Datenschutz und Privatsphäre

„Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, im Sinne von Art. 4 Nr. 1 der Datenschutz-Grundverordnung (EU) 2016/679. Als identifizierbar gilt eine natürliche Person, die direkt oder indirekt, insbesondere mittels Zuordnung zu einer Kennung wie einem Namen, einer Kennnummer, Standortdaten, einer Online-Kennung oder zu einem oder mehreren besonderen Merkmalen, die Ausdruck ihrer physischen, physiologischen, genetischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind, identifiziert werden kann.

„Verarbeitung“ bezeichnet jeden mit oder ohne Hilfe automatisierter Verfahren ausgeführten Vorgang oder jede solche Vorgangsreihe im Zusammenhang mit personenbezogenen Daten oder Sätzen personenbezogener Daten wie das Erheben, das Erfassen, die Organisation, das Ordnen, die Speicherung, die Anpassung oder Veränderung, das Auslesen, das Abfragen, die Verwendung, die Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, den Abgleich oder die Verknüpfung, die Einschränkung, das Löschen oder die Vernichtung.

„Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Verantwortlicher im Sinne dieser Richtlinie ist die NLP GmbH.

„Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

„Betroffene Person“ bezeichnet die identifizierte oder identifizierbare natürliche Person, deren personenbezogene Daten verarbeitet werden. Im Rahmen dieser Richtlinie sind die betroffene Person Sie – der Nutzer der MultipleChat-Plattform.

„Externer KI-Anbieter“ bezeichnet jedes externe Unternehmen bzw. jede externe Stelle, deren KI-Modelle, APIs oder Dienste in die MultipleChat-Plattform integriert oder über sie zugänglich sind, einschließlich, aber nicht beschränkt auf OpenAI LLC, Anthropic PBC, Google LLC, Meta Platforms Inc., Mistral AI SAS, Perplexity AI Inc., xAI Corp. sowie aller anderen KI-Unternehmen, auf die MultipleChat derzeit oder künftig im Auftrag der Nutzer zugreift.

„Nutzerinhalte“ bezeichnet alle Texte, Dateien, Bilder, Dokumente, Prompts, Anweisungen oder sonstigen Materialien, die Sie über die Chat-Oberfläche, Datei-Uploads, API-Aufrufe oder auf andere Weise an die MultipleChat-Plattform übermitteln.

„Generierte Inhalte“ bezeichnet alle Texte, Bilder, Codes, Dokumente, Präsentationen oder sonstigen Ergebnisse, die KI-Modelle über die MultipleChat-Plattform als Antwort auf Nutzerinhalte erzeugen.

„Konversationsdaten“ bezeichnet die vollständige Aufzeichnung der Nutzerinhalte und generierten Inhalte innerhalb einer Chatsitzung, einschließlich Metadaten wie Zeitstempeln, Modellauswahl, Token-Anzahl und Sitzungskennungen.

„Unterauftragsverarbeiter“ bezeichnet jeden Auftragsverarbeiter, den MultipleChat damit beauftragt, im Zusammenhang mit der Erbringung der Dienste personenbezogene Daten im Auftrag von MultipleChat zu verarbeiten.

„Standardvertragsklauseln“ oder „SCC“ bezeichnet die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer, die von der Europäischen Kommission mit dem Durchführungsbeschluss (EU) 2021/914 genehmigt wurden.

„Anwendbares Datenschutzrecht“ bezeichnet sämtliche Datenschutz- und Privatsphärevorschriften, die auf die Verarbeitung personenbezogener Daten im Rahmen dieser Richtlinie anwendbar sind, einschließlich, aber nicht beschränkt auf die Datenschutz-Grundverordnung (EU) 2016/679 („DSGVO“), das Schweizer Bundesgesetz über den Datenschutz in der am 1. September 2023 revidierten Fassung („DSG“), die UK General Data Protection Regulation und den UK Data Protection Act 2018, den California Consumer Privacy Act in der durch den California Privacy Rights Act geänderten Fassung („CCPA/CPRA“) sowie den kanadischen Personal Information Protection and Electronic Documents Act („PIPEDA“).

„Token“ hat die in den Nutzungsbedingungen festgelegte Bedeutung und bezeichnet die Einheit an Rechenressourcen, die verbraucht wird, wenn die Plattform eine KI-Anfrage im Auftrag eines Nutzers verarbeitet.

2.1 Verantwortlicher. Verantwortlicher für alle über die MultipleChat-Plattform verarbeiteten personenbezogenen Daten ist die NLP GmbH, eine in der Schweiz unter der Unternehmens-Identifikationsnummer CHE-232.104.780 eingetragene Gesellschaft mit Sitz an der Untere Wiltisgasse 5, CH-8700 Küsnacht, Schweiz.

2.2 Kontakt in Datenschutzfragen. Alle Datenschutzanfragen, Auskunftsersuchen betroffener Personen, Lösch- und Übertragungsanträge, Beschwerden sowie sonstige Mitteilungen zur Verarbeitung Ihrer personenbezogenen Daten richten Sie bitte an: [email protected]. Wir bestätigen den Eingang Ihrer Anfrage innerhalb von 5 Werktagen und antworten in der Sache innerhalb von 30 Tagen, wie es das anwendbare Datenschutzrecht verlangt.

2.3 EU-Vertreter. Soweit Art. 27 DSGVO dies verlangt, benennt MultipleChat einen Vertreter in der Europäischen Union. Wird ein EU-Vertreter benannt, werden dessen Kontaktdaten auf der Website von MultipleChat veröffentlicht und in diese Richtlinie aufgenommen.

2.4 Verhältnis zu anderen Dokumenten. Diese Richtlinie ist durch Verweis Bestandteil der Nutzungsbedingungen und der Rückerstattungsrichtlinie. Bei Widersprüchen zwischen dieser Richtlinie und den Nutzungsbedingungen in Datenschutzfragen hat diese Richtlinie Vorrang. Bei Widersprüchen zwischen dieser Richtlinie und dem anwendbaren Datenschutzrecht hat das anwendbare Datenschutzrecht Vorrang.

4.1 Daten, die wir NICHT erheben. MultipleChat erhebt keine biometrischen Daten; keine Gesundheitsdaten; keine genetischen Daten; keine Daten, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen; keine Daten zum Sexualleben oder zur sexuellen Orientierung einer Person; keine Daten über strafrechtliche Verurteilungen und Straftaten; und keine sonstigen besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO. Sie dürfen solche Daten nicht an die Plattform übermitteln. Ausführliche Hinweise finden Sie in Abschnitt 25.

4.2 Datenminimierung. Wir erheben nur die Daten, die für die in Abschnitt 6 beschriebenen konkreten Zwecke erforderlich sind. Wir erheben keine Daten auf Vorrat und bewahren sie nicht länger auf als nötig. Das ist kein bloßes Entgegenkommen, sondern eine gesetzliche Pflicht nach Art. 5 Abs. 1 lit. c DSGVO und dem Schweizer DSG.

4.3 Richtigkeit. Wir ergreifen angemessene Maßnahmen, damit personenbezogene Daten richtig und aktuell sind. Sie sind dafür verantwortlich, dass die Angaben in Ihren Kontoeinstellungen aktuell bleiben. Sie können Ihre Kontoinformationen jederzeit über die Plattformeinstellungen oder durch eine Nachricht an [email protected] aktualisieren.

6.1 Bereitstellung des Dienstes. Wir verwenden Ihre Kontodaten, Authentifizierungsdaten und Konversationsdaten, um: Ihr Konto zu erstellen und zu verwalten; Ihre Identität zu authentifizieren; Ihre Anfragen an die passenden KI-Modelle weiterzuleiten; KI-generierte Antworten bereitzustellen; Ihren Konversationsverlauf zu speichern; Datei-Uploads zur KI-Analyse zu verarbeiten; Ihr Abonnement und Ihre Abrechnung zu verwalten; und alle in Ihrer Abonnementstufe verfügbaren Plattformfunktionen bereitzustellen.

6.2 Betrieb der Plattform. Wir verwenden technische Daten, Protokolldaten und anonymisierte Nutzungsdaten, um: Leistung und Verfügbarkeit der Plattform zu überwachen; technische Probleme zu erkennen und zu beheben; Sicherheitsbedrohungen vorzubeugen, sie zu erkennen und darauf zu reagieren; Missbrauch, Betrug und Richtlinienverstöße zu erkennen und zu verhindern; Serverkapazität und Infrastruktur zu verwalten; und einen zuverlässigen Betrieb der Plattform für alle Nutzer sicherzustellen.

6.3 Verbesserung des Dienstes. Wir verwenden anonymisierte und aggregierte Nutzungsdaten, um: zu verstehen, welche Funktionen für Nutzer am nützlichsten sind; Bereiche der Plattform mit Verbesserungsbedarf zu identifizieren; neue Funktionen und Optimierungen zu testen; und Leistungstrends der Plattform zu analysieren. Diese Daten sind anonymisiert und können keinem einzelnen Nutzer zugeordnet werden.

6.4 Einhaltung rechtlicher Vorgaben. Wir verwenden Abrechnungsdaten, Protokolldaten und Kontodaten, um: Schweizer Steuer- und Finanzberichtspflichten zu erfüllen; auf gültige rechtliche Verfahren (Gerichtsbeschlüsse, Vorladungen, behördliche Anfragen) zu reagieren; unsere Nutzungsbedingungen und Rückerstattungsrichtlinie durchzusetzen; und die Rechte, die Sicherheit und das Eigentum von MultipleChat und seinen Nutzern zu schützen.

6.5 Kundensupport. Wir verwenden Supportdaten, Kontodaten und relevante Konversationsdaten (nur wenn Sie in einer Supportanfrage auf eine bestimmte Konversation verweisen), um: Ihre Anfragen zu beantworten; gemeldete Probleme zu untersuchen; Abrechnungsstreitigkeiten zu klären; und unsere Supportprozesse zu verbessern.

7.1 Kein Training durch MultipleChat. MultipleChat trainiert, verfeinert, adaptiert oder destilliert keine KI-Modelle und entwickelt sie auch nicht auf andere Weise mit Nutzerinhalten, Konversationsdaten, generierten Inhalten, hochgeladenen Dateien oder sonstigen Daten weiter, die Sie der Plattform bereitstellen. Wir verwenden Ihre Daten nicht, um eigene proprietäre Modelle zu entwickeln. Wir verwenden Ihre Daten nicht, um Modelle Dritter zu verbessern. Wir verwenden Ihre Daten nicht für Forschung im Bereich maschinelles Lernen. Dies gilt für sämtliche Daten aller Nutzer in allen Abonnementstufen.

7.2 Kein Training durch externe KI-Anbieter. MultipleChat greift auf alle externen KI-Anbieter ausschließlich über deren kommerzielle bzw. Enterprise-API-Angebote zu. Nach den Bedingungen dieser kommerziellen API-Verträge ist es den Anbietern vertraglich untersagt, über die API übermittelte Daten zum Modelltraining zu verwenden. Das unterscheidet sich grundlegend von der Nutzung kostenloser Verbraucherprodukte wie ChatGPT.com, Gemini.google.com oder Claude.ai, für die andere Datenbedingungen gelten können. Über MultipleChat profitiert Ihre Organisation vom Datenschutz kommerzieller APIs, ohne einzelne Anbieterverträge verwalten zu müssen.

7.3 Was „kein Training“ technisch bedeutet. Wenn Sie über MultipleChat eine Nachricht senden, läuft Folgendes ab: (a) Ihre Nachricht wird bei der Übertragung per TLS 1.3 verschlüsselt und an den API-Endpunkt des jeweiligen Anbieters gesendet; (b) der Anbieter verarbeitet die Nachricht über seine Inferenz-Pipeline und erzeugt eine Antwort; (c) die Antwort wird an MultipleChat zurückgegeben und Ihnen angezeigt; (d) Ihre Nachricht und die Antwort werden für Ihren Konversationsverlauf verschlüsselt in unserer Infrastruktur gespeichert. Zu keinem Zeitpunkt dieses Ablaufs werden Ihre Daten einem Trainingsdatensatz, einem Fine-Tuning-Korpus, einer Reinforcement-Learning-Pipeline oder einem sonstigen Prozess zur Modellverbesserung hinzugefügt.

7.4 Vorübergehende Speicherung durch Anbieter. Einige externe KI-Anbieter speichern über die API übermittelte Daten für einen begrenzten Zeitraum (in der Regel 30 Tage) vorübergehend, und zwar ausschließlich zur Missbrauchsüberwachung und zur Einhaltung von Sicherheitsvorgaben. Dies ist branchenübliche Praxis und wird durch die eigenen Sicherheitsrichtlinien der Anbieter und teilweise gesetzlich vorgeschrieben. Diese vorübergehende Speicherung ist kein Training, sondern eine Sicherheitsmaßnahme. Nach Ablauf der Speicherfrist werden die Daten aus den Systemen des Anbieters gelöscht. Einzelheiten zu jedem Anbieter finden Sie in Abschnitt 8.

7.5 Vertragliche Durchsetzbarkeit. Unsere Zusage, Ihre Daten nicht für KI-Training zu verwenden, ist keine Marketingaussage, sondern eine Vertragsbestimmung Ihrer Vereinbarung mit MultipleChat und nach Schweizer Recht durchsetzbar. Ein Verstoß von MultipleChat gegen diese Zusage stellt eine nach dem Schweizerischen Obligationenrecht einklagbare Vertragsverletzung dar.

8.1 Die Bedingungen der Anbieter sind eigenständig. Jeder externe KI-Anbieter hat eigene Datenschutzrichtlinien und Datenverarbeitungsbedingungen. Wir verlangen zwar von allen Anbietern, unter kommerziellen API-Bedingungen zu arbeiten, die ein Training mit Kundendaten untersagen, können die internen Abläufe unabhängiger Unternehmen jedoch weder kontrollieren noch garantieren. Wir empfehlen Unternehmenskunden, die API-spezifischen Datenschutzrichtlinien jedes Anbieters zu prüfen, den sie über MultipleChat nutzen.

8.2 An Anbieter übermittelte Daten. Wenn Sie eine Nachricht an ein KI-Modell senden, übermittelt MultipleChat: den Text Ihrer Nachricht (Nutzerinhalte); alle in der Konversation enthaltenen angehängten Dateien oder Kontextinformationen; systemseitige Anweisungen, die für das ordnungsgemäße Funktionieren des Modells erforderlich sind; sowie den relevanten Konversationskontext, wenn die Konversation mehrere Nachrichten umfasst. MultipleChat übermittelt weder Ihren Namen noch Ihre E-Mail-Adresse, Zahlungsinformationen oder Zugangsdaten an einen KI-Anbieter.

8.3 Änderungen durch Anbieter. Externe KI-Anbieter können ihre Datenverarbeitungspraktiken, API-Bedingungen oder Datenschutzrichtlinien jederzeit ändern. MultipleChat überwacht die Bedingungen der Anbieter und aktualisiert diesen Abschnitt bei wesentlichen Änderungen. Werden die Datenverarbeitungspraktiken eines Anbieters mit unseren Zusagen unvereinbar, entfernen wir diesen Anbieter von der Plattform.

9.1 Wir verkaufen Ihre Daten niemals. MultipleChat wird Ihre personenbezogenen Daten niemals und zu keinem Zweck an Dritte verkaufen, vermieten, verleihen, mit ihnen handeln oder auf andere Weise kommerziell übertragen. Dies ist ein absolutes Verbot ohne Ausnahmen.

9.2 Keine Werbenetzwerke. Wir geben keinerlei Daten an Werbenetzwerke, Datenhändler, Marketingplattformen, Social-Media-Unternehmen oder Analysedienste weiter, die Nutzerprofile zu Werbezwecken erstellen.

9.3 Gesetzliche Anforderungen. Wir können personenbezogene Daten offenlegen, wenn geltendes Recht, ein gültiger Gerichtsbeschluss, eine Vorladung oder eine verbindliche behördliche Anordnung dies verlangt. In einem solchen Fall werden wir: nur im mindestens erforderlichen Umfang der gesetzlichen Anforderung nachkommen; Sie über die Offenlegung informieren, soweit dies rechtlich zulässig ist; und gegen übermäßig weit gefasste oder rechtswidrige Anfragen gegebenenfalls vorgehen.

9.4 Unternehmensübertragungen. Im Falle einer Fusion, Übernahme, Umstrukturierung oder eines Verkaufs von Vermögenswerten von MultipleChat können Ihre personenbezogenen Daten auf das übernehmende Unternehmen übertragen werden. In diesem Fall gilt: Das übernehmende Unternehmen ist hinsichtlich der bestehenden Daten an die Bedingungen dieser Richtlinie gebunden; Sie werden vor der Übertragung darüber informiert; und Sie erhalten die Möglichkeit, Ihre Daten zu löschen, bevor die Übertragung abgeschlossen ist.

9.5 Verzeichnis der Unterauftragsverarbeiter. Unternehmenskunden können unter [email protected] eine vollständige und aktuelle Liste aller Unterauftragsverarbeiter einschließlich ihrer konkreten Datenverarbeitungstätigkeiten anfordern.

10.1 Infrastruktur-Stack. Die Sicherheitsarchitektur von MultipleChat besteht aus sechs Schichten: (1) Edge-Schutz – Cloudflare übernimmt DDoS-Abwehr, Regeln der Web Application Firewall, Bot-Management, Rate Limiting und SSL/TLS-Terminierung am Netzwerkrand, bevor eine Anfrage unsere Infrastruktur erreicht; (2) Authentifizierung – Firebase Authentication von Google bietet Identitätsverwaltung auf Enterprise-Niveau mit Unterstützung für Multi-Faktor-Authentifizierung, Schutz vor Brute-Force-Angriffen, Anomalieerkennung, Schutz vor Credential Stuffing und Sitzungsverwaltung; (3) Anwendungsschicht – die Anwendungslogik läuft in den Microsoft-Azure-Regionen Schweiz Nord und Schweiz West und profitiert von der physischen Sicherheit, der Netzwerkisolierung und den Compliance-Zertifizierungen von Azure; (4) Datenspeicherung – alle ruhenden Daten werden mit AES-256 verschlüsselt, der Zugriff wird über rollenbasierte Zugriffsrichtlinien gesteuert, und jeder Zugriff wird protokolliert und auditiert; (5) Kommunikation mit KI-Anbietern – Anfragen an externe KI-Anbieter werden über deren kommerzielle API-Endpunkte durch TLS-1.3-verschlüsselte Kanäle übertragen; (6) Zahlungsabwicklung – Stripe übernimmt die gesamte Zahlungskartenverarbeitung gemäß PCI DSS Level 1, der höchsten verfügbaren Zertifizierungsstufe.

10.2 Netzwerksicherheit. Der gesamte Netzwerkverkehr zwischen den Komponenten von MultipleChat ist verschlüsselt. Wir nutzen Netzwerksegmentierung, um verschiedene Teile der Infrastruktur voneinander zu isolieren. Firewall-Regeln beschränken ein- und ausgehenden Verkehr auf bekannte und erforderliche Endpunkte. Intrusion-Detection-Systeme überwachen ungewöhnliche Netzwerkaktivitäten.

10.3 Anwendungssicherheit. Wir folgen sicheren Softwareentwicklungspraktiken, darunter: regelmäßige Prüfung von Abhängigkeiten auf bekannte Schwachstellen; Validierung und Bereinigung von Eingaben an allen nutzerseitigen Schnittstellen; parametrisierte Datenbankabfragen zur Verhinderung von SQL-Injection; Ausgabe-Encoding zur Verhinderung von Cross-Site-Scripting; CSRF-Schutz für alle zustandsändernden Vorgänge; und sicherheitsorientierte Code-Review-Prozesse.

10.4 Sicherheitsüberwachung. Wir betreiben eine automatisierte Sicherheitsüberwachung rund um die Uhr, die Folgendes umfasst: den Zustand von Servern und Anwendungen; ungewöhnliche Anmeldemuster oder Zugriffsversuche; auffällige Verkehrsmuster oder mögliche DDoS-Aktivitäten; Anomalien bei Fehlerraten; und Ressourcennutzung, die auf eine Kompromittierung hindeuten könnte.

10.5 Sicherheitsaudits. MultipleChat führt regelmäßige Sicherheitsbewertungen durch, darunter: interne Sicherheitsüberprüfungen; Abhängigkeits- und Schwachstellenscans; und Audits der Infrastrukturkonfiguration. Unternehmenskunden können unter [email protected] Einzelheiten zu unserem Zeitplan für Sicherheitsbewertungen und deren Ergebnissen anfordern (unter einer Geheimhaltungsvereinbarung).

11.1 Daten bei der Übertragung. Alle zwischen Ihrem Browser/Gerät und den Servern von MultipleChat übertragenen Daten werden mit TLS 1.3 verschlüsselt – der neuesten und sichersten Version des Transport-Layer-Security-Protokolls. Wir erzwingen HTTPS auf allen Endpunkten. Verbindungen über ältere, weniger sichere Protokolle (TLS 1.0, TLS 1.1) werden abgelehnt. HTTP-Strict-Transport-Security-Header (HSTS) verhindern Protokoll-Downgrade-Angriffe.

11.2 Ruhende Daten. Alle in der Infrastruktur von MultipleChat gespeicherten Daten – einschließlich Konversationsdaten, Kontodaten, hochgeladener Dateien und Protokolldaten – werden im Ruhezustand mit AES-256 verschlüsselt, dem Verschlüsselungsstandard, den Finanzinstitute, Behörden und militärische Systeme weltweit verwenden.

11.3 Schlüsselverwaltung. Verschlüsselungsschlüssel werden über Azure Key Vault verwaltet, das eine Schlüsselspeicherung auf Basis von Hardware-Sicherheitsmodulen (HSM) bietet. Der Zugriff auf Verschlüsselungsschlüssel ist auf unverzichtbare Infrastrukturdienste beschränkt und wird protokolliert und auditiert. Richtlinien zur Schlüsselrotation sind etabliert und werden regelmäßig umgesetzt.

11.4 Datenbankverschlüsselung. Alle Datenbanksysteme verwenden zusätzlich zur Verschlüsselung auf Speicherebene Transparent Data Encryption (TDE) und bieten so eine mehrschichtige Verteidigung. Datenbankverbindungen nutzen verschlüsselte Kanäle. Datenbank-Backups werden nach denselben Standards verschlüsselt wie die Live-Daten.

12.1 Prinzip der minimalen Rechte. Der Zugriff auf Nutzerdaten ist auf die kleinstmögliche Zahl autorisierter Mitarbeitender beschränkt, die ihn für legitime betriebliche Zwecke benötigen – etwa um ein gemeldetes technisches Problem zu beheben oder eine Supportanfrage zu bearbeiten, die sich auf bestimmte Kontodaten bezieht. Kein Mitarbeitender verfügt über einen pauschalen Zugriff auf alle Nutzerdaten.

12.2 Rollenbasierte Zugriffskontrolle. Jeder Zugriff auf Produktivsysteme und Nutzerdaten wird über eine rollenbasierte Zugriffskontrolle (RBAC) gesteuert. Unterschiedliche Rollen haben unterschiedliche Zugriffsstufen; Berechtigungen werden nach Funktion und Erforderlichkeit vergeben. Zugriffsberechtigungen werden regelmäßig überprüft.

12.3 Multi-Faktor-Authentifizierung. Alle Mitarbeitenden und Auftragnehmer mit Zugriff auf Produktivsysteme oder Nutzerdaten müssen Multi-Faktor-Authentifizierung verwenden. Passwortrichtlinien erzwingen eine Mindestkomplexität und regelmäßige Änderungen.

12.4 Zugriffsprotokollierung. Jeder Zugriff auf Produktivsysteme und Nutzerdaten wird mit Zeitstempel, Benutzerkennung und Art des Zugriffs protokolliert. Diese Protokolle werden aufbewahrt und auf ungewöhnliche Aktivitäten geprüft. Sie können von den Personen, deren Zugriffe sie erfassen, weder verändert noch gelöscht werden.

12.5 Personalsicherheit. Alle Mitarbeitenden mit Zugriff auf Nutzerdaten durchlaufen, soweit nach geltendem Recht zulässig, eine Hintergrundüberprüfung. Alle Mitarbeitenden unterliegen Vertraulichkeitspflichten. Alle Mitarbeitenden erhalten Schulungen zu Datenschutz und Sicherheitsbewusstsein. Bei einem Rollenwechsel oder Ausscheiden wird der Zugriff sofort entzogen.

12.6 Keine routinemäßige Überwachung. MultipleChat führt keine Massenüberwachung, kein systematisches Mitlesen und keine routinemäßige Kontrolle von Nutzerkonversationen durch. Wir lesen Ihre Konversationen nur, wenn Sie uns in einer Supportanfrage ausdrücklich auf eine bestimmte Konversation hinweisen oder wenn ein gültiges rechtliches Verfahren dies verlangt.

13.1 Standort der primären Infrastruktur. Die primäre Infrastruktur von MultipleChat – einschließlich Anwendungsservern, Datenbanken, Dateispeicher und Backup-Systemen – wird in den Microsoft-Azure-Regionen Schweiz Nord und Schweiz West gehostet, die sich in den Kantonen Zürich bzw. Genf befinden. Ihre ruhenden Daten liegen somit physisch in der Schweiz.

13.2 Datenspeicherung in der Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 Abs. 1 DSGVO. Übermittlungen personenbezogener Daten aus der EU/dem EWR in die Schweiz werden daher wie Übermittlungen innerhalb der EU behandelt und erfordern keine zusätzlichen Garantien wie Standardvertragsklauseln. Das 2023 revidierte Schweizer Bundesgesetz über den Datenschutz (DSG) setzt Datenschutzstandards, die international als einige der strengsten der Welt anerkannt sind.

13.3 Edge-Caching. Das globale Edge-Netzwerk von Cloudflare kann statische Ressourcen (etwa CSS, JavaScript und Bilder) zur Leistungssteigerung vorübergehend an Edge-Standorten weltweit zwischenspeichern. Dieses Caching betrifft ausschließlich statische Plattformressourcen – nicht Nutzerinhalte, Konversationsdaten oder sonstige personenbezogene Daten.

13.4 Backup und Notfallwiederherstellung. Datenbank-Backups werden verschlüsselt in europäischen Azure-Regionen gespeichert. Für Backup-Daten gelten dieselben Verschlüsselungsstandards und Zugriffskontrollen wie für Live-Daten. Die Verfahren zur Notfallwiederherstellung sind dokumentiert, getestet und darauf ausgelegt, Datenverluste und Wiederherstellungszeiten zu minimieren.

14.1 Schweiz – EU/EWR. Übermittlungen personenbezogener Daten zwischen der Schweiz und der EU/dem EWR erfordern keine zusätzlichen Garantien, da für die Schweiz ein EU-Angemessenheitsbeschluss besteht und die EU nach dem Schweizer DSG als angemessen anerkannt ist.

14.2 Übermittlungen in die USA. Werden Ihre Anfragen von KI-Anbietern mit Sitz in den USA (OpenAI, Anthropic, Google, Meta, Perplexity, xAI) verarbeitet, werden Ihre Nutzerinhalte an Server in den Vereinigten Staaten übermittelt. Diese Übermittlungen erfolgen auf Grundlage von: EU-Standardvertragsklauseln (SCC) in der mit dem Durchführungsbeschluss (EU) 2021/914 der Europäischen Kommission genehmigten Fassung; gegebenenfalls dem EU-US Data Privacy Framework; sowie ergänzenden technischen Maßnahmen, darunter die Verschlüsselung der Daten bei der Übertragung (TLS 1.3) und vertragliche Verbote einer Datennutzung über den angegebenen Verarbeitungszweck hinaus.

14.3 Übermittlungen in andere Rechtsordnungen. Das Edge-Netzwerk von Cloudflare ist weltweit tätig; wie in Abschnitt 13.3 beschrieben, werden an Edge-Standorten jedoch nur statische Plattformressourcen zwischengespeichert – keine personenbezogenen Daten. Firebase kann Authentifizierungsdaten in Rechenzentren von Google verarbeiten, auf Grundlage der eigenen Auftragsverarbeitungsverträge von Google und von Standardvertragsklauseln.

14.4 Transfer Impact Assessments. MultipleChat hat für alle internationalen Datenübermittlungen Transfer Impact Assessments (TIA) durchgeführt und dabei den Rechtsrahmen des Ziellandes, die konkret übermittelten Daten und die getroffenen ergänzenden Maßnahmen bewertet. Zusammenfassungen der TIAs stellen wir Unternehmenskunden auf Anfrage zur Verfügung.

14.5 Datenminimierung bei Übermittlungen. Bei der Übermittlung von Daten an externe KI-Anbieter übermitteln wir nur die Nutzerinhalte und den Konversationskontext, die das KI-Modell zur Bearbeitung der Anfrage benötigt. Wir übermitteln weder Ihren Namen noch Ihre E-Mail-Adresse, IP-Adresse, Zahlungsinformationen, Kontokennung oder sonstige identifizierende Metadaten an KI-Anbieter.

16.1 Auskunftsrecht (Art. 15 DSGVO). Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob Ihre personenbezogenen Daten verarbeitet werden, und, falls ja, Auskunft über diese Daten sowie über folgende Informationen zu erhalten: die Verarbeitungszwecke; die betroffenen Datenkategorien; die Empfänger, denen die Daten offengelegt wurden; die Speicherdauer; das Bestehen Ihrer weiteren Rechte; die Herkunft der Daten (sofern sie nicht bei Ihnen erhoben wurden); und ob eine automatisierte Entscheidungsfindung oder ein Profiling stattfindet.

16.2 Recht auf Berichtigung (Art. 16 DSGVO). Sie haben das Recht, unverzüglich die Berichtigung unrichtiger personenbezogener Daten zu verlangen. Die meisten Kontoinformationen können Sie direkt in Ihren Kontoeinstellungen aktualisieren. Für Daten, die Sie nicht selbst korrigieren können, wenden Sie sich an [email protected].

16.3 Recht auf Löschung (Art. 17 DSGVO). Sie haben unter bestimmten Umständen das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen – Einzelheiten zum Löschverfahren und zu den Ausnahmen finden Sie in Abschnitt 17.

16.4 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO). Sie haben das Recht, von uns die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, wenn: Sie die Richtigkeit der Daten bestreiten (Einschränkung für die Dauer unserer Überprüfung); Sie die Verarbeitung für unrechtmäßig halten, aber eine Einschränkung statt einer Löschung bevorzugen; wir die Daten nicht mehr benötigen, Sie sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigen; oder Sie nach Art. 21 Widerspruch gegen die Verarbeitung eingelegt haben und die Prüfung des Widerspruchs noch andauert.

16.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO). Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und diese Daten einem anderen Verantwortlichen zu übermitteln. Einzelheiten zum Übertragungsverfahren finden Sie in Abschnitt 18.

16.6 Widerspruchsrecht (Art. 21 DSGVO). Sie haben das Recht, jederzeit Widerspruch gegen eine Verarbeitung einzulegen, die auf berechtigten Interessen (Art. 6 Abs. 1 lit. f) beruht. Nach Eingang Ihres Widerspruchs stellen wir die Verarbeitung ein, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

16.7 Rechte im Zusammenhang mit automatisierten Entscheidungen (Art. 22 DSGVO). Siehe Abschnitt 19.

16.8 Recht auf Widerruf der Einwilligung. Beruht eine Verarbeitung auf Ihrer Einwilligung, haben Sie das Recht, diese jederzeit zu widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung. Hinweis: Der Großteil unserer Verarbeitungen beruht nicht auf einer Einwilligung, sondern auf der Vertragserfüllung oder auf berechtigten Interessen.

16.9 Beschwerderecht. Sie haben das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Einzelheiten zu den zuständigen Behörden finden Sie in Abschnitt 29.

16.10 So üben Sie Ihre Rechte aus. Um eines der oben genannten Rechte auszuüben, wenden Sie sich bitte an [email protected] mit dem Betreff „Antrag auf Wahrnehmung von Betroffenenrechten“ und nennen Sie das konkrete Recht, das Sie ausüben möchten. Wir bestätigen den Eingang Ihres Antrags innerhalb von 5 Werktagen und erteilen Ihnen innerhalb von 30 Tagen eine inhaltliche Antwort. Bei komplexen Anträgen können wir die Antwortfrist nach entsprechender Mitteilung um weitere 60 Tage verlängern. Für die Bearbeitung angemessener Anträge zur Ausübung Ihrer Rechte erheben wir keine Gebühren. Wir können zusätzliche Informationen anfordern, um vor der Bearbeitung Ihres Antrags Ihre Identität zu überprüfen.

17.1 Löschung in Eigenregie. Sie können über die Plattformoberfläche jederzeit einzelne Konversationen, einzelne hochgeladene Dateien oder sämtliche Konversationen Ihres Kontos löschen. Gelöschte Konversationen werden innerhalb von 24 Stunden dauerhaft aus unseren Produktivsystemen und innerhalb von 30 Tagen aus den Backups entfernt.

17.2 Löschung des Kontos. Sie können die vollständige Löschung Ihres Kontos beantragen, indem Sie sich an [email protected] wenden. Nach Eingang Ihres verifizierten Antrags werden wir: aktive Abonnements kündigen; sämtliche mit Ihrem Konto verbundenen Kontodaten, Konversationsdaten, hochgeladenen Dateien und generierten Inhalte innerhalb von 30 Tagen dauerhaft löschen; Abrechnungsunterlagen gemäß Schweizer Steuerrecht 7 Jahre lang aufbewahren (diese können nicht früher gelöscht werden); und Ihnen nach Abschluss der Löschung eine Bestätigung zusenden.

17.3 Ausnahmen von der Löschung. In folgenden Fällen können wir bestimmte Daten unter Umständen nicht löschen: wenn das Schweizer Steuerrecht eine Aufbewahrung vorschreibt (Abrechnungsunterlagen, 7 Jahre); wenn andere gesetzliche Pflichten eine Aufbewahrung vorschreiben; wenn die Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind; oder wenn die Daten im Zusammenhang mit einem laufenden oder zu erwartenden Rechtsstreit einer rechtlichen Aufbewahrungspflicht (Legal Hold) unterliegen. In diesen Fällen informieren wir Sie über die konkrete Ausnahme und bewahren nur das erforderliche Mindestmaß an Daten auf.

17.4 Daten bei externen KI-Anbietern. Wenn Sie Ihre Daten bei MultipleChat löschen, werden dadurch Daten, die bereits an die APIs externer KI-Anbieter übermittelt wurden, nicht rückwirkend gelöscht. Wie in Abschnitt 8 beschrieben, speichern die Anbieter über die API übermittelte Daten jedoch nur vorübergehend (in der Regel bis zu 30 Tage) zur Missbrauchsüberwachung; danach werden sie gemäß den jeweiligen Aufbewahrungsrichtlinien aus deren Systemen gelöscht. MultipleChat kann die Anbieter nicht verpflichten, Daten vor Ablauf ihrer üblichen Aufbewahrungsfristen zu löschen.

18.1 Exportformate. Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu exportieren. MultipleChat unterstützt den Export von Konversationsdaten im JSON-Format, von Kontodaten im JSON-Format sowie von hochgeladenen Dateien in ihrem Originalformat.

18.2 So exportieren Sie Ihre Daten. Sie können Ihre Daten über die Plattformoberfläche (sofern verfügbar) exportieren oder sich mit dem Betreff „Antrag auf Datenübertragbarkeit“ an [email protected] wenden. Wir stellen Ihnen den Export innerhalb von 30 Tagen nach Ihrem verifizierten Antrag zur Verfügung.

18.3 Umfang der Datenübertragbarkeit. Das Recht auf Datenübertragbarkeit gilt für personenbezogene Daten, die Sie uns bereitgestellt haben, die auf Grundlage einer Einwilligung oder eines Vertrags verarbeitet werden und deren Verarbeitung mithilfe automatisierter Verfahren erfolgt. Es erstreckt sich weder auf Daten, die wir durch eigene Analysen aus Ihren personenbezogenen Daten abgeleitet haben, noch auf Daten, zu deren Aufbewahrung wir gesetzlich verpflichtet sind.

19.1 Keine automatisierten Entscheidungen mit Rechtswirkung. MultipleChat trifft keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung – einschließlich Profiling – beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. KI-generierte Antworten sind informative Ergebnisse und keine automatisierten Entscheidungen mit Rechtswirkung.

19.2 Nutzungsbasierte Funktionen. Einige Funktionen der Plattform beinhalten eine automatisierte Verarbeitung Ihrer Nutzungsmuster – so beruht etwa die automatische Modellauswahl im Smart Mode auf Inhalt und Komplexität Ihrer Anfrage und nicht auf einem Profiling Ihrer persönlichen Merkmale. Diese Art der Verarbeitung entfaltet keine rechtliche Wirkung und beeinträchtigt Sie auch nicht in ähnlicher Weise erheblich.

19.3 Missbrauchserkennung. Unsere Systeme zur Missbrauchsprävention (beschrieben in den Nutzungsbedingungen) analysieren Nutzungsmuster automatisiert, um mögliche Richtlinienverstöße zu erkennen. Kein Konto wird jedoch allein auf Grundlage einer automatisierten Analyse gesperrt, gekündigt oder sonstigen nachteiligen Maßnahmen unterworfen – vor jeder Durchsetzungsmaßnahme erfolgt stets eine Prüfung durch einen Menschen.

20.1 Altersvoraussetzungen. Die MultipleChat-Plattform ist nicht für Personen unter 16 Jahren (bzw. unter dem in Ihrer Rechtsordnung geltenden Mindestalter) bestimmt. Mit der Erstellung eines Kontos versichern und gewährleisten Sie, mindestens 16 Jahre alt zu sein. Sind Sie zwischen 16 und 18 Jahre alt, versichern Sie, dass Ihre Eltern oder Ihr gesetzlicher Vertreter diese Bedingungen in Ihrem Namen geprüft und ihnen zugestimmt haben.

20.2 Keine wissentliche Erhebung von Daten Minderjähriger. Wir erheben nicht wissentlich personenbezogene Daten von Kindern unter 16 Jahren. Erfahren wir, dass wir ohne elterliche Einwilligung personenbezogene Daten eines Kindes unter 16 Jahren erhoben haben, ergreifen wir umgehend Maßnahmen, um diese Daten aus unseren Systemen zu löschen.

20.3 Meldung. Wenn Sie annehmen, dass ein Kind unter 16 Jahren MultipleChat personenbezogene Daten bereitgestellt hat, wenden Sie sich bitte umgehend an [email protected]. Wir gehen dem nach und löschen gegebenenfalls die Daten und schließen das Konto.

Authentifizierungs-Cookies (Firebase). Diese Cookies halten Ihre Anmeldesitzung aufrecht, verwalten den Status der Multi-Faktor-Authentifizierung und verhindern unbefugte Zugriffe auf Ihr Konto. Sie sind für den Betrieb der Plattform unbedingt erforderlich. Ohne sie würden Sie bei jedem Seitenaufruf abgemeldet.

Cookies zur Sitzungsverwaltung. Diese Cookies speichern den Status Ihrer aktuellen Sitzung, einschließlich des ausgewählten KI-Modells, des Konversationskontexts und Ihrer Oberflächeneinstellungen. Sie verfallen am Ende Ihrer Sitzung oder nach einer festgelegten Inaktivitätsdauer.

Sicherheits-Cookies (Cloudflare). Cloudflare setzt Cookies, um Menschen von automatisierten Bots zu unterscheiden, DDoS-Angriffe abzuwehren und Regeln der Web Application Firewall durchzusetzen. Sie sind unerlässlich, um die Plattform und alle Nutzer vor Sicherheitsbedrohungen zu schützen.

Stripe-Cookies. Stripe setzt Cookies, die für die Zahlungsabwicklung, die Betrugserkennung und die Einhaltung des PCI DSS beim Bezahlvorgang und bei der Abonnementverwaltung erforderlich sind.

ClickCease. MultipleChat setzt ClickCease ein, um Klickbetrug bei bezahlten Werbekampagnen zu erkennen und zu verhindern. ClickCease überwacht die Klickmuster unserer Anzeigen, um automatisiertes, betrügerisches oder missbräuchliches Klickverhalten zu erkennen, durch das Werbebudget verschwendet würde. Zu den erhobenen Daten gehören IP-Adressen, Klick-Zeitstempel, User-Agent-Strings, Verweisdaten und Muster der Klickhäufigkeit. Diese Verarbeitung beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO), unser Unternehmen vor Werbebetrug zu schützen. ClickCease wird von der Cheq AI Technologies Ltd betrieben.

ClickGuard. MultipleChat kann zusätzlich ClickGuard einsetzen, um in allen bezahlten Werbekampagnen Klickbetrug zu erkennen und ungültigen Traffic herauszufiltern. ClickGuard erhebt ähnliche Daten wie ClickCease – darunter IP-Adressen, Klickmuster, Geräte-Fingerprints und Verhaltenssignale –, um betrügerische Klicks in Echtzeit zu erkennen und zu blockieren. Diese Verarbeitung beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO), unsere Werbeausgaben vor Werbebetrug zu schützen.

Cookie-Banner. Wenn Sie die MultipleChat-Website zum ersten Mal besuchen, wird Ihnen ein Cookie-Banner angezeigt, über das Sie nicht notwendige Cookies akzeptieren oder ablehnen können. Ihre Einstellungen können Sie jederzeit über den Link zu den Cookie-Einstellungen in der Fußzeile der Website ändern oder indem Sie sich an [email protected] wenden.

Browsereinstellungen. Sie können Cookies auch über die Einstellungen Ihres Browsers steuern. In den meisten Browsern lassen sich Drittanbieter-Cookies blockieren, vorhandene Cookies löschen und Einstellungen für einzelne Websites festlegen. Bitte beachten Sie, dass die Plattform bei einer Blockierung notwendiger Cookies möglicherweise nicht ordnungsgemäß funktioniert.

Opt-out-Links. Viele der oben genannten Werbeplattformen bieten eigene Opt-out-Möglichkeiten an: Google (Anzeigeneinstellungen unter adssettings.google.com); Meta (Werbepräferenzen unter facebook.com/adpreferences); LinkedIn (Werbepräferenzen in Ihren LinkedIn-Einstellungen); X (Einstellungen zu Personalisierung und Daten in Ihrem X-Konto); Reddit (Datenschutzeinstellungen in Ihrem Reddit-Konto); Microsoft (Datenschutz-Dashboard unter account.microsoft.com/privacy).

Do Not Track. Einige Browser senden ein „Do Not Track“-Signal (DNT). Derzeit gibt es keinen Branchenstandard dafür, wie Websites auf DNT-Signale reagieren sollen. MultipleChat ändert seine Tracking-Praktiken derzeit nicht aufgrund von DNT-Signalen; Sie können das Tracking jedoch über das Cookie-Banner und die oben beschriebenen Opt-out-Möglichkeiten steuern.

Folgen eines Opt-outs. Wenn Sie nicht notwendige Cookies ablehnen, werden alle oben genannten Analyse-, Werbe- und Remarketing-Tools deaktiviert. Ihre Möglichkeit, die MultipleChat-Plattform zu nutzen, wird dadurch nicht beeinträchtigt. Notwendige Cookies (Authentifizierung, Sitzung, Sicherheit, Zahlung) bleiben aktiv, da sie für den Dienst erforderlich sind.

Eine vollständige Liste der einzelnen Cookies, die die MultipleChat-Plattform setzt, einschließlich Name, Zweck, Speicherdauer und Kategorie, finden Sie in unserer separaten Cookie-Richtlinie.

22.1 Plan zur Reaktion auf Sicherheitsvorfälle. MultipleChat unterhält einen dokumentierten Incident-Response-Plan, der Folgendes umfasst: Erkennung und Identifizierung von Sicherheitsvorfällen; Eindämmungs- und Abhilfemaßnahmen; Beweissicherung; Meldeverfahren; Ursachenanalyse; sowie Behebung und Maßnahmen zur Vermeidung künftiger Vorfälle.

22.2 Meldung an die Aufsichtsbehörde. Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für die Rechte und Freiheiten natürlicher Personen führt, meldet MultipleChat diese gemäß Art. 33 DSGVO innerhalb von 72 Stunden, nachdem ihm die Verletzung bekannt wurde, der zuständigen Aufsichtsbehörde. Die Meldung enthält: die Art der Verletzung; die Kategorien und die ungefähre Zahl der betroffenen Personen; die wahrscheinlichen Folgen der Verletzung; sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung.

22.3 Benachrichtigung betroffener Personen. Hat eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge, benachrichtigen wir Sie gemäß Art. 34 DSGVO unverzüglich. Die Benachrichtigung beschreibt in klarer und einfacher Sprache die Art der Verletzung, nennt die Kontaktdaten unserer Anlaufstelle für Datenschutzfragen, erläutert die wahrscheinlichen Folgen und beschreibt die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung.

22.4 Meldung von Datenschutzverletzungen an Unternehmenskunden. Für Unternehmenskunden mit einem Auftragsverarbeitungsvertrag können zusätzliche, in ihrem AVV festgelegte Meldepflichten gelten, darunter kürzere Meldefristen und weitergehende Berichtspflichten. Wir halten alle vertraglichen Zusagen zur Meldung von Datenschutzverletzungen ein.

24.1 Verfügbarkeit des AVV. Geschäfts- und Unternehmenskunden können einen unterzeichneten Auftragsverarbeitungsvertrag (AVV, engl. DPA) gemäß Art. 28 DSGVO anfordern. Unser AVV liegt bereits vorformuliert vor und kann sofort abgeschlossen werden – es muss nicht erst von Grund auf verhandelt werden.

24.2 Inhalt des AVV. Unser Standard-AVV umfasst: Gegenstand und Dauer der Verarbeitung; Art und Zweck der Verarbeitung; die Art der personenbezogenen Daten und die Kategorien betroffener Personen; Pflichten und Rechte des Verantwortlichen; die von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC); eine vollständige und aktuelle Liste der Unterauftragsverarbeiter; detaillierte technische und organisatorische Maßnahmen (TOM); Verfahren zur Meldung von Datenschutzverletzungen (Meldung an den Verantwortlichen innerhalb von 72 Stunden); Bestimmungen zu Prüfungsrechten; Pflichten zur Rückgabe und Löschung der Daten bei Vertragsende; sowie Bestimmungen zu grenzüberschreitenden Datenübermittlungen.

24.3 Mitteilungen zu Unterauftragsverarbeitern. Unternehmenskunden mit einem AVV haben Anspruch darauf, vorab über jede Änderung unserer Liste der Unterauftragsverarbeiter informiert zu werden, einschließlich der Hinzunahme oder des Austauschs von Unterauftragsverarbeitern. Die Mitteilung erfolgt mit ausreichendem Vorlauf, damit der Verantwortliche der Änderung widersprechen kann.

24.4 So fordern Sie einen AVV an. Um einen AVV anzufordern, wenden Sie sich mit dem Betreff „AVV-Anfrage“ an [email protected] und geben Sie den Namen Ihres Unternehmens, Ihre Rechtsordnung sowie Name und E-Mail-Adresse der zeichnungsberechtigten Person an. Wir stellen Ihnen das AVV-Dokument innerhalb von 5 Werktagen zur Verfügung.

25.1 Was zu den besonderen Kategorien personenbezogener Daten zählt. Zu den besonderen Kategorien personenbezogener Daten gehören: Daten, aus denen die rassische oder ethnische Herkunft hervorgeht; politische Meinungen; religiöse oder weltanschauliche Überzeugungen; die Gewerkschaftszugehörigkeit; genetische Daten; biometrische Daten zur Identifizierung; Gesundheitsdaten; Daten zum Sexualleben oder zur sexuellen Orientierung einer Person; sowie Daten über strafrechtliche Verurteilungen und Straftaten.

25.2 Verbot. Sie dürfen Daten besonderer Kategorien weder eingeben noch hochladen noch auf andere Weise an MultipleChat übermitteln. Dies gilt auch für die Übermittlung solcher Daten in Chat-Prompts, hochgeladenen Dateien oder in sonstiger Form. MultipleChat verfügt nicht über die technischen und organisatorischen Maßnahmen, die für eine Art.-9-DSGVO-konforme Verarbeitung von Daten besonderer Kategorien erforderlich sind, und die Übermittlung solcher Daten an externe KI-Anbieter würde sie Verarbeitungsumgebungen aussetzen, die für Daten besonderer Kategorien nicht ausgelegt sind.

25.3 Wenn Daten besonderer Kategorien übermittelt wurden. Haben Sie versehentlich Daten besonderer Kategorien übermittelt, müssen Sie die betreffende Konversation umgehend löschen. Ist Ihnen dies nicht möglich, wenden Sie sich an [email protected]; wir unterstützen Sie dann bei der Löschung. MultipleChat übernimmt keinerlei Haftung für die Verarbeitung von Daten besonderer Kategorien, die Sie unter Verstoß gegen diesen Abschnitt übermitteln.

26.1 Wann wir DSFA durchführen. MultipleChat führt gemäß Art. 35 DSGVO Datenschutz-Folgenabschätzungen (DSFA) durch, wenn eine Verarbeitungstätigkeit voraussichtlich ein hohes Risiko für die Rechte und Freiheiten betroffener Personen zur Folge hat. Dies umfasst die Bewertung von: neuen Funktionen, die eine erhebliche Verarbeitung personenbezogener Daten mit sich bringen; Änderungen unserer Liste der Unterauftragsverarbeiter; neuen Integrationen externer KI-Anbieter; sowie wesentlichen Änderungen unserer Datenverarbeitungspraktiken.

