Datenschutz

Verantwortlicher

Visionconcepts Ltd, Agiou Kournouta 28, Kissos Sea View Villa No. 4, 8574 Kissonerga, Paphos, Zypern, vertreten durch den Director Michael Jacob Suchan. E-Mail team@machmal.ai. Ein Datenschutzbeauftragter ist nicht benannt, weil die gesetzlichen Voraussetzungen dafür nach unserer Einschätzung nicht vorliegen. Für alle Fragen zum Datenschutz erreichst du uns unter der genannten Adresse.

Kurzfassung

• Die Website lädt ohne deine Zustimmung nichts von Dritten: keine externen Schriften, keine Karten, kein Werbe-Pixel. Nur mit deiner Einwilligung zählen wir Besuche auf eigenen Servern in Deutschland und messen mit dem Meta-Pixel, ob unsere Anzeigen wirken. Einzige Ausnahme: Testen wir zwei Fassungen einer Seite, zählt unser Server ohne Cookie und ohne Zugriff auf dein Gerät, welche Fassung wie oft zu einer Registrierung führt (siehe „Vergleich von Seitenversionen“).
• Dein Agent ist die Open-Source-Software Hermes Agent (Nous Research), die wir für dich auf Servern der Hetzner Online GmbH in Deutschland installieren und betreiben. In der Testphase in einem abgeschotteten Container auf einem gemeinsamen Plattform-Server, mit dem Abo auf einer eigenen virtuellen Maschine.
• Deine Inhalte gehören dir. Wir greifen nur darauf zu, wenn es für Betrieb, Fehlerbehebung oder Sicherheit nötig ist oder du uns beim Support darum bittest, und nur durch die dafür zuständigen Personen.
• Das Sprachmodell läuft über deinen eigenen Zugang bei OpenAI, Anthropic oder einem anderen Anbieter. Du bist dessen Vertragspartner; die Inhalte deiner Aufgaben gehen an diesen Anbieter, in der Regel in die USA.
• Dein Agent ist so eingestellt, dass er Entwürfe vorlegt und vor dem Versenden nachfragt. Das ist eine Verhaltensregel des Agenten, keine technische Sperre. Prüfe die Berechtigungen deiner Programme und die Ergebnisse, bevor du sie geschäftlich verwendest.

Diese Website

Beim Aufruf verarbeitet der Webserver technisch notwendige Zugriffsdaten: IP-Adresse, Zeitpunkt, abgerufene Adresse, übertragene Menge, Browserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse am sicheren und störungsfreien Betrieb. Die Protokolle werden nach 14 Tagen gelöscht. Schriften, Bilder und Videos liegen auf unseren eigenen Servern.

Vergleich von Seitenversionen (A/B-Tests)

Manchmal zeigen wir von einer Seite zwei Fassungen und schauen, mit welcher sich mehr Betriebe registrieren. Welche Fassung du siehst, berechnet unser Server aus einem Prüfwert (Hash) von IP-Adresse, Browserkennung und Test. Auf deinem Gerät wird dafür nichts gespeichert und nichts ausgelesen, es gibt kein Cookie. Wir speichern nur diesen Prüfwert, die zugeteilte Fassung, den Gerätetyp (z. B. „Handy · Safari“) und einen täglich wechselnden Prüfwert der IP-Adresse, nicht die IP-Adresse selbst. Registrierst du dich, vermerken wir an deinem Konto, welche Fassung du gesehen hast. Die Auswertung erfolgt nur als Summe je Fassung, ausschließlich auf unseren eigenen Servern und ohne Weitergabe an Dritte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse, unsere Website zu verbessern. Die Zuteilungen löschen wir nach spätestens 12 Monaten. Du kannst jederzeit widersprechen, eine kurze Nachricht an uns genügt.

Cookies und Speicherung im Browser

Wir verwenden keine Cookies von Dritten und keine Werbe-Cookies, solange du nicht einwilligst. Im Einzelnen:

• Anmeldung (notwendig): Nach dem Einloggen setzt die Konsole ein Sitzungs-Cookie (sess, HttpOnly, nur über HTTPS). Es hält dich angemeldet und wird beim Abmelden gelöscht. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.
• Einstellungen (notwendig): Die Konsole merkt sich im lokalen Speicher deines Browsers Darstellung (z. B. heller oder dunkler Modus), zuletzt geöffnete Bereiche und ob du Hinweise schon gesehen hast. Diese Daten verlassen deinen Browser nicht.
• Empfehlungs-Link (notwendig für die Funktion): Kommst du über den Link eines Kunden zu uns, merkt sich dein Browser dessen Empfehlungs-Code für 30 Tage (mm_empf), damit die Empfehlung bei deiner Registrierung zugeordnet werden kann. Der Code enthält keine Daten über dich.
• Deine Entscheidung: Ob du Besuchsstatistik und Meta-Pixel zugestimmt hast, speichern wir ein Jahr lang im lokalen Speicher (mm_consent). Ändern kannst du das jederzeit über „Datenschutz-Einstellungen“ in der Fußzeile. Zusätzlich zählen wir, wie oft pro Tag „Einverstanden“ bzw. „Ablehnen“ gewählt wird, nur als Tagessumme ohne Kennung, IP-Adresse oder Speicherung in deinem Browser.
• Besuchsstatistik und Meta-Pixel (nur mit Einwilligung): Siehe die nächsten beiden Abschnitte. Der Meta-Pixel setzt die Cookies _fbp und _fbc (Meta Platforms).

Besuchsstatistik mit Einwilligung

Wenn du „Statistik erlauben“ wählst, speichert dein Browser eine zufällige Kennung (mm_bid) und den ersten Kontakt (aufgerufene Seite, verweisende Seite, ggf. Kampagnenparameter, mm_src). Wir erfassen damit Seitenaufrufe, Videostarts, Klicks auf Schaltflächen und Scrolltiefe, ausschließlich auf unseren eigenen Servern, ohne Weitergabe an Dritte und ohne Verknüpfung mit Werbeprofilen. Zweck: verstehen, welche Seiten und Inhalte Betrieben helfen, und den Weg von der Registrierung zur Einrichtung verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG. Du kannst die Einwilligung jederzeit über „Datenschutz-Einstellungen“ in der Fußzeile widerrufen. Statistikdaten löschen wir nach 12 Monaten. Wählst du „Nur Notwendiges“, wird nichts gezählt.

Sitzungsaufzeichnung mit Einwilligung

Wenn du zustimmst, zeichnen wir zusätzlich auf, wie du unsere Website nutzt: Seitenaufbau, Scrollen, Maus- bzw. Fingerbewegungen, Klicks und Seitenwechsel. Damit sehen wir, wo Besucher hängen bleiben, und verbessern die Seiten. Alles, was du in Formularfelder eingibst (zum Beispiel E-Mail-Adresse und Passwort), wird bereits in deinem Browser geschwärzt und erreicht uns nie. Die Aufzeichnung läuft nur auf unserer Website, nicht im Kundenbereich (App). Wir nutzen dafür die quelloffene Bibliothek rrweb, die direkt von machmal.ai geladen wird. Die Daten liegen ausschließlich auf unseren eigenen Servern in Deutschland, werden nicht an Dritte weitergegeben und nach 30 Tagen automatisch gelöscht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die du jederzeit über „Datenschutz-Einstellungen“ in der Fußzeile widerrufen kannst.

Meta-Pixel mit Einwilligung

Wenn du „Einverstanden“ wählst, verwenden wir auf dieser Website das Besucheraktions-Pixel von Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland. Damit können wir nachvollziehen, wie sich Besucherinnen und Besucher verhalten, nachdem sie über eine Meta-Anzeige auf unsere Seite gelangt sind, die Wirksamkeit unserer Werbung auswerten und Anzeigen gezielt an Personen ausspielen, die einen Schritt noch nicht gemacht haben (zum Beispiel registriert, aber noch kein Gehirn verbunden). Übermittelt werden dabei Seitenaufrufe und folgende Ereignisse, jeweils ohne Namen, E-Mail-Adressen, Telefonnummern, Inhalte oder Formulardaten: Bewerbung zum Pilotprojekt, Aufruf des Registrierungsformulars („RegistrierungGeoeffnet“), abgeschlossene Registrierung („CompleteRegistration“) sowie, jeweils nur einmal je Konto: erster Mitarbeiter angelegt („MitarbeiterAngelegt“), erstes eigenes KI-Modell verbunden mit dem Namen des Anbieters („GehirnVerbunden“), erstes Programm verbunden mit dem Namen des Programms („ProgrammVerbunden“), erste von dir freigegebene Aufgabe („ErsteAufgabe“), Klick auf „Abo abschließen“ mit Paketpreis („InitiateCheckout“), bezahltes Abo mit Nettobetrag („Subscribe“) und gebuchter Einrichtungstermin („Schedule“). Jedes Ereignis trägt eine Kennung, damit es nicht doppelt gezählt wird.

Übermittlung von unserem Server (Conversions API): Werbeblocker und manche Browser unterdrücken den Pixel. Deshalb melden wir dieselben Ereignisse zusätzlich direkt von unserem Server an Meta, aber nur, wenn du für dein Konto „Einverstanden“ gewählt hast, nur für Ereignisse nach deiner Zustimmung und nur, solange du sie nicht widerrufen hast. Die Zahlung („Subscribe“) melden wir ausschließlich vom Server, weil dein Browser in diesem Moment oft schon geschlossen ist. Übermittelt werden: Name des Ereignisses, Zeitpunkt, die Ereignis-Kennung, die Meta-Cookies _fbp und _fbc, ein Prüfwert (SHA-256-Hash) einer internen Konto-Kennung, die keinen Rückschluss auf Namen oder E-Mail-Adresse zulässt, die Kenndaten deines Browsers (User-Agent) sowie deine IP-Adresse, wenn das Ereignis direkt in deiner Sitzung entstanden ist, und gegebenenfalls Anbieter, Programm oder Betrag wie oben. E-Mail-Adresse und Telefonnummer übermitteln wir nicht. Dafür speichern wir an deinem Konto, ob und seit wann du zugestimmt hast, die beiden Meta-Cookies und die Kenndaten deines Browsers; IP-Adresse und Browser-Kenndaten am einzelnen Ereignis löschen wir nach der Übermittlung, spätestens nach 7 Tagen, die Browser-Kenndaten am Konto spätestens 30 Tage nach deinem letzten Besuch. Erreicht Meta unseren Server nicht, versuchen wir es bis zu 7 Tage lang erneut. Widerrufst du deine Einwilligung, löschen wir die gespeicherten Meta-Cookies und Browser-Kenndaten, und es geht nichts mehr an Meta. Den erweiterten Abgleich von Formulardaten und die automatische Erfassung von Schaltflächen haben wir abgeschaltet. Dabei werden Daten an Meta übertragen und dort verarbeitet, eine Übermittlung in die USA ist nicht ausgeschlossen (EU-Standardvertragsklauseln, EU-US Data Privacy Framework). Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie ist freiwillig und jederzeit mit Wirkung für die Zukunft widerrufbar über „Datenschutz-Einstellungen“ in der Fußzeile. Wählst du „Ablehnen“, wird der Pixel nicht geladen und es geht nichts an Meta. Mehr bei Meta: facebook.com/privacy/policy.

Herkunft deiner Registrierung (Werbeerfolg)

Wenn du dich registrierst, speichern wir an deinem Konto, über welchen Weg du gekommen bist: die Kampagnenangaben aus der aufgerufenen Adresse (Quelle, Medium, Kampagne, Anzeige und Suchwort, sogenannte UTM-Parameter), die Einstiegsseite ohne weitere Parameter, die verweisende Website nur als Domain und ob du über eine Meta-Anzeige gekommen bist (nur ja oder nein, ohne die Klick-Kennung). Ohne deine Einwilligung lesen wir diese Angaben nur beim Absenden der Registrierung aus der gerade aufgerufenen Adresse, es wird dafür nichts in deinem Browser gespeichert; mit Einwilligung nutzen wir zusätzlich den ersten Kontakt aus der Besuchsstatistik. Außerdem speichern wir, ob du beim Registrieren der Reichweitenmessung zugestimmt hast (mit Fassung der Einwilligung), und wann du welche Schritte erstmals gemacht hast (E-Mail bestätigt, Mitarbeiter angelegt, KI-Modell verbunden, erstes Programm, erste freigegebene Aufgabe, Abo bezahlt oder gekündigt, Einrichtungstermin gebucht). Zweck ist, den Erfolg unserer Werbung zu messen, also welche Kampagne und welche Anzeige zu Registrierungen, eingerichteten Mitarbeitern und Abos führt, und daraus die tatsächlichen Kosten je Registrierung und je zahlendem Kunden zu berechnen. Für diese Auswertung erstellen wir in unserem internen, per Anmeldung geschützten Verwaltungsbereich eine Liste mit einer Zeile je Konto. Sie enthält statt Name, E-Mail-Adresse oder Telefonnummer nur eine interne Kennung, dazu die Kampagnenangaben, die Zeitpunkte der Schritte und den Abo-Stand; Testkonten sind darin markiert. Sie wird nur von unserem Team zur Auswertung unserer Werbung genutzt. Berichte, die wir per Link teilen, enthalten keine Personendaten und fassen kleine Gruppen zusammen. Rechtsgrundlage ist unser berechtigtes Interesse an der Messung des Werbeerfolgs (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern die Angaben, solange dein Konto besteht, und löschen sie mit dem Konto. Du kannst jederzeit widersprechen; dann entfernen wir die Angaben an deinem Konto.

Konto und Abonnement

Für ein Konto verarbeiten wir E-Mail-Adresse, Telefonnummer (für Anrufe, WhatsApp-Nachrichten und Rückfragen zur Einrichtung, zu deinem Testzugang, deinem Konto und deinem Abonnement; keine Weitergabe an Dritte), Passwort (nur als Hash), Firmendaten und Rechnungsanschrift, den Stand deiner Einrichtung, Zahlungsstatus und Laufzeit sowie Datum und Fassung der von dir angenommenen AGB und des Vertrags zur Auftragsverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Erfüllung des Vertrags. Die Zahlungsabwicklung übernimmt Stripe; vollständige Kartendaten erreichen uns nicht. Systemnachrichten (Willkommen, Bestätigung, Passwort zurücksetzen) senden wir per E-Mail. Hinweise zur Einrichtung in den ersten Tagen senden wir als Bestandskunden-Information (Art. 6 Abs. 1 lit. f DSGVO, § 7 Abs. 3 UWG); du kannst sie jederzeit abbestellen, indem du uns schreibst. Mit der Registrierung bist du außerdem einverstanden, dass wir dich telefonisch, per WhatsApp oder per E-Mail zur Einrichtung und zu deinem Zugang kontaktieren (AGB Ziffer 9a; Art. 6 Abs. 1 lit. a und b DSGVO, § 7 Abs. 2 UWG). Du kannst dem jederzeit widersprechen, eine kurze Nachricht an team@machmal.ai genügt. Schreiben wir dir per WhatsApp, verarbeitet die WhatsApp Ireland Limited (Meta), Dublin, Irland, deine Telefonnummer und die Nachrichten nach ihren eigenen Bedingungen; dabei können Daten auch in die USA übertragen werden (EU-US Data Privacy Framework).

Dein Agent: Software und Betrieb

Dein Agent ist die Open-Source-Software Hermes Agent von Nous Research (MIT-Lizenz). Wir haben sie nicht entwickelt; wir installieren, konfigurieren, aktualisieren und betreiben sie für dich und ergänzen sie um Persona, Konsole, Anbindungen und Kanäle. In der Testphase und bei Bestandskonten läuft dein Agent in einem abgeschotteten Container (eigenes Netz, eigener Datenordner, begrenzte Rechte) auf einem von uns betriebenen Plattform-Server bei der Hetzner Online GmbH, Rechenzentrum Falkenstein, Deutschland. Mit dem kostenpflichtigen Abo mieten wir für dich bei Hetzner eine eigene virtuelle Maschine in Deutschland an, auf die dein Agent samt Daten umzieht. Wir behalten Administratorzugriff auf Server und Container, um sie zu warten, Fehler zu beheben und Sicherungen zu erstellen. Für diese Verarbeitung schließen wir mit dir bei der Registrierung einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Dein Agent und seine Inhalte

Verbindest du Postfach, Kalender oder andere Programme, verarbeitet dein Agent die dort liegenden Inhalte, um die von dir beauftragte Arbeit zu erledigen. Wir nutzen diese Inhalte nicht für eigene Zwecke. Wir greifen nur darauf zu, wenn es für den Betrieb, die Fehlerbehebung oder die Sicherheit nötig ist oder du uns beim Support darum bittest, und nur durch die dafür zuständigen Personen; solche Zugriffe dokumentieren wir. Unsere Betriebsübersicht zeigt uns Konto- und Einrichtungsstand sowie gekürzte Auszüge des Aktivitätsprotokolls, damit wir Störungen erkennen. Zugangsberechtigungen zu deinen Programmen (OAuth) liegen beim Anbieter Composio; Modellschlüssel und Kanal-Zugänge liegen in der Umgebung deines Agenten und, soweit wir sie verwalten, verschlüsselt in unserer Datenbank. Jede Aktion deines Agenten steht in einem Protokoll, das du in der Konsole einsehen kannst. Dein Agent ist so eingestellt, dass er Entwürfe vorlegt und vor dem Versenden nachfragt; das ist eine Verhaltensregel, keine technische Sperre. Anfragen an dein Sprachmodell erfolgen ohne vorherige Freigabe.

Sprachmodelle, Sprache und Stimme

Damit dein Agent arbeiten kann, werden die für eine Aufgabe nötigen Inhalte an den Modellanbieter übertragen, den du in der Konsole verbindest: OpenAI, Anthropic oder ein Anbieter über OpenRouter, jeweils über deinen eigenen Zugang (API-Schlüssel oder Konto-Anmeldung). Du bist Vertragspartner dieses Anbieters; es gelten dessen Bedingungen, Datenschutzhinweise und Speicherfristen. Wir stellen keinen eigenen Modellzugang bereit und sind für diese Übermittlung nicht Auftragsverarbeiter.

Training und private Abos: Mit einem API-Zugang werden deine Inhalte laut den Geschäftsbedingungen von OpenAI und Anthropic nicht zum Training ihrer Modelle verwendet; OpenAI und Anthropic bieten dafür einen Auftragsverarbeitungsvertrag an, den du selbst abschließt. Nutzt du stattdessen dein privates ChatGPT- oder Claude-Abo, gelten die Verbraucherbedingungen dieses Anbieters. Bei ChatGPT ist die Verwendung deiner Inhalte zum Training standardmäßig aktiv; du musst sie in den ChatGPT-Einstellungen unter „Datenkontrollen“ selbst abschalten. Für geschäftliche Inhalte, insbesondere mit Daten deiner Kunden und Mitarbeiter, empfehlen wir einen API-Zugang mit Auftragsverarbeitungsvertrag. Bei OpenRouter entscheidet OpenRouter, welcher Anbieter dein Modell betreibt; das können auch Anbieter außerhalb der EU und der USA sein.

Sprache: Schickst du deinem Agenten in der Konsole eine Sprachnachricht, wandeln wir sie mit unserem eigenen OpenAI-Zugang in Text um; OpenAI sieht dabei die Aufnahme. Wünschst du gesprochene Antworten, erzeugen wir sie mit ElevenLabs; ElevenLabs sieht dabei den Antworttext. Bei diesen Anbietern außerhalb der EU stützen wir die Übermittlung auf die EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Einrichtungsassistent und Betriebsüberwachung

Der Einrichtungsassistent in der Konsole beantwortet deine Fragen zur Einrichtung. Dafür werden deine Frage und der Einrichtungsstand deines Kontos an OpenAI übertragen, keine Chat-Inhalte deines Agenten. Häufig gestellte Fragen fassen wir anonymisiert zu Anleitungen zusammen. Unsere Betriebsüberwachung prüft laufend, ob Server und Agenten funktionieren, und meldet Störungen an uns; dabei werden Betriebs- und Kontodaten (z. B. E-Mail-Adresse, Abo-Status, Rückmeldungen) mit OpenAI ausgewertet und können in internen Meldungen (Telegram) erscheinen. Inhalte deines Agenten (Dokumente, Postfach, Chats) sind davon nicht umfasst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

Präsenz in der App

Solange du in der App angemeldet bist und sie gerade benutzt, meldet die App unserem Server höchstens einmal pro Minute, dass du aktiv bist. Gemeldet wird nur, wenn die Seite sichtbar ist und du in den letzten zwei Minuten getippt, geklickt oder auf dem Handy getippt hast. Wir speichern dazu nur dein Konto, den Zeitpunkt und den Namen des Bereichs der App, in dem du gerade bist (zum Beispiel „Chat“ oder „Konto“). Inhalte, Eingaben, Nachrichten, Dateien, Adressen von Seiten oder Daten über dein Gerät werden dabei nicht übertragen, und im Browser wird dafür nichts gespeichert. Zugriffe unseres Teams auf dein Konto (etwa bei der Einrichtung) zählen nicht als deine Präsenz.

Wozu: Unser Team sieht in seiner Kundenübersicht, ob du gerade in der App arbeitest und wann du zuletzt aktiv warst. So können wir dich zum passenden Zeitpunkt unterstützen. Es findet keine Leistungs- oder Verhaltensbewertung statt, es entsteht keine automatisierte Entscheidung, und die Angaben werden nicht für Werbung genutzt oder an Dritte weitergegeben. Die Daten liegen in unserer Datenbank in Deutschland.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit wir dich im Rahmen deines Vertrags bei Einrichtung und Nutzung betreuen, und im Übrigen unser berechtigtes Interesse an einer Betreuung zur richtigen Zeit (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Die einzelnen Meldungen löschen wir automatisch nach 30 Tagen (täglicher Löschlauf). Danach bleibt nur der Zeitpunkt, an dem du zuletzt aktiv warst, ohne Angabe des Bereichs; er wird mit deinem Konto gelöscht. Die Angaben sind Teil deiner Datenauskunft und werden bei einer Löschung deines Kontos vollständig gelöscht.

Widerspruch: Du kannst dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), eine kurze Nachricht an team@machmal.ai genügt. Wir erfassen deine Präsenz dann nicht mehr und löschen die bereits gespeicherten Präsenzdaten deines Kontos. Deinen Widerspruch selbst speichern wir als Nachweis (Zeitpunkt, wer ihn bei uns eingetragen hat und gegebenenfalls wann und von wem er aufgehoben wurde); dieser Nachweis bleibt bis zur Löschung deines Kontos.

