Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für Datenverarbeitung

EchoCall LLC
5830 E 2nd St Ste 7000, Casper, WY 82609, USA
E-Mail: team@echocall.de

Für EchoCall LLC (US-LLC) ist ein Datenschutzbeauftragter gemäß DSGVO Art. 37 nicht erforderlich.

Für Datenschutzfragen wenden Sie sich an: team@echocall.de

2. Datenschutzerklärung nach DSGVO

Diese Datenschutzerklärung klärt Sie darüber auf, wie wir Ihre personenbezogenen Daten verarbeiten und welche Rechte Sie diesbezüglich haben.

Rechtsgrundlage: Verordnung (EU) 2016/679 — Datenschutz-Grundverordnung (DSGVO)
Anwendbares Recht: Deutsches Bundesdatenschutzgesetz (BDSG), ergänzend DSGVO

3. Verarbeitung von Kundendaten

3.1 Zweck der Verarbeitung

Wir verarbeiten Ihre Daten zur:

• Registrierung in unserem System (EchoCall Hub) - Art. 6 Abs. 1 lit. b DSGVO
• Vertragsabwicklung (Rechnung, Kommunikation) - Art. 6 Abs. 1 lit. b DSGVO
• Bereitstellung unserer SaaS-Plattform - Art. 6 Abs. 1 lit. b DSGVO
• Kundensupport und technischer Betrieb - Art. 6 Abs. 1 lit. b DSGVO
• Sicherheit und Fraud-Prevention - Art. 6 Abs. 1 lit. f DSGVO
• Rechtliche Compliance (DSGVO, Steuern) - Art. 6 Abs. 1 lit. c DSGVO

3.2 Kategorien personenbezogener Daten

Wir verarbeiten folgende Daten:

• Name und Kontaktdaten: Vor- und Nachname, E-Mail, Telefon
• Rechnungsdaten: Rechnungsadresse, ggf. Umsatzsteuer-ID, Bankdaten
• Agentenaufzeichnungen: Gesprächsinhalte, Audio-Aufzeichnungen, IP-Adressen (falls aktiviert)
• Systemdaten: Nutzeraktivitäten, Logins, technische Fehlerprotokolle
• Hochgeladene Kundendaten: PDFs, Wissensdatenbanken, Texte, Logos

3.3 Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Sicherheit, Betrieb)

3.4 Speicherdauer

• Kundenkonto: Solange der Vertrag läuft + 3 Jahre
• Rechnungen: 10 Jahre (gesetzliche Aufbewahrungspflicht)
• Agentenaufzeichnungen: Nach Ihrer Konfiguration (default: 30 Tage)
• Hochgeladene Inhalte: Bis zur Löschung oder 90 Tage nach Vertragsende

4. Verarbeitung von Endkundendaten durch Agenten

Bei der Verarbeitung von Daten durch Ihre Agenten (Voice oder Chat) sind Sie der Verantwortliche (Art. 4 Nr. 7 DSGVO) und wir der Auftragsverarbeiter gemäß Art. 28 DSGVO.

Sie sind verantwortlich für:

• Die Rechtmäßigkeit der Datenverarbeitung
• Das Einholen von Einwilligungen (z.B. für Gesprächsaufzeichnung)
• Die Bereitstellung von Datenschutzinformationen an Ihre Endkunden
• Die Einhaltung aller DSGVO-Anforderungen

Wichtiger Hinweis: Sie können Einwilligungen durch einen Hinweis/automatische Ansage vor Gesprächsbeginn einholen. Diese konfigurieren Sie selbst im Agenten-Prompt.

5. Verarbeitung durch Subdienstleister

Wir nutzen folgende Subdienstleister (gemäß Art. 28 Abs. 4 DSGVO):

• EchoHubTTS-eu: Funktion: Text-to-Speech, Voice Cloning, KI-Modell-Hosting. Standort: EU (Server). EchoCall kontrolliert.
• Ionos: Funktion: Server-Hosting, Datenspeicherung für Standardtarife (Voice Agent, Chat Agent, PartnerNet Starter/Growth Partner). Standort: Deutschland, Frankreich. EchoCall hat VOLLSTÄNDIGE Kontrolle.
• PartnerNet SaaS Titan (Whitelabel-Reseller): Funktion: Server-Hosting für die Whitelabel-Instanz des Resellers. Standort: vom Reseller frei wählbar (weltweit), abweichend von Ionos Deutschland/Frankreich.
• N8N: Funktion: Workflow-Automation. Standort: Deutschland (self-hosted auf Ionos). EchoCall kontrolliert.
• Google Tag Manager / Google Analytics 4: Funktion: Website-Analytik (NUR Website, nur mit Cookie-Einwilligung). Standort: USA/EU. Von Google betrieben.
• PostHog: Funktion: Website- und Produkt-Analytik (NUR Website, nur mit Cookie-Einwilligung). Standort: EU (eu.posthog.com).
• Stripe: Funktion: Zahlungsabwicklung (Kreditkarte, SEPA). Standort: USA/EU. Stripe verarbeitet Zahlungsdaten gemäß PCI-DSS Standard.
• PayPal (optional): Funktion: Alternative Zahlungsmethode. Standort: USA/EU. PayPal verarbeitet Zahlungsdaten bei Nutzerwahl.

Wichtig: Für alle Standardtarife (Voice Agent, Chat Agent, PartnerNet Starter/Growth Partner) behält EchoCall LLC VOLLSTÄNDIGE Kontrolle über alle Kundendaten auf Ionos-Servern (Deutschland/Frankreich); diese Daten werden NICHT an die USA übertragen. Bei PartnerNet SaaS Titan (Whitelabel) wählt der Reseller den Server-Standort für seine Instanz selbst; dieser gewählte Standort gilt dann statt Ionos Deutschland/Frankreich. Unabhängig vom Standort sorgt unser globales Anycast-Netzwerk für niedrige Latenz und hohe Verfügbarkeit weltweit.

Zahlungsverarbeitung: Zahlungsdaten (Kreditkarte, SEPA, PayPal) werden ausschließlich durch unsere zertifizierten Zahlungsdienstleister Stripe und PayPal verarbeitet. EchoCall speichert keine vollständigen Kreditkartendaten. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und den Standard Contractual Clauses (SCCs) gemäß Art. 46 DSGVO.

6. Besonderheiten bei Telefonaufzeichnungen

6.1 Einwilligung

Die Aufzeichnung von Telefongesprächen ist nach deutschem (§ 86 StGB) und EU-Recht nur mit vorheriger Einwilligung zulässig. Sie sind verantwortlich für das Einholen dieser Einwilligung gemäß Art. 7 DSGVO. Wir stellen die technischen Mittel bereit (automatische Ansage im Agenten-Prompt).

6.2 Erforderliche Ansage

Sie sollten vor Gesprächsbeginn folgende oder ähnliche Ansage konfigurieren:

"Dieses Gespräch wird aufgezeichnet und transkribiert. Mit der Teilnahme an diesem Gespräch geben Sie Ihre Einwilligung zur Aufzeichnung."

Sie sind selbst verantwortlich für die Wahl und Rechtmäßigkeit der Formulierung.

6.3 Speicherdauer und Löschung

Sie bestimmen die Speicherdauer im Dashboard. Nach Ablauf dieser Frist werden Aufzeichnungen automatisch gelöscht (Art. 5 Abs. 1 lit. e DSGVO - Speicherbegrenzung). Sie können Aufzeichnungen jederzeit manuell löschen.

7. Cookies und Tracking

7.1 Magic-Link-Authentifizierung

Wir nutzen Magic Links statt Passwörtern. Dies ist kein Cookie im klassischen Sinne. Ein Token wird generiert und per E-Mail versendet; nach Klick ist die Sitzung authentifiziert.

7.2 Website-Analytik (nur mit Ihrer Einwilligung)

Wenn Sie Analyse-Cookies über unseren Cookie-Banner akzeptieren, nutzen wir Google Tag Manager (GTM), worüber Google Analytics 4 (GA4) geladen wird, sowie PostHog (ein in der EU gehosteter Analyse-Dienst, Server in der EU) auf https://echocall.de.

Diese Datenerfassung beginnt erst nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Bis Sie sich entscheiden, werden keine Analyse-Cookies gesetzt und der Google Consent Mode setzt den Analyse-Speicher standardmäßig auf "verweigert". Sie können Ihre Wahl jederzeit über den Link "Cookie-Einstellungen" im Footer der Website ändern, sowohl akzeptieren als auch widerrufen.

Dabei erfassen wir unter anderem:

• Besuchte Seiten und Verweildauer
• Herkunftsquelle sowie Browser- und Gerätetyp
• Allgemeines Interaktionsverhalten (z. B. Klicks) über PostHog

Diese Daten sind pseudonym, werden NICHT mit Ihrem EchoCall-Kundenkonto oder Plattformdaten verknüpft und gemäß den Standard-Aufbewahrungsfristen der jeweiligen Anbieter automatisch gelöscht. Die Verarbeitung durch Google Analytics 4 kann eine Übermittlung an Google in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln (Art. 46 DSGVO) einschließen. PostHog verarbeitet die Daten ausschließlich auf Servern in der EU (eu.posthog.com).

7.3 Logging und technische Daten

Wir erfassen technische Daten wie:

• IP-Adressen (zur Sicherheit und Fehleranalyse - Art. 6 Abs. 1 lit. f DSGVO)
• Login-Zeiten und -Orte
• Fehlerprotokolle
• Plattformnutzung (anonymisiert, soweit möglich)

Diese Daten werden nicht mit Dritten geteilt außer zur Sicherheitsanalyse oder bei gesetzlicher Anforderung (Art. 6 Abs. 1 lit. c DSGVO).

8. Ihre Rechte als betroffene Person

Gemäß DSGVO Kapitel III (Art. 12-23) haben Sie folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit erfahren, welche Ihrer Daten wir verarbeiten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können fehlerhafte Daten korrigieren lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können Ihre Daten löschen lassen, außer wenn wir diese noch speichern müssen.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Verarbeitung Ihrer Daten begrenzen.
• Recht auf Datenportabilität (Art. 20 DSGVO): Sie können Ihre Daten in strukturierter Form erhalten.
• Recht auf Widerspruch (Art. 21 DSGVO): Sie können sich der Verarbeitung für bestimmte Zwecke widersprechen.
• Beschwerde bei Aufsichtsbehörde (Art. 77 DSGVO): Sie können sich bei einer Datenschutzbehörde beschweren.

Kontakt zur Ausübung Ihrer Rechte: team@echocall.de
Betreff: "DSGVO-Auskunftsantrag" oder "DSGVO-Löschanfrage"
Wir werden Ihnen innerhalb von 30 Tagen antworten (Art. 12 Abs. 3 DSGVO).

9. Datensicherheit

Wir implementieren umfangreiche Schutzmaßnahmen (Art. 32 DSGVO):

• Verschlüsselung: TLS/SSL für alle Übertragungen (HTTPS)
• Authentifizierung: Magic-Link-basiert (keine Passwort-Speicherung)
• Zugriffskontrolle: Role-based Access Control (RBAC)
• Regelmäßige Audits: Penetrationstests und Sicherheitsprüfungen
• Incident Response: Notfallplan für Sicherheitsverletzungen
• Speicherort: Alle Daten auf deutschen/französischen Servern

Google API Services

Gmail, Google Drive, Google Calendar, Google Sheets

EchoCall nutzt Google API Services. Der Zugriff auf Google-Nutzerdaten erfolgt ausschließlich für die vom Nutzer konfigurierten Automatisierungsfunktionen (z.B. E-Mails senden, Dateien speichern, Kalendertermine erstellen, Tabellen befüllen). Google-Nutzerdaten werden nicht an Dritte weitergegeben oder für Werbezwecke genutzt. Der Zugriff kann jederzeit über die Google-Kontoeinstellungen widerrufen werden. Die Nutzung entspricht der Google API Services User Data Policy, einschließlich der Einschränkungen zur eingeschränkten Nutzung.

Zugriff widerrufen: https://myaccount.google.com/permissions
Richtlinie: https://developers.google.com/terms/api-services-user-data-policy

10. Besonderheiten bei Voice Cloning

10.1 Stimmendaten

Wenn Sie MP3-Dateien für Voice Cloning hochladen, bestätigen Sie, dass Sie alle notwendigen Rechte an dieser Stimmaufzeichnung haben oder Einwilligungen eingeholt haben (Art. 7 DSGVO).

10.2 Verarbeitung durch EchoHubTTS-eu

Diese Stimmendaten werden an EchoHubTTS-eu (EU-Server) übertragen und dort für die Voice-Synthese verarbeitet. EchoHubTTS-eu speichert diese Daten gemäß ihrer Datenschutzrichtlinie und unter Datenschutzverträgen mit EchoCall (Art. 28 DSGVO).

11. KI-Modelle und proprietäre Modellentwicklung

11.1 Proprietäre EchoCall Modelle

EchoCall LLC hat über 2 Jahre proprietäre KI-Modelle auf Basis von Mistral entwickelt:

EchoCall-Voice: Spezialisiert für Telefonie-Agenten

• Optimiert für natürliche Sprachkonversation in Telefonie
• Trainiert auf Telefonie-Daten und Best Practices
• Höchste Qualität für Voice-Agenten

EchoCall-Smart: Spezialisiert für Chat-Agenten

• Optimiert für schriftliche Kommunikation
• Trainiert auf Chat-Daten und FAQ-Inhalten
• Höchste Qualität für Chat-Agenten

Diese Modelle sind in allen Paketen als Standard enthalten und kostenlos.

11.2 Modell-Verwendung und Trainingsdaten

EchoCall LLC verbessert seine proprietären Modelle durch maschinelles Lernen mit anonymisierten Konversationsdaten:

Quelle: Anonyme Prompts und Agenten-Antworten von Kunden
Zweck: Optimierung der Antwortqualität und Agentenverhalten
Schutz: KEINE Kundenpersonendaten (Namen, Adressen, E-Mails, Bilder, Nummern)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), Art. 4 Nr. 1 DSGVO (Anonymisierung)

11.3 Anonymisierung - Was das bedeutet

Anonymisierte Daten sind Daten, bei denen:

• Alle Identifikatoren (Namen, E-Mails, Nummern) entfernt wurden
• Eine Re-Identifikation ist unmöglich (auch mit großem Aufwand)
• Die DSGVO nicht mehr anwendbar ist

Beispiel:
VOR: "Hallo, mein Name ist Max Müller, meine E-Mail ist max@beispiel.de. Was kostet Paket Pro?"
NACH: "Was kostet Paket Pro?"
ERGEBNIS: Nur noch die Frage ohne Personenbezug. Das wird für Training verwendet.

11.4 Ihre Kontrolle im EchoCall Hub

Im EchoCall Hub können Sie einstellen:

• Trainingsdaten AN/AUS - Sie entscheiden, ob anonymisierte Daten trainiert werden
• Zero-PII Retention AN/AUS - Keine Speicherung von Namen/E-Mails/Nummern
• Speicherdauer: 1, 7, 30, 90, 365 Tage oder benutzerdefiniert
• Gesprächsaufzeichnung AN/AUS - Ob Gespräche aufgezeichnet werden
• Transkription AN/AUS - Ob Text-Transkripte erstellt werden
• KI-Modell-Auswahl: Standard (EchoCall-Voice/Smart) oder optional Gemini, GPT-4, GPT-5, DeepSeek

Alle Einstellungen sind kostenlos und können jederzeit geändert werden.

11.5 Optionale Externe KI-Modelle

Der Kunde kann optional folgende externe KI-Modelle nutzen (mit zusätzlichen Gebühren):

• Google Gemini
• GPT-4 und GPT-5
• DeepSeek

Die Nutzung dieser Modelle unterliegt den jeweiligen Nutzungsbedingungen und Datenschutzrichtlinien der Drittanbieter.

11.6 Keine Vermischung mit Kundendaten

Der Anbieter garantiert:

• Keine E-Mail-Adressen im Training
• Keine Telefonnummern im Training
• Keine Namen oder Adressen im Training
• Keine Bilder oder Medien im Training
• Keine Geschäftsgeheimnisse im Training

Einzige Ausnahme: Der Kunde schließt explizit einen separaten Vertrag für Trainingsmaterial ab.

11.7 Regelmäßige Überprüfungen

Der Anbieter führt regelmäßig Überprüfungen durch zu:

• Datenschutzkonformität des Trainings
• Effektivität der Anonymisierung
• Sicherheit der Infrastruktur

Ergebnisse erhalten Sie auf Anfrage: team@echocall.de

11.8 Änderungen am Training

Der Anbieter wird den Kunden informieren, wenn:

• Neue Trainingsdaten-Quellen hinzugefügt werden
• Neue KI-Modelle eingesetzt werden
• Subdienstleister ändern

Änderungen mit hohem Datenschutz-Risiko werden mit 30 Tagen Vorankündigung mitgeteilt.

12. Support und Kontakt

12.1 Datenauskunft anfordern

Um Ihre Rechte geltend zu machen oder Informationen über Ihre gespeicherten Daten zu erhalten, senden Sie einen Antrag an:

E-Mail: team@echocall.de
Betreff: "DSGVO-Auskunftsantrag" oder "DSGVO-Löschanfrage"

Wir werden Ihnen innerhalb von 30 Tagen antworten (siehe Art. 12 Abs. 3 DSGVO).

12.2 Beschwerde bei einer Aufsichtsbehörde

Berliner Beauftragter für Datenschutz und Informationsfreiheit (BfDI)
Telefon: +49 (0)30 13889-0
E-Mail: info@datenschutz-berlin.de
Website: https://www.datenschutz-berlin.de

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung jederzeit anpassen, um Änderungen in unseren Praktiken oder Gesetzen zu berücksichtigen. Größere Änderungen werden Ihnen per E-Mail mitgeteilt.

14. Spezifische Hinweise für B2B-Kunden

14.1 Data Protection Impact Assessment (DPIA - Art. 35 DSGVO)

Falls Sie Hochrisiko-Verarbeitung durchführen, kann eine DPIA erforderlich sein. Wir unterstützen Sie gerne bei der Erstellung. Kontaktieren Sie: team@echocall.de

14.2 Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Sie erhalten auf Anfrage Dokumentation unserer Verarbeitungstätigkeiten (für Ihr eigenes Verzeichnis gemäß Art. 30 DSGVO).

14.3 Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

Für spezifische Use Cases kann eine Vereinbarung über gemeinsame Verantwortlichkeit erforderlich sein. Kontaktieren Sie uns dafür.