Datenschutzerklärung

TwinCard — Datenschutzerklärung. Internationale Gerichtsbarkeit (DSGVO)

Letzte Überarbeitung: 26. September 2026

Diese Datenschutzerklärung (im Folgenden „Erklärung“) beschreibt die Verfahren zur Erhebung, Verarbeitung, Speicherung, Übermittlung und zum Schutz personenbezogener Daten der Nutzer und Besucher des Dienstes TwinCard — der Business-Plattform von AI² (im Folgenden „Dienst“) —, der im Internet unter der Adresse twincard.ai (im Folgenden „Website“) sowie in Form der mobilen Anwendung „AI2 TwinCard“ (im Folgenden „Anwendung“) bereitgestellt wird.

Diese Erklärung wurde in Übereinstimmung mit der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung — DSGVO), der Richtlinie 2002/58/EG (ePrivacy-Richtlinie) und der Verordnung (EU) 2024/1689 (EU AI Act) hinsichtlich der Transparenzanforderungen an Systeme der künstlichen Intelligenz erstellt.

Durch die Nutzung des Dienstes bestätigen Sie, dass Sie diese Erklärung zur Kenntnis genommen haben. Wenn Sie mit einzelnen Bestimmungen der Erklärung nicht einverstanden sind, sollten Sie die Nutzung des Dienstes einstellen.

1. Was diese Erklärung regelt

1.1. Die Erklärung regelt die Verarbeitung personenbezogener Daten durch das Privatunternehmen „New Reality“ (im Folgenden „Betreiber“, „Wir“) gemäß Art. 13 und 14 DSGVO in Bezug auf:

• Nutzer — Personen, die ein Konto im Dienst registriert haben und im Namen eines Unternehmens (einer Gesellschaft, eines Einzelunternehmers, eines Selbstständigen) handeln, einschließlich der menschlichen Mitarbeiter von Unternehmen;
• Kontaktpersonen von Unternehmen — Personen, deren Daten in den Angaben zum Unternehmen, in Express-Anfragen und in Abrechnungen angegeben sind;
• Besucher — Personen, die die Website, den Katalog, Unternehmensseiten und Widgets aufrufen, auch ohne Registrierung;
• Kunden von Unternehmen — soweit der Betreiber ihre Daten als Auftragsverarbeiter im Auftrag des Unternehmens verarbeitet (Abschnitt 2.3).

1.2. TwinCard ist ein Dienst für Unternehmen: Unternehmensseite im TwinCard-Katalog, Unternehmensstruktur, KI-Mitarbeiter und menschliche Mitarbeiter, Kommunikation mit Kunden auf der Unternehmensseite, Formulare, Dokumente, Kundenlisten, Integrationen, Promotion und Werbung.

1.3. Die Erklärung gilt für die Website twincard.ai und die mobile Anwendung „AI2 TwinCard“. Kopien von Unternehmensseiten, die auf TwinCard-Websites anderer Länder (twincard.ru, twincard.kz) veröffentlicht sind, unterliegen den Dokumenten der jeweiligen Websites.

1.4. Die Erklärung gilt nicht für Ressourcen Dritter, auf die Links aus dem Dienst verweisen, einschließlich der Websites von Unternehmen, der Ergebnisse des Blocks „Aus dem Internet“ und der von Unternehmen angebundenen Kanäle (zum Beispiel Telegram).

2. Wer verarbeitet die Informationen

2.1. Verantwortlicher für personenbezogene Daten (Data Controller)

Privatunternehmen „New Reality“ (New Reality Ltd)

• BIN: 220440900016
• Juristische Adresse: Republik Kasachstan, Astana, Zhenis-Allee, Gebäude 1, Büro 29
• E-Mail: [email protected]
• Telefon: +7 (747) 029-43-05
• Webseite: https://twincard.ai

2.2. Kontakt in Datenschutzfragen

Bei allen Fragen im Zusammenhang mit der Verarbeitung und dem Schutz personenbezogener Daten können Sie sich wenden an:

• E-Mail: [email protected] — mit dem Vermerk „Data Protection“;
• Postanschrift: Republik Kasachstan, Astana, Zhenis-Allee, Gebäude 1, Büro 29 — mit dem Vermerk „Data Protection Officer“.

2.3. Wenn das Unternehmen Verantwortlicher ist

Unternehmen nutzen den Dienst für die Arbeit mit ihren Kunden. Hinsichtlich der Daten, die Kunden und Besucher dem Unternehmen übermitteln — in der Korrespondenz mit KI-Mitarbeitern und Mitarbeitern des Unternehmens, in Formularen und Anfragen, in Dokumenten —, sowie der Daten, die das Unternehmen selbst hochlädt (Kundenlisten, Geschäftsvorgänge, Berichte, Stimmproben), ist das Unternehmen Verantwortlicher und der Betreiber Auftragsverarbeiter, der im Auftrag des Unternehmens (Art. 28 DSGVO) zu den Bedingungen der Vereinbarung zur Auftragsverarbeitung (Anlage 2 zur Nutzungsvereinbarung) handelt.

Wenn Sie Kunde oder Besucher eines Unternehmens sind, finden Sie Angaben zu den Zwecken und Grundlagen der Verarbeitung Ihrer Daten durch das Unternehmen in der Datenschutzerklärung dieses Unternehmens; Anfragen zu Ihren Daten richten Sie bitte an das Unternehmen. Wenn Sie eine solche Anfrage an den Betreiber richten, leiten wir sie an das Unternehmen weiter und helfen dem Unternehmen bei ihrer Bearbeitung.

Die Angaben der Unternehmensseiten werden nach Wahl des Unternehmens veröffentlicht; hinsichtlich der darin enthaltenen personenbezogenen Daten ist das Unternehmen Verantwortlicher.

