Datenschutzerklärung

1. Wer wir sind

Conveya wird betrieben von Conveya, einem in den Niederlanden eingetragenen Unternehmen mit der Handelskammernummer (KVK) 58435697, USt-IdNr. NL002403314B83 ("Conveya", "wir", "uns").

Für personenbezogene Daten, die wir über unsere Kunden erheben (die Personen, die sich anmelden und einen Conveya-Arbeitsbereich verwalten), handeln wir als Verantwortlicher im Sinne der DSGVO. Für personenbezogene Daten, die unsere Kunden über Conveya verarbeiten (die Endnutzer, die mit den KI-Agenten unserer Kunden kommunizieren), handeln wir als Auftragsverarbeiter. Diese Datenschutzerklärung beschreibt beide Rollen.

Fragen? Schreiben Sie an [email protected].

2. Welche Daten wir erheben

2.1 Daten, die Sie bei der Anmeldung angeben

Wenn Sie ein Conveya-Konto anlegen, erheben wir:

• Ihren Namen und Ihre E-Mail-Adresse.
• Eine gehashte Version Ihres Passworts. Wir speichern Passwörter nie im Klartext.
• Organisationsname, die Teammitglieder, die Sie einladen, und Ihre Abonnementform.
• Rechnungsdaten, direkt verarbeitet durch Stripe; wir speichern die Stripe-Kundennummer, keine vollständigen Kartendaten.
• Anmelde-Attribution (verweisende URL, UTM-Parameter, Landingpage), um unser Marketing zu verbessern.

2.2 Daten, die bei der Nutzung von Conveya entstehen

• Ihre Aktivität innerhalb der Plattform: die Agenten, die Sie konfigurieren, die Datenquellen, die Sie hochladen, die Gespräche, die Sie einsehen.
• Technische Logs (IP-Adresse, Browser-User-Agent, Zeitstempel), die für Sicherheit und Fehlersuche nötig sind.
• Audit-Logs sensibler Aktionen (etwa Administrator-Impersonation, Abrechnungsänderungen).

2.3 Daten, die durch Ihre KI-Agenten fließen

Wenn ein Endnutzer mit einem von Ihnen eingerichteten KI-Agenten kommuniziert (über Website-Widget, WhatsApp, Instagram, Facebook Messenger, E-Mail, Telefonie oder API), verarbeiten und speichern wir:

• Die ausgetauschten Nachrichten (Textinhalt und Anhänge).
• Kontaktdaten, die der Endnutzer teilt (Name, E-Mail-Adresse, Telefonnummer).
• Metadaten des Gesprächs (Kanal, Zeitstempel, Sprache, Stimmung).
• Technischer Kontext (IP-Adresse, anonymer Browser-Fingerprint, verweisende URL), soweit Sie dies im Widget aktiviert haben.

Sie, unser Kunde, sind für diese Endnutzerdaten der Verantwortliche. Wir verarbeiten sie ausschließlich, um die von Ihnen konfigurierte Dienstleistung zu erbringen.

3. Wofür wir die Daten nutzen (Zwecke und Rechtsgrundlagen)

• Erbringung der Dienstleistung (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO): Verwaltung Ihres Kontos, Erzeugung von KI-Antworten, Weiterleitung von Nachrichten, Abrechnung.
• Verbesserung und Absicherung der Dienstleistung (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO): Erkennung von Missbrauch, Betrugsprävention, Fehlerbehebung, aggregierte Nutzungsanalyse.
• Erfüllung gesetzlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungen während der gesetzlichen 7-Jahres-Frist, Beantwortung rechtmäßiger Anfragen von Behörden.
• Direktmarketing an Bestandskunden (berechtigtes Interesse, mit Opt-out in jeder E-Mail): Produktaktualisierungen, Änderungen an der Dienstleistung. Sie können sich jederzeit abmelden.
• Optionale Marketingkommunikation (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO): Newsletter und Vergleichbares. Nur nach aktivem Opt-in.

Wir nutzen den Inhalt von Endnutzergesprächen nicht, um externe KI-Modelle zu trainieren. Die API von OpenAI, die wir für KI-Antworten verwenden, arbeitet standardmäßig unter einer No-Training-Vereinbarung.

4. Cookies und ähnliche Technologien

Wir setzen eine begrenzte Anzahl unbedingt erforderlicher First-Party-Cookies:

• next-auth.session-token: hält Sie angemeldet. Läuft nach 30 Tagen ab.
• NEXT_LOCALE: merkt sich Ihre Sprachauswahl (DE / EN / NL).
• oauth_state: kurzlebiges CSRF-Token, nur während OAuth-Weiterleitungen.
• conveya_consent: merkt sich Ihre Cookie-Auswahl, damit wir Analyse-Tools erst nach Ihrer Zustimmung laden.

Diese Cookies sind für den Betrieb der Dienstleistung unbedingt erforderlich und fallen unter die Ausnahme von Artikel 11.7a Abs. 3 des niederländischen Telekommunikationsgesetzes. Eine Einwilligung ist daher nicht erforderlich.

Mit Ihrer Zustimmung laden wir außerdem zwei Analyse-Tools, um zu verstehen, wie die Website genutzt wird: Google Analytics 4 (über Google Tag Manager) und Microsoft Clarity. Diese laufen erst, nachdem Sie Analyse-Cookies im Cookie-Banner akzeptiert haben, und Sie können diese Zustimmung jederzeit widerrufen. Wir verwenden keine Werbe-Pixel oder seitenübergreifendes Werbe-Tracking.

5. Unterauftragsverarbeiter

Wir setzen die folgenden Unterauftragsverarbeiter ein, um Conveya zu erbringen. Mit jedem von ihnen haben wir einen Auftragsverarbeitungsvertrag (AVV) mit DSGVO-gleichwertigen Vertraulichkeits- und Sicherheitspflichten geschlossen.

Neue oder ersetzende Unterauftragsverarbeiter mit wesentlichem Zugriff auf personenbezogene Daten kündigen wir mindestens 30 Tage im Voraus an. Kunden mit einem bezahlten Abonnement können sich für Änderungsmitteilungen über [email protected] anmelden. Einwilligungsbasierte Analyse-Anbieter (Google Analytics 4 und Microsoft Clarity) sind in Abschnitt 4 beschrieben und erhalten erst Daten, nachdem Sie Analyse-Cookies akzeptiert haben.

6. Google-Workspace-Daten, Limited-Use-Erklärung

Die Nutzung und Weitergabe durch Conveya von Informationen, die wir über Google-APIs erhalten, an jede andere Anwendung entspricht der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.

Wenn ein Kunde Gmail oder Google Kalender mit seinem Conveya-Arbeitsbereich verbindet, beschränken wir die Verarbeitung der daraus resultierenden Google-Nutzerdaten wie folgt:

• Nutzung: Google-Workspace-Daten werden ausschließlich verwendet, um die für den Nutzer sichtbaren Funktionen der verbundenen Integration bereitzustellen, E-Mail im Namen des Nutzers versenden (gmail.send), Verfügbarkeit prüfen und Kalendertermine anlegen (calendar.readonly + calendar.events).
• Weitergabe an Dritte: wir geben rohe oder abgeleitete Google-Nutzerdaten nicht an Dritte weiter, außer an (a) die in §5 genannten Unterauftragsverarbeiter, die zur Bereitstellung der Funktion unbedingt erforderlich sind, konkret erhält OpenAI möglicherweise den Inhalt einer ausgehenden E-Mail, wenn der KI-Agent sie im Namen des Nutzers verfasst, und unsere Hosting- und Objektspeicher-Anbieter sehen OAuth-Tokens und Anfrage-Payloads in verschlüsselter Speicherung; (b) sofern gesetzlich vorgeschrieben; oder (c) im Rahmen einer Fusion oder Übernahme mit vorheriger Mitteilung an den Nutzer.
• Keine Werbung: Google-Workspace-Daten werden niemals für Werbung verwendet, einschließlich Retargeting, personalisierter oder interessenbasierter Werbung.
• Keine menschliche Einsicht: wir lassen keine menschliche Einsicht in Google-Nutzerdaten zu, außer: mit ausdrücklicher Einwilligung des Nutzers, für Sicherheitsuntersuchungen, zur Einhaltung geltenden Rechts oder für aggregierte und anonymisierte interne Vorgänge.
• Kein KI/ML-Modelltraining: wir verwenden Google-Workspace-Daten nicht, um generische KI/ML-Modelle zu entwickeln, zu verbessern oder zu trainieren. Unser LLM-Unterauftragsverarbeiter (OpenAI) verarbeitet einzelne Anfragen über seine API; gemäß unserem Auftragsverarbeitungsvertrag werden diese Eingaben nicht für das Modelltraining aufbewahrt.

7. Internationale Datenübermittlung

Mehrere Unterauftragsverarbeiter sind außerhalb des EWR ansässig, vor allem in den Vereinigten Staaten (OpenAI, Resend, Cloudflare, Sentry, Cartesia, Automattic / WooCommerce, Airtable, Notion, Calendly) und Kanada (Shopify, für einige Store-Regionen). Für diese Übermittlungen stützen wir uns auf die Standardvertragsklauseln (Standard Contractual Clauses 2021/914) der Europäischen Kommission, ergänzt durch technische Maßnahmen (Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen). Für OpenAI stützen wir uns zusätzlich auf deren Teilnahme am EU-US Data Privacy Framework. Die Übermittlungsgrundlage je Unterauftragsverarbeiter steht in der Spalte "Übermittlungsgrundlage" der Tabelle in §5.

8. Wie lange wir Daten aufbewahren

• Kontodaten: solange Ihr Konto aktiv ist, plus 30 Tage nach der Löschung für die Backup-Rotation.
• Gesprächsverlauf: standardmäßig 2 Jahre, oder kürzer, wenn Sie in Ihrem Arbeitsbereich eine Aufbewahrungsrichtlinie einstellen. Auf Anfrage frühere Löschung.
• Rechnungen und Zahlungsdaten: 7 Jahre (Art. 52 AWR, steuerliche Aufbewahrungspflicht).
• Audit-Logs von Administrationsaktionen: 2 Jahre.
• Anwendungslogs (IP, User-Agent): 90 Tage.

9. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

• Auskunft: eine Kopie der personenbezogenen Daten, die wir über Sie verarbeiten.
• Berichtigung: Korrektur unrichtiger Daten.
• Löschung: Löschung Ihrer Daten (vorbehaltlich gesetzlicher Aufbewahrungspflichten).
• Einschränkung: Einschränkung der Verarbeitung, solange ein Streit läuft.
• Datenübertragbarkeit: Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruch: Widerspruch gegen Verarbeitungen auf Grundlage berechtigten Interesses, einschließlich Direktmarketing.
• Widerruf der Einwilligung: sofern die Verarbeitung auf Einwilligung beruht, jederzeit.

Um ein Recht auszuüben, schreiben Sie an [email protected]. Wir antworten innerhalb von 30 Tagen. Sind Sie nicht zufrieden, können Sie eine Beschwerde bei der niederländischen Datenschutzbehörde einreichen (Autoriteit Persoonsgegevens, autoriteitpersoonsgegevens.nl).

Wenn Sie Endnutzer eines KI-Agenten eines unserer Kunden sind und ein Recht ausüben möchten, wenden Sie sich bitte direkt an diesen Kunden. Er ist für diese Beziehung der Verantwortliche. Wir unterstützen ihn bei der Bearbeitung Ihrer Anfrage.

10. Sicherheit

Wir schützen Ihre Daten mit branchenüblichen Maßnahmen: TLS 1.2+ für den gesamten Datenverkehr, Verschlüsselung im Ruhezustand für Datenbanken und Backups, bcrypt-Hashing von Passwörtern, Zugriff nach dem Least-Privilege-Prinzip, regelmäßige Dependency-Audits und ein dokumentierter Incident-Response-Prozess. Bei einer Datenschutzverletzung, die Sie betrifft, informieren wir Sie innerhalb von 72 Stunden, wie in Art. 34 DSGVO gefordert.

11. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung anpassen, während sich unsere Dienstleistung weiterentwickelt. Bei wesentlichen Änderungen informieren wir Sie per E-Mail und über einen deutlichen Hinweis im Produkt, mindestens 14 Tage bevor die Änderungen wirksam werden. Die aktuelle Fassung ist immer verfügbar unter https://conveya.app/de/privacy.

12. Kontakt

Datenschutzfragen, Rechtsausübung oder Bedenken zum Umgang mit Ihren Daten:

• E-Mail: [email protected]

Diese Erklärung wurde zuletzt aktualisiert am 28. Mai 2026.