Datenschutzerklärung

Hier steht, welche personenbezogenen Daten wir verarbeiten, wofür wir das tun, wer sie erhält und welche Rechte du hast. Wir unterscheiden drei Fälle: den Besuch von venne-ki.de, die Nutzung eines Kundenkontos und den Chat mit einem Bot von Venne KI auf der Website eines unserer Kunden.

1. Verantwortlicher

Venne Media GmbH
Warendorfer Str. 28, 48361 Beelen
E-Mail: info@venne-media.de
Telefon: 02586 51699-80

Geschäftsführer: Claudio Giovanniello, Michael Venne

Datenschutzkontakt: datenschutz@venne-media.de. Einen Datenschutzbeauftragten haben wir derzeit nicht benannt. Anfragen zum Datenschutz beantworten wir über diese Adresse innerhalb der gesetzlichen Fristen.

2. Unsere Rolle: drei Fälle

• A. Du besuchst venne-ki.de. Wir sind Verantwortlicher. Es gilt Abschnitt 3.
• B. Du bist Kunde und nutzt ein Konto bei Venne KI. Für die Daten deines Kontos sind wir Verantwortlicher. Es gilt Abschnitt 4. Die Inhalte, die du in deine Bots lädst, und die Chats deiner Besucher verarbeiten wir dagegen in deinem Auftrag. Dafür bist du selbst Verantwortlicher, Grundlage ist der Vertrag zur Auftragsverarbeitung (AVV) in deinem Dashboard.
• C. Du schreibst auf der Website eines unserer Kunden mit einem Bot von Venne KI. Verantwortlicher ist der Betreiber dieser Website. Wir sind sein Auftragsverarbeiter. Es gilt Abschnitt 5. Mit Fragen und Anträgen zu deinen Daten wendest du dich bitte an den Betreiber der Website.

3. Teil A: Besuch von venne-ki.de

Aufruf der Website

Bei jedem Aufruf verarbeitet unser Server technische Daten: deine IP-Adresse, den Zeitpunkt, die aufgerufene Adresse, die zuvor besuchte Seite (Referer) und Angaben zu deinem Browser (User-Agent). Wir brauchen diese Daten, um die Seite auszuliefern, Fehler zu finden und Angriffe abzuwehren. Das Zugriffsprotokoll des Webservers und die Protokolle der Anwendung löschen wir nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.

Schutz vor Angriffen und Überlastung

Damit niemand die Anmeldung, die Registrierung oder die Chat-Schnittstelle mit Anfragen überflutet, begrenzen wir, wie viele Anfragen in kurzer Zeit von einer IP-Adresse kommen dürfen. Die Zähler liegen in einem Zwischenspeicher auf unserem Server und verfallen nach spätestens einer Stunde. Wir speichern dabei nicht die IP-Adresse selbst, sondern einen Prüfwert, den wir mit einem geheimen Schlüssel daraus bilden. Ohne diesen Schlüssel lässt sich daraus nicht auf die IP-Adresse schließen. Fehlgeschlagene Anmeldungen begrenzen wir auf fünf Versuche in 15 Minuten.

Auf dem Server laufen außerdem die Schutzprogramme fail2ban und CrowdSec. Sie werten die Zugriffsprotokolle aus und sperren IP-Adressen, von denen Angriffe ausgehen. CrowdSec meldet solche IP-Adressen zusammen mit der Art des Angriffs und dem Zeitpunkt an den Anbieter CrowdSec in Frankreich. Im Gegenzug erhalten wir eine Sperrliste, zu der viele Betreiber beitragen. Eine Sperre endet nach der eingestellten Sperrdauer. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz unserer Systeme und der Daten unserer Kunden.

Kontakt per E-Mail oder Telefon

Schreibst du uns oder rufst du an, verarbeiten wir deine Angaben, zum Beispiel Name, E-Mail-Adresse, Telefonnummer und den Inhalt deiner Anfrage, um dein Anliegen zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag oder seine Anbahnung geht. In allen anderen Fällen ist es Art. 6 Abs. 1 lit. f DSGVO, unser Interesse besteht darin, Anfragen zu beantworten. Wir löschen die Anfrage, wenn sie erledigt ist und keine gesetzliche Aufbewahrungspflicht besteht. Geschäftliche Korrespondenz müssen wir in der Regel sechs Jahre aufbewahren (§ 257 HGB, § 147 AO).

4. Teil B: Kundenkonto

Registrierung und Konto

Für ein Konto brauchen wir deine E-Mail-Adresse und ein Passwort. Meldest du dich über einen Drittanbieter an (siehe unten), brauchst du kein Passwort. Ein Passwort speichern wir ausschließlich als Hash mit einem aktuellen Verfahren, nie im Klartext. Außerdem speichern wir den Zeitpunkt der Registrierung und der letzten Änderung, ob deine E-Mail-Adresse bestätigt ist, deine Rolle im System und dein Guthaben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag).

Eine gesetzliche Pflicht, uns diese Daten zu geben, besteht nicht. Ohne E-Mail-Adresse können wir aber kein Konto anlegen, und ohne Konto lässt sich Venne KI nicht nutzen.

In deinem Konto liegen außerdem deine Bots mit ihren Einstellungen und Wissensinhalten. Diese Inhalte verarbeiten wir in deinem Auftrag (Abschnitt 2, Fall B).

Anmeldung über Drittanbieter

Soweit wir die Anmeldung mit einem Konto bei Google, Microsoft, LinkedIn oder GitHub anbieten und du sie nutzt, leiten wir dich zu diesem Anbieter weiter. Dabei überträgt dein Browser Daten direkt an den Anbieter, zum Beispiel deine IP-Adresse. Wir fragen dort nur die Angaben zu deinem Profil und deine E-Mail-Adresse ab (bei Google, Microsoft und LinkedIn die Berechtigungen openid, email und profile, bei GitHub read:user und user:email).

Nach deiner Freigabe erhalten wir vom Anbieter deine Kennung bei diesem Anbieter, deine E-Mail-Adresse, die Angabe, ob der Anbieter diese Adresse bestätigt hat, und deinen Namen, falls der Anbieter ihn mitliefert. Wir speichern nur den Anbieter, die Kennung, die E-Mail-Adresse sowie den Zeitpunkt der Verknüpfung und der letzten Anmeldung über diesen Anbieter. Den Namen und Zugriffsschlüssel des Anbieters speichern wir nicht. Wir veröffentlichen nichts in deinem Namen und lesen keine Kontakte.

Wird ein Anbieter neu mit deinem Konto verknüpft, schicken wir dir zur Sicherheit eine Hinweis-E-Mail. Eine Verknüpfung kannst du jederzeit in deinem Konto trennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Für die Verarbeitung beim Anbieter ist der jeweilige Anbieter selbst verantwortlich, es gelten seine Datenschutzhinweise. Diese Anbieter verarbeiten Daten auch in den USA (Abschnitt 8).

Weitere Daten im Konto

• Zwei-Faktor-Anmeldung: Schaltest du sie ein, speichern wir den geheimen Schlüssel für deine Authenticator-App verschlüsselt und deine Ersatzcodes nur als Hash.
• Vertrag zur Auftragsverarbeitung (AVV): Wenn du den AVV im Dashboard annimmst, speichern wir als Nachweis die Firma, den Namen der Person, die annimmt, die Version und einen Hash des Vertragstextes, den Zeitpunkt und einen mit einem geheimen Schlüssel gebildeten Hash deiner IP-Adresse. Die IP-Adresse selbst speichern wir nicht.
• Einladungen: Lädst du Teammitglieder zu einem Bot ein oder lädt eine Agentur Kunden ein, speichern wir die E-Mail-Adresse der eingeladenen Person, ihre Rolle, den Stand der Einladung und die Zeitpunkte. Die Einladung verschicken wir per E-Mail (siehe „E-Mails zum Konto“). Gib bitte nur Adressen von Personen an, die damit einverstanden sind.
• Agenturen: Betreut dich eine Agentur, speichern wir die Zuordnung zu dieser Agentur, die für dich hinterlegten Preise und Rechnungen, die die Agentur für dich hochlädt. Den Inhalt deiner Chats sieht die Agentur nur, wenn du das im Dashboard freigibst. Ohne Freigabe sieht sie nur Statistiken.
• API-Schlüssel: Wir speichern den Namen, den du vergibst, den Anfang des Schlüssels zur Wiedererkennung, einen Hash des Schlüssels sowie die Zeitpunkte der Erstellung und der letzten Nutzung.
• Eingriffe unserer Administratoren: Ändern unsere Administratoren etwas an deinem Konto, zum Beispiel dein Guthaben oder einen Sonderpreis, halten wir das in einem internen Protokoll fest. Es nennt dein Konto über eine interne Nummer und einen Hash deiner E-Mail-Adresse. Wir löschen die Einträge drei Jahre nach Ende des Jahres, in dem sie entstanden sind.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Für den Nachweis der AVV-Annahme und für das interne Protokoll zusätzlich Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Vertragsschlüsse und Eingriffe in Konten nachweisen zu können.

