Datenschutzerklärung

Alvoru misst dem Schutz personenbezogener Daten große Bedeutung bei. Diese Datenschutzerklärung wurde in Übereinstimmung mit der Datenschutz-Grundverordnung (Verordnung (EU) 2016/679, nachfolgend: DSGVO) und dem nationalen Datenschutzrecht erstellt und beschreibt, wie Alvoru personenbezogene Daten erhebt, verarbeitet, sichert und löscht.

1. Verantwortlicher

Der Verantwortliche im Sinne von Artikel 4 Abs. 7 DSGVO ist:

Ansprechpartner für Datenschutzfragen: Yousri über info@alvoru.com. Alvoru ist nach der DSGVO nicht verpflichtet, einen Datenschutzbeauftragten (DSB) zu bestellen.

2. Welche personenbezogenen Daten verarbeiten wir?

Alvoru verarbeitet ausschließlich personenbezogene Daten, die für die Erbringung unserer Dienstleistung erforderlich sind. Je nach Dienst kann es sich handeln um:

• Kontakt- und Unternehmensdaten: Name, Firmenname, E-Mail-Adresse, Telefonnummer, Adresse, Handelsregisternummer und Funktionsdaten.
• Kontodaten: Anmeldedaten, Passwort-Hash, Sitzungs-Cookies, Einstellungen.
• Gesprächsinhalte: Nachrichten und Gespräche zwischen Endnutzern und unseren KI-Kanälen (Chatbot und E-Mail).
• Buchungs- und Kalenderdaten: Name, Kontaktdaten, Zeitpunkt und Gegenstand von Terminen.
• Technische Daten: IP-Adresse, Browser und Betriebssystem, Zeitstempel, Seitenverhalten.
• Cookie-Daten: siehe Abschnitt 10.
• Zahlungsdaten: Rechnungsdaten und Zahlungshistorie; Kreditkarten- und IBAN-Daten werden nicht von Alvoru gespeichert, sondern ausschließlich vom Zahlungsdienstleister Mollie verarbeitet.

3. Zwecke und Rechtsgrundlagen (Artikel 6 DSGVO)

Für Verarbeitungen auf Grundlage berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO) hat Alvoru eine Interessenabwägung (LIA) durchgeführt. Speziell für Sicherheit, Betrugserkennung und Missbrauchsprävention: Alvoru hat ein berechtigtes Interesse am Schutz ihrer Systeme und Kundendaten. Ihre Interessen überwiegen dieses berechtigte Interesse nicht, da die Verarbeitung auf technische Daten (IP-Adresse, Zeitstempel) beschränkt ist, für den Schutz aller Nutzer strikt notwendig ist und Sie hierüber in dieser Datenschutzerklärung informiert werden.

4. Aufbewahrungsfristen

Alvoru bewahrt personenbezogene Daten nicht länger auf, als für die Zwecke erforderlich, für die sie erhoben wurden:

• Kundendaten (aktiv): während der Laufzeit des Vertrags und bis zu 60 Tage nach Beendigung (siehe AGB Art. 11).
• Rechnungen und Finanzverwaltung: 7 Jahre, gemäß den steuerlichen Aufbewahrungspflichten.
• KI-Gesprächsprotokolle: 12 Monate, sofern der Auftraggeber nicht schriftlich eine kürzere Frist vereinbart.
• Marketing-Opt-in: bis zum Widerruf der Einwilligung.
• Lead-Daten (Nicht-Kunde): maximal 12 Monate.
• Technische Protokolldateien und Sicherheitsprotokolle: maximal 12 Monate.
• Backups: maximal 90 Tage.

5. Weitergabe an Dritte und Übermittlung

Alvoru gibt personenbezogene Daten ausschließlich an Unterauftragsverarbeiter weiter, die für die Dienstleistung strikt erforderlich sind. Mit jedem Unterauftragsverarbeiter ist ein Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO geschlossen.

Eine Übermittlung in Länder außerhalb des EWR erfolgt ausschließlich auf Grundlage eines gültigen Angemessenheitsbeschlusses, einer DPF-Zertifizierung oder der EU-Standardvertragsklauseln, ergänzt um zusätzliche technische und organisatorische Maßnahmen, sofern erforderlich.

6. Rechte der betroffenen Personen

Sie haben nach der DSGVO die folgenden Rechte:

• Auskunft (Art. 15) — zu erfahren, welche Daten wir von Ihnen verarbeiten.
• Berichtigung und Korrektur (Art. 16) — Sie haben das Recht, unrichtige oder unvollständige personenbezogene Daten berichtigen zu lassen. Sie können einen Berichtigungsantrag stellen über info@alvoru.com mit einer Beschreibung, welche Daten unrichtig sind und wie die korrekten Daten lauten. Alvoru bearbeitet Ihren Antrag innerhalb eines Monats und bestätigt die durchgeführte Korrektur schriftlich per E-Mail.
• Löschung (Art. 17, „Recht auf Vergessenwerden“).
• Einschränkung der Verarbeitung (Art. 18).
• Datenübertragbarkeit (Art. 20) — Ihre Daten in einem maschinenlesbaren Format zu erhalten.
• Widerspruch (Art. 21) — gegen Verarbeitungen auf Grundlage berechtigten Interesses oder Direktwerbung.
• Widerruf der Einwilligung (Art. 7 Abs. 3) — für Verarbeitungen auf Grundlage der Einwilligung, ohne dass die Rechtmäßigkeit der bisherigen Verarbeitung berührt wird.
• Menschliches Eingreifen (Art. 22) bei automatisierter Entscheidungsfindung (siehe Abschnitt 7).

Sie können einen Antrag stellen über info@alvoru.com. Alvoru antwortet innerhalb eines Monats, gemäß Artikel 12 Abs. 3 DSGVO. Zur Überprüfung Ihrer Identität kann Alvoru zusätzliche Informationen anfordern.

Sind Sie der Ansicht, dass Alvoru gegen die DSGVO verstößt, haben Sie das Recht, eine Beschwerde bei der zuständigen Aufsichtsbehörde einzureichen, in den Niederlanden bei der Autoriteit Persoonsgegevens (Postbus 93374, 2509 AJ Den Haag, autoriteitpersoonsgegevens.nl).

7. Automatisierte Entscheidungsfindung und KI

Der KI-Chatbot und die E-Mail-Automatisierung von Alvoru verarbeiten Nachrichten automatisch und können eigenständig Antworten generieren. Bei Buchungen und automatisierten Reservierungen kann dies zu Entscheidungen mit Rechtswirkung für den Endnutzer im Sinne von Artikel 22 DSGVO führen.

Endnutzer haben nach Artikel 22 Abs. 3 DSGVO das Recht,

• menschliches Eingreifen zu erwirken;
• ihren Standpunkt darzulegen;
• die Entscheidung anzufechten.

Dieses Recht kann durch Kontaktaufnahme mit dem Unternehmen, das den Dienst von Alvoru nutzt, oder mit Alvoru selbst ausgeübt werden über info@alvoru.com.

Löschung von Chat-Gesprächen (Art. 17): Besucher, die über den KI-Chatbot auf einer von Alvoru betreuten Website ein Gespräch geführt haben, können die Löschung ihres Chatverlaufs beantragen, indem sie eine E-Mail senden an info@alvoru.com unter Angabe von: der Website, auf der das Gespräch stattfand, dem (ungefähren) Datum und einer Beschreibung des Gesprächs. Alvoru bearbeitet den Antrag innerhalb von 30 Tagen. Chatdaten, die älter als 90 Tage sind, werden automatisch anonymisiert.

Gemäß Artikel 50 der EU-KI-Verordnung (2024/1689) informieren unsere KI-Systeme die Endnutzer eindeutig darüber, dass sie mit einem KI-System kommunizieren.

7a. Chatbot-Besucher von Kundenwebsites

Unsere Kunden setzen den Alvoru KI-Chatbot auf ihren eigenen Websites ein. Als Besucher einer solchen Kundenwebsite werden Ihre Chat-Gespräche von Alvoru als Auftragsverarbeiter (Unterauftragsverarbeiter) verarbeitet. Der Kunde ist in diesem Fall der Verantwortliche im Sinne der DSGVO. Alvoru verarbeitet Ihre Chatdaten ausschließlich auf Anweisung und im Auftrag des betreffenden Kunden. Weitere Informationen darüber, wie dieser Kunde Ihre Daten verarbeitet, finden Sie in der Datenschutzerklärung der Website, auf der Sie den Chatbot nutzen.

8. Sicherheit

Alvoru trifft geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten vor Verlust oder jeglicher Form unrechtmäßiger Verarbeitung zu schützen (Artikel 32 DSGVO), darunter:

• TLS-1.2+-Verschlüsselung für die gesamte Kommunikation (HTTPS).
• Gesalzenes Passwort-Hashing (bcrypt) und Sitzungsverwaltung mit Rotation.
• Firewall und fail2ban auf allen Servern.
• Rate-Limiting bei APIs und Anmeldeversuchen.
• Minimale Berechtigungen (Prinzip der least privilege) für Servicebenutzer.
• Restriktive Dateiberechtigungen (600) für Konfigurations- und Datendateien.
• Automatische tägliche Backups mit Verschlüsselung.
• Protokollierung und Überwachung des Zugriffs auf sensible Daten.
• Zwei-Faktor-Authentifizierung für administrativen Zugriff.
• Sicherheitsupdates innerhalb von 72 Stunden nach Bekanntgabe kritischer Schwachstellen.

9. Datenschutzverletzungen

Eine Datenschutzverletzung wird gemeldet an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Feststellung, gemäß Artikel 33 DSGVO, es sei denn, die Verletzung führt voraussichtlich zu keinem Risiko für die Rechte und Freiheiten natürlicher Personen.

Sofern die Datenschutzverletzung ein hohes Risiko für die betroffenen Personen mit sich bringt, informiert Alvoru die Betroffenen unverzüglich, gemäß Artikel 34 DSGVO, damit sie geeignete Maßnahmen ergreifen können.

Alvoru führt ein Verzeichnis von Datenschutzverletzungen gemäß Artikel 33 Absatz 5 DSGVO.

10. Cookies

Alvoru verwendet Cookies und vergleichbare Technologien auf Grundlage der geltenden gesetzlichen Bestimmungen zum Datenschutz in der elektronischen Kommunikation:

• Funktionale Cookies (immer aktiv, keine Einwilligung erforderlich): Sitzung, Einstellungen, CSRF-Schutz, DDoS-Schutz (Cloudflare).
• Analyse- und Marketing-Cookies: Alvoru setzt derzeit keine keine Analyse- oder Marketing-Cookies. Auf alvoru.com laufen weder Google Analytics, Meta Pixel noch vergleichbare Tracker. Das Cookie-Banner ist vorhanden, damit wir, falls wir in Zukunft Analysen einsetzen möchten, zunächst Ihr ausdrückliches Opt-in einholen.

Sie können Ihre Cookie-Einstellungen über den Link am unteren Rand jeder Seite oder über das Cookie-Banner ändern. Eine vollständige Übersicht finden Sie in der Cookie-Erklärung.

10a. Ist die Angabe von Daten verpflichtend?

Sie sind nicht gesetzlich oder vertraglich verpflichtet, uns personenbezogene Daten zur Verfügung zu stellen, sofern nicht anders angegeben. Wenn Sie keine Daten bereitstellen, können wir Ihnen die Dienstleistung möglicherweise nicht erbringen. So ist die Angabe einer E-Mail-Adresse für die Erstellung eines Kontos und den Empfang von Servicenachrichten erforderlich, während die Angabe einer Telefonnummer in der Regel optional ist.

11. Änderungen

Alvoru kann diese Datenschutzerklärung von Zeit zu Zeit ändern. Wesentliche Änderungen werden mindestens 30 Tage vor Inkrafttreten per E-Mail an bestehende Kunden sowie auf dieser Seite angekündigt. Die jeweils aktuelle Version ist jederzeit verfügbar unter alvoru.com/privacy.