Datenschutzerklärung

Wer wir sind

Die Super44 GmbH ist der Verantwortliche für deine personenbezogenen Daten gemäß der EU-Datenschutz-Grundverordnung (DSGVO) und, soweit anwendbar, der UK GDPR und dem Data Protection Act 2018.

• Unternehmen: Super44 GmbH
• Adresse: Rheinwerkallee 6, 53227 Bonn, Deutschland
• Handelsregister: Amtsgericht Bonn, HRB 30568
• Geschäftsführer: Alexander Riesenkampff
• E-Mail: hello@super44.ai

Welche Daten wir erheben

Wir erheben nur, was wir brauchen, damit Super44 für dich funktioniert. Hier die vollständige Liste:

• E-Mail-Adresse — wird bei der Registrierung über Clerk erfasst
• Name (falls angegeben) — wird bei der Registrierung erfasst
• Unternehmensname — gibst du beim Onboarding ein
• Geschäftsadresse / Standort — einmalige Eingabe beim Setup, damit wir Erkenntnisse auf deine Region zuschneiden können
• Chat-Nachrichten und Gesprächsverlauf — alles, was du Super44 fragst und die Antworten, die du erhältst
• POS- / Verkaufstransaktionsdaten — werden aus deinem Kassensystem abgerufen, wenn du es verbindest
• Google-Unternehmensprofil-Daten — wenn du ein Profil verbindest oder autorisierst, greifen wir auf relevante Konto-, Standort-, Profil-, Bewertungs- und Leistungsdaten zu, um die Profilverwaltung bereitzustellen und — sofern autorisiert — deine Geschäftsstandorte mit deinem Werbekonto zu verknüpfen
• Belegbilder und Ausgabendaten — Fotos von Belegen, die du hochlädst, und die daraus ausgelesenen Angaben (Betrag, Lieferant, MwSt., Kategorie), wenn du die Belegerfassung nutzt
• Gmail-Zugriff (nur Lesen) — wenn du dein Gmail-Postfach für die Belegerfassung verbindest, lesen wir E-Mails ausschließlich zur Belegerkennung. Der Zugriff erfolgt rein lesend und ist jederzeit widerrufbar
• Personaldaten — wenn dein Unternehmen Superstaff aktiviert, verarbeiten wir auf Weisung des Unternehmens Namen, Rollen, angegebene Kontaktdaten, Geburtsdatum, Beschäftigungsart und rechtlichen Beschäftigungsstatus, Beschäftigungsbeginn, vereinbarte Vergütung und Wochenstunden, Urlaubsgeldmethode, Beginn des Urlaubsjahres und Urlaubsansprüche, Nachweise zu Arbeitsberechtigung und Beschäftigungs-Onboarding, Verfügbarkeiten, Schichtpläne, Urlaubs- und Tauschanfragen, Stempel- und Stundenzetteldaten, Kiosk-/Geräteinformationen sowie Daten für Lohnexporte
• Abrechnungs- und Abonnementdaten — wenn du einen kostenpflichtigen Plan wählst, erfasst Stripe deine Zahlungsmethode, Rechnungsadresse und gegebenenfalls Steuerangaben und verarbeitet die Zahlung. Wir erhalten und speichern Abonnement-, Rechnungs- und Zahlungsstatusdaten sowie Stripe-Kundenkennungen, aber nicht deine vollständige Kartennummer oder Prüfnummer.
• Geräteinformationen (Betriebssystem, App-Version) — werden automatisch bei der App-Nutzung erfasst
• Absturzberichte und Leistungsdaten — werden automatisch erfasst, um Fehler zu beheben und die App stabil zu halten
• Mobile Produktanalysen — Konto- und Nutzerkennungen (einschließlich E-Mail-Adresse), App- und Gerätedaten sowie Interaktionen mit Produktfunktionen in den Mobile-Apps Super44 und Superstaff, um Nutzung zu verstehen, Fehler zu untersuchen und die Dienste zu verbessern
• Daten zur Werbemessung — nur mit deiner Marketing-Einwilligung können ausgewählte Seitenaufrufe, Kontaktanfragen, Chat-Starts und Registrierungen First-Party-Werbekennungen, IP-Adresse und Browser-Informationen sowie eine gehashte E-Mail-Adresse für die Conversion-Messung durch Meta und OpenAI enthalten

