Datenschutzerklärung

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO, EU 2016/679) darüber, welche Daten wir bei der Nutzung der The Automation MBA Academy (Web-App, Kursplattform sowie die zugehörigen Verkaufs- und Checkout-Seiten) verarbeiten, zu welchen Zwecken, auf welcher Rechtsgrundlage und welche Rechte Ihnen zustehen. Verantwortlicher und Vertragsgeber ist die Notorious MBA, Anschrift wird nachgetragen; Nutzer und Kunden sind Vertragsnehmer.

1. Verantwortlicher

Notorious MBA, Anschrift wird nachgetragen (Vertragsgeber)
Vertreten durch: Kevin Hucker
19, 1st Apriliou Street, Apt.102, Chloraka, Paphos, 8220, CY
Telefon: +35794311160
E-Mail: info@notorious.mba

2. Welche Daten wir verarbeiten

Je nachdem, wie Sie die Academy nutzen, verarbeiten wir insbesondere folgende Kategorien personenbezogener Daten:

• Konto- und Stammdaten: Name, E-Mail-Adresse, Passwort (verschlüsselt gespeichert), Kontoeinstellungen
• Kurs- und Nutzungsdaten: Lernfortschritt, abgeschlossene Lektionen, Präferenzen
• Zahlungs- und Rechnungsdaten: gebuchtes Produkt, Rechnungsanschrift, Zahlungsstatus (Kartendaten verarbeitet ausschließlich unser Zahlungsdienstleister)
• Kommunikationsdaten: Inhalte Ihrer Nachrichten, Support-Anfragen, Chat-Eingaben an den KI-Kevin
• Technische Zugriffsdaten: IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Seiten, Browsertyp, Geräteinformationen

3. Rechtsgrundlagen im Überblick

Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 DSGVO:

• Vertragserfüllung (lit. b): Bereitstellung der Academy, Ihres Kontos, der Kursinhalte und des KI-Coaches
• Rechtliche Verpflichtung (lit. c): insbesondere steuer- und handelsrechtliche Aufbewahrungspflichten
• Berechtigtes Interesse (lit. f): Sicherheit, Stabilität und Missbrauchsabwehr unserer Systeme
• Einwilligung(lit. a): etwa für optionale Analyse-Tools, jederzeit widerrufbar mit Wirkung für die Zukunft

4. Aufruf der Website und Server-Logs

Bei jedem Aufruf der Academy verarbeiten wir technisch notwendige Zugriffsdaten (IP-Adresse, Datum und Uhrzeit, abgerufene Seiten, Browsertyp, Geräteinformationen), damit die Seite ausgeliefert, stabil betrieben und gegen Angriffe abgesichert werden kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und performanten Betrieb). Die gesamte Übertragung erfolgt verschlüsselt per SSL/TLS. Serverseitige Zugriffsprotokolle (Server-Logs) werden spätestens nach 30 Tagen gelöscht oder anonymisiert, soweit sie nicht aus konkreten Sicherheitsgründen (etwa zur Aufklärung eines laufenden Angriffs) ausnahmsweise länger benötigt werden.

Schriftarten (lokal gehostet)

Zur einheitlichen Darstellung von Schriften verwenden wir Schriftarten, die wir lokal auf unserer eigenen Infrastruktur ausliefern (Self-Hosting). Die Schriftdateien werden ausschließlich von unserem eigenen Server bzw. unserem Content-Delivery-Anbieter geladen.

Beim Laden der Schriften wird daher keine Verbindung zu Servern von Google aufgebaut und keine IP-Adresse an Google übermittelt. Rechtsgrundlage für die Auslieferung der Schriften ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen, sicheren und datensparsamen Schriftdarstellung).

5. Eingesetzte Dienstleister

Für den Betrieb der Academy setzen wir sorgfältig ausgewählte Dienstleister ein. Wir nennen sie nach ihrem jeweiligen Zweck. Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO.

Nicht jeder Anbieter ist reiner Auftragsverarbeiter: Manche Dienste verarbeiten Daten zumindest für bestimmte Verarbeitungsvorgänge eigenständig verantwortlich (etwa Stripe bei der Zahlungsabwicklung) oder als gemeinsam Verantwortliche (etwa Google und Meta bei der Reichweitenmessung und Werbewirksamkeitsmessung). Bei der jeweiligen Nennung weisen wir auf die Rolle hin, soweit sie nicht der reinen Auftragsverarbeitung entspricht.

Ihre Einwilligung in die Reichweitenmessung können Sie jederzeit über die Cookie-Einstellungen mit Wirkung für die Zukunft widerrufen.

6. Transparenzhinweis zum AMBA Kevin

Im Sinne der Transparenzpflichten der Verordnung (EU) 2024/1689 (KI-Verordnung) – deren Art. 50 grundsätzlich erst ab dem 2. August 2026 unmittelbar anwendbar ist und den wir bereits jetzt freiwillig umsetzen – weisen wir Sie ausdrücklich darauf hin: Beim AMBA Kevin handelt es sich um ein KI-System. Sie interagieren unmittelbar mit einer künstlichen Intelligenz, nicht mit einem Menschen. Die vom AMBA Kevin bereitgestellten Antworten, Texte und Sprachausgaben sind durch KI erzeugte Inhalte.

Zur Bereitstellung der Coaching-Funktion verarbeiten wir die von Ihnen eingegebenen Inhalte. Datenkategorien sind insbesondere Ihre Chat-Eingaben und Prompts, bei Nutzung der optionalen Sprachfunktion gegebenenfalls Sprachaufnahmen (Speech-to-Text) sowie die vom AMBA Kevin generierten Antworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); soweit Sie die optionale Sprachfunktion nutzen, kann zusätzlich Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) Rechtsgrundlage sein.

Chatverläufe mit dem AMBA Kevin werden gespeichert, damit Ihnen der Gesprächsverlauf und der Coaching-Kontext erhalten bleiben. Wir speichern diese Verläufe für die Dauer Ihrer Mitgliedschaft. Nach Beendigung der Mitgliedschaft oder auf Ihr Löschverlangen hin werden sie innerhalb von 90 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

• Die Übermittlung Ihrer Eingaben erfolgt zweckgebunden ausschließlich zur Erbringung der Coaching-Funktion.
• Nach den API-Richtlinien von OpenAI und Anthropic werden über die Schnittstelle übermittelte Inhalte nicht zum Training der KI-Modelle verwendet.
• Der AMBA Kevin trifft keine eigenständigen rechtsverbindlichen Entscheidungen über Sie. Die Ausgaben können unvollständig oder fehlerhaft sein und sollten vor wichtigen Entscheidungen eigenverantwortlich geprüft werden.
• Bitte geben Sie im Chat keine sensiblen Daten (etwa Gesundheitsdaten) ein, deren Verarbeitung Sie nicht wünschen.

Sofern Sie einen eigenen ElevenLabs-API-Schlüssel hinterlegen, wird dieser nur lokal in Ihrem Browser (localStorage) gespeichert und nicht an uns übertragen. Die Nutzung erfolgt dann in Ihrer eigenen Verantwortung. Alternativ steht eine lokale Browser-Stimme (Web Speech API) zur Verfügung, die vollständig in Ihrem Browser läuft und keine Daten an externe Dienste übermittelt.

7. Cookies und Einwilligung

Wir verwenden technisch notwendige Cookies bzw. vergleichbare Speichertechnologien (etwa für Login-Sitzungen). Diese sind für den Betrieb der Plattform erforderlich (Art. 6 Abs. 1 lit. b und f DSGVO, § 25 Abs. 2 TDDDG).

Alle nicht notwendigen Cookies und Speichertechnologien (etwa für die in Abschnitt 5 genannte Reichweitenmessung) setzen wir ausschließlich nach Ihrer vorherigen Einwilligung über das Consent-Banner ein. Diese Einwilligung können Sie jederzeit über die Cookie-Einstellungen widerrufen.

8. Kontaktaufnahme

Wenn Sie uns per E-Mail oder über ein Formular kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Angaben (etwa Name, E-Mail-Adresse und Nachrichteninhalt), um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche oder vertragliche Anfragen) bzw. lit. f DSGVO (Bearbeitung allgemeiner Anfragen).

9. Werbliche E-Mails

Werbliche E-Mails versenden wir nur mit Ihrer Einwilligung oder im Rahmen einer bestehenden Kundenbeziehung. Eine Abmeldung ist jederzeit über den Abmeldelink in der jeweiligen E-Mail oder per Nachricht an uns möglich.

10. Datenübermittlung in Drittländer

Die in Abschnitt 5 mit dem Hinweis „Drittland USA“ gekennzeichneten Dienstleister verarbeiten Daten ganz oder teilweise in den USA. Die Rechtsgrundlage der Übermittlung unterscheidet sich je nach Anbieter:

• Anbieter mit aktiver Zertifizierung unter dem EU-U.S. Data Privacy Framework (DPF): Für Anbieter, die unter dem DPF zertifiziert sind, besteht ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Durchführungsbeschluss (EU) 2023/1795). Ob ein einzelner der von uns eingesetzten Anbieter (etwa Cloudflare, Stripe, Resend, HighLevel, ElevenLabs, Fathom, Google oder Microsoft) aktuell DPF-zertifiziert ist, kann sich ändern; maßgeblich und verbindlich ist allein der jeweils aktuelle Eintrag auf der offiziellen DPF-Liste unter dataprivacyframework.gov. Soweit für einen Anbieter keine aktive DPF-Zertifizierung besteht, stützen wir die Übermittlung auf die Standardvertragsklauseln (siehe folgender Punkt).
• Anbieter ohne bestätigte DPF-Zertifizierung (abgesichert über SCC): Bei diesen Anbietern, insbesondere OpenAI und Anthropic, ist die Übermittlung in die USA durch die EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914) abgesichert, ergänzt um zusätzliche Schutzmaßnahmen sowie die mit dem jeweiligen Anbieter geschlossene Datenschutzvereinbarung, soweit erforderlich. Supabase verarbeitet Daten primär in der EU (Region Frankfurt); soweit ein Drittlandbezug entsteht, gelten ebenfalls die SCCs.

Soweit ein Anbieter (wieder) unter dem DPF zertifiziert ist, erfolgt die Übermittlung auf Grundlage des DPF; andernfalls auf Grundlage der SCCs. Der Verantwortliche überprüft den jeweiligen Status fortlaufend; bei Wegfall einer Grundlage wird die Übermittlung ausgesetzt oder auf eine andere zulässige Grundlage gestützt. Eine vom Verantwortlichen gepflegte Übersicht (AVV-/DPF-Tracker) dokumentiert pro Anbieter Rolle, Transfergrundlage und Datenschutzvertrag.

11. Speicherdauer

Personenbezogene Daten speichern wir nur so lange, wie dies für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten dies vorschreiben. Im Einzelnen:

• Konto- und Stammdaten: für die Dauer der Kundenbeziehung; nach deren Ende Löschung, sofern keine Aufbewahrungspflichten entgegenstehen
• Zahlungs- und Rechnungsdaten: gemäß den gesetzlichen Aufbewahrungspflichten, in der Regel bis zu 10 Jahre
• Chatverläufe des KI-Coaches: für die Dauer der gebuchten Mitgliedschaft (je nach Programm z. B. 3, 6 oder 12 Monate); anschließend Löschung innerhalb von 90 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht
• Call-Aufzeichnungen und Transkripte: nur so lange wie für Nachbereitung und Qualitätssicherung erforderlich, längstens bis zum Widerruf Ihrer Einwilligung
• Server-Logs: spätestens nach 30 Tagen Löschung oder Anonymisierung
• Support- und Kontaktanfragen: bis zur abschließenden Bearbeitung Ihrer Anfrage, danach im Rahmen etwaiger Aufbewahrungspflichten
• Marketing- und Einwilligungsdaten: bis zum Widerruf der jeweiligen Einwilligung bzw. bis zum Widerspruch

Nach Ablauf der jeweiligen Frist werden die Daten gelöscht oder anonymisiert.

12. Ihre Rechte als betroffene Person

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen richten Sie bitte an: info@notorious.mba

13. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem EU-Mitgliedstaat Ihres gewöhnlichen Aufenthalts. Für den Verantwortlichen zuständig ist der Commissioner for Personal Data Protection der Republik Zypern (www.dataprotection.gov.cy).

14. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald sich unsere Datenverarbeitung oder die Rechtslage ändert. Es gilt stets die hier veröffentlichte aktuelle Version.