Datenschutz­erklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

frag.hugo Informationssicherheit GmbH
Spaldingstraße 64-68
20097 Hamburg
Deutschland

Telefon: 040 57308220-0
E-Mail: info@fraghugo.de
Web: www.fraghugo.de

Geschäftsführer: Nils Oehmichen

2. Datenschutzbeauftragter

Wir haben einen externen Datenschutzbeauftragten bestellt:

datuno GmbH
Kiebitzhörn 15
22885 Barsbüttel

Telefon: +49 40 22 853 843-0
E-Mail: datenschutz@datuno.de

3. Übersicht der Verarbeitungen

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung einer funktionierenden Website sowie unserer Inhalte und Leistungen erforderlich ist. Im Folgenden informieren wir Sie über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten.

Zusammenfassung der verarbeiteten Daten:

• Zugriffsdaten / Server-Log-Dateien (IP-Adresse, Zeitstempel, aufgerufene Seiten)
• Kontaktdaten (Name, E-Mail, Telefon – nur bei aktiver Kontaktaufnahme)
• Nutzungsdaten (anonymisierte Seitenaufrufe über Matomo)
• Nutzungsmuster (Sitzungsaufzeichnungen und Heatmaps über Microsoft Clarity – nur mit Ihrer ausdrücklichen Einwilligung)
• Terminbuchungsdaten (über Brevo)
• Chat-Eingaben an unseren KI-Assistenten „Hugo" (nur bei aktiver Nutzung und nach Ihrer Einwilligung)
• Abruf der Seiten-Konfiguration durch die Browser-Erweiterung „frag.hugo KI-Schutz" (IP-Adresse, ohne Speicherung; Einzelheiten in Abschnitt 15)

Was wir bewusst nicht einsetzen:

• Kein Google Analytics, kein Facebook Pixel, kein TikTok Pixel
• Keine US-Tracking-Dienste ohne Ihre ausdrückliche Einwilligung (Microsoft Clarity wird ausschließlich nach Opt-in geladen)
• Keine externen Schriftarten (alle Fonts werden lokal geladen)
• Keine Content Delivery Networks (CDNs) von Drittanbietern
• Keine Social-Media-Plugins mit Datenübertragung
• Keine Google Maps, YouTube oder sonstige Embeds ohne Consent

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Die betroffene Person hat ihre Einwilligung zur Verarbeitung für einen bestimmten Zweck gegeben.
• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist für die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen erforderlich.
• Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Die Verarbeitung ist zur Wahrung berechtigter Interessen erforderlich, sofern nicht die Interessen der betroffenen Person überwiegen.

5. Hosting & Datenverarbeitung

Website-Auslieferung (Cloudflare Pages)

Die statischen Inhalte dieser Website (Texte, Bilder, Stylesheets) werden über Cloudflare Pages der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, ausgeliefert. Cloudflare betreibt ein globales Content Delivery Network (CDN) mit Rechenzentren weltweit, darunter zahlreiche Standorte in der EU.

Wenn Sie unsere Website besuchen, wird Ihre Anfrage über das nächstgelegene Cloudflare-Rechenzentrum ausgeliefert. Dabei verarbeitet Cloudflare als unser Auftragsverarbeiter Ihre IP-Adresse und weitere technische Daten, die für die Auslieferung der Website erforderlich sind. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Bereitstellung unserer Website).

Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert und hat sich zur Einhaltung der EU-Datenschutzstandards verpflichtet. Wir haben mit Cloudflare einen Auftragsverarbeitungsvertrag (Data Processing Addendum) gemäß Art. 28 DSGVO geschlossen. Weitere Informationen finden Sie in der Datenschutzerklärung von Cloudflare.

Anwendungsserver & Kundendaten (Deutschland)

Sämtliche Anwendungsserver, Datenbanken und Kundendaten unserer Produkte (u. a. Hugo Check, Hugo DSB, Hugo Shield, Hugo ISMS, Hugo Safe und Hugo Learn) werden auf einem dedizierten Server in Deutschland betrieben — gehostet bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, einem deutschen Unternehmen mit ausschließlich deutschen Rechenzentren.

Das bedeutet: Ihre Kundendaten, Analyseergebnisse, Dokumente und Auditberichte verlassen zu keinem Zeitpunkt Deutschland. Es findet keine Datenübertragung an Server außerhalb der EU statt. Die Daten werden verschlüsselt gespeichert und sind strikt nach Mandanten getrennt.

Mit Hetzner haben wir einen Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO geschlossen. Hetzner ist nach ISO 27001 zertifiziert und betreibt eigene Rechenzentren mit physischen Zugangskontrollen, redundanter Stromversorgung und 24/7-Überwachung.

6. SSL/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung personenbezogener Daten eine SSL- bzw. TLS-Verschlüsselung. Sie erkennen eine verschlüsselte Verbindung daran, dass die Adresszeile des Browsers von „http://" auf „https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

Wenn die SSL- bzw. TLS-Verschlüsselung aktiviert ist, können die Daten, die Sie an uns übermitteln, nicht von Dritten mitgelesen werden.

7. Server-Log-Dateien

Cloudflare erhebt und speichert automatisch Informationen in sogenannten Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dies sind:

• Browsertyp und Browserversion
• Verwendetes Betriebssystem
• Referrer URL
• Hostname des zugreifenden Rechners
• Uhrzeit der Serveranfrage
• IP-Adresse

Eine Zusammenführung dieser Daten mit anderen Datenquellen wird nicht vorgenommen. Die Erfassung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Der Websitebetreiber hat ein berechtigtes Interesse an der technisch fehlerfreien Darstellung und der Sicherheit seiner Website.

Server-Log-Dateien werden nach spätestens 7 Tagen automatisch gelöscht, sofern keine längere Aufbewahrung zu Beweiszwecken (z. B. bei Angriffen auf die Server-Infrastruktur) erforderlich ist.

8. Kontaktaufnahme

Kontaktformular

Wenn Sie uns über unser Kontaktformular Anfragen zukommen lassen, werden Ihre Angaben aus dem Formular einschließlich der dort angegebenen Kontaktdaten zwecks Bearbeitung der Anfrage und für den Fall von Anschlussfragen bei uns gespeichert. Diese Daten geben wir nicht ohne Ihre Einwilligung weiter.

Die Verarbeitung der in das Kontaktformular eingegebenen Daten erfolgt zur Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage hin (Art. 6 Abs. 1 lit. b DSGVO) sowie auf Grundlage unseres berechtigten Interesses an der Beantwortung Ihrer Anfrage (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden gelöscht, sobald der Zweck der Speicherung entfällt (z. B. nach abgeschlossener Bearbeitung Ihrer Anfrage). Zwingende gesetzliche Aufbewahrungsfristen bleiben unberührt.

Anfragen per E-Mail oder Telefon

Wenn Sie uns per E-Mail oder Telefon kontaktieren, wird Ihre Anfrage inklusive aller daraus hervorgehenden personenbezogenen Daten (Name, Anfrage, E-Mail-Adresse, Telefonnummer) zum Zwecke der Bearbeitung Ihres Anliegens bei uns gespeichert und verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung Ihrer Anfrage). Die Daten werden gelöscht, sobald der Zweck der Speicherung entfällt.

E-Mail-Information für Bestandskunden (Direktwerbung)

Wenn Sie uns im Zusammenhang mit einer Anfrage, dem Bezug eines kostenlosen Inhalts (z. B. E-Book, Checkliste, Website-Check) oder der Nutzung unserer Dienste Ihre E-Mail-Adresse mitgeteilt haben, nutzen wir diese gelegentlich, um Sie per E-Mail über eigene ähnliche Leistungen und Inhalte rund um Datenschutz und Informationssicherheit zu informieren (§ 7 Abs. 3 UWG). Rechtsgrundlage der damit verbundenen Datenverarbeitung ist unser berechtigtes Interesse an Direktwerbung gegenüber Bestandskunden (Art. 6 Abs. 1 lit. f DSGVO, Erwägungsgrund 47).

Sie können dieser Verwendung jederzeit widersprechen (Art. 21 Abs. 2 DSGVO), ohne dass hierfür andere als die Übermittlungskosten nach den Basistarifen entstehen — am einfachsten über den Abmeldelink, den jede dieser E-Mails enthält, oder formlos per E-Mail an info@fraghugo.de. Nach einem Widerspruch erhalten Sie keine werbliche E-Mail mehr von uns; die Bearbeitung Ihrer laufenden Anfragen bleibt davon unberührt.

9. Webanalyse mit Matomo

Wir nutzen auf dieser Website Matomo (ehemals Piwik), eine Open-Source-Software zur statistischen Auswertung der Besucherzugriffe.

Selbst gehostet, keine Datenübertragung an Dritte

Matomo wird auf unserer eigenen Server-Infrastruktur betrieben. Es findet keine Datenübertragung an Dritte oder an Server außerhalb der EU statt. Die erhobenen Daten verlassen zu keinem Zeitpunkt unsere Infrastruktur.

Cookieless Tracking

Wir setzen Matomo im cookielosen Modus ein. Das bedeutet: Es werden keine Cookies auf Ihrem Endgerät gesetzt. Die Wiedererkennung von Nutzern erfolgt nicht. Jeder Seitenaufruf wird als eigenständiger Besuch gewertet.

IP-Anonymisierung

Ihre IP-Adresse wird unmittelbar nach der Erhebung anonymisiert (mindestens die letzten zwei Bytes werden entfernt), bevor sie gespeichert wird. Ein Rückschluss auf einzelne Personen ist damit nicht möglich.

Verarbeitete Daten

• Anonymisierte IP-Adresse
• Aufgerufene Seiten und Zeitpunkt des Zugriffs
• Browsertyp und Betriebssystem
• Referrer (zuvor besuchte Seite)
• Bildschirmauflösung
• Verweildauer

Rechtsgrundlage

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht in der Analyse und Verbesserung unserer Website. Durch den cookielosen Modus und die IP-Anonymisierung ist der Eingriff in Ihre Rechte minimal.

Widerspruchsrecht (Opt-out)

Sie können der Erfassung durch Matomo jederzeit widersprechen. Nutzen Sie dazu die „Do Not Track"-Einstellung Ihres Browsers. Matomo respektiert diese Einstellung automatisch.

10. Microsoft Clarity (Sitzungsaufzeichnungen & Heatmaps)

Sofern Sie über unseren Cookie-Banner in die Kategorie „Statistik" einwilligen, setzen wir zusätzlich Microsoft Clarity der Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA, ein. Clarity hilft uns zu verstehen, wie Besucher unsere Website nutzen (Klickpfade, Scroll-Verhalten, Bedienprobleme), damit wir Usability und Inhalte gezielt verbessern können.

Erhobene Daten

• Anonymisierte Sitzungsaufzeichnungen (Mausbewegungen, Klicks, Scrolls)
• Heatmaps (aggregierte Klick- und Scroll-Verteilung)
• Geräte- und Browser-Informationen, gekürzte IP-Adresse, Referrer

Clarity maskiert Texteingaben und sensible Inhalte standardmäßig (z. B. Formularfelder, passwortgeschützte Bereiche). Wir erhalten keine Klartext-Eingaben aus Formularen.

Rechtsgrundlage

Die Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Ohne Ihre Einwilligung wird Clarity nicht geladen.

Drittland­übermittlung (USA)

Microsoft Clarity überträgt Daten in die USA. Microsoft ist nach dem EU-US Data Privacy Framework zertifiziert, wodurch ein angemessenes Datenschutzniveau gemäß Art. 45 DSGVO anerkannt ist. Zusätzlich bestehen Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO.

Speicherdauer

Sitzungsaufzeichnungen werden bei Microsoft Clarity für maximal 13 Monate gespeichert und anschließend automatisch gelöscht.

Widerruf der Einwilligung

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Nutzen Sie dazu den Button „Cookie-Einstellungen" am unteren Seitenrand und deaktivieren Sie die Kategorie „Statistik". Weitere Informationen finden Sie in der Microsoft-Datenschutzerklärung.

11. Keine externen Schriftarten

Auf dieser Website werden alle Schriftarten lokal eingebunden. Es erfolgt kein Abruf von Google Fonts, Adobe Fonts oder anderen externen Schriftarten-Diensten. Beim Laden der Website werden daher keine Verbindungen zu Servern von Drittanbietern aufgebaut, und es wird keine IP-Adresse an diese übermittelt.

12. Content Delivery Network (Cloudflare)

Diese Website wird über das Content Delivery Network (CDN) von Cloudflare ausgeliefert (siehe Abschnitt 5 „Hosting"). Sämtliche Ressourcen (Skripte, Stylesheets, Schriftarten, Bilder) werden ausschließlich über Cloudflare bereitgestellt. Es werden keine weiteren CDNs von Drittanbietern wie AWS CloudFront, Google CDN oder ähnliche Dienste eingebunden.

13. Terminbuchung über Brevo

Für die Buchung von Erstgesprächen und Beratungsterminen nutzen wir den Dienst Brevo (ehemals Sendinblue), Brevo GmbH, Köpenicker Str. 126, 10179 Berlin, Deutschland.

Wenn Sie über unsere Website einen Termin buchen, werden folgende Daten an Brevo übermittelt und dort verarbeitet:

• Name
• E-Mail-Adresse
• Gewünschter Termin
• Ggf. Telefonnummer und weitere von Ihnen eingegebene Angaben

Brevo fungiert hierbei als Auftragsverarbeiter gemäß Art. 28 DSGVO. Wir haben mit Brevo einen Auftragsverarbeitungsvertrag geschlossen. Die Datenverarbeitung erfolgt auf Servern innerhalb der EU.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) sowie Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung bei der Terminbuchung).

Weitere Informationen finden Sie in der Datenschutzerklärung von Brevo.

14. KI-Chat-Assistent „Hugo" (OpenAI)

Auf unserer Website bieten wir einen optionalen Chat-Assistenten namens „Hugo" an, der Ihnen Fragen zu unseren Produkten und Leistungen beantwortet. Der Assistent wird nicht automatisch geladen und erst aktiv, wenn Sie das Chat-Fenster öffnen und der Übermittlung Ihrer Nachrichten an den eingesetzten KI-Dienst ausdrücklich zustimmen. Vor der ersten Übermittlung weisen wir Sie im Chat-Fenster gesondert auf die Verarbeitung durch OpenAI hin.

Verarbeitete Daten

• Der von Ihnen eingegebene Nachrichtentext (Ihre Fragen an den Assistenten)
• Sofern Sie diese aktiv angeben: Ihre E-Mail-Adresse und ggf. Ihr Name für eine Kontaktaufnahme

Wir empfehlen, in den Chat keine sensiblen personenbezogenen Daten (z. B. Gesundheits- oder Vertragsdaten) einzugeben. Auf diesen Umstand weisen wir Sie auch im Chat-Fenster hin.

Verarbeitung durch OpenAI & Drittland­übermittlung (USA)

Zur Erzeugung der Antworten wird Ihre Nachricht über eine von uns betriebene Server-Funktion (gehostet bei Hetzner in Deutschland) an den KI-Dienst OpenAI (OpenAI, L.L.C. bzw. OpenAI Ireland Ltd.) weitergeleitet und dort verarbeitet. Dabei kann eine Übermittlung in die USA stattfinden. Diese Übermittlung ist durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgesichert; wir haben mit OpenAI einen Auftragsverarbeitungs­vertrag (Data Processing Addendum) gemäß Art. 28 DSGVO geschlossen. Über die API übermittelte Inhalte werden von OpenAI nicht zum Training der KI-Modelle verwendet.

Lead-Erfassung

Wenn Sie im Chat von sich aus eine E-Mail-Adresse hinterlassen (z. B. um Unterlagen oder ein Erstgespräch zu erhalten), speichern wir diese Angaben zur Bearbeitung Ihres Anliegens auf unserer Datenbank-Infrastruktur (gehostet bei Hetzner in Deutschland) und ggf. in unserem CRM-System (Brevo, Server in der EU). Die Verarbeitung erfolgt zur Durchführung vorvertraglicher Maßnahmen und zur Kontaktaufnahme.

Rechtsgrundlage

Die Verarbeitung der Chat-Eingaben erfolgt auf Grundlage Ihrer Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 25 Abs. 1 TDDDG. Geben Sie Kontaktdaten für eine Anfrage an, stützt sich die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen). Ohne Ihre Zustimmung werden keine Daten an OpenAI übermittelt.

Speicherdauer & Widerruf

Chat-Verläufe werden nur so lange gespeichert, wie es zur Beantwortung und zur Nachvollziehbarkeit erforderlich ist, und anschließend gelöscht. Kontaktdaten aus einer Anfrage werden gelöscht, sobald deren Zweck entfällt und keine gesetzlichen Aufbewahrungsfristen entgegenstehen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie den Chat nicht weiter nutzen. Weitere Informationen finden Sie in der Datenschutzerklärung von OpenAI.

15. Browser-Erweiterung „frag.hugo KI-Schutz"

Die Browser-Erweiterung frag.hugo KI-Schutz (englisch „frag.hugo AI Shield") für Google Chrome und Microsoft Edge ersetzt personenbezogene Angaben in Texten, die Sie in die KI-Dienste ChatGPT, Claude, Gemini, Microsoft Copilot, Microsoft 365 Copilot Chat und DeepL einfügen, durch Platzhalter. Anbieter der Erweiterung und Verantwortlicher für die nachfolgend beschriebenen Verarbeitungen ist die frag.hugo Informationssicherheit GmbH (siehe Abschnitt 1). Die Erweiterung lässt sich in zwei Betriebsarten nutzen: im freien Modus ohne Konto und im Firmenmodus, wenn Ihr Arbeitgeber sie zentral verteilt.

Freier Modus: Verarbeitung nur in Ihrem Browser

Die Texte, die Sie einfügen, die erzeugten Platzhalter und die Zuordnung von Platzhalter und echtem Wert werden ausschließlich in Ihrem Browser verarbeitet. Die Zuordnung liegt im Sitzungsspeicher des Browsers und wird gelöscht, wenn Sie den Browser schließen, nach zwölf Stunden ohne Nutzung oder wenn Sie in der Erweiterung „Zuordnung löschen" wählen. Diese Daten werden nie an frag.hugo übertragen.

Die einzige Verbindung der Erweiterung zu uns ist der tägliche Abruf einer signierten Seiten-Konfiguration (Adapter-Konfiguration) von ki-schutz.fraghugo.de. Sie beschreibt, wo auf den unterstützten Seiten das Eingabefeld und die Antwort stehen, und enthält keine personenbezogenen Daten. Bei diesem Abruf wird technisch bedingt Ihre IP-Adresse an den Dienst übermittelt. Der Dienst speichert keine IP-Adressen; seine Protokolle enthalten keine IP-Adresse.

Die Erweiterung sendet keine Telemetrie und keine Nutzungsstatistik. Fehlerberichte werden nur übermittelt, wenn Sie dies in den Optionen der Erweiterung ausdrücklich einschalten. Sie sind anonym und enthalten nur den betroffenen Seiten-Adapter, die Version der Erweiterung und die Fehlerklasse, nie Text aus Ihren Eingaben oder den Antworten.

Rechtsgrundlagen im freien Modus

• Abruf der Seiten-Konfiguration: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, dass die Erweiterung auf den unterstützten Seiten funktioniert, auch wenn diese ihren Aufbau ändern. Der Zugriff auf Ihr Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen.
• Fehlerberichte: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit in den Optionen der Erweiterung mit Wirkung für die Zukunft widerrufen.

Firmenmodus

Verteilt Ihr Arbeitgeber die Erweiterung zentral, ruft sie mit dem Verteilschlüssel der Firma deren Konfiguration ab: die Freigabeliste für KI-Dienste, den Link zur KI-Richtlinie der Firma und Lerneinheiten. Der Verteilschlüssel identifiziert die Firma, nicht die einzelne Person.

Monatszahlen entstehen nur, wenn die Firma sie einschaltet. Es handelt sich um Zähler ohne Inhalte (zum Beispiel die Zahl ersetzter Angaben), versehen mit einem Zufallswert, der jeden Monat neu erzeugt wird. Die Firma sieht die Zahlen erst, wenn sie von mindestens fünf Geräten stammen, und nur zusammengefasst: ohne Abteilung, ohne Person. IP-Adressen werden dabei nicht gespeichert.

Gegenüber unseren Firmenkunden handeln wir dabei im Rahmen des bestehenden Plattformvertrags und des Auftragsverarbeitungsvertrags.

Die KI-Dienste

Die Anbieter der KI-Dienste (ChatGPT, Claude, Gemini, Microsoft Copilot, Microsoft 365 Copilot Chat, DeepL) sind eigene Verantwortliche bzw. Anbieter, deren Dienste Sie selbst nutzen. Was dort ankommt, also die Platzhalter und gegebenenfalls Angaben, die die Erweiterung nicht erkannt hat, unterliegt deren Bedingungen und Datenschutzhinweisen. Unsere Einschätzung der einzelnen Dienste und Tarife finden Sie im DSGVO-Prüfstand.

Hosting des Konfigurationsdienstes

Der Dienst ki-schutz.fraghugo.de läuft bei Cloudflare (Cloudflare Workers und Workers KV). Zu Cloudflare, dem Auftragsverarbeitungsvertrag und der Übermittlung in die USA siehe Abschnitt 5 „Hosting".

Keine Beschäftigtendaten

frag.hugo verarbeitet über die Erweiterung keine Beschäftigtendaten.

16. frag.hugo für KI-Assistenten (Claude, Microsoft 365 Copilot, ChatGPT)

Über unseren Dienst mcp.fraghugo.de können Sie frag.hugo in KI-Assistenten wie Claude, Microsoft 365 Copilot und ChatGPT einbinden. Der Assistent ruft dann Werkzeuge auf, etwa zur Suche in dokumentierten DSGVO-Bußgeldern, zu Fristen, zur Einschätzung von Software oder zur zuständigen Aufsichtsbehörde. Verantwortlicher ist die frag.hugo Informationssicherheit GmbH (siehe Abschnitt 1).

Öffentliche Werkzeuge (ohne Konto)

Suchbegriffe, Software-Namen und Domains, die der Assistent übergibt, verarbeiten wir nur, um die Anfrage zu beantworten. Sie werden weder gespeichert noch protokolliert. Zur Begrenzung der Anfragen nutzen wir kurzlebige Zähler mit einem Hashwert der IP-Adresse, die nach höchstens zwei Tagen verfallen; die IP-Adresse selbst wird nicht gespeichert. Für die Prüfung der E-Mail-Sicherheit fragen unsere Server die DNS-Einträge der genannten Domain ab.

Ausnahme Website-Check: Bitten Sie den Assistenten, eine Website zu prüfen, geht die Adresse an unseren Scanner, der die Seite wie ein Besucher lädt. Wie bei jedem Hugo Check protokolliert der Scanner die Adresse, hält das Ergebnis zum Abruf bereit und speichert je Domain, welche Drittdienste er gefunden hat. Damit dieselbe Anfrage nicht doppelt prüft, halten wir einen Hashwert der Adresse bis zu 24 Stunden vor.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die angefragten Auskünfte bereitzustellen und den Dienst vor Überlastung zu schützen.

Werkzeuge mit Ihrem frag.hugo-Konto

Kundinnen und Kunden von frag.hugo können ihr bestehendes Konto verbinden (OAuth). Der Assistent liest und trägt dann ein, was die verbundene Person auch in der App lesen und eintragen darf: Firmenangaben, Verarbeitungstätigkeiten, Dienstleister und Auftragsverarbeitungsverträge, technische und organisatorische Maßnahmen, Datenschutzerklärung, Löschkonzept, Datenschutz-Folgenabschätzungen, Datenpannen und Betroffenenanfragen, Mitarbeitende (Name, E-Mail-Adresse, Abteilung) mit ihren Schulungen und Unterweisungen, Phishing-Übungen, Antworten der Bestandsaufnahme, Dokumente, Aufgaben, das KI-Register sowie Angaben zu NIS2 und zur Lieferkette. Es gelten dieselben Rechte wie in der App. Lesen und Schreiben geben Sie beim Verbinden getrennt frei.

Was eine E-Mail auslöst oder etwas löscht (zum Beispiel Einladungen an Mitarbeitende, Schulungszuweisungen oder eine Phishing-Übung), zeigt der Assistent zuerst als Vorschau. Ausgeführt wird es erst nach Ihrer ausdrücklichen Bestätigung.

Jede Änderung über den Assistenten halten wir in einem Änderungsprotokoll Ihrer Firma fest: wer sie wann gemacht hat, welcher Eintrag betroffen ist, welche Felder sich geändert haben und wie sie vorher und nachher aussahen. So sehen Sie in der App, was Ihr Assistent geändert hat, und können es 90 Tage lang rückgängig machen. Danach löschen wir die Inhalte (vorher und nachher) aus dem Protokoll. Die Zeile ohne Inhalt (wer, wann, welcher Eintrag) bleibt als Nachweis 13 Monate bestehen und wird dann gelöscht.

Für die Verbindung speichern wir die Zugangsschlüssel (verschlüsselt), Zeitpunkte, den Namen des verbundenen Assistenten und Ihre Organisation, damit Sie die Verbindung in der App sehen und widerrufen können. Ein Zugangsschlüssel gilt eine Stunde, die Verlängerung höchstens 90 Tage ohne Nutzung; danach oder mit dem Widerruf endet die Verbindung. Das Protokoll der Werkzeugaufrufe enthält keine Freitexte, nur Kennungen, Werkzeug, Zeitpunkt und eine Prüfsumme der Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Ihr Vertrag mit uns).

Was Ihr Assistent einträgt, verarbeiten wir wie in der App im Auftrag Ihrer Firma, auf Grundlage des bestehenden Plattformvertrags und des Auftragsverarbeitungsvertrags.

Ihr KI-Anbieter

Was Sie Ihrem Assistenten sagen und was er aus frag.hugo liest, verarbeitet der Anbieter des KI-Assistenten, den Sie verwenden (zum Beispiel Anthropic, Microsoft oder OpenAI). Diesen Anbieter wählen Sie aus und mit ihm schließen Sie den Vertrag. Er ist deshalb Ihr Auftragsverarbeiter, nicht unserer, und verarbeitet die Inhalte nach seinen eigenen Bedingungen. Für personenbezogene Daten, etwa Ihre Mitarbeiterliste, nutzen Sie einen Geschäftstarif mit Auftragsverarbeitungsvertrag, zum Beispiel Claude Team oder Enterprise, ChatGPT Business oder Enterprise oder Microsoft 365 Copilot. Welche Tarife sich eignen, zeigt unser DSGVO-Prüfstand.

Hosting

Der Dienst mcp.fraghugo.de läuft bei Cloudflare (Cloudflare Workers und Workers KV; zu Cloudflare und der Übermittlung in die USA siehe Abschnitt 5 „Hosting"). Inhalte, die Ihr Assistent liest oder einträgt, werden dort nur durchgeleitet und nicht gespeichert. Die Plattform mit Ihren Kontodaten betreiben wir auf Servern der Hetzner Online GmbH in Deutschland.

17. Ihre Rechte als betroffene Person

Ihnen stehen nach der DSGVO folgende Rechte zu. Zur Wahrnehmung Ihrer Rechte genügt eine formlose Mitteilung an info@fraghugo.de.

Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, Auskunft über Ihre von uns verarbeiteten personenbezogenen Daten zu verlangen. Dies umfasst insbesondere Angaben zu den Verarbeitungszwecken, den Kategorien personenbezogener Daten, den Empfängern, der geplanten Speicherdauer sowie der Herkunft der Daten.

Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, unverzüglich die Berichtigung unrichtiger oder die Vervollständigung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen.

Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, die Löschung Ihrer bei uns gespeicherten personenbezogenen Daten zu verlangen, soweit nicht die Verarbeitung zur Ausübung des Rechts auf freie Meinungsäußerung und Information, zur Erfüllung einer rechtlichen Verpflichtung, aus Gründen des öffentlichen Interesses oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)

Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer personenbezogenen Daten zu verlangen, soweit die Richtigkeit der Daten von Ihnen bestritten wird, die Verarbeitung unrechtmäßig ist, wir die Daten nicht mehr benötigen, Sie diese jedoch zur Geltendmachung von Rechtsansprüchen benötigen, oder Sie Widerspruch gegen die Verarbeitung eingelegt haben.

Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre personenbezogenen Daten, die Sie uns bereitgestellt haben, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.

Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten, die auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) erfolgt, Widerspruch einzulegen. Wir verarbeiten die personenbezogenen Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen.

Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Sie haben das Recht, eine einmal erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

18. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzulegen.

Die für uns zuständige Aufsichtsbehörde ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI)
Ludwig-Erhard-Str. 22, 7. OG
20459 Hamburg

Telefon: 040 / 428 54 - 4040
E-Mail: mailbox@datenschutz.hamburg.de
Web: datenschutz-hamburg.de

19. Aktualität und Änderung dieser Datenschutzerklärung

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand Juni 2026.

Durch die Weiterentwicklung unserer Website und Angebote oder aufgrund geänderter gesetzlicher bzw. behördlicher Vorgaben kann es notwendig werden, diese Datenschutzerklärung anzupassen. Die jeweils aktuelle Fassung kann jederzeit auf dieser Seite abgerufen werden.