Datenschutzerklärung
Stand: 5. November 2026
Zelvai wird betrieben von Gjorgji Grgovski, Skopje, Nordmazedonien („Zelvai“, „wir“). Zelvai stellt Unternehmen wie Immobilienagenturen und Beautysalons einen Assistenten zur Verfügung, der Anfragen beantwortet und Termine bucht. Diese Seite erklärt, welche personenbezogenen Daten wir verarbeiten, warum, und welche Rechte Sie haben. Sie ist bewusst in einfacher Sprache geschrieben. Fragen: hello@zelvai.net.
1. Besucher von zelvai.net
Wir setzen auf dieser Website keine Analyse- oder Werbetracker ein. Das einzige Cookie, das wir setzen, ist zelvai_lang, das die von Ihnen gewählte Sprache speichert; es enthält keine personenbezogenen Daten und läuft nach einem Jahr ab. Die Website wird von Cloudflare ausgeliefert, das Ihre IP-Adresse und Anfragedaten verarbeitet, um Seiten bereitzustellen und Missbrauch abzuwehren (Rechtsgrundlage: berechtigtes Interesse am sicheren Betrieb der Website). Die Schriftarten der Website werden von Google Fonts geladen; Google erhält dabei beim Laden der Seite Ihre IP-Adresse. Cloudflare und Google speichern diese Protokolle kurzzeitig nach eigenen Regeln.
2. Wenn Sie uns kontaktieren oder ein Gespräch buchen
Wenn Sie uns eine E-Mail schreiben oder über unsere Buchungsseite (cal.com) ein Gespräch buchen, speichern wir Ihren Namen, Ihre E-Mail-Adresse, Ihre Firma und den Gesprächsinhalt, um zu antworten und ein mögliches Pilotprojekt weiterzuverfolgen (Rechtsgrundlage: vorvertragliche Maßnahmen auf Ihre Anfrage). Wir bewahren diese Daten 12 Monate nach dem letzten Kontakt auf oder bis Sie die Löschung verlangen. Unsere eigene E-Mail wird bei Zoho in der EU gehostet.
Mit Ihrer Erlaubnis, um die wir zu Beginn des Gesprächs bitten, können wir es für unsere eigenen Notizen aufzeichnen. Aufzeichnung und Abschrift bleiben auf unserem eigenen Computer, entstehen ohne externen Dienst und werden innerhalb von 90 Tagen gelöscht; wir behalten nur schriftliche Notizen zum Gesprächsinhalt. Wenn Sie nein sagen, notieren wir von Hand.
3. E-Mails zur Marktforschung
Im Rahmen von Marktforschung schreiben wir gelegentlich Unternehmen an ihre veröffentlichten geschäftlichen Adressen. Dies geschieht auf Grundlage berechtigten Interesses; wir geben uns zu erkennen, senden höchstens eine Nachfassnachricht und stellen den Kontakt auf Wunsch sofort ein. Wir erfassen nur, ob und wann eine Antwort eintraf, und veröffentlichen nie Ergebnisse, die ein einzelnes Unternehmen erkennbar machen.
4. Unternehmen, die Zelvai nutzen, und deren Kunden
Wenn ein Unternehmen Zelvai nutzt (im Rahmen eines Pilotprojekts oder als zahlender Kunde), verarbeiten wir zwei Arten von Daten:
- Das eigene Team des Unternehmens — Namen, geschäftliche E-Mail-Adressen, Profilfotos, Rollen, Kalenderverbindungen, Benachrichtigungseinstellungen und ein Aktivitätsprotokoll darüber, wer was freigegeben, bearbeitet oder gesendet hat, damit der Dienst funktioniert. Hierfür sind wir Verantwortlicher (Rechtsgrundlage: Vertragserfüllung).
- Die Kunden des Unternehmens — Namen, Kontaktdaten und Nachrichten von Personen, die dem Unternehmen per E-Mail, über das Formular oder den Chat auf seiner Website oder über Instagram oder Messenger schreiben, sowie die über Zelvai erstellten Antworten, Buchungen und Erinnerungen und ihre Antwort auf eine Kalendereinladung. Hier ist das Unternehmen Verantwortlicher und Zelvai sein Auftragsverarbeiter: Wir handeln ausschließlich auf Weisung des Unternehmens im Rahmen eines Auftragsverarbeitungsvertrags; das Unternehmen bleibt für die Information seiner Kunden verantwortlich.
Kunden sehen stets, dass sie mit dem digitalen Assistenten des Unternehmens sprechen, und während eines Pilotprojekts wird jede Antwort vor dem Versand von einer Person im Unternehmen freigegeben. Wir verkaufen Kunden- oder Unternehmensdaten nicht und geben sie nicht zu Werbezwecken weiter. Für echte Kundennachrichten der Unternehmen setzen wir nur KI-Anbieter ein, deren Bedingungen es ihnen nicht erlauben, ihre Modelle mit diesen Daten zu trainieren.
5. Nutzung der Zelvai-App
Personen, die in einem Unternehmen arbeiten, melden sich in der App unter app.zelvai.net mit einem einmaligen Link an, der an ihre E-Mail-Adresse gesendet wird; Passwörter gibt es nicht. Die App setzt ein Cookie, zelvai_session, das Sie 14 Tage lang angemeldet hält. Wenn Sie Benachrichtigungen aktivieren, übermittelt uns Ihr Browser eine Push-Adresse, die wir ausschließlich verwenden, um Ihnen Benachrichtigungen zu den Gesprächen Ihres Unternehmens zu senden; die Push-Dienste von Google, Apple oder Mozilla stellen sie zu und sehen nur verschlüsselte Inhalte. Der Website-Chat, den ein Unternehmen auf seiner eigenen Website einbinden kann, setzt keine Cookies; er speichert eine zufällige Besuchernummer im lokalen Speicher des Browsers, damit das Gespräch fortgesetzt werden kann.
6. Google-Nutzerdaten (Google Kalender)
Eine Person in einem Unternehmen kann ihren Google Kalender mit Zelvai verbinden, damit der Assistent freie Zeiten anbieten und die gebuchten Termine in diesen Kalender eintragen kann. Die Verbindung ist freiwillig und erfolgt durch diese Person über Googles eigenen Zustimmungsbildschirm. Mit dieser Erlaubnis:
- liest Zelvai die belegten und freien Zeiten des verbundenen Kalenders (Googles Frei/Gebucht-Information: nur Beginn und Ende — nicht Titel, Beschreibungen, Orte oder Gäste Ihrer bestehenden Termine), um zu wissen, wann ein Termin angeboten werden kann;
- erstellt Zelvai Kalendertermine für die Buchungen, die diese Person in Zelvai vornimmt (eine Besichtigung, ein Termin, eine Charterwoche oder ein Aufenthalt), mit dem Namen des Kunden und den Buchungsdetails, damit sie in Ihrem Kalender erscheinen;
- liest Zelvai die E-Mail-Adresse des Google-Kontos, um Ihnen zu zeigen, welcher Kalender verbunden ist.
Zelvai speichert nur, was es dafür braucht: den von Google gewährten Zugang (ein Refresh-Token, verschlüsselt mit AES-256-GCM), die E-Mail-Adresse und den Kalender des verbundenen Kontos sowie die IDs der von Zelvai erstellten Termine. Freie Zeiten werden dem Team des Unternehmens gezeigt und können einem Kunden in einer Antwort angeboten werden; um diese Antwort zu schreiben, können die Zeiten (nie Ihre Termine) Teil dessen sein, was an den KI-Modellanbieter geht, der sie entwirft. Google-Nutzerdaten werden nicht verkauft, nicht für Werbung genutzt, nicht zum Trainieren oder Verbessern allgemeiner KI- oder Machine-Learning-Modelle verwendet und von Menschen bei Zelvai nur gelesen, wenn Sie uns darum bitten (Support), es für die Sicherheit nötig ist oder das Gesetz es verlangt.
Sie können den Kalender jederzeit in der Zelvai-App trennen (Einstellungen → Verbindungen → Trennen): Zelvai löscht den gespeicherten Zugang und widerruft ihn bei Google. Sie können Zelvai auch unter myaccount.google.com/permissions entfernen. Termine, die Zelvai bereits erstellt hat, bleiben als Ihre in Ihrem Kalender.
Die Nutzung und Weitergabe von Informationen, die Zelvai über Google-APIs erhält, an andere Apps entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).
Wie wir Google-Nutzerdaten und andere sensible Daten schützen
- Verschlüsselung bei der Übertragung: der gesamte Verkehr zu zelvai.net, app.zelvai.net und unserer API sowie alle unsere Aufrufe an Google sind mit HTTPS (TLS) verschlüsselt.
- Verschlüsselung im Ruhezustand: Google-Refresh-Tokens und andere Zugangstokens werden vor dem Speichern mit AES-256-GCM verschlüsselt, mit einem Schlüssel außerhalb der Datenbank. Die Datenbank selbst (Neon, EU) ist im Ruhezustand verschlüsselt. Nächtliche Datenbank-Backups werden verschlüsselt (AES-256), bevor sie die Datenbank verlassen, und nach 30 Tagen gelöscht.
- Minimaler Zugriff: wir fordern nur die Google-Berechtigungen an, die die Funktionen brauchen (Frei/Gebucht-Zeiten und das Erstellen von Terminen), nie vollen Lesezugriff auf den Kalender. Zugangstokens werden nur auf unseren Servern verwendet und nie an den Browser oder an KI-Modellanbieter gesendet.
- Trennung zwischen Unternehmen: jeder Datensatz gehört zu genau einem Unternehmen, und jede Anfrage wird geprüft, damit eine Person nur die Daten des Unternehmens sieht, zu dem sie gehört.
- Anmeldung: keine Passwörter; einmalige Anmeldelinks, 15 Minuten gültig, und Sitzungs-Cookies mit HttpOnly, Secure und SameSite. Das Zelvai-Team nutzt eine eigene Admin-Anmeldung.
- Personen: nur das Zelvai-Team kann die Produktivsysteme erreichen, mit persönlichen Konten und Zwei-Schritt-Bestätigung, und nur aus Support-, Sicherheits- oder rechtlichen Gründen wie oben beschrieben. Geheimnisse liegen im Geheimnisspeicher unseres Hosting-Anbieters, nie im Quellcode.
- Aufbewahrung: freie und belegte Zeiten werden gelesen, wenn Termine angeboten werden, und nicht eigens gespeichert; der Google-Zugang (Refresh-Token) sowie das verbundene Konto und der Kalender werden bis zur Trennung aufbewahrt; die IDs der von Zelvai erstellten Termine bleiben bei ihrer Buchung; in einer Antwort angebotene Zeiten bleiben in diesem Gespräch. Verlässt ein Unternehmen Zelvai, wird alles innerhalb von 30 Tagen gelöscht.
- Löschung: das Trennen des Kalenders löscht die gespeicherten Tokens und widerruft sie bei Google; verlässt ein Unternehmen Zelvai, werden seine Daten innerhalb von 30 Tagen gelöscht (Abschnitt 8).
- Vorfälle: betrifft eine Verletzung personenbezogene Daten, informieren wir die betroffenen Unternehmen unverzüglich und die Behörden innerhalb von 72 Stunden, wie es die DSGVO verlangt.
7. Dienstleister, die wir einsetzen
| Anbieter | Zweck | Standort |
|---|---|---|
| Cloudflare | Hosting von Website und App, DNS, Schutz vor Missbrauch | Globales Netz; Betreiber in den USA, mit Standardvertragsklauseln |
| Neon | Datenbank des Dienstes | EU (Frankfurt) |
| Resend | Versand und Empfang der E-Mails des Dienstes (Anmeldelinks, Antworten, Bestätigungen, Erinnerungen) | EU (Irland); Betreiber in den USA, mit Standardvertragsklauseln |
| KI-Modellanbieter (derzeit Groq; Anthropic geplant) | Auswertung von Anfragen und Entwurf von Antworten | USA, mit Standardvertragsklauseln |
| Google Calendar, Zoho Calendar, Microsoft 365, iCloud | Kalenderverbindungen, die ein Unternehmen nach eigener Wahl aktiviert: Lesen freier Zeiten und Eintragen von Buchungen | Abhängig vom Anbieter, den das Unternehmen nutzt; EU/USA, mit Standardvertragsklauseln |
| Meta (Instagram, Messenger) | Messaging-Kanäle, die ein Unternehmen nach eigener Wahl verbindet | EU/USA, mit Standardvertragsklauseln |
| Push-Dienste von Google, Apple und Mozilla | Zustellung von Benachrichtigungen an Telefone und Computer des Teams (nur verschlüsselte Inhalte) | EU/USA |
| Zoho Mail | Unsere eigene E-Mail | EU (Niederlande / Irland) |
| cal.com | Buchung eines Gesprächs mit uns | EU/USA, mit Standardvertragsklauseln |
| Google Fonts | Schriftarten dieser Website | Globales Netz; Betreiber in den USA |
Verlassen Daten die EU/den EWR, stützen wir uns auf die Standardvertragsklauseln der Europäischen Kommission mit dem Anbieter.
8. Speicherdauer
Unternehmens- und Kundendaten werden für die Vertragsdauer gespeichert und innerhalb von 30 Tagen nach Beendigung gelöscht, sofern das Unternehmen nicht vorher einen Export verlangt oder eine gesetzliche Pflicht eine längere Aufbewahrung erfordert. Ein Unternehmen kann uns außerdem jederzeit auffordern, die Daten eines einzelnen Kunden zu löschen. Serverprotokolle: 3 Tage. Kontaktdaten: 12 Monate nach dem letzten Kontakt. Forschungsprotokolle: 12 Monate.
9. Ihre Rechte
Nach der DSGVO können Sie Auskunft, Berichtigung, Löschung oder Herausgabe Ihrer personenbezogenen Daten verlangen, die Verarbeitung einschränken lassen oder ihr widersprechen und eine erteilte Einwilligung widerrufen. Schreiben Sie an hello@zelvai.net; wir antworten innerhalb von 30 Tagen. Sie können sich außerdem bei der Datenschutzaufsichtsbehörde Ihres Landes beschweren. Betrifft Ihre Anfrage Daten, die ein Unternehmen über Sie als seinen Kunden hält, wenden Sie sich bitte an dieses Unternehmen; wir unterstützen es bei der Antwort.
10. Änderungen
Wir aktualisieren diese Seite bei Änderungen des Dienstes und vermerken das Datum oben.