Datenschutzerklärung

Diese Übersetzung dient der Verständlichkeit. Verbindlich ist ausschließlich die englische Fassung unter /p/privacy-policy.

Diese Datenschutzerklärung erläutert, wie LW IT Solutions Company Lukas Wójcik („wir“, „uns“, der „Betreiber“) personenbezogene Daten im Zusammenhang mit reactive.chat verarbeitet. Sie besteht aus drei Teilen, weil wir in unterschiedlichen Rollen handeln:

• Teil A (Abschnitt 2): Sie besuchen die Website reactive.chat. Wir sind Verantwortlicher.
• Teil B (Abschnitt 3): Sie sind Kunde von reactive.chat oder Mitglied im Team eines Kunden und nutzen das Dashboard. Für Ihre Kontodaten sind wir Verantwortlicher.
• Teil C (Abschnitt 4): Sie nutzen das Chat-Widget von reactive.chat, Smart Answer in der Suche, einen Messaging-Kanal, einen Anruf oder das Kundenportal eines unserer Kunden. Verantwortlicher ist der Kunde; wir verarbeiten Ihre Daten in seinem Auftrag als Auftragsverarbeiter.

Die Abschnitte 5 bis 12 gelten für alle drei Teile. Wo diese Erklärung eine Frist nennt, ist es die Frist, die unsere Systeme tatsächlich durchsetzen; wo kein System etwas nach einer Frist löscht, sagen wir das.

Zwei weitere Dokumente beschreiben dieselben Verarbeitungen aus Sicht des Verantwortlichen: unser Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) und unsere Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Sie werden nicht veröffentlicht; wir stellen sie der Aufsichtsbehörde und auf Anfrage Kunden zur Verfügung (contact@lukaswojcik.com).

1. Verantwortlicher und Kontakt

• LW IT Solutions Company Lukas Wójcik
• al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen
• USt-IdNr.: PL7252266190
• E-Mail: contact@lukaswojcik.com

Für alle Fragen zum Datenschutz schreiben Sie an contact@lukaswojcik.com. Anfragen bearbeitet der Inhaber persönlich. Einen Datenschutzbeauftragten haben wir nicht benannt.

1.1 Wo der Dienst läuft

reactive.chat läuft auf einem Server, der uns gehört und den wir selbst in unseren Räumen in Łódź, Polen, betreiben. Unsere eigene KI läuft selbst gehostet auf eigenen Rechnern (unseren „Inferenzknoten“), die im selben lokalen Netz wie dieser Server stehen. Die Adresse cdn.reactive.chat, von der das Widget geladen wird, ist kein externes Content-Delivery-Netz, sondern eine Website auf demselben Server. Der Server ist über einen Netzbetreiber (Toya Sp. z o.o., Łódź) an das Internet angebunden, der verschlüsselte Daten transportiert und keinen Zugriff auf ihren Inhalt hat.

Der Dienst läuft in einer Produktionsinstallation (reactive.chat), die von seiner Entwicklungsinstallation (dev.reactive.chat) getrennt ist: mit eigenem Programmverzeichnis, eigener Datenbank mit eigenem Datenbanknutzer, eigener Redis-Datenbank und eigenen Dienstprozessen. Änderungen am Code gelangen nur durch eine bewusste Übertragung einer festen Fassung in die Produktionsinstallation, nachdem ihre Programmdateien und ihre Datenbank gesichert wurden. Beide Installationen laufen auf demselben Server und nutzen dieselben KI-Knoten; die Entwicklungsinstallation ist durch ein Passwort geschützt. Derselbe Server trägt außerdem weitere Projekte des Betreibers; sie sind auf diesem Rechner durch Verzeichnisse, Datenbanken und Datenbanknummern getrennt, nicht durch getrennte Hardware.

Kopien der Daten verlassen diesen Server regelmäßig nur in einem Fall: in der verschlüsselten Sicherung nach Abschnitt 7.1. Alle anderen Empfänger stehen in Abschnitt 5.

2. Teil A – Besucher der Website reactive.chat

2.1 Server-Zugriffsprotokoll und Betriebsprotokolle

Wenn Sie eine Seite auf reactive.chat aufrufen, protokolliert unser Webserver die Anfrage: Datum und Uhrzeit, die aufgerufene Adresse, den HTTP-Status, die verweisende Seite, Browsertyp und -version (User-Agent) und Ihre vollständige IP-Adresse. Dasselbe gilt für Anfragen an cdn.reactive.chat und für die Echtzeitverbindung des Chats. Wir nutzen das Zugriffsprotokoll, um die Website sicher zu betreiben, Angriffe und Fehler zu erkennen und den Dienst stabil zu halten. Ein automatisches Sperrwerkzeug liest die Protokolle und sperrt Adressen, die den Server angreifen, für ein bis zwei Stunden.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und stabile Betrieb der Website.
• Speicherdauer: Die Protokolldateien werden täglich rotiert; die Datei des laufenden Tages und die der 14 vorangegangenen Tage bleiben erhalten, ältere werden gelöscht (insgesamt höchstens 15 Tage).
• Daneben kann das Betriebsprotokoll des Servers (Systemjournal), das auch Meldungen des Chatservers aufnimmt, IP-Adressen enthalten. Es ist nach Größe (500 MB) begrenzt, nicht nach Zeit: Die ältesten Einträge werden entfernt, wenn die Grenze erreicht ist; die Dauer hängt also vom Umfang der Meldungen ab. Fehler- und Arbeitsprotokolle einzelner Bestandteile von reactive.chat werden derzeit nicht automatisch rotiert; einige davon können IP-Adressen enthalten.
• Empfänger: keine, abgesehen von der verschlüsselten Sicherung (7.1).

2.2 Design-Auswahl (localStorage)

Wenn Sie zwischen hellem und dunklem Design wechseln, wird Ihre Wahl in Ihrem Browser unter dem Schlüssel rc_theme im localStorage gespeichert. Sie dient nur dazu, die Website im gewählten Design anzuzeigen, nicht der Nachverfolgung. Das Speichern dieses Werts ist unbedingt erforderlich, um eine von Ihnen ausdrücklich gewünschte Funktion bereitzustellen (Art. 5 Abs. 3 ePrivacy-Richtlinie, polnisches Gesetz über elektronische Kommunikation), daher ist keine Einwilligung erforderlich. Sie können den Wert jederzeit in Ihren Browsereinstellungen löschen.

Schließen Sie auf der Website eine Hinweisleiste, wird der Schlüssel rc_leiste_zu: mit dem Namen dieses Hinweises und dem Wert 1 im localStorage gespeichert, damit der Hinweis nicht erneut erscheint. Er enthält keine Kennung, hat kein Ablaufdatum und ist für die von Ihnen genutzte Funktion unbedingt erforderlich; eine Einwilligung ist nicht nötig. Sie können ihn jederzeit in Ihren Browsereinstellungen löschen.

2.3 Sprachwahl

Die Sprache der Website ist Teil der Adresse (URL-Pfad). Dafür wird nichts in Ihrem Browser gespeichert.

2.4 Support-Formular

Wenn Sie uns über das Support-Formular eine Nachricht senden, verarbeiten wir die von Ihnen eingegebenen Angaben (etwa Name, E-Mail-Adresse und Nachrichtentext), die Seite und Sprache, von der aus Sie schreiben, sowie Ihre vollständige IP-Adresse, um Ihre Anfrage zu beantworten.

• Das Formular ist durch Google reCAPTCHA v3 geschützt (siehe 2.7). Das Skript wird erst geladen, wenn Sie den Support-Dialog öffnen.
• Das Formular ist mengenbegrenzt (höchstens 20 Versuche in zehn Minuten und 10 Nachrichten je Stunde und IP-Adresse). Ihre IP-Adresse wird mit der Anfrage gespeichert, um massenhafte oder wiederholte Einsendungen zu erkennen und zu unterbinden.
• Geht eine Anfrage ein, erhalten wir eine interne Benachrichtigung über Telegram. Sie besteht aus einem festen Text und enthält keine personenbezogenen Daten (siehe Abschnitt 5.3).
• Um Ihnen zu antworten, können wir Ihre Nachricht übersetzen und einen Antwortentwurf erstellen lassen. Beides erledigt ein Sprachmodell auf unseren eigenen Inferenzknoten (1.1); ein KI-Dienst eines Dritten wird nicht eingesetzt. Das Modell erhält den Text Ihrer Nachricht, den von Ihnen gewählten Anlass, ob Sie ein Konto haben, und den Pfad der Seite, von der aus Sie geschrieben haben; E-Mail-Adressen, Telefonnummern und Ziffernfolgen ab sechs Stellen werden vorher ersetzt. Ihre IP-Adresse und Ihre E-Mail-Adresse erreichen es nicht. Ein Entwurf wird nie automatisch versandt: Ein Mensch liest ihn, korrigiert ihn bei Bedarf und entscheidet, ob er gesendet wird. Auch unsere eigene Antwort kann vor dem Versand in Ihre Sprache übersetzt werden. Der für das Modell aufbereitete Text und das Ergebnis werden mit Ihrer Anfrage gespeichert und mit ihr gelöscht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag oder dessen Anbahnung betrifft; sonst Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Beantwortung von Anfragen. reCAPTCHA, Mengenbegrenzung und gespeicherte IP-Adresse: Art. 6 Abs. 1 lit. f DSGVO, Schutz vor automatisiertem Missbrauch.
• Speicherdauer: Eine Anfrage, die angemeldet oder von einer für ein Konto bestätigten Adresse gesendet wurde, wird mit diesem Konto gelöscht (3.7). Eine ohne Anmeldung gesendete Anfrage wird einschließlich der IP-Adresse und der für das Sprachmodell aufbereiteten Texte spätestens 365 Tage nach ihrem Eingang oder nach unserer letzten Bearbeitung gelöscht; Sie können uns jederzeit bitten, sie früher zu löschen.

2.5 Kontakt per E-Mail

Wenn Sie uns an contact@lukaswojcik.com schreiben, verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihnen zu antworten. Dieses Postfach wird bei Namecheap betrieben (Abschnitt 5). Rechtsgrundlage wie in 2.4. Wir bewahren E-Mails auf, solange sie zur Bearbeitung Ihres Anliegens und etwaiger Rückfragen und zum Nachweis des Vereinbarten benötigt werden; eine automatische Löschung gibt es nicht.

2.6 Kein Tracking

Außer den in diesem Teil genannten Punkten speichert die Website reactive.chat nichts in Ihrem Browser und lädt keine Skripte, Schriften oder Bilder anderer Anbieter. Wir setzen keine Webanalyse, keine Werbung und keine Tracking-Pixel ein. Links auf andere Websites (etwa consented.eu oder mouseplayer.com) sind gewöhnliche Links; an diese Websites wird nichts übermittelt, bevor Sie ihnen folgen.

2.7 reCAPTCHA

Auf den Formularen für Anmeldung, Registrierung, Passwort-Zurücksetzung und Support setzen wir Google reCAPTCHA v3 ein, um Menschen von automatisierten Skripten zu unterscheiden. Im Chat-Widget wird reCAPTCHA nie eingesetzt.

• Sobald Sie beginnen, das Anmelde-, Registrierungs- oder Passwortformular auszufüllen (erster Klick oder Tab in das Formular), oder das Support-Fenster öffnen, lädt Ihr Browser das reCAPTCHA-Skript von Google (www.google.com, www.gstatic.com). Das Skript wertet Informationen über Ihr Gerät und Ihr Verhalten auf der Seite aus; Google kann dafür eigene Cookies setzen oder lesen. Beim Absenden des Formulars schickt unser Server das Ergebnis-Token zusammen mit Ihrer IP-Adresse zur Prüfung an Google.
• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Eine Übermittlung an Google LLC in den USA ist nicht auszuschließen (Abschnitt 6).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am Schutz der Konten und des Support-Formulars vor automatisierten Angriffen. Ohne diesen Schutz wären Anmeldung und Support-Formular automatisierten Angriffen ausgesetzt.

2.8 Sicherheits-Cookie (rc_csrf)

Wenn Sie eine Seite der Website reactive.chat aufrufen, setzt unser Server in Ihrem Browser ein Cookie namens rc_csrf, sofern es dort noch nicht vorhanden ist. Das geschieht auf jeder Seite, auch wenn Sie nicht angemeldet sind und kein Formular ausfüllen, weil sich das Support-Fenster von jeder Seite aus öffnen lässt und ein Formular nur funktioniert, wenn das Cookie beim Laden der Seite bereits besteht. Das Cookie enthält einen Zufallswert aus 64 hexadezimalen Zeichen, den unser Server erzeugt und der keine Angaben über Sie enthält. Aus diesem Wert – und, sobald Sie angemeldet sind, aus Ihrer Sitzung – berechnet der Server ein Token, das in jedes Formular der Website und des Dashboards (etwa Anmeldung, Registrierung, Passwort-Zurücksetzung und Support) eingesetzt und beim Absenden geprüft wird. Eine fremde Website kann dieses Token nicht berechnen und daher kein Formular in Ihrem Namen absenden (Schutz vor seitenübergreifender Anfragefälschung, CSRF).

• Der Wert wird auf unserem Server nicht gespeichert, in kein Protokoll geschrieben und nicht mit Ihrer IP-Adresse, Ihrem Konto oder anderen Daten verknüpft; er dient weder dazu, Sie wiederzuerkennen, noch der Nachverfolgung. Ihr Browser schickt ihn mit seinen Anfragen an die Website zurück.
• Eigenschaften: HttpOnly (Skripte können es nicht lesen), Secure (nur über verschlüsselte Verbindungen), SameSite=Lax (wird bei Anfragen, die andere Websites im Hintergrund auslösen, nicht mitgeschickt). Es gilt nur für die Adresse der Website selbst; cdn.reactive.chat setzt es nicht, und das Chat-Widget auf den Websites der Kunden verwendet es nicht (4.3).
• Zweck: Schutz der Formulare der Website und des Dashboards vor gefälschten Anfragen.
• Rechtsgrundlage: Das Speichern des Cookies ist unbedingt erforderlich, um die Formulare der Website sicher bereitzustellen (Art. 5 Abs. 3 ePrivacy-Richtlinie, polnisches Gesetz über elektronische Kommunikation; in Deutschland § 25 Abs. 2 Nr. 2 TDDDG), daher ist keine Einwilligung erforderlich. Soweit der Wert ein personenbezogenes Datum ist, Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten und Formulare vor gefälschten Anfragen.
• Speicherdauer: ein Sitzungscookie ohne Ablaufdatum; Ihr Browser löscht es, wenn Sie ihn schließen (Browser, die die vorige Sitzung wiederherstellen, können es behalten). Sie können es jederzeit in Ihren Browsereinstellungen löschen; die nächste aufgerufene Seite setzt einen neuen Wert.

3. Teil B – Kunden und Teammitglieder

reactive.chat wird ausschließlich Unternehmern angeboten. Dieser Teil gilt für die Person, die ein Kundenkonto registriert, und für jedes Teammitglied (Rollen owner, admin, member – die Agentenrolle – und viewer), das in einen Workspace eingeladen wird. Für die hier beschriebenen Kontodaten sind wir Verantwortlicher. Für die Inhalte, die Sie mit reactive.chat verarbeiten (Gespräche, Wissensbasis, Daten von Besuchern und Ihren Endkunden), sind Sie Verantwortlicher und wir Ihr Auftragsverarbeiter – siehe Teil C und den Auftragsverarbeitungsvertrag.

3.1 Registrierung und Konto

• Daten: Anzeigename, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Sprache; später, sofern Sie sie eintragen, Vor- und Nachname, Firma, Anschrift und USt-IdNr.; die Workspaces, denen Sie angehören, und Ihre Rolle; eine Avatar-Adresse, falls Sie eine festlegen; wenn Sie eine für Klick-zum-Anrufen eintragen, Ihre Telefonnummer je Workspace.
• Annahme der Vertragsdokumente: Die Registrierung verlangt ein Häkchen, mit dem Sie die Nutzungsbedingungen annehmen und den Auftragsverarbeitungsvertrag schließen. Wir speichern je Dokument den Fingerabdruck (Hash) und den vollständigen Text der angezeigten Fassung, den Zeitpunkt, Ihre vollständige IP-Adresse und den User-Agent. Die Registrierung verlangt außerdem ein zweites Häkchen, mit dem Sie erklären, dass Sie sich für ein Unternehmen oder als Unternehmer und nicht als Verbraucher registrieren; diese Erklärung speichern wir ebenso: Wortlaut (mit dem darunter angezeigten Hinweis für Einzelunternehmer) und Fingerabdruck, Zeitpunkt, Ihre vollständige IP-Adresse und den User-Agent. Diese Nachweise belegen, welcher Wortlaut angenommen und erklärt wurde. Haben Sie Ihr Konto nicht selbst registriert (etwa über Single Sign-on) oder liegt uns Ihre Annahme der aktuellen Fassung nicht vor, fragen wir dieselben beiden Häkchen ab, bevor Sie einen eigenen Workspace anlegen, einen Workspace übernehmen oder einen bezahlten Tarif bestellen, und speichern den Nachweis ebenso, zusammen mit dem Anlass. Sie werden mit Ihrem Konto gelöscht.
• E-Mail-Bestätigung: Wir senden Ihnen einen Bestätigungslink (60 Minuten gültig). Die Bestätigung ist keine Voraussetzung für die Anmeldung oder die Nutzung des Dienstes.
• Registrierung, Anmeldung und Passwort-Zurücksetzung sind durch reCAPTCHA (2.7) geschützt und je IP-Adresse mengenbegrenzt.
• Zweck: Einrichtung und Betrieb Ihres Kontos, seine Absicherung und die Nachvollziehbarkeit administrativer Aktionen im Workspace.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); für den Annahmenachweis, den Anmeldeverlauf, das Audit-Protokoll und den Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, den Vertrag nachweisen zu können, an der Sicherheit des Dienstes und an der Nachvollziehbarkeit administrativer Aktionen.

