Datenschutz und Datensicherheit

Stand: Januar 2026

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung:

mAinds Labs
Friedrich-Ebert-Anlage 36
60325 Frankfurt am Main
Deutschland

2. Grundsätze der Datenverarbeitung

Der verantwortungsvolle Umgang mit personenbezogenen Daten ist ein zentraler Bestandteil unserer Dienstleistung. mAinds Labs verarbeitet sämtliche Daten ausschließlich im Rahmen der geltenden Datenschutzgesetze, insbesondere gemäß der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).

Wir verpflichten uns zu folgenden Grundsätzen:

Rechtmäßigkeit und Transparenz: Jede Verarbeitung erfolgt auf einer gesetzlichen Grundlage
Zweckbindung: Daten werden nur für definierte, legitime Zwecke verwendet
Datenminimierung: Wir erheben nur die notwendigen Daten
Richtigkeit: Daten werden aktuell und korrekt gehalten
Speicherbegrenzung: Daten werden nur so lange gespeichert wie erforderlich
Integrität und Vertraulichkeit: Angemessene Sicherheitsmaßnahmen schützen Ihre Daten

3. Art der verarbeiteten Daten

Im Rahmen unseres KI-Telefonassistenten verarbeiten wir folgende Kategorien personenbezogener Daten:

3.1 Telefonie-Daten

Telefonnummern (Anrufer und Angerufene)
Anrufdatum und -uhrzeit
Anrufdauer
Anrufstatus (angenommen, abgelehnt, verpasst)
Rufnummernidentifikation (Caller ID)

3.2 Gesprächsdaten

Sprachaufzeichnungen (Audio-Dateien der Telefongespräche)
Gesprächstranskripte (Text-Umwandlung der Gespräche)
Gesprächsinhalte und -kontext
KI-generierte Antworten und Dialogverläufe
Sentiment-Analysen (falls aktiviert)

3.3 Kontakt- und Stammdaten

Vor- und Nachnamen
E-Mail-Adressen
Adressdaten (sofern im Gespräch genannt)
Unternehmenszugehörigkeit
Kundennummern oder Referenznummern

3.4 Terminverwaltungsdaten

Termine und Kalenderdaten
Terminpräferenzen
Bestätigungen und Erinnerungen

3.5 Technische Daten

IP-Adressen (bei Web-Interface-Nutzung)
Browser-Typ und -Version
Geräteinformationen
Log-Dateien und Systemprotokolle
Session-Daten

4. Zwecke und Rechtsgrundlagen der Verarbeitung

4.1 Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)

Die Verarbeitung erfolgt zur Erfüllung unseres Vertrages mit Ihnen als Kunde:

Bereitstellung des KI-Telefonassistenten
Anrufannahme und -weiterleitung
Terminvereinbarungen und -verwaltung
Kundenservice und Support
Gesprächsdokumentation

4.2 Einwilligung (Art. 6 Abs. 1 lit. a DSGVO)

Für die Aufzeichnung und Transkription von Telefonaten holen wir eine ausdrückliche Einwilligung ein:

Automatische Ansage: Zu Beginn jedes Gesprächs erfolgt eine automatisierte Information über die Aufzeichnung
Widerspruchsmöglichkeit: Anrufer können der Aufzeichnung widersprechen
Dokumentation: Einwilligungen werden protokolliert

Widerrufsrecht: Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Bereits erfolgte Verarbeitungen bleiben rechtmäßig.

4.3 Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO)

Folgende Verarbeitungen erfolgen zur Wahrung unserer berechtigten Interessen:

Verbesserung der KI-Modelle und Servicequalität
Systemsicherheit und Betrugsprävention
Technische Administration und Fehleranalyse
Interne Statistiken und Analysen

4.4 Gesetzliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO)

Aufbewahrung für steuerliche und handelsrechtliche Zwecke
Auskunftspflichten gegenüber Behörden

5. Datenübermittlung und Drittanbieter

Zur Erbringung unserer Dienstleistung setzen wir folgende technische Dienstleister ein, die als Auftragsverarbeiter gemäß Art. 28 DSGVO fungieren:

5.1 Voice-AI-Verarbeitung

ElevenLabs

Zweck: Sprachsynthese und KI-Stimmengenerierung
Standort: USA/Vereinigtes Königreich
Datenschutzniveau: EU-US Data Privacy Framework / Standardvertragsklauseln
Verarbeitete Daten: Gesprächsinhalte, Sprachaufzeichnungen
AVV: Vorhanden
Datenschutzerklärung: https://elevenlabs.io/privacy

Besonderheit: ElevenLabs nutzt Sprachdaten NICHT zum Training ihrer KI-Modelle, sofern dies vertraglich ausgeschlossen wurde (unser Standard).

5.2 Telefonie-Infrastruktur

Twilio Inc.

Zweck: Telefonie-Dienste, SIP-Trunking, SMS
Standort: USA (Server können in EU-Region konfiguriert werden)
Datenschutzniveau: EU-US Data Privacy Framework / Standardvertragsklauseln
Verarbeitete Daten: Telefonnummern, Anrufmetadaten, Gesprächsaufzeichnungen
AVV: Vorhanden
Datenschutzerklärung: https://www.twilio.com/legal/privacy

5.3 Cloud-Infrastruktur

Google Cloud Platform (GCP)

Zweck: Hosting, Datenverarbeitung, Speicherung
Standort: EU-Region (Frankfurt/Belgien)
Datenschutzniveau: Angemessenheitsbeschluss EU-USA / Google's EU Data Commitments
Verarbeitete Daten: Alle Systemdaten, Datenbanken, Backups
AVV: Vorhanden
Datenschutzerklärung: https://policies.google.com/privacy

5.4 Workflow-Automation

n8n GmbH / Self-Hosted

Zweck: Prozessautomatisierung, Integrationen
Standort: Selbst gehostet auf Google Cloud (EU)
Verarbeitete Daten: Geschäftsprozess-Daten, API-Verbindungen
AVV: Nicht erforderlich bei Self-Hosting

5.5 Liste der Subunternehmer

Eine aktuelle Liste aller Subauftragsverarbeiter können Sie jederzeit unter info@mainds.ai anfordern. Bei Wechsel oder Hinzufügung neuer Subunternehmer werden Sie informiert und haben ein Widerspruchsrecht.

6. Drittlandübermittlung

Wichtiger Hinweis: Durch die Nutzung von ElevenLabs und Twilio erfolgt eine Datenübermittlung in die USA. Dies stellt eine Übermittlung in ein Drittland außerhalb der EU dar.

Schutzmechanismen:

EU-US Data Privacy Framework: Beide Anbieter sind zertifiziert
Standardvertragsklauseln (SCC): Nach Art. 46 Abs. 2 lit. c DSGVO
Zusätzliche Schutzmaßnahmen: Ende-zu-Ende-Verschlüsselung, strenge Zugriffskontrollen
Transfer Impact Assessment: Durchgeführt gemäß Schrems-II-Urteil

Sie haben das Recht, eine Kopie der getroffenen Garantien anzufordern.

7. Speicherdauer und Löschung

7.1 Standardspeicherfristen

Gesprächsaufzeichnungen: 90 Tage (konfigurierbar: 30-365 Tage)
Transkripte: 180 Tage (konfigurierbar)
Anrufmetadaten: 12 Monate (für Abrechnungs- und Analysezwecke)
Kundendaten: Dauer der Geschäftsbeziehung + 3 Jahre (gesetzliche Aufbewahrungspflichten)
Log-Dateien: 90 Tage

7.2 Individuelle Konfiguration

Unternehmen können die Speicherfristen gemäß ihren internen Richtlinien und gesetzlichen Anforderungen anpassen. Wir unterstützen:

Automatisierte Löschroutinen
Anonymisierung nach Ablauf der Speicherfrist
Sofortige Löschung auf Anfrage (sofern keine gesetzlichen Aufbewahrungspflichten bestehen)

7.3 Anonymisierung

Nach Ablauf der Speicherfrist werden personenbezogene Daten entweder gelöscht oder so anonymisiert, dass kein Personenbezug mehr hergestellt werden kann.

8. Ihre Rechte als Betroffene Person

Gemäß DSGVO haben Sie folgende Rechte:

8.1 Auskunftsrecht (Art. 15 DSGVO)

Sie können Auskunft über Ihre gespeicherten Daten verlangen.

8.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie können die Korrektur unrichtiger Daten verlangen.

8.3 Recht auf Löschung (Art. 17 DSGVO)

Sie können die Löschung Ihrer Daten verlangen, wenn:

Der Verarbeitungszweck entfallen ist
Sie Ihre Einwilligung widerrufen haben
Die Daten unrechtmäßig verarbeitet wurden
Keine gesetzlichen Aufbewahrungspflichten bestehen

8.4 Recht auf Einschränkung (Art. 18 DSGVO)

Sie können die Einschränkung der Verarbeitung verlangen.

8.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie können Ihre Daten in einem strukturierten, maschinenlesbaren Format erhalten.

8.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie können der Verarbeitung widersprechen, die auf berechtigtem Interesse beruht.

8.7 Widerrufsrecht bei Einwilligung

Sie können erteilte Einwilligungen jederzeit widerrufen.

Ausübung Ihrer Rechte:
Kontaktieren Sie uns unter info@mainds.ai oder schriftlich an die oben genannte Adresse.

9. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren:

Zuständige Behörde:
Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: 0611 1408-0
E-Mail: poststelle@datenschutz.hessen.de
Website: https://datenschutz.hessen.de

10. Datensicherheit - Technische und organisatorische Maßnahmen

10.1 Verschlüsselung

Transport-Verschlüsselung: TLS 1.3 für alle Datenübertragungen
Speicher-Verschlüsselung: AES-256 für ruhende Daten
Ende-zu-Ende-Verschlüsselung: Für besonders sensible Gesprächsinhalte (optional)
Verschlüsselte Backups: Alle Sicherungen erfolgen verschlüsselt

10.2 Zugriffskontrolle

Rollenbasierte Zugriffsverwaltung (RBAC): Zugriff nur nach Need-to-know-Prinzip
Multi-Faktor-Authentifizierung (MFA): Verpflichtend für alle Administratoren
API-Key-Management: Sichere Verwaltung von Zugriffsschlüsseln
Zugriffsprotokolle: Lückenlose Dokumentation aller Systemzugriffe

10.3 Infrastruktur-Sicherheit

ISO 27001-zertifizierte Rechenzentren: Hosting bei Google Cloud (EU-Region)
Physische Sicherheit: Zutrittskontrolle, Videoüberwachung, Brandschutz
Redundante Systeme: Hochverfügbarkeitsarchitektur mit Failover-Mechanismen
DDoS-Schutz: Automatische Abwehr von Überlastungsangriffen
Firewall und Intrusion Detection: Mehrschichtige Netzwerksicherheit

10.4 Monitoring und Incident Response

24/7-Überwachung: Automatisierte Erkennung von Anomalien
Security Information and Event Management (SIEM): Zentrale Sicherheitsereignis-Analyse
Incident Response Plan: Dokumentierter Ablauf für Sicherheitsvorfälle
Regelmäßige Sicherheitsupdates: Zeitnahe Behebung bekannter Schwachstellen
Penetrationstests: Jährliche externe Sicherheitsaudits

10.5 Backup und Disaster Recovery

Automatisierte Backups: Täglich, wöchentlich und monatlich
Geo-redundante Speicherung: Backups in mehreren EU-Rechenzentren
Recovery Time Objective (RTO): < 4 Stunden
Recovery Point Objective (RPO): < 1 Stunde
Regelmäßige Recovery-Tests: Vierteljährliche Überprüfung der Wiederherstellbarkeit

10.6 Organisatorische Maßnahmen

Datenschutz-Schulungen: Verpflichtend für alle Mitarbeiter
Vertraulichkeitsverpflichtungen: Schriftliche Verpflichtung aller Beschäftigten
Auftragsverarbeitungsverträge: Mit allen Subunternehmern
Datenschutz-Management-System: Dokumentierte Prozesse und Richtlinien
Regelmäßige Audits: Interne und externe Überprüfungen

10.7 Datenschutz-Folgenabschätzung (DSFA)

Für unseren KI-Telefonassistenten haben wir eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO durchgeführt. Diese evaluiert:

Risiken für die Rechte und Freiheiten betroffener Personen
Maßnahmen zur Risikominimierung
Verhältnismäßigkeit der Datenverarbeitung

Auf Anfrage stellen wir eine Zusammenfassung der DSFA zur Verfügung.

11. Transparenz und Kundenkontrolle

11.1 Volle Datenkontrolle für Kunden

Unternehmen, die unseren KI-Telefonassistenten nutzen, behalten die vollständige Kontrolle über ihre Daten:

Konfigurierbare Datenverarbeitung: Entscheidung über Aufzeichnung, Speicherung und Anonymisierung
Echtzeit-Zugriff: Zugang zu allen Gesprächsdaten über das Dashboard
Exportfunktion: Download aller Daten in maschinenlesbaren Formaten
Selbstbestimmte Löschung: Jederzeit Löschung einzelner oder aller Datensätze möglich

11.2 Informationspflichten gegenüber Endnutzern (Anrufern)

Unternehmen, die unseren Dienst nutzen, sind verpflichtet, ihre Anrufer zu informieren:

Automatisierte Ansage: "Dieser Anruf wird von einem KI-Assistenten beantwortet und kann zu Qualitäts- und Schulungszwecken aufgezeichnet werden."
Opt-out-Möglichkeit: Anrufer können die Aufzeichnung ablehnen
Datenschutzhinweis: Bereitstellung von Informationen über die Datenverarbeitung

11.3 Keine Weitergabe an Dritte

Wir geben Daten nicht ohne Rechtsgrundlage weiter:

Keine Verkauf von Daten an Dritte
Keine Nutzung für eigene Marketingzwecke
Keine Weitergabe an andere Kunden oder Partner
Ausnahme: Gesetzliche Verpflichtungen oder behördliche Anordnungen

12. Besondere Hinweise zur KI-Verarbeitung

12.1 KI-Modelle und Training

Keine Nutzung für Modell-Training: Ihre Gespräche werden NICHT zur Verbesserung allgemeiner KI-Modelle verwendet
Kundenspezifisches Fine-Tuning: Auf Wunsch nur mit expliziter Einwilligung
Transparenz: Offenlegung verwendeter KI-Modelle auf Anfrage

12.2 Automatisierte Entscheidungen

Unser System trifft keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO mit rechtlicher Wirkung oder erheblicher Beeinträchtigung. Der KI-Assistent:

Gibt Informationen weiter
Vereinbart Termine
Dokumentiert Gespräche

Wichtige Entscheidungen verbleiben immer beim Menschen.

13. Cookies und Tracking auf der Website

Unsere Website verwendet nur technisch notwendige Cookies:

Session-Cookies: Für die Funktionalität des Web-Dashboards
Keine Tracking-Cookies: Wir verwenden keine Analyse- oder Marketing-Cookies

Drittanbieter-Cookies (z.B. von Wix als Website-Baukasten) können separat gesteuert werden. Siehe Cookie-Banner beim ersten Besuch.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Leistungen anzupassen. Über wesentliche Änderungen informieren wir Sie per E-Mail oder über das Dashboard.

Aktuelle Version: Immer unter https://info117280.wixsite.com/mainds/datenschutz

15. Kontakt und Fragen

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte kontaktieren Sie uns:

E-Mail: info@mainds.ai
Telefon: [Ihre Telefonnummer]
Postanschrift: Friedrich-Ebert-Anlage 36, 60325 Frankfurt am Main