Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten auf der Website und in der Plattform „Company Chat“ (company-chat.de einschließlich der Subdomains und eigener Domains der Organisationen, Stand: 24.08.2026). Die Plattform wird Organisationen (z. B. Arbeitgebern) bereitgestellt; innerhalb einer Organisation gelten ergänzend deren interne Datenschutzhinweise. Soweit die Organisation über die Verarbeitung der Daten ihrer Beschäftigten entscheidet, ist sie Verantwortliche im Sinne der DSGVO und wir handeln als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).

1. Verantwortlicher

APPDING – Christopher Geyer, Ronriederstraße 11, 87616 Marktoberdorf, Telefon +49 171 3114623, E-Mail hello@company-chat.de.

2. Registrierung, Testzugang und Konto

Registrierung und Testzugang. Bei der Selbstregistrierung verarbeiten wir Firma, Name, geschäftliche E-Mail-Adresse, optional Telefonnummer, Passwort (nur als Hash) sowie den Zeitpunkt der Bestätigung (Double-Opt-in). Die Registrierung ist nur mit einer Firmen-E-Mail-Adresse möglich; anhand der E-Mail-Domain ordnen wir Sie Ihrer Organisation zu. Registriert sich eine weitere Person mit einer Adresse derselben Firmendomain, wird sie der bestehenden Organisation zugeordnet bzw. deren Administratoren zur Freigabe angezeigt – je nach Einstellung der Organisation. Die Angaben aus der Registrierung und aus dem Beratungsformular speichern wir als Interessenten-Datensatz (Firma, Ansprechperson, E-Mail, Telefon, Nachricht, Status des Testzugangs) zur Bearbeitung Ihrer Anfrage und zur Vertragsanbahnung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung, Testzugang).

Testzeitraum. Der kostenlose Testzugang ist zeitlich und im Umfang begrenzt (Testkontingent je Organisation, Tageslimits für einzelne Funktionen). Zur Einhaltung dieser Grenzen werten wir den Verbrauch der Organisation aus. Während der Testphase senden wir Hinweise zum Ablauf des Testzeitraums an die angegebene Adresse (Art. 6 Abs. 1 lit. b DSGVO); Sie können dem jederzeit widersprechen. Nicht bestätigte Registrierungen löschen wir nach sieben Tagen.

Schutz vor Missbrauch. Zur Abwehr automatisierter Anmeldungen speichern wir für sieben Tage einen nicht rückrechenbaren Hash der IP-Adresse (gesalzener SHA-256) sowie die Anzahl der Versuche je Firmendomain; die IP-Adresse selbst wird nicht gespeichert. Im Chat begrenzen wir die Zahl der Anfragen je Nutzer und Zeitraum; die dafür nötigen Zähler enthalten nur Nutzerkennung und Zeitpunkt und werden nach 24 Stunden verworfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Verfügbarkeit des Dienstes).

Funnel-Ereignisse. Zur Auswertung, wie viele Registrierungen bestätigt werden und in eine Nutzung münden, protokollieren wir serverseitig Ereignisse wie „Registrierung gestartet“, „E-Mail bestätigt“, „erster Chat“ oder „Testphase abgelaufen“ mit Bezug auf die Organisation. Dafür werden keine Cookies gesetzt und keine Browser-Kennungen verwendet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verbesserung des Angebots).

Kontodaten (Name, geschäftliche E-Mail-Adresse, Passwort-Hash, Organisationszugehörigkeit, Rolle): Bereitstellung des Zugangs, Rechteverwaltung. Der im Profil hinterlegte Name (bzw. ein optional gewählter Anrede-Name und die bevorzugte Anredeform Du/Sie) wird dem KI-Assistenten zur persönlichen Ansprache im Chat mitgegeben. Meldet sich Ihre Organisation per Single Sign-on (Microsoft Entra ID) an, erhalten wir von Microsoft Name, E-Mail-Adresse und Tenant-Kennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO (Durchführung des Beschäftigungs- bzw. Nutzungsverhältnisses, berechtigtes Interesse an einer sicheren internen IT-Infrastruktur).

3. Chat-Inhalte, Dokumente und KI-Modelle

Chat-Inhalte und hochgeladene Dokumente: Erbringung der KI-Assistenzfunktionen (Chat, Wissens-Bots, Diagramme, Dokumenterstellung, Spracheingabe). Inhalte werden zur Beantwortung an Mistral AI SAS, Paris (KI-Modelle, Betrieb auf Servern in der EU), übermittelt und dort nicht zu Trainingszwecken verwendet. Für Wissens-Bots werden Dokumente in Textabschnitte zerlegt und mit Vektoren (Embeddings) in unserer Datenbank gespeichert; Scans werden per Texterkennung (OCR) beim selben Anbieter verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Funktion) bzw. die Rechtsgrundlage Ihrer Organisation gegenüber ihren Beschäftigten.

Verbrauchs- und Protokolldaten (Token-Verbrauch, Tool-Aufrufe, Kostenpunkte, technische Logs, Audit-Log mit Person und Zeitpunkt ohne Nachrichteninhalte): Kostensteuerung, Missbrauchs- und Fehleranalyse, Nachweispflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Server-Logs werden nach spätestens 7 Tagen anonymisiert.

4. Websuche mit Anonymisierung

Nutzt ein Bot die Websuche, wird die Anfrage vor der Übermittlung an den Suchdienst technisch gefiltert: personen- und kundenbezogene Angaben (Namen, E-Mail-Adressen, Telefonnummern, Kennzeichen, Fahrgestell- und Kundennummern) werden automatisiert entfernt bzw. durch generische Begriffe ersetzt. Der Filtervorgang wird zu Nachweiszwecken protokolliert. Die Suche läuft über den Suchdienst von Mistral AI (EU); hat Ihre Organisation die optionale Premium-Websuche mit Nachrichtenagenturen freigeschaltet, wird dieselbe anonymisierte Anfrage an den erweiterten Suchindex von Mistral AI gerichtet. Ihre IP-Adresse oder Kennung wird dabei nicht übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.

5. Persönliches Gedächtnis (optional)

Hat Ihre Organisation die Funktion freigeschaltet, können Sie in Ihrem Profil ein persönliches Gedächtnis aktivieren. Die Plattform leitet dann aus Ihren eigenen Chat-Nachrichten kurze, sachliche Fakten über Ihren Arbeitskontext ab und stellt sie dem Assistenten in Ihren weiteren Chats derselben Organisation als Hintergrund zur Verfügung. Zweck: Antworten, die ohne Wiederholung Ihres Kontexts auf Ihre Rolle und Arbeitsweise eingehen.

Datenkategorien: Einträge (max. 160 Zeichen) zu Rolle & Aufgaben, Projekten, Werkzeugen, Fachgebiet, Antwortstil, Formaten und wiederkehrenden Themen, jeweils mit Kategorie, kurzem Belegzitat aus Ihrer Nachricht, Zeitpunkt und Quell-Chat. Ausgeschlossen und technisch gefiltert sind besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheit, Religion, Gewerkschaftszugehörigkeit, politische Meinung), Angaben über Dritte (Kollegen, Vorgesetzte, Kunden, Lieferanten), Zugangsdaten und Identifikatoren, Bewertungen Ihrer Leistung, Stimmung oder Anwesenheit sowie private Lebensumstände ohne Arbeitsbezug. Ausgewertet werden ausschließlich Ihre eigenen Nachrichten, keine Antworten des Assistenten, Dokumente, Anhänge, Suchergebnisse oder Daten aus Microsoft 365.

Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie beim Aktivieren erteilen; der Einwilligungstext wird mit Version und Zeitpunkt gespeichert. Die Funktion ist standardmäßig ausgeschaltet, die Nutzung freiwillig; bei Nichtnutzung entstehen keine Nachteile. Sie können die Einwilligung jederzeit im Profil mit Wirkung für die Zukunft widerrufen, das Sammeln pausieren, Einträge einsehen, berichtigen, löschen, dauerhaft sperren, exportieren (Art. 15, 20) oder vollständig löschen (Art. 17).

Keine Sichtbarkeit für den Arbeitgeber: Die Einträge sind ausschließlich für Sie selbst lesbar. Administratoren Ihrer Organisation und der Betreiber haben keinen Lesezugriff; dies ist durch Zugriffsrichtlinien auf Datenbankebene technisch sichergestellt. Ihre Organisation erfährt nur die Anzahl der Personen, die die Funktion aktiviert haben. Das Gedächtnis wird nicht zur Leistungs- oder Verhaltenskontrolle verwendet.

Empfänger: Zur Ableitung der Einträge und zur Beantwortung Ihrer Fragen werden Ihre Nachrichten bzw. die Einträge an den in Abschnitt 11 genannten KI-Modellanbieter (Mistral AI, EU-Hosting) übermittelt und dort nicht zu Trainingszwecken verwendet.

Speicherdauer: Einträge, die 180 Tage (Antwortstil und Formate: 365 Tage) nicht bestätigt wurden, werden deaktiviert und anschließend endgültig gelöscht. Das Gedächtnis ist an Ihre Organisation gebunden und wird gelöscht, wenn Sie die Organisation verlassen, Ihr Konto gelöscht wird oder Ihre Organisation die Funktion abschaltet (nach einer Nachlauffrist von 30 Tagen zum Export). Bei Widerruf endet die Verarbeitung sofort.

Keine automatisierte Entscheidung: Das Gedächtnis beeinflusst nur Kontext und Formulierung der Antworten an Sie. Eine automatisierte Entscheidung im Einzelfall oder Profiling mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

6. Microsoft-365-Assistenz (optional)

Verknüpfung. Hat die IT Ihrer Organisation die Anbindung für ihren Microsoft-365-Tenant freigegeben (Admin-Consent), können Sie Ihr Microsoft-Konto in Ihrem Profil mit Company Chat verknüpfen (OAuth). Der Assistent greift dann über Microsoft Graph ausschließlich mit delegierten Rechten zu: Er sieht und schreibt nur, was Sie selbst in Microsoft 365 sehen und dürfen; Sichtbarkeitsregeln Ihres Tenants gelten unverändert. Die Zugriffstoken speichern wir verschlüsselt (AES-256-GCM); der Tenant wird bei jeder Verknüpfung abgeglichen. Microsoft Graph ist dabei ein System Ihrer Organisation (Kundentenant), kein Auftragsverarbeiter von uns.

Kalender, E-Mail, Aufgaben, Personen. Auf Ihre Frage hin liest der Assistent Termine und freie Zeiten, sucht und fasst E-Mails zusammen, zeigt Aufgaben (To Do) und Verzeichnisdaten von Beschäftigten (Name, Titel, Abteilung, Büro, Telefon, E-Mail, Vorgesetztenkette). Diese Daten werden nur für die jeweilige Antwort abgerufen und nicht dauerhaft bei uns gespeichert; in der Chat-Historie verbleibt lediglich der Auszug, der Ihnen als Antwort angezeigt wurde. HR-nahe Felder (Personalnummer, Eintrittsdatum, Kostenstelle, Geburtstag) werden nie abgefragt; Fotos werden nur im Browser zwischengespeichert und nie an das KI-Modell übermittelt. Schreibaktionen (Termin anlegen, Einladung beantworten, E-Mail-Entwurf, Senden, Aufgabe anlegen) erscheinen als Vorschau und werden erst nach Ihrer Bestätigung ausgeführt; Senden nur, wenn die IT das entsprechende Recht erteilt hat. Das Audit-Log hält Schreibaktionen ohne Inhalt fest. Teams-Präsenz (Erreichbarkeit) und Org-Chart werden nur angezeigt, wenn der Administrator Ihrer Organisation die jeweilige Funktion freigeschaltet und dabei die Information der Mitarbeitervertretung bestätigt hat; Präsenz wird nie gespeichert und nur auf ausdrückliche Frage abgerufen.

Dateien und SharePoint. Die Live-Suche in OneDrive und SharePoint liefert Treffer im Rahmen Ihrer Rechte. Optional können Sie persönliche Dateien als Kontext freigeben: Dann werden Textabschnitte dieser Dateien in einem persönlichen Cache mit Kontingent (500 Dateien, 2 GB je Person) gespeichert und alle 30 Minuten per Delta-Abgleich aktualisiert; entzogene oder gelöschte Dateien verschwinden beim nächsten Abgleich. Ein Org-Admin kann SharePoint-Seiten und News einer Site als Wissensquelle eines Bots freigeben; sie werden über das Quellen-Konto des Admins stündlich abgeglichen und allen Nutzern des Bots mit Quelle und Stand angezeigt. Entfernte Quellen werden mit ihren Dokumenten sofort gelöscht.

Rechtsgrundlage ist die Rechtsgrundlage Ihrer Organisation gegenüber ihren Beschäftigten (Art. 6 Abs. 1 lit. b und f DSGVO, § 26 BDSG); die Verknüpfung Ihres Kontos ist freiwillig und jederzeit in Ihrem Profil lösbar. Löschung: Trennen Sie die Verknüpfung, werden Token, Abonnements und der persönliche Dateien-Cache sofort gelöscht; eine abgelaufene Verknüpfung wird nach 30 Tagen entfernt. Widerruft Ihre IT die Freigabe für den Tenant, wird der Index nach 14 Tagen gelöscht; schaltet Ihre Organisation die Anbindung ab, wird der Index sofort und der Verknüpfungsdatensatz nach 30 Tagen gelöscht.

7. Kartendienste (Google Maps)

Auf ausdrücklichen Wunsch (z. B. „Zeig mir die Route …“) blendet der Assistent eine Karte von Google Maps ein, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beim Laden der Karte wird Ihre IP-Adresse an Google übermittelt; Google kann dabei Cookies setzen und Daten in die USA übertragen (Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert). Routenberechnungen (Start, Ziel, Verkehrsmittel) werden serverseitig ohne Ihre Identität an Google übermittelt; in der Chat-Historie bleiben nur Kartenlink, Titel, Distanz und Dauer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. f DSGVO (Bereitstellung der angeforderten Funktion). Ohne Kartenanfrage findet keine Übermittlung statt; Ihr Administrator kann die Funktion je Bot abschalten. Datenschutzhinweise von Google: policies.google.com/privacy.

8. Wetterdaten

Auf Ihre Frage nach dem Wetter für einen Ort ruft der Assistent Wetterdaten ab – für Deutschland vom Deutschen Wetterdienst (über den Dienst Bright Sky, Betrieb in Deutschland), für das übrige Europa vom Norwegischen Meteorologischen Institut (MET Norway, Oslo, Norwegen/EWR). Die Abfrage erfolgt ausschließlich von unseren Servern aus; übermittelt werden nur die gerundeten Koordinaten des von Ihnen genannten Orts – keine IP-Adresse, keine Kennung und keine sonstigen personenbezogenen Daten. Ein Standort wird nicht automatisch ermittelt (keine IP-Geolokalisierung, kein Browser-Standort); der Ort stammt allein aus Ihrer Eingabe. Wird ein Ortsname in Koordinaten umgewandelt, geschieht dies über eine interne Ortsliste oder – nur bei unbekannten Orten – über die Google Geocoding API (Google Ireland Limited; es wird nur der Ortsname übermittelt; das Ergebnis wird bis zu 30 Tage zwischengespeichert). Hinterlegen Sie freiwillig einen Arbeitsort in Ihrem Profil, geschieht dies auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und ist jederzeit löschbar. Im Übrigen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b bzw. f DSGVO. Wettervorhersagen werden ohne Gewähr angezeigt; amtliche Unwetterwarnungen finden Sie beim Deutschen Wetterdienst (WarnWetter) und unter warnung.bund.de (NINA). Ihr Administrator kann die Funktion je Bot abschalten.

9. Seitenpanel und Lesemodus

Links in Antworten öffnen sich auf Klick in einem Seitenpanel. Vorher prüfen unsere Server ohne Nutzerbezug, ob die Zielseite eine Einbettung erlaubt. Erlaubt sie das, lädt Ihr Browser die Seite direkt vom jeweiligen Anbieter; dabei gelten dessen Datenschutzhinweise (Übermittlung Ihrer IP-Adresse an den Anbieter). Erlaubt sie keine Einbettung, rufen unsere Server den öffentlichen Text der Seite ab und zeigen ihn als vereinfachten Lesemodus an: ohne Nutzerkennung, ohne Cookies, ohne Referrer, mit eigener Kennung des Abrufdienstes; das Ergebnis wird für 10 Minuten zwischengespeichert (je Adresse, nicht je Person), nicht in der Datenbank abgelegt, nicht an das KI-Modell gegeben und nicht in eine Wissensbasis übernommen. SharePoint-Seiten liest das Panel mit Ihrer Microsoft-Verknüpfung (Abschnitt 6) im Rahmen Ihrer Rechte; Zwischenspeicherung 5 Minuten, keine Speicherung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.

10. Push-Benachrichtigungen

Auf Wunsch können Sie in Ihrem Browser Push-Benachrichtigungen aktivieren (z. B. wenn eine längere Aufgabe fertig ist). Dafür speichern wir die von Ihrem Browser erzeugte Push-Adresse und die zugehörigen Schlüssel zu Ihrem Konto. Die Zustellung läuft über den Push-Dienst des Browser-Herstellers (z. B. Google, Apple, Mozilla); die Nachrichten enthalten nur kurze Hinweise ohne Chat-Inhalte. Rechtsgrundlage ist Ihre Einwilligung, die Sie über die Browser-Abfrage erteilen (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit in den Browser-Einstellungen widerrufen. Abgelaufene oder abgemeldete Push-Adressen löschen wir automatisch.

11. Empfänger, Auftragsverarbeiter und Datenstandorte

Auftragsverarbeiter (Auftragsverarbeitungsverträge nach Art. 28 DSGVO): Supabase Inc. (Datenbank, Authentifizierung, Dateispeicher – Region Frankfurt, eu-central-1), Vercel Inc. (Anwendungs-Hosting, Ausführung in Frankfurt; Reichweitenmessung siehe Abschnitt 14), Mistral AI SAS, Paris (KI-Modelle, Texterkennung, Spracherkennung, Websuche und Premium-Websuche – Betrieb in der EU, kein Training mit Ihren Daten), Resend Inc. (E-Mail-Versand für Bestätigungen, Einladungen und Hinweise – Region eu-west-1, Irland).

Weitere Empfänger: Google Ireland Limited (Google Maps Platform für Karten, Routen und Geocoding – nur auf Anfrage, mögliche Übermittlung in die USA an Google LLC, zertifiziert nach dem EU-US Data Privacy Framework; Abschnitte 7 und 8), Bright Sky/Deutscher Wetterdienst (Deutschland) und MET Norway (Norwegen/EWR) für Wetterdaten ohne Personenbezug (Abschnitt 8), Microsoft Graph im Microsoft-365-Tenant Ihrer Organisation (Abschnitt 6), Push-Dienste der Browser-Hersteller (Abschnitt 10).

Zahlungsabwicklung: Für kostenpflichtige Organisationen nutzen wir Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. Stripe verarbeitet die für Rechnungsstellung und Zahlungseinzug erforderlichen Daten (Firmenname, Rechnungsadresse, E-Mail der Ansprechperson, USt-IdNr., Zahlungsmittel, Rechnungs- und Zahlungsverlauf). Zahlungsmitteldaten (Karte, IBAN) werden ausschließlich bei Stripe erfasst und gespeichert; wir erhalten nur gekürzte Angaben (z. B. letzte vier Ziffern). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO für die handels- und steuerrechtliche Aufbewahrung von Rechnungen (10 Jahre). Stripe handelt für die Zahlungsabwicklung als eigenständig Verantwortlicher; Informationen unter stripe.com/de/privacy.

Eine Übermittlung in Drittländer findet nur in den genannten Fällen statt (Google Maps Platform auf Ihre Kartenanfrage; Push-Dienste nach Ihrer Einwilligung; Vercel und Supabase als US-Unternehmen mit Verarbeitung in Frankfurt auf Grundlage von EU-Standardvertragsklauseln im jeweiligen Auftragsverarbeitungsvertrag).

12. Speicherdauer und Löschung

Chats und Dokumente können jederzeit durch die Nutzer gelöscht werden; die Löschung umfasst auch abgeleitete Daten (Index-Abschnitte, gespeicherte Dateien). Eine pauschale Aufbewahrungsfrist für Chat-Verläufe gibt es nicht; Ihre Organisation kann Löschregeln festlegen. Kontodaten werden mit Ende der Zugriffsberechtigung entfernt. Verbrauchsdaten werden ohne Inhaltsbezug für Abrechnungszwecke aufbewahrt; Rechnungen 10 Jahre (Art. 6 Abs. 1 lit. c DSGVO).

Nicht bestätigte Registrierungen: 7 Tage, danach Löschung.
IP-Hash und Versuchszähler der Registrierung: 7 Tage.
Zähler der Anfragebegrenzung im Chat: 24 Stunden.
Server-Logs: Anonymisierung nach spätestens 7 Tagen.
Persönlicher Microsoft-365-Dateien-Cache: sofort bei Trennung der Verknüpfung; abgelaufene Verknüpfung nach 30 Tagen; bei Widerruf der Tenant-Freigabe nach 14 Tagen.
SharePoint-Quellen eines Bots: sofort beim Entfernen der Quelle; Zwischenspeicher von Lesemodus (10 Minuten) und SharePoint-Lesemodus (5 Minuten) nur im Arbeitsspeicher.
Geocoding-Ergebnisse (Ortsname zu Koordinaten): bis zu 30 Tage.
Persönliches Gedächtnis: 180 Tage ohne Bestätigung (Antwortstil und Formate 365 Tage), Nachlauf 30 Tage nach Abschaltung durch die Organisation, sofort bei Widerruf oder Austritt.
Interessenten-Datensätze aus Registrierung und Beratungsformular: bis zum Abschluss der Anfrage bzw. bis zum Widerspruch, längstens bis zum Ende des Vertragsverhältnisses zuzüglich gesetzlicher Aufbewahrungsfristen.

13. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO), und das Recht auf Beschwerde bei einer Aufsichtsbehörde, z. B. dem Bayerischen Landesamt für Datenschutzaufsicht (BayLDA). Nutzen Sie Company Chat als Beschäftigte einer Organisation, richten Sie Ihre Anfrage bitte zunächst an Ihre Organisation; wir unterstützen sie bei der Beantwortung.

14. Reichweitenmessung (Vercel Web Analytics)

Zur Ermittlung, wann und wie viele Besucher die Website aufrufen, nutzen wir Vercel Web Analytics der Vercel Inc., 650 California St, San Francisco, CA 94108, USA. Der Dienst arbeitet ohne Cookies und ohne Speicherung von Kennungen im Browser. Erfasst werden aufgerufene Seite, Referrer, Gerätetyp, Browser, Betriebssystem und das Herkunftsland; die IP-Adresse wird nicht gespeichert. Zur Zählung eindeutiger Besucher wird aus Anfragedaten ein Hash-Wert gebildet, der nur für den jeweiligen Tag gültig ist und keine Wiedererkennung über mehrere Tage oder Websites hinweg erlaubt. Es werden keine Nutzerprofile erstellt und keine Daten mit anderen Diensten zusammengeführt. Rechtsgrundlage ist unser berechtigtes Interesse an der statistischen Auswertung und Verbesserung des Angebots (Art. 6 Abs. 1 lit. f DSGVO). Die Verarbeitung erfolgt auf Grundlage des Auftragsverarbeitungsvertrags (Data Processing Addendum) mit Vercel einschließlich der EU-Standardvertragsklauseln für die Übermittlung in Drittländer. Da weder Cookies gesetzt noch Informationen auf dem Endgerät gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich; ein Cookie-Banner wird deshalb nicht eingesetzt. Weitere Informationen: vercel.com/docs/analytics/privacy-policy.

15. Cookies und lokale Speicherung

Die Anwendung verwendet ausschließlich technisch notwendige Cookies für die Anmeldung (Session). Im Browser-Speicher (localStorage) legen wir nur Einstellungen ohne Personenbezug ab, etwa die gewählte Darstellung (Hell/Dunkel). Über die in Abschnitt 14 beschriebene cookielose Reichweitenmessung hinaus findet kein Tracking und keine Analyse durch Drittanbieter statt; Schriftarten werden lokal ausgeliefert. Werbe-Cookies oder Marketing-Tracking setzen wir weder auf den Informationsseiten noch im Produktbereich ein.

16. Kampagnen-Zuordnung bei Werbeanzeigen

Wir bewerben Company Chat gelegentlich über Suchmaschinenwerbung. Rufen Sie unsere Seite über eine solche Anzeige auf, enthält die Adresse in Ihrer Adresszeile Parameter, die die Herkunft des Aufrufs beschreiben: eine von Google vergebene Klick-Kennung („GCLID“, ggf. auch „GBRAID“ oder „WBRAID“) und Kampagnen-Parameter (utm_source, utm_medium, utm_campaign, utm_content, utm_term).

Diese Parameter werden auf unserem Server aus der Aufruf-URL gelesen und – solange Sie sich auf unseren Informationsseiten bewegen – an die Links zum Registrierungsformular angehängt. Auf Ihrem Endgerät wird dabei nichts gespeichert oder ausgelesen: kein Cookie, kein lokaler Browser-Speicher. Aus diesem Grund ist auch keine Einwilligung nach § 25 TDDDG erforderlich und es wird kein Cookie-Banner eingesetzt. Verlassen Sie unsere Seiten oder rufen Sie sie ohne diese Parameter auf, sind die Werte weg – wir stellen sie nicht wieder her.

Registrieren Sie sich, werden die zu diesem Zeitpunkt vorhandenen Parameter zusammen mit Ihrer Registrierung in unserer Datenbank gespeichert. Zweck ist ausschließlich die Erfolgsmessung unserer Werbung: Wir melden Google Ads nachträglich, dass zu einer Klick-Kennung eine Registrierung gehört, damit wir beurteilen können, welche Anzeigen sich lohnen. Übermittelt werden dabei die Klick-Kennung, die Art des Vorgangs, der Zeitpunkt und ein rechnerischer Wert – keine Namen, keine E-Mail-Adressen und keine Inhalte. Eine Profilbildung über Ihr Verhalten findet nicht statt, und es wird kein Werkzeug eines Drittanbieters in unsere Seiten eingebunden.

Rechtsgrundlage ist unser berechtigtes Interesse an der wirtschaftlichen Erfolgskontrolle eigener Werbung (Art. 6 Abs. 1 lit. f DSGVO). Die Werte werden gemeinsam mit dem zugehörigen Anfrage- bzw. Registrierungsdatensatz gelöscht (siehe Abschnitt 12); die Übermittlung an Google Ads erfolgt innerhalb von 90 Tagen nach dem Anzeigenklick, danach ist sie technisch nicht mehr möglich. Sie können dieser Verarbeitung jederzeit nach Art. 21 DSGVO widersprechen – formlos an hello@company-chat.de. Wenn Sie die Zuordnung von vornherein vermeiden möchten, entfernen Sie die genannten Parameter aus der Adresszeile oder rufen Sie company-chat.de direkt auf.

17. Feedback zu Antworten (Daumen hoch/runter)

Sie können Antworten des Assistenten im Chat mit „Daumen hoch“ oder „Daumen runter“ bewerten und optional kommentieren. Was dabei an die Administratoren Ihrer Organisation geht, entscheiden Sie bei jeder Bewertung selbst in drei Stufen:

Nur Bewertung (Voreinstellung): Daumen, Zeitpunkt und der betroffene Bot. Es wird kein Chat-Inhalt gespeichert, und den Administratoren wird kein Name angezeigt.
Mit Auszug: zusätzlich ein Auszug Ihrer Frage und der bewerteten Antwort (jeweils bis zu 500 Zeichen) – ohne Namensnennung gegenüber den Administratoren.
Mit Auszug und Name: zusätzlich Ihr Anzeigename, damit die Administratoren Ihrer Organisation bei Rückfragen auf Sie zukommen können.

Ohne Ihre aktive Entscheidung werden also weder Chat-Inhalte noch Ihr Name übermittelt. Ein freiwillig eingegebener Kommentar ist in allen Stufen für die Administratoren lesbar. Zweck der Bewertungen ist es, die Qualität der Bots zu beurteilen und zu verbessern; lesen können sie die Administratoren Ihrer Organisation sowie wir im Rahmen des Plattform-Betriebs.

