1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO):

Alexander Fitterling
Wöhrder Kreuzgasse 8
90489 Nürnberg
Deutschland
E-Mail: info@sp33c.tech

Weitere Angaben stehen im Impressum.

1. Controller

The controller within the meaning of the General Data Protection Regulation (GDPR) is:

Alexander Fitterling
Wöhrder Kreuzgasse 8
90489 Nürnberg (Nuremberg)
Germany
E-mail: info@sp33c.tech

More details are in the legal notice (Impressum).

2. Wessen Daten wir verarbeiten

• Besucherinnen und Besucher dieser Website,
• Kundinnen und Kunden mit einem Konto (Web-App und iPhone-App „Conversational Inbox“),
• Anruferinnen und Anrufer, die eine Nummer anrufen, die ein Kunde auf seinen Assistenten umgeleitet hat, oder ihr eine SMS schreiben,
• Menschen, die uns über das Support- oder das Demo-Formular schreiben.

Wir setzen keine Analyse- oder Werbe-Werkzeuge ein, erheben keine Werbe-ID, erstellen keine Werbeprofile und geben keine Daten an Datenhändler weiter.

2. Whose data we process

• visitors to this website,
• customers with an account (web app and the iPhone app “Conversational Inbox”),
• callers who call a number that a customer forwards to their assistant, or who send it a text message,
• people who write to us through the support or the demo form.

We use no analytics or advertising tools, collect no advertising identifier, build no advertising profiles and pass no data to data brokers.

3. Besuch der Website

Website und Web-App liegen bei Amazon Web Services (AWS) in der Region Frankfurt und werden über Amazon CloudFront ausgeliefert. Beim Aufruf werden technisch notwendig deine IP-Adresse, der Zeitpunkt, die aufgerufene Adresse und die Browser-Kennung (User-Agent) verarbeitet. Eine Firewall (AWS WAF) prüft jede Anfrage auf Angriffe und begrenzt die Zahl der Anfragen pro IP-Adresse.

Zweck: die Seiten ausliefern und vor Angriffen schützen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden Angebot). Protokolle unserer Server-Funktionen und Schnittstellen werden nach einem Monat gelöscht; die Firewall-Protokolle gehen in das Sicherheits-Monitoring (Abschnitt 4).

Die Seiten laden ohne deine Einwilligung keine Inhalte von Dritten (siehe Abschnitt 5 zu Google Fonts).

3. Visiting the website

The website and the web app are hosted by Amazon Web Services (AWS) in the Frankfurt region and delivered through Amazon CloudFront. When you open a page, your IP address, the time, the requested address and your browser identifier (user agent) are processed because this is technically necessary. A firewall (AWS WAF) checks every request for attacks and limits the number of requests per IP address.

Purpose: delivering the pages and protecting them against attacks. Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a secure, working service). Logs of our server functions and interfaces are deleted after one month; the firewall logs go to our security monitoring (section 4).

Without your consent the pages load no third-party content (see section 5 on Google Fonts).

4. Sicherheits-Monitoring

Sicherheits-Monitoring: Zum Schutz unserer Systeme vor Angriffen und Missbrauch werten wir Server-, Firewall- und Anwendungsprotokolle (u. a. IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung, Fehlermeldungen) in einem Sicherheits-Monitoringsystem aus. Es wird auf Servern der Hetzner Online GmbH in Deutschland betrieben. Rechtsgrundlage ist unser berechtigtes Interesse an der IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 49). Die Daten werden nach 90 Tagen gelöscht, sofern sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

4. Security monitoring

Security monitoring: To protect our systems against attacks and misuse, we analyse server, firewall and application logs (including IP address, time, requested address, browser identifier and error messages) in a security monitoring system. It runs on servers of Hetzner Online GmbH in Germany. The legal basis is our legitimate interest in IT security (Art. 6(1)(f) GDPR, Recital 49). The data is deleted after 90 days unless it is needed to investigate a security incident.

5. Cookies und Speicher im Browser

Wir setzen keine Tracking-, Analyse- oder Werbe-Cookies. Diese Website setzt selbst keine Cookies. Im Speicher deines Browsers (localStorage bzw. sessionStorage) legen wir nur diese Einträge ab:

• site.lang: deine Sprachwahl (Deutsch oder Englisch), bis du sie änderst oder den Browser-Speicher löschst.
• consent.v1: deine Auswahl im Cookie-Hinweis mit Datum; nach 12 Monaten fragen wir erneut.
• inbox.tokens: nur in der Web-App, deine Anmeldung (Tokens von Amazon Cognito), bis du dich abmeldest.
• inbox.pkce, cal.google, cal.google.result: nur in der Web-App, kurz während der Anmeldung bzw. der Verbindung mit Google Kalender; sie liegen im sessionStorage und enden spätestens, wenn du den Tab schließt.

Die Anmeldeseite von Amazon Cognito (amazoncognito.com) setzt für die Anmeldung eigene, technisch notwendige Cookies. Bei Verdacht auf automatisierte Zugriffe kann die Firewall eine Prüfung verlangen und dafür ein technisch notwendiges Cookie (aws-waf-token) setzen.

Diese Einträge sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die weitere Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.

Optional: Schrift von Google Fonts

Nur wenn du „Alle akzeptieren“ wählst, laden Website und Web-App die Schrift „Bricolage Grotesque“ von Google Fonts. Dabei erhält Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) deine IP-Adresse und Browser-Angaben; eine Übermittlung an Google LLC in den USA ist möglich (EU-US Data Privacy Framework, Art. 45 DSGVO). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Mit „Nur notwendige“ verwenden wir eine Schrift deines Geräts, und es wird nichts von Google geladen.

Du kannst deine Auswahl jederzeit über „Cookie-Einstellungen“ unten auf jeder Seite ändern und eine Einwilligung damit für die Zukunft widerrufen:

5. Cookies and browser storage

We use no tracking, analytics or advertising cookies. This website itself sets no cookies. In your browser's storage (localStorage or sessionStorage) we keep only these entries:

• site.lang: your language (German or English), until you change it or clear your browser storage.
• consent.v1: your choice in the cookie notice with its date; we ask again after 12 months.
• inbox.tokens: only in the web app, your sign-in (Amazon Cognito tokens), until you sign out.
• inbox.pkce, cal.google, cal.google.result: only in the web app, briefly while you sign in or connect Google Calendar; they are kept in sessionStorage and end at the latest when you close the tab.

The Amazon Cognito sign-in page (amazoncognito.com) sets its own, technically necessary cookies for signing in. If automated access is suspected, the firewall may ask for a check and set a technically necessary cookie (aws-waf-token) for it.

These entries are strictly necessary for the service you asked for (§ 25(2) no. 2 TDDDG, the German Telecommunications Digital Services Data Protection Act); any further processing is based on Art. 6(1)(b) or (f) GDPR.

Optional: typeface from Google Fonts

Only if you choose “Accept all” do the website and the web app load the “Bricolage Grotesque” typeface from Google Fonts. Google (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland) then receives your IP address and browser details; a transfer to Google LLC in the USA is possible (EU-US Data Privacy Framework, Art. 45 GDPR). The legal basis is your consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG). With “Necessary only” we use a font from your device and nothing is loaded from Google.

You can change your choice at any time via “Cookie settings” at the bottom of every page, which also withdraws a consent for the future:

6. Konto und Anmeldung

Für ein Konto verarbeiten wir deine E-Mail-Adresse, dein Passwort (von Amazon Cognito verwaltet, bei uns nie im Klartext), den Schlüssel für die Zwei-Faktor-Anmeldung (TOTP) und technische Anmeldedaten (Zeitpunkt, Erfolg oder Fehlschlag). Die Anmeldung läuft über Amazon Cognito bei AWS in Frankfurt.

Zweck: Konto, sichere Anmeldung, Schutz vor Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und lit. f (Sicherheit). Speicherdauer: bis zur Löschung des Kontos. E-Mail-Adresse, Passwort und Zwei-Faktor-Anmeldung sind für ein Konto erforderlich; ohne sie können wir kein Konto anlegen.

