Datenschutzerklärung

1. Einleitung

Wir freuen uns über Ihr Interesse an der ElisaBit UG (haftungsbeschränkt) und unserer KI-gestützten SaaS-Plattform agentbit. Datenschutz hat für uns höchste Priorität. Die Verarbeitung personenbezogener Daten erfolgt stets im Einklang mit der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) und der KI-Verordnung der EU (Verordnung (EU) 2024/1689, „EU AI Act").

2. Verantwortlicher

ElisaBit UG (haftungsbeschränkt)
Fuchsversteck 15
22457 Hamburg, Deutschland

E-Mail: hey@elisabit.de
Datenschutz: datenschutz@elisabit.de
Geschäftsführer: Stefan Mahendiran
Handelsregister: HRB 197025, Amtsgericht Hamburg
USt-IdNr.: DE460362093

3. Externer Datenschutzbeauftragter

Herr Jan Hansen, Gervinusstraße 46, 64287 Darmstadt
E-Mail: datenschutz@elisabit.de (intern weitergeleitet)

4. Hosting

Diese Internetseiten und die agentbit Web-App werden gehostet bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Rechenzentrum: Falkenstein/Nürnberg, Deutschland — keine Drittland-Übermittlung im Hosting-Stack. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

5. Server-Logfiles

Beim Aufruf erfassen wir technisch notwendige Verbindungsdaten: IP-Adresse (gekürzt nach 7 Tagen), Browser-Typ und -Version, Betriebssystem, Referrer sowie Datum und Uhrzeit. Löschung nach 14 Tagen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6. Cookies und Consent

Wir verwenden Cookies. Vor dem Erstaufruf erscheint ein TTDSG-konformes Consent-Banner mit dem Default-Setting „alle nicht-notwendigen abgelehnt". Ihre Auswahl können Sie jederzeit über den Footer-Link „Cookie-Einstellungen" ändern oder widerrufen. Rechtsgrundlage: § 25 Abs. 1 TTDSG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

7. Google Analytics 4

Auf dieser Website setzen wir Google Analytics 4 (Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland) ein — ausschließlich nach Ihrer Einwilligung über das Consent-Banner (Kategorie „Analyse"). Ohne Einwilligung wird keine Verbindung zu Google-Servern aufgebaut und kein Analyse-Skript geladen. Wir nutzen den Google Consent Mode v2; Google Analytics 4 protokolliert und speichert keine IP-Adressen. Für etwaige Übermittlungen an die US-Mutter Google LLC bestehen Standardvertragsklauseln (EU) 2021/914 sowie eine Zertifizierung nach dem EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO; Widerruf jederzeit über „Cookie-Einstellungen" im Footer.

8. Kontaktformular und E-Mail

Eingaben aus dem Kontaktformular gehen über unseren E-Mail-Versand-Dienstleister Resend Inc. (USA) zu unserem Postfach. Resend verarbeitet auf Grundlage von Standardvertragsklauseln 2021/914 (SCC) und dem EU-US Data Privacy Framework (DPF). Speicherung: 24 Monate nach letzter Interaktion.

9. agentbit Web-App

Für Trial- und Vertragsaccounts verarbeiten wir Name, E-Mail, Firma sowie Nutzungs- und Konfigurationsdaten. Die Daten werden ausschließlich bei Hetzner in Deutschland gespeichert.

9.1 KI-Verarbeitung

Pro Anfrage erkennen wir personenbezogene Daten (PII-Detection über unsere Komponente „Data Guard") und routen: Bei erkannter PII erfolgt die Verarbeitung lokal über ein Open-Source-Modell auf unserem Hetzner-Server in Deutschland — kein Drittlandtransfer. Nicht-sensible Anfragen werden über Cloud-LLMs in der EU mit Pseudonymisierung verarbeitet (siehe Ziffer 10).

9.2 Connector-Verbindungen (Drittanbieter-Integrationen)

Wenn Sie in der Plattform einen externen Connector verbinden (z. B. Google Ads, ClickUp, Lexoffice), zeigen wir Ihnen vor dem Verbindungsaufbau einen Datenschutz-Hinweis nach Art. 13 DSGVO mit Sitz des Anbieters, übermittelten Datenkategorien, Rechtsgrundlage eines etwaigen Drittlandtransfers (DPF/SCC), Speicherdauer, Verweis auf dessen Sub-Processor-Liste und Hinweis auf Ihr Widerrufsrecht nach Art. 7 Abs. 3 DSGVO. Erst nach Ihrer aktiven Einwilligung wird die Verbindung aufgebaut; die Einwilligung wird mit Zeitstempel und Versions-ID protokolliert. Sie können die Verbindung jederzeit unter Einstellungen → Verbindungen widerrufen.

10. Auftragsverarbeiter / Sub-Auftragsverarbeiter

Aktuelle Sub-Prozessoren (Stand 29.05.2026):

Hetzner Online GmbH (Server-Hosting, lokale GPU-LLMs, Datenbank) — Falkenstein/Nürnberg, DE
Microsoft Ireland Operations Ltd. (Azure OpenAI, Region Sweden Central) — US-Mutter DPF-zertifiziert, EU Data Boundary, Customer-Managed Keys, Customer Lockbox
Amazon Web Services EMEA SARL (AWS Bedrock, Region eu-central-1 Frankfurt) — DPF, EU-Region-Pinning, KMS BYOK
Google Ireland Ltd. (Vertex AI / Gemini, europe-west4) — DPF, Cloud KMS CMEK, EU-Region
Resend Inc. (USA) — E-Mail-Versand — DPF + SCC
Qonto (FR/DE) — Bank, BaFin-reguliert — kein Drittland
Haufe-Lexware GmbH (DE) — Buchhaltung — kein Drittland
Herr Jan Hansen (DE) — externer Datenschutzbeauftragter nach Art. 37 DSGVO

Bei US-Anbietern setzen wir kumulativ ein: Standardvertragsklauseln (EU) 2021/914, EU-US Data Privacy Framework der US-Mutter, EU-Region-Pinning, Customer-Managed Keys für ruhende Daten, PII-Pseudonymisierung vor jedem Cloud-LLM-Aufruf sowie Verschlüsselung in Transit (TLS 1.3) und at Rest (AES-256-GCM).

11. Speicherdauer

Server-Logfiles: 14 Tage
Kontaktformular: 24 Monate
Trial-Account: 90 Tage nach Trial-Ende
Kundendaten in der Plattform: gemäß AVV (i. d. R. Vertragslaufzeit + 30 Tage)
Buchhaltung: 10 Jahre (§ 147 AO)
Audit-Logs: 90 Tage live, 7 Jahre Archiv
Consent-Logs (Connector-Verbindungen): Vertragslaufzeit + 3 Jahre (Nachweispflicht Art. 7 DSGVO)

12. Ihre Rechte

Sie haben jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO). Anfragen bitte an: datenschutz@elisabit.de

Beschwerderecht (Art. 77 DSGVO): Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Straße 22, 7. OG, 20459 Hamburg, https://datenschutz-hamburg.de

13. KI-Hinweis (Art. 50 EU AI Act)

agentbit setzt KI-Systeme (Large Language Models, Memory-Layer, autonome Agenten) ein. KI-Ausgaben sind in der Anwendung gekennzeichnet. Die KI-Systeme treffen keine autonomen Entscheidungen mit Rechtswirkung gegenüber einzelnen Personen (Art. 22 DSGVO); bei kritischen Entscheidungen ist eine menschliche Prüfung vorgesehen (Human-in-the-Loop).

14. Änderung dieser Datenschutzerklärung

Die jeweils aktuelle Fassung ist auf dieser Webseite verfügbar. Bestandskunden werden über wesentliche Änderungen aktiv informiert.