Datenschutzerklärung
Wie wir personenbezogene Daten auf workaist.com und in WorkAist Cloud verarbeiten.
Gültig ab: 2026-07-10
Dieses Dokument wird in mehreren Sprachen veröffentlicht. Bei Abweichungen ist die englische Fassung verbindlich.
1. Verantwortlicher
Verantwortlicher für die in diesem Hinweis beschriebene Verarbeitung ist ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal, NIF 517251876. Kontakt: [email protected].
Wir haben keinen Datenschutzbeauftragten bestellt, da wir hierzu nach Art. 37 DSGVO nicht verpflichtet sind. Datenschutzanfragen und Anfragen betroffener Personen erreichen eine verantwortliche Person direkt unter [email protected].
2. Geltungsbereich
Dieser Hinweis umfasst workaist.com, alle von WorkAist betriebenen Subdomains sowie WorkAist Cloud, soweit wir als Verantwortlicher handeln — das heißt für unsere eigenen Besucher, Interessenten und Kontoinhaber.
Er umfasst nicht personenbezogene Daten, die ein Kunde in seinen eigenen WorkAist-Arbeitsbereich hochlädt. Für diese Daten ist der Kunde Verantwortlicher und wir sind sein Auftragsverarbeiter; die Bedingungen dieser Verarbeitung sind in unserem Auftragsverarbeitungsvertrag geregelt. Befinden sich Ihre Daten im Arbeitsbereich eines Kunden und möchten Sie Ihre Rechte ausüben, wenden Sie sich bitte an diesen Kunden.
3. Was wir verarbeiten und warum
| Datenkategorie | Zweck | Rechtsgrundlage |
|---|---|---|
| Kontodaten — Name, geschäftliche E-Mail-Adresse, Unternehmen, Passwort-Hash | Einrichtung und Verwaltung Ihres Kontos, Authentifizierung, Support | Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung |
| Abrechnungsdaten — Rechnungsadresse, USt-IdNr., Zahlungsstatus, Rechnungen | Zahlungsabwicklung, Rechnungsstellung, Erfüllung steuer- und buchhaltungsrechtlicher Pflichten | Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung |
| Anfrage- und Anmeldeformulare — Name, E-Mail, Unternehmen, Nachricht, gewünschte Subdomain | Beantwortung Ihrer Anfrage und Vorbereitung eines Vertrags auf Ihren Wunsch | Art. 6 Abs. 1 lit. b DSGVO — vorvertragliche Maßnahmen |
| Nutzung und Telemetrie — Funktionsnutzung, Agentenläufe, Token-Verbrauch, Fehlerprotokolle | Betrieb, Absicherung, Messung und Verbesserung des Dienstes | Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an einem funktionierenden, sicheren, korrekt abgerechneten Dienst |
| Sicherheitsprotokolle — IP-Adresse, User-Agent, Zeitstempel, Authentifizierungsereignisse | Erkennung und Verhinderung von Missbrauch, Betrug und unbefugtem Zugriff | Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse an Sicherheit |
| Support-Korrespondenz | Bearbeitung Ihrer Support-Anfrage und Verbesserung unserer Dokumentation | Art. 6 Abs. 1 lit. b und Art. 6 Abs. 1 lit. f DSGVO |
| Website-Analyse — pseudonyme Kennungen, aufgerufene Seiten, Referrer, ungefährer Standort | Verständnis der Website-Nutzung, um sie zu verbessern | Art. 6 Abs. 1 lit. a DSGVO — Ihre über das Cookie-Banner erteilte Einwilligung |
Soweit wir uns auf ein berechtigtes Interesse stützen, haben wir eine Interessenabwägung durchgeführt und festgestellt, dass die Verarbeitung erforderlich und verhältnismäßig ist und Ihre Interessen oder Grundrechte nicht überwiegt. Sie können jederzeit widersprechen — siehe Abschnitt 9.
Die Angabe von Konto- und Abrechnungsdaten ist für den Vertragsschluss erforderlich. Ohne sie können wir den Dienst nicht bereitstellen. Analyse-Tracking ist vollständig optional, und eine Ablehnung hat keine Auswirkung auf Ihre Nutzung der Website.
4. Cookies und ähnliche Technologien
Unbedingt erforderliche Speicherzugriffe setzen wir ohne Nachfrage, weil sie zur Erbringung eines von Ihnen angeforderten Dienstes erforderlich sind. Alles Übrige läuft erst, nachdem Sie über unser Cookie-Banner eingewilligt haben.
| Kategorie | Was sie bewirkt | Beispiele und Speicherdauer | Einwilligung erforderlich |
|---|---|---|---|
| Unbedingt erforderlich | Sitzungsverwaltung, CSRF-Schutz, Lastverteilung, Speicherung Ihrer Spracheinstellung | Sitzungs-Cookies; werden gelöscht, wenn Sie den Browser schließen oder kurz danach | Nein — Art. 6 Abs. 1 lit. f DSGVO |
| Einwilligungsprotokoll | Speichert Ihre im Cookie-Banner getroffene Wahl, damit wir nicht erneut fragen | workaist-consent-v1, gespeichert im lokalen Speicher Ihres Browsers | Nein — erforderlich, um Ihre Wahl umzusetzen |
| Analyse | Google Analytics 4, geladen über Google Tag Manager, misst Seitenaufrufe und Navigation anhand pseudonymer Kennungen | _ga, _ga_<container-id>; bis zu 24 Monate | Ja |
| Werbung | Remarketing- und Konversionsmess-Tags, sofern von uns aktiviert | Gesetzt durch die jeweilige Werbeplattform | Ja |
Bevor Sie einwilligen, ist Google Consent Mode im abgelehnten Zustand initialisiert, sodass keine Analyse- oder Werbespeicherung erfolgt und keine Messübertragung gesendet wird.
Sie können Ihre Einwilligung jederzeit widerrufen oder ändern, und der Widerruf ist ebenso einfach wie die Erteilung: Öffnen Sie „Cookie-Einstellungen“ in der Fußzeile jeder Seite, ändern Sie Ihre Wahl und speichern Sie. Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.
5. Empfänger und Unterauftragsverarbeiter
Wir verkaufen keine personenbezogenen Daten und geben sie nicht für die eigene Werbung Dritter weiter. Wir setzen eine kleine Anzahl von Dienstleistern ein, die personenbezogene Daten auf unsere dokumentierten Weisungen im Rahmen von Verträgen nach Art. 28 DSGVO verarbeiten.
| Anbieter | Zweck | Ort der Verarbeitung | Übermittlungsgarantie |
|---|---|---|---|
| Hetzner Online GmbH | Hosting der Anwendungsserver und der Datenbank | Deutschland (EU) | Nicht anwendbar — Verarbeitung verbleibt in der EU |
| Cloudflare, Inc. | DNS, Reverse-Proxy, TLS-Terminierung, Schutz vor Denial-of-Service-Angriffen | Globales Edge-Netzwerk, einschließlich der EU | EU-Standardvertragsklauseln; EU-US Data Privacy Framework |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung, Abonnementverwaltung, Rechnungsstellung | Irland (EU), mit Konzern-Support aus den Vereinigten Staaten | EU-Standardvertragsklauseln; EU-US Data Privacy Framework |
| Anthropic PBC | Large-Language-Model-Inferenz für die KI-Funktionen des Dienstes | Vereinigte Staaten | EU-Standardvertragsklauseln |
| Resend, Inc. | Transaktions-E-Mails — Kontoverifizierung, Benachrichtigungen, Support-Antworten | Vereinigte Staaten | EU-Standardvertragsklauseln |
| Google Ireland Limited | Google Tag Manager und Google Analytics 4, nur nach Ihrer Einwilligung | Irland (EU), mit Weiterübermittlung in die Vereinigten Staaten | EU-US Data Privacy Framework; EU-Standardvertragsklauseln |
Diese Liste wird aktuell gehalten. Wir geben personenbezogene Daten außerdem an Berufsberater sowie an Behörden oder Gerichte weiter, soweit wir gesetzlich dazu verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
6. Internationale Übermittlungen
Unsere Anwendungsserver und Datenbank befinden sich in Deutschland. Einige der oben genannten Anbieter verarbeiten personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums, hauptsächlich in den Vereinigten Staaten.
Jede solche Übermittlung ist durch eine Garantie nach Art. 46 DSGVO abgesichert: die Standardvertragsklauseln der Europäischen Kommission, ergänzt, soweit erforderlich, durch zusätzliche technische und organisatorische Maßnahmen, und — sofern der Empfänger zertifiziert ist — durch den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework. Eine Kopie der jeweiligen Garantien können Sie unter [email protected] anfordern.
7. Aufbewahrung
| Daten | Aufbewahrungsdauer |
|---|---|
| Kontodaten | Für die Dauer des Kontos, danach 6 Monate nach Schließung |
| Rechnungen und Buchhaltungsunterlagen | 10 Jahre, wie nach portugiesischem Steuerrecht vorgeschrieben |
| Kundendaten in Ihrem Arbeitsbereich | Gelöscht nach Vertragsende — siehe die Allgemeinen Geschäftsbedingungen und den Auftragsverarbeitungsvertrag |
| Sicherheitsprotokolle | 12 Monate |
| Aggregierte, nicht identifizierende Analysedaten | 24 Monate |
| Anfrageformular-Einreichungen, die nicht zu einem Vertrag führen | 24 Monate, danach gelöscht |
| Aufzeichnung Ihrer Cookie-Wahl | Bis Sie sie löschen oder ändern |
8. Automatisierte Entscheidungsfindung und KI
WorkAist ist eine Plattform zum Erstellen von KI-Agenten. Läuft ein Agent, wird der von ihm verarbeitete Inhalt an einen Anbieter großer Sprachmodelle gesendet, um eine Antwort zu erzeugen. Kunden wählen diesen Anbieter selbst: Sie können einen eigenen API-Schlüssel eines beliebigen Anbieters verbinden — in diesem Fall handelt dieser Anbieter nach den Weisungen des Kunden und nicht nach unseren — oder sie nutzen unsere verwaltete Token-Abrechnung, in welchem Fall wir Anfragen an die oben in unserer Unterauftragsverarbeiter-Tabelle genannten Anbieter weiterleiten. Welcher Inhalt gesendet wird, hängt vollständig davon ab, wie der Kunde seine Agenten konfiguriert.
Wir nutzen weder Ihre personenbezogenen Daten noch die Kundendaten unserer Kunden, um große Sprachmodelle zu trainieren. Wählen wir den Modellanbieter aus, ist es diesem vertraglich untersagt, mit den ihm übermittelten Daten zu trainieren. Bringt ein Kunde einen eigenen Anbieter mit, gelten dessen Bedingungen, auf die wir keinen Einfluss haben.
Wir führen keine automatisierte Entscheidungsfindung durch, einschließlich Profiling, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt im Sinne von Art. 22 DSGVO. Von Ihnen erstellte Agenten können dies tun — in diesem Fall sind Sie Verantwortlicher dieser Verarbeitung, und es obliegt Ihnen, die nach Art. 22 erforderlichen Garantien einschließlich einer sinnvollen menschlichen Überprüfung bereitzustellen.
9. Ihre Rechte
Nach der DSGVO haben Sie das Recht:
- auf Auskunft über die von uns über Sie gespeicherten personenbezogenen Daten und Erhalt einer Kopie (Art. 15);
- auf Berichtigung unrichtiger und Vervollständigung unvollständiger Daten (Art. 16);
- auf Löschung Ihrer Daten (Art. 17);
- auf Einschränkung unserer Verarbeitung (Art. 18);
- auf Erhalt der von Ihnen bereitgestellten Daten in einem strukturierten, gängigen, maschinenlesbaren Format und auf deren Übermittlung an einen anderen Verantwortlichen (Art. 20);
- jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch gegen eine auf unser berechtigtes Interesse gestützte Verarbeitung einzulegen, sowie jederzeit und ohne Angabe von Gründen der Direktwerbung zu widersprechen (Art. 21);
- jede von Ihnen erteilte Einwilligung jederzeit zu widerrufen, ohne dass die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3).
Senden Sie jede Anfrage an [email protected]. Wir antworten innerhalb eines Monats nach Eingang. Ist eine Anfrage besonders komplex, können wir diese Frist um bis zu zwei weitere Monate verlängern und teilen Ihnen dies innerhalb des ersten Monats mit. Die Ausübung Ihrer Rechte ist kostenlos, sofern eine Anfrage nicht offensichtlich unbegründet oder exzessiv ist.
Sie haben zudem das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen — insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes. Unsere federführende Aufsichtsbehörde ist die portugiesische Comissão Nacional de Proteção de Dados (CNPD), Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa, Portugal.
10. Sicherheit
Wir schützen personenbezogene Daten durch technische und organisatorische Maßnahmen, die dem Risiko angemessen sind, einschließlich Verschlüsselung bei der Übertragung (TLS), Verschlüsselung gespeicherter Zugangsdaten und Geheimnisse mit AES-256-GCM, strikter Mandanten- und Agenten-Isolation, rollenbasierter Zugriffskontrolle, Zugriff nach dem Prinzip geringster Rechte für Mitarbeitende, Audit-Protokollierung administrativer Handlungen und regelmäßiger Backups. Die auf Kundendaten angewendeten Maßnahmen sind in Anhang II des Auftragsverarbeitungsvertrags beschrieben.
Kein System ist vollkommen sicher. Führt eine Verletzung des Schutzes personenbezogener Daten voraussichtlich zu einem hohen Risiko für Ihre Rechte und Freiheiten, benachrichtigen wir Sie unverzüglich, wie es Art. 34 DSGVO verlangt.
11. Kinder
Der Dienst richtet sich an Unternehmen und nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren. Sollten Sie glauben, dass ein Kind uns personenbezogene Daten übermittelt hat, kontaktieren Sie uns; wir werden sie löschen.
12. Änderungen dieses Hinweises
Wir können diesen Hinweis aktualisieren. Maßgeblich ist stets die auf dieser Seite veröffentlichte Fassung samt ihrem Gültigkeitsdatum. Wirkt sich eine Änderung wesentlich darauf aus, wie wir Ihre personenbezogenen Daten verarbeiten, benachrichtigen wir Kontoinhaber vor deren Inkrafttreten per E-Mail.
13. Kontakt
Für jede Datenschutzfrage oder Anfrage betroffener Personen: [email protected], oder ILIN & SADOVENKO, LDA, Rua de Xabregas, nº 2, Escritório 3.21, 1900-440 Lisboa, Portugal.