ARAI Datenschutzerklärung

CODEALIVE LTD (England und Wales, Company Number 16517721, Anschrift: 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich). Dienst: ARAI, arai.build. Kontakt für Datenschutzanfragen: support@arai.build.

Vertreter in der Europäischen Union nach Art. 27 DSGVO: Ein Vertreter ist noch nicht benannt. Bis zu seiner Benennung richten Sie Anfragen bitte an support@arai.build; nach der Benennung werden Name und Anschrift hier angegeben.

Die Verarbeitung erfolgt automatisiert. Die Infrastruktur von ARAI (Hauptdatenbank und Dateispeicher) wird bei Amazon Web Services in der Region Frankfurt am Main (eu-central-1) betrieben; die Verarbeitung durch externe Anbieter beschreibt Abschnitt 3.

Rechtsgrundlagen nach Art. 6 Abs. 1 DSGVO: Konto-, Anfrage- und Abonnementdaten verarbeiten wir zur Erfüllung des Vertrags mit Ihnen (lit. b); Angaben zu Zahlungsvorgängen auch zur Erfüllung gesetzlicher Buchführungs- und Steuerpflichten (lit. c). Zugangsschutz, Missbrauchsabwehr, Fehleranalyse, Nutzungsstatistik und die Durchsetzung von Ansprüchen beruhen auf unseren berechtigten Interessen (lit. f) an einem sicheren, funktionsfähigen und verbesserten Dienst, unter Berücksichtigung Ihrer Rechte. Wo geltendes Recht eine Einwilligung verlangt, insbesondere für die unten beschriebenen Übermittlungen in Drittländer (Art. 49 Abs. 1 lit. a DSGVO) und für Werbeanalyse (lit. a), wird sie gesondert eingeholt; für Übermittlungen bei Besuchern, die im Browser ohne Anmeldung chatten, wird derzeit keine Einwilligung eingeholt (Abschnitt 3). Persönliche E-Mails vom Gründer beruhen auf Art. 6 Abs. 1 lit. f DSGVO und unserem berechtigten Interesse daran, dass der Dienst für Sie funktioniert. ARAI-Neuigkeiten senden wir nur mit gesonderter Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO (siehe „E-Mails von ARAI“ unten). Einwilligungsnachweise verarbeiten wir nach Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO. Der Widerruf einer Einwilligung beendet keine Verarbeitung, für die eine eigene Rechtsgrundlage besteht. Die Bereitstellung der Kontodaten ist für den Vertragsschluss erforderlich; ohne sie können wir kein Konto einrichten.

Eine Problemmeldung im Chat kann ein Bild des für Sie sichtbaren Gesprächsausschnitts enthalten. Sie können es vor dem Senden entfernen. Zur Bearbeitung leiten wir es zusammen mit der Meldung an den Telegram-Chat des Betreibers weiter. In ARAI wird das Bild so lange wie die Meldung gespeichert: bei angemeldeten Nutzern bis zur Löschung des Kontos, bei Gästen 12 Monate nach Eingang, wobei eine laufende Weiterleitung abgewartet wird; auf Anfrage an support@arai.build auch früher. In Telegram bleibt das Bild, bis der Betreiber es löscht.

Ein täglicher Löschlauf setzt die in der Tabelle genannten Löschfristen um (Gespräche ohne Anmeldung, temporäre Dateien, Zustellprotokoll, Nutzungszähler, Nutzungsereignisse, Rückmeldungen ohne Anmeldung sowie abgelaufene Anmeldecodes und Sitzungen der Desktop-Anwendung) und merkt Konten nach drei Jahren Inaktivität vor. Dieser Löschlauf ist derzeit noch nicht eingeschaltet: Bis dahin werden diese Daten bei Fristablauf nicht automatisch gelöscht und inaktive Konten nicht vorgemerkt. Beim ersten Lauf nach dem Einschalten werden auch bereits überfällige Löschungen und Vormerkungen vorgenommen. Die Löschung können Sie jederzeit bei support@arai.build beantragen.

Nachdem Daten im laufenden System gelöscht wurden, bleiben Kopien für begrenzte Zeit in Sicherungen: Von der Datenbank werden täglich Snapshots erstellt und die letzten 7 aufbewahrt; Sicherungsdateien werden 7 Tage nach ihrer Erstellung und abgelöste Versionen 5 Tage danach zur Löschung vorgesehen, und der Speicherdienst entfernt sie danach mit einer gewissen Verzögerung. Das bedeutet nicht, dass jede Löschanfrage automatisch die Finanzhistorie oder eine laufende Aufgabe vernichtet. Einzelne Aufzeichnungen ohne automatische Löschfrist werden auf Antrag auf Einschränkung oder Löschung geprüft; die bloße Bequemlichkeit der Speicherung hat keinen Vorrang vor geltenden Aufbewahrungs- und Datenminimierungsanforderungen.

Audioaufnahmen werden nicht zur Stimmerkennung von Personen verwendet. ARAI verlangt für die gewöhnliche Registrierung keine Identifikationsnummer und keine Kopien von Ausweisdokumenten. Vollständige Kartennummern, CVV und Bankcodes werden im gesicherten Bestellformular von Stripe/Link eingegeben, nicht im Chat von ARAI; ARAI speichert sie nicht. Die oben genannte Zahlungs- und Abonnementhistorie wird jedoch verarbeitet. Bitte nehmen Sie keine personenbezogenen Daten Dritter in Nachrichten oder Dateien auf.

### E-Mails von ARAI

Wenn Sie eine Kontakt-E-Mail-Adresse angegeben und bestätigt haben, können wir Ihnen schreiben, wenn bei Ihnen im Dienst etwas nicht geklappt hat, um Ihnen zu helfen, das Problem zu lösen und das gewünschte Ergebnis zu erreichen: beispielsweise, um Ihnen mitzuteilen, dass wir einen Fehler behoben haben, durch den eine Aufgabe nicht ausgeführt werden konnte, und einen erneuten Versuch vorzuschlagen. Diese E-Mails werden im Namen des Gründers von ARAI versendet und mithilfe künstlicher Intelligenz anhand von Informationen über Ihre Arbeit im Dienst verfasst. Sie werden nur bei einem konkreten Anlass versendet und enthalten keine Werbung. Die E-Mails sind standardmäßig eingeschaltet, gestützt auf Art. 6 Abs. 1 lit. f DSGVO und das berechtigte Interesse des Verantwortlichen daran, dass der Dienst für Sie funktioniert. Sie können dem Versand nach Art. 21 DSGVO widersprechen, indem Sie die E-Mails in Ihren Kontoeinstellungen oder über den Link in jeder E-Mail ausschalten. Antworten liest das Team von ARAI.

ARAI-Neuigkeiten — neue Funktionen und Artikel, höchstens zweimal im Monat — senden wir nur mit Ihrer gesonderten Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie wählen „ARAI-Neuigkeiten“ in Ihren Kontoeinstellungen aus und bestätigen das Abonnement über den Link in der E-Mail. Sie können Ihre Einwilligung nach Art. 7 Abs. 3 DSGVO jederzeit in Ihren Kontoeinstellungen oder über den Link in jeder E-Mail widerrufen; der Widerruf berührt nicht die Rechtmäßigkeit des Versands vor dem Widerruf.

Die E-Mails werden über Amazon Simple Email Service versendet (Abschnitt 3).

Welche Empfänger Daten erhalten, hängt von der genutzten Funktion ab und ist nachfolgend beschrieben. Kontodaten werden in der Infrastruktur von ARAI bei Amazon Web Services in Frankfurt am Main gespeichert; Verantwortliche ist die CODEALIVE LTD (Vereinigtes Königreich). Der Arbeitgeber aus dem Profil wird nicht in Anfragen an externe Modelle aufgenommen; vollständiger Name, Kontoland, Sprache, Zeitzone und lokale Uhrzeit sowie von Ihnen bestätigte Präferenzen können aufgenommen werden, um die Aufgabe auszuführen und Sie anzusprechen. Daten, die Sie selbst in Nachrichten, Dateien oder das Bestellformular aufnehmen, können mit diesen übermittelt werden.

Übermittlungen in Drittländer ohne allgemeinen Angemessenheitsbeschluss stützen wir je Empfänger auf folgende Grundlagen (Prüfung der Liste des EU-U.S. Data Privacy Framework am 22. Oktober 2026): Amazon Web Services, Inc. (USA, für Amazon SES), Google LLC (USA), Vercel Inc. (USA), Voyage AI Innovations, Inc. (USA), Autodesk, Inc. (USA), Stripe, LLC (USA) und PostHog Inc. (USA) sind nach dem EU-U.S. Data Privacy Framework zertifiziert; dafür gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Für OpenRouter, Inc., Anthropic, OpenAI, Exa Labs und Deepgram (jeweils USA), für Soniox Inc. (USA), soweit eingesetzt, und für TypeSafe als Anbieter des Prüfmodells „Jev“ (Sitz noch nicht festgestellt) haben wir keine solche Zertifizierung festgestellt; Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) mit diesen Anbietern werden derzeit eingerichtet. Bis dahin stützen wir Übermittlungen an diese Anbieter und an Telegram (Telegram FZ-LLC, VAE) bei angemeldeten Nutzern auf ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), die sie bei der Registrierung für die dort genannten Funktionen erteilen. Wer im Browser ohne Anmeldung chattet, erteilt diese Einwilligung nicht: Für die Inhalte dieser Besucher, die an diese Anbieter gelangen (Antworten im Chat über OpenRouter und Anthropic, Prüfung durch „Jev“ über Vercel, Websuche über Exa), besteht derzeit weder eine Einwilligung noch eine andere Garantie. In der iOS-App wird jeder Besucher, auch ohne Anmeldung, vor der ersten Anfrage um die Erlaubnis gebeten, Daten für KI-Funktionen zu übermitteln, auch an Empfänger außerhalb seines Landes. Dasselbe gilt für Daten, die bei Betrieb und Fehlerbehebung an Anthropic und OpenAI gelangen (siehe unten). In Drittländern kann das Datenschutzniveau geringer sein als in der EU, und Behörden können dort unter Umständen auf Daten zugreifen. Ob ein Empfänger zertifiziert ist, können Sie unter https://www.dataprivacyframework.gov/list prüfen; eine Kopie vereinbarter Standardvertragsklauseln erhalten Sie auf Anfrage an support@arai.build.

Bei Einrichtung und Abwicklung von Zahlungen erhalten Stripe und, bei Transaktionen über Managed Payments, Link (die Gesellschaft, die auf dem Zahlungsbeleg als Verkäufer der Transaktion mit Namen ausgewiesen wird) die Daten aus ihrem Bestellformular, Kaufangaben, das Land sowie technische Browser- und Verbindungsdaten. Sie verarbeiten diese, auch außerhalb Ihres Landes (Übermittlung in ein Drittland), zur Zahlungsabwicklung, Steuerberechnung, Betrugsprävention, für Belege, Erstattungen und Streitfälle nach ihren eigenen Bedingungen und Richtlinien: https://stripe.com/privacy und https://link.com/privacy. Stripe und Link können für diese Zwecke als eigenständige Verantwortliche handeln. Stripe, LLC (USA) ist nach dem EU-U.S. Data Privacy Framework zertifiziert (siehe oben). Für Link haben wir die verkaufende Gesellschaft und ihren Sitz noch nicht festgestellt; eine Garantie für die Übermittlung an Link ist deshalb hier nicht angegeben. ARAI erhält bestätigte Angaben zum Transaktionsstatus und die nötigen Kennungen, nicht aber die vollständige Kartennummer oder CVV. Dass eine Stripe-Sandbox besteht, bedeutet nicht, dass Zahlungsdaten automatisch in den Live-Zahlungsbetrieb übermittelt werden.

Amazon Simple Email Service (Amazon Web Services) wird genutzt, um die angegebene E-Mail-Adresse zu bestätigen und die im Dienst vorgesehenen Benachrichtigungen zu versenden; dieser Dienst läuft in der AWS-Region us-west-2 (USA). Verarbeitet werden Empfängeradresse, Inhalt der jeweiligen Benachrichtigung, Zustellkennungen und -ergebnisse, auch außerhalb Ihres Landes (Übermittlung in ein Drittland). Datenschutzhinweise von AWS: https://aws.amazon.com/privacy/. Zurückweisungen und Beschwerden können dazu führen, dass an die Adresse nicht mehr gesendet wird. Technische Zustellprotokolle werden nicht für Werbe-E-Mails genutzt, und die Bestätigung einer E-Mail-Adresse ist keine Einwilligung in Werbung.

