Datenschutzerklärung

Wer ist verantwortlich für die Datenerfassung auf dieser Website?

Die Datenverarbeitung auf dieser Website erfolgt durch den Websitebetreiber. Dessen Kontaktdaten kannst du dem Impressum dieser Website entnehmen.

Wie erfassen wir deine Daten?

Deine Daten werden zum einen dadurch erhoben, dass du uns diese mitteilst. Hierbei kann es sich z. B. um Daten handeln, die du in ein Kontaktformular eingibst oder bei der Registrierung angibst. Andere Daten werden bei der Nutzung der Website automatisch und je nach Funktion über Browser-Speicher, Analytics-, Sicherheits- und Missbrauchspräventionssysteme erfasst. Das sind vor allem technische Daten (z. B. Internetbrowser, Betriebssystem, Uhrzeit des Seitenaufrufs, Geräteinformationen und pseudonyme Kennungen).

Wofür nutzen wir deine Daten?

Ein Teil der Daten wird erhoben, um die Website sicher und fehlerfrei bereitzustellen. Weitere Daten verarbeiten wir, um Anfragen über das Kontaktformular zu beantworten, die Warteliste zu führen, Registrierungen bis zum Start nur mit Einladung zuzulassen, Konten zu verwalten und anzumelden, systemkritische E-Mails zu senden, Zahlungen abzuwickeln, die KI-Agenten von Corgent bereitzustellen, Missbrauch und Sicherheitsvorfälle zu verhindern und Fehler zu finden. Mit gesonderter Einwilligung kommen Produktanalyse im Browser und Newsletter hinzu.

Wo wir verarbeiten

Die Datenbank, Dateien und die Anmeldung liegen bei Supabase in Frankfurt (eu-central-1). Anwendung, Hintergrunddienste, Website und Cache betreibt Railway in den Niederlanden (europe-west4). Die Dienstprotokolle der Anwendung (aufgerufene Pfade ohne Parameter, Statuscodes, Zeitpunkte, gekürzter Browser-Typ, IP-Adresse nur als nicht umkehrbarer Schlüssel-Hash, geschwärzte Fehlermeldungen; keine Inhalte) speichert Railway in den USA (Region US West); dafür gelten Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). E-Mails versenden wir über Resend in der EU-Region (Irland), Fehler überwachen wir mit Sentry mit Speicherung in Frankfurt, Produktanalyse läuft über die PostHog EU Cloud in Frankfurt. Supabase, Railway, Resend, Sentry und PostHog sind Unternehmen mit Sitz in den USA; auch wenn die Daten in der EU liegen, ist ein Zugriff nach US-Recht nicht ausgeschlossen. Dafür gelten die Standardvertragsklauseln der Anbieter. Inhalte von Chats, Dokumenten und Aufgabenläufen verschlüsseln wir zusätzlich selbst.

Liste der Dienstleister

Alle Dienstleister, die personenbezogene Daten in unserem Auftrag verarbeiten, stehen mit Sitz, Zweck, Datenkategorien, Verarbeitungsort, Übermittlungsgrundlage und der Bedingung, unter der sie Daten erhalten, unter /auftragsverarbeiter. Die Liste kommt live aus unserem Server und zeigt nur Dienstleister, die in der aktuellen Konfiguration Daten erhalten können. Brave Search und ipapi.co (beide USA) sind derzeit abgeschaltet und erscheinen dort erst, wenn wir sie nach Abschluss eines Vertrags einschalten. Übermittlungen in Drittländer erfolgen nur nach Kapitel V DSGVO (Angemessenheitsbeschluss, insbesondere EU-U.S. Data Privacy Framework, oder Standardvertragsklauseln). Eine Kopie der Standardvertragsklauseln erhältst du auf Anfrage an mk@corgent.ai.

