Datenschutzerklärung

1. Verantwortlicher und Kontakt

Verantwortlicher für Datenverarbeitung

EchoCall LLC
5830 E 2nd St Ste 7000, Casper, WY 82609, USA
E-Mail: team@echocall.de

Für EchoCall LLC (US-LLC) ist ein Datenschutzbeauftragter gemäß DSGVO Art. 37 nicht erforderlich.

Für Datenschutzfragen wenden Sie sich an: team@echocall.de

2. Datenschutzerklärung nach DSGVO

Diese Datenschutzerklärung klärt Sie darüber auf, wie wir Ihre personenbezogenen Daten verarbeiten und welche Rechte Sie diesbezüglich haben.

Rechtsgrundlage: Verordnung (EU) 2016/679 - Datenschutz-Grundverordnung (DSGVO)
Anwendbares Recht: Deutsches Bundesdatenschutzgesetz (BDSG), ergänzend DSGVO

3. Verarbeitung von Kundendaten

3.1 Zweck der Verarbeitung

Wir verarbeiten Ihre Daten zur:

• Registrierung in unserem System (EchoCall Hub) - Art. 6 Abs. 1 lit. b DSGVO
• Vertragsabwicklung (Rechnung, Kommunikation) - Art. 6 Abs. 1 lit. b DSGVO
• Bereitstellung unserer SaaS-Plattform - Art. 6 Abs. 1 lit. b DSGVO
• Kundensupport und technischer Betrieb - Art. 6 Abs. 1 lit. b DSGVO
• Sicherheit und Fraud-Prevention - Art. 6 Abs. 1 lit. f DSGVO
• Rechtliche Compliance (DSGVO, Steuern) - Art. 6 Abs. 1 lit. c DSGVO

3.2 Kategorien personenbezogener Daten

Wir verarbeiten folgende Daten:

• Name und Kontaktdaten: Vor- und Nachname, E-Mail, Telefon
• Rechnungsdaten: Rechnungsadresse, ggf. Umsatzsteuer-ID, Bankdaten
• Agentenaufzeichnungen: Gesprächsinhalte, Audio-Aufzeichnungen, IP-Adressen (falls aktiviert)
• Systemdaten: Nutzeraktivitäten, Logins, technische Fehlerprotokolle
• Hochgeladene Kundendaten: PDFs, Wissensdatenbanken, Texte, Logos

3.3 Rechtsgrundlage

• Art. 6 Abs. 1 lit. b DSGVO: Vertragserfüllung
• Art. 6 Abs. 1 lit. c DSGVO: Rechtliche Verpflichtung
• Art. 6 Abs. 1 lit. f DSGVO: Berechtigte Interessen (Sicherheit, Betrieb)

3.4 Speicherdauer

• Kundenkonto: Solange der Vertrag läuft + 3 Jahre
• Rechnungen: 10 Jahre (gesetzliche Aufbewahrungspflicht)
• Gesprächsinhalte der Agenten: nach Ihrer Konfiguration pro Agent (Standard für neue Agenten: 30 Tage; 1 bis 3650 Tage oder unbegrenzt einstellbar)
• Hochgeladene Inhalte: Bis zur Löschung oder 90 Tage nach Vertragsende

4. Verarbeitung von Endkundendaten durch Agenten

Bei der Verarbeitung von Daten durch Ihre Agenten (Voice oder Chat) sind Sie der Verantwortliche (Art. 4 Nr. 7 DSGVO) und wir der Auftragsverarbeiter gemäß Art. 28 DSGVO.

Sie sind verantwortlich für:

• Die Rechtmäßigkeit der Datenverarbeitung
• Das Einholen von Einwilligungen (z.B. für Gesprächsaufzeichnung)
• Die Bereitstellung von Datenschutzinformationen an Ihre Endkunden
• Die Einhaltung aller DSGVO-Anforderungen

Wichtiger Hinweis: Sie können Einwilligungen durch einen Hinweis/automatische Ansage vor Gesprächsbeginn einholen. Diese konfigurieren Sie selbst im Agenten-Prompt.

5. Verarbeitung durch Subdienstleister

Wir setzen geprüfte Unterauftragsverarbeiter ein (Verträge gemäß Art. 28 Abs. 4 DSGVO). Maßgeblich und stets aktuell ist die versionierte Subprozessoren-Übersicht unter https://echocall.de/security (öffentlich, nach Kategorien und Regionen); die vollständige Liste mit Firmierung und Sitz erhalten Kunden als vertrauliche Anlage 3 zum AVV unter hub.echocall.de (Einstellungen, Compliance). Die wichtigsten Kategorien:

• Hosting, Datenbank und Dateispeicher: IONOS, Rechenzentren Deutschland/Frankreich (insbesondere Frankfurt und Karlsruhe). EchoCall hat die vollständige Kontrolle über diese Infrastruktur.
• Sprachverarbeitungs- und Agenten-Plattform (EchoHubTTS-eu): Text-to-Speech, Transkription, Dialogsteuerung, KI-Modell-Hosting und Voice Cloning als eigene Software von EchoCall, betrieben auf der eigenen IONOS-Infrastruktur in Deutschland/Frankreich. Kein externer Unterauftragsverarbeiter.
• LLM-Inferenz der Standardprofile EchoCall-Voice/EchoCall-Smart: eigene Modelle von EchoCall auf der eigenen Infrastruktur in der EU, kein externer Unterauftragsverarbeiter. Optionale weitere Modellprofile werden von externen Modellanbietern betrieben und sind nicht von der EchoCall-Zusicherung erfasst (eigenverantwortliche Kundenentscheidung, siehe Ziffer 11).
• Telefonnummern-Beschaffung und Identitätsprüfung: DIDWW Ireland Limited, Dublin (EU). Optionale Telefonie über Twilio nur bei entsprechender Kundenwahl (EU/USA, Standardvertragsklauseln).
• N8N: Workflow-Automation, self-hosted auf IONOS in Deutschland. EchoCall kontrolliert.
• Fehler- und Verfügbarkeitsüberwachung (Sentry): EU-Ingest-Endpunkt, Übermittlung personenbezogener Daten deaktiviert.
• In-Hub-KI-Assistent ("Ask AI"): feste, benannte Modellkette über einen API-Router (USA, Standardvertragsklauseln); verarbeitet nur Eingaben eingeloggter Nutzer, keine Endkunden-Gesprächsdaten.
• Integrations-OAuth-Broker: nur bei vom Kunden verbundenen Integrationen, verwaltet ausschließlich Verbindungs-Token (USA, Standardvertragsklauseln).
• Google Analytics 4: Website-Analytik (NUR Website, nur mit Cookie-Einwilligung). Standort: USA/EU.
• PostHog: Website- und Produkt-Analytik inklusive Session-Aufzeichnung der Website-Nutzung (NUR Website, nur mit Cookie-Einwilligung). Standort: EU (eu.posthog.com).
• Stripe: Zahlungsabwicklung (Kreditkarte, SEPA). Standort: USA/EU, PCI-DSS.
• PayPal (optional): Alternative Zahlungsmethode. Standort: EU (PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg).
• Partnerprovisions-Abrechnung: Bei Käufen über einen Partnerlink übermitteln wir Name, E-Mail-Adresse und gebuchten Plan an einen Automatisierungs-Dienst und einen Partnerprovisions-Dienst (USA/Vereinigtes Königreich, Standardvertragsklauseln), ausschließlich zur Provisionsabrechnung (Art. 6 Abs. 1 lit. f DSGVO).
• PartnerNet SaaS Titan (Whitelabel-Reseller): Server-Hosting für die Whitelabel-Instanz des Resellers. Standort: vom Reseller frei wählbar (weltweit), abweichend von IONOS Deutschland/Frankreich.

Wichtig: Für alle Standardtarife (Voice Agent, Chat Agent, PartnerNet Pay as you go/Growth Partner) behält EchoCall LLC die vollständige Kontrolle über alle Kundendaten auf IONOS-Servern (Deutschland/Frankreich); die Produktiv- und Gesprächsdaten werden nicht in die USA übertragen. Übermittlungen an Zahlungsdienstleister und die oben genannten optionalen Dienste sind über EU-Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert; Details bewertet unser Transfer Impact Assessment (Download unter https://echocall.de/security). Bei PartnerNet SaaS Titan (Whitelabel) wählt der Reseller den Server-Standort für seine Instanz selbst; dieser gewählte Standort gilt dann statt IONOS Deutschland/Frankreich.

Zahlungsverarbeitung: Zahlungsdaten (Kreditkarte, SEPA, PayPal) werden ausschließlich durch unsere zertifizierten Zahlungsdienstleister Stripe und PayPal verarbeitet. EchoCall speichert keine vollständigen Kreditkartendaten. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und den Standard Contractual Clauses (SCCs) gemäß Art. 46 DSGVO.

6. Besonderheiten bei Telefonaufzeichnungen

6.1 Einwilligung

Die Aufzeichnung von Telefongesprächen ist nach deutschem Recht (insbesondere § 201 StGB - Verletzung der Vertraulichkeit des Wortes) und EU-Recht nur mit vorheriger Einwilligung aller Gesprächsteilnehmer zulässig. Als Betreiber Ihrer Agenten sind Sie dafür verantwortlich, diese Einwilligung einzuholen, üblicherweise durch eine Ansage zu Gesprächsbeginn. Rechtsgrundlage: Art. 7 DSGVO.

6.2 Ansage zu Gesprächsbeginn

EchoCall stellt hierfür fertige Hinweis- und Ansagebausteine in 74 Sprachen bereit, sinngemäß:

"Hinweis: Sie sprechen mit einer virtuellen KI-Assistentin. Dieses Gespräch wird aufgezeichnet und transkribiert. Mit der Teilnahme willigen Sie in die Aufzeichnung ein."

Sie aktivieren die Ansage in Ihrem Gesprächsdesign; die Plattform-Dokumentation leitet Sie dabei an. Im Chat-Widget wird ein KI-Hinweis standardmäßig angezeigt. Aktivieren Sie die Gesprächsaufzeichnung, ohne eine entsprechende Ansage einzurichten, verstoßen Sie gegen Ihre Pflichten als Verantwortlicher.

6.3 Speicherdauer und Löschung

Sie bestimmen die Speicherdauer pro Agent im Dashboard (1, 7, 30, 90, 365 Tage, benutzerdefiniert oder unbegrenzt; Standard für neue Agenten: 30 Tage). Nach Ablauf dieser Frist werden Gesprächsinhalte automatisch über einen täglichen Löschlauf aus allen Speichern der Plattform gelöscht (Art. 5 Abs. 1 lit. e DSGVO - Speicherbegrenzung). Sie können Aufzeichnungen jederzeit manuell löschen und die Aufzeichnung pro Agent vollständig deaktivieren.

7. Cookies und Tracking

7.1 Magic-Link-Authentifizierung

Wir nutzen Magic Links statt Passwörtern. Dies ist kein Cookie im klassischen Sinne. Ein Token wird generiert und per E-Mail versendet; nach Klick ist die Sitzung authentifiziert.

7.2 Website-Analytik (nur mit Ihrer Einwilligung)

Wenn Sie Analyse-Cookies über unseren Cookie-Banner akzeptieren, nutzen wir Google Analytics 4 (GA4) sowie PostHog (ein in der EU gehosteter Analyse-Dienst, Server in der EU) auf https://echocall.de.

Diese Datenerfassung beginnt erst nach Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die Analyse-Skripte werden erst geladen, nachdem Sie im Cookie-Banner zugestimmt haben; bis dahin werden keine Analyse-Cookies gesetzt. Sie können Ihre Wahl jederzeit über den Link "Cookie-Einstellungen" im Footer der Website ändern, sowohl akzeptieren als auch widerrufen.

Dabei erfassen wir unter anderem:

• Besuchte Seiten und Verweildauer
• Herkunftsquelle sowie Browser- und Gerätetyp
• Allgemeines Interaktionsverhalten (z. B. Klicks) über PostHog
• Session-Aufzeichnungen der Website-Nutzung über PostHog (Wiedergabe von Maus- und Scrollbewegungen auf echocall.de; Eingabefelder werden maskiert, die Aufzeichnung betrifft ausschließlich die Website, niemals das Kunden-Dashboard oder Gesprächsdaten)

Diese Daten sind pseudonym, werden NICHT mit Ihrem EchoCall-Kundenkonto oder Plattformdaten verknüpft und gemäß den Standard-Aufbewahrungsfristen der jeweiligen Anbieter automatisch gelöscht. Die Verarbeitung durch Google Analytics 4 kann eine Übermittlung an Google in die USA auf Grundlage des EU-US Data Privacy Framework bzw. der Standardvertragsklauseln (Art. 46 DSGVO) einschließen. PostHog verarbeitet die Daten ausschließlich auf Servern in der EU (eu.posthog.com).

7.3 Logging und technische Daten

Wir erfassen technische Daten wie:

• IP-Adressen (zur Sicherheit und Fehleranalyse - Art. 6 Abs. 1 lit. f DSGVO)
• Login-Zeiten und -Orte
• Fehlerprotokolle
• Plattformnutzung (anonymisiert, soweit möglich)

Diese Daten werden nicht mit Dritten geteilt außer zur Sicherheitsanalyse oder bei gesetzlicher Anforderung (Art. 6 Abs. 1 lit. c DSGVO).

8. Ihre Rechte als betroffene Person

Gemäß DSGVO Kapitel III (Art. 12-23) haben Sie folgende Rechte:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit erfahren, welche Ihrer Daten wir verarbeiten.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können fehlerhafte Daten korrigieren lassen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können Ihre Daten löschen lassen, außer wenn wir diese noch speichern müssen.
• Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Verarbeitung Ihrer Daten begrenzen.
• Recht auf Datenportabilität (Art. 20 DSGVO): Sie können Ihre Daten in strukturierter Form erhalten.
• Recht auf Widerspruch (Art. 21 DSGVO): Sie können sich der Verarbeitung für bestimmte Zwecke widersprechen.
• Beschwerde bei Aufsichtsbehörde (Art. 77 DSGVO): Sie können sich bei einer Datenschutzbehörde beschweren.

Kontakt zur Ausübung Ihrer Rechte: team@echocall.de
Betreff: "DSGVO-Auskunftsantrag" oder "DSGVO-Löschanfrage"
Wir werden Ihnen innerhalb von 30 Tagen antworten (Art. 12 Abs. 3 DSGVO).

9. Datensicherheit

Wir implementieren umfangreiche Schutzmaßnahmen (Art. 32 DSGVO):

• Verschlüsselung: TLS 1.3 für alle Übertragungen (HTTPS), Verschlüsselung ruhender Daten auf Storage-Ebene, verschlüsselte Speicherung von Zugangsdaten und 2FA-Geheimnissen
• Authentifizierung: Magic-Link-basiert, optional Zwei-Faktor-Authentifizierung (TOTP)
• Zugriffskontrolle: Role-based Access Control (RBAC) und granulare Workspace-Berechtigungen, strikte Mandantentrennung
• Regelmäßige Sicherheitsüberprüfungen und Code-Audits
• Incident Response: dokumentierter Prozess, Benachrichtigung betroffener Kunden binnen 48 Stunden
• Speicherort: ISO-27001-zertifizierte Rechenzentren in Deutschland/Frankreich

Die vollständigen technischen und organisatorischen Maßnahmen (TOM, Anlage 2 zum AVV) stehen unter https://echocall.de/security zum Download bereit.

Google API Services

Gmail, Google Drive, Google Calendar, Google Sheets

EchoCall nutzt Google API Services. Der Zugriff auf Google-Nutzerdaten erfolgt ausschließlich für die vom Nutzer konfigurierten Automatisierungsfunktionen (z.B. E-Mails senden, Dateien speichern, Kalendertermine erstellen, Tabellen befüllen). Google-Nutzerdaten werden nicht an Dritte weitergegeben oder für Werbezwecke genutzt. Der Zugriff kann jederzeit über die Google-Kontoeinstellungen widerrufen werden. Die Nutzung entspricht der Google API Services User Data Policy, einschließlich der Einschränkungen zur eingeschränkten Nutzung.

Zugriff widerrufen: https://myaccount.google.com/permissions
Richtlinie: https://developers.google.com/terms/api-services-user-data-policy

10. Besonderheiten bei Voice Cloning

10.1 Stimmendaten

Wenn Sie MP3-Dateien für Voice Cloning hochladen, bestätigen Sie, dass Sie alle notwendigen Rechte an dieser Stimmaufzeichnung haben oder Einwilligungen eingeholt haben (Art. 7 DSGVO).

Die Stimme einer Person kann als biometrisches Merkmal gelten und damit unter die besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO fallen. Rechtsgrundlage für die Verarbeitung ist in diesem Fall die ausdrückliche Einwilligung der aufgenommenen Person (Art. 9 Abs. 2 lit. a DSGVO), zusätzlich zur allgemeinen Einwilligung nach Art. 7 DSGVO. Sie sind als Kunde dafür verantwortlich, diese ausdrückliche Einwilligung vor dem Hochladen einzuholen und nachweisen zu können.

10.2 Verarbeitung durch EchoHubTTS-eu

Diese Stimmendaten werden ausschließlich auf der eigenen EchoCall-Infrastruktur in der EU (EchoHubTTS-eu) für die Voice-Synthese verarbeitet und gespeichert; eine Übermittlung an externe Dienstleister findet dafür nicht statt.

11. KI-Modelle und proprietäre Modellentwicklung

11.1 EchoCall-Modellprofile

EchoCall LLC hat über 2 Jahre eigene, proprietär abgestimmte Modellprofile für den Einsatz in Telefonie und Chat entwickelt:

EchoCall-Voice: Spezialisiert für Telefonie-Agenten

• Optimiert für natürliche Sprachkonversation in Telefonie
• Abgestimmt auf Telefonie-Abläufe und Best Practices
• Höchste Qualität für Voice-Agenten

EchoCall-Smart: Spezialisiert für Chat-Agenten

• Optimiert für schriftliche Kommunikation
• Abgestimmt auf Chat-Abläufe und FAQ-Szenarien
• Höchste Qualität für Chat-Agenten

Diese Modellprofile sind in allen Paketen als Standard enthalten und kostenlos. Die Standardprofile EchoCall-Voice und EchoCall-Smart sind eigene Modelle von EchoCall und werden ausschließlich auf der eigenen EchoCall-Infrastruktur in der EU betrieben; nur sie sind von AVV, TOM und TIA erfasst. Optionale weitere Modellprofile (z. B. der Familien GPT, Gemini, GLM, Qwen) werden von externen Modellanbietern betrieben. Ihre Auswahl im Dashboard ist eine eigenverantwortliche Entscheidung des Kunden: EchoCall übernimmt für diese Profile keine Zusicherung zur DSGVO-Konformität, garantiert keine Verarbeitung in der EU und schließt keine Standardvertragsklauseln mit diesen Anbietern; der Kunde prüft die datenschutzrechtliche Zulässigkeit selbst. Für datenschutzsensible Anwendungen sind ausschließlich die Standardprofile zu verwenden.

11.2 Keine Nutzung Ihrer Daten für Modelltraining

Gesprächsinhalte und Kundendaten werden nicht zum Training von KI-Modellen verwendet. Zur Verbesserung der Plattform nutzen wir ausschließlich aggregierte, nicht personenbezogene Nutzungsstatistiken (z. B. Antwortzeiten, Erfolgsquoten). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

11.3 Ihre Kontrolle im EchoCall Hub

Im EchoCall Hub können Sie pro Agent einstellen:

• Zero-PII Retention AN/AUS - Keine dauerhafte Speicherung von Namen/E-Mails/Nummern
• Speicherdauer: 1, 7, 30, 90, 365 Tage, benutzerdefiniert (bis 3650 Tage) oder unbegrenzt; Standard für neue Agenten: 30 Tage
• Gesprächsaufzeichnung AN/AUS - Ob Anruf-Audio gespeichert wird
• Konversationen speichern AN/AUS - Ob Chat-Verläufe archiviert werden
• Modellprofil-Auswahl: EchoCall-Voice/EchoCall-Smart als Standard (DSGVO-konform, EU-Infrastruktur); weitere Modellprofile optional und ohne DSGVO-Zusicherung durch EchoCall (eigene Verantwortung)

Alle Einstellungen sind kostenlos und können jederzeit geändert werden.

11.4 Keine Vermischung mit Kundendaten

Der Anbieter garantiert:

• Keine E-Mail-Adressen im Training
• Keine Telefonnummern im Training
• Keine Namen oder Adressen im Training
• Keine Bilder oder Medien im Training
• Keine Geschäftsgeheimnisse im Training

Einzige Ausnahme: Der Kunde schließt explizit einen separaten Vertrag über die Bereitstellung von Trainingsmaterial ab.

11.5 Regelmäßige Überprüfungen und Änderungen

Der Anbieter überprüft regelmäßig die Datenschutzkonformität der Verarbeitung, die Wirksamkeit der Löschprozesse und die Sicherheit der Infrastruktur; Ergebnisse erhalten Sie auf Anfrage an team@echocall.de. Über den Einsatz neuer Modellprofile oder Änderungen bei Unterauftragsverarbeitern informieren wir mindestens 30 Tage im Voraus (siehe AVV).

11.6 Automatisierte Entscheidungsfindung (Art. 22 DSGVO)

Die Plattform selbst trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO (z. B. keine automatisierte Kreditvergabe, Vertragsablehnung oder Leistungsbewilligung). Die Agenten unterstützen die Kommunikation mit Endnutzern; inhaltliche Entscheidungen trifft entweder ein Mensch oder das dahinterliegende System des Kunden.

Konfiguriert der Kunde einen Agenten dennoch so, dass dieser automatisierte Entscheidungen mit Rechtswirkung trifft, ist der Kunde hierfür als datenschutzrechtlich Verantwortlicher selbst zuständig, einschließlich der Informationspflichten und Widerspruchsrechte nach Art. 22 DSGVO gegenüber den betroffenen Personen.

12. Support und Kontakt

12.1 Datenauskunft anfordern

Um Ihre Rechte geltend zu machen oder Informationen über Ihre gespeicherten Daten zu erhalten, senden Sie einen Antrag an:

E-Mail: team@echocall.de
Betreff: "DSGVO-Auskunftsantrag" oder "DSGVO-Löschanfrage"

Wir werden Ihnen innerhalb von 30 Tagen antworten (siehe Art. 12 Abs. 3 DSGVO).

12.2 Beschwerde bei einer Aufsichtsbehörde

Sie können sich an jede Datenschutz-Aufsichtsbehörde wenden, zum Beispiel an die:

Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI)
Telefon: +49 (0)30 13889-0
E-Mail: mailbox@datenschutz-berlin.de
Website: https://www.datenschutz-berlin.de

13. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung jederzeit anpassen, um Änderungen in unseren Praktiken oder Gesetzen zu berücksichtigen. Größere Änderungen werden Ihnen per E-Mail mitgeteilt.

14. Spezifische Hinweise für B2B-Kunden

14.1 Data Protection Impact Assessment (DPIA - Art. 35 DSGVO)

Falls Sie Hochrisiko-Verarbeitung durchführen, kann eine DPIA erforderlich sein. Wir unterstützen Sie gerne bei der Erstellung. Kontaktieren Sie: team@echocall.de

14.2 Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO)

Sie erhalten auf Anfrage Dokumentation unserer Verarbeitungstätigkeiten (für Ihr eigenes Verzeichnis gemäß Art. 30 DSGVO).

14.3 Gemeinsame Verantwortlichkeit (Art. 26 DSGVO)

Für spezifische Use Cases kann eine Vereinbarung über gemeinsame Verantwortlichkeit erforderlich sein. Kontaktieren Sie uns dafür.