3.2 Teammitglieder

Der Owner oder ein Admin eines Workspace lädt Teammitglieder per E-Mail ein. Wir verarbeiten die E-Mail-Adresse und Rolle der eingeladenen Person, um die Einladung (7 Tage gültig) zu versenden und nach der Annahme das Konto zu betreiben. Ein Workspace kann auch einem anderen Mitglied zur Übertragung angeboten werden (Angebot 7 Tage gültig). Teammitglieder können den Owner des Workspace oder uns bitten, ihre Daten zu berichtigen oder zu löschen – siehe Auskunft und Löschung.

3.3 Abrechnung

Bezahlte Tarife werden über Stripe abgerechnet (Abschnitt 5). Wenn Sie einen bezahlten Tarif beginnen, übermitteln wir Stripe Ihre E-Mail-Adresse, Ihren Namen bzw. Firmennamen, Ihre Anschrift, soweit sie vollständig ist, und interne Kennungen Ihres Kontos und Workspace als Bezug; im Bezahlvorgang erhebt Stripe die Rechnungsanschrift, eine optionale USt-IdNr. und das Zahlungsmittel selbst. Kartendaten verarbeitet nur Stripe; Kartennummern erhalten wir nie.

• Wir speichern die Stripe-Kunden- und Abo-Kennungen, Tarif, Abrechnungszyklus und Status, Rechnungen mit Nummer, Beträgen, USt-IdNr. und Land sowie die Benachrichtigungen, die Stripe uns zu Zahlungen sendet (sie enthalten in der Regel E-Mail, Name und Rechnungsanschrift).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (Buchführungs- und Steuerpflichten).
• Speicherdauer: Das polnische Steuerrecht verpflichtet uns, Rechnungen fünf Jahre ab Ende des Kalenderjahres aufzubewahren, in dem die Steuerpflicht entstanden ist. Rechnungsdatensätze und Zahlungsbenachrichtigungen werden nach dieser Frist derzeit nicht automatisch gelöscht, und sie bleiben bei der Löschung eines Kontos oder Workspace bestehen. Es gibt einen kostenlosen Tarif ohne Abrechnungsdaten.

3.4 E-Mail

E-Mails zu Registrierung, E-Mail-Bestätigung, Passwort-Zurücksetzung, Einladungen und Benachrichtigungen (etwa zu unbeantworteten Gesprächen) versenden wir über unseren E-Mail-Dienst. Derselbe Dienst wird für E-Mails an Besucher verwendet, die der Chat eines Kunden auslöst – eine Kopie des Gesprächs, die ein Besucher anfordert, und Antworten im E-Mail-Kanal, wenn der Kunde keinen eigenen Mailserver eingetragen hat (4.6). Der jeweils eingesetzte Anbieter ist in der Liste der Unterauftragsverarbeiter genannt; siehe Abschnitt 5. Ist der Versand nicht verfügbar, werden ausgehende Nachrichten als Dateien auf unserem Server abgelegt und nach 30 Tagen gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für E-Mails an Besucher die Weisung des Kunden (Teil C).

3.5 Support, Feedback und Status

Support-Anfragen von Kunden werden wie in 2.4 und 2.5 beschrieben bearbeitet. Der Feedback-Knopf im Dashboard speichert Ihren Text, die Seite und den User-Agent mit Ihrem Konto; wir erhalten über Telegram eine Benachrichtigung ohne den Inhalt (5.3). Die öffentliche Statusseite zeigt nur Messungen unserer eigenen Systeme.

3.6 Von Ihnen verbundene Kanäle und Integrationen

Sie können Kanäle (E-Mail über Ihren eigenen IMAP-/SMTP-Server, WhatsApp, Facebook Messenger, Instagram, Telegram, SMS) und Integrationen verbinden (etwa Slack, Microsoft Teams, Discord, HubSpot, Pipedrive, Zendesk, Freshdesk, Jira, Linear, GitHub, Shopify, Shopware, WooCommerce, WordPress, Stripe, Google Analytics 4, Plausible, Matomo, Sentry, Notion, Confluence, Google Drive, Cal.com, Zapier, Make, n8n, Webhooks) und Daten aus Intercom, Crisp, Tidio, Zendesk oder Answely übernehmen. Sie verwenden dafür Ihre eigenen Konten und Zugangsdaten; wir speichern die Zugangsdaten verschlüsselt und nutzen sie nur, um die Verbindung auf Ihre Weisung zu betreiben. Die Anbieter dieser Dienste sind Ihre eigenen Empfänger oder Auftragsverarbeiter, nicht unsere Unterauftragsverarbeiter. Sie sind für die Rechtmäßigkeit des Datenaustauschs mit ihnen verantwortlich. Die Google-Drive-Anbindung nutzt eine von uns registrierte OAuth-Anwendung; Google sieht daher, dass Sie diese Anwendung autorisieren, während die Dokumente auf Ihre Weisung aus Ihrem Drive gelesen werden. Was diese Anbieter erreicht, beschreibt 4.6.

3.7 Speicherdauer der Kontodaten, Vertragsende und Löschung

• Kontodaten werden aufbewahrt, solange das Konto besteht. Das Ende eines bezahlten Abonnements beendet das Konto nicht: Der Workspace fällt auf den kostenlosen Tarif zurück, und nichts wird automatisch gelöscht.
• Konto löschen: Sie können Ihr Konto in den Einstellungen löschen. Der Zugang endet sofort; das Konto wird 30 Tage später gelöscht, bis dahin können Sie die Löschung zurücknehmen. Die Löschung umfasst Sitzungen, Token, Mitgliedschaften, Annahmenachweise, Push-Abonnements, Feedback, SSO-Verknüpfungen, die Audit-Einträge ohne Workspace und die mit dem Konto verknüpften Support-Anfragen. Eine Zeile, die die Löschung eines Kontos festhält, bleibt ohne Namen bestehen.
• Workspace löschen: Der Owner kann einen Workspace löschen; er wird nach 30 Tagen gelöscht und kann bis dahin wiederhergestellt werden. Solange ein bezahltes Abonnement läuft, wird der Workspace nicht gelöscht: Der Antrag wird abgewiesen, und am Löschtag wird der Workspace übersprungen, bis das Abonnement gekündigt ist; bitte kündigen Sie es zuerst unter Abrechnung. Ein Projekt kann der Kunde archivieren; gelöscht wird ein Projekt auf Antrag durch uns.
• Was nach einer Löschung bleibt: Rechnungen und Zahlungsbenachrichtigungen (3.3); Support-Anfragen, die mit keinem Konto verknüpft sind, bis zum Ende ihrer Frist (2.4); Einträge „Workspace gelöscht“ und „Konto gelöscht“ ohne Inhalt; für 400 Tage der Eintrag im Löschjournal, der festhält, welche Löschung ausgeführt wurde (7.1); und, bis sie ablaufen, die Kopien in Sicherungen (7.1) und Protokollen (2.1).
• Ihr eigener Datendownload: In den Einstellungen („Meine Kontodaten“) können Sie als JSON-Datei herunterladen: Ihr Konto, Mitgliedschaften und Workspaces, Einladungen und Übertragungen, Feedback, Support-Anfragen, Annahmenachweise, Sitzungen und Anmeldungen, Rechnungen, SSO-Verknüpfungen, Push-Abonnements, Ihre Anrufeinstellungen und Anrufe, Ihre Bewertungen und Ihr Pseudonym, die von Ihnen erstellten Inhalte (Nachrichten, Versionen, Testfragen, Einträge der Wissensbasis), Aktivitäten und Lesespur-Einträge.

3.8 Lesespur (Tarif Agency)

In Workspaces mit dem Tarif Agency – mit aktivem Abonnement, auch in einer Testphase, oder aufgrund eines Einzelvertrags – hält der Dienst fest, welches Teammitglied welches Gespräch wann geöffnet hat. Der Owner und die Admins des Workspace sehen diese Lesespur für die Projekte, auf die sie Zugriff haben; Member und Viewer sehen sie nicht.

• Daten: das Konto des Teammitglieds, das Gespräch, der Zeitpunkt und der Weg – das Dashboard, die Live-Konsole auf der Website des Kunden oder die Detailansicht eines Gesprächs im KI-Protokoll. Keine IP-Adresse, kein Gerät, keine Dauer und kein Inhalt. Öffnet dieselbe Person dasselbe Gespräch auf demselben Weg innerhalb von zehn Minuten erneut, entsteht kein weiterer Eintrag. Nicht einzeln erfasst werden: die Vorschauzeilen der Gesprächsliste, Suchergebnisse im Dashboard, die Listenansicht des KI-Protokolls, Zugriffe über die API mit einem API-Schlüssel und Zugriffe durch uns. Exporte eines ganzen Projekts stehen im Audit-Protokoll (3.11) und werden neben der Lesespur angezeigt.
• Nur mit dem Tarif: Ohne den Tarif Agency entsteht kein Eintrag, und ein Workspace, der den Tarif bucht, sieht keine Einträge aus der Zeit davor.
• Rollen und Rechtsgrundlage: Die Lesespur dokumentiert, wie das Team des Kunden mit den Gesprächen des Kunden umgeht. Verantwortlicher dafür ist der Kunde; er bestimmt die Rechtsgrundlage, etwa sein berechtigtes Interesse an der Nachvollziehbarkeit von Zugriffen auf Gespräche (Art. 6 Abs. 1 lit. f DSGVO) oder eine Vorschrift des nationalen Beschäftigtendatenschutzes (Art. 88 DSGVO); wir verarbeiten die Einträge in seinem Auftrag nach dem Auftragsverarbeitungsvertrag. Der Kunde informiert seine Teammitglieder. Wo ein Betriebsrat oder eine andere Arbeitnehmervertretung besteht, können vor der Nutzung der Lesespur deren Rechte zu beachten sein; auch das liegt beim Kunden.
• Speicherdauer: Jeder Eintrag wird spätestens nach 731 Tagen gelöscht, früher mit dem Gespräch, dem Projekt oder dem Workspace. Wird das Konto eines Teammitglieds gelöscht, bleiben die Einträge ohne Bezug zu diesem Konto bestehen. Teammitglieder finden die Einträge über sich in ihrem eigenen Datendownload (Auskunft und Löschung).

3.9 Anmeldung, Sitzungen, Zwei-Faktor-Authentifizierung und SSO

• Sitzungen: Wenn Sie sich anmelden, speichern wir eine Sitzung mit Zeitpunkt, Ihrer vollständigen IP-Adresse und dem User-Agent sowie, sobald Sie darin einen zweiten Faktor bestätigt haben, dem Zeitpunkt dieser Bestätigung, damit Sie Ihre Geräte sehen und sich überall abmelden können. In der Datenbank steht seit dem 17. Oktober 2026 nur ein SHA-256-Hash der Sitzungskennung; das Cookie trägt den Zufallswert. Eine Sitzung endet nach 14 Tagen ohne Nutzung, mit „Angemeldet bleiben“ nach 60 Tagen. Abgelaufene Sitzungen und Token löscht ein täglicher Lauf spätestens einen Tag nach ihrem Ablauf.
• Letzte Anmeldung: Ihr Konto speichert Zeitpunkt und vollständige IP-Adresse Ihrer letzten erfolgreichen Anmeldung sowie die Zahl der Fehlversuche. Nach fünf Fehlversuchen wird das Konto für 15 Minuten gesperrt.
• Cookies im Dashboard: Das Dashboard verwendet Cookies, die für die Anmeldung und den Schutz vor seitenübergreifenden Anfragefälschungen unbedingt erforderlich sind (HttpOnly, SameSite=Lax, Secure über HTTPS). Sie enthalten Zufallswerte, keine persönlichen Angaben. Das Sicherheits-Cookie rc_csrf wird bereits auf der Website gesetzt (2.8). Eine Einwilligung ist dafür nicht erforderlich (Art. 5 Abs. 3 ePrivacy-Richtlinie, Ausnahme für unbedingt erforderliche Speicherung).
• Browser-Speicher im Dashboard: Das Dashboard hält Einstellungen im localStorage – Darstellung (rc_theme), Wünsche zu Ton und Benachrichtigungen, zugeklappte Bereiche, Ihre Agentenkennung und den Projektschlüssel in der Live-Konsole (rcd_-Schlüssel) und, nur wenn Sie es von Hand eingeben, ein Zugangstoken für die Live-Konsole (rcd_token) – und im sessionStorage den geöffneten Reiter und nicht gespeicherte Entwürfe des Editors. Diese Werte dienen nur den Dashboard-Funktionen, die Sie nutzen.
• Die Zwei-Faktor-Authentifizierung (TOTP) ist freiwillig. Schalten Sie sie ein, speichern wir das gemeinsame Geheimnis Ihrer Authenticator-App verschlüsselt (AES-256-GCM, mit einem Schlüssel aus unserer Serverkonfiguration und an Ihr Konto gebunden), die Wiederherstellungscodes als Hash und den zuletzt verwendeten Zeitschritt, damit ein Code nicht zweimal verwendet werden kann.
• Single Sign-on (OIDC, Tarif Agency und Einzelverträge): Der Owner eines Workspace kann den eigenen Identitätsanbieter des Workspace anbinden (etwa Microsoft Entra ID, Google Workspace, Okta, Keycloak); dieser Anbieter ist ein Dienst des Kunden. Melden Sie sich darüber an, geben wir ihm die eingegebene E-Mail-Adresse als Anmeldehinweis mit und erhalten von ihm Ihre E-Mail-Adresse, eine dauerhafte Kennung Ihres Kontos dort, ob die Adresse bestätigt ist, wie Sie sich angemeldet haben (etwa mit zweitem Faktor) und, wo der Kunde Gruppen auf Rollen abbildet (Okta), Ihre Gruppen; Ihren Namen und Ihre Sprache nur, wenn Ihr Konto über SSO angelegt wird. Wir speichern nur die Verknüpfung Ihres Kontos mit der Kennung beim Anbieter, mit den Zeitpunkten der ersten und der letzten Anmeldung; das Identitäts-Token, die Gruppen und die Angaben zur Anmeldeart werden nicht gespeichert. Ein Teammitglied, das sich erstmals über SSO anmeldet, wird automatisch als Konto mit der Rolle member angelegt, sofern der Owner das nicht abgeschaltet hat. Jede SSO-Anmeldung wird im Audit-Protokoll des Workspace mit Ihrer vollständigen IP-Adresse festgehalten; dem Kunden wird sie nicht angezeigt (3.11). Anmeldedaten eines laufenden SSO-Vorgangs werden nach einer Stunde gelöscht.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Sicherheit des Kontos).

3.10 Web-Push-Benachrichtigungen

Teammitglieder können ihrem Browser erlauben, Benachrichtigungen über neue Gespräche, neue Nachrichten, Übergaben und Rückrufwünsche anzuzeigen. Tun Sie das, speichern wir das Abonnement, das Ihr Browser uns übergibt (eine Adresse beim Push-Dienst des Browserherstellers und zwei Schlüssel), höchstens 10 je Konto. Eine Benachrichtigung enthält nur die Art des Ereignisses, den Namen des Projekts, die Kennungen von Projekt und Gespräch mit einem Link zum Öffnen und die Uhrzeit – nicht den Text von Nachrichten. Ihr Inhalt ist Ende-zu-Ende verschlüsselt, sodass nur Ihr Browser ihn lesen kann; der Push-Dienst (je nach Browser Google, Mozilla, Apple oder Microsoft) erfährt dennoch die Abonnement-Adresse, Zeitpunkt und Größe jeder Nachricht und die IP-Adresse unseres Servers (Abschnitt 5). Ein Abonnement wird gelöscht, wenn Sie die Benachrichtigungen abschalten, wenn es 60 Tage lang nicht gesehen wurde, wenn es zu keiner gültigen Sitzung mehr gehört oder nach zehn fehlgeschlagenen Zustellungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, auf Ihren Wunsch.

3.11 Audit-Protokoll, AutoQA und andere Auswertungen der Teamarbeit

• Audit-Protokoll: Wir protokollieren sicherheitsrelevante Aktionen mit Konto, Workspace, Objekt und vollständiger IP-Adresse – Anmeldungen (auch über SSO), Fehlversuche, Passwort-Zurücksetzungen, Einladungen, Rollenwechsel, Änderungen an Einstellungen, Schlüsseln und Integrationen, Exporte, Löschungen, jeden Aufruf eines Werkzeugs über unseren MCP-Server (ohne Inhalte) und die Aktionen, die wir in unserem Verwaltungsbereich vornehmen. Owner und Admins eines Workspace sehen die darin vorgenommenen Änderungen aus einer festen Liste von Aktionen und ohne IP-Adressen; Anmeldungen von Teammitgliedern werden ihnen nicht angezeigt, ausgenommen fehlgeschlagene SSO-Anmeldungen. Der Kunde wählt, wie lange die Einträge des Workspace aufbewahrt werden: 90, 180, 365 oder 730 Tage oder – Voreinstellung – bis zur Löschung des Workspace; die Frist gilt für alle Einträge des Workspace, auch für Anmeldungen. Wird das Konto eines Teammitglieds gelöscht, bleiben die Einträge des Workspace über dessen Aktionen mit der Kontokennung und der IP-Adresse bestehen. Einträge ohne Workspace werden nach 90 Tagen gelöscht, wenn sie An- und Abmeldungen, den zweiten Faktor, Passwörter, SSO oder Fehlversuche betreffen, und bei Einträgen, die zu keinem Konto gehören – etwa Fehlanmeldungen mit unbekannter E-Mail-Adresse und IP-Sperren –, alle; andere Einträge eines Kontos (etwa Registrierung, Bestätigung oder Änderung der E-Mail-Adresse) bleiben bis zur Löschung des Kontos. Einträge, die die Löschung eines Kontos oder Workspace festhalten, und die Aktionen in unserem Verwaltungsbereich werden ohne Zeitgrenze aufbewahrt.
• AutoQA (optional, bezahlte Tarife): Der Kunde kann abgeschlossene Gespräche automatisch nach festen Signalen und Wortlisten bewerten lassen. Das Ergebnis kann eine Auswertung je Agent enthalten; sie wird nur aus diesen Regeln berechnet, ist nur für Owner und Admins sichtbar und lässt sich für den ganzen Workspace abschalten, dann wird der Agent nicht einmal bei der Bewertung gespeichert. Schaltet der Kunde zusätzlich das KI-Urteil ein, bewertet unser Sprachmodell nur Gespräche, an denen kein Agent beteiligt war (Gespräche, die der Assistent allein geführt hat); es erhält deren Verlauf (Besucher und Assistent, höchstens 6.000 Zeichen) nach dem PII-Filter und mit ersetzten, aus dem Gespräch bekannten Namen. Ein KI-Urteil wird nie einem Agenten zugerechnet; kommt später ein Agent dazu, wird es verworfen. Bewertungen haben keine eigene Frist und werden mit dem Gespräch gelöscht; bei der Anonymisierung werden die Begründung der KI und der Bezug zum Agenten geleert. Weil die Auswertung je Agent die Arbeit von Beschäftigten beurteilt, ist der Kunde für die Rechtsgrundlage (etwa Art. 88 DSGVO und nationales Beschäftigtendatenschutzrecht), die Information seines Teams und etwaige Beteiligungsrechte einer Arbeitnehmervertretung verantwortlich; siehe auch die Informationen zur KI-Verordnung. Wir verarbeiten diese Daten im Auftrag des Kunden.
• Pseudonyme: Der Owner kann einstellen, dass Berichte, AutoQA und die Lesespur Agenten unter dauerhaften Pseudonymen („Agent A", „Agent B") statt mit Namen zeigen oder gar keine Auswertung je Agent zeigen; jede Person sieht ihren eigenen Namen weiterhin. Die Zuordnung der Pseudonyme wird je Workspace gespeichert und kann vom Owner zurückgenommen werden. Sie gilt nicht für das Dashboard der Gespräche, das Audit-Protokoll, die Nachrichten eines Gesprächs und den Workspace-Export.
• Statistiken, Serviceziele und Berichte zeigen dem Team des Kunden Zahlen je Gespräch und Agent; sie werden aus den Gesprächen berechnet und folgen deren Speicherdauer.

4. Teil C – Besucher der Websites von Kunden (Chat-Widget und verbundene Funktionen)

4.1 Rollen

Der Kunde bindet das reactive.chat-Widget auf seiner Website ein und entscheidet, ob, wie und zu welchem Zweck es eingesetzt wird. Der Kunde ist daher Verantwortlicher für Ihre Daten (Art. 4 Nr. 7 DSGVO). Wir verarbeiten die Daten im Auftrag des Kunden als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Über die konkreten Zwecke und Rechtsgrundlagen muss der Kunde in seiner eigenen Datenschutzerklärung informieren. Bitte richten Sie Anfragen zu Ihren Daten an den Kunden. Wenden Sie sich direkt an uns, leiten wir Ihre Anfrage an den Kunden weiter und unterstützen ihn – siehe Auskunft und Löschung.

Dasselbe gilt für Smart Answer (4.14), Messaging-Kanäle (4.6), Anrufe und Rückrufwünsche (4.17), Kampagnen (4.16) und das Kundenportal (4.18).

4.2 Im Widget verarbeitete Daten

Das Widget-Skript wird von cdn.reactive.chat geladen. Beim Laden und während Sie chatten, werden folgende Daten verarbeitet:

• Chat-Inhalte: Ihre Nachrichten, von Ihnen hochgeladene Anhänge (4.12), Zeitstempel, gewählte Schnellantworten, Antworten auf Formulare im Chat, CSAT-Bewertungen und Kommentare sowie die Angaben, die Sie in ein Formular vor dem Chat oder ein Offline-Formular eingeben (etwa Name, E-Mail-Adresse oder Telefonnummer).
• Technische Sitzungsdaten: eine Sitzungskennung und – nur mit Ihrer Einwilligung in die dauerhafte Speicherung (4.3) – eine Besucherkennung (Zufallskennungen); Adresse und Titel der Seite, auf der Sie sich befinden, und die zuletzt in dieser Sitzung besuchten Seiten; die verweisende Seite und Kampagnenparameter (UTM); Ihre Browsersprache; der User-Agent; die Bildschirm- bzw. Fenstergrößenklasse.
• IP-Adresse und Land: Ihre IP-Adresse wird verwendet, um die Verbindung aufzubauen und den Dienst zu schützen (4.9). Aus ihr wird das Land abgeleitet, mit einer Datenbank auf unserem eigenen Server (MaxMind GeoLite2; keine Abfrage verlässt unseren Server). Der Gesprächsdatensatz speichert das Land, nicht die IP-Adresse. Auch die Live-Funktionen, die von Ihrem Land abhängen – die Live-Besucherliste (4.5), Kampagnen (4.16) und die Einwilligungspflicht für den DSGVO-Raum (4.10) –, nutzen diese Datenbank: Beim Verbindungsaufbau leitet unser Echtzeitserver aus Ihrer IP-Adresse nur den Ländercode ab (keine Region, keine Stadt, keine Koordinaten), ohne die IP-Adresse dafür zu speichern; Landesangaben, die Ihr Browser in den Kopfzeilen der Anfrage mitsendet, werden nicht verwendet. Lässt sich kein Land ableiten, etwa bei privaten oder unbekannten Adressen, behandeln sie Sie als Besucher aus dem DSGVO-Raum. Wo die IP-Adresse an anderer Stelle gespeichert wird, steht das weiter unten in diesem Abschnitt (Einwilligungsnachweis) sowie in 2.1, 4.5, 4.9 und 4.14.
• Seitentext: Damit der KI-Assistent die Seite berücksichtigen kann, auf der Sie sich befinden, übermittelt das Widget den sichtbaren Text dieser Seite. Er wird je Adresse und Textfassung beim Projekt des Kunden gespeichert, nicht bei Ihnen oder Ihrem Gespräch, und dient als Teil der Wissensbasis des Kunden. Er hat keine eigene Löschfrist und wird mit dem Projekt gelöscht oder früher, wenn der Kunde den Pfad ausschließt. Lässt der Kunde den Chat zuerst um Einwilligung bitten (4.10), werden dieser Text und der Seitenkontext erst nach Ihrer Zustimmung gesendet.
• Optionale Merkmale: Wenn der Kunde sie übergibt, Ihr Name, Ihre E-Mail-Adresse, eine Nutzerkennung und eigene Felder. Ob das geschieht, entscheidet der Kunde.
• Optionale Identifizierung: Der Kunde kann eine Nutzerkennung zusammen mit einem HMAC-Hash übergeben, damit das Widget einem angemeldeten Besucher den Verlauf geräteübergreifend zeigen kann. Der Kunde kann außerdem Ihre E-Mail-Adresse zusammen mit der Nutzerkennung und einem Ablaufzeitpunkt signieren; nur eine so signierte E-Mail-Adresse wird dem KI-Assistenten als bekannt weitergegeben und für Terminbuchungen verwendet (4.4). Ein Agent des Kunden kann ein Gespräch außerdem einer Person in den eigenen Unterlagen des Kunden zuordnen; die Zuordnung und wer sie bestätigt hat, werden gespeichert.
• Besucherbeweis: Beim Start des Widgets vergibt unser Server ein Zufallstoken, das zusammen mit der Besucher- bzw. Sitzungskennung in Ihrem Browser gespeichert wird. Nur wer es besitzt, kann die Gespräche dieser Kennung fortsetzen, auflisten oder löschen. Auf dem Server wird es 400 Tage nach seiner letzten Verwendung aufbewahrt.
• Einwilligungsnachweis: Lässt der Kunde den Chat um Ihre Einwilligung bitten, halten wir jede Erteilung und jeden Widerruf fest – den Wortlaut, der Ihnen angezeigt wurde, die damit verlinkte Adresse der Datenschutzerklärung, die Sprache, den Zeitpunkt, Ihre vollständige IP-Adresse und den User-Agent sowie die Sitzungs-, Besucher- und Gesprächskennung. Art. 7 Abs. 1 DSGVO verlangt, dass der Verantwortliche die Einwilligung nachweisen kann; was mit diesem Nachweis geschieht, steht in 4.11.

4.3 Speicherung in Ihrem Browser

Das Widget setzt keine Cookies – weder eigene noch solche Dritter – und enthält keine Werbe- oder Tracking-Pixel. Es nutzt den Webspeicher Ihres Browsers für die Website, auf der es eingebunden ist. Welchen Speicher es nutzt, hängt vom Einwilligungssignal der Consent-Management-Plattform des Kunden ab (ein IAB-TCF-Signal für die Speicherung auf dem Gerät, das Signal von consented.eu oder ein Wert, den der Kunde übergibt):

• Ohne Einwilligung (auch wenn kein Signal eintrifft): Alles liegt im sessionStorage, den der Browser beim Schließen des Tabs leert. Es wird keine Besucherkennung erzeugt, nur eine Sitzungskennung. Eine Ausnahme: Nachdem Sie Ihre Chatdaten gelöscht haben, wird der Schlüssel rc_dnt in den localStorage geschrieben – ein einzelnes „nicht nachverfolgen“-Bit ohne jede Kennung, damit die Löschung nicht beim nächsten Seitenaufruf rückgängig gemacht wird. Er hat kein Ablaufdatum.
• Mit Einwilligung: Das Widget verlegt seine Einträge in den localStorage, damit Ihr Gespräch bei einem späteren Besuch fortgesetzt werden kann. Jeder Eintrag trägt eine eigene Frist, die beim Lesen geprüft wird: ein Tag für das laufende Gespräch und den offenen Reiter, ein Jahr für Einstellungen und die Angaben vor dem Chat. Widerrufen Sie die Einwilligung, verlegt das Widget seine rc_-Einträge zurück in den sessionStorage und entfernt sie aus dem localStorage; die mp_-Einträge bleiben (siehe unten).

Verwendete Schlüssel:

• rc_id – nur ohne Einwilligung: Sitzungskennung und Tab-Kennung. sessionStorage, bis der Tab geschlossen wird.
• rc_conv, rc_thr – laufendes Gespräch und Liste der Gesprächsfäden. Ein Tag.
• rc_tab, rc_marke:<Site-Schlüssel> – zuletzt geöffneter Reiter im Widget, Anzeigemarke der Website (Farbe, Name, Logo-Adresse; ohne Personenbezug). Ein Tag.
• rc_locale_wahl, rc_thema_wahl – im Widget gewählte Sprache und Darstellung. Ein Jahr.
• rc_prechat – Ihre Angaben im Formular vor dem Chat (etwa Name und E-Mail-Adresse), damit Sie sie nicht erneut eingeben müssen. Ein Jahr.
• rc_ds, rc_dsst – Ihre Antwort auf die eigene Einwilligungsfrage des Chats und die Einwilligungsstufe der Website. Ein Jahr.
• rc_erst – Zeitpunkt Ihres ersten Besuchs; nur mit Einwilligung. Ein Jahr.
• rc_vtok – Besucher- bzw. Sitzungskennung und Besucherbeweis (4.2). sessionStorage, mit Einwilligung localStorage ohne Ablauf; auf dem Server 400 Tage nach der letzten Verwendung.
• rc_outbox_* – Nachrichten, die Sie geschrieben haben, die aber noch nicht gesendet werden konnten, samt Text (höchstens 50 Nachrichten, 128 kB). 24 Stunden.
• rc_sig – Drossel für Verhaltenssignale und Skriptfehlermeldungen (4.19): je Signalart und Seitenpfad der Zeitpunkt der letzten Meldung, ein Zähler und Hash-Werte gemeldeter Fehler. Wie die übrigen Einträge; 30 Minuten.
• rc_seen, rc_http – technischer Zustand der Verbindung (Kennungen zuletzt empfangener Nachrichten, Zeitpunkt der letzten Ausweichverbindung), sessionStorage, bis der Tab geschlossen wird; rc_http wird 30 Minuten verwendet. rc_leader – welcher Tab die Verbindung hält; nur mit Einwilligung und nur in Browsern ohne Web Locks, im localStorage, entfernt, wenn dieser Tab die Verbindung beendet.
• rc_offen, rc_seiten, rc_draft_* – immer sessionStorage: ob das Fenster offen ist, ein Seitenzähler und der noch nicht gesendete Entwurf Ihrer Nachricht (Text). Bis der Tab geschlossen wird. rc_nav, rc_ruht, rc_cb – sessionStorage: die letzten Adressen innerhalb einer Single-Page-Anwendung (höchstens 50), eine Ruhezeit und ein begonnenes Rückrufformular. Erteilen Sie Ihre Einwilligung, während einer dieser Einträge (oder rc_seen, rc_http) besteht, wird er mit den übrigen Einträgen in den localStorage verlegt und bleibt dort ohne Ablauf, bis Sie die Einwilligung widerrufen oder Ihre Chatdaten löschen.
• rc_dnd – „bitte nicht stören“ für proaktive Nachrichten. Ohne Ablauf im localStorage oder bis der Tab geschlossen wird. Auf unserem Server wird dieselbe Wahl zu Ihrer Besucherkennung 30 Tage gehalten.
• rc_dnt – siehe oben.
• mp_session_data, mp_visitor_id (localStorage) und mp_tab_id (sessionStorage) – nur mit Einwilligung, gleich ob der Kunde MousePlayer nutzt: Mit Einwilligung hält das Widget unter diesen Namen seine Sitzungskennung (30 Minuten verwendet), seine Besucherkennung und seine Tab-Kennung, damit die Sitzungsaufzeichnung von MousePlayer, wo der Kunde sie nutzt, mit denselben Kennungen arbeitet (4.6). mp_visitor_id hat kein Ablaufdatum. Diese Einträge werden beim Widerruf der Einwilligung nicht entfernt; sie werden entfernt, wenn Sie Ihre Chatdaten löschen. Liegen in Ihrem Browser bereits Kennungen von MousePlayer, liest das Widget sie und verwendet sie als seine Kennungen, auch ohne Einwilligung.

Rechtsgrundlage der Speicherung im Browser ist Art. 5 Abs. 3 ePrivacy-Richtlinie in der Umsetzung durch das polnische Gesetz über elektronische Kommunikation und das Recht des Landes des Kunden: Der sessionStorage ist unbedingt erforderlich, um den von Ihnen gewünschten Chat zu betreiben; die dauerhafte Speicherung erfordert Ihre Einwilligung, die der Kunde einholt. Das rc_dnt-Bit speichert Ihre eigene Löschentscheidung und ist unbedingt erforderlich, um sie zu beachten.

4.4 KI-Assistent

Der Kunde kann einen KI-Assistenten (Standardname „Ada“) aktivieren, der Ihre Fragen beantwortet.

• Wo er läuft: auf unseren eigenen Inferenzknoten im selben lokalen Netz wie unser Server in Łódź (1.1). Arbeit erhalten nur Knoten, die in einem von uns geführten Register eingetragen sind; kann das Register nicht gelesen werden, erhält kein Knoten Arbeit. Für die Erzeugung von Antworten wird kein KI-Dienst eines Dritten (etwa OpenAI, Anthropic oder Google) eingesetzt, auch nicht als Ausweichlösung. Ihre Nachrichten verlassen unsere Infrastruktur zu diesem Zweck nicht.
• Modelle: unsere eigene KI, die wir selbst auf eigener Hardware betreiben (selbst gehostet). Ein Chatmodell (instruktionsoptimiert, in einer auf 4 Bit quantisierten Fassung) läuft auf zwei Knoten und ein weiteres Chatmodell (Instruct) auf einem dritten Knoten, der als Reserve dient; Texte werden mit einem eigenen, ebenfalls selbst gehosteten Einbettungsmodell (für die Suche) in Suchvektoren umgewandelt. Alle sind offen lizenzierte Modelle, die wir unverändert auf eigener Hardware betreiben. Im kostenlosen Tarif geht die Arbeit nur an den Reserveknoten. In bezahlten Tarifen geht sie an die beiden anderen Knoten; der Reserveknoten übernimmt sie nur, wenn keiner von beiden verfügbar ist oder keiner sie binnen 3 Sekunden angenommen hat.
• Kein Training: Wir trainieren und verfeinern kein Modell mit Ihren Daten oder den Daten des Kunden. Einzelne Anfragen können intern verwendet werden, um vor einer Aktualisierung Modellversionen zu vergleichen; sie werden nicht zum Training verwendet und nicht weitergegeben.
• Was das Modell erhält: Ihre Nachricht, den Gesprächsverlauf (die letzten Nachrichten und eine Zusammenfassung älterer), Abschnitte aus der Wissensbasis des Kunden, die Lage auf der Seite (Name der Website, Art der Seite, Uhrzeit und Sprache), den aus einem Anhang gewonnenen Text (4.12) und, bei Fragen zu Ihren Bestellungen, die vom Kunden freigegebenen Bestelldaten (4.13).
• Wissensbasis: Der Assistent antwortet aus einer Wissensbasis, die der Kunde aufbaut: einem Crawl der eigenen Website des Kunden (unter Beachtung der robots.txt), Dokumenten, die der Kunde hochlädt (PDF, DOCX, Text, Markdown, CSV, HTML; aufbewahrt, bis der Kunde sie löscht), Produkt-Feeds, Inhalten aus verbundenen Quellen wie Google Drive und dem in 4.2 beschriebenen Seitentext. Für Google Drive meldet sich der Kunde mit seinem eigenen Google-Konto an und gewährt unserer OAuth-Anwendung Lesezugriff auf die Ordner und Dateien, die er auswählt; wir speichern das Zugriffs-Token verschlüsselt und die E-Mail-Adresse des verbundenen Google-Kontos, lesen die ausgewählten Dateien etwa alle sechs Stunden und behalten ihren Text in der Wissensbasis, nicht die Originaldateien; das Trennen von Drive entfernt dessen Inhalte aus der Wissensbasis. Der Kunde entscheidet, was in die Wissensbasis gelangt, und ist für deren Inhalt verantwortlich. Enthält die Wissensbasis nichts Passendes, kann der Assistent allgemeine Fragen aus dem Allgemeinwissen des Modells beantworten, oder er übergibt das Gespräch an einen Menschen.
• Prüfung: Bevor eine Antwort, die sich auf Quellen stützt, angezeigt wird, prüft unser Server sie nach festen Regeln (etwa Wochentage, Zahlen und Wörter wie „kostenlos“) gegen diese Quellen; dafür wird kein weiteres Modell verwendet. Ein internes KI-Protokoll hält je Antwort die verwendeten Quellen, das Prüfergebnis, Modell und Knoten sowie Zeiten fest – keine Textkopie. Der Kunde kann es einsehen.
• Aktionen: In bezahlten Tarifen kann der Assistent, wenn der Kunde es einrichtet, einen Bestellstatus nachsehen, freie Termine zeigen und einen Termin über das Cal.com-Konto des Kunden buchen, ein Abonnement im Stripe-Konto des Kunden nachsehen (über die bestätigte Nutzerkennung, nie über die E-Mail-Adresse) oder eine Schnittstelle des Kunden aufrufen. Für eine Buchung erhält Cal.com den Zeitpunkt, die Terminart, Ihren Namen, Ihre Zeitzone und Ihre E-Mail-Adresse – nur eine Adresse, die die Website des Kunden mit ihrer Signatur bestätigt hat (4.2), nie eine in den Chat getippte. Eine Schnittstelle des Kunden erhält nur die Werte, die ihr Formular festlegt, und nur bei bestätigter Identität Ihre Nutzerkennung. Eine Aktion, die etwas verändert, wird erst ausgeführt, nachdem Sie bei einer Bestätigung genau dieser Aktion auf „Ja" geklickt haben (gültig 10 Minuten). Das Ergebnis erscheint als Nachricht im Gespräch; das Modell erhält nur die Felder, die der Kunde freigegeben hat. Für diese Aktionen und für Bestelldaten wird der dem Modell übergebene Text aus unseren Aufzeichnungen entfernt, sobald die Antwort geliefert ist. Cal.com, Stripe und die Schnittstellen des Kunden sind Dienste des Kunden, nicht unsere Unterauftragsverarbeiter.
• Proaktive Nachrichten: Nutzt der Kunde sie, kann das Modell einen kurzen Eröffnungssatz schreiben, der zur Seite passt, auf der Sie sich befinden; dafür erhält es den Titel und bis zu 1.200 Zeichen des Seitentexts, den Bot-Namen und den Ton des Teams, nicht Ihre Nachrichten.
• Routing-Einordnung: Schaltet der Kunde sie ein (bezahlte Tarife), liest das Modell Ihre erste Nachricht einmal – unkenntlich gemacht wie bei den Agentenwerkzeugen (4.15) und auf 1.500 Zeichen gekürzt – und schlägt Themenetiketten aus der Liste des Kunden, eine Dringlichkeitsmarke und einen Stimmungswert vor (positiv, neutral, negativ, verärgert). Unabhängig davon schätzen Wortlisten auf Deutsch, Englisch und Polnisch die Stimmung Ihrer Nachrichten; es zählt der ungünstigere der beiden Werte. Etiketten und Stimmung nutzen die Routing-Regeln des Kunden, um das Gespräch einem Agenten zuzuweisen; über die Zuweisung werden Sie nicht informiert. Sie werden in der Arbeitskopie des Gesprächs gehalten (4.11), nicht als Text im KI-Protokoll.
• Bewerbungen: Der Assistent nimmt keine Bewerbungen oder Lebensläufe an und bewertet sie nicht. Erkennt der Chat eine Bewerbung – in Ihrer Nachricht, in einer angehängten Datei oder in deren Namen –, erhalten Sie eine feste Antwort mit dem Hinweis auf den Bewerbungsweg des Kunden, das Gespräch geht an einen Menschen, und für den Rest des Gesprächs wird kein Sprachmodell mehr eingesetzt, außer um Nachrichten für die Agenten zu übersetzen.
• Geführte Abläufe: Hat der Kunde einen geführten Ablauf gebaut, werden Ihre Antworten auf dessen Fragen (etwa Name, E-Mail-Adresse oder Telefonnummer) als gewöhnliche Nachrichten des Gesprächs gespeichert und dem Assistenten als Kontext mitgegeben, höchstens 200 Zeichen je Antwort.
• Kennzeichnung: Das Widget zeigt vor der ersten Antwort des Assistenten einen Hinweis und kennzeichnet jede Antwort mit „KI“, damit Sie erkennen können, dass Sie mit einem KI-System sprechen (Art. 50 der KI-Verordnung, Verordnung (EU) 2024/1689). Der Assistent ist angewiesen, auf Nachfrage zu sagen, dass er eine KI ist. Der Kunde darf diese Kennzeichnung nicht entfernen oder verdecken. Der Kunde entscheidet über den Namen des Assistenten und ob er überhaupt eingesetzt wird, und kann ihn jederzeit abschalten; auch wir können ihn für ein Projekt oder insgesamt abschalten.
• Sobald ein Agent das Gespräch übernimmt, antwortet der Assistent nicht mehr.
• Der Assistent ist kein Hochrisiko-KI-System. Er trifft Ihnen gegenüber keine Entscheidungen mit Rechtswirkung. Einzelheiten: Informationen zur KI-Verordnung.
• Wir wählen, konfigurieren und betreiben die Modelle. Wir übernehmen keine Gewähr dafür, dass KI-Antworten zutreffend, vollständig oder für einen Zweck geeignet sind.
• Aufzeichnungen: Die Arbeitsaufträge an das Modell enthalten den dem Modell übergebenen Text einschließlich Ihrer Nachricht. Aufträge, die zu einem Gespräch gehören, bleiben bei ihm und werden mit ihm gelöscht; hat der Kunde die Löschung auf Anonymisierung gestellt, wird ihr Text geleert (4.11). Aufträge ohne Gespräch werden 30 Tage nach ihrer Erteilung gelöscht, sobald sie abgeschlossen oder abgewiesen sind.

Mehrere Funktionen verwenden bewusst kein Sprachmodell: die Erkennung von Missbrauch und von Löschwünschen (4.11), die feste Antwort auf Fragen danach, was gespeichert wird, die Frustrationssignale (4.19), die Einrichtungsvorschläge im Dashboard und der regelbasierte Teil von AutoQA.

4.5 Menschliche Agenten

Die Agenten des Kunden lesen und beantworten Gespräche in einem Web-Dashboard. Der Zugriff ist rollenbasiert (owner, admin, member, viewer) und auf den eigenen Workspace des Kunden beschränkt sowie, wo der Kunde es einschränkt, auf einzelne Projekte. Agenten können Gespräche zuweisen, verschlagworten und schließen, vorbereitete Antworten nutzen, Schnellantworten, Karten, Formulare und Anhänge senden, um eine CSAT-Bewertung bitten, interne Notizen hinterlassen, Gespräche weitergeben und eine Live-Liste der gerade auf der Website befindlichen Besucher sehen und diese zum Chat einladen. Gespräche können nach Regeln und Servicezielen automatisch verteilt und zugewiesen werden. Proaktive Nachrichten und Produkttouren richtet der Kunde ein.

Live-Besucherliste: Sie entsteht nur aus Daten, die Ihre Sitzung ohnehin trägt; für sie wird nichts erhoben. Ohne Einwilligung zeigt sie nur eine zufällige Kennung, Zeiten, ob ein Gespräch läuft und dass die Einwilligung fehlt. Die volle Zeile – Seite ohne Parameter, verweisender Host, Kampagnenparameter, Geräte-, Browser- und Betriebssystemfamilie, Land (aus Ihrer IP-Adresse abgeleitet, 4.2), Sprache, ob Sie schon einmal da waren – erscheint nur, wo das Projekt des Kunden keine Einwilligung verlangt oder Sie eingewilligt haben; für Besucher aus dem DSGVO-Raum und überall dort, wo das Land unbekannt ist, nur mit Ihrer Einwilligung (4.10). Die Liste zeigt nie Ihre IP-Adresse, die rohe Browserkennung, Klickkennungen von Werbenetzen oder Ihren Namen und Ihre E-Mail-Adresse. Sie besteht nur in unserem Zwischenspeicher, wird höchstens alle 90 Sekunden erneuert – tatsächlich alle 30 Sekunden – und verfällt 90 Sekunden nach der letzten Erneuerung; Sie verschwinden daraus 45 Sekunden nach Verlassen der Website und nach 30 Minuten ohne Aktivität. Ein Agent kann Sie aus der Liste zum Chat einladen (höchstens einmal alle 2 Minuten je Besucher), nach derselben Einwilligungsregel. Die Systeme des Kunden können dieselbe Liste über unsere API lesen (4.6).

Ein Agent kann einen Besucher für bis zu 365 Tage sperren (24 Stunden, wenn nichts anderes eingestellt ist). Die Sperre gilt für die Besucherkennung auf dieser Website und für die IP-Adresse der Verbindung; verbindet sich der Besucher direkt mit unserem Server, ist eine gesperrte IP-Adresse für den ganzen Dienst gesperrt, nicht nur für die Website dieses Kunden. Agenten können außerdem ein Sprachmodell nutzen, um Nachrichten zu übersetzen und Antwortentwürfe und Zusammenfassungen zu erstellen (4.15).

4.6 Vom Kunden aktivierte Kanäle, Integrationen und Sitzungsaufzeichnung

Der Kunde kann weitere Kanäle und Integrationen anbinden. Tut er das, werden Gesprächsdaten auf seine Weisung mit diesen Anbietern ausgetauscht. Diese Anbieter sind Empfänger oder Auftragsverarbeiter des Kunden, nicht unsere Unterauftragsverarbeiter.

• WhatsApp, Facebook Messenger und Instagram laufen direkt über die Schnittstellen der Meta Platforms Ireland Ltd. (Graph API) mit dem eigenen Meta-Konto des Kunden; wir verarbeiten Ihre Telefonnummer bzw. Profilkennung, Ihren Anzeigenamen und die Nachrichten. Telegram läuft über den eigenen Telegram-Bot des Kunden; wir erhalten Ihre Chat-Kennung, Ihren Vor- und Nachnamen bzw. Nutzernamen sowie die Texte, Fotos und Dokumente, die Sie senden. Nachrichten in Telegram-Gruppen und von anderen Bots werden verworfen. Telegram wird von außerhalb des EWR betrieben (Telegram FZ-LLC, Dubai). SMS laufen über das eigene Twilio-Konto des Kunden; der Inhalt von Bildnachrichten (MMS) wird nicht abgeholt. E-Mail läuft über das eigene Postfach des Kunden: Wir holen neue E-Mails aus dessen Posteingang (IMAP) ab und markieren sie als gelesen, und Antworten gehen über den eigenen Mailserver des Kunden hinaus; hat der Kunde keinen eingetragen, gehen Antworten über unseren E-Mail-Dienst von unserer Absenderadresse im Namen „[Projekt] via reactive.chat" mit der Adresse des Kunden als Antwortadresse hinaus, und unser E-Mail-Anbieter verarbeitet dann Ihre E-Mail-Adresse, Ihren Namen, den Betreff und den Text (3.4, 5.1). Je E-Mail-Faden speichern wir Ihre Adresse und Ihren Namen, den Betreff und die Nachrichtenverweise sowie die Texte als Nachrichten des Gesprächs, nicht die ursprüngliche E-Mail. Abwesenheitsnotizen, Nachrichten von Verteilerlisten, Unzustellbarkeitsmeldungen, Nachrichten von No-Reply-Adressen und als Spam markierte Nachrichten werden ignoriert und nicht gespeichert; je Absender und Stunde werden höchstens 20 E-Mails angenommen.
• Was wir für Kanäle speichern: die Verknüpfung Ihrer Kanalidentität (Telefonnummer, Chat-Kennung, E-Mail-Adresse) mit dem Gespräch und die E-Mail-Fäden. Eine eigene Frist gibt es nicht; sie werden mit dem Projekt gelöscht und wenn alle Gespräche dieser Kanalsitzung gelöscht werden – auf Ihren Wunsch oder nach der Aufbewahrungsfrist des Kunden. Die Nachrichtennummern der Kanäle, die wir zum Erkennen von Dubletten aufbewahren und die Ihre Telefonnummer enthalten können, werden nach 7 Tagen gelöscht. Über einen Kanal eingehende Dateien liegen höchstens 24 Stunden in einem Zwischenspeicher.
• Ticket- und Helpdesk-Werkzeuge (Zendesk, Freshdesk, Jira, Linear) erhalten Ihren Namen, Ihre E-Mail-Adresse und den Gesprächsverlauf, wenn ein Agent ein Ticket anlegt. Team-Chat-Werkzeuge (Slack, Microsoft Teams, Discord, Telegram, E-Mail) erhalten Benachrichtigungen mit einem Auszug von bis zu 400 Zeichen, einem Namen und dem Agenten. CRM-, Shop- und Zahlungswerkzeuge des Kunden (HubSpot, Pipedrive, Shopify, Shopware, WooCommerce, WordPress, Stripe) erhalten Ihre E-Mail-Adresse als Suchschlüssel, um dem Agenten eine Kontextkarte zu zeigen. Analyse- und Fehlerwerkzeuge (Google Analytics 4, Plausible, Matomo, Sentry) erhalten die Seitenadresse und, bei Sentry, einen Sitzungsbezug. Webhook-artige Integrationen (Webhooks, Zapier, Make, n8n) erhalten die Ereignisse „Gespräch angelegt“, „Nachricht angelegt“, „Übergabe angefordert“ und „Bewertung abgegeben“. GitHub erhält Fehlermeldungen (4.19).
• Bindet der Kunde einen eigenen KI-Server an, gehen Nachrichten für KI-Funktionen an diesen Server und das dort gewählte Modell; dieser Server ist Auftragsverarbeiter des Kunden.
• Der Kunde kann außerdem die Sitzungsaufzeichnung von MousePlayer nutzen, einem eigenständigen Dienst desselben Betreibers mit eigenen Bedingungen. Das Widget teilt dann die MousePlayer-Kennungen (4.3), und nur mit Einwilligung.
• Über unsere Schnittstelle (API) und unseren MCP-Server können die Systeme des Kunden und die KI-Werkzeuge seiner Wahl mit einem vom Kunden erzeugten Schlüssel Gespräche, Besucher, Ereignisse und Wissensbasis-Suchen lesen und schreiben. Über den MCP-Server werden ohne die zusätzliche Berechtigung für Besucherdaten Namen auf Initialen gekürzt, E-Mail-Adressen maskiert, Telefonnummern auf die letzten zwei Ziffern verkürzt und Texte durch den PII-Filter geführt (4.7); Ihre IP-Adresse wird nie weitergegeben. Ereignisse, die die eigenen Systeme des Kunden an uns senden, gibt die Schnittstelle so zurück, wie sie gesendet wurden (höchstens 8 KiB je Ereignis). Daten, die der Kunde so abruft, befinden sich in seinen eigenen Systemen; wir senden sie niemandem sonst.

