Datenschutzerklärung
Stand: 25.08.2026 · Fassung 1.0
TwinBoss zeichnet Besprechungen auf, wandelt sie in Text um und wertet sie mit KI-Modellen aus. Das ist eine eingriffsintensive Verarbeitung, und diese Erklärung sagt offen, was dabei geschieht — wer welche Daten bekommt, wie lange sie bleiben und welche Rechte bestehen.
1. Wer verantwortlich ist
Alexander Umgeher
[Postanschrift — vor öffentlichem oder entgeltlichem Betrieb zwingend zu ergänzen], Österreich
E-Mail: kontakt@twinboss.at
Datenschutzbeauftragte/r: [Name und Kontakt — oder: nicht bestellt]
2. Zwei Rollen — und warum das für dich zählt
TwinBoss steht in zwei unterschiedlichen Rollen, je nachdem, um welche Daten es geht. Das entscheidet, an wen du dich mit einem Anliegen wenden musst.
| Um welche Daten geht es? | Wer ist verantwortlich? |
|---|---|
| Dein Konto, deine Rechnung, deine Anmeldung zur Warteliste | wir — siehe Abschnitt 1 |
| Inhalte von Besprechungen, E-Mails, Kalendereinträgen | das Unternehmen, das TwinBoss einsetzt. Wir verarbeiten diese Daten ausschließlich in dessen Auftrag und nach dessen Weisung. |
Wenn du an einer Besprechung teilgenommen hast, die mit TwinBoss aufgezeichnet wurde, und Auskunft oder Löschung verlangen möchtest: Wende dich an das Unternehmen, das die Besprechung durchgeführt hat. Wir dürfen solche Anfragen nicht selbst beantworten, sondern leiten sie unverzüglich weiter. Schreib uns trotzdem — wir sagen dir, an wen.
3. Was TwinBoss mit Besprechungen macht
Der Ablauf im Einzelnen:
- Aufzeichnung. Eine Besprechung wird mitgeschnitten — entweder tritt ein Assistent der Teams-Besprechung bei, oder die Aufnahme läuft im Browser, oder eine bestehende Aufnahme wird importiert. Der Assistent weist beim Beitritt im Besprechungs-Chat auf die Aufzeichnung hin, bevor die Aufnahme beginnt.
- Transkription. Die Aufnahme wird in Text umgewandelt, mit Zeitstempeln und — sofern aktiviert — mit Zuordnung zu den Sprechenden. Das kann auf unserem eigenen Server geschehen; dann verlässt die Aufnahme ihn nicht.
- Auswertung. Ein Sprachmodell erzeugt aus dem Text eine Zusammenfassung und erkennt Entscheidungen, Aufgaben, offene Fragen, Risiken und Verkaufschancen. Dabei entstehen auch Einschätzungen zu Personen, etwa zur Stimmung eines Gesprächs oder zur Belastbarkeit einer Geschäftsbeziehung.
- Gedächtnis. Die Inhalte werden durchsuchbar abgelegt. Über Besprechungen hinweg entsteht ein Geflecht aus Personen, Firmen und Themen samt ihren Beziehungen zueinander.
- Optional: Kalender und Postfach. Verbindet ein Nutzer sein Microsoft-365-Konto, werden Termine und E-Mails abgeglichen, um anstehende Besprechungen vorzubereiten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO — die Erfüllung des Vertrags mit dem einsetzenden Unternehmen. Für die Aufzeichnung selbst braucht es zusätzlich das Einverständnis der Gesprächsbeteiligten; dafür sorgt das einsetzende Unternehmen.
Kein Training auf deinen Daten. Weder wir noch die eingesetzten Modellanbieter verwenden Besprechungsinhalte, um KI-Modelle zu trainieren. Das ist vertraglich abgesichert, nicht nur eine Absichtserklärung.
4. Konto, Anmeldung, Warteliste
Für ein Konto verarbeiten wir Name, E-Mail-Adresse, Firma und Anmeldedaten (Art. 6 Abs. 1 lit. b). Das Kennwort speichern wir nur als nicht umkehrbare Ableitung — wir können es nicht lesen.
Bei der Anmeldung zur Warteliste verarbeiten wir Name und E-Mail-Adresse, um Kontakt aufzunehmen und einen Zugang bereitzustellen (Art. 6 Abs. 1 lit. b, vorvertragliche Maßnahmen).
Anmeldungen und sicherheitsrelevante Vorgänge protokollieren wir, um unbefugte Zugriffe zu erkennen (Art. 6 Abs. 1 lit. f i. V. m. Art. 32 DSGVO). Die Adresse, von der eine Anmeldung kommt, speichern wir dabei nur in verschlüsselter Form — sie dient allein dazu, wiederholte Fehlversuche zu bremsen.
Auf den öffentlichen Seiten messen wir die Reichweite mit Plausible Analytics — ohne Cookies, ohne geräteübergreifende Profile (Art. 6 Abs. 1 lit. f). Schriften und Skripte liefern wir von unserer eigenen Domain aus; beim Aufruf der Seiten wird keine Verbindung zu Google oder anderen Drittanbietern aufgebaut.
5. Wer die Daten sonst noch sieht
Welche dieser Dienstleister tatsächlich Daten erhalten, hängt von der Konfiguration der jeweiligen Installation ab. Angemeldete Nutzer sehen unter /api/dsgvo/info, welche Empfänger in ihrer Installation aktiv sind.
| Empfänger | Wofür | Wo | Grundlage |
|---|---|---|---|
| Hostinger International Ltd. | Betrieb von Server, Datenbank und Speicher | Frankfurt am Main, Deutschland | Auftragsverarbeitung, Art. 28 |
| Lokaler Transkriptionsdienst | Umwandlung von Audio in Text | derselbe Server — die Aufnahme verlässt ihn nicht | kein Dritter |
| Mistral AI SAS (Voxtral) | Transkription von Aufnahmen, wenn als Anbieter gewählt | Frankreich | Auftragsverarbeitung, Art. 28 |
| OpenAI Ireland Ltd. | Zusammenfassung und Auswertung der Transkripte, Suchvektoren | Irland, Rückfallebene USA | Art. 28 + EU-US Data Privacy Framework, Standardvertragsklauseln |
| Anthropic PBC | Auswertung der Transkripte (falls als Anbieter gewählt) | USA | Art. 28 + Standardvertragsklauseln |
| Deepgram, Inc. | Transkription mit Sprechertrennung (falls aktiviert) | USA | Art. 28 + Standardvertragsklauseln |
| Microsoft Ireland Operations Ltd. | Kalender, Postfach, Beitritt zu Teams-Besprechungen | Irland (EU Data Boundary) | nur nach ausdrücklicher Verbindung des Kontos |
| Telegram FZ-LLC | Bedienung über den Telegram-Bot (optional) | außerhalb der EU | ausdrückliche Einwilligung, Art. 49 Abs. 1 lit. a |
| Plausible Analytics | Reichweitenmessung der öffentlichen Seiten, ohne Cookies | Deutschland | Auftragsverarbeitung, Art. 28 |
Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind. Ein Verkauf von Daten findet nicht statt.
6. Übermittlung außerhalb der EU
Server und Datenbank stehen in der EU. Einzelne Dienstleister verarbeiten jedoch außerhalb — dann auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln der Europäischen Kommission (Art. 44 ff. DSGVO). Die jeweilige Grundlage steht in der Tabelle oben.
Eine Übermittlung außerhalb der EU lässt sich weitgehend vermeiden: Mit dem lokalen Transkriptionsdienst und einem Modellanbieter mit EU-Verarbeitung bleiben alle Besprechungsdaten in der Union. Einsetzende Unternehmen können das anfordern.
Beim Telegram-Bot ist das anders: Telegram verarbeitet außerhalb der EU ohne Angemessenheitsbeschluss. Wer ihn nutzt, willigt darin ausdrücklich ein (Art. 49 Abs. 1 lit. a DSGVO) — im Wissen, dass dort kein gleichwertiges Datenschutzniveau besteht. Der Bot ist optional und lässt sich abschalten.
7. Wie lange gespeichert wird
| Daten | Frist |
|---|---|
| Audioaufnahme vor der Transkription | 24 Stunden, danach automatisch gelöscht |
| Audioaufnahme nach der Transkription | sofort gelöscht |
| Transkripte, Zusammenfassungen, Wissensbestand | 24 Monate (vom Kunden einstellbar) |
| Chatverläufe mit dem Assistenten | 12 Monate |
| Abgeglichene Kalendereinträge | 12 Monate |
| Sicherheitsprotokoll | 12 Monate |
| Fehlgeschlagene Anmeldeversuche | 24 Stunden |
| Kontodaten | Vertragsdauer, danach 30 Tage Übergangsfrist |
| Rechnungsrelevante Daten | 7 Jahre (gesetzliche Aufbewahrungspflicht) |
| Wartelisteneinträge | 12 Monate nach der letzten Kontaktaufnahme |
Die Fristen für Besprechungsinhalte legt das einsetzende Unternehmen fest; die hier genannten Werte sind die Voreinstellung. Abgelaufene Daten werden täglich automatisch gelöscht.
8. Einsatz von KI und automatisierte Entscheidungen
TwinBoss setzt große Sprachmodelle ein, um Transkripte auszuwerten. Diese Modelle können sich irren: Zusammenfassungen können ungenau sein, Zuordnungen falsch, Einschätzungen unzutreffend. Alle Ausgaben sind mit Belegstellen versehen, damit sie sich am Wortlaut überprüfen lassen.
Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt. Das System macht Vorschläge; entschieden und gehandelt wird von Menschen.
Wer über den Chat oder den Telegram-Bot mit TwinBoss spricht, spricht mit einem KI-Assistenten, nicht mit einem Menschen.
9. Sicherheit
Alle Verbindungen laufen verschlüsselt über TLS. Zugangs-Token und API-Schlüssel liegen verschlüsselt in der Datenbank. Kennwörter werden nur als Ableitung gespeichert. Wiederholte Fehlanmeldungen werden gebremst. Jedes Unternehmen erhält eine eigene Datenbank in einem eigenen Container — die Daten verschiedener Unternehmen liegen also nicht nur getrennt, sie stehen in getrennten Systemen.
10. Deine Rechte
- Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit — Herausgabe in einem gängigen Format (Art. 20 DSGVO)
- Widerspruch gegen eine Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
- Widerruf einer erteilten Einwilligung, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Wende dich formlos an kontakt@twinboss.at. Wir antworten innerhalb eines Monats. Betrifft dein Anliegen Besprechungsinhalte, leiten wir es an das verantwortliche Unternehmen weiter und sagen dir, an wen.
Angemeldete Nutzerinnen und Nutzer können Auskunft und Löschung selbst auslösen: Der Export liefert alle gespeicherten Daten als Datei, die Löschung entfernt sie vollständig und unwiderruflich.
Außerdem steht dir das Recht auf Beschwerde bei einer Aufsichtsbehörde zu (Art. 77 DSGVO) — in Österreich bei der Datenschutzbehörde, dsb.gv.at.