Datenschutzerklärung

1. Verantwortlicher

xpand Deutschland GmbH, Ernst-Penzoldt-Weg 9, 91080 Spardorf.
Telefon: +49 (0) 821 21700080, E-Mail: office@xpand.pro.

2. Datenschutzbeauftragter

Ricardo Wiedenbrüg, Ernst-Penzoldt-Weg 9, 91080 Spardorf.
E-Mail: datenschutz@xpand.pro.

3. Unsere Rolle (Verantwortlicher vs. Auftragsverarbeiter)

Der Salestrainer wird mit einem dualen Verantwortlichkeitsmodell betrieben:

• xpand als Verantwortlicher — für Registrierung, Vertrags- und Konto-Verwaltung, Abrechnung, Plattformsicherheit und Support.
• xpand als Auftragsverarbeiter nach Art. 28 DSGVO — für sämtliche Inhalte, die Ihre Organisation in den Salestrainer einbringt: Briefings, daraus generierte Personas und Szenarien, Trainings-Sessions, Transkripte und Coaching-Auswertungen. Verantwortlicher im Sinne der DSGVO bleibt insoweit Ihre Organisation. Grundlage ist ein Auftragsverarbeitungsvertrag als Anlage zum Nutzungsvertrag.

4. Was wir speichern

Im Salestrainer werden folgende Daten verarbeitet:

• Kontodaten (Name, E-Mail-Adresse) über unseren Authentifizierungs-Dienst
• Organisations-Zugehörigkeit und Rolle (Admin, Coach, Teilnehmer:in)
• Hochgeladene Briefing-Materialien (PDF, Text, Web-Quellen) und daraus generierte Personas, Szenarien und Trainings-Setups
• Trainings-Sessions: Text-Transkript des Gesprächs, Coaching- Bewertung und Belegzitate, Zeitstempel, Dauer
• Technische Logs zur Fehleranalyse und Sicherheit (IP-Adresse, Browserdaten, Zugriffszeitpunkte)

5. Was wir nicht speichern

Audio-Mitschnitte. Die Sprachverbindung läuft über eine direkte WebSocket-Verbindung vom Browser zum Sprach-KI-Anbieter (Google). Unser Server hört das Gespräch nicht und schreibt kein Audio auf eine Festplatte. Wir verarbeiten ausschließlich das aus dem Audio abgeleitete Text-Transkript zur Auswertung.

6. Keine inhaltliche Kontrolle

Eine allgemeine inhaltliche Kontrolle der Briefings, Personas, Gesprächs-Transkripte oder Coaching-Auswertungen findet nicht statt. Einsicht durch xpand-Mitarbeitende erfolgt ausschließlich bei konkretem Anlass — etwa bei einer Support-Anfrage, einem sicherheits- oder missbrauchsrelevanten Vorfall oder einer dokumentierten Freigabe durch Ihre Organisation. KI-Modelle werten Ihre Inhalte automatisiert aus, um Trainings zu erstellen und auszuwerten; eine personelle Mitlese erfolgt nicht regelmäßig.

7. Rechtsgrundlagen

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Nutzungsvertrags zwischen Ihrer Organisation und xpand (Bereitstellung der Trainings, Auswertung, Konto).
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an Sicherheit, Fehleranalyse und technischer Funktionsfähigkeit der Anwendung.
• Art. 6 Abs. 1 lit. c DSGVO — Erfüllung gesetzlicher Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung).

8. Wer Zugriff hat

Innerhalb Ihrer Organisation: Admin-Rollen sehen Trainings- Statistiken pro Person und können Inhalte verwalten. Coach- Rollen sehen Berichte ihrer Teilnehmer:innen, falls aktiviert. Außerhalb Ihrer Organisation sehen keine Dritten Ihre Inhalte. xpand-Mitarbeitende können im Rahmen von Wartung und Support lesend auf Daten zugreifen; dies erfolgt nur, soweit zur Aufgabenerfüllung erforderlich, und wird dokumentiert.