E-Mails zum Konto

Wir schicken dir E-Mails, die dein Konto betreffen: die Bestätigung deiner E-Mail-Adresse, den Link zum Zurücksetzen des Passworts, Einladungen, Hinweise bei niedrigem oder aufgebrauchtem Guthaben und Sicherheitshinweise, zum Beispiel wenn ein Anmelde-Anbieter neu mit deinem Konto verknüpft wurde. Inhalte aus Chats verschicken wir nicht per E-Mail.

Alle diese E-Mails versenden wir über den Dienst Postmark der AC PM LLC (Chicago, USA), die zu ActiveCampaign gehört. Postmark erhält dafür die E-Mail-Adresse des Empfängers und den Inhalt der E-Mail. Nach Angaben des Anbieters werden Inhalt und Versanddaten dort 45 Tage gespeichert. Zur Übermittlung in die USA siehe Abschnitt 8. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Bei Sicherheitshinweisen zusätzlich Art. 6 Abs. 1 lit. f DSGVO, unser Interesse ist der Schutz deines Kontos.

Guthaben, Pakete und Abrechnung

Wir rechnen den KI-Verbrauch gegen dein Guthaben oder dein Paket ab. Dafür speichern wir je Antwort technische Werte wie das verwendete Modell, die Verbrauchsmenge und die Kosten. Zu Aufladungen und Paketen speichern wir den Betrag oder das Paket, den Status, die Zeitpunkte, die Kennungen des Vorgangs bei Stripe und den Link zur Rechnung.

Zahlungen laufen über Stripe Payments Europe, Limited (Dublin, Irland). Wir übergeben an Stripe nur deine E-Mail-Adresse, den Betrag oder das gewählte Paket und interne Kennungen (deine Kontonummer bei uns und die Art der Buchung). Zahlungsmittel, Rechnungsadresse und gegebenenfalls deine Umsatzsteuer-ID gibst du direkt auf der Bezahlseite von Stripe ein. Diese Angaben speichern wir nicht. Stripe erstellt auch die Rechnung. In unserem Stripe-Konto können wir Zahlungen und Rechnungen einsehen. Stripe wird teils in unserem Auftrag tätig und teils in eigener Verantwortung, zum Beispiel bei der Betrugsvorbeugung und bei gesetzlichen Pflichten eines Zahlungsdienstes.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten aus Handels- und Steuerrecht). Zur Aufbewahrung siehe Abschnitt 11.

5. Teil C: Chats auf Websites unserer Kunden

Schreibst du auf der Website eines unserer Kunden mit einem Bot von Venne KI, entscheidet der Betreiber dieser Website über Zweck und Rechtsgrundlage der Verarbeitung. Er ist Verantwortlicher im Sinne der DSGVO, wir sind sein Auftragsverarbeiter (Art. 28 DSGVO). Maßgeblich ist deshalb die Datenschutzerklärung dieser Website.

Auskunft, Löschung und andere Anträge zu deinen Chat-Daten richtest du bitte an den Betreiber der Website. Er kann Chats in seinem Dashboard einsehen, exportieren, sperren und löschen. Erreicht uns ein solcher Antrag, leiten wir ihn an den Betreiber weiter.

Welche Daten dabei anfallen

• deine Nachrichten und die Antworten des Bots im Klartext,
• eine zufällige Sitzungskennung, die Zeitpunkte und die Zahl der Nachrichten,
• technische Werte je Antwort (verwendetes KI-Modell, Verbrauch, Kosten, Dauer, verwendete Textausschnitte) und deine Bewertung, falls du eine Antwort bewertest,
• beim Laden des Chatfensters und bei jeder Nachricht deine IP-Adresse, Angaben zu deinem Browser und die Adresse der einbindenden Website im Zugriffsprotokoll (Abschnitt 3, Löschung nach 14 Tagen),
• eine Besucherkennung nur dann, wenn der Betreiber eine eigene Anbindung nutzt, die eine solche Kennung mitsendet. Das von uns gelieferte Chatfenster sendet keine.