ARAI zeichnet maßgebliche serverseitige Fakten zu Anmeldung, Anfragen, Antworten und Dateiverarbeitung in seinem Journal in der Infrastruktur von ARAI bei Amazon Web Services auf. Diese Aufzeichnungen enthalten keine Frage- oder Antworttexte, Telefonnummern, vollständigen Namen, Dateinamen, vollständigen Seiten-URLs oder Zugriffslinks. Sie enthalten die Kontokennung, soweit vorhanden, ohne gesonderte Browser-Besucherkennung oder Zuordnung zur Herkunftsquelle. Sie werden für Betrieb, Abrechnung und Sicherheit unabhängig von der Statistik-Einstellung im Browser aufgezeichnet. Der frühere Browser-Kollektor und das frühere Berichtssystem erhalten keine neuen Einträge; vorhandene Einträge unterliegen weiter ihrer Speicherfrist und den Rechten bei Kontolöschung.

PostHog Inc. (PostHog Cloud EU, Frankfurt, Deutschland), ein Auftragsverarbeiter mit Sitz in den USA, wird ebenfalls zur Analyse eingesetzt: https://posthog.com/privacy. PostHog erhält Statistiken zu Aufrufen und Aktionen, Browser- und Gerätedaten, die IP-Adresse zur Bestimmung des Landes und maskierte Aufzeichnungen von Website-Sitzungen. In der iOS-App werden keine Sitzungen aufgezeichnet. Eingabefelder, Chatnachrichten, Angaben zu hochgeladenen Dateien, Ergebnisse, Profil- und Zahlungsbereiche werden maskiert oder ausgeblendet; geprüfte Bedienelemente der Startseite bleiben sichtbar. Chattexte, Dateinamen, CAD-Inhalte, Telefonnummern, vollständige Namen, E-Mail-Adressen und Cookies von ARAI werden nicht an PostHog gesendet. URL-Fragmente und Abfrageparameter werden entfernt, mit Ausnahme von acht Kampagnenparametern: utm_source, utm_medium, utm_campaign, utm_content, utm_term, gclid, yclid und fbclid. Token von Freigabelinks und private Referrer-Pfade werden entfernt. Nach der Anmeldung wird eine pseudonyme Kontokennung verwendet; ist die Statistik eingeschaltet, verknüpft PostHog dabei die früheren Ereignisse desselben Browsers mit dieser Kennung. Der Server übermittelt kontobezogene Nutzungsfakten, Sprache, Kontoland, Tarif, Erstellungsdatum und eine Kennzeichnung interner oder Testkonten. Schalten Sie die Statistik aus, während Sie angemeldet sind, wird diese Ablehnung in Ihrem Konto gespeichert: Der Server übermittelt dann für Ihr Konto keine weiteren Nutzungsfakten und Kennzahlen zu LLM-Aufrufen; eine Übermittlung, die im Moment der Ablehnung bereits läuft, kann noch abgeschlossen werden. Schalten Sie die Statistik wieder ein, werden Nutzungsfakten aus der Zeit der Ablehnung und Kennzahlen zu LLM-Aufrufen aus Anfragen, die in dieser Zeit begonnen haben, auch später nicht übermittelt. Eine im Browser gespeicherte Ablehnung wird bei der Anmeldung in Ihr Konto übernommen, und eine im Konto gespeicherte Ablehnung gilt nach der Anmeldung auch in anderen Browsern, in denen keine neuere Auswahl gespeichert ist. Weichen die Auswahlen in verschiedenen Browsern voneinander ab, gilt die zuletzt getroffene; lässt sich ihr Zeitpunkt nicht verlässlich bestimmen, etwa weil die Uhr eines Geräts abweicht, hat die Ablehnung Vorrang. Serverfakten von Gästen werden nicht übermittelt. Für die Analyse von LLM-Aufrufen werden nur numerische Nutzungskennzahlen und technische Kennungen gesendet: Modell und Anbieter, Tokens einschließlich zwischengespeicherter Tokens, Kosten, Latenz und eine Fehlerkennzeichnung, ohne Anfragen, Antworten oder Dateiinhalte. Die primären Konto-, Vorgangs- und Kostenaufzeichnungen bleiben in der Datenbank von ARAI bei Amazon Web Services. Die Speicherdauer bei PostHog richtet sich nach der im PostHog-Projekt festgelegten Aufbewahrungsfrist und unterscheidet sich vom primären Journal. Wird ein ARAI-Konto gelöscht, merkt ARAI einen Auftrag an PostHog vor, den zugehörigen Personendatensatz samt Ereignissen und Sitzungsaufzeichnungen zu löschen. Gesendet wird er erst, wenn diese Übermittlung eingerichtet ist; das ist derzeit noch nicht der Fall. Sobald die Übermittlung eingerichtet ist, werden auch vorgemerkte Aufträge gesendet; nimmt PostHog einen Auftrag nicht an, wird dieser erneut übermittelt. Bis dahin können Sie die Löschung bei PostHog über support@arai.build beantragen. Ereignisse löscht PostHog nach eigenen Angaben zeitversetzt in lastarmen Zeiten. Bei der Anmeldung verknüpfte frühere Ereignisse gehören zu diesem Personendatensatz; Ereignisse ohne Kontokennung, die nie mit dem Konto verknüpft wurden, etwa aus einem anderen Browser, werden durch diesen Löschauftrag nicht gelöscht.

