Datenschutzerklärung

Stand: Juli 2026 (Version 2)

1. Verantwortlicher

omniratio in Gründung UG (haftungsbeschränkt)
Erlenweg 12
26209 Hatten
Handelsregister: Amtsgericht Oldenburg, HRB 221015
Vertreten durch: Jorge Marx Gómez (Geschäftsführer)
E-Mail: info@omniratio.de

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht zur Benennung besteht. Als Anlaufstelle für den Datenschutz ist benannt: Dr. Keyvan Narimani (info@omniratio.de).

2. Rollenverteilung (Verantwortlicher / Auftragsverarbeiter)

omniratio nimmt je nach Verarbeitungsvorgang zwei unterschiedliche Rollen ein:

• Verantwortlicher: Für die Daten, die beim Besuch der Website kyros.omniratio.de sowie bei Registrierung, Workspace- und Kontoverwaltung und Abrechnung anfallen (z. B. Stammdaten, Kontodaten, Audit-Log-Daten, Nutzungsdaten der Plattform), ist omniratio Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
• Auftragsverarbeiter: Soweit Kunden über Kyros KI-Assistenten betreiben – als Website-Widget, in eigenen Anwendungen, per API oder als Video-Avatar – verarbeiten wir die dabei anfallenden Inhalte ausschließlich im Auftrag und nach Weisung des Kunden (Art. 28 DSGVO). Dies betrifft insbesondere die Inhalte der Wissensdatenbank (einschließlich darin enthaltener personenbezogener Daten, z. B. Beschäftigtendaten des Kunden mit Name und dienstlicher Rufnummer/Zuständigkeit), die Eingaben und Ausgaben der Assistenten (Chat-Inhalte), über interaktive Cards erfasste Formulareingaben von Endnutzern sowie die beim Betrieb des Widgets anfallenden Nutzungs-/Verkehrsdaten. Verantwortlicher ist insoweit der Kunde. Grundlage ist der mit dem Kunden geschlossene Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO, der auf Anfrage zur Verfügung gestellt wird.

Hinweis für Endnutzerinnen und Endnutzer: Wenn Sie einen Kyros-Assistenten auf der Website eines Kunden nutzen (z. B. den Bürger-Chatbot einer Kommune), ist datenschutzrechtlich Verantwortlicher der jeweilige Kunde. Maßgeblich sind insoweit auch dessen Datenschutzhinweise. Jedes Chat-Widget enthält zusätzlich ein Datenschutzpanel, das über die verarbeiteten Daten, die Rechtsgrundlage, die Aufbewahrung und die Auftragsverarbeitung informiert.

3. Bereitstellung des Dienstes

Kyros ist eine KI-Assistenten-Plattform. Der Dienst umfasst:

• den Aufbau und Betrieb einer Wissensdatenbank je Assistent – durch Crawling von Websites und Dokumenten (u. a. PDF-, Word- und Excel-Dateien) des Kunden, durch vom Kunden hinterlegte Frage-Antwort-Paare (»Golden Answers«) sowie die Erzeugung von Embeddings und Speicherung in einer Vektordatenbank;
• die abrufgestützte Antwortgenerierung (Retrieval-Augmented Generation, RAG) unter Einsatz von Large Language Models über einen Multi-Provider-Modell-Router mit automatischem Fallback; Antworten zitieren ihre Quellen;
• die Bereitstellung der Assistenten als einbettbares Chat-Widget, zur Integration in eigene Anwendungen des Kunden, über eine API sowie optional als Video-Avatar mit Sprachausgabe;
• interaktive Cards (z. B. Formulare und Aktionen im Chat), über die Endnutzer Eingaben tätigen können;
• die Speicherung von Eingaben und Ausgaben (Chatlogs) zum Zweck der Qualitätskontrolle durch den Kunden;
• Workspace-Funktionen für Kunden: Registrierung und Authentifizierung, Mitglieder- und Rollenverwaltung, Audit-Log, Abrechnung über ein Credit-System.

Die Website kyros.omniratio.de dient der Darstellung des Angebots, der Dokumentation, der Registrierung, der Konto- und Workspace-Verwaltung sowie der Abrechnung. Die nachfolgenden Angaben unterscheiden, wo erforderlich, zwischen der Verarbeitung im Rahmen der Website/Plattform und der Verarbeitung im Rahmen des Assistenten-Betriebs im Kundenauftrag.

4. Zweck und Rechtsgrundlagen der Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung und Nutzung unseres Dienstes sowie zur Erfüllung vertraglicher und gesetzlicher Pflichten erforderlich ist.

Wir erheben und verarbeiten folgende Kategorien personenbezogener Daten:

• Stammdaten: Name, E-Mail-Adresse
• Konto- und Vertragsdaten: Nutzer-ID, Workspace-Zugehörigkeit, Rollen und Berechtigungen, Authentifizierungsdaten, Abrechnungs- und Nutzungsdaten (Credit-Verbrauch)
• Audit-Log-Daten: Protokollierung relevanter Workspace-Aktionen (Akteur, Zeitstempel, Art der Änderung) zur Nachvollziehbarkeit und Sicherheit
• Wissensdatenbank-Inhalte (Kunden-Input): Vom Kunden eingebrachte Inhalte, die personenbezogene Daten enthalten können – z. B. Beschäftigtendaten des Kunden (Vor- und Nachname, dienstliche Rufnummer/Funktion zur Zuständigkeitsauskunft)
• Chat-Inhalte: Eingaben und Ausgaben der Assistenten (Prompts/Outputs), gespeichert zur Qualitätskontrolle
• Formulareingaben über interaktive Cards: Von Endnutzern aktiv eingegebene Daten (z. B. Kontaktdaten in Lead-Formularen), sofern der Kunde solche Cards einsetzt
• Nutzungs-/Verkehrsdaten des Widgets: Beim Betrieb anfallende technische Daten (z. B. IP-Adresse, Session-/Geräteinformationen, Zeitstempel)

Wissensdatenbank-Inhalte, Chat-Inhalte, Card-Eingaben und Widget-Verkehrsdaten verarbeiten wir ausschließlich als Auftragsverarbeiter im Auftrag des Kunden (siehe Abschnitt 2).

Datenminimierung im Chat: Die Eingabe personenbezogener Daten in das Chat-Feld ist – außerhalb dafür vorgesehener interaktiver Cards – nicht vorgesehen; Endnutzer werden hierauf hingewiesen. Eine vorgeschaltete Inhaltsprüfung (siehe Abschnitt 6) hält Nachrichten mit identifizierenden personenbezogenen Daten zurück, bevor sie das Sprachmodell erreichen oder gespeichert werden. Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht vorgesehen und wird durch diese Filter verhindert.

Zwecke der Datenverarbeitung:

• Bereitstellung und Betrieb der KI-Assistenten einschließlich Wissensdatenbank und Antwortgenerierung
• Registrierung, Nutzer- und Workspace-Verwaltung, Authentifizierung und Abrechnung
• Qualitätskontrolle des Dienstes (Chatlogs, vom Kunden konfigurierbar)
• Gewährleistung der Sicherheit und Missbrauchsvermeidung (u. a. Inhaltsmoderation, Schutz gegen Prompt-Injection und Data-Poisoning, Audit-Log, Domain-Freigabe, signierte Einbettungscodes)
• Erstellung aggregierter, vollständig anonymisierter Nutzungs- und Leistungsstatistiken ausschließlich zur Erbringung, Absicherung und Verbesserung der Betriebsleistung des Dienstes

Rechtsgrundlagen:

• Für Konto-, Vertrags-, Workspace- und Abrechnungsdaten: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Für Sicherheitsmaßnahmen, Audit-Log und anonymisierte Betriebsstatistiken: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, nachvollziehbaren und stabilen Betrieb).
• Soweit wir Inhalte im Auftrag des Kunden verarbeiten, erfolgt dies auf Grundlage des Auftragsverarbeitungsvertrags (Art. 28 DSGVO); die Rechtsgrundlage der Verarbeitung gegenüber den betroffenen Personen bestimmt der Kunde als Verantwortlicher.

Kein Training von KI-Modellen: Wir verwenden die im Auftrag unserer Kunden verarbeiteten Daten – einschließlich der Inhalte der Wissensdatenbank sowie der Eingaben und Ausgaben der Assistenten – nicht zum Training, zur Feinabstimmung (Fine-Tuning) oder zur sonstigen Verbesserung eigener oder fremder KI- oder Sprachmodelle. Eine solche Nutzung ist auch unseren Unterauftragsverarbeitern vertraglich untersagt.

5. Empfänger / Unterauftragsverarbeiter

Zur Erbringung unserer Dienstleistung setzen wir die folgenden Auftragsverarbeiter ein. Mit sämtlichen Anbietern sind Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO abgeschlossen. Die Verarbeitung der Inhaltsdaten erfolgt ausschließlich in der EU/im EWR.

