Datenschutzerklärung
Stand: 29. September 2026
1. Verantwortlicher
S&C Holding GmbH
Halbgasse 1a, 1070 Wien, Österreich
FN 366123t (Handelsgericht Wien)
UID: ATU70341613
Geschäftsführer: Mag. Markus Höfinger
E-Mail: hello@bellubi.com
2. Welche Daten wir verarbeiten
2.1 Betriebe und ihre Zugänge
- E-Mail-Adresse und Name der Personen mit Zugang zum Adminbereich
- Passwort, nur als Hash (scrypt) gespeichert
- Einstellungen des Chatbots und Inhalte, die der Betrieb hochlädt oder ergänzt
- Öffentliche Inhalte der Website des Betriebs, die Bellubi liest
2.2 Gespräche im Chatfenster
- Fragen und Antworten des Gesprächs
- Die Seite, auf der das Gespräch begonnen hat
- Eine pseudonyme Besucher-Kennung (HMAC aus der IP-Adresse, keine IP-Adresse im Klartext)
- Ereignisse wie Aufrufe der Demo und Klicks auf „Anfragen“
- Namen, Kontaktdaten oder andere Angaben nur, wenn Besucher sie selbst eintippen
2.3 Anfragen über www.bellubi.com
- „Chatbot erstellen“: Adresse der Website und E-Mail-Adresse
- „Bellubi Team kontaktieren“: Nachricht und E-Mail-Adresse. Sie werden per E-Mail zugestellt und nicht in der Datenbank gespeichert.
2.4 Technische Daten
- Server-Protokolle der Hosting-Anbieter mit IP-Adressen, Zeitpunkt und aufgerufener Adresse
- Fehlermeldungen
3. Zweck der Verarbeitung
| Zweck | Rechtsgrundlage |
|---|---|
| Betrieb des Chatbots für Betriebe (Zugang, Einstellungen, Wissen) | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Beantwortung von Besucherfragen im Chatfenster | Im Auftrag des Betriebs nach Art. 28 DSGVO; die Rechtsgrundlage legt der Betrieb als Verantwortlicher fest |
| Erstellen und Zusenden einer Demo auf Anfrage | Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) |
| Beantwortung von Nachrichten über das Kontaktformular | Art. 6 Abs. 1 lit. b und f DSGVO (Anfrage, berechtigtes Interesse an der Antwort) |
| Sicherheit und Missbrauchsschutz | Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) |
| Fehleranalyse und Verbesserung des Chatbots (technische Fehler, Auswertung ausgewählter Gesprächsverläufe) | Für Gespräche im Chatfenster im Auftrag des Betriebs nach Art. 28 DSGVO als Teil von Betrieb und Wartung des Dienstes; für technische Fehlerdaten Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem zuverlässigen Dienst) |
4. KI-Verarbeitung und Sub-Prozessoren
Gespeichert wird in Frankfurt: Datenbank und Dateien bei Supabase (AWS eu-central-1), App und Chat-Schnittstelle bei Vercel (fra1). Die Antworten im Chat erzeugt das Modell GLM 5.3 Flash über OpenRouter bei Anbietern in den USA, weil das Modell in der EU nicht verfügbar ist. Zero Data Retention und kein Training sind im Konto und bei jeder Anfrage erzwungen: Die Anbieter speichern die Anfragen nicht und trainieren nicht damit.
| Anbieter | Zweck | Standort | Schutzmaßnahmen |
|---|---|---|---|
| Supabase | Datenbank und Dateien: Gespräche, Einstellungen, hochgeladene Dokumente | Frankfurt, Deutschland (AWS eu-central-1) | Projekt in der Region Frankfurt |
| Vercel | App und Chat-Schnittstelle | Frankfurt, Deutschland (fra1) | Funktionen laufen in der Region Frankfurt |
| OpenRouter | KI-Antworten mit GLM 5.3 Flash. Weitergabe nur an: Together, Modal, Fireworks, Crusoe, Parasail, Relace, CoreWeave, BaseTen (alle USA) | USA | Zero Data Retention und kein Training, im Konto und pro Anfrage erzwungen; Standardvertragsklauseln (DPA in den Nutzungsbedingungen) |
| OpenAI bzw. Azure (über OpenRouter) | Einbettungen für die Suche | USA | Über OpenRouter mit denselben Einstellungen: Zero Data Retention, kein Training |
| Typesafe (Jev) | Relevanzbewertung der Suche | USA | Nur die einzelne Gastfrage und Website-Auszüge, kein Gesprächsverlauf, keine Besucher-Kennung |
| Cloudflare | Tunnel zum eigenen Server, der Websites liest | Weltweites Netz | Nur öffentliche Website-Inhalte, keine Gastdaten |
| Firecrawl (Cloud) | Screenshots der Website für die Demo | USA | Nur öffentliche Seiten, keine Gastdaten |
| Claude Haiku über OpenRouter (Amazon Bedrock bzw. Google Vertex) | Tägliche Fehleranalyse und Qualitätsauswertung: technische Fehlerprotokolle und ausgewählte Gesprächsverläufe (z. B. Fragen ohne Antwort, Kontaktdaten unkenntlich gemacht), um den Chatbot für alle Betriebe zu verbessern | USA oder EU | Über OpenRouter mit denselben Einstellungen wie die KI-Antworten: Zero Data Retention und kein Training, im Konto erzwungen (dafür kommen nur Amazon Bedrock und Google Vertex in Frage); Standardvertragsklauseln |
| Resend | Versand von E-Mails: Bestätigungen zu Demo-Anfragen, fertige Demo, Nachrichten über das Kontaktformular | Irland (AWS eu-west-1) | Versand über die EU-Region |
| Microsoft (Exchange Online) | Postfach hello@bellubi.com: eingehende Anfragen und Nachrichten | EU | Microsoft-Vertrag für Unternehmenskunden |
Den Server in Österreich, der Websites liest (selbst gehostetes Firecrawl), betreibt Bellubi selbst. Er ist deshalb kein Unterauftragsverarbeiter.
Mehr zu Standorten und Anbietern steht im Trust Center.
5. Rollen: Verantwortlicher und Auftragsverarbeiter
Bellubi als Verantwortlicher:
Für die Daten der Betriebe und ihrer Zugänge sowie für Anfragen über www.bellubi.com ist die S&C Holding GmbH Verantwortlicher.
Bellubi als Auftragsverarbeiter:
Für die Gespräche im Chatfenster auf der Website eines Betriebs handelt die S&C Holding GmbH als Auftragsverarbeiter für diesen Betrieb. Der Betrieb bleibt Verantwortlicher und informiert seine Besucher in seiner eigenen Datenschutzerklärung. Das Chatfenster zeigt vor dem ersten Chat einen Hinweis mit Link dorthin.
Einen Auftragsverarbeitungsvertrag (AVV) bekommen Betriebe auf Anfrage an hello@bellubi.com.
6. Datenspeicherung
- Gespräche: 90 Tage, den Zeitraum stellt jeder Betrieb selbst ein. Ein Lösch-Job läuft täglich.
- Ereignisse wie Klicks auf „Anfragen“: 400 Tage
- Einträge für den Missbrauchsschutz: 2 Tage
- Demo-Anfragen über www.bellubi.com: 12 Monate
- Daten eines Betriebs: für die Dauer des Vertrags, nach Kündigung Löschung innerhalb von 30 Tagen
- Auf Anfrage: sofortige Löschung möglich
7. Rechte der Betroffenen
Nach der DSGVO hast du das Recht auf:
- Auskunft (Art. 15) über deine gespeicherten Daten
- Berichtigung (Art. 16) unrichtiger Daten
- Löschung (Art. 17), „Recht auf Vergessenwerden“
- Einschränkung der Verarbeitung (Art. 18)
- Datenübertragbarkeit (Art. 20)
- Widerspruch gegen die Verarbeitung (Art. 21)
Anfragen an: hello@bellubi.com. Geht es um ein Gespräch im Chatfenster auf der Website eines Betriebs, wende dich an diesen Betrieb. Er ist dafür Verantwortlicher, Bellubi unterstützt ihn dabei.
Beschwerderecht: Österreichische Datenschutzbehörde (DSB), Barichgasse 40-42, 1030 Wien, www.dsb.gv.at
8. Seitenaufruf-Analyse und Cookies
Auf den öffentlichen Bellubi-Seiten und Demo-Seiten nutzen wir Umami Cloud zur Auswertung von Seitenaufrufen. Übermittelt werden die Bellubi-Domain und der Seitenpfad; bei Demos bleibt die öffentliche Demo-Kennung im Pfad enthalten, damit wir Aufrufe je Demo unterscheiden können. URL-Parameter und Fragmente, Kundennamen aus Seitentiteln, verweisende Seiten und Chat-Inhalte werden nicht als Analysedaten übermittelt. Admin- und Abmeldeseiten sind ausgenommen. Beim Abruf des Analyseskripts und der Übermittlung entstehen technisch notwendige Verbindungsdaten beim Anbieter. Die Do-Not-Track-Einstellung des Browsers wird berücksichtigt. Mehr zum Anbieter: Umami Datenschutz.
Für die Seitenaufruf-Analyse mit Umami Cloud werden keine Cookies gesetzt. Es werden keine Werbedienste eingesetzt. Der Adminbereich setzt nach der Anmeldung ein technisch notwendiges Sitzungs-Cookie. Das Chatfenster setzt keine Cookies. Im sessionStorage des Browsers liegen Größe und Lage des Fensters und die Bestätigung des Datenschutz-Hinweises; das endet mit dem Tab. Ab der ersten Nachricht speichert das Chatfenster im localStorage zusätzlich eine zufällige Kennung, damit der Betrieb frühere Gespräche desselben Browsers zuordnen kann (bei aktivem Mitarbeiter-Chat auch das laufende Gespräch samt Zugangs-Token). Bellubi speichert nur einen Hash der Kennung. Sie bleibt im Browser, bis der Gast im Chatfenster „Chat löschen“ wählt oder den Browser-Speicher leert.