Datenschutzerklärung

Stand: 2026-09-12

Mit diesem Teil informieren wir über die Verarbeitung personenbezogener Daten im Zusammenhang mit (A) unserer Website und (B) dem Betrieb unseres KI-Dienstes „Hunzi" aus Sicht der Hunzi Systems GmbH.

1. Verantwortlicher

Hunzi Systems GmbH Mitterstraßweg 17 82064 Straßlach-Dingharting Deutschland

Handelsregister: Amtsgericht München, HRB 312494 USt-IdNr.: DE462819243 Vertreten durch die Geschäftsführer: Saghar Ayyaz und M. Mousa Siddiqi

E-Mail: [email protected]

Datenschutzanfragen richten Sie bitte an diese Adresse mit dem Betreff „Datenschutz".

1.1 Datenschutzbeauftragter (DSB): Erläuterung der Prüfpflicht

Ob die Hunzi Systems GmbH einen Datenschutzbeauftragten bestellen muss, hängt von zwei voneinander unabhängigen Auslösern ab (§ 38 BDSG):

1. Personenzahl-Schwelle (§ 38 Abs. 1 S. 1 BDSG): Ein DSB ist zu bestellen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Diese Schwelle erreicht Hunzi Systems derzeit voraussichtlich nicht.

2. DSFA-Auslöser (§ 38 Abs. 1 S. 2 BDSG), unabhängig von der Personenzahl: Ein DSB ist auch dann zu bestellen, wenn das Unternehmen Verarbeitungen vornimmt, die einer Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO) unterliegen. Diese Pflicht greift unabhängig davon, wie viele Personen beschäftigt sind.

Eine DSFA ist erforderlich, wenn eine Verarbeitung „voraussichtlich ein hohes Risiko" für die Rechte und Freiheiten natürlicher Personen zur Folge hat (Art. 35 Abs. 1 DSGVO). Nach den Kriterien der Art.-29-Gruppe/des EDSA gilt: Treffen zwei oder mehr der neun Risikokriterien zu, ist regelmäßig eine DSFA durchzuführen. Für den Sprachkanal von Hunzi kommen mehrere dieser Kriterien in Betracht:

• Einsatz innovativer/neuer Technologie (KI-gestützte Echtzeit-Sprachverarbeitung, automatisierte Sprach-zu-Text- und Antwort-Generierung);
• systematische Überwachung/Verarbeitung von Kommunikation (laufende Verarbeitung von Telefongesprächen);
• Verarbeitung in großem Umfang (potenziell viele Anrufende über mehrere Mandanten hinweg);
• besonders schützenswerte/höchstpersönliche Daten (Inhalt gesprochener Kommunikation; bei Roh-Audio zusätzlich Stimmdaten).

Insbesondere die 24-Stunden-Aufbewahrung von Roh-Audio zu Trainingszwecken (siehe B.4.2) erhöht das Risikoprofil. Es ist daher gut vertretbar und vorsorglich anzunehmen, dass eine DSFA erforderlich ist und damit über § 38 Abs. 1 S. 2 BDSG eine DSB-Bestellpflicht ausgelöst wird.

Rollen-Hinweis: Die DSFA-Pflicht nach Art. 35 trifft primär den Verantwortlichen (= den Mandanten/das Hotel). Als Auftragsverarbeiter unterstützt Hunzi Systems den Verantwortlichen bei der DSFA (Art. 28 Abs. 3 lit. f). Ob die DSB-Pflicht nach § 38 BDSG auch den Auftragsverarbeiter unmittelbar trifft, ist nicht abschließend geklärt; der sichere Weg ist, entweder einen DSB zu bestellen oder die DSFA durchzuführen und das Ergebnis zu dokumentieren.

1.2 Zuständige Aufsichtsbehörde

Für die Hunzi Systems GmbH als nicht-öffentliche Stelle mit Sitz in Bayern ist zuständig:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach Telefon: +49 (0) 981 53 1300 · E-Mail: [email protected] Web: https://www.lda.bayern.de

Unbeschadet dessen können Sie sich auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthalts wenden (Art. 77 DSGVO).

A. Website (hunzi.ai): Hunzi Systems als Verantwortlicher

A.1 Server-Logfiles

Beim Aufruf der Website verarbeiten wir technisch erforderliche Zugriffsdaten (IP-Adresse, Zeit der Serveranfrage, abgerufene Ressource, Referrer-URL, Hostname des zugreifenden Rechners, Browser-/OS-Kennung). Eine Zusammenführung mit anderen Datenquellen erfolgt nicht.

• Zweck: technisch fehlerfreie Auslieferung, Stabilität, Sicherheit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).
• Speicherdauer: ≤ 14 Tage, danach anonymisiert/gelöscht.

Hosting: Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen), Rechenzentren Deutschland (Falkenstein/Nürnberg), AVV nach Art. 28 DSGVO. TLS/Sicherheit: Cloudflare (EU-Entität) für TLS-Terminierung, Edge- und DDoS-Schutz; Datenverarbeitung EU-bevorzugt, AVV nach Art. 28 DSGVO.

A.2 Kontaktaufnahme

Bei Kontakt per Formular/E-Mail verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
• Speicherdauer: bis zur Erledigung, danach gesetzliche Fristen.

A.3 Cookies und Endgeräte-Speicher

Unsere Website verwendet keine Tracking-, Analyse- oder Werbe-Cookies. Es werden ausschließlich technisch notwendige Informationen auf Ihrem Endgerät gespeichert, die zur Bereitstellung des von Ihnen ausdrücklich gewünschten Dienstes unbedingt erforderlich sind. Diese sind nach § 25 Abs. 2 Nr. 2 TDDDG von der Einwilligungspflicht ausgenommen; ein Cookie-Banner ist daher nicht erforderlich (das TTDSG wurde zum 14.05.2024 in TDDDG umbenannt, ohne inhaltliche Änderung dieser Regelung). Im Einzelnen:

• Chat-/Concierge-Widget: setzt kein Cookie, sondern speichert lediglich einen Zustimmungsvermerk (hunzi-consent:<Kennung>) sowie eine zufällige Sitzungskennung (hunzi-session:<Kennung>, 12 Stunden gleitend, erst nach Ihrer ersten Nachricht) im Local Storage Ihres Browsers, damit der Hinweis nicht wiederholt wird und Ihr Chatverlauf einen Seitenwechsel übersteht.
• Verwaltungsoberfläche (nur angemeldete Mitarbeitende): technisch notwendige Anmelde-Cookies (hunzi-admin.session-token u. a., httpOnly), die die Anmeldung aufrechterhalten und den Anmeldevorgang absichern (CSRF/PKCE).

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO. Eine vollständige Aufstellung sowie der Hinweis, ab wann ein Consent-Banner Pflicht würde (z. B. bei Web-Analyse, eingebetteten Drittinhalten oder Marketing-Pixeln), enthält der Cookie-Hinweis (/cookies).

Die cookiefreie Reichweitenmessung nach A.5 speichert keine Informationen auf Ihrem Endgerät und greift nicht darauf zu; § 25 TDDDG ist auf sie deshalb nicht anwendbar.

A.4 Betriebs-E-Mails

Interne Alarm-/Betriebs-E-Mails über Resend, Inc. (USA; Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln, siehe B.6): keine Endkunden-Kommunikation.

A.5 Reichweitenmessung (Cloudflare Web Analytics)

Für die Reichweitenmessung auf dieser Website setzen wir Cloudflare Web Analytics ein. Cloudflare erbringt für hunzi.ai bereits die TLS-Terminierung, das Edge-Routing und den Schutz vor Überlastungsangriffen und verarbeitet die Verbindungsdaten dieser Website daher bei jedem Aufruf. Die Reichweitenmessung fügt deshalb keinen neuen Empfänger hinzu.

Der Dienst arbeitet cookiefrei: Es werden keine Cookies gesetzt und keine Informationen auf Ihrem Endgerät gespeichert oder aus ihm ausgelesen. Es entsteht kein seitenübergreifendes Wiedererkennungsmerkmal, mit dem einzelne Besucherinnen und Besucher über mehrere Websites hinweg verfolgt werden könnten.

• Zweck: aggregierte Auswertung von Seitenaufrufen und Zugriffsquellen, um Inhalte und Auffindbarkeit unserer Website zu verbessern.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse besteht darin, Reichweite und Nutzung unserer Website nachzuvollziehen, ohne einzelne Besucherinnen und Besucher zu identifizieren, zu profilieren oder websiteübergreifend zu verfolgen. Da die Messung cookiefrei arbeitet, kein seitenübergreifendes Merkmal bildet und keinen zusätzlichen Empfänger einbezieht, treten entgegenstehende Interessen der Betroffenen dahinter zurück.
• Einwilligung: nicht erforderlich. Da weder auf Informationen in Ihrem Endgerät zugegriffen noch eine Information darauf gespeichert wird, ist § 25 TDDDG auf diesen Dienst nicht anwendbar; ein Cookie-Banner ist dafür nicht erforderlich.
• Widerspruchsrecht: Sie können der Verarbeitung aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit nach Art. 21 Abs. 1 DSGVO widersprechen (siehe Abschnitt C dieser Erklärung).

B. Hunzi-Dienst: Hunzi Systems als Auftragsverarbeiter

B.1 Rolle

Hunzi ist ein mandantenfähiger KI-Assistent, den Unternehmen („Mandant", z.B. Hotels) für die Kommunikation mit ihren Endkunden einsetzen (Telefon/Sprache, Chat-Widget, WhatsApp). Für die Inhalte der Endkunden ist der jeweilige Mandant Verantwortlicher; Hunzi Systems ist Auftragsverarbeiter (Art. 28 DSGVO). Endkunden wenden sich datenschutzrechtlich vorrangig an den jeweiligen Mandanten.

B.2 Datenkategorien

Identifikatoren (Sitzungskennung, E.164-Telefonnummer, ggf. Buchungsref.); Kommunikationsinhalte (Chat, Anhänge, Button-Antworten, Sprachäußerungen + Transkripte, protokollierte Werkzeugaufrufe); Verifizierungsdaten (Nachname zur Identitätsprüfung); Sprachaufzeichnungen (B.4); Mandanten-Mitarbeitende (Keycloak-sub, E-Mail, Rolle). Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung.

B.3 Zwecke und Rechtsgrundlagen

B.4 Sprachverarbeitung (Telefonkanal)

B.4.1 Qualitätssicherung. Zu Beginn eines Anrufs werden Anrufende informiert, dass das Gespräch zur Qualitätssicherung aufgezeichnet werden kann, und auf die Datenschutzinformation verwiesen; Widerspruch ist durch Auflegen möglich. Aus einer Stichprobe (≤ 10 %) bzw. bei Qualitätsproblemen werden Audio, Transkripte und ein Stufen-Zeitverlauf für 7 Tage gespeichert; Zugriff nur für einen kleinen, protokollierten Kreis von Hunzi Systems-Mitarbeitenden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Hinweis § 201 StGB: Echtzeit-Transkription wird als Aufzeichnung behandelt.

B.4.2 Freiwillige 24-h-Aufbewahrung zu Trainingszwecken (in Vorbereitung). Wir fragen zu Beginn des Anrufs gesondert und ausdrücklich, ob wir die Roh-Audioaufnahme für 24 Stunden speichern dürfen, um das System zu verbessern. Speicherung nur bei aktiver Zustimmung („Ja"); ohne Zustimmung, bei Schweigen oder unklarer Antwort wird keine Trainingsaufnahme gespeichert, das Gespräch läuft normal weiter.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit mit Wirkung für die Zukunft widerrufbar.
• Speicherdauer: max. 24 Stunden ab Anrufbeginn, danach automatische Löschung.
• Zweckbindung (Art. 5 Abs. 1 lit. b): getrennt von der Qualitätssicherung; Zustimmung zur QS ist keine Zustimmung zum Training.

B.4.3 Gesprächsaufzeichnung zum Nachhören durch das Hotel. Hat das Hotel diese Funktion eingeschaltet, wird jedes Telefongespräch als Audiodatei (Anrufende und Assistent) auf Servern der Hunzi Systems GmbH in der EU gespeichert, damit Mitarbeitende des Hotels das Gespräch im Verwaltungsbereich nachhören können. Zu Beginn des Anrufs wird mitgeteilt, dass das Gespräch aufgezeichnet wird. Bitten Anrufende im Gespräch darum, nicht aufgezeichnet zu werden, wird die Audiodatei nicht gespeichert; das Gespräch läuft normal weiter.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: 30 Tage ab dem Anruf, höchstens so lange wie das zugehörige Gespräch (B.7); danach wird die Audiodatei automatisch gelöscht. Ein Löschantrag (Art. 17 DSGVO) entfernt sie sofort.
• Empfänger: nur Mitarbeitende des Hotels; kein weiterer Unterauftragsverarbeiter.

B.5 Empfänger / Unterauftragsverarbeiter

Mit allen Dienstleistern bestehen bzw. werden Verträge nach Art. 28 DSGVO geschlossen.

Text-/Plattformdienste (Phase 1, in der DPA gelistet):

Weitere Kanäle und Werkzeuge (nur bei Aktivierung durch den jeweiligen Mandanten bzw. mandantenspezifisch):

Sprachdienste (Telefonkanal): maßgeblich ist die Sub-Processor-Liste in unserem Auftragsverarbeitungsvertrag; diese Übersicht ist damit abzugleichen:

Deepgram und ElevenLabs sind nicht beauftragt. Vor jeder weiteren Beauftragung gelten AVV, EU-Region-Fixierung und 30-tägige Vorabinformation der Mandanten.