9. Auftragsverarbeiter und Subprozessoren

Zur Bereitstellung der Anwendung setzen wir folgende Dienstleister ein. Mit allen Anbietern bestehen die nach Art. 28 DSGVO erforderlichen Verträge zur Auftragsverarbeitung.

• Vercel Inc. (San Francisco, USA) — Hosting der Webanwendung sowie verschlüsselte Datei-Ablage (Briefing-Uploads).
• Neon Inc. (EU-Region, Frankfurt) — Postgres- Datenbank für Konten, Inhalte und Trainings-Sessions.
• Clerk Inc. (San Francisco, USA) — Benutzerverwaltung und Authentifizierung.
• Google LLC (Mountain View, USA) — Sprach-KI (Gemini Live API) für die Live-Gesprächsverarbeitung. Die Verbindung läuft direkt zwischen Ihrem Browser und Google; Audio passiert unsere Infrastruktur nicht.
• Anthropic PBC (San Francisco, USA) — Sprachmodell Claude für die Erstellung von Trainings- Inhalten aus Ihren Briefings und für die Coaching-Auswertung nach dem Gespräch.

Eine vollständige, aktuelle Liste der Subprozessoren stellen wir auf Anfrage über datenschutz@xpand.pro bereit.

10. Datenübermittlung in Drittländer

Teile der Verarbeitung finden bei Anbietern mit Sitz in den USA statt. Für diese Übermittlungen stützen wir uns auf geeignete Garantien nach Art. 44 ff. DSGVO — insbesondere EU-Standardvertragsklauseln und, soweit anwendbar, eine Zertifizierung unter dem EU-US Data Privacy Framework. In Drittländern ohne Angemessenheitsbeschluss ist ein der EU vergleichbares Datenschutzniveau nicht garantiert.

11. Speicherdauer

Daten verbleiben so lange im System, wie Ihr Konto bzw. der Nutzungsvertrag Ihrer Organisation aktiv ist. Nach Beendigung des Vertrags werden personenbezogene Daten innerhalb von 30 Tagen gelöscht, sofern keine handels- oder steuerrechtlichen Aufbewahrungspflichten entgegenstehen. Aggregierte und anonymisierte Statistiken können darüber hinaus aufbewahrt werden. Sicherungskopien (Backups) können nach Löschung im Live-System für einen begrenzten Zeitraum technisch fortbestehen und werden im regulären Backup-Zyklus überschrieben.

12. Ihre Rechte

Sie haben jederzeit Anspruch auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit. Eine erteilte Einwilligung können Sie jederzeit widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Soweit xpand Daten als Auftragsverarbeiter für Ihre Organisation verarbeitet (siehe Abschnitt 3), ist Ihre Organisation verantwortlich und erster Ansprechpartner für Betroffenenrechte. xpand unterstützt Ihre Organisation bei der Erfüllung dieser Pflichten. Für alle anderen Daten erreichen Sie uns direkt unter datenschutz@xpand.pro.

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Behörde für xpand ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

14. Transparenz nach EU AI Act

Der Salestrainer ist ein KI-System. Sie interagieren bewusst mit einer Künstlichen Intelligenz, die eine Kundenrolle simuliert. Die nach dem Gespräch generierte Auswertung wird ebenfalls durch ein Sprachmodell erstellt. Für die inhaltliche Richtigkeit und Verwendbarkeit übernehmen wir keine Gewähr — die Auswertung ist ein Coaching-Hinweis, keine Bewertung im arbeitsrechtlichen Sinne. Problematische oder diskriminierende KI-Ausgaben können Sie melden an datenschutz@xpand.pro.

15. Sicherheit

Die Verbindung zur Anwendung erfolgt ausschließlich verschlüsselt über TLS. Briefing-Uploads werden ebenfalls verschlüsselt abgelegt. Zugriffe auf personenbezogene Daten werden auf das erforderliche Maß beschränkt und protokolliert.