Datenschutzerklärung der CareVoice GmbH

1. Verantwortliche Stelle

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

2. Datenschutzbeauftragter

Unseren Datenschutzbeauftragten erreichen Sie unter:

An ihn können Sie sich mit allen Fragen zur Verarbeitung Ihrer Daten und zur Ausübung Ihrer Rechte wenden.

3. Allgemeines

Der Schutz persönlicher Daten ist uns wichtig. Wir behandeln personenbezogene Daten vertraulich und nach den gesetzlichen Vorschriften der Datenschutz-Grundverordnung (DSGVO) sowie des Bundesdatenschutzgesetzes (BDSG).

Diese Erklärung informiert darüber, welche Daten wir erheben, wie wir sie nutzen und welche Rechte bestehen.

4. Kategorien betroffener Personen

Wir verarbeiten personenbezogene Daten von:

4.1 Kunden

Kunde ist, wer den Dienst bucht und bezahlt. Das ist in der Regel ein Angehöriger der angerufenen Person.

Kartendaten verarbeiten wir nicht selbst. Diese werden ausschließlich bei unserem Zahlungsdienstleister Stripe eingegeben und gespeichert.

4.2 Nutzer, also die angerufenen Personen

Wir erheben einen Teil dieser Daten nicht bei der angerufenen Person selbst, sondern erhalten sie vom Kunden, der den Dienst für sie bucht. Darüber hinaus entstehen Daten aus den Gesprächen selbst.

Die freiwillig angegebenen Daten und Gesprächsinhalte können auch besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO (insbesondere Gesundheitsdaten oder persönlichen Überzeugungen) beinhalten, wenn der Nutzer diese Angaben im Gespräch macht.

4.3 Besucher

Beim Aufruf unserer Website und Webanwendung verarbeiten wir automatisch:

• vollständige IP-Adresse
• Datum und Uhrzeit des Zugriffs
• Anfragemethode und aufgerufene Adresse
• Statuscode und übertragene Datenmenge
• Antwortzeit des Servers

Diese Daten sind technisch notwendig, um die Anwendung auszuliefern und ihre Sicherheit zu gewährleisten, etwa um Angriffe und Missbrauch zu erkennen und abzuwehren. Sie werden in Server-Logdateien auf unseren eigenen Servern gespeichert und nach 7 Tagen automatisch gelöscht. Eine Zusammenführung mit anderen Datenquellen findet nicht statt.

5. Zweck der Datenverarbeitung

Wir nutzen personenbezogene Daten für folgende Zwecke. Jede Verarbeitung stützt sich auf eine Rechtsgrundlage.

Die Einwilligungen nach Art. 6 Abs. 1 lit. a und Art. 9 Abs. 2 lit. a DSGVO holen wir bei der angerufenen Person selbst ein. Der Kunde kann sie nicht stellvertretend erteilen.

6. Einwilligung der angerufenen Person

Ohne eine Einwilligung der angerufenen Person selbst findet kein Gespräch im Rahmen der Nutzung des Dienstes statt. Der Kunde kann diese Einwilligung nicht für sie erteilen.

6.1 Ablauf

• Start der Buchung durch den Kunden. Der Kunde legt das Profil der Person an und versichert, dass er zur Weitergabe der Kontaktdaten berechtigt ist und die Person über den bevorstehenden Anruf informiert hat. Diese Versicherung ist eine vertragliche Zusage des Kunden, keine Einwilligung der angerufenen Person.
• Erstanruf zur Information und Einwilligung. Beim ersten Anruf wird die angerufene Person zu Beginn darüber informiert, dass die Gesprächspartnerin eine künstliche Intelligenz ist und kein Mensch, wer den Dienst gebucht hat, dass der Gesprächsinhalt in Textform gespeichert wird, wer für die Verarbeitung verantwortlich ist und wie man uns erreicht, und dass die Teilnahme freiwillig ist und jederzeit ohne Nachteil beendet werden kann.
• Abfrage. Anschließend wird um eine ausdrückliche Zustimmung gebeten. Ohne Zustimmung wird das Gespräch beendet.
• Zahlung. Erst nach Einholen der Einwilligungen wird der Kunde zur Zahlung weitergeleitet.
• Weitere Anrufe. Zu Beginn jedes weiteren Gesprächs weist die Gesprächspartnerin erneut kurz darauf hin, dass sie eine KI ist.

6.2 Nachweis der Einwilligung

Wir müssen nach Art. 7 Abs. 1 DSGVO nachweisen können, dass eine Einwilligung erteilt wurde. Dazu speichern wir den Textabschnitt des Erstanrufs, in dem Information und Zustimmung erfolgen, zusammen mit Datum und Uhrzeit. Eine Tonaufzeichnung erfolgt nicht.

Dieser Nachweis wird getrennt von den übrigen Gesprächsdaten gespeichert und bleibt nach Vertragsende drei Jahre gespeichert.

