askHugoaskHugo

Datenschutzerklärung

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten in der Anwendung „askHugo" gemäß Art. 13 und Art. 14 der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Florian Funk
Wolfratshauserstr. 47, 82049 Pullach
E-Mail: florian@florianfunk.de

3. Zwecke und Rechtsgrundlagen der Verarbeitung

askHugo ist eine Multi-Tenant-Software-as-a-Service-Plattform für Versicherungsagenturen. Wir verarbeiten personenbezogene Daten zu folgenden Zwecken:

  • Account- und Mandantenverwaltung — Anlage, Authentifizierung und Verwaltung von Nutzerkonten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
  • Verarbeitung von Versicherungsanfragen — Empfang, Strukturierung und Aufbereitung von Anfragen aus Drittsystemen (z.B. Flixcheck). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 28 DSGVO (Auftragsverarbeitung im Auftrag der Agentur).
  • KI-gestützte Extraktion — Auslesen strukturierter Felder aus Dokumenten wie Fahrzeugscheinen und Führerscheinen mittels Vision-LLM. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Übertragung in externe Angebotsportale über eine Browser-Extension auf dem Arbeitsplatz der Innendienst-Mitarbeitenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Versand transaktionaler E-Mails — Einladungen, Passwort-Resets, Benachrichtigungen an Mitarbeitende und Kunden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
  • Logging und Fehleranalyse — anonymisierte Aufzeichnung technischer Fehler zur Sicherstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

4. Kategorien personenbezogener Daten

  • Stamm- und Kontaktdaten von Nutzer:innen der Agenturen (Name, E-Mail, Telefon, Rolle)
  • Kundendaten aus Versicherungsanfragen (Name, Anschrift, Geburtsdatum, Fahrzeug- und Führerscheindaten)
  • Dateianhänge (Fahrzeugschein, Führerschein, Schadensbilder)
  • Kommunikationsmetadaten (Eingangszeit, Antwortstatus)
  • Aktivitätslog (Wer hat wann was geändert — DSGVO Art. 5 Abs. 2)

5. Empfänger und Subprozessoren

Die Verarbeitung erfolgt teilweise durch sorgfältig ausgewählte Auftragsverarbeiter. Mit allen Subprozessoren bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO.

  • Vercel Inc. — Anwendungs-Hosting und CDN. Standort: Frankfurt am Main, Deutschland. AV-Vertrag: https://vercel.com/legal/dpa
  • Supabase Inc. — Datenbank, Authentifizierung, Datei-Speicher. Standort: Frankfurt am Main, Deutschland (EU-Region). AV-Vertrag: https://supabase.com/legal/dpa
  • Anthropic PBC — KI-Verarbeitung (Vision-LLM Extraktion). Standort: Vereinigte Staaten (Standardvertragsklauseln). AV-Vertrag: https://www.anthropic.com/legal/aup
  • Flixcheck GmbH — Anfrage-Quelle und Webhook-Empfang. Standort: Deutschland.
  • Resend Inc. — Transaktionaler Email-Versand (Einladungen, Reset-Mails). Standort: Vereinigte Staaten (Standardvertragsklauseln). AV-Vertrag: https://resend.com/legal/dpa

6. Übermittlung in Drittländer

Die Anwendung wird in Deutschland (Frankfurt am Main) betrieben. Soweit Subprozessoren ihren Sitz außerhalb der EU/des EWR haben (z.B. KI- oder E-Mail-Anbieter), bestehen mit diesen die EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO.

7. Speicherdauer

Daten werden gelöscht, sobald der Zweck der Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Im Detail:

  • Account-Daten: bis 6 Monate nach Beendigung der Nutzung
  • Anfrage- und Kundendaten: gemäß Aufbewahrungspflicht des Versicherungsvermittlers (i.d.R. 5 Jahre nach Geschäftsabschluss)
  • Aktivitätslog: 12 Monate
  • Technische Logs / Fehler-Tracking: 90 Tage

8. Ihre Rechte

Sie haben das Recht auf:

  • Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15 DSGVO)
  • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
  • Löschung Ihrer Daten (Art. 17 DSGVO), soweit keine Aufbewahrungspflicht besteht
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
  • Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO). Zuständig ist die Datenschutzbehörde Ihres Wohnsitzes.

9. Pflicht zur Bereitstellung

Die Bereitstellung der Daten ist für die Nutzung der Anwendung erforderlich. Ohne die genannten Daten kann der Dienst nicht erbracht werden.

10. Automatisierte Einzelfallentscheidungen

Die KI-gestützte Extraktion strukturiert Daten aus Dokumenten, trifft aber keine eigenständigen Entscheidungen mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO. Sämtliche extrahierten Daten werden von Mitarbeitenden der Agentur geprüft und freigegeben, bevor sie in Angebotsportale übertragen werden.

11. Datensicherheit

Wir setzen marktübliche technische und organisatorische Maßnahmen ein: Verschlüsselung der Datenübertragung (TLS 1.2+), Mandanten-Isolation auf Datenbankebene (Row-Level-Security), regelmäßige Backups, Mehr-Faktor- Authentifizierung für Administrator:innen, Zugangskontrolle nach Need-to-know-Prinzip, Aktivitäts-Logging zur Nachvollziehbarkeit.

12. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets aktuellen rechtlichen Anforderungen entsprechen zu lassen oder um Änderungen unserer Leistungen umzusetzen.