DSGVO & Datenschutz bei Mr. Bell

Mr. Bell wird betrieben von Ben Deschler als Einzelunternehmen mit Sitz in der Scheibenstr. 2, 76530 Baden-Baden, Deutschland. Wir unterliegen der deutschen DSGVO-Aufsicht durch den Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW).

Vollständige Kontaktdaten finden Sie im Impressum.

Wir unterscheiden zwei Datenkategorien:

1. Daten unserer Kunden (B2B-Auftraggeber):

• Firmenname, Branche, Adresse
• Kontaktperson (Name, E-Mail, Telefon)
• Bot-Konfiguration (Tonfall, Sprachen, individueller Prompt)
• Rechnungs- und Zahlungsdaten

2. Daten der Endkunden unserer Kunden (Bot-Nutzer):

• Telefonnummer (für die WhatsApp-Konversation)
• Inhalt der Nachrichten an den Bot
• Zeitstempel und technische Metadaten

Diese Endkunden-Daten verarbeiten wir im Auftrag des jeweiligen Mr.-Bell-Kunden — der Kunde ist datenschutzrechtlich verantwortlich, wir sind Auftragsverarbeiter.

Wir hosten so weit wie möglich in der EU:

• Website & API — Vercel, Server-Region Frankfurt (fra1)
• Workflow-Engine — n8n auf AWS Frankfurt
• WhatsApp-Anbindung — 360dialog (Berlin)
• E-Mail-Versand — Google Workspace (Gmail), EU-Server
• Zahlungsabwicklung — Stripe (Irland)

Einige Verarbeitungen erfolgen aus technischen Gründen in den USA — etwa die KI-Antworten via Anthropic. Für diese Übermittlungen liegen Garantien nach Art. 45/46 DSGVO vor (siehe nächste Frage).

Ja, in einigen Fällen. Konkret bei:

• Anthropic (KI-Modell): für die Generierung von Bot-Antworten
• Vercel: Mutterunternehmen sitzt in den USA, Server stehen aber in Frankfurt
• Google Workspace: Google Ireland Ltd., Server in der EU
• Calendly & Stripe: teilweise USA-Verarbeitung im Hintergrund
• Meta (Pixel + CAPI): nur nach Ihrer Einwilligung über das Cookie-Banner

Für jede dieser Übertragungen liegen rechtliche Garantien vor:

• Entweder ein Angemessenheitsbeschluss der EU-Kommission über das EU-U.S. Data Privacy Framework (DPF)
• Oder EU-Standardvertragsklauseln (SCC) nach Art. 46 DSGVO
• In den meisten Fällen: beides als doppelte Absicherung

Hier die vollständige Liste der Dienstleister, mit denen wir Auftragsverarbeitungsverträge nach Art. 28 DSGVO geschlossen haben:

Details zu jedem Dienstleister stehen in der Datenschutzerklärung.

Mr. Bell nutzt Claude Haiku von Anthropic für die Bot-Antworten. Anthropic hat klare Datenschutz-Zusagen, die wir vertraglich abgesichert haben:

• Ihre Eingaben werden nicht zum Training der KI-Modelle verwendet (vertraglich ausgeschlossen über die Anthropic Commercial Terms of Service).
• API-Daten werden bei Anthropic standardmäßig bis zu 30 Tage zur Missbrauchserkennung gespeichert und danach automatisch gelöscht.
• Anthropic ist seit 2025 nach dem EU-U.S. Data Privacy Framework zertifiziert; ergänzend gelten EU-Standardvertragsklauseln.
• Wir haben einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO mit Anthropic geschlossen.

Wichtige Unterscheidung: Mr. Bell nutzt nicht die normale WhatsApp- oder WhatsApp-Business-App. Wir nutzen die offizielle WhatsApp Business API, die für den Unternehmenseinsatz konzipiert ist.

Konkret läuft das so:

• Die Anbindung erfolgt über den deutschen Business-Solution-Provider 360dialog (Berlin).
• Mit 360dialog besteht ein AVV nach Art. 28 DSGVO.
• WhatsApp/Meta verarbeitet als weiterer Auftragsverarbeiter; entsprechende EU-Standardvertragsklauseln sind über 360dialog vereinbart.
• Inbound (Endkunde schreibt zuerst): Die Konversation wird durch die aktive Kontaktaufnahme als implizites Opt-In gewertet.
• Outbound (Bot kontaktiert Endkunden proaktiv): Hier erfordert WhatsApp ein dokumentiertes Opt-In, das der jeweilige Auftraggeber sicherstellt.

