahmen von AWS (u. a. Anfechtung überschießender Behördenanordnungen, Benachrichtigung soweit zulässig, Verschlüsselung).

Die GPT-Modelle stellen wir EU-gehostet über Microsoft Azure OpenAI bereit. Die aktuell verfügbaren Modelle sehen Sie in den Einstellungen unter „Modelle“. Die Verarbeitung findet in der EU-Datenzone von Microsoft statt (Data-Zone-EU-Bereitstellung). Zu dieser Zone gehören nach Angaben von Microsoft die EU-Mitgliedstaaten, und sie kann weitere Staaten wie Norwegen und die Schweiz einschließen. Microsoft kann die Zone ohne vorherige Ankündigung um weitere Regionen erweitern. Gespeicherte Daten bleiben im Gebiet der von uns gewählten Ressource. Norwegen gehört zum Europäischen Wirtschaftsraum, und für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission. Anbieter ist allerdings ein US-Konzern (Microsoft). Ein nach US-Recht behördlich erzwungener Zugriff (etwa nach dem US CLOUD Act oder FISA) lässt sich rechtlich nicht vollständig ausschließen. Diese Modelle gehören zur US-Klasse. Als Absicherung dienen der mit Microsoft geschlossene Auftragsverarbeitungsvertrag (Art. 28 DSGVO), die darin einbezogenen Standardvertragsklauseln und die Zertifizierung von Microsoft nach dem EU-US Data Privacy Framework.

Im Standardverfahren zur Missbrauchserkennung kann Microsoft markierte Eingaben und Antworten zusätzlich durch berechtigte Mitarbeiter im EWR prüfen lassen. Eine solche Prüfung ist keine Einsicht durch unsere Administrationsrolle. Microsoft erläutert das Verfahren in seiner Dokumentation zu Azure OpenAI auf Microsoft Learn unter dem Titel „Abuse monitoring“.

Wo Ihre Daten verarbeitet werden, folgt aus der Klasse des Themas, beim Prüfen Ihres Wissens aus der Klasse in Ihren Einstellungen (Abschnitt 5.10).

Kopie der Garantien. Soweit sich eine Übermittlung auf Standardvertragsklauseln oder einen Angemessenheitsbeschluss stützt, erhalten Sie die zugrunde liegenden Garantien auf Anfrage. Schreiben Sie uns dazu an datenschutz@bejofa.chat.

5.4 Speicherdauer

5.5 Dateiuploads

Wenn Sie einer Nachricht Dateien anhängen, werden diese zur Bearbeitung Ihrer Anfrage verarbeitet. Die Plattform begrenzt Anhänge derzeit auf maximal 3 Dateien pro Nachricht und 25 MB pro Datei.

Was mit einer angehängten Datei geschieht, legen Sie auf der Anhangskarte fest. Mit „lesen und prüfen" oder „lesen, nicht prüfen" wandeln wir die Datei in Text um, und das KI-Modell erhält diesen Text oder die Fassung, die Sie im Textfenster geändert haben. Mit „als Datei mitgeben" erhält das KI-Modell die Datei selbst; diesen Wert bietet die Karte nur an, wenn die Modelle der Klasse des Themas die Datei als Datei annehmen. Mit „Nur ablegen" lesen wir die Datei nicht und geben sie an kein Modell weiter. Wie Dateien in Text umgewandelt werden und wann sie dafür unseren Dienst verlassen, beschreibt Abschnitt 5.8.

Verarbeitete Daten: Dateiinhalt, Dateiname, Dateigröße, MIME-Typ, technische Speicherkennung sowie der aus der Datei erkannte Text. Zu jedem Anhang speichern wir außerdem Ihre Entscheidungen auf der Anhangskarte und das Ergebnis der Prüfungen als festen Wert. Das sind die Angabe, ob die Namensprüfung einen Namen gefunden hat und wann sie lief, und die Angabe, ob die Prüfung auf versteckte Anweisungen unauffällig war, auffällig war oder nicht verfügbar war. Die gefundenen Namen und Textstellen selbst speichern wir nicht.

Speicherung: Dateimetadaten werden zusammen mit der jeweiligen Nachricht gespeichert. Die Dateien selbst werden gesondert gespeichert. Eine angehängte Datei, die Sie nie abschicken, löschen wir nach 24 Stunden automatisch. Löschen Sie ein Thema endgültig (Abschnitt 5.10) oder Ihr Konto, werden die zugehörigen Dateiobjekte gelöscht, soweit keine technische Störung im Objektspeicher entgegensteht. Solche Störungen werden intern protokolliert und nachbearbeitet. Anders verhält es sich mit Dateien aus Ihrer Ablage (Abschnitt 5.10). Eine solche Datei bleibt in der Ablage, auch wenn Sie das Thema löschen, in dem Sie sie verwendet haben, und sie wird erst gelöscht, wenn Sie sie selbst oder Ihr Konto löschen.

5.6 Internetsuche (Web-Suche)

KI-Modelle können eine Live-Internetsuche durchführen, um Fragen mit aktuellen Informationen und Quellenangaben zu beantworten. Dabei ruft bejofa.chat die Suche selbst bei einem Suchdienst auf. Dafür sind folgende Dienste vorgesehen:

Staan (European Perspective) verarbeitet Suchanfragen in Frankreich. Für unser Konto hat Staan den amerikanischen Ersatzanbieter abgeschaltet und die Verschleierung der Suchanfragen aktiviert. Die Treffer kommen damit aus Staans eigenem Index. Mit Staan besteht ein Auftragsverarbeitungsvertrag. Dieser stuft Suchanfragen pauschal als nicht personenbezogen ein und nimmt ihre Verarbeitung deshalb aus seinem Datenschutzumfang aus. Da unsere Suchanfragen personenbezogene Angaben enthalten können, ist noch nicht geklärt, ob die Vertragsregelung diese Verarbeitung nach Art. 28 DSGVO ausreichend abdeckt. Die Vertragsunterlagen nennen auch Suchprotokolle. Eine bestätigte Speicher- und Löschfrist für unsere API-Suchanfragen und diese Protokolle liegt uns derzeit nicht vor. Aus der Verschleierung leiten wir weder eine vollständige Anonymisierung noch eine Speicherung von null Tagen ab. Nach den häufigen Fragen (FAQ) auf seiner Website nutzt Staan Suchdaten zur Analyse und Verbesserung des Suchdienstes, nicht zum Training eines LLM. Für diese eigene Nutzung ist Staan selbst verantwortlich; unser Vertrag mit Staan schließt sie bisher nicht aus.

Mojeek (Betrieb im Vereinigten Königreich). Für das Vereinigte Königreich hat die EU-Kommission ein angemessenes Datenschutzniveau anerkannt (Angemessenheitsbeschluss, verlängert bis 2031); zusätzliche Garantien sind deshalb nicht erforderlich. Der Vertrag, den Mojeek für seine Schnittstelle vorsieht, gilt als Auftragsverarbeitungsvertrag nur für die Daten unseres Kundenkontos und nimmt Suchanfragen davon ausdrücklich aus. Einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, der die Suchanfragen umfasst, haben wir deshalb nicht. Da unsere Suchanfragen personenbezogene Angaben enthalten können, ist die datenschutzrechtliche Einordnung dieser Verarbeitung noch nicht geklärt. Die folgenden Angaben stützen sich auf Aussagen von Mojeek, teilweise stehen sie auch im Vertrag. Nach Angabe von Mojeek wird die Suchanfrage ausschließlich im Vereinigten Königreich verarbeitet, bei der Erbringung der Suche werden keine Unterauftragsverarbeiter eingesetzt, und sie wird nicht an Dritte weitergegeben und nicht für Profilbildung, Werbung oder das Training von Modellen genutzt. Nach Angabe von Mojeek bleibt die Suchanfrage 90 Tage gespeichert.

Suchanfragen senden wir an die beschriebenen Suchdienste in der EU oder im Vereinigten Königreich. Für die vorgeschaltete Namensprüfung bei Mistral gelten die Angaben und Vorbehalte aus Abschnitt 5.3.

Wann gesucht wird. Einen eigenen Schalter für die Websuche gibt es nicht. Braucht Ihre Frage aktuelles Wissen, bildet das KI-Modell, das die Antwort schreibt, bis zu fünf Suchanfragen, und unser Dienst sendet sie an einen Suchdienst. Welcher Suchdienst sucht, hängt von der Stufe der Antwort ab (Abschnitt 5.1). In der Stufe Schnell sucht nur Staan. In der Stufe Standard sucht Staan, und findet Staan zu wenig, geht dieselbe Anfrage unverändert an Mojeek. In der Stufe Gründlich suchen beide Dienste gleichzeitig. Fällt ein Suchdienst aus, geht die Anfrage an den anderen. Haben Sie „nur Staan, ohne Prüfung" gewählt, sucht in jeder Stufe nur Staan (unten). Hat das Modell Treffer gelesen, sucht es nicht selbst weiter. Es schlägt Ihnen am Ende der Antwort eine weitere Suche vor, und diese läuft erst, wenn Sie den Vorschlag als Ihre nächste Nachricht senden.

Eine Suchanfrage kann Teile Ihrer Eingabe, des Gesprächsverlaufs oder angehängter Dateien enthalten, auch sensible Angaben, wenn Ihre Frage solche enthält. Das Modell formuliert den Suchtext. Die Schutzfunktionen aus Abschnitt 6 begrenzen bestimmte Übermittlungen, erkennen aber nicht alle personenbezogenen Angaben. Für sensible Angaben gelten die Eingaberegeln aus Abschnitt 12.

Namen in Suchanfragen. In den Einstellungen legen Sie fest, ob Suchanfragen mit Personennamen auch an Mojeek gehen dürfen („Anfragen mit Personennamen auch an Mojeek"). Haben Sie das nicht erlaubt oder diese Frage noch nicht beantwortet und kann eine Suchanfrage nach der Regel der Stufe an Mojeek gehen, prüfen wir die geplanten Suchanfragen der Antwort vorher in einem Aufruf auf Namen (Abschnitt 6.1). Dafür geht der Text der Suchanfragen an Mistral AI (Verarbeitung in der EU). Dieser Aufruf steht als eigene Zeile auf der Infokarte. Haben Sie Namen bei Mojeek nicht erlaubt, geht eine Suchanfrage mit dem Namen einer Person nur an Staan, und die Infokarte nennt den Grund. Suchanfragen ohne Personennamen folgen der Regel der Stufe. Schlägt die Prüfung fehl, gehen die Suchanfragen dieser Antwort nur an Staan.

Haben Sie die Frage noch nicht beantwortet und findet die Prüfung den Namen einer Person, hält die Antwort an und fragt Sie „Anfragen mit Namen auch an Mojeek?". Bis Sie antworten, geht keine Suchanfrage dieser Antwort an Mojeek. Mit „Ja" gehen auch Suchanfragen mit Personennamen nach der Regel der Stufe an Mojeek, mit „Nein" nur an Staan. Setzen Sie dabei das Häkchen „künftig nicht mehr fragen", speichern wir Ihre Antwort als Einstellung, und Sie können sie dort jederzeit ändern. Ohne das Häkchen gilt Ihre Antwort nur für diese eine Antwort.

Solange Sie die Frage nicht beantwortet haben, tragen wir die Kosten der Prüfung selbst. Die Infokarte zeigt die Prüfung dann als Zeile des Betriebs, und von Ihrem Guthaben wird dafür nichts abgezogen. Haben Sie Namen bei Mojeek nicht erlaubt, in der Einstellung oder mit „Nein" für eine Antwort, ist die Prüfung ein abgerechneter Aufruf (Abschnitt 7.1).

Statt „Ja" oder „Nein" können Sie in den Einstellungen „nur Staan, ohne Prüfung" wählen. Dann gehen alle Suchanfragen Ihres Kontos in jeder Stufe nur an Staan, auch wenn Staan zu wenig findet oder ausfällt, und keine Suchanfrage geht an Mojeek. Eine Prüfung auf Namen findet dann nicht statt, kein Text geht dafür an Mistral, und wir fragen Sie nicht nach Namen bei Mojeek. Schalten Sie dort später „Anfragen mit Personennamen auch an Mojeek" ein, gilt „Ja". Schalten Sie „nur Staan, ohne Prüfung" aus, gilt „Nein". Mit „Wieder fragen" ist die Frage wieder unbeantwortet.

Prüfung der Zitate. Nennt die Antwort am Ende einen benutzten Treffer und gibt dazu eine wörtliche Stelle aus ihm an, prüfen wir zuerst ohne Modell, ob die Stelle im Textauszug steht, den das Modell von der Suche erhalten hat. Steht sie dort, prüft ein zusätzliches Modell, ob die Aussagen der Antwort, die sich auf die Stelle stützen, davon gedeckt sind. Dafür gehen die Antwort, die Stelle und der Textauszug an das Modell mit der Voreinstellung für die Stufe Schnell in der Klasse des Themas, wie bei der Vorprüfung (Abschnitt 5.8). Findet das Prüfmodell die Aussagen davon gedeckt, steht vor dem Treffer auf der Infokarte ein Häkchen. Geprüft wird nur gegen den Textauszug, nicht gegen die ganze Webseite, und nicht, ob die Aussage stimmt. Ohne Häkchen bleibt ein Treffer, wenn die Stelle zu kurz ist, ein weiterer Modellaufruf die Antwort ersetzt hat, der Kostenrahmen der Antwort nicht reicht oder die Prüfung fehlschlägt. Der Aufruf steht als „Zitatprüfung“ auf der Infokarte. Die Stelle speichern wir nicht; vom Ergebnis der Prüfung speichern wir mit dem Treffer nur, ob das Häkchen steht. Die Regeln des Schutzverzeichnisses aus Abschnitt 6 gelten auch für diesen Aufruf.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Websuche ist Teil des KI-gestützten Chats und dient der Beantwortung Ihrer Frage. Für Angaben über andere Personen gilt Abschnitt 5.9. Die Grundlagen für Übermittlungen außerhalb des EWR stehen in Abschnitt 17.

Ihre Kontrolle: Jede Suche sehen Sie auf der Infokarte der Antwort, mit der Suchanfrage im Wortlaut, dem Suchdienst, der sie ausgeführt hat, und den Treffern.

Was gespeichert wird: Zusammen mit der Antwort speichern wir jede Suchanfrage im Wortlaut, welche Suchdienste sie ausgeführt haben und ob einer davon ausgefallen ist, wenn eine Anfrage nur an einen der Suchdienste ging, den Vermerk dazu, und aus den Suchtreffern die Adresse und den Titel sowie die Angabe, ob das Modell den Treffer für die Antwort verwendet hat und ob der Treffer das Häkchen der Zitatprüfung trägt. Das dient allein dazu, dass Sie auf der Infokarte der Antwort auch später nachsehen können, wonach gesucht wurde und worauf die Antwort beruht. Textauszüge der Trefferseiten speichern wir nicht. Die Angaben sind nur für Sie sichtbar, die reguläre Administrationsrolle hat keinen Zugriff darauf (Abschnitt 5.1). Sie gehören zum Inhalt des Themas und werden gelöscht, wenn Sie das Thema endgültig löschen oder Ihr Konto löschen (Abschnitt 5.4). Gilt in einem Thema der Schutz über das ganze Thema (Abschnitt 6), speichern wir eine Suchanfrage nur in der Form mit Platzhaltern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Infokarte mit ihren Angaben zu jeder Antwort Teil des Dienstes ist, wie Abschnitt 5.1 ihn beschreibt.

5.7 Sprachfunktionen: Sprechen und Vorlesen

Sprechen. Tippen Sie auf den Sprechen-Knopf neben dem Eingabefeld, nehmen wir Ihre Sprache auf und übermitteln die Aufnahme an Mistral AI (Sitz Paris, Verarbeitung in der EU). Mistral wandelt sie in Text um. Eine Sprechpause von etwa zwei Sekunden oder ein zweites Tippen beendet die Aufnahme, und der erkannte Text geht als Ihre Nachricht ab, ohne dass Sie auf Senden tippen. Die Antwort lesen wir Ihnen danach als Kurzfassung vor. Die Kurzfassung schreibt ein Modell der EU-Klasse (Abschnitt 5.1) in einem eigenen Aufruf. Es erhält dafür den Text der Antwort, auch in einem Thema der US-Klasse. Ist die Antwort selbst kurz, entfällt dieser Aufruf. Die vollständige Antwort steht im Text. Danach bleibt das Mikrofon geschlossen. Stellt die Anwendung vor der Antwort eine Rückfrage, lesen wir sie vor und öffnen das Mikrofon einmal für Ihre Antwort darauf. Die Aufnahme läuft in jeder Klasse nur über Mistral.

Vorlesen. Tippen Sie unter einer Antwort auf „Vorlesen“, spielen wir ab, was zu dieser Antwort schon vorgelesen wurde. Gibt es das noch nicht, übermitteln wir den Text der Antwort an den Sprachanbieter der Klasse des Themas. Die Kurzfassung nach dem Sprechen geht ebenso an diesen Anbieter. Stellen, die Sie im Text ausgeblendet haben, übermitteln wir nicht mit, und eine Tabelle oder einen Codeblock ersetzen wir durch einen kurzen Hinweis. In der EU-Klasse ist der Sprachanbieter Mistral AI (Sitz Paris, Verarbeitung in der EU). Fällt Mistral aus, bevor die Wiedergabe beginnt, übermitteln wir denselben Text ohne erneute Nachfrage an KugelAudio GmbH (Sitz Berlin, Verarbeitung in der EU). In der US-Klasse ist es Microsoft (Azure Speech, Rechenzentrum Frankreich). Fällt Microsoft aus, bevor die Wiedergabe beginnt, übermitteln wir denselben Text ohne erneute Nachfrage an Amazon Web Services (Amazon Polly, Rechenzentrum Frankfurt). Microsoft und Amazon gehören zu US-Konzernen, deshalb lässt sich eine Herausgabe an US-Behörden nicht vollständig ausschließen (Abschnitt 5.3). Welche Stimme spricht, folgt aus der Klasse des Themas und aus Ihrer Wahl zwischen weiblicher und männlicher Stimme. Diese Wahl liegt nur in Ihrem Browser und bleibt auch bei Abmeldung oder Kontolöschung dort, bis Sie sie ändern oder den lokalen Speicher der Website löschen (Abschnitt 14.1).

Hinweis vor der ersten Nutzung. Beim ersten Tippen zeigen wir eine Karte, die beide Anbieter, den für die Aufnahme und den für das Vorlesen in der Klasse des Themas, mit ihrem Land nennt, sagt, ob sie die Inhalte speichern, und darauf hinweist, dass wir vorgelesene Antworten beim Thema speichern. Erst wenn Sie die Karte bestätigen, geht etwas an die Anbieter. Die Karte informiert Sie nach Art. 13 DSGVO, eine Einwilligung ist sie nicht. In den Einstellungen setzen Sie das je Richtung („Reinsprechen“, „Vorlesen“) zurück. Dann erscheint die Karte beim nächsten Tippen erneut, und eine laufende Übertragung dieser Richtung brechen wir ab.

Diktieren in ein Textfeld. Sie können Text auch in das Eingabefeld eines Themas oder in Ihre Rückmeldung auf der Hilfeseite diktieren. Die Aufnahme geht ebenfalls an Mistral AI in der EU. Der erkannte Text steht danach im Textfeld; Sie können ihn bearbeiten und senden ihn selbst ab. Auf der Hilfeseite nennt die Hinweiskarte nur den Anbieter der Spracherkennung, weil dabei nichts vorgelesen wird. Eine solche Aufnahme rechnen wir auch dann ab, wenn Sie den Text anschließend nicht absenden. Die Abrechnungsdaten eines Diktats auf der Hilfeseite sind Ihrem Konto und keinem Thema zugeordnet. Erst wenn Sie die Rückmeldung absenden, speichern wir deren Text nach Abschnitt 10. Die Sprachaufnahme speichern wir nicht.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO. Die Übermittlung dient der Erfüllung des Nutzungsvertrags, und Sie veranlassen jede Übermittlung durch Tippen. Beim Sprechen veranlasst Ihr Tippen die ganze Runde aus Aufnahme, Absenden und Vorlesen der Kurzfassung. Das Speichern vorgelesener Antworten dient derselben Leistung, denn ein erneutes Vorlesen soll weder warten lassen noch erneut kosten. Eine Einwilligung holen wir dafür nicht ein. Zu besonderen Kategorien personenbezogener Daten gilt Abschnitt 12, zu Angaben über andere Personen in einem vorgelesenen Text Abschnitt 5.9.

Datenkategorien. Beim Sprechen Ihre Sprachaufnahme und der erkannte Text, beim Vorlesen der Antworttext oder die Kurzfassung und die erzeugte Audiodatei. Die Aufnahme dient nur der Umwandlung in Text. Wir werten sie nicht aus, um Sie zu erkennen, und eine biometrische Auswertung findet nicht statt.

Speicherung. Ihre Sprachaufnahme und die Kurzfassung als Text speichern wir nicht. Den für die Sprachausgabe aufbereiteten Antworttext speichern wir nicht zusätzlich, die vollständige Antwort bleibt als Teil des Themas gespeichert (Abschnitt 5.10). Den erkannten Text speichern wir wie jede andere Nachricht im Thema. Die Audiodatei einer vollständig vorgelesenen Antwort speichern wir im Speicher Ihres Kontos beim Thema, je Antwort eine, damit ein erneutes Vorlesen sie nur abspielt. Dazu halten wir fest, zu welcher Antwort sie gehört, ob sie die Kurzfassung oder die ganze Antwort enthält, ihr Format, ihre Größe und eine Prüfsumme des vorgelesenen Textes, nicht den Text selbst. Die Administrationsrolle hat keinen Zugriff darauf. Verwerfen Sie das Thema, löschen wir seine Audiodateien. Seine Nachrichten, Antworten, Anhänge und sein Schutzverzeichnis bleiben im Bereich „Gelöscht“, bis Sie das Thema dort endgültig löschen oder Ihr Konto löschen (Abschnitt 5.10). Holen Sie das Thema zurück, geht der Text beim nächsten Vorlesen erneut an den Anbieter. Löschen Sie einen Eintrag oder Ihr Konto, löschen wir die zugehörigen Audiodateien ebenso. In Ihrem Konto halten wir fest, für welche Richtung und welchen Anbieter Sie die Karte bestätigt haben, ohne Zeitpunkt. Dazu kommen Abrechnungsdaten wie Dauer, Zeichenzahl, Anbieter und Preis (Abschnitt 7). Ein Abspielen einer gespeicherten Audiodatei geht an keinen Anbieter. Mistral speichert weder die Aufnahme noch den vorgelesenen Text, weil für unser Konto Zero Data Retention aktiviert ist (Abschnitt 5.3). KugelAudio speichert Antworttext und Audiodatei nicht und nutzt sie nicht zum Training, so ist es im Auftragsverarbeitungsvertrag vereinbart. Microsoft speichert nach eigenen Angaben bei der Sprachausgabe in Echtzeit weder Text noch Audio und lässt keine Inhalte durch Mitarbeiter prüfen. Amazon kann den Antworttext speichern, soweit das für den Betrieb von Amazon Polly nötig ist, und nennt dafür keine Frist. Zur Verbesserung seiner Dienste und Modelle nutzt Amazon ihn nicht, weil wir das für unser Konto ausgeschlossen haben. Ändert ein Anbieter diese Bedingungen, schalten wir die betroffene Funktion ab, bis wir sie neu bewertet haben.

Frühere Einwilligungen. Haben Sie früher in das Sprach-Modul eingewilligt, bleibt dieser Nachweis gespeichert, bis das dritte Kalenderjahr nach dem Jahr abgelaufen ist, in dem wir die Sprachfunktionen auf den Nutzungsvertrag umgestellt haben, und wird dann automatisch gelöscht (Abschnitt 15.3, Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO). Die Funktionen beruhen seitdem auf dem Nutzungsvertrag. Widerrufen müssen Sie nichts.

KI-Transparenz. Die Stimme beim Vorlesen ist synthetisch. Die Kurzfassung nach dem Sprechen schreibt ein KI-Modell, sie kann Einzelheiten der vollständigen Antwort auslassen. Die Spracherkennung kann Namen, Zahlen und Fremdwörter falsch erkennen.

5.8 Texterkennung angehängter Dateien und Prüfung mitgegebener Dateien

Lesen. Wählen Sie auf der Anhangskarte „lesen und prüfen" oder „lesen, nicht prüfen", wandeln wir die Datei in Text um. Eine Textdatei (etwa .txt, .md, .json oder .xml) lesen wir dafür auf unserem eigenen Server, für das Lesen geht sie an niemanden. Jede PDF-, Word- oder PowerPoint-Datei und jedes Bild übermitteln wir dafür an Mistral AI (Sitz Paris, Verarbeitung in der EU), und zwar unabhängig davon, welches Modell die Antwort schreibt. Mistral erkennt den Text und gibt ihn an uns zurück. Die Übermittlung beginnt erst, wenn Sie die Anhangskarte vollständig ausgefüllt haben, und die Karte nennt Mistral als Empfänger, bevor Sie tippen. Mistral erhält dabei die ganze Datei, liest aber nur die Seiten, die Sie auf der Karte als Seitenbereich angegeben haben, und ohne Angabe die Seiten bis zu einer festen Obergrenze. Nach dem Absenden geht der erkannte Text in die unten beschriebene Vorprüfung. Das KI-Modell, das die Antwort schreibt, erhält deren Lesefassung und nicht die Datei.

Ändern im Textfenster. Im Textfenster können Sie den erkannten Text vor dem Absenden ändern. Die Vorprüfung erhält dann Ihre geänderte Fassung. Wir prüfen sie auf unserem Server mit denselben festen Mustern wie den erkannten Text (siehe unten), eine zweite Namensprüfung findet dabei nicht statt. Ab dem Absenden speichern wir die geänderte Fassung beim Anhang, bis die Antwort fertig ist, gescheitert ist oder abgebrochen wurde. So erhält das Modell Ihre Fassung auch dann, wenn die Antwort erst später weiterläuft, etwa nach einer Rückfrage oder wenn Sie bei einem Ausfall des Anbieters „Warten" gewählt haben. Ein Lauf, der im Reiter „Offen" auf den Anbieter wartet, wartet ohne feste Frist, bis die Antwort kommt oder Sie ihn abbrechen, und so lange bleibt auch die geänderte Fassung gespeichert. Danach löschen wir sie automatisch. Löschen Sie vorher das Thema endgültig (Abschnitt 5.10) oder Ihr Konto, löschen wir sie mit. Die Administrationsrolle hat auf die geänderte Fassung keinen Zugriff.

Prüfung mitgegebener Dateien. Wählen Sie „als Datei mitgeben", erhält das KI-Modell die Datei selbst. Vorher prüfen wir den Text der Datei auf versteckte Anweisungen an die KI, weil eine solche Anweisung die angeforderte Antwort verfälschen kann. Für diese Prüfung liest Mistral eine PDF-, Word- oder PowerPoint-Datei oder ein Bild zuerst wie oben beschrieben aus. Den Text übermitteln wir anschließend an den Prüfdienst von Mistral AI (Verarbeitung in der EU), der eine Einschätzung zurückgibt. Ist der Text auffällig, zeigen wir Ihnen einen Hinweis am Anhang, und Sie entscheiden, ob Sie die Datei trotzdem mitgeben.

Vorprüfung vor der Antwort. Dateitexte aus Anhängen und Dateien, die über einen Wissenseintrag mitgehen, liest vor der Antwort ein zusätzliches Modell. Es verwendet die Voreinstellung für die Stufe Schnell in der Klasse des Themas, unabhängig davon, welche Antwortmodelle Sie selbst eingestellt haben. Das Modell kennzeichnet mögliche Anweisungen im Material und gibt eine Lesefassung an das antwortende Modell weiter. Entsprechend läuft ein zusätzlicher Leseschritt für die Textauszüge einer Websuche (Abschnitt 5.6). Jeder dieser Aufrufe steht als „Vorprüfung“ auf der Infokarte. Eine bereits gespeicherte, noch passende Lesefassung einer mit Wissen verknüpften Datei verwenden wir ohne erneuten Aufruf (Abschnitt 5.10). Die Regeln des Schutzverzeichnisses aus Abschnitt 6 gelten auch für diese Übermittlungen.

Nur ablegen. Wählen Sie „Nur ablegen", lesen wir die Datei nicht und übermitteln sie an niemanden. Dem Modell, das Ihre Nachricht einordnet (Abschnitt 5.1), nennen wir nur den Dateinamen.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Sie veranlassen das Lesen oder Mitgeben der Datei mit Ihrer Wahl auf der Anhangskarte. Zu besonderen Kategorien personenbezogener Daten gilt Abschnitt 12. Für die Übermittlung an Mistral gilt derselbe Vorbehalt zu Unterauftragsverarbeitern wie in Abschnitt 5.3. Für die Namensprüfung gilt Abschnitt 6.2.

Speicherung. Mistral speichert weder die für die Texterkennung übermittelten Dateien noch den an den Prüfdienst oder zur Namensprüfung übermittelten Text, weil für unser Konto Zero Data Retention aktiviert ist. Bei uns liegt der erkannte Text bis zu 24 Stunden in einem Zwischenspeicher, der Ihrem Konto zugeordnet und der Administrationsrolle nicht zugänglich ist. Das gilt auch für den Text, den wir nur für die Prüfung einer mitgegebenen Datei lesen. Danach löschen wir ihn automatisch. Ist der Zwischenspeicher vor dem Absenden geleert worden, lesen wir die Datei beim Absenden ein zweites Mal bei Mistral. Diesen zweiten Aufruf bezahlen wir, Ihnen berechnen wir ihn nicht.

Suche nach personenbezogenen Daten. Bei „lesen und prüfen" durchsuchen wir den erkannten Text anschließend auf unserem Server nach personenbezogenen Daten (Abschnitt 6), und beim Absenden die Fassung, die Sie im Textfenster geändert haben, mit denselben festen Mustern. In einem Thema der US-Klasse übermitteln wir den erkannten Text außerdem zur Namensprüfung an Mistral AI in der EU (Abschnitt 6.1), auch den Text einer Textdatei, die wir selbst gelesen haben. Bei „lesen, nicht prüfen" und bei „als Datei mitgeben" findet keine dieser Prüfungen statt.

5.9 Angaben über andere Personen in Ihren Eingaben

Dieser Abschnitt informiert Personen, deren Daten in den Inhalten unserer Nutzer oder in Suchtreffern vorkommen, nach Art. 14 DSGVO.

Woher die Daten stammen: Angaben über andere Personen gelangen zu uns aus den Eingaben unserer Nutzer, also aus Chat-Nachrichten, angehängten Dateien oder diktiertem Text, aus Dokumenten, die Nutzer in ihrer Ablage ablegen (Abschnitt 5.10), aus den Antworten, die ein KI-Modell darauf erzeugt, und bei einer Websuche aus den Suchtreffern zu öffentlich zugänglichen Webseiten.

Welche Daten das sind: Was ein Nutzer schreibt, bestimmt er selbst; es kann jede Art von Angabe sein, etwa Namen, Kontaktdaten oder Schilderungen. Wir werten Verläufe nicht daraufhin aus, welche Personen darin vorkommen, und führen kein Verzeichnis erwähnter Personen über Chats hinweg. Die Namensprüfung aus Abschnitt 6.1 sucht in einer Datei oder in geplanten Suchanfragen nach Namen, bevor diese an einen Anbieter gehen. Die gefundenen Namen sieht nur der Nutzer, und wir speichern sie nicht. Gespeichert wird je Anhang, ob ein Name gefunden wurde und wann die Prüfung lief (Abschnitt 5.5). Nutzt ein Nutzer die Schutzfunktion aus Abschnitt 6, entsteht allein das dort beschriebene Schutzverzeichnis. Es dient dazu, Angaben von Anbietern fernzuhalten, und wird nicht ausgewertet.

Zweck und Rechtsgrundlage: Wir verarbeiten solche Angaben ausschließlich eingebettet in den Inhalt des Nutzers, um dessen Anfrage zu beantworten, so wie in Abschnitt 5.1 beschrieben, und bei Dokumenten in der Ablage, um sie dem Nutzer für seine späteren Anfragen bereitzuhalten. Ein eigener Verarbeitungszweck für Angaben über Dritte besteht nicht. Rechtsgrundlage ist unser berechtigtes Interesse und das unserer Nutzer an der Erbringung des angefragten Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Auf den Vertrag mit dem Nutzer können wir uns gegenüber Dritten nicht stützen, denn sie sind daran nicht beteiligt.

Empfänger und Speicherdauer: Es gelten dieselben Regeln wie für den übrigen Inhalt des jeweiligen Vorgangs. Empfänger sind die KI-Anbieter der Modelle, die an dem Vorgang mitwirken (etwa Einordnung, Antwort, Vorprüfung, Zitatprüfung, Kurzfassung, die Aufrufe zu Ihrem Wissen nach Abschnitt 5.10 und die Bilderzeugung nach Abschnitt 5.12), bei einer Websuche zusätzlich der Suchanbieter, beim Sprechen und Vorlesen die Sprachanbieter, bei Texterkennung, Dateiprüfung und Namensprüfung Mistral AI, jeweils wie in den Abschnitten 5.1, 5.3, 5.6, 5.7, 5.8, 6.1 und 17 beschrieben, dazu unser Hoster nach Abschnitt 3. Für die Speicherdauer einschließlich der dort genannten Nachläufe bei Anbietern gilt Abschnitt 5.4; löscht der Nutzer den Verlauf oder sein Konto, greifen die Löschregeln aus Abschnitt 15.3. Ein Dokument in der Ablage bleibt dort, bis der Nutzer es oder sein Konto löscht. Für ein Dokument mit Angaben über andere Personen gilt dieselbe Regel wie für die übrigen Dateien der Ablage des Nutzers und keine eigene Frist (Abschnitt 5.10).

Ihre Rechte als erwähnte Person: Chat-Inhalte sind bei uns dem regulären Zugriff entzogen und werden von uns nicht durchsucht (Abschnitt 5.1, Admin Blindness). Die automatischen Prüfungen aus Abschnitt 6 zeigen ihre Funde nur dem Nutzer und speichern sie nicht. Wir wissen deshalb nicht, wer in den Inhalten vorkommt. Können wir nachweisen, dass wir Sie in diesen Daten nicht identifizieren können, gilt Art. 11 Abs. 2 DSGVO. Geben Sie uns dann zusätzliche Informationen, die eine Zuordnung ermöglichen, etwa welcher Nutzer wann über Sie geschrieben hat, prüfen wir damit Ihren Antrag nach Art. 15 bis 20 DSGVO. Der Verarbeitung können Sie nach Art. 21 DSGVO widersprechen (Abschnitt 15.6). Ihr Beschwerderecht (Abschnitt 15.8) und der Kontakt zu uns (Abschnitt 1) stehen Ihnen immer offen.

Warum wir nicht einzeln unterrichten: Um erwähnte Personen persönlich zu benachrichtigen, müssten wir wissen, wer erwähnt wird. Das wüssten wir nur nach systematischem Lesen aller Verläufe, wozu wir uns die Möglichkeit im Regelbetrieb selbst entzogen haben (Abschnitt 5.1) und was die Vertraulichkeit gerade verletzen würde, die diese Erklärung zusagt. Soweit eine persönliche Unterrichtung deshalb unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde, stellen wir die Informationen nach Art. 14 Abs. 5 lit. b DSGVO hier öffentlich bereit.

5.10 Themen, Ablage, Wissen und „Gelöscht“

Themen. Zu einem Thema speichern wir Ihre Nachrichten und die Antworten, seine Klasse, seinen Bearbeitungsstand (etwa ob es erledigt ist und ob Sie eine Wiedervorlage gesetzt haben), den Zeitpunkt der letzten Bearbeitung und die Zusammenfassungen, die Sie mit „bis hier zusammenfassen" anfordern. Zu jeder Antwort halten wir fest, welche Wissenseinträge und welche Dateien aus Ihrer Ablage in sie eingegangen sind, und bei einer Websuche die Angaben aus Abschnitt 5.6, damit Sie das an der Antwort nachlesen können. Zweck ist, dass Sie ein Thema später lesen und fortführen können.

Dokumente und Fassungen. Erstellen oder bearbeiten Sie ein Dokument auf der Plattform, speichern wir seinen Inhalt, die früheren Fassungen, Ihre Bearbeitungen, die Zuordnung zum Thema und die Kennzeichnung ausgeblendeter Blöcke. Die Inhalte sind der regulären Administrationsrolle nicht zugänglich. Wir verwenden die jeweils benötigte Fassung, um Ihre Bearbeitungsaufträge auszuführen. Die ausgeblendeten Stellen nehmen wir aus der für das Modell zusammengestellten Fassung heraus; bei uns bleiben sie gespeichert. Das gilt auch für ausgeblendete Stellen im Text eines Themas. Dokumente und ihre Fassungen bleiben gespeichert, bis Sie das Dokument, das zugehörige Thema endgültig oder Ihr Konto löschen.

Ablage. In Ihrer Ablage legen Sie Dateien ab, um sie in verschiedenen Themen zu verwenden. Wir speichern die Datei selbst, ihren Namen, Typ und Größe, die Kategorien, die Sie vergeben, Datum und Verfasser des Dokuments, soweit angegeben, den erkannten Text, sobald die Datei gelesen wurde, und die Ergebnisse der Prüfungen aus Abschnitt 5.8. Dateiname, Kategorien, erkannter Text, Verfasser und Prüfergebnisse sind der regulären Administrationsrolle nicht zugänglich. Für den Betrieb sichtbar sind nur Größe, Typ, der Herkunftsvermerk (etwa „fremdes Dokument"), Zeitpunkte und Anzahl. Dateien in der Ablage und in Themen teilen sich insgesamt 2 GB je Konto. Bei eigenen Textdateien zählen auch alle gespeicherten früheren Fassungen mit.

Eine Datei aus der Ablage erreicht ein Modell auf drei Wegen. Sie geben sie über die Anhangskarte einem Thema mit (Abschnitt 5.8). Sie ist mit einem Wissenseintrag verknüpft, der in eine Antwort eingeht, dann geht ihr Text über die Vorprüfung aus Abschnitt 5.8 mit, soweit er in der Ablage vorliegt. Die dabei erzeugte Lesefassung speichern wir zur Wiederverwendung bei der Datei, bis die Datei oder ihr ausgelesener Text ersetzt wird oder Sie die Datei löschen. Eine Lesefassung mit Ersetzungen aus dem Schutzverzeichnis speichern wir nicht bei der Datei. Die Lesefassung gehört wie der erkannte Text zu den für die Administrationsrolle gesperrten Inhalten. Oder das antwortende Modell sucht in Ihrer Ablage. Bei einer solchen Suche erhält es nur Namen, Kategorien und Datumsangaben passender Dateien. Den Inhalt einer Datei liest es erst, nachdem Sie auf der Karte „Datei lesen" zugestimmt haben.

Wissen. Ein Wissenseintrag ist eine Anweisung, die Sie für das Modell hinterlegen, damit es in passenden Themen danach arbeitet. Wir speichern je Wissenseintrag den Namen, die Zeilen „Wann anwenden" und „Wann nicht", den Text mit allen früheren Fassungen, die verknüpften Dateien, die Einstellung „immer" und die Zeitpunkte der letzten Nutzung und Bearbeitung. Für jedes Konto legen wir den Wissenseintrag „Über mich" an, der in jede Antwort eingeht, außerdem Beispiel-Wissenseinträge, die Sie ändern oder löschen können. Das einordnende Modell (Abschnitt 5.1) erhält die Namen und die Zeilen „Wann anwenden" und „Wann nicht" aller Wissenseinträge, nie deren Text. Das antwortende Modell erhält den Text von „Über mich", der Wissenseinträge mit „immer", der Wissenseinträge, die das einordnende Modell auswählt, und der Wissenseinträge, die es selbst nachliest. Bitten Sie über den Daumen, „Merken" oder „Vorgehen als Wissen merken" um einen Vorschlag für einen Wissenseintrag, geht ein eigener Aufruf an ein Modell der Klasse des Themas. Er erhält die Frage, die Antwort oder die markierte Stelle, Ihren Kommentar und alle Ihre Wissenseinträge. Der Vorschlag ändert keinen Wissenseintrag, bevor Sie „Übernehmen" wählen.

Mit „Wissen prüfen" lassen Sie Ihre Wissenseinträge auf Doppelungen, Widersprüche und eine zu große Zahl prüfen. Dafür geht der Text aller Ihrer Wissenseinträge einschließlich „Über mich" an das Modell der Stufe Standard der Klasse, die Sie in Ihren Einstellungen gewählt haben. Werte aus Ihrem Schutzverzeichnis (Abschnitt 6) ersetzen wir dabei durch Platzhalter.

Fehlgriffe und Score. Nehmen Sie einen Wissenseintrag über das Kreuz an der Antwort wieder heraus, speichern wir einen Vermerk mit dem Wissenseintrag, dem Thema, der Antwort und dem Zeitpunkt, ohne Inhalte. Der Vermerk hält diesen Wissenseintrag aus den weiteren Antworten des Themas heraus. Aus diesen Vermerken und den Antworten der letzten 28 Tage, in die der Wissenseintrag eingegangen ist, berechnen wir bei jeder Anzeige eine Zahl von 0 bis 100, die zeigt, wie oft der Wissenseintrag gepasst hat. Die Zahl speichern wir nicht, und sie steuert nichts. Sie sehen sie nur selbst. Für den Betrieb werten wir die Vermerke nur als Gesamtzahlen über alle Nutzer aus.

Gelöscht. Verwerfen Sie ein Thema, legen wir es zunächst in den Bereich „Gelöscht“. Dort bleibt es mit allen Nachrichten, Anhängen und dem Schutzverzeichnis aus Abschnitt 6, bis Sie es dort endgültig löschen oder Ihr Konto löschen. Die Audiodateien des Vorlesens löschen wir schon beim Verwerfen (Abschnitt 5.7). Von selbst leeren wir den Bereich nie. Mit dem endgültigen Löschen löschen wir die Themen samt der Dateiobjekte ihrer Anhänge. Dateien aus der Ablage und Wissenseinträge kommen nicht in den Bereich „Gelöscht“. Nach dem Löschen können Sie sie 15 Sekunden lang zurückholen, danach löschen wir sie endgültig, einen Wissenseintrag mit allen Fassungen und Vermerken.

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Themen, Ablage und Wissen sind Teil des vertraglichen Leistungsumfangs, und der Fehlgriff-Vermerk führt Ihre Anweisung aus, einen Wissenseintrag aus einem Thema herauszuhalten. Für Angaben über andere Personen in Ihrer Ablage gilt Abschnitt 5.9.

Speicherdauer. Themen, Ablage und Wissen speichern wir, bis Sie sie löschen oder Ihr Konto löschen. Eine Frist, nach der sie von selbst gelöscht werden, gibt es nicht, auch nicht im Bereich „Gelöscht“ und nicht für Dokumente mit Angaben über andere Personen. Ein Fehlgriff-Vermerk wird mit seinem Wissenseintrag, seinem Thema oder Ihrem Konto gelöscht.

5.11 Messpunkte zu Einordnung und Bedienung

Was wir erfassen. Damit wir prüfen können, ob der Router (Abschnitt 5.1) Ihre Nachrichten richtig einordnet und ob die Oberfläche verständlich ist, speichern wir zwei Arten von Messdaten. Jeder Wert stammt aus einer festen Auswahl. Inhalte Ihrer Eingaben, Antworten, Themen, Titel oder Dateinamen sind nie darin enthalten.

Auswertung. Der Betreiber sieht ausschließlich Summen, Anteile und Verteilungen über alle Nutzer, ohne Namen oder Kontokennungen und erst ab zehn Konten mit bestätigter E-Mail-Adresse. Für die Verteilungen zählen wir zunächst je aktivem Konto die Öffnungen von „Offen“ und die Eingriffe im Verhältnis zu dessen Antworten; angezeigt wird nur die Anzahl der Konten in jeder Gruppe. Einzelwerte eines Kontos werden nicht angezeigt. Für dieselbe Ansicht zählen wir außerdem aus vorhandenen Angaben, ohne Inhalte, aus welcher Art von Vorschlag Wissenseinträge entstanden sind und ob der Vorschlag geändert wurde, wie viele Wissenseinträge in Antworten eingingen, wie oft Wissen aus einer Antwort herausgenommen wurde und wie viele Wissenseinträge je Konto ungenutzt blieben. Auch davon sieht der Betreiber nur Summen und Verteilungen. Die reguläre Administrationsrolle hat keinen Zugriff auf die einzelnen Messzeilen. Keine Messung verändert Ihre Antworten, die Einordnung Ihrer Nachrichten oder Ihre Oberfläche.

Empfänger. Die Messdaten liegen auf unserem Server bei der Hetzner Online GmbH in Deutschland, die als Auftragsverarbeiter für das Hosting tätig ist (Abschnitt 3.1), und in den verschlüsselten Sicherungen dort (Abschnitt 3.3). Weitere Empfänger gibt es nicht, insbesondere kein Anbieter eines KI-Modells.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen). Unser berechtigtes Interesse besteht darin, Fehler der Einordnung und Hürden der Bedienung zu erkennen, zu sehen, ob Antworten weiterhin geprüft werden, und den Dienst zu verbessern. Der Kontobezug ermöglicht die Zählung je Konto sowie Auskunft, Export und Löschung Ihrer Messdaten. Zum Schutz Ihrer Interessen erfassen wir keine Inhalte, verwenden feste Wertekategorien und begrenzen Zugriff, Auswertung und Speicherdauer wie hier beschrieben. Sie können der Verarbeitung widersprechen (Abschnitt 15.6).

Speicherdauer. Die Arten der Funde von „Wissen prüfen" löschen wir nach 90 Tagen, alle übrigen Messereignisse nach 13 Monaten, weil die Administrationsansicht die Entwicklung über die letzten zwölf Kalendermonate zeigt. Die Einordnung durch den Router löschen wir nach 13 Monaten aus der Abrechnungszeile; die Zeile selbst bleibt mit ihrem Betrag für die steuerliche Aufbewahrung erhalten (Abschnitt 7.3). Löschen Sie Ihr Konto, löschen wir Ihre Messereignisse sofort mit, und die Abrechnungszeilen verlieren die direkte Kontozuordnung (Abschnitt 7.3). Beide Arten von Messdaten erhalten Sie mit dem Export Ihrer Daten (Abschnitt 15.5).

5.12 Bilder erzeugen

In Themen der US-Klasse können Sie Bilder erzeugen lassen. Ein Bild entsteht in einem eigenen Thema. In der EU-Klasse ist die Bilderzeugung nicht verfügbar.

Was an das Bildmodell geht. Wir übermitteln den Text Ihrer Nachricht an das Bildmodell GPT Image 1.5, das Microsoft über Azure OpenAI bereitstellt. Skills, Gedächtnis, frühere Nachrichten und Texte anderer Themen gehen nicht an das Modell. Bessern Sie ein gezeigtes Bild nach, übermitteln wir zusätzlich dieses Bild. Eigene Fotos können Sie nicht als Vorlage verwenden.

Wo das geschieht. Die Ressource, die wir dafür bei Microsoft betreiben, liegt in Schweden. Die Verarbeitung findet in der EU-Datenzone von Microsoft statt, und für den möglichen Konzernzugriff und die Absicherung gilt Abschnitt 5.3.

Missbrauchserkennung. Microsoft prüft Bildbeschreibungen und erzeugte Bilder automatisiert auf schädliche Inhalte. Für die Speicherung und die Prüfung markierter Inhalte durch berechtigte Mitarbeiter im EWR gelten die Abschnitte 5.3 und 5.4. Lehnt der Filter eine Bitte ab, entsteht kein Bild.

Speicherung bei uns. Das Bild speichern wir unverändert auf unseren Servern in Deutschland, bis Sie das Thema endgültig löschen (Abschnitt 5.10) oder Ihr Konto löschen. Den Text Ihrer Nachricht speichern wir wie jede andere Nachricht im Thema. Über „Ablegen“ entsteht eine eigene Datei in Ihrer Ablage. Unsere Administrationsrolle hat keinen Zugriff auf Ihre Bilder und Beschreibungen. Bilder sind Teil Ihres Datenexports.

Abrechnung. Für jedes Bild erfassen wir Modell, Token und Kosten, nie den Text oder das Bild (Abschnitt 7).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), wie in Abschnitt 5.2.

Herkunftskennzeichnung. Abschnitt 13.1 beschreibt die Kennzeichnung erzeugter Bilder.

6. Erkennung personenbezogener Daten (Privacy Shield)

6.1 Beschreibung

bejofa.chat sucht in Ihren Eingaben vor der Übermittlung an KI-Anbieter nach möglicherweise enthaltenen personenbezogenen Daten (z. B. IBAN-Nummern, Ausweisnummern, Kreditkartennummern, Sozialversicherungsnummern, Steueridentifikationsnummern, Telefonnummern, E-Mail-Adressen). Jeder Fund ist eine Vermutung. Sie sehen ihn, Sie können ihn durch einen Platzhalter ersetzen, und die Entscheidung, Daten dennoch zu senden, liegt bei Ihnen.

Getippter Text. Die Suche in dem Text, den Sie eintippen, läuft auf Ihrem Endgerät. Funde aus Ihrem getippten Text erreichen weder unsere Server noch Dritte. Werte, für die Sie die Warnung dauerhaft ausschalten, werden ausschließlich im lokalen Speicher Ihres Browsers abgelegt und verlassen Ihr Gerät nicht.

Angehängte Dateien. Wählen Sie auf der Anhangskarte „lesen und prüfen", durchsuchen wir den erkannten Text der Datei auf unserem Server mit festen Mustern, und beim Absenden auch die Fassung, die Sie im Textfenster geändert haben, mit denselben Mustern (Abschnitt 5.8). In einem Thema der US-Klasse lassen wir den erkannten Text zusätzlich auf Namen prüfen (siehe „Namensprüfung"), bevor etwas davon an den US-Anbieter geht. Kann die Namensprüfung nicht laufen, schicken wir den Text nicht an den US-Anbieter, solange auf der Anhangskarte „lesen und prüfen" steht. Die Funde zeigen wir nur Ihnen im Textfenster, und Sie entscheiden dort je Fund, ob er durch einen Platzhalter ersetzt wird. Bei „lesen, nicht prüfen" und „als Datei mitgeben" findet keine Suche nach personenbezogenen Daten statt, auch keine Namensprüfung.

Dateien ohne Anhangskarte. Eine Datei aus Ihrer Ablage kann ein Modell auch ohne Anhangskarte erreichen, über einen verknüpften Wissenseintrag oder nach Ihrer Zustimmung auf der Karte „Datei lesen" (Abschnitt 5.10). Bevor ihr Name und ihr Text in die Anfrage eingehen, durchsuchen wir beides auf unserem Server mit den festen Mustern. In einem Thema der US-Klasse lassen wir beides zusätzlich auf Namen prüfen. Gibt es Funde, hält die Antwort an und fragt „Sensible Daten an das Modell schicken?". Die Frage nennt nur, wie viele Funde welcher Art es gibt, und keinen gefundenen Wert. Mit „Ja" geht der Text unverändert an das Modell, mit „Nein" bleibt er draußen. Kann die Namensprüfung nicht laufen, bleibt der Text ebenfalls draußen.

Namensprüfung. Für die Namensprüfung übermitteln wir den zu prüfenden Text an Mistral AI (Sitz Paris, Verarbeitung in der EU), und zwar unabhängig davon, welches Modell die Antwort schreibt. Ein Modell von Mistral sucht darin nach Namen von Personen, Firmen und Orten und gibt die Funde an uns zurück. Ein Fund zählt nur, wenn er wörtlich im geprüften Text steht. Mistral speichert dabei nichts, weil für unser Konto Zero Data Retention aktiviert ist. Wir speichern die Funde nicht und protokollieren keinen gefundenen Wert. Jede Namensprüfung ist ein eigener abgerechneter Aufruf (Abschnitt 7.1) und steht als eigene Zeile auf der Infokarte der Antwort. Davon ausgenommen ist die Prüfung von Suchanfragen, solange Sie die Frage nach Namen bei Mojeek nicht beantwortet haben, denn diese tragen wir selbst (Abschnitt 5.6). Die Prüfung eines Anhangs steht auch dann auf der Guthabenseite unter „Nutzung", wenn Sie die Nachricht nicht absenden. Vor einer Websuche prüfen wir die geplanten Suchanfragen einer Antwort in einem Aufruf, und was aus einem Fund folgt, beschreibt Abschnitt 5.6.

Schutz über das ganze Thema. Ersetzen Sie im Textfenster eines Anhangs einen Fund durch einen Platzhalter (etwa „[IBAN 1]"), erhält das KI-Modell nur den Platzhalter. Ab dann gilt der Schutz für das ganze Thema. Ein ersetzter Wert wird in keiner späteren Nachricht dieses Themas an einen KI-Anbieter übermittelt, auch nicht in einer Suchanfrage oder bei einer Wiederholung. Nennt das Modell den echten Wert trotzdem, blenden wir ihn vor dem Speichern der Antwort wieder aus. Die Nachrichten des Themas speichern wir in der Form mit Platzhaltern, die echten Werte zeigen wir nur Ihnen. Dateien geben wir in einem solchen Thema nur als erkannten Text weiter und nicht als Datei. Kann der Schutz nicht sicher angewendet werden, blockieren wir den Versand, statt ungeschützt zu senden.

Schutzverzeichnis. Damit dieser Schutz über mehrere Nachrichten hält, speichern wir je Thema ein verschlüsseltes Verzeichnis der Zuordnung zwischen Platzhaltern und echten Werten. Es ist nur für Sie und den technischen Sendevorgang lesbar, die Administrationsrolle hat darauf keinen Zugriff. Es ist in Datenauskunft und Datenexport enthalten. Die Ersetzung ist eine Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO, die ersetzten Werte bleiben personenbezogene Daten.

Grenzen. Die Suche mit festen Mustern findet nicht alles, und frei formulierte Angaben wie Namen oder Adressen erkennt sie nicht zuverlässig. Auch die Namensprüfung ist die Vermutung eines KI-Modells. Sie kann Namen übersehen oder Wörter für Namen halten. In Ihrem getippten Text suchen wir nicht nach Namen. Prüfen Sie den Text selbst, denn die Entscheidung, was gesendet wird, liegt bei Ihnen.

6.2 Rechtsgrundlage

Für die Suche mit festen Mustern Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen). Unser berechtigtes Interesse besteht im Schutz Ihrer personenbezogenen Daten vor versehentlicher Übermittlung an Drittanbieter.

Für die Namensprüfung und die Übermittlung des Textes an Mistral dafür Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Namensprüfung ist ein abgerechneter Bestandteil des Dienstes (AGB § 5 Abs. 6). Ihr Ergebnis entscheidet zusammen mit Ihrer Wahl, ob der Text einer Datei an einen US-Anbieter und ob eine Suchanfrage an Mojeek geht. Für Personen, die im geprüften Text genannt sind, gilt Abschnitt 5.9, und die Prüfung dient zugleich ihrem Schutz.

Für die Prüfung von Suchanfragen, solange Sie die Frage nach Namen bei Mojeek nicht beantwortet haben, und für die Übermittlung ihres Textes an Mistral dafür Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen). Unser berechtigtes Interesse und das der genannten Personen besteht darin, dass der Name einer Person nicht an Mojeek im Vereinigten Königreich geht, bevor Sie das erlaubt haben. Die Prüfung erhält nur die geplanten Suchanfragen, Mistral speichert nichts, und wir speichern die Funde nicht. Diese Prüfung tragen wir selbst (Abschnitt 5.6). Sie endet, sobald Sie die Frage beantworten oder in den Einstellungen „nur Staan, ohne Prüfung" wählen. Zu Ihrem Widerspruchsrecht siehe Abschnitt 15.6.

Für die Ersetzung und das Schutzverzeichnis Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Mit der Ersetzung verlangen Sie, dass ein Wert den KI-Anbieter nicht erreicht, und das Verzeichnis ist nötig, um diese Zusage über alle Nachrichten des Themas einzuhalten.

Die Markierung im getippten Text können Sie in Ihren Einstellungen unter „Sensible Daten Marker" ausschalten.

6.3 Speicherdauer

Die Funde selbst speichern wir nicht, auch nicht die Funde der Namensprüfung. Zu einem Anhang mit Anhangskarte speichern wir das Ergebnis der Prüfungen als festen Wert (Abschnitt 5.5). Zu einer Datei ohne Anhangskarte halten wir bei der Antwort nur fest, dass sie geprüft wurde. Ein Vermerk dazu, warum eine Suchanfrage nur an einen Suchdienst ging, gehört zu den Angaben aus Abschnitt 5.6. Die von Ihnen als „ignorieren" markierten Werte liegen ausschließlich im lokalen Speicher Ihres Browsers und bleiben dort, bis Sie Ihre Browserdaten für bejofa.chat löschen (siehe auch Abschnitt 14.1). Das Schutzverzeichnis eines Themas löschen wir zusammen mit dem Thema, also wenn Sie das Thema endgültig löschen (Abschnitt 5.10) oder Ihr Konto löschen.

7. Token-Erfassung und Abrechnung

7.1 Beschreibung

bejofa.chat erfasst für jede KI-Interaktion den Token-Verbrauch für die nutzungsbasierte Abrechnung.

Erfasste Daten: Token-Anzahl (Eingabe und Ausgabe), Modell, berechnete Kosten in EUR, Zeitstempel, die Klasse des Themas und, wo vorhanden, die Kennungen des Themas und der Antwort. Sucht eine Antwort im Internet (Abschnitt 5.6), erfassen wir zusätzlich die Anzahl der Suchen. Ihr Entgelt ist in den berechneten Kosten enthalten.

Zu einer Antwort erfassen wir jeden beteiligten Aufruf als eigene Zeile, etwa die Einordnung durch den Router, die Antwort selbst, die Texterkennung mit ihrer Seitenzahl, die Prüfung einer mitgegebenen Datei oder die Namensprüfung (Abschnitte 5.1, 5.8 und 6.1). Beim Vorlesen erfassen wir die Zeichenzahl, beim Sprechen die Dauer der Aufnahme und den Aufruf für die Kurzfassung (Abschnitt 5.7). Ein erneutes Abspielen einer gespeicherten Audiodatei erzeugt keine Zeile. Jede Zeile nennt die Art des Aufrufs, den Anbieter, dessen Sitzland, wer zahlt (Sie oder der Betrieb) und den Betrag. Die Zeile eines Router-Aufrufs trägt zusätzlich dessen Einordnung Ihrer Nachricht, die wir nach Abschnitt 5.11 auf anderer Rechtsgrundlage und kürzer speichern. Aus den Zeilen einer Antwort entsteht die Infokarte zur Antwort. Auf der Guthabenseite unter „Nutzung" sehen Sie für den gewählten Zeitraum die jüngsten bis zu 100 Zeilen mit Datum und Betrag, auch solche, die zu keiner Antwort gehören, und die Ihnen im ganzen Zeitraum berechneten Kosten auch dann, wenn er mehr Zeilen umfasst. Alle Zeilen erhalten Sie mit dem Export Ihrer Daten (Abschnitt 15.5).

Ausdrücklich nicht erfasst: Inhalte Ihrer Eingaben oder KI-Antworten.

Abrechnungsabgleich. Wir vergleichen die Summe der Verbrauchsdaten aller Nutzer mit den vom jeweiligen Anbieter abgerufenen Abrechnungsbeträgen. Für den Abruf übermitteln wir dem Anbieter keine zusätzlichen Daten über Sie. Der Vergleich umfasst mindestens 30 Tage, weist keine Einzelkonten aus und wird nicht gespeichert.

Betriebskennzahlen. Aus den Angaben, die wir zu jeder Antwort ohnehin führen (Zeitpunkte, Verarbeitungsstatus, Art eines Fehlers, Modell), und aus den Zeilen oben bilden wir Kennzahlen, an denen wir Engpässe und die Nutzung des Dienstes erkennen. Dazu gehören Fehleranteile, Wartezeiten, die Anzahl bestätigter Konten und die Zahl der Konten mit Antworten im jeweiligen Auswertungszeitraum. Die Administrationsansicht zeigt dafür nur Summen, Anteile und Wartezeiten über alle Nutzer, nie eine Kennung, einen Namen oder einen Inhalt. Fehleranteil und Wartezeit über alle Nutzer erscheinen ab zehn Antworten in den 24 Stunden, auch wenn diese Antworten von wenigen Nutzern stammen. Die Angaben je Modell und je Tag erscheinen erst, wenn die Antworten von mindestens zehn Nutzern stammen. Die Zahlen über Nutzer erscheinen erst ab zehn Konten mit bestätigter E-Mail-Adresse; die Gesamtzahl dieser Konten selbst zeigt die Ansicht immer. Die Kennzahlen werden bei jedem Abruf neu berechnet und nicht gespeichert.

7.2 Rechtsgrundlage

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung) für die steuerrechtliche Aufbewahrung.

Für die Aufbewahrung und Bearbeitung konkreter Rechtsansprüche gilt Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Zahlungs- und Erstattungsansprüche sowie Streitigkeiten über die Abrechnung nachweisen und klären zu können.

Für den Abgleich mit der Abrechnung der Anbieter Art. 6 Abs. 1 lit. f DSGVO (Berechtigte Interessen). Unser berechtigtes Interesse besteht darin, die Rechnungen unserer Anbieter zu prüfen und Fehler in unserer eigenen Kostenerfassung zu erkennen.

Für die Betriebskennzahlen ebenfalls Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen). Unser berechtigtes Interesse besteht darin, Ausfälle, langsame Antworten und die Entwicklung der Nutzung früh zu erkennen und den Dienst stabil zu betreiben.

7.3 Speicherdauer

Solange Ihr Konto besteht, bewahren wir die Verbrauchszeilen und das Abrechnungskonto auf. Sie bilden das Kontobuch über den Verbrauch des vorausgezahlten Guthabens. Nach Kontolöschung bewahren wir dieses Kontobuch zehn Jahre ab dem Ende des Jahres auf, in dem das Konto gelöscht wurde; wird danach noch eine Zahlung, Erstattung oder ein Widerruf aufgezeichnet, beginnt die Frist mit dem Ende dieses Jahres neu (§ 147 Abs. 1 Nr. 1, Abs. 3 und 4 AO). Dazu gehören auch Eröffnungsbestände, die bereits bestehendes Guthaben nachweisen; eine nachträgliche Zahlung oder Erstattung kann noch eine Eintragung auslösen. Bei Kontolöschung entfernen wir aus den Verbrauchszeilen alles, was das Kontobuch nicht braucht: Ihre Nutzer-ID, den Bezug zu Themen und Antworten, die Art des Arbeitsschritts und die Uhrzeit. Es bleiben Betrag und Abrechnungsgrundlage (Token, Menge, Suchen), der Tag, die Leistungsart (Anbieter, Modell, Klasse) und die Zuordnung zum aufbewahrten Abrechnungskonto. Reine Messdaten haben die kürzeren Fristen aus Abschnitt 5.11, die Zahlungsbelege die eigene Frist aus Abschnitt 8.1.

Eine Löschung unterbleibt, solange auf dem Konto noch Guthaben oder ein Erstattungsbetrag offen ist, eine Zahlung, eine Erstattung oder eine Bestätigungs-E-Mail noch nicht abgeschlossen ist oder eine Aufbewahrungssperre besteht. Eine solche Sperre setzen wir für einen konkreten Rechtsanspruch oder eine steuerliche Prüfung, jeweils mit Grund und Prüftermin; ihr Ablauf wird von Hand geprüft, der Prüftermin hebt sie nicht automatisch auf. Ohne einen solchen Grund löschen wir nach Ablauf der jeweiligen Frist beim nächsten regelmäßigen Löschlauf, der alle sechs Stunden stattfindet. Die Sperrvermerke zu Ihren Daten stehen im Export. Der Abgleich mit der Abrechnung der Anbieter und die Betriebskennzahlen legen über Sie keine weiteren Daten an.

8. Zahlungsabwicklung

8.1 Zahlungsdienstleister und Guthaben

Für die Zahlungsabwicklung nutzen wir Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande.

Wir verarbeiten Zahlungs- und Guthabendaten, um Aufladungen, Zugangsbuchungen, Verbrauch und Erstattungen abzuwickeln.

Verarbeitete Daten: Betrag und Beschreibung der Bestellung, der Zahlungsstatus und der Zeitpunkt seiner Aufzeichnung, die Kennung der Zahlung bei Mollie sowie Ihre Erklärungen im Bestellschritt (Erklärung zum sofortigen Leistungsbeginn und Bestätigung, dass Sie als Verbraucher bestellen) mit Fassung und Prüfsumme der dabei angezeigten Texte. An Mollie übermitteln wir Betrag und Beschreibung sowie unsere internen Kennungen Ihres Kontos, Ihres Abrechnungskontos und der Zahlung, damit wir Mollies Rückmeldung der richtigen Bestellung zuordnen. Ihre E-Mail-Adresse übermitteln wir Mollie nicht; das Zahlungsmittel wählen Sie bei Mollie selbst. Ist die Prüfung der Zugangsberechtigung eingeschaltet (Abschnitt 4.5), teilt Mollie uns bei einer Kartenzahlung das Ausstellungsland der Karte mit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Zur Vorbereitung einer Bestellung speichern wir mit dem Abrechnungskonto die gewünschte Leistung, Betrag und Steuersatz, die Tarifversion, Fassungen und Prüfsummen der angezeigten Texte sowie Anzeigezeitpunkt und Gültigkeitsende des Angebots. Dies dient der Vorbereitung und dem Nachweis des Bestellschritts auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Geben Sie keine Bestellung ab, löschen wir das Angebot 24 Stunden nach Ablauf bei der nächsten automatischen Bereinigung, die alle sechs Stunden stattfindet. Angenommene Angebote bleiben mit ihrem Zahlungs- und Vertragsnachweis nach den Fristen dieses Abschnitts verbunden; eine noch laufende Zahlung wird nicht als verlassenes Angebot gelöscht.

Zahlungsaufträge und Zahlungsbelege bleiben bei Ihrem Konto, solange es besteht. Die folgenden Fristen laufen ab dem Ende des Jahres der Aufzeichnung, gelöscht wird nach ihrem Ablauf aber erst nach der Löschung Ihres Kontos. Ihre Erklärungen im Bestellschritt löschen wir nach denselben Fristen auch bei bestehendem Konto.

Ist eine bereits abgesendete Bestellung endgültig fehlgeschlagen, abgelaufen oder storniert, bewahren wir den Zahlungsauftrag mit seinem Angebot und dem Bestellnachweis als Geschäftskorrespondenz sechs Jahre ab dem Ende des Jahres auf, in dem der abschließende Status aufgezeichnet wurde (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 und 4 AO). Eine bereits erfolgte oder spätere tatsächliche Zahlung hat als Zahlungsbeleg die achtjährige Frist. Noch benötigte Verknüpfungen und Aufbewahrungssperren nach Abschnitt 7.3 bleiben berücksichtigt.

Mollie verarbeitet die für die Zahlungsabwicklung erforderlichen personenbezogenen Daten nach eigenen Angaben als eigenständiger Verantwortlicher. Ein AVV gemäß Art. 28 DSGVO ist für diese Zahlungsabwicklung daher nicht der passende Vertragsmechanismus. Mollie kann an der Zahlungsabwicklung beteiligte Stellen auch außerhalb des EWR einsetzen. Nach seiner Datenschutzerklärung sichert Mollie solche Übermittlungen erforderlichenfalls insbesondere durch EU-Standardvertragsklauseln ab. Dort finden Sie auch die Angaben zu Empfängern, Aufbewahrung und Ihren Rechten gegenüber Mollie.

Wir speichern keine Zahlungsinstrumentdaten (z.B. Kreditkarten- nummern). Diese verarbeiten Mollie und die am Zahlungsvorgang beteiligten Zahlungsstellen. Ausgenommen ist die Bankverbindung, die Sie uns für eine Überweisung im Zusammenhang mit einer Kontolöschung nennen (unten).

Speicherdauer: bejofa.chat bewahrt die Aufzeichnungen über Zahlungstransaktionen (Betrag, Zeitpunkt, Zuordnung zum Abrechnungskonto) zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO) acht Jahre ab dem Ende des Kalenderjahres der Aufzeichnung auf, soweit keine längere gesetzliche Aufbewahrung erforderlich ist. Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung). Bei Löschung Ihres Kontos entfernen wir die unmittelbare Zuordnung dieser Aufzeichnungen zum Konto, soweit die gesetzliche Aufbewahrungspflicht dem nicht entgegensteht. Die aufbewahrten Zahlungsnachweise werden dadurch nicht vollständig anonym. Mollie speichert die bei ihr als eigenständiger Verantwortlicher verarbeiteten Daten nach eigenen Vorgaben.

Erstattung nach einer Kontolöschung. Löschen Sie Ihr Konto, während eingezahltes Guthaben besteht, erstatten wir es nach der Löschung über Mollie auf das Zahlungsmittel der ursprünglichen Zahlung. Dafür verwenden wir die aufbewahrte Aufzeichnung dieser Zahlung mit ihrer Kennung bei Mollie. Ihre E-Mail-Adresse brauchen wir dafür nicht mehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Lässt sich ein Teil des Guthabens nicht über Mollie erstatten, überweisen wir ihn innerhalb von 30 Tagen, nachdem Sie uns eine Bankverbindung genannt haben, und löschen Ihr Konto erst danach. Bis dahin bleibt Ihr Konto bestehen (Art. 17 Abs. 3 lit. b und e DSGVO), und Sie können Ihre Inhalte darin weiter selbst löschen. Die Bankverbindung verwenden wir nur für diese Überweisung; die Kontaktkorrespondenz wird nach Abschnitt 10.1 gelöscht. Der Überweisungsbeleg wird wie die übrigen Zahlungsaufzeichnungen aufbewahrt.

8.2 Widerruf einer kostenpflichtigen Bestellung

Widerrufen Sie eine kostenpflichtige Bestellung, zeigt Ihnen das Widerrufsformular die betroffene Zahlung und die E-Mail-Adresse, an die die Bestätigung geht, und bietet Ihnen ein Feld für Ihren Namen an. Das Namensfeld ist freiwillig. Ein Widerruf ohne zusätzliche Namensangabe ist ebenso wirksam.

Verarbeitete Daten: der von Ihnen angegebene oder bestätigte Name (freiwillig), die von Ihnen bestätigte E-Mail-Adresse für die Widerrufsbestätigung, die widerrufene Zahlung sowie Zeitpunkt und Inhalt Ihrer Erklärung.

Zweck: § 356a Abs. 2 BGB verlangt, dass die Widerrufsfunktion Ihnen die Möglichkeit gibt, diese Angaben zu machen oder zu bestätigen. Die Bestätigung, die wir Ihnen nach § 356a Abs. 4 BGB zusenden, gibt den Inhalt Ihrer Erklärung wieder und enthält deshalb die bestätigte E-Mail-Adresse und, sofern Sie einen Namen angegeben haben, diesen Namen. Sie wird über unseren E-Mail-Dienstleister versendet (Abschnitte 4.4 und 17).

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung einer rechtlichen Verpflichtung) für die Erhebung und für die Bestätigung nach § 356a BGB; Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die Rückabwicklung der widerrufenen Zahlung.

Name und Bestätigungsadresse speichern wir mit dem Verfahren AES-256 verschlüsselt, so wie die Rechnungsadresse (Abschnitt 4.5). Der Betreiber kann sie im laufenden Betrieb nicht einsehen. In Ihrer Auskunft und in Ihrem Datenexport (Abschnitte 15.1 und 15.5) sind sie im Klartext enthalten.

Speicherdauer: Die Aufzeichnung über den Widerruf ist ein Beleg zu einer Zahlung. Wir bewahren sie zur Erfüllung handels- und steuerrechtlicher Aufbewahrungspflichten (§ 257 Abs. 4 HGB, § 147 Abs. 3 AO) acht Jahre ab dem Ende des Kalenderjahres der Aufzeichnung auf, mindestens aber bis zur Löschung Ihres Kontos; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO. Löschen Sie Ihr Konto, entfernen wir die Verknüpfung zwischen dieser Aufzeichnung und Ihrem Konto. Name und Bestätigungsadresse bleiben verschlüsselter Teil des Belegs, bis die Frist abgelaufen ist.

8.3 Kündigung und Vertragsende

Wenn Sie kündigen, speichern wir die Zuordnung zu Ihrem Abrechnungskonto, Art und Inhalt der Kündigung, einen von Ihnen angegebenen Grund, einen gewünschten Beendigungstermin, den Eingangszeitpunkt, das Vertragsende und den Versandstatus der Bestätigung. Diese Angaben benötigen wir zur Bearbeitung und zum Nachweis Ihrer Erklärung. Die Bestätigung mit diesen Angaben versenden wir an die E-Mail-Adresse Ihres Kontos über Mailjet (Abschnitt 4.4).

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO für die Vertragsbeendigung und Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB für die Bestätigung. Die Kündigung und ihre Bestätigung bleiben gespeichert, solange Ihr Konto besteht. Nach der Kontolöschung bewahren wir sie als Geschäftskorrespondenz sechs Jahre ab dem Ende des Jahres ihrer jeweiligen Aufzeichnung auf (§ 147 Abs. 1 Nr. 2 und 3, Abs. 3 und 4 AO); Vertragsende und Abwicklung müssen abgeschlossen sein. Eine noch ausstehende Bestätigung, konkrete Rechtsansprüche und gesetzliche Prüfungen können die Löschung aufschieben (Abschnitt 7.3). Den unmittelbaren Bezug zum Nutzerkonto entfernen wir bei der Kontolöschung nach Abschnitt 8.1.

9. Sicherheitsmaßnahmen

9.1 Prompt-Injection-Abwehr

bejofa.chat prüft Ihre Eingaben auf Manipulationsversuche (Prompt Injection). Erkennt die Prüfung ein solches Muster, halten wir im Audit-Log die Kategorie des Musters mit Ihrer Nutzer-ID, der Kennung des Themas und dem Zeitpunkt fest, nicht den Inhalt.

Zusätzlich prüfen wir die Antwort des Modells auf ein Kennzeichen, das nur nach einer gelungenen Manipulation erscheint. Schlägt diese Prüfung an, halten wir im Audit-Log den Treffer mit Ihrer Nutzer-ID, der Kennung des Themas und dem Zeitpunkt fest, nicht den Inhalt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Erwägungsgrund 49 DSGVO (Netz- und Informationssicherheit).

Speicherdauer: 90 Tage wie das übrige Audit-Log (Abschnitt 9.3).

9.2 Rate Limiting

Zum Schutz der Plattform werden Anfragen pro Zeiteinheit begrenzt. Dabei verarbeiten wir die IP-Adresse und Kennungen der Anfrage.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Die Zähler verfallen automatisch nach Ablauf des jeweiligen Zeitfensters. Überschreitet eine Anfrage die Grenze, steht ihre IP-Adresse im Anwendungsprotokoll (Abschnitt 3.1).

9.3 Audit-Protokollierung

Sicherheitsrelevante Aktionen werden in einem Audit-Log erfasst. Dazu gehören Anmeldung, Kontoänderungen und Zahlungen sowie das Speichern, Abrufen und Löschen von Dateien, das Abschließen und Löschen von Themen, das Löschen in der Ablage, der Datenexport und das Lesen oder Ausblenden von Mitteilungen im Posteingang.

Erfasste Daten: Aktion, Nutzer-ID, IP-Adresse, Zeitstempel, technische Metadaten wie die Kennung des betroffenen Themas oder der Datei und die Dateigröße. Chat-Inhalte gehören nicht dazu.

IP-Adressen im Audit-Log speichern wir unverkürzt für die Speicherdauer dieses Abschnitts. Lesezugriff auf das Audit-Log hat die Administrationsrolle für die Sicherheitsarbeit.

Speicherdauer: 90 Tage, danach automatische Löschung.

Löschen Sie Ihr Konto, werden diese Einträge nicht mit gelöscht. Sie bleiben bis zum Ablauf der genannten Speicherdauer erhalten und werden dann automatisch entfernt. Der Grund: gerade die sicherheitsrelevanten Vorgänge kurz vor einer Löschung können für die Abwehr von Ansprüchen erforderlich sein (Art. 17 Abs. 3 lit. e DSGVO).

Eine Ausnahme gilt, wenn wir Ihre Zugangsberechtigung als Teilnehmerin oder Teilnehmer der ersten Pilotphase von Hand bestätigt haben, weil wir Sie persönlich kennen. Den Protokolleintrag über diese Bestätigung bewahren wir 10 Jahre auf und löschen ihn danach automatisch. Wir brauchen ihn, um gegenüber Aufsichts- und Steuerbehörden belegen zu können, auf welcher Grundlage wir Ihnen den Zugang gewährt haben. Auch dieser Eintrag enthält keine Chat-Inhalte.

Eine weitere Ausnahme gilt für die Einträge, die eine Ihrer Rückmeldungen an uns nennen (§ 10). Wir bewahren sie so lange auf wie die Rückmeldung selbst und löschen sie zusammen mit ihr, also spätestens 2 Jahre nach dem Absenden der Rückmeldung. Löschen Sie Ihr Konto vorher, löschen wir diese Einträge mit Ihren Rückmeldungen. Zweck und Rechtsgrundlage dieser Einträge nennt § 10.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Netz- und Informationssicherheit und, für die Aufbewahrung nach einer Kontolöschung und den Eintrag zur Bestätigung der Zugangsberechtigung, der Nachweis gegenüber Behörden und bei Ansprüchen.

10. Kontakt, Feedback und Support

10.1 Kontakt per E-Mail

Wenn Sie an kontakt@bejofa.chat oder datenschutz@bejofa.chat schreiben, verarbeiten wir Ihre Kontaktdaten, den Inhalt Ihrer Nachricht samt Anlagen und technische Versandangaben, um Ihr Anliegen zu bearbeiten. Für unsere E-Mail-Postfächer nutzen wir Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz, als Auftragsverarbeiter. Nach den Datenschutzinformationen von Proton Mail werden die Daten verschlüsselt in der Schweiz, Deutschland oder Norwegen gespeichert. Für Übermittlungen in die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission. Der Auftragsverarbeitungsvertrag von Proton ist Bestandteil seiner Vertragsbedingungen für diese Verarbeitung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen. Bei anderen Anfragen gilt Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung Ihres Anliegens. Datenschutzanfragen bearbeiten wir zur Erfüllung unserer rechtlichen Pflichten nach Art. 6 Abs. 1 lit. c in Verbindung mit Art. 12 bis 22 DSGVO.

Erledigte Kontakt- und Supportkorrespondenz löschen wir nach Abschluss der Bearbeitung manuell. Soweit einzelne Unterlagen als Vertrags- oder Zahlungsnachweis aufbewahrt werden müssen, gelten dafür die Angaben in den Abschnitten 4.1 und 8.1.

10.2 Rückmeldungen im Konto

Sie können über die Hilfe- und Feedback-Funktion Nachrichten an den Betreiber senden. Diese Nachrichten sind ausdrücklich für die Bearbeitung durch den Betreiber bestimmt und können von berechtigten Operatoren eingesehen werden.

Verarbeitete Daten: Inhalt der Feedback-Nachricht, Kategorie, Zeitpunkt und Ihre Nutzer-Kennung. Der Betreiber sieht Ihre Rückmeldung mit diesen Angaben. Ihre E-Mail-Adresse und Ihren Anzeigenamen sieht er dabei nicht.

Sie können Ihre Rückmeldung auch diktieren. Dafür geht Ihre Aufnahme an Mistral AI in der EU; der erkannte Text erscheint zunächst im Textfeld und wird erst mit „Senden“ an den Betreiber übermittelt. Die Aufnahme speichern wir nicht. Die Spracherkennung wird Ihrem Konto berechnet, auch wenn Sie die Rückmeldung nicht absenden. Einzelheiten stehen in Abschnitt 5.7.

Hat der Betreiber eine Rückmeldung bearbeitet, kann er sie für sich als erledigt markieren. Dazu speichern wir an Ihrer Rückmeldung den Zeitpunkt der Markierung. Die Markierung ordnet nur die Arbeitsliste des Betreibers. Ihre Ansicht und die Speicherdauer ändert sie nicht, und sie wird mit der Rückmeldung gelöscht.

Rechtsgrundlage für die Rückmeldung selbst: Art. 6 Abs. 1 lit. b DSGVO, soweit die Bearbeitung für Unterstützung im Rahmen des Nutzungsvertrages erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (Verbesserung und sicherer Betrieb der Plattform).

Speicherdauer: Feedback-Nachrichten werden automatisch spätestens 2 Jahre nach Absenden gelöscht. Unabhängig davon werden sie spätestens bei Löschung Ihres Kontos entfernt. Beide Fristen werden durch eine automatische Löschroutine durchgesetzt.

Protokollierung: Öffnet der Betreiber Ihre Rückmeldung, markiert er sie als erledigt, nimmt er die Markierung zurück oder beantwortet er sie, vermerken wir das im Audit-Log (§ 9.3). Der Eintrag nennt die Kennung Ihrer Rückmeldung, den Zeitpunkt, den Betreiber und die IP- Adresse, von der aus er gehandelt hat, nie den Inhalt Ihrer Rückmeldung. Ihre eigene IP-Adresse steht in diesen Einträgen nicht. Der Eintrag zu einer Antwort nennt zusätzlich die Kennungen aus § 11.4. So können wir nachvollziehen, wie Ihre Rückmeldung bearbeitet wurde und wie der Austausch mit Ihnen darüber verlaufen ist. Diese Einträge bewahren wir so lange auf wie Ihre Rückmeldung und löschen sie mit ihr, spätestens 2 Jahre nach dem Absenden oder mit der Löschung Ihres Kontos. Sieht der Betreiber die Liste aller Rückmeldungen durch oder durchsucht er sie, vermerken wir nur, dass das geschah. Ein solcher Eintrag nennt weder Ihre Rückmeldung noch den Suchbegriff und wird nach 90 Tagen gelöscht (§ 9.3).

Rechtsgrundlage für diese Einträge: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, die Bearbeitung Ihrer Rückmeldung und den Austausch darüber nachvollziehen zu können).

In Ihrem Datenexport (§ 15.5) steht bei jeder Rückmeldung, wann der Betreiber sie geöffnet, als erledigt markiert, die Markierung zurückgenommen oder beantwortet hat. Welche Person auf unserer Seite gehandelt hat und von welcher IP-Adresse aus, enthält der Export nicht.

Antworten des Betreibers auf eingegangenes Feedback erfolgen, sofern wir reagieren, als Direktnachricht im In-App-Posteingang (siehe § 11.4).

11. In-App-Posteingang

Der In-App-Posteingang ist ein Benachrichtigungskanal vom Betreiber an Sie als Nutzer. Nachrichten mit eigenem Text senden Sie in diesem Kanal nicht, Rückfragen senden Sie über die Hilfe- und Feedback-Funktion (§ 10). Die einzige Ausnahme ist die Meldung an den Betrieb bei einem Ausfall, die keinen Text enthält (§ 11.5).

11.1 Nachrichten an Sie

Im Posteingang verarbeiten wir Nachrichten, die wir Ihnen zustellen. Es gibt zwei Arten:

Verarbeitete Daten: Nachrichten-ID, Zeitpunkt des Versands, Betreff, Nachrichtentext, Adressierungstyp (an alle / an Sie persönlich), bei Direktnachrichten die Verknüpfung mit Ihrer Nutzer-Kennung.

Absenderbezeichnung: Nachrichten werden Ihnen stets unter dem festen Absender „bejofa.chat" angezeigt. Eine individuelle Mitarbeiter-Identität wird Ihnen nicht ausgewiesen.

Entwürfe: Eine Direktnachricht oder Antwort an Sie kann der Betreiber vor dem Versand als Entwurf speichern. Der Entwurf enthält Betreff und Text, Ihre Nutzer-Kennung als Empfänger und bei einer Antwort die Kennung Ihrer Rückmeldung. Sehen kann ihn nur der Betreiber, der ihn angelegt hat. Mit dem Versand wird er gelöscht, weil er dann in der Nachricht aufgeht. Einen nicht versandten Entwurf löscht der Betreiber selbst. Löschen Sie Ihr Konto oder wird die Rückmeldung gelöscht, auf die er antwortet, löschen wir den Entwurf mit.

Empfänger / Übermittlung: Die Nachrichten verbleiben auf unserer Infrastruktur bei Hetzner Online GmbH in Deutschland. Sie werden nicht an Drittanbieter oder KI-Anbieter übermittelt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Information über Leistungsänderungen und Bearbeitung von Anfragen sind Teil der geschuldeten Leistung) für Nachrichten zu Ihrem Vertrag und Ihren Anfragen; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Information unserer Nutzer) für rein produktbezogene Mitteilungen an alle Nutzer.

Speicherdauer: Sichtbar in Ihrer Posteingangs-Ansicht ist eine Nachricht maximal 90 Tage nach dem Zeitpunkt, zu dem Sie sie gelesen haben; danach wird sie aus Ihrer Ansicht automatisch ausgeblendet. In der Datenbank bleibt die Nachricht darüber hinaus bestehen, bis Sie Ihr Konto löschen. Bei Kontolöschung werden Direktnachrichten an Sie sowie Ihr zugehöriger Lesestatus und Ausblende-Status (§ 11.2, § 11.3) kaskadierend mit entfernt. Mitteilungen an alle Nutzer können als nicht nutzerspezifische Systemmitteilungen bestehen bleiben — eine Zuordnung zu Ihrem Konto besteht nach der Löschung nicht mehr.

Legt der Betreiber eine versandte Nachricht in seiner eigenen Übersicht ab oder in seinen Papierkorb, bleibt Ihre Nachricht unverändert und wird dadurch nicht gelöscht.

Transparenzhinweis zur Differenz Ansicht / Export: Wenn Sie eine Daten-Auskunft nach Art. 15 DSGVO oder einen Datenexport nach Art. 20 DSGVO anfordern, enthält das Ergebnis auch Posteingang-Nachrichten, die in der Oberfläche bereits ausgeblendet sind (90-Tage-Fenster oder von Ihnen über den Papierkorb dauerhaft ausgeblendete Mitteilungen, siehe § 11.3). Dies entspricht unserer Pflicht zur vollständigen Auskunft. Ihre Rechte nach Art. 15-21 DSGVO bestehen unverändert (§ 15).

Hinweis zu besonderen Kategorien (Art. 9 DSGVO): Der Nachrichtentext wird vom Betreiber verfasst. Wir vermeiden organisatorisch, in Antworten auf Ihr Feedback besondere Kategorien personenbezogener Daten (etwa Gesundheits- oder Religionsangaben), die Sie uns mitgeteilt haben, im Antworttext zu wiederholen — wir verweisen stattdessen abstrakt auf Ihre Anfrage. Siehe ergänzend § 12.

11.2 Lesestatus

Damit Ihnen der Posteingang korrekt anzeigen kann, welche Nachrichten neu sind, speichern wir pro Nachricht und Nutzer, ob und wann Sie diese geöffnet haben.

Verarbeitete Daten: Ihre Nutzer-Kennung, die Nachrichten-Kennung, Zeitpunkt des Lesens, gegebenenfalls Zeitpunkt des Ausblendens (siehe § 11.3). Der Lesestatus erfasst ausschließlich „Nachricht geöffnet" — keine Verweildauer, kein Klick- oder Scrollverhalten innerhalb der Nachricht.

Sichtbarkeit Ihres Lesestatus für den Betreiber:

Empfänger / Übermittlung: Hetzner Online GmbH (DB, Deutschland). Keine Übermittlung an Dritte. Keine Drittlandübermittlung. Die reguläre Administrationsrolle hat auf die zugrunde liegende Tabelle keinen direkten Lesezugriff (Erweiterung des Admin-Blindness-Prinzips aus § 16); Zugriffe für die beiden vorgenannten Zwecke laufen über zweckgebundene technische Funktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — der Lesestatus ist funktionaler Bestandteil des Posteingangs).

Speicherdauer: Der Lesestatus bleibt an die jeweilige Nachricht gekoppelt; siehe Speicherdauer in § 11.1 (90 Tage in Ihrer Ansicht, darüber hinaus bis Kontolöschung in der Datenbank). Auch hier gilt die in § 11.1 erläuterte Differenz zwischen Ansicht und Daten-Auskunft nach Art. 15/20 DSGVO.

Protokollierung: Wenn Sie eine Nachricht öffnen, vermerken wir das Ereignis zusätzlich in unserem Sicherheits-Protokoll (Audit-Log, § 9.3), damit wir eine missbräuchliche Nutzung Ihres Kontos nachvollziehen können. Protokolliert werden ausschließlich Ereignistyp, Ihre Nutzer-Kennung, die Nachrichten-Kennung, der Zeitpunkt und Ihre IP-Adresse. Betreff und Inhalt werden nicht protokolliert. Speicherdauer dieses Protokoll- Eintrags: 90 Tage (§ 9.3).

11.3 Papierkorb (manuelles Ausblenden von Mitteilungen)

Sie können einzelne Mitteilungen an alle Nutzer aus Ihrer Posteingangs-Ansicht ausblenden („Papierkorb"). Dabei wird in Ihrem persönlichen Lesestatus-Eintrag (§ 11.2) der Zeitpunkt des Ausblendens vermerkt; der Inhalt der Mitteilung selbst bleibt unverändert.

Datenkategorie: Zeitpunkt des Ausblendens (pro Nachricht und Nutzer).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bestandteil der Posteingangs-Funktion).

Einschränkungen:

Abgrenzung zu Löschung: Das Ausblenden ist keine Löschung im Sinne von Art. 17 DSGVO. Die Mitteilung verschwindet aus Ihrer Ansicht; der Ausblendevermerk zu Ihrem Konto bleibt bis zur Konto-Löschung gespeichert. Die allgemeine Mitteilung selbst kann darüber hinaus als nicht nutzerspezifische Systemmitteilung gemäß § 11.1 bestehen bleiben. Eine ausgeblendete Mitteilung erscheint weiterhin in einer Daten-Auskunft nach Art. 15 DSGVO bzw. in einem Datenexport nach Art. 20 DSGVO, versehen mit dem Zeitpunkt des Ausblendens. Einen Antrag auf Löschung einzelner personenbezogener Angaben können Sie an datenschutz@bejofa.chat richten (Abschnitt 15.3).

Protokollierung: Das Ausblenden wird in unserem Sicherheits-Protokoll (Audit-Log, § 9.3) als eigenes Ereignis vermerkt, aus demselben Grund wie das Öffnen (§ 11.2). Protokolliert werden ausschließlich Ereignistyp, Ihre Nutzer-Kennung, die Nachrichten-Kennung, der Zeitpunkt und Ihre IP-Adresse. Betreff und Inhalt werden nicht protokolliert. Speicherdauer 90 Tage (§ 9.3).

11.4 Antworten auf Feedback

Wenn Sie uns über die Hilfe- und Feedback-Funktion (§ 10) eine Anfrage gesendet haben, können wir Ihnen darauf eine Direktnachricht im Posteingang zustellen. Diese Antwort ist intern technisch mit Ihrer ursprünglichen Feedback-Anfrage verknüpft, damit der Bezug für Sie und für uns nachvollziehbar bleibt; die Antwort wird Ihnen in der Oberfläche unmittelbar bei Ihrer ursprünglichen Anfrage angezeigt.

Verarbeitete Daten: Inhalt der Antwort (vom Betreiber verfasst), Zeitpunkt, technische Verknüpfung mit der Feedback-Anfrage (Feedback-Kennung), Ihre Nutzer-Kennung als Empfänger. Die übrigen Datenkategorien entsprechen § 11.1.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Antwort auf Ihre Anfrage ist Teil der Feedback-Bearbeitung, siehe § 10).

Speicherdauer: Wie in § 11.1.

Protokollierung: Den Versand einer Antwort vermerken wir in unserem Sicherheits-Protokoll (Audit-Log, § 9.3). Dort werden ausschließlich technische Kennungen (Nachrichten-Kennung, Feedback-Kennung, Empfänger-Nutzer-Kennung) erfasst — niemals der Inhalt Ihrer ursprünglichen Anfrage und niemals der Inhalt unserer Antwort. Inhalte der Anfrage oder Antwort speichern wir im Audit-Log nicht. Diesen Eintrag bewahren wir so lange auf wie Ihre Rückmeldung und löschen ihn mit ihr (§ 10).

11.5 Meldung an den Betrieb bei einem Ausfall

Erreicht der Router (Abschnitt 5.1) in der Klasse Ihres Themas keinen Anbieter mehr, zeigen wir Ihnen eine Karte mit der Wahl „Nachricht an den Betrieb". Wählen Sie sie, legen wir eine Meldung an, damit wir den Ausfall beheben und Ihnen bei Bedarf antworten können. Die Meldung enthält keinen Text von Ihnen und nichts aus dem Thema.

Verarbeitete Daten: Ihre Nutzer-Kennung, die Art der Meldung, die Kennung des betroffenen Themas (ohne Titel und ohne Inhalt), die Klasse des Themas, zu jedem Versuch der Anbieter, die Art des Fehlers und der Zeitpunkt, der Zeitpunkt der Meldung und, sobald wir sie bearbeitet haben, der Zeitpunkt der Bearbeitung. Klasse und Versuche lesen wir aus dem gescheiterten Lauf, Ihr Gerät sendet nur die Kennung des Themas.

Empfänger / Übermittlung: Die Meldung verbleibt auf unserer Infrastruktur bei Hetzner Online GmbH in Deutschland. Sie geht an keinen Dritten und an keinen KI-Anbieter. Der Betreiber sieht sie mit Ihrer Nutzer-Kennung. Antwortet er, dann mit einer Direktnachricht (§ 11.1).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Sie melden eine Störung der Leistung, damit wir sie beheben können.

Speicherdauer: Die Meldung bleibt gespeichert, bis Sie Ihr Konto löschen. Löschen Sie das Thema, bleibt die Meldung mit der Kennung des gelöschten Themas bestehen. Markiert der Betreiber die Meldung als bearbeitet, ändert das an der Speicherdauer nichts. Ihre Meldungen sind in Datenauskunft und Datenexport enthalten (§ 15.5).

Protokollierung: Die Meldung vermerken wir in unserem Sicherheits-Protokoll (Audit-Log, § 9.3). Protokolliert werden Ereignistyp, Ihre Nutzer-Kennung, die Kennung der Meldung, ihre Art, die Kennung des Themas, die Klasse, der Zeitpunkt und wie bei jedem Eintrag dort die IP-Adresse, keine Inhalte. Speicherdauer 90 Tage (§ 9.3).

12. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

bejofa.chat ist nicht darauf ausgelegt, besondere Kategorien personenbezogener Daten (etwa Gesundheitsdaten, Angaben zur rassischen oder ethnischen Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen, Gewerkschaftszugehörigkeit, genetische oder biometrische Daten, Daten zum Sexualleben oder zur sexuellen Orientierung) zu erheben oder auszuwerten. Wir fordern solche Daten nicht an, werten sie nicht kategorienspezifisch aus und verfolgen mit ihnen keinen eigenständigen Verarbeitungszweck.

Bitte geben Sie keine solchen Daten über sich oder andere Personen ein. Ebenso unzulässig sind personenbezogene Angaben zu tatsächlichen oder vermuteten Straftaten, strafrechtlichen Verurteilungen oder Ermittlungen einer realen Person, auch über Sie selbst (Art. 10 DSGVO). Formulieren Sie entsprechende Anliegen abstrakt oder so anonym, dass niemand identifiziert werden kann. Diese Grenzen gelten auch bei Nutzung von Verstecken oder Privacy Shield. Verstecken bestimmt, was ein Modell liest; versteckter Text bleibt bei uns gespeichert. Der Privacy Shield weist auf erkannte Personendaten hin (Abschnitt 6). Beide Werkzeuge garantieren keine Anonymisierung.

Zeigen wir Ihnen vor der Nutzung die „Regeln für Eingaben“ zur Bestätigung an, speichern wir deren Fassung und den Zeitpunkt Ihrer Bestätigung mit Ihrer Nutzer-Kennung, ohne IP-Adresse. Das ist ein Nachweis der Kenntnisnahme der Nutzungsregel auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Die Bestätigung ist keine ausdrückliche Einwilligung in die Verarbeitung besonderer Daten nach Art. 9 Abs. 2 lit. a DSGVO. Für die Speicherung des Nachweises gilt Abschnitt 15.3.

Geben Sie solche Daten trotz dieser Regeln ein, können sie technisch wie andere Inhalte gespeichert und an die in Abschnitt 5 genannten Anbieter übermittelt werden. Die Nutzungsregel und die Erkennungssysteme verhindern dies nicht zuverlässig. Die für den allgemeinen Dienst genannte Vertragsgrundlage nach Art. 6 Abs. 1 lit. b DSGVO ersetzt keine erforderliche Ausnahme nach Art. 9 Abs. 2 oder eine Befugnis nach Art. 10 DSGVO. Sie können betroffene Inhalte nach Abschnitt 15.3 löschen und uns wegen einer unbeabsichtigten Eingabe unter datenschutz@bejofa.chat kontaktieren.

13. KI-Transparenz und automatisierte Entscheidungen

13.1 Transparenzpflichten (Art. 50 KI-Verordnung)

Wir informieren Sie nach Art. 50 Abs. 1 KI-Verordnung darüber, dass Sie bei der Nutzung von bejofa.chat mit KI-Systemen interagieren:

Erzeugte Bilder (Abschnitt 5.12) tragen in der Datei eine maschinenlesbare Herkunftskennzeichnung nach dem Standard C2PA (Art. 50 Abs. 2 KI-Verordnung). Sie weist das Bild als KI-erzeugt aus, und Sie können sie mit einem öffentlichen Prüfwerkzeug wie contentcredentials.org/verify prüfen. Die Datei aus „Herunterladen“ trägt diese Kennzeichnung unverändert.

13.2 Automatisierte Entscheidungen

Die KI-Modelle beantworten Ihre Eingaben; sie treffen keine Entscheidungen über Sie. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) gibt es nur an einer Stelle. Ist die Prüfung der Zugangsberechtigung eingeschaltet (Abschnitt 4.5), lehnt das System Aufladung und Nutzung automatisch ab, wenn Ihre Rechnungsadresse nicht in Deutschland liegt. Diese Entscheidung ist für den Vertrag erforderlich, der auf Verbraucher in Deutschland beschränkt ist (Art. 22 Abs. 2 lit. a DSGVO). Sie können unter datenschutz@bejofa.chat verlangen, dass ein Mensch sie überprüft, Ihren Standpunkt darlegen und die Entscheidung anfechten.

14. Cookies und lokale Speicherung

bejofa.chat verwendet ausschließlich technisch notwendige Cookies:

Cookie Zweck Dauer
mh_session Sitzungsverwaltung 7 Tage
bejofa_link_binding Bindet einen Anmeldelink an den Browser, der ihn angefordert hat 30 Minuten

Es werden keine Tracking-Cookies, Analyse-Cookies oder Cookies Dritter eingesetzt.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich) in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

14.1 Lokale Speicherung im Browser

bejofa.chat nutzt den lokalen Speicher Ihres Browsers für technisch erforderliche oder von Ihnen ausgelöste Funktionen. Dazu gehören insbesondere:

Nachrichten aus der Offline-Warteschlange werden bei erfolgreicher erneuter Verbindung an den Server übermittelt und nach erfolgreichem Versand aus der Warteschlange entfernt. Einträge, die älter als 24 Stunden sind, entfernen wir beim nächsten Zugriff auf die Warteschlange. Wenn Sie die Anwendung nicht mehr öffnen, können diese Einträge bis zur Löschung Ihrer Browserdaten lokal erhalten bleiben. Andere lokale Einstellungen bleiben bis zur Änderung, zum Löschen Ihrer Browserdaten oder zur Abmeldung beziehungsweise Kontolöschung gespeichert. Bei Abmeldung oder Kontolöschung werden lokale Daten gelöscht, soweit dies technisch im verwendeten Browser möglich ist. Die gewählte Stimme bleibt als gerätebezogene Einstellung gespeichert, bis Sie sie ändern oder den lokalen Speicher der Website löschen.

Rechtsgrundlage für das Speichern auf Ihrem Gerät ist § 25 Abs. 2 Nr. 2 TDDDG, weil die von Ihnen aufgerufene Funktion es erfordert. Verlassen die Daten Ihr Gerät, etwa beim Senden aus der Offline-Warteschlange, gilt die Beschreibung der jeweiligen Funktion in dieser Erklärung.

15. Ihre Rechte als betroffene Person

Sie können Ihre Rechte unter den jeweiligen gesetzlichen Voraussetzungen geltend machen. Schreiben Sie dafür an datenschutz@bejofa.chat. Die Funktionen im Konto können Sie zusätzlich nutzen; ein Antrag per E-Mail setzt keine Kontolöschung voraus.

15.1 Auskunftsrecht (Art. 15 DSGVO)

Sie können jederzeit Auskunft über die zu Ihrer Person gespeicherten Daten verlangen.

15.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie können die Berichtigung unrichtiger Daten verlangen. Ihren Anzeigenamen können Sie direkt in den Einstellungen ändern.

15.3 Recht auf Löschung (Art. 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen. Die Löschung erfasst die Datenspeicher des laufenden Betriebs mit den folgenden Ausnahmen. Aus den Backups verschwinden gelöschte Daten erst mit der Rotation (Abschnitt 3.3), bei einzelnen Empfängern gelten deren eigene Fristen (Abschnitte 5.4 und 17), und Einträge im Audit-Log bleiben bis zum Ablauf ihrer Frist (Abschnitt 9.3). Daten im lokalen Speicher Ihres Browsers beschreibt Abschnitt 14.1. Ausgenommen sind außerdem die Zahlungs- und Abrechnungsnachweise, die wir aufbewahren müssen. Sie bleiben nach der Löschung mit dem Abrechnungskonto und, solange ein Zahlungsbeleg sie braucht, mit der verschlüsselten Rechnungsadresse verbunden (Abschnitte 4.5, 7.3 und 8.1). Von Ihren Verbrauchszeilen behalten wir dann nur Betrag und Abrechnungsgrundlage (Token, Menge, Suchen), Tag, Leistungsart und Konto; Nutzer-ID, der Bezug zu Themen und Antworten, die Art des Arbeitsschritts und die Uhrzeit werden entfernt.