Transaktions-E-Mails an Gäste (Phase B, nur wenn das Hotel/der Tenant den E-Mail-Versand durch Hunzi aktiviert; andernfalls versendet das hoteleigene PMS, z.B. ibelsa, die E-Mail und Hunzi ist nicht beteiligt):

Die Gast-Adresse wird bei Hunzi nur als gesalzener Hash gespeichert; der E-Mail-Inhalt wird von Hunzi nicht aufbewahrt.

B.6 Drittlandübermittlung

Die Verarbeitung erfolgt grundsätzlich in der EU / im EWR. Ausnahmen:

• Resend, Inc. (USA): Betriebs-E-Mails ausschließlich an Hunzi-Personal; Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. Standardvertragsklauseln (SCC).
• Telegram FZ-LLC (VAE): nur bei ausdrücklich aktiviertem Telegram-Kanal (Opt-in); die vertragliche Absicherung der Übermittlung wird derzeit nachgeführt.
• Cartesia AI, Inc. (USA): Sprachsynthese; die Festlegung auf den EU-Endpunkt wird derzeit verifiziert; bis zum Abschluss kann eine Verarbeitung in den USA nicht ausgeschlossen werden.
• Gladia (Spracherkennung, vgl. B.5): der Anbieter gibt Verarbeitung in „Europa/USA" an; die vertragliche Nachführung läuft.

B.7 Speicherdauer (Überblick)

C. Ihre Rechte

Sie haben im Rahmen der gesetzlichen Vorgaben folgende Rechte:

• Auskunft (Art. 15 DSGVO) über die zu Ihrer Person gespeicherten Daten, deren Herkunft, Empfänger und Verarbeitungszweck;
• Berichtigung (Art. 16 DSGVO) unrichtiger Daten;
• Löschung (Art. 17 DSGVO), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen;
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO) in einem gängigen, maschinenlesbaren Format;
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft, insbesondere für die freiwillige 24-h-Trainingsaufnahme (B.4.2); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt;
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), z. B. beim BayLDA (Kontakt siehe § 1.2) oder bei der Aufsichtsbehörde Ihres Aufenthaltsorts.

Betrifft Ihre Anfrage die Kommunikation mit dem Assistenten eines Mandanten, wenden Sie sich vorrangig an den jeweiligen Mandanten. Hunzi Systems unterstützt den Mandanten technisch (Export-/Löschfunktion umgesetzt).

⚠️ Widerspruchsrecht gegen die Verarbeitung in besonderen Fällen sowie gegen Direktwerbung (Art. 21 DSGVO)

WENN DIE VERARBEITUNG IHRER PERSONENBEZOGENEN DATEN AUF GRUNDLAGE VON ART. 6 ABS. 1 LIT. E ODER LIT. F DSGVO ERFOLGT, HABEN SIE JEDERZEIT DAS RECHT, AUS GRÜNDEN, DIE SICH AUS IHRER BESONDEREN SITUATION ERGEBEN, GEGEN DIESE VERARBEITUNG WIDERSPRUCH EINZULEGEN; DIES GILT AUCH FÜR EIN AUF DIESE BESTIMMUNGEN GESTÜTZTES PROFILING. LEGEN SIE WIDERSPRUCH EIN, VERARBEITEN WIR IHRE BETROFFENEN DATEN NICHT MEHR, ES SEI DENN, WIR KÖNNEN ZWINGENDE SCHUTZWÜRDIGE GRÜNDE NACHWEISEN, DIE IHRE INTERESSEN, RECHTE UND FREIHEITEN ÜBERWIEGEN, ODER DIE VERARBEITUNG DIENT DER GELTENDMACHUNG, AUSÜBUNG ODER VERTEIDIGUNG VON RECHTSANSPRÜCHEN (ART. 21 ABS. 1 DSGVO). WERDEN IHRE DATEN ZUM ZWECK DER DIREKTWERBUNG VERARBEITET, HABEN SIE DAS RECHT, JEDERZEIT WIDERSPRUCH EINZULEGEN; NACH DEM WIDERSPRUCH WERDEN DIE DATEN HIERFÜR NICHT MEHR VERWENDET (ART. 21 ABS. 2 DSGVO).

D. Keine automatisierte Einzelentscheidung

Eine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt; sensible Aktionen unterliegen einer Bestätigungs-/ Verifizierungsstufe.