Datenschutzerklärung — SerahrChat

Version 1.1 — gültig ab 16.04.2026 (material change: Art. 50 KI-VO, Sub-Processor-Transparenz, DPF)

1. Verantwortlicher

Thorsten Ahrens
Serahr — serahr.de
E-Mail: contact@serahr.de

Diese Datenschutzerklärung bezieht sich auf die Produktseite unter serahr.de/chat und das Software-Produkt SerahrChat.

2. Überblick: Wo werden welche Daten gespeichert?

SerahrChat ist eine Self-Hosted-Lösung. Die meisten Daten verbleiben auf dem Server des Kunden.

2a. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung: Double-Opt-In bei Trial-Anmeldung, optionale Marketing-/Produkt-News.
• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung und vorvertragliche Maßnahmen: Lizenzerwerb, Lizenzvalidierung, Update-/Lizenzserver-Kommunikation, Stripe-Abrechnung, Trial-Onboarding-E-Mails.
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung: Steuerrechtliche Aufbewahrung von Rechnungsdaten (§ 147 AO, 10 Jahre), Weitergabe an Strafverfolgungsbehörden gemäß Verordnung (EU) 2023/1543, Nachweispflicht für erteilte Einwilligungen (Art. 7 Abs. 1 DSGVO + § 7 Abs. 2 Nr. 2 UWG).
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse: Server-Logs, Missbrauchsprävention (Rate-Limiting), Sicherheits-Audit-Log. Interessenabwägung: Die Verarbeitung ist auf das technisch Notwendige beschränkt, dient nicht der Profilbildung und IP-Adressen im Audit-Log werden anonymisiert (letztes Oktett = 0); die berechtigten Interessen überwiegen daher.

3. Datenverarbeitung im Detail

3.1 Website-Besuch (serahr.de/chat)

Beim Besuch dieser Website werden durch den Webserver automatisch erhoben:

• IP-Adresse (in Server-Logs, automatische Rotation)
• Browsertyp, Betriebssystem, Referrer-URL
• Datum und Uhrzeit des Zugriffs

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung der Website). Es werden keine Tracking-Cookies oder Third-Party-Tracker eingesetzt.

3.2 Lizenzerwerb und Zahlung

Beim Kauf einer Lizenz werden verarbeitet:

• E-Mail-Adresse: Für Lizenzzustellung, Rechnungen und Support-Kommunikation. Gespeichert auf dem Lizenzserver (Supabase, EU-Region).
• Zahlungsdaten: Ausschließlich über Stripe verarbeitet (PCI-DSS-zertifiziert). Wir speichern keine Kreditkarten- oder Kontodaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

3.3 Lizenzvalidierung (Phone-Home)

Die SerahrChat-Installation auf dem Kundenserver kontaktiert regelmäßig den Lizenzserver zur Validierung:

• Übermittelte Daten: Instance-ID, Lizenzschlüssel
• Häufigkeit: Maximal einmal pro 7 Tage (lokaler Cache)
• Bei Nichterreichbarkeit: Grace Period — der Chatbot funktioniert weiter

Trial-Registrierung: Nach Abschluss des Setup-Wizards übermittelt die Installation einmalig Instance-ID, E-Mail-Adresse und gewählte Sprache an den Lizenzserver. Während der Testphase signalisiert die Installation alle 12 Stunden, dass der Server noch aktiv ist (nur Instance-ID, keine Nutzungsdaten).

Es werden keine Nutzungsdaten, Dokumenteninhalte oder Chat-Verläufe übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen).

3.4 Update-Prüfung

Die Installation prüft automatisch auf neue Versionen über update.serahr.de. Dabei wird ausschließlich die aktuelle Versionsnummer abgeglichen. Es werden keine personenbezogenen Daten übermittelt.

3.5 Chat-Anfragen, Embedding und LLM-Anbieter

Dies ist der wichtigste Punkt für die Datenschutzbewertung:

a) Dokumenten-Embedding (beim Upload):

Wenn der Kunde Dokumente hochlädt, werden diese in Vektoren umgewandelt (Embedding), um eine semantische Suche zu ermöglichen. Der Embedding-Anbieter wird vom Kunden selbst gewählt:

• Externer Anbieter (z.B. OpenAI, OpenRouter): Dokumenteninhalte werden an den gewählten Anbieter übermittelt, um Embedding-Vektoren zu erzeugen. Die resultierenden Vektoren werden lokal auf dem Kundenserver gespeichert (LanceDB).
• Lokale Modelle: Keine externen Datenübertragungen — vollständig lokal auf dem Kundenserver.