Wir speichern nicht länger als nötig. Wichtigste Fristen:

• Vertragsdaten: Vertragsdauer + 90 Tage
• Bot-Konversationen: standardmäßig 30 Tage (anpassbar im Kunden-AVV)
• E-Mail-Verifizierungscodes: 15 Minuten
• Server-Logs: 30 Tage
• Reine E-Mail-Anfragen ohne Vertrag: max. 2 Jahre
• Rechnungen: 10 Jahre (gesetzliche Pflicht nach § 147 AO)

Standardmäßig nein — Sie entscheiden selbst über das Cookie-Banner beim ersten Besuch:

• Wenn Sie nichts akzeptieren: nur technisch notwendige Speicherung (Session, damit das Onboarding bei Reload nicht verloren geht).
• Wenn Sie zustimmen: wir setzen den Meta Pixel (Facebook/Instagram) und die Meta Conversion API ein, um die Wirksamkeit unserer Werbeanzeigen zu messen.

Sie können Ihre Entscheidung jederzeit über den „Cookie-Einstellungen"-Link im Footer der Website widerrufen oder ändern.

Was wir nicht einsetzen: Google Analytics, Google Ads, LinkedIn Insight Tag, TikTok Pixel, Heatmap-Tools, Hotjar.

Wenn Sie im Cookie-Banner zustimmen, setzt unsere Website das Meta Pixel der Meta Platforms Ireland Limited ein. Es funktioniert wie folgt:

• Bei Seitenaufrufen und Aktionen (z. B. Onboarding starten, Buchung abschließen) übermittelt das Pixel Events an Meta.
• Übertragen werden: Zeitstempel, Seiten-URL, anonymisierte IP, Browser-Informationen und ein Pseudonym-Cookie (_fbp, 90 Tage gültig).
• Personenbezogene Identifikatoren wie E-Mail oder Telefonnummer werden vorher lokal mittels SHA-256 gehashed übertragen (Advanced Matching).

Zusätzlich nutzen wir die Meta Conversion API (CAPI) für serverseitige Übermittlung — das verbessert die Tracking-Genauigkeit speziell auf iOS-Geräten und unterstützt eine korrekte Werbe-Optimierung trotz Werbeblockern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung über das Cookie-Banner).

Drittland-USA: Meta kann Daten in die USA übermitteln. Abgesichert durch EU-U.S. Data Privacy Framework + EU-Standardvertragsklauseln. Gemeinsame Verantwortlichkeit nach Art. 26 DSGVO geregelt im Meta Controller Addendum.

Widerruf: Cookie-Einstellungen-Link im Footer der Website.

Sie haben gemäß DSGVO das Recht auf:

• Auskunft (Art. 15) — welche Daten haben wir über Sie
• Berichtigung (Art. 16) — falsche Daten korrigieren
• Löschung (Art. 17) — „Recht auf Vergessenwerden"
• Einschränkung (Art. 18) — Verarbeitung pausieren
• Datenübertragbarkeit (Art. 20) — Ihre Daten als Datei erhalten
• Widerspruch (Art. 21) — gegen bestimmte Verarbeitungen
• Widerruf (Art. 7 Abs. 3) — erteilte Einwilligungen jederzeit zurücknehmen
• Beschwerde (Art. 77) — bei der zuständigen Aufsichtsbehörde

So machen Sie diese Rechte geltend: kurze E-Mail an kontakt@mrbell.de. Wir antworten innerhalb der gesetzlichen Frist von einem Monat — meist deutlich schneller.

Wir setzen die in Art. 32 DSGVO geforderten technischen und organisatorischen Maßnahmen um, insbesondere:

• TLS-Verschlüsselung aller Datenübertragungen
• Verschlüsselte Speicherung sensitiver Daten
• Zwei-Faktor-Authentifizierung für alle administrativen Zugänge
• Strenges Need-to-know-Prinzip beim Zugriff
• Regelmäßige Updates der eingesetzten Systeme
• Server-seitiger Inhalts-Filter im Bell-Chat (blockt missbräuchliche Eingaben vor Anthropic-Übermittlung)

Datenschutzverletzungen melden wir innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde — wie es Art. 33 DSGVO vorschreibt.

Nein. Mr. Bell trifft keine automatisierten Entscheidungen mit Rechtswirkung im Sinne des Art. 22 DSGVO. Der KI-Bot beantwortet Anfragen und ist explizit darauf trainiert, keine bindenden Zusagen, Preisversprechen oder Vertragsangebote zu machen.

Sie haben das Recht, sich direkt bei der zuständigen Aufsichtsbehörde zu beschweren:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (LfDI BW)
Lautenschlagerstraße 20, 70173 Stuttgart
Telefon: +49 711 615541-0
E-Mail: poststelle@lfdi.bwl.de
baden-wuerttemberg.datenschutz.de

Sie können sich auch an die Aufsichtsbehörde Ihres üblichen Aufenthaltsorts oder Arbeitsplatzes wenden.

Vor einer Beschwerde freuen wir uns natürlich, wenn Sie uns zuerst direkt kontaktieren — wir kümmern uns um Ihr Anliegen schnell und unkompliziert.