Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Verrian Consulting LLC
30 N Gould St, STE N
Sheridan, Wyoming 82801
USA
E-Mail: info@pheitos.com

3. Datenschutzbeauftragte/r

Die Verrian Consulting LLC ist nach derzeitigem Stand nicht zur Benennung eines Datenschutzbeauftragten verpflichtet (§ 38 BDSG i.V.m. Art. 37 DSGVO). Anfragen zum Datenschutz richten Sie bitte an den unter Ziffer 1 genannten Verantwortlichen.

4. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich auf Grundlage gesetzlicher Bestimmungen oder mit Einwilligung der betroffenen Person. Personenbezogene Daten sind Daten, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Art. 4 Nr. 1 DSGVO).

Soweit Sie das 16. Lebensjahr noch nicht vollendet haben, ist für eine wirksame Einwilligung in die Verarbeitung Ihrer Daten gemäß Art. 8 DSGVO zusätzlich die Einwilligung des/der Inhabers/Inhaberin der elterlichen Verantwortung erforderlich.

5. Welche Daten wir verarbeiten

5.1 Account-Daten

Bei Abschluss eines Abonnements oder bei Registrierung einer Tenant-Organisation erheben und speichern wir:

• E-Mail-Adresse
• Passwort (ausschließlich als bcrypt-Hash)
• Optional: Anzeigename, Telefonnummer
• Kunden- und Abo-Kennung bei CopeCart GmbH
• Gewählter Plan und Trainings-Verbrauch (Minuten)
• Login- und Aktivitäts-Zeitstempel

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

5.2 Zahlungsdaten

Die Abwicklung der Zahlung erfolgt direkt über CopeCart GmbH, Rosenstraße 2, 10178 Berlin, Deutschland. Kreditkarten-, SEPA- und Konto-Informationen werden ausschließlich von CopeCart GmbH erhoben und verarbeitet. Wir erhalten lediglich abstrahierte Bezahlmetadaten (Subscription-Status, Plan, letzte vier Ziffern der Karte). Datenschutzhinweise von CopeCart GmbH: https://www.copecart.com/datenschutz

5.3 Trainings-Daten (Audio und Transkript)

Während eines Trainings-Calls werden folgende Daten verarbeitet:

• Audio-Stream Ihrer Stimme, wird in Echtzeit an die Sprach-Pipeline (OpenAI Realtime API, USA) gestreamt zur automatischen Transkription und Dialog-Steuerung. Die Roh-Audio- Daten werden nicht dauerhaft gespeichert; nach Verarbeitung werden sie verworfen. Persistent gespeichert wird ausschließlich das textbasierte Transkript.
• Mitschnitt Ihres Mikrofons zur nachträglichen Abschrift, zusätzlich zum Echtzeit-Strom wird Ihr Mikrofon während des Gesprächs aufgezeichnet und die Aufnahme nach dem Ende des Anrufs einmalig an das Transkriptionsmodell whisper-1 von OpenAI (USA) übermittelt. Das dient einer genaueren Abschrift, als sie das Echtzeit-Modell liefert. Die Aufnahme wird bei uns nicht gespeichert, sie entsteht im Browser, wird einmal übertragen und danach verworfen. Gespeichert wird nur der zurückgelieferte Text.
• Transkript-Texte, der vollständige User-/Bot-Dialog wird in unserer Datenbank gespeichert, um das KI-Feedback zu generieren und Ihren Trainingsfortschritt abzubilden.
• Stimm-Metriken, abgeleitete numerische Eigenschaften (z. B. Sprechtempo, Pausen-Anteil, Tonhöhen-Schwankung). Keine Roh-Audio-Speicherung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Kern-Funktionalität der Trainings-Plattform).

Hinweis zu biometrischen Daten: Die Stimm-Metriken werden ausschließlich zur Verbesserung Ihres Trainings-Feedbacks und nicht zur eindeutigen Identifizierung Ihrer Person ausgewertet. Eine biometrische Identifikation im Sinne des Art. 9 Abs. 1 DSGVO findet nicht statt.

5.4 Kamera und Körpersprache (nicht mehr im Einsatz)

Bis zum 13.08.2026 gab es einen optionalen Video-Modus, in dem die Kamera für die Analyse von Blickrichtung, Haltung und Gestik genutzt wurde. Dieser Modus wurde vollständig entfernt. Die Anwendung fordert keinen Kamerazugriff mehr an, es findet keine Analyse von Bilddaten statt, und es werden keine daraus abgeleiteten Werte mehr erhoben oder gespeichert.

Auch während der Zeit, in der der Modus verfügbar war, wurde kein Videobild an unsere Server oder an Dritte übertragen; die Analyse lief vollständig im Browser auf dem Endgerät. Bereits gespeicherte numerische Werte aus dieser Zeit unterliegen der Löschfrist unter Ziffer 9 und können auf Wunsch jederzeit vorzeitig gelöscht werden.

Keine Emotionserkennung. Wir leiten aus Mikrofondatenkeinen Gefühls- oder Gemütszustand ab, weder Anspannung noch Stress, Nervosität, Stimmung oder Motivation. Erhoben wird ausschließlich physisch Hörbares; die Auswertung beschreibt die Wirkung auf den Gesprächspartner, nicht Ihr Inneres. Ein zuvor erhobener Anspannungs-Wert wurde am 06.08.2026 abgeschaltet und aus den Bestandsdaten gelöscht.

5.5 KI-gestütztes Feedback (Profiling)

Nach jedem abgeschlossenen Trainings-Call analysiert eine Künstliche Intelligenz (Claude, Anthropic) Ihr Transkript und erzeugt eine textuelle Bewertung sowie einen numerischen Score zwischen 0 und 100. Diese Bewertung ist eine automatisierte Verarbeitung mit profilbildendem Charakter im Sinne des Art. 22 Abs. 1 DSGVO. Sie hat keinerlei rechtliche oder ähnlich erhebliche Wirkung , sie dient ausschließlich Ihrer persönlichen Trainings-Rückmeldung. Eine Kategorisierung, Diskriminierung oder Weitergabe an Dritte findet nicht statt.

Sie haben dennoch das Recht, der automatisierten Bewertung zu widersprechen (Art. 21 DSGVO) und eine menschliche Überprüfung einzelner Bewertungen zu verlangen. Wenden Sie sich dazu an info@pheitos.com.

5.6 Hinweis nach EU-KI-Verordnung (AI Act)

Sie interagieren in den Trainings-Calls mit einem KI-System und nicht mit einem Menschen. Die Stimmen der KI-Personas sind synthetisch erzeugt (Text-to-Speech) und stellen keine realen Personen dar. Ebenso sind die Portraitbilder der Personas KI-generiert und zeigen keine existierenden Menschen, auch dann nicht, wenn sie fotorealistisch wirken. Diese Transparenz-Pflichten ergeben sich aus Art. 50 der Verordnung (EU) 2024/1689 über Künstliche Intelligenz.

Keine Emotionserkennung. Aus Ihrer Stimme wird kein Gefühls- oder Gemütszustand abgeleitet. Erhoben wird ausschließlich physisch Hörbares; die Auswertung beschreibt die Wirkung auf den Gesprächspartner, nicht Ihr Inneres.

5.7 Technische Logdaten

Beim Aufruf der Plattform werden automatisch folgende technische Daten in den Server-Logfiles erhoben:

• IP-Adresse
• User-Agent (Browser, Betriebssystem)
• Aufgerufene URL, Zeitstempel, HTTP-Status-Code, Referrer

Wie lange wir IP-Adressen speichern. Das hängt vom Zweck ab; wir nennen sie hier vollständig, statt eine pauschale Frist zu behaupten:

• Missbrauchsabwehr beim kostenlosen Test: Wir speichern die IP-Adresse, um zu verhindern, dass über dieselbe Leitung mehrfach Testkonten angelegt werden. Nach 30 Tagen wird sie gekürzt (das letzte Feld auf Null gesetzt), damit sie keiner Person mehr zuzuordnen ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Nachweis von Vertragsabschlüssen: Wenn Sie einen Vertrag oder eine Bestellung elektronisch unterzeichnen, halten wir fest, von welcher IP-Adresse aus das geschah. Diese Angabe ist ein Beweismittel und bleibt bis zum Ablauf der gesetzlichen Verjährungsfristen erhalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
• Protokoll administrativer Handlungen: Änderungen durch Verwaltende werden mit IP-Adresse protokolliert, weil wir nach Art. 5 Abs. 2 DSGVO nachweisen können müssen, wer was getan hat. Nach 12 Monaten wird die Adresse gekürzt, der Protokolleintrag selbst bleibt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit, Stabilität und Missbrauchs­abwehr).

6. Empfänger und Auftragsverarbeiter

Zum Betrieb der Plattform setzen wir die folgenden Dienstleister als Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein. Mit jedem dieser Dienstleister besteht ein Auftragsverarbeitungsvertrag (AVV).

Soweit Übermittlungen in die USA stattfinden, geschieht dies auf Grundlage des EU-US Data Privacy Frameworks (Angemessenheits- beschluss der EU-Kommission vom 10. Juli 2023, soweit der Empfänger zertifiziert ist) oder ergänzend auf Grundlage der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) nebst zusätzlicher technischer und organisatorischer Maßnahmen.

7. Speicherdauer

• Account-Daten: bis 30 Tage nach Vertragsende, danach Löschung
• Trainings-Transkripte und Feedbacks: bis 24 Monate, danach Löschung
• Stimm-Metriken: bis 24 Monate
• Rechnungsdaten: 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflichten gem. § 257 HGB, § 147 AO)
• Technische Logs (Server-Zugriffsprotokolle): 14 Tage

8. Ihre Rechte als betroffene Person

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Recht auf Löschung, „Recht auf Vergessenwerden" (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)
• Recht auf menschliche Überprüfung automatisierter Entscheidungen (Art. 22 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich formlos an info@pheitos.com. Eine Identitätsprüfung kann zur Vermeidung missbräuchlicher Anfragen erforderlich sein.

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben gemäß Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der Behörde Ihres üblichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Eine Liste der deutschen Aufsichtsbehörden finden Sie unter bfdi.bund.de.

10. Cookies und ähnliche Technologien

Für den Betrieb der Plattform setzen wir ausschließlich technisch notwendige Cookies ein (Session-Cookie, CSRF-Token, Auth-Token). Diese sind essentiell für den Login- Mechanismus und die Tenant-Erkennung und können nicht abgewählt werden. Die Rechtsgrundlage ergibt sich aus § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b DSGVO.

Wir setzen keine Tracking-, Marketing- oder Analyse-Cookies ein. Ein Cookie-Banner ist daher nicht erforderlich.

11. Datensicherheit

Wir verwenden im Transport eine TLS-Verschlüsselung (HTTPS). Passwörter werden ausschließlich als bcrypt-Hash mit Salt gespeichert. Schlüssel des Zahlungsdienstleisters werden im Klartext nie protokolliert und in der Datenbank verschlüsselt abgelegt (AES-GCM). Der Zugang zu unseren Produktiv-Systemen ist auf wenige berechtigte Personen mit Zwei-Faktor-Authentifizierung beschränkt.

12. Aktualität dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, soweit dies aufgrund neuer Technologien, geänderter Rechtslage oder neuer Auftragsverarbeiter erforderlich wird. Die jeweils aktuelle Version ist unter /datenschutz abrufbar.