DATENSCHUTZERKLÄRUNG

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des
österreichischen Datenschutzgesetzes (DSG) ist:

AIOOS GmbH
Blümelstraße 11/5
A-8020 Graz
Österreich

• E-Mail: hello@aioos.ai
• Telefon: +43 660 5246710
• Firmenbuchnummer: FN 684338 f
• Firmenbuchgericht: Landesgericht für Zivilrechtssachen Graz
• UID-Nummer: wird nach Vergabe durch das Finanzamt ergänzt
• Geschäftsführung: Amir Reza Mashaallahi

Einen gesonderten Datenschutzbeauftragten haben wir zum jetzigen Zeitpunkt nicht bestellt. Für alle datenschutzrechtlichen Anliegen erreichen Sie uns unter hello@aioos.ai.

2. Überblick: Wer wir sind und was wir verarbeiten

AIOOS betreibt unter `https://aioos.ai` eine cloudbasierte SaaS-Plattform für
KI-gestützte Sprach- und Chat-Assistenten (AI-Telefonassistenten, AI-Rezeptionisten,
Website-Chatbots). Unser Angebot richtet sich ausschließlich an Unternehmer im Sinne
des Unternehmensgesetzbuches (UGB), also an Geschäftskunden (B2B).

Datenschutzrechtlich sind dabei zwei Rollen zu unterscheiden:

• Als Verantwortlicher verarbeiten wir Daten, soweit wir über Zwecke und Mittel

selbst entscheiden — insbesondere bei Besuch unserer Website, bei Anfragen sowie bei
der Anlage und Verwaltung von Konten unserer Geschäftskunden.

• Als Auftragsverarbeiter verarbeiten wir personenbezogene Daten, die im Rahmen

der von unseren Geschäftskunden betriebenen Sprach- und Chat-Assistenten anfallen
(z. B. Daten von Anrufer:innen). Hier ist unser Geschäftskunde der Verantwortliche;
die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags (AVV)
gemäß Art. 28 DSGVO. Diese Datenschutzerklärung beschreibt diese Verarbeitung
zur Transparenz mit; für die Information der Endnutzer:innen (z. B. Anrufer:innen)
ist der jeweilige Geschäftskunde verantwortlich.

3. Kategorien betroffener Personen und verarbeiteter Daten

3.1 Website-Besucher:innen

Beim Besuch unserer Website verarbeiten wir über Server-Logs technisch notwendige Daten:

• IP-Adresse,
• Browser- und Betriebssysteminformationen,
• aufgerufene Seiten / angeforderte Ressourcen,
• Datum und Uhrzeit des Zugriffs.

3.2 Anfragende / Kontaktaufnahme

Bei Kontaktaufnahme (z. B. per E-Mail an hello@aioos.ai) verarbeiten wir:

• Name,
• E-Mail-Adresse,
• ggf. Telefonnummer,
• Inhalt der Nachricht.

3.3 Geschäftskunden und Account-Daten

Für die Registrierung und Verwaltung eines Kontos verarbeiten wir:

• Name und E-Mail-Adresse,
• Passwort-Hash bzw. — bei optionaler Anmeldung über einen externen Identitätsanbieter

(Google oder Apple) — die entsprechende Identitäts-Kennung,

• Organisations-/Workspace-Konfiguration (Einstellungen der KI-Assistenten),
• Abrechnungs- und Zahlungsdaten (Abwicklung über unseren Zahlungsdienstleister Stripe,

siehe Abschnitt 6).

3.4 Endnutzer:innen / Anrufer:innen der KI-Assistenten (Verarbeitung im Kundenauftrag)

Im Rahmen der von unseren Geschäftskunden betriebenen Assistenten können verarbeitet
werden:

• Telefonnummer (im Format E.164),
• Gesprächsaudio (siehe Abschnitt 7 zu Aufzeichnungen),
• Transkripte der Gespräche bzw. Chatverläufe,
• KI-generierte Zusammenfassungen,
• eine aus dem Transkript text-abgeleitete Stimmungs-Einstufung (positiv / neutral /

negativ — siehe Abschnitt 5),

• von der anrufenden/schreibenden Person selbst genannte Angaben (z. B. Name,

E-Mail-Adresse, Telefonnummer, Anliegen),

• Anruf-/Konversations-Metadaten (Zeitpunkt, Dauer, Ergebnis der Weiterleitung).

4. Zwecke und Rechtsgrundlagen der Verarbeitung

Soweit wir eine Einwilligung einholen (z. B. für optionale Werbe-/Produktnachrichten),
beruht die Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO; eine erteilte Einwilligung
kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

5. Verarbeitung mittels künstlicher Intelligenz

Zur Erbringung unserer Leistungen setzen wir KI-Technologie ein. Technisch wird die
gesprochene und geschriebene Konversation von einem nativen
Sprache-zu-Sprache-KI-Modell (Speech-to-Speech) verarbeitet, das Höreingabe,
Sprachausgabe, Transkription und Funktionsaufrufe in einem einzigen Modell vereint.
Wir setzen hierfür keine getrennten Speech-to-Text- oder Text-to-Speech-Anbieter
ein. Ein ergänzendes, leichteres Textmodell wird für Zusammenfassungen sowie für die
Aufbereitung von per URL hinterlegtem Wissen verwendet.

Konkret umfasst die KI-Verarbeitung:

• Sprach-/Dialogverarbeitung (Verstehen der Eingabe, Erzeugen der Antwort),
• Transkription der Gespräche,
• Zusammenfassung der Gespräche,
• Stimmungs-/Sentiment-Einstufung (positiv / neutral / negativ),
• Routing / Weiterleitung an die richtige Person bzw. Abteilung.

Sentiment ist reine Textklassifikation auf Basis des Transkripts. Es findet
keine biometrische Emotionserkennung statt. Ebenso werden keine Stimm-/
Sprecher-Erkennung (Voice Biometrics) und keine biometrische Identifikation
eingesetzt.

KI-Transparenz (Art. 50 KI-VO): Unsere Assistenten geben sich als künstliche
Intelligenz zu erkennen. Es handelt sich um ein Interaktionssystem mit begrenztem
Risiko (limited risk).

Kein Training allgemeiner Modelle: Sofern nicht ausdrücklich anders vereinbart,
werden Kundendaten bzw. Inhalte aus den Konversationen nicht zum Training
allgemeiner KI-Modelle verwendet.

Keine automatisierten Einzelentscheidungen mit Rechtswirkung: Es findet keine
ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar
erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt, sofern dies nicht
ausdrücklich vereinbart wurde.

6. Eingesetzte Dienste, Empfänger und Hosting

Wir betreiben unsere Plattform überwiegend auf eigener, selbst gehosteter
Infrastruktur bei der Hetzner Online GmbH (Rechenzentren in Deutschland/EU).
Dazu zählen unsere Echtzeit-Medien-Komponente (LiveKit, selbst gehostet), unsere
Datenbank (PostgreSQL, selbst gehostet) und die Anmeldung (selbst gehostetes
Better Auth). Diese selbst betriebenen Komponenten stellen keine
Drittland-Übermittlung dar und sind keine zusätzlichen externen Dienstleister.

Für klar abgegrenzte Funktionen setzen wir folgende externe Dienstleister ein:

Eine Weitergabe von Daten an diese Empfänger erfolgt nur, soweit dies zur
Leistungserbringung erforderlich ist. Eine jeweils aktuelle Subprozessorenliste wird
Geschäftskunden im Rahmen des Auftragsverarbeitungsverhältnisses auf Anfrage zur
Verfügung gestellt.

Übermittlung in Drittländer (Kapitel V DSGVO)

Bei den oben mit „USA" gekennzeichneten Diensten (Google LLC, Stripe, Inc.,
Cloudflare, Inc.) findet eine Übermittlung personenbezogener
Daten in die USA bzw. eine Verarbeitung durch US-Unternehmen statt. Die Zugänglichkeit
für US-Behörden kann nicht vollständig ausgeschlossen werden. Diese Übermittlungen
stützen wir auf geeignete Garantien gemäß Kapitel V DSGVO, insbesondere die
Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß
Art. 46 Abs. 2 lit. c DSGVO, ergänzt um — soweit erforderlich — zusätzliche
Schutzmaßnahmen. Soweit ein Anbieter unter dem EU-U.S. Data Privacy Framework
zertifiziert ist, kann die Übermittlung zusätzlich auf einen Angemessenheitsbeschluss
gemäß Art. 45 DSGVO gestützt werden. Die jeweils einschlägige Grundlage wird pro Anbieter dokumentiert; Kopien der Garantien werden bereitgehalten.

6a. Auftragsverarbeitung (AVV) für Geschäftskunden

Soweit wir personenbezogene Daten im Auftrag unserer Geschäftskunden verarbeiten — insbesondere die Daten von Anrufer:innen und Chat-Nutzer:innen der von ihnen betriebenen Assistenten —, geschieht dies auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO. Der AVV kommt mit Abschluss des Nutzungsvertrags zustande.

Die jeweils aktuelle Fassung des AVV, der technischen und organisatorischen Maßnahmen (TOMs) sowie der Subprozessorenliste stellen wir Geschäftskunden auf Anfrage an hello@aioos.ai zur Verfügung.

7. Gesprächsaufzeichnungen

Beim telefonischen KI-Assistenten kann der jeweilige Anruf technisch aufgezeichnet
werden (Audio). Über die Aktivierung von Gesprächsaufzeichnungen und die Erfüllung der
zugehörigen Informations- und Einwilligungspflichten gegenüber den Anrufer:innen
entscheidet der jeweilige Geschäftskunde eigenverantwortlich; das Produkt stellt
hierfür einen gesprochenen Aufzeichnungshinweis bereit. AIOOS handelt insoweit als
Auftragsverarbeiter.

Aufzeichnungen werden automatisch nach 14 Tagen gelöscht (siehe Abschnitt 8).

8. Speicherdauer / Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke
erforderlich oder gesetzlich vorgeschrieben ist. Im Einzelnen:

• Gesprächsaufzeichnungen (Audio): 14 Tage, danach automatische Löschung.
• Transkripte, Zusammenfassungen, erfasste Felder und Anruf-Metadaten:

14 Tage, automatische Löschung durch einen täglichen Purge-Lauf.

• Konto- und Vertragsdaten: für die Dauer des Vertragsverhältnisses sowie

anschließend für die Dauer gesetzlicher Aufbewahrungsfristen (z. B. nach UGB und
BAO grundsätzlich bis zu 7 Jahre für Rechnungs-/Buchhaltungsbelege).

• Server-Logs der Website: 14 Tage (automatische Rotation und Löschung).

9. Cookies und Speicherung auf Ihrem Endgerät

Für den Betrieb der Anwendung setzen wir technisch notwendige (essenzielle) Session-Cookies ein. Diese dienen allein der sicheren Sitzungsverwaltung, etwa um eine angemeldete Sitzung aufrechtzuerhalten.

Darüber hinaus betreiben wir auf unserer Website eine eigene, selbst gehostete Reichweitenmessung. Dabei werden im lokalen Speicher (localStorage) Ihres Browsers eine zufällig erzeugte Besucher- und Sitzungskennung abgelegt und die aufgerufenen Seiten, der Zeitpunkt des Aufrufs, die verweisende Seite sowie technische Angaben zu Browser und Gerät an unseren eigenen Server übermittelt.

Es werden keine Analysedienste Dritter eingesetzt, es findet keine websiteübergreifende Nachverfolgung statt, es werden keine Profile zu Werbezwecken gebildet und die Daten verlassen unsere eigene Infrastruktur in der EU nicht.

Rechtsgrundlage für die Auswertung dieser Daten ist unser berechtigtes Interesse an der Messung und Verbesserung der Reichweite und Funktion unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Für das Speichern und Auslesen von Informationen auf Ihrem Endgerät gelten ergänzend § 165 TKG 2021 bzw. Art. 5 Abs. 3 der ePrivacy-Richtlinie.

Sie können der Reichweitenmessung jederzeit widersprechen, indem Sie den lokalen Speicher Ihres Browsers für diese Website löschen oder blockieren. Eine Nachricht an hello@aioos.ai genügt ebenfalls.

10. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten

(Art. 16 DSGVO),

• Löschung Ihrer Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen

(Art. 21 DSGVO).

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit
Wirkung für die Zukunft widerrufen.

Hinweis bei Verarbeitung im Kundenauftrag: Betreffen Ihre Daten einen von einem

unserer Geschäftskunden betriebenen Assistenten (z. B. als Anrufer:in), ist der

jeweilige Geschäftskunde der Verantwortliche. Bitte richten Sie Ihr Anliegen in

diesem Fall an diesen; wir unterstützen unsere Geschäftskunden als

Auftragsverarbeiter bei der Erfüllung Ihrer Betroffenenrechte und leiten an Sie

gerichtete Anfragen weiter.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an hello@aioos.ai.

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer
Datenschutz-Aufsichtsbehörde. Die für uns zuständige Behörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Web: https://www.dsb.gv.at

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die zugrunde liegende Verarbeitung
oder die Rechtslage ändert. Es gilt die jeweils auf unserer Website veröffentlichte
Fassung.

Stand: August 2026.

Stand: 5. August 2026 · © 2026 AIOOS GmbH · Impressum · Datenschutz · AGB