Was passiert mit deinen Daten?

2. Daten deiner Website-Besucher

Was passiert, wenn jemand auf deiner Seite das Chat-Widget benutzt.

• Keine Cookies: kein Tracking, kein Consent-Banner. Die Session-ID liegt im sessionStorage und verschwindet beim Schließen des Tabs.
• Kein Tracking-Pixel: wir setzen keine Analytics-Tags und teilen keine Daten mit Werbe-Netzwerken.
• Chat-Verläufe werden 30 Tage gespeichert (für Quality-Reports im Dashboard) und dann automatisch gelöscht.
• Origin-Allowlist: nur Domains, die du in deinem Account hinterlegt hast, dürfen das Widget einbinden, kein Missbrauch durch Dritte.
• Was wir nicht verhindern können: Wenn ein Besucher freiwillig Klarname, Mailadresse oder sensible Inhalte (z.B. Symptome) in den Chat tippt, landen die kurzzeitig in unserer Datenbank (max. 30 Tage) und werden über unseren KI-Provider verarbeitet (siehe Abschnitt 3). Wir empfehlen, das in deinem eigenen Datenschutz-Hinweis zu erwähnen.

3. OpenAI als Sub-Auftragsverarbeiter

Wir setzen für die KI-Antworten auf OpenAI Ireland Limited (Dublin) als EU-Vertragspartner. Das Data Processing Addendum, das wir mit OpenAI abgeschlossen haben, ist also ein Vertrag mit einer EU-Entität. Die technische Datenverarbeitung läuft auf OpenAI-Infrastruktur in den USA, abgesichert durch EU-Standardvertragsklauseln (SCC). Das ist kein Geheimnis, und wir glauben, du solltest es wissen.

Was an OpenAI übertragen wird

• Die Frage des Besuchers + die relevanten Snippets aus deiner Wissensbasis (für die Antwort)
• Bei der Embedding-Erzeugung: einmalig die Text-Chunks deiner Dokumente
• Nicht übertragen: deine Account-Daten, deine Mailadresse, vollständige Chat-Verläufe, Login-Tokens

Was OpenAI verspricht (vertraglich)

• EU-Vertragspartner OpenAI Ireland Limited: DPA nach Art. 28 DSGVO mit einer EU-Entität, nicht direkt mit OpenAI USA
• Kein Training auf deinen Daten: API-Standard seit März 2023, vertraglich zugesichert
• 30-Tage-Speicherung für Missbrauchsdetektion, danach gelöscht
• EU-Standardvertragsklauseln (SCC) für die transatlantische Datenübermittlung
• Details: OpenAI EU Data Processing Addendum

4. Server-Standort & Schutzmaßnahmen

• nuochat-Server: Hetzner Online GmbH, Rechenzentrum in Deutschland (zertifiziert nach ISO 27001).
• Chat-Inhalte verschlüsselt in der Datenbank gespeichert (AES-128-CBC + HMAC, via Fernet): Backup-Dumps und Datenbankzugriffe Dritter sehen nur Ciphertext, kein Klartext.
• Datenbank: PostgreSQL 16, ausschließlich auf dem nuochat-Server, kein externer DB-Hoster, kein offener Internet-Zugang.
• Übertragung: TLS 1.3 (Let's Encrypt) zwischen Browser, deinem Server und unseren Servern. Kein Klartext über die Leitung.
• Backups: automatisch täglich auf Hetzner-Backup-Storage in Deutschland.
• Zugriff: nur authentifizierte nuochat-Mitarbeiter via SSH-Key, kein Passwort-Login.