Warum wir deine Daten verarbeiten dürfen

Gemäß DSGVO benötigen wir für jede Verarbeitung eine Rechtsgrundlage. Hier sind unsere:

• Kontoerstellung, KI-Chat, Geschäftsanalysen, POS-Analyse, Belegerfassung sowie Überwachung und Verwaltung des Unternehmensprofils — Vertragserfüllung (Art. 6 Abs. 1 lit. b). Du hast dich für diese Funktionen angemeldet, und wir brauchen deine Daten, um sie bereitzustellen.
• Superstaff — gegenüber Unternehmern ist die Bereitstellung der Personalfunktionen Vertragserfüllung (Art. 6 Abs. 1 lit. b). Bei Personaldaten, die ein Unternehmen bereitstellt, ist das Unternehmen Verantwortlicher und Super44 Auftragsverarbeiter gemäß unserem AVV; das Unternehmen bestimmt die Rechtsgrundlage und erteilt Beschäftigten die erforderlichen Hinweise.
• Absturzberichte und App-Stabilität — Berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Wir haben ein berechtigtes Interesse daran, die App stabil zu halten.
• Servicebezogene E-Mail-Kommunikation — Berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Dazu gehören Sicherheitswarnungen, Abrechnungsbenachrichtigungen, wesentliche Produkt-Updates und von dir angeforderte KI-Benachrichtigungen (wie Erinnerungen oder Ergebnisse geplanter Aufgaben). Wir versenden unter dieser Grundlage keine Marketing-E-Mails.
• Abonnementverwaltung und Zahlungsabwicklung — Vertragserfüllung (Art. 6 Abs. 1 lit. b). Gesetzlich vorgeschriebene Rechnungs-, Steuer- und Buchhaltungsunterlagen speichern wir zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c); Zahlungssicherheit und Betrugsprävention können außerdem auf unseren berechtigten Interessen beruhen (Art. 6 Abs. 1 lit. f). Soweit Stripe als eigener Verantwortlicher handelt, bestimmt Stripe die eigenen Rechtsgrundlagen.
• Mobile Produktanalysen und betriebliche Produkt-Ereignisse — Berechtigtes Interesse (Art. 6 Abs. 1 lit. f). Wir nutzen diese Ereignisse in den Mobile-Apps Super44 und Superstaff, um die Nutzung von Funktionen zu verstehen, Fehler zu untersuchen und die Dienste zu verbessern. Sie werden nicht für seitenübergreifende Werbung verwendet; du kannst dieser Verarbeitung widersprechen.
• Optionale Website-Analyse und Werbemessung — Einwilligung (Art. 6 Abs. 1 lit. a). Diese Website-Technologien bleiben ausgeschaltet, bis du sie aktivierst, und du kannst deine Einwilligung jederzeit widerrufen.

Wer deine Daten noch verarbeitet

Wir arbeiten mit einer kleinen Anzahl vertrauenswürdiger Dienstleister und weiterer Empfänger zusammen, um Super44 zu betreiben. Soweit ein Anbieter Daten in unserem Auftrag verarbeitet, besteht ein entsprechender Auftragsverarbeitungsvertrag (AVV); einzelne regulierte Anbieter handeln für bestimmte Zwecke auch als eigene Verantwortliche.

• Clerk (clerk.com) — kümmert sich um Authentifizierung und Nutzerverwaltung. Sitz in den USA, geschützt durch EU-Standardvertragsklauseln (SCCs).
• AWS (primäre Anwendungsregion eu-central-1, Frankfurt) — hostet unsere Server, Datenbanken, Dateispeicher und KI-Modellverarbeitung (Anthropic Claude über Amazon Bedrock). Anwendungsdaten werden primär im EWR gehostet. Die KI-Verarbeitung nutzt EU- und globale regionsübergreifende Inferenzprofile von Bedrock; der konfigurierte globale Ausweichbetrieb kann eine Verarbeitung außerhalb des EWR oder des Vereinigten Königreichs umfassen, abgesichert durch die nachstehend beschriebenen Übermittlungsmechanismen.
• Upstash — stellt die in der EU gehostete Vektordatenbank zum Speichern und Abrufen von Gesprächsinhalten bereit.
• Langfuse — erhält gefilterte KI-Beobachtungsdaten einschließlich der KI-Anfragen und -Antworten, die wir zur Diagnose und Verbesserung des Verhaltens von Super44 benötigen.
• Vercel — hostet und liefert die Super44-Webanwendungen aus und verarbeitet Anfrage-, Geräte- und Deployment-Protokolldaten.
• Stripe (Stripe Payments Europe, Limited und relevante Stripe-Unternehmen) — stellt den gehosteten Checkout, Abonnementabrechnung, Zahlungsabwicklung, Rechnungsstellung, Steuerberechnung, Erstattungen, Zahlungsauthentifizierung, Betrugsprävention und Sicherheit bereit. Stripe erhält Abrechnungs-, Transaktions-, Zahlungsmittel-, Geräte- und technische Daten. Stripe handelt teils als unser Auftragsverarbeiter und teils als eigener Verantwortlicher für regulierte Zahlungsdienste, Betrugsprävention, rechtliche Pflichten und den eigenen Dienstbetrieb. Stripe kann Daten auf Grundlage des EU-US Data Privacy Framework und/oder der EU-Standardvertragsklauseln in den USA verarbeiten. Siehe https://stripe.com/privacy.
• Google (OAuth, Business-Profile-APIs, Gmail API) — verwaltet die Google-Kontoautorisierung, stellt verbundene Unternehmensprofil-Daten bereit und liest — nur wenn du es verbindest — dein Gmail-Postfach zur Belegerkennung (nur Lesezugriff). Sitz in den USA, geschützt durch EU-Standardvertragsklauseln (SCCs).
• Twilio und Meta Platforms Ireland — verarbeiten Telefonnummern, Nachrichteninhalte und Zustelldaten, wenn du Super44 über WhatsApp nutzt.
• Slack — erhält begrenzte Konto- und Betriebsmitteilungsdaten, damit unser Team Aktivierungen, Quellenwechsel und den Dienstbetrieb unterstützen kann; Personaldatensätze werden nicht an Slack gesendet.
• BetterStack — Fehler- und Absturzberichte, um den Dienst stabil zu halten. EU-Hosting.
• Sentry — Fehler- und Leistungsdiagnosen für Web- und Mobile-Apps. Diagnosedaten werden minimiert und dürfen keine Schichtpläne, Vergütungsdaten oder Chat-Inhalte enthalten.
• Expo — Dienste für Mobile-Apps, einschließlich Geräte-Push-Tokens und Zustellung von Push-Mitteilungen für Super44 und Superstaff. Mitteilungsinhalte werden minimiert.
• PostHog — Produktanalysen und betriebliche Produkt-Ereignisse in den Mobile-Apps Super44 und Superstaff; Website- und Web-App-Analysen sowie Weiterleitung von Conversion-Ereignissen an Meta, OpenAI und TikTok nur mit der jeweils erforderlichen Einwilligung. EU-Hosting (EU Cloud). Wird nicht für seitenübergreifendes Tracking verwendet.
• Meta Platforms Ireland Ltd. — Werbemessung und relevante Zielgruppen (Meta-Pixel und Conversions API), nur mit deiner Marketing-Einwilligung. Wir können Aufrufe von Kampagnenseiten, den Start eines anonymen Chats und die Kontoregistrierung zusammen mit technischen Kennungen (Cookie-IDs, IP-Adresse und Browser-Informationen) und einer gehashten E-Mail-Adresse übermitteln. Chat-Inhalte oder Unternehmensnamen senden wir nie an Meta. Übermittlungen an Meta in den USA sind durch das EU-US Data Privacy Framework und EU-Standardvertragsklauseln (SCCs) geschützt.
• OpenAI Ireland Ltd. — Messung von Werbe-Conversions und relevante Zielgruppen (OpenAI Ads Pixel und Conversions API), nur mit deiner Marketing-Einwilligung. Wir können Seitenaufrufe, angenommene Kontaktanfragen, den Start eines anonymen Chats und die Kontoregistrierung zusammen mit First-Party-Werbekennungen, IP-Adresse und Browser-Informationen sowie einer gehashten E-Mail-Adresse übermitteln. Chat-Inhalte oder Unternehmensnamen senden wir nie an OpenAI. OpenAI verarbeitet Conversion-Daten grundsätzlich als eigenständig Verantwortlicher gemäß den Conversion Terms und dem Ad Tools Data Processing Addendum. Übermittlungen in Länder ohne angemessenes Datenschutzniveau stützen sich auf EU-Standardvertragsklauseln (SCCs), sofern kein anderer gültiger Übermittlungsmechanismus gilt.
• TikTok Technology Limited (Irland) — Messung von Werbe-Conversions und relevante Zielgruppen (TikTok-Pixel und Events API), nur mit deiner Marketing-Einwilligung. Wir können Seitenaufrufe, angenommene Kontaktanfragen, den Start eines anonymen Chats und die Kontoregistrierung zusammen mit First-Party-Werbekennungen, IP-Adresse und Browser-Informationen sowie einer gehashten E-Mail-Adresse übermitteln. Chat-Inhalte oder Unternehmensnamen senden wir nie an TikTok. TikTok verarbeitet diese Daten als eigenständig Verantwortlicher gemäß seinen Business Products (Data) Terms. Übermittlungen in Länder ohne angemessenes Datenschutzniveau stützen sich auf EU-Standardvertragsklauseln (SCCs), sofern kein anderer gültiger Übermittlungsmechanismus gilt.

Nutzung von Google-API-Daten

Die Nutzung und Übertragung von Informationen aus Google-APIs an andere Apps durch Super44 folgt der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.

Google-Unternehmensprofil-Daten werden ausschließlich verwendet, um von dir autorisierte Funktionen bereitzustellen. Dazu können das Abrufen von Profil- und Leistungsinformationen sowie das Veröffentlichen von Profilaktualisierungen oder Bewertungsantworten gehören, sofern ausdrücklich autorisiert.

Auf Gmail-Daten wird ausschließlich lesend zugegriffen, allein um Lieferantenrechnungen und Belege zu erkennen und in deine eigene Belegverwaltung zu übernehmen. Sie werden niemals für Werbung verwendet, verkauft oder zum Training allgemeiner KI-Modelle genutzt. Menschen sehen diese Daten nur mit deiner ausdrücklichen Zustimmung, aus Sicherheitsgründen oder wenn es gesetzlich vorgeschrieben ist.

Du kannst den Google-Zugriff jederzeit in der App oder unter myaccount.google.com/permissions widerrufen.

Wie lange wir deine Daten speichern

Wir speichern Daten nicht länger als nötig.

• Aktives Konto — deine Daten werden für die Dauer deines Abonnements gespeichert.
• Nach Kontolöschung — persönliche und geschäftliche Daten, die wir nicht weiter aufbewahren müssen, löschen wir innerhalb von 30 Tagen. Rechnungs-, Zahlungs-, Steuer- und Buchhaltungsunterlagen können für die gesetzlich vorgeschriebene Dauer gespeichert und anschließend gelöscht oder anonymisiert werden. Stripe kann Daten eigenständig aufbewahren, soweit dies für Zahlungsregulierung, Betrugsprävention, Rechtsansprüche oder andere rechtliche Pflichten erforderlich ist. Anonymisierte, aggregierte Analysen können beibehalten werden.
• Chat-Verlauf — wird für die Lebensdauer deines Kontos aufbewahrt. Du kannst einzelne Unterhaltungen jederzeit löschen.
• POS-Daten — werden zwischengespeichert, solange deine Integration verbunden ist. Werden gelöscht, wenn du die Integration trennst oder dein Konto löschst.
• Superstaff-Daten — werden gespeichert, solange das Geschäftskonto die Personalverwaltung nutzt, und auf Weisung des Unternehmens oder bei Kontolöschung gelöscht oder zurückgegeben; ausgenommen sind vom Unternehmen benötigte gesetzliche Aufbewahrungen und die unten genannte Backup-Frist.
• Nachweise zur Beta-Aktivierung — Funktion, Unternehmen, anfragendes Konto, Kanal, Zeitpunkt, Gesprächs- und Nachrichtenreferenzen sowie akzeptierte Versionen von Nutzungsbedingungen/AVV werden so lange gespeichert, wie dies zum Nachweis der Berechtigung und des Vertrags sowie zur Klärung von Streitigkeiten erforderlich ist; maßgebliche Verjährungs- und Aufbewahrungsfristen bleiben unberührt. Eine weitere Kopie des Bestätigungstextes wird in diesem Datensatz nicht gespeichert.
• Backups — Backups mit personenbezogenen Daten werden innerhalb von 90 Tagen nach einer Löschanfrage bereinigt.

Deine Rechte nach DSGVO und UK GDPR

Du hast starke Rechte über deine Daten gemäß der DSGVO und UK GDPR (Artikel 15–22). Das kannst du tun:

• Auskunft (Art. 15) — fordere eine Kopie aller personenbezogenen Daten an, die wir über dich gespeichert haben.
• Berichtigung (Art. 16) — bitte uns, fehlerhafte Daten zu korrigieren.
• Löschung (Art. 17) — bitte uns, alle deine Daten zu löschen (das »Recht auf Vergessenwerden«).
• Einschränkung (Art. 18) — bitte uns, die Verarbeitung einzuschränken, während eine Beschwerde geklärt wird.
• Datenübertragbarkeit (Art. 20) — erhalte deine Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruch (Art. 21) — widerspreche der Verarbeitung auf Basis unseres berechtigten Interesses.
• Automatisierte Entscheidungsfindung (Art. 22) — Super44s KI liefert nur Vorschläge und Einblicke. Wir treffen keine automatisierten Entscheidungen, die rechtliche oder ähnlich bedeutsame Auswirkungen auf dich haben.

Um eines dieser Rechte auszuüben, schreib uns an hello@super44.ai. Wir antworten innerhalb von 30 Tagen. Du hast außerdem das Recht, eine Beschwerde bei deiner zuständigen Datenschutzbehörde einzureichen. Für Super44 ist das die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW). Für Daten, die Stripe als eigener Verantwortlicher verarbeitet, kannst du dich zusätzlich über Stripes Datenschutzkanäle an Stripe wenden.

Internationale Datenübermittlungen

Deine Anwendungsdaten werden primär im EWR verarbeitet — unsere primäre AWS-Region ist Frankfurt (eu-central-1). Einige Anbieter und Partner, darunter AWS Bedrock, Clerk, Google, Stripe, Twilio, Meta, Langfuse, Vercel, Slack, Sentry, Expo, OpenAI und TikTok, können Daten auch in den USA oder anderen Ländern verarbeiten. Die KI-Verarbeitung über Bedrock bevorzugt, soweit verfügbar, regionsübergreifende EU-Inferenzprofile und nutzt für die Ausfallsicherheit einen konfigurierten globalen Ausweichbetrieb; die globale Weiterleitung kann eine Verarbeitung außerhalb des EWR oder des Vereinigten Königreichs umfassen. Übermittlungen sind durch einen anwendbaren Angemessenheitsrahmen, soweit verfügbar, und/oder die einschlägigen EU-Standardvertragsklauseln, das UK International Data Transfer Agreement oder UK Addendum geschützt. Verarbeitungen aus dem Vereinigten Königreich im EWR stützen sich auf die jeweils geltenden britischen Angemessenheitsvorschriften für den EWR. Stripe kann Daten an Stripe, LLC sowie verbundene Unternehmen oder Unterauftragsverarbeiter übermitteln, soweit dies für die Bereitstellung der Zahlungsdienste erforderlich ist. Wir übermitteln Daten nicht ohne geeignete Schutzmaßnahmen.

Cookies und Tracking

Die Mobile-Apps Super44 und Superstaff verwenden keine Cookies oder Werbe-SDKs von Drittanbietern. Sie nutzen Sentry und BetterStack für Zuverlässigkeitsdiagnosen, Expo für Push-Zustellung und PostHog EU Cloud für Produktanalysen und betriebliche Produkt-Ereignisse im angemeldeten Bereich. Diese Verarbeitung in der App ist oben unter unseren berechtigten Interessen beschrieben und von den Cookie-Einstellungen der Website getrennt. Auf unserer Website und in der Web-App nutzt die optionale Analyse PostHog, um die Produktnutzung zu verstehen. Optionales Marketing nutzt die Pixel und Conversions APIs von Meta, OpenAI Ads und TikTok, um Kampagnen zu messen und relevante Zielgruppen zu erstellen; ausgewählte Conversion-Ereignisse werden über PostHog weitergeleitet. Diese Website-Technologien können First-Party-Werbe-Cookies und -Kennungen setzen oder auslesen. Die Auswahlmöglichkeiten für Website-Analyse und Marketing sind getrennt, bleiben bis zu deiner Einwilligung ausgeschaltet und haben keinen Einfluss auf die Funktionen von Super44. Wenn du einen kostenpflichtigen Plan wählst, wirst du zum gehosteten Checkout von Stripe weitergeleitet. Dort kann Stripe notwendige Cookies und Gerätesignale für Zahlungsauthentifizierung, Sicherheit und Betrugsprävention verwenden. Dabei handelt es sich nicht um Werbe-Cookies von Super44. Du kannst deine Auswahl für optionale Website-Analyse und Marketing jederzeit über Cookie-Einstellungen im Footer oder Datenschutz-Einstellungen in der Web-App ändern und der Produktanalyse im angemeldeten Bereich widersprechen, indem du uns kontaktierst.

Daten von Kindern

Super44 ist ein Business-Tool und richtet sich nicht an Kinder unter 16 Jahren; sie dürfen nicht eigenständig ein Geschäftskonto erstellen. Ein Unternehmen, das Superstaff nutzt, kann Daten über junge Beschäftigte bereitstellen, auch über Personen unter 16 Jahren, soweit deren Beschäftigung rechtmäßig ist. In diesem Fall ist das Unternehmen Verantwortlicher und Super44 verarbeitet die Daten nur auf dessen Weisung gemäß dem Auftragsverarbeitungsvertrag; das Unternehmen ist für arbeitsrechtliche Schutzmaßnahmen und Hinweise verantwortlich. Erfahren wir, dass Daten eines Kindes außerhalb dieses vom Unternehmen kontrollierten Personalkontexts übermittelt wurden, löschen wir sie umgehend.

Änderungen dieser Erklärung

Wenn wir wesentliche Änderungen an dieser Erklärung vornehmen, informieren wir dich per In-App-Benachrichtigung und/oder E-Mail. Diese Seite zeigt immer die aktuelle Version mit dem Datum »Zuletzt aktualisiert« oben. Die weitere Nutzung von Super44 nach unserer Benachrichtigung über Änderungen bedeutet, dass du die aktualisierte Erklärung akzeptierst. Wo erforderlich, bitten wir erneut um deine Einwilligung.

Datenschutz-Kontakt

Wir sind ein kleines Team und haben keinen formellen Datenschutzbeauftragten bestellt (dies ist für die meisten KMU gemäß Art. 37 DSGVO nicht erforderlich). Bei Fragen, Anfragen oder Bedenken zum Datenschutz erreichst du uns direkt unter hello@super44.ai.