Rechtliches
Datenschutzerklärung
Informationen gemäß Art. 13 und 14 DSGVO
1. Verantwortlicher
Impressum: voximo.io/impressum
Für unsere Website, Demo, Kundenkonten und eigenen Geschäftsprozesse ist Voximo Verantwortlicher. Bei Gesprächen, die ein Voximo-Geschäftskunde über seinen Voice Agent führt, verarbeitet Voximo die Gesprächsdaten grundsätzlich als Auftragsverarbeiter; der angerufene Geschäftskunde bleibt für Zweck und Rechtsgrundlage verantwortlich.
2. Übersicht der Verarbeitungen
Voximo ist eine Voice-AI-Plattform für deutsche kleine und mittlere Unternehmen (KMU). Wir verarbeiten personenbezogene Daten in folgenden Kontexten:
Arten verarbeiteter Daten
Bestandsdaten (Name, Firma, Adresse), Kontaktdaten (E-Mail, Telefon), Inhaltsdaten (Gesprächstranskripte, Eingaben), Nutzungsdaten (besuchte Seiten, Zugriffszeiten), Kommunikationsdaten (IP-Adressen, Geräte-Informationen), Zahlungsdaten (über Stripe), Sprachdaten (Audioverarbeitung in Echtzeit).
Kategorien betroffener Personen
Geschäftskunden (Unternehmen, die Voximo nutzen), Anrufer (Personen, die bei den Kunden anrufen und mit dem Voice Agent sprechen), Websitebesucher, Demo-Nutzer.
Zwecke der Verarbeitung
Bereitstellung der Voice-AI-Plattform, Registrierung und Authentifizierung, Abrechnung und Zahlungsabwicklung, Spracherkennung und -verarbeitung, Qualitätssicherung, IT-Sicherheit und Missbrauchsschutz, gesetzliche Verpflichtungen.
3. Rechtsgrundlagen
Soweit Voximo selbst Verantwortlicher ist, verarbeiten wir personenbezogene Daten auf Basis folgender Rechtsgrundlagen der DSGVO. Für Gesprächsdaten im Auftrag eines Kunden bestimmt der jeweilige Geschäftskunde die konkrete Rechtsgrundlage:
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Die betroffene Person hat ihre Einwilligung erteilt, z. B. bei der Nutzung nicht-essenzieller Cookies oder der Demo-Funktion.
Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Die Verarbeitung ist für die Erfüllung eines Vertrages erforderlich, z. B. Bereitstellung der Voice-Agent-Dienste, Abrechnung, Kundenkontoverwaltung.
Art. 6 Abs. 1 lit. c DSGVO (Rechtliche Verpflichtung): Die Verarbeitung ist zur Erfüllung einer rechtlichen Verpflichtung erforderlich, z. B. steuerrechtliche Aufbewahrungspflichten.
Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Die Verarbeitung dient unseren berechtigten Interessen, z. B. IT-Sicherheit, Missbrauchsschutz, Optimierung unserer Dienste.
4. Hosting & CDN
Cloudflare Workers / OpenNext
Unsere Website und Anwendung werden über Cloudflare Workers mit OpenNext bereitgestellt. Beim Aufruf werden automatisch Verbindungsdaten (z. B. IP-Adresse, Browsertyp, Zugriffszeit) verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer stabilen und sicheren Bereitstellung).
Cloudflare
Wir nutzen Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, als Content Delivery Network (CDN), DNS-Anbieter und für Sicherheitsdienste (Web Application Firewall, DDoS-Schutz). Dabei können Verbindungsdaten über Cloudflare-Server geleitet werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Eine ausschließliche Verarbeitung in Deutschland wird für diesen Dienst nicht zugesagt.
Supabase
Für Datenbank, Authentifizierung und Dateispeicherung nutzen wir Supabase Pte. Ltd. Unsere Datenbank befindet sich im Rechenzentrum Frankfurt (EU). Gespeichert werden Kontodaten, Agent-Konfigurationen, Anrufprotokolle und Nutzungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
5. Registrierung, Demo & Authentifizierung
Bei der Registrierung auf unserer Plattform erheben wir folgende Daten: E-Mail-Adresse und Passwort (verschlüsselt). Optional können Sie sich auch über Google oder Apple OAuth anmelden. Dabei erhalten wir die in Ihrem Profil hinterlegte E-Mail-Adresse und Ihren Namen.
Zweck der Verarbeitung ist die Einrichtung und Verwaltung Ihres Kundenkontos. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Authentifizierung erfolgt über Supabase Auth mit Serverstandort Frankfurt (EU).
Demo-Anfragen und CRM
Wenn Sie eine Demo anfordern, verarbeiten wir Ihre Formularangaben zur Erstellung und Durchführung der gewünschten Demo sowie zur darauf bezogenen Kontaktaufnahme. Zur Verwaltung dieser Anfragen nutzen wir Attio Limited als CRM-Dienstleister. An Attio übermitteln wir die E-Mail-Adresse sowie, soweit angegeben, Name und Telefonnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Ihre Anfrage). Die Löschung dieser CRM-Daten erfolgt manuell, sobald die Demo-Anfrage und die darauf bezogene Kontaktaufnahme abgeschlossen sind und keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen. Eine feste automatische Löschfrist besteht nicht.
Google Calendar und Google Workspace API-Daten
Wenn ein Geschäftskunde Google Calendar mit Voximo verbindet, verarbeitet Voximo die vom Kunden freigegebenen Google-Kalenderdaten ausschließlich zur Bereitstellung der aktivierten Terminverwaltungsfunktionen. Dies umfasst die Auswahl eines beschreibbaren Kalenders, die Prüfung freier und belegter Zeiträume sowie das Suchen, Anlegen, Verschieben und Absagen von Terminen.
The use of information received from Google Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.
Rohdaten oder aus Google Workspace API-Daten abgeleitete Daten werden nicht verwendet, übertragen oder verkauft, um grundlegende oder allgemein einsetzbare KI-/ML-Modelle zu erstellen, zu trainieren oder zu verbessern. Soweit KI-/ML-Dienste Daten technisch verarbeiten, erfolgt dies ausschließlich zur Bereitstellung der vom Kunden aktivierten, nutzerseitig sichtbaren Terminverwaltungsfunktion und nicht zum Modelltraining. Eine Verwendung für Werbung, Profilbildung oder den Verkauf von Daten findet nicht statt. Der Zugriff kann jederzeit durch Trennung der Integration in Voximo oder im Google-Konto widerrufen werden.
6. Voice Agent & Sprachverarbeitung
Kernfunktion von Voximo ist die automatisierte Anrufannahme durch KI-gestützte Voice Agents. Bei einem Anruf werden folgende Daten verarbeitet:
Erhobene Daten bei Anrufen
Telefonnummer des Anrufers, Sprachdaten (Echtzeit-Audio während des Gesprächs), Gesprächstranskript (Text), Gesprächsdauer, Zeitstempel, Status des Anrufs.
