Datenschutzerklärung

1. Verantwortlicher

CoTraX GmbH, Breite Straße 27, 40213 Düsseldorf, Deutschland, vertreten durch die Geschäftsführerin Sara Fanselau.

E-Mail: [email protected]
Telefon: +49 (0) 170 99 47 316

2. Welche Daten die Anwendung verarbeitet

Abhängig von den genutzten Funktionen verarbeiten wir:

• technische Verbindungs- und Sicherheitsdaten, etwa IP-Adresse, Zeitpunkt, Browser-/App-Informationen und Serverprotokolle,
• Anmelde- und Kontoinformationen, wenn der Zugriff über die Plattformanmeldung geschützt ist,
• Trainingskonfigurationen (einschließlich eines optional hinterlegten Trainingsfokus), Produktwissen, Website-URLs und hochgeladene Text- oder PDF-Inhalte,
• eingefügte Gesprächsverläufe und daraus erzeugte Trainingsbewertungen,
• bei Nutzung der Meldefunktion — in der App wie auf dieser Website: gemeldeter KI-Inhalt, Meldegrund, optionaler Kommentar, Herkunft (Web, iOS oder Android) und Zeitpunkt,
• gespeicherte Gesprächspartner: die von der KI erfundene Person (Name, Rolle, Werdegang, Sprechweise, typische Einwände), die Lage, aus der sie entstanden ist, ein selbst vergebener Titel und die gewählte Stimme — damit dieselbe Person in App und Web wieder angerufen werden kann,
• lokal auf dem Endgerät gespeicherte Trainingsverläufe und Einstellungen.

Bitte gib keine besonderen Kategorien personenbezogener Daten, Geschäftsgeheimnisse oder Informationen Dritter ein, wenn dies für das Training nicht erforderlich und rechtlich nicht abgesichert ist.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten Daten, um den Dienst bereitzustellen, Verkaufsszenarien zu erstellen, eingefügte Gesprächsverläufe zu bewerten, Missbrauch zu verhindern und die technische Sicherheit zu gewährleisten. Rechtsgrundlagen sind je nach Nutzung Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (sicherer und wirtschaftlicher Betrieb). Für die freiwilligen gesprochenen Gespräche — das Rollenspiel und das Vorgespräch, in dem du deine Lage schilderst — kommt Art. 6 Abs. 1 lit. a DSGVO hinzu: Die Einwilligung erteilst du, indem du sie startest und den Mikrofonzugriff zulässt (Abschnitt 5). Ohne ein solches Gespräch findet keine Mikrofonverarbeitung statt.

4. Hosting, Bereitstellung und Zugriffsschutz

Web-Anwendung und Schnittstelle laufen auf einem Server, den für uns die CLUSTER ONE GmbH, Grüner Winkel 21, 41065 Mönchengladbach, als Auftragsverarbeiterin nach Art. 28 DSGVO betreibt. Hardware, Netzanbindung und Rechenzentrum stellt die STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin; der Standort ist Berlin. Über einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist STRATO verpflichtet, auf die Daten nur weisungsgebunden zuzugreifen. Die Auslieferung erfolgt über das Netzwerk von Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 München, als Vertragspartner für die EU; Muttergesellschaft Cloudflare, Inc., USA), das als Reverse-Proxy und zum Schutz vor Angriffen dient. Dabei werden IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und technische Statusdaten verarbeitet.

Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen je IP-Adresse – beim Anfordern eines Anmeldelinks zusätzlich je E-Mail-Adresse – und speichern dafür die Adresse zusammen mit einem Zähler in unserer Datenbank. Die meisten Zähler laufen zehn Minuten; für das Probegespräch ohne Konto und sein Feedback zählen wir, wo es angeboten wird, 24 Stunden je IP-Adresse. Die Einträge löschen wir automatisch, spätestens 25 Stunden nach Beginn des jeweiligen Zählfensters. Zusätzlich vergibt der Server ein kurzlebiges, an die IP-Adresse gebundenes Zugriffstoken (gültig eine Stunde), das im Browser nur für die aktuelle Sitzung und in der App nur im Arbeitsspeicher gehalten wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung und Sicherheit des Dienstes).

Bot-Schutz (Cloudflare Turnstile). Damit Automaten weder Anmeldelinks verschicken noch KI-Minuten verbrauchen, setzen wir Cloudflare Turnstile ein. Dein Browser lädt dafür ein Skript von challenges.cloudflare.com; Cloudflare verarbeitet dabei deine IP-Adresse, Angaben zu Browser und Gerät sowie Signale deines Verhaltens auf der Seite und gibt uns ein kurzlebiges Token zurück, das unser Server prüft. Die Prüfung läuft unsichtbar ab und zeigt nur dann ein Kästchen zum Anklicken, wenn sie sich nicht sicher ist. Turnstile setzt keine Cookies zur Wiedererkennung über Websites hinweg und wird nicht für Werbung verwendet. Ausgelöst wird sie, wenn du einen Anmeldelink anforderst oder eine KI-Funktion startest. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisiertem Missbrauch und vor Kosten, die dadurch entstehen).

Weitere Informationen: Cloudflare-Datenschutz.

5. KI-Verarbeitung durch OpenAI

Für Angebotsanalyse, Szenariovorbereitung und die Auswertung eines Gesprächsverlaufs werden die dafür benötigten Eingaben an die OpenAI API übermittelt. Verantwortlicher Vertragspartner für Kunden im EWR ist OpenAI Ireland Limited, 1st Floor, The Liffey Trust Centre, 117‑126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland.

Gesprochene Gespräche (freiwillig). Startest du unter „Jetzt live sprechen“ ein Rollenspiel oder unter „Mit dem Coach besprechen“ ein Vorgespräch, fragt dein Browser den Zugriff auf dein Mikrofon ab. Es entsteht eine direkte WebRTC-Verbindung zwischen deinem Gerät und OpenAI; dabei werden dein Mikrofonsignal und deine IP-Adresse an OpenAI übertragen und dort für die Dauer des Gesprächs verarbeitet. Wir bauen die Verbindung auf — die Anweisungen schicken wir dazu von unserem Server — und empfangen den Ton der Gegenseite selbst nicht. In der App gilt dasselbe für jedes gesprochene Gespräch. Damit auch deine eigenen Sätze im Verlauf stehen, schickt dein Gerät zusätzlich kurze Stücke deines Mikrofonsignals (je etwa fünf Sekunden) an unseren Server, der sie an die Transkription von OpenAI weiterreicht und dir nur den Text zurückgibt – auf dieser Website während des Rollenspiels, in der App in jedem gesprochenen Gespräch: Rollenspiel, 90-Sekunden-Drill, Probegespräch und Vorgespräch mit dem Coach. Wir speichern weder die Stücke noch den Text; er erscheint erst mit deinem Feedback in deiner Historie. Im Vorgespräch mit dem Coach wird auf dieser Website nur mitgeschrieben, was der Coach sagt, in der App auch, was du erzählst; dieser Text geht erst an unseren Server, wenn du daraus ein Szenario bauen lässt.

Wir zeichnen keinen Ton auf. Eine Tonaufnahme legen wir nicht an, weder auf deinem Gerät noch auf unserem Server. Was während des Gesprächs als Text mitgeschrieben wird, bleibt in deinem Browser bzw. in der App; es geht erst an unseren Server, wenn du dein Feedback holst oder aus dem Vorgespräch ein Szenario bauen lässt. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du erteilst, indem du das Gespräch startest und den Mikrofonzugriff zulässt; du kannst sie jederzeit durch Auflegen widerrufen.

Das Live-Gespräch ist ein Weg von zweien. Du kannst das Szenario stattdessen nach ChatGPT oder Claude mitnehmen und es dort in deinem eigenen Konto führen — dann entsteht bei uns keine Sprachverbindung. Abschnitt 8 beschreibt, was dabei übertragen wird.

Responses-Anfragen werden von uns mit store: false gesendet. Nach den Angaben von OpenAI werden API-Inhalte standardmäßig nicht zum Training der Modelle genutzt. Sicherheits- und Missbrauchsprotokolle können nach den jeweils geltenden API-Datenkontrollen grundsätzlich bis zu 30 Tage aufbewahrt werden, sofern keine abweichenden Datenkontrollen vereinbart sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Grundlage für die Auftragsverarbeitung und etwaige Drittlandübermittlungen sind der OpenAI-Auftragsverarbeitungsvertrag und die darin vorgesehenen Standardvertragsklauseln.

6. Produktwissen, Dateien und externe Websites

Hochgeladene PDFs und Textdateien werden serverseitig ausgelesen und der KI zur angeforderten Analyse übergeben. Dateien werden von der Anwendung nicht als dauerhafte Dateiablage gespeichert. Beim Abruf einer angegebenen Produkt-URL erhält der Betreiber der Zielwebsite technisch bedingt eine Serveranfrage einschließlich IP-Adresse und User-Agent. Rufe nur Websites ab, deren Nutzung hierfür zulässig ist.

7. Lokale Speicherung auf dem Gerät

Trainingshistorie, gespeicherte Gespräche und temporäre Session-Einstellungen werden im lokalen Speicher des Browsers bzw. der App abgelegt. Diese Daten bleiben grundsätzlich auf dem verwendeten Gerät, bis sie in der Anwendung oder über die Browser-/App-Daten gelöscht werden. Bist du angemeldet, werden gespeicherte Gespräche und deine Angebote zusätzlich in deinem Konto abgelegt (Abschnitt 11), damit du sie auf anderen Geräten siehst; das Löschen in der Anwendung entfernt sie dort ebenfalls. Bei jeder KI-Bewertung werden dein aktueller Beitrag, die letzten zehn Gesprächsbeiträge, die strukturierten Angebotsfelder (Produkt, Preis, Nutzen, Zielkunden, Gesprächsziel, Belege, Bedarfsfragen, Einwände) sowie ein Auszug von bis zu 3.000 Zeichen deines Produktwissens an unseren Server und anschließend an OpenAI übertragen.

8. Weiterleitung zu ChatGPT oder Claude

Erst wenn du die entsprechende Schaltfläche auswählst, legen wir den erzeugten Prompt in deine Zwischenablage und öffnen die Seite des gewählten Anbieters. Übertragen wird nichts von uns aus: Erst wenn du den Text dort einfügst, gelangt er zu ChatGPT (OpenAI) oder Claude (Anthropic). Der Prompt enthält die erfundene Gesprächsperson und die von dir eingegebenen Szenariodaten (Branche, Rolle und, sofern das Modul es vorsieht, die Produktbezeichnung).

Wichtig: Diese Verarbeitung findet in deinem eigenen Konto bei dem jeweiligen Anbieter statt. Dafür besteht kein Auftragsverarbeitungsvertrag mit uns und keine gemeinsame Verantwortlichkeit; es gelten allein die Bedingungen des Anbieters – einschließlich der Frage, ob er die Inhalte zur Verbesserung seiner Modelle verwendet. Das unterscheidet sich von unserer eigenen Nutzung der OpenAI-Schnittstelle (Abschnitt 5). Die Weiterleitung ist optional.

9. Auswertung extern geführter Gespräche

Hast du ein Gespräch bei ChatGPT oder Claude geführt, kannst du den Verlauf bei uns einfügen und auswerten lassen. Der eingefügte Text wird dann zusammen mit den Angebotsfeldern deines Szenarios an OpenAI übermittelt (wie in Abschnitt 5 beschrieben) und das Ergebnis in deinem Konto unter „Trainings“ gespeichert – gekennzeichnet als extern geführt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO; mit deinem Konto wird auch dieser Eintrag gelöscht.

Bitte füge keine personenbezogenen Daten Dritter ein. Für die Inhalte, die du überträgst, bist du verantwortlich.

10. Meldung von KI-Inhalten

In der App wie auf dieser Website können KI-Antworten und Trainingsbewertungen unmittelbar gemeldet werden. Wir verarbeiten den ausgewählten Inhalt, den Meldegrund, einen optionalen Kommentar, die Plattform und den Zeitpunkt, um Sicherheitsprobleme, unangemessene Inhalte und Fehler zu prüfen. Meldungen werden in unserer Datenbank gespeichert, nur für Sicherheit, Fehlerbehebung und Verbesserung des Dienstes verwendet und spätestens 90 Tage nach Abschluss der Prüfung gelöscht.

11. Konto, Anmeldung und Verlauf

Für KI-Funktionen ist ein kostenloses Konto nötig. Wir speichern deine E-Mail-Adresse, den Zeitpunkt deiner Anmeldungen, Sitzungen je Gerät (Browser- bzw. Gerätekennung als Freitext, Zeitpunkte), die im Konto gespeicherten Trainings (Konfiguration ohne Produktwissen, Transkript, Bewertungen, Dauer), deine gespeicherten Angebote sowie tägliche Nutzungszähler, an denen die Kontingente hängen, wenn sie gelten. Außerdem zählen wir, wie oft du eine Kursübung mit wechselndem Gegenüber gestartet hast – nur diese Zahl je Übung, damit sich bei jedem Start der Reihe nach eine andere Person meldet. Erinnerungen in der App sind lokale Benachrichtigungen, die die App selbst auf dem Gerät plant: Uhrzeit und Wochenziel bleiben dort, es gibt dafür kein Push-Token, und weder wir noch ein Push-Dienst erhalten dafür Daten. Ein Angebot enthält die Felder, die du selbst einträgst – Branche, Produkt, Preis, Nutzen, Zielkunden, Gesprächsziel, Belege, Bedarfsfragen, erwartete Einwände, URL und Quellenname – und, anders als bei den Trainings, auch dein Produktwissen. Wir speichern Angebote, damit dasselbe Angebot in der App und im Web zur Verfügung steht; du kannst jedes einzeln und jederzeit löschen. Anmeldelinks gelten 15 Minuten, funktionieren einmal und werden nur als Hash gespeichert. Die Sitzung liegt im Browser in einem HttpOnly-Cookie (sct_session, 90 Tage gleitend) bzw. in der App im Schlüsselbund des Geräts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Den Anmeldelink verschickt ein SMTP-Mailserver, den die CLUSTER ONE GmbH für uns betreibt. Unter „Konto“ kannst du alle Kontodaten als JSON exportieren (Art. 15 DSGVO) und dein Konto löschen (Art. 17 DSGVO); mit der Löschung werden Sitzungen, Trainings und Zähler endgültig entfernt.

11a. Übungsbudget, E-Mails von uns und Herkunft der Anmeldung

Wie viele Gespräche du im Monat führen kannst, hängt an deiner E-Mail-Adresse: Wir ordnen sie anhand ihrer Domain als Firmenadresse oder als private Adresse ein (etwa bei Freemail-Anbietern) und zählen die Gespräche des laufenden Monats aus den Nutzungszählern (Abschnitt 11). Zusätzlich gespeichert wird dafür nichts; die Einordnung ergibt sich jedes Mal neu aus der Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Bei der Anmeldung kannst du freiwillig einwilligen, dass die CoTraX GmbH dir gelegentlich Tipps fürs Gesprächstraining und Angebote für Vertriebsteams per E-Mail schickt. Die Einwilligung ist keine Bedingung für das Konto und gilt erst, wenn du sie mit dem Klick auf den Anmeldelink bestätigst, dessen Mail sie nennt. Wir speichern Zeitpunkt und Fassung des Einwilligungstextes. Um passende Angebote zu machen, berücksichtigen wir bei Konten mit Einwilligung, wie viele Gespräche geführt wurden, aus welcher Kampagne die Anmeldung kam und wie viele Konten es mit derselben Firmendomain gibt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 UWG. Du kannst die Einwilligung jederzeit unter „Konto“ oder per Mail an [email protected] widerrufen; ohne Einwilligung bekommst du nur Mails, die dein Konto betreffen.

Kommst du über eine Anzeige oder einen Link mit Kampagnenangaben in der Adresse (utm_source, utm_medium, utm_campaign, utm_content, utm_term), schickt das Anmeldeformular diese Angaben mit, und wir speichern sie einmalig beim Anlegen deines Kontos. So sehen wir, welche Kampagne zu wie vielen Anmeldungen führt. Dafür setzen wir kein Cookie. Ohne deine Einwilligung im Cookie-Banner erfahren Werbeplattformen von uns nicht, wer sich angemeldet hat; mit Einwilligung meldet der Meta-Pixel (Abschnitt 12) an Meta, dass in diesem Browser eine Anmeldung mit Firmenadresse angefordert oder abgeschlossen wurde – ohne deine E-Mail-Adresse. Rechtsgrundlage für die Kampagnenangaben ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Werbung nach ihrer Wirkung zu steuern.

Einwilligung und Herkunft bleiben gespeichert, bis du die Einwilligung widerrufst bzw. dein Konto löschst.

Alle Konten führt die CoTraX GmbH als Interessenten in ihrem Kundenverwaltungssystem (CRM), damit wir wissen, wer den Dienst nutzt, und dir bei Fragen oder Interesse an Angeboten für Teams persönlich weiterhelfen können. Dafür übernimmt das CRM deine E-Mail-Adresse, ob sie eine Firmen- oder private Adresse ist, den Zeitpunkt der Anmeldung und der letzten Anmeldung, die Zahl deiner gespeicherten Trainings und ob du in E-Mails von uns eingewilligt hast – keine Inhalte deiner Trainings. Das CRM läuft auf einem Server der STRATO AG in Deutschland und wird von der CLUSTER ONE GmbH in unserem Auftrag betrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Betreuung von Interessenten. Werbe-E-Mails schicken wir weiterhin nur mit deiner Einwilligung (oben). Du kannst der Übernahme jederzeit per Mail an [email protected] widersprechen; dann löschen wir den Eintrag im CRM. Das tun wir auch, wenn du dein Konto löschst und es uns mitteilst, spätestens aber zwei Jahre nach deiner letzten Anmeldung.

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck oder gesetzliche Pflichten erforderlich ist. Lokal gespeicherte Trainingsdaten bleiben bis zur Löschung durch den Nutzer erhalten. Kontodaten bleiben bis zur Löschung des Kontos; abgelaufene Sitzungen und Anmeldelinks werden spätestens nach einem Tag entfernt, Nutzungszähler nach 90 Tagen, der Startzähler einer Kursübung 90 Tage nach deinem letzten Start dieser Übung. Zähler zur Anfragebegrenzung samt IP- bzw. E-Mail-Adresse werden spätestens 25 Stunden nach Beginn ihres Zählfensters gelöscht (Abschnitt 4), Inhaltsmeldungen spätestens 90 Tage nach Bearbeitung gelöscht. Für Daten bei Auftragsverarbeitern gelten die vertraglichen Lösch- und Aufbewahrungsregelungen der jeweiligen Dienste.

14. Automatisierte Bewertungen

KI-generierte Scores und Hinweise dienen ausschließlich dem Training. Sie können unzutreffend sein und entfalten keine rechtliche oder vergleichbar erhebliche Wirkung. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt.

15. Deine Rechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kann für die Zukunft widerrufen werden. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des mutmaßlichen Verstoßes.

16. Sicherheit und Aktualisierung

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um Daten zu schützen. Diese Erklärung wird angepasst, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern.