Datenschutzerklärung der azuza GmbH

1.1 azuza unterstützt kaufmännische Abläufe mit Sprache, Text und KI. Dabei können neben Kontaktdaten insbesondere Rechnungen, Belege, Bankumsätze, Überweisungen, E-Mails, Termine sowie Sprach- und Gesprächsinhalte verarbeitet werden. Welche Daten betroffen sind, hängt von den genutzten Funktionen, angebundenen Konten und bereitgestellten Inhalten ab.

1.2 „Kunde“ ist das Unternehmen, das azuza für seine berufliche oder gewerbliche Tätigkeit nutzt. „Kundendaten“ sind die vom Kunden oder seinen berechtigten Nutzern eingegebenen, über verbundenen Dienste bereitgestellten oder bei der Nutzung erzeugten Inhalte und Daten. Der Begriff entspricht Abschnitt 1.4 der AGB. Diese Erklärung richtet sich auch an Websitebesucher, Beschäftigte und Kontaktpersonen; nicht jede betroffene Person ist selbst unser Kunde.

1.3 Für die Organisation unseres eigenen Vertragsverhältnisses, Kontaktbearbeitung und Sicherheit sind wir grundsätzlich Verantwortlicher. Soweit wir etwa Kundenkontakte, Rechnungen oder Belege für ein Kundenunternehmen verwalten, ist grundsätzlich dieses Unternehmen Verantwortlicher und azuza Auftragsverarbeiter. Die konkrete Rollenverteilung bei angebundenen Bank-, E-Mail- und anderen Diensten hängt zusätzlich vom jeweiligen Dienst ab. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ist für die Verarbeitung in deinem Auftrag erforderlich; eine Datenschutzerklärung ersetzt ihn nicht.

1.4 Wir verwenden Kundendaten nicht zum Training allgemeiner KI-Grundmodelle. Gespeicherter Gesprächskontext, kundenspezifische Erinnerungen und Fehlersuche sind eigenständige Verarbeitungen und werden in den Abschnitten 5 und 6 erklärt. Die KI-Modelle, mit denen azuza deine Anfragen beantwortet, werden in Microsofts europäischer Data Zone betrieben. Für Fehleranalyse und Qualitätsauswertung setzen wir zusätzlich einen KI-Dienst von Anthropic mit Verarbeitung in den USA ein; siehe Abschnitt 6.4. Einzelheiten zum Betrieb stehen in Abschnitt 4.

2.1 Verantwortlicher für die in eigener Verantwortung durchgeführten Verarbeitungen ist die azuza GmbH, Büchel 12 – 14, 41460 Neuss, Deutschland, vertreten durch den Geschäftsführer Dursun Samed Yilmaz. Kontakt: service@azuza.ai. Sitz Neuss; Amtsgericht Neuss, HRB 25228.

2.2 An diese E-Mail-Adresse kannst du Datenschutzanfragen und die Ausübung deiner Rechte richten. Betrifft eine Anfrage Daten, die wir ausschließlich im Auftrag eines Kunden verarbeiten, leiten wir sie an den zuständigen Kunden weiter beziehungsweise unterstützen dessen Bearbeitung. Wir entscheiden dann nicht ohne dessen Weisung über die Verwendung dieser Kundendaten.

3.1 Wir schützen personenbezogene Daten durch technische und organisatorische Maßnahmen, insbesondere Zugriffsbeschränkungen und verschlüsselte Übertragung. HTTPS schützt den Transportweg; es ist keine Garantie gegen jeden Zugriff auf Endgeräte, Konten oder Systeme.

3.2 Soweit du selbst Vertragspartner bist, stützen wir die hierfür erforderliche Verarbeitung auf Art. 6 Abs. 1 Buchst. b DSGVO. Für gesetzliche Pflichten gilt Buchst. c. Für erforderliche Kontaktbearbeitung, Sicherheit und berechtigte betriebliche Interessen kann Buchst. f gelten; die konkreten Interessen nennen wir nachfolgend. Gesondert erteilte Einwilligungen beruhen auf Buchst. a. Wir stützen nicht jede Verarbeitung pauschal auf eine Einwilligung; weder die Nutzung der App noch die Annahme der AGB gilt als Einwilligung.

3.3 Du kannst nach den gesetzlichen Voraussetzungen Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung verlangen. Du kannst Daten, die du auf Grundlage einer Einwilligung oder eines Vertrags bereitgestellt hast und die automatisiert verarbeitet werden, in einem strukturierten, gängigen, maschinenlesbaren Format erhalten. Soweit technisch machbar, kannst du auch die direkte Übermittlung an einen anderen Verantwortlichen verlangen. Dieses Recht aus Art. 20 DSGVO ist vom umfassenderen vertraglichen Export der Kundendaten und vom Anbieterwechsel zu unterscheiden.

3.4 Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen. Die Rechtmäßigkeit der vorherigen Verarbeitung bleibt bestehen. Erforderliche gesetzliche oder vertragliche Verarbeitungen beruhen nicht allein auf einer widerruflichen Einwilligung und entfallen deshalb nicht automatisch mit einem Widerruf.

3.5 Wenn eine Verarbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO beruht, kannst du aus Gründen deiner besonderen Situation widersprechen. Wir verarbeiten die betroffenen Daten dann nicht weiter, sofern wir keine zwingenden schutzwürdigen Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dient. Gegen eine Verarbeitung für Direktwerbung kannst du jederzeit ohne Begründung widersprechen.

3.6 Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Ort deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des vermuteten Verstoßes. Für azuza ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig, Postfach 20 04 44, 40102 Düsseldorf, poststelle@ldi.nrw.de, https://www.ldi.nrw.de.

3.7 Auskunft und sonstige Rechte richten sich nach Art. 12 bis 22 DSGVO. Soweit erforderlich, prüfen wir deine Identität mit angemessenen Mitteln. Gesetzliche Speicherpflichten und Rechte anderer Personen können der vollständigen Löschung oder Herausgabe einzelner Informationen entgegenstehen; wir erläutern eine solche Einschränkung.

4.1 Wir nutzen Microsoft Azure für Website und Anwendungsinfrastruktur. Die zentralen Anwendungsressourcen, Datenbank und Speicher sind in der Azure-Region Sweden Central eingerichtet. Die Website wird über Azure Static Web Apps bereitgestellt. Der Standort einer Ressource beschreibt nicht automatisch sämtliche Orte der KI-Verarbeitung, Sicherheitsprüfung, Unterstützung oder Inhaltsauslieferung.

4.2 Alle KI-Modelle für den Betrieb der App sind als Bereitstellungen in Microsofts europäischer Data Zone eingerichtet, die nach Microsofts Definition auch EFTA-Standorte einschließen kann. Azure Speech und Azure Document Intelligence ergänzen die Sprach- und Belegverarbeitung.

4.3 Microsoft Ireland Operations Limited ist der europäische Microsoft-Anbieter; Microsoft Corporation und weitere vertraglich erfasste Unternehmen können beteiligt sein. Microsofts Data Protection Addendum (DPA), aktuell vom 22. Mai 2026, wird über die einschlägigen Kundenverträge und Product Terms einbezogen.

4.4 Drittlandübermittlungen bedürfen einer Grundlage nach Kapitel V DSGVO, etwa eines anwendbaren Angemessenheitsbeschlusses oder geeigneter Garantien einschließlich erforderlicher ergänzender Maßnahmen. Ein EU-Hostingstandort allein ist kein solcher Nachweis. Soweit eine wirksame Garantie eingesetzt wird, kannst du unter service@azuza.ai Informationen und eine Kopie der maßgeblichen Garantien erhalten; berechtigte Vertraulichkeitsbelange werden berücksichtigt.

5.1 Beim Websiteaufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource und vom Browser übermittelte technische Angaben. Zweck sind Auslieferung, Störungsbehebung und Schutz der Website. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist ein sicherer und funktionsfähiger Internetauftritt. Die tatsächlich eingesetzten Protokolle und ihre Speicherdauer sind in Abschnitt 8 abzugrenzen.

5.2 Soweit technisch unbedingt erforderliche Informationen auf deinem Endgerät gespeichert oder ausgelesen werden, richtet sich dies nach § 25 Abs. 2 TDDDG; eine anschließende personenbezogene Verarbeitung benötigt zusätzlich eine DSGVO-Grundlage. Für nicht erforderliche Endgerätezugriffe wäre eine gesonderte vorherige Einwilligung erforderlich. Eine allgemeine Zustimmung zur Datenschutzerklärung genügt dafür nicht.

5.3 Bei Kontaktaufnahme per E-Mail verarbeiten wir Adresse, Name, Inhalt und erforderliche Vorgangsdaten zur Bearbeitung der Anfrage. Für eine Anfrage eines möglichen oder bestehenden natürlichen Vertragspartners gilt Art. 6 Abs. 1 Buchst. b DSGVO. Bei Ansprechpartnern eines Unternehmens oder sonstigen Anfragen beruht die Bearbeitung auf Art. 6 Abs. 1 Buchst. f DSGVO; unser Interesse ist die sachgerechte Geschäftskommunikation. Gesetzlich aufzubewahrende Korrespondenz wird auf Grundlage von Buchst. c gespeichert. Eingesetzte E-Mail-Dienstleister sind mögliche Empfänger; nicht jede solche Weitergabe setzt deine Einwilligung voraus.

5.4 Über das Formular „Kunde werden“ auf der Website werden Vorname, Nachname, E-Mail-Adresse, Firma und Rechtsform erfasst und an unser E-Mail-Postfach übermittelt, damit wir mit dir Kontakt aufnehmen können. Ein Vertrag kommt dadurch nicht zustande. Für eigene vorvertragliche Anfragen gilt Art. 6 Abs. 1 Buchst. b DSGVO, bei Ansprechpartnern eines Unternehmens Buchst. f mit dem Interesse an der Bearbeitung der Anfrage. Auf der Seite www.azuza.ai/abo kannst du einen Link für dein Abonnement anfordern; wir verarbeiten dafür die eingegebene E-Mail-Adresse und senden den Link nur an die bei uns hinterlegte Adresse des Inhabers. Die Seite zeigt immer dieselbe Antwort und verrät nicht, ob zu einer Adresse ein Konto besteht; Anfragen sind mengenbegrenzt. Auf www.azuza.ai/export gibst du den Code aus der App ein, um ein Exportpaket herunterzuladen; jeder Download wird protokolliert und dir per E-Mail bestätigt. Der Schlüssel in den Links unserer E-Mails steht hinter dem Zeichen „#“; er ist nicht Teil der an den Server übertragenen Adresse und erscheint nicht in Server-Protokollen. Grundlage ist Art. 6 Abs. 1 Buchst. b DSGVO, bei Ansprechpartnern eines Unternehmens Buchst. f mit dem Interesse an einer sicheren Vertragsabwicklung.

5.5 Bei Registrierung und Kontoverwaltung verarbeiten wir Identitäts- und Kontaktdaten, Unternehmenszuordnung, Anmelde- und Sitzungsdaten. Passwörter und Sicherheitsmerkmale dienen dem Zugangsschutz. Der KI-Hinweis, die Unternehmerbestätigung und die Annahme der AGB einschließlich des Vertrags über die Auftragsverarbeitung werden mit Fassung und Zeitpunkt gespeichert. Eigene Vertragsabwicklung mit natürlichen Personen beruht auf Art. 6 Abs. 1 Buchst. b DSGVO, gesetzliche Nachweise auf Buchst. c, die Organisation berechtigter Mitarbeiterzugänge und Missbrauchsschutz auf Buchst. f. Weder Unternehmerbestätigung noch KI-Kenntnisnahme ist eine allgemeine Datenschutz-Einwilligung. Für den Lebenszyklus deines Kontos speichern wir den Zustand (etwa Gratiszeit, Abonnement, Ruhephase oder Vertragsende), die maßgeblichen Fristen und ein Ereignisprotokoll der Vorgänge, zum Beispiel Bestellung, Kündigung oder den Versand einer Erinnerung. Darauf beruhen die E-Mails zu deinem Konto: zur Gratiszeit, zur Bestellung, zu Zahlungen, zur Kündigung, zur Ruhephase, zum Vertragsende, zum Export und zur Löschung. Nicht angeforderte Hinweise auf ein Abonnement senden wir dir nur unter den Voraussetzungen des § 7 Abs. 3 UWG: Wir haben deine Adresse im Zusammenhang mit unserem Vertragsangebot erhalten, werben für eigene ähnliche Leistungen, du hast nicht widersprochen und wurdest bereits bei Erhebung der Adresse sowie in jeder solchen E-Mail auf die Abmeldung hingewiesen. Du kannst jederzeit über den Abmeldelink oder per E-Mail an service@azuza.ai widersprechen; dafür entstehen keine zusätzlichen Kosten. Für diesen Versand gelten die besonderen Regeln für Bestandskundenwerbung nach § 7 Abs. 3 UWG in Verbindung mit Art. 95 DSGVO. Notwendige Mitteilungen wie Fristen, Löschdaten und Bestätigungen erhältst du weiterhin, ohne Hinweis auf ein Abonnement. Die Selbstbedienungsfunktionen für Bestellung, Kündigung, Unternehmensexport und Kontolöschung sind dem Inhaber vorbehalten, also dem zuerst angelegten Zugang des Unternehmens. Erklärungen anderer vertretungsberechtigter Personen, etwa eine Kündigung per E-Mail, bleiben wirksam. Gesetzliche Datenschutzrechte bestehen unabhängig von dieser technischen Rolle.

5.6 Für den kostenpflichtigen Tarif erfolgt eine gesonderte regelbasierte Abrechnung. Maßgeblich sind Nettobeträge erstmals verbindlich ausgestellter azuza-Ausgangsrechnungen des vorangegangenen Kalenderjahres, mit Korrekturen im ursprünglichen Ausstellungsmonat und ohne Doppelzählung von Abschlags-/Schlussrechnungen. Die Einstufung erfolgt einmal jährlich zu Beginn des Kalenderjahres und wird bis Mitte Januar mitgeteilt; ein höheres Paket gilt ab dem 1. Februar, ein niedrigeres ab dem 1. Januar; bei unterjährigem Beginn bis zum 30. September werden die vorhandenen vollen Monate linear auf zwölf hochgerechnet. Für eigene Abrechnungszwecke verwenden wir nur erforderliche Beträge, Ausstellungszeitpunkte, Korrektur-/Fallbezüge und Kundenkennung, keine Rechnungsempfängernamen oder Beleginhalte. Soweit die Metadaten personenbezogen bleiben, handeln wir für die eigene Vergütungsabrechnung als Verantwortlicher: Bei natürlichen Vertragspartnern gilt Art. 6 Abs. 1 Buchst. b DSGVO, bei sonstigen betroffenen Personen Buchst. f mit dem Interesse an nachvollziehbarer, richtiger nutzungsbezogener Abrechnung unter Datenminimierung. Die Verarbeitung des übrigen Rechnungsbestands bleibt vom Kundenauftrag bestimmt. Abschnitt 7 der AGB regelt Berechnung, Mitteilung und menschliche Beanstandungsprüfung.

5.7 In den kaufmännischen Funktionen verarbeiten wir Kundendaten nach den vom Kunden ausgelösten Vorgängen: Kontaktdaten für Dokumente und Kommunikation, Belege und deren Texterkennung, Rechnungen und Zahlungszuordnungen, Kontobewegungen aus angebundenen Geschäftskonten, vorbereitete Überweisungen zu Belegen mit Empfänger, IBAN, Betrag und Verwendungszweck sowie deren Status, Verbindungs- und Autorisierungsdaten einschließlich erforderlicher Zugriffstoken beziehungsweise verschlüsselt gespeicherter Postfachpasswörter, ausgewählte Postfachinhalte und Anhänge sowie Termine und Erinnerungen. Im Auftragsverarbeitungsverhältnis legt der Kunde Zweck und zulässige Rechtsgrundlagen fest; wir verarbeiten nach dokumentierten Weisungen. Der Auftragsverarbeitungsvertrag beschreibt Datenarten, Betroffenengruppen und Unterstützungspflichten.

5.7a Auf Wunsch richtet azuza dem Kunden eine geschäftliche E-Mail-Adresse unter der Domain mail.azuza.ai ein; sie ist im Abonnement ohne Aufpreis enthalten. Das zugehörige Postfach betreibt die Heinlein Hosting GmbH, Berlin (mailbox), als unser Unterauftragsverarbeiter auf eigenen Servern in Deutschland. Verarbeitet werden die Adresse sowie Inhalte, Absender, Empfänger und Anhänge der darüber empfangenen und versandten Nachrichten. Das Zugangspasswort erzeugt azuza zufällig; es wird verschlüsselt gespeichert und nicht angezeigt, weil das Postfach ausschließlich über azuza genutzt wird. Grundlage ist der Auftragsverarbeitungsvertrag mit dem Kunden; mit mailbox besteht ein Vertrag nach Art. 28 DSGVO. Die Löschung regelt 8.4.

5.8 Bei Spracheingaben nimmt die App Audiodaten auf und übermittelt sie an die vorgesehenen Verarbeitungsdienste. Hierbei entstehen zumindest vorübergehend lokale Aufnahmedateien. Die Eingabe kann transkribiert und zusammen mit Antworten als Gespräch gespeichert werden. Für zutreffende Antworten werden je nach Funktion auch geöffnete Inhalte, Toolergebnisse, bisheriger Gesprächskontext und gespeicherte Erinnerungen herangezogen. Synthetische Sprachantworten werden zur Wiedergabe an dein Gerät übertragen. Die lokale Aufnahmedatei wird gelöscht, sobald sie übertragen ist. Kommt die Übertragung nicht zustande oder bricht sie ab, etwa weil die Aufnahme zu kurz ist oder die App geschlossen wird, wird die Datei ebenfalls gelöscht. Aufnahmen aus früheren App-Versionen werden entfernt.

5.9 Auf Android-Geräten nutzt die App während der Spracheingabe zusätzlich den Spracherkennungsdienst des Betriebssystems, um vorab einen Text zu erzeugen, mit dem passende Erinnerungen früher gefunden werden. Diese Erkennung ist nicht auf das Gerät beschränkt: Je nach Gerät und Einstellungen kann der Dienst das Audio an seinen Anbieter übermitteln, in der Regel Google, auch außerhalb der EU. Der Dienst ist Teil des Betriebssystems; eine solche Übermittlung nimmt das Betriebssystem deines Geräts im Rahmen deiner Nutzungsbedingungen mit dessen Anbieter vor, nicht azuza. Auf iOS wird diese zusätzliche Erkennung nicht verwendet.

5.10 Für Push-Nachrichten werden Geräte-/Push-Token und erforderliche Hinweise oder Vorgangskennungen über Expo sowie Apple APNs oder Google FCM verarbeitet. Diese Kette umfasst Verarbeitung in den USA. Expo und Google sind nach dem EU-US Data Privacy Framework zertifiziert; darauf stützen sich diese Übermittlungen (Art. 45 DSGVO). Mit Expo besteht ein Auftragsverarbeitungsvertrag. Für Geräte- und Nutzungsdaten wie IP-Adresse und Absturzberichte handelt Expo zusätzlich als eigenständig Verantwortlicher und wertet sie in zusammengefasster Form für eigene Zwecke aus, insbesondere zur Verbesserung seines Dienstes; darüber informiert Expo in seiner eigenen Datenschutzerklärung. Apple stützt Übermittlungen in die USA nach eigener Angabe auf Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO). Auch generische Nachrichtentexte machen Token und zuordenbare IDs nicht anonym. Die App verwendet außerdem Expo EAS Update zur Auslieferung von Aktualisierungen; dabei können Betriebssystem, Projekt-ID und ein Installationskennzeichen verarbeitet werden. Zweck sind die angeforderte Benachrichtigung und sichere Aktualisierung der App. Soweit wir hierfür Verantwortlicher sind, gilt bei eigener Vertragsnutzung Art. 6 Abs. 1 Buchst. b DSGVO, bei Mitarbeiterzugängen Buchst. f mit dem Interesse an sicherer Bereitstellung der angeforderten Funktionen. Für Inhalte aus Kundenaufträgen gelten zusätzlich die dokumentierten Weisungen. Erforderliche Endgerätezugriffe richten sich nach § 25 Abs. 2 TDDDG; für darüber hinausgehende Zugriffe wäre vorherige Einwilligung erforderlich. Die Geräteberechtigung zur Anzeige ist keine allgemeine Datenschutz-Einwilligung. Die Zustellung an die Geräte erfolgt über den Apple Push Notification Service beziehungsweise Google Firebase Cloud Messaging als Teil der jeweiligen Plattform.