2.4. Anwendbares Recht

Die Verarbeitung personenbezogener Daten erfolgt in Übereinstimmung mit:

• der Verordnung (EU) 2016/679 (DSGVO);
• der Richtlinie 2002/58/EG (ePrivacy-Richtlinie) — in Bezug auf Cookies, lokalen Speicher und elektronische Kommunikation;
• der Verordnung (EU) 2022/2065 (DSA) — in Bezug auf Moderation und Werbung;
• der Verordnung (EU) 2024/1689 (EU AI Act) — in Bezug auf die Transparenz von Systemen der künstlichen Intelligenz;
• dem anwendbaren nationalen Recht der EU-/EWR-Mitgliedstaaten.

3. Zweck der Erklärung

3.1. Zweck der Erklärung ist der Schutz personenbezogener Daten vor unbefugtem Zugriff und unbefugter Offenlegung sowie die Erfüllung der Informationspflichten des Betreibers (Art. 13 und 14 DSGVO).

3.2. Die Erklärung legt fest: die Liste der verarbeiteten Daten, die Zwecke und Rechtsgrundlagen der Verarbeitung, die Sicherheitsmaßnahmen, die Empfänger der Daten und internationale Übermittlungen, die Aufbewahrungsfristen, die Rechte der betroffenen Personen, die Verwendung von Cookies und lokalem Speicher sowie den Einsatz von Technologien der künstlichen Intelligenz.

3.3. Der Betreiber lässt keine Verarbeitung zu, die mit den Zwecken der Erhebung unvereinbar ist, und keine Verarbeitung übermäßiger Daten (Grundsatz der Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO).

4. Welche Informationen wir erheben

4.1. Kontodaten

Bei der Registrierung geben Sie an:

• das Land (bestimmt die TwinCard-Website und die Fassung der Dokumente) und die Telefonnummer;
• den Status — Gesellschaft oder natürliche Person (Einzelunternehmer, Selbstständiger);
• die E-Mail-Adresse (wird mit einem Code bestätigt; dient der Anmeldung und der Kommunikation);
• das Passwort (wird in gehashter Form gespeichert, Algorithmus bcrypt);
• den Namen und die Position;
• den Firmennamen, die Bezeichnung und Nummer der Steueridentifikation;
• die gewählten Kooperationsoptionen (Unternehmensseite, Mitarbeiter, Werbung u. a.);
• die Sicherheitseinstellungen — Angaben zur aktivierten Zwei-Faktor-Authentifizierung.

Das AI²-Konto gilt einheitlich für alle Anwendungen der AI² Plattform: Die Kontodaten (Name, E-Mail-Adresse, Passwort, Kennungen) sind den Anwendungen der Plattform gemeinsam, und das AI²-Guthaben des Kontos ist einheitlich.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

4.2. Express-Anfragen und Kontaktpersonen des Unternehmens

• Express-Anfrage — Name, E-Mail-Adresse, Telefonnummer, Name des Unternehmens, gewählte Leistungen und Kommentar; wird von einem Manager des Betreibers für die Kontaktaufnahme und die Abwicklung der Leistungen verwendet;
• Kontaktpersonen — vom Unternehmen für die Kommunikation zu Vertrag, Abrechnung und Moderation angegebene Personen.

Rechtsgrundlage: Vertragserfüllung und vorvertragliche Maßnahmen auf Anfrage (Art. 6 Abs. 1 lit. b DSGVO); in Bezug auf Kontaktpersonen, die nicht Vertragspartei sind, das berechtigte Interesse des Betreibers an der Erfüllung des Vertrags mit dem Unternehmen (Art. 6 Abs. 1 lit. f DSGVO).

4.3. Angaben zum Unternehmen und Unternehmensseite

Name, Beschreibung, Mission, Werte, Leistungen und Preisliste, Adresse, Kontaktdaten, Logo und Fotos, Links, Banner, Unternehmensdaten (einschließlich der Firma der juristischen Person und der Steuernummer), Präsenzländer, Änderungsverlauf und Moderationsentscheidungen.

Diese Angaben sind Angaben über das Unternehmen und werden nach Wahl des Unternehmens im TwinCard-Katalog und auf den TwinCard-Websites der gewählten Präsenzländer veröffentlicht (Abschnitt 7.10). Enthalten sie personenbezogene Daten (zum Beispiel den Namen eines Einzelunternehmers, Fotos von Personen), ist das Unternehmen für deren Veröffentlichung verantwortlich.

4.4. Struktur, Mitarbeiter und KI-Mitarbeiter

• Unternehmensstruktur — Abteilungen, Rollen, Positionen und Zugriffsrechte;
• Menschliche Mitarbeiter — Konto, Rolle in der Struktur, Zugriffsrechte, Handlungen im Kundenbereich des Unternehmens (Aktivitätsprotokoll);
• KI-Mitarbeiter — Name, Rolle, Anweisungen und Regeln, Wissensdatenbank (vom Unternehmen hochgeladene Texte und Dokumente), gewählte Stimme.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); Aktivitätsprotokoll — berechtigtes Interesse an Sicherheit und Streitbeilegung (Art. 6 Abs. 1 lit. f DSGVO).

4.5. Daten von Besuchern und Kunden des Unternehmens (Verarbeitung im Auftrag des Unternehmens)

Der Betreiber verarbeitet als Auftragsverarbeiter im Auftrag des Unternehmens:

• die Korrespondenz auf der Unternehmensseite und im Widget — Nachrichten des Besuchers, Antworten der KI-Mitarbeiter und Mitarbeiter des Unternehmens, Datum und Uhrzeit;
• Kontaktdaten, Bewertungen und Anliegen, die der Besucher dem Unternehmen hinterlassen hat;
• Antworten auf Formulare und Anfragen, deren Felder das Unternehmen festlegt;
• Dokumente, die Kunden dem Unternehmen übermittelt haben (werden 90 Tage in einem geschlossenen Speicher aufbewahrt);
• vom Unternehmen importierte Kundenlisten (Name, E-Mail-Adresse, Telefonnummer, Telegram-Benutzername, externe Kennung), Geschäftsvorgänge, Berichte und von der KI erstellte Kundenübersichten;
• Rechnungen und Zahlungsaufforderungen, die das Unternehmen dem Kunden gestellt hat, sowie Angaben zu Lieferungen, die über die Integration des Unternehmens abgewickelt wurden.

Für die Gastkorrespondenz ohne Registrierung wird auf dem Gerät des Besuchers ein Gast-Chat-Token gespeichert (Abschnitt 10), damit das Gespräch beim erneuten Öffnen fortgesetzt werden kann.

Hat sich der Besucher mit einem AI²-Konto beim Dienst angemeldet, wird in der Korrespondenz mit dem Unternehmen sein Name aus dem Konto verwendet; die Abonnements des Besuchers für Neuigkeiten von Unternehmen werden in seinem Konto gespeichert.

4.6. Eigene Stimmen

Erstellt das Unternehmen eine eigene Stimme, werden die Stimmprobe der Person und die Aufnahme des Einwilligungssatzes verarbeitet, der vor der Aufnahme der Probe gesprochen wird. Die Probe wird ausschließlich zur Sprachsynthese der KI-Mitarbeiter des Unternehmens verwendet; biometrische Stimm-Templates zur Identifizierung einer Person werden nicht erstellt. Verantwortlicher ist das Unternehmen; der Betreiber verarbeitet die Probe im Auftrag des Unternehmens. Die Person, deren Stimme verwendet wurde, ist berechtigt, ihre Einwilligung zu widerrufen, indem sie sich an das Unternehmen oder an den Betreiber unter [email protected] wendet; die Stimme wird in diesem Fall gelöscht.

4.7. Integrationen

Einstellungen der Integrationen des Unternehmens: Domains für das Widget, API-Schlüssel (werden in geschützter Form gespeichert), Webhook-Adressen, Anbindung des Telegram-Bots des Unternehmens, CDEK-Schlüssel des Unternehmens, Einstellungen des Unternehmens für die Zahlungsannahme, Protokolle der Integrationsaufrufe.

4.8. Suche und Werbung

• Suchanfragen — Text der Anfrage, Land und Sprache; werden ohne Zuordnung zu einem Nutzer gespeichert;
• Werbestatistik — Impressionen und Klicks mit Angabe des Landes und der Sprache des Betrachters sowie des Textes der Anfrage, zu der die Werbung angezeigt wurde; wird dem Werbetreibenden in aggregierter Form bereitgestellt;
• Werbekampagnen — Materialien, Budgets, Anzeigeeinstellungen, Moderationsentscheidungen.

4.9. Zahlungsdaten und AI² Token

• Wallet — AI²-Guthaben, Verlauf der Vorgänge (Aufladungen, Abbuchungen, Erstattungen);
• Bestellungen und Rechnungen — Leistungen, Beträge, Zeiträume, Zahlungsstatus, Verlängerungen;
• Zahlungstransaktionen — Kennungen, Beträge, Währung, Status;
• Angaben für die unbare Zahlung — Name des Zahlers, Steuernummer, Bankverbindung, wie in der Rechnung oder im Zahlungsauftrag angegeben;
• Digitale Aktivierungscodes und Kaufdaten aus App-Stores (Kaufkennung und Status).

Wichtig: Der Betreiber speichert keine Bankkartendaten. Die Eingabe der Kartendaten erfolgt auf Seiten des Zahlungsinstituts oder des App-Stores.

4.10. Technische Daten

• IP-Adresse;
• User-Agent — Browser, Gerät, Betriebssystem, Version der Anwendung;
• Sprache der Benutzeroberfläche und Zeitzone;
• Daten von Cookies und lokalem Speicher (Abschnitt 10);
• Push-Token in der Anwendung (sofern erlaubt);
• Zugriffsprotokolle — Datum und Uhrzeit der Zugriffe, aufgerufene Adressen, Antwortcodes.

4.11. Welche Daten der Dienst nicht erhebt

• biometrische Daten zur Identifizierung (Gesicht, biometrische Stimm-Templates);
• Bankkartendaten;
• Daten von Analyse- und Werbe-Cookies (solche Cookies werden nicht verwendet).

5. Rechtsgrundlagen und Zwecke der Verarbeitung

5.1. Rechtsgrundlagen (Art. 6 DSGVO)

a) Vertragserfüllung (Art. 6 Abs. 1 lit. b): Registrierung und Konto; Unternehmensseite, Katalog und Veröffentlichung in den Präsenzländern; Struktur, Mitarbeiter und KI-Mitarbeiter; Funktionen für die Arbeit mit Kunden und Integrationen; Bestellungen, AI²-Guthaben, Verlängerung von Leistungen; Dienstbenachrichtigungen.

b) Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Buchführung und Steuererfassung, Aufbewahrung von Rechnungen und Zahlungsbelegen, Antworten auf rechtmäßige Anfragen von Behörden, Meldung von Darstellungen sexuellen Kindesmissbrauchs.

c) Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Sicherheit des Dienstes, Schutz vor Spam, Betrug und Missbrauch, Begrenzung der Anfragehäufigkeit, Moderation und Bearbeitung von Beschwerden, Aktivitätsprotokoll im Kundenbereich, aggregierte Statistiken zu Suche und Werbung, Verbesserung des Dienstes auf Grundlage anonymisierter Daten, Kommunikation mit Kontaktpersonen des Unternehmens. Der Betreiber hat eine Interessenabwägung (Legitimate Interest Assessment) durchgeführt; deren Ergebnisse können unter [email protected] angefordert werden.

d) Einwilligung (Art. 6 Abs. 1 lit. a): Push-Benachrichtigungen in der Anwendung; Werbe-E-Mails des Betreibers.

Die Verarbeitung von Daten von Kunden und Besuchern des Unternehmens im Auftrag des Unternehmens (Abschnitte 4.5–4.6) erfolgt auf der Rechtsgrundlage, die das Unternehmen als Verantwortlicher bestimmt.

5.2. Zwecke der Verarbeitung

• Registrierung und Anmeldung — Erstellung des Kontos, einheitliche Anmeldung bei den AI²-Anwendungen, Zwei-Faktor-Authentifizierung;
• Unternehmensseite und Katalog — Veröffentlichung der Angaben zum Unternehmen, Moderation, Suche, Veröffentlichung in den Präsenzländern;
• KI-Mitarbeiter — Erstellung von Antworten nach den Anweisungen des Unternehmens und seiner Wissensdatenbank, Vertonung der Antworten;
• Arbeit mit Kunden — Korrespondenz, Formulare, Dokumente, Kundenlisten, Übersichten, Rechnungen, Integrationen (im Auftrag des Unternehmens);
• Werbung und Promotion — Anzeige von Werbung, Statistik für den Werbetreibenden;
• Abrechnung — Aufladung des Guthabens, Bezahlung von Bestellungen, Rechnungen, Verlängerung, Erstattungen;
• Sicherheit — Verhinderung von Betrug, Spam und Missbrauch, Moderation, Schutz von Kindern;
• Verbesserung des Dienstes — Analyse anonymisierter Statistiken.

5.3. Datenminimierung

Der Betreiber erhebt nur die für die angegebenen Zwecke erforderlichen Daten. Den Umfang der über Formulare und Integrationen erhobenen Kundendaten bestimmt das Unternehmen; der Dienst ermöglicht es dem Unternehmen, keine überflüssigen Angaben abzufragen.

5.4. Übersichtstabelle

6. Wie wir die Informationen schützen

6.1. Organisatorische Maßnahmen

• Beschränkung des Kreises der Personen mit Zugriff auf personenbezogene Daten nach dem Prinzip der geringsten Rechte und der dienstlichen Erforderlichkeit;
• Vertraulichkeitsverpflichtungen für die zur Verarbeitung befugten Personen;
• interne Dokumente zur Verarbeitung und zum Schutz von Daten, Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO);
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) in den vorgesehenen Fällen;
• regelmäßige interne Kontrolle der Einhaltung der DSGVO-Anforderungen.

6.2. Technische Maßnahmen

• HTTPS/TLS 1.2+ für alle Verbindungen;
• bcrypt für das Hashing von Passwörtern; Zwei-Faktor-Authentifizierung nach Wahl des Nutzers;
• HMAC-SHA256 für die Signierung von Anfragen zwischen Diensten (Mars LLM Service, Zahlungsgateways);
• Zugriffstoken mit begrenzter Gültigkeit, Prüfung der Zugriffsrechte bei jeder Anfrage, Trennung der Rechte innerhalb des Unternehmens nach der Struktur;
• Begrenzung der Anzahl der Anmeldeversuche und der Anfragehäufigkeit, Schutz vor automatisierten Angriffen;
• geschlossener Speicher für Dokumente von Kunden mit Zugriff nur für befugte Mitarbeiter des Unternehmens;
• Firewalls, Zugriffsprotokolle, rechtzeitige Aktualisierung der Software, Datensicherung;
• Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).

6.3. Schutz von Zahlungsdaten

Der Betreiber speichert keine Zahlungskartendaten. Zahlungen werden über zertifizierte Zahlungsgateways (PCI DSS) und App-Stores abgewickelt; der Datenaustausch ist durch einen HMAC-Schlüssel und Verschlüsselung geschützt.

6.4. Reaktion auf Vorfälle (Art. 33–34 DSGVO)

Bei einer Verletzung des Schutzes personenbezogener Daten wird der Betreiber:

• unverzüglich Maßnahmen zur Beseitigung der Folgen ergreifen;
• die Aufsichtsbehörde innerhalb von 72 Stunden benachrichtigen, wenn die Verletzung zu einem Risiko für die Rechte und Freiheiten der betroffenen Personen führen kann;
• die betroffenen Personen bei einem hohen Risiko ohne unangemessene Verzögerung benachrichtigen;
• das Unternehmen ohne unangemessene Verzögerung benachrichtigen, wenn Daten betroffen sind, für die das Unternehmen Verantwortlicher ist;
• den Vorfall und die ergriffenen Maßnahmen dokumentieren.

7. An wen die Informationen weitergegeben werden

7.1. Allgemeine Grundsätze

Der Betreiber verkauft und vermietet keine personenbezogenen Daten. Eine Weitergabe erfolgt nur in den in diesem Abschnitt beschriebenen Fällen und im erforderlichen Mindestumfang. Die Auftragsverarbeiter des Betreibers sind durch Verträge zur Auftragsverarbeitung (Art. 28 DSGVO) gebunden.

7.2. Eigene Sprachmodelle des Betreibers (Mars LLM Service)

Die Antworten der KI-Mitarbeiter werden ausschließlich von eigenen Sprachmodellen des Betreibers erstellt, die auf den Servern des Betreibers laufen, über den internen Dienst des Betreibers Mars LLM Service. Die Anfrage an das Modell enthält den Text des Gesprächs, die Anweisungen und Regeln des KI-Mitarbeiters, Auszüge aus der Wissensdatenbank des Unternehmens und Angaben der Unternehmensseite; direkte Kennungen des Besuchers (E-Mail-Adresse, Telefonnummer) werden nicht in die Anfrage aufgenommen, sofern der Besucher sie nicht selbst in einer Nachricht geschrieben hat.

Gesprächsdaten, Anweisungen und die Wissensdatenbank werden nicht an Drittanbieter von Diensten der künstlichen Intelligenz übermittelt. Die Wissensdatenbank wird auf den Servern des Betreibers gespeichert und indexiert.

7.3. Spracherkennung und Sprachsynthese

Spracherkennung und Sprachsynthese (auch mit eigenen Stimmen der Unternehmen) erfolgen durch eigene Dienste des Betreibers auf den Servern des Betreibers. Diese Daten werden nicht an Dritte weitergegeben.

7.4. Serverstandorte und Hosting

Die Daten werden auf Servern des Betreibers gespeichert, die in Rechenzentren von Hosting-Anbietern auf Grundlage von Verträgen mit dem Betreiber untergebracht sind. Die Hosting-Anbieter sind nicht berechtigt, die Daten für eigene Zwecke zu verwenden.

