Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und im Rahmen des Mantrex-Dienstes ist:
Mantrex (Einzelunternehmen), Inhaber Paul Wolfram
Ortsstraße 56, 07924 Eßbach
E-Mail: kontakt@mantrex.de

2. Allgemeines und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten ausschließlich im Einklang mit der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG). Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Erfüllung eines Vertrags bzw. vorvertragliche Maßnahmen), lit. f DSGVO (berechtigtes Interesse), lit. a DSGVO (Einwilligung) und lit. c DSGVO (rechtliche Verpflichtung, z. B. steuerrechtliche Aufbewahrung).

3. Hosting

Diese Website wird bei der Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) gehostet. Dabei werden technisch notwendige Daten (z. B. IP-Adresse, Browser-Informationen) verarbeitet, um die Auslieferung der Seite zu ermöglichen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und effizienten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Zur Übermittlung in die USA siehe Ziffer 12.

4. Server-Logfiles

Bei jedem Aufruf werden automatisch Informationen in Server-Logfiles gespeichert (Browsertyp, Betriebssystem, Referrer-URL, Uhrzeit des Zugriffs, IP-Adresse). Dies dient der Sicherstellung eines störungsfreien Betriebs und der Sicherheit. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennst du am „https://“ und dem Schloss-Symbol in deiner Browserzeile. Dadurch sind die Daten, die du an uns übermittelst, für Dritte nicht mitlesbar.

6. Cookies und Reichweitenmessung

Wir verwenden ausschließlich technisch notwendige Cookies, die für die Anmeldung und den sicheren Betrieb des Nutzerkontos erforderlich sind. Diese erfordern nach § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals TTDSG) keine Einwilligung.

Reichweitenmessung ohne Cookies. Um unsere Website zu verbessern, zählen wir auf den öffentlichen Seiten (nicht im Kundenbereich nach der Anmeldung), welche Seiten aufgerufen werden, welche Abschnitte der Startseite zu sehen waren und welche markierten Schaltflächen angeklickt werden. Bei der ersten aufgerufenen Seite erfassen wir außerdem, woher du kamst, und ob du ein Handy oder einen Computer verwendest. Die Herkunft speichern wir nur grob: als „direkt“, als bekannte Quelle wie Google oder Instagram, als „andere Website“ (ohne deren Adresse) oder als eine von uns selbst vergebene Kennzeichnung im Link („utm_source“ und „utm_campaign“, zum Beispiel „youtube“ und „video-3“). Den Gerätetyp leiten wir aus der Browserkennung ab, die dein Browser bei jedem Aufruf ohnehin mitschickt.

Gespeichert werden diese Angaben ohne IP-Adresse, ohne Cookies, ohne Gerätekennung und ohne Kennung je Besucher, und der Zeitpunkt nur auf die Stunde gerundet. Wir können einzelne Besucher dadurch weder wiedererkennen noch Nutzungsprofile bilden. Für die Auswertung setzen wir die Summen mit anderen Summen ins Verhältnis (etwa Besuche zu neu angelegten Konten), beziehen die Angaben aber nie auf einzelne Personen. Die Anfrage zur Messung läuft wie jeder Seitenaufruf über unseren Hosting-Anbieter Vercel (siehe Ziffer 3); deine IP-Adresse wird dabei technisch verarbeitet und kurzzeitig protokolliert (siehe Ziffer 4), für die Messung aber nicht gespeichert.

Die Angaben liegen bei unserem Datenbankanbieter Supabase in der EU (siehe Ziffer 8), werden nur zusammengefasst ausgewertet und nach 25 Monaten automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einer verständlichen und wirksamen Gestaltung unserer Website (Art. 6 Abs. 1 lit. f DSGVO). Hast du in deinem Browser „Do Not Track“ oder „Global Privacy Control“ eingeschaltet, findet keine Messung statt. Du kannst der Messung jederzeit widersprechen (Art. 21 DSGVO). Weil wir Besuche keiner Person zuordnen können, lässt sich ein Widerspruch technisch nur über diese Browsereinstellung umsetzen; bei Fragen erreichst du uns unter kontakt@mantrex.de.

Analyse- oder Marketing-Werkzeuge von Drittanbietern setzen wir nicht ein. Sollte sich das ändern, holen wir vorab deine Einwilligung ein, soweit sie erforderlich ist.

7. Registrierung und Nutzerkonto

Zur Nutzung der App legst du ein Konto an. Dabei verarbeiten wir deine E-Mail-Adresse und ein (verschlüsselt gespeichertes) Passwort sowie die von dir eingegebenen Betriebsdaten (z. B. Name des Betriebs, Anschrift, Öffnungszeiten, Leistungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Authentifizierung und Datenspeicherung erfolgt über Supabase (siehe Ziffer 8), gehostet in einem Rechenzentrum innerhalb der EU (Region Frankfurt).

8. Eingesetzte Dienstleister (Auftragsverarbeiter)

Zur Erbringung unseres Dienstes setzen wir sorgfältig ausgewählte Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten. Mit diesen bestehen – soweit erforderlich – Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Bei Diensten, die wir erst vorbereiten und noch nicht einsetzen, schließen wir den erforderlichen Vertrag, bevor der Dienst aktiviert wird:

· Supabase (Supabase, Inc., USA) — Datenbank & Authentifizierung; Datenhaltung in der EU (Region Frankfurt).
· Vercel Inc. (USA) — Hosting und Auslieferung der Website.
· ElevenLabs, Inc. (USA) — Sprach-KI für die Telefonannahme; verarbeitet Gesprächsinhalte zur Bereitstellung der Sprach- und Assistenzfunktion (siehe Ziffer 9).
· Stripe (Stripe Payments Europe, Ltd., Irland; Stripe, Inc., USA) — Abwicklung von Zahlungen für kostenpflichtige Tarife.
· Resend (Resend, Inc., USA) — Versand von Benachrichtigungs- und Transaktions-E-Mails (z. B. Kontaktanfragen, Anruf-Zusammenfassungen).
· Cloudflare, Inc. (USA) — „Turnstile“-Schutz des Kontaktformulars gegen automatisierten Missbrauch (Spam-/Bot-Abwehr).
· ImprovMX (ImprovMX SAS, Frankreich) — Weiterleitung von E-Mails an unsere Adressen unter @mantrex.de (z. B. kontakt@mantrex.de) in unser Geschäftspostfach. Dabei werden Absender und Inhalt der jeweiligen E-Mail verarbeitet.
· Google Ireland Ltd. / Google LLC (USA) — Zwei Verwendungen: das Postfach, in dem unsere geschäftlichen E-Mails eingehen, sowie das KI-Modell „Gemini“ für unsere internen Auswertungen (Recht und Steuern). An Gemini gehen keine Anrufer- oder Kundendaten, sondern ausschließlich unsere eigenen betrieblichen Kennzahlen und Fristen.

Zur eigenen Buchführung nutzen wir außerdem Enable Banking Oy (Finnland) für den lesenden Zugriff auf unser Geschäftskonto. Davon sind ausschließlich unsere eigenen Firmendaten betroffen, keine Daten von Nutzern oder Anrufern.

Im eingeloggten Kundenbereich kannst du deinen Assistenten direkt im Browser testen. Dafür wird das Test-Widget von ElevenLabs über das Content-Delivery-Netzwerk unpkg (Cloudflare, Inc., USA) nachgeladen. Dabei wird technisch bedingt deine IP-Adresse an dieses Netzwerk übertragen. Die Verarbeitung erfolgt zur Bereitstellung der Testfunktion (Art. 6 Abs. 1 lit. b und f DSGVO).

9. KI-Telefonassistent: Telefon- und Sprachdaten

Nimmt der Telefonassistent im Auftrag eines Betriebs (z. B. einer Werkstatt) Anrufe entgegen, werden dabei Gesprächsdaten verarbeitet: die Sprachaufzeichnung des Anrufs, ein daraus erstelltes Transkript sowie strukturierte Angaben, die zur Bearbeitung des Anliegens nötig sind (z. B. Name, Rückrufnummer, gewünschte Leistung und Terminwunsch des Anrufers). Zweck ist die Annahme des Anrufs, die Beantwortung von Fragen, die Terminvereinbarung und die Aufnahme von Nachrichten.

Zu Beginn jedes Anrufs werden Anrufer darauf hingewiesen, dass sie mit einem KI-Assistenten sprechen und dass das Gespräch zur Bearbeitung verarbeitet/aufgezeichnet wird (Transparenzpflicht nach Art. 50 der KI-Verordnung der EU sowie § 201 StGB).

Im Hinblick auf diese Anruf- und Sprachdaten ist der jeweilige Betrieb, für den der Assistent Anrufe entgegennimmt, datenschutzrechtlich Verantwortlicher; Mantrex handelt insoweit als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die Verarbeitung erfolgt nach den Weisungen des Betriebs; die Daten werden gelöscht, sobald sie für den genannten Zweck nicht mehr erforderlich sind oder der Betrieb die Löschung verlangt.

Die Telefonverbindung selbst stellt DIDWW Ireland Limited (Irland) bereit: Dort läuft der weitergeleitete Anruf auf und wird an die Sprach-KI durchgestellt. DIDWW hat uns am 02.09.2026 schriftlich bestätigt, für seine Telekommunikationsdienste eigenständig Verantwortlicher zu sein und nicht in unserem Auftrag zu handeln. Das betrifft die Vermittlung des Anrufs und die dabei anfallenden Verbindungsdaten (Zeitpunkt, Dauer, Herkunft und Ziel eines Anrufs), die DIDWW zu eigenen Zwecken der Abrechnung, der Netzsicherheit und zur Erfüllung eigener gesetzlicher Pflichten verarbeitet und nach eigenen Angaben rund sieben Jahre aufbewahrt. Nach eigenen Angaben kann DIDWW dabei auch außerhalb des EWR verarbeiten und stützt das auf EU-Standardvertragsklauseln, Angemessenheitsbeschlüsse und geeignete technische und organisatorische Maßnahmen. Für diese Verarbeitung ist DIDWW gegenüber Anrufern selbst verantwortlich; es gelten die Datenschutzhinweise von DIDWW. Der Inhalt des Gesprächs wird davon nicht berührt: den verarbeiten wir wie oben beschrieben im Auftrag des Betriebs.

10. Kalender-Anbindung (Google Kalender, Microsoft Outlook)

Betriebe können freiwillig ihren eigenen Google Kalender oder ihren Microsoft-Outlook-Kalender (Microsoft 365 oder Outlook.com) mit Mantrex verbinden, und zwar höchstens einen davon. Ohne diese ausdrückliche Verbindung findet kein Zugriff auf Kalenderdaten statt; die Funktion ist standardmäßig aus.

Was wir abrufen. Ausschließlich die Belegt-Zeiten über die Schnittstelle freeBusy von Google, also Anfang und Ende bereits belegter Zeitfenster. Titel, Beschreibungen, Teilnehmer, Orte und Anhänge von Terminen werden nicht abgerufen und erreichen unsere Systeme nicht. Zweck ist allein, dem Assistenten keine Zeiten anbieten zu lassen, in denen der Betrieb bereits belegt ist (Vermeidung von Doppelbuchungen).

Bei Microsoft fragen wir über Microsoft Graph die Termine des Zeitraums ab, eingeschränkt auf Anfang, Ende, Belegt-Status und Absage. Titel, Text, Teilnehmer, Orte und Anhänge werden auch hier nicht abgefragt und erreichen unsere Systeme nicht. Den Umweg über die Terminabfrage nehmen wir, weil Microsofts reine Frei/Belegt-Schnittstelle bei privaten Outlook-Konten nicht verfügbar ist.

Was wir schreiben. Bucht der Assistent im Auftrag des Betriebs einen Termin, legen wir dazu einen Eintrag im Hauptkalender des Betriebs an. Dieser Eintrag enthält die Angaben des Anrufers (Name, Rückrufnummer, gewünschte Leistung), damit der Betrieb den Termin vorbereiten kann. Wir ändern oder löschen keine Termine, die nicht von Mantrex angelegt wurden.

Zugangsdaten. Die von Google bzw. Microsoft ausgestellten Zugriffs- und Erneuerungs-Token sind Zugangsdaten. Sie werden ausschließlich verschlüsselt gespeichert (AES-256-GCM); der Schlüssel liegt nicht in der Datenbank, sondern getrennt in der Serverkonfiguration. Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Betrieb (Art. 6 Abs. 1 lit. b DSGVO).

Widerruf und Löschung. Der Betrieb kann die Verbindung jederzeit in der Einrichtung trennen; wir widerrufen die Freigabe dann zusätzlich bei Google und löschen die gespeicherten Token. Unabhängig davon lässt sich die Freigabe jederzeit im Google-Konto unter myaccount.google.com/permissions entziehen.

Microsoft sieht keinen Widerruf durch Dritte vor. Bei einem verbundenen Outlook-Kalender löschen wir beim Trennen die gespeicherten Token vollständig; die Freigabe selbst entzieht der Betrieb in seinem Microsoft-Konto, bei Firmenkonten unter myapplications.microsoft.com, bei privaten Konten unter account.live.com/consent/Manage. Ohne gespeicherte Token haben wir auch ohne diesen Schritt keinen Zugriff mehr.

Eingeschränkte Verwendung (Google API Services User Data Policy). Die Verwendung von Informationen, die Mantrex über Google-APIs empfängt, richtet sich nach der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Verwendung (Limited Use). Konkret heißt das: Diese Daten werden ausschließlich zur Bereitstellung der oben beschriebenen Terminfunktionen verwendet, nicht für Werbung, nicht zum Training von KI-Modellen und nicht zum Verkauf oder zur Weitergabe an Dritte. Menschen lesen diese Daten nicht, außer der Betrieb stimmt ausdrücklich zu, es ist zur Behebung einer Störung oder aus Sicherheitsgründen erforderlich, oder das Gesetz verlangt es. Für Daten aus einem verbundenen Microsoft-Kalender gelten dieselben Beschränkungen.

Verhältnis zu Google und Microsoft. Der verbundene Kalender ist das eigene Google- bzw. Microsoft-Konto des Betriebs. Für die Verarbeitung in diesem Konto gilt das Verhältnis zwischen dem Betrieb und dem jeweiligen Anbieter (Google Ireland Ltd. bzw. Microsoft Ireland Operations Ltd.); wir greifen ausschließlich auf Weisung des Betriebs darauf zu. Siehe dazu auch § 6 unseres Auftragsverarbeitungsvertrags.

11. Kontaktformular

Wenn du uns über das Kontaktformular schreibst, verarbeiten wir die von dir angegebenen Daten (Name, E-Mail-Adresse, ggf. Betrieb und deine Nachricht) ausschließlich zur Bearbeitung deiner Anfrage. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) sowie unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden in unserer Datenbank (Supabase, EU) gespeichert und können uns per E-Mail zugestellt werden. Zur Abwehr von Missbrauch und Spam prüfen wir die Eingabe über „Cloudflare Turnstile“ und speichern zusätzlich einen pseudonymisierten (gehashten) Wert deiner IP-Adresse; Rechtsgrundlage hierfür ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Du kannst deine Einwilligung jederzeit widerrufen; wir löschen die Daten, sobald sie zur Bearbeitung deiner Anfrage nicht mehr erforderlich sind.

12. Datenübermittlung in Drittländer (USA)

Einige der unter Ziffer 8 genannten Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Eine Übermittlung erfolgt nur, soweit dies zur Erbringung des Dienstes erforderlich ist, und auf Grundlage geeigneter Garantien nach Kapitel V DSGVO: Für Anbieter, die nach dem EU-US Data Privacy Framework zertifiziert sind, dient dieses als Grundlage; ergänzend bzw. andernfalls bestehen EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie ggf. weitere Schutzmaßnahmen.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist:
· Kontodaten — bis zur Löschung des Kontos. Bei Kontolöschung werden auch die zugehörigen Betriebs-, Anruf- und Sprachdaten (einschließlich der beim Sprach-KI-Dienstleister gespeicherten Aufzeichnungen und Transkripte) gelöscht.
· Anruf-, Sprach- und Transkriptdaten — werden automatisch nach spätestens 90 Tagen gelöscht (einschließlich der Aufzeichnung beim Sprach-KI-Dienstleister), sofern der jeweilige Betrieb sie nicht früher löscht oder eine frühere Löschung verlangt. Termindaten bleiben bis zur Löschung durch den Betrieb erhalten.
· Kontaktanfragen — werden nach abschließender Bearbeitung, spätestens jedoch nach 180 Tagen, automatisch gelöscht.
· Reichweitenmessung (ohne Personenbezug, siehe Ziffer 6) — wird nach 25 Monaten automatisch gelöscht.
· Rechnungs- und Buchungsdaten — bis zu 10 Jahre aufgrund gesetzlicher Aufbewahrungspflichten (§ 147 AO, § 257 HGB).

14. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung deiner Rechte genügt eine Nachricht an kontakt@mantrex.de.

15. Beschwerderecht bei der Aufsichtsbehörde

Dir steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Für uns zuständig ist:
Thüringer Landesbeauftragter für den Datenschutz und die Informationsfreiheit (TLfDI)
Häßlerstraße 8, 99096 Erfurt
Du kannst dich auch an die Aufsichtsbehörde an deinem Wohnsitz wenden.

Stand: Oktober 2026