6.3 Umfang der Einwilligung

Die Einwilligung wird getrennt für folgende Punkte erteilt:

• Einwilligung in Anrufe und Speicherung der Gesprächsinhalte in Textform (notwendig)
• Explizite Einwilligung in die Speicherung und Verarbeitung von sensiblen Daten (beispielsweise Gesundheitsdaten oder persönliche Überzeugungen) zur Personalisierung des Dienstes, sofern diese Teil von Gesprächsinhalten werden (notwendig)
• Explizite Einwilligung in den Versand von Benachrichtigungen an Angehörige im Fall von fehlgeschlagenen Anrufen (optional)

Die Einwilligungen sind freiwillig. Bei Ablehnung der notwendigen Einwilligungen wird der Dienst nicht aktiviert.

6.4 Widerruf

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft und ohne Angabe von Gründen widerrufen werden. Es genügt eine Mitteilung an info@hallo-helga.com, per Post oder über den buchenden Angehörigen.

Durch den Widerruf wird die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht berührt. Nach dem Widerruf stellen wir die Anrufe ein und löschen die Gesprächsdaten.

7. Gesprächsdaten

Wir zeichnen keine Tonaufnahmen auf. Das gesprochene Wort wird in Text umgewandelt, der Ton selbst wird nicht dauerhaft gespeichert.

Gespeichert werden:

• das Transkript des Gesprächs
• eine automatisch erzeugte Zusammenfassung
• Zeitpunkt, Dauer und Ergebnis des Anrufversuchs
• Angaben aus dem Gespräch, die für künftige Gespräche verwendet werden, etwa genannte Interessen oder Namen von Angehörigen

Transkripte verwenden und verarbeiten wir, um an frühere Gespräche anknüpfen zu können und um den Dienst bereitzustellen.

8. Automatisierte Verarbeitung und KI

Unser Dienst basiert auf automatisierter Verarbeitung und künstlicher Intelligenz. Nutzer werden bei der Buchung und zu Beginn jedes Gesprächs darüber informiert, dass sie mit einer KI-gestützten Gesprächspartnerin kommunizieren.

Ein Anruf durchläuft folgende Schritte:

• Anrufauslösung durch CareVoice
• Aufbau und Führung der Telefonverbindung durch Fonio
• Speicherung des Transkripts in der Datenbank bei Supabase
• Erzeugung und Personalisierung von Gesprächsinhalten (genutztes Modell: Gemini 3.5 Flash, betrieben von Google Ireland Limited)

Die von KI erzeugten Inhalte können unvollständig, unzutreffend oder situativ unpassend sein. Auf Aussagen der KI sollte man sich nicht verlassen, insbesondere nicht bei Fragen mit gesundheitlichem oder rechtlichem Bezug.

Aus den Gesprächsdaten findet das automatische Fortschreiben einer Nutzer-Beschreibung in verschiedenen Dimensionen statt, um dem Dienst die Erinnerung an frühere Gespräche zu ermöglichen. Diese Angaben können auch Gesundheitsdaten oder Gefühlszustände beinhalten, leiten sich jedoch nur aus dem gesprochenen Wort ab. Eine Auswertung von Stimme oder Tonfall selbst findet nicht statt. Eine automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung nach Art. 22 DSGVO ist damit nicht verbunden.

Das eingesetzte Sprachsystem kann in bestimmten Situationen automatisiert reagieren. Erkennt es im Gesprächsverlauf Hinweise auf eine mögliche akute Notlage der angerufenen Person, kann es auf Hilfs- und Beratungsangebote hinweisen und das Gespräch beenden.

9. Benachrichtigung von Angehörigen

Wir informieren Angehörige darüber, wenn nach drei Versuchen kein Anruf zustande gekommen ist. Die Benachrichtigung erfolgt per E-Mail über unseren Dienstleister Resend.

Die Benachrichtigung setzt voraus, dass die angerufene Person ihr zugestimmt hat. Die Zustimmung des Kunden allein genügt nicht, auch dann nicht, wenn er den Dienst bezahlt. Die angerufene Person wird darüber informiert, wer Benachrichtigungen erhält und welchen Inhalt diese haben. Sie kann die Zustimmung jederzeit widerrufen.

10. Empfänger und Auftragsverarbeiter

Wir geben keine Daten zu Werbezwecken an Dritte weiter und verkaufen keine Daten.

Folgende Dienstleister verarbeiten personenbezogene Daten in unserem Auftrag. Mit allen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zur Erfüllung unserer steuer- und handelsrechtlichen Pflichten (Buchführung, Erstellung von Abschlüssen und Steuererklärungen) übermitteln wir Rechnungs- und Buchungsdaten an unser Steuerbüro. Die Weitergabe betrifft ausschließlich Kunden-, Vertrags- und Abrechnungsdaten, nicht die Gesprächsdaten der angerufenen Personen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuer- und handelsrechtlichen Aufbewahrungs- und Mitwirkungspflichten (§§ 147 AO, 257 HGB).

Wir unterhalten zudem Unternehmensseiten auf Instagram und Facebook sowie auf LinkedIn. Beim Besuch unserer Social-Media-Seiten werden personenbezogene Daten durch die jeweiligen Anbieter verarbeitet. Die Rechtsgrundlage für diese Aktivitäten ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Öffentlichkeitsarbeit und Marketing). Es besteht eine gemeinsame Verantwortlichkeit gemäß Art. 26 DSGVO für die sog. Insights-Daten. Bei der Nutzung von Social-Media-Plattformen kann es zu einer Übermittlung personenbezogener Daten in Drittstaaten (z. B. USA) kommen. Nähere Informationen sind in der Datenschutzerklärung von Meta und LinkedIn auffindbar.

11. Übermittlung von Daten in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder gehören zu Unternehmensgruppen mit Sitz in den USA. Die von uns genutzte Verarbeitung findet auf Servern in der EU statt; ein Zugriff aus den USA, etwa zu Supportzwecken, lässt sich jedoch nicht vollständig ausschließen. Vercel Inc., Resend Inc. und die amerikanischen Einheiten von Stripe (Stripe, LLC), Google (Google, LLC) und Microsoft (Microsoft Corp.) sind unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO). Supabase Inc. ist nicht zertifiziert; hier erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Zusätzlich haben wir mit allen genannten Anbietern Standardvertragsklauseln vereinbart.

Eine Kopie der Standardvertragsklauseln stellen wir auf Anfrage an info@hallo-helga.com zur Verfügung.

12. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder wie gesetzliche Aufbewahrungspflichten es verlangen.

Widerruft eine angerufene Person ihre Einwilligung oder kündigt ein Kunde den Vertrag, löschen wir die Gesprächsdaten der betroffenen Person innerhalb von 30 Tagen.

Soweit einer Löschung gesetzliche Aufbewahrungspflichten entgegenstehen, schränken wir die Verarbeitung der betreffenden Daten ein, statt sie zu löschen. Sie werden dann nur noch zur Erfüllung dieser Pflichten verarbeitet.

13. Rechte der betroffenen Personen

Diese Rechte stehen sowohl Kunden als auch angerufenen Personen zu.

• Auskunft darüber, ob und welche Daten wir verarbeiten, Art. 15 DSGVO
• Berichtigung unrichtiger oder unvollständiger Daten, Art. 16 DSGVO
• Löschung, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art. 18 DSGVO
• Datenübertragbarkeit in einem strukturierten, gängigen und maschinenlesbaren Format, Art. 20 DSGVO
• Widerruf einer Einwilligung mit Wirkung für die Zukunft, Art. 7 Abs. 3 DSGVO

Zur Ausübung genügt eine formlose Nachricht an info@hallo-helga.com, an unsere Postanschrift oder an unseren Datenschutzbeauftragten unter datenschutz@slk-compliance.de. Wir antworten innerhalb der gesetzlichen Frist von einem Monat, in der Regel schneller. Kosten entstehen dabei nicht.

14. Cookies und Herkunft von Partnerseiten

Notwendige Cookies setzen wir ohne Einwilligung ein, soweit sie für Anmeldung, Sicherheit und die Bereitstellung der Plattform unbedingt erforderlich sind (§ 25 Abs. 2 Nr. 2 TDDDG). Die Auswahl in den Cookie-Einstellungen wird im lokalen Speicher des Browsers abgelegt.

Nur mit Einwilligung in die Kategorie „Marketing & Analyse“ (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO) setzen wir das Cookie „hh_attribution_v2“. Es speichert für 90 Tage, über welche Seite eines Vertriebspartners oder welche Kampagne ein Besucher zu uns gekommen ist (Partnerkennung, Kampagnenangaben, Zeitpunkt des Klicks). Erfolgt in dieser Zeit eine Registrierung, vermerken wir die Herkunft am Kundenkonto, um die Vermittlung mit dem Vertriebspartner abzurechnen.

Die Einwilligung kann jederzeit über „Cookie-Einstellungen ändern“ mit Wirkung für die Zukunft widerrufen werden. Das Cookie wird dann sofort gelöscht.

15. Widerspruchsrecht

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO erfolgt, Art. 21 Abs. 1 DSGVO.

Legen Sie Widerspruch ein, verarbeiten wir die betreffenden Daten nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Der Widerspruch ist formlos möglich, eine Nachricht an info@hallo-helga.com genügt.

16. Beschwerderecht bei einer Aufsichtsbehörde

Unabhängig von anderen Rechtsbehelfen besteht das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde, Art. 77 DSGVO. Zuständig für uns ist: