Datenschutzerklärung

Datenschutzhinweise für Website und ChatPoint

Stand: 10. Oktober 2026

1. Kontakt und unsere Rolle

Diese Hinweise erklären die Verarbeitung personenbezogener Daten auf unserer Website und in der Anwendung ChatPoint. Personenbezogene Daten sind Angaben über identifizierte oder identifizierbare natürliche Personen.

Für unsere eigenen Verarbeitungszwecke ist verantwortlich:

Nicolas Wörner, NW-Solutions (Einzelunternehmen) Franz-Fleischer-Straße 31, 97259 Greußenheim, Deutschland E-Mail: datenschutz@nw-solutions.dev · Telefon: +49 1749495780

Wir verarbeiten insbesondere Daten zur Verwaltung unserer Geschäftsbeziehungen und zum sicheren Betrieb des Dienstes in eigener Verantwortung. Personenbezogene Kundeninhalte, die eine Organisation in ChatPoint eingibt, hochlädt oder über dessen Funktionen verarbeiten lässt, verarbeiten wir nach ihren Weisungen auf Grundlage eines Auftragsverarbeitungsvertrags (AVV). Für diese Verarbeitung bestimmt die jeweilige Organisation die Zwecke und die Rechtsgrundlage und ist für die Information der betroffenen Personen verantwortlich.

Wenn sich Ihr Anliegen auf Daten in den Inhalten einer solchen Organisation bezieht, wenden Sie sich bitte an diese. Geht Ihr Anliegen bei uns ein, leiten wir es an den zuständigen Auftraggeber weiter und unterstützen ihn bei der Bearbeitung.

2. Website, Nutzerkonten und Geschäftsbeziehungen

Vorgang	Verarbeitete Daten und Zweck	Rechtsgrundlage unserer eigenen Verarbeitung
Websiteaufruf	IP-Adresse, aufgerufene Seite, Zeitpunkt, Datenmenge, Herkunftsseite, Browser und Betriebssystem zur Bereitstellung und Absicherung der Website	Art. 6 Abs. 1 lit. f DSGVO; Interesse an einem verfügbaren, sicheren Dienst
Anmeldung und Kontoverwaltung	Name, geschäftliche E-Mail-Adresse, gegebenenfalls Telefonnummer, Organisationszugehörigkeit, Rolle sowie Anmelde- und Sitzungsdaten zur Verwaltung und Absicherung des Zugangs	Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartei sind; für Ansprechpartner und Nutzer eines Geschäftskunden Art. 6 Abs. 1 lit. f DSGVO, soweit wir diese Daten in eigener Verantwortung zur Durchführung der Geschäftsbeziehung und Zugangssicherheit verarbeiten
Kontakt und Support	Kontaktdaten, Nachrichten und zur Klärung erforderliche Angaben zur Bearbeitung Ihres Anliegens	Art. 6 Abs. 1 lit. f DSGVO; Interesse an der Beantwortung von Anfragen. Art. 6 Abs. 1 lit. b DSGVO bei einem eigenen Vertrag mit Ihnen oder entsprechenden vorvertraglichen Maßnahmen auf Ihre Anfrage
Vertragsverwaltung und Abrechnung	Ansprechpartner-, Vertrags-, Leistungs-, Nutzungs- und Rechnungsdaten zur Verwaltung der Geschäftsbeziehung und Erfüllung von Nachweispflichten	Art. 6 Abs. 1 lit. b DSGVO bei eigenen Vertragspartnern; Art. 6 Abs. 1 lit. f DSGVO bei geschäftlichen Ansprechpartnern; Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Buchführungs- und Aufbewahrungspflichten
Betriebssicherheit und Fehleranalyse	Technische Nutzungs-, Leistungs- und Fehlerdaten zur Erkennung und Behebung von Störungen und Missbrauch	Art. 6 Abs. 1 lit. f DSGVO; Interesse am sicheren, zuverlässigen Betrieb

Soweit wir bei Support oder Kontoverwaltung Kundeninhalte bzw. vom Auftraggeber verwaltete Daten weisungsgebunden bearbeiten, gelten die in Abschnitt 1 erläuterten Auftragsverarbeitungsregeln.

