Datenschutzerklärung

Beantragte OAuth-Scopes

• https://www.googleapis.com/auth/gmail.readonly — Lesen von E-Mails und Metadaten, ausschließlich zur Beantwortung expliziter Nutzeranfragen im Chat (z. B. „Was war in der letzten Rechnung von Vodafone?").
• https://www.googleapis.com/auth/gmail.send — Versenden von E-Mails im Namen des Nutzers, ausschließlich nach expliziter Freigabe im Chat. Jeder Versand erfordert eine Vorschau des vollständigen E-Mail-Inhalts (Empfänger, Betreff, Body) und eine ausdrückliche Bestätigung durch den Nutzer („Ja, senden"). Es findet kein automatischer Versand, kein Massenversand und kein Marketing-Versand statt.

Auslöser der Gmail-Verwendung

Gmail-Zugriff findet ausschließlich auf explizite Nutzerbefehle im Chat statt, zum Beispiel:

• /inbox — Übersicht neuer E-Mails
• /mail — Suche in E-Mails
• /summary — Zusammenfassung einer Konversation
• /send oder Freigabe eines vom Nutzer angeforderten E-Mail-Entwurfs

Ohne einen solchen expliziten Nutzerbefehl wird nicht auf das Gmail-Postfach zugegriffen.

Was Amtigo mit Gmail-Daten NICHT tut

• Keine Verwendung für Werbung oder Marketing
• Kein Verkauf oder Weitergabe von Gmail-Daten an Dritte, außer an die für den Betrieb notwendigen Auftragsverarbeiter
• Kein Training oder keine Verbesserung generalisierter KI-/ML-Modelle mit Gmail-Inhalten
• Keine dauerhafte Speicherung von Gmail-Inhalten; Verarbeitung ausschließlich im Arbeitsspeicher zur Erfüllung der jeweiligen Nutzeranfrage
• Kein Auto-Send, kein Massen-Send, kein zeitgesteuerter Versand

Vorschau- und Bestätigungspflicht beim Versand

Bevor eine E-Mail über gmail.send versendet wird, zeigt Amtigo im Chat immer:

1. Den vollständigen Empfänger (To, ggf. Cc/Bcc)
2. Den vollständigen Betreff
3. Den vollständigen Nachrichtentext
4. Einen ausdrücklichen Bestätigungsbutton („Ja, senden" / „Anpassen")

Erst nach expliziter Bestätigung wird die E-Mail über die Gmail API im Namen des Nutzers versendet. Der Nutzer kann jede Nachricht vor dem Versand beliebig anpassen oder abbrechen.

Widerruf der Gmail-Verknüpfung

Der Nutzer kann die Gmail-Verknüpfung jederzeit widerrufen:

• Im Chat über den Befehl /disconnect
• Über https://myaccount.google.com/permissions

Nach Widerruf werden alle Access- und Refresh-Tokens gelöscht.

Speicherung und Sicherheit

• Gmail-Inhalte werden nicht persistent gespeichert; Verarbeitung findet ausschließlich im Arbeitsspeicher (RAM) statt.
• Access- und Refresh-Tokens werden AES-256-verschlüsselt in der Datenbank abgelegt.
• Übertragung erfolgt ausschließlich über TLS 1.2 oder höher.
• Zugriff auf produktive Systeme erfolgt nach dem Least-Privilege-Prinzip.

Rechtsgrundlage

Die Verarbeitung von Gmail-Daten erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch OAuth-Consent).

4.1 Verschlüsselung

Übertragung (In Transit): Alle Verbindungen sind via TLS 1.2 oder höher verschlüsselt (Telegram Bot API, WhatsApp Cloud API, Google APIs, Stripe API, OpenAI API, interne Service-zu-Service-Aufrufe).

Ruhend (At Rest): OAuth-Refresh-Tokens werden in einem Token-Store gespeichert, dessen Zugriff über ein internes Shared Secret (Server-zu-Server-Authentifizierung) kontrolliert wird. Die zugrunde liegende Speicherinfrastruktur (Railway, US-EAST) verschlüsselt Daten ruhend mit AES-256.

4.2 Zugriffskontrollen

• Zugriff auf Gmail-Inhalte erfolgt ausschließlich auf direkten Nutzerbefehl (Chat-Kommandos /inbox, /mail, /summary).
• Es gibt kein automatisiertes Hintergrund-Polling des Postfachs.
• OAuth-Refresh-Tokens sind nur für den Backend-Service zugänglich; menschliche Mitarbeiter haben keinen Routinezugriff. Zugriff durch das Entwicklerteam ist auf Sicherheitsvorfälle und Wartung beschränkt und wird protokolliert.
• Die Kommunikation zwischen Bot-Service und OAuth-Service ist über ein internes Shared Secret (≥32 Bytes, hohe Entropie) abgesichert.

4.3 Speicherdauer und Datenminimierung

• Gmail-Inhalte: werden nicht persistent gespeichert. Abgerufene Nachrichten werden in-memory verarbeitet, um einen Antwortentwurf zu erstellen, und nach Abschluss des Requests verworfen. Persistent gespeichert werden ausschließlich der OAuth-Refresh-Token sowie die zugehörige E-Mail-Adresse, solange du den Service aktiv nutzt.
• Chat-Nachrichten und hochgeladene Dokumente: für die Dauer der aktiven Konversation und maximal 30 Tage zur Servicequalität und Fehleranalyse, danach Löschung — sofern keine gesetzlichen Aufbewahrungspflichten (z.B. § 147 AO bei Rechnungsbezug) entgegenstehen.
• Sprachnachrichten: werden direkt nach der Transkription gelöscht. Transkripte unterliegen der Chat-Aufbewahrungsregel oben.
• Zahlungsdaten: entsprechend gesetzlicher Aufbewahrungsfristen (typischerweise 10 Jahre nach § 147 AO / § 257 HGB), gespeichert ausschließlich bei Stripe.

4.4 Kein KI-/ML-Training mit Nutzerdaten

Gmail-Inhalte und Chat-Nachrichten werden nicht zum Trainieren oder Verbessern von KI- oder ML-Modellen verwendet — weder durch Efendi noch durch unsere Auftragsverarbeiter (insbesondere OpenAI). Unser OpenAI API-Vertrag schließt das Training mit übermittelten Inhalten vertraglich aus (OpenAI API Data Usage Policy: API-Daten werden standardmäßig nicht für Training verwendet). Damit erfüllen wir die Anforderung "AI/ML Model Training Privacy Policy Disclosure" der Google Workspace API.

4.5 Widerruf und Löschung auf Anfrage

Du kannst die Gmail-Verknüpfung jederzeit über /disconnect im Bot oder unter myaccount.google.com/permissions trennen. Bei Widerruf werden der Refresh-Token und die gespeicherte E-Mail-Adresse umgehend gelöscht.

Du kannst jederzeit die vollständige Löschung deines Accounts unter privacy@efendi.group beantragen. Die Löschung erfolgt innerhalb von 30 Tagen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.