7.5. Cloudflare

Die Website twincard.ai wird über das Content-Delivery-Netzwerk und den DDoS-Schutz von Cloudflare betrieben. Cloudflare verarbeitet als Auftragsverarbeiter die IP-Adresse und technische Daten der Anfragen in dem Umfang, der für die Auslieferung der Seiten und den Schutz vor Angriffen erforderlich ist.

7.6. Anbieter der Websuche (Block „Aus dem Internet“)

Für den Block „Aus dem Internet“ werden der Text der Suchanfrage, das Land, die Sprache und die angegebene Stadt an einen Drittanbieter von Suchdiensten übermittelt: Google über den Dienst SerpApi, als Reserve Brave Search. Andere Daten über Sie werden dem Anbieter nicht übermittelt. Die Anbieter verarbeiten die Anfragen nach ihren eigenen Datenschutzrichtlinien.

7.7. Zahlungsgateways und App-Stores

Bei der Aufladung des Guthabens werden dem Zahlungsgateway die Kennung und der Betrag des Vorgangs, die Währung, die Zahlungsbeschreibung und die E-Mail-Adresse (für den Beleg) übermittelt. Bei einer Aufladung in der Anwendung verarbeitet Google Play oder der App Store die Zahlung als eigenständiger Verantwortlicher; der Betreiber erhält nur die Kaufkennung und deren Status. Bei unbarer Zahlung verarbeiten die Banken der Parteien die Daten.

7.8. Push-Benachrichtigungen

Für Benachrichtigungen der Anwendung werden die Dienste Google Firebase Cloud Messaging und Apple Push Notification Service verwendet. Eine Benachrichtigung kann eine kurze Zusammenfassung des Ereignisses enthalten.

7.9. Vom Unternehmen angebundene Integrationen

Auf Anweisung des Unternehmens werden Daten an die vom Unternehmen gewählten Empfänger übermittelt: Telegram (Korrespondenz der KI-Mitarbeiter mit Kunden über den Telegram-Bot des Unternehmens), CDEK (Empfängerdaten für die Lieferung nach dem Vertrag des Unternehmens), Zahlungsdienstleister des Unternehmens (Bezahlung einer Rechnung des Unternehmens durch den Kunden), Empfänger von Webhooks und der API des Unternehmens, Websites des Unternehmens mit installiertem Widget. Diese Empfänger verarbeiten die Daten nach ihren eigenen Regeln und nach ihren Verträgen mit dem Unternehmen.

7.10. Öffentliche Angaben und Präsenzländer

Die Angaben der Unternehmensseite sind im TwinCard-Katalog öffentlich zugänglich. Eine freigegebene Kopie der Unternehmensseite wird auf der TwinCard-Website jedes vom Unternehmen gewählten Präsenzlandes veröffentlicht (Russland — twincard.ru, Kasachstan — twincard.kz, andere Länder — twincard.ai; „online“ — auf allen drei). Die Websites anderer Länder können von Betreibern der AI² Plattform in den jeweiligen Gerichtsbarkeiten betrieben werden.

Besucher der Unternehmensseite sehen die Angaben, die das Unternehmen darauf veröffentlicht hat, sowie die Namen der KI-Mitarbeiter. Kontodaten, Korrespondenz, Kundenlisten und Zahlungsdaten werden Besuchern nicht angezeigt.

7.11. Unternehmen

Wenn Sie mit einem Unternehmen kommunizieren, dessen Formular ausfüllen oder ein Dokument übermitteln, erhalten diese Daten das Unternehmen und seine befugten Mitarbeiter. Werbetreibende erhalten nur aggregierte Statistiken zu Impressionen und Klicks.

7.12. Weitergabe auf gesetzliche Anordnung

Der Betreiber ist berechtigt, personenbezogene Daten auf rechtmäßige Anfrage zuständiger Behörden weiterzugeben, sofern eine angemessene Rechtsgrundlage besteht, und wird die betroffene Person über eine solche Anfrage informieren, sofern dies gesetzlich nicht verboten ist. Angaben zu bestätigten Darstellungen sexuellen Kindesmissbrauchs werden an die zuständigen Behörden weitergeleitet, wie es das anwendbare Recht verlangt.

8. Speicherdauer

8.1. Allgemeine Regeln (Art. 5 Abs. 1 lit. e DSGVO)

Personenbezogene Daten werden nicht länger gespeichert, als es die Zwecke der Verarbeitung erfordern, und danach gelöscht oder anonymisiert.

8.2. Speicherfristen nach Kategorien

Unternehmensdaten, die mit der Anwendung AI² Space gemeinsam sind, werden nach der Löschung des TwinCard-Kontos aufbewahrt, solange Sie Space nutzen (Ziff. 8.3).

8.3. Löschung des Kontos

Sie können das Konto löschen:

• im Kundenbereich auf der Website: „Profil“ → „Konto löschen“ (mit Bestätigung durch das Passwort);
• in der Anwendung: „Einstellungen“ → „Kontolöschung“ → „Konto löschen“;
• per E-Mail an [email protected] von der Adresse, unter der das Konto registriert ist (Antwort innerhalb von 30 Tagen).

Das AI²-Konto gilt einheitlich für alle Anwendungen der AI² Plattform. Die Löschung des TwinCard-Kontos schließt nur TwinCard: AI² Fans, AIRONIK, AI² Space und die anderen Anwendungen der Plattform, die Sie nutzen, funktionieren weiter wie bisher, und das AI²-Konto bleibt erhalten, solange Sie diese nutzen. Bleiben Ihnen keine anderen Anwendungen der Plattform (der Messenger AIRONIK wird dabei nicht berücksichtigt), wird das AI²-Konto vollständig gelöscht. Das AI²-Konto vollständig, in allen Anwendungen zugleich, können Sie über einen gesonderten Punkt in den Einstellungen der Anwendung oder per E-Mail an [email protected] löschen.

Bei der Löschung nur von TwinCard bleiben erhalten: alles, was zu AI² Fans gehört (Fans-Modelle, ihre Platzierungen und Werbung, Fans-Abonnements); KI-Modelle, die zugleich Fans-Modell und KI-Mitarbeiter eines Unternehmens sind; das Wallet und die Daten, die auf dem AI²-Konto selbst gespeichert sind (persönliche Wissensdatenbank, Stimmen, Regeln, persönliche API-Schlüssel). Sie werden nur zusammen mit dem gesamten AI²-Konto gelöscht; die Vorgänge des Wallets werden so lange aufbewahrt, wie es das Gesetz verlangt.

Ablauf der Löschung:

1. Unmittelbar nach dem Antrag wird der Zugang zu TwinCard gesperrt und die Daten werden ausgeblendet: Unternehmensseiten werden nicht mehr veröffentlicht, KI-Mitarbeiter antworten nicht mehr, Abonnements werden ausgeblendet, Push-Benachrichtigungen von TwinCard werden eingestellt.
2. 30 Tage Wiederherstellungszeitraum: Eine Anmeldung bei TwinCard in dieser Zeit hebt die Löschung auf und stellt das TwinCard-Konto selbst wieder her (wurde das AI²-Konto vollständig gelöscht, ist eine Anmeldung dort mit Bestätigung der Wiederherstellung erforderlich). Die Anmeldung bringt außerdem alles zurück, was durch die Löschung ausgeblendet wurde: Unternehmen, ihre Unternehmensseiten und KI-Mitarbeiter.
3. Nach 30 Tagen wird das TwinCard-Konto gelöscht: Personenbezogene Daten und die Daten Ihrer Unternehmen werden gelöscht oder anonymisiert. Eine Wiederherstellung ist danach nicht mehr möglich.
4. Aufzeichnungen, deren Aufbewahrung gesetzlich vorgeschrieben ist (Bestellungen, Rechnungen, Wallet-Vorgänge, Zahlungen, Buchhaltungsunterlagen; die Kontaktdaten in den Bestellungen werden gelöscht), werden während der gesetzlichen Frist aufbewahrt und danach endgültig gelöscht.

Gelöscht werden: Profil und Konto; Unternehmensseiten, Struktur und Angaben zu den Mitarbeitern; KI-Mitarbeiter der Unternehmen, ihre Anweisungen und Wissensdatenbanken; Kundenlisten, Geschäftsvorgänge, Berichte und Übersichten; Korrespondenz von Besuchern mit den KI-Mitarbeitern des Unternehmens; Formulare und Anfragen; Dokumente; Stimmproben und eigene Stimmen der Unternehmen; Integrationen und API-Schlüssel der Unternehmen. Persönliche Stimmen, Regeln, die Wissensdatenbank und API-Schlüssel, die auf dem AI²-Konto selbst gespeichert sind, werden bei der Löschung von TwinCard nicht gelöscht (siehe oben).

Wenn Sie AI² Space nutzen: Unternehmensdaten, die mit der Anwendung AI² Space gemeinsam sind (Angaben zum Unternehmen, Struktur, KI-Mitarbeiter, Kunden, Aktivitätsprotokoll, Wissensdatenbank), bleiben erhalten, solange Sie Space nutzen. Nach 30 Tagen werden die TwinCard-Unternehmensseite (mit Versionen, Dateien, Veröffentlichung in den Präsenzländern und Adresse), die Widgets, das TwinCard-Konto, Ihre Abonnements anderer Unternehmen und Ihre Zugehörigkeit zum Personal anderer Unternehmen gelöscht. Wenn Sie Space nicht haben oder es gelöscht wurde, werden außerdem die Unternehmensdaten gelöscht: Struktur, Mitarbeiter, KI-Mitarbeiter, Kunden, Aktivitätsprotokoll, Formulare, API-Schlüssel und Wissensdatenbank des Unternehmens.

Erhalten bleiben: Bestellungen, Rechnungen, Wallet-Vorgänge, Zahlungsangaben und Buchhaltungsunterlagen — so lange, wie es das Gesetz verlangt (die Kontaktdaten in den Bestellungen werden gelöscht); Nachrichten, die Sie an andere Nutzer gesendet haben — in deren Verlauf in anonymisierter Form; anonymisierte Statistiken, die keine personenbezogenen Daten sind.

Ein einzelnes Unternehmen können Sie löschen oder einen KI-Mitarbeiter entlassen, ohne das Konto zu löschen.

9. Internationale Datenübermittlung

9.1. Allgemeine Grundsätze (Kapitel V DSGVO, Art. 44–49)

Daten werden nur bei Vorliegen geeigneter Garantien außerhalb des EWR übermittelt.

9.2. Übermittlungen außerhalb des EWR

a) Betreiber und Infrastruktur der Plattform:
• Daten: alle in Abschnitt 4 genannten Kategorien, einschließlich der Verarbeitung durch die eigenen Sprachmodelle des Betreibers;
• Zielland: Republik Kasachstan (Sitz des Betreibers) und die Länder, in denen die Server der Plattform stehen;
• Garantien: Standardvertragsklauseln (SCC), genehmigt durch den Durchführungsbeschluss (EU) 2021/914 der Kommission, sowie die Maßnahmen aus Abschnitt 6.

b) Einheitliche Anmeldung bei den AI²-Anwendungen:
• Daten: Kontodaten (Name, E-Mail-Adresse, Passwort-Hash, Kennungen, Land);
• Zielland: die Länder, in denen die Server der Plattform in anderen Gerichtsbarkeiten stehen;
• Grundlage: Die Übermittlung ist für die Erfüllung des Vertrags erforderlich — die einheitliche Anmeldung bei den Anwendungen der Plattform (Art. 49 Abs. 1 lit. b DSGVO) —, sowie die Garantien nach Art. 46 DSGVO.

c) Veröffentlichung in den Präsenzländern:
• Daten: Angaben der Unternehmensseite;
• Zielland: die vom Unternehmen gewählten Präsenzländer;
• Grundlage: Veröffentlichung nach Wahl und im Auftrag des Unternehmens; die Übermittlung ist für die Erfüllung des Vertrags mit dem Unternehmen erforderlich (Art. 49 Abs. 1 lit. b DSGVO).

d) Cloudflare, Anbieter der Websuche, Push-Dienste:
• Daten: technische Daten der Anfragen; Text der Suchanfrage; Benachrichtigung, die eine kurze Zusammenfassung des Ereignisses enthalten kann;
• Garantien: SCC, EU-U.S. Data Privacy Framework (für teilnehmende Anbieter aus den USA).

9.3. Kopien der Garantien

Eine Kopie der angewandten Garantien kann unter [email protected] angefordert werden.

10. Cookies und lokaler Speicher (ePrivacy)

10.1. Was verwendet wird

Der Dienst verwendet nur Technologien, die für den Betrieb des Dienstes und die Ausführung Ihrer Aktionen unbedingt erforderlich sind. Analyse- und Werbe-Cookies werden nicht verwendet.

10.2. Cookies

10.3. Lokaler Speicher (Local Storage und Session Storage)

• Anmelde-Token — damit Sie in Ihrem Konto angemeldet bleiben;
• Farbschema;
• Sprache der Benutzeroberfläche;
• Gast-Chat-Token — damit das Gastgespräch mit einem KI-Mitarbeiter beim erneuten Öffnen fortgesetzt wird;
• Session Storage — technische Angaben für die Navigation innerhalb eines Tabs; werden beim Schließen des Tabs gelöscht.

Diese Daten werden in Ihrem Browser gespeichert, nicht automatisch mit jeder Anfrage übermittelt (außer dem Anmelde-Token beim Zugriff auf den Dienst) und ohne Einwilligung auf Grundlage der Ausnahme nach Art. 5 Abs. 3 der ePrivacy-Richtlinie als unbedingt erforderlich gesetzt.

10.4. Verwaltung

Sie können Cookies und Daten des lokalen Speichers in den Browsereinstellungen löschen. Nach dem Löschen müssen Sie sich erneut anmelden, und das Gastgespräch beginnt von vorn.

11. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

11.1. Der Dienst fragt keine besonderen Kategorien personenbezogener Daten bei Nutzern ab und verwendet sie nicht für Werbung und Ranking.

11.2. Der Dienst führt keine biometrische Verifizierung durch und erstellt keine biometrischen Templates zur Identifizierung. Stimmproben werden nur zur Sprachsynthese verwendet (Abschnitt 4.6).

11.3. Das Unternehmen ist nicht berechtigt, besondere Datenkategorien ohne Rechtsgrundlage in die Wissensdatenbank, Formulare und Kundenlisten hochzuladen. Teilt ein Besucher solche Angaben aus eigener Initiative in der Korrespondenz mit dem Unternehmen mit, verarbeitet das Unternehmen sie als Verantwortlicher; der Betreiber verarbeitet sie nur im Auftrag des Unternehmens für den Betrieb der Korrespondenz.

12. Ihre Rechte (Art. 15–22 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an [email protected] (mit dem Vermerk „Data Protection“) oder an die Postanschrift aus Abschnitt 2.2. Die Antwort erfolgt innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), mit der Möglichkeit einer Verlängerung um weitere zwei Monate, falls erforderlich. Anfragen zu Daten, für die das Unternehmen Verantwortlicher ist, leiten wir an das Unternehmen weiter (Abschnitt 2.3).

12.1. Auskunftsrecht (Art. 15)

Sie haben das Recht, eine Bestätigung der Verarbeitung und eine Kopie Ihrer Daten zu erhalten sowie Informationen über Zwecke, Kategorien, Empfänger, Fristen, Herkunft, internationale Übermittlungen und automatisierte Verarbeitung.

12.2. Recht auf Berichtigung (Art. 16)

Die meisten Daten können Sie im Kundenbereich selbst berichtigen (Profil, Angaben zum Unternehmen).

12.3. Recht auf Löschung (Art. 17)

Sie haben das Recht, die Löschung Ihrer Daten zu verlangen, wenn die Voraussetzungen von Art. 17 DSGVO vorliegen. Das Verfahren zur Löschung des Kontos ist in Abschnitt 8.3 beschrieben. Der Betreiber ist berechtigt, die Löschung von Daten zu verweigern, deren Aufbewahrung gesetzlich vorgeschrieben ist oder die zur Verteidigung von Rechtsansprüchen erforderlich sind (Art. 17 Abs. 3).

12.4. Recht auf Einschränkung der Verarbeitung (Art. 18)

Sie haben das Recht, die Einschränkung der Verarbeitung zu verlangen: für die Dauer der Überprüfung der Richtigkeit der Daten, bei unrechtmäßiger Verarbeitung, wenn die Daten für Rechtsansprüche benötigt werden, oder bis zur Prüfung eines Widerspruchs.

12.5. Recht auf Datenübertragbarkeit (Art. 20)

Sie haben das Recht, die von Ihnen bereitgestellten Daten — und der Inhaber des Unternehmens die Daten des Unternehmens — in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie einem anderen Verantwortlichen zu übermitteln. Einen Export im Kundenbereich gibt es nicht: Das Recht wird auf Anfrage an [email protected] ausgeübt; die Antwort erfolgt innerhalb der in Art. 12 Abs. 3 DSGVO festgelegten Frist.

12.6. Widerspruchsrecht (Art. 21)

Sie haben das Recht, einer Verarbeitung auf Grundlage des berechtigten Interesses zu widersprechen. Der Direktwerbung können Sie jederzeit widersprechen; eine solche Verarbeitung wird dann eingestellt.