4.7 PII-Bereinigung

Bevor eine Nachricht eines Besuchers oder Agenten gespeichert wird, ersetzt unser Server automatisch Muster, die wie E-Mail-Adressen, Kartennummern (geprüft mit dem Luhn-Verfahren), IBANs (geprüft mit den ISO-Prüfziffern), Telefonnummern, Steuerkennungen und Geheimnisse wie Zugangsschlüssel aussehen, durch einen Platzhalter; die Ersetzungen werden gezählt und in der Nachricht markiert. Zwei Ausnahmen: Nachrichten, die ein System des Kunden über unsere API schreibt, und Antworten auf Formulare im Chat werden so gespeichert, wie sie gesendet wurden. Dies ist ein Schutzfilter, keine Garantie; bitte geben Sie in einem Chat keine Zahlungsdaten ein.

4.8 Inhaltsfilter

Wir sind nicht Partei des Gesprächs und prüfen Nachrichten nicht redaktionell. Wir setzen nur automatische Filter ein: PII-Bereinigung, Spam-Erkennung und Missbrauchserkennung (einschließlich der Erkennung von Versuchen, den KI-Assistenten für fremde Aufgaben zu missbrauchen), alle nach festen Regeln. Rechtswidrige Inhalte können an contact@lukaswojcik.com gemeldet werden; siehe auch Missbrauchs- und Betrugsbekämpfung.

4.9 Missbrauchsschutz

Der Echtzeitserver schützt sich und die Kunden vor Hämmern, Fluten und Spam. Er zählt Anfragen je Verbindung und je IP-Adresse und begrenzt Größe und Zahl der Nachrichten sowie die Nutzung des KI-Assistenten je Website und je Adresse. Werden Grenzen überschritten, kann er eine Verbindung, eine Besucherkennung oder eine IP-Adresse automatisch und vorübergehend sperren (24 Stunden, wenn nichts anderes eingestellt ist); Sperren liegen für ihre Dauer im Arbeitsspeicher-Datenspeicher unseres Servers. Manuelle Sperren führen wir und die Kunden (4.5). Die letzten 500 Sicherheitsereignisse dieser Wache werden mit IP-Adresse in einer rollierenden Liste ohne Zeitgrenze aufbewahrt; ältere Ereignisse werden überschrieben. Jede Verbindung kann nur Gespräche ihrer eigenen Website ansprechen (Mandantentrennung über den Site Key). Innerhalb der Verarbeitung des Kunden ist dies eine Sicherheitsmaßnahme nach Art. 32 DSGVO; soweit wir unseren eigenen Dienst schützen, ist unsere Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

Für den Hinweis „Powered by reactive.chat“ im kostenlosen Tarif zählen wir Einblendungen und Klicks; die IP-Adresse wird dabei nur als gekürzter, einwegverschlüsselter Wert für zehn Minuten verwendet, um Doppelzählungen zu vermeiden, und die Zähler werden 40 Tage aufbewahrt.

4.10 Rechtsgrundlagen

Die Rechtsgrundlagen bestimmt der Kunde. Typischerweise sind das Art. 6 Abs. 1 lit. b DSGVO (Beantwortung einer Anfrage vor oder während eines Vertrags), Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Kunden, einen Chat anzubieten und vor Missbrauch zu schützen) und Ihre Einwilligung in die dauerhafte Speicherung im Browser. Der Kunde kann den Chat außerdem so einstellen, dass er Sie um Ihre Einwilligung bittet, bevor Sie schreiben können; tut er das, ist Rechtsgrundlage für die Verarbeitung Ihrer Nachrichten Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), der Chat zeigt Ihnen den Wortlaut, dem Sie zustimmen, und vor Ihrer Zustimmung wird kein Gespräch angelegt und kein Seitentext gesendet. Diese Einwilligung ist eine andere als die Einwilligung in die dauerhafte Speicherung im Browser nach 4.3, die nur die Speicherung auf Ihrem Gerät betrifft. Maßgeblich ist die eigene Datenschutzerklärung des Kunden.

Für Besucher aus dem DSGVO-Raum – den Mitgliedstaaten der EU, den EWR-Staaten Island, Liechtenstein und Norwegen, dem Vereinigten Königreich und der Schweiz – und immer dann, wenn sich das Land nicht bestimmen lässt, laufen drei Funktionen nur mit Ihrer Einwilligung, gleich welche Einwilligungsstufe der Kunde gewählt hat: Kampagnen im Widget (4.16), die volle Zeile über Sie in der Live-Besucherliste und Einladungen zum Chat aus dieser Liste (4.5). Das Land wird aus Ihrer IP-Adresse mit der in 4.2 beschriebenen Länderdatenbank abgeleitet (nur der Ländercode); Landesangaben Ihres Browsers werden nicht verwendet. Lässt sich kein Land ableiten – etwa bei privaten oder unbekannten Adressen –, ist eine Einwilligung nötig.

4.11 Speicherdauer

Keine automatische Frist, solange der Kunde keine setzt. Gespräche werden aufbewahrt, bis sie gelöscht werden. Unser Dienst löscht sie ab Werk nicht nach einer festen Frist: Der Kunde legt als Verantwortlicher je Projekt fest, nach wie vielen Tagen ohne Aktivität Gespräche gelöscht werden (von 0 = keine Grenze bis 3.650 Tage). Diese Zahl kann durch eine von uns gesetzte Obergrenze und durch eine in einem Einzelvertrag vereinbarte Grenze gedeckelt sein; es gilt die niedrigste. Ein täglicher Lauf entfernt Gespräche, die länger inaktiv waren. Ist nirgends eine Zahl gesetzt – das ist die Voreinstellung –, gilt keine Frist, und das Gespräch bleibt bestehen, solange das Projekt des Kunden besteht. Das Ende eines bezahlten Abonnements löscht nichts (3.7).

Folgendes beendet ein Gespräch:

• Die vom Kunden gesetzte Frist wie oben beschrieben.
• Ihre eigene Löschung im Chatfenster. Lässt der Kunde diesen Knopf eingeschaltet, können Sie das Gespräch, seinen Verlauf und die Kennungen Ihres Besuchs selbst löschen; bittet der Kunde Sie zusätzlich um Einwilligung, können Sie sie dort widerrufen, was dieselbe Wirkung hat. Die Löschung wird innerhalb weniger Minuten ausgeführt. Praktische Einzelheiten: Auskunft und Löschung.
• Ein Löschwunsch in Worten. Schreiben Sie im Chat, dass Ihre Daten gelöscht werden sollen – „bitte vergiss mich“, „lösche alle meine Daten“ und ähnliche Formulierungen auf Deutsch, Englisch oder Polnisch –, erkennt unser Server diese Formulierung und antwortet Ihnen. Die Erkennung vergleicht Ihre Nachricht mit einer festen Liste von Wendungen; sie nutzt nicht den KI-Assistenten und funktioniert daher auch, wo der Kunde den Assistenten abgeschaltet hat. Der Kunde entscheidet je Projekt, ob ein solcher Wunsch überhaupt erkannt wird und ob der Chat vor dem Löschen um Bestätigung bittet – damit beginnt jedes Projekt – oder sofort löscht. Vor dem Löschen sagt der Chat Ihnen, was er hier löschen kann und dass alles, was der Kunde anderswo über Sie hat, beim Kunden verlangt werden muss. Gelöscht wird dasselbe wie im vorigen Punkt; es gibt nur einen Löschweg.
• Die Löschung des Projekts oder Workspace des Kunden (3.7), bei einem Workspace mit einer Wartezeit von 30 Tagen.

Eine Funktion im Dashboard, mit der Agenten einzelne Gespräche löschen, gibt es derzeit nicht. Bitten Sie den Kunden, Ihr Gespräch zu löschen, kann er die oben genannten Wege nutzen oder uns um Hilfe bitten.

Der Kunde wählt, was Löschen bedeutet: Entweder wird das Gespräch gelöscht, oder es wird anonymisiert – die Nachrichtentexte werden durch einen Platzhalter ersetzt, Übersetzungen und Formularantworten entfernt, das Gespräch verliert seine Besucherkennung und den CSAT-Kommentar, die Sitzung verliert User-Agent, Land und Herkunftsdaten, und die Aufzeichnungen der KI-Verarbeitung des Gesprächs werden geleert. Die zufälligen Sitzungs- und Besucherkennungen selbst bleiben, damit sich Besucherzahlen nicht rückwirkend ändern; danach steht neben ihnen nichts mehr, was eine Person beschreibt, und das Gespräch bleibt nur als anonymer Eintrag (Zeit, Kanal, Status, Bewertung) in der Statistik des Kunden. Eine Frage, die der Kunde in seine Wissensbasis übernommen hat, bleibt dort als Inhalt des Kunden. Anhänge werden in beiden Fällen gelöscht (4.12).

Eine Löschung Ihrer Chatdaten entfernt auch die für Kampagnen über Sie geführten Zähler (4.16) und, bei einem WhatsApp-Gespräch, den Kampagnenkontakt mit seinen Sendungen, ausgenommen einen Sperrvermerk nach einer Abmeldung (4.16). Bei der Anonymisierung verlieren AutoQA-Bewertungen die Begründung der KI und den Bezug zum Agenten (3.11).

Unser Echtzeitserver hält außerdem eine Arbeitskopie jedes aktiven Gesprächs in seinem Arbeitsspeicher-Datenspeicher: die letzten Nachrichten (höchstens 200), den Gesprächskopf mit einem etwa von Ihnen angegebenen Namen, einer E-Mail-Adresse oder Telefonnummer und die besuchten Seiten; sie läuft 30 Tage nach der letzten Aktivität ab und wird mit dem Gespräch geleert. Der Seitenkontext einer Sitzung läuft nach 30 Minuten ohne Aktivität ab.

Der Einwilligungsnachweis nach 4.2 hat keine automatische Löschfrist. Löschen Sie Ihre Chatdaten (im Fenster oder in Worten) oder werden die zugehörigen Gespräche nach der Aufbewahrungsfrist des Kunden gelöscht, wird er nicht gelöscht, sondern entpersonalisiert: Sitzungs-, Besucher- und Gesprächskennung, IP-Adresse und User-Agent werden geleert, und die Zeile wird als gelöscht markiert. Was bleibt, hat keinen Bezug mehr zu Ihnen und belegt nur, dass an einem bestimmten Tag einem bestimmten Wortlaut zugestimmt und die Zustimmung widerrufen wurde – die Rechenschaft, die Art. 5 Abs. 2 DSGVO vom Verantwortlichen verlangt. Wird ein Projekt oder Workspace des Kunden gelöscht, werden diese Nachweise mit ihm gelöscht.

Kopien in Sicherungen werden bis zu 364 Tage aufbewahrt (7.1).

4.12 Datei-Anhänge

Im Chat können Sie Dateien anhängen: Bilder (PNG, JPEG, WebP, HEIC/HEIF, SVG), PDF-Dokumente sowie Text- und CSV-Dateien. Wir verarbeiten die Datei selbst, ihren Dateinamen, Typ und ihre Größe, den Zeitpunkt des Hochladens und eine Prüfsumme (SHA-256); bei PDF-, Text- und CSV-Dateien außerdem einen daraus gewonnenen Textauszug.

• Zweck: Die Datei ist Teil des Gesprächs. Die Agenten des Kunden sehen sie im Dashboard, und wo der KI-Assistent Ihre Nachricht beantwortet, kann er den Inhalt der Datei berücksichtigen.
• In Ihrem Browser: Vor dem Hochladen verkleinert das Widget Bilder, deren längste Seite 2.560 Pixel übersteigt, und kodiert Fotos über 1,5 MB neu, sofern Ihr Browser sie verarbeiten kann, und speichert sie neu als JPEG. Eingebettete Metadaten wie EXIF-Daten (etwa der Aufnahmeort eines Fotos) werden dabei nicht übernommen. Kleinere Bilder werden in der Regel unverändert hochgeladen und können solche Metadaten enthalten; SVG-Grafiken werden immer unverändert hochgeladen.
• Auf dem Server: Der Server prüft, ob der Inhalt einer Datei zu ihrem angegebenen Typ passt, und weist die Datei sonst zurück. Er weist auch SVG-Grafiken zurück, die Skripte, eingebettete fremde Inhalte oder Verweise auf fremde Adressen enthalten. Dateien werden nicht auf Viren geprüft. Eine einzelne Datei darf im kostenlosen Tarif höchstens 2 MB und in bezahlten Tarifen höchstens 15 MB groß sein, alle Anhänge eines Workspace zusammen höchstens 1 GB bzw. 50 GB. Einzelverträge können andere Grenzen vorsehen. Für Bilder im Format HEIC/HEIF, die viele Browser nicht anzeigen können, und für SVG-Grafiken erzeugt der Server eine JPEG-Vorschau; sie wird mit der Datei gespeichert und mit ihr gelöscht.
• Speicherung und Zugriff: Die Dateien liegen auf unserem eigenen Server in Łódź, in einem eigenen Verzeichnis je Workspace und Gespräch, und sind in der Sicherung enthalten (7.1). Abrufen lassen sie sich nur über eine signierte Adresse, die nicht zu erraten ist. Diese Adresse erscheint im Chat, im Dashboard des Kunden und im Datenexport des Kunden; sie läuft nicht ab, daher kann jeder, der sie hat, die Datei abrufen, solange sie gespeichert ist.
• KI-Assistent: Aus PDF-, Text- und CSV-Dateien gewinnt unser Server den Text (bei PDF aus höchstens den ersten 20 Seiten) und speichert ihn neben der Datei. Wo der KI-Assistent (4.4) Ihre Nachricht beantwortet, erhält er je Nachricht höchstens 2.500 Zeichen dieser Auszüge, nach derselben PII-Bereinigung wie bei Nachrichten (4.7). Derselbe bereinigte Auszug ergänzt auch die Suche in der Wissensbasis des Kunden (4.4) für Ihre Nachricht, damit der Assistent erkennen kann, ob und wie Ihre Datei mit der Website des Kunden zusammenhängt; dafür wird er auf denselben Inferenzknoten wie Ihre Nachricht eingebettet (4.4) und erreicht nie einen KI-Dienst eines Dritten. Von einem Bild erhält der Assistent eine auf höchstens 768 Pixel verkleinerte, neu als JPEG kodierte Fassung ohne eingebettete Metadaten (bei HEIC/HEIF und SVG die JPEG-Vorschau): das erste Bild Ihrer letzten Nachricht mit einem Bild, bei Nachfragen bis zu 10 Minuten lang, höchstens ein Bild je Antwort. Diese Fassung entsteht erst, wenn der Assistent antwortet, geht nur an unsere eigenen Inferenzknoten (4.4) und nie an einen KI-Dienst eines Dritten, und sie wird nicht gespeichert; wir behalten nur einen Verweis auf die Datei. Was im Bild zu sehen oder zu lesen ist, wird nicht bereinigt (4.7). Außerdem liest unser Server den Text in Bildern per Texterkennung – auf unserem eigenen Server, ohne Dritte – und speichert das Ergebnis neben der Datei. Es geht an kein Sprachmodell: Nur die darin erkannten Ziffernfolgen erhält derselbe eigene Inferenzknoten, der das Bild erhält, damit er prüfen kann, ob eine Zahl in der Antwort belegt ist. Außerdem nutzt unser Server den erkannten Text für die Wortsuche in der Wissensbasis (4.4), nur auf unserem eigenen Server: Bis zu vier Wörter daraus, die auch in der Wissensbasis des Kunden vorkommen (keine Zahlen), ergänzen die Wortsuche für Ihre Nachricht; zeigt das Bild den Titel oder eine Passage einer Seite der Website des Kunden, erhält der Assistent diese Seite als Quelle. Weder der erkannte Text noch diese Wörter gehen an ein Sprachmodell oder einen Dritten, und sie werden nicht zur Einbettung weitergegeben. Das Ergebnis wird nach 24 bis 48 Stunden gelöscht, spätestens mit der Datei, und ist nicht Teil des Datenexports.
• Speicherdauer: Anhänge werden im kostenlosen Tarif 7 Tage und in bezahlten Tarifen 90 Tage nach dem Hochladen gelöscht; bei einem Einzelvertrag nach der dort vereinbarten Frist. Es gilt der aktuelle Tarif des Kunden, und ein täglicher Lauf entfernt, was älter ist. Früher werden Anhänge mit dem Gespräch gelöscht – auch wenn es anonymisiert wird (4.11) – sowie mit dem Projekt oder Workspace des Kunden. Textauszug und Angaben zur Datei werden mit der Datei gelöscht. Für Kopien in Sicherungen gilt 7.1.

4.13 Bestell- und Rechnungsdaten aus dem Shop des Kunden

Hat der Kunde diese Funktion in einem bezahlten Tarif eingeschaltet, kann der KI-Assistent (4.4) Fragen zu Ihren eigenen Bestellungen beantworten – etwa zum Bestell-, Versand- oder Zahlungsstatus.

• Voraussetzung: Sie sind beim Kunden angemeldet, und der Server des Kunden hat Ihre Kundennummer mit einer zeitlich begrenzten Signatur bestätigt. Ohne diese Bestätigung werden keine Bestelldaten verwendet. Eine Bestell- oder Rechnungsnummer, die Sie im Chat nennen, berechtigt für sich genommen zu nichts und wird nur unter Ihren eigenen Bestellungen gesucht.
• Daten: nur die Felder, die der Kunde freigegeben hat, aus dieser Liste: Bestellnummer, Bestelldatum, Bestellstatus, Summe und Währung, Artikelbezeichnung und Menge, Versanddienstleister, Sendungsnummer und Versandstatus, nur bei ausdrücklicher Freigabe Ort und Postleitzahl der Lieferanschrift, Rechnungsnummer, Zahlungsstatus und Fälligkeit. Straße und weitere Adresszeilen, Namen, E-Mail-Adresse, Telefonnummer, Bank- und Kartendaten, Geburtsdatum, Zugangsdaten sowie Steuer- und Ausweisnummern werden nie weitergegeben; unser Server verwirft solche Daten, selbst wenn sie gesendet werden.
• Herkunft und Speicherung: Entweder ruft unser Server die Daten für Ihre Nachricht beim Kunden ab und speichert sie nicht (Abruf; eine vorübergehende Kopie im Arbeitsspeicher läuft nach 30 Sekunden ab), oder der Kunde übermittelt sie vorab (Import); dann speichern wir sie verschlüsselt, Ihre Kundennummer nur als Hash, und löschen sie spätestens 90 Tage nach der letzten Übermittlung, früher auf Weisung des Kunden oder mit dem Projekt.
• Verarbeitung: Die Daten gehen nur an unsere eigenen Inferenzknoten oder einen Knoten des Kunden (4.4), nie an einen KI-Dienst eines Dritten, und nicht in die Wissensbasis. Der dem Modell übergebene Text wird nach der Lieferung aus unseren Aufzeichnungen entfernt. Die Antwort des Assistenten ist Teil des Gesprächs (4.11).
• Wir verarbeiten diese Daten als Auftragsverarbeiter des Kunden (4.1).

4.14 Smart Answer (KI-Antworten in der Website-Suche)

Der Kunde kann Smart Answer in die Suche seiner Website einbauen. Ist Ihre Sucheingabe als Frage formuliert, erscheint dann über oder unter den Ergebnissen zusätzlich eine kurze, von einem Sprachmodell geschriebene Antwort mit Links zu ihren Quellen. Smart Answer ist ein eigener Dienst des Betreibers (der Dienst Answely) auf demselben Server; die Rollen sind dieselben wie beim Chat-Widget: Der Kunde ist Verantwortlicher, und wir verarbeiten Ihre Daten in seinem Auftrag (4.1).

• Was Ihren Browser verlässt: Ob eine Eingabe gesendet wird, entscheidet in Ihrem Browser das Suchskript, das von cdn.reactive.chat geladen wird – in der Voreinstellung nur, wenn sie wie eine Frage aussieht; der Kunde kann einstellen, dass jede Sucheingabe ab einer Mindestlänge beantwortet wird. Verschlüsselt an unseren Server gesendet werden, gegebenenfalls über eine Adresse, die der Kunde dafür auf seiner eigenen Domain eingerichtet hat: die Frage (höchstens 300 Zeichen), die Sprache, die Adresse der aktuellen Seite und die verweisende Seite, beide ohne Parameter und Anker – auf Suchseiten enthalten diese oft den Suchbegriff –, und, wenn das Chat-Widget auf derselben Seite eingebunden ist, dessen Besucherkennung (4.2). Unser Server entfernt Parameter und Anker beim Empfang zusätzlich. Ihre IP-Adresse verwenden wir, um Anfragen zu begrenzen und vor Missbrauch zu schützen (4.9). Wie jede Anfrage erscheint sie im Zugriffsprotokoll unseres Webservers, ohne Frage und Antwort; es wird nach höchstens 15 Tagen gelöscht (2.1).
• Wie die Antwort entsteht: Die Frage nimmt denselben Weg wie eine Nachricht an den KI-Assistenten (4.4): eine Suche in der Wissensbasis des Kunden und ein Sprachmodell auf denselben Inferenzknoten; die Antwort kommt schrittweise in Ihren Browser zurück. Smart Answer antwortet nur, wenn der Kunde den KI-Assistenten eingeschaltet hat, und nicht, wenn der Kunde den Chat vor der ersten Nachricht um Einwilligung bitten lässt (4.10). In der Voreinstellung ist die Antwort als KI-generiert gekennzeichnet. Sie kann Fehler enthalten; maßgeblich sind die verlinkten Seiten.

Was mit Frage und Antwort geschieht, stellt der Kunde je Projekt ein („Suchanfragen speichern“):

• Aus: Frage und Antwort werden nicht gespeichert. Sie existieren nur während der Verarbeitung im Arbeitsspeicher, höchstens 180 Sekunden auf dem Weg zwischen unseren Servern und den Inferenzknoten, und werden danach gelöscht. Es entsteht kein Gespräch, und weder Frage noch Antwort erscheinen in einer Datenbank, im Dashboard des Kunden oder in einem Protokoll. Eine Folgefrage im Chat beginnt ein neues, gewöhnliches Gespräch nur mit dem Text, den Sie dann eingeben; die ursprüngliche Suchfrage wird nicht übernommen.
• An (Voreinstellung): Frage und Antwort werden wie ein Chat als Gespräch gespeichert (Kanal „Website-Suche“), das die Agenten des Kunden im Dashboard sehen (4.5); es gilt die Speicherdauer für Gespräche (4.11). Eine Folgefrage im Chat setzt dieses Gespräch fort. Damit eine wiederholte Frage nicht neu berechnet wird, hält das Suchskript die Antwort zusammen mit Ihrer Frage, den Quellen und der Gesprächskennung im sessionStorage Ihres Browsers und verwendet sie höchstens zehn Minuten. Zusätzlich hält der Smart-Answer-Dienst eine erzeugte Antwort mit ihren Quellen 24 Stunden vor, damit dieselbe Frage auf derselben Website nicht neu berechnet wird; die Frage steht darin nur als Einweg-Hash, und nichts über Sie.

In beiden Fällen:

• Zähler: Für jede Anfrage speichert der Smart-Answer-Dienst einen Eintrag ohne Inhalt in seiner eigenen Datenbank auf unserem Server: Zeitpunkt, gekürzte IP-Adresse (bei IPv4 ohne das letzte Oktett, bei IPv6 auf die ersten 48 Bit gekürzt), Kennung der Website, Länge der Frage, Ergebnis und Dauer. Er dient dazu, missbräuchliche Anfragemengen zu erkennen und Fehler zu suchen, und wird nach sieben Tagen gelöscht. Der Kunde sieht daraus nur Tageszahlen, ohne IP-Adressen.
• Folgefragen im Suchfeld: Hat der Kunde eingestellt, dass Folgefragen im Feld beantwortet werden, oder ist auf der Seite kein Chat eingebunden, bleibt die Folgefrage im Feld. Die bis zu drei vorherigen Fragen und Antworten des Felds werden mit ihr an unseren Server gesendet; davon gehen nur die Fragen an das Sprachmodell. Ist das Speichern eingeschaltet, wird jede Folgefrage zusammen mit diesen vorherigen Fragen als eigenes Gespräch gespeichert.
• Im Browser: Smart Answer setzt keine Cookies. Der sessionStorage hält die Sucheinstellungen fünf Minuten und, nur bei eingeschaltetem Speichern, die oben genannten Antworten zehn Minuten. Das Suchskript löscht abgelaufene Einträge, sobald es sie liest oder auf einer Seite neu startet; bleibt ein Tab ohne neues Laden offen, bleibt ein abgelaufener Eintrag dort bis zum nächsten Laden der Seite oder bis Sie den Tab schließen.
• Rechtsgrundlagen: Sie bestimmt der Kunde (4.10); typischerweise Art. 6 Abs. 1 lit. f DSGVO, das berechtigte Interesse des Kunden, Fragen auf Grundlage der Inhalte seiner Website zu beantworten. Soweit wir den Zähler nutzen, um unseren eigenen Dienst vor massenhafter automatisierter Nutzung zu schützen, ist unsere Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

4.15 KI-Werkzeuge für Agenten: Übersetzung, Antwortentwürfe, Zusammenfassungen

Im Dashboard können die Agenten des Kunden ein Sprachmodell nutzen, das ihnen bei einem Gespräch hilft. Diese Werkzeuge stehen unabhängig davon zur Verfügung, ob der Kunde den KI-Assistenten (4.4) nutzt. Antwortentwürfe, Zusammenfassungen, Umformulieren und die Übersetzung von Antworten können nur Teammitglieder nutzen, die Gespräche beantworten dürfen.

• Übersetzung: Ein Agent kann Nachrichten in die Sprache des Dashboards übersetzen lassen und seine eigene Antwort in Ihre Sprache. Schaltet der Kunde die automatische Übersetzung für sein Projekt ein – sie ist aus, solange der Kunde das nicht ändert – oder schaltet ein Agent sie für ein Gespräch ein, werden eingehende Nachrichten in einer anderen Sprache dem Agenten übersetzt angezeigt, und jede Antwort wird vor dem Versand übersetzt. Das Modell erhält den zu übersetzenden Text – Ihre Nachrichten so, wie sie nach der PII-Bereinigung (4.7) gespeichert wurden, die Antwort des Agenten so, wie er sie geschrieben hat – und die Namen der Sprachen. Eine Übersetzung braucht den vollständigen Text, daher wird nichts weiter ersetzt.
• Die automatische Übersetzung eingehender Nachrichten und jeder Antwort steht nur für Projekte eines Workspace mit bezahltem Tarif zur Verfügung (mit aktivem Abonnement, auch in einer Testphase, oder aufgrund eines Einzelvertrags); im kostenlosen Tarif kann ein Agent weiterhin eine einzelne Nachricht auf Anforderung übersetzen lassen. Hat der Kunde den Chat so eingestellt, dass er vor dem Schreiben um Ihre Einwilligung bittet (4.10), wird die automatische Übersetzung nur genutzt, solange dem Chat Ihre Einwilligung bekannt ist; sonst sieht der Agent Ihre Nachrichten unübersetzt, und seine Antworten werden nicht automatisch übersetzt. Dieselbe Einwilligungsregel gilt für Antwortentwürfe, Zusammenfassungen und Umformulieren.
• Antwortentwurf, Zusammenfassung, Umformulieren: Ein Agent kann einen Entwurf der nächsten Antwort erstellen, das Gespräch für einen Kollegen zusammenfassen oder seine eigene Antwort umformulieren lassen. Für einen Entwurf erhält das Modell bis zu den letzten 30 Nachrichten des Gesprächs (höchstens 5.000 Zeichen), bis zu vier Abschnitte aus der Wissensbasis des Kunden (4.4) mit Titel und Adresse, den Namen des Projekts des Kunden und etwaige Notizen, die der Agent für die Antwort eingegeben hat; für eine Zusammenfassung bis zu den letzten 60 Nachrichten einschließlich der internen Notizen der Agenten (höchstens 7.000 Zeichen); für das Umformulieren nur die eigene Antwort des Agenten. Vorher werden zusätzlich zur PII-Bereinigung (4.7) E-Mail-Adressen, Telefonnummern und Ziffernfolgen ab sechs Stellen ersetzt, und Links im Gespräch verlieren Parameter und Anker; beim Umformulieren werden diese Teile durch Platzhalter ersetzt und danach wieder eingesetzt, sodass das Modell sie nicht sieht. Das Modell erhält nicht die Namen der Agenten, Ihre Besucher- oder Sitzungskennung oder Ihre IP-Adresse; ein Anhang erscheint nur als Wort „[attachment]“. Die Adresse der Seite, auf der Sie sich befinden, dient nur dazu, Wissensbasis-Abschnitte dieser Seite zu bevorzugen.
• Übergabenotiz und Gesprächszusammenfassung: Wird ein Gespräch vom Assistenten an einen Menschen übergeben, kann das Modell eine kurze interne Notiz für den Agenten schreiben; bei langen Gesprächen fasst es ältere Wechsel zusammen, damit der Assistent den Zusammenhang behält. Beides bleibt intern.
• Wo es läuft: auf denselben Inferenzknoten wie der KI-Assistent – unseren eigenen Knoten (1.1) oder, wo der Kunde einen angebunden hat, einem Knoten des Kunden (4.4, 4.6) –, nie bei einem KI-Dienst eines Dritten, auch nicht als Ausweichlösung.
• Nichts wird automatisch gesendet: Das Ergebnis erscheint nur im Dashboard des Agenten, der es angefordert hat. Zu einer Nachricht an Sie wird es erst, wenn dieser Agent es sendet, unter seinem Namen; eine solche Nachricht trägt keine KI-Kennzeichnung. Eine übersetzte Antwort wird dem Agenten vor dem Versand angezeigt; schlägt die Übersetzung fehl, wird nichts gesendet, es sei denn, der Agent sendet ausdrücklich das Original. Eine Zusammenfassung wird, wenn der Agent sie sendet, nur als interne Notiz gespeichert, die Sie nicht sehen.
• Was gespeichert wird: Eine Übersetzung wird mit der Nachricht gespeichert, zu der sie gehört; bei einer übersetzt gesendeten Antwort zusätzlich der Originalwortlaut des Agenten. Übersetzungen liegen außerdem bis zu 30 Tage in der Arbeitskopie des Gesprächs (4.11). Bei der Anonymisierung (4.11) werden die bei den Nachrichten gespeicherten Übersetzungen zusammen mit den Nachrichtentexten entfernt. Sie erhalten nur die Nachricht in Ihrer Sprache; Sie sehen weder das Original des Agenten noch eine Übersetzung Ihrer eigenen Nachrichten. Entwürfe, Zusammenfassungen und Umformulierungen werden nicht im Gespräch gespeichert, solange der Agent sie nicht sendet. Die Arbeitsaufträge an das Modell sind als vertraulich markiert: Der an das Modell gesendete Text wird aus ihnen entfernt, sobald das Ergebnis geliefert ist, und ein nie gelieferter Auftrag wird nach etwa zehn Minuten geleert, während das Ergebnis stehen bleibt – bei Übersetzungen, Entwürfen, Zusammenfassungen und Umformulierungen gleichermaßen. Das Ergebnis wird beim Gespräch aufbewahrt und bei Anonymisierung geleert; Aufträge ohne Gespräch werden nach 30 Tagen gelöscht.
• Rechtsgrundlagen: Sie bestimmt der Kunde (4.10). Die Werkzeuge dienen demselben Zweck wie der Chat selbst – der Beantwortung Ihrer Anliegen.

4.16 Kampagnen

In bezahlten Tarifen kann der Kunde Kampagnen durchführen: gezielte Nachrichten im Widget und, über WhatsApp, Nachrichten an Kontakte, die dem Empfang zugestimmt haben.

• Im Widget: Der Kunde wählt Besucher nach Seite oder Adresse, Verweildauer, verweisender Website, Kampagnenparametern, neuem oder wiederkehrendem Besuch, Land (aus der IP-Adresse abgeleitet, 4.2), Sprache, Gerät, Anmeldung und Feldern seiner Kundendaten aus. Für Besucher aus dem DSGVO-Raum und bei unbekanntem Land laufen Kampagnen nur mit Einwilligung (4.10); für andere, wo das Projekt des Kunden keine Einwilligung verlangt, typischerweise auf Grundlage des berechtigten Interesses des Kunden. Damit Ihnen eine Kampagne nicht zu oft gezeigt wird und ihre Wirkung gezählt werden kann, halten wir unter einem Einweg-Hash Ihrer Besucher- oder Sitzungskennung je Kampagne einen Zähler – bis einen Tag nach Ende der Kampagne (höchstens 400 Tage) oder, bei Kampagnen ohne Enddatum, 90 Tage nach der letzten Ansprache – und eine Wiederholungssperre für den Mindestabstand zwischen zwei Ansprachen, den der Kunde einstellt (höchstens 90 Tage) – und einen Merker, ob Sie schon einmal da waren (90 Tage nach Ihrem letzten Besuch, selbst ein Hash). Die Reichweite wird in Zählern gezählt, die sich nicht einzeln auslesen lassen (HyperLogLog) und bis zu 400 Tage aufbewahrt werden. Ein Löschauftrag entfernt Ihre Zähler, Sperre und Merker.
• WhatsApp-Kampagnen: Sie werden über das eigene Meta-Konto des Kunden versandt, nur mit von Meta freigegebenen Nachrichtenvorlagen und nur an Kontakte mit festgehaltener Einwilligung – entweder vom Kunden importiert, der die Einwilligung bestätigen und ihren Nachweis in mindestens 20 Zeichen beschreiben muss, oder von Ihnen selbst durch Senden des Startworts erteilt. Ein bisheriger Chat mit dem Kunden zählt nicht als Einwilligung. Für jeden Kontakt speichern wir die WhatsApp-Nummer, den Namen, Etiketten, die Sprache, den Nachweis der Einwilligung, eine Abmeldung mit Grund und verwendetem Wort sowie je Kampagne die Zustell- und Lesezeiten. Sendungen werden 90 Tage nach ihrem letzten Status gelöscht; die Kampagne behält nur ihre Summen. Antworten Sie mit einem Stoppwort (auf Deutsch, Englisch oder Polnisch), werden Sie von weiteren Kampagnen ausgeschlossen. Lassen Sie Ihre Chatdaten löschen, werden Ihr Kontakt und Ihre Sendungen gelöscht; hatten Sie sich abgemeldet, bleibt nur ein Sperrvermerk – ein mit Schlüssel gebildeter Hash Ihrer Nummer, ohne Namen oder sonstige Angaben –, damit ein späterer Import des Kunden Sie nicht erneut einträgt; senden Sie selbst das Startwort, wird er aufgehoben. Kontakte haben ansonsten keine eigene Frist und werden mit dem Projekt gelöscht.
• Rechtsgrundlage: Sie bestimmt der Kunde; bei WhatsApp-Kampagnen typischerweise Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die der Kunde nachweisen können muss.

4.17 Rückrufwünsche, Sprach- und Videoanrufe, Co-Browsing

Haben der Kunde und wir sie eingeschaltet, bietet das Widget Rückrufwünsche, Sprach- und Videoanrufe und Co-Browsing an.

• Rückruf: Wir speichern Ihre Telefonnummer, das Land, Ihr Anliegen, das gewünschte Zeitfenster, eine Notiz und den zugewiesenen Agenten. Erledigte Wünsche werden nach 30 Tagen gelöscht, offene nach 90 Tagen.
• Sprach- und Videoanrufe im Browser werden erst nach Ihrer Annahme zwischen Ihrem Browser und dem Browser des Agenten aufgebaut (WebRTC); auf Kamera und Mikrofon wird erst nach Ihrem Klick zugegriffen. Der Audio- und Videostrom ist verschlüsselt. Ein öffentlicher STUN-Server wird nicht eingesetzt. Sofern wir keinen Vermittlungsserver (TURN) betreiben, der den verschlüsselten Strom weiterleitet, ohne ihn lesen zu können, verbinden sich die beiden Browser direkt und erfahren dadurch die IP-Adresse des jeweils anderen. Beide Seiten können ihren Bildschirm teilen; alles, was auf einem geteilten Bildschirm sichtbar ist, sieht die andere Seite. Wir speichern ein Anrufprotokoll (Agent, Beginn, Ende, Medienart) für 365 Tage; Anrufe zeichnen wir nicht auf.
• Co-Browsing: Nach Ihrer Annahme sieht der Agent eine Liste der Schaltflächen, Links und Überschriften der Seite, auf der Sie sind – keine Formularfelder und nichts, was Sie eingeben –, und kann ein Element für Sie hervorheben und dorthin scrollen. Der Agent kann auf Ihrer Seite weder klicken noch tippen. Ein Banner zeigt, dass Co-Browsing aktiv ist, und Sie können es jederzeit beenden. Sein Inhalt wird nicht aufgezeichnet.
• Klick-zum-Anrufen per Telefon: Falls eingeschaltet, lässt unser Server über Twilio das Telefon des Agenten anrufen und verbindet es mit Ihrer Nummer; Twilio erhält dann beide Telefonnummern (Abschnitt 5). Diese Funktion ist derzeit nicht eingeschaltet.
• Rechtsgrundlage: Sie bestimmt der Kunde; ein Anruf findet nur auf Ihren Wunsch statt.

4.18 Kundenportal

Der Kunde kann seinen Endkunden in einem Kundenportal Zugang zu ihren Vorgängen geben. Nutzen Sie es, verarbeiten wir den Vorgang, Ihre Beiträge dazu und einen pseudonymen Schlüssel für Sie; Ihre Portalsitzung ist eine Stunde gültig. Vorgänge haben keine eigene Frist und werden mit dem Projekt gelöscht.

4.19 Fehlermeldungen, Frustrationssignale und A/B-Tests

• Fehlermeldungen: Nutzt der Kunde dies, meldet das Widget Skriptfehler auf der Website des Kunden: Pfad, Browser, Betriebssystem und Fehlermeldung und – nur wo Sie in die Sitzungsaufzeichnung eingewilligt haben – einen Link zur Aufzeichnung. Meldungen werden nach 90 Tagen gelöscht, wenn sie niemand angesehen hat; einzelne Beispiele und Verweise auf Gespräche nach 30 Tagen.
• Frustrationssignale: Das Widget erkennt Verhalten wie wiederholtes wirkungsloses Klicken, ohne ein Sprachmodell. Gespeichert werden nur zusammengefasste Zahlen je Pfad und Tag (400 Tage); Beispiele mit einem Link zur Sitzungsaufzeichnung (nur mit Einwilligung) werden 8 Tage aufbewahrt.
• A/B-Tests (Beta): Um zu zählen, wie viele Besucher welche Variante gesehen haben, wird Ihre Besucherkennung in Zähler aufgenommen, die sich nicht einzeln auslesen lassen; Tageszähler werden 200 Tage, Gesamtzähler 400 Tage aufbewahrt. Die Ergebnisse in der Datenbank haben keine eigene Frist und werden mit dem Projekt gelöscht.

4.20 Testläufe und Versionen des Assistenten

Der Kunde kann seinen Assistenten vor dem Livegang mit Testfragen erproben. Er kann sie selbst schreiben oder Fragen übernehmen, die Besucher tatsächlich gestellt haben und die der Assistent nicht beantworten konnte (Wissenslücken); bevor eine solche Frage übernommen wird, durchläuft sie den PII-Filter (4.7), und steht er nicht zur Verfügung, wird nichts übernommen. Übernommene Fragen (höchstens 500 Zeichen) und die Antworten der Testläufe sind Inhalte des Kunden: Sie sind nicht mit Ihnen verknüpft, werden von einem Löschauftrag nicht erfasst und mit dem Projekt gelöscht. Testläufe legen kein Gespräch an. Jede gespeicherte Änderung der Einstellungen des Assistenten wird als Version mit der Person, die sie gespeichert hat, ohne Zeitgrenze aufbewahrt; von den geführten Abläufen werden die letzten 100 Versionen je Projekt aufbewahrt.

5. Empfänger und Unterauftragsverarbeiter

Wir setzen folgende Unterauftragsverarbeiter und Empfänger ein. Die aktuelle Liste mit Anschriften und Garantien ist unter Unterauftragsverarbeiter veröffentlicht.

5.1 Unterauftragsverarbeiter

1. Google Cloud EMEA Limited, Dublin, Irland (Google Cloud Storage) – Speicherung der verschlüsselten täglichen Sicherung des ganzen Servers (7.1) an einem Speicherort in Warschau, Polen (Region europe-central2). Die Sicherung wird vor der Übertragung auf unserem Server verschlüsselt, einschließlich Datei- und Verzeichnisnamen; die Schlüssel bleiben auf unserem Server, und Google kann den Inhalt nicht lesen. Betrifft alle in dieser Erklärung beschriebenen Daten.
2. Stripe Payments Europe, Ltd., Dublin, Irland – Zahlungsabwicklung und Rechnungsstellung für Kunden (3.3). Stripe erhält aus unserer Abrechnung nie Besucherdaten.
3. Google Ireland Limited, Dublin, Irland – reCAPTCHA auf den Formularen für Anmeldung, Registrierung, Passwort-Zurücksetzung und Support (2.7): IP-Adresse, Geräte- und Verhaltenssignale. Nie im Chat-Widget.
4. E-Mail – Versand über unseren E-Mail-Dienst; der für jede Funktion (Versand, das Postfach contact@lukaswojcik.com und die Weiterleitung von E-Mails an reactive.chat-Adressen) jeweils eingesetzte Anbieter ist in der Liste der Unterauftragsverarbeiter genannt. Derzeit ist das Namecheap, Inc., Phoenix, USA, die auch die Namensserver (DNS) von reactive.chat betreibt. E-Mails können Kundendaten enthalten und, wo ein Besucher eine Kopie eines Gesprächs anfordert oder der E-Mail-Kanal ohne eigenen Mailserver des Kunden genutzt wird, Besucherdaten (3.4). Im letzten Fall gehen Antworten an Besucher von unserer Adresse no-reply@reactive.chat im Namen „[Projekt] via reactive.chat" mit der Adresse des Kunden als Antwortadresse hinaus; der Anbieter erhält dann E-Mail-Adresse und Namen des Besuchers, den Betreff und den Text der Antwort (4.6).
5. Push-Dienste der Browserhersteller – Google (Firebase Cloud Messaging), Mozilla, Apple und Microsoft, je nach Browser eines Teammitglieds, das Benachrichtigungen eingeschaltet hat (3.10): Abonnement-Adresse, Zeitpunkt und Größe jeder Nachricht; der Inhalt (Art des Ereignisses und Projektname, kein Nachrichtentext) ist Ende-zu-Ende verschlüsselt. Den Push-Dienst bestimmt der Browser des Teammitglieds; er erhält keinen lesbaren Inhalt.
6. Twilio Inc., USA – nur wenn Klick-zum-Anrufen per Telefon eingeschaltet ist (4.17): Telefonnummern von Besucher und Agent. Derzeit nicht eingeschaltet.

5.2 Weitere Empfänger

• Let's Encrypt (Internet Security Research Group, USA) stellt die TLS-Zertifikate für reactive.chat und für Domains von Kunden aus, die den Chat unter ihrer eigenen Domain anbieten. Es erhält nur die Domainnamen, die dann in öffentlichen Zertifikatsprotokollen erscheinen; keine Besucherdaten.
• Google – bindet ein Kunde Google Drive als Quelle an, handelt Google als Dienst des Kunden: Der Kunde meldet sich mit seinem eigenen Google-Konto an. Die Verbindung nutzt eine von uns registrierte OAuth-Anwendung; Google erfährt daher, dass der Kunde diese Anwendung berechtigt hat, und unser Server ruft die ausgewählten Dateien auf Weisung des Kunden bei Google ab (3.6, 4.4).

5.3 Keine Empfänger personenbezogener Daten

• Telegram (Telegram FZ-LLC, Dubai, Vereinigte Arabische Emirate): Über einen Telegram-Bot erhalten wir Benachrichtigungen über neue Support-Anfragen, neues Feedback und Betriebsalarme (etwa Verfügbarkeit von Bestandteilen, Last, KI-Knoten). Sie bestehen aus festen Texten und Betriebszahlen und enthalten keine personenbezogenen Daten – keine Namen, E-Mail-Adressen, IP-Adressen oder Nachrichtentexte. Telegram sieht nur die IP-Adresse unseres Servers. Telegram ist daher kein Unterauftragsverarbeiter.
• Unser Netzbetreiber (1.1), der nur verschlüsselte Daten transportiert.
• Unser eigener Server und unsere eigenen KI-Inferenzknoten (1.1) sowie MousePlayer, das von derselben juristischen Person betrieben wird.
• Die Länderdatenbank MaxMind GeoLite2, die lokal auf unserem Server genutzt wird; an MaxMind wird nichts übermittelt.
• Anbieter von Kanälen und Integrationen, die ein Kunde anbindet (3.6, 4.6) – darunter Meta, Telegram und Twilio für die Kanäle, Cal.com, Stripe und die eigenen Schnittstellen des Kunden für Bot-Aktionen (4.4), der Identitätsanbieter des Kunden (3.9) und die KI-Werkzeuge, die der Kunde an unseren MCP-Server anbindet (4.6) –, und ein vom Kunden angebundener KI-Server: Sie handeln für den Kunden, nicht für uns.

6. Übermittlungen in Drittländer

Unser Server und die KI-Knoten stehen in Polen; die Sicherung liegt in Polen (Warschau). Personenbezogene Daten werden in folgenden Fällen an Empfänger außerhalb des EWR übermittelt oder können von dort aus abgerufen werden:

• Stripe: Stripe Payments Europe kann Abrechnungsdaten von Kunden an Stripe, Inc. (USA) übermitteln.
• Google: Für reCAPTCHA und Push-Nachrichten ist eine Übermittlung an Google LLC (USA) nicht auszuschließen. Bei der Sicherung kann Google den Inhalt nicht lesen, weil er mit Schlüsseln verschlüsselt ist, die nur wir haben.
• Namecheap (USA): E-Mails und die darin enthaltenen E-Mail-Adressen; Betrieb der Namensserver (DNS) von reactive.chat.
• Push-Dienste von Mozilla, Apple und Microsoft (USA): Abonnement-Adresse, Zeitpunkt und Größe von Benachrichtigungen an Teammitglieder.
• Twilio (USA): nur wenn Klick-zum-Anrufen eingeschaltet ist.
• Let's Encrypt (USA): nur Domainnamen.

Garantien: Ist der Empfänger nach dem EU-US Data Privacy Framework zertifiziert, der Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO); sonst die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Einzelheiten je Empfänger stehen in der Liste der Unterauftragsverarbeiter. Die Telegram-Benachrichtigungen enthalten keine personenbezogenen Daten; in die Vereinigten Arabischen Emirate werden daher keine personenbezogenen Daten übermittelt. Bindet ein Kunde einen Kanal oder eine Integration an, deren Anbieter außerhalb des EWR sitzt, ist diese Übermittlung Sache des Kunden.

7. Übersicht Speicherdauer

7.1 Sicherungen

Eine Frist überdauert die meisten anderen: die Sicherung.

• Externe Sicherung: Jede Nacht gegen 03:00 Uhr wird eine Kopie aller Datenbanken auf unserem Server und aller Dateien der darauf liegenden Websites – einschließlich Chat-Anhängen, Wissensbasis-Dokumenten und Firmenlogos – erstellt, auf unserem Server verschlüsselt (Inhalt sowie Datei- und Verzeichnisnamen) und zu Google Cloud Storage in Warschau übertragen (5.1). Die Schlüssel verlassen unseren Server nie. Tägliche Kopien werden 7 Tage aufbewahrt, die sonntags erstellte Wochenkopie 364 Tage. Eine lokale Kopie derselben Sicherung wird zusätzlich etwa 8 Tage auf einem eigenen Speichermedium am Server vorgehalten; sie ist nicht verschlüsselt.
• Datenbankkopie von reactive.chat: Jede Nacht gegen 03:05 Uhr wird auf dem Server selbst eine komprimierte Kopie der reactive.chat-Datenbank erstellt und etwa 31 Tage aufbewahrt; sie ist nicht verschlüsselt.

Was im laufenden System gelöscht wird, bleibt daher in diesen Kopien, bis sie ablaufen – höchstens 364 Tage nach der Löschung. Aus einer Sicherung wird nicht gezielt gelöscht: Eine Kopie ist ein Abbild eines Zeitpunkts. Sicherungen dienen ausschließlich der Wiederherstellung des Systems nach einem Verlust. Müssen wir je eine einspielen, führen wir die seit ihrer Erstellung vorgenommenen Löschungen – insbesondere die Löschwünsche von Besuchern und die Löschungen von Konten und Workspaces – erneut aus, bevor das System wieder in Betrieb geht. Seit dem 16. Oktober 2026 wird jede solche Löschung bei ihrer Ausführung in einem Löschjournal auf unserem Server festgehalten – Art der Löschung, betroffene Kennungen, Modus und Zeitpunkt, ohne Inhalte, E-Mail-Adressen oder IP-Adressen –, 400 Tage aufbewahrt, und ein Skript führt die festgehaltenen Löschungen nach einer Wiederherstellung erneut aus; Löschungen nach Fristen holen sich beim nächsten Lauf selbst ein. Zwei Grenzen bleiben: Eine nach Erstellung der Kopie beantragte Löschung, deren Wartefrist von 30 Tagen noch lief, steht nicht im Journal und muss erneut beantragt werden; und ginge der Server selbst verloren, ist das Journal nur so aktuell wie die letzte Sicherungskopie, sodass Löschungen der letzten bis zu 24 Stunden nicht erneut ausgeführt werden könnten.

7.2 Fristen nach Kategorien

• Zugriffsprotokoll des Webservers: der laufende Tag und die 14 vorangegangenen Tage (2.1).
• Systemjournal des Servers: auf 500 MB begrenzt, keine Zeitgrenze; Fehler- und Arbeitsprotokolle einzelner Bestandteile: derzeit keine automatische Rotation (2.1).
• Support-Anfragen: mit dem Konto, wo sie mit einem verknüpft sind; sonst 365 Tage nach Eingang oder letzter Bearbeitung (2.4). E-Mails an contact@lukaswojcik.com: solange zur Bearbeitung erforderlich (2.5).
• Kontodaten der Kunden: solange das Konto besteht; Löschung 30 Tage nach dem Löschantrag des Kontoinhabers (3.7). Das Ende eines bezahlten Abonnements löscht nichts.
• Annahmenachweis der Vertragsdokumente und Erklärung, sich als Unternehmer zu registrieren: mit dem Konto (3.1).
• Sitzungen: 14 Tage ohne Nutzung, 60 Tage mit „Angemeldet bleiben“; abgelaufene Sitzungen werden einen Tag nach Ablauf gelöscht (3.9).
• Audit-Protokoll: je Workspace 90, 180, 365 oder 730 Tage oder – Voreinstellung – bis zur Löschung des Workspace; Einträge ohne Workspace: Anmeldungen, Fehlversuche und Einträge ohne Konto 90 Tage, übrige Einträge eines Kontos bis zur Löschung des Kontos, Löschvermerke und unsere Verwaltungsaktionen ohne Frist (3.11).
• Lesespur (Tarif Agency): höchstens 731 Tage (3.8).
• Push-Abonnements: bis zur Abschaltung, spätestens 60 Tage ohne Sichtung (3.10).
• Rechnungen und Zahlungsbenachrichtigungen: mindestens 5 Jahre nach polnischem Steuerrecht; derzeit keine automatische Löschung (3.3).
• Gespräche, ihre Nachrichten, Bewertungen, Schlagworte und KI-Aufzeichnungen: keine automatische Frist, solange der Kunde keine je Projekt setzt (0–3.650 Tage); sonst bis zur Löschung des Gesprächs, des Projekts oder des Workspace (4.11).
• Arbeitskopie von Gesprächen im Echtzeitserver: 30 Tage nach der letzten Aktivität; Seitenkontext einer Sitzung: 30 Minuten (4.11).
• KI-Arbeitsaufträge ohne Gespräch: 30 Tage (4.4).
• Übersetzungen der KI-Werkzeuge für Agenten: mit der Nachricht; in der Arbeitskopie des Gesprächs bis zu 30 Tage (4.15).
• Einwilligungsnachweise der Besucher: keine automatische Frist; entpersonalisiert, wenn der Besucher seine Chatdaten löscht oder das Gespräch nach der Aufbewahrungsfrist gelöscht wird; mit dem Projekt oder Workspace gelöscht (4.11).
• Chat-Anhänge: 7 Tage (kostenloser Tarif) oder 90 Tage (bezahlte Tarife) nach dem Hochladen oder die Frist eines Einzelvertrags; in Bildern erkannter Text 24 bis 48 Stunden (4.12).
• Importierte Bestell- und Rechnungsdaten: höchstens 90 Tage nach der letzten Übermittlung des Kunden; abgerufene Daten werden nicht gespeichert (4.13).
• Vom Widget übermittelter Seitentext: keine automatische Frist; mit dem Projekt (4.2).
• Kanalidentitäten, E-Mail-Fäden, WhatsApp-Kampagnenkontakte: keine automatische Frist; mit dem Projekt und auf Löschauftrag (4.6, 4.16). Nachrichtennummern der Kanäle: 7 Tage. Sendungen von WhatsApp-Kampagnen: 90 Tage nach dem letzten Status. Kampagnenzähler je Besucher: bis einen Tag nach Kampagnenende (höchstens 400 Tage) oder 90 Tage nach der letzten Ansprache; Wiederholungssperre für den vom Kunden eingestellten Abstand, höchstens 90 Tage; Reichweitenzähler bis zu 400 Tage (4.16).
• Live-Besucherliste: alle 30 Sekunden erneuert, verfällt nach 90 Sekunden; darüber hinaus nichts gespeichert (4.5).
• Vom Kunden hochgeladene Dateien der Wissensbasis und Texte aus Google Drive: bis der Kunde sie löscht oder Drive trennt, spätestens mit dem Projekt (4.4).
• Versionen der Einstellungen des Assistenten: keine automatische Frist; Versionen geführter Abläufe: die letzten 100 je Projekt (4.20).
• Rückrufwünsche: 30 Tage nach Erledigung, 90 Tage, wenn offen; Anrufprotokoll 365 Tage (4.17).
• Besucherbeweis auf dem Server: 400 Tage nach letzter Verwendung (4.2).
• Smart Answer (4.14): Zählereinträge mit gekürzter IP-Adresse 7 Tage. Fragen und Antworten gar nicht, wenn das Speichern aus ist (höchstens 180 Sekunden unterwegs), wie Gespräche, wenn es an ist; Antwort-Cache (Frage nur als Hash) 24 Stunden.
• Automatische Sperren: für ihre Dauer (24 Stunden, wenn nichts anderes eingestellt ist); Sicherheitsereignisse der Wache: die letzten 500 (4.9).
• Fehlermeldungen: 90 Tage, Beispiele 30 Tage; Frustrationszahlen 400 Tage, Beispiele 8 Tage; A/B-Zähler 200 und 400 Tage (4.19).
• Zurückgehaltene E-Mails bei nicht verfügbarem Versand: 30 Tage (3.4).
• Sicherungen: tägliche Kopien 7 Tage, Wochenkopien 364 Tage, lokale Kopien etwa 8 und 31 Tage (7.1).
• Löschjournal: 400 Tage nach der Löschung, die es festhält (7.1).
• Sicherheits-Cookie rc_csrf der Website: bis zum Schließen des Browsers; auf dem Server wird nichts gespeichert (2.8).
• Browser-Speicher: siehe 4.3 – sessionStorage bis zum Schließen des Tabs; localStorage-Einträge ein Tag oder ein Jahr; rc_dnt, rc_dnd, rc_vtok und mp_visitor_id ohne Ablauf.

8. Ihre Rechte

Nach Art. 15 bis 22 DSGVO haben Sie das Recht auf Auskunft, auf Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Datenübertragbarkeit und auf Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Beruht eine Verarbeitung auf Einwilligung, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. So üben Sie Ihre Rechte aus:

• Teile A und B: Schreiben Sie an contact@lukaswojcik.com. Wir antworten innerhalb eines Monats. Kunden und Teammitglieder können ihre eigenen Kontodaten in den Einstellungen herunterladen (3.7), und der Kunde kann die Daten eines Projekts als JSON oder als ZIP-Datei mit CSV-Tabellen und Anhängen exportieren. Praktische Einzelheiten: Auskunft und Löschung und Informationen zum Data Act.
• Teil C: Schreiben Sie an den Kunden, dessen Website Sie genutzt haben. Der Kunde ist Verantwortlicher. Schreiben Sie an uns, leiten wir Ihre Anfrage an den Kunden weiter und helfen bei der Beantwortung. Hat der Kunde die Knöpfe eingeschaltet, können Sie Ihre Chatdaten selbst im Chatfenster löschen und eine im Chat erteilte Einwilligung dort widerrufen – das erfasst nur die Chatdaten, nicht, was der Kunde anderswo über Sie hat, und geschieht auf die stehende Weisung des Kunden, nicht auf eine Entscheidung von uns. Hat der Kunde die Erkennung geschriebener Löschwünsche eingeschaltet gelassen, hat es dieselbe Wirkung, Ihren Wunsch in den Chat zu schreiben: Unser Server erkennt die Formulierung ohne den KI-Assistenten und bittet je nach Einstellung des Kunden vor dem Löschen um Bestätigung oder löscht sofort (4.11). Eine Löschung erreicht Kopien in Sicherungen nicht, bevor diese ablaufen (7.1).

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere beim Präsidenten des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stawki 2, 00-193 Warschau, Polen, oder bei der Behörde Ihres gewöhnlichen Aufenthaltsorts oder Arbeitsplatzes.

9. Automatisierte Entscheidungsfindung und Profiling

Wir treffen keine automatisierten Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Wir profilieren niemanden zu Werbezwecken, und wir verknüpfen keine Daten über die Websites verschiedener Kunden hinweg.

• Der automatische Missbrauchsschutz nach 4.9 kann eine Verbindung, eine Besucherkennung oder eine IP-Adresse vorübergehend sperren; er hat keine Rechtswirkung und kann auf Antrag überprüft werden, wenn Sie sich an uns oder den Kunden wenden.
• Der KI-Assistent beantwortet Fragen; er entscheidet nicht über Verträge, Preise oder Ansprüche. Eine Aktion, die etwas verändert, wird erst nach Ihrer Bestätigung ausgeführt (4.4).
• AutoQA (3.11) bewertet Gespräche. Die Auswertung je Agent ist regelbasiert; das KI-Urteil gilt nur für Gespräche ohne Agenten und wird nie einer Person zugerechnet. Es ist ein Werkzeug des Kunden, der entscheidet, was daraus folgt; der Kunde muss sicherstellen, dass keine Entscheidung über Beschäftigte ausschließlich darauf beruht.
• Die Routing-Einordnung (4.4) weist Gespräche nur nach den Regeln des Kunden Agenten zu; sie entscheidet nichts über Sie.

10. Sicherheit

Wir schützen Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, darunter Transportverschlüsselung (TLS 1.2 und 1.3), gehashte Passwörter und Token, freiwillige Zwei-Faktor-Authentifizierung, rollenbasierte Zugriffskontrolle, Mandantentrennung, Verschlüsselung gespeicherter Zugangsdaten für Dienste Dritter und der Geheimnisse der Zwei-Faktor-Authentifizierung, PII-Bereinigung, Mengenbegrenzung und automatischer Missbrauchsschutz sowie verschlüsselte externe Sicherungen. Welche Maßnahmen das sind und wo ihre Grenzen liegen, beschreiben die technischen und organisatorischen Maßnahmen; verbleibende Risiken bewertet unsere Datenschutz-Folgenabschätzung, die wir auf Anfrage zur Verfügung stellen. Die Produktionsinstallation ist von der Entwicklungsinstallation getrennt; beide laufen auf demselben Server wie weitere Projekte des Betreibers und sind von ihnen durch Verzeichnisse und Datenbanken getrennt (1.1).

Bei einer Verletzung des Schutzes personenbezogener Daten sieht unser dokumentiertes Verfahren vor, betroffene Kunden unverzüglich und spätestens innerhalb von 48 Stunden, nachdem wir davon Kenntnis erlangt haben, zu benachrichtigen; wo wir Verantwortlicher sind, melden wir sie der Aufsichtsbehörde nach Art. 33 DSGVO.

11. Pflicht zur Bereitstellung von Daten

Die Angabe der Registrierungs- und Abrechnungsdaten ist für Abschluss und Durchführung des Vertrags erforderlich; ohne sie können wir kein Konto einrichten. Die Nutzung des Chat-Widgets auf der Website eines Kunden ist freiwillig; welche Angaben Sie in einem Chat machen, entscheiden Sie selbst.

12. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich der Dienst, unsere Unterauftragsverarbeiter oder die Rechtslage ändern. Die aktuelle Fassung ist stets unter /p/datenschutzerklaerung veröffentlicht. Kunden werden per E-Mail oder im Dashboard über wesentliche Änderungen informiert. Das nachstehende Datum bezeichnet die geltende Fassung; frühere Fassungen und eine Zusammenfassung der Änderungen stehen im Änderungsprotokoll.

Fassung 2.6 ersetzt Fassung 2.5 vom 17. Oktober 2026. Ergänzt: Sicherheits-Cookie rc_csrf der Website, auf jeder Seite gesetzt (2.8, 3.9, 7.2). Am selben Tag außerdem geändert: die getrennte Produktionsinstallation (1.1, 10); das Verzeichnis von Verarbeitungstätigkeiten und die Datenschutz-Folgenabschätzung werden nicht mehr veröffentlicht und sind auf Anfrage erhältlich (Einleitung, 10).

Fassung 2.5 ersetzt Fassung 2.4 vom 17. Oktober 2026. Geändert: Die KI wird einheitlich als unsere eigene, selbst gehostete KI bezeichnet; Modellnamen entfernt, die Tatsachen sind unverändert (1.1, 4.4).

Fassung 2.4 ersetzt Fassung 2.3 vom 16. Oktober 2026. Geändert: Annahme der aktuellen Vertragstexte vor der Bestellung eines bezahlten Tarifs (3.1); Sitzungskennung nur als Hash gespeichert (3.9).

Fassung 2.3 ersetzt Fassung 2.2 vom 12. Oktober 2026. Korrigiert: Sprachmodelle und Knoten (4.4); gekürzte IP-Adresse im Zähler von Smart Answer (4.14, 7.2); Fristen und Löschwege vom 16. Oktober 2026: Support-Anfragen ohne Konto (2.4), abgewiesene Workspace-Löschung bei laufendem bezahltem Abonnement und was nach einer Löschung bleibt (3.7), abgelaufene Sitzungen (3.9), Audit-Einträge ohne Workspace (3.11), Einwilligungsnachweise mit Projekt oder Workspace (4.11), Fristenübersicht (7.2). Ergänzt am 16. Oktober 2026: Die Live-Funktionen, die vom Land abhängen (Live-Besucherliste, Kampagnen, Einwilligungspflicht für den DSGVO-Raum), leiten es mit der lokalen Länderdatenbank aus der IP-Adresse ab (4.2, 4.5, 4.10, 4.16). Weiter ergänzt am 16. Oktober 2026: Erklärung, sich als Unternehmer und nicht als Verbraucher zu registrieren (3.1, 7.2); verschlüsseltes Geheimnis der Zwei-Faktor-Authentifizierung und Zeitpunkt seiner Bestätigung in der Sitzung (3.9, 10); Löschjournal und erneute Ausführung von Löschungen nach einer Wiederherstellung (3.7, 7.1, 7.2); Annahme der Vertragsdokumente und der Erklärung vor dem Anlegen oder Übernehmen eines Workspace, wenn sie für die aktuelle Fassung fehlt (3.1).

Fassung 2.2 ersetzt Fassung 2.1 vom 11. Oktober 2026. Korrigiert: keine getrennte Produktionsumgebung (1.1, 10); Hinweisleisten der Website (2.2); Laden von reCAPTCHA (2.7); Telefonnummer für Klick-zum-Anrufen (3.1); eigener Datendownload (3.7); Browser-Speicher des Dashboards (3.9); Inhalt der Push-Benachrichtigungen (3.10); Fehlanmeldungen ohne Konto (3.11); Speicherorte der IP-Adresse (4.2); Browser-Speicher des Widgets: rc_id, mp_-Schlüssel, rc_sig, rc_vtok und bei Einwilligung verlegte Einträge (4.3); Löschung von KI-Aufträgen ohne Gespräch (4.4); Erneuerung der Live-Besucherliste (4.5); Löschung der Kanalidentitäten (4.6); Einwilligungsnachweis bei Ablauf der Aufbewahrungsfrist (4.11); Neukodierung von Fotos (4.12); Answely, Antwort-Cache und Zugriffsprotokoll bei Smart Answer (4.14); Übersetzungen bei Anonymisierung (4.15); Wiederholungssperre der Kampagnen (4.16); lokale Datenbankkopie (7.1); Übersicht der Fristen (7.2).

Fassung 2.1 ersetzt Fassung 2.0 vom 11. Oktober 2026. Geändert: Single Sign-on, Audit-Protokoll und Pseudonyme von Agenten (3.9, 3.11); Inhalt der Push-Benachrichtigungen (3.10); AutoQA mit KI-Urteil nur für Gespräche ohne Agenten (3.11); signierte E-Mail-Adresse (4.2); Dateien der Wissensbasis und Google Drive, Bot-Aktionen mit Cal.com und Stripe des Kunden, Routing-Einordnung, Bewerbungen, geführte Abläufe (4.4); Live-Besucherliste (4.5); Kanäle Telegram, SMS und E-Mail im Einzelnen, API und MCP (4.6); Einwilligungspflicht für Besucher aus dem DSGVO-Raum (4.10); Kampagnen mit neuen Fristen und dem WhatsApp-Sperrvermerk (4.16); Anrufe, Bildschirmfreigabe und Co-Browsing (4.17); Testläufe und Versionen (4.20).

Fassung 2.6 – gültig ab 19. Oktober 2026.