6. Account and sign-in

For an account we process your e-mail address, your password (managed by Amazon Cognito, never in clear text on our side), the key for two-factor sign-in (TOTP) and technical sign-in data (time, success or failure). Sign-in runs on Amazon Cognito at AWS in Frankfurt.

Purpose: the account, secure sign-in and protection against misuse. Legal basis: Art. 6(1)(b) GDPR (contract) and (f) (security). Retention: until the account is deleted. E-mail address, password and two-factor sign-in are required for an account; without them we cannot create one.

7. Nutzung des Dienstes durch Kundinnen und Kunden

• Einstellungen deines Assistenten: sein Name, dein Name, Begrüßung, Anweisungen, Einwilligungstext, Variablen, Stimme und Sprachen, Regeln für Termine und gespeicherte Editionen.
• Deine verknüpften Telefonnummern und die Einstellungen zur Rufumleitung; für direkte Anrufe gegebenenfalls eine Benutzernummer mit PIN, die nur als Hash gespeichert wird.
• Nutzungszähler (Gesprächsminuten, Nachrichten, verbrauchte KI-Kontingente) und dein Tarif.

Jeder Text, den du für deinen Assistenten schreibst, wird vor dem Speichern von der Schutz-KI TypeSafe AI auf Missbrauch geprüft, etwa auf Betrug oder das Ausspähen von PINs.

Zweck: den Dienst erbringen und abrechnen, Missbrauch verhindern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Prüfung deiner Texte zusätzlich lit. f (Schutz der Anrufer und der Plattform). Speicherdauer: solange dein Konto besteht; Abrechnungsdaten darüber hinaus nur, soweit gesetzliche Aufbewahrungspflichten (z. B. § 147 AO, § 257 HGB) es verlangen.

7. Using the service as a customer

• Your assistant's settings: its name, your name, greeting, instructions, consent text, variables, voice and languages, booking rules and saved editions.
• Your linked phone numbers and call forwarding settings; for direct calls, possibly a user number with a PIN that is stored only as a hash.
• Usage counters (call minutes, messages, AI usage) and your plan.

Every text you write for your assistant is checked for misuse by the safety AI TypeSafe AI before it is stored, for example for fraud or attempts to obtain PINs.

Purpose: providing and billing the service, preventing misuse. Legal basis: Art. 6(1)(b) GDPR; the check of your texts additionally (f) (protecting callers and the platform). Retention: as long as your account exists; billing data beyond that only where statutory retention obligations (e.g. § 147 AO, § 257 HGB) require it.

8. Anrufe und SMS

Ruft jemand eine Nummer an, die ein Kunde auf seinen Assistenten umgeleitet hat, oder schreibt ihr eine SMS, verarbeiten wir:

• die Rufnummer des Anrufers und die umleitende Nummer, Zeitpunkt und Dauer des Anrufs und wer aufgelegt hat,
• das Gesprochene als Text: Telnyx wandelt die Sprache in Text um; Tonaufnahmen speichern wir nicht, Gespräche werden nicht aufgezeichnet,
• SMS-Texte,
• bei einer Terminbuchung: Name, Rufnummer, Zeitpunkt, Art des Termins und eine kurze Notiz.

Ablauf: Der Assistent sagt zu Beginn, dass er eine KI ist, und fragt nach der Zustimmung zum Gespräch (Taste 1). Jede Äußerung prüft zuerst TypeSafe AI auf schädliche Inhalte und Manipulationsversuche (Prompt-Injection); nur was die Prüfung besteht, geht an das KI-Modell Claude von Anthropic, das die Antwort formuliert. Telnyx spricht die Antwort aus. Nach dem Anruf schreibt Claude eine kurze Zusammenfassung für den Posteingang des Kunden.

Stoppt die Schutz-KI einen Anrufer wegen schädlicher Inhalte oder Manipulation, erscheint das Gesagte mit den Prüfwerten im Posteingang des Kunden, markiert als „Betrugsverdacht“. Diese automatisierte Bewertung beendet höchstens das Gespräch mit dem Assistenten; wie der Kunde damit umgeht, entscheidet er selbst. [BITTE PRÜFEN: Einordnung nach Art. 22 DSGVO]

Ausgehende Anrufe (Beta, nur für freigeschaltete Konten): Lässt ein Kunde seinen Assistenten eine Nummer anrufen, etwa um einen Termin anzubieten, verarbeiten wir die angerufene Nummer und das Gespräch genauso wie oben. Der Assistent sagt zu Beginn, dass er eine KI ist.

Wird eine Weiterleitung von einer nicht registrierten Leitung abgewiesen, erhält der Betreiber der Mailbox-Nummer einen Hinweis mit beiden Nummern, damit die Fehlkonfiguration geklärt werden kann.

In unseren Protokollen stehen Rufnummern nur gekürzt und gehasht (pseudonymisiert), Gesprächsinhalte nicht.

Rollen und Rechtsgrundlage: Wofür ein Assistent eingesetzt wird, entscheidet der Kunde, auf dessen Nummer angerufen wird; wir verarbeiten die Daten der Anrufer in seinem Auftrag (Art. 28 DSGVO). [BITTE PRÜFEN: Rollenverteilung und Auftragsverarbeitungsvertrag mit Kunden] Rechtsgrundlage ist in der Regel das berechtigte Interesse des Kunden, Anrufe entgegenzunehmen (Art. 6 Abs. 1 lit. f DSGVO), bei Terminen auch die Anbahnung eines Vertrags (lit. b). Wer nicht mit einer KI sprechen möchte, legt einfach auf; ohne Zustimmung per Taste 1 geht das Gespräch nicht weiter.

8. Calls and text messages

When someone calls a number that a customer forwards to their assistant, or sends it a text message, we process:

• the caller's phone number and the forwarding number, time and duration of the call and who hung up,
• what is said, as text: Telnyx turns speech into text; we store no audio, calls are not recorded,
• text messages,
• for a booked appointment: name, phone number, time, type of appointment and a short note.

How it works: at the start the assistant says that it is an AI and asks for consent to the conversation (key 1). Every utterance is first checked by TypeSafe AI for harmful content and manipulation attempts (prompt injection); only what passes goes to Anthropic's AI model Claude, which writes the reply. Telnyx speaks the reply. After the call, Claude writes a short summary for the customer's inbox.

If the safety AI stops a caller for harmful content or manipulation, what was said appears with the check scores in the customer's inbox, marked as “suspected fraud”. This automated assessment at most ends the conversation with the assistant; the customer decides what to do with it. [BITTE PRÜFEN: Einordnung nach Art. 22 DSGVO]

Outgoing calls (beta, only for enabled accounts): if a customer has their assistant call a number, for example to offer an appointment, we process the number called and the conversation in the same way as above. The assistant says at the start that it is an AI.

If a forwarded call from an unregistered line is rejected, the operator of the mailbox number receives a notice with both numbers so that the misconfiguration can be resolved.

In our logs, phone numbers appear only shortened and hashed (pseudonymised), and conversation content does not appear at all.

Roles and legal basis: the customer whose number is called decides what their assistant is used for; we process callers' data on the customer's behalf (Art. 28 GDPR). [BITTE PRÜFEN: Rollenverteilung und Auftragsverarbeitungsvertrag mit Kunden] The legal basis is usually the customer's legitimate interest in answering calls (Art. 6(1)(f) GDPR), and for appointments also steps prior to a contract ((b)). Anyone who does not want to talk to an AI can simply hang up; without consent by pressing 1 the conversation does not continue.

9. Kalender verbinden (freiwillig)

In der Web-App kannst du einen Kalender verbinden, damit dein Assistent nur freie Zeiten anbietet und gebuchte Termine einträgt:

• Google Kalender: Anmeldung bei Google (OAuth). Wir lesen nur, wann du belegt bist, ohne Termindetails, und schreiben vom Assistenten gebuchte Termine in den gewählten Kalender. Gespeichert werden dein Google-Konto (E-Mail-Adresse), die Liste deiner Kalender und ein Zugriffs-Token.
• Apple iCloud: deine Apple-ID und ein app-spezifisches Passwort (nie dein Apple-ID-Passwort). Wir lesen nur Beginn und Ende deiner Termine und schreiben gebuchte Termine.

Zugriffs-Token und app-spezifisches Passwort werden mit einem eigenen Schlüssel (AWS KMS) verschlüsselt gespeichert und nie angezeigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du die Verbindung trennst (bei Google wird der Zugriff dabei widerrufen) oder dein Konto löschst. Für die Verarbeitung in deinem Google- bzw. Apple-Konto gelten die Datenschutzhinweise von Google und Apple.

9. Connecting a calendar (optional)

In the web app you can connect a calendar so that your assistant only offers free times and enters booked appointments:

• Google Calendar: sign-in with Google (OAuth). We only read when you are busy, without event details, and write appointments booked by the assistant into the calendar you choose. We store your Google account (e-mail address), the list of your calendars and an access token.
• Apple iCloud: your Apple ID and an app-specific password (never your Apple ID password). We only read the start and end of your events and write booked appointments.

The access token and the app-specific password are stored encrypted with a dedicated key (AWS KMS) and are never shown. Legal basis: Art. 6(1)(b) GDPR. Retention: until you disconnect (for Google, access is revoked when you do) or delete your account. Processing within your Google or Apple account is governed by Google's and Apple's privacy notices.

10. iPhone-App „Conversational Inbox“

Die App speichert deine Anmeldung im Schlüsselbund (Keychain) des iPhones. Erlaubst du den Zugriff auf Kontakte, zeigt sie bekannte Anrufer mit Namen; deine Kontakte verlassen das Gerät nicht. Erlaubst du den Zugriff auf Kalender, berechnet sie freie Zeiten auf dem Gerät und schickt nur diese freien Zeitfenster an uns; deine Termine verlassen das Gerät nicht. Die App enthält kein Tracking, keine Werbe-ID und keine Analyse-Werkzeuge.

Mitteilungen (Push): Erlaubst du Mitteilungen, meldet die App ihr Geräte-Token bei uns an; wir speichern es zu deinem Konto und löschen es beim Abmelden, beim Löschen des Kontos oder wenn Apple es als ungültig meldet. Nach jedem Anruf schicken wir über den Apple Push Notification Service (Apple Inc.) eine Mitteilung mit den letzten vier Ziffern der Rufnummer, z. B. „Anruf von …1234 – Details in der App“; Gesprächsinhalte stehen nicht darin. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; du kannst Mitteilungen jederzeit in den iPhone-Einstellungen abschalten.

Abos im App Store (in Vorbereitung): Schließt du ein Abo über den App Store ab, wickelt Apple die Zahlung in eigener Verantwortung ab. RevenueCat, Inc. (USA) erhält den Abo-Status zusammen mit deiner Kontokennung (eine zufällige ID, nicht deine E-Mail-Adresse) und meldet ihn an uns. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

10. iPhone app “Conversational Inbox”

The app keeps your sign-in in the iPhone's keychain. If you allow access to your contacts, it shows known callers by name; your contacts do not leave the device. If you allow access to your calendars, it works out free times on the device and sends only those free time slots to us; your events do not leave the device. The app contains no tracking, no advertising identifier and no analytics tools.

Notifications (push): if you allow notifications, the app registers its device token with us; we store it with your account and delete it when you sign out, delete your account or Apple reports it as invalid. After each call we send a notification through the Apple Push Notification service (Apple Inc.) with the last four digits of the number, e.g. “Call from …1234 – details in the app”; it contains no conversation content. Legal basis: Art. 6(1)(b) GDPR; you can turn notifications off at any time in the iPhone settings.

App Store subscriptions (in preparation): if you take out a subscription through the App Store, Apple handles the payment under its own responsibility. RevenueCat, Inc. (USA) receives the subscription status together with your account identifier (a random ID, not your e-mail address) and reports it to us. Legal basis: Art. 6(1)(b) GDPR.

11. Support- und Demo-Formular

Du gibst Name, E-Mail-Adresse, Betreff und Nachricht an, beim Demo-Formular zusätzlich die Rufnummer, die wir für die Demo freischalten sollen. Die Anfrage wird zunächst unbestätigt gespeichert, und du bekommst eine E-Mail mit Bestätigungslink (Versand über Amazon SES). Erst nach deinem Klick wird sie an info@sp33c.tech weitergeleitet. Zum Schutz vor Missbrauch zählen wir Anfragen pro IP-Adresse (höchstens 5 in 10 Minuten).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (deine Anfrage) und lit. f (Schutz vor Missbrauch). Speicherdauer: in unserer Datenbank 24 Stunden, der Zähler pro IP-Adresse bis zum Ende seines 10-Minuten-Fensters; die weitergeleitete E-Mail im Postfach, solange wir sie für deine Anfrage brauchen. [BITTE ERGÄNZEN: Löschfrist und E-Mail-Anbieter des Postfachs info@sp33c.tech]

11. Support and demo form

You enter your name, e-mail address, subject and message, and for the demo form also the phone number we should enable for the demo. The request is first stored unconfirmed, and you receive an e-mail with a confirmation link (sent through Amazon SES). Only after you click it is the request forwarded to info@sp33c.tech. To prevent misuse we count requests per IP address (at most 5 in 10 minutes).

Legal basis: Art. 6(1)(b) GDPR (your request) and (f) (preventing misuse). Retention: 24 hours in our database, the counter per IP address until its 10-minute window ends; the forwarded e-mail stays in the mailbox as long as we need it for your request. [BITTE ERGÄNZEN: Löschfrist und E-Mail-Anbieter des Postfachs info@sp33c.tech]

12. Empfänger und Auftragsverarbeiter

Wir geben Daten nur an Dienstleister weiter, die wir für den Betrieb brauchen, und verkaufen keine Daten. Mit den Dienstleistern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). [BITTE PRÜFEN: AV-Verträge mit allen Dienstleistern, insbesondere Telnyx und Anthropic]

• Amazon Web Services (Amazon Web Services EMEA SARL, Luxemburg; Rechenzentren in Frankfurt am Main): Hosting, Datenbanken, Anmeldung (Cognito), E-Mail-Versand (SES), Verschlüsselung (KMS), Firewall, Protokolle.
• Telnyx [BITTE ERGÄNZEN: Vertragspartner und Sitz]: Telefonie, Spracherkennung, Sprachausgabe, SMS. Für die Sprachausgabe nutzt Telnyx je nach Stimme Unterauftragnehmer (z. B. Microsoft Azure, Amazon Polly, Inworld).
• Anthropic [BITTE ERGÄNZEN: Vertragspartner und Sitz]: KI-Modell Claude für Antworten und Zusammenfassungen.
• TypeSafe AI [BITTE ERGÄNZEN: Firma und Sitz]: Schutz-KI, prüft Äußerungen von Anrufern und die Texte der Kunden.
• Hetzner Online GmbH (Deutschland): Betrieb unseres Sicherheits-Monitorings.
• Nur wenn du sie nutzt: Google (Google Kalender; Google Fonts mit Einwilligung), Apple (iCloud-Kalender, App Store) und RevenueCat, Inc. (USA; Abos in der iPhone-App).

12. Recipients and processors

We pass data only to service providers we need to run the service, and we do not sell data. Data processing agreements (Art. 28 GDPR) are in place with these providers. [BITTE PRÜFEN: AV-Verträge mit allen Dienstleistern, insbesondere Telnyx und Anthropic]

• Amazon Web Services (Amazon Web Services EMEA SARL, Luxembourg; data centres in Frankfurt am Main): hosting, databases, sign-in (Cognito), e-mail delivery (SES), encryption (KMS), firewall, logs.
• Telnyx [BITTE ERGÄNZEN: Vertragspartner und Sitz]: telephony, speech recognition, speech output, text messages. For speech output Telnyx uses sub-processors depending on the voice (e.g. Microsoft Azure, Amazon Polly, Inworld).
• Anthropic [BITTE ERGÄNZEN: Vertragspartner und Sitz]: the AI model Claude for replies and summaries.
• TypeSafe AI [BITTE ERGÄNZEN: Firma und Sitz]: safety AI that checks callers' utterances and customers' texts.
• Hetzner Online GmbH (Germany): runs our security monitoring.
• Only if you use them: Google (Google Calendar; Google Fonts with consent), Apple (iCloud calendar, App Store) and RevenueCat, Inc. (USA; subscriptions in the iPhone app).

13. Übermittlung in Drittländer

Telnyx, Anthropic und RevenueCat verarbeiten Daten in den USA; bei Google und Apple ist eine Übermittlung in die USA möglich. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, sonst EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie der Garantien bekommst du auf Anfrage. [BITTE PRÜFEN: Zertifizierung bzw. Standardvertragsklauseln je Anbieter; Sitz und Verarbeitungsort von TypeSafe AI]

13. Transfers to third countries

Telnyx, Anthropic and RevenueCat process data in the USA; with Google and Apple a transfer to the USA is possible. The basis is the European Commission's adequacy decision on the EU-US Data Privacy Framework (Art. 45 GDPR) where the recipient is certified under it, otherwise the EU standard contractual clauses (Art. 46(2)(c) GDPR). You can get a copy of the safeguards on request. [BITTE PRÜFEN: Zertifizierung bzw. Standardvertragsklauseln je Anbieter; Sitz und Verarbeitungsort von TypeSafe AI]

14. Speicherdauer

14. Retention

15. Deine Rechte

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16), Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3), für Google Fonts über die Cookie-Einstellungen.

So geht's: per E-Mail an info@sp33c.tech oder über das Support-Formular. Dein Konto löschst du selbst in der Web-App unter Account → „Konto löschen“: Dabei werden Assistent, verknüpfte Nummern und PINs, Posteingang (auch archiviert), Termine, Kalenderverbindungen (die Google-Freigabe wird widerrufen), Nutzungsdaten und deine Anmeldung gelöscht. Ein Abo im App Store kündigst du dort. Einträge im Posteingang kannst du in der App selbst archivieren; sie werden 30 Tage danach gelöscht.

Als Anrufer wendest du dich am besten an die Person oder Firma, die du angerufen hast; du kannst dich aber auch direkt an uns wenden.

15. Your rights

• access to your data (Art. 15 GDPR),
• rectification (Art. 16), erasure (Art. 17) and restriction of processing (Art. 18),
• data portability (Art. 20),
• objection to processing based on legitimate interests (Art. 21),
• withdrawal of consent with effect for the future (Art. 7(3)), for Google Fonts via the cookie settings.

How: by e-mail to info@sp33c.tech or through the support form. You can delete your account yourself in the web app under Account → “Konto löschen” (delete account): this deletes the assistant, linked numbers and PINs, the inbox (archived entries too), appointments, calendar connections (Google access is revoked), usage data and your sign-in. Please cancel an App Store subscription in the App Store. You can archive inbox entries yourself in the app; they are deleted 30 days later.

As a caller, it is best to contact the person or company you called; you can also contact us directly.

16. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de.

16. Right to lodge a complaint

You can lodge a complaint with a data protection supervisory authority, in particular in the EU member state of your habitual residence, your place of work or the place of the alleged infringement. The authority responsible for us is the Bavarian Data Protection Authority (Bayerisches Landesamt für Datenschutzaufsicht, BayLDA), Promenade 18, 91522 Ansbach, Germany, www.lda.bayern.de.

17. Änderungen

Ändert sich der Dienst, passen wir diese Erklärung an; das Datum oben zeigt den Stand.

3. November 2026: erste Fassung.

17. Changes

When the service changes, we update this notice; the date at the top shows the current version.

3 November 2026: first version.