Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

NOVATUS Energie GmbH
Maximiliankorso 60
13465 Berlin, Deutschland
Telefon: +49 (0)30 398205700
E-Mail: info@novatus-se.com
Geschäftsführer: Dipl.-Verw. Wiss. Christof Schirm

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die gesetzlichen Schwellenwerte nach § 38 BDSG nicht erreicht werden. Bei Fragen zum Datenschutz wenden Sie sich bitte direkt an info@novatus-se.com.

3. Allgemeines zur Datenverarbeitung

Die Novatus Sales Academy (im Folgenden „Plattform") ist ein KI-gestütztes Trainings-Tool für Vertriebsteams im Energiesektor. Wir verarbeiten personenbezogene Daten ausschließlich, soweit dies zur Bereitstellung der Plattform und ihrer Funktionalitäten sowie zur Erfüllung gesetzlicher Pflichten erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Kategorien verarbeiteter Daten

• Stammdaten: Vor- und Nachname, E-Mail-Adresse, Telefonnummer (für OTP-Login), Unternehmenszugehörigkeit, Rolle (Verkäufer / Direktor / Trainer).
• Authentifizierungsdaten: einmalige OTP-Codes (Einmalpasswörter), JWT-Session-Token.
• Trainingsdaten: Gesprächsverläufe (Text + Voice), Transkripte (Whisper), Sprach-Analytics (Sprechgeschwindigkeit, Pausen, Füllwörter), KI-Coaching-Feedback, Score- und XP-Verlauf.
• Audio-Aufzeichnungen: Bei Voice-Trainings werden die gesprochenen Verkäufer-Beiträge zwischengespeichert (siehe Abschnitt 7).
• Zahlungsdaten: für Käufe und Abonnements ausschließlich beim Zahlungsabwickler Stripe; wir erhalten lediglich Bestätigungs-Metadaten.
• Technische Daten: IP-Adresse, Browser-/Geräteinformationen, Zeitstempel, Audit-Logs (z. B. wer hat welche Aufzeichnung wann angehört).

5. Registrierung und Login (OTP-Verfahren)

Die Anmeldung erfolgt passwortlos per Einmalcode (OTP), der an die hinterlegte E-Mail-Adresse oder Telefonnummer gesendet wird. Der OTP-Code ist 10 Minuten gültig und wird nach Verbrauch bzw. Ablauf automatisch gelöscht. Versand erfolgt über unseren E-Mail-Provider united-domains AG (Eu/DE).

Nach erfolgreicher Verifikation wird ein zeitlich begrenztes Sitzungs-Token (JWT) erstellt und im Browser gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. KI-gestützte Sprach- und Textverarbeitung

Zur Bereitstellung der KI-Rollenspiele und des Coachings nutzen wir Modelle von OpenAI, Inc. (USA) sowie über die Emergent-Plattform vermittelte Sprachmodelle:

• OpenAI Realtime API / GPT-4o-mini: Generierung der KI-Antworten in Trainings-Dialogen. Inhalte werden in Echtzeit übertragen, von OpenAI laut deren aktuellen API-Bedingungen nicht zum Trainieren der Modelle verwendet und nicht länger als 30 Tage zwecks Missbrauchsprävention zwischengespeichert.
• OpenAI Whisper: Transkription von Sprach-Aufnahmen in Text. Audio-Daten werden ausschließlich zur Transkription verarbeitet und nicht dauerhaft bei OpenAI gespeichert.

Mit OpenAI wurde ein Auftragsverarbeitungsvertrag (AVV) inkl. EU-Standardvertragsklauseln nach Art. 46 DSGVO abgeschlossen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Aufzeichnung von Voice-Trainings

Bei aktivierten Sprach-Trainings (passive_call / active_call) werden die Beiträge der trainierenden Person als Audio-Mitschnitt zur späteren Trainings-Reflexion gespeichert. KI-generierte Antworten der simulierten Kunden werden nicht als Audio gespeichert (nur als Text-Transkript).

• Speicherort: Hetzner Object Storage, Standort Falkenstein, Deutschland (Hetzner Online GmbH).
• Verschlüsselung: Transportverschlüsselung TLS 1.2+ sowie Ruhe-Verschlüsselung server-seitig im Object Storage.
• Speicherdauer: automatische Löschung nach 90 Tagen via S3-Lifecycle-Policy. Eine vorzeitige Löschung kann jederzeit gefordert werden (siehe Abschnitt 13).
• Zugriff: Die trainierende Person selbst sowie ausschließlich autorisierte Trainer/Manager der eigenen Organisation. Jeder Zugriff wird in einem Audit-Log protokolliert.
• Hinweis vor Aufnahme: Vor jedem Voice-Call wird ein klar sichtbarer Datenschutzhinweis angezeigt.

Mit der Hetzner Online GmbH wurde ein Auftragsverarbeitungsvertrag (AVV) abgeschlossen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung Trainings-Dienstleistung).

8. Zahlungsabwicklung (Stripe)

Für den Kauf von Minuten-Paketen und Abonnements nutzen wir Stripe Payments Europe, Ltd. (Irland, DSGVO-konformer Sitz innerhalb der EU). Zahlungsdaten (Kreditkartennummer, Bankverbindung) werden ausschließlich von Stripe verarbeitet, wir erhalten nur Bestätigungs-Metadaten (Transaktion erfolgreich, gewählter Plan, Rechnungsdaten zur Buchhaltung).

Mit Stripe wurde ein Auftragsverarbeitungsvertrag abgeschlossen. Datenschutz-Hinweise von Stripe: https://stripe.com/de/privacy.

9. Hosting und technische Bereitstellung

Die Anwendung wird auf der Plattform Emergent (Emergent Labs, USA / EU-Region) gehostet. Datenbank-Inhalte (MongoDB) werden in der EU-Region gespeichert. Mit dem Plattformbetreiber wurde ein Auftragsverarbeitungsvertrag abgeschlossen.

10. E-Mail-Versand

Transaktionale E-Mails (Login-Codes, Bestätigungen) werden über die united-domains AG (Deutschland) versendet. Mit united-domains besteht ein Vertrag zur Datenverarbeitung. Es werden ausschließlich die zum Versand erforderlichen Daten übergeben (E-Mail-Adresse, Code, Zeitstempel).

11. Newsletter / Marketing-E-Mails (Double-Opt-In)

Sofern Sie unseren Newsletter abonnieren oder anderweitig der Zusendung von Marketing-Informationen zustimmen, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen sowie den Zeitstempel der Zustimmung zum Zweck regelmäßiger Informationen über die Novatus Sales Academy, neue Funktionen, Termine und Angebote.

Wir verwenden hierfür das Double-Opt-In-Verfahren: Nach Anmeldung erhalten Sie eine Bestätigungs-E-Mail mit einem Link, der zur Aktivierung Ihres Abonnements geklickt werden muss. Erst nach dieser Bestätigung erhalten Sie tatsächlich Mailings.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — entweder per Klick auf den Abmelde-Link am Ende jeder Marketing-Mail oder per E-Mail an info@novatus-se.com. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Speicherdauer: Ihre E-Mail-Adresse wird so lange gespeichert, bis Sie den Newsletter abbestellen, danach maximal 3 Jahre in einer Sperrliste, um eine erneute ungewollte Anmeldung zu verhindern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO).

12. Cookies und Local Storage

Die Plattform setzt ausschließlich technisch notwendige Elemente im Local Storage Ihres Browsers ein (insbesondere das Session-Token zur Aufrechterhaltung des Logins). Eine Einwilligung nach § 25 Abs. 1 TDDDG ist hierfür nicht erforderlich, da diese Speicherung zur Bereitstellung des ausdrücklich gewünschten Dienstes unbedingt erforderlich ist (§ 25 Abs. 2 Nr. 2 TDDDG).

Tracking-Cookies, Marketing-Cookies oder Cookies von Drittanbietern (z. B. Werbenetzwerke) setzen wir nicht ein.

13. Ihre Rechte als betroffene Person

Ihnen stehen die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten
• Löschung (Art. 17 DSGVO) – inkl. der vollständigen Entfernung aller Audio-Aufzeichnungen aus dem Hetzner Object Storage durch unseren Admin
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – Export Ihrer Trainings-Historie als JSON
• Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO gestützt sind (Art. 21 DSGVO)
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO), wirkt nur für die Zukunft
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) – zuständig ist für uns die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstraße 219, 10969 Berlin.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte formlos an info@novatus-se.com. Wir werden Ihrem Anliegen innerhalb eines Monats nachkommen.

14. Speicherdauer

• Stammdaten: bis zum Widerruf bzw. zur Beendigung des Vertragsverhältnisses
• Trainingsdaten / Transkripte / KI-Feedback: maximal 24 Monate ab letzter Aktivität
• Audio-Aufzeichnungen: 90 Tage (automatische Löschung)
• Zahlungsbelege / Rechnungen: 10 Jahre (handels- und steuerrechtliche Aufbewahrungspflicht)
• Audit-Logs (Zugriffe auf Aufzeichnungen): 12 Monate
• OTP-Codes: max. 10 Minuten

15. Datensicherheit

Wir setzen aktuelle Sicherheitsmaßnahmen ein, insbesondere TLS-Verschlüsselung zwischen Browser und Server, server-seitige Verschlüsselung im Object Storage, signierte und zeitlich begrenzte Zugriffs-URLs für Audio-Wiedergabe, rollenbasierte Zugriffsrechte sowie ein Audit-Log für sensible Operationen. Unsere Sicherheitsmaßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sofern sich gesetzliche Vorgaben oder die tatsächlich genutzten Technologien ändern. Die jeweils aktuelle Version finden Sie stets unter /datenschutz.