Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten in der Anwendung „askHugo" gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Florian Funk
Wolfratshauserstr. 47, 82049 Pullach
E-Mail: florian@florianfunk.de

3. Zwecke und Rechtsgrundlagen der Verarbeitung

askHugo ist eine Multi-Tenant-Software-as-a-Service-Plattform für Versicherungsagenturen. Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

Account- und Mandantenverwaltung — Anlage, Authentifizierung und Verwaltung von Nutzerkonten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Verarbeitung von Versicherungsanfragen — Empfang, Strukturierung und Aufbereitung von Anfragen aus Drittsystemen (z.B. Flixcheck). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 28 DSGVO (Auftragsverarbeitung im Auftrag der Agentur).
KI-gestützte Extraktion — Auslesen strukturierter Felder aus Dokumenten wie Fahrzeugscheinen und Führerscheinen mittels Vision-LLM. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Übertragung in externe Angebotsportale über eine Browser-Extension auf dem Arbeitsplatz der Innendienst-Mitarbeitenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Versand transaktionaler E-Mails — Einladungen, Passwort-Resets, Benachrichtigungen an Mitarbeitende und Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Logging und Fehleranalyse — anonymisierte Aufzeichnung technischer Fehler zur Sicherstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Kategorien personenbezogener Daten

Stamm- und Kontaktdaten von Nutzer:innen der Agenturen (Name, E-Mail, Telefon, Rolle)
Kundendaten aus Versicherungsanfragen (Name, Anschrift, Geburtsdatum, Fahrzeug- und Führerscheindaten)
Dateianhänge (Fahrzeugschein, Führerschein, Schadensbilder)
Kommunikationsmetadaten (Eingangszeit, Antwortstatus)
Aktivitätslog (Wer hat wann was geändert — DSGVO Art. 5 Abs. 2)

5. Empfänger und Subprozessoren

Die Verarbeitung kann – abhängig von den durch die jeweilige Agentur aktivierten Funktionen – durch die nachfolgend genannten Dienstleister unterstützt werden. Vor einer produktiven Aktivierung ist jeweils zu prüfen und zu dokumentieren, ob der erforderliche Auftragsverarbeitungsvertrag und gegebenenfalls geeignete Garantien für Drittlandübermittlungen vorliegen.

Vercel Inc. — Anwendungs-Hosting und CDN. Standort: Frankfurt am Main, Deutschland. AV-Vertrag: https://vercel.com/legal/dpa
Supabase Inc. — Datenbank, Authentifizierung, Datei-Speicher. Standort: Frankfurt am Main, Deutschland (EU-Region). AV-Vertrag: https://supabase.com/legal/dpa
Anthropic PBC — KI-Verarbeitung (Vision-LLM Extraktion). Standort: Vereinigte Staaten (Standardvertragsklauseln). AV-Vertrag: https://www.anthropic.com/legal/aup
Flixcheck GmbH — Anfrage-Quelle und Webhook-Empfang. Standort: Deutschland.
Resend Inc. — Transaktionaler Email-Versand (Einladungen, Reset-Mails). Standort: Vereinigte Staaten (Standardvertragsklauseln). AV-Vertrag: https://resend.com/legal/dpa

6. Übermittlung in Drittländer

Die Anwendung wird in Deutschland (Frankfurt am Main) betrieben. Soweit Subprozessoren ihren Sitz außerhalb der EU/des EWR haben (z.B. KI- oder E-Mail-Anbieter), bestehen mit diesen die EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

7. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck oder aufgrund gesetzlicher Aufbewahrungspflichten erforderlich ist. Die konkrete Frist hängt von Datenart, Vertragsstatus und den Pflichten der verantwortlichen Versicherungsagentur ab.

Ignorierte Anfragen erhalten derzeit ein geplantes Löschdatum von 90 Tagen.
Kunden-, Vertrags- und Beratungsdaten werden nach einer dokumentierten Löschprüfung gelöscht oder anonymisiert, soweit keine Pflicht zur weiteren Aufbewahrung besteht.
Technische Protokolle richten sich nach der konfigurierten Aufbewahrungsdauer des jeweiligen Hosting- oder Monitoring-Anbieters.

8. Ihre Rechte

Sie haben das Recht auf:

Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung Ihrer Daten (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht besteht
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist die Datenschutzbehörde Ihres Wohnsitzes.

9. Pflicht zur Bereitstellung

Die Bereitstellung der Daten ist für die Nutzung der Anwendung erforderlich. Ohne die genannten Daten kann der Dienst nicht erbracht werden.

10. Automatisierte Einzelfallentscheidungen

Die KI-gestützte Extraktion strukturiert Daten aus Dokumenten, trifft aber keine eigenständigen Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. Sämtliche extrahierten Daten werden von Mitarbeitenden der Agentur geprüft und freigegeben, bevor sie in Angebotsportale übertragen werden.

11. Datensicherheit

Wir setzen marktübliche technische und organisatorische Maßnahmen ein: Verschlüsselung der Datenübertragung, Mandanten-Isolation auf Datenbankebene (Row-Level-Security), rollenbasierte Zugangskontrolle und Aktivitäts-Logging zur Nachvollziehbarkeit. Sicherheitsfunktionen wie Mehr-Faktor-Authentifizierung werden erst dann als Bestandteil des Dienstes ausgewiesen, wenn sie technisch aktiviert und betrieblich durchgesetzt sind.

12. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets aktuellen rechtlichen Anforderungen entsprechen zu lassen oder um Änderungen unserer Leistungen umzusetzen.