Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

archmax GmbH Paulinenstr. 14 72072 Tübingen Deutschland

Telefon: +49 151 65150089 E-Mail: info@archmax.ai

Die archmax GmbH wird vertreten durch die Geschäftsführer Dr. Steffen Wütz und Dr. Tobias Große-Puppendahl. Weitere Angaben finden Sie in unserem Impressum.

Diese Datenschutzerklärung gilt für:

• unsere Website einschließlich des Kontaktformulars,
• archmax Cloud, unsere gehostete Plattform für archmax automation, mit der Unternehmen KI-Agenten entwerfen, testen und betreiben.

In archmax Cloud handeln wir in zwei Rollen: Für Ihr Benutzerkonto und den Betrieb der Plattform sind wir selbst verantwortlich. Die Inhalte, die Kunden in archmax Cloud verarbeiten, verarbeiten wir dagegen im Auftrag des jeweiligen Kunden. Einzelheiten finden Sie im Teil „archmax Cloud“.

Ansprechpartner für alle Fragen zum Datenschutz ist unser Geschäftsführer Dr. Steffen Wütz. Sie erreichen ihn unter info@archmax.ai oder unter der oben genannten Anschrift. Einen Datenschutzbeauftragten haben wir nicht benannt, da wir hierzu gesetzlich nicht verpflichtet sind (Art. 37 DSGVO, § 38 BDSG).

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO, soweit Sie eingewilligt haben,
• Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Erfüllung eines Vertrags mit Ihnen oder zur Durchführung vorvertraglicher Maßnahmen erforderlich ist,
• Art. 6 Abs. 1 lit. c DSGVO, soweit wir rechtlich zur Verarbeitung verpflichtet sind, etwa durch handels- und steuerrechtliche Aufbewahrungspflichten,
• Art. 6 Abs. 1 lit. f DSGVO, soweit die Verarbeitung zur Wahrung unserer berechtigten Interessen oder der berechtigten Interessen Dritter erforderlich ist und Ihre Interessen nicht überwiegen.

Für das Speichern von Informationen auf Ihrem Endgerät und den Zugriff darauf gilt zusätzlich § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Wir setzen dafür ausschließlich Technologien ein, die unbedingt erforderlich sind, um die von Ihnen gewünschten Dienste bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist hierfür nicht erforderlich.

Wir geben personenbezogene Daten nur weiter, soweit dies für die in dieser Erklärung genannten Zwecke erforderlich ist. Empfänger sind vor allem Dienstleister, die wir als Auftragsverarbeiter einsetzen, etwa für Hosting, Anmeldung, E-Mail und KI-Verarbeitung. Sie sind nach Art. 28 DSGVO vertraglich an unsere Weisungen gebunden. Welche Dienstleister wir wofür einsetzen, beschreiben wir in den jeweiligen Abschnitten.

An Behörden und andere öffentliche Stellen übermitteln wir Daten nur, wenn wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine personenbezogenen Daten und geben sie nicht für Werbezwecke an Dritte weiter.

Im Fall eines Unternehmensverkaufs, einer Umwandlung oder einer vergleichbaren Transaktion können personenbezogene Daten auf den Erwerber oder Rechtsnachfolger übergehen, soweit dies für die Fortführung unserer Leistungen erforderlich ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Fortführung des Geschäftsbetriebs.

Einige unserer Dienstleister haben ihren Sitz außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums, insbesondere in den USA, oder können von dort auf Daten zugreifen. Eine Übermittlung in ein solches Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, also:

• auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (Art. 45 DSGVO); für die USA gilt dies für Unternehmen, die nach dem EU-U.S. Data Privacy Framework zertifiziert sind, oder
• auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO), die wir mit dem Empfänger vereinbart haben.

Wo immer möglich, wählen wir Rechenzentren in der EU. Eine Kopie der jeweiligen Garantien erhalten Sie auf Anfrage unter info@archmax.ai.

Unsere Website und archmax Cloud betreiben wir bei der Railway Corporation, San Francisco, USA. Die von uns genutzten Server, Datenbanken und Speicher stehen in Rechenzentren in den Niederlanden (EU). Railway verarbeitet die Daten als unser Auftragsverarbeiter. Für mögliche Zugriffe aus den USA haben wir mit Railway Standardvertragsklauseln vereinbart.

Weitere Informationen finden Sie in der Datenschutzerklärung von Railway: https://railway.com/legal/privacy

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist, und löschen sie anschließend, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach § 257 HGB und § 147 AO bewahren wir Rechnungen und Buchungsbelege acht Jahre, Handels- und Geschäftsbriefe sechs Jahre sowie Bücher und Jahresabschlüsse zehn Jahre auf und schränken ihre Verarbeitung während dieser Zeit auf die Erfüllung der Aufbewahrungspflicht ein. Gelöschte Daten können noch bis zu 90 Tage in Datensicherungen enthalten sein, die ausschließlich der Wiederherstellung nach Störungen dienen. Konkrete Fristen nennen wir in den einzelnen Abschnitten.

Wir schützen Ihre Daten durch angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere durch:

• verschlüsselte Übertragung aller Verbindungen per TLS (HTTPS),
• Verschlüsselung von Zugangsdaten zu Drittdiensten mit AES-256-GCM,
• strikte Trennung der Daten verschiedener Kunden und Organisationen,
• rollenbasierte Zugriffsrechte und Begrenzung der Anfragen je Benutzer,
• laufende Überprüfung und Weiterentwicklung dieser Maßnahmen.

Bei jedem Aufruf unserer Website verarbeiten wir automatisch Informationen, die Ihr Browser übermittelt:

• IP-Adresse,
• Datum und Uhrzeit des Zugriffs,
• aufgerufene Seite und übertragene Datenmenge,
• HTTP-Statuscode,
• Website, von der aus Sie zu uns gelangt sind (Referrer),
• Browsertyp, Betriebssystem und Spracheinstellung.

Diese Daten benötigen wir, um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten sowie Störungen und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und zuverlässigen Betrieb. Wir führen diese Daten nicht mit anderen Datenquellen zusammen und werten sie nicht zu Marketingzwecken aus. Protokolldaten löschen wir spätestens nach 30 Tagen.

Unsere Website verwendet keine Analyse-, Tracking- oder Marketingdienste und bindet keine Inhalte von Drittanbietern wie Karten oder Videos ein. Auch die Schriftarten liefern wir von unserem eigenen Server aus.

Wir setzen lediglich ein technisch notwendiges Cookie namens „NEXT_LOCALE“ ein. Es speichert die gewählte Sprache (Deutsch oder Englisch), wenn diese von der Spracheinstellung Ihres Browsers abweicht, und wird gelöscht, wenn Sie den Browser schließen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, Ihnen die Website in der gewünschten Sprache anzuzeigen.

Sie können uns über das Kontaktformular, per E-Mail oder telefonisch erreichen. Beim Kontaktformular verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Unternehmen und Ihre Nachricht, bei E-Mail und Telefon die Angaben, die Sie uns mitteilen.

Wir nutzen diese Daten ausschließlich, um Ihre Anfrage zu beantworten und gegebenenfalls ein Angebot oder einen Vertrag vorzubereiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage auf einen Vertrag abzielt, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihrer Anfrage.

Die Angaben aus dem Kontaktformular speichern wir nicht in einer Datenbank auf unserer Website, sondern übermitteln sie per E-Mail an unser Postfach. Für E-Mail nutzen wir Microsoft 365 (Exchange Online) der Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, als Auftragsverarbeiter. Dasselbe gilt für E-Mails, die wir mit Nutzern und Kunden von archmax Cloud austauschen, etwa im Support oder für Mitteilungen zum Vertrag. Ein Zugriff durch die Microsoft Corporation in den USA ist nicht auszuschließen; diese ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: https://privacy.microsoft.com/de-de/privacystatement

Wir löschen Ihre Anfrage, sobald sie abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungspflichten bestehen, etwa weil die Korrespondenz zu einem Vertrag geführt hat. Sie können der Speicherung jederzeit widersprechen; in diesem Fall können wir die Kommunikation nicht fortführen.

Unsere Website enthält Links zu Angeboten anderer Anbieter, etwa zu unserem Quellcode auf GitHub. Beim bloßen Aufruf unserer Website werden keine Daten an diese Anbieter übermittelt. Erst wenn Sie einem Link folgen, gelten die Datenschutzbestimmungen des jeweiligen Anbieters.

archmax Cloud richtet sich an Unternehmen und ihre Beschäftigten. Wir verarbeiten dort Daten in zwei Rollen:

• Als Verantwortlicher verarbeiten wir die Daten, die wir für Ihr Benutzerkonto, die Anmeldung, die Verwaltung von Organisationen, die Abrechnung, den sicheren Betrieb und die Kommunikation mit Ihnen benötigen.
• Als Auftragsverarbeiter verarbeiten wir alle Inhalte, die Sie oder Ihre Organisation in archmax Cloud einbringen oder durch Agenten verarbeiten lassen, etwa Workflows, Dateien, Chatverläufe, Sitzungen und Daten aus verbundenen Systemen. Verantwortlich für diese Daten ist unser Kunde, also das Unternehmen, das archmax Cloud nutzt. Grundlage ist unsere Auftragsverarbeitungsvereinbarung nach Art. 28 DSGVO, die Bestandteil unserer Nutzungsbedingungen für archmax Cloud ist.

Wenn Sie wissen möchten, wie Ihr Arbeitgeber oder ein anderer Kunde von uns Ihre Daten in archmax Cloud verarbeitet, wenden Sie sich bitte an diesen. Anfragen, die uns dazu erreichen, leiten wir an den jeweiligen Kunden weiter.

Für die Nutzung von archmax Cloud benötigen Sie ein Benutzerkonto. Dafür verarbeiten wir:

• Ihre E-Mail-Adresse und die Information, ob sie bestätigt ist,
• Ihren Namen, sofern Sie ihn angeben oder Ihr Anmeldeanbieter ihn übermittelt,
• eine eindeutige Benutzerkennung und die Art der Anmeldung,
• den Zeitpunkt Ihrer letzten Nutzung, um inaktive Konten zu erkennen,
• die Zeitpunkte der Kontoerstellung und der letzten Änderung.

Für Registrierung und Anmeldung setzen wir den Dienst Auth0 der Okta, Inc., San Francisco, USA, als Auftragsverarbeiter ein. Auth0 verarbeitet Ihre Anmeldedaten, bei einer Anmeldung mit Passwort Ihr Passwort ausschließlich als kryptografischen Hashwert, sowie technische Daten wie IP-Adresse, Browser und Zeitpunkt der Anmeldung, um Missbrauch zu erkennen. Auth0 versendet in unserem Auftrag auch E-Mails zur Bestätigung Ihrer Adresse und zum Ändern Ihres Passworts. Ihr Passwort erhalten wir selbst nicht. Auth0 speichert die Daten in Rechenzentren in der EU. Da Okta seinen Sitz in den USA hat, lässt sich ein Zugriff aus den USA nicht ausschließen; dafür gilt der Abschnitt „Übermittlung in Drittländer“. Weitere Informationen: https://www.okta.com/privacy-policy/

Melden Sie sich mit einem bestehenden Konto eines anderen Anbieters an, etwa von Google oder Microsoft, übermittelt uns dieser Anbieter Ihre E-Mail-Adresse, Ihren Namen und eine Kennung. Für die Verarbeitung beim Anbieter gelten dessen Datenschutzbestimmungen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Sie selbst unser Vertragspartner sind. Nutzen Sie archmax Cloud als Beschäftigter eines Kunden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, den Vertrag mit unserem Kunden zu erfüllen und Ihnen den Zugang zu ermöglichen. Die Erkennung von Missbrauch stützen wir auf Art. 6 Abs. 1 lit. f DSGVO. Ihre Kontodaten speichern wir, solange Ihr Konto besteht; zur Löschung siehe Abschnitt „Kontoschließung und Löschung“.

In archmax Cloud arbeiten Sie in Organisationen. Dafür speichern wir den Namen der Organisation, ihre Mitglieder und deren Rollen. Lädt ein Mitglied eine weitere Person ein, speichern wir die E-Mail-Adresse der eingeladenen Person, den Status der Einladung und ein zufällig erzeugtes Einladungstoken. Den Einladungslink gibt die einladende Person selbst weiter; wir versenden keine Einladungs-E-Mails. Eine Einladung verfällt nach 14 Tagen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Zusammenarbeit innerhalb einer Organisation zu ermöglichen.

Für kostenpflichtige Tarife verarbeiten wir die Vertrags- und Abrechnungsdaten Ihres Unternehmens, etwa Firma, Anschrift, Umsatzsteuer-Identifikationsnummer, Ansprechpartner und Rechnungsadresse, den gewählten Tarif, abgerechnete Nutzungsmengen und Zahlungseingänge. Wir nutzen diese Daten, um den Vertrag durchzuführen, Rechnungen zu stellen und unsere handels- und steuerrechtlichen Pflichten zu erfüllen. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO.

Empfänger sind unsere Steuerberatung, die von uns eingesetzte Buchhaltungssoftware und unsere Bank. Zahlungen erfolgen per Überweisung; Zahlungsdienstleister setzen wir nicht ein. Die Daten bewahren wir für die gesetzlichen Fristen auf (siehe Abschnitt „Speicherdauer“).

Wenn Sie archmax Cloud nutzen, verarbeiten wir im Auftrag unseres Kunden die Inhalte, die Sie anlegen oder die bei der Ausführung von Agenten entstehen, insbesondere:

• Agenten, Workflows, Skills, Einstellungen und deren Versionen,
• hochgeladene und erzeugte Dateien,
• Sitzungen mit Eingaben, Chatnachrichten, Zwischenschritten, Ergebnissen und menschlichen Entscheidungen,
• Testfälle und Auswertungen,
• Verbindungen und Zugangsdaten zu Drittdiensten.

Diese Inhalte können personenbezogene Daten enthalten, deren Art und Umfang der Kunde bestimmt. Wir verarbeiten sie ausschließlich, um archmax Cloud bereitzustellen, und nur nach den Weisungen des Kunden, wie in unserer Auftragsverarbeitungsvereinbarung festgelegt. Wir verwenden Kundeninhalte nicht zum Training von KI-Modellen.

Die Inhalte speichern wir in Datenbanken und einem Objektspeicher bei unserem Hosting-Anbieter in den Niederlanden (siehe Abschnitt „Hosting“).

Damit Agenten Aufgaben erledigen können, übermittelt archmax Cloud Anweisungen, Eingaben und die jeweils benötigten Inhalte an Sprachmodelle. Dabei gibt es zwei Fälle:

• Agenten und Workflows nutzen ausschließlich Sprachmodelle eines Anbieters, den der Kunde selbst auswählt und mit eigenen Zugangsdaten in archmax Cloud hinterlegt. archmax Cloud übermittelt die Daten im Auftrag des Kunden direkt an diesen Anbieter. Anbieter und Verarbeitungsort bestimmt der Kunde, der dafür einen eigenen Vertrag mit dem Anbieter schließt. Der Anbieter ist nicht unser Auftragsverarbeiter; für seine Verarbeitung gelten seine Datenschutzbestimmungen.
• Nur für den Design-Agenten, der Sie im Editor beim Entwerfen von Workflows unterstützt, stellen wir selbst ein Sprachmodell bereit. Seine Modellaufrufe laufen über ein Modell-Gateway, das wir in der EU betreiben, zu Amazon Bedrock der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg, die wir als Unterauftragsverarbeiter einsetzen. Wir nutzen dafür die Region Frankfurt (eu-central-1); Anfragen können auf andere Regionen innerhalb der EU verteilt werden, verlassen die EU aber nicht.

Das Gateway speichert zu jedem Aufruf des Design-Agenten Metadaten wie Modell, Zeitpunkt, Anzahl der Tokens und Kosten, aber nicht die Inhalte der Anfragen und Antworten. Amazon Web Services speichert die Ein- und Ausgaben der Modelle nicht und verwendet sie nicht zum Training; die Modellhersteller, etwa Anthropic, erhalten keinen Zugriff auf diese Daten. Die Amazon.com, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Weitere Informationen: https://aws.amazon.com/privacy/

Die KI-Verarbeitung erfolgt in beiden Fällen im Rahmen der Auftragsverarbeitung für unseren Kunden.

Sie können archmax Cloud mit Diensten wie Microsoft 365 (etwa Outlook, OneDrive, SharePoint und Teams), Google Workspace (etwa Gmail, Google Drive, Docs, Sheets und Kalender) und weiteren Anwendungen verbinden. Dazu melden Sie sich beim jeweiligen Anbieter an und erteilen archmax Cloud die angefragten Berechtigungen. Die dabei ausgegebenen Zugangstoken und von Ihnen hinterlegte Zugangsdaten speichern wir verschlüsselt. Sie werden Sprachmodellen nie im Klartext angezeigt.

archmax Cloud greift über eine Verbindung nur dann auf Daten des verbundenen Dienstes zu, wenn ein Agent oder Workflow des Kunden dies vorsieht, und nur im Umfang der erteilten Berechtigungen. Eine Verbindung gehört zu dem Agenten, für den sie angelegt wurde, und damit zu dessen Organisation; alle Mitglieder der Organisation können sie nutzen. Die abgerufenen Daten verarbeiten wir als Auftragsverarbeiter des Kunden (siehe Abschnitt „Inhalte und Verarbeitung im Auftrag“). Für die Verarbeitung beim verbundenen Dienst gelten dessen Datenschutzbestimmungen. Sie können eine Verbindung jederzeit in archmax Cloud entfernen und die Berechtigung zusätzlich beim Anbieter widerrufen.

Daten aus Microsoft 365 verwenden wir nicht für Werbung und nicht, um allgemeine KI-Modelle zu entwickeln, zu verbessern oder zu trainieren. Für Daten aus Google Workspace gilt zusätzlich der folgende Abschnitt „Daten aus Google Workspace“.

Dieser Abschnitt gilt für alle Daten, die archmax Cloud über Google-APIs erhält, etwa aus Gmail, Google Drive, Google Sheets, Google Docs und Google Kalender (Google-Nutzerdaten).

Die Nutzung und Weitergabe von Informationen, die archmax Cloud über Google-APIs erhält, entspricht der Google API Services User Data Policy einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use): https://developers.google.com/terms/api-services-user-data-policy

Welche Daten wir abrufen: Verbinden Sie einen Google-Dienst, fragt archmax Cloud nur die Berechtigungen für diesen Dienst an:

• Gmail: E-Mails und Einstellungen lesen, Entwürfe verwalten, E-Mails in Ihrem Namen senden und Ihre E-Mail-Adresse abrufen,
• Google Drive: Dateien in Ihrem Google Drive ansehen, herunterladen, anlegen, bearbeiten und löschen,
• Google Sheets: Tabellen ansehen und bearbeiten sowie Dateien in Google Drive ansehen und verwalten, um Tabellen zu finden,
• Google Docs: Dokumente ansehen und bearbeiten sowie Dateien in Google Drive ansehen und verwalten, um Dokumente zu finden,
• Google Kalender: Kalender und Termine ansehen sowie Termine anlegen, ändern und löschen.

Welche dieser Daten ein Agent tatsächlich abruft, bestimmt im Rahmen dieser Berechtigungen der Workflow, den der Kunde festlegt.

Wofür wir sie nutzen: Wir nutzen Google-Nutzerdaten ausschließlich, um die Funktionen von archmax Cloud bereitzustellen, die Sie oder Ihre Organisation verwenden. Ein Agent liest, erstellt oder ändert Daten in Google, wenn ein Workflow, ein Chat oder ein Test es vorsieht, und die Ergebnisse erscheinen in der jeweiligen Sitzung. Wir nutzen Google-Nutzerdaten nicht für Werbung, Marketing, Profilbildung oder Analysen, verkaufen sie nicht und verwenden sie nicht, um allgemeine oder nicht personalisierte KI- oder ML-Modelle zu entwickeln, zu verbessern oder zu trainieren. Statistiken, die wir über die Nutzung von archmax Cloud erstellen, enthalten keine Google-Nutzerdaten.

An wen wir sie weitergeben: Google-Nutzerdaten erhalten nur:

• das Sprachmodell, das der Kunde für seine Agenten hinterlegt hat, soweit ein Agent die Daten für seine Aufgabe benötigt (siehe Abschnitt „KI-Verarbeitung durch Sprachmodelle“),
• das Sprachmodell des Design-Agenten bei Amazon Bedrock in der EU, wenn Sie den Design-Agenten nutzen und er Ergebnisse früherer Sitzungen liest oder mit Ihrer Zustimmung eine Verbindung ausprobiert,
• die Mitglieder Ihrer Organisation, die die Verbindung nutzen und die Sitzungen ihrer Agenten einsehen können, sowie Personen, denen der Kunde einen Agenten über einen Chat-, Webhook- oder MCP-Endpunkt zugänglich macht,
• unser Hosting-Anbieter als Auftragsverarbeiter (siehe Abschnitt „Hosting“),
• Behörden, soweit wir gesetzlich dazu verpflichtet sind.

Im Fall eines Unternehmensverkaufs oder einer vergleichbaren Transaktion übertragen wir Google-Nutzerdaten nur mit Ihrer vorherigen ausdrücklichen Einwilligung.

Wer bei uns darauf zugreift: Unsere Mitarbeitenden lesen Google-Nutzerdaten nur, wenn Sie dem für bestimmte Inhalte ausdrücklich zugestimmt haben, etwa im Rahmen einer Supportanfrage, wenn es zur Sicherheit erforderlich ist, etwa um Missbrauch zu untersuchen, oder wenn ein Gesetz es verlangt.

Wie wir sie speichern und schützen: Die Zugangstoken von Google speichern wir mit AES-256-GCM verschlüsselt. Sie gelangen weder in Ihren Browser noch an ein Sprachmodell; archmax Cloud setzt sie ausschließlich auf dem Server ein, um Google-APIs aufzurufen. Daten, die ein Agent von Google abruft, speichern wir als Teil der jeweiligen Sitzung in unserer Datenbank und unserem Objektspeicher in den Niederlanden. Löscht der Kunde die Sitzung, den Agenten oder die Organisation, sind diese Daten sofort für niemanden mehr abrufbar.

Wie Sie den Zugriff beenden: Sie können den Zugriff von archmax Cloud jederzeit in Ihrem Google-Konto unter https://myaccount.google.com/connections widerrufen. archmax Cloud kann danach nicht mehr auf Ihre Daten bei Google zugreifen, und die gespeicherten Zugangstoken werden wirkungslos. Die Löschung der Zugangstoken und Ihrer Google-Nutzerdaten können Sie jederzeit unter info@archmax.ai verlangen; wir löschen sie dann innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Agenten können Webseiten abrufen und im Web suchen, wenn ein Workflow diese Funktion nutzt. Dafür übermitteln wir die abzurufenden Adressen und die Suchbegriffe an den Dienst ScrapingBee der VostokInc SAS, 66 Avenue des Champs-Élysées, 75008 Paris, Frankreich, der die Anfragen als Unterauftragsverarbeiter für uns ausführt. Suchbegriffe können personenbezogene Daten enthalten, wenn ein Workflow dies vorsieht. Die Verarbeitung erfolgt im Auftrag unseres Kunden.

Kunden können ihre Agenten über Chat-Oberflächen, Webhooks oder als MCP-Server für Dritte erreichbar machen, etwa für ihre eigenen Kunden oder Beschäftigten. Nutzen Sie einen solchen Endpunkt, verarbeiten wir Ihre Eingaben, Nachrichten, hochgeladenen Dateien und gegebenenfalls Anmeldeinformationen im Auftrag des Kunden, der den Endpunkt betreibt. Verantwortlich ist dieser Kunde; bitte richten Sie Fragen zum Datenschutz an ihn.

Zum Schutz vor Missbrauch verarbeiten wir dabei technische Daten der Anfrage, etwa Herkunft und Zeitpunkt, und begrenzen die Zahl der Anfragen.

Für den Betrieb von archmax Cloud verarbeiten wir als Verantwortlicher:

• Nutzungs- und Kostendaten, etwa die Zahl der verbrauchten Tokens und die daraus entstehenden Kosten je Benutzer und Organisation, um Kontingente durchzusetzen und Leistungen abzurechnen,
• kurzlebige Zähler je Benutzer, mit denen wir die Zahl der Anfragen pro Minute begrenzen, um Überlastung und Missbrauch zu verhindern,
• technische Protokolle der Anwendung und fehlgeschlagener Anfragen mit IP-Adresse, Zeitpunkt, aufgerufener Adresse und Fehlermeldung, um Störungen zu erkennen und zu beheben.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Daten für die Abrechnung erforderlich sind, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, stabilen und wirtschaftlichen Betrieb. Protokolldaten löschen wir spätestens nach 30 Tagen, Abrechnungsdaten nach Ablauf der gesetzlichen Aufbewahrungsfristen.

archmax Cloud verwendet keine Analyse-, Tracking- oder Werbe-Cookies. Wir nutzen ausschließlich technisch notwendige Speichertechniken:

• Ihre Zugangstoken hält die Anwendung nur im Arbeitsspeicher des Browsers; sie werden nicht dauerhaft auf Ihrem Gerät gespeichert.
• Die Anmeldebibliothek von Auth0 setzt ein Cookie, das für einen Tag vermerkt, ob eine Anmeldesitzung besteht. Auth0 selbst setzt auf seiner eigenen Domain Cookies, die Ihre Anmeldesitzung aufrechterhalten und vor Missbrauch schützen.
• Im lokalen Speicher Ihres Browsers (Local Storage) merken wir uns Darstellungseinstellungen, etwa das Farbschema und ein- oder ausgeklappte Bereiche.
• Im Sitzungsspeicher (Session Storage) vermerken wir kurzzeitig einen laufenden Anmeldeversuch, um Weiterleitungsschleifen zu vermeiden.

Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b und f DSGVO. Einträge im lokalen Speicher können Sie jederzeit über die Einstellungen Ihres Browsers löschen.

Sie können Ihr Konto jederzeit in den Einstellungen von archmax Cloud schließen. Dabei enden Ihre Mitgliedschaften in allen Organisationen, und wir löschen Ihr Anmeldekonto bei Auth0. Organisationen, die danach keine Mitglieder mehr haben, werden mit ihren Agenten, Umgebungen und Zugangsdaten geschlossen. Was Sie in Organisationen mit weiteren Mitgliedern erstellt haben, etwa Agenten, Workflows und Sitzungen, bleibt bestehen, da es der Organisation gehört.

Alle Daten, die mit der Schließung entfallen, sperren wir sofort, sodass sie weder für Sie noch für andere Nutzer abrufbar sind, und löschen sie 30 Tage nach der Schließung endgültig, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Dazu gehören Ihr Benutzerkonto, Ihre Mitgliedschaften und alle Inhalte der geschlossenen Organisationen.

Konten im kostenlosen Tarif, die sechs Monate lang nicht genutzt wurden und in deren Organisationen keine aktiven Workflows bestehen, schließen wir automatisch. Mindestens 30 Tage vorher kündigen wir das per E-Mail an Ihre bestätigte Adresse an; melden Sie sich in dieser Zeit an, bleibt Ihr Konto bestehen. Anschließend gilt dasselbe Verfahren wie bei einer Schließung durch Sie. Ein Workflow ist aktiv, solange er über einen Zeitplan, einen Webhook, einen Chat- oder MCP-Endpunkt oder einen anderen Auslöser gestartet werden kann.

Inhalte, die wir im Auftrag eines Kunden verarbeiten, löschen oder übergeben wir nach Vertragsende gemäß unserer Auftragsverarbeitungsvereinbarung.

Ihnen stehen hinsichtlich der Sie betreffenden personenbezogenen Daten folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO),
• Recht auf Berichtigung (Art. 16 DSGVO),
• Recht auf Löschung (Art. 17 DSGVO),
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO),
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO),
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Um Ihre Rechte auszuüben, genügt eine Nachricht an info@archmax.ai. Betrifft Ihre Anfrage Daten, die wir im Auftrag eines Kunden verarbeiten, leiten wir sie an den Kunden weiter und unterstützen ihn bei der Beantwortung.

Verarbeiten wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Wir verarbeiten Ihre Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Verarbeiten wir Ihre Daten, um Direktwerbung zu betreiben, können Sie dem jederzeit ohne Angabe von Gründen widersprechen. Ihren Widerspruch richten Sie bitte an info@archmax.ai.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg Lautenschlagerstraße 20 70173 Stuttgart https://www.baden-wuerttemberg.datenschutz.de

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die für eine Kontaktanfrage oder ein Benutzerkonto erforderlichen Angaben können wir Ihre Anfrage jedoch nicht bearbeiten beziehungsweise Ihnen archmax Cloud nicht bereitstellen.

Wir treffen keine ausschließlich automatisierten Entscheidungen einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Wie Kunden ihre Agenten in archmax Cloud einsetzen, bestimmen die Kunden in eigener Verantwortung.

Wir passen diese Datenschutzerklärung an, wenn sich unsere Website, archmax Cloud oder die rechtlichen Anforderungen ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.