Datenschutzerklärung

Stand: 2026-09-15 · Rechtsrahmen: DSGVO / BDSG / TTDSG

1. Verantwortlicher

Mignuti Media — Eduard Ditler, Pfarrer-Mengesstr. 5, 56112 Lahnstein — siehe Impressum. Kontakt: media@mignuti.com oder über das Kontaktformular.

Zwei Rollen, die man auseinanderhalten muss. Für diese Website und unser eigenes Konto- und Abrechnungsgeschäft sind wir Verantwortlicher (Art. 4 Nr. 7 DSGVO). Für die Chatbots, die unsere Kunden auf ihren eigenen Seiten betreiben, sind wir Auftragsverarbeiter (Art. 28 DSGVO): Dort entscheidet der Kunde über Zwecke und Mittel, und seine Datenschutzerklärung gilt, nicht diese.

2. Was wir wofür verarbeiten

3. Chatbot auf dieser Website

Hier läuft dasselbe Widget, das unsere Kunden einsetzen — auf dieser Seite aber in eigener Verantwortung.

• Was verarbeitet wird: der Text, den du eingibst, die Antwort des Bots, Zeitpunkt, erkannte Sprache und die aufgerufene Seite. Eine zufällige Session-ID liegt im localStorage deines Browsers, damit der Gesprächsverlauf über einen Seitenwechsel hinweg erhalten bleibt. Kein Cookie, keine domainübergreifende Übertragung.
• Rechtsgrundlage: Die Ablage der Session-ID erfolgt nur nach deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG) über die Kategorie „Funktional". Ohne Einwilligung startet der Chat nicht. Die Beantwortung selbst stützen wir auf unser berechtigtes Interesse an Produktinformation (Art. 6 Abs. 1 lit. f DSGVO).
• Empfänger: unser Server in Deutschland und Anthropic für die Antwort (Abschnitt 10). Vor dem Versand an das Sprachmodell werden erkennbare personenbezogene Angaben regelbasiert ersetzt — was dabei erkannt wird, steht im AVV, Anhang 2.
• Kein Training: Wir trainieren keine Modelle mit deinen Chat-Inhalten, und unsere Anbieter dürfen das vertraglich ebenfalls nicht.
• Selbst löschen: über „Unterhaltung löschen" im Widget-Menü, ohne Account und ohne Anfrage an uns.

Der Bot ist ein Produktberater, keine Beratung im Einzelfall. Bitte gib dort keine Gesundheitsdaten, Zugangsdaten oder andere sensiblen Angaben ein. Dass du mit einer KI sprichst, weist das Widget nach Art. 50 EU-AI-Act sichtbar aus; abschalten lässt sich dieser Hinweis nicht.

4. Formulare auf dieser Website

• Kontaktformular. Name, E-Mail und Nachricht gehen als E-Mail an unser Postfach. Wir legen sie in keiner Datenbank ab; sie leben so lange wie die Korrespondenz. Versand über Resend (Abschnitt 8).
• Warteliste und Agentur-Bewerbung. Die Anmeldung wird erst gültig, wenn du den Link in unserer Bestätigungsmail anklickst (Double-Opt-In). Unbestätigte Einträge löschen wir nach sieben Tagen automatisch. Widerruf jederzeit formlos per E-Mail.
• E-Mail-Abfrage in der Live-Demo. Wir nutzen die Adresse nur, um dir den Einbau-Code und die Einrichtung zu schicken — kein Newsletter. Auch hier gilt das Double-Opt-In.
• Kündigung ohne Login. Unter Verträge hier kündigen schicken wir einen Bestätigungslink an die Adresse, die am Vertrag hängt. Vom Token speichern wir nur einen Hash, die IP-Adresse ebenfalls nur gehasht. Unbestätigte Anfragen verfallen nach 24 Stunden.

5. WhatsApp-Kanal

Kunden können ihren Bot zusätzlich über WhatsApp betreiben. Dann verarbeiten wir die Telefonnummer des Endnutzers und den Nachrichtentext, um die Antwort zuzustellen. Die Nachricht läuft über die WhatsApp Business Platform der Meta Platforms Ireland Ltd.; Meta verarbeitet dabei auch außerhalb der EU. Für die Kunden-Bots sind wir Auftragsverarbeiter — Verantwortlicher ist der Kunde, der den Kanal einrichtet, und seine Datenschutzerklärung gilt gegenüber seinen Endnutzern.

