Datenschutzerklärung

1. Verantwortlicher

ZG Studio UG (haftungsbeschränkt)
Rohmen 37
52525 Heinsberg
E-Mail: info@baulyo.com

Für die personenbezogenen Daten der Endkunden Ihres Handwerks- bzw. Maschinenbaubetriebs (z.B. Namen und Anschriften auf Angeboten und Rechnungen) sind Sie als Betrieb Verantwortlicher im Sinne der DSGVO, die ZG Studio UG ist insoweit Auftragsverarbeiter (Art. 28 DSGVO). Die Einzelheiten regelt der zwischen Ihnen und der ZG Studio UG abgeschlossene Auftragsverarbeitungsvertrag (AVV).

2. Erhebung und Speicherung personenbezogener Daten

Beim Besuch unserer Website werden automatisch Informationen allgemeiner Natur erfasst (Server-Logfiles). Diese Informationen beinhalten die Art des Webbrowsers, das verwendete Betriebssystem, den Domainnamen Ihres Internet-Service-Providers, Ihre IP-Adresse und ähnliches. Diese Server-Logs werden nach 7 Tagen automatisch gelöscht. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

3. Registrierung und Nutzerkonto

Bei der Registrierung für unser Produkt erheben wir folgende Daten:

• E-Mail-Adresse (für Login via Magic Link)
• Firmendaten (Firmenname, Adresse, Kontaktdaten, Steuernummer) — sofern vom Nutzer hinterlegt
• Preislisten und Angebotsdaten
• Chat-Nachrichten mit dem KI-Assistenten
• Im Chat hochgeladene Fotos und Dokumente (z.B. Baustellenfotos, Belege)

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4. Nutzung von KI-Diensten (Anthropic Claude über Amazon Bedrock)

Wir nutzen das KI-Modell Claude von Anthropic zur KI-gestützten Erstellung von Angeboten und Rechnungen sowie zur Beantwortung Ihrer Anfragen im Chat. Das Modell wird dabei nicht direkt über Anthropic, sondern über Amazon Bedrock betrieben, bereitgestellt durch Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, in der Region eu-central-1 (Frankfurt am Main). Ihre Anfragetexte, die Kundendaten aus dem jeweiligen Beleg, Ihre Preislisten sowie hochgeladene Fotos und Dokumente werden zur Bearbeitung an das Modell übermittelt und dort ausschließlich innerhalb der EU verarbeitet. Ein Drittlandtransfer der Inhalte in die USA findet nicht statt.

Die Verarbeitung erfolgt ausschließlich zur Erfüllung Ihrer jeweiligen Anfrage. Die Daten werden nicht zum Training von KI-Modellen verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) bzw., soweit Kundendaten Ihres Betriebs betroffen sind, Art. 28 DSGVO (die ZG Studio UG handelt insoweit als Auftragsverarbeiter für Ihren Betrieb).

4a. Spracherkennung (Audio-Transkription)

Sprachnachrichten im Chat werden von Mistral AI (Voxtral) in Frankreich transkribiert. Mistral ist ein europäischer KI-Anbieter, der seine Modelle ausschließlich auf EU-Infrastruktur betreibt. Audio-Daten verlassen die EU nicht. Mistral trainiert keine Modelle auf Kundendaten (gemäß Mistral DPA). Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO.

4b. Bot-Schutz beim Login (Cloudflare Turnstile)

Zum Schutz vor automatisierten Zugriffen (Bots) beim Login setzen wir Cloudflare Turnstile ein, ein Dienst der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Dabei wird ein Skript von challenges.cloudflare.com geladen; Cloudflare verarbeitet in diesem Zusammenhang unter anderem Ihre IP-Adresse und Browserdaten. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Abwehr von Missbrauch). Für die Datenübermittlung in die USA bestehen EU-Standardvertragsklauseln sowie eine Zertifizierung nach dem EU-US Data Privacy Framework.

5. WhatsApp / Meta Business Integration

Eine WhatsApp-Business-Anbindung ist vorbereitet, aber derzeit nicht aktiviert. Sollte sie aktiviert werden, informieren wir vorab an dieser Stelle.

6. E-Mail-Versand

Wir versenden E-Mails (z.B. Angebote, Rechnungen, Benachrichtigungen) standardmäßig über den SMTP-Dienst der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland. Dabei werden folgende Daten verarbeitet:

• E-Mail-Adressen der Empfänger
• Namen der Empfänger (sofern angegeben)
• Dokumenteninhalte (Angebote, Rechnungen als PDF-Anhang)

Nutzer können optional eigene SMTP-Zugangsdaten (z.B. ihres eigenen E-Mail-Anbieters) hinterlegen. Diese werden verschlüsselt (AES-256-GCM) gespeichert; in diesem Fall versendet der eigene Mailanbieter des Nutzers die E-Mails anstelle von IONOS.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

7. Auftragsverarbeitung (AVV)

Für die unter Abschnitt 4 beschriebene KI-gestützte Datenverarbeitung über Amazon Bedrock gilt das AWS Data Processing Addendum von Amazon Web Services EMEA SARL gemäß Art. 28 DSGVO. Mit den weiteren in Abschnitt 8 genannten Dienstleistern bestehen entsprechende Auftragsverarbeitungsverträge.

8. Hosting und Datenspeicherung

Unsere Website wird auf Servern der Hetzner Online GmbH in Falkenstein, Deutschland gehostet. Die Datenbank, Authentifizierung und der Datei-Speicher werden über Supabase Inc. bereitgestellt und in der Region Frankfurt (EU) gespeichert. Ein Auftragsverarbeitungsvertrag (AVV) liegt jeweils vor.

Datensicherung: Zum Schutz vor Datenverlust erstellen wir stündlich eine Sicherung der Datenbank, der hochgeladenen Dateien (z. B. Fotos) und der erzeugten PDF-Dokumente. Die Sicherungen werden mit AES-256 verschlüsselt, über eine verschlüsselte Verbindung (SFTP) übertragen und in einem Rechenzentrum der Hetzner Online GmbH in Deutschland gespeichert. Sie dienen ausschließlich der Wiederherstellung nach einem Ausfall oder Datenverlust und werden nicht anderweitig ausgewertet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verfügbarkeit und Integrität des Dienstes) in Verbindung mit Art. 32 DSGVO; für Daten, die wir in Ihrem Auftrag verarbeiten, der Auftragsverarbeitungsvertrag. Zur Aufbewahrungsdauer siehe Abschnitt 10.

Übersicht der Auftragsverarbeiter (Stand: September 2026):

9. Cookies

Wir verwenden ausschließlich technisch notwendige Cookies für die Authentifizierung (Supabase-Auth-Session-Cookie). Es werden keine Tracking- oder Analyse-Cookies eingesetzt. Marketing-Cookies werden nicht verwendet. Für diese technisch notwendigen Cookies ist gemäß § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich.

10. Speicherdauer je Datenkategorie

• Festgeschriebene Rechnungen und Angebote mit Belegcharakter: 8 Jahre nach Ende des Kalenderjahres der Ausstellung (§ 147 Abs. 3 AO, § 257 HGB) — auch nach Löschung des Nutzerkontos (Art. 17 Abs. 3 lit. b DSGVO)
• Profil-, Kunden- und Entwurfsdaten, Chat-Verläufe und Fotos: bis zur Löschung durch den Nutzer bzw. bis zur Kontolöschung
• Fehlerprotokolle (technische Fehlermeldungen, Browser-Typ, Seite): 90 Tage
• Nutzungsdaten der KI (Token-Zähler, keine Inhalte): 12 Monate
• Server-Logs (IP-Adresse): 7 Tage
• Datensicherungen (Backups): rollierend, stündliche Stände 48 Stunden, tägliche 30 Tage, wöchentliche 8 Wochen und monatliche 6 Monate; danach werden sie automatisch gelöscht. In Sicherungen enthaltene Daten bleiben damit höchstens etwa 6 Monate über ihre Löschung im Dienst hinaus gespeichert.

11. Fehlerprotokollierung

Zur Sicherstellung der Stabilität unseres Dienstes protokollieren wir technische Fehlermeldungen aus Ihrem Browser (z.B. Fehlertyp, betroffene Seite, Browser-Version). Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem funktionierenden Dienst). Die Protokolle werden nach 90 Tagen gelöscht.

12. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Vorschläge des KI-Assistenten (z.B. für Angebote oder Rechnungen) werden immer von Ihnen als Nutzer geprüft und erst durch Ihre aktive Freigabe wirksam (Human-in-the-loop).

Hinweis nach Art. 50 KI-Verordnung: Im Chat interagieren Sie mit einem KI-System. Dies ist im Chat entsprechend gekennzeichnet.

13. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: info@baulyo.com

14. Datenlöschung

Bei Löschung Ihres Nutzerkontos werden Profildaten, Kundendaten, Entwürfe, Chat-Verläufe, Fotos sowie hinterlegte E-Mail-Zugangsdaten sofort gelöscht bzw. anonymisiert. Festgeschriebene Rechnungen bleiben aufgrund der gesetzlichen Aufbewahrungspflicht (siehe Abschnitt 10) 8 Jahre gesperrt gespeichert und werden danach gelöscht.

In unseren verschlüsselten Datensicherungen (siehe Abschnitt 8) sind gelöschte Daten technisch bedingt noch bis zu etwa 6 Monate enthalten und werden danach mit dem regulären Ablauf automatisch entfernt. Einzelne Datensätze lassen sich aus diesen Sicherungen nicht gezielt löschen; sie werden bis dahin ausschließlich für die Wiederherstellung vorgehalten. Muss eine Sicherung eingespielt werden, löschen wir bereits gelöschte Daten dabei erneut.

15. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde für den Sitz der ZG Studio UG (Nordrhein-Westfalen) ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf.