Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten nach Art. 13 und 14 DSGVO · Stand: Juni 2026

1. Verantwortlicher und Kontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Tom Göckeritz
Attomic (Einzelunternehmer)
Kaulsdorfer Str. 8a, 12621 Berlin, Deutschland
E-Mail: info@meinkumpel.com

2. Datenschutzbeauftragter

Wir sind gesetzlich nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet und haben derzeit keinen Datenschutzbeauftragten benannt. Für alle Anliegen rund um den Datenschutz wenden Sie sich bitte an den oben genannten Verantwortlichen unter info@meinkumpel.com.

3. Allgemeines zu Rechtsgrundlagen und Begriffen

Wir verarbeiten personenbezogene Daten auf Grundlage der folgenden Vorschriften, soweit im Folgenden nicht jeweils etwas anderes angegeben ist:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung;
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen;
• Art. 6 Abs. 1 lit. c DSGVO – Erfüllung einer rechtlichen Verpflichtung;
• Art. 6 Abs. 1 lit. f DSGVO – Wahrung berechtigter Interessen;
• Art. 9 Abs. 2 lit. a DSGVO – ausdrückliche Einwilligung bei besonderen Datenkategorien (z. B. Gesundheitsdaten).

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. „Verarbeitung“ ist jeder Vorgang im Zusammenhang mit solchen Daten (z. B. Erheben, Speichern, Nutzen, Übermitteln, Löschen).

4. Ihre Rechte als betroffene Person

Sie haben uns gegenüber folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO).

Haben Sie in eine Verarbeitung eingewilligt, können Sie diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht: Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen.

Beschwerderecht: Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist die

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
www.datenschutz-berlin.de

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@meinkumpel.com.

5. Hosting und Server-Logfiles

Wir hosten unsere Dienste auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland; Rechenzentrumsstandort Frankfurt am Main (EU). Beim Aufruf unserer Seiten werden technisch notwendige Zugriffsdaten (Server-Logfiles) verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, übertragene Datenmenge, Referrer, Browsertyp und Betriebssystem. Diese Verarbeitung dient dem sicheren und stabilen Betrieb sowie der Abwehr von Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betriebssicherheit). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

6. Cookies und Einwilligungsverwaltung

Unsere öffentliche Website setzt grundsätzlich nur technisch notwendige Cookies und vergleichbare Technologien ein, die für den Betrieb erforderlich sind (z. B. Session- und Login-Cookies wie das Sitzungs-Cookie kumpel_session). Diese sind nach § 25 Abs. 2 TDDDG einwilligungsfrei zulässig.

Speicher- oder Auslesevorgänge, die nicht unbedingt erforderlich sind (z. B. Analyse- oder Marketing-Technologien oder die Einbindung von Drittinhalten), setzen wir nur nach Ihrer vorherigen, aktiven Einwilligung nach § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO ein. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

7. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Formular kontaktieren, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail-Adresse, Inhalt der Anfrage) zur Bearbeitung Ihres Anliegens und für etwaige Anschlussfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich/vertraglich) bzw. lit. f DSGVO (berechtigtes Interesse an der Bearbeitung von Anfragen).

8. Nutzerkonto und Login (Magic-Link / Einladung)

Der Zugang zur Plattform ist einladungsbasiert. Im Rahmen des Onboardings und der Kontoführung verarbeiten wir insbesondere: Firmenname, Anrede, Vor- und Nachname der Ansprechperson, E-Mail-Adresse, Telefonnummer, Anschrift sowie Branche. Die Anmeldung erfolgt über einen einmaligen Anmeldelink („Magic-Link“); zur Aufrechterhaltung der Sitzung wird ein sicheres Cookie gesetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsverhältnisses).

9. Telefonnummern-Verifizierung (SMS-OTP)

Zur Bestätigung der angegebenen Telefonnummer versenden wir während des Onboardings einen einmaligen, zeitlich befristeten Bestätigungscode per SMS. Verarbeitet werden die Telefonnummer sowie Metadaten des Versands (Zeitpunkt, Zustellstatus, Anzahl der Versuche). Für den SMS-Versand setzen wir einen Dienstleister ein (siehe Abschnitt 17).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie lit. f DSGVO (berechtigtes Interesse an Missbrauchs- und Betrugsprävention).

10. Sprach-Sitzungen (Aufnahme, Transkription, Verarbeitung)

Kern der Plattform ist ein Sprachassistent. Während einer Sprach-Sitzung verarbeiten wir das übertragene Audio, die daraus erzeugte Transkription sowie die Gesprächsinhalte, um Ihre Anfragen zu verstehen und Aufgaben auszuführen. Zur Bereitstellung der Sprachfunktion werden Inhalte an KI-Dienstleister übermittelt (siehe Abschnitte 15 und 17). Konversationsverläufe werden in einem selbst betriebenen Speicher (EU) zur Kontextführung und zum Langzeitgedächtnis des Assistenten abgelegt, soweit dies für die Funktion erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vertraglich vereinbarten Assistenzleistung). Beim Onboarding wird zusätzlich ein Sprach-Transkript erstellt, um den Assistenten einzurichten.

11. Telefonie (eingehende Anrufe)

Soweit die Telefonie-Funktion aktiviert ist, kann der Assistent eingehende Telefonanrufe entgegennehmen. Dabei verarbeiten wir Rufnummer, Anrufzeitpunkt, Gesprächsaudio sowie dessen Transkription, um den Anruf zu bearbeiten. Die technische Anbindung erfolgt über einen Telefonie-Dienstleister (siehe Abschnitt 17). Anrufer werden zu Beginn des Gesprächs darüber informiert, dass sie mit einem KI-System sprechen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. – gegenüber Anrufern, die nicht Vertragspartner sind – die Verarbeitung im Auftrag des jeweiligen Geschäftskunden (Abschnitt 16).

12. Push-Benachrichtigungen

Für die Begleit-App und kompatible Geräte versenden wir Push-Benachrichtigungen (z. B. Aufgaben-Ergebnisse, Anruf-Signalisierung). Hierzu verarbeiten wir Geräte-Push-Tokens sowie den Inhalt der Benachrichtigung. Die Zustellung erfolgt über Push-Dienste der Gerätehersteller (Firebase Cloud Messaging von Google, bei Apple-Geräten Apple Push Notification service).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Funktion der App) bzw. lit. a DSGVO, soweit eine Geräte-Einwilligung erforderlich ist.

13. E-Mail-Versand

System- und Funktions-E-Mails (z. B. Anmeldelinks, Benachrichtigungen) sowie E-Mails, die der Assistent in Ihrem Auftrag versendet, laufen über unseren selbst betriebenen Mailserver (Mailcow) in der EU. Verarbeitet werden Absender-/Empfängeradresse, Betreff und Inhalt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

14. Verbindung mit Google-Diensten (Google OAuth: Kalender, Aufgaben, Kontakte)

Account-Inhaber können MeinKumpel freiwillig mit ihrem Google-Konto verbinden, damit der Assistent Termine, Aufgaben und Kontakte aus den Google-Diensten lesen kann. Die Verbindung erfolgt über das offizielle Google-OAuth-2.0-Verfahren; sie ist jederzeit widerrufbar und für die Nutzung der Plattform nicht erforderlich. Der folgende Abschnitt beschreibt transparent, welche Google-Nutzerdaten wir dabei abrufen, wofür wir sie verwenden, an wen sie ggf. übermittelt werden, wie wir sie schützen und wie Sie den Zugriff widerrufen und die Löschung verlangen können.

a) Welche Google-Nutzerdaten wir abrufen (Data Accessed)

Beim Verbinden fragen wir ausschließlich Lesezugriff (read-only) ab. Wir erbitten, besitzen und nutzen keinerlei Schreib-, Änderungs- oder Löschberechtigungen für Ihre Google-Daten:

• Google Kalender (https://www.googleapis.com/auth/calendar.readonly): Termine des Nutzers – insbesondere Titel/Bezeichnung, Start- und Endzeit sowie Ort, soweit Google diese über den Scope bereitstellt. Für die Funktion „belegte Zeiten" (z. B. bei eingehenden Telefonanrufen) rufen wir über die Google-Frei/Belegt-Schnittstelle ausschließlich die belegten Zeitblöcke (Anfang und Ende) ohne jeglichen Termininhalt ab.
• Google Tasks / Aufgaben (https://www.googleapis.com/auth/tasks.readonly): offene Aufgaben der Standard-Aufgabenliste – Titel, Fälligkeitsdatum und Notiz.
• Google Kontakte (https://www.googleapis.com/auth/contacts.readonly): nur auf eine konkrete Suchanfrage des Nutzers hin Name, E-Mail-Adresse, Telefonnummer und Organisation der Treffer.
• Konto-Kennung (openid, email): die E-Mail-Adresse des verbundenen Google-Kontos – ausschließlich zur Anzeige, welches Konto verbunden ist.

