Datenschutzerklärung

1. Einleitung

Wir freuen uns über Ihr Interesse an der ElisaBit UG (haftungsbeschränkt) und unserer KI-gestützten SaaS-Plattform agentbit. Datenschutz hat für uns höchste Priorität. Die Verarbeitung personenbezogener Daten erfolgt stets im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) und der KI-Verordnung der EU (Verordnung (EU) 2024/1689, „EU AI Act").

2. Verantwortlicher

ElisaBit UG (haftungsbeschränkt)
Fuchsversteck 15
22457 Hamburg, Deutschland

E-Mail: hey@elisabit.de
Datenschutz: datenschutz@elisabit.de
Geschäftsführer: Stefan Mahendiran
Handelsregister: HRB 197025, Amtsgericht Hamburg
USt-IdNr.: DE460362093

3. Externer Datenschutzbeauftragter

Herr Jan Hansen, Gervinusstraße 46, 64287 Darmstadt
E-Mail: datenschutz@elisabit.de (intern weitergeleitet)

4. Hosting

Diese Internetseiten und die agentbit Web-App werden bei einem Anbieter für Cloud-Infrastruktur mit Rechenzentren in Deutschland gehostet — keine Drittland-Übermittlung im Hosting-Stack. Mit dem Hosting-Anbieter besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

5. Server-Logfiles

Beim Aufruf erfassen wir technisch notwendige Verbindungsdaten: IP-Adresse (gekürzt nach 7 Tagen), Browser-Typ und -Version, Betriebssystem, Referrer sowie Datum und Uhrzeit. Löschung nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Cookies und Consent

Wir verwenden Cookies. Vor dem Erstaufruf erscheint ein TTDSG-konformes Consent-Banner mit dem Default-Setting „alle nicht-notwendigen abgelehnt". Ihre Auswahl können Sie jederzeit über den Footer-Link „Cookie-Einstellungen" ändern oder widerrufen. Rechtsgrundlage: § 25 Abs. 1 TTDSG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

7. Google Analytics 4

Auf dieser Website setzen wir Google Analytics 4 (Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) ein — ausschließlich nach Ihrer Einwilligung über das Consent-Banner (Kategorie „Analyse"). Ohne Einwilligung wird keine Verbindung zu Google-Servern aufgebaut und kein Analyse-Skript geladen. Wir nutzen den Google Consent Mode v2; Google Analytics 4 protokolliert und speichert keine IP-Adressen. Für etwaige Übermittlungen an die US-Mutter Google LLC bestehen Standardvertragsklauseln (EU) 2021/914 sowie eine Zertifizierung nach dem EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über „Cookie-Einstellungen" im Footer.

8. Kontaktformular und E-Mail

Eingaben aus dem Kontaktformular gehen über einen E-Mail-Versand-Dienstleister zu unserem Postfach. Erfolgt die Verarbeitung durch einen Anbieter mit US-Bezug, geschieht dies auf Grundlage von Standardvertragsklauseln 2021/914 (SCC) und dem EU-US Data Privacy Framework (DPF). Speicherung: 24 Monate nach letzter Interaktion.

9. agentbit Web-App

Für Trial- und Vertragsaccounts verarbeiten wir Name, E-Mail, Firma sowie Nutzungs- und Konfigurationsdaten. Die Daten werden ausschließlich in Rechenzentren in Deutschland gespeichert.

9.1 KI-Verarbeitung

Pro Anfrage erkennen wir personenbezogene Daten (PII-Detection über unsere Komponente „Data Guard") und routen: Bei erkannter PII erfolgt die Verarbeitung lokal über ein Open-Source-Modell auf einem Server in Deutschland — kein Drittlandtransfer. Nicht-sensible Anfragen werden über Cloud-LLMs in der EU mit Pseudonymisierung verarbeitet (siehe Ziffer 10).

9.2 Connector-Verbindungen (Drittanbieter-Integrationen)

Wenn Sie in der Plattform einen externen Connector verbinden (z. B. Google Ads, ClickUp, Lexoffice), zeigen wir Ihnen vor dem Verbindungsaufbau einen Datenschutz-Hinweis nach Art. 13 DSGVO mit Sitz des Anbieters, übermittelten Datenkategorien, Rechtsgrundlage eines etwaigen Drittlandtransfers (DPF/SCC), Speicherdauer, Verweis auf dessen Sub-Processor-Liste und Hinweis auf Ihr Widerrufsrecht nach Art. 7 Abs. 3 DSGVO. Erst nach Ihrer aktiven Einwilligung wird die Verbindung aufgebaut; die Einwilligung wird mit Zeitstempel und Versions-ID protokolliert. Sie können die Verbindung jederzeit unter Einstellungen → Verbindungen widerrufen.

10. Auftragsverarbeiter / Sub-Auftragsverarbeiter

Wir setzen Auftragsverarbeiter aus folgenden Kategorien ein:

• Cloud-Infrastruktur & Hosting (Rechenzentren in Deutschland)
• KI-/Sprachmodell-Anbieter (EU-Datenresidenz)
• E-Mail-Versand & technische Hilfsdienste (EU; bei US-Anbietern mit SCC + DPF)
• Zahlungsdienstleister (EU)
• Buchhaltungssoftware (EU)
• Vom Kunden selbst verbundene Drittdienste (nur bei aktiver Verbindung)

Mit allen Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO. Die namentliche Liste der Auftragsverarbeiter stellen wir Kunden auf Anfrage bzw. im Rahmen des AVV bereit.

Bei US-Anbietern setzen wir kumulativ ein: Standardvertragsklauseln (EU) 2021/914, EU-US Data Privacy Framework der US-Mutter, EU-Region-Pinning, Customer-Managed Keys für ruhende Daten, PII-Pseudonymisierung vor jedem Cloud-LLM-Aufruf sowie Verschlüsselung in Transit (TLS 1.3) und at Rest (AES-256-GCM).

11. Speicherdauer

• Server-Logfiles: 14 Tage
• Kontaktformular: 24 Monate
• Trial-Account: 90 Tage nach Trial-Ende
• Kundendaten in der Plattform: gemäß AVV (i. d. R. Vertragslaufzeit + 30 Tage)
• Buchhaltung: 10 Jahre (§ 147 AO)
• Audit-Logs: 90 Tage live, 7 Jahre Archiv
• Consent-Logs (Connector-Verbindungen): Vertragslaufzeit + 3 Jahre (Nachweispflicht Art. 7 DSGVO)

12. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO). Anfragen bitte an: datenschutz@elisabit.de

Beschwerderecht (Art. 77 DSGVO): Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Straße 22, 7. OG, 20459 Hamburg, https://datenschutz-hamburg.de

13. KI-Hinweis (Art. 50 EU AI Act)

agentbit setzt KI-Systeme (Large Language Models, Memory-Layer, autonome Agenten) ein. KI-Ausgaben sind in der Anwendung gekennzeichnet. Die KI-Systeme treffen keine autonomen Entscheidungen mit Rechtswirkung gegenüber einzelnen Personen (Art. 22 DSGVO); bei kritischen Entscheidungen ist eine menschliche Prüfung vorgesehen (Human-in-the-Loop).

14. Änderung dieser Datenschutzerklärung

Die jeweils aktuelle Fassung ist auf dieser Webseite verfügbar. Bestandskunden werden über wesentliche Änderungen aktiv informiert.