Wir speichern keinen Namen und kein Konto von dir. Schreibst du selbst persönliche Angaben in den Chat, werden sie als Teil der Nachricht gespeichert. Im Chat kannst du nur Text senden, keine Bilder, Dateien oder Sprachaufnahmen.

Nachweis der Einwilligung

Zeigt der Betreiber vor dem ersten Chat einen Einwilligungshinweis (das ist die Voreinstellung), speichern wir als Nachweis den Zeitpunkt, eine Kennung der Textfassung, der du zugestimmt hast, die Angabe zu deinem Browser (gekürzt auf 120 Zeichen) und einen mit einem geheimen Schlüssel gebildeten Hash deiner IP-Adresse. Die IP-Adresse selbst speichern wir dabei nicht.

Was an KI-Anbieter geht

Damit der Bot antworten kann, senden wir an den KI-Anbieter, dessen Modell der Betreiber für seinen Bot nutzt:

• deine aktuelle Frage,
• den bisherigen Gesprächsverlauf, begrenzt auf die jüngsten 12 Nachrichten und 12.000 Zeichen,
• die Systemanweisung, die der Betreiber für seinen Bot hinterlegt hat,
• die Ausschnitte aus der Wissensbasis des Betreibers, die zu deiner Frage passen.

Um passende Ausschnitte zu finden, geht deine Frage vorher an den KI-Anbieter Nebius. Er bereitet die Suchanfrage auf und wandelt sie in einen Vektor um. Bei kurzen Folgefragen ergänzen wir die Suchanfrage um deine letzten Fragen. Ist die Neusortierung der Treffer eingeschaltet (das ist die Voreinstellung), gehen deine Frage und die infrage kommenden Ausschnitte aus der Wissensbasis zusätzlich an den Anbieter Jina AI. Daten aus dem Kundenkonto, Zahlungsdaten und Anmeldedaten gehen nicht an KI-Anbieter. Welche Anbieter das sind, steht in Abschnitt 7.

DSGVO-Modus

Der Betreiber kann für seinen Bot den DSGVO-Modus einschalten, im Dashboard heißt er auch „Datenschutz-Modus“. In der Voreinstellung ist er aus. Der Modus sucht mit festen Regeln nach persönlichen Angaben in deiner Frage, im Gesprächsverlauf und in den Ausschnitten aus der Wissensbasis. Erkannte Angaben ersetzt er durch Platzhalter, bevor sie an den KI-Anbieter gehen. In der Antwort setzen wir die ursprünglichen Werte auf unserem Server wieder ein.

Erkannt werden zum Beispiel E-Mail-Adressen, Telefonnummern, IBAN, Kreditkartennummern, Anschriften und Postleitzahl mit Ort. Namen erkennt der Modus nur, wenn sie mit einer Anrede oder einem Titel stehen (zum Beispiel „Herr“, „Frau“ oder „Dr.“) oder mit einer Einleitung wie „Ich bin“ oder „Mein Name ist“.

Der DSGVO-Modus ist eine zusätzliche technische Schutzmaßnahme. Für die Rechtsgrundlage der Verarbeitung und für den zulässigen Einsatz des Bots bleibt der Betreiber verantwortlich.

Webhook des Betreibers

Hat der Betreiber eine eigene Schnittstelle hinterlegt (Webhook), senden wir nach einer Antwort deine Frage und die Antwort im Klartext an die von ihm angegebene Adresse. Dasselbe gilt für Fragen, die der Bot nicht beantworten konnte. Die Übertragung ist verschlüsselt und signiert. Für den Empfänger ist der Betreiber verantwortlich.

Wer die Chats lesen kann

Der Betreiber des Bots und die Teammitglieder, die er eingeladen hat. Eine Agentur, die den Betreiber betreut, nur dann, wenn er das ausdrücklich freigegeben hat. Unsere Administratoren können zugreifen, soweit das für Betrieb, Fehlersuche und Support nötig ist.

Speicherdauer der Chats

Chats löschen wir spätestens 12 Monate nach der letzten Aktivität in der Sitzung. Der Betreiber kann sie früher löschen. Löscht er den Bot oder sein Konto, werden die Chats mitgelöscht. Zu Sicherungskopien siehe Abschnitt 11.

6. Cookies und Speicher im Browser

Wir setzen keine Cookies zur Analyse, zur Reichweitenmessung oder für Werbung ein. Schriften und Symbole liefern wir vom eigenen Server aus. Wir nutzen nur das Folgende:

• Sitzungs-Cookie (PHPSESSID): wird gesetzt, wenn du dich anmeldest oder eine Seite eine Sitzung braucht. Es hält dich angemeldet. Es endet, wenn du den Browser schließt. Auf dem Server verfällt die Sitzung nach einer Stunde ohne Aktivität.
• Anmelde-Cookie (REMEMBERME): nur wenn du bei der Anmeldung „Auf diesem Gerät angemeldet bleiben“ auswählst. Laufzeit 30 Tage.
• Kurzlebiges Schutz-Cookie für Formulare: Wenn du ein Formular absendest, setzt die Seite für diesen einen Vorgang ein Cookie mit einem Zufallswert. Sein Name beginnt mit csrf-token, auf verschlüsselten Verbindungen mit __Host-csrf-token. Es schützt davor, dass fremde Seiten in deinem Namen Formulare absenden. Nach dem Absenden wird es wieder gelöscht, spätestens wenn du den Browser schließt.
• Lokaler Speicher im Dashboard (localStorage): vc:docs-expert merkt sich, ob du in der Dokumentenliste die Expertenansicht eingeschaltet hast. vc:design-mode merkt sich, ob du auf der Design-Seite die Standard- oder die Expertenansicht nutzt. Beide Einträge enthalten nur diese Einstellung. Sie bleiben, bis du die Websitedaten in deinem Browser löschst.
• Sitzungsspeicher im Chatfenster (sessionStorage): vc:consent:<Bot-ID> merkt sich, dass du dem Hinweis zugestimmt hast. vc:consent:<Bot-ID>:v merkt sich die Fassung des Hinweises. vc:session:<Bot-ID> enthält die zufällige Sitzungskennung, damit dein Gespräch im selben Tab weiterläuft. Alle drei Einträge verschwinden, wenn du den Tab schließt. Das Chatfenster setzt keine Cookies und nutzt keinen dauerhaften Speicher.

Rechtsgrundlage für das Speichern und Auslesen im Browser: § 25 Abs. 2 Nr. 2 TDDDG. Die Einträge sind unbedingt erforderlich, damit wir den von dir ausdrücklich gewünschten digitalen Dienst bereitstellen können. Eine Einwilligung ist dafür nicht nötig.

7. Empfänger

Wir geben Daten nur an Stellen weiter, die wir für den Betrieb brauchen oder denen wir sie geben müssen:

• Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen. Hetzner stellt als technischer Dienstleister den Server in einem Rechenzentrum in Deutschland bereit. Dort liegen alle Daten von Venne KI einschließlich der Sicherungskopien.
• KI-Anbieter: Nebius B.V. (Niederlande) für die Antworten, die Aufbereitung der Suchanfrage und die Berechnung von Vektoren aus Fragen und Wissensinhalten. Jina AI GmbH (Berlin, Teil von Elastic N.V.) für die Neusortierung der Treffer. Was sie erhalten, steht in Abschnitt 5 und 9.
• E-Mail-Versand: Postmark, AC PM LLC (USA), siehe Abschnitt 4.
• Zahlung: Stripe Payments Europe, Limited (Irland), siehe Abschnitt 4.
• Schutz vor Angriffen: CrowdSec (Frankreich) erhält IP-Adressen, von denen Angriffe ausgingen, siehe Abschnitt 3.
• Anmelde-Anbieter: Google, Microsoft, LinkedIn oder GitHub, wenn du dich darüber anmeldest, siehe Abschnitt 4.
• Beratung und Behörden: Soweit es gesetzlich vorgeschrieben oder zur Erfüllung unserer Pflichten nötig ist, erhalten Steuerberatung und Wirtschaftsprüfung, Finanzbehörden, andere Behörden, Gerichte und Rechtsberater Daten.

Die aktuelle Liste der Dienstleister, die wir für Kundendaten einsetzen, steht unter Subprozessoren. Wie lange ein Anbieter Anfragen bei sich speichert, richtet sich nach seinen Bedingungen, die dort verlinkt sind. Nach den Bedingungen der KI-Anbieter werden die Inhalte nicht zum Training ihrer Modelle verwendet. Auch wir trainieren mit Chats und Wissensinhalten keine KI-Modelle.

8. Übermittlung in Länder außerhalb der EU

Ein Teil der Empfänger verarbeitet Daten außerhalb der EU und des Europäischen Wirtschaftsraums. Für die USA hat die EU-Kommission festgestellt, dass Unternehmen, die nach dem EU-US Data Privacy Framework zertifiziert sind, ein angemessenes Datenschutzniveau bieten (Angemessenheitsbeschluss vom 10.07.2023, Art. 45 DSGVO). Ob ein Empfänger zertifiziert ist, prüfen wir auf der offiziellen Liste unter dataprivacyframework.gov. Im Einzelnen:

• Postmark (USA): E-Mails zum Konto werden in den USA verarbeitet. Die AC PM LLC (Postmark) ist über ihre Muttergesellschaft ActiveCampaign, LLC nach dem EU-US Data Privacy Framework zertifiziert. Zusätzlich enthält die Vereinbarung des Anbieters zur Auftragsverarbeitung die Standardvertragsklauseln der EU-Kommission.
• Stripe (Irland, USA): Stripe Payments Europe übermittelt Daten an die Stripe, LLC in den USA. Die Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln.
• Nebius (Niederlande, weltweit): Unser Vertragspartner sitzt in den Niederlanden. Nach den Angaben des Anbieters kann die Verarbeitung der Anfragen aber auch in Rechenzentren außerhalb der EU stattfinden, unter anderem in den USA, in Israel, in Kanada und im Vereinigten Königreich. Der Ort wird je Anfrage vom Anbieter festgelegt. Soweit für ein Land ein Angemessenheitsbeschluss der EU-Kommission besteht, stützt sich die Übermittlung darauf. Für andere Länder sieht die Vereinbarung des Anbieters Standardvertragsklauseln vor.
• Jina AI (Deutschland, USA): Unser Vertragspartner ist die Jina AI GmbH in Berlin. Sie gehört zu Elastic und verarbeitet nach dem Auftragsverarbeitungsvertrag von Elastic. An welchem Ort die Anfragen verarbeitet werden, gibt der Anbieter nicht an. Soweit Daten an die Elasticsearch, Inc. in den USA gehen, ist diese nach dem EU-US Data Privacy Framework zertifiziert.
• CrowdSec (Frankreich): Der Anbieter sitzt in Frankreich und nutzt Rechenzentren von Amazon und Google. An welchem Ort sie stehen, gibt er nicht an.
• Anmelde-Anbieter (USA): Google, Microsoft, LinkedIn und GitHub verarbeiten Daten auch in den USA, wenn du dich über sie anmeldest. Sie sind dafür selbst verantwortlich. Alle vier sind nach dem EU-US Data Privacy Framework zertifiziert.

Möchtest du mehr über die Garantien für eine Übermittlung wissen oder eine Kopie davon erhalten, schreib an datenschutz@venne-media.de.

9. Einlesen von Websites und Dokumenten

Trägst du als Kunde eine Website als Wissensquelle ein, ruft unser Crawler die öffentlich erreichbaren Seiten dieser Website ab. Er bleibt auf der Domain und in dem Pfad, den du angegeben hast, und liest auch die Sitemap. Du lässt damit deine eigene Website einlesen. Deshalb wertet der Crawler die Datei robots.txt und das Attribut nofollow nicht aus. Trage nur Websites ein, über die du verfügen darfst. Welche der gefundenen Seiten in die Wissensbasis kommen, wählst du vor dem Anlernen selbst aus.

Den Text der ausgewählten Seiten und der Dokumente, die du hochlädst, speichern wir in Abschnitten in unserer Datenbank. Zur Berechnung von Vektoren gehen diese Abschnitte unverändert an den KI-Anbieter Nebius. Die Vektoren liegen in unserer Vektordatenbank auf dem eigenen Server. Beim Anlernen findet keine Prüfung auf personenbezogene Daten statt.

Enthalten die Inhalte personenbezogene Daten Dritter, zum Beispiel Namen und Kontaktdaten auf einer Team-Seite, bist du als Verantwortlicher dafür zuständig, dass es dafür eine Rechtsgrundlage gibt (Art. 6 DSGVO) und dass die betroffenen Personen informiert sind (Art. 14 DSGVO).

10. KI-Einsatz und automatisierte Entscheidungen

Venne KI erzeugt Antworten mit generativen KI-Modellen (Large Language Models). Die Antworten werden statistisch berechnet und können falsch, unvollständig oder unpassend sein.

Wir treffen keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO. Der Bot gibt Auskünfte auf Grundlage der Inhalte, die der Betreiber bereitgestellt hat.

Hinweis auf die KI (Art. 50 der Verordnung (EU) 2024/1689): Das Chatfenster kennzeichnet sich immer als KI. Standardmäßig steht dazu eine Hinweiszeile im Fenster. Blendet ein Betreiber diese Zeile aus, zeigt das Chatfenster im Kopf dauerhaft die Kennzeichnung „KI“. Diese Kennzeichnung lässt sich nicht abschalten, und unsere AGB verbieten den Betreibern, sie zu verdecken.

11. Speicherdauer und Löschung

• Konto: bis du es löschst. Das geht jederzeit im Dashboard unter „Konto“. Mit dem Konto löschen wir deine Bots mit Wissensinhalten und Chats, deine API-Schlüssel, die Daten der Zwei-Faktor-Anmeldung, Verknüpfungen mit Anmelde-Anbietern, Einladungen und Mitgliedschaften, die AVV-Annahme, die bei uns gespeicherten Aufladungen und Paketdaten sowie Rechnungen, die eine Agentur für dich hochgeladen hat. Ein laufendes Paket kündigen wir bei Stripe zum Ende des Abrechnungszeitraums.
• Chats: längstens 12 Monate nach der letzten Aktivität in der Sitzung, siehe Abschnitt 5.
• Wissensinhalte und Vektoren: bis du das Dokument oder den Bot löschst oder die Quelle neu anlernst.
• Zugriffsprotokoll des Webservers und Protokolle der Anwendung: 14 Tage.
• E-Mails beim Versanddienst Postmark: nach Angaben des Anbieters 45 Tage.
• Internes Protokoll über Eingriffe unserer Administratoren: drei Jahre nach Ende des Jahres, in dem der Eintrag entstand.
• Rechnungen und Buchungsbelege: Dafür gelten gesetzliche Aufbewahrungsfristen. Für Buchungsbelege sind es seit 2025 acht Jahre, für Handels- und Geschäftsbriefe sechs Jahre (§ 147 AO, § 257 HGB). Diese Pflichten gehen einem Löschwunsch vor. Die Rechnungen zu deinen Zahlungen erstellt und speichert Stripe.

Sicherungskopien: Wir sichern die Datenbank und die hochgeladenen Dateien täglich. Gelöschte Daten können deshalb noch bis zu 14 Tage in Sicherungskopien enthalten sein, Sicherungen der Vektordatenbank bis zu 3 Tage. Danach werden die Sicherungen automatisch gelöscht. Sie liegen auf demselben Server in Deutschland.

12. Deine Rechte

Du hast nach der DSGVO das Recht auf:

• Auskunft über die Daten, die wir zu deiner Person verarbeiten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch (Art. 21), siehe Abschnitt 13,
• Beschwerde bei einer Aufsichtsbehörde (Art. 77), siehe Abschnitt 14.

Es genügt eine formlose E-Mail an datenschutz@venne-media.de. Als Kunde kannst du vieles selbst erledigen: Im Dashboard unter „Konto“ lädst du deine Daten als ZIP-Datei herunter und löschst dein Konto. Hast du auf der Website eines unserer Kunden gechattet, wende dich bitte an den Betreiber dieser Website (Abschnitt 5).

Widerruf einer Einwilligung: Beruht eine Verarbeitung auf deiner Einwilligung, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Verarbeitung bis zum Widerruf bleibt rechtmäßig. Wir selbst stützen derzeit keine Verarbeitung auf eine Einwilligung. Die Einwilligung im Chatfenster holt der jeweilige Betreiber ein. Dein Browser merkt sie sich nur, bis du den Tab schließt. Vorher kannst du sie im Chatfenster über „Einwilligung widerrufen“ zurücknehmen. Das Chatfenster löscht dann seine Einträge in deinem Browser und fragt vor dem nächsten Chat neu.

13. Dein Widerspruchsrecht

14. Aufsichtsbehörde

Du kannst dich bei jeder Datenschutz-Aufsichtsbehörde beschweren, zum Beispiel an deinem Wohnort. Für uns zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2-4, 40213 Düsseldorf
Postfach 20 04 44, 40102 Düsseldorf
Telefon: 0211 38424-0
E-Mail: poststelle@ldi.nrw.de
www.ldi.nrw.de

15. Änderungen und Stand

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung oder die Rechtslage ändert. Die aktuelle Fassung steht immer auf dieser Seite. Stand: 21.09.2026.