Datenschutzerklärung

Heinz — Der KI-Assistent der Herbert Gruppe · Stand: August 2026

1. Verantwortlicher

2. Überblick

Heinz ist der KI-gestützte Firmen-Assistent der Herbert Gruppe. Die App steht ausschließlich Mitarbeiter:innen mit einer autorisierten Firmen-E-Mail-Domäne zur Verfügung. Der Schutz Ihrer personenbezogenen Daten ist uns wichtig. Im Folgenden informieren wir Sie über die Erhebung und Verarbeitung Ihrer Daten bei Nutzung von Heinz.

3. Welche Daten wir erheben

3.1 Registrierung & Anmeldung

• E-Mail-Adresse (Firmen-E-Mail) — zur Authentifizierung und Kontoverifikation
• Name — zur Personalisierung von Heinz
• Passwort — verschlüsselt gespeichert (Argon2-Hashing)

3.2 Nutzungsdaten

• Chat-Nachrichten — Ihre Konversationen mit Heinz
• Hochgeladene Dateien — Dokumente und Bilder, die Sie in Heinz teilen
• Aufgaben & Notizen — von Ihnen erstellte Inhalte
• Standortdaten — nur wenn Sie die Standorte-Funktion aktiv nutzen (siehe 3.3)

3.3 Standortdaten (Standorte-Funktion)

Die Standorte-Funktion ist optional und muss in der App ausdrücklich aktiviert werden. Erhoben werden dabei Ihre GPS-Koordinaten und die Ortungsgenauigkeit.

• Während die App geöffnet ist: Ihre aktuelle Position wird höchstens alle 15 Minuten übertragen, um die Entfernung zu Ihren hinterlegten Standorten zu bestimmen.
• Im Hintergrund (zusätzliche, separate Einwilligung): Das Betriebssystem überwacht ausschließlich Ihre hinterlegten Standorte („Geofences"). Beim Betreten eines dieser Standorte wird die App kurz geweckt und überträgt die Position einmalig — auch wenn die App geschlossen oder nicht in Benutzung ist. Es findet kein durchgehendes Tracking statt, es wird kein Bewegungs- oder Wegeprofil erstellt.

Was gespeichert wird: Beim Betreten eines hinterlegten Standorts wird ein Besuchseintrag angelegt (Zeitpunkt, betroffener Standort, Koordinaten des Einstiegspunkts). Positionen außerhalb Ihrer hinterlegten Standorte werden nicht gespeichert.

Zweck: ausschließlich die Benachrichtigