ZEPHAVO · Rechtliches

Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten auf der ZEPHAVO-Website und in der Plattform.

1. Verantwortlicher

Diese Datenschutzhinweise gelten für die öffentlich erreichbaren Webseiten unter zephavo.de und www.zephavo.de sowie die ZEPHAVO-Plattform unter app.zephavo.de. Der technische CORE ist unter core.zephavo.de erreichbar.

2. Was wir beim Besuch der Website verarbeiten

Beim Aufruf unserer Webseiten entstehen technisch notwendige Verbindungsdaten. Hierzu gehören insbesondere IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Adresse, Statuscode und Browser- beziehungsweise Geräteinformationen. Je nach Fehler- oder Sicherheitsfall können diese Daten in Zugriffs- und Sicherheitsprotokollen verarbeitet werden.

Zweck: Technische Bereitstellung der Website, Fehleranalyse, Stabilität sowie Erkennung und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO (berechtigtes Interesse an einem sicheren und funktionsfähigen Webangebot).

Die normalen Zugriffsprotokolle unserer eigenen Homepage- und App-Webserver enthalten seit dem 10. Oktober 2026 nur Zeitpunkt, HTTP-Methode, Statuscode und übertragene Datenmenge. IP-Adressen, aufgerufene Adressen und URL-Parameter, Browserkennungen und Herkunftsseiten werden in diesen normalen Zugriffsprotokollen nicht gespeichert. Davon zu unterscheiden sind technische Fehler- und Sicherheitsprotokolle, bereits vorhandene ältere Protokolle sowie die Verarbeitung durch Cloudflare und den technischen CORE.

3. Cloudflare – DNS, Weiterleitung und Schutz

Unsere öffentlichen ZEPHAVO-Webseiten werden über Dienste von Cloudflare bereitgestellt beziehungsweise geschützt, unter anderem mittels DNS und Cloudflare Tunnel. Cloudflare kann dabei technische Verbindungs- und Sicherheitsdaten einschließlich IP-Adressen verarbeiten. Der Webverkehr wird über die Cloudflare-Infrastruktur an unseren Webserver weitergeleitet.

Cloudflare ist ein Anbieter mit Sitz in den USA; je nach eingesetzten Cloudflare-Diensten kann es auch zu Verarbeitungen außerhalb des Europäischen Wirtschaftsraums kommen. Informationen zu Datentransfers und vertraglichen Garantien stellt Cloudflare selbst bereit: Cloudflare-Datenschutzhinweise und Cloudflare-Datenverarbeitungsbedingungen. Zwecke: Sicherheit, Übertragung und Erreichbarkeit des Angebots. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. f DSGVO.

4. Domainverwaltung und E-Mail mit STRATO

Die Domainverwaltung und das E-Mail-Postfach [email protected] werden über STRATO GmbH abgewickelt. Bei der Bearbeitung von E-Mails fallen Absenderdaten, E-Mail-Adressen, Nachrichteninhalte und technische Nachrichteninformationen an.

Zwecke: Kommunikation und Bearbeitung Ihrer Anfragen. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO bei vertragsbezogenen Anfragen beziehungsweise Art. 6 Abs. 1 Buchst. f DSGVO bei sonstiger geschäftlicher Kommunikation.

5. Benutzerkonto, Anmeldung und Berechtigungen

Zur Nutzung der geschützten ZEPHAVO-App wird ein Benutzerkonto benötigt. Hierbei können insbesondere Name, E-Mail-Adresse, Rollen- und Berechtigungsinformationen, authentifizierungsbezogene Daten sowie Login- und Sitzungsinformationen verarbeitet werden.

Zwecke: Nutzerverwaltung, Bereitstellung des Zugangs, Schutz vor Missbrauch und Prüfung individueller Zugriffsrechte. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b DSGVO bei vertraglicher Nutzung; im Übrigen Art. 6 Abs. 1 Buchst. f DSGVO zur Sicherung und Verwaltung des Systems.

6. KI-Chat, Work, Projekte, Dateien, Memory und Automationen

Je nach Nutzung verarbeitet ZEPHAVO Eingaben und Ergebnisse aus Chats, hochgeladene Dateien, Projektinformationen, gespeicherte Erinnerungen („Memory“), Arbeitsaufträge und Automationsdaten. Inhalte können auch personenbezogene Angaben über andere Personen enthalten, wenn Nutzer diese eingeben oder hochladen.

Die Verarbeitung erfolgt zur Bereitstellung der ausgewählten Funktionen und zur Ausführung von Nutzungsaufträgen. Rechtsgrundlage: grundsätzlich Art. 6 Abs. 1 Buchst. b DSGVO für vertragliche Nutzerbeziehungen; gegebenenfalls Art. 6 Abs. 1 Buchst. f DSGVO. Für besondere Kategorien personenbezogener Daten gelten die zusätzlichen Voraussetzungen des Art. 9 DSGVO.

ZEPHAVO nutzt für wesentliche Funktionen einen vom Betreiber verwalteten Rechner und eigene Softwarekomponenten. Das bedeutet nicht, dass sämtliche Datenverarbeitung ausschließlich lokal stattfindet. Werden externe Websuche, Browseraufrufe, KI-Modelle oder angebundene Drittanbieterdienste aktiviert und verwendet, können die zur Ausführung nötigen Informationen auch an die jeweils aufgerufenen oder verbundenen Dienste übermittelt werden. Die konkreten Empfänger hängen von der aktivierten Funktion und dem ausgelösten Auftrag ab.

Bitte geben Sie sensible personenbezogene Daten oder vertrauliche Unternehmensinformationen nur ein, wenn Sie hierzu berechtigt sind und die betreffende Verwendung zulässig ist. Soweit ZEPHAVO Daten im Auftrag eines Geschäftskunden verarbeitet, sind die datenschutzrechtlichen Rollen und gegebenenfalls ein Vertrag nach Art. 28 DSGVO gesondert festzulegen.

7. Cookies und lokale Browserdaten

Für die Anmeldung und den geschützten Betrieb der App können technisch notwendige Sitzungs-Cookies verwendet werden. Diese dienen der Authentifizierung und Zugriffssicherung. Zusätzlich kann die Anwendung lokale Browser-Einstellungen speichern, beispielsweise die gewählte Darstellung („Theme“).

Bei der Prüfung der öffentlich zugänglichen Homepage und der noch nicht angemeldeten Login-Seite am 8. Oktober 2026 wurden keine Marketing- oder Tracking-Cookies und keine externen Werbe- beziehungsweise Analytics-Dienste festgestellt. Einwilligungspflichtige Tracking-Dienste wurden für diese Seiten nicht eingerichtet. Sollte sich der Technikeinsatz ändern, prüfen wir eine erforderliche Einwilligung nach § 25 TDDDG vor der Aktivierung.

8. Kontaktaufnahme

Wenn Sie per E-Mail Kontakt aufnehmen, verarbeiten wir Ihre E-Mail-Adresse, die mitgeteilten Kontaktdaten und den Inhalt der Nachricht zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b oder f DSGVO, abhängig vom Anliegen. Auf unserer Kontaktseite können Sie uns über ein Webformular erreichen. Dazu verarbeiten wir Name, E-Mail-Adresse, Anliegen und Nachrichtentext. Die Übermittlung erfolgt via HTTPS an unseren eigenen, geschützten Kontakt-Dienst. Die Angaben werden verschlüsselt gespeichert. Der Abruf über den Kontaktbereich ist auf berechtigte ZEPHAVO-Administratoren beschränkt. Nach Ablauf von 90 Tagen werden diese Kontaktanfragen während der regelmäßigen automatischen Bereinigung gelöscht (bei laufendem Dienst mindestens stündlich sowie bei neuen Anfragen oder beim Aufruf des Kontaktbereichs). Für daraus entstehende Vertragsbeziehungen oder aufbewahrungspflichtige Korrespondenz kann eine hiervon getrennte Speicherung nach anwendbaren gesetzlichen Regeln erforderlich sein. Rechtsgrundlage: Art. 6 Abs. 1 Buchst. b beziehungsweise f DSGVO, abhängig von der Anfrage. Es ist keine automatische Weitergabe der Nachricht an einen externen Formularanbieter eingerichtet. Eine direkte Online-Terminbuchung ist weiterhin nicht vorhanden.

Zur Begrenzung von Spam verarbeitet unser Kontakt-Dienst vorübergehend eine pseudonymisierte, aus der IP-Adresse abgeleitete Kennung und einen Anfragenzähler. Diese Kennung wird nicht in der Kontaktanfrage gespeichert. Die Einträge verfallen nach einer Stunde und werden anschließend automatisch bereinigt; die Bereinigung ist im laufenden Dienst minütlich vorgesehen. Zweck ist der Schutz des Formulars vor missbräuchlichen Anfragen. Rechtsgrundlage ist Art. 6 Abs. 1 Buchst. f DSGVO. Verbindungsdaten bei Cloudflare werden davon unabhängig verarbeitet.

Kontaktanfragen können durch berechtigte Administratoren nach Prüfung des Anliegens auch vor Ablauf der automatischen 90-Tage-Frist gezielt gelöscht werden. Ein Löschantrag kann an [email protected] oder über das Kontaktformular gerichtet werden. Gesetzliche Aufbewahrungspflichten für gesondert geführte Geschäftsunterlagen und die gesetzlichen Ausnahmen vom Löschanspruch bleiben zu berücksichtigen.

Die Bestätigung im Kontaktformular betrifft ausschließlich die Kenntnisnahme dieser Datenschutzhinweise. Sie ist keine Einwilligung in Werbung, Training von KI-Modellen oder sonstige zusätzliche Verarbeitungszwecke.

9. Empfänger und Speicherdauer

Technische Verbindungsdaten können vom eigenen Server und von Cloudflare verarbeitet werden; E-Mail-Anfragen über STRATO. Bei einer Nutzung weiterer integrierter Dienste können je nach Auftrag weitere Empfänger hinzukommen. Eine öffentliche Liste aller möglichen externen Aufrufziele wäre nicht abschließend, da Nutzer im Browser und in Work individuelle Ziele aufrufen können.

Die Speicherdauer richtet sich nach dem jeweiligen Zweck und den anwendbaren gesetzlichen Pflichten: Web- und Sicherheitsprotokolle werden nur so lange benötigt, wie die Sicherstellung des Betriebs, die Untersuchung technischer Fehler oder Sicherheitsvorfälle und erforderliche Nachweise dies verlangen. Benutzer- und Zugangsdaten werden für die Dauer einer bestehenden Nutzerbeziehung und darüber hinaus nur bei erforderlichem Grund verarbeitet. Chats, Dateien, Projekte, Memory und Automationen bleiben grundsätzlich bis zu ihrer Löschung durch berechtigte Nutzer, der Kontobeendigung oder einer betrieblich erforderlichen Bereinigung gespeichert, soweit keine rechtlichen Aufbewahrungspflichten entgegenstehen. Korrespondenz wird nach Bearbeitung und Ablauf gesetzlicher oder berechtigter Aufbewahrungsfristen gelöscht. Daten in vorhandenen Sicherungskopien können bis zu deren turnusmäßiger Überschreibung fortbestehen.

Die konkrete technische Löschung und etwaige gesetzliche Aufbewahrungspflichten richten sich nach den tatsächlich verwendeten Datenbereichen und Systemkonfigurationen. Löschanfragen werden im Einzelfall geprüft und bearbeitet.

10. Ihre Rechte

Unter den jeweiligen gesetzlichen Voraussetzungen haben Sie ein Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21 DSGVO). Soweit eine Verarbeitung auf Ihrer Einwilligung beruht, können Sie diese mit Wirkung für die Zukunft widerrufen.

Widerspruch bei berechtigten Interessen: Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 Buchst. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die betroffenen Daten dann nicht weiter, sofern wir nicht zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient.

Ein Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Bitte wenden Sie sich für datenschutzbezogene Anfragen an [email protected].

Wir beantworten Anträge zur Ausübung Ihrer Datenschutzrechte grundsätzlich innerhalb eines Monats nach Eingang. Soweit die gesetzlichen Voraussetzungen vorliegen, kann die Frist verlängert werden; über die Verlängerung und ihre Gründe informieren wir innerhalb des ersten Monats. Bestehen begründete Zweifel an der Identität, können wir die zur Bestätigung erforderlichen zusätzlichen Informationen anfordern.

11. Beschwerderecht

Sie haben das Recht, bei einer Datenschutzaufsichtsbehörde Beschwerde einzulegen, insbesondere am Ort Ihres gewöhnlichen Aufenthalts oder Ihres Arbeitsplatzes beziehungsweise am Ort des mutmaßlichen Verstoßes. Für Hessen ist dies unter anderem Der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

12. KI-Hinweis und automatisierte Entscheidungen

Sie interagieren in ZEPHAVO mit einem KI-System. KI-Ausgaben können falsch oder unvollständig sein und ersetzen keine eigenverantwortliche Prüfung. Ob eine konkrete Nutzung eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO umfasst, hängt vom tatsächlich eingesetzten Vorgang ab; die Plattform ist nicht allgemein dazu bestimmt, ohne menschliche Kontrolle rechtlich erhebliche Entscheidungen über Personen zu treffen.

13. Änderungen

Diese Hinweise werden angepasst, wenn neue Dienste, Datenflüsse, externe Anbieter oder Verarbeitungszwecke hinzukommen.

Stand: 20. Oktober 2026