Datenschutzerklärung

1. Verantwortlicher

CoTraX GmbH, Breite Straße 27, 40213 Düsseldorf, Deutschland, vertreten durch die Geschäftsführerin Sara Fanselau.

E-Mail: [email protected]
Telefon: +49 (0) 170 99 47 316

2. Welche Daten die Anwendung verarbeitet

Abhängig von den genutzten Funktionen verarbeiten wir:

• technische Verbindungs- und Sicherheitsdaten, etwa IP-Adresse, Zeitpunkt, Browser-/App-Informationen und Serverprotokolle,
• Anmelde- und Kontoinformationen, wenn der Zugriff über die Plattformanmeldung geschützt ist,
• Trainingskonfigurationen (einschließlich eines optional hinterlegten Trainingsfokus), Produktwissen, Website-URLs und hochgeladene Text- oder PDF-Inhalte,
• eingefügte Gesprächsverläufe und daraus erzeugte Trainingsbewertungen,
• bei Nutzung der Meldefunktion — in der App wie auf dieser Website: gemeldeter KI-Inhalt, Meldegrund, optionaler Kommentar, Herkunft (Web, iOS oder Android) und Zeitpunkt,
• gespeicherte Gesprächspartner: die von der KI erfundene Person (Name, Rolle, Werdegang, Sprechweise, typische Einwände), die Lage, aus der sie entstanden ist, ein selbst vergebener Titel und die gewählte Stimme — damit dieselbe Person in App und Web wieder angerufen werden kann,
• lokal auf dem Endgerät gespeicherte Trainingsverläufe und Einstellungen.

Bitte gib keine besonderen Kategorien personenbezogener Daten, Geschäftsgeheimnisse oder Informationen Dritter ein, wenn dies für das Training nicht erforderlich und rechtlich nicht abgesichert ist.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten, um den Dienst bereitzustellen, Verkaufsszenarien zu erstellen, eingefügte Gesprächsverläufe zu bewerten, Missbrauch zu verhindern und die technische Sicherheit zu gewährleisten. Rechtsgrundlagen sind je nach Nutzung Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (sicherer und wirtschaftlicher Betrieb). Für die freiwilligen gesprochenen Gespräche — das Rollenspiel und das Vorgespräch, in dem du deine Lage schilderst — kommt Art. 6 Abs. 1 lit. a DSGVO hinzu: Die Einwilligung erteilst du, indem du sie startest und den Mikrofonzugriff zulässt (Abschnitt 5). Ohne ein solches Gespräch findet keine Mikrofonverarbeitung statt.

4. Hosting, Bereitstellung und Zugriffsschutz

Web-Anwendung und Schnittstelle laufen auf einem Server, den für uns die CLUSTER ONE GmbH, Grüner Winkel 21, 41065 Mönchengladbach, als Auftragsverarbeiterin nach Art. 28 DSGVO betreibt. Hardware, Netzanbindung und Rechenzentrum stellt die STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin; der Standort ist Berlin. Über einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist STRATO verpflichtet, auf die Daten nur weisungsgebunden zuzugreifen. Die Auslieferung erfolgt über das Netzwerk von Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München, als Vertragspartner für die EU; Muttergesellschaft Cloudflare, Inc., USA), das als Reverse-Proxy und zum Schutz vor Angriffen dient. Dabei werden IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und technische Statusdaten verarbeitet.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse – beim Anfordern eines Anmeldelinks zusätzlich je E-Mail-Adresse – und speichern dafür die Adresse zusammen mit einem Zähler in unserer Datenbank. Die meisten Zähler laufen zehn Minuten; für das Probegespräch ohne Konto und sein Feedback zählen wir, wo es angeboten wird, 24 Stunden je IP-Adresse. Die Einträge löschen wir automatisch, spätestens 25 Stunden nach Beginn des jeweiligen Zählfensters. Zusätzlich vergibt der Server ein kurzlebiges, an die IP-Adresse gebundenes Zugriffstoken (gültig eine Stunde), das im Browser nur für die aktuelle Sitzung und in der App nur im Arbeitsspeicher gehalten wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung und Sicherheit des Dienstes).

Bot-Schutz (Cloudflare Turnstile). Damit Automaten weder Anmeldelinks verschicken noch KI-Minuten verbrauchen, setzen wir Cloudflare Turnstile ein. Dein Browser lädt dafür ein Skript von challenges.cloudflare.com; Cloudflare verarbeitet dabei deine IP-Adresse, Angaben zu Browser und Gerät sowie Signale deines Verhaltens auf der Seite und gibt uns ein kurzlebiges Token zurück, das unser Server prüft. Die Prüfung läuft unsichtbar ab und zeigt nur dann ein Kästchen zum Anklicken, wenn sie sich nicht sicher ist. Turnstile setzt keine Cookies zur Wiedererkennung über Websites hinweg und wird nicht für Werbung verwendet. Ausgelöst wird sie, wenn du einen Anmeldelink anforderst oder eine KI-Funktion startest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisiertem Missbrauch und vor Kosten, die dadurch entstehen).

Weitere Informationen: Cloudflare-Datenschutz.

5. KI-Verarbeitung durch OpenAI

Für Angebotsanalyse, Szenariovorbereitung und die Auswertung eines Gesprächsverlaufs werden die dafür benötigten Eingaben an die OpenAI API übermittelt. Verantwortlicher Vertragspartner für Kunden im EWR ist OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117‑126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland.

Gesprochene Gespräche (freiwillig). Startest du unter „Jetzt live sprechen“ ein Rollenspiel oder unter „Mit dem Coach besprechen“ ein Vorgespräch, fragt dein Browser den Zugriff auf dein Mikrofon ab. Es entsteht eine direkte WebRTC-Verbindung zwischen deinem Gerät und OpenAI; dabei werden dein Mikrofonsignal und deine IP-Adresse an OpenAI übertragen und dort für die Dauer des Gesprächs verarbeitet. Wir bauen die Verbindung auf — die Anweisungen schicken wir dazu von unserem Server — und empfangen den Ton der Gegenseite selbst nicht. In der App gilt dasselbe für jedes gesprochene Gespräch. Damit auch deine eigenen Sätze im Verlauf stehen, schickt dein Gerät zusätzlich kurze Stücke deines Mikrofonsignals (je etwa fünf Sekunden) an unseren Server, der sie an die Transkription von OpenAI weiterreicht und dir nur den Text zurückgibt – auf dieser Website während des Rollenspiels, in der App in jedem gesprochenen Gespräch: Rollenspiel, 90-Sekunden-Drill, Probegespräch und Vorgespräch mit dem Coach. Wir speichern weder die Stücke noch den Text; er erscheint erst mit deinem Feedback in deiner Historie. Im Vorgespräch mit dem Coach wird auf dieser Website nur mitgeschrieben, was der Coach sagt, in der App auch, was du erzählst; dieser Text geht erst an unseren Server, wenn du daraus ein Szenario bauen lässt.

Probegespräch ohne Konto. Auf der Startseite, in der App und über Links aus Kursen der Demo-Academy lässt sich ein vorgegebenes Gespräch führen, ohne sich anzumelden. Dabei entsteht kein Nutzerkonto, und wir speichern weder das Gespräch noch seinen Verlauf. Verarbeitet wird für die Dauer des Gesprächs dasselbe wie oben beschrieben — Mikrofonsignal und IP-Adresse bei OpenAI, in der App zusätzlich die Tonstücke für die Mitschrift. Holst du danach dein Feedback, geht der Verlauf an unseren Server und von dort an OpenAI; gespeichert wird er bei uns auch dann nicht. Zusätzlich speichern wir deine IP-Adresse in der in Abschnitt 4 beschriebenen Form (Zählfenster 24 Stunden), um die Zahl der Probegespräche je Anrufer zu begrenzen; ohne diese Grenze wäre das Angebot nicht kostenfrei möglich. Rechtsgrundlage für das Gespräch ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), für die Begrenzung unser berechtigtes Interesse an Missbrauchs- und Kostenschutz (Art. 6 Abs. 1 lit. f DSGVO).

Wir zeichnen keinen Ton auf. Eine Tonaufnahme legen wir nicht an, weder auf deinem Gerät noch auf unserem Server. Was während des Gesprächs als Text mitgeschrieben wird, bleibt in deinem Browser bzw. in der App; es geht erst an unseren Server, wenn du dein Feedback holst oder aus dem Vorgespräch ein Szenario bauen lässt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du erteilst, indem du das Gespräch startest und den Mikrofonzugriff zulässt; du kannst sie jederzeit durch Auflegen widerrufen.

Das Live-Gespräch ist ein Weg von zweien. Du kannst das Szenario stattdessen nach ChatGPT oder Claude mitnehmen und es dort in deinem eigenen Konto führen — dann entsteht bei uns keine Sprachverbindung. Abschnitt 8 beschreibt, was dabei übertragen wird.

Responses-Anfragen werden von uns mit store: false gesendet. Nach den Angaben von OpenAI werden API-Inhalte standardmäßig nicht zum Training der Modelle genutzt. Sicherheits- und Missbrauchsprotokolle können nach den jeweils geltenden API-Datenkontrollen grundsätzlich bis zu 30 Tage aufbewahrt werden, sofern keine abweichenden Datenkontrollen vereinbart sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Grundlage für die Auftragsverarbeitung und etwaige Drittlandübermittlungen sind der OpenAI-Auftragsverarbeitungsvertrag und die darin vorgesehenen Standardvertragsklauseln.

6. Produktwissen, Dateien und externe Websites

Hochgeladene PDFs und Textdateien werden serverseitig ausgelesen und der KI zur angeforderten Analyse übergeben. Dateien werden von der Anwendung nicht als dauerhafte Dateiablage gespeichert. Beim Abruf einer angegebenen Produkt-URL erhält der Betreiber der Zielwebsite technisch bedingt eine Serveranfrage einschließlich IP-Adresse und User-Agent. Rufe nur Websites ab, deren Nutzung hierfür zulässig ist.

7. Lokale Speicherung auf dem Gerät

Trainingshistorie, gespeicherte Gespräche und temporäre Session-Einstellungen werden im lokalen Speicher des Browsers bzw. der App abgelegt. Diese Daten bleiben grundsätzlich auf dem verwendeten Gerät, bis sie in der Anwendung oder über die Browser-/App-Daten gelöscht werden. Bist du angemeldet, werden gespeicherte Gespräche und deine Angebote zusätzlich in deinem Konto abgelegt (Abschnitt 11), damit du sie auf anderen Geräten siehst; das Löschen in der Anwendung entfernt sie dort ebenfalls. Bei jeder KI-Bewertung werden dein aktueller Beitrag, die letzten zehn Gesprächsbeiträge, die strukturierten Angebotsfelder (Produkt, Preis, Nutzen, Zielkunden, Gesprächsziel, Belege, Bedarfsfragen, Einwände) sowie ein Auszug von bis zu 3.000 Zeichen deines Produktwissens an unseren Server und anschließend an OpenAI übertragen.

8. Weiterleitung zu ChatGPT oder Claude

Erst wenn du die entsprechende Schaltfläche auswählst, legen wir den erzeugten Prompt in deine Zwischenablage und öffnen die Seite des gewählten Anbieters. Übertragen wird nichts von uns aus: Erst wenn du den Text dort einfügst, gelangt er zu ChatGPT (OpenAI) oder Claude (Anthropic). Der Prompt enthält die erfundene Gesprächsperson und die von dir eingegebenen Szenariodaten (Branche, Rolle und, sofern das Modul es vorsieht, die Produktbezeichnung).

Wichtig: Diese Verarbeitung findet in deinem eigenen Konto bei dem jeweiligen Anbieter statt. Dafür besteht kein Auftragsverarbeitungsvertrag mit uns und keine gemeinsame Verantwortlichkeit; es gelten allein die Bedingungen des Anbieters – einschließlich der Frage, ob er die Inhalte zur Verbesserung seiner Modelle verwendet. Das unterscheidet sich von unserer eigenen Nutzung der OpenAI-Schnittstelle (Abschnitt 5). Die Weiterleitung ist optional.

9. Auswertung extern geführter Gespräche

Hast du ein Gespräch bei ChatGPT oder Claude geführt, kannst du den Verlauf bei uns einfügen und auswerten lassen. Der eingefügte Text wird dann zusammen mit den Angebotsfeldern deines Szenarios an OpenAI übermittelt (wie in Abschnitt 5 beschrieben) und das Ergebnis in deinem Konto unter „Trainings“ gespeichert – gekennzeichnet als extern geführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; mit deinem Konto wird auch dieser Eintrag gelöscht.

Bitte füge keine personenbezogenen Daten Dritter ein. Für die Inhalte, die du überträgst, bist du verantwortlich.

10. Meldung von KI-Inhalten

In der App wie auf dieser Website können KI-Antworten und Trainingsbewertungen unmittelbar gemeldet werden. Wir verarbeiten den ausgewählten Inhalt, den Meldegrund, einen optionalen Kommentar, die Plattform und den Zeitpunkt, um Sicherheitsprobleme, unangemessene Inhalte und Fehler zu prüfen. Meldungen werden in unserer Datenbank gespeichert, nur für Sicherheit, Fehlerbehebung und Verbesserung des Dienstes verwendet und spätestens 90 Tage nach Abschluss der Prüfung gelöscht.

11. Konto, Anmeldung und Verlauf

Für KI-Funktionen ist ein kostenloses Konto nötig. Wir speichern deine E-Mail-Adresse, den Zeitpunkt deiner Anmeldungen, Sitzungen je Gerät (Browser- bzw. Gerätekennung als Freitext, Zeitpunkte), die im Konto gespeicherten Trainings (Konfiguration ohne Produktwissen, Transkript, Bewertungen, Dauer), deine gespeicherten Angebote sowie tägliche Nutzungszähler, an denen die Kontingente hängen, wenn sie gelten. Außerdem zählen wir, wie oft du eine Kursübung mit wechselndem Gegenüber gestartet hast – nur diese Zahl je Übung, damit sich bei jedem Start der Reihe nach eine andere Person meldet. Erinnerungen in der App sind lokale Benachrichtigungen, die die App selbst auf dem Gerät plant: Uhrzeit und Wochenziel bleiben dort, es gibt dafür kein Push-Token, und weder wir noch ein Push-Dienst erhalten dafür Daten. Ein Angebot enthält die Felder, die du selbst einträgst – Branche, Produkt, Preis, Nutzen, Zielkunden, Gesprächsziel, Belege, Bedarfsfragen, erwartete Einwände, URL und Quellenname – und, anders als bei den Trainings, auch dein Produktwissen. Wir speichern Angebote, damit dasselbe Angebot in der App und im Web zur Verfügung steht; du kannst jedes einzeln und jederzeit löschen. Anmeldelinks gelten 15 Minuten, funktionieren einmal und werden nur als Hash gespeichert. Die Sitzung liegt im Browser in einem HttpOnly-Cookie (sct_session, 90 Tage gleitend) bzw. in der App im Schlüsselbund des Geräts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Den Anmeldelink verschickt ein SMTP-Mailserver, den die CLUSTER ONE GmbH für uns betreibt. Unter „Konto“ kannst du alle Kontodaten als JSON exportieren (Art. 15 DSGVO) und dein Konto löschen (Art. 17 DSGVO); mit der Löschung werden Sitzungen, Trainings und Zähler endgültig entfernt.

11a. Anmeldung mit der CoTraX Academy und Kurse in der App

In der App ab Version 1.9.0 meldest du dich nicht per Anmeldelink an, sondern mit deinem Konto der CoTraX Academy – eine Anmeldung für die Kurse und die Übungen. Diese Fassung der App erhalten derzeit nur Testerinnen und Tester; auf dieser Website bleibt es beim Anmeldelink. Die Anmeldung läuft in einem Anmeldefenster des Betriebssystems beim Anmeldedienst der Academy (Keycloak, betrieben von der CoTraX GmbH); Kennwort und Anmeldedaten sehen wir nicht. Konten legt die Academy an, eine Selbstregistrierung gibt es nicht. Die App schickt uns bei jeder Anfrage einen Zugangsschlüssel (Zugriffstoken) der Academy. Unser Server prüft ihn mit den öffentlichen Schlüsseln der Academy, die er dort abruft; dabei gehen keine personenbezogenen Daten an die Academy. Das Token enthält die Kennung deines Kontos bei der Academy, deinen Namen, deine E-Mail-Adresse und deine Organisation. Wir speichern davon nur die Kennung deines Kontos bei der Academy und den Anmeldedienst, der sie vergeben hat, mit dem Zeitpunkt der ersten und der letzten Anmeldung – darüber gehört dein Konto bei uns zu deiner Anmeldung. Name, E-Mail-Adresse und Organisation speichern wir nicht; die E-Mail-Adresse geht nur an die App zurück, damit sie anzeigen kann, wer angemeldet ist. Bei der ersten Anmeldung entsteht bei uns ein neues Konto, auch wenn du schon eines mit Anmeldelink hast: Beide bleiben getrennt, und wir verknüpfen sie nicht über die E-Mail-Adresse. Die Zuordnung steht in der Datenauskunft und wird mit deinem Konto bei uns gelöscht; dein Konto bei der Academy bleibt davon unberührt. „Abmelden“ widerruft die Zugangsschlüssel bei der Academy und löscht sie vom Gerät. Verantwortlich für den Anmeldedienst und für dein Konto bei uns ist die CoTraX GmbH (Abschnitt 1). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Unter „Academy“ zeigt die App die Kurse der CoTraX Academy. Sie ruft mit den Zugangsschlüsseln der Academy, die sie im Schlüsselbund des Geräts ablegt, Kurse, Inhalte, Videos und dein Profil (Name, E-Mail-Adresse, Sprache) direkt bei der Academy ab. Verantwortlich für die Academy ist die CoTraX GmbH. Dein Lernfortschritt – erledigte Bausteine und die Stelle, an der ein Video stand – geht vom Gerät an die Academy und wird dort in deinem Academy-Konto gespeichert. Über unseren Server läuft davon nichts; wir erhalten weder Kurse noch Fortschritt. Dabei erfährt die Academy deine IP-Adresse. Für die Verarbeitung durch die Academy gelten ihre Datenschutzhinweise, die du dort beim ersten Zugang bestätigst. Startest du aus einem Kurs eine Übung, gilt für das Gespräch diese Erklärung (Abschnitte 5 und 11). Beim Löschen deines Kontos bei uns widerruft die App die Zugangsschlüssel bei der Academy und löscht sie vom Gerät.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck oder gesetzliche Pflichten erforderlich ist. Lokal gespeicherte Trainingsdaten bleiben bis zur Löschung durch den Nutzer erhalten. Kontodaten bleiben bis zur Löschung des Kontos; abgelaufene Sitzungen und Anmeldelinks werden spätestens nach einem Tag entfernt, Nutzungszähler nach 90 Tagen, der Startzähler einer Kursübung 90 Tage nach deinem letzten Start dieser Übung. Zähler zur Anfragebegrenzung samt IP- bzw. E-Mail-Adresse werden spätestens 25 Stunden nach Beginn ihres Zählfensters gelöscht (Abschnitt 4), Inhaltsmeldungen spätestens 90 Tage nach Bearbeitung gelöscht. Für Daten bei Auftragsverarbeitern gelten die vertraglichen Lösch- und Aufbewahrungsregelungen der jeweiligen Dienste.

14. Automatisierte Bewertungen

KI-generierte Scores und Hinweise dienen ausschließlich dem Training. Sie können unzutreffend sein und entfalten keine rechtliche oder vergleichbar erhebliche Wirkung. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

15. Deine Rechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann für die Zukunft widerrufen werden. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes.

16. Sicherheit und Aktualisierung

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Daten zu schützen. Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern.