Datenschutzerklärung

Information gemäß Art. 13 und Art. 14 DSGVO sowie österreichischem DSG · Stand: 09.05.2026

Wir nehmen den Schutz Ihrer personenbezogenen Daten sehr ernst. In dieser Erklärung informieren wir Sie darüber, welche Daten wir bei der Nutzung von valetai.at und der Valet AI Telefonassistenz verarbeiten, zu welchem Zweck, auf welcher Rechtsgrundlage, mit welchen Dienstleistern — und welche Rechte Ihnen zustehen.

1. Verantwortlicher

2. Überblick: Was wir verarbeiten

Valet AI ist eine KI-gestützte Telefonassistenz, die Anrufe für Arztpraxen entgegennimmt, Termine plant, Rückrufwünsche aufnimmt und Notfälle erkennt. Damit das funktioniert, verarbeiten wir — je nach Nutzung — folgende Datenkategorien:

• Anrufmetadaten: Telefonnummer (CLI), Anrufzeit, Anrufdauer
• Audio & Sprachdaten: Sprachaufnahmen während des Gesprächs (transient, werden nicht dauerhaft als Audio-File gespeichert)
• Transkript: die deutschsprachige Schriftfassung des Gesprächs (dauerhaft in unserer Datenbank)
• Kontaktdaten: Vor- und Nachname (sofern vom Anrufer genannt), Telefonnummer für Rückruf
• Anliegen: medizinisches Stichwort, Anliegen, Dringlichkeit
• Termin-Daten: Datum, Uhrzeit, Dauer einer Terminbuchung
• Web-/PWA-Nutzung: IP-Adresse, User-Agent, Zeitstempel
• E-Mail-Adresse + Magic-Link-Token bei Anforderung eines Demo-Codes

3. Rechtsgrundlagen

Wir stützen unsere Verarbeitung je nach Zweck auf folgende Rechtsgrundlagen gemäß Art. 6 Abs. 1 DSGVO:

• lit. b — Vertragsdurchführung bzw. vorvertragliche Maßnahmen (z. B. Anrufbearbeitung, Terminbuchung, Stripe-Zahlungsabwicklung, Magic-Link-Versand für Demo-Zugang)
• lit. f — berechtigtes Interesse (z. B. Server-Hosting, IT-Sicherheit, technisches Logging)
• lit. a — Einwilligung (z. B. Google-Kalender-Integration durch die jeweilige Praxis)
• lit. c — rechtliche Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrungsfristen)

Drittlandtransfers in die USA stützen wir auf Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO und — soweit anwendbar — auf das EU-US Data Privacy Framework (TADPF) gemäß Art. 45 DSGVO. Übermittlungen ohne Adäquanzbeschluss erfolgen ausnahmsweise nach Art. 49 DSGVO.

4. Eingesetzte Dienstleister (Auftragsverarbeiter und Empfänger)

Zur Erbringung unserer Leistungen setzen wir die folgenden Dienstleister ein. Mit allen EU/EWR-Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Bei Drittland-Anbietern (USA) sichern wir das Datenschutzniveau über SCCs und — soweit zertifiziert — über das EU-US Data Privacy Framework ab.

5. Verarbeitung im Detail

5.1 Telefonanrufe und KI-Assistenz

Wenn Sie eine an Valet AI angeschlossene Praxis-Telefonnummer anrufen, läuft der Anruf über unseren Telefonie-Anbieter Telnyx (PSTN-Anbindung) zu unserer selbstgehosteten LiveKit-Infrastruktur in Frankfurt. Der Audiostream wird in Echtzeit von Deepgram über den EU-Endpoint (api.eu.deepgram.com, Hosting Dublin/Frankfurt) in Text transkribiert, anschließend von Anthropic Claude (Hosting via AWS Bedrock Frankfurt) interpretiert und die Antwort von ElevenLabs in Sprache zurückverwandelt. Das Transkript des Gesprächs wird in Supabase (EU-Region) gespeichert, der ursprüngliche Audio-Stream wird nicht persistent abgelegt.

5.2 Patient-Web-App (PWA) unter /anrufen

Beim direkten Anruf über die Web-App wird der Audiostream Ende-zu-Ende verschlüsselt per WebRTC zu unserem LiveKit-Server in Frankfurt übertragen. Es werden zusätzlich IP-Adresse, User-Agent und Session-Token erhoben, um die Verbindung herzustellen und Missbrauch zu verhindern (Art. 6 Abs. 1 lit. b und lit. f DSGVO).

5.3 Demo-Code per E-Mail

Fordern Sie einen Demo-Code an, verarbeiten wir Ihre E-Mail-Adresse und ein Magic-Link-Token zur Authentifizierung. Versand erfolgt über Resend in der EU-Region. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung).

5.4 Stripe-Bestellung & Zahlungsabwicklung

Bei Buchung eines Valet-AI-Abos werden Bestell- und Zahlungsdaten direkt an Stripe Payments Europe Ltd. (Dublin, Irland) übermittelt. Wir selbst speichern keine Kreditkartendaten. Stripes eigene Datenschutzerklärung: https://stripe.com/at/privacy.

5.5 Google Calendar (optional, nur mit Einwilligung)

Wenn eine Praxis ihren Google-Kalender mit Valet AI verbindet, lesen und schreiben wir Termine im Auftrag der Praxis. Die Verarbeitung erfolgt über Google Ireland Ltd. mit Subverarbeitung durch Google LLC (USA). Rechtsgrundlage: Einwilligung der Praxis (Art. 6 Abs. 1 lit. a) bzw. Vertragsdurchführung (Art. 6 Abs. 1 lit. b).

5.6 Server-Logs

Unser Webserver (Caddy) und die FastAPI-Anwendung führen technische Logs (IP-Adresse, Zeitstempel, HTTP-Status, User-Agent). Diese sind notwendig zur Erkennung von Angriffen, Missbrauch und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO).

6. Cookies, Tracking und Webanalyse

Auf valetai.at sind keine Cookies, keine Werbedienste, keine Social-Media-Pixel und keine Tracker aktiv — weder Google Analytics, noch Meta-Pixel, Hotjar, TikTok-Pixel oder andere. Es werden ausschliesslich technisch notwendige Mechanismen verwendet (Session-IDs fuer aktive Telefonie- Verbindungen, CSRF-Schutz), die nach § 165 Abs. 3 Z 2 TKG 2021 keine Einwilligung erfordern. Daher ist auch kein Cookie-Consent-Banner eingeblendet — es gibt nichts, dem Sie zustimmen muessten.

Webanalyse mit Umami (cookie-frei, selbst-gehostet auf EU-Server)

Auf den Marketing-Seiten / und /aerzte setzen wir Umami Analytics in der Open-Source-Variante ein, gehostet auf unserem eigenen Server bei Hetzner Online GmbH (EU-Frankfurt). Umami ist eine cookie-freie, datenschutzfreundliche Reichweitenmessung:

• Keine Cookies, kein LocalStorage, keine Geraete-IDs. Es werden weder personenbezogene Daten noch Identifikatoren gesetzt oder ausgelesen.
• Keine Profilbildung. Besucher koennen seitenuebergreifend nicht wiedererkannt werden — auch nicht innerhalb desselben Tages.
• Keine Drittlanduebermittlung. Daten verbleiben auf unserem Server in EU-Frankfurt. Keine Uebermittlung an Google, Meta oder andere.
• Welche Daten werden erfasst? Aufgerufene Seite (URL), Verweildauer, Geraete-Typ (Desktop/Mobile), Browser, Betriebssystem, Bildschirm-Aufloesung, Sprache, Herkunfts-Land (aus IP-Adresse abgeleitet, IP wird nicht gespeichert), Referrer-Domain. Alles in aggregierter Form.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an statistischer Reichweitenanalyse zur Verbesserung des Angebots). Da keine Cookies gesetzt und keine personenbezogenen Daten verarbeitet werden, liegt der Eingriff am unteren Ende der Belastung.
• Keine Einwilligung erforderlich nach § 165 Abs. 3 TKG 2021 / § 25 Abs. 2 TTDSG — daher auch kein Cookie-Consent-Banner.
• Speicherdauer: Aggregierte Statistik-Daten werden 365 Tage aufbewahrt, danach automatisch geloescht.

Auf den anderen Seiten (z. B. /anrufen, /impressum, /datenschutz, /agb) ist kein Tracking aktiv.

7. Speicherdauern

• Anrufprotokolle (Transkripte) in Supabase: 90 Tage, danach automatische Löschung
• E-Mail-Outbox / Magic-Links: 30 Tage
• Server-Logs (Caddy / FastAPI): 30 Tage
• Stripe-Transaktionen / Rechnungsdaten: 7 Jahre (gesetzliche Aufbewahrungspflicht nach § 132 BAO und § 212 UGB)
• E-Mail-Korrespondenz: bis zur Beendigung des Geschäftsverhältnisses, ggf. zzgl. handels- und steuerrechtlicher Aufbewahrungsfristen

8. Ihre Rechte als betroffene Person (Art. 15–22 DSGVO)

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15) — welche Daten wir über Sie verarbeiten
• Berichtigung (Art. 16) — Korrektur unrichtiger Daten
• Löschung (Art. 17) — sofern keine gesetzliche Aufbewahrungspflicht entgegensteht
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21) gegen Verarbeitungen auf Basis berechtigter Interessen
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) mit Wirkung für die Zukunft

Anfragen bitte formlos an office@valetai.at. Wir antworten innerhalb der gesetzlichen Frist von einem Monat.

9. Beschwerderecht bei der Aufsichtsbehörde

Sie haben das Recht, sich bei der zuständigen Datenschutzbehörde zu beschweren, wenn Sie der Meinung sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. In Österreich:

10. Datensicherheit

Wir verwenden TLS-Verschlüsselung (HTTPS) für sämtliche Datenübertragungen zwischen Ihrem Endgerät und unseren Servern. Audio-Streams werden über DTLS-SRTP (WebRTC) bzw. SIP-TLS (PSTN-Telefonie) verschlüsselt übertragen. Datenbank-Backups sind verschlüsselt. Der Zugang zur Server-Infrastruktur ist auf den Verantwortlichen beschränkt und durch Schlüssel- und Mehrfaktor-Authentifizierung gesichert.

11. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO — also eine Entscheidung mit rechtlicher Wirkung Ihnen gegenüber, die ausschließlich auf einer automatisierten Verarbeitung beruht — findet nicht statt. Die KI unterstützt bei Anrufannahme und Terminvorschlägen, übernimmt aber keine rechtsverbindlichen Entscheidungen ohne menschliche Kontrollmöglichkeit der Praxis.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich die rechtliche Lage, unsere Dienste oder unsere Datenverarbeitung ändert. Bitte sehen Sie regelmäßig nach. Stand der aktuellen Version: 09.05.2026.