Cookies

Unsere Internetseiten verwenden Cookies und vergleichbare Browser-Speichermechanismen wie Local Storage. Diese Technologien richten auf deinem Endgerät keinen Schaden an. Ein Teil davon ist technisch notwendig für Authentifizierung (Login-Status), CSRF-Schutz, Sicherheit und das Kernverhalten der Anwendung (Rechtsgrundlage: § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b/f DSGVO). Optionale Analytics-, Diagnose-, Kampagnenzuordnungs- und Widget-Analytics-Speicher werden erst nach deiner vorherigen Einwilligung über die Cookie-Einstellungen oder Auth-Checkboxen verwendet (Rechtsgrundlage: § 25 Abs. 1 TDDDG sowie Art. 6 Abs. 1 lit. a DSGVO). Du kannst die Einwilligung jederzeit über die Cookie-Einstellungen im Footer ändern oder widerrufen.

Registrierung und Konto

Für ein Konto verarbeiten wir E-Mail-Adresse, Name, Anmeldedaten (Passwort-Hash, Passkeys, zweiter Faktor), gegebenenfalls Organisationsangaben und deine Bestätigung, dass du Corgent als Unternehmer im Sinne von § 14 BGB nutzt, zusammen mit der Fassung der Nutzungsbedingungen, des Auftragsverarbeitungsvertrags und dieser Datenschutzerklärung, die du gesehen hast. Zweck sind Einrichtung und Verwaltung des Kontos, Anmeldung, Abrechnung, die Bereitstellung der Dienste und kontobezogene Nachrichten. Für die Anmeldung nutzen wir Supabase in Frankfurt; Organisationen können Single Sign-on und eine Benutzerverwaltung über SCIM einrichten, dann liefert ihr Identitätsanbieter die Nutzerdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Nachweise der Zustimmung und der Unternehmerbestätigung Art. 6 Abs. 1 lit. c i. V. m. Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO, für Sicherheit und Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO. Wir speichern die Kontodaten, solange das Konto besteht.

Anmeldung mit Google, Microsoft, GitHub oder Apple

Statt mit E-Mail und Passwort kannst du dich mit einem Konto bei Google, Microsoft oder GitHub registrieren und anmelden, in der Mobil-App auch mit Apple. Wir leiten dich dann zum Anbieter weiter; dein Passwort dort erfahren wir nicht. Wir erhalten vom Anbieter die Kennung deines Kontos, deine E-Mail-Adresse und, soweit vorhanden, Namen und Profilbild-Adresse, speichern sie über Supabase in Frankfurt und übernehmen sie in dein Profil. Das Profilbild lädt dein Browser beim Anzeigen direkt beim Anbieter, der dabei deine IP-Adresse erfährt. Zugriff auf Postfach, Kalender oder Dateien erhalten wir durch die Anmeldung nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Anmeldung über einen Anbieter ist freiwillig. Für die Anmeldung beim Anbieter selbst ist dieser verantwortlich: Google Ireland Limited (https://policies.google.com/privacy), Microsoft Ireland Operations Limited (https://privacy.microsoft.com/privacystatement), GitHub, Inc. (https://docs.github.com/site-policy/privacy-policies/github-general-privacy-statement) und Apple (https://www.apple.com/legal/privacy/).

Warteliste, Freischaltung und Einladungen

Bis zum Start ist die Registrierung nur mit Einladung oder Freischaltung möglich. Trägst du dich in die Warteliste ein, speichern wir deine E-Mail-Adresse und deine Einwilligung, um dich über den Start zu informieren (Art. 6 Abs. 1 lit. a DSGVO); wir löschen den Eintrag nach 365 Tagen oder wenn du die Einwilligung widerrufst. Schalten wir dich frei, steht deine E-Mail-Adresse oder Domain auf einer Freischaltliste, die nur unser Team pflegt (Art. 6 Abs. 1 lit. b DSGVO); wir leeren sie nach dem Start. Lädt dich ein Mitglied in seine Organisation ein, speichern wir deine E-Mail-Adresse, die einladende Organisation und die Rolle und schicken dir die Einladung per E-Mail über Resend (Art. 6 Abs. 1 lit. f DSGVO, unser und das Interesse der Organisation an der Zusammenarbeit); die Einladung löschen wir 30 Tage nach Ablauf des Links.

Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir Namen, E-Mail-Adresse, Betreff und Nachricht, um deine Anfrage zu beantworten, und zum Schutz vor Missbrauch einen nicht umkehrbaren Schlüssel-Hash deiner IP-Adresse und die Kennung deines Browsers (User-Agent). Die Anfrage liegt in unserer Datenbank bei Supabase in Frankfurt; lesen kann sie nur unser Team. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Anfrage einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO (Interesse, Anfragen zu beantworten und das Formular vor Missbrauch zu schützen). Wir löschen Anfragen nach 365 Tagen, es sei denn, aus der Anfrage ist ein Vertrag entstanden. Werbung schicken wir an Adressen aus dem Formular nicht, solange kein bestätigtes Opt-in (Double-Opt-In) vorliegt.

E-Mail-Adresse und Kommunikation

Deine E-Mail-Adresse speichern wir als Bestandteil deines Kontos. Systemkritische und transaktionale E-Mails (z. B. Anmelde-/Verifizierungsbestätigungen, Passwort-Reset, Sicherheitsinformationen, Abrechnungsbelege, Breaking Changes/Breaking Updates zur Dienstverfügbarkeit) sind für den Vertragsbetrieb erforderlich und bedürfen keiner gesonderten Werbeeinwilligung (Art. 6 Abs. 1 lit. b DSGVO; vgl. auch Abgrenzung zu § 7 UWG). Reguläre Newsletter und werbliche Produkt-Updates sind hiervon ausgeschlossen und werden nur nach gesonderter, widerruflicher Einwilligung versendet.

Push-Benachrichtigungen der Mobil-App

Wenn du dich in der Corgent-Mobil-App anmeldest und Benachrichtigungen erlaubst, speichern wir das Push-Token deines Geräts, den Gerätenamen und die App-Version. Benachrichtigungen (etwa zu Freigaben, Aufgabenläufen oder Nachrichten von Agenten) senden wir über den Push-Dienst von Expo (650 Industries, Inc., USA), der sie an Apple oder Google weiterleitet. Expo erhält Titel und Text der Benachrichtigung und Kennungen zum Öffnen; die ersten Zeilen einer Agenten-Nachricht nur, wenn du die Vorschau auf deinem Gerät einschaltest (standardmäßig aus). Die Übermittlung in die USA stützt sich auf das EU-U.S. Data Privacy Framework (Art. 45 DSGVO), nach dem Expo nach eigener Angabe zertifiziert ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Das Token löschen wir, wenn du dich abmeldest oder Expo es als ungültig meldet.

Website-Widget (Embed)

Wenn du unser Website-Widget auf einer Seite einbindest oder im Testmodus nutzt, kann das Widget nach deiner Einwilligung in die Cookie-Kategorie Analyse First-Party-Cookies setzen, insbesondere corgent_visitor_id (pseudonyme Besucherkennung, bis zu 365 Tage), corgent_attribution (Kampagnen-/Click-IDs, bis zu 90 Tage) sowie hilfsweise corgent_returning, corgent_first_seen und corgent_user_id. Ohne Analyse-Einwilligung werden diese Cookies nicht gesetzt; eine nur im Arbeitsspeicher gehaltene Kennung kann für die laufende Chat-Sitzung genutzt werden. Bei Widerruf der Analyse-Einwilligung löschen wir die genannten Widget-Cookies. Ereignisübermittlung an unsere Server erfolgt ebenfalls nur mit Einwilligung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Stripe

Wir nutzen Stripe zum Aufladen deines plattformgebundenen Guthabens. Anbieter für Kunden innerhalb der EU ist Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Bei Zahlungen werden Zahlungs- und Identifikationsdaten an Stripe übermittelt. Die Übermittlung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung) sowie unseres berechtigten Interesses an einem sicheren und effizienten Zahlungs- und Betrugspräventionsprozess gemäß Art. 6 Abs. 1 lit. f DSGVO. Details entnimm bitte der Datenschutzerklärung von Stripe unter: https://stripe.com/de/privacy.

Wer KI-Anfragen bearbeitet

Wenn du die KI-Agenten nutzt, gehen deine Eingaben (Prompts), Anhänge, der Gesprächsverlauf und Nutzungsmetadaten an Sprachmodelle, um Antworten zu erzeugen. Dafür nutzen wir standardmäßig OpenRouter, Inc. (USA) als Vermittler, und zwar über dessen EU-Endpunkt. Jede Anfrage ist auf die Betreiber festgelegt, die wir für das jeweilige Modell erfasst haben; das sind in der EU niedergelassene Gesellschaften: Microsoft Ireland Operations Limited (Azure OpenAI), Amazon Web Services EMEA SARL (Bedrock, Irland), Google Cloud EMEA Limited (Vertex AI) und Mistral AI SAS (Frankreich). Die Modelle laufen damit in der EU. Die Autoren der Modelle (etwa OpenAI oder Anthropic) erhalten keine Daten. Für jede Anfrage verlangen wir Zero Data Retention und data_collection=deny: Die Betreiber speichern deine Inhalte nicht und nutzen sie nicht zum Training. Zwei Einschränkungen nennen wir ausdrücklich: Erstens sind OpenRouter und die Konzernmütter von Microsoft, Amazon und Google Unternehmen mit Sitz in den USA; für Konto- und Nutzungsdaten bei OpenRouter und für einen möglichen Zugriff nach US-Recht gelten Standardvertragsklauseln. Zweitens liest OpenRouter PDF-Anhänge für Modelle, die PDFs nicht selbst verarbeiten (alle außer den Google- und Anthropic-Modellen, auch das Standardmodell), mit einem eigenen Dienst aus (Cloudflare Workers AI bzw. Mistral OCR); wo dieser Dienst läuft, sagt OpenRouter nicht zu, eine Verarbeitung in den USA ist deshalb nicht ausgeschlossen. Organisationen können den Tarif „Souverän“ wählen: Dann gehen Anfragen ohne OpenRouter direkt an EU-eigene Anbieter (STACKIT, IONOS, Scaleway, Mistral AI). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; verarbeitest du Daten im Auftrag deiner Organisation, ist diese Verantwortlicher und es gilt der Auftragsverarbeitungsvertrag.

Diktat und Vorlesen

Diktierst du im Manager, schicken wir die Aufnahme über unseren Server an Deepgram, Inc. (USA), und zwar an den EU-Endpunkt, der in der EU verarbeitet; jede Anfrage schließen wir vom Programm zur Modellverbesserung aus, Deepgram speichert Aufnahme und Text deshalb nicht über die Verarbeitung hinaus. Wir speichern die Aufnahme nicht; der erkannte Text wird erst gespeichert, wenn du die Nachricht absendest. Lässt du dir eine Antwort vorlesen, geht der Text an Mistral AI SAS (Frankreich) oder, wenn deine Organisation diese Stimme gewählt hat, an ElevenLabs, Inc. (USA) in deren EU-Datenresidenz-Umgebung. Für den möglichen Zugriff der US-Unternehmen gelten Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; beide Funktionen sind freiwillig.

Websuche und Browser-Agent

Sucht ein Agent im Web, geht nur der Suchbegriff an Staan (European Search Perspective, Paris), einen Suchdienst in der EU; der Suchbegriff kann Wörter aus der Unterhaltung enthalten, aber keine Kontokennung. Brave Search (USA) ist abgeschaltet. Hat ein Admin deiner Organisation den Browser-Agenten eingeschaltet, öffnet der Manager Webseiten in einer abgeschotteten virtuellen Maschine von E2B (FoundryLabs, Inc., USA) in der EU-Region; dabei werden besuchte Adressen, Seiteninhalte und Bildschirmfotos verarbeitet, Formulare sendet er nur nach deiner Freigabe. Organisationen können die Websuche abschalten; im Berufsgeheimnisträger-Modus ist sie aus.

Gedächtnis des Managers und der Website-Agenten

Der Manager merkt sich über Gespräche hinweg, was für die Arbeit mit dir nützlich ist (Arbeitsgedächtnis und Beobachtungsnotizen, die ein Modell aus den Gesprächen ableitet). Das ist eine profilähnliche Verarbeitung: sie dient nur der Personalisierung der Antworten, nicht einer Bewertung von dir. Das gespeicherte Gedächtnis siehst, änderst und löschst du unter Einstellungen › Manager; in Organisationen ist es aus, bis es eingeschaltet wird. Beobachtungsnotizen und Einträge verfallen nach 90 Tagen. Agenten im Website-Widget von Kunden können sich wiederkehrende Besucher merken (Fakten und Vorlieben, die im Gespräch genannt wurden, bis zu 365 Tage). Für diese Besucher ist der Betreiber der jeweiligen Website verantwortlich; Corgent verarbeitet die Daten in dessen Auftrag und löscht sie auf seine Weisung.

Daten, die du in die KI einspeist

Du entscheidest, welche Inhalte du in Chats, Agenten, Dateien oder Tools eingibst. Gib keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), Geschäftsgeheimnisse oder Daten Dritter ein, sofern du hierzu nicht berechtigt bist und dies nicht zwingend erforderlich ist. Du bist dafür verantwortlich, dass deine Eingaben rechtmäßig sind. Corgent speichert Konversationen und Arbeitsergebnisse in deinem Mandantenkontext, soweit dies für die Plattformfunktion erforderlich ist (Vertragserfüllung). Lösch- und Auskunftsrechte bleiben unberührt.

KI-Risiken und Nutzerverantwortung

KI-Ausgaben werden von Sprachmodellen auf Basis von Wahrscheinlichkeiten erzeugt und können unvollständig, fehlerhaft, veraltet, voreingenommen, erfunden (Halluzinationen) oder für deinen Zweck ungeeignet sein. Du bist verpflichtet, Ergebnisse vor ihrer Verwendung eigenverantwortlich zu prüfen, insbesondere bevor du Handlungen mit Rechts-, Finanz-, Personal-, Gesundheits- oder Sicherheitsbezug triffst. Automatisierte Vorschläge ersetzen keine fachliche Prüfung. Weitere Regelungen findest du in den Nutzungsbedingungen.

Produktanalyse (PostHog)

PostHog setzen wir nur ein, wenn du aktiv einwilligst: in den Cookie-Einstellungen, per Checkbox bei der Registrierung oder über die einmalige Frage in der App. Mit Einwilligung messen wir Seitenaufrufe, Funktionsnutzung (z. B. dass eine Nachricht gesendet, eine Freigabe entschieden, eine Verbindung hergestellt oder eine Aufgabe gestartet wurde, jeweils mit Anzahlen statt Inhalten), Ladezeiten der Seiten (Web Vitals), fehlgeschlagene Anfragen (Route und Statuscode), pseudonyme Geräte- und Sitzungskennungen sowie technischen Kontext (Browser, Gerätetyp, ungefährer Standort auf Land-, Regions- oder Stadtebene, den PostHog aus der IP-Adresse ableitet, bevor diese verworfen wird). Bei angemeldeten Nutzern verknüpfen wir die Ereignisse nur mit einer pseudonymen Nutzerkennung, der Rolle, dem Registrierungsmonat und der Kennung der aktuellen Organisation – nicht mit Name, E-Mail-Adresse oder Organisationsname. Inhalte erfassen wir nicht: keine Chat-Nachrichten, Dateien, Suchbegriffe, Beschriftungen angeklickter Elemente oder Bildschirmaufzeichnungen; Datensatz-IDs in Adressen werden vor dem Versand entfernt, IP-Adressen werden von PostHog nicht gespeichert. Verarbeitet wird in der PostHog EU Cloud (Frankfurt) als Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) sowie § 25 Abs. 1 TDDDG für den zugehörigen Endgerätezugriff. Die Einwilligung ist freiwillig und nicht Voraussetzung für die Nutzung. Ohne Einwilligung wird PostHog nicht geladen, und ein Browser-Signal wie Global Privacy Control oder Do Not Track wird als Ablehnung behandelt. Widerruf jederzeit über die Cookie-Einstellungen. Unabhängig von dieser Einwilligung werten wir außerdem pseudonyme Nutzungskennzahlen aus unserer eigenen Datenbank in PostHog aus: zum Beispiel wie viele Chat-Nachrichten, gestartete Aufgaben, Freigaben, Verbindungen und Wissensdokumente es je Nutzer- bzw. Organisationskennung gibt, Status und Dauer von Agenten-Läufen sowie Token-Verbrauch und Kosten. Namen, E-Mail-Adressen, Organisationsnamen und Inhalte (Nachrichten, Dokumente, Titel, Anweisungen) sind darin nicht enthalten, und dein Endgerät wird dafür nicht ausgelesen. Zweck ist, den Dienst zu betreiben, Fehler zu finden, ihn zu verbessern und Kunden im Pilotbetrieb zu betreuen; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), eine E-Mail an mk@corgent.ai genügt; Konten mit eingeschränkter Verarbeitung sind ausgenommen.