5.11 Für Sicherheit, Fehleranalyse und Support werden erforderliche Ereignis-, Diagnose- und Zugriffsdaten verarbeitet. Soweit wir hierbei in eigener Verantwortung handeln, dient dies unserem berechtigten Interesse an einem sicheren, funktionsfähigen Dienst nach Art. 6 Abs. 1 Buchst. f DSGVO. Ein Zugriff auf Inhalte von Kundendaten muss zusätzlich von zulässigen Weisungen, Rollen und Vereinbarungen gedeckt sein. Unbegrenzte Einsicht oder freie Weitergabe an externe KI-Werkzeuge wird dadurch nicht erlaubt. Verarbeitungen zur eigenständigen Produktverbesserung benötigen eine getrennte Zweck- und Rechtsgrundlagenprüfung.

5.12 Zur Qualitätsprüfung der KI-Antworten werden Gesprächsverläufe stichprobenartig ausgewertet. Dies geschieht am vollständigen Verlauf, weil sich eine Antwort ohne die zugehörige Frage nicht beurteilen lässt. Die Auswertung erfolgt teils automatisiert mit Unterstützung eines KI-Dienstes und teils durch Beschäftigte der azuza GmbH. Die Prüfung ist Teil der Leistung für den Kunden: Sie stellt sicher, dass azuza für ihn sachlich zutreffend antwortet, und erfolgt im Auftrag nach Ziffer 2.4 des Vertrags über die Auftragsverarbeitung. Ihre Ergebnisse dienen ausschließlich der Erbringung und Verbesserung dieses Dienstes und nicht dem Training allgemeiner KI-Grundmodelle. Berichte und interne Aufgaben, die aus der Prüfung entstehen, werden nach 90 Tagen gelöscht oder von Kundeninhalten bereinigt.

6.1 KI-Verarbeitung umfasst die Bearbeitung der Anfrage und die hierfür benötigten Daten. Kundenspezifische Gesprächserinnerungen und Suchvektoren helfen, Kontext in späteren Anfragen wiederzufinden. Sie sind vom Training eines allgemeinen Grundmodells zu unterscheiden und werden nicht dadurch anonym, dass sie technisch als Vektoren gespeichert sind.

6.2 azuza verwendet Kundendaten nicht zum Training allgemeiner KI-Grundmodelle. Microsofts Bedingungen für generative KI sehen vor, dass Kundendaten ohne dokumentierte Weisung nicht zum Training generativer Foundation-Modelle verwendet werden. Betrieb, Kontext, Fehlersuche und Missbrauchsüberwachung sind vom Modelltraining zu unterscheiden.

6.3 Microsoft setzt Missbrauchsüberwachung ein. Diese kann automatisierte Inhaltsprüfung, zeitweilige Speicherung und die Einsicht autorisierter Personen bei entsprechenden Auffälligkeiten einschließen. Dies ist kein Modelltraining.

6.4 Zur technischen Fehleranalyse setzen wir KI-gestützte Diagnosewerkzeuge von Microsoft und Anthropic ein; dabei können auch Gesprächsinhalte verarbeitet werden. Beschäftigte der azuza GmbH sehen Inhalte eines Kunden ein, soweit dies für ihre Aufgabe erforderlich ist: zur Bearbeitung eines von ihm gemeldeten Supportfalls und stichprobenartig zur Qualitätssicherung nach 5.12. Eine routinemäßige Durchsicht darüber hinaus findet nicht statt. Zugriffe werden mit Person, Zeitpunkt, betroffenem Datensatz und Zweck protokolliert. Die automatisierte Qualitätsauswertung nach 5.12 läuft über einen KI-Dienst der Anthropic Ireland, Limited; sie erzeugt einen Bericht und einen Eintrag in unserem internen Aufgabensystem, die zugleich als Protokoll dieses Laufs dienen. Anthropic ist damit regelmäßiger Empfänger und in Abschnitt 7 aufgeführt.

6.5 Die Anwendung soll keine Entscheidung über steuerliche Erklärungen, Rechtsansprüche oder Kreditwürdigkeit des Kunden treffen. Die Tarifstufenbestimmung ist regelbasierte Abrechnung. Der Prozess umfasst vor jeder verbindlichen Mitteilung der jährlichen Einstufung eine tatsächliche Prüfung durch eine befugte Person mit Entscheidungs- und Korrekturmöglichkeit; sie erfolgt nicht als ausschließlich automatisierte Preisentscheidung. Du kannst zusätzlich eine menschliche Überprüfung verlangen, deinen Standpunkt darlegen und die Berechnung anfechten.

