Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Verrian Consulting LLC
30 N Gould St, STE N
Sheridan, Wyoming 82801
USA
E-Mail: info@pheitos.com

2. Vertreter in der Europäischen Union (Art. 27 DSGVO)

Da die Verrian Consulting LLC ihren Sitz in einem Drittland (USA) hat, haben wir gemäß Art. 27 DSGVO einen Vertreter in der Europäischen Union benannt:
Rechtsanwalt Gerald I. Brandt
Eschersheimer Landstraße 19-21
60322 Frankfurt am Main
Deutschland

Anfragen an den EU-Vertreter senden Sie bitte schriftlich an die oben genannte Anschrift. Bis zur Mitteilung einer separaten Kanzlei-Email-Adresse durch unseren Vertreter werden Anfragen ergänzend über info@pheitos.com entgegengenommen und an den Vertreter weitergeleitet.

3. Datenschutzbeauftragte/r

Die Verrian Consulting LLC ist nach derzeitigem Stand nicht zur Benennung eines Datenschutzbeauftragten verpflichtet (§ 38 BDSG i.V.m. Art. 37 DSGVO). Anfragen zum Datenschutz richten Sie bitte an den unter Ziffer 1 genannten Verantwortlichen.

4. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage gesetzlicher Bestimmungen oder mit Einwilligung der betroffenen Person. Personenbezogene Daten sind Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Soweit Sie das 16. Lebensjahr noch nicht vollendet haben, ist für eine wirksame Einwilligung in die Verarbeitung Ihrer Daten gemäß Art. 8 DSGVO zusätzlich die Einwilligung des/der Inhabers/Inhaberin der elterlichen Verantwortung erforderlich.

5. Welche Daten wir verarbeiten

5.1 Account-Daten

Bei Abschluss eines Abonnements oder bei Registrierung einer Tenant-Organisation erheben und speichern wir:

• E-Mail-Adresse
• Passwort (ausschließlich als bcrypt-Hash)
• Optional: Anzeigename, Telefonnummer
• Stripe-Kunden- und Subscription-ID
• Gewählter Plan und Trainings-Verbrauch (Minuten)
• Login- und Aktivitäts-Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5.2 Zahlungsdaten

Die Abwicklung der Zahlung erfolgt direkt über CopeCart GmbH, Rosenstraße 2, 10178 Berlin, Deutschland. Kreditkarten-, SEPA- und Konto-Informationen werden ausschließlich von Stripe erhoben und verarbeitet. Wir erhalten lediglich abstrahierte Bezahlmetadaten (Subscription-Status, Plan, letzte vier Ziffern der Karte). Datenschutzhinweise von Stripe: https://www.copecart.com/datenschutz

5.3 Trainings-Daten (Audio und Transkript)

Während eines Trainings-Calls werden folgende Daten verarbeitet:

• Audio-Stream Ihrer Stimme — wird in Echtzeit an die Sprach-Pipeline (OpenAI Realtime API, USA) gestreamt zur automatischen Transkription und Dialog-Steuerung. Die Roh-Audio- Daten werden nicht dauerhaft gespeichert; nach Verarbeitung werden sie verworfen. Persistent gespeichert wird ausschließlich das textbasierte Transkript.
• Transkript-Texte — der vollständige User-/Bot-Dialog wird in unserer Datenbank gespeichert, um das KI-Feedback zu generieren und Ihren Lernfortschritt abzubilden.
• Stimm-Metriken — abgeleitete numerische Eigenschaften (z. B. Sprechtempo, Pausen-Anteil, Tonhöhen-Schwankung). Keine Roh-Audio-Speicherung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Kern-Funktionalität der Trainings-Plattform).

Hinweis zu biometrischen Daten: Die Stimm-Metriken werden ausschließlich zur Verbesserung Ihres Trainings-Feedbacks und nicht zur eindeutigen Identifizierung Ihrer Person ausgewertet. Eine biometrische Identifikation im Sinne des Art. 9 Abs. 1 DSGVO findet nicht statt.

5.4 Körpersprache-Tracking (nur Video-Modus, freiwillig)

Im optionalen Video-Modus wird Ihre Kamera für die Analyse von Mimik, Haltung und Gestik genutzt. Wichtig:

• Die Analyse läuft vollständig im Browser auf Ihrem Endgerät mittels der Open-Source-Bibliothek MediaPipe von Google.
• Es wird kein Videobild an unsere Server oder Dritte übertragen. An unsere Server gehen ausschließlich abgeleitete numerische Metriken (z. B. Blickkontakt-Anteil in Prozent, Schulter-Achse, Hand-Bewegungs-Frequenz).
• Das Tracking ist jederzeit per Knopfdruck abschaltbar; vor der erstmaligen Aktivierung wird Ihre Einwilligung ausdrücklich eingeholt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung). Die Einwilligung kann jederzeit durch Deaktivieren der Funktion mit Wirkung für die Zukunft widerrufen werden.

5.5 KI-gestütztes Feedback (Profiling)

Nach jedem abgeschlossenen Trainings-Call analysiert eine Künstliche Intelligenz (Claude, Anthropic) Ihr Transkript und erzeugt eine textuelle Bewertung sowie einen numerischen Score zwischen 0 und 100. Diese Bewertung ist eine automatisierte Verarbeitung mit profilbildendem Charakter im Sinne des Art. 22 Abs. 1 DSGVO. Sie hat keinerlei rechtliche oder ähnlich erhebliche Wirkung — sie dient ausschließlich Ihrer persönlichen Lernrückmeldung. Eine Kategorisierung, Diskriminierung oder Weitergabe an Dritte findet nicht statt.

Sie haben dennoch das Recht, der automatisierten Bewertung zu widersprechen (Art. 21 DSGVO) und eine menschliche Überprüfung einzelner Bewertungen zu verlangen. Wenden Sie sich dazu an info@pheitos.com.

5.6 Hinweis nach EU-KI-Verordnung (AI Act)

Sie interagieren in den Trainings-Calls mit einem KI-System und nicht mit einem Menschen. Die Stimmen der KI-Personas sind synthetisch erzeugt (Text-to-Speech) und stellen keine realen Personen dar. Diese Transparenz-Pflicht ergibt sich aus Art. 50 Abs. 1 und 3 der Verordnung (EU) 2024/1689 über Künstliche Intelligenz.

5.7 Technische Logdaten

Beim Aufruf der Plattform werden automatisch folgende technische Daten in den Server-Logfiles erhoben:

• IP-Adresse (gekürzt nach 7 Tagen)
• User-Agent (Browser, Betriebssystem)
• Aufgerufene URL, Zeitstempel, HTTP-Status-Code, Referrer

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Missbrauchs­abwehr).

6. Empfänger und Auftragsverarbeiter

Zum Betrieb der Plattform setzen wir die folgenden Dienstleister als Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein. Mit jedem dieser Dienstleister besteht ein Auftragsverarbeitungsvertrag (AVV).

Soweit Übermittlungen in die USA stattfinden, geschieht dies auf Grundlage des EU-US Data Privacy Frameworks (Angemessenheits- beschluss der EU-Kommission vom 10. Juli 2023, soweit der Empfänger zertifiziert ist) oder ergänzend auf Grundlage der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) nebst zusätzlicher technischer und organisatorischer Maßnahmen.

7. Speicherdauer

• Account-Daten: bis 30 Tage nach Vertragsende, danach Löschung
• Trainings-Transkripte und Feedbacks: bis 24 Monate, danach Löschung
• Stimm- und Körpersprache-Metriken: bis 24 Monate
• Rechnungsdaten: 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflichten gem. § 257 HGB, § 147 AO)
• Technische Logs: 90 Tage

8. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung — „Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)
• Recht auf menschliche Überprüfung automatisierter Entscheidungen (Art. 22 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich formlos an info@pheitos.com. Eine Identitätsprüfung kann zur Vermeidung missbräuchlicher Anfragen erforderlich sein.

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere bei der Behörde Ihres üblichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Eine Liste der deutschen Aufsichtsbehörden finden Sie unter bfdi.bund.de.

10. Cookies und ähnliche Technologien

Für den Betrieb der Plattform setzen wir ausschließlich technisch notwendige Cookies ein (Session-Cookie, CSRF-Token, Auth-Token). Diese sind essentiell für den Login- Mechanismus und die Tenant-Erkennung und können nicht abgewählt werden. Die Rechtsgrundlage ergibt sich aus § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Wir setzen keine Tracking-, Marketing- oder Analyse-Cookies ein. Ein Cookie-Banner ist daher nicht erforderlich.

11. Datensicherheit

Wir verwenden im Transport eine TLS-Verschlüsselung (HTTPS). Passwörter werden ausschließlich als bcrypt-Hash mit Salt gespeichert. Stripe-API-Schlüssel werden im Klartext nie protokolliert und in der Datenbank verschlüsselt abgelegt (AES-GCM). Der Zugang zu unseren Produktiv-Systemen ist auf wenige berechtigte Personen mit Zwei-Faktor-Authentifizierung beschränkt.

12. Aktualität dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund neuer Technologien, geänderter Rechtslage oder neuer Auftragsverarbeiter erforderlich wird. Die jeweils aktuelle Version ist unter /datenschutz abrufbar.