26.2 Verfügbarkeit von DSFA. Zusammenfassungen der relevanten DSFA stellen wir Unternehmenskunden und Aufsichtsbehörden auf Anfrage zur Verfügung.

27.1 Externe Links. Die MultipleChat-Plattform kann Links zu Websites oder Diensten Dritter enthalten. Diese Richtlinie gilt nicht für solche Websites oder Dienste Dritter. Wir empfehlen Ihnen, die Datenschutzerklärungen aller Websites Dritter zu lesen, die Sie besuchen.

27.2 KI-generierte Links. KI-generierte Antworten können Links zu externen Websites enthalten. Diese Links werden vom KI-Modell erzeugt und nicht von MultipleChat ausgewählt. MultipleChat hat keine Kontrolle über Inhalte, Datenschutzpraktiken oder Sicherheit externer Websites, auf die in KI-generierten Antworten verlinkt wird, macht sich diese nicht zu eigen und übernimmt dafür keine Verantwortung.

28.1 Änderungsvorbehalt. MultipleChat behält sich das Recht vor, diese Richtlinie jederzeit zu aktualisieren oder zu ändern. Wir unternehmen angemessene Anstrengungen, Sie über wesentliche Änderungen zu informieren, unter anderem indem wir: einen Hinweis auf der MultipleChat-Plattform veröffentlichen; eine E-Mail an die mit Ihrem Konto verknüpfte E-Mail-Adresse senden; und das Datum „Zuletzt aktualisiert“ am Anfang dieser Richtlinie anpassen.

28.2 Wesentliche Änderungen. Nehmen wir Änderungen vor, die die Art und Weise, wie wir Ihre personenbezogenen Daten verarbeiten, wesentlich verändern oder Ihre Rechte aus dieser Richtlinie einschränken, informieren wir Sie mindestens 30 Tage vor Inkrafttreten der Änderungen. Sind Sie mit den Änderungen nicht einverstanden, können Sie Ihr Konto vor deren Inkrafttreten löschen.

28.3 Weitere Nutzung. Wenn Sie die Dienste nach einer Änderung dieser Richtlinie weiterhin nutzen, gilt dies als Zustimmung zur geänderten Richtlinie. Die jeweils aktuelle Fassung dieser Richtlinie ist stets unter multiplechat.ai/data-protection abrufbar.

29.1 Beschwerderecht. Wenn Sie der Ansicht sind, dass unsere Verarbeitung Ihrer personenbezogenen Daten gegen das anwendbare Datenschutzrecht verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen. Sie können die Beschwerde bei der Behörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes einlegen.

29.2 Schweizer Aufsichtsbehörde. Die Schweizer Aufsichtsbehörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, CH-3003 Bern, Schweiz.

29.3 Aufsichtsbehörden in der EU/im EWR. Wenn Sie sich in der EU bzw. im EWR befinden, können Sie Beschwerde bei der Datenschutzbehörde Ihres Mitgliedstaats einlegen. Ein Verzeichnis der Datenschutzbehörden in der EU führt der Europäische Datenschutzausschuss (EDSA) unter edpb.europa.eu.

29.4 Aufsichtsbehörde im Vereinigten Königreich. Wenn Sie sich im Vereinigten Königreich befinden, können Sie Beschwerde beim Information Commissioner's Office (ICO), Wycliffe House, Water Lane, Wilmslow, Cheshire SK9 5AF, Vereinigtes Königreich, einlegen.

29.5 Wenden Sie sich zuerst an uns. Bevor Sie eine förmliche Beschwerde einlegen, empfehlen wir Ihnen, sich zunächst unter [email protected] an uns zu wenden, damit wir Ihr Anliegen direkt klären können. Wir nehmen jede Beschwerde zum Datenschutz ernst und bemühen uns, sie rasch und gründlich zu bearbeiten.

30.1 Anwendbares Recht. Diese Richtlinie unterliegt Schweizer Recht und ist nach diesem auszulegen, unter Ausschluss der Kollisionsnormen. Die Anwendung des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf (UN-Kaufrecht) ist ausdrücklich ausgeschlossen.

30.2 Gerichtsstand. Für alle Streitigkeiten aus oder im Zusammenhang mit dieser Richtlinie sind ausschließlich die Gerichte in Zürich, Schweiz, zuständig, sofern zwingendes Verbraucherschutzrecht nicht einen anderen Gerichtsstand vorschreibt.

30.3 Zwingendes Verbraucherschutzrecht. Keine Bestimmung dieser Richtlinie schränkt Ihre Rechte nach zwingendem Verbraucherschutz- oder Datenschutzrecht ein, auf die nicht vertraglich verzichtet werden kann und die vertraglich nicht beschränkt werden können. Räumt Ihnen das anwendbare Datenschutzrecht günstigere Rechte ein als diese Richtlinie, haben diese günstigeren Rechte Vorrang.

Sollte eine Bestimmung dieser Richtlinie von einem zuständigen Gericht für unwirksam, rechtswidrig oder nicht durchsetzbar erklärt werden, wird diese Bestimmung von der Richtlinie abgetrennt; die übrigen Bestimmungen bleiben in vollem Umfang wirksam. Die unwirksame Bestimmung wird, soweit möglich, durch eine wirksame Bestimmung ersetzt, die der wirtschaftlichen und rechtlichen Wirkung der ursprünglichen Bestimmung am nächsten kommt.

Diese Richtlinie bildet zusammen mit den Nutzungsbedingungen und der Rückerstattungsrichtlinie die gesamte Vereinbarung zwischen Ihnen und MultipleChat über die Verarbeitung Ihrer personenbezogenen Daten. Sie ersetzt alle früheren oder gleichzeitigen mündlichen oder schriftlichen Mitteilungen, Vorschläge, Zusicherungen oder Vereinbarungen zu ihrem Gegenstand. Aussagen, Zusicherungen oder Versprechen von Mitarbeitenden, Auftragnehmern oder Vertretern von MultipleChat, die nicht in dieser Richtlinie enthalten sind, sind für MultipleChat nicht bindend.

33.1 Datenschutzanfragen. Für alle Datenschutzanfragen, Anträge auf Wahrnehmung von Betroffenenrechten, AVV-Anfragen, Beschwerden und sonstigen Mitteilungen im Zusammenhang mit dieser Richtlinie wenden Sie sich bitte an:

33.2 Antwortzeiten. Wir bestätigen den Eingang Ihrer Anfrage innerhalb von 5 Werktagen und erteilen Ihnen innerhalb von 30 Tagen eine inhaltliche Antwort. Bei komplexen Anfragen können wir die Antwortfrist nach entsprechender Mitteilung an Sie um weitere 60 Tage verlängern.

33.3 Betreffzeilen. Damit wir Ihre Anfrage effizient bearbeiten können, verwenden Sie bitte folgende Betreffzeilen: „Auskunftsersuchen betroffene Person“ für Auskunftsanträge; „Antrag auf Datenlöschung“ für Löschanträge; „Antrag auf Datenübertragbarkeit“ für Exportanträge; „AVV-Anfrage“ für Anfragen zu einem Auftragsverarbeitungsvertrag; „Datenschutzbeschwerde“ für Beschwerden; und „Allgemeine Datenschutzanfrage“ für alle sonstigen Anliegen.