1. Verantwortlicher und Rollenverteilung

Anbieter und Betreiber des Dextinity AI Hub (im Folgenden „AI Hub“) ist:

Vivid Planet Software GmbH

Hopfgartenstraße 10 5302 Henndorf am Wallersee Österreich Firmenbuchnummer: FN 230152i Firmenbuchgericht: Landesgericht Salzburg E-Mail: office@vivid-planet.com Telefon: +43 6214 20820

Für alle Fragen zum Datenschutz erreichen Sie uns unter den oben genannten Kontaktdaten.

Wer ist für welche Daten verantwortlich?

Der AI Hub wird als Software-as-a-Service (SaaS) bereitgestellt. Je nach Verarbeitung nehmen wir unterschiedliche datenschutzrechtliche Rollen ein:

Verarbeitung

Rolle von Vivid Planet

Verantwortlicher

Inhalte, die unsere Kunden im AI Hub verarbeiten (Chat-Verläufe von Endnutzern, hochgeladene Dokumente, Wissensdatenbanken, Agenten- und Automations-Konfigurationen)

Auftragsverarbeiter (Art. 28 DSGVO)

Der jeweilige Kunde (Mandant)

Benutzerkonten der Kunden-Mitarbeiter im Admin-Bereich, Vertragsabwicklung, Abrechnung, Support

Verantwortlicher

Vivid Planet Software GmbH

Betrieb, Sicherheit und Stabilität der Plattform (technische Protokolle, Missbrauchserkennung)

Verantwortlicher

Vivid Planet Software GmbH

Soweit wir als Auftragsverarbeiter tätig sind, verarbeiten wir personenbezogene Daten ausschließlich nach Weisung unseres Kunden auf Grundlage eines Auftragsverarbeitungsvertrags (AVV). Endnutzer, die z. B. den Chat auf der Website eines unserer Kunden verwenden, wenden sich mit Fragen zur Verarbeitung ihrer Daten bitte zunächst an diesen Kunden. Die Datenschutzerklärung des Kunden ist maßgeblich; wir unterstützen unsere Kunden bei der Beantwortung von Anfragen.

2. Überblick

Der AI Hub ist eine mandantenfähige Plattform, mit der Unternehmen KI-Assistenten („Agenten“) konfigurieren und über einen Admin-Bereich, ein einbettbares Chat-Widget, eine API oder einen MCP-Server bereitstellen. Die Plattform wird in Rechenzentren von Microsoft Azure in Frankfurt am Main (Deutschland) betrieben. Die KI-Modelle stellt Microsoft über Azure AI Foundry in Rechenzentren innerhalb der EU bereit (EU Data Zone).

Wir setzen im AI Hub keine Analyse- oder Tracking-Tools (z. B. Google Analytics) ein und verwenden Ihre Daten nicht für Werbezwecke. Inhalte von Chats und Dokumenten werden weder von uns noch von Microsoft zum Training von KI-Modellen verwendet.

Betroffen sind insbesondere folgende Personengruppen:

• Administratoren und Mitarbeiter unserer Kunden, die sich im Admin-Bereich anmelden („Admin-Benutzer“)
• Endnutzer, die mit einem Agenten chatten, etwa über das Chat-Widget auf der Website eines Kunden („Endnutzer“)
• Personen, deren Daten in Wissensquellen vorkommen, die Kunden in den AI Hub einspielen (z. B. Dokumente, Webseiten, Confluence- oder Jira-Inhalte)
• Ansprechpartner unserer Kunden im Rahmen von Vertrag, Abrechnung und Support

3. Verarbeitungen im Einzelnen

3.1 Aufruf der Dienste und technische Bereitstellung

Beim Aufruf des Admin-Bereichs (ai-hub.dextinity.com), der API (ai-hub-api.dextinity.com), des Chat-Widgets (ai-hub-webcomponent.dextinity.com) oder der Dokumentation (ai-hub-docs.dextinity.com) verarbeiten wir technisch notwendige Daten: IP-Adresse, Zeitpunkt, angefragte Ressource, übertragene Datenmenge und technische Fehlermeldungen. Sämtliche Zugriffe auf den AI Hub laufen über das Content Delivery Network Bunny CDN. Der Anbieter verarbeitet dabei Ihre IP-Adresse und leitet Anfragen einschließlich ihrer Inhalte (z. B. Chat-Nachrichten) an unsere Server weiter.

Zum Schutz vor Überlastung und Missbrauch begrenzen wir die Anzahl der Anfragen pro Absender. Dazu speichern wir einen Hashwert der IP-Adresse für 60 Sekunden; die IP-Adresse selbst wird nicht in der Datenbank gespeichert.

Zur Fehleranalyse verwenden wir das Fehlerüberwachungssystem Sentry, das für uns von der internex GmbH in Österreich betrieben wird. Dabei werden technische Fehlerdaten verarbeitet; Zugangsschlüssel werden vorab entfernt.

• Zweck: Bereitstellung, Stabilität und Sicherheit der Dienste
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung gegenüber unseren Kunden) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb)

3.2 Benutzerkonten und Anmeldung im Admin-Bereich

Admin-Benutzer werden von ihrem Unternehmen eingeladen. Wir verarbeiten dazu Vorname, Nachname, E-Mail-Adresse, Sprache, Passwort (nur als Hash), Rollen und Berechtigungen, Zuordnung zu Mandanten und Workspaces, den Zeitpunkt der Annahme der Nutzungsbedingungen sowie Anmeldeereignisse. Die Identitätsverwaltung erfolgt mit der Software Zitadel, die wir selbst in Microsoft Azure in Frankfurt betreiben; die Anmeldung läuft über das Protokoll OpenID Connect. Einladungs- und Systemmails versenden wir über einen Mailserver der internex GmbH in Österreich mit dem Absender ai-hub@mail.dextinity.com.

Chats, die Admin-Benutzer im Admin-Bereich führen („Meine Chats“, Playground), werden ihrem Benutzerkonto zugeordnet gespeichert.

Zu Support- und Wartungszwecken können ausgewählte, namentlich festgelegte Mitarbeiter von Vivid Planet auf Mandanten zugreifen. Der Zugriff ist auf das erforderliche Maß beschränkt.

• Zweck: Verwaltung von Benutzerkonten, Zugriffskontrolle, Bereitstellung des Admin-Bereichs
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag mit dem Kunden) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren Verwaltung der Zugänge für den Kunden)

3.3 Chat mit KI-Agenten

Wenn Sie mit einem Agenten chatten, verarbeiten wir:

• Ihre Eingaben (Text oder Sprache) und die Antworten des Agenten
• hochgeladene Dateien (bis 50 MB je Datei)
• eine zufällige Sitzungskennung und den Titel der Unterhaltung (aus der ersten Nachricht)
• optional eine Benutzerkennung sowie Kontextdaten, die die einbindende Website an den Agenten übergibt
• optional Ihr Feedback (Daumen hoch/runter, Freitext)
• technische Metadaten wie Zeitpunkt, Antwortzeit, verwendetes Modell und Tokenverbrauch
• Zwischenschritte der Verarbeitung (z. B. abgerufene Wissensquellen, Tool-Aufrufe)

Zur Erzeugung der Antwort werden Ihre Eingaben, relevante Ausschnitte aus der Wissensdatenbank und gegebenenfalls Dateiinhalte an das KI-Modell übermittelt (Microsoft Azure AI Foundry, siehe Abschnitt 4). Microsoft speichert Ein- und Ausgaben zur Erkennung von Missbrauch bis zu 30 Tage innerhalb der EU; bei Verdacht können autorisierte Microsoft-Mitarbeiter sie prüfen. Antworten werden automatisiert erzeugt und können fehlerhaft sein. Es findet keine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt.

Der Kunde legt je Agent fest, ob Mitarbeiter mit entsprechender Berechtigung Chat-Verläufe einsehen dürfen, ob Benutzernamen dabei ausgeblendet werden und ob Unterhaltungen nach 24 Stunden automatisiert anonymisiert werden. Ist ein temporärer Chat aktiviert, wird die Unterhaltung nicht gespeichert.

• Zweck: Bereitstellung der Chat-Funktion, Qualitätssicherung durch den Kunden, Abrechnung nach Verbrauch
• Rechtsgrundlage: Für Endnutzer bestimmt der jeweilige Kunde als Verantwortlicher die Rechtsgrundlage; wir verarbeiten im Auftrag (Art. 28 DSGVO). Für die Erfassung des Tokenverbrauchs zu Abrechnungszwecken: Art. 6 Abs. 1 lit. b DSGVO.

Bitte geben Sie in Chats keine besonderen Kategorien personenbezogener Daten (z. B. Gesundheitsdaten) ein, sofern dies nicht ausdrücklich vorgesehen ist.

3.4 Chat-Widget auf Websites unserer Kunden

Das Chat-Widget wird von unseren Kunden auf deren Websites eingebunden. Es setzt keine Cookies und übermittelt keine Tracking-Daten an uns. Im lokalen Speicher Ihres Browsers (Local Storage) wird lediglich ein noch nicht abgeschickter Nachrichtenentwurf zwischengespeichert. Das Widget kann Ereignisse (z. B. „Chat geöffnet“) an die einbindende Website melden; ob diese sie auswertet, entscheidet der Websitebetreiber in eigener Verantwortung.

Google reCAPTCHA (nur öffentliche Chat-Widgets): Öffentlich auf Websites eingebundene Chat-Widgets werden mit Google reCAPTCHA Enterprise vor Missbrauch geschützt. Im Admin-Bereich und bei internen Anbindungen kommt reCAPTCHA nicht zum Einsatz. Dabei lädt Ihr Browser ein Skript von Google, das Geräte- und Nutzungsdaten an Google übermitteln und Cookies setzen kann. Die Prüfung erfolgt über ein Google-Cloud-Konto des Kunden; Verantwortlicher für diesen Einsatz ist der Kunde.

3.5 Spracheingabe und Sprachausgabe

• Spracheingabe über KI-Modell: Ihre Aufnahme wird zur Umwandlung in Text an Microsoft Azure AI Foundry übermittelt. Die Audiodaten werden nicht gespeichert, lediglich die Dauer der Aufnahme.
• Spracheingabe über den Browser: Je nach Konfiguration des Agenten nutzt das Widget die Spracherkennung Ihres Browsers. Manche Browser (z. B. Google Chrome) senden die Aufnahme dazu an den Browserhersteller. Dies erfolgt außerhalb unseres Einflussbereichs.
• Sprachausgabe (optional): Aktiviert ein Kunde die Vorlesefunktion, wird der Antworttext zur Erzeugung der Sprachausgabe an ElevenLabs übermittelt (siehe Abschnitt 4).

3.6 Wissensdatenbank und Dokumente

Kunden können Inhalte in die Wissensdatenbank einspielen: selbst verfasste Texte, hochgeladene Dateien (z. B. PDF, Office-Dokumente), Inhalte öffentlich zugänglicher Websites sowie Inhalte aus Confluence und Jira oder über eine Schnittstelle. Diese Inhalte können personenbezogene Daten enthalten, z. B. Autoren- oder Bearbeiternamen. Wir zerlegen die Inhalte in Abschnitte, berechnen mithilfe eines KI-Modells Vektordarstellungen (Embeddings) und speichern diese in unserer Datenbank. Die Textextraktion aus Dateien erfolgt auf unseren eigenen Servern.

Für das Auslesen von Websites kann der Kunde den Dienst Firecrawl mit einem eigenen Konto anbinden. Die Verarbeitung erfolgt im Auftrag und nach Weisung des Kunden.

3.7 Websuche (optional)

Ist bei einem Agenten die Websuche aktiviert, erzeugt das KI-Modell aus Ihrer Anfrage Suchbegriffe und übermittelt diese an den Suchdienst Tavily. Die Suchbegriffe können Inhalte Ihrer Eingabe enthalten. Die Websuche ist eine optionale Funktion: Der Kunde entscheidet je Agent, ob sie aktiviert wird. Ist sie nicht aktiviert, werden keine Daten an Tavily übermittelt.

3.8 Anbindung externer Systeme (MCP)

Kunden können ihre Agenten über das Model Context Protocol (MCP) mit eigenen oder fremden Systemen verbinden. Dabei werden die zur Ausführung nötigen Daten aus dem Chat an diese Systeme übermittelt. Auswahl und Verantwortung für diese Systeme liegen beim Kunden.

3.9 Automationen und Benachrichtigungen

Kunden können Agenten zeitgesteuert ausführen lassen und das Ergebnis per E-Mail an festgelegte Empfänger senden. Außerdem können sie sich negatives Feedback samt zugehöriger Frage und Antwort täglich per E-Mail zusenden lassen.

3.10 Vertrag, Abrechnung und Support

Für Vertragsabschluss, Abrechnung und Support verarbeiten wir Kontaktdaten der Ansprechpartner unserer Kunden (Name, Firma, E-Mail, Telefon), Vertrags- und Rechnungsdaten sowie die Inhalte von Supportanfragen. Grundlage der Abrechnung ist der erfasste Tokenverbrauch je Mandant.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuer- und unternehmensrechtliche Aufbewahrungspflichten)

4. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit dies für den Betrieb erforderlich ist. Mit allen Dienstleistern, die in unserem Auftrag tätig sind, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

Die Identitätsverwaltung (Zitadel) und die Bildverarbeitung (imgproxy) betreiben wir selbst in Microsoft Azure in Frankfurt. Ist bei einem Agenten die Websuche aktiviert, setzen wir Tavily als Unterauftragsverarbeiter ein. ElevenLabs, Firecrawl und Google reCAPTCHA bindet der Kunde mit seinem eigenen Konto an; der Kunde ist für diesen Einsatz selbst verantwortlich.

Innerhalb unseres Unternehmens erhalten nur die Personen Zugriff, die ihn für Betrieb, Wartung und Support benötigen. Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa an Behörden oder Gerichte.

Übermittlung in Drittländer

Die Kernplattform einschließlich der KI-Modelle wird ausschließlich in der EU betrieben. Microsoft ist als US-Konzern unter dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln und die EU Data Boundary von Microsoft.

Bei den optionalen Diensten Tavily, ElevenLabs, Firecrawl und Google reCAPTCHA kann eine Übermittlung in die USA erfolgen. Diese stützt sich auf [eine Zertifizierung unter dem EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)]. Werden diese Dienste nicht aktiviert, findet keine Drittlandübermittlung statt.

Datensicherheit

Wir schützen Ihre Daten durch technische und organisatorische Maßnahmen, insbesondere:

• verschlüsselte Übertragung (TLS) aller Verbindungen
• strikte Trennung der Daten verschiedener Mandanten
• verschlüsselte Speicherung von Zugangsdaten zu Drittsystemen
• rollenbasierte Berechtigungen und Anmeldung über OpenID Connect
• verschlüsselte Datenbank-Backups
• ein nach ISO/IEC 27001 zertifiziertes Informationssicherheits-Managementsystem

6. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)

Wenden Sie sich dafür an office@vivid-planet.com. Betrifft Ihr Anliegen Daten, die wir im Auftrag eines Kunden verarbeiten (etwa Ihre Chats mit dem Agenten auf der Website eines Unternehmens), richten Sie es bitte an dieses Unternehmen. Erreicht uns ein solches Anliegen direkt, leiten wir es an den Kunden weiter.

Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, dsb.gv.at.

Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der AI Hub oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 01.04.2026