6. Weitergabe an die Systeme unserer Kunden

Nimmt ein Kunden-Bot eine Anfrage auf (Name, E-Mail, Anliegen), leiten wir sie an die Stelle weiter, die der Kunde eingerichtet hat: an seine E-Mail-Adresse, einen Slack-Kanal oder einen Webhook auf seinem eigenen Server. Wir handeln dabei auf seine Weisung. Was danach mit den Daten geschieht, verantwortet der Kunde. Auf dieser Website selbst gibt es keine solche Weitergabe.

6a. Cloud-Ablagen (Dropbox, Google Drive)

Verbindet ein Kunde eine Ablage, speichern wir einen Zugriffsschlüssel (Refresh-Token) sowie die E-Mail-Adresse des verbundenen Kontos, um die von ihm freigegebenen Dateien in seine Wissensbasis zu übernehmen. Wir lesen nur; in der Ablage selbst ändern wir nichts. Die Dateien liegen danach auf unserem Server in Deutschland wie hochgeladene Dokumente. Daten aus Google-Konten verwenden wir ausschließlich hierfür und geben sie nicht weiter. Trennt der Kunde die Verbindung oder löscht er sein Konto, widerrufen wir den Schlüssel bei Dropbox bzw. Google und löschen ihn. Dropbox und Google handeln dabei als Dienste des Kunden, nicht als unsere Unterauftragsverarbeiter. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6b. Wöchentlicher Bericht

Kunden erhalten wöchentlich eine Auswertung ihres Bots an die Adresse des Konto-Inhabers. Sie enthält Kennzahlen, die häufigsten unbeantworteten Fragen und einen Auszug des Gesprächs mit dem stärksten Kaufsignal — Besuchertexte darin sind vorab maskiert (§ 3). Der Bericht ist eine Dienstmail über die eigene Nutzung (Art. 6 Abs. 1 lit. b DSGVO) und lässt sich in den Benachrichtigungen des Kontos oder über den Link in jeder Mail abbestellen. Die Inhalte der Benachrichtigungen löschen wir 30 Tage nach Zustellung.

7. Schutz vor automatisierten Anfragen

In den Formularen dieser Website setzen wir Cloudflare Turnstile ein (Cloudflare Germany GmbH bzw. Cloudflare, Inc.). Es prüft ohne Rätsel, ob eine Eingabe von einem Menschen kommt, und verarbeitet dafür technische Merkmale des Browsers und die IP-Adresse. Rechtsgrundlage ist unser berechtigtes Interesse an der Abwehr automatisierter Missbrauchsversuche (Art. 6 Abs. 1 lit. f DSGVO).

Das Skript wird erst geladen, wenn du das Formular anfasst — wer die Seite nur liest, baut keine Verbindung zu Cloudflare auf.

8. E-Mail-Versand

Transaktionsmails (Anmeldelinks, Bestätigungen, Benachrichtigungen) versenden wir über Resend. Dabei werden Empfängeradresse, Betreff und Inhalt verarbeitet. Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an zuverlässiger Zustellung (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

9. Fehlerdiagnose, Reichweitenmessung, Sicherung

• Reichweitenmessung: Plausible (EU, ohne Cookies, ohne geräteübergreifende Erkennung). Das Skript wird erst nach Einwilligung in die Kategorie „Analytics" geladen.
• Fehlerdiagnose: Für Sentry ist die Anbindung im Code vorbereitet, aber derzeit nicht aktiviert — es ist kein Zugangsschlüssel hinterlegt, es werden keine Daten dorthin übertragen. Sollten wir sie einschalten, aktualisieren wir diese Erklärung vorher.
• Sicherung: Von der Datenbank erstellen wir täglich eine verschlüsselte Sicherung und legen sie bei Cloudflare R2 in der EU ab. Sie enthält denselben Datenbestand wie das laufende System und wird rollierend überschrieben.

10. Drittlandsübermittlung

Plattform-Daten (Datenbank, Dateien, Anmeldung) werden ausschließlich in Deutschland verarbeitet (eigener Server, netcup GmbH). Für die KI-Antworten gehen Chat-Nachrichten an Anthropic PBC (USA), für die semantische Suche an OpenAI (USA) — abgesichert über die EU-Standardvertragsklauseln 2021/914 (Art. 46 Abs. 2 lit. c DSGVO). Personenbezogene Angaben werden vorher regelbasiert maskiert. Pro Bot lässt sich ein EU-only-Modus aktivieren (Sprachmodell über Azure OpenAI in der EU); dann findet keine Übermittlung an Anthropic statt.

11. Subunternehmer

Vollständige Liste mit Zweck, Sitz und Grundlage der Übermittlung: /rechtliches/subunternehmer. Änderungen kündigen wir 30 Tage vorher an (Opt-in).

12. Speicherung im Browser

• Notwendig: die Wahl im Cookie-Banner selbst. Sie muss gespeichert werden, sonst müssten wir bei jedem Aufruf erneut fragen.
• Funktional (Einwilligung): Session-ID des Chat-Widgets im localStorage; ein Cookie mc_ref für die Zuordnung, über welchen Weg du zu uns gefunden hast; ein Cookie mignuti_chatbot_partner für die Provisionszuordnung, wenn du über einen Agentur-Partnerlink gekommen bist. Beide Cookies setzen wir erst nach deiner Einwilligung, Laufzeit 30 Tage.
• Analytics (Einwilligung): Plausible arbeitet ohne Cookies; die Einwilligung steuert, ob das Skript überhaupt geladen wird.
• Werbenetzwerke, Social-Plugins oder geräteübergreifendes Tracking setzen wir nicht ein.

Deine Wahl kannst du jederzeit über Cookie-Einstellungen ändern — mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

13. Keine automatisierte Entscheidung im Einzelfall

Eine automatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt. Der Chatbot erzeugt Antworten aus hinterlegten Inhalten; er trifft keine Entscheidungen über Verträge, Preise, Bonität oder Ansprüche. Automatische Sperren betreffen nur die technische Nutzung (etwa Rate-Limits) und lassen sich jederzeit über den Kontaktweg prüfen lassen.

14. Betroffenenrechte (Art. 15–22 DSGVO)

Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit und Widerruf einer Einwilligung. Formlos an media@mignuti.com oder über das Kontaktformular. Endnutzer eines Kunden-Bots können ihr Gespräch über den Link „Unterhaltung löschen" im Widget selbst löschen, ohne Account und ohne Anfrage an uns.

15. Aufbewahrung

• Chat-Inhalte: 90 Tage, danach anonymisiert (Inhalte gelöscht, aggregierte Kennzahlen bleiben).
• Rechnungen und Buchungsbelege: 10 Jahre (§ 147 AO).
• Protokoll sicherheitsrelevanter Vorgänge: 2 Jahre, mit Compliance-Bezug 7 Jahre — danach gelöscht.
• Unbestätigte Wartelisten-Anmeldungen: 7 Tage.
• Unbestätigte Kündigungsanfragen: 24 Stunden; bestätigte als Beleg 12 Monate.
• Zähler der Missbrauchsabwehr: Stunden bis Tage.

16. Beschwerderecht

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI RLP), Hintere Bleiche 34, 55116 Mainz — www.datenschutz.rlp.de. Unbeschadet dessen besteht ein Beschwerderecht bei jeder Datenschutz-Aufsichtsbehörde.

17. Minderjährige (Art. 8 DSGVO)

Mignuti Chatbot ist ein Angebot für Unternehmer und richtet sich nicht an Kinder. Der Chatbot ist nicht dazu bestimmt, gezielt Personen unter 16 Jahren anzusprechen. Als Auftragsverarbeiter betreiben wir das Widget auf Kundenseiten in deren Auftrag; die Kunden sichern im Auftragsverarbeitungsvertrag zu, es nicht auf Minderjährige unter 16 Jahren auszurichten und für die erforderliche Einwilligung nach Art. 8 DSGVO zu sorgen. Werden uns Daten von Kindern ohne diese Einwilligung bekannt, löschen wir sie unverzüglich.