7.1 Die Daten stammen insbesondere von dir, den vom Kunden berechtigten Nutzern, freigegebenen Bank-/Postfachverbindungen und aus den bei der Nutzung erzeugten Dokumenten und Gesprächsverläufen. Bei eigenen Verarbeitungsvorgängen mit Daten aus anderer Quelle informieren wir nach Art. 14 DSGVO, soweit keine gesetzliche Ausnahme greift. Für Daten der Geschäftskunden eines Kundenunternehmens erfüllt grundsätzlich dieses Unternehmen seine Informationspflichten; wir unterstützen es dabei.

7.2 Folgende Empfängerkategorien sind nach den eingesetzten Funktionen relevant. Die tatsächliche Rolle ist nicht bei jedem Empfänger dieselbe.

7.3 Die Zahlungsabwicklung erfolgt über Stripe. Stripe verarbeitet die Zahlungsdaten als Zahlungsdienstleister nach eigenen Bedingungen und stellt eigene Datenschutzinformationen bereit; Zahlungsmitteldaten werden ausschließlich bei Stripe eingegeben und nicht von azuza gespeichert. Nutzt du bei Stripe Apple Pay oder Google Pay, verarbeiten zusätzlich Apple beziehungsweise Google Zahlungsdaten; sie sind dafür eigenständig verantwortlich und stellen eigene Datenschutzinformationen bereit. Übermittlungen an Stripe-Gesellschaften in den USA erfolgen auf Grundlage des EU-US Data Privacy Framework beziehungsweise von Standardvertragsklauseln. Wird dein Konto gelöscht, beenden wir das Abonnement bei Stripe, entfernen die hinterlegten Zahlungsmittel und veranlassen ausstehende Erstattungen; Stripe bewahrt eigene Transaktionsdaten nach seinen gesetzlichen Pflichten auf, die wir nicht löschen können.

7.4 Vereinbarungen nach Art. 28 DSGVO sind erforderlich, soweit ein Empfänger für uns oder in einer Unterauftragskette weisungsgebunden verarbeitet. Für eigenständige Verantwortliche oder Behörden gelten andere Grundlagen. Die Liste der Unterauftragsverarbeiter mit den vereinbarten Änderungs- und Einspruchsregeln gehört zum Auftragsverarbeitungsvertrag. Die vollständige Liste unserer Unterauftragsverarbeiter mit Ort und Übermittlungsgrundlage ist Anlage 2 des Vertrags über die Auftragsverarbeitung.

8.1 Für den Nutzungsvertrag gilt das folgende Fristenmodell. Schließt du die Einrichtung nicht innerhalb von 30 Kalendertagen nach der Registrierung ab, löschen wir das Konto mit seinen Daten. Endet die kostenfreie Phase ohne Bestellung, geht das Konto für sechs Monate in eine Ruhephase; danach endet der Vertrag, und es gelten die folgenden Fristen. Abschnitt 11.6 der AGB bestimmt hierzu: Nach Vertragsende bleiben die exportierbaren Kundendaten für 30 Kalendertage zum Abruf verfügbar. Bei einem Anbieterwechsel beträgt die Abruffrist mindestens 30 Kalendertage nach Ende des Übergangszeitraums; bei noch nicht erfolgreich abgeschlossenem gesetzlich geschuldetem Wechsel oder Rückgabevorgang wird nicht vorzeitig abschließend gelöscht. Nach Ablauf der einschlägigen Abruffrist löschen wir die aktiven Kundendaten unverzüglich, spätestens innerhalb von sieben Kalendertagen. In den von azuza betriebenen Datenbank-Sicherungen und der Wiederherstellungsebene des Dateispeichers verbleibende Kopien laufen spätestens sieben Kalendertage nach der aktiven Löschung aus und sind bis dahin für gewöhnliche Nutzung gesperrt. Diese Sicherungsfrist ist keine allgemeine Frist für Endgeräte, externe Postfächer oder gesonderte Anbieter-Sicherheitsdaten. Für von uns beauftragte Unterauftragsverarbeiter bleiben unsere Rückgabe-/Löschpflichten bestehen; deren erforderliche Löschanweisungen sind Teil unseres Prozesses. Gesonderte zulässige Speicherzwecke und Fristen müssen in Datenschutzerklärung und AVV konkret ausgewiesen sein. Gesetzlich erforderliche eigene Aufbewahrung und ausdrücklich vereinbarte spätere Löschung bleiben ausgenommen. Über Beginn und Ablauf der Abruffrist informieren wir dich mit der Beendigungs- oder Wechselbestätigung; sieben Tage vor der vorgesehenen abschließenden Löschung erinnern wir dich nochmals. Unabhängig von diesen Fristen veranlassen wir mit Beginn der Ruhephase sowie mit Wirksamwerden einer Kündigung, eines Widerrufs oder einer sonstigen Beendigung unverzüglich die Löschung der zu deinem Konto bei der finAPI GmbH gespeicherten Daten; trennst du eine einzelne Bankverbindung, wird diese bei finAPI sofort gelöscht; die bereits in azuza übernommenen Kontodaten unterliegen den vorstehenden Fristen.

8.2 Verlangt der hierzu berechtigte Kunde nach ausreichender Information ausdrücklich Löschung ohne weitere Rückgabe oder Abrufphase, gelten die Fristen aus Abschnitt 11.7 der AGB. Löschungen werden bei einer Wiederherstellung von Sicherungen erneut angewendet. Ausgenommen sind die Nachweise zum Vertrag nach 8.5 und das, was die Rückkehrregel nach Abschnitt 10.4 der AGB benötigt: Wir bewahren nach Vertragsende für zwölf Monate die Summe des maßgeblichen Umsatzes je Kalenderjahr und das zuletzt geltende Paket auf, sofern ein kostenpflichtiges Abonnement bestand, zugeordnet zu deinem Kundenkonto. Rechnungen, Namen deiner Kunden oder sonstige Inhalte gehören nicht dazu. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit unserem berechtigten Interesse, die im Nutzungsvertrag vorgesehene Einstufung bei einer Rückkehr anwenden zu können. Du kannst dieser Aufbewahrung jederzeit widersprechen, etwa durch Antwort auf die E-Mail zum Vertragsende; dann löschen wir die Angaben, und bei einer Rückkehr beginnst du im Starter-Paket. Löschst du dein Konto selbst in der App, löschen wir diese Angaben ebenfalls. Nach Ablauf der zwölf Monate werden sie gelöscht. Außerdem speichern wir bei Beginn der Löschung eines Kontos einen Prüfwert der Steuernummer und der USt-IdNr. des Inhabers, soweit diese vorliegen. Er wird mit einem geheimen Schlüssel kryptografisch gebildet (HMAC); die Nummern lassen sich aus ihm nicht zurückrechnen, er ist aber pseudonym und nicht anonym. Zweck ist, ein zurückkehrendes Unternehmen zu erkennen, damit die kostenfreie Phase nach Abschnitt 3.2 der AGB nur einmal gewährt und die Rückkehrregel angewendet werden kann. Grundlage ist Art. 6 Abs. 1 Buchst. f DSGVO mit diesem berechtigten Interesse. Den Prüfwert löschen wir spätestens zwölf Monate nach Beginn der Löschung. Du kannst dieser Verarbeitung nach Art. 21 DSGVO widersprechen; wir prüfen den Widerspruch im Einzelfall. Anbieterwechsel und Betroffenenrechte werden nicht durch eine pauschale Kontosperre vereitelt.

8.3 Der Rückgabe- und Löschprozess ist über App, Dienste, Speicher, Erinnerungen, Sicherungen und Unterauftragsverarbeiter umgesetzt; die vorgenannten Fristen werden technisch durchgesetzt.

8.4 Während eines bestehenden Kontos gelten folgende Fristen. Lokale Aufnahmedateien auf dem Endgerät werden gelöscht, sobald sie übertragen sind. Gesprächsverläufe, Erinnerungen und deren Suchvektoren bleiben für die Dauer des Vertrags gespeichert, weil azuza auf frühere Vorgänge zurückgreifen können muss, um seine Funktion zu erfüllen; sie werden mit Vertragsende nach den Fristen in 8.1 gelöscht. Eine Löschfunktion für einzelne Gespräche gibt es in der App nicht; auf Anweisung des Kunden an service@azuza.ai löschen wir einzelne Gesprächsverläufe unverzüglich. Berichte und Aufgabeneinträge aus der Qualitätsprüfung nach 5.12 werden nach 90 Tagen gelöscht oder von Kundeninhalten bereinigt. Diagnose- und Protokolldaten werden nach 30 Tagen gelöscht. Beim Trennen eines Postfachs werden die gespeicherten Zugangsdaten einschließlich verschlüsselt gespeicherter Passwörter gelöscht; wer erneut verbindet, gibt sein Passwort neu ein. Eine geschäftliche E-Mail-Adresse nach 5.7a löschen wir mit ihrem Postfach bei mailbox sieben Kalendertage, nachdem der Kunde stattdessen ein eigenes Postfach gewählt hat, sowie sieben Kalendertage nach Ende der kostenfreien Phase, wenn kein Abonnement bestellt wurde; das gilt auch während der Ruhephase nach 8.1. Wird das Konto gelöscht, löschen wir das Postfach bei mailbox, bevor die übrigen Daten gelöscht werden. Verbleibende Kopien in den Sicherungen von mailbox laufen nach den mit mailbox vereinbarten Fristen aus. Ein Exportpaket steht sieben Kalendertage ab Versand der E-Mail mit dem Download-Link bereit. Nach Ablauf des Links löschen wir die aktive Exportdatei; für verbleibende Sicherungskopien gilt 8.1. Die Nachweise über Downloads werden mit dem Konto gelöscht.

8.5 Supportanfragen, Kontaktanfragen und Anfragen über das Formular „Kunde werden“ löschen wir zwölf Monate nach Abschluss der Anfrage; so können wir wiederkehrende Anliegen nachvollziehen. Nachrichten, die den Vertrag selbst betreffen, etwa eine Kündigung, bewahren wir als Geschäftsbriefe nach § 257 HGB sechs Jahre auf und sperren sie für andere Zwecke. Protokolle der Website werden nach 30 Tagen gelöscht. Als Vertragsnachweise bewahren wir die erforderlichen Angaben zu AGB- und Preisentscheidungen, Bestellung, Kündigung und deren Rücknahme, Mahnung und Sperre, Vertragsende sowie Beginn und Bestätigung der Löschung auf. Zweck ist, die Vertragsabwicklung nachzuweisen und Rechtsansprüche geltend zu machen oder abzuwehren. Gesetzlich vorgeschriebene Aufbewahrung beruht auf Art. 6 Abs. 1 Buchst. c DSGVO, zusätzlich erforderliche Beweissicherung auf Buchst. f mit diesem berechtigten Interesse. Handelsbriefe bewahren wir sechs Jahre ab Ende des Kalenderjahres ihres Empfangs oder Versands auf, die übrigen Vertragsnachweise sechs Jahre ab Ende des Kalenderjahres, in dem der Vertrag endet. Alle übrigen Einträge des Ereignisprotokolls nach 5.5 werden mit dem Konto gelöscht.

8.6 Für eigene Handels- und Steuerunterlagen von azuza gelten je nach Unterlagenart insbesondere zehn, acht oder sechs Jahre nach § 147 AO beziehungsweise § 257 HGB, mit dem dort geregelten Fristbeginn und möglichen Verlängerungen. Buchungsbelege sind regelmäßig acht Jahre aufzubewahren. Die Aufbewahrungspflicht des Kunden für seine Unterlagen wird dadurch nicht zu einer unbegrenzten Speicherpflicht von azuza.

8.7 Von der Kundendatenlöschung in azuza zu unterscheiden sind die Fristen der Anbieter: Microsoft speichert zur Missbrauchsüberwachung nach eigener Angabe auffällige Ein- und Ausgaben bis zu 30 Tage. Anthropic löscht Kundendaten nach seinem Data Processing Addendum innerhalb von 30 Tagen nach Vertragsende. finAPI speichert als eigenständig Verantwortlicher nach eigenen Bedingungen; mit Beginn der Ruhephase und mit Wirksamwerden einer Beendigung veranlassen wir dort unverzüglich die Löschung. Stripe bewahrt eigene Transaktionsdaten nach seinen gesetzlichen Pflichten auf (7.3).

8.8 Konto löschen. Du kannst dein azuza-Konto mit den zugehörigen Daten jederzeit löschen lassen, auch ohne die App. In der App öffnet der Inhaber „Meine Daten“ und tippt unten auf „Konto löschen“. Ohne App schreibst du an service@azuza.ai, mit der E-Mail-Adresse deines Kontos und der Bitte um Löschung; wir prüfen deine Berechtigung und führen die Löschung aus. Ein laufendes Abonnement endet mit der Löschung sofort; den bereits bezahlten Rest des laufenden Monats erstatten wir anteilig. Die Daten löschen wir spätestens innerhalb von sieben Kalendertagen; Sicherungskopien laufen sieben Kalendertage danach aus. Was wir darüber hinaus aufbewahren, beschreiben 8.2, 8.5 und 8.6.

9.1 Ohne die für Registrierung, Vertrag und Abrechnung erforderlichen Angaben können wir den betreffenden Dienst nicht bereitstellen. Ohne freigegebenen Postfach- oder Bankzugang ist die jeweilige optionale Anbindung nicht nutzbar. Du musst keine beliebigen weiteren Inhalte bereitstellen. Der Kunde entscheidet im Rahmen seiner Befugnisse über Datenarten und Nutzerzugriffe.

9.2 Finanzdaten sind nicht allein deshalb besondere Datenkategorien nach Art. 9 DSGVO; ebenso dient eine Sprachaufnahme nicht automatisch der biometrischen Identifizierung. Belege und E-Mails können dennoch Gesundheitsdaten oder andere besonders geschützte Inhalte enthalten. Solche Daten dürfen nicht ohne erforderliche Rechtsgrundlage und abgestimmte Schutzmaßnahmen bereitgestellt werden. Eine allgemeine Einwilligung in diese Erklärung erlaubt keine beliebige Verarbeitung solcher Inhalte.

9.3 Die KI-Transparenzerklärung erläutert insbesondere in ihren Abschnitten 2 bis 6 Datenverarbeitung, menschliche Kontrolle und Kennzeichnung. Die AGB, insbesondere Abschnitte 6, 11 und 12, regeln die vertragliche Prüfpflicht, Datenherausgabe und das Erfordernis eines Auftragsverarbeitungsvertrags. Keine dieser Erklärungen ersetzt die jeweils andere Rechtsgrundlage.

10.1 Diese Erklärung hat den Stand 21. Oktober 2026. Bei Änderungen von Funktionen, Empfängern oder Zwecken werden die Informationen aktualisiert. Über neue Zwecke informieren wir vor deren Aufnahme; soweit eine neue Einwilligung oder Vereinbarung erforderlich ist, wird sie gesondert eingeholt. Eine Textänderung begründet für sich kein neues Nutzungsrecht an Kundendaten.

10.2 Die öffentliche Datenschutzerklärung ist unter https://www.azuza.ai/datenschutz/ erreichbar, die KI-Transparenzerklärung unter https://www.azuza.ai/ki-transparenz/. Die zum Vertrag gehörende AGB-Fassung wird bei Vertragsschluss speicherbar bereitgestellt. Fragen kannst du an service@azuza.ai richten.