Datenschutzerklärung

Stand: Januar 2026

1. Verantwortlicher und Geltungsbereich

Diese Datenschutzerklärung gilt für die Nutzung aller Online-Dienste von Insaio (Sandbox Connection GmbH) unter insaio.com, einschließlich der Web-App, der Marketing-Website und sämtlicher Unterseiten. Verantwortlich im Sinne der DSGVO ist die Sandbox Connection GmbH, vertreten durch Michael Schmitt und Dominic Strobel. Es besteht kein gesetzlicher Datenschutzbeauftragter.

2. Grundsätze der Datenverarbeitung

Wir verarbeiten personenbezogene Daten ausschließlich gemäß den Vorgaben der DSGVO, des BDSG und des TTDSG. Daten werden nur verarbeitet, wenn

dies zur Vertragserfüllung oder Durchführung vorvertraglicher Maßnahmen erforderlich ist (Art. 6 Abs. 1 lit. b DSGVO),
eine Einwilligung vorliegt (Art. 6 Abs. 1 lit. a DSGVO),
oder ein berechtigtes Interesse besteht (Art. 6 Abs. 1 lit. f DSGVO), etwa an einer sicheren und wirtschaftlichen Bereitstellung unseres Dienstes.

3. Bereitstellung der Website und Web-App

Unsere Website und Web-App werden von Vercel Inc., USA (Hosting in EU-Rechenzentren) bereitgestellt. Beim Aufruf der Website und der Web-App werden automatisch Server-Logdaten verarbeitet (z. B. IP-Adresse, Browsertyp, Zugriffszeitpunkt). Diese Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der technischen Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO). Logdaten werden spätestens nach 30 Tagen gelöscht, sofern keine sicherheitsrelevanten Ereignisse (z. B. Angriffsversuche, Missbrauchsfälle) eine längere Aufbewahrung erfordern.

4. Nutzerkonto, Termin- und Sprachverarbeitung

Für die Nutzung von Insaio ist ein Konto erforderlich. Dabei verarbeiten wir:

Stammdaten: Name, E-Mail, Telefonnummer
Gesprächsdaten: Audioaufzeichnungen, Transkripte, Metadaten
Nutzungsdaten: Anruf-Logs, Zeitzonen-, Termin- und Konfigurationseinstellungen

Zweck ist die Bereitstellung unserer KI-gestützten Termin- und Sprachdienste. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Daten werden solange gespeichert, wie das Kundenkonto besteht, und 30 Tage nach Vertragsende gelöscht.

5. Zahlungsabwicklung

Zahlungen werden über den Zahlungsdienstleister Stripe abgewickelt. Bei einer Zahlung werden die hierfür erforderlichen Zahlungsdaten (z. B. Name, E-Mail-Adresse, Rechnungsbetrag, Zahlungsart, Kreditkarten- oder Bankdaten) an Stripe übermittelt. Die Verarbeitung erfolgt zur Abwicklung der Zahlung und zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO.

Stripe verarbeitet bestimmte Daten eigenverantwortlich zur Betrugsprävention, zur technischen Optimierung des Zahlungsdienstes sowie zur Einhaltung gesetzlicher Verpflichtungen.

Weitere Informationen findest du in der Datenschutzerklärung von Stripe.

6. Kommunikation und Support

Bei Kontaktanfragen (z. B. E-Mail, Formular) verarbeiten wir die bereitgestellten Daten zur Bearbeitung der Anfrage gemäß Art. 6 Abs. 1 lit. b DSGVO.

Support-E-Mails und transaktionale Nachrichten werden über SendGrid, einen Dienst von Twilio Inc., 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA, versendet. Die Verarbeitung erfolgt ausschließlich zur technischen Kommunikation (z. B. Bestätigungen, Systembenachrichtigungen) und basiert auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Eine Datenübermittlung in die USA erfolgt auf Grundlage des EU–US Data Privacy Frameworks (DPF).

Zusätzlich nutzen wir für Produktbenachrichtigungen den Dienst Novu, bereitgestellt von Novu Ltd., Tel Aviv, Israel. Novu verarbeitet Nutzerdaten (z. B. E-Mail-Adresse, Benutzerkennung, Benachrichtigungsinhalte) ausschließlich im Auftrag und zur Bereitstellung von In-App- oder E-Mail-Benachrichtigungen. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Sofern Daten außerhalb der EU verarbeitet werden, erfolgt dies auf Grundlage der Standardvertragsklauseln (SCCs) nach Art. 46 DSGVO sowie ergänzender technischer und organisatorischer Maßnahmen.

7. Newsletter und Marketing

Marketing-E-Mails und Newsletter versenden wir nur mit vorheriger Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Abmeldung ist jederzeit möglich.

8. Analyse- und Messwerkzeuge

Wir setzen Plausible Analytics, PostHog und Vercel Analytics ein, ausschließlich zur anonymisierten Reichweiten- und Nutzungsanalyse. Diese Tools arbeiten ohne Cookies und werden über einen EU-Proxy betrieben, sodass keine direkten Drittstaatentransfers erfolgen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an statistischer Auswertung).

9. Cookies

Wir verwenden nur technisch notwendige Cookies – z. B. für die Sprachauswahl und den Login-Status. Die Nutzung erfolgt gemäß § 25 Abs. 2 TTDSG i. V. m. Art. 6 Abs. 1 lit. f DSGVO.

10. KI-gestützte Sprachverarbeitung

Insaio verwendet KI-gestützte Telefonagenten, die automatisierte Gespräche zur Terminvereinbarung führen. Zu Beginn jedes Gesprächs wird der Gesprächspartner gemäß Art. 50 EU AI Act darauf hingewiesen, dass es sich um KI handelt. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Die Verantwortung für die Inhalte und Ergebnisse liegt bei der Sandbox Connection GmbH.

11. Auftragsverarbeiter und Unterauftragsverarbeiter

Zur Bereitstellung unserer Dienste nutzen wir sorgfältig ausgewählte Partner und Dienstleister. Die aktuelle und vollständige Liste ist hier abrufbar. Mit allen Anbietern bestehen Datenschutzverträge gemäß Art. 28 DSGVO.

12. Internationale Datenübermittlungen

Bei Übermittlungen in Drittländer (z. B. in die USA) nutzen wir – je nach Anbieter – das EU–US Data Privacy Framework oder die Standardvertragsklauseln (SCCs) inkl. Transfer Impact Assessments. Wir bevorzugen stets die Nutzung europäischer Rechenzentren.

13. Speicherdauer und Löschung

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweilige Verarbeitung erforderlich ist. Nach Vertragsende erfolgt die Löschung innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungsfristen bestehen. Backups werden regelmäßig überschrieben.

14. Rechte der betroffenen Personen

Betroffene haben das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch (Art. 21 DSGVO)

Zur Ausübung dieser Rechte wende dich bitte an support@insaio.com mit dem Hinweis:

“Bitte gib an, welche Rechte du wahrnehmen möchtest. Wir bestätigen den Eingang deiner Anfrage innerhalb von 7 Tagen und bearbeiten sie fristgerecht gemäß Art. 12 Abs. 3 DSGVO.”

15. Sicherheit

Wir treffen technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, u. a. TLS-Verschlüsselung, MFA, Rollen- und Zugriffskontrollen sowie die Protokollierung sicherheitsrelevanter Ereignisse.

16. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung zu aktualisieren, um sie an geänderte rechtliche oder technische Rahmenbedingungen anzupassen.