Auf der Startseite von arai.build wird der Zähler von Yandex Metrica (YANDEX LLC, Russland) nur für Besucher geladen, deren Land anhand der IP-Adresse als Armenien (AM), Aserbaidschan (AZ), Belarus (BY), Kasachstan (KZ), Kirgisistan (KG), Moldau (MD), Russland (RU), Tadschikistan (TJ), Turkmenistan (TM) oder Usbekistan (UZ) bestimmt wird, und nur nach gesonderter Erlaubnis für Werbemessung. Für Besucher aus Deutschland und bei unbekanntem Land wird er nicht geladen; die Sprache der Oberfläche ersetzt diese Prüfung nicht. Er verwendet Cookies und verarbeitet Aufrufe, Ziele, Herkunftsquelle, Geräte- und Browserdaten sowie IP-Adressen auf Servern von Yandex, auch außerhalb Ihres Landes (Übermittlung in ein Drittland), nach den Bedingungen unter https://yandex.ru/legal/confidential. Sitzungsaufzeichnung, Klickkarte und Aufzeichnung von Formularfeldern sind im eingebundenen Code deaktiviert. Der Zähler ist nicht im Chat, im Konto oder auf anderen Seiten eingebunden.

Cookies und Speicherung auf Ihrem Endgerät: Unbedingt erforderliche Cookies, etwa das Sitzungscookie für die Anmeldung, setzen wir nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung. Die Browser-Statistik von ARAI (PostHog, einschließlich maskierter Aufzeichnungen von Website-Sitzungen) ist standardmäßig eingeschaltet; die Werbeanalyse von Yandex ist standardmäßig ausgeschaltet. Es gibt kein blockierendes Banner. Sie können die Statistik jederzeit im Abschnitt „Optionale Analyse“ auf dieser Seite oder in Ihrem Konto ausschalten, ohne dass Anmeldung, Nutzung oder Zahlung eingeschränkt werden. Das Cookie arai_measurement speichert Ihre Auswahl und deren Zeitpunkt ohne Personenkennung; in iOS wird die Auswahl lokal gespeichert. Eine Ablehnung der Statistik gilt, bis Sie die Statistik wieder einschalten, auch wenn sie zusammen mit der Einstellung zur Werbeanalyse gespeichert wurde: Das Cookie wird dafür bei Ihren Besuchen erneuert, und sind Sie angemeldet, wird die Ablehnung zusätzlich in Ihrem Konto gespeichert (siehe oben). Manche Browser, etwa Safari, löschen von Skripten gesetzte Cookies nach sieben Tagen der Browsernutzung ohne Interaktion mit der Website von ARAI; ohne Anmeldung ist die Browser-Statistik danach wieder eingeschaltet, nach der Anmeldung gilt die in Ihrem Konto gespeicherte Ablehnung wieder. Andere Auswahlen, etwa eine Erlaubnis der Werbeanalyse, gelten 180 Tage; danach gelten wieder die Voreinstellungen. Kann die Einstellung nicht gespeichert werden, etwa weil Cookies blockiert sind, wird nur auf der aktuell geöffneten Seite keine Browser-Statistik erhoben. Das Ausschalten beendet die neue optionale Erhebung im Browser und löscht zugängliche PostHog-Kennungen; bereits abgesendete Anfragen können noch abgeschlossen werden. Bereits erhobene Daten werden dadurch nicht automatisch gelöscht. Wenden Sie sich für Löschanfragen an support@arai.build. Cookies auf Domains Dritter, auf die ARAI nicht zugreifen kann, können Sie über Ihren Browser entfernen.

Anmeldecodes und Benachrichtigungen werden über den Messenger Telegram (Telegram FZ-LLC, VAE) zugestellt: Sie übermitteln Ihre Nummer selbst an den Bot von ARAI über die Schaltfläche „Telefonnummer teilen“; danach verarbeitet Telegram die Nummer, Ihre Telegram-Kontokennung und die Nachrichten des Bots auf seinen Servern, auch außerhalb Ihres Landes (Übermittlung in ein Drittland), nach seinen eigenen Bedingungen. Neben den Anmeldecodes sendet der Bot Benachrichtigungen zu Ihren Aufgaben und, falls Sie Aufträge nutzen, zu passenden Aufträgen; eine Aufgabenbenachrichtigung enthält den Titel der Aufgabe (die erste Zeile Ihrer Aufgabenbeschreibung, bis zu 80 Zeichen) und einen Link zum Gespräch. Aufgabenbenachrichtigungen sind standardmäßig eingeschaltet und können im Konto ausgeschaltet werden. Diese Übermittlung erfolgt mit Ihrer Einwilligung (Art. 49 Abs. 1 lit. a DSGVO). Die Einwilligung erteilen Sie im Anmeldedialog, bevor ein Code angefordert wird; gespeichert wird sie nach der Bestätigung des Codes.

E-Mails an support@arai.build, hello@arai.build und security@arai.build, Rückmeldungen über das Feedback-Formular (auch aus einer Aufgabe heraus und ohne Anmeldung) und Anfragen über das Kontaktformular für Unternehmen leitet der Telegram-Bot von ARAI an den Telegram-Chat des Betreibers weiter. Bei E-Mails sind das Absenderadresse, Betreff, Text sowie Namen und Anzahl der Anhänge; ARAI speichert die E-Mail selbst nicht, sein Mailserver protokolliert Absenderadresse und IP-Adresse des sendenden Mailservers. Die weitergeleiteten Nachrichten verarbeitet Telegram (VAE) auf seinen Servern; sie bleiben im Chat, bis der Betreiber sie löscht. Für diese Weiterleitung bestehen derzeit weder ein Angemessenheitsbeschluss noch Standardvertragsklauseln. Wenn Sie uns schreiben, nehmen Sie bitte nur die für Ihr Anliegen nötigen Angaben auf.

Anmeldung mit Google oder Apple: Sobald ARAI die Anmeldung mit einem Google- oder Apple-Konto anbietet und Sie diese wählen, erhalten wir vom jeweiligen Anbieter (Google Ireland Limited bzw. Apple Distribution International Ltd.) die Kennung Ihres Anbieterkontos und, soweit der Anbieter sie freigibt und Sie zustimmen, Ihre E-Mail-Adresse und Ihren Namen; bei Apple kann dies eine weitergeleitete Adresse sein. Wir nutzen diese Angaben zur Anmeldung und Kontoführung (Art. 6 Abs. 1 lit. b DSGVO) und speichern sie bis zur Löschung des Kontos. Die Anbieter verarbeiten die Anmeldung als eigene Verantwortliche nach ihren Datenschutzbestimmungen.

Inhalte Ihrer Nachrichten, hochgeladene Dateien, diktierte Audioaufnahmen und Suchanfragen werden — ohne Telefonnummer und Arbeitgeber aus Ihrem Profil — zur Verarbeitung an externe Anbieter für künstliche Intelligenz, Suche und Dateiumwandlung übermittelt, die außerhalb Ihres Landes ansässig sein können, auch in Ländern ohne angemessenes Datenschutzniveau; nehmen Sie personenbezogene Daten in diese Inhalte auf, werden sie mit übermittelt. Dazu gehören derzeit: OpenRouter, Inc. (USA) als Vermittler zu den Sprachmodellen, insbesondere von Anthropic (USA) für Antworten im Chat, von Google (USA) für die Spracherkennung und von Deepgram (USA) als Rückfalloption der Spracherkennung; Vercel Inc. (USA) als Vermittler zu Modellen für Spracherkennung, zur Korrektur von Transkripten (Modelle von OpenAI, USA) und zum Modell „Jev“ von TypeSafe (Sitz noch nicht festgestellt), das Anfragen automatisch prüft und Suchtreffer in Vorschriften und Regelwerken bewertet; Soniox Inc. (USA) für die Spracherkennung, soweit eingesetzt; Exa Labs (USA) für die Websuche; Voyage AI (USA) für die Suche in Vorschriften und Regelwerken; Autodesk (Rechenzentrum in den USA) für die Umwandlung von DWG-Zeichnungen. Die Grundlage dieser Übermittlungen und die Lücke bei Besuchern ohne Anmeldung sind oben beschrieben. Um Sie anzusprechen, erhalten die Modelle auch den vollständigen Namen aus Ihrem Profil, Kontoland, Sprache, Zeitzone und lokale Uhrzeit sowie von Ihnen bestätigte Präferenzen. OpenRouter erhält außerdem eine stabile Konto- oder Sitzungskennung zur Missbrauchsabwehr; sie wird getrennt vom Nachrichtentext gesendet.

ARAI verarbeitet Audio während der Anfrage und speichert es nicht in seinem eigenen Dateispeicher. Anbieter der Spracherkennung können es nach ihren eigenen Bedingungen speichern. Wird Soniox eingesetzt, erhält Soniox die hochgeladene Aufnahme; nach der Verarbeitung fordert ARAI die Löschung von Aufnahme und Transkript an, eine sofortige Löschung ist jedoch nicht garantiert, wenn der Anbieter nicht erreichbar ist oder einen Fehler meldet.

Aufgaben führt der KI-Agent ARAI in einer isolierten virtuellen Maschine in der Infrastruktur von ARAI bei Amazon Web Services in Frankfurt am Main aus. Dateien und Gesprächstext, Angaben zu Ihren früheren Aufgaben, der vollständige Name aus Ihrem Profil, Sprache und Zeitzone werden für die Aufgabe an die Maschine übermittelt. ARAI kann bei der Ausführung lesende Anfragen an öffentliche Websites senden; deren Adressen können Angaben aus der Aufgabe enthalten. ARAI nutzt dafür Modelle von OpenAI (USA) über das Konto von ARAI; Aufgabenmaterialien, die ARAI bei der Ausführung liest, werden deshalb an OpenAI übermittelt, auch außerhalb Ihres Landes (Übermittlung in ein Drittland), und nach dessen Bedingungen verarbeitet. Die Ergebnisse werden in den Chat zurückgegeben. Damit die Aufgabe fortgesetzt und überarbeitet werden kann, werden ihre Zwischenstände und Ergebnisse im Speicher von ARAI bis zur Löschung des Kontos aufbewahrt; das Löschen des Gesprächs löscht sie nicht. Die Arbeitsnotizen von ARAI zu Ihrer Arbeit werden je Konto getrennt gespeichert, nur an Aufgaben dieses Kontos übergeben und mit dem Konto gelöscht. Bevor eine Aufgabe, eine Rückfrage oder eine Antwort an ARAI angenommen wird, prüft das KI-Modell eines externen Anbieters (TypeSafe „Jev“ über Vercel; Sitz von TypeSafe noch nicht festgestellt) den Text der Anfrage und den Text angehängter Textdateien automatisch, auch außerhalb Ihres Landes (Übermittlung in ein Drittland): Es bewertet, ob die Anfrage darauf abzielt, interne Materialien von ARAI zu erlangen. ARAI speichert den Text der Anfrage nicht im Prüfprotokoll: Es speichert nur Ergebnis, Bewertung, Kategorie und Zeitpunkt der Prüfung, bis zur Löschung des Kontos.

Wenn Sie „Gespräch teilen“ wählen, wird der Gesprächstext bis einschließlich der ausgewählten Antwort für jeden mit dem Link zugänglich. Die Veröffentlichung einer späteren Antwort erweitert den über denselben Link zugänglichen Inhalt. Anhänge und Werkzeugergebnisse werden nicht veröffentlicht, in Nachrichten enthaltene personenbezogene Daten bleiben jedoch im veröffentlichten Text. Das Schließen des Teilen-Fensters des Systems widerruft den Link nicht. Sie können ihn unter „Konto → Meine öffentlichen Links“ oder durch Löschen des Gesprächs oder Kontos widerrufen; von Empfängern bereits gespeicherte Kopien lassen sich nicht zurückholen.

