Rechtliches / Datenschutz

Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und des
österreichischen Datenschutzgesetzes (DSG) ist:

AIOOS GmbH
Blümelstraße 11/5
A-8020 Graz
Österreich

• E-Mail: hello@aioos.ai
• Telefon: +43 660 5246710
• Firmenbuchnummer: FN 684338 f
• Firmenbuchgericht: Landesgericht für Zivilrechtssachen Graz
• UID-Nummer: wird nach Vergabe durch das Finanzamt ergänzt
• Geschäftsführung: Amir Reza Mashaallahi, Iman Aparviz (Einzelheiten zur Vertretungsbefugnis siehe Impressum)

Einen gesonderten Datenschutzbeauftragten haben wir zum jetzigen Zeitpunkt nicht bestellt. Für alle datenschutzrechtlichen Anliegen erreichen Sie uns unter hello@aioos.ai.

2. Überblick: Wer wir sind und was wir verarbeiten

AIOOS betreibt unter `https://aioos.ai` eine cloudbasierte SaaS-Plattform für
KI-gestützte Sprach- und Chat-Assistenten (AI-Telefonassistenten, AI-Rezeptionisten,
Website-Chatbots). Unser Angebot richtet sich ausschließlich an Unternehmer im Sinne
des Unternehmensgesetzbuches (UGB), also an Geschäftskunden (B2B).

Datenschutzrechtlich sind dabei zwei Rollen zu unterscheiden:

• Als Verantwortlicher verarbeiten wir Daten, soweit wir über Zwecke und Mittel

selbst entscheiden — insbesondere bei Besuch unserer Website, bei Anfragen sowie bei
der Anlage und Verwaltung von Konten unserer Geschäftskunden.

• Als Auftragsverarbeiter verarbeiten wir personenbezogene Daten, die im Rahmen

der von unseren Geschäftskunden betriebenen Sprach- und Chat-Assistenten anfallen
(z. B. Daten von Anrufer:innen). Hier ist unser Geschäftskunde der Verantwortliche;
die Verarbeitung erfolgt auf Grundlage eines Auftragsverarbeitungsvertrags (AVV)
gemäß Art. 28 DSGVO. Diese Datenschutzerklärung beschreibt diese Verarbeitung
zur Transparenz mit; für die Information der Endnutzer:innen (z. B. Anrufer:innen)
ist der jeweilige Geschäftskunde verantwortlich.

3. Kategorien betroffener Personen und verarbeiteter Daten

3.1 Website-Besucher:innen

Beim Besuch unserer Website verarbeiten wir über Server-Logs technisch notwendige Daten:

• IP-Adresse,
• Browser- und Betriebssysteminformationen,
• aufgerufene Seiten / angeforderte Ressourcen,
• Datum und Uhrzeit des Zugriffs.

3.2 Anfragende / Kontaktaufnahme

Bei Kontaktaufnahme (z. B. per E-Mail an hello@aioos.ai) verarbeiten wir:

• Name,
• E-Mail-Adresse,
• ggf. Telefonnummer,
• Inhalt der Nachricht.

3.3 Geschäftskunden und Account-Daten

Für die Registrierung und Verwaltung eines Kontos verarbeiten wir:

• Name und E-Mail-Adresse,
• Passwort-Hash bzw. — bei optionaler Anmeldung über einen externen Identitätsanbieter

(Google oder Apple) — die entsprechende Identitäts-Kennung,

• Organisations-/Workspace-Konfiguration (Einstellungen der KI-Assistenten),
• Abrechnungs- und Zahlungsdaten (Abwicklung über unseren Zahlungsdienstleister Stripe,

siehe Abschnitt 6).

3.4 Endnutzer:innen / Anrufer:innen der KI-Assistenten (Verarbeitung im Kundenauftrag)

Im Rahmen der von unseren Geschäftskunden betriebenen Assistenten können verarbeitet
werden:

• Telefonnummer (im Format E.164),
• Gesprächsaudio (siehe Abschnitt 7 zu Aufzeichnungen),
• Transkripte der Gespräche bzw. Chatverläufe,
• KI-generierte Zusammenfassungen,
• eine aus dem Transkript text-abgeleitete Stimmungs-Einstufung (positiv / neutral /

negativ — siehe Abschnitt 5),

• von der anrufenden/schreibenden Person selbst genannte Angaben (z. B. Name,

E-Mail-Adresse, Telefonnummer, Anliegen),

• Anruf-/Konversations-Metadaten (Zeitpunkt, Dauer, Ergebnis der Weiterleitung).

3.5 Anfrage eines Beispiel-Assistenten

Wenn Sie auf unserer Website einen Beispiel-Assistenten anfordern, verarbeiten wir:

• die Adresse Ihrer Website und die daraus gelesenen öffentlichen Inhalte,
• Ihre E-Mail-Adresse,
• Ihre IP-Adresse und die gewählte Sprache,
• Zeitpunkt und Wortlaut Ihrer Einwilligung,
• Ihre Antworten, falls wir Ihnen drei Fragen zu Ihrem Betrieb stellen.

Zweck: Wir bauen aus Ihrer Website einen Beispiel-Assistenten und schicken Ihnen den Link dazu per E-Mail. Enthält Ihre Website dafür zu wenig, schicken wir stattdessen eine E-Mail mit drei Fragen zu Ihrem Betrieb. Dazu kommen höchstens zwei Erinnerungen. Die IP-Adresse nutzen wir für Tageslimits gegen Missbrauch.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für den Versand an Ihre E-Mail-Adresse; unser berechtigtes Interesse an der Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO) für die IP-Adresse.

Speicherdauer: Die IP-Adresse löschen wir nach 48 Stunden. Den Beispiel-Assistenten löschen wir 7 Tage nach dem Versand. Den Datensatz Ihrer Anfrage speichern wir 12 Monate, damit wir eine spätere Anfrage oder einen späteren Start zuordnen können. Werden Sie Kunde, gilt die Speicherdauer für Konto- und Vertragsdaten.

Abmeldung und Widerruf: Jede E-Mail enthält einen Abmelde-Link. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, auch mit einer Nachricht an hello@aioos.ai. Wir verkaufen Ihre Daten nicht und geben sie nicht zu Werbezwecken an Dritte weiter.

Die E-Mails versenden wir über easyname (siehe Abschnitt 6). Wenn Sie auf der Beispielseite mit dem Assistenten sprechen, verarbeitet das KI-Sprachmodell von Google Ihre Stimme wie in Abschnitt 5 beschrieben; AIOOS zeichnet diese Gespräche nicht auf.

4. Zwecke und Rechtsgrundlagen der Verarbeitung

Soweit wir eine Einwilligung einholen (z. B. für optionale Werbe-/Produktnachrichten),
beruht die Verarbeitung auf Art. 6 Abs. 1 lit. a DSGVO; eine erteilte Einwilligung
kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

5. Verarbeitung mittels künstlicher Intelligenz

Zur Erbringung unserer Leistungen setzen wir KI-Technologie ein. Technisch wird die
gesprochene und geschriebene Konversation von einem nativen
Sprache-zu-Sprache-KI-Modell (Speech-to-Speech) verarbeitet, das Höreingabe,
Sprachausgabe, Transkription und Funktionsaufrufe in einem einzigen Modell vereint.
Wir setzen hierfür keine getrennten Speech-to-Text- oder Text-to-Speech-Anbieter
ein. Ein ergänzendes, leichteres Textmodell wird für Zusammenfassungen sowie für die
Aufbereitung von per URL hinterlegtem Wissen verwendet.

Konkret umfasst die KI-Verarbeitung:

• Sprach-/Dialogverarbeitung (Verstehen der Eingabe, Erzeugen der Antwort),
• Transkription der Gespräche,
• Zusammenfassung der Gespräche,
• Stimmungs-/Sentiment-Einstufung (positiv / neutral / negativ),
• Routing / Weiterleitung an die richtige Person bzw. Abteilung.

Sentiment ist reine Textklassifikation auf Basis des Transkripts. Es findet
keine biometrische Emotionserkennung statt. Ebenso werden keine Stimm-/
Sprecher-Erkennung (Voice Biometrics) und keine biometrische Identifikation
eingesetzt.

KI-Transparenz (Art. 50 KI-VO): Unsere Assistenten geben sich als künstliche
Intelligenz zu erkennen. Es handelt sich um ein Interaktionssystem mit begrenztem
Risiko (limited risk).

Kein Training allgemeiner Modelle: Sofern nicht ausdrücklich anders vereinbart,
werden Kundendaten bzw. Inhalte aus den Konversationen nicht zum Training
allgemeiner KI-Modelle verwendet.

Keine automatisierten Einzelentscheidungen mit Rechtswirkung: Es findet keine
ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung oder vergleichbar
erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO statt, sofern dies nicht
ausdrücklich vereinbart wurde.

6. Eingesetzte Dienste, Empfänger und Hosting

Wir betreiben unsere Plattform überwiegend auf eigener, selbst gehosteter
Infrastruktur bei der Hetzner Online GmbH (Rechenzentren in Deutschland/EU).
Dazu zählen unsere Echtzeit-Medien-Komponente (LiveKit, selbst gehostet), unsere
Datenbank (PostgreSQL, selbst gehostet) und die Anmeldung (selbst gehostetes
Better Auth). Diese selbst betriebenen Komponenten stellen keine
Drittland-Übermittlung dar und sind keine zusätzlichen externen Dienstleister.

Für klar abgegrenzte Funktionen setzen wir folgende externe Dienstleister ein:

Eine Weitergabe von Daten an diese Empfänger erfolgt nur, soweit dies zur
Leistungserbringung erforderlich ist. Eine jeweils aktuelle Subprozessorenliste wird
Geschäftskunden im Rahmen des Auftragsverarbeitungsverhältnisses auf Anfrage zur
Verfügung gestellt.

Übermittlung in Drittländer (Kapitel V DSGVO)

Bei den oben mit „USA" gekennzeichneten Diensten (Google LLC, Stripe, Inc.,
Cloudflare, Inc.) findet eine Übermittlung personenbezogener
Daten in die USA bzw. eine Verarbeitung durch US-Unternehmen statt. Die Zugänglichkeit
für US-Behörden kann nicht vollständig ausgeschlossen werden. Diese Übermittlungen
stützen wir auf geeignete Garantien gemäß Kapitel V DSGVO, insbesondere die
Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß
Art. 46 Abs. 2 lit. c DSGVO, ergänzt um — soweit erforderlich — zusätzliche
Schutzmaßnahmen. Soweit ein Anbieter unter dem EU-U.S. Data Privacy Framework
zertifiziert ist, kann die Übermittlung zusätzlich auf einen Angemessenheitsbeschluss
gemäß Art. 45 DSGVO gestützt werden. Die jeweils einschlägige Grundlage wird pro Anbieter dokumentiert; Kopien der Garantien werden bereitgehalten.

6a. Auftragsverarbeitung (AVV) für Geschäftskunden

Soweit wir personenbezogene Daten im Auftrag unserer Geschäftskunden verarbeiten — insbesondere die Daten von Anrufer:innen und Chat-Nutzer:innen der von ihnen betriebenen Assistenten —, geschieht dies auf Grundlage eines Auftragsverarbeitungsvertrags (AVV) gemäß Art. 28 DSGVO. Der AVV kommt mit Abschluss des Nutzungsvertrags zustande.

Die jeweils aktuelle Fassung des AVV, der technischen und organisatorischen Maßnahmen (TOMs) sowie der Subprozessorenliste stellen wir Geschäftskunden auf Anfrage an hello@aioos.ai zur Verfügung.

7. Gesprächsaufzeichnungen

Beim telefonischen KI-Assistenten kann der jeweilige Anruf technisch aufgezeichnet
werden (Audio). Über die Aktivierung von Gesprächsaufzeichnungen und die Erfüllung der
zugehörigen Informations- und Einwilligungspflichten gegenüber den Anrufer:innen
entscheidet der jeweilige Geschäftskunde eigenverantwortlich; das Produkt stellt
hierfür einen gesprochenen Aufzeichnungshinweis bereit. AIOOS handelt insoweit als
Auftragsverarbeiter.

Aufzeichnungen werden automatisch nach 14 Tagen gelöscht (siehe Abschnitt 8).

8. Speicherdauer / Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke
erforderlich oder gesetzlich vorgeschrieben ist. Im Einzelnen:

• Gesprächsaufzeichnungen (Audio): 14 Tage, danach automatische Löschung.
• Transkripte, Zusammenfassungen, erfasste Felder und Anruf-Metadaten:

14 Tage, automatische Löschung durch einen täglichen Purge-Lauf.

• Konto- und Vertragsdaten: für die Dauer des Vertragsverhältnisses sowie

anschließend für die Dauer gesetzlicher Aufbewahrungsfristen (z. B. nach UGB und
BAO grundsätzlich bis zu 7 Jahre für Rechnungs-/Buchhaltungsbelege).

• Server-Logs der Website: 14 Tage (automatische Rotation und Löschung).

• Anfragen eines Beispiel-Assistenten: IP-Adresse 48 Stunden; Beispiel-Assistent 7 Tage nach dem Versand; Datensatz der Anfrage 12 Monate, sofern Sie nicht Kunde werden (siehe Abschnitt 3.5).

9. Cookies und Speicherung auf Ihrem Endgerät

Für den Betrieb der Anwendung setzen wir technisch notwendige (essenzielle) Session-Cookies ein. Diese dienen allein der sicheren Sitzungsverwaltung, etwa um eine angemeldete Sitzung aufrechtzuerhalten.

Darüber hinaus betreiben wir auf unserer Website eine eigene, selbst gehostete Reichweitenmessung. Dabei werden im lokalen Speicher (localStorage) Ihres Browsers eine zufällig erzeugte Besucher- und Sitzungskennung abgelegt und die aufgerufenen Seiten, der Zeitpunkt des Aufrufs, die verweisende Seite sowie technische Angaben zu Browser und Gerät an unseren eigenen Server übermittelt.

Es werden keine Analysedienste Dritter eingesetzt, es findet keine websiteübergreifende Nachverfolgung statt, es werden keine Profile zu Werbezwecken gebildet und die Daten verlassen unsere eigene Infrastruktur in der EU nicht.

Rechtsgrundlage für die Auswertung dieser Daten ist unser berechtigtes Interesse an der Messung und Verbesserung der Reichweite und Funktion unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Für das Speichern und Auslesen von Informationen auf Ihrem Endgerät gelten ergänzend § 165 TKG 2021 bzw. Art. 5 Abs. 3 der ePrivacy-Richtlinie.

Sie können der Reichweitenmessung jederzeit widersprechen, indem Sie den lokalen Speicher Ihres Browsers für diese Website löschen oder blockieren. Eine Nachricht an hello@aioos.ai genügt ebenfalls.

10. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten

(Art. 16 DSGVO),

• Löschung Ihrer Daten (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen

(Art. 21 DSGVO).

Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit
Wirkung für die Zukunft widerrufen.

Hinweis bei Verarbeitung im Kundenauftrag: Betreffen Ihre Daten einen von einem

unserer Geschäftskunden betriebenen Assistenten (z. B. als Anrufer:in), ist der

jeweilige Geschäftskunde der Verantwortliche. Bitte richten Sie Ihr Anliegen in

diesem Fall an diesen; wir unterstützen unsere Geschäftskunden als

Auftragsverarbeiter bei der Erfüllung Ihrer Betroffenenrechte und leiten an Sie

gerichtete Anfragen weiter.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an hello@aioos.ai.

11. Beschwerderecht bei der Aufsichtsbehörde

Unbeschadet anderweitiger Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer
Datenschutz-Aufsichtsbehörde. Die für uns zuständige Behörde ist:

Österreichische Datenschutzbehörde
Barichgasse 40–42
1030 Wien
Österreich
Telefon: +43 1 52 152-0
E-Mail: dsb@dsb.gv.at
Web: https://www.dsb.gv.at

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die zugrunde liegende Verarbeitung
oder die Rechtslage ändert. Es gilt die jeweils auf unserer Website veröffentlichte
Fassung.

Stand: August 2026.

Stand: 5. August 2026 · © 2026 AIOOS GmbH · Impressum · Datenschutz · AGB · AVV · KI-Transparenz