Zur technischen Umsetzung: Auch in den Stufen ohne Namensnennung bleibt die Bewertung in der Datenbank Ihrem Konto zugeordnet (Pseudonymisierung, keine Anonymität) – das ist nötig, um Doppelbewertungen zu verhindern und damit Sie Ihre eigene Bewertung ändern oder zurückziehen können. Den Administratoren Ihrer Organisation wird diese Zuordnung in den Stufen ohne Namensnennung nicht bereitgestellt; das ist durch Zugriffsregeln auf Datenbankebene sichergestellt, nicht nur durch die Darstellung.

Rechtsgrundlage: für die reine Bewertung Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Qualitätssicherung der Assistenzfunktionen) bzw. die Rechtsgrundlage Ihrer Organisation gegenüber ihren Beschäftigten; für die freiwillige Übermittlung von Auszug und Name Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerruflich. Sie können jede Bewertung im Chat ändern oder vollständig zurückziehen („Zurückziehen“); damit werden auch Auszug, Kommentar und Zuordnung gelöscht. Im Übrigen werden Bewertungen mit der Löschung Ihres Kontos bzw. der Organisation entfernt (siehe Abschnitt 12).

18. Persönliches Briefing (optional)

Wenn Ihre Organisation die Funktion freigeschaltet hat und Sie sie im Profil einschalten, erstellt Company Chat zu einer von Ihnen gewählten Uhrzeit eine persönliche Tagesübersicht – auch dann, wenn Sie gerade nicht angemeldet sind. Die Übersicht besteht ausschließlich aus Daten, die Sie selbst freigegeben haben: Termine und Einladungen sowie Aufgaben aus Ihrem Microsoft-365-Konto (Abschnitt 6), auf Wunsch die Anzahl ungelesener E-Mails mit Absender und Betreff (nie der Inhalt), Ihre Notizen, Beiträge aus dem Intranet Ihrer Organisation, Wetterdaten (Abschnitt 8) und – wenn Sie Standorte hinterlegen – Fahrzeiten mit aktueller Verkehrslage zu Terminen vor Ort (Abschnitt 7). Für Fahrzeiten und Wetter werden ausschließlich Koordinaten bzw. Adressen ohne Ihre Identität an Google Maps Platform, den Deutschen Wetterdienst oder MET Norway übermittelt. Ein Wohnort wird nur verwendet, wenn Sie ihn selbst als Standort eintragen.

Sie können eigene Informationsquellen hinterlegen (Websites, RSS-Feeds, YouTube-Kanäle, Podcasts). Diese öffentlichen Quellen ruft unser Server ohne Ihre IP-Adresse ab; gespeichert werden je Beitrag nur Titel, Link, Datum, ein kurzer Teaser und eine von uns erzeugte Ein-Satz-Kurzfassung. Vorschaubilder von YouTube werden nur angezeigt, wenn Sie das in den Einstellungen zulassen; beim Laden eines Vorschaubilds oder beim Klick auf ein Video erhält Google Ihre IP-Adresse. Videos oder Podcasts werden nicht eingebettet; Podcast-Folgen werden erst auf Ihren Klick vom Server des Anbieters geladen.

Die Zustellung erfolgt in der App; auf Wunsch zusätzlich als Push-Benachrichtigung (Abschnitt 10) oder per E-Mail an Ihre Konto-Adresse über Resend (Abschnitt 11), jeweils nur nach Freigabe durch Ihre Organisation und Ihrer Auswahl; jede Briefing- Mail enthält einen Abmeldelink. Die Formulierung der Übersicht übernimmt ein KI-Modell von Mistral AI (Abschnitt 3) aus den genannten Daten. Administratoren Ihrer Organisation sehen keine Inhalte, Zeiten, Standorte oder Quellen, sondern nur Zähler (aktive Nutzer, Läufe, Kosten). Tagesübersichten werden nach 30 Tagen gelöscht, erledigte Notizen nach 90 Tagen, Standorte und Quellen mit Ihrer Löschung bzw. beim Ausscheiden aus der Organisation.

Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerruflich durch Abschalten der Funktion im Profil; für Google Maps Platform gelten zusätzlich die Hinweise in Abschnitt 7. Stand dieses Abschnitts: 02.09.2026.