5.1 Strato AG (Hosting Anwendung und Vektordatenbank)

Anbieter: Strato AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland
Leistung: Hosting der Anwendung und der Vektordatenbank (Wissensdatenbank)
Verarbeitungsort: Deutschland (Frankfurt am Main)
Drittlandtransfer: entfällt (EU/EWR)

5.2 Hetzner Online GmbH (Backups)

Anbieter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland
Leistung: Speicherung von Datensicherungen
Verarbeitungsort: Deutschland (Frankfurt am Main)
Drittlandtransfer: entfällt (EU/EWR)

5.3 Microsoft Ireland Operations Ltd. (LLM-Inferenz und Embeddings)

Anbieter: Microsoft Ireland Operations Ltd., One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland
Leistung: LLM-Inferenz über Microsoft Azure sowie Erzeugung von Embeddings (Cohere)
Verarbeitungsort: EU/EWR (EU Data Zone / EU Data Boundary)
Garantien: Microsoft Products & Services DPA; ergänzend EU-Standardvertragsklauseln (SCCs), EU-U.S. Data Privacy Framework (DPF) sowie Transfer Impact Assessment (TIA) für etwaige konzerninterne Zugriffe

Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet.

5.4 Mistral AI (LLM-Inferenz und Inhaltsmoderation)

Anbieter: Mistral AI, 15 Rue des Halles, 75001 Paris, Frankreich
Leistung: LLM-Inferenz sowie kalibrierte Klassifikation im Rahmen der Inhaltsmoderation (siehe Abschnitt 6)
Verarbeitungsort: EU/EWR (EU Data Zone)
Drittlandtransfer: entfällt (EU/EWR)

5.5 Vercel Inc. (Frontend-Hosting)

Anbieter: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA
Leistung: Hosting und Auslieferung des Frontends (Website und Chat-Widget)
Verarbeitungsort: EU-Funktionsregion (Frankfurt am Main)
Garantien: Auftragsverarbeitungsvertrag (vercel.com/legal/dpa) mit EU-Standardvertragsklauseln und UK-Addendum; EU-U.S. Data Privacy Framework (DPF); Transfer Impact Assessment (TIA)

5.6 Google Ireland Ltd. / Firebase (Infrastruktur und Authentifizierung)

Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland
Leistung: Infrastrukturdienste und Authentifizierung der Plattform-Nutzerkonten (Registrierung, Login, Session-Verwaltung)
Verarbeitete Daten: Name, E-Mail-Adresse, Authentifizierungsdaten, Login-Zeitpunkte
Garantien: Google Cloud Data Processing Addendum (Art. 28 DSGVO); für etwaige Drittlandtransfers EU-Standardvertragsklauseln und EU-U.S. Data Privacy Framework (DPF)

Modellauswahl: Kyros stellt Sprachmodelle mehrerer Anbieter über einen Modell-Router bereit. Welche Modellanbieter für einen Assistenten zum Einsatz kommen, bestimmt der Kunde durch seine Konfiguration; die Verarbeitung erfolgt stets in EU-Verarbeitungsregionen der jeweils in dieser Erklärung bzw. im AVV genannten Anbieter.

Eine sonstige Weitergabe personenbezogener Daten an Dritte erfolgt nicht, es sei denn, dies ist gesetzlich vorgeschrieben. Die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern erfolgt gegenüber unseren Kunden nach dem im AVV vereinbarten Informations- und Widerspruchsverfahren (Ankündigung in Textform mit 14-tägiger Widerspruchsfrist).

6. Inhaltsmoderation und technische Filter

Zum Schutz der Endnutzerinnen und Endnutzer sowie zur Umsetzung der Datenminimierung durchläuft jede eingehende Chat-Nachricht – sofern die Moderation für den jeweiligen Assistenten aktiviert ist (Standard) – vor der Verarbeitung eine automatisierte Inhaltsprüfung. Die Prüfung erfolgt, bevor die Nachricht das Sprachmodell erreicht oder gespeichert wird.

Standardmäßig aktiv sind sechs Kategorien: personenbezogene Daten (PII), sexuelle Inhalte, Hass und Diskriminierung, Gewalt und Drohungen, gefährliche und kriminelle Inhalte sowie Selbstschädigung. Zusätzlich aktivierbar sind die Kategorien Gesundheits-, Finanz- und Rechtsberatung sowie Jailbreak-Versuche. Die Klassifikation erfolgt über ein kalibriertes Urteil (Anbieter: Mistral, Verarbeitung in der EU) mit konfigurierbarem Empfindlichkeits-Schwellenwert.

