Zum Hauptinhalt springenZur Navigation springen

Datenschutzerklärung

Geltungsbereich: elisabit.de, agentbit.de und die agentbit Web-App
Stand: 26. Oktober 2026 · Version v2.3-2026-10-26

1. Einleitung

Wir freuen uns über Ihr Interesse an der ElisaBit UG (haftungsbeschränkt) und unserer KI-gestützten SaaS-Plattform agentbit. Datenschutz hat für uns höchste Priorität. Die Verarbeitung personenbezogener Daten erfolgt stets im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und der KI-Verordnung der EU (Verordnung (EU) 2024/1689, „EU AI Act").

2. Verantwortlicher

ElisaBit UG (haftungsbeschränkt)
Fuchsversteck 15
22457 Hamburg, Deutschland

E-Mail: hey@elisabit.de
Datenschutz: datenschutz@elisabit.de
Geschäftsführer: Stefan Mahendiran
Handelsregister: HRB 197025, Amtsgericht Hamburg
USt-IdNr.: DE460362093

3. Externer Datenschutzbeauftragter

Herr Jan Hansen, Gervinusstraße 46, 64287 Darmstadt
E-Mail: datenschutz@elisabit.de (intern weitergeleitet)

4. Hosting

Diese Internetseiten und die agentbit Web-App werden bei einem Anbieter für Cloud-Infrastruktur mit Rechenzentren in Deutschland gehostet — keine Drittland-Übermittlung im Hosting-Stack. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

5. Server-Logfiles

Beim Aufruf erfassen wir technisch notwendige Verbindungsdaten: IP-Adresse (gekürzt nach 7 Tagen), Browser-Typ und -Version, Betriebssystem, Referrer sowie Datum und Uhrzeit. Löschung nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Cookies und Consent

Wir verwenden Cookies. Vor dem Erstaufruf erscheint ein TDDDG-konformes Consent-Banner mit dem Default-Setting „alle nicht-notwendigen abgelehnt". Ihre Auswahl können Sie jederzeit über den Footer-Link „Cookie-Einstellungen" ändern oder widerrufen. Rechtsgrundlage: § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

7. Google Analytics 4

Auf dieser Website setzen wir Google Analytics 4 (Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) ein — ausschließlich nach Ihrer Einwilligung über das Consent-Banner (Kategorie „Analyse“). Ohne Einwilligung wird keine Verbindung zu Google-Servern aufgebaut und kein Analyse-Skript geladen. Wir nutzen den Google Consent Mode v2; Google Analytics 4 protokolliert und speichert keine IP-Adressen. Für etwaige Übermittlungen an die US-Mutter Google LLC bestehen Standardvertragsklauseln (EU) 2021/914 sowie eine Zertifizierung nach dem EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über „Cookie-Einstellungen“ im Footer.

8. Kontaktformular und E-Mail

Wenn Sie uns über das Kontaktformular oder per E-Mail kontaktieren, verarbeiten wir Ihre Angaben (Name, E-Mail-Adresse, Unternehmen, Nachricht) zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Die Anfrage wird per E-Mail an unser Postfach übermittelt. Für den Versand setzen wir den Dienst Lettermint B.V., Willemsvaart 16 B, 8019 AB Zwolle, Niederlande, als Auftragsverarbeiter ein (Art. 28 DSGVO). Die Verarbeitung erfolgt in der Europäischen Union; eine Übermittlung in Drittländer findet nicht statt. Weitere Informationen: Datenschutzerklärung von Lettermint. Speicherung: 24 Monate nach letzter Interaktion, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

8.1 Spamschutz mit Cloudflare Turnstile

Zum Schutz unserer Formulare (Kontakt-, Anmelde-, Termin- und Bestellformulare sowie des PHP-Checks) vor Spam und automatisierten Zugriffen setzen wir Cloudflare Turnstile ein. Anbieter ist die Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Turnstile wird erst geladen, wenn Sie ein Formular nutzen, also zum Beispiel in ein Eingabefeld klicken. Wer unsere Seiten nur liest, baut keine Verbindung zu Cloudflare auf. Bei der Nutzung werden technische Daten an Cloudflare übermittelt, insbesondere Ihre IP-Adresse, Angaben zu Browser und Gerät (z. B. User-Agent, Spracheinstellung, Bildschirmeigenschaften) sowie Signale zur Interaktion mit der Seite. Daraus prüft Cloudflare, ob die Eingabe von einem Menschen stammt, und gibt uns nur das Ergebnis dieser Prüfung zurück. Turnstile setzt keine Cookies zu Werbe- oder Analysezwecken, und die Daten werden nicht für Werbung oder ein seitenübergreifendes Nutzungsprofil verwendet. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz unserer Website und Ihrer Anfragen vor Spam und Missbrauch (Art. 6 Abs. 1 lit. f DSGVO); der dafür nötige Zugriff auf Ihr Endgerät ist unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Übermittlung in die USA ist möglich; Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln (EU) 2021/914. Weitere Informationen: cloudflare.com/turnstile-privacy-policy

8.2 PHP-Check auf /php-soforthilfe

Auf unserer Seite /php-soforthilfe können Sie prüfen lassen, ob eine Website von der PHP-Sicherheitslücke PHP2Shell betroffen ist. Dazu verarbeiten wir die eingegebene Domain, Ihre Antworten im Formular (Hoster, System, Update-Stand) und das Ergebnis der Prüfung. Unser Server ruft dafür die Startseite der Domain einmal ab, so wie ein Browser. Ihre IP-Adresse speichern wir dabei nicht; zur Begrenzung von Missbrauch halten wir für zehn Minuten einen nicht umkehrbaren Hashwert der IP-Adresse vor. Domain, Antworten und Ergebnis speichern wir höchstens 90 Tage, um das Angebot auszuwerten und zu verbessern. Wir verwenden sie nicht, um Sie oder die Betreiber der Domain zu Werbezwecken anzusprechen. Bestellen Sie den kostenpflichtigen Sofortcheck, speichern wir zusätzlich Ihre Bestätigungen (Rolle, Backup, Einverständnis zum Abruf, Bedingungen) mit Zeitpunkt als Nachweis für die Durchführung des Auftrags. Rechtsgrundlage ist unser berechtigtes Interesse an der Bereitstellung und Absicherung des Checks (Art. 6 Abs. 1 lit. f DSGVO), bei einer Bestellung die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO).

8.3 Zahlungsabwicklung über Stripe

Für kostenpflichtige Leistungen wie den PHP2Shell-Sofortcheck wickeln wir die Zahlung über Stripe ab. Anbieter für Kunden im Europäischen Wirtschaftsraum ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Bei der Zahlung verarbeitet Stripe Ihre Zahlungsdaten (z. B. Karten- oder PayPal-Angaben), Name, E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls Telefonnummer und Umsatzsteuer-ID sowie die angegebene Domain und Rolle. Wählen Sie PayPal, werden die dafür nötigen Daten zusätzlich an die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22-24 Boulevard Royal, L-2449 Luxemburg übermittelt. Stripe übermittelt uns die Angaben, die wir für Auftrag und Rechnung brauchen; vollständige Kartendaten erhalten wir nicht. Rechtsgrundlage ist die Durchführung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie die Erfüllung gesetzlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO). Stripe kann Daten auch in den USA verarbeiten; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten Standardvertragsklauseln. Weitere Informationen: stripe.com/privacy

9. agentbit Web-App

Für Trial- und Vertragsaccounts verarbeiten wir Name, E-Mail, Firma sowie Nutzungs- und Konfigurationsdaten. Die Daten werden ausschließlich in Rechenzentren in Deutschland gespeichert.

9.1 KI-Verarbeitung

Pro Anfrage erkennen wir personenbezogene Daten (PII-Detection über unsere Komponente „Data Guard") und routen: Bei erkannter PII erfolgt die Verarbeitung lokal über ein Open-Source-Modell auf einem Server in Deutschland — kein Drittlandtransfer. Nicht-sensible Anfragen werden über Cloud-LLMs in der EU mit Pseudonymisierung verarbeitet (siehe Ziffer 10).

9.2 Connector-Verbindungen (Drittanbieter-Integrationen)

Wenn Sie in der Plattform einen externen Connector verbinden (z. B. Google Ads, ClickUp, Lexoffice), zeigen wir Ihnen vor dem Verbindungsaufbau einen Datenschutz-Hinweis nach Art. 13 DSGVO mit Sitz des Anbieters, übermittelten Datenkategorien, Rechtsgrundlage eines etwaigen Drittlandtransfers (DPF/SCC), Speicherdauer, Verweis auf dessen Sub-Processor-Liste und Hinweis auf Ihr Widerrufsrecht nach Art. 7 Abs. 3 DSGVO. Erst nach Ihrer aktiven Einwilligung wird die Verbindung aufgebaut; die Einwilligung wird mit Zeitstempel und Versions-ID protokolliert. Sie können die Verbindung jederzeit unter Einstellungen → Verbindungen widerrufen.

10. Auftragsverarbeiter / Sub-Auftragsverarbeiter

Wir setzen Auftragsverarbeiter aus folgenden Kategorien ein:

  • Cloud-Infrastruktur & Hosting (Rechenzentren in Deutschland)
  • KI-/Sprachmodell-Anbieter (EU-Datenresidenz)
  • E-Mail-Versand & technische Hilfsdienste (EU; bei US-Anbietern mit SCC + DPF)
  • Zahlungsdienstleister (EU)
  • Buchhaltungssoftware (EU)
  • Vom Kunden selbst verbundene Drittdienste (nur bei aktiver Verbindung)

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO. Die namentliche Liste der Auftragsverarbeiter stellen wir Kunden auf Anfrage bzw. im Rahmen des AVV bereit.

Bei US-Anbietern setzen wir kumulativ ein: Standardvertragsklauseln (EU) 2021/914, EU-US Data Privacy Framework der US-Mutter, EU-Region-Pinning, Customer-Managed Keys für ruhende Daten, PII-Pseudonymisierung vor jedem Cloud-LLM-Aufruf sowie Verschlüsselung in Transit (TLS 1.3) und at Rest (AES-256-GCM).

11. Speicherdauer

  • Server-Logfiles: 14 Tage
  • Kontaktformular: 24 Monate
  • Trial-Account: 90 Tage nach Trial-Ende
  • Kundendaten in der Plattform: gemäß AVV (i. d. R. Vertragslaufzeit + 30 Tage)
  • Buchhaltung: 10 Jahre (§ 147 AO)
  • Audit-Logs: 90 Tage live, 7 Jahre Archiv
  • Consent-Logs (Connector-Verbindungen): Vertragslaufzeit + 3 Jahre (Nachweispflicht Art. 7 DSGVO)

12. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO). Anfragen bitte an: datenschutz@elisabit.de

Beschwerderecht (Art. 77 DSGVO): Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Straße 22, 7. OG, 20459 Hamburg, https://datenschutz-hamburg.de

13. KI-Hinweis (Art. 50 EU AI Act)

agentbit setzt KI-Systeme (Large Language Models, Memory-Layer, autonome Agenten) ein. KI-Ausgaben sind in der Anwendung gekennzeichnet. Die KI-Systeme treffen keine autonomen Entscheidungen mit Rechtswirkung gegenüber einzelnen Personen (Art. 22 DSGVO); bei kritischen Entscheidungen ist eine menschliche Prüfung vorgesehen (Human-in-the-Loop).

14. Änderung dieser Datenschutzerklärung

Die jeweils aktuelle Fassung ist auf dieser Webseite verfügbar. Bestandskunden werden über wesentliche Änderungen aktiv informiert.