b) Wofür wir diese Daten verwenden (Data Usage)

Der Lesezugriff dient ausschließlich dazu, dem jeweiligen angemeldeten Nutzer persönliche Assistenzfunktionen innerhalb von MeinKumpel bereitzustellen:

• Anzeige bzw. Vorlesen der anstehenden Termine („Was steht heute / in den nächsten Tagen an?");
• Tages-, Morgen- und Abendüberblicke (Briefings);
• Planung von Aufgaben und Terminvorschlägen rund um bereits belegte Zeiten und damit Vermeidung von Terminüberschneidungen;
• Beauskunftung offener Aufgaben;
• Nachschlagen von Kontaktdaten auf ausdrückliche Anfrage des Nutzers.

Die Google-Daten werden nur im Auftrag und zum unmittelbaren Nutzen des verbundenen Nutzers selbst verarbeitet. Eine Nutzung für Werbung, für die Erstellung von Nutzer-/Verhaltensprofilen, für einen Verkauf der Daten oder zum Training von KI-Modellen findet nicht statt.

c) Weitergabe (Data Sharing)

Wir geben Google-Nutzerdaten nicht an Werbenetzwerke, Datenhändler oder unbeteiligte Dritte weiter und verkaufen sie nicht. Eine Übermittlung erfolgt allein an die zur Erbringung der jeweiligen Funktion eingesetzten technischen Dienstleister (Auftragsverarbeiter), und auch dort nur, soweit es für die konkret vom Nutzer angeforderte Assistenzleistung erforderlich ist:

• Hosting-/Infrastruktur (selbst betriebene EU-Server, siehe Abschnitte 5 und 17);
• KI-/Sprachmodell-Verarbeitung: Stellt der Nutzer eine Anfrage, zu deren Beantwortung der Assistent Kalender-, Aufgaben- oder Kontaktinhalte heranzieht, werden die hierfür benötigten Inhalte flüchtig an die in Abschnitt 17 genannten KI-Dienstleister übermittelt – ausschließlich, um die jeweilige Antwort zu erzeugen. Eine Nutzung dieser Inhalte zum Training der Modelle ist vertraglich ausgeschlossen bzw. deaktiviert.

Eine Weitergabe an Dritte zu deren eigenen Zwecken findet nicht statt.

d) Speicherung und Schutz (Data Storage & Protection)

• Die gesamte Übertragung erfolgt verschlüsselt über HTTPS/TLS.
• Der von Google ausgestellte Zugriffs-/Refresh-Token wird verschlüsselt (Fernet) und serverseitig in der EU gespeichert; er gelangt niemals im Klartext an den Browser und niemals in KI-Prompts.
• Kalender-, Aufgaben- und Kontaktinhalte werden nicht dauerhaft gespeichert oder zwischengespeichert, sondern bei jeder Anfrage frisch von Google geladen und nur flüchtig zur Beantwortung verarbeitet.
• Strikte Mandantentrennung: Jeder Account-Inhaber hat einen isolierten Arbeitsbereich; ein Zugriff über Account-Grenzen hinweg ist technisch ausgeschlossen.
• Zugriff nur durch autorisierte Systeme und Prozesse mit gesicherter Authentifizierung; serverseitige Zugriffs- und Schutzbeschränkungen.

e) Speicherdauer, Widerruf und Löschung (Data Retention & Deletion)

Google-Inhalte (Termine, Aufgaben, Kontakte) werden – wie oben beschrieben – nur für die Dauer der jeweiligen Anfrage verarbeitet und darüber hinaus nicht vorgehalten. Dauerhaft gespeichert bleibt allein der verschlüsselte Zugriffs-Token, und zwar nur so lange, wie die Google-Verbindung besteht. Sie können die Verbindung jederzeit widerrufen:

• über die Funktion „Google-Verbindung trennen" im MeinKumpel-Dashboard – dabei wird der Token bei Google widerrufen und serverseitig samt der zugehörigen Lese-Funktionen gelöscht; und/oder
• in Ihrem Google-Konto unter „Sicherheit → Drittanbieter-Apps mit Kontozugriff"; und/oder
• per formloser E-Mail an tom@attomic.de bzw. info@meinkumpel.com mit der Bitte um Trennung der Verbindung und Löschung der gespeicherten Token und etwaiger personenbezogener Daten.

Nach dem Widerruf ist kein weiterer Zugriff auf Ihre Google-Daten möglich.

f) Google API Services User Data Policy / Limited Use

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das aktive Verbinden des Google-Kontos im Google-Einwilligungsdialog) sowie Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vom Nutzer gewünschten Assistenzfunktion). Den Widerruf regelt Buchstabe e.

15. Einsatz von KI-Systemen / Transparenzhinweis

MeinKumpel ist ein KI-gestützter Assistent. Zur Sprach-, Text- und Dokumentenverarbeitung setzen wir große Sprachmodelle (Large Language Models) sowie Sprachsynthese ein. Dabei werden – je nach Funktion – Audio, Transkripte, Texteingaben, Dokumenteninhalte und Konversationskontext an die in Abschnitt 17 genannten KI-Dienstleister übermittelt und dort verarbeitet.

Wir konfigurieren den Einsatz so, dass eine Nutzung Ihrer Inhalte zum Training der Modelle der Anbieter ausgeschlossen bzw. vertraglich untersagt wird, soweit der jeweilige Anbieter dies anbietet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Leistungserbringung); bei besonderen Datenkategorien zusätzlich Art. 9 Abs. 2 lit. a DSGVO (Abschnitt 16).

16. Verarbeitung im Auftrag und besondere Datenkategorien

Soweit ein Geschäftskunde über seinen Assistenten personenbezogene Daten Dritter verarbeitet (insbesondere Daten seiner eigenen Kunden, Mandanten oder Anrufer), handeln wir insoweit als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher ist in diesem Fall der jeweilige Geschäftskunde; Einzelheiten regelt der mit ihm geschlossene Auftragsverarbeitungsvertrag.

Werden dabei besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, etwa Gesundheitsdaten) verarbeitet, setzt dies eine ausdrückliche Einwilligung der betroffenen Personen (Art. 9 Abs. 2 lit. a DSGVO) voraus, die der jeweilige Geschäftskunde als Verantwortlicher einzuholen und nachzuweisen hat.

17. Empfänger, Auftragsverarbeiter und Drittlandübermittlung

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Dienstleister ein, mit denen Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen. Soweit dabei Daten in die USA übermittelt werden, stützen wir den Transfer entweder auf einen Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework, DPF) – sofern der Anbieter zertifiziert ist – oder auf Standardvertragsklauseln (SCC, Art. 46 DSGVO) nebst ergänzenden Schutzmaßnahmen (z. B. Verschlüsselung, Datenminimierung).

Eine stets aktuelle Liste der Unterauftragsverarbeiter ist Bestandteil des Auftragsverarbeitungsvertrags (Anlage 2). Trotz geeigneter Garantien kann bei Übermittlungen in die USA nicht vollständig ausgeschlossen werden, dass US-Behörden Zugriff auf Daten nehmen und das dortige Schutzniveau nicht in jedem Punkt dem der EU entspricht.

18. Speicherdauer

Wir verarbeiten und speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (insbesondere handels- und steuerrechtlich, i. d. R. 6 bzw. 10 Jahre) dies vorsehen. Konto- und Inhaltsdaten werden grundsätzlich für die Dauer des Nutzungsverhältnisses gespeichert und nach dessen Beendigung gemäß den vertraglichen Vorgaben gelöscht oder zurückgegeben. Server-Logfiles werden nur kurzfristig vorgehalten. Auf Einwilligung beruhende Daten löschen wir nach Widerruf, soweit keine andere Rechtsgrundlage besteht.

19. Automatisierte Entscheidungsfindung / Profiling

Eine ausschließlich automatisierte Entscheidung im Sinne des Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Der Assistent unterstützt und schlägt vor; verbindliche Entscheidungen treffen Sie bzw. der jeweilige Geschäftskunde.

20. Aktualität und Änderung dieser Erklärung

Diese Datenschutzerklärung hat den Stand Juni 2026. Durch die Weiterentwicklung der Plattform oder aufgrund geänderter rechtlicher Vorgaben kann es notwendig werden, diese Erklärung anzupassen. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.