Datenschutzerklärung

Gültig ab: 20. Oktober 2026

Diese Datenschutzerklärung erläutert, wie DialogHub („wir“, „uns“) personenbezogene Daten verarbeitet, wenn Sie unsere Website, die DialogHub-Konsole oder ein von DialogHub betriebenes Widget nutzen, das auf Websites Dritter eingebunden ist.

1. Welche Daten wir verarbeiten

• Website- und Konsolendaten:technische Zugriffsdaten wie IP-Adresse, Browser-/Geräteinformationen, Zeitstempel und besuchte Seiten.
• Widget-Daten:wenn ein DialogHub-Widget auf einer Website Dritter eingebunden ist, verarbeiten wir Nachrichten, über das Widget übermittelte Kontaktdaten sowie technische Metadaten (Browser, Referrer-URL, Zeitstempel).
• Einrichtungsdaten: Informationen, die Sie beim Onboarding angeben, etwa Kontaktdaten, Website-URL und Konfigurationseinstellungen.
• Kommunikationsdaten:Nachrichten, die mit KI-Assistenten über die Konsole, das Widget oder verbundene Kanäle (z. B. Telegram) ausgetauscht werden.
• Instagram-Kanaldaten:wenn Sie Ihr Instagram-Business-Konto über Instagram Login verbinden, verarbeiten wir Ihren Instagram-Benutzernamen, die Instagram-Konto-ID, über Ihr Business-Konto eingehende Direktnachrichten sowie Kommentare zu Ihren Beiträgen. Wir speichern ein verschlüsseltes Zugriffstoken, um in Ihrem Namen zu antworten. Diese Daten werden ausschließlich zum Betrieb des von Ihnen aktivierten Instagram-Nachrichtenkanals verwendet.
• Abonnementdaten (Stripe):wenn Stripe für die Abrechnung genutzt wird, werden Kundendaten, Abonnementstatus und Zahlungsinformationen durch die Stripe, Inc. verarbeitet.
• Daten zur Testphase und zum kostenlosen Tarif:wenn Sie eine kostenlose Testphase beginnen, speichern wir einen Prüfwert (Hash) Ihrer E-Mail-Adresse, die von Stripe gebildete Kennung Ihrer Zahlungskarte (Karten-Fingerprint) sowie die Kennungen von Kundenkonto, Abonnement und Workspace; wenn Sie sich für den kostenlosen Tarif anmelden, denselben Prüfwert, die Workspace-Kennung und den Zeitpunkt der Anmeldung (Einzelheiten unter Testphase und kostenloser Tarif).

2. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes — Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
• Technischer Betrieb und Sicherheit — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
• KI-gestützte Lead-Qualifizierung und -Bewertung — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse)
• Öffentliche Live-Demo auf der Website (Produktvorführung, Missbrauchsschutz) — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse; Einzelheiten unter Live-Demo)
• Abrechnung und Abonnementverwaltung — Art. 6 Abs. 1 lit. b DSGVO
• Schutz der kostenlosen Testphase und des kostenlosen Tarifs vor Mehrfachnutzung und Löschung nie bezahlter Konten mit Wegwerf-E-Mail-Adresse — Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse; Einzelheiten unter Testphase und kostenloser Tarif und Automatische Löschung)
• Gesetzliche Pflichten (z. B. steuerliche Aufbewahrung) — Art. 6 Abs. 1 lit. c DSGVO

3. Automatisierte Entscheidungsfindung

DialogHub nutzt KI-basiertes Lead-Scoring, um eingehende Leads zu bewerten (z. B. Absicht, Dringlichkeit, Passung). Dieses Scoring unterstützt geschäftliche Nutzer bei der Priorisierung von Leads, entfaltet jedoch keine rechtliche Wirkung und beeinträchtigt die bewerteten Personen nicht in ähnlich erheblicher Weise. Die geschäftlichen Nutzer behalten die volle Kontrolle darüber, wie bewertete Leads behandelt werden.

Zwei weitere Entscheidungen trifft der Dienst automatisch: die Beendigung eines Abonnements mit Testphase, wenn die Zahlungskarte bereits für eine Testphase unter einer anderen E-Mail-Adresse genutzt wurde (Abschnitt 6b), und die Löschung eines nie bezahlten Kontos mit Wegwerf-E-Mail-Adresse am Ende seines Abonnements (Abschnitt 6c). Beide folgen aus den Bedingungen, zu denen wir Testphase und Konto anbieten (AGB Ziffer 3 und 4), und sind für den Abschluss bzw. die Durchführung des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO). Sie können sich jederzeit an uns wenden, Ihren Standpunkt darlegen, die Entscheidung anfechten und verlangen, dass ein Mensch sie überprüft (Art. 22 Abs. 3 DSGVO). Eine nach Abschnitt 6b beendete Testphase prüfen wir auf Ihre Nachricht hin und gewähren sie gegebenenfalls erneut. Gegen eine Löschung nach Abschnitt 6c wenden Sie sich bitte vor dem Ende des Abonnements an uns, weil sie danach nicht rückgängig gemacht werden kann.

4. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein, die Daten in unserem Auftrag verarbeiten:

• Hosting: OVHcloud (EU) — Serverinfrastruktur (umfasst die selbst gehostete Vektor-Datenbank und das Fehler-Monitoring)
• Datenbank: Neon, Inc. (USA) — PostgreSQL-Datenbank-Hosting (Speicherung von Konto-, Konversations- und Lead-Daten); der Betrieb erfolgt in der EU-Region (Frankfurt)
• Infrastruktur, CDN und Sicherheit: Cloudflare, Inc. (USA) — Proxy/Content-Delivery vor unserer Website (Verarbeitung von Verbindungs- und IP-Daten der Besucher), Bot-Schutz (Turnstile), Dateispeicherung (R2, nur Business-Tarif) und Verwaltung kundeneigener Domains (nur Business-Tarif). Für den Bot-Schutz Turnstile gilt ergänzend das Turnstile Privacy Addendum von Cloudflare: https://www.cloudflare.com/turnstile-privacy-policy/
• KI-Verarbeitung: OpenAI (USA) — Sprachmodell-API (GPT) für KI-Assistenten-Antworten und Lead-Scoring; welcher KI-Anbieter eine Anfrage verarbeitet, richtet sich nach der vom Kunden gewählten Modell-Konfiguration. OpenAI verarbeitet zusätzlich die Spracherkennung (Whisper) für die Spracheingabe im Website-Widget, soweit aktiviert, und erzeugt Text-Einbettungen (Embeddings) aus Nachrichten von Website-Besuchern und aus Inhalten der Wissensbasis für die Wissenssuche im Website-Widget
• KI-Verarbeitung (EU): Mistral AI (Frankreich, EU) — Sprachmodell-API (Mistral) für KI-Assistenten-Antworten; die Anbindung erfolgt ausschließlich über den Standard-Endpunkt in der EU, nicht über den US-Endpunkt und nicht über die Agents-API-Zusatzfunktionen. Ein absoluter Ausschluss einer Drittlandübermittlung ist damit nicht verbunden; das Standard-DPA von Mistral sieht dafür die EU-Standardvertragsklauseln vor (Einzelheiten in Anlage 3, Zeile 5)
• KI-Verarbeitung (Premium-Engine-Zusatzmodul): Anthropic (USA) — Sprachmodell-API (Claude) für KI-Assistenten-Antworten, nur im Premium-Engine-Zusatzmodul
• Soziale Plattform: Meta Platforms, Inc. (USA) — Instagram- und WhatsApp-Messaging-API und Facebook Login for Business
• E-Mail-Versand: Brevo (Sendinblue SAS, Frankreich) — Versand von Verifizierungscodes und Benachrichtigungs-E-Mails
• Zahlungen: Stripe, Inc. (USA) — Abonnementabrechnung und Zahlungsabwicklung
• KI-Bild- und Recherchedienste (nur LinkedIn-Autopilot-Zusatzmodul, Business-Tarif): fal.ai (USA) — Generierung von Beitragsbildern; Perplexity AI, Inc. (USA) — Themenrecherche für Beitragsentwürfe

Empfänger, die nicht in unserem Auftrag verarbeiten

YouTube-Insights-Zusatzmodul:YouTube LLC, 901 Cherry Ave., San Bruno, CA 94066, USA. Für die wöchentliche Trendrecherche des Zusatzmoduls übermitteln wir die Suchbegriffe, die ein Kunde dort selbst hinterlegt, an die YouTube Data API. Die YouTube LLC stellt diese Schnittstelle nach ihren eigenen Bedingungen (YouTube API Services Terms of Service) bereit und verarbeitet die Abrufe nicht in unserem Auftrag. Daten der Besucher von Kunden-Websites fließen in diesen Abruf nicht ein. Kunden werden bei der Eingabe angewiesen, dort nur allgemeine Themen-Keywords und keine Angaben zu Personen einzutragen. Wie Google und YouTube personenbezogene Daten verarbeiten, beschreibt die Datenschutzerklärung von Google: https://policies.google.com/privacy

5. Internationale Datenübermittlungen

Einige unserer Dienstleister haben ihren Sitz außerhalb der EU/des EWR (OpenAI, Anthropic, Meta, Stripe, Cloudflare, fal.ai, Perplexity sowie Neon, dessen Datenbankbetrieb jedoch in der EU-Region Frankfurt erfolgt). Diese Übermittlungen werden durch EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO und, soweit erforderlich, durch ergänzende Maßnahmen abgesichert. Eine Kopie der einschlägigen Garantien können Sie bei uns anfordern.

Für die Übermittlung an die YouTube LLC (USA) im YouTube-Insights-Zusatzmodul bestehen keine Standardvertragsklauseln. Grundlage dieser Übermittlung ist Art. 45 DSGVO in Verbindung mit dem Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795). Die YouTube LLC ist in der Data-Privacy-Framework-Liste nicht mit einem eigenen Eintrag geführt. Die Google LLC ist dort eingetragen; ihre Zertifizierung umfasst nach ihren eigenen Angaben ihre hundertprozentigen US-Tochtergesellschaften, soweit diese nicht ausdrücklich ausgenommen sind. Nach öffentlich zugänglichen behördlichen und gerichtlichen Unterlagen ist die YouTube LLC eine solche hundertprozentige Tochtergesellschaft der Google LLC.

6. Cookies und Tracking

DialogHub verwendet keine Werbe-Tracker und keine Tracking-Cookies Dritter. Es werden lediglich technisch notwendige Cookies (z. B. zur Sitzungsverwaltung) eingesetzt. Zur Reichweitenmessung werten wir ausschließlich aggregierte, nicht auf einzelne Personen bezogene Zugriffsstatistiken unseres Infrastruktur-Anbieters (Cloudflare) aus. Sollte sich dies ändern, wird diese Erklärung entsprechend aktualisiert.

6a. Live-Demo

Unter dialoghub.cloud/demo bieten wir, soweit freigeschaltet, eine öffentliche Live-Demo an: Sie können ohne Konto mit einem KI-Assistenten eines fiktiven Musterbetriebs chatten. Die Demo arbeitet ausschließlich mit Beispieldaten; es wird nichts gebucht und keine Kontaktanfrage an einen Betrieb übermittelt. Bitte geben Sie in der Demo keine echten personenbezogenen Daten ein.

• Verarbeitete Daten:die gewählte Branche, Ihre Chat-Nachrichten und die Antworten des Assistenten sowie ein Sitzungsdatensatz aus zufälliger Sitzungskennung, Nachrichtenzähler und Ablaufzeitpunkt. Im Sitzungsdatensatz speichern wir weder Ihre IP-Adresse noch Browserangaben. Ihre IP-Adresse wird lediglich kurzzeitig im Arbeitsspeicher verarbeitet, um die Anzahl der Anfragen pro Zeitraum zu begrenzen.
• Zweck und Rechtsgrundlage:Vorführung unseres Produkts und Schutz der Demo vor Missbrauch (automatisierte Anfragen, Überlastung) — Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Interessenten den Dienst vor einem Vertragsschluss erleben zu lassen und ihn dabei funktionsfähig zu halten.
• Empfänger:die in Abschnitt 4 genannten Dienstleister, und zwar Cloudflare (Bot-Schutz Turnstile vor dem Start der Demo, ergänzend gilt das in Abschnitt 4 verlinkte Turnstile Privacy Addendum, sowie Proxy/Content-Delivery), Mistral AI (Antworten des Assistenten) sowie unsere Hosting- und Datenbankanbieter OVHcloud und Neon.
• Cookie: Die Demo setzt ein einziges Cookie (dh_demo), das nur die zufällige Sitzungskennung enthält und nach 30 Minuten abläuft. Es ist für den von Ihnen ausdrücklich gewünschten Demo-Chat unbedingt erforderlich und wird daher ohne Einwilligung gesetzt (§ 25 Abs. 2 Nr. 2 TDDDG). Die Demo verwendet keine Analyse- oder Tracking-Werkzeuge und kein Cookie-Banner.
• Speicherdauer:Chat-Verläufe der Demo werden 7 Tage nach der letzten Nachricht, Sitzungsdatensätze 7 Tage nach ihrer Erstellung automatisch gelöscht.

6b. Testphase und kostenloser Tarif: Schutz vor Mehrfachnutzung

• Verarbeitete Daten:ein Prüfwert (SHA-256-Hash) Ihrer E-Mail-Adresse, gebildet aus der kleingeschriebenen Adresse — bei einer Reihe großer Anbieter (etwa Gmail, GMX, web.de) ohne „+“-Zusätze, bei Gmail zusätzlich ohne Punkte. Die Adresse selbst steht in diesem Verzeichnis nicht. Der Prüfwert ist kein Klartext, lässt sich aus einer bekannten Adresse aber jederzeit neu berechnen; er ist daher ein pseudonymes, kein anonymes Datum. Weiter der Karten-Fingerprint, den Stripe für eine Karte bildet und der für dieselbe Kartennummer gleich bleibt — Kartennummer, Ablaufdatum und Prüfziffer erhalten und speichern wir nicht. Bei Zahlung per SEPA-Lastschrift entsteht kein Fingerprint. Außerdem die Stripe-Kunden- und Abonnementnummer, die Workspace-Kennung, der Tarif, der Zeitpunkt der Testphase sowie gegebenenfalls Zeitpunkt und Grund einer Ablehnung. Für den kostenlosen Tarif führen wir ein eigenes Verzeichnis mit demselben Prüfwert, der Workspace-Kennung und dem Zeitpunkt der Anmeldung; einen Karten-Fingerprint enthält es nicht.
• Zweck und Rechtsgrundlage:die kostenlose Testphase nur einmal je E-Mail-Adresse und je Zahlungskarte (AGB Ziffer 3) und den kostenlosen Tarif nur einmal je E-Mail-Adresse zu gewähren — Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt darin, Testphase und kostenlosen Tarif anbieten zu können, ohne dass sie durch wiederholte Registrierungen mit neuen Adressen mehrfach in Anspruch genommen werden. Zur automatisierten Entscheidung siehe Abschnitt 3.
• Empfänger:Stripe, Inc. (liefert den Fingerprint; die Kartendaten selbst verbleiben bei Stripe) sowie unsere Datenbankanbieter (Abschnitt 4). Der Prüfwert wird außerdem bei der Buchung eines Abonnements als Merkmal am Stripe-Abonnement hinterlegt. Unsere Betriebsprotokolle enthalten weder den Prüfwert noch den Fingerprint.
• Speicherdauer:Diese Einträge werden bei einer Löschung des Kontos nicht mitgelöscht, weil sonst die Testphase oder der kostenlose Tarif erneut in Anspruch genommen werden könnte. Wir bewahren sie auf, solange wir eine kostenlose Testphase bzw. einen kostenlosen Tarif anbieten, höchstens jedoch drei Jahre ab dem jüngsten zu dem Eintrag gespeicherten Zeitpunkt (Anlage des Eintrags, Beginn oder Ablehnung einer Testphase bzw. Anmeldung zum kostenlosen Tarif); danach wird der Eintrag automatisch gelöscht. Stellen wir die Testphase oder den kostenlosen Tarif ein, löschen wir das betreffende Verzeichnis vollständig — das zur Testphase, sobald keine laufende Testphase es mehr benötigt.
• Widerspruch:Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen. Wir löschen Ihren Eintrag dann, es sei denn, es liegen Anzeichen einer missbräuchlichen Nutzung vor — eine abgelehnte Testphase oder dieselbe Zahlungskarte unter einer anderen E-Mail-Adresse. In diesem Fall wägen wir im Einzelfall ab, ob zwingende schutzwürdige Gründe für die weitere Speicherung überwiegen, und teilen Ihnen das Ergebnis mit Begründung mit.

6c. Automatische Löschung nie bezahlter Konten mit Wegwerf-Adresse

• Wann:Endet das Abonnement eines Workspaces, prüfen wir automatisch, ob die für das Konto hinterlegte E-Mail-Adresse zu einem Anbieter von Wegwerf- oder Kurzzeitpostfächern gehört und ob unter dem Stripe-Kundenkonto jemals eine Rechnung über mehr als 0 Euro bezahlt wurde. Gehört die Adresse dazu und wurde nie bezahlt, wird das Konto unverzüglich und endgültig gelöscht, ohne die sonst geltende Frist von 30 Tagen (AGB Ziffer 4); der Zugang endet sofort. Workspaces, die über ein Agenturkonto gebucht sind, sind ausgenommen. Kann eine der Prüfungen nicht abgeschlossen werden, wird nicht gelöscht. Halten Sie die Einstufung Ihrer Adresse für unzutreffend, schreiben Sie uns vor dem Ende des Abonnements; wir prüfen sie und nehmen die Domain gegebenenfalls von der Prüfung aus.
• Verarbeitete Daten:die E-Mail-Adresse des Kontos (Abgleich ihrer Domain mit einer Liste bekannter Anbieter und Abfrage der MX-Einträge der Domain im DNS — dabei wird nur der Domainname abgefragt, nicht die Adresse) sowie die Rechnungshistorie des Kundenkontos bei Stripe.
• Zweck und Rechtsgrundlage:keine Konten aufzubewahren, die mangels erreichbarer E-Mail-Adresse nicht mehr genutzt werden können und nie bezahlt wurden — Art. 6 Abs. 1 lit. f DSGVO, im Sinne der Datenminimierung (Art. 5 Abs. 1 lit. c und e DSGVO). Zur automatisierten Entscheidung siehe Abschnitt 3.
• Was erhalten bleibt:dieselben Aufzeichnungen wie bei jeder Kontolöschung (Abschnitt 7).

7. Speicherdauer

Daten werden nur so lange gespeichert, wie es für ihren Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten dies verlangen. Wenn Sie Ihr Konto löschen, werden Zugangsdaten zu verbundenen Kanälen sofort widerrufen oder unkenntlich gemacht und die übrigen Kontodaten nach 30 Tagen endgültig gelöscht; in den Fällen von Abschnitt 6c geschieht die Löschung unverzüglich. Eine Löschung überdauern: ein Löschprotokoll (Workspace-Kennung, Zeitpunkt, Umfang und Auslöser der Löschung, keine Kontaktdaten) als Nachweis der Löschung sowie, wo ein Kanalzugang nicht automatisch widerrufen werden konnte, die für die manuelle Sperrung nötigen Kennungen; die Verzeichnisse zum Schutz der Testphase und des kostenlosen Tarifs, die die E-Mail-Adresse nur als Prüfwert führen, für die in Abschnitt 6b genannte Dauer; Nachweise über die Annahme von AGB und AVV, aus denen IP-Adresse und Browserangaben entfernt werden; bei Agentur-Workspaces die Protokolle der Agenturzugriffe; sowie Daten, die einer gesetzlichen Aufbewahrung unterliegen (z. B. steuerliche Unterlagen: bis zu 10 Jahre nach deutschem Steuerrecht). Bei Stripe bleiben Kundendatensatz, Rechnungen, Angaben zum Zahlungsmittel (etwa Kartenmarke und die letzten vier Ziffern) sowie die Abonnementdaten einschließlich des in Abschnitt 6b genannten Prüfwerts gespeichert; wir löschen den Kundendatensatz bei Stripe nicht automatisch. Wenn Sie Ihr Instagram-Konto trennen oder über Meta eine Datenlöschung beantragen, wird Ihr Zugriffstoken widerrufen und Instagram-bezogene Daten (Nachrichten, Threads, Entwürfe) werden aus unseren Systemen gelöscht. Sie können die Löschung auch durch direkte Kontaktaufnahme mit uns beantragen.

8. Ihre Rechte

Nach der DSGVO haben Sie das Recht auf:

• Auskunft über Ihre personenbezogenen Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung Ihrer Daten (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung (Art. 21)

Sie haben zudem das Recht, eine Beschwerde bei einer Aufsichtsbehörde einzulegen. Die für unseren Standort zuständige Behörde ist:
Die Landesbeauftragte für den Datenschutz Niedersachsen
www.lfd.niedersachsen.de

9. Verantwortlicher und Kontakt

Denys Mierkulov
Ahornallee 4
31195 Lamspringe
E-Mail: [email protected]

Bei datenschutzbezogenen Anfragen erreichen Sie uns unter: [email protected]