Datenschutzerklärung

Für die Nutzung der Anwendung NIHYO. Entwurf, Stand 27.7.2026 -- anwaltliche Prüfung steht noch aus.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

YSK Design UG (haftungsbeschränkt) i.G.
vertreten durch den Geschäftsführer Mahir Matheo Yalcinkaya
Anschrift: Straße 160, 6b, 13127 Berlin
Registergericht/Registernummer: Amtsgericht Berlin (Charlottenburg) [HRB folgt]
Umsatzsteuer-ID: [USt-IdNr. folgt]
E-Mail: MY@yskdesign.de · Telefon: 0176 23961574

Ein Datenschutzbeauftragter ist nach derzeitiger Einschätzung nicht bestellt; die Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) wird noch anwaltlich geprüft.

2. Rollen: Verantwortlicher und Auftragsverarbeiter

NIHYO wird Handwerksbetrieben als Nutzern (nachfolgend „Kundenbetriebe“) zur Verfügung gestellt. Hinsichtlich der Daten, die ein Kundenbetrieb über seine eigenen Endkunden und Aufträge eingibt, ist der Kundenbetrieb Verantwortlicher; NIHYO verarbeitet diese Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO).

Für die Daten der Kontoinhaber und Nutzer der Anwendung selbst (Registrierung, Abrechnung, Nutzung) ist NIHYO Verantwortlicher.

3. Verarbeitete Datenkategorien

  • Konto-/Nutzerdaten: Name, E-Mail-Adresse, Passwort (nur als kryptografischer Hash), Rolle/Berechtigung, Organisationszugehörigkeit.
  • Betriebsstammdaten: Firmenname, Kleinunternehmer-Status, Zahlungs- und DATEV-Einstellungen, Mahngebühren, Logo/Branding.
  • Endkundendaten (Auftragsverarbeitung): Name, Anschrift, ggf. E-Mail-Adresse der Kunden des Kundenbetriebs.
  • Auftrags- und Leistungsdaten: Aufträge, Leistungspositionen, Katalog-/Preisdaten, Zeiterfassung, Ausgaben/Belege, Auftragsfotos, elektronische Unterschriften.
  • Dokumente: Angebote, Rechnungen, Mahnungen (als PDF), Rechnungsnummern, Zahlungsstatus, Mahndaten.
  • E-Mail-Verbindungsdaten: Verbundene Gmail-Adresse, OAuth-Zugriffs-/Refresh-Token (verschlüsselt gespeichert, AES-256-GCM), E-Mail-Protokoll.
  • Postfach-Analyse: Betreff, Absender und Textauszug eingehender E-Mails (max. 4.000 Zeichen, max. 25 neueste Nachrichten der letzten 30 Tage, nur auf manuellen Abruf), KI-Klassifizierung.
  • Sprachnotizen: Audioaufnahme der Spracheingabe (wird ausschließlich zur Transkription an den Dienstleister übermittelt und nicht dauerhaft bei NIHYO gespeichert), transkribierter Text, daraus abgeleitete strukturierte Auftragsdaten.
  • KI-Nutzungs- und Protokolldaten: Modell, Token-Verbrauch, geschätzte Kosten, Zeitpunkt, technische Protokolle, Rate-Limit-Ereignisse.
  • Marketingdaten: Empfänger- und Kontaktdaten für Newsletter/Reaktivierung, Textentwürfe.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags und vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Verpflichtungen wie handels- und steuerrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie auf Grundlage berechtigter Interessen an einem sicheren, funktionsfähigen und wirtschaftlichen Betrieb des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Für Verarbeitungen, bei denen NIHYO als Auftragsverarbeiter für einen Kundenbetrieb tätig wird, ist der jeweilige Kundenbetrieb für die Rechtsgrundlage verantwortlich.

5. Eingesetzte Systeme und Dienstleister

Zur Bereitstellung der Anwendung setzt NIHYO die nachfolgenden Dienstleister ein. Mit ihnen bestehen -- soweit erforderlich -- Verträge zur Auftragsverarbeitung (Art. 28 DSGVO). Findet eine Übermittlung in ein Drittland statt, wird diese auf geeignete Garantien (insbesondere EU-Standardvertragsklauseln bzw. das EU-U.S. Data Privacy Framework) gestützt.

  • Supabase, Inc. -- Datenbank (PostgreSQL), Authentifizierung, Datei-/Dokumentenspeicher. EU-Region (Hosting); Anbietersitz USA -- Drittlandbezug möglich.
  • Vercel Inc. -- Hosting und Betrieb der Web-Anwendung. USA-Anbieter, Infrastruktur EU (Region Frankfurt) -- Drittlandbezug möglich.
  • Anthropic PBC -- KI-gestützte Text-/Dokumentenerstellung, Belegerkennung, E-Mail-Klassifizierung. Anthropic PBC (USA) -- Drittlandübermittlung.
  • OpenAI, L.L.C. -- Spracherkennung (Transkription von Sprachnotizen, Modell Whisper). Verarbeitet die Audioaufnahme der Spracheingabe zur Umwandlung in Text; die Audiodatei wird nach der Transkription nicht bei NIHYO gespeichert. OpenAI, L.L.C. (USA) -- Drittlandübermittlung.
  • Retell AI Inc. -- Sprach-KI-Infrastruktur (Spracherkennung, Sprachsynthese, Telefonie) für den optionalen KI-Telefonagenten. Verarbeitet Gesprächsaudio in Echtzeit sowie das daraus erstellte Transkript; eine Audioaufzeichnung wird nicht gespeichert. Nur für Betriebe, die dieses Zusatzfeature aktiviert haben. Retell AI Inc. (USA) -- Drittlandübermittlung.
  • Google Ireland Ltd. / Google LLC -- Versand von Dokumenten per E-Mail sowie Lesezugriff, Antworten und Verwalten (Archivieren, Als-gelesen-Markieren) im Postfach (Gmail API, OAuth 2.0) und -- sofern der Betrieb Termine mit seinem Google-Kalender synchronisiert -- das Anlegen und Aktualisieren von Terminen im Hauptkalender des verbundenen Kontos (Google Calendar API). Google Ireland Ltd. (EU) / Google LLC (USA) -- Drittlandbezug möglich.

6. Google-Nutzerdaten (Gmail- und Kalender-API)

Die Anbindung an das Google-Konto erfolgt über OAuth 2.0. Es werden ausschließlich die für die Funktion erforderlichen Berechtigungen angefragt: Versand von E-Mails (gmail.send), Lesezugriff auf das Postfach (gmail.readonly) sowie -- für das volle Postfach (Antworten und Verwalten: Archivieren, Als-gelesen-Markieren) -- gmail.modify; ferner calendar.events zum Anlegen und Aktualisieren von Auftragsterminen im Hauptkalender des verbundenen Kontos (es werden dabei keine bestehenden Fremdtermine gelesen oder verändert) sowie openid/userinfo.email zur Identifikation der verbundenen Adresse. Access- und Refresh-Token werden verschlüsselt gespeichert (AES-256-GCM). Die Nutzung der über Google-APIs empfangenen Informationen erfolgt im Einklang mit den Anforderungen der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Der Nutzer kann die Verbindung jederzeit in den Einstellungen sowie in seinem Google-Konto widerrufen.

Bei der KI-gestützten Postfach-Analyse werden auch Betreff, Absenderadresse und ein Textauszug von E-Mails ausgewertet, die von unbeteiligten Dritten stammen (nicht nur von potenziellen Kunden). Diese Absender haben hiervon regelmäßig keine Kenntnis. Die Auswertung erfolgt ausschließlich auf manuellen Abruf durch den Kundenbetrieb, begrenzt auf einzelne Nachrichten (keine Anhänge), maximal die 25 neuesten Nachrichten der letzten 30 Tage.

7. Speicherdauer und Löschung

Personenbezogene Daten werden gelöscht, sobald der Zweck ihrer Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Rechnungs- und buchhaltungsrelevante Dokumente unterliegen handels- und steuerrechtlichen Aufbewahrungsfristen (regelmäßig sechs bzw. zehn Jahre) und werden dementsprechend aufbewahrt. Zur Wahrung der Unveränderbarkeit (GoBD) werden Rechnungen nicht gelöscht, sondern bei Bedarf storniert.

8. Rechte der betroffenen Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie ein Widerspruchsrecht (Art. 21). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Ausübung dieser Rechte genügt eine Mitteilung an: MY@yskdesign.de. Da entsprechende Selbstbedienungsfunktionen (automatisierter Datenexport bzw. eine Löschfunktion je Kunde) aktuell noch nicht in die Anwendung integriert sind, werden Anfragen derzeit organisatorisch manuell bearbeitet. Richtet sich das Anliegen auf Daten, die im Auftrag eines Kundenbetriebs verarbeitet werden, wird die betroffene Person an den jeweils verantwortlichen Kundenbetrieb verwiesen.

Es besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Zuständig ist u. a. die Berliner Beauftragte für Datenschutz und Informationsfreiheit [vorläufig, bitte anhand des endgültigen Sitzes bestätigen].

9. Bereitstellungspflicht, automatisierte Entscheidungen

Die Bereitstellung bestimmter Daten (z. B. bei Registrierung) ist für die Vertragserfüllung erforderlich; ohne sie kann der Dienst nicht bereitgestellt werden. Eine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt; KI-gestützte Ergebnisse dienen als Vorschläge, die der Nutzer prüft und freigibt.

10. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn Änderungen der Verarbeitung oder der Rechtslage dies erfordern. Es gilt die jeweils veröffentlichte aktuelle Fassung.

Impressum · Zur Anmeldung