Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
the WhistleBee GmbH
Paradeisergasse 10/1, 9020 Klagenfurt am Wörthersee, Österreich
E-Mail: office@theWhistleBee.com
Telefon: +43 660 309 1052

Für alle Anliegen zum Datenschutz — einschließlich der Ausübung Ihrer Rechte nach Abschnitt 9 — genügt eine formlose Nachricht an die oben genannte E-Mail-Adresse.

2. Welche Daten wir verarbeiten — und warum

Wir verarbeiten ausschließlich die Daten, die für den Betrieb der Plattform tatsächlich anfallen:

• Konto- & Kontaktdaten — E-Mail-Adresse, Passwort (nur als Hashwert beim Authentifizierungsdienst), Name, Firmenname, Rechnungsanschrift, UID-Nummer.
  Zweck: Bereitstellung Ihres Zugangs und Erfüllung des Nutzungsvertrags. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Analyse-Inhalte — die von Ihnen hochgeladenen Dokumente (.pdf, .docx, .xlsx, .txt, .md) bzw. der daraus extrahierte Text, der gewählte Prüfanlass, Ihre Zielbeschreibung, die Rückfragen des Systems und Ihre Antworten darauf sowie die erzeugten Analyseberichte und Vergleichsmatrizen.
  Zweck: Durchführung der beauftragten KI-Analyse. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die hochgeladene Originaldatei selbst wird nicht dauerhaft gespeichert — nur der daraus extrahierte Text (siehe Abschnitt 3).
• Abrechnungsdaten — Credit-Guthaben, Transaktionshistorie, eingelöste Gutschein-Codes und Einladungslinks.
  Zweck: Leistungsabrechnung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung zusätzlich Art. 6 Abs. 1 lit. c DSGVO i.V.m. § 132 BAO.
• Warteliste — Ihre E-Mail-Adresse, eine optionale Freitext-Notiz und der Zeitpunkt Ihrer Einwilligung, wenn Sie sich für den geschlossenen Zugang vormerken lassen.
  Zweck: Sie über die Freischaltung zu informieren und Ihnen einen Einladungslink zu senden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO — Sie erteilen die Einwilligung durch das Ankreuzen des Kästchens im Formular; wir speichern dazu den Zeitpunkt als Nachweis nach Art. 7 Abs. 1 DSGVO.
• Feedback — Ihre Bewertung der Bedienbarkeit, Ihre Weiterempfehlungsbereitschaft (NPS) und zwei Freitextantworten.
  Zweck: Verbesserung des Produkts während der Beta-Phase. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Die Teilnahme ist freiwillig; bitte beachten Sie die Besonderheit in Abschnitt 8.
• Benachrichtigungs-E-Mail — eine von Ihnen angegebene E-Mail-Adresse, an die wir eine Nachricht senden, sobald ein Bericht fertig ist.
  Zweck: Benachrichtigung. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (jederzeit in den Konto-Einstellungen abschaltbar). Die E-Mail enthält aus Datenschutzgründen bewusst keine Berichtsinhalte, sondern nur einen Link.
• Sicherheits- und Betriebsprotokolle — bei An- und Abmeldevorgängen protokollieren wir die verwendete E-Mail-Adresse, die IP-Adresse, den Zeitpunkt und das Ergebnis des Versuchs. Zusätzlich verwenden wir die IP-Adresse für Anfragebegrenzungen (Rate-Limits) bei Registrierung, Anmeldung und Code-Einlösung. In einem getrennten Betriebsprotokoll halten wir fest, über welchen Weg eine Analyse gestartet und ob dafür Guthaben abgebucht wurde (Konto- und Berichtskennung, keine Dokumentinhalte).
  Zweck: IT-Sicherheit, Erkennung von Angriffs- und Missbrauchsversuchen, Nachvollziehbarkeit der Guthabenbuchungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse am sicheren und abrechenbaren Betrieb der Plattform.
• Zustimmungsprotokoll zur Auftragsverarbeitungsvereinbarung — wenn Sie einer Fassung unserer AVV zustimmen, speichern wir Name, Firmenname, E-Mail-Adresse, Zeitpunkt, IP-Adresse und Browserkennung dieser Zustimmung sowie den Wortlaut der zugestimmten Fassung.
  Zweck: Nachweis, welcher Vertragsstand mit Ihnen wann vereinbart wurde (Art. 5 Abs. 2 DSGVO — Rechenschaftspflicht). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Zur Aufbewahrung nach Kontolöschung siehe Abschnitt 8.

Wir setzen keine Analyse-, Tracking- oder Werbedienste ein und erstellen keine Nutzerprofile.

3. Verarbeitung durch KI-Modelle

Das ist der wichtigste Punkt dieser Erklärung, deshalb steht er ausdrücklich hier: Um die Analyse zu erstellen, wird der vollständige Textinhalt Ihres Dokuments zusammen mit Ihrer Zielbeschreibung an externe Sprachmodell-Anbieter übermittelt und dort verarbeitet.

Der Ablauf: Ihr Dokument wird auf unserem Server ausgelesen (die Originaldatei wird dabei nicht dauerhaft gespeichert), der extrahierte Text wird in unserer Datenbank abgelegt und über unsere eigene, selbst betriebene Workflow-Umgebung an den Vermittlungsdienst Opper AI (Stockholm, Schweden) gesendet. Opper leitet die Anfrage an das jeweils gewählte Modell weiter — derzeit Claude-Modelle von Anthropic, betrieben über Amazon Web Services (AWS Bedrock), und GPT-Modelle von OpenAI, betrieben über den Azure OpenAI Service von Microsoft. Beide Routen sind in unserem Opper-Projekt fest auf EU-Rechenzentren festgelegt.

Über eine technische Zugriffsregel bei Opper ist sichergestellt, dass ausschließlich Modelle nutzbar sind, die Ihre Inhalte nicht zum Training verwenden, und dass sowohl die Berechnung als auch ein etwaiger Zwischenspeicher auf die EU beschränkt bleiben. Opper selbst speichert die Inhalte der Anfragen nicht (Aufbewahrungsdauer organisationsweit auf null Tage gesetzt). Eine kurzzeitige Protokollierung zur Missbrauchserkennung behalten sich die Modellanbieter vor — das ist nicht dasselbe wie „nie gespeichert".

Zur Abgrenzung, weil die Anbieter hier unterschiedlich zu bewerten sind: Opper, Anthropic/AWS und OpenAI/Microsoft speichern die Inhalte Ihres Dokuments nicht dauerhaft; Supabase hingegen speichert Ihre Daten dauerhaft, aber in einem Rechenzentrum innerhalb der EU (Frankfurt am Main).

Fehlgeschlagene Analyseläufe: Bricht ein Lauf ab, speichert unsere eigene Workflow-Umgebung den betreffenden Durchlauf zur Fehlersuche — einschließlich des übermittelten Dokumententextes. Erfolgreiche Läufe werden nicht gespeichert. Diese Fehlerdaten werden gelöscht, sobald Sie den zugehörigen Bericht löschen, spätestens jedoch nach 14 Tagen automatisch.

Bitte laden Sie nur Dokumente hoch, für deren Weitergabe an diese Dienstleister Sie berechtigt sind. Enthalten Ihre Dokumente personenbezogene Daten Dritter, gilt zusätzlich Abschnitt 11.

4. Empfänger & Auftragsverarbeiter

Wir geben Ihre Daten nicht zu Werbezwecken weiter. Empfänger sind ausschließlich die folgenden, vertraglich nach Art. 28 DSGVO gebundenen Dienstleister:

• Supabase Pte. Ltd. (Singapur; Datenhaltung im EU-Rechenzentrum Frankfurt am Main) — Datenbank und Nutzerauthentifizierung, also Speicherung von Konto-, Analyse-, Warteliste-, Feedback- und Abrechnungsdaten.
• Opper AI (Stockholm, Schweden) — Vermittlung der Anfragen an die Sprachmodelle. Die nachfolgend genannten Modellanbieter setzt Opper als eigene Unterauftragsverarbeiter ein.
• Anthropic PBC (USA) und Amazon Web Services (Betrieb der Modelle über AWS Bedrock in der EU-Region) — Erstellung der KI-Rollen-Analysen mit Claude-Modellen.
• Microsoft (Betrieb der Modelle über den Azure OpenAI Service in der EU-Region) und OpenAI als Modellhersteller — Erstellung von KI-Rollen-Analysen sowie der Reparaturschritte bei der Zusammenführung.
• Google Ireland Ltd. / Google LLC (Irland/USA) — ausschließlich Versand unserer System-E-Mails über den SMTP-Dienst von Google Workspace. Für die Dokumentenanalyse setzen wir seit September 2026 keine Google-Modelle mehr ein.

Der Webserver der Plattform und die Workflow-Umgebung, die die Analyseschritte steuert, werden von uns selbst betrieben. Es handelt sich dabei nicht um eine Weitergabe an Dritte. Eine Übermittlung an Behörden erfolgt nur, soweit wir dazu gesetzlich verpflichtet sind.

5. Übermittlung in Drittländer

Die in Abschnitt 4 genannten Dienstleister haben ihren Sitz teilweise außerhalb der EU bzw. des EWR. Damit findet eine Datenübermittlung in ein Drittland statt. Grundlage sind in jedem Fall die von der Europäischen Kommission erlassenen Standardvertragsklauseln (SCC), die Bestandteil der jeweiligen Auftragsverarbeitungsverträge sind:

• Supabase — Standardvertragsklauseln nach dem Datenverarbeitungsnachtrag von Supabase; die Daten selbst bleiben physisch in der EU (Frankfurt am Main).
• Opper AI — als schwedisches Unternehmen innerhalb der EU ansässig; für diesen Vermittlungsschritt findet keine Drittlandübermittlung statt.
• Anthropic / AWS — die technische Verarbeitung Ihrer Dokumente erfolgt in einem EU-Rechenzentrum (AWS Bedrock). Die vertragliche Zuständigkeit für die Modelle liegt bei einem US-Unternehmen (Anthropic PBC), weshalb wir vorsorglich weiterhin von einer Drittlandübermittlung ausgehen; Grundlage sind die Standardvertragsklauseln.
• Microsoft / OpenAI — die Verarbeitung erfolgt im Azure OpenAI Service in einer EU-Region; Microsoft sagt für diesen Dienst zu, dass Eingaben weder zum Training noch zur Verbesserung der Modelle verwendet werden. Auch hier bleibt die Konzernzugehörigkeit zu US-Gesellschaften bestehen, weshalb wir eine Drittlandübermittlung annehmen und uns auf die Standardvertragsklauseln stützen.
• Google — für den E-Mail-Versand; Standardvertragsklauseln nach den Google-Datenschutzbestimmungen, Google LLC ist zusätzlich nach dem EU-US Data Privacy Framework zertifiziert.

Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass Behörden im Drittland auf Grundlage dortiger Gesetze Zugriff auf Daten verlangen. Wir weisen hierauf ausdrücklich hin, damit Sie das berücksichtigen können, bevor Sie besonders sensible Dokumente hochladen.

6. Cookies

CoE-AI setzt genau zwei Cookies, beide technisch notwendig:

• sessionid — hält Ihren Anmeldezustand aufrecht.
• csrftoken — schützt Formulare vor websiteübergreifender Anfragenfälschung (CSRF).

Für rein technisch notwendige Cookies ist gemäß § 165 Telekommunikationsgesetz 2021 (TKG 2021) keine gesonderte Einwilligung erforderlich; deshalb zeigen wir Ihnen auch kein Cookie-Banner. Es werden keine Tracking- oder Marketing-Cookies gesetzt. Die verwendeten Schriftarten liefern wir von unserem eigenen Server aus — es findet kein Abruf bei einem externen Schriften-Dienst statt.

7. Speicherdauer

• Konto- und Analysedaten — solange Ihr Konto besteht. Danach gilt Abschnitt 8.
• Abrechnungsdaten — sieben Jahre ab Ende des jeweiligen Geschäftsjahres (§ 132 BAO).
• Warteliste — bis zu Ihrer Einladung bzw. bis Sie der Speicherung widersprechen, längstens zwölf Monate nach Ihrer Eintragung.
• Feedback — bis zum Widerruf Ihrer Einwilligung; siehe aber die Einschränkung in Abschnitt 8.
• Sicherheits- und Betriebsprotokolle — 30 Tage, danach werden sie automatisch gelöscht.
• Fehlgeschlagene Analyseläufe in der Workflow-Umgebung — bis zur Löschung des zugehörigen Berichts, längstens 14 Tage.
• Zustimmungsprotokoll zur AVV — bleibt als Nachweis auch über die Kontolöschung hinaus bestehen; siehe Abschnitt 8.

8. Löschung — was dabei tatsächlich passiert

In den Konto-Einstellungen können Sie jederzeit selbst entweder nur Ihre Berichte oder Ihr gesamtes Konto löschen. Damit Sie wissen, was das technisch bedeutet, beschreiben wir es hier offen:

• Berichte und Dokumente: Alle Inhalte werden unwiderruflich entfernt — extrahierter Dokumententext, Dateiname, Zielbeschreibung, Rückfragen und Antworten, Analyseberichte, Vergleichsmatrix sowie die Zwischenergebnisse der Analyse. Gelöscht werden zugleich die gespeicherten fehlgeschlagenen Läufe dieses Berichts in unserer Workflow-Umgebung. Erhalten bleibt lediglich ein inhaltsleerer Datensatz mit Zeitstempel und Verbrauchsmenge, den wir für die Nachvollziehbarkeit der Abrechnung benötigen. Eine Sperre in der Datenbank verhindert, dass ein noch laufender Analysevorgang nachträglich wieder Inhalte in einen gelöschten Bericht schreibt.
• Konto: Name, Firmenname, Rechnungsanschrift und UID werden entfernt, das Guthaben wird auf null gesetzt und die Anmeldekennung beim Authentifizierungsdienst wird durch eine zufällige, nicht mehr auf Sie zurückführbare Kennung ersetzt. Eine Anmeldung ist danach nicht mehr möglich.
• Feedback: Ihre Freitextantworten bleiben erhalten, werden aber dauerhaft von Ihrem Konto getrennt und sind Ihnen danach nicht mehr zuordenbar. Bitte geben Sie im Feedback deshalb keine personenbezogenen Angaben an. Möchten Sie auch den Text selbst gelöscht haben, genügt eine Nachricht an office@theWhistleBee.com.
• Warteliste und Protokolle: Diese sind nicht mit einem Konto verknüpft und werden auf Anfrage bzw. nach Ablauf der Frist aus Abschnitt 7 gelöscht.
• Sicherungskopien: Die Datenbank wird vom Anbieter automatisiert gesichert. Gelöschte Daten können in diesen Sicherungen bis zum Ablauf des Sicherungszyklus noch enthalten sein; sie werden dort nicht zu anderen Zwecken verwendet und mit dem Zyklus überschrieben.
• Zustimmungsprotokoll zur AVV: Bewusste Abweichung von der vorstehenden Löschsystematik — die Verknüpfung zu Ihrem Konto wird entfernt (Ihre Nutzerkennung wird auf „kein Konto mehr" gesetzt), der Nachweis selbst (welche Fassung, wann, durch wen, mit welcher IP-Adresse zugestimmt wurde) bleibt jedoch bestehen. Rechtsgrundlage ist Art. 17 Abs. 3 lit. e DSGVO — die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen im Zusammenhang mit dem zugrundeliegenden Vertragsverhältnis.

9. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch gegen Verarbeitungen, die wir auf ein berechtigtes Interesse stützen (Art. 21). Soweit eine Verarbeitung auf Ihrer Einwilligung beruht — Warteliste, Feedback, Benachrichtigungs-E-Mail — können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Eine formlose Nachricht an office@theWhistleBee.com genügt. Wir antworten innerhalb eines Monats.

10. KI-Einsatz, Transparenz und automatisierte Entscheidungen

Kennzeichnung: Alle Analyseberichte, Matrizen und Zusammenfassungen der Plattform werden von Sprachmodellen erzeugt. Wir weisen darauf an jeder Stelle hin, an der ein Ergebnis entsteht oder angezeigt wird — im Intake, vor dem Start der Fachanalyse, über jedem fertigen Analysebericht und in jedem PDF-Export. Bitte geben Sie diese Kennzeichnung weiter, wenn Sie Ergebnisse an Dritte weiterreichen.

Keine automatisierte Entscheidung im Einzelfall: Die Analyseberichte sind Entscheidungsunterstützung. Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt. Die Bewertung und Verwendung der Analyseergebnisse liegt bei Ihnen.

Nicht für Hochrisiko-Anwendungen: CoE-AI ist als KI-Werkzeug zur Analyse von Dokumenten ausgelegt. Wir bieten es ausdrücklich nicht für Zwecke an, die die Verordnung (EU) 2024/1689 (KI-Verordnung) in Anhang III als Hochrisiko einstuft — insbesondere nicht für die Auswertung von Bewerbungs- und Personalunterlagen, nicht für die Bonitäts- oder Kreditwürdigkeitsbewertung natürlicher Personen und nicht für medizinische Befundung. Die entsprechende Nutzungsgrenze ist in unseren AGB vertraglich festgehalten.

11. Wenn Ihre Dokumente Daten Dritter enthalten

Enthalten die von Ihnen hochgeladenen Dokumente personenbezogene Daten anderer Personen — etwa Mitarbeitende, Geschäftspartner oder Kunden — bleiben Sie für diese Daten der Verantwortliche; wir verarbeiten sie ausschließlich weisungsgebunden als Auftragsverarbeiter für Sie. Für diesen Fall schließen wir mit Ihnen einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ab.

Angemeldete Nutzer:innen finden den vollständigen Vertragstext samt der Beschreibung unserer technischen und organisatorischen Maßnahmen in den Konto-Einstellungen unter „Auftragsverarbeitung" und können ihm dort unmittelbar zustimmen; die zugestimmte Fassung lässt sich als PDF herunterladen. Ändern wir die Liste der eingesetzten Unterauftragsverarbeiter, informieren wir Sie mindestens 30 Tage vor Wirksamkeit und Sie können widersprechen. Vor der Registrierung erhalten Sie den Vertragstext auf Anfrage unter office@theWhistleBee.com.

12. Beschwerderecht

Unbeschadet anderer Rechtsbehelfe haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde, in Österreich bei der:
Österreichische Datenschutzbehörde (DSB), Barichgasse 40–42, 1030 Wien, www.dsb.gv.at.

13. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Plattform oder die eingesetzten Dienstleister ändern. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung. Wesentliche Änderungen teilen wir angemeldeten Nutzer:innen zusätzlich per E-Mail mit. Betrifft die Änderung die Liste der Unterauftragsverarbeiter, gilt zusätzlich die 30-Tage-Frist aus Abschnitt 11.