Datenschutzerklärung

Diese Datenschutzerklärung beschreibt die Datenverarbeitung im Rahmen der Nutzung der SaaS-Plattform smarteagentur (Web-App im geschlossenen Kundenbereich, mobile Ansichten, API-Schnittstellen, KI-Mitarbeiter, Telefonie- und WhatsApp-Kanäle, Kalender-, Workspace-, Marketing- und Analytics-Funktionen). Für die öffentliche Marketing-Website smarteagentur.de gilt eine separate Datenschutzerklärung.

Verantwortlicher im Sinne der DSGVO für die Verarbeitung personenbezogener Daten im Rahmen der Nutzung der SaaS-Plattform smarteagentur ist:

Creative AI Solutions GmbH
Geschäftsführer: Patrick Cantos-Bravo
Eichenweg 3, 74257 Untereisesheim, Deutschland
E-Mail: info@smarteagentur.de
Telefon: +49 156 79747124

Handelsregister: Amtsgericht Stuttgart, HRB 804265
USt-IdNr.: DE423869711

Unser Datenschutzbeauftragter ist die heyData GmbH, Schützenstraße 5, 10117 Berlin, www.heydata.eu, datenschutz@heydata.eu.

Wir verwenden die Begriffe der DSGVO (Art. 4 DSGVO), insbesondere „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter", „Einwilligung" und „besondere Kategorien personenbezogener Daten" (Art. 9 DSGVO).

Wir verarbeiten Daten ausschließlich auf einer der folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag bzw. vorvertragliche Maßnahmen
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse
• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung bei besonderen Datenkategorien
• Art. 28 DSGVO – Auftragsverarbeitung (im Verhältnis zu unseren B2B-Kunden, siehe Ziffer 6 und den AVV)

smarteagentur ist eine mandantenfähige SaaS-Plattform für Agenturen, Makler und ihre Endkunden. Für die im Kundenauftrag verarbeiteten Endkunden-, Kontakt-, Vertrags- und Kommunikationsdaten sind die Agentur-Kunden Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO; die smarteagentur ist insoweit Auftragsverarbeiterin im Sinne von Art. 28 DSGVO. Grundlage ist der zwischen den Parteien geschlossene Auftragsverarbeitungsvertrag (AVV).

Für die zur Bereitstellung, Abrechnung, Sicherheit und Weiterentwicklung der Plattform verarbeiteten Betriebs-, Konto- und Log-Daten der Agentur-Nutzenden ist die smarteagentur selbst Verantwortliche. Diese Erklärung informiert primär über diese eigene Verantwortlichkeit; für die im Auftrag verarbeiteten Endkundendaten gilt ergänzend der AVV.

Wir verarbeiten personenbezogene Daten ausschließlich zu den in dieser Erklärung genannten Zwecken und in dem dafür erforderlichen Umfang (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

7.1 Konto- und Onboarding-Daten

Bei Registrierung und Onboarding erheben und speichern wir folgende Angaben:

• Firmenname, Firmenanschrift, Gewerbekunden-Kennzeichen
• Vor- und Nachname der/des kontoerstellenden Person
• Geschäftliche E-Mail-Adresse (Login)
• Passwort ausschließlich als bcrypt-Hash (nicht im Klartext)
• Geschäftliche Telefonnummer und Mobilfunknummer
• Zielgruppen-Verteilung (Privat-/Gewerbekunden), bevorzugte Kommunikationskanäle, aktuelle Pain-Points, ausgewählte Versicherer und Sparten (rein geschäftliche Konfigurationsangaben zur Plattform-Einrichtung)
• Rolle innerhalb der Organisation (admin, manager, berater, viewer) sowie ggf. Agenturinhaber- bzw. Inhaberstatus.
• Trial-Status, Beginn und Ende des Testzeitraums, Tarifstatus sowie Angaben zu einer etwaigen späteren Tarifbuchung.

Zweck: Vertragsabwicklung, Bereitstellung eines individualisierten Plattformzugangs, Rechteverwaltung, Kommunikation im laufenden Vertragsverhältnis.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Vertragsanbahnung).

7.2 Nutzungs- und Sicherheitsdaten der Plattform

• Sitzungs-Metadaten (Login-Zeitpunkt, Geräte-/Browser-Fingerprint in pseudonymisierter Form, IP-Adresse zur Missbrauchsabwehr)
• Status zusätzlicher Sicherheitsfaktoren und Wiederherstellungscodes, soweit solche Sicherheitsfunktionen für das jeweilige Nutzerkonto bereitgestellt oder aktiviert sind.
• Feature-Flags, aktivierte Module, Rollen- und Berechtigungszuordnungen
• Audit-Log-Einträge zu sicherheitsrelevanten Aktionen (Login, Rollenwechsel, Support-Zugriff, Export, Löschung)

Zweck: Betrieb, IT-Sicherheit, Missbrauchsabwehr, Nachvollziehbarkeit von Zugriffen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung und berechtigtes Interesse an sicherem Betrieb).

7.3 Workspace-, Kontakt- und Vertragsdaten (im Auftrag)

Im Auftrag unserer Agentur-Kunden verarbeiten wir deren Endkunden- und Interessentendaten (Name, Anschrift, Kontaktdaten, Kunden-/Vertragsnummern, Sparten, Deals, Aufgaben, Notizen, hochgeladene Dokumente).

Verantwortliche/r im Sinne der DSGVO ist der jeweilige Agentur-Kunde; Grundlage der Verarbeitung durch uns ist der AVV.

7.4 Kommunikationsdaten (Telefonie, WhatsApp, E-Mail, Formular)

• Telefonie: Rufnummern, Anrufmetadaten, Gesprächstranskripte, Gesprächszusammenfassungen und Anrufprotokolle als Bestandteil der Anruf-Historie im Workspace des Kunden. Sprach-Streams werden von unserem KI-Sprachdienstleister ausschließlich transient verarbeitet und nicht dauerhaft gespeichert.
• Die plattformseitige Telefonie- und Sprachverarbeitung erfolgt in Europa. Gesprächsinhalte, Gesprächsaufzeichnungen und Transkripte werden im Rahmen dieser Verarbeitung nicht in Drittländer übermittelt. Für die Bereitstellung und gesetzlich bzw. regulatorisch erforderliche Registrierung von Rufnummern kann Twilio die hierfür erforderlichen Unternehmens-, Kontakt- und Identifikationsdaten über seine globale Verwaltungsinfrastruktur verarbeiten; Gesprächsinhalte, Gesprächsaufzeichnungen und Transkripte sind hiervon nicht umfasst.
• WhatsApp Business: Profilname, Rufnummer, Nachrichteninhalt, Zeitstempel, Handover-Status Bot/Mensch.
• E-Mail und Formular-Einreichungen: Absenderdaten, Freitextinhalt, ggf. Anhänge.

Zweck: Erfüllung des Kommunikationsauftrags des Agentur-Kunden.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag zwischen Agentur und ihrem Endkunden; wir handeln als Auftragsverarbeiter).

7.5 Kalender-Integrationen

Bei Verbindung eines externen Kalenders (Google, Microsoft 365, CalDAV, Cal.com, Calendly) verarbeiten wir Kalenderereignisse, Teilnehmer-E-Mail-Adressen und Termininhalte im vom Nutzer freigegebenen Umfang. Die Verbindung erfolgt über OAuth 2.0; Refresh-Tokens werden serverseitig verschlüsselt gespeichert und ausschließlich über gesicherte *_safe-Views an die Anwendung zurückgegeben.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung via OAuth) sowie lit. b (Vertragserfüllung).

7.6 Zahlungsdaten

Zahlungen werden über Stripe Payments Europe Ltd. (Irland) als eigenverantwortlichen Zahlungsdienstleister abgewickelt. Karten- oder Bankverbindungsdaten werden ausschließlich im Stripe-gehosteten Checkout eingegeben und nicht in unserer Datenbank gespeichert. Wir erhalten von Stripe lediglich Transaktions-Metadaten (ID, Betrag, Status, Rechnungsbezug).
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7.7 Support- und Impersonation-Daten

Zur Bearbeitung von Supportanfragen können berechtigte Plattform-Betreiber:innen mit ausdrücklicher Freigabe der Agentur-Administration einen zeitlich befristeten Zugriff auf das Kundenkonto anfordern. Dieser Zugriff erfolgt Read-Only, mit Feld-Maskierung für sensible Datenfelder und einem eingeblendeten Impersonation-Banner. Alle Zugriffe werden im Audit-Log erfasst und für 1 Jahr revisionssicher gespeichert.

7.8 Fehler- und Betriebstelemetrie

Zur Sicherstellung eines stabilen Betriebs setzen wir Sentry (Functional Software Inc., Hosting Frankfurt am Main) ein. Erfasst werden Stacktraces, Browser-Metadaten, pseudonyme User-IDs und Organisations-Tags. Es findet keine Übertragung von Kundeninhalten an Sentry statt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität und Fehlerbehebung).

Zur Erbringung der Plattformleistungen setzen wir sorgfältig ausgewählte technische Dienstleister ein. Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Einzelne Dienstleister können je nach Verarbeitungsvorgang sowohl als Auftragsverarbeiter als auch als eigenständig Verantwortliche handeln. Soweit Dienstleister Leistungen als eigenständig Verantwortliche erbringen, insbesondere Zahlungsdienstleister, gelten ergänzend deren eigene Vertrags- und Datenschutzbedingungen. Von Agentur-Kunden oder deren Nutzern lokal eingesetzte Browser-Erweiterungen, KI-Assistenten, Übersetzungs-, Aufzeichnungs-, Automatisierungs- oder sonstige Drittanbieter-Software sind nicht Bestandteil der Plattform und keine von uns eingesetzten Empfänger oder Sub-Processoren. Deren Einsatz liegt in der Verantwortung des jeweiligen Agentur-Kunden bzw. Nutzers.

¹ Für die Bereitstellung und gesetzlich bzw. regulatorisch erforderliche Registrierung von Rufnummern kann Twilio die hierfür erforderlichen Unternehmens-, Kontakt- und Identifikationsdaten über seine globale Verwaltungsinfrastruktur verarbeiten; Gesprächsinhalte, Gesprächsaufzeichnungen und Transkripte sind hiervon nicht umfasst. Dabei kann eine Übermittlung an Twilio Inc. in den USA stattfinden. Die Übermittlung erfolgt nach Maßgabe der Twilio-DPA auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – des EU-U.S. Data Privacy Framework.

² Optionale Kalender-Anbindungen an Anbieter außerhalb der EU/des EWR werden nur dann Empfänger personenbezogener Daten, wenn der Verantwortliche die jeweilige Integration aktiv freischaltet. In diesen Fällen erfolgen Drittlandübermittlungen nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – des EU-U.S. Data Privacy Framework; eine Transfer Impact Assessment liegt vor.

AWS Frankfurt fungiert als Sub-Sub-Processor unter Supabase. Stripe Payments Europe Ltd. kann im Rahmen der Zahlungsabwicklung je nach Verarbeitungsvorgang sowohl als Auftragsverarbeiter als auch als eigenständig Verantwortlicher handeln. Soweit Stripe als eigenständig Verantwortlicher handelt, gelten ergänzend die Datenschutzinformationen und Vertragsbedingungen von Stripe. Interne Arbeitswerkzeuge der Creative AI Solutions GmbH, die keine Kundendaten der Plattform verarbeiten, sind nicht Sub-Processors dieses AVV.

Kein Drittlandtransfer im Regelbetrieb

Die Kernverarbeitung der Plattform findet innerhalb der EU/des EWR statt. Insbesondere ElevenLabs wird ausschließlich über die EU-Region genutzt – es findet keine Übermittlung personenbezogener Daten in die USA statt. Optionale Integrationen mit Anbietern außerhalb der EU/des EWR, insbesondere Cal.com, Calendly oder bestimmte CalDAV-Anbieter, werden nur dann Empfänger personenbezogener Daten, wenn der Verantwortliche die jeweilige Integration aktiv freischaltet. In diesen Fällen erfolgen Drittlandübermittlungen nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – EU-US Data Privacy Framework; eine Transfer Impact Assessment liegt vor. Abweichend hiervon können bei der Bereitstellung und gesetzlich bzw. regulatorisch erforderlichen Registrierung von Rufnummern Unternehmens-, Kontakt- und Identifikationsdaten an Twilio Inc. in den USA übermittelt werden. Gesprächsinhalte, Gesprächsaufzeichnungen und Transkripte sind hiervon nicht umfasst. Die Übermittlung erfolgt nach Maßgabe der Twilio-DPA auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – des EU-U.S. Data Privacy Framework.

Nach Ablauf der jeweiligen Frist werden Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bei ausdrücklichem Löschantrag des Agenturinhabers wird die Organisationslöschung nach 14-tägiger Widerrufsfrist ausgeführt. Technische Vorhaltefristen für Datenbanksicherungen bzw. Point-in-Time-Recovery bleiben unberührt. Für im Objektspeicher abgelegte Dateien besteht derzeit kein zeitpunktgenauer Wiederherstellungspunkt.

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO) – vorbehaltlich gesetzlicher Aufbewahrungspflichten
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenportabilität (Art. 20 DSGVO): Self-Service-Export der wesentlichen Organisationsdaten in den Einstellungen in einem gängigen maschinenlesbaren Format, insbesondere CSV und JSON.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Anfragen bearbeiten wir grundsätzlich innerhalb eines Monats nach Eingang (Art. 12 Abs. 3 DSGVO); die Frist kann bei komplexen Anfragen um zwei Monate verlängert werden. Als Agentur-Kunde können Sie zusätzlich eigenständig einen Löschantrag mit 14 Tagen Karenzzeit über die Plattform auslösen.

Details ergeben sich aus unserem separaten TOM-Dokument. Zusammengefasst setzen wir insbesondere folgende Maßnahmen ein:

• Hosting: Backend, Datenbank, Auth, Edge Functions und Storage über Supabase auf AWS Frankfurt; Frontend-Auslieferung über Hostinger in der EU-Region Frankfurt.
• Zugang und Zugriff: Persönliche Nutzerkonten, serverseitige Sitzungsvalidierung, Rollen- und Berechtigungsmodell, Row-Level-Security und Mandantentrennung.
• Support-Zugriff: Nur nach ausdrücklicher Freigabe, Read-Only, mit Feldmaskierung, Impersonation-Banner und Audit-Log.
• Verschlüsselung: TLS für Übertragungen; anbieteräquivalente At-Rest-Verschlüsselung für Datenbank, technische Datenbanksicherungen und Objektspeicher; feldverschlüsselte OAuth-Tokens.
• Verfügbarkeit: Datenbank-PITR für die zurückliegenden 7 Tage; redundanter und at-rest verschlüsselter Objektspeicher ohne zeitpunktgenauen Wiederherstellungspunkt für einzelne Dateiobjekte.
• Monitoring und Incident Response: Fehlertelemetrie, Alerting, Incident-Response-Prozess und Meldung relevanter Vorfälle nach Maßgabe des AVV.

Innerhalb der SaaS-Plattform setzen wir ausschließlich technisch notwendige Cookies bzw. Local-Storage-Einträge ein (Session-Handling, Status zusätzlicher Sicherheitsfaktoren soweit bereitgestellt oder aktiviert, Feature-Flag-Cache, Sprach- und UI-Einstellungen). Es findet kein Tracking, kein Retargeting und keine werbliche Profilbildung innerhalb der Plattform statt. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist für diese Speicherungen nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Es findet keine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO statt. KI-gestützte Ausgaben (Zusammenfassungen, Vorschläge, Kategorisierungen, Sprachdialoge) dienen ausschließlich der Assistenz; die letztverantwortliche Entscheidung trifft die jeweilige Agentur-Nutzerin bzw. der jeweilige Agentur-Nutzer. In eingehenden und ausgehenden Telefonaten mit KI-Sprachdialog erfolgt eine KI-Transparenz-Ansage gegenüber der Anrufer:in.

Datenschutzverletzungen melden wir betroffenen Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, gemäß AVV und Art. 33 DSGVO. Grundlage der Vorfallserkennung sind unter anderem Sentry-Alerting, ein signiertes Sentry-Webhook und ein dokumentiertes Incident-Response-Playbook.

Diese Datenschutzerklärung hat den Stand Juli 2026. Wir behalten uns vor, sie anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Über wesentliche Änderungen informieren wir angemeldete Nutzer:innen per E-Mail. Die jeweils aktuelle Fassung ist innerhalb der Plattform sowie unter smarteagentur.de/datenschutz abrufbar.