# Datenschutzerklärung

## ⚠ PLATZHALTER — DIESE SEITE IST NOCH NICHT DIE VERBINDLICHE DATENSCHUTZERKLÄRUNG

Die Datenschutzerklärung für diese Plattform wird derzeit erstellt. Sie kann
erst abschließend verfasst werden, wenn Hosting und alle eingesetzten
Auftragsverarbeiter endgültig feststehen — eine Erklärung, die Empfänger nennt,
die sich später ändern, wäre schlechter als keine: Sie sähe verbindlich aus und
wäre unrichtig.

Bis dahin gilt: **Wenden Sie sich mit jeder Frage zur Verarbeitung Ihrer Daten
direkt an den unten genannten Verantwortlichen.** Ihre Rechte nach der DSGVO
bestehen unabhängig von dieser Seite und können jederzeit ausgeübt werden.

---

## Verantwortlicher

Max Sänger, Twentyone CLO
Kurt-Schumacher-Straße 76
67663 Kaiserslautern
Deutschland

E-Mail: info@twentyoneclo.com

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist diejenige
natürliche oder juristische Person, die allein oder gemeinsam mit anderen über
die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

## Ihre Rechte

Diese Rechte stehen Ihnen unabhängig vom Stand dieser Seite zu und ergeben sich
unmittelbar aus der Verordnung:

- Auskunftsrecht gemäß Art. 15 DSGVO
- Recht auf Berichtigung gemäß Art. 16 DSGVO
- Recht auf Löschung gemäß Art. 17 DSGVO
- Recht auf Einschränkung der Verarbeitung gemäß Art. 18 DSGVO
- Recht auf Unterrichtung gemäß Art. 19 DSGVO
- Recht auf Datenübertragbarkeit gemäß Art. 20 DSGVO
- Recht auf Widerruf erteilter Einwilligungen gemäß Art. 7 Abs. 3 DSGVO
- Recht auf Widerspruch gemäß Art. 21 DSGVO
- Recht auf Beschwerde bei einer Aufsichtsbehörde gemäß Art. 77 DSGVO

Zur Ausübung genügt eine Nachricht an die oben genannte Adresse.

## Was noch aussteht

Damit die Erklärung nicht nur vorhanden, sondern auch zutreffend ist, müssen
zuvor folgende Punkte feststehen:

1. **Hosting und Serverstandort** der Plattform, einschließlich der Frage,
   ob und wohin Daten das EU-Gebiet verlassen.
2. **Alle Auftragsverarbeiter** mit Zweck, Rechtsgrundlage und
   Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dazu gehören insbesondere
   der Betreiber der Serverinfrastruktur, der Mailversand und der Anbieter des
   Sprachmodells, das den Chatbot beantwortet.
3. **Die Verarbeitung im Chatbot.** Nachrichten, die Besucher in das
   Chatfenster einer Fahrschule eingeben, werden an einen Anbieter für
   Sprachmodelle übermittelt, und zwar zu **zwei** Zwecken:

   - um die jeweilige Frage zu beantworten, und
   - wenn das Gespräch mit einer Terminbuchung endet: **einmalig**, um daraus
     eine kurze Zusammenfassung für die Fahrschule zu erstellen, die neben
     dem Termin angezeigt wird.

   Empfänger, Zweckrichtung und Rechtsgrundlage sind in beiden Fällen
   dieselben — es ist kein zweiter Anbieter und keine Verarbeitung zu einem
   anderen Zweck im Sinn von Art. 6 Abs. 4 DSGVO. Die Zusammenfassung wird
   **nicht** bei jedem Ansehen neu erzeugt, sondern gespeichert. Sofern der
   Anbieter außerhalb der EU verarbeitet, ist die Drittlandübermittlung nach
   Art. 44 ff. DSGVO einzuordnen und in dieser Erklärung zu benennen.
4. **Speicherdauern** der einzelnen Datenarten — Chatverläufe, Protokolldaten,
   Nachweisdaten zum Vertragsschluss — jeweils mit Zweck und Rechtsgrundlage.
   Ein Punkt gehört dabei ausdrücklich benannt, weil er sich nicht von selbst
   versteht: **Ein Chatverlauf, der zu einer Terminbuchung geführt hat, wird
   zweimal gespeichert und unterliegt zwei verschiedenen Fristen.**

   - Der laufende Verlauf im Chatfenster wird nach einer kurzen, festen Frist
     gelöscht (derzeit 30 Tage), unabhängig davon, ob ein Termin daran hängt.
   - Zusätzlich wird beim Abschluss der Buchung eine **Kopie am Termin**
     abgelegt, samt der Zusammenfassung. Sie lebt so lange wie der Termin
     selbst — also über die 30 Tage hinaus — und wird mit dessen Kontaktdaten
     zusammen gelöscht: automatisch nach Ablauf der Aufbewahrungsfrist oder
     jederzeit vorher auf Verlangen der betroffenen Person.

   Ohne die Kopie wäre die Zusammenfassung nach einem Monat gegenstandslos;
   mit ihr verlängert sich die Speicherdauer dieser Gesprächsinhalte, und
   genau das ist hier anzugeben.
5. **Freitextfelder der Fahrschulen.** Zu jedem Beratungstermin und jedem
   Rückruf kann das Team der Fahrschule eine interne Notiz hinterlegen, damit
   Kolleginnen und Kollegen den Vorgang nachvollziehen können. Was darin
   steht, bestimmt allein die Fahrschule; die Plattform speichert es
   verschlüsselt und löscht es zusammen mit dem Termin. Zwei Dinge sind
   deshalb zu regeln, und zwar im Auftragsverarbeitungsvertrag und nicht
   hier: dass die Fahrschule für den Inhalt verantwortlich bleibt, und dass
   solche Felder keine Gesundheitsdaten oder andere Angaben nach Art. 9 DSGVO
   aufnehmen sollen, für die eine eigene Rechtsgrundlage nötig wäre.

   Für die betroffene Person gilt unabhängig davon: Notiz, Chatverlauf und
   Zusammenfassung sind personenbezogene Daten und damit Gegenstand des
   Auskunftsanspruchs nach Art. 15 DSGVO. Dass ein Vermerk intern gedacht
   ist, schränkt diesen Anspruch nicht ein.
6. **Die Rollenverteilung gegenüber den Fahrschulen.** Für die Daten ihrer
   Fahrschülerinnen und Fahrschüler ist die jeweilige Fahrschule
   Verantwortliche; diese Plattform verarbeitet sie in deren Auftrag. Diese
   Beziehung wird im Auftragsverarbeitungsvertrag geregelt und nicht hier.

## Für Fahrschulen, die den Chatbot einbinden

Wenn Sie das Chatfenster auf Ihrer eigenen Website einsetzen, betrifft die
Verarbeitung Ihre Besucherinnen und Besucher. Sie benötigen dafür einen
eigenen Hinweis in Ihrer Datenschutzerklärung — und der muss zwei Dinge
mitnennen, die über „ein Chatbot beantwortet Fragen" hinausgehen: dass der
Verlauf eines Gesprächs, das mit einer Buchung endet, **beim Termin
gespeichert** und dabei **maschinell zusammengefasst** wird, und dass er
dort länger liegt als die Nachrichten im Chatfenster selbst. Die dafür nötigen Angaben
stellen wir Ihnen zusammen mit dem Auftragsverarbeitungsvertrag bereit, sobald
die oben genannten Punkte feststehen. **Setzen Sie den Chatbot bis dahin nicht
im Publikumsbetrieb ein.**