Wir erhalten Daten von Ihnen, von Ihrer Organisation etwa bei Einladungen und Rollenzuweisungen sowie technisch bei der Nutzung des Dienstes. Von Ihrer Organisation übermittelte Angaben betreffen insbesondere Ihren Namen, Ihre geschäftlichen Kontaktdaten und Ihre Zugehörigkeit bzw. Rolle. Öffentliche Webinhalte, die im Kundenauftrag recherchiert werden, stammen aus den jeweiligen Suchergebnissen und Zielwebseiten.

3. Cookies und lokale Speicherung

Wir nutzen Cookies und lokale Speicherung für die Anmeldung, Sitzungsverwaltung und von Ihnen gewählte Oberflächeneinstellungen. Die Speicherung bzw. der Zugriff ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, soweit dies für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Die anschließende Verarbeitung personenbezogener Daten richtet sich nach den Zwecken und Rechtsgrundlagen in Abschnitt 2.

Analyse-Cookies setzen wir nur mit Ihrer Einwilligung ein (siehe „Google Analytics“). Marketing- oder Werbe-Cookies setzen wir nicht ein. Ihre Auswahl im Cookie-Hinweis speichern wir in der lokalen Speicherung Ihres Browsers, damit sie bei späteren Besuchen gilt; dies ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Verbindungen zu ChatPoint werden mit TLS verschlüsselt.

Google Analytics (nur mit Einwilligung)

Auf den öffentlichen Seiten der Website (Startseite, Produktseiten, Preise, Kontakt, Impressum, Datenschutz, AGB) sowie bei Registrierung und Onboarding nutzen wir mit Ihrer Einwilligung Google Analytics 4. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google“). Google verarbeitet die Daten als unser Auftragsverarbeiter auf Grundlage der Datenverarbeitungsbedingungen von Google.

Zweck: Statistische Auswertung und Verbesserung der öffentlichen Seiten und des Registrierungsablaufs, etwa welche Seiten aufgerufen werden, über welche Websites Besucher zu uns kommen und wie viele Kontaktanfragen abgeschickt und Registrierungen abgeschlossen werden.

Verarbeitete Daten: Online-Kennungen aus Cookies, aufgerufene Seite (Adresse ohne Parameter sowie Seitentitel), Herkunftswebsite (nur deren Domain; bei unseren eigenen öffentlichen Seiten deren Adresse), Zeitpunkt, Browser- und Geräteangaben (z. B. Browser, Betriebssystem, Bildschirmgröße, Sprache), ungefähre Region sowie die Ereignisse „Kontaktanfrage abgeschickt“ und „Registrierung abgeschlossen“. Die Region leitet Google aus der IP-Adresse ab; Google Analytics 4 speichert nach Angaben von Google keine IP-Adressen.

Nicht erfasst werden Formularinhalte (z. B. Name, E-Mail-Adresse, Nachricht), Nutzer- und Kundenkennungen sowie jede Nutzung innerhalb der angemeldeten Anwendung. Google Signals, Werbefunktionen und personalisierte Werbung sind deaktiviert; eine User-ID wird nicht übermittelt.

Rechtsgrundlage: Für das Speichern von und den Zugriff auf Informationen in Ihrem Endgerät § 25 Abs. 1 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. a DSGVO, jeweils Ihre Einwilligung. Ohne Einwilligung wird Google Analytics nicht geladen; es werden keine Daten an Google übermittelt und keine Analyse-Cookies gesetzt.

Cookies: _ga (Unterscheidung von Besuchern) und _ga_<Kennung> (Zuordnung von Sitzungen), jeweils mit einer Speicherdauer von 2 Monaten ab dem letzten Besuch.

Speicherdauer bei Google: Die Aufbewahrung ereignisbezogener Daten ist in Google Analytics auf 2 Monate eingestellt; danach löscht Google sie automatisch. Zusammengefasste Berichte ohne Bezug zu einzelnen Besuchern können länger bestehen.

Übermittlung in die USA: Google kann Daten auch an die Google LLC in den USA übermitteln. Die Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; zusätzlich sehen die Datenverarbeitungsbedingungen von Google Standardvertragsklauseln der Europäischen Kommission vor.

Widerruf: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Seitenfuß der Website widerrufen, indem Sie „Ablehnen“ wählen. Die Erfassung endet dann sofort und die Analyse-Cookies werden gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Bei wesentlichen Änderungen der Verarbeitung fragen wir Ihre Einwilligung erneut ab.

Weitere Informationen: Datenschutzerklärung von Google, Datennutzung durch Google auf Websites von Partnern und Datenschutz in Google Analytics.

4. Kundeninhalte und KI-Funktionen

ChatPoint verarbeitet im Auftrag der jeweiligen Kundenorganisation Kunden- und Interessentendaten, Nachrichten, Dokumente, Webseiten sowie Text- und Audioinhalte. Je nach genutzter Funktion übermitteln wir die erforderlichen Eingaben und Kontextdaten an die folgenden Dienste. Diese Inhalte können Angaben über Nutzer, Ansprechpartner und weitere erwähnte Personen enthalten.

Dienst	Zweck und Daten	Verarbeitungsregion
OpenRouter, Inc. mit nachgelagerten Modellanbietern OpenAI, Google und Mistral AI	Text- und Dokumentverarbeitung, Audioanalyse und Transkription; erforderliche Nachrichten, Dokumente, Webinhalte, Aufnahmen, Ergebnisse und Nutzungsmetadaten	Reguläre Text- und Strukturanfragen sowie Transkription über den EU-Endpunkt; Audioanalyse über den globalen Endpunkt. Betriebsmetadaten können auch außerhalb der EU/des EWR verarbeitet werden.
Eleven Labs Inc.	Spracherzeugung aus Texten; Eingabetexte, Stimmeinstellungen und erzeugte Audiodateien	Globaler Dienst, insbesondere USA

Wir verwenden Kundeninhalte nicht zum Training eigener KI-Modelle. Bei OpenRouter und ElevenLabs ist die optionale Nutzung unserer Inhalte für Training und allgemeine Modellverbesserung deaktiviert. Für die entsprechend konfigurierten OpenRouter-Anfragen nutzen wir Zero Data Retention. Das bedeutet keine dauerhafte Speicherung der Anfrageinhalte nach der Verarbeitung; technisch notwendige Zwischenverarbeitung sowie begrenzte Sicherheits- und gesetzliche Ausnahmen bleiben möglich. Dies ist keine pauschale Löschzusage für sämtliche Betriebsdaten oder nachgelagerten Dienste.

Die optionale Spracheingabe wird durch den Nutzer gestartet. Aufnahmen werden zur Transkription übermittelt und bei ChatPoint nicht dauerhaft gespeichert. Abgesendete Transkripte werden wie andere Nachrichten gespeichert. ChatPoint bietet keine Stimmklonierung an.

Websuche: Für die Websuche nutzen wir den Suchdienst der Exa Labs, Inc. in den USA. Die Übermittlung ist darauf ausgelegt, dass Exa keine personenbezogenen Daten erhält: Suchanfragen werden vor Übermittlung automatisiert auf Personenbezug geprüft und bei Personenbezug oder Unsicherheit blockiert; Exa erhält keine Nutzerkennungen oder IP-Adressen. Auch Prüffehler führen zur Blockierung. Die Prüfung erfolgt über den EU-Endpunkt von OpenRouter. Sie beruht auf einer automatisierten Klassifikation, bei der Fehleinschätzungen nicht vollständig ausgeschlossen werden können. Exa liefert URLs, Treffertexte und Suchmetadaten zurück; diese können öffentlich verfügbare Angaben über Personen enthalten und werden als Kundeninhalte behandelt.

5. Weitere Dienstleister und Empfänger

Dienst	Aufgabe und Daten
Cloudflare, Inc.	Bereitstellung und Absicherung der Anwendung, Dateispeicherung und serverseitiger Abruf von Webinhalten; Verbindungsdaten und erforderliche Inhalte
Supabase Pte. Ltd.	Datenbankbetrieb in Frankfurt; Konto-, Organisations- und Inhaltsdaten sowie Nutzungsdaten
Clerk, Inc.	Anmeldung und Nutzerverwaltung; Kontakt-, Rollen- und Sitzungsdaten
GitHub, Inc.	Ausführung der nächtlichen Datenbanksicherung; vorübergehende Verarbeitung des vollständigen Datenbankinhalts (Konto-, Organisations-, Inhalts- und Nutzungsdaten) während des Sicherungslaufs. Gespeichert wird die Sicherung ausschließlich im EU-Objektspeicher von Cloudflare. Die Verarbeitung bei GitHub ist nicht auf die EU festgelegt und kann insbesondere in den USA erfolgen.
Google Ireland Limited	Nur mit Einwilligung: Google Analytics für die statistische Auswertung der öffentlichen Seiten und des Registrierungsablaufs; Online-Kennungen, Seiten-, Herkunfts- und Geräteangaben sowie Ereignisse (siehe Abschnitt 3). Mögliche Verarbeitung durch die Google LLC in den USA.
Raintank Inc. d/b/a Grafana Labs	Monitoring und Fehleranalyse; technische Nutzungs-, Leistungs- und Fehlerdaten. KI-Ein- und Ausgaben werden nicht planmäßig übertragen; Fehlermeldungen können Inhaltsbezüge enthalten. Datenhaltung im Vereinigten Königreich.

Für Geschäftskorrespondenz und Buchhaltung setzen wir E-Mail- und Buchhaltungsdienstleister ein. Erforderliche Vertrags-, Rechnungs- und Zahlungsdaten erhalten außerdem die beteiligten Kreditinstitute und unsere Steuerberatung in Deutschland. Behörden erhalten Daten, soweit eine gesetzliche Verpflichtung besteht. Diese Empfänger erhalten jeweils nur die für ihre Aufgabe erforderlichen Daten.

Intern ist der Zugriff auf die für die jeweilige Aufgabe erforderlichen Daten beschränkt. Die konkreten weiteren Auftragsverarbeiter einschließlich ihrer Verarbeitungsketten sind in der Subprozessorenliste (Anhang 2 des AVV) aufgeführt.

6. Übermittlungen außerhalb der EU und des EWR

Auch bei europäischen Speicherorten können Dienstleister außerhalb der EU/des EWR Daten verarbeiten oder darauf zugreifen. Eine ausschließlich europäische Verarbeitung aller Daten wird nicht zugesagt.

Für die vom Zertifizierungsumfang erfassten US-Übermittlungen an Cloudflare, Clerk, ElevenLabs, GitHub, Grafana Labs und, bei erteilter Einwilligung, Google (Google Analytics) dient das EU-US Data Privacy Framework als Grundlage; für Google gelten ergänzend die Standardvertragsklauseln der Datenverarbeitungsbedingungen von Google. Für die Datenhaltung im Vereinigten Königreich gilt der entsprechende Angemessenheitsbeschluss. Für Übermittlungen an Supabase in Singapur und die betreffenden internationalen OpenRouter-Verarbeitungspfade sehen die Anbietervereinbarungen Standardvertragsklauseln der Europäischen Kommission vor.

An den Suchdienst Exa in den USA übermitteln wir nur Suchanfragen, die die in Abschnitt 4 beschriebene Prüfung auf Personenbezug bestanden haben, ohne Nutzerkennungen oder IP-Adressen. Eine Übermittlung personenbezogener Daten an Exa ist nicht vorgesehen.

Informationen und Kopien der einschlägigen geeigneten Garantien können Sie über unseren Datenschutzkontakt anfordern.

7. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie sie für ihren Zweck erforderlich sind oder eine gesetzliche Aufbewahrungspflicht besteht.

Datenbestand	Dauer bzw. Löschkriterium
Konto-, Kontakt- und Vertragsdaten	Für die Geschäftsbeziehung bzw. Bearbeitung des Anliegens; anschließend nur, soweit gesetzliche Aufbewahrungspflichten oder erforderliche Nachweiszwecke bestehen
Rechnungen und Geschäftsunterlagen	Rechnungen und Buchungsbelege grundsätzlich 8 Jahre, aufbewahrungspflichtige Geschäftsbriefe 6 Jahre, Bücher und Jahresabschlüsse soweit einschlägig 10 Jahre; grundsätzlich ab Ende des maßgeblichen Kalenderjahres, vorbehaltlich gesetzlicher Verlängerungen
Kundeninhalte einschließlich Nachrichten, interner Verläufe, Dateien und Suchergebnisse	Nach Kundenweisung bzw. Vertragsende gemäß AVV; Löschung aus den von uns kontrollierten Live-Systemen unverzüglich, spätestens innerhalb von 30 Tagen nach dem maßgeblichen Löschauftrag bzw. Vertragsende
Anfrageinhalte bei KI-Diensten	Bei OpenRouter entsprechend der beschriebenen ZDR-Konfiguration; sonstige dort vorhandene Kundendaten nach Löschanforderung gemäß DPA innerhalb von 30 Werktagen. ElevenLabs-Inhalte können in der Generierungshistorie verbleiben; wir veranlassen deren Löschung bei entsprechendem Kundenauftrag. Anbieter können begrenzte gesetzliche, Sicherheits- und Backup-Restaufbewahrung vorsehen.
Technische Protokolle	Für den erforderlichen Betriebs- und Sicherheitszweck; Grafana-Telemetrie 14 Tage. Erforderliche Nachweise konkreter Vorfälle werden getrennt und zweckgebunden aufbewahrt.
Google-Analytics-Daten	Analyse-Cookies 2 Monate ab dem letzten Besuch, bei Widerruf sofortige Löschung im Browser; ereignisbezogene Daten bei Google 2 Monate, danach automatische Löschung
Eigene Datenbank-Sicherungskopien	Automatische Löschung nach 30 Tagen Objektalter, zuzüglich technisch bedingter Ausführungsverzögerung; Sicherungssysteme anderer Anbieter unterliegen deren eigenen Speicherregeln

Gelöschte Daten in verbleibenden Sicherungskopien werden nicht regulär genutzt. Bei einer Wiederherstellung werden Löschungen vor der erneuten produktiven Bereitstellung berücksichtigt. Gesetzliche Belegaufbewahrung rechtfertigt keine pauschale Aufbewahrung sämtlicher Kundeninhalte.

Löschanliegen können Sie per E-Mail an unseren Datenschutzkontakt richten. Bei Kundeninhalten beziehen wir die zuständige Kundenorganisation ein.

8. Ihre Rechte

Soweit die gesetzlichen Voraussetzungen vorliegen, haben Sie Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen; die Rechtmäßigkeit der vorherigen Verarbeitung bleibt unberührt.

Widerspruch: Bei Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO können Sie aus Gründen Ihrer besonderen Situation widersprechen. Wir beenden die betreffende Verarbeitung, sofern keine zwingenden schutzwürdigen Gründe oder Gründe zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen entgegenstehen. Gegen eine Verarbeitung für Direktwerbung besteht ein jederzeitiges Widerspruchsrecht ohne Begründung.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere an Ihrem gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für uns ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht zuständig: www.lda.bayern.de.

Für Anfragen nutzen Sie bitte die Kontaktdaten in Abschnitt 1. Wir beantworten Betroffenenanfragen grundsätzlich innerhalb eines Monats; bei gesetzlich zulässiger Verlängerung informieren wir Sie fristgerecht über die Gründe.

9. Erforderliche Angaben und automatisierte Entscheidungen

Die für Anmeldung, Vertrag und Leistung erforderlichen Angaben werden benötigt, um den Dienst bereitzustellen. Ohne sie ist dies gegebenenfalls nicht möglich. Eine allgemeine gesetzliche Pflicht zur Nutzung von ChatPoint oder zur Bereitstellung optionaler Inhalte besteht nicht.

Wir treffen im hier beschriebenen eigenen Geschäftsbetrieb keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung für Sie im Sinne von Art. 22 DSGVO. Die KI-Funktionen unterstützen die Nutzer; für Entscheidungen und weitere Verwendungen von Ergebnissen im Verantwortungsbereich einer Kundenorganisation ist diese zuständig.