Wann Daten Deutschland und die EU verlassen

Dein Agent, seine Dokumente, das Aktivitätsprotokoll und unsere Datenbank liegen in Deutschland. Daten verlassen die EU in diesen Fällen: an deinen Modellanbieter (OpenAI, Anthropic: USA; OpenRouter: je nach Modell weltweit) mit den Inhalten deiner Aufgaben; an Composio (USA) mit den Zugangsberechtigungen und den Inhalten der Aufrufe deiner Programme; an Telegram (Dubai), wenn du diesen Kanal verbindest, sowie für unsere internen Betriebsmeldungen; an Slack und Microsoft (Irland, mit möglicher Weiterverarbeitung in den USA), wenn du diese Kanäle verbindest; an Google (USA), wenn du Google-Programme verbindest und für unsere verschlüsselten Sicherungen; an ElevenLabs (USA) bei Sprachausgabe; an OpenAI (USA) für Sprachnachrichten, Einrichtungsassistent und Betriebsüberwachung; an Stripe (Irland, Weiterverarbeitung in den USA möglich) für Zahlungen; an Namecheap (USA) für Systemmails; an Meta (Irland, USA) nur mit deiner Einwilligung zum Pixel. Grundlage sind die EU-Standardvertragsklauseln und, wo vorhanden, das EU-US Data Privacy Framework.

Betreuung durch unser Team und KI-gestützte Priorisierung

Damit wir neue Kundinnen und Kunden zur richtigen Zeit erreichen, werten wir einmal täglich Vertriebsdaten mit Hilfe eines KI-Modells aus und priorisieren daraus unsere Rückrufe. Dafür nutzen wir nur Angaben zu Einrichtung und Nutzung (zum Beispiel Testtag, ob ein Programm verbunden ist, Zeitpunkte und Ergebnisse unserer Anrufe, Herkunft der Anmeldung). Namen, E-Mail-Adressen, Telefonnummern, Notiztexte sowie die Inhalte deiner Gespräche mit deinem Agenten werden dabei nicht übermittelt; die Daten gehen nur pseudonymisiert an Anthropic PBC, USA (EU-Standardvertragsklauseln), und werden dort laut Vertragsbedingungen nicht zum Training verwendet. Das Ergebnis ist eine interne Einschätzung für unser Team, es entsteht keine automatisierte Entscheidung mit Rechtswirkung. Rechtsgrundlage ist unser berechtigtes Interesse an einer guten Betreuung (Art. 6 Abs. 1 lit. f DSGVO). Du kannst jederzeit widersprechen (Art. 21 DSGVO), eine kurze Nachricht an team@machmal.ai genügt; Konten mit Kontaktsperre oder Löschantrag werden nicht ausgewertet. Die Einschätzungen löschen wir mit deinem Konto.

Gespräche mit unserem Team und interner Assistent

Rufen wir dich an oder sprichst du mit unserem Team über die Einrichtung, halten wir fest, was du uns dabei erzählst, damit die Einrichtung zu deinem Betrieb passt: zum Beispiel wie dein Betrieb aufgebaut ist, welche Aufgaben dich am meisten Zeit kosten, welche Programme du nutzt und was dich eine Arbeitskraft dafür kostet, außerdem Notizen, Termine und das Ergebnis des Gesprächs. Nur wenn du zu Beginn des Gesprächs ausdrücklich zustimmst, schreibt ein Sprachmodell von OpenAI das Gespräch mit, damit wir eine Zusammenfassung erstellen können. Diese Angaben liegen verschlüsselt in unserer Datenbank in Deutschland, nur unser Team sieht sie, und sie gehen nie an Dritte außer den hier genannten Dienstleistern. Unser internes Team-Werkzeug hat einen KI-Assistenten, der uns hilft, Gespräche vorzubereiten. Er sieht dabei Angaben zu Einrichtung und Nutzung deines Kontos, von den Antworten aus dem Gespräch aber nur, wie viele Fragen beantwortet sind, nicht deren Inhalt. Diese Angaben überträgt er an das jeweils eingestellte Modell (OpenAI, L.L.C. oder Anthropic PBC, beide USA, EU-Standardvertragsklauseln; laut Vertragsbedingungen kein Training mit diesen Daten). Der Assistent entscheidet nichts selbst, er bereitet nur für unser Team vor. Rechtsgrundlage ist die Anbahnung und Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse an einer guten Betreuung (Art. 6 Abs. 1 lit. f DSGVO), für die Mitschrift deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst jederzeit widersprechen bzw. die Einwilligung widerrufen, eine kurze Nachricht an team@machmal.ai genügt. Wir löschen die Angaben mit deinem Konto.

Empfehlungsprogramm

Jeder Kunde hat einen persönlichen Empfehlungs-Link. Registriert sich ein Betrieb über diesen Link, speichern wir die Zuordnung zwischen Werber und Geworbenem und die daraus entstehenden Gutschriften. Der Werber sieht in seiner Übersicht eine verkürzte, maskierte Form der E-Mail-Adresse des Geworbenen (zum Beispiel „ma…@firma.de“), den Status (registriert, Testphase, zahlend) und die Höhe seiner Gutschrift, keine weiteren Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag über das Empfehlungsprogramm) und lit. f DSGVO (Nachvollziehbarkeit von Gutschriften). Die Zuordnung bleibt für die Dauer beider Verträge gespeichert.

Benachrichtigungen

Aktivierst du Push-Benachrichtigungen in der Konsole, wird die Zustellung über den Push-Dienst deines Browsers oder Betriebssystems (z. B. Google, Apple, Mozilla) abgewickelt. Wir übermitteln dabei nur kurze Hinweistexte. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; du kannst die Benachrichtigungen jederzeit im Browser abschalten.

Unsere Auftragsverarbeiter

Diese Anbieter verarbeiten Daten in unserem Auftrag; die Liste ist Bestandteil des Vertrags zur Auftragsverarbeitung.

• Serverbetrieb: Hetzner Online GmbH, Gunzenhausen, Deutschland. Dort laufen die Plattform sowie die Container und virtuellen Maschinen der Agenten samt Dokumenten, Rechenzentrum Falkenstein.
• Anbindung deiner Programme: Composio Inc., San Francisco, USA. Speichert die Zugangsberechtigungen (OAuth) zu den Programmen, die du verbindest, und leitet die Inhalte der Aufrufe zwischen deinem Agenten und diesen Programmen weiter. EU-Standardvertragsklauseln. Jede Freigabe ist einzeln widerrufbar.
• Zahlungsabwicklung: Stripe Payments Europe Ltd., Dublin, Irland. Wir speichern keine Kartendaten.
• E-Mail-Versand für Systemnachrichten: Namecheap, Inc. (Private Email), Phoenix, USA. EU-Standardvertragsklauseln.
• Verschlüsselte Sicherungen: Google LLC (Google Drive), USA. Sicherungen von Plattformdatenbank und Agentendaten werden vor dem Hochladen mit AES-256 verschlüsselt; der Schlüssel verbleibt bei uns. EU-Standardvertragsklauseln und EU-US Data Privacy Framework.
• Chat-Kanäle (nur wenn du sie verbindest): Telegram FZ-LLC, Dubai; Slack Technologies Ltd., Irland; Microsoft Ireland Operations Ltd. für Teams.
• Sprachausgabe (nur wenn du sie nutzt): ElevenLabs Inc., New York, USA. EU-Standardvertragsklauseln, EU-US Data Privacy Framework.
• Einrichtungsassistent, Betriebsüberwachung und Sprachnachrichten: OpenAI, L.L.C., San Francisco, USA. Konto- und Einrichtungsdaten, deine Fragen an den Assistenten mit gekürzten Auszügen deiner letzten Nachrichten, Sprachaufnahmen zur Umwandlung in Text. EU-Standardvertragsklauseln.
• Gesprächsmitschrift (nur mit Zustimmung) und interner Assistent unseres Teams: OpenAI, L.L.C., San Francisco, USA, und Anthropic PBC, San Francisco, USA, je nach Einstellung. Gesprächsmitschrift und Angaben zu Einrichtung und Nutzung (ohne Inhalt der Gesprächsantworten), siehe „Gespräche mit unserem Team und interner Assistent“. EU-Standardvertragsklauseln.
• Betriebsmeldungen an uns: Telegram FZ-LLC, Dubai. Interne Störungs- und Registrierungsmeldungen an den Betreiber.
• Reichweitenmessung (nur mit Einwilligung): Meta Platforms Ireland Ltd., Dublin, Irland (Meta-Pixel und Conversions API), siehe eigener Abschnitt.

Änderungen an dieser Liste kündigen wir mindestens 30 Tage vorher per E-Mail an; du kannst innerhalb von 14 Tagen aus wichtigem Grund widersprechen. Auf Anfrage nennen wir zu jedem Anbieter die vertragliche Grundlage.

Anbieter, die du selbst beauftragst

Mit diesen Anbietern hast du einen eigenen Vertrag; wir übermitteln Daten an sie nur auf deine Weisung und sind dafür nicht Auftragsverarbeiter:

• Sprachmodell: OpenAI, L.L.C., USA; Anthropic PBC, USA; OpenRouter, Inc., USA (und die von OpenRouter eingesetzten Modellbetreiber), je nachdem, welchen Zugang du in der Konsole verbindest.
• Kanäle und Programme: Discord Inc. (USA), dein Postfach, Kalender, Buchhaltung und alle weiteren Programme, die du über Composio verbindest.
• Buchhaltungsübergabe: Richtest du die DATEV-Anbindung ein, sendet dein Agent Belege per E-Mail an die von dir hinterlegten Upload-Adressen der DATEV eG, Nürnberg. Es gilt dein Vertrag mit DATEV bzw. deinem Steuerberater.

Protokolle und Sicherungen

Webserver-Protokolle löschen wir nach 14 Tagen. Das Aktivitätsprotokoll deines Agenten (Aufträge, Modellwechsel, Systemereignisse, gekürzte Auszüge) und Chatverläufe speichern wir verschlüsselt für die Dauer deines Vertrags; Chatverläufe in der Konsole kannst du jederzeit löschen. Von der Plattformdatenbank erstellen wir täglich lokale Sicherungen mit 7 Tagen Aufbewahrung; zusätzlich legen wir verschlüsselte Sicherungen von Datenbank und Agentendaten außerhalb des Servers ab, die nach 14 Tagen überschrieben werden.

Speicherdauer und Löschung

• Server-Protokolle: 14 Tage. Besuchsstatistik: 12 Monate. Sitzungsaufzeichnungen: 30 Tage. Präsenzmeldungen der App: 30 Tage, danach nur noch der Zeitpunkt deiner letzten Aktivität bis zur Löschung deines Kontos.
• Kontodaten: bis zur Löschung deines Kontos und danach, solange gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen) bestehen.
• Inhalte deines Agenten: Du kannst sie jederzeit über „Meine Daten herunterladen“ in den Einstellungen als ZIP exportieren. Nach Vertragsende bleiben sie gespeichert, bis du dein Konto löschst oder die Löschung verlangst; die Löschung kannst du jederzeit in den Einstellungen auslösen.
• Kontolöschung: Deine Agenten werden sofort gestoppt; Server bzw. Container, Speicher, Datenbankeinträge und die Zugangsberechtigungen bei Composio werden gelöscht. Sicherungen werden nach 14 Tagen überschrieben; die vollständige Löschung einschließlich aller Sicherungen ist spätestens 30 Tage nach der Kontolöschung abgeschlossen.
• Daten bei deinem Modellanbieter und in den Programmen, die du verbunden hast, löschst du dort selbst.

Automatisierte Entscheidungen und KI-System

Wir treffen keine automatisierten Entscheidungen mit Rechtswirkung dir gegenüber (Art. 22 DSGVO). Dein Agent handelt nur im Rahmen der Berechtigungen, die du ihm gibst; die Verantwortung für seine Handlungen liegt bei dir. machmal ist ein KI-System im Sinne der KI-Verordnung (EU) 2024/1689; wir sind Anbieter, du bist Betreiber. Kommunikation, die dein Agent gegenüber Dritten führt, musst du als KI-gestützt kennzeichnen, soweit das Gesetz das verlangt. Für Hochrisiko-Anwendungen wie die Bewertung von Bewerbern, Bonitätsentscheidungen über natürliche Personen oder die Überwachung von Beschäftigten ist machmal nicht bestimmt und darf dafür nicht eingesetzt werden (siehe AGB, Ziffer 4a).

Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch, sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Schreib dafür an team@machmal.ai. Betrifft dein Anliegen Daten, die dein Agent im Auftrag eines unserer Kunden verarbeitet (etwa als dessen Kunde oder Mitarbeiter), leiten wir es an diesen Kunden als Verantwortlichen weiter. Außerdem kannst du dich bei einer Aufsichtsbehörde beschweren, in Zypern beim Commissioner for Personal Data Protection (Nikosia, www.dataprotection.gov.cy) oder bei der Aufsichtsbehörde deines Wohnsitzes, in Deutschland etwa der Landesbeauftragten oder dem Landesbeauftragten für den Datenschutz deines Bundeslandes.

Sicherheit

Alle Verbindungen sind mit TLS verschlüsselt. Passwörter speichern wir nur als Hash. Chatverläufe, Gedächtnisinhalte und Modellschlüssel liegen in unserer Datenbank verschlüsselt; Zugangsberechtigungen zu deinen Programmen liegen bei Composio. Jeder Agent läuft in einer eigenen, abgeschotteten Umgebung mit eigenem Netz. Der Zugriff auf die Plattform ist auf die für den Betrieb notwendigen Personen beschränkt und erfolgt nur über persönliche Schlüssel. Die vollständige Beschreibung der Maßnahmen steht im Vertrag zur Auftragsverarbeitung.

Änderungen

Wir passen diese Erklärung an, wenn sich unsere Verarbeitung ändert. Die jeweils aktuelle Fassung findest du hier, wesentliche Änderungen und neue Auftragsverarbeiter kündigen wir dir mindestens 30 Tage vorher per E-Mail an.