b) Chat-Anfragen (bei Nutzung):

Wenn ein Website-Besucher eine Frage im Chatbot stellt, geschieht Folgendes:

1. Die Frage wird auf dem Kundenserver verarbeitet
2. Relevante Textpassagen aus den hochgeladenen Dokumenten werden per semantischer Suche ermittelt (lokal, LanceDB)
3. Frage + relevante Textpassagen werden an den konfigurierten LLM-Anbieter gesendet, um eine Antwort zu generieren
4. Die Antwort wird an den Besucher zurückgegeben

Sowohl der LLM-Anbieter als auch der Embedding-Anbieter werden vom Kunden selbst gewählt und konfiguriert (eigener API-Key). Mögliche Anbieter:

• OpenRouter: Vermittlerdienst, leitet Anfragen an verschiedene LLMs weiter (OpenAI, Anthropic, Mistral u.a.). Sitz: USA.
• Direkte Anbieter-APIs: OpenAI (USA), Mistral (Frankreich/EU), Anthropic (USA) u.a.
• Lokale Modelle (Ollama, LMStudio): Keine externen Datenübertragungen — vollständig lokal auf dem Kundenserver.

Hinweis zur DSGVO-Konformität: Die gespeicherten Daten (Dokumente, Chat-Verläufe, Analytics, Embedding-Vektoren) verbleiben vollständig auf dem Kundenserver. Bei externer LLM- oder Embedding-Nutzung werden Daten jedoch an Dritte übermittelt. Für vollständige DSGVO-Konformität empfehlen wir lokale Modelle oder EU-basierte Anbieter. Die Auswahl und Verantwortung liegt beim Kunden.

3.6 E-Mail-Versand

E-Mails werden ausschließlich für folgende Zwecke versendet:

• Lizenzzustellung nach Kauf
• Passwort-Reset-Codes
• E-Mail-Verifizierungscodes
• Onboarding-E-Mails während der kostenlosen Testphase

Der Versand erfolgt über den Dienst Resend. Die Onboarding-E-Mails werden ausschließlich während der 7-tägigen Testphase versendet und enden automatisch bei Kauf einer Lizenz oder wenn der Server nicht mehr erreichbar ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

4. Datenspeicherung auf dem Kundenserver

Die folgenden Daten werden ausschließlich auf dem Server des Kunden gespeichert und sind für den Anbieter nicht zugänglich:

• Dokumente: Hochgeladene PDFs, Word-Dateien, Textdateien — verschlüsselt gespeichert (Fernet/AES)
• Vektor-Datenbank: Embedding-Vektoren der Dokumente (LanceDB)
• Chat-Verläufe: Fragen und Antworten, anonymisiert gespeichert, automatische Löschung nach 90 Tagen
• Analytics: Aggregierte Tagesstatistiken (Anzahl Fragen, Uhrzeiten), 90-Tage-Rotation
• Audit-Log: Sicherheitsrelevante Ereignisse, IP-Adressen anonymisiert (letztes Oktett = 0), 90-Tage-Rotation
• Admin-Datenbank: Konfiguration, Passwort-Hash (Argon2), Recovery-Codes (HMAC-SHA256)

5. Aufbewahrungsfristen

Anonymisierungs-Hinweis: Bei Ausübung des Löschrechts (Art. 17 DSGVO) werden personenbezogene Daten unverzüglich gelöscht. Wo gesetzliche Aufbewahrungspflichten bestehen (insbesondere § 147 AO für Steuerunterlagen), bleiben ausschließlich die rechtlich erforderlichen Metadaten (Betrag, Datum) erhalten — alle direkten Identifikationsmerkmale werden anonymisiert. Sie erhalten eine Bestätigungs-E-Mail über die erfolgte Löschung gemäß Art. 12 Abs. 3 DSGVO.

6. Weitergabe an Strafverfolgungsbehörden

Wir können gesetzlich verpflichtet sein, gespeicherte Daten auf Grundlage einer Europäischen Herausgabeanordnung oder Sicherungsanordnung gemäß Verordnung (EU) 2023/1543 an Strafverfolgungsbehörden weiterzugeben. Eine solche Weitergabe erfolgt ausschließlich auf Grundlage einer rechtmäßigen Anordnung und im gesetzlich vorgeschriebenen Umfang. Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung).

7. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte:

• Auskunft (Art. 15) — Welche Daten über Sie gespeichert sind
• Berichtigung (Art. 16) — Korrektur unrichtiger Daten
• Löschung (Art. 17) — Löschung Ihrer Daten ("Recht auf Vergessenwerden")
• Einschränkung (Art. 18) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20) — Herausgabe Ihrer Daten in maschinenlesbarem Format
• Widerspruch (Art. 21) — Widerspruch gegen die Verarbeitung

Anfragen richten Sie bitte an contact@serahr.de. Für auf Ihrem eigenen Server gespeicherte Daten (Dokumente, Chat-Verläufe) können Sie jederzeit über das Admin-Panel einen Export durchführen oder Daten löschen — der Anbieter hat auf diese Daten keinen Zugriff.

8. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Für Serahr ist die zuständige Aufsichtsbehörde die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestr. 2-4, 40213 Düsseldorf.

9. Cookies und Tracking

Diese Website verwendet keine Tracking-Cookies, keine Third-Party-Tracker und kein Analytics-Tool.

SerahrChat-Widget (auf Kundenwebsites): Das Chat-Widget speichert keine Cookies. Die Session-Verwaltung erfolgt über ein JWT-Token im localStorage des Browsers. localStorage-Daten werden nur lokal im Browser des Nutzers gespeichert und nicht an Dritte übermittelt. Eine Einwilligung ist hierfür nicht erforderlich, da die Speicherung technisch notwendig für die Funktionserbringung ist (§ 25 Abs. 2 Nr. 2 TDDDG — TDDDG hat das TTDSG zum 14.05.2024 abgelöst).

10. Auftragsverarbeiter und Unterauftragsverarbeiter

DPF = EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023). Für die US-amerikanischen Dienstleister sind zusätzlich zum DPF Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart, um den Schutz auch unabhängig vom DPF-Status sicherzustellen.

Hinweis zu LLM- und Embedding-Anbietern (Kunden-Installationen): In der vom Kunden selbst betriebenen Installation werden LLM- und Embedding-Anbieter (OpenRouter, OpenAI, Mistral, Anthropic etc.) nicht von uns beauftragt, sondern vom Kunden selbst gewählt und konfiguriert (eigener API-Key). Der Kunde ist insoweit Verantwortlicher im Sinne der DSGVO und für die datenschutzrechtliche Bewertung seiner gewählten Anbieter selbst verantwortlich.

Demo-Chat-Widget auf serahr.de/chat: Für das auf der Serahr-Website bereitgestellte Demo-Widget sind Anthropic PBC (USA/DPF) via OpenRouter Inc. (USA/DPF) als Sub-Processors aktiv. Diese Angaben betreffen ausschließlich unsere eigene Demo-Instanz; in der Kunden-Instanz bleibt der Kunde selbst verantwortlich für die Auswahl.

Auftragsverarbeitungsverträge (AVV): Mit allen oben aufgeführten Auftragsverarbeitern bestehen Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO. Diese verpflichten die Anbieter zur Verarbeitung personenbezogener Daten ausschließlich nach unseren dokumentierten Weisungen sowie zur Einhaltung angemessener technischer und organisatorischer Maßnahmen.

10a. KI-Transparenz (Art. 50 KI-VO)

Gemäß Art. 50 Abs. 2 KI-VO (VO (EU) 2024/1689, Transparenzpflichten gültig ab 02.08.2026) weisen wir darauf hin: Die vom Chatbot generierten Antworten sind KI-generierte Inhalte. Für das Demo-Widget auf serahr.de/chat kommt ein Modell von Anthropic PBC (Claude, via OpenRouter) zum Einsatz. In Kunden-Installationen bestimmt der Kunde das Modell selbst.

Die KI-Ausgaben werden maschinenlesbar gekennzeichnet (Attribut data-ai-generated="true" in den Widget-Antworten) und dauerhaft über einen sichtbaren Badge im Chat-Widget als KI-generiert ausgewiesen. Diese Kennzeichnung darf vom Kunden weder entfernt noch deaktiviert werden (vgl. AGB § 2).

Es findet keine automatisierte Entscheidungsfindung im Sinne des Art. 22 DSGVO statt. Die KI-Antworten haben reinen Orientierungscharakter und treffen keine Entscheidungen über Rechte oder Pflichten des Nutzers. Eine unabhängige Prüfung der Antworten durch den Kunden bzw. den Endnutzer bleibt erforderlich.

11. Änderungen

Diese Datenschutzerklärung kann bei Bedarf aktualisiert werden. Die aktuelle Version mit Datum finden Sie stets auf dieser Seite.