• Unbedenkliche Eingaben werden unverändert weiterverarbeitet.
• Markierte Eingaben werden zurückgehalten: Der Originaltext gelangt nicht in die weitere Verarbeitung und wird nicht gespeichert. Gespeichert wird lediglich ein Hinweistext, der die ausgelösten Kategorien benennt; die Nachricht wird als »moderiert« gekennzeichnet und mit einer höflichen Absage beantwortet. Kein Speicherort enthält in diesem Fall den ursprünglichen Text.

Strukturierte Eingaben (z. B. Schaltflächen-Aktionen über interaktive Cards) und leere Texte werden nicht moderiert. Steht der Prüfdienst vorübergehend nicht zur Verfügung, wird die Eingabe im Original verarbeitet (Verfügbarkeit vor Prüfung); die nachgelagerten Lösch- und Schutzmechanismen bleiben davon unberührt.

Ergänzend verhindern System-Prompt-Guardrails die Ausgabe von Gesamtlisten personenbezogener Daten aus der Wissensdatenbank (z. B. Beschäftigtendaten) außerhalb eines konkreten Anliegens; Beschäftigtennamen werden nur zusammen mit der dienstlichen Rufnummer im Zuständigkeitskontext ausgegeben.

7. Speicherdauer

Wir löschen personenbezogene Daten nach Ablauf der folgenden Fristen automatisiert. Die Durchsetzung erfolgt über regelmäßige Löschläufe.

• Chat-Verläufe (Eingaben und Ausgaben): Inaktivitätsbasierte Aufbewahrung, konfigurierbar je Assistent durch den Kunden als Verantwortlichen: Plattform-Standard von 30 Tagen ab der letzten Aktivität, eine individuelle Inaktivitätsfrist oder der Verzicht auf Speicherung. Ein automatisierter Löschlauf erfolgt alle 24 Stunden; nach Fristablauf werden der vollständige Gesprächsverlauf und der Konversations-Datensatz endgültig und physisch gelöscht (maximale Löschlatenz: 24 Stunden). Aktive Gespräche werden nicht gelöscht.
• Nutzungs-/Verkehrsdaten und Logs (Betrieb, API, Fehler): 90 Tage.
• Audit-Log-Daten: Für die Dauer des Workspace-Bestehens.
• Konto- und Vertragsdaten (insbesondere Abrechnungsdaten): Vertragsdauer zuzüglich gesetzlicher und handelsrechtlicher Aufbewahrungsfristen (bis zu 10 Jahre).
• Wissensdatenbank und Datensicherungen: Nach Beendigung des Hauptvertrags werden alle Kundendaten nach Wahl des Kunden zurückgegeben oder vollständig gelöscht; Datensicherungen werden im Rahmen der regulären Löschzyklen gelöscht und bis dahin vertragsgemäß geschützt. Kunden können Daten je Workspace exportieren und löschen.
• Nachweisdokumentationen über die auftrags- und ordnungsgemäße Verarbeitung: 3 Jahre nach Vertragsende.

8. Rechte der betroffenen Personen

Sie haben im Rahmen der geltenden gesetzlichen Bestimmungen das Recht:

• Auskunft über Ihre gespeicherten personenbezogenen Daten zu erhalten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten zu verlangen (Art. 16 DSGVO)
• Löschung oder Einschränkung der Verarbeitung zu verlangen (Art. 17, 18 DSGVO)
• Widerspruch gegen die Verarbeitung einzulegen, sofern diese auf berechtigtem Interesse beruht (Art. 21 DSGVO)
• Datenübertragbarkeit zu verlangen (Art. 20 DSGVO)
• eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3 DSGVO)
• sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO); zuständig für omniratio: Die Landesbeauftragte für den Datenschutz Niedersachsen

Sie können Ihre Rechte einfach und unkompliziert per E-Mail an uns ausüben: info@omniratio.de. Zur technischen Unterstützung von Auskunfts- und Löschersuchen stehen Datenexport- und Löschfunktionen je Workspace zur Verfügung.

Wichtig für Endnutzerinnen und Endnutzer der Assistenten: Soweit wir personenbezogene Daten als Auftragsverarbeiter im Auftrag eines Kunden verarbeiten (insbesondere Chat-Inhalte, Card-Eingaben, Widget-Verkehrsdaten und Inhalte der Wissensdatenbank), richten Sie Betroffenenanfragen bitte an den jeweiligen Kunden (z. B. den Betreiber der Website, auf der Sie den Assistenten nutzen) als Verantwortlichen. Wir unterstützen den Kunden bei der Erfüllung dieser Anfragen gemäß Art. 28 Abs. 3 DSGVO und leiten direkt an uns gerichtete Anfragen unverzüglich an ihn weiter, ohne selbst tätig zu werden.

9. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die Assistenten erteilen Auskünfte auf Basis der vom Kunden bereitgestellten Wissensdatenbank; sie treffen keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung gegenüber den betroffenen Personen. Die automatisierte Inhaltsmoderation (Abschnitt 6) dient ausschließlich der Sicherheit und Datenminimierung und entfaltet keine rechtliche Wirkung gegenüber Nutzenden.

10. Pflicht zur Bereitstellung der Daten

Die Nutzung der Assistenten ist freiwillig und ohne Angabe personenbezogener Daten möglich; die Eingabe personenbezogener Daten im Chat ist außerhalb dafür vorgesehener Formulare ausdrücklich nicht vorgesehen. Für die Nutzung der Plattform als Kunde ist die Bereitstellung bestimmter Daten (insbesondere Account-, Vertrags- und Abrechnungsdaten) erforderlich; ohne diese Daten ist eine Nutzung des Dienstes leider nicht möglich.

11. Cookies, lokale Speicherung und Reichweitenmessung

Wir setzen keine Werbe- oder Tracking-Cookies ein und erstellen keine websiteübergreifenden Nutzerprofile. Zum Einsatz kommen ausschließlich technisch notwendige Cookies bzw. Einträge im lokalen Speicher Ihres Browsers sowie – ausschließlich nach Ihrer Einwilligung – eine cookiefreie Reichweitenmessung.

Technisch notwendige Cookies und lokale Speicherung:

• NEXT_LOCALE (Cookie): speichert die gewählte Sprachfassung (Deutsch/Englisch), damit die Website in der bevorzugten Sprache ausgeliefert wird.
• Authentifizierung (lokaler Speicher, Firebase): Sitzungs- und Anmeldeinformationen angemeldeter Nutzerinnen und Nutzer, damit die Anmeldung über Seitenaufrufe hinweg bestehen bleibt (siehe Abschnitt 5.6).
• cookie_consent (lokaler Speicher): speichert Ihre Auswahl im Cookie-Hinweis (»accepted«/»declined«), damit dieser nicht bei jedem Seitenaufruf erneut eingeblendet wird und die Reichweitenmessung nur bei erteilter Einwilligung geladen wird.
• Chat-Widget (lokaler Speicher, Schlüssel »omniratio-harness-conversation:…«): speichert die Kennung des laufenden Gesprächs, damit ein Chat nach einem Seitenwechsel oder Neuladen fortgesetzt werden kann. Über »Neuer Chat« wird der Eintrag gelöscht. Diese Verarbeitung erfolgt im Auftrag des jeweiligen Kunden (siehe Abschnitt 2).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Speicherung für Anmeldung und Vertragserfüllung erforderlich ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am technisch fehlerfreien Betrieb). Die Speicherung ist jeweils unbedingt erforderlich, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG).

Reichweitenmessung (nur mit Ihrer Einwilligung): Wenn Sie im Cookie-Hinweis zustimmen, setzen wir zur Auswertung der Nutzung unserer Website Vercel Web Analytics (Vercel Inc., siehe Abschnitt 5.5) ein. Der Dienst arbeitet cookiefrei: Er setzt keine Cookies, legt keine Kennungen auf Ihrem Endgerät ab und ermöglicht keine websiteübergreifende Wiedererkennung. Erhoben werden ausschließlich aggregierte Kennzahlen (z. B. aufgerufene Seiten, Referrer, ungefähre Region, Gerätetyp). Ohne Ihre Einwilligung wird das Skript nicht geladen; lehnen Sie ab, findet keine Reichweitenmessung statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: Über »Cookie-Einstellungen« im Seitenfuß wird Ihre Auswahl zurückgesetzt, die Reichweitenmessung sofort deaktiviert und der Cookie-Hinweis erneut angezeigt, sodass Sie neu entscheiden können.

Sie können gespeicherte Cookies und Einträge im lokalen Speicher jederzeit über die Einstellungen Ihres Browsers löschen und deren Speicherung einschränken. Bitte beachten Sie, dass Anmeldung, Spracherkennung und die Fortsetzung eines Chats dann nicht mehr zuverlässig funktionieren.