Qualitätsbewertung des Managers

Wir können Antworten des Managers stichprobenartig automatisch auf Qualität prüfen lassen (Regeln und eine Bewertung durch ein KI-Modell im EU-Betrieb; gespeichert würden nur Bewertungen für 90 Tage). Diese Bewertung ist derzeit ausgeschaltet. Bevor wir sie einschalten, informieren wir dich und unsere Kunden mindestens 30 Tage vorher und ergänzen diese Datenschutzerklärung.

Fehlerüberwachung (Sentry)

Wir nutzen Sentry (Functional Software, Inc., USA) mit Speicherung in Frankfurt, um Fehler zu erkennen und zu beheben. Auf dem Server und in der Mobil-App erfassen wir Fehlermeldungen, Stack Traces und technischen Kontext (Gerät, Version, Route); Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO). Wir entfernen vorher E-Mail-Adresse, IP-Adresse, Benutzername, Anfrageinhalte und Cookies; Fehlermeldungen selbst können aber personenbezogene Daten der fehlerhaften Anfrage enthalten. Im Browser laden wir Sentry nur, wenn du in die Kategorie Performance/Diagnose einwilligst (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Mit dieser Einwilligung zeichnet Sentry außerdem 1 % der Sitzungen und alle Sitzungen mit einem Fehler als Sitzungswiederholung auf (Klicks und Seitenaufbau; Texte werden maskiert, Bilder und Medien ausgeblendet). Für den möglichen Zugriff der US-Gesellschaft gelten Standardvertragsklauseln. Widerspruch bzw. Widerruf jederzeit, im Browser über die Cookie-Einstellungen.

Server- und Sicherheitsprotokolle

Beim Aufruf von Website und App verarbeitet unser Server Pfad, Statuscode, Zeitpunkt, Dauer, Browser-Typ und die IP-Adresse, um den Dienst bereitzustellen, Missbrauch zu begrenzen und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Die IP-Adresse speichern wir nur als nicht umkehrbaren Schlüssel-Hash; jede Protokollzeile durchläuft eine Schwärzung, die keine Inhalte durchlässt. Die Protokolle liegen bei Railway in den USA (siehe Abschnitt 3). Sicherheitsalarme an unser Betriebsteam enthalten nur Kennungen, Zählwerte und Kategorien.

Empfehlungen in der Plattform

Wir nutzen Nutzungs- und Servicedaten, um dir innerhalb der Plattform passende Vorlagen, Aufgaben und Hinweise vorzuschlagen und Missbrauch zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO oder unser berechtigtes Interesse an einem nützlichen und sicheren Dienst (Art. 6 Abs. 1 lit. f DSGVO). Öffentliche Bewertungen oder Rankings von Agenten gibt es nicht.