Die Nachweise Ihrer Einwilligungen und Kenntnisnahmen enthalten keine IP-Adresse. Wir speichern dort den Zweck, die Rechtsgrundlage, den Zeitpunkt und die Fassung; zugeordnet wird der Nachweis über Ihre Nutzer-Kennung. Für den Nachweis einer Einwilligung in die Warteliste, die ohne Konto erteilt wird, gilt stattdessen Abschnitt 4.7.

Nach einer Konto-Löschung werden diese Nachweise auf einen pseudonymen Rest verkürzt: Die unmittelbar identifizierenden Angaben werden entfernt. Zweck, Rechtsgrundlage, Zeitpunkt und Version sowie ein getrennt verwahrter pseudonymer Zuordnungsschlüssel bleiben erhalten. Dieser Rest, ebenso wie der Nachweis einer widerrufenen Einwilligung, wird bis zum Ablauf des dritten Kalenderjahres nach dem Jahr, in dem die Verarbeitung endete (Konto-Löschung, Widerruf der Einwilligung oder Einstellung der betreffenden Verarbeitung durch uns), aufbewahrt und danach automatisch gelöscht. Die fortgesetzte Speicherung stützt sich auf Art. 6 Abs. 1 lit. c DSGVO (Nachweis- und Rechenschaftspflicht, Art. 7 Abs. 1, Art. 5 Abs. 2 DSGVO) sowie Art. 6 Abs. 1 lit. f DSGVO (Verteidigung gegen Ansprüche). Soweit diese Speicherung zur Erfüllung einer rechtlichen Pflicht oder zur Rechtsverteidigung erforderlich ist, gelten die Ausnahmen nach Art. 17 Abs. 3 lit. b und e DSGVO. Für die gesonderten Vertragsnachweise gilt die achtjährige Frist aus Abschnitt 4.1; für nicht ausgeführte Bestellungen die sechsjährige Frist aus Abschnitt 8.1.

Funktionen zur Selbstlöschung:

Ist vor der Kontolöschung noch eingezahltes Guthaben von Hand zu erstatten, bleibt Ihr Konto bis zur Erstattung bestehen. Kann ein Betrag nicht automatisch über das ursprüngliche Zahlungsmittel zurückgebucht werden, zeigt Ihnen die Löschfunktion den erforderlichen Kontaktweg an. Einzelheiten und die Frist für die Überweisung stehen in § 12 Abs. 7 der AGB.

15.4 Recht auf Einschränkung (Art. 18 DSGVO)

Sie können die Einschränkung der Verarbeitung verlangen.

15.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Ihre bereitgestellten Daten können Sie nach Art. 20 DSGVO in einem strukturierten, maschinenlesbaren Format erhalten. Der Export im Konto gibt zusätzlich weitere gespeicherte Daten als Auskunft nach Art. 15 DSGVO aus. Er enthält insbesondere folgende Daten in JSON:

Die noch vorhandenen Originaldateien aus Ablage und Anhängen sowie gespeicherte Audiodateien laden Sie als zweiten Download in einem ZIP-Archiv herunter. Die Rechte und Freiheiten anderer Personen bleiben bei Auskunft und Übertragbarkeit geschützt (Art. 15 Abs. 4 und Art. 20 Abs. 4 DSGVO).

15.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie können einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Schreiben Sie dafür an datenschutz@bejofa.chat. Wir verarbeiten die betroffenen Daten dann nicht weiter, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder benötigen die Verarbeitung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Die Prüfung von Suchanfragen auf Namen, solange Sie die Frage nach Namen bei Mojeek nicht beantwortet haben (Abschnitt 6.2), können Sie auch selbst beenden. Wählen Sie dafür in den Einstellungen „nur Staan, ohne Prüfung", dann gehen Ihre Suchanfragen nur an Staan und werden nicht geprüft (Abschnitt 5.6). Ihr Widerspruchsrecht bleibt davon unberührt.

15.7 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)

Soweit die Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit widerrufen, per E-Mail an datenschutz@bejofa.chat oder auf dem Weg, den die jeweilige Funktion dafür nennt (für die Warteliste Abschnitt 4.7). Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.

15.8 Beschwerderecht (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI) Heilbronner Straße 35 70191 Stuttgart poststelle@lfdi.bwl.de https://www.baden-wuerttemberg.datenschutz.de

16. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen:

17. Empfänger und Auftragsverarbeiter

Dies sind alle Empfänger und Auftragsverarbeiter, an die wir Ihre Daten übermitteln. Nehmen wir einen weiteren auf oder wechseln wir einen, kündigen wir das vorab an (Abschnitt 18). Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa an Finanzbehörden oder auf Grund einer gerichtlichen Anordnung.

Empfänger Rolle Dienst Datenzugriff Region Speicherdauer Training AVV / Mechanismus
Hetzner Online GmbH Auftragsverarbeiter Server-Hosting Alle Daten; Backups und ausgewählte sensible Felder verschlüsselt, betriebliche Zugriffe technisch und organisatorisch beschränkt DE Bis Löschung — Ja
Mollie B.V. Eigenständiger Verantwortlicher Zahlungsabwicklung Zahlungsmetadaten NL; beteiligte Stellen gegebenenfalls außerhalb des EWR Nach gesetzlichen Pflichten und erforderlichem Verarbeitungszweck, siehe Mollie-Informationen in Abschnitt 8.1 — Eigenständige Verantwortlichkeit; gegebenenfalls SCCs nach Abschnitt 8.1
Proton AG Auftragsverarbeiter Kontakt-E-Mail-Postfächer Kontaktdaten, Nachrichten samt Anlagen und technische Versandangaben Speicherung in CH, DE oder NO nach Proton-Informationen Manuelle Löschung nach Abschluss der Bearbeitung; Ausnahmen für aufbewahrungspflichtige Unterlagen (Abschnitt 10.1) — Proton-AVV; Angemessenheitsbeschluss für die Schweiz
Mailjet SAS Auftragsverarbeiter Transaktionale E-Mails und die E-Mails der Warteliste (Abschnitt 4.7) E-Mail-Adressen sowie der Inhalt der versandten Nachrichten samt Anlagen, in Link-E-Mails die IP-Adresse der Anforderung; bei einer Widerrufsbestätigung ein von Ihnen angegebener Name (Abschnitt 8.2) Speicherung DE/BE nach Mailjet-Angaben; mögliche Weiterübermittlungen außerhalb des EWR (Abschnitt 4.4) Frist für Nachrichteninhalte von Mailjet nicht bestätigt; nach Vertragsende 90 Tage (Abschnitt 4.4) — AVV; Garantien für Weiterübermittlungen nach Abschnitt 4.4
Mistral AI Auftragsverarbeiter KI-Sprachmodell (EU-Klasse, auch als Router); Reinsprechen in jeder Klasse und Vorlesen in der EU-Klasse (Abschnitt 5.7); Texterkennung angehängter PDF-, Word-, PowerPoint- und Bilddateien und Prüfung mitgegebener Dateien auf versteckte Anweisungen, in jeder Klasse (Abschnitt 5.8); Namensprüfung vor der Übermittlung einer Datei an die US-Klasse und vor einer Websuche, in der EU- und der US-Klasse (Abschnitt 6.1) Chat-Inhalte; Sprachaufnahmen und Antworttext zum Vorlesen (pro Anfrage); angehängte Dateien und ihr Text (pro Datei); Text von Dateien und geplante Suchanfragen zur Namensprüfung (pro Prüfung) EU für Ihre Inhalte (EU-Endpunkt, technisch festgelegt); begrenzte Übermittlungen an Unterauftragsverarbeiter außerhalb der EU, die auch Inhalte erfassen können (Abschnitt 5.3) Keine Speicherung (Zero Data Retention aktiviert) Nein Ja; für Übermittlungen außerhalb des EWR: Angemessenheitsbeschluss, geeignete Garantien oder EU-Standardvertragsklauseln (2021/914)
OVH GmbH (OVHcloud) Auftragsverarbeiter KI-Sprachmodell (offene Modelle wie GPT-OSS und Qwen, EU-Klasse) Chat-Inhalte (pro Anfrage) EU (Gravelines, FR) OVHcloud nennt für die genutzten Endpunkte keine Speicherung (Abschnitt 5.4) Nein Ja
Amazon Web Services Auftragsverarbeiter KI-Sprachmodell (Claude, EU-gehostet über Amazon Bedrock, US-Klasse) Chat-Inhalte (pro Anfrage) EU (Anfragen an Frankfurt, Verarbeitung in einem EU-Rechenzentrum von AWS); Konzernmutter USA Keine Standard-Speicherung Nein Ja (AWS-DPA mit SCCs; EU-US Data Privacy Framework)
Microsoft Auftragsverarbeiter KI-Sprachmodell (GPT über Azure OpenAI, US-Klasse, auch als Router) und Bilderzeugung (GPT Image, US-Klasse, Abschnitt 5.12) Chat-Inhalte, Bildbeschreibungen und nachzubessernde Bilder; markierte Inhalte gegebenenfalls zur Prüfung durch berechtigte Mitarbeiter im EWR (Abschnitt 5.3) EU-Datenzone (kann Norwegen und die Schweiz einschließen); US-Konzern Bis zu 30 Tage zur Missbrauchserkennung Nein Ja (Microsoft-AVV mit SCCs; EU-US Data Privacy Framework)
KugelAudio GmbH Auftragsverarbeiter Vorlesen in der EU-Klasse, wenn Mistral ausfällt (Abschnitt 5.7) Antworttext (pro Anfrage) EU (Rechenzentren in Deutschland, Finnland und Frankreich, vertraglich festgelegt) Keine Speicherung von Text und Audio (vertraglich vereinbart) Nein Ja
Microsoft (Azure Speech) Auftragsverarbeiter Vorlesen in der US-Klasse (Abschnitt 5.7) Antworttext (pro Anfrage) Frankreich (France Central); US-Konzern Keine Speicherung von Text und Audio (Angabe von Microsoft für die Echtzeit-Sprachausgabe) Nein Ja (Microsoft-AVV mit SCCs; EU-US Data Privacy Framework)
Amazon Web Services (Amazon Polly) Auftragsverarbeiter Vorlesen in der US-Klasse, wenn Microsoft ausfällt (Abschnitt 5.7) Antworttext (pro Anfrage) Deutschland (Frankfurt); US-Konzern Speicherung für den Betrieb möglich, ohne genannte Frist (Abschnitt 5.7) Für unser Konto ausgeschlossen AWS-DPA mit SCCs; EU-US Data Privacy Framework
Staan (European Perspective) Auftragsverarbeiter; für die eigene Analyse und Verbesserung des Suchdienstes eigener Verantwortlicher (Abschnitt 5.6) Websuche nach der Stufe der Antwort (Abschnitt 5.6) Suchanfrage (pro Anfrage); Suchprotokolle nach Anbieterunterlagen Suchverarbeitung FR; amerikanischer Ersatzanbieter für unser Konto abgeschaltet Speicherfrist für API-Suchanfragen und Suchprotokolle noch nicht bestätigt; Verschleierung aktiviert (Abschnitt 5.6) Kein LLM-Training nach Staan-FAQ AVV mit ungeklärtem Umfang für personenbezogene Suchanfragen; bestätigte Kontokonfiguration nach Abschnitt 5.6
Mojeek Ltd. Empfänger; Einordnung nach Art. 28 DSGVO ungeklärt, weil der Vertrag von Mojeek Suchanfragen ausnimmt (Abschnitt 5.6) Websuche nach der Stufe der Antwort (Abschnitt 5.6) Suchanfrage (pro Anfrage) Vereinigtes Königreich (Angemessenheitsbeschluss) 90 Tage (Angabe von Mojeek) Nein (Angabe von Mojeek) Kein AVV für Suchanfragen (Abschnitt 5.6); Angemessenheitsbeschluss für das Vereinigte Königreich

18. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung bei Änderungen der Rechtslage oder unserer Datenverarbeitung.

Änderungen, über die wir Sie vorab informieren. Über wesentliche Änderungen informieren wir Sie per E-Mail und über den In-App-Posteingang, und zwar mindestens 7 Tage vorher, bei nachteiligen oder eingriffsintensiven Änderungen mindestens 14 Tage vorher. Dazu gehören Änderungen der Empfänger, Verarbeitungsregionen, Speicherfristen und Verarbeitungszwecke sowie neue Drittlandübermittlungen mit Angemessenheitsbeschluss oder geeigneten Garantien. Vor Inkrafttreten einer solchen Änderung können Sie den Dienst beenden, Ihre Daten exportieren und Ihr Konto löschen.

Änderungen, für die wir Ihre Einwilligung einholen. Bestimmte Änderungen setzen wir Ihnen gegenüber erst nach Ihrer aktiven Zustimmung um. Das gilt für Verarbeitungen, die Ihre Einwilligung benötigen, insbesondere bei unvereinbaren neuen Zwecken ohne andere Rechtsgrundlage, besonderen Daten nach Art. 9 DSGVO oder einer auf Art. 49 Abs. 1 lit. a DSGVO gestützten Drittlandübermittlung. Es gilt auch, wenn wir Zweck, Datenarten oder Übermittlungsrisiko einer Funktion wesentlich ändern, deren Hinweiskarte Sie bestätigt haben, etwa Reinsprechen oder Vorlesen. Bis zu Ihrer Zustimmung verarbeiten wir Ihre Daten unverändert nach den bisherigen Angaben weiter. Ein bloßes Weiternutzen des Dienstes oder Ihr Schweigen gilt nicht als Zustimmung. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft und ebenso einfach widerrufen, wie Sie sie erteilt haben.

Sofort erforderliche Änderungen. Muss eine Änderung aufgrund einer unmittelbaren rechtlichen Verpflichtung oder zur Abwehr eines konkreten Sicherheitsrisikos sofort wirksam werden, informieren wir Sie unverzüglich und nennen den Grund.

Geringfügige Änderungen. Rein redaktionelle Änderungen sowie Änderungen, die ausschließlich zu Ihrem Vorteil wirken und keine der vorgenannten Kategorien betreffen, können wir ohne Vorankündigung umsetzen.

Die aktuelle Version ist stets unter bejofa.chat/datenschutz abrufbar.

← Zurück zur Startseite