Datenschutzerklärung

2. Verantwortlicher und Kontakt

Für alle Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter info@immblend.de oder unter der oben genannten Postanschrift. Weitere Angaben finden Sie im Impressum.

3. Wer ist für Ihre Daten verantwortlich?

Welche Stelle für Ihre Daten verantwortlich ist, hängt davon ab, wie Sie unser Angebot nutzen.

Die Abschnitte 7 und 9 bis 17 beschreiben, wie die Plattform Daten verarbeitet. Für Direktnutzer ist ImmBlend dort Verantwortlicher; Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung der Plattform).

4. Hosting, Server-Logfiles und Testsystem

Website und Plattform werden bei der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, betrieben. Der Anwendungsserver steht in Falkenstein, der Datenbankserver in Nürnberg (beide Deutschland). Hochgeladene Dateien und Aufnahmen speichern wir im Hetzner Object Storage am Standort Falkenstein (seit dem 18.09.2026 verschlüsselt), Sicherungen der Datenbank in einer Hetzner Storage Box innerhalb der EU (seit dem 14.09.2026 verschlüsselt; Einzelheiten in Abschnitt 22).

Beim Aufruf der Website und der Plattform erfasst der Server automatisch Informationen in sogenannten Server-Logfiles:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse (URL), HTTP-Statuscode und übertragene Datenmenge
• gegebenenfalls die zuvor besuchte Seite (Referrer-URL)
• verwendeter Browser und Betriebssystem (User-Agent)

Anmeldetoken werden in den Protokollen maskiert. Bei der Anmeldung per Code enthält die aufgerufene Adresse Ihre E-Mail-Adresse und den Anmeldecode; beides ist daher bis zu 14 Tage in den Server-Logfiles enthalten. Seit dem 23.09.2026 enthalten die Protokolle unserer Anwendung keine Inhalte aus Trainings, Nachrichten oder KI-Antworten.

Für interne Tests betreiben wir zusätzlich ein separates Testsystem auf einem Hetzner-Server in Nürnberg. Es greift auf dieselbe Datenbank und denselben Dateispeicher wie die Plattform zu, unterliegt denselben Sicherheitsmaßnahmen, dient ImmBlend-Mitarbeitenden zum Testen neuer Versionen und ist von der Indexierung durch Suchmaschinen ausgeschlossen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb). Soweit Sie die Plattform über eine Organisation nutzen, erfolgt die Verarbeitung in deren Auftrag.

Speicherdauer: Server-Logfiles werden nach 14 Tagen durch Rotation gelöscht.

5. Kontaktaufnahme

Wenn Sie uns per E-Mail oder Telefon kontaktieren, verarbeiten wir Ihre Angaben (zum Beispiel Name, E-Mail-Adresse, Telefonnummer und Inhalt der Anfrage), um Ihr Anliegen zu bearbeiten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag oder vorvertragliche Maßnahmen betrifft; Art. 6 Abs. 1 lit. c DSGVO bei Anfragen zu Ihren Datenschutzrechten; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Speicherdauer: bis Ihr Anliegen abschließend bearbeitet ist. Gehört die Anfrage zur Geschäftskorrespondenz, gelten die gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO).

6. Kunden, Vertragsdaten und Ansprechpartner

Für Anbahnung, Abschluss, Durchführung und Abrechnung von Verträgen mit Organisationen und Direktnutzern verarbeiten wir Vertrags-, Abrechnungs- und Kontaktdaten, zum Beispiel Firmenname, Anschrift, Kontakt-E-Mail-Adresse, Telefonnummer, Namen der Ansprechpartner, gebuchten Tarif und Nutzungsumfang.

Im Vertrag zur Auftragsverarbeitung benennen unsere Kunden ihren Datenschutzbeauftragten und teilen uns Änderungen in Textform mit. Diese Kontaktdaten erhalten wir von der jeweiligen Organisation (Art. 14 DSGVO). Wir nutzen sie, um unsere Pflichten als Auftragsverarbeiter zu erfüllen, zum Beispiel zur Weiterleitung von Anfragen betroffener Personen oder zur Meldung von Datenschutzverletzungen (Art. 33 Abs. 2 DSGVO).

Name und Logo einer Organisation werden auf ihrer eigenen Anmeldeseite der Plattform öffentlich angezeigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Pflichten, zum Beispiel Aufbewahrungspflichten sowie Art. 30 Abs. 2 und Art. 33 Abs. 2 DSGVO) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation mit den Ansprechpartnern unserer Kunden).

Speicherdauer: für die Dauer der Geschäftsbeziehung; danach nur, soweit gesetzliche Aufbewahrungspflichten bestehen (insbesondere § 257 HGB und § 147 AO, bis zu zehn Jahre).

7. Anmeldung und Benutzerkonto

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Ihr Konto wird in der Regel von Ihrer Organisation oder Ihrer Trainerin bzw. Ihrem Trainer angelegt, oder Sie registrieren sich über einen Einladungs- oder Registrierungslink Ihrer Organisation. In diesen Fällen erhalten wir Ihre Kontodaten von Ihrer Organisation (Art. 14 DSGVO).

Rechtsgrundlage: Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3). Für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO; für den Schutz vor Missbrauch Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Anmeldecodes werden nach 24 Stunden gelöscht (in den Server-Logfiles sind sie bis zu 14 Tage enthalten, Abschnitt 4), fehlgeschlagene Anmeldeversuche nach 30 Tagen. Kontodaten, Geräteliste und die letzte IP-Adresse bleiben bis zur Löschung des Kontos bzw. der Organisation gespeichert.

8. Demo-Modus

Rolle: ImmBlend ist Verantwortlicher.

Im Demo-Modus können Sie den Dialogtrainer ohne Benutzerkonto ausprobieren. Dabei verarbeiten wir folgende Daten:

• Mikrofonaufnahme: Ihre Sprache wird live an Mistral AI zur Spracherkennung übertragen und nicht als Audiodatei gespeichert. Das entstehende Transkript wird an Mistral AI übermittelt, um die Antwort der KI zu erzeugen und in Sprache umzuwandeln. Im Demo-Modus nutzen wir ausschließlich Mistral AI.
• Demo-Inhalte: Gesprächsverlauf, Feedback und angelegte Charaktere, gespeichert unter einer zufällig erzeugten Demo-Kennung.
• Nutzungsbegrenzung: Um Missbrauch zu verhindern, ist die Anzahl der Demos je IP-Adresse begrenzt. Dafür speichern wir einen pseudonymisierten Hashwert (HMAC) Ihrer IP-Adresse, nicht die IP-Adresse selbst.
• Browser: Demo-Kennung und ein zeitlich begrenztes Demo-Token im Session Storage (Abschnitt 20).

Bitte geben Sie in der Demo keine vertraulichen Informationen und keine personenbezogenen Daten anderer Personen ein.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, Interessenten eine Demo anzubieten und Missbrauch zu verhindern).

Speicherdauer: Gesprächsverläufe, Feedback und Charaktere werden nach 24 Stunden gelöscht. Der Hashwert bleibt gespeichert, damit die Begrenzung der Demo-Nutzung wirksam bleibt. Die Einträge im Session Storage werden beim Schließen des Browser-Tabs entfernt.

9. Präsentationstrainer

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Zweck und Rechtsgrundlage: Durchführung des Präsentationstrainings. Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: für die Dauer des Vertrags (Abschnitt 22).

10. Dialogtrainer

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Im Dialogtrainer üben Sie Gespräche mit KI-gesteuerten Gesprächspartnern. Dabei werden folgende Daten verarbeitet:

Zweck und Rechtsgrundlage: Durchführung des Gesprächstrainings. Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: für die Dauer des Vertrags (Abschnitt 22).

11. Diktierfunktion

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Beim Anlegen von Szenarien (Themen) und Persönlichkeiten (Gesprächstypen) können Sie Texte per Spracheingabe diktieren. Ihre Mikrofonaufnahme wird dazu live an Mistral AI übertragen und in Text umgewandelt, bzw. an OpenAI, wenn Ihre Organisation dies aktiviert hat. Das Audio wird nicht gespeichert; der erkannte Text wird Teil der Inhalte, die Sie anlegen.

Rechtsgrundlage: Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO.

12. Szenarien, Wissensdokumente und Firmenwissen

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Rechtsgrundlage: Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: bis zur Löschung durch Sie bzw. Ihre Organisation, längstens für die Dauer des Vertrags (Abschnitt 22).

13. IDD-Lernzeit und Zertifikate

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Hat Ihre Organisation die IDD-Funktion aktiviert, erfassen wir die Netto-Lernzeit je Training (Minuten, Thema, Art der Weiterbildung). Das unterstützt Ihre Organisation beim Nachweis der Weiterbildungspflicht nach der Versicherungsvertriebsrichtlinie (IDD).

Für abgeschlossene Themen und Jahre können Zertifikate ausgestellt werden. Sie enthalten Ihren Namen, den Namen Ihrer Organisation, das Thema bzw. die Themen, gegebenenfalls die IDD-Kategorie und den Kompetenzbereich, die Lernzeit, die Anzahl der Trainingseinheiten bzw. Themen, das Quiz-Ergebnis (erreichte und mögliche Punktzahl) und das Ausstellungsdatum. Zu einem Themen-Zertifikat wird außerdem eine Liste der einzelnen Trainingseinheiten mit Datum, Uhrzeit und Dauer sowie, soweit vorhanden, Gesprächspartner, Persönlichkeit und Einzelbewertung gespeichert; zu einem Jahreszertifikat je Thema die Lernzeit, das Quiz-Ergebnis und die Anzahl der Trainingseinheiten.

Rechtsgrundlage: Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: für die Dauer des Vertrags (Abschnitt 22).

14. Nachrichten und KI-Assistent

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Die Plattform bietet Gruppen- und Direktnachrichten sowie einen privaten KI-Chat. Dabei werden folgende Daten verarbeitet:

• Nachrichten: Text, Absender, Zeitpunkt, Antworten auf Nachrichten und geteilte Trainingssitzungen
• Mediendateien: Bilder (max. 5 MB) und Sprachnachrichten (max. 10 MB), verschlüsselt gespeichert im Hetzner Object Storage und nur für die Teilnehmenden der jeweiligen Unterhaltung abrufbar
• Lesebestätigungen: Zeitpunkt, zu dem eine Nachricht gelesen wurde
• Echtzeit-Übertragung: Die Zustellung erfolgt über eine verschlüsselte WebSocket-Verbindung (WSS)

Gruppenmitglieder sehen Ihren Namen, Ihr Profilbild und Ihre Nachrichten in der jeweiligen Gruppe. Direktnachrichten sind mit Mitgliedern gemeinsamer Gruppen, mit Ihrer Trainerin bzw. Ihrem Trainer und mit dem Organisationsinhaber möglich. Eine Funktion zum Löschen einzelner Nachrichten gibt es derzeit nicht; Ihren privaten KI-Chat können Sie jedoch vollständig leeren (siehe unten).

Rechtsgrundlage: Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: für die Dauer des Vertrags (Abschnitt 22); den privaten KI-Chat können Sie vorher selbst leeren, und er wird mit Ihrem Benutzerkonto gelöscht (siehe oben).

15. Einladungen, Registrierungslinks und Nutzungsprotokolle

Rolle: Verarbeitung im Auftrag Ihrer Organisation; bei Direktnutzern ist ImmBlend Verantwortlicher.

Rechtsgrundlage: Für Organisationsnutzer legt Ihre Organisation die Rechtsgrundlage fest (Abschnitt 3); für Direktnutzer Art. 6 Abs. 1 lit. b DSGVO, für die IP-Protokollierung Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsschutz).

Speicherdauer: Nutzungsprotokolle und die IP-Adressen in den Protokollen der Registrierungslinks bleiben bis zur Löschung des Kontos bzw. der Organisation gespeichert (Abschnitt 22).

16. Wer kann Ihre Daten sehen?

Als Verantwortliche kann Ihre Organisation von uns außerdem die Herausgabe oder Löschung der in ihrem Auftrag verarbeiteten Daten verlangen.

17. KI-Transparenz, Profiling und automatisierte Entscheidungen

Profiling: Die automatisierte Auswertung Ihrer Trainings (Bewertungen, Sprechtempo, Füllwörter, Feedback) bewertet Aspekte Ihrer Kommunikation und kann daher ein Profiling im Sinne von Art. 4 Nr. 4 DSGVO darstellen. Sie dient ausschließlich dem Training.

Keine automatisierten Entscheidungen: ImmBlend trifft keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Bewertungen sind automatisierte Einschätzungen für Trainingszwecke.

Trainer und Organisationsinhaber können Bewertungen, Metriken und Sitzungen ihrer Nutzer einsehen (Abschnitt 16). Ob und wie Ergebnisse innerhalb der Organisation verwendet werden, entscheidet Ihre Organisation als Verantwortliche. Sie ist dafür verantwortlich, die Vorgaben des Beschäftigtendatenschutzes (§ 26 BDSG) und gegebenenfalls die Mitbestimmung des Betriebsrats (§ 87 Abs. 1 Nr. 6 BetrVG) einzuhalten.

18. Empfänger und Auftragsverarbeiter

Folgende Dienstleister verarbeiten personenbezogene Daten als unsere Auftragsverarbeiter bzw. Unterauftragsverarbeiter nach Art. 28 DSGVO:

Für die Namensauflösung (DNS) unserer Domain nutzen wir außerdem Gcore; Gcore ist kein Auftragsverarbeiter und verarbeitet keine Inhalte der Plattform.

Innerhalb Ihrer Organisation erhalten Trainer, Organisationsinhaber und Gruppenmitglieder Daten in dem in Abschnitt 16 beschriebenen Umfang. An Behörden geben wir Daten nur weiter, soweit wir gesetzlich dazu verpflichtet sind. Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter.

19. Datenübermittlung in Drittländer

Hetzner und Mistral AI sind Unternehmen mit Sitz in der EU. Eine Übermittlung Ihrer Daten in ein Land außerhalb der EU bzw. des EWR durch uns erfolgt nur, wenn Ihre Organisation OpenAI für die Spracherkennung aktiviert hat:

Soweit unsere Dienstleister ihrerseits Unterauftragsverarbeiter außerhalb der EU einsetzen, erfolgt dies nach deren Verträgen zur Auftragsverarbeitung auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO.

20. Speicherung von Informationen in Ihrem Browser

Wir speichern in Ihrem Browser nur Informationen, die für die von Ihnen genutzten Funktionen technisch erforderlich sind. Einzige Ausnahme ist eine leere Browser-Datenbank ohne Funktion (IndexedDB, siehe unten). Analyse- oder Marketing-Cookies verwenden wir nicht.

Einzelheiten finden Sie in unserer Cookie-Richtlinie.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (Speicherung und Zugriff sind unbedingt erforderlich, um den von Ihnen gewünschten Dienst bereitzustellen). Ausgenommen ist nur die leere Datenbank PresentationDB (siehe oben). Die weitere Verarbeitung richtet sich nach den Rechtsgrundlagen der jeweiligen Funktion.

21. Keine Analyse- und Tracking-Tools

Wir setzen keine Analyse-, Tracking- oder Werbewerkzeuge ein. Schriftarten und die PDF-Anzeige werden von unseren eigenen Servern geladen, sodass Ihr Browser dafür keine Verbindungen zu Drittanbietern aufbaut.

Bis zum 23.09.2026 haben wir nach Ihrer Einwilligung den Webanalysedienst Microsoft Clarity (Microsoft Corporation, USA) eingesetzt. Der Dienst ist seitdem deaktiviert; es werden keine Daten mehr an Microsoft Clarity übermittelt. Früher gesetzte Clarity-Cookies (zum Beispiel _clck, _clsk) können Sie in den Einstellungen Ihres Browsers löschen.

22. Speicherdauer und Löschung

Gesetzliche Aufbewahrungspflichten, insbesondere für Vertrags- und Abrechnungsunterlagen (§ 257 HGB, § 147 AO), bleiben unberührt.

23. Datensicherheit

Wir schützen Ihre Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem:

• verschlüsselte Übertragung über HTTPS bzw. WSS mit TLS 1.2 und 1.3; Datenbankverbindungen ausschließlich mit TLS 1.3
• Verschlüsselung der Datenbank im Ruhezustand
• Verschlüsselung aller hochgeladenen Dateien und Aufnahmen mit AES-256-GCM vor der Ablage im Object Storage (seit 18.09.2026; zur vorübergehenden unverschlüsselten Sicherungskopie siehe Abschnitt 22)
• verschlüsselte Datenbank-Sicherungen (seit 14.09.2026; ältere unverschlüsselte Sicherungen werden spätestens am 13.12.2026 gelöscht)
• Speicherung von Passwörtern nur als bcrypt-Hashwert
• rollenbasierte Zugriffsrechte
• Begrenzung von Code-Anfragen und Fehlversuchen bei der Anmeldung per Code sowie allgemeine Anfragelimits je IP-Adresse
• Server-Logfiles ohne Trainings- und Nachrichteninhalte, maskierte Anmeldetoken

24. Pflicht zur Bereitstellung von Daten

Gegenüber ImmBlend sind Sie gesetzlich nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne Kontodaten kann jedoch kein Benutzerkonto angelegt werden, und ohne Zugriff auf Ihr Mikrofon können die sprachbasierten Trainings nicht genutzt werden. Ob Sie zur Nutzung der Plattform verpflichtet sind, richtet sich bei Organisationsnutzern nach den Vorgaben Ihrer Organisation.

25. Minderjährige

Die Plattform richtet sich an Personen im beruflichen Umfeld. Die Nutzung ist erst ab 16 Jahren zulässig. Ob Auszubildende unter 18 Jahren die Plattform nutzen, entscheidet die jeweilige Organisation als Verantwortliche.

26. Ihre Rechte

Sie haben nach der DSGVO das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO, siehe Abschnitt 27)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)

Auskunft und Datenexport: Eine Export-Funktion in der App gibt es derzeit nicht. Auf Anfrage stellen wir Ihnen Ihre Daten innerhalb eines Monats in einem gängigen, maschinenlesbaren Format bereit.

Mitglieder einer Organisation richten ihre Anfragen bitte an ihre Organisation bzw. deren Datenschutzbeauftragten. Anfragen, die uns erreichen, leiten wir an die Organisation weiter und unterstützen sie bei der Beantwortung.

Kontakt: info@immblend.de. Um Ihre Daten zu schützen, können wir Sie bitten, Ihre Identität nachzuweisen.

27. Widerspruchsrecht nach Art. 21 DSGVO

28. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Datenverarbeitung, die eingesetzten Dienstleister oder die Rechtslage ändern.

Es gilt die jeweils auf dieser Website veröffentlichte Fassung.

Stand: September 2026 (Version 3.0)