Automatisierte Entscheidungen und Profiling (Art. 22 DSGVO)

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen. Die Agenten bereiten Vorgänge vor und schlagen Handlungen vor. Aktionen mit Außenwirkung, etwa das Versenden einer E-Mail oder das Ändern von Daten in einem verbundenen System, brauchen grundsätzlich eine Freigabe durch einen Menschen, die der Server prüft; Ausnahmen richtet die Organisation selbst ein (etwa die Vertrauensstufe „Prokura“ eines KI-Kollegen mit festen Empfängern und Betragsgrenzen), und jede Freigabe wird protokolliert. Eine feste Grenze verbietet den Agenten, Bewerberinnen, Bewerber oder Beschäftigte zu bewerten, zu reihen oder auszuwählen. Die Gedächtnisfunktionen (Abschnitt 6) personalisieren Antworten und führen zu keiner Entscheidung über dich.

Wie lange wir Daten speichern

Wir speichern personenbezogene Daten nur so lange, wie es für den Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Die folgenden Fristen setzt ein nächtlicher Löschlauf technisch durch: Manager-Chats mit Nachrichten und Gedächtnis 90 Tage ab der letzten Aktivität; Ein- und Ausgaben der Modellaufrufe 30 Tage; Diagnose-Traces 30 Tage; Recherchen 90 Tage; Artefakte 365 Tage; Gespräche im Website-Widget 90 Tage, Gedächtnis über wiederkehrende Besucher 365 Tage, Widget-Statistik 13 Monate; Vorgänge und Routing-Protokoll von E-Mail-Kollegen 365 Tage; Nutzungs- und Verbrauchsdaten 400 Tage; Kontaktanfragen, Wartelisten-Einträge und unbezahlte Buchungen 365 Tage; Einladungen 30 Tage nach Ablauf; Roh-Ereignisse der Zahlungsanbindung 180 Tage; abgeschlossene Datenschutzanfragen 3 Jahre. Laufprotokolle, Freigaben und Auditspur bewahren wir 7 Jahre auf, die Admin-Auditspur einer Organisation nach deren Einstellung (Standard 2 Jahre); nach einer Kontolöschung bleiben sie ohne Personenbezug bestehen. Rechnungen, Buchungen und bezahlte Buchungen bewahren wir 10 Jahre ab Ende des Kalenderjahres auf (§ 147 AO, § 257 HGB), nach einer Kontolöschung ohne Personenbezug. Nachweise von Einwilligungen behalten wir pseudonymisiert 3 Jahre nach der Kontolöschung (Art. 7 Abs. 1 DSGVO). Kontodaten speichern wir, solange das Konto besteht; die Kontolöschung wirkt sofort. Zwischenspeicher in Redis verfallen nach höchstens 24 Stunden. Für die Dienstprotokolle bei Railway richten wir eine eigene Frist noch ein; bis dahin gilt die Aufbewahrung von Railway. In Sicherungskopien bleiben gelöschte Daten bis zum Ablauf der Sicherungsfrist; nach einer Wiederherstellung wenden wir Löschungen erneut an.

Betroffenenrechte nach DSGVO

Du hast im Rahmen der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Auskunft, Export, Einschränkung und Löschung kannst du in deinen Kontoeinstellungen selbst auslösen; eine Einschränkung wirkt sofort, auch für Aufgaben und Hintergrundläufe. Wir beantworten Anfragen innerhalb eines Monats. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), etwa die pseudonymen Nutzungskennzahlen, kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen; der Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen. Bist du Besucher einer Website, die ein Corgent-Widget einbindet, wende dich an deren Betreiber; er kann deine Daten bei uns löschen lassen. Du hast außerdem das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart; du kannst dich auch an die Aufsichtsbehörde an deinem Wohnort oder Arbeitsplatz wenden.