12.7. Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3)

Die Einwilligung in Push-Benachrichtigungen und Werbe-E-Mails kann jederzeit widerrufen werden; der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

12.8. Automatisierte Verarbeitung (Art. 22)

Der Dienst erstellt automatisch Antworten der KI-Mitarbeiter, Kundenübersichten, Suchergebnisse und die Anzeige von Werbung und wendet automatische Maßnahmen zum Schutz vor Missbrauch an. Diese Prozesse treffen keine Entscheidungen, die rechtliche Wirkung Ihnen gegenüber entfalten; Entscheidungen über die Ablehnung einer Veröffentlichung und über Sperrungen werden unter Beteiligung eines Menschen getroffen. Sie haben das Recht, Informationen über die Logik der Verarbeitung zu erhalten, deren Ergebnis anzufechten und das Eingreifen eines Menschen zu verlangen.

12.9. Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Sie haben das Recht, bei einer Datenschutz-Aufsichtsbehörde des EU-/EWR-Mitgliedstaats Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Ortes des mutmaßlichen Verstoßes Beschwerde einzulegen. Liste der Aufsichtsbehörden: https://edpb.europa.eu/about-edpb/about-edpb/members_en

13. Transparenz der KI (EU AI Act)

13.1. Allgemeine Bestimmungen

KI-Mitarbeiter sind im Dienst als künstliche Intelligenz gekennzeichnet. Der KI-Mitarbeiter ist kein Mensch; seine Antworten, auch die vertonten, werden automatisch von einem Programm erstellt. Das Unternehmen ist verpflichtet, seinen Kunden mitzuteilen, dass sie mit einer KI kommunizieren (Art. 50 EU AI Act), auch in den Kanälen, die es selbst anbindet.

13.2. KI-Systeme im Dienst

a) KI-Mitarbeiter (Mars LLM Service):
• Zweck: Antworten an Besucher und Kunden im Namen des Unternehmens;
• Technologie: eigene große Sprachmodelle des Betreibers auf den Servern des Betreibers; Suche in der Wissensdatenbank des Unternehmens auf den Servern des Betreibers; an Drittanbieter von KI werden keine Daten übermittelt;
• Eingabedaten: Text des Gesprächs, Anweisungen und Regeln des Unternehmens, Auszüge aus der Wissensdatenbank, Angaben der Unternehmensseite;
• Einschränkungen: Die Antworten können ungenau sein; für die Anweisungen und die von den KI-Mitarbeitern mitgeteilten Angaben ist das Unternehmen verantwortlich.

b) Kundenübersichten:
• Zweck: kurze Beschreibung des Verlaufs der Interaktion des Kunden mit dem Unternehmen für die Mitarbeiter des Unternehmens;
• Einschränkungen: unterstützende Funktion, trifft keine Entscheidungen.

c) Spracherkennung und Sprachsynthese:
• Zweck: Erkennung von Sprachnachrichten und Vertonung von Antworten, auch mit eigenen Stimmen der Unternehmen;
• Transparenz: Vertonte Antworten sind eine synthetische Stimme; eine eigene Stimme wird nur mit ausdrücklicher Einwilligung der Person erstellt; eine biometrische Identifizierung findet nicht statt.

d) Suche und Werbung:
• Zweck: Auswahl von Unternehmensseiten und KI-Mitarbeitern nach der Anfrage, Anzeige gekennzeichneter Werbung; die Hauptparameter des Rankings sind in der Nutzungsvereinbarung offengelegt (Ziff. 5.4).

Nicht eingesetzt werden: biometrische Identifizierung, Emotionserkennung, Persönlichkeitsbewertung von Besuchern.

14. Änderung der Erklärung und Kontaktinformationen

14.1. Änderungen

Der Betreiber ist berechtigt, die Erklärung bei Änderungen der Gesetzgebung, der Funktionen des Dienstes, des Datenumfangs, der Empfänger oder der Sicherheitsmaßnahmen zu ändern. Über wesentliche Änderungen informiert der Betreiber auf der Website, im Kundenbereich, per E-Mail oder per Push-Benachrichtigung. Beruht die Verarbeitung auf einer Einwilligung, wird bei wesentlichen Änderungen eine erneute Einwilligung eingeholt.

14.2. Inkrafttreten

Änderungen treten mit ihrer Veröffentlichung in Kraft, sofern darin keine andere Frist angegeben ist. Wenn Sie nicht einverstanden sind, können Sie die Nutzung des Dienstes einstellen und das Konto löschen (Abschnitt 8.3).

14.3. Versionsarchiv

Frühere Versionen der Erklärung sind auf Anfrage erhältlich. Die aktuelle Version ist auf der Website twincard.ai (Link „Datenschutzerklärung“ bei der Registrierung und im Kundenbereich) und in der Anwendung veröffentlicht.

14.4. Kontakt

Verantwortlicher: Privatunternehmen „New Reality“ (New Reality Ltd)
• Juristische Adresse: Republik Kasachstan, Astana, Zhenis-Allee, Gebäude 1, Büro 29
• E-Mail: [email protected]
• Telefon: +7 (747) 029-43-05

Bitte geben Sie bei Ihrer Anfrage Ihren Namen, die E-Mail-Adresse des Kontos (falls vorhanden), den Gegenstand der Anfrage und den bevorzugten Kommunikationsweg an.

Zusätzliche Bestimmungen

Altersbeschränkung. Der Dienst ist für Personen bestimmt, die das 18. Lebensjahr vollendet haben. Der Betreiber erhebt nicht gezielt Daten von Minderjährigen; wird die Registrierung eines Minderjährigen festgestellt, wird dessen Konto gelöscht.

Anonymisierung. Der Betreiber ist berechtigt, Daten für Statistiken zu anonymisieren. Anonymisierte Daten lassen keine Identifizierung der betroffenen Person zu und fallen nicht unter die DSGVO (Erwägungsgrund 26).

Nichtdiskriminierung. Der Dienst lässt keine Diskriminierung aufgrund geschützter Merkmale zu.

Privatunternehmen „New Reality“ (New Reality Ltd)
BIN: 220440900016
Republik Kasachstan, Astana, Zhenis-Allee, Gebäude 1, Büro 29
[email protected] | +7 (747) 029-43-05

Datum der Veröffentlichung: 25. September 2026