Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Eine Datenschutzbeauftragte oder ein Datenschutzbeauftragter ist nicht benannt: wir erreichen die Schwellen des § 38 BDSG nicht. Fragen zum Datenschutz beantwortet die Geschäftsführung unter der in Ziffer 11 genannten Adresse.

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der DSGVO und dem Bundesdatenschutzgesetz (BDSG). Eine Verarbeitung erfolgt nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist, eine gesetzliche Grundlage besteht oder Du eingewilligt hast.

ComLayer richtet sich ausschließlich an Unternehmer im Sinne des § 14 BGB; die Einzelheiten des Vertragsverhältnisses regeln unsere Allgemeinen Geschäftsbedingungen.

Beim Aufruf unserer Website werden durch den Browser automatisch technische Informationen übermittelt (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, verwendeter Browser). Diese Daten fallen bei unserem Hosting-Dienstleister an und dienen dem sicheren und stabilen Betrieb. Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

Ein eigenes Besucherzählverfahren, eine Reichweitenmessung oder Werbe-Tracking setzen wir auf dieser Website nicht ein. Wir binden dafür auch keine Dienste Dritter ein.

Für die Nutzung der ComLayer-Plattform ist ein Konto erforderlich. Dabei verarbeiten wir die von Dir angegebenen Daten (z. B. Name, E-Mail-Adresse, Unternehmens- und Zugangsdaten) sowie im Rahmen der Nutzung entstehende Inhalts- und Support-Daten. Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags gemäß Art. 6 Abs. 1 lit. b DSGVO.

Nutzt Du ComLayer, um Support für Deine eigenen Endkundinnen und Endkunden anzubieten, verarbeiten wir die dabei anfallenden Daten in Deinem Auftrag als Auftragsverarbeiter gemäß Art. 28 DSGVO. Die entsprechenden Regelungen treffen wir mit Dir im Vertrag zur Auftragsverarbeitung; dort stehen auch die Kategorien betroffener Personen, die Arten der verarbeiteten Daten und die technischen Maßnahmen.

ComLayer erzeugt Antwortvorschläge mithilfe von Sprachmodellen auf Basis des von Dir bereitgestellten Wissens. Zur Erbringung dieser Funktion werden der Inhalt der Anfrage und die dazu passenden Ausschnitte Deiner Wissensdatenbank an die in Ziffer 6 genannten Dienstleister übermittelt. Zu eigenen Zwecken verarbeiten wir diese Inhalte nicht; wir werten sie insbesondere nicht aus, um eigene Modelle zu trainieren.

Dasselbe gilt für die eingesetzten Modell- und Einbettungsanbieter: Beide Anbieter haben sich vertraglich zum selben Ausschluss verpflichtet: der Modellanbieter über die Datenverarbeitungsbedingungen von Google Cloud, der Einbettungsanbieter über die Nutzungsbedingungen von Voyage AI.

Ist die semantische Suche konfiguriert, werden Deine Wissensinhalte zusätzlich in Einbettungen umgerechnet und in dieser Form in unserer Datenbank gespeichert. Ist sie nicht konfiguriert, arbeitet die Suche rein textbasiert.

Zur Bereitstellung von ComLayer setzen wir die folgenden Dienstleister ein. Es ist dieselbe Liste, die auch der AVV als Unterauftragsverarbeiter führt — sie wird an einer Stelle gepflegt und auf beiden Seiten ausgegeben. Mit allen bestehen Verträge gemäß Art. 28 DSGVO.

Bindet der Auftraggeber eine eigene Terminbuchung über Cal.com ein, ist Cal.com sein Dienstleister und nicht Unterauftragsverarbeiter der Auftragsverarbeiterin; die Auftragsverarbeiterin nimmt lediglich die Benachrichtigung über gebuchte Termine entgegen.

Die folgende Übersicht nennt jeden Eintrag, den ComLayer in Deinem Browser ablegt oder ablegen lässt — vollständig und aus dem Quelltext abgeleitet. Ein eigenes Cookie setzen wir nicht; die aufgeführten Cookies stammen sämtlich von unserem Anmeldedienst. Alles Übrige ist keine Cookie-Technik, sondern lokale Speicherung im Browser: einzelne Werte im localStorage, dazu zwei Datenbanken in IndexedDB, die die Live-Aktualisierung anlegt.

Anders als ein Cookie wird lokale Speicherung nicht von selbst bei jeder Anfrage mitgeschickt. Zwei Einträge sind trotzdem serverwirksam, und das gehört hierher: die Besucherkennung des Support-Widgets sendet das Widget bei jeder Anfrage mit — ohne sie fände ein wiederkehrender Besucher seinen Verlauf nicht wieder —, und die Anmeldedatenbank der Live-Aktualisierung enthält das kurzlebige Token, mit dem sich Dein Browser bei der Realtime Database anmeldet. Alle übrigen Einträge bleiben im Browser.

Clerk hängt dem Cookie-Namen je nach Instanz eine Kennung an; im Browser kann also „__session_a1b2c3“ stehen, wo hier „__session“ steht.

Für die Anmelde-Cookies und die lokale Speicherung in der Anwendung berufen wir uns auf § 25 Abs. 2 Nr. 2 TDDDG: ohne sie lässt sich der von Dir gewünschte Dienst nicht erbringen. Diese Einträge sind deshalb nicht abwählbar. Einen Eintrag nehmen wir davon aus, statt ihn mitzubehaupten: der Tageszähler „firebase-heartbeat-database“ dient der Versionsstatistik der Bibliothek und nicht dem Dienst. Abschalten lässt er sich nicht — die Bibliothek legt ihn immer an. Wir stützen ihn deshalb auf unser berechtigtes Interesse am Betrieb der Echtzeitfunktion nach Art. 6 Abs. 1 lit. f DSGVO und nennen ihn hier, statt ihn als notwendig auszugeben. Er enthält kein Merkmal Deines Kontos, nur Datum und Versionsangabe der Bibliothek. Deine Entscheidung über alles Weitere kannst Du jederzeit ändern — hier oder über den gleichnamigen Eintrag im Fußbereich jeder Seite: Cookie-Einstellungen

Die Inhalte bleiben in der EU. Konversationen, Wissensbasis und Konten liegen in der Datenbankregion europe-west3 (Frankfurt), Dateianhänge und Logos im Dateispeicher derselben Region, die Live-Aktualisierung offener Konversationen läuft in europe-west1, und der KI-Agent antwortet aus der Vertex-Multi-Region eu; die Hilfsmodelle für Betreffzeilen und Dokumentenauswertung laufen in europe-west1. Die Region des Dateispeichers ist am 07.08.2026 an den eingesetzten Buckets nachgemessen; alle übrigen stehen in der Konfiguration der Bereitstellung.

Vier Dienste verarbeiten außerhalb der EU, und zwar in den USA: Clerk für Anmeldung, Konten und Sitzungen, Stripe für die Zahlungsabwicklung, Resend für den Versand der Team-Benachrichtigungen — diese enthalten wörtliche Auszüge aus Konversationen — und Voyage AI für die Einbettungen der semantischen Suche, das dafür die Wissensinhalte erhält. Diese Übermittlungen stützen sich auf die Standardvertragsklauseln der EU-Kommission; welche Fassung und welche Folgenabschätzung je Anbieter gilt, hält der Auftragsverarbeitungsvertrag fest. Der Betrieb der Anwendung selbst liegt bei Vercel, einem US-Konzern; die Auslieferungsregion dieser Bereitstellung ist nicht gemessen und dort ebenfalls als offene Stelle gekennzeichnet.

Die Übermittlungen in die USA stützen wir auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, und zwar in der Fassung des Durchführungsbeschlusses (EU) 2021/914 vom 4. Juni 2021, Modul 2 (Übermittlung von einem Verantwortlichen an einen Auftragsverarbeiter). Die eingesetzten Anbieter stellen jeweils eigene Übermittlungs-Folgenabschätzungen bereit, auf die wir uns stützen; eine zusätzliche eigene Bewertung im Einzelfall führen wir nicht. Die Verarbeitungsregion jedes einzelnen Dienstleisters steht in Ziffer 6; wo sie nicht belegt ist, ist sie dort als offene Stelle gekennzeichnet.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Anschließend werden die Daten gelöscht oder anonymisiert. Für die Einträge im Browser gilt die Übersicht in Ziffer 7; für die Daten eines Workspaces gilt die Löschung nach Ziffer 10.

Dir stehen nach der DSGVO folgende Rechte zu:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)

Das Recht auf Datenübertragbarkeit können Kundinnen und Kunden mit einem ComLayer-Konto selbst ausüben: unter Einstellungen → Allgemein → „Daten exportieren“ erzeugen Administratoren jederzeit einen vollständigen, maschinenlesbaren Abzug ihres Workspaces im JSON-Format. Die Datei wird beim Klick erzeugt und direkt heruntergeladen; sie umfasst Konversationen, Nachrichten, Besucher, Wissensinhalte, Hilfe-Center, Feedback, Team und Einstellungen dieses einen Workspaces. Nicht enthalten sind maschinelle Zwischenergebnisse ohne Aussagewert (Einbettungsvektoren, Suchindizes); Dateianhänge sind mit ihrer Adresse verzeichnet, die Datei selbst liegt weiter im Anhangsspeicher und wird über die Anwendung ausgeliefert.

Ebenso das Recht auf Löschung: unter Einstellungen → Allgemein → „Workspace löschen“ können Administratoren die Löschung ihres Workspaces selbst veranlassen. Sie wird 30 Tage vorgemerkt und ist bis zum letzten Tag widerrufbar; danach werden Konversationen, Besucherdaten, Wissensquellen, Hilfe-Center, Statusseite und alle hochgeladenen Dateien endgültig gelöscht und ein laufendes Abonnement beendet. Abrechnungsdaten unterliegen handels- und steuerrechtlichen Aufbewahrungspflichten (§ 147 AO, § 257 HGB); sie werden nach Art. 17 Abs. 3 lit. b DSGVO nicht gelöscht, sondern für die Dauer der Aufbewahrungsfrist in der Verarbeitung eingeschränkt (Art. 18 Abs. 1 lit. b DSGVO) und aus dem laufenden Betrieb entfernt.

Beide Wege stehen unabhängig vom gebuchten Tarif offen — sie sind ein gesetzlicher Anspruch und kein Leistungsmerkmal. Endkundinnen und Endkunden, deren Daten über das Support-Widget eines unserer Kunden verarbeitet werden, wenden sich an diesen Kunden als Verantwortlichen; wir unterstützen ihn dabei nach Maßgabe des AVV.

Zudem hast Du das Recht, Dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Bei Fragen zum Datenschutz oder zur Ausübung Deiner Rechte erreichst Du uns unter info@comlayer.app.