Für Betrieb und Fehlerbehebung setzen wir KI-gestützte Werkzeuge ein. Ein automatisches Werkzeug zur Fehlerbehebung (Claude Code von Anthropic, USA) hat Zugriff auf das Produktionssystem einschließlich Fehlerüberwachung, Protokollen, Datenbank (lesend und schreibend) und gespeicherter Dateien; was es liest, einschließlich Telefonnummern, Fragen, Antworten und hochgeladener Dateien, gelangt als Kontext an Anthropic. Ein Marketing-Werkzeug (ebenfalls Anthropic) erhält zusammengefasste Nutzungsstatistiken. Bei der Fehlersuche durch den Betreiber können ebenso Auszüge aus Protokollen und der Datenbank, die Telefonnummern, Fragen oder Antworten enthalten, in Sitzungen von Claude Code (Anthropic, USA) oder Codex (OpenAI, USA) verarbeitet werden. Grundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Dienst (Art. 6 Abs. 1 lit. f DSGVO); für diese Übermittlungen in die USA besteht derzeit weder eine Einwilligung noch eine andere Garantie (siehe oben). Zugriffe des Betreibers auf Metadaten laufender Aufgaben werden protokolliert; dieses Zugriffsprotokoll wird 365 Tage aufbewahrt.

Der Dienst wird mithilfe eines KI-Systems erbracht: Antworten sind von einem KI-System erzeugte Texte, können Fehler enthalten und ersetzen nicht die amtlichen Texte von Vorschriften und Regelwerken. Der Dienst trifft keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen und ausschließlich auf automatisierter Verarbeitung beruhen (Art. 22 DSGVO).

Nach der DSGVO haben Sie das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) sowie das Recht, eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin auf Grundlage der Einwilligung erfolgten Verarbeitung; Funktionen, die von dieser Einwilligung abhängen, können danach nicht mehr verfügbar sein.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Der Statistik können Sie jederzeit ohne Angabe von Gründen widersprechen, indem Sie sie im Abschnitt „Optionale Analyse“ oder in Ihrem Konto ausschalten; der Widerspruch gilt, bis Sie die Statistik wieder einschalten, und erfasst, wenn Sie angemeldet sind, auch die serverseitig übermittelten Kontofakten (Abschnitt 3).

Gespräche können Sie in der Oberfläche löschen. Für Konten ohne Zahlungshistorie steht im Konto ein Löschantrag zur Verfügung; die endgültige Löschung erfolgt, nachdem Aufgaben sicher beendet und der zugehörige Speicher geleert ist. Hat das Konto eine Zahlungshistorie oder nimmt die Oberfläche keinen Löschantrag an, senden Sie ihn an support@arai.build: Eine automatische Löschung solcher Konten ist noch nicht verfügbar; auch der Löschauftrag an PostHog und das Entfernen der Telegram-Verknüpfung erfolgen dann in der Einzelbearbeitung, nicht automatisch. Diese technische Einschränkung hebt Ihre Rechte nicht auf; Anträge werden einzeln geprüft, wobei notwendige Finanzaufzeichnungen von Daten getrennt werden, die zu löschen sind. Die Löschung eines Kontos ersetzt nicht die Kündigung des Abonnements.

Anfragen und Beschwerden richten Sie bitte an support@arai.build. Wir antworten innerhalb eines Monats (Art. 12 Abs. 3 DSGVO) und erläutern Rechtsgrundlage, Umfang und Dauer einer Ablehnung oder einer Einschränkung der Löschung. Um Ihre Berechtigung zu prüfen, können wir angemessene Angaben verlangen; senden Sie kein Passwort, keinen Anmeldecode und keine Kartendaten.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes; in Deutschland ist das in der Regel die Datenschutzaufsichtsbehörde Ihres Bundeslandes. Gilt die UK GDPR, können Sie sich außerdem beim britischen Information Commissioner's Office (ICO) beschweren: https://ico.org.uk/make-a-complaint/. Nichts in dieser Erklärung schränkt weitere Rechte aus zwingenden gesetzlichen Vorschriften ein.