Für die Sprachverarbeitung setzen wir folgende Dienstleister in der Verarbeitungskette ein:
| Dienst | Anbieter | Zweck | Einbindung / Region |
|---|---|---|---|
| LiveKit | LiveKit Inc. | Voice-Agent-Plattform, Echtzeit-Audio und das auf LiveKit-Infrastruktur gehostete Sprachmodell Gemma 4 31B IT | Unmittelbarer Auftragsverarbeiter; das Deployment meldet eu-central, jedoch ohne Nachweis einer ausschließlichen EU-Verarbeitung oder Deutschland-Garantie |
| ElevenLabs | ElevenLabs Inc. | Spracherkennung mit Scribe v2 Realtime | Unterauftragsverarbeiter über LiveKit Inference; keine Deutschland-Garantie |
| Inworld | Inworld AI, Inc. | Sprachsynthese mit TTS-2 | Unterauftragsverarbeiter über LiveKit Inference; keine Deutschland-Garantie |
Zusätzlich setzen wir OpenAI über eine direkte API-Anbindung für die nachgelagerte Analyse freigegebener Gesprächstranskripte und für Wissensanfragen ein, die angemeldete Nutzer im Dashboard übermitteln. Für die Einordnung einer unklaren Antwort auf die Frage zur Transkriptspeicherung erfolgt vor der Einwilligung kein separater OpenAI-Aufruf. Der Einwilligungsdialog wird nicht als Gesprächsinhalt gespeichert und nicht an OpenAI zur Analyse übermittelt. Nach einer Einwilligung kann der weitere gespeicherte Gesprächsverlauf für die nachgelagerte Analyse an OpenAI übermittelt werden. Diese Datenflüsse laufen nicht über LiveKit Inference.
Bei Kundenanrufen verarbeitet Voximo die Gesprächsdaten im Auftrag des angerufenen Geschäftskunden. Dieser ist für die konkrete Verarbeitung verantwortlich und legt die Rechtsgrundlage abhängig vom Anwendungsfall fest, etwa Art. 6 Abs. 1 lit. b DSGVO bei einer vertragsbezogenen Anfrage oder Art. 6 Abs. 1 lit. f DSGVO nach einer Interessenabwägung. Bei einer Voximo-Demo ist Voximo selbst verantwortlich. Der weitere Gesprächsverlauf wird in beiden Fällen nur nach vorheriger Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO transkribiert und als Text gespeichert. Eine Audioaufzeichnung wird dabei nicht gespeichert. LiveKit-Observability-Uploads von Audio, Transkript, Traces und Logs sind für produktive Agent-Sitzungen technisch deaktiviert. Das Transkript wird nur so lange gespeichert, wie dies für die mitgeteilten Zwecke erforderlich ist, höchstens jedoch 60 Tage; anschließend wird es automatisch gelöscht.
Hinweis für Anrufer: Ihr Anruf wird von einem KI-gestützten Sprachassistenten entgegengenommen. Der Voice Agent muss Sie zu Beginn des Gesprächs als KI-System informieren. Diese Information ist eine Freigabevoraussetzung für den produktiven Einsatz des jeweiligen Agents. Sie können das Gespräch jederzeit beenden.
7. Zahlungsabwicklung
Für die Zahlungsabwicklung nutzen wir Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA. Bei Abschluss eines Abonnements werden Zahlungsdaten direkt an Stripe übermittelt und dort verarbeitet. Wir selbst speichern keine Kreditkarten- oder Bankdaten. Wir erhalten von Stripe lediglich eine Bestätigung der Zahlung sowie eine Kundennummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Stripe ist unter dem EU-US Data Privacy Framework zertifiziert. Datenschutzerklärung von Stripe: stripe.com/de/privacy
9. Drittlandübermittlung
Einige unserer Dienstleister verarbeiten Daten in den USA. Die Übermittlung erfolgt auf Basis folgender Garantien:
EU-US Data Privacy Framework: Stripe und Cloudflare sind unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023) zertifiziert.
Standardvertragsklauseln (SCCs): Soweit der EU-US Data Privacy Framework nicht greift, werden je nach Vertragspfad Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO (EU-Kommissionsbeschluss 2021/914) und ergänzende Schutzmaßnahmen eingesetzt. Im Voice-Pfad ist LiveKit unser unmittelbarer Auftragsverarbeiter. ElevenLabs wird für die Spracherkennung und Inworld für die Sprachsynthese als LiveKit-Inference-Unterauftragsverarbeiter eingesetzt; das Sprachmodell Gemma wird von LiveKit gehostet. LiveKits getrennte Infrastrukturkette kann weitere Anbieter wie Google umfassen; daraus folgt keine Aussage über den Standort einer konkreten Verarbeitung.
EU-Verarbeitung wo möglich: Unsere primäre Datenbank (Supabase) befindet sich in Frankfurt (EU). Das LiveKit-Deployment meldet eu-central für die Agent-/RTC-Region; dies ist kein Nachweis einer ausschließlichen EU-Verarbeitung und umfasst insbesondere nicht automatisch Inference-Unterauftragsverarbeiter. Der Upload von Audio, Transkript, Traces und Logs an LiveKit Agent Observability ist für produktive Agent-Sitzungen deaktiviert.
10. Speicherdauer
| Datenkategorie | Speicherdauer | Grundlage |
|---|---|---|
| Kundenkonto & Stammdaten | Dauer des Vertragsverhältnisses + gesetzliche Aufbewahrungspflichten | Art. 6 Abs. 1 lit. b, c DSGVO |
| Gesprächstranskripte ab Einwilligung | Höchstens 60 Tage (automatische Löschung) | Art. 6 Abs. 1 lit. a DSGVO |
| Echtzeit-Sprachdaten (ohne Speicherung) | Dauer des Anrufs | Grundlage bestimmt der verantwortliche Geschäftskunde je Anwendungsfall |
| Abrechnungsdaten | 10 Jahre (steuerrechtl. Aufbewahrung) | § 147 AO, § 257 HGB |
| Server-Logdaten | 30 Tage | Art. 6 Abs. 1 lit. f DSGVO |
| Demo-Anfragen und CRM-Daten | Manuelle Löschung nach Abschluss der Demo-Anfrage und der darauf bezogenen Kontaktaufnahme, sofern keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen; keine feste automatische Löschfrist | Art. 6 Abs. 1 lit. b, c DSGVO |
| Cookie-Einwilligungen | 12 Monate | § 25 TDDDG |
11. Ihre Rechte
Sie haben gemäß der DSGVO folgende Rechte in Bezug auf Ihre personenbezogenen Daten:
Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über die von uns verarbeiteten personenbezogenen Daten verlangen.
Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger oder die Vervollständigung unvollständiger Daten verlangen.
Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer personenbezogenen Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Recht auf Einschränkung (Art. 18 DSGVO): Sie können die Einschränkung der Verarbeitung Ihrer Daten verlangen.
Recht auf Datenportabilität (Art. 20 DSGVO): Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten. In Ihrem Dashboard steht Ihnen eine CSV-Export-Funktion zur Verfügung.
Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten, die auf Art. 6 Abs. 1 lit. f DSGVO basiert, jederzeit widersprechen.
Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Erteilte Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen.
Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: hallo@voximo.io
Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde ist: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.
12. Einsatz Künstlicher Intelligenz
Voximo setzt Künstliche Intelligenz für die automatisierte Gesprächsführung ein. Dabei kommen folgende Technologien zum Einsatz:
Spracherkennung (STT): Gesprochene Sprache wird mittels ElevenLabs Scribe v2 Realtime über LiveKit Inference in Echtzeit in Text umgewandelt.
Sprachmodell (LLM): Der erkannte Text wird mit dem von LiveKit gehosteten Open-Weight-Modell Gemma 4 31B IT verarbeitet, um eine kontextbezogene Antwort zu generieren.
Sprachsynthese (TTS): Die generierte Textantwort wird über LiveKit Inference mit Inworld TTS-2 in natürlich klingende Sprache umgewandelt.
Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Der Voice Agent unterstützt bei der Anrufannahme, trifft jedoch keine rechtlich bindenden Entscheidungen für die Anrufer.
Der Voice Agent muss Anrufer zu Beginn des Gesprächs als KI-System informieren. Voximo behandelt die technisch nachweisbare Durchsetzung dieses Hinweises als Freigabevoraussetzung für den produktiven Einsatz des jeweiligen Agents.
13. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen unserer Dienste oder der Datenverarbeitung anzupassen. Die jeweils aktuelle Fassung gilt stets. Wir empfehlen Ihnen, diese Datenschutzerklärung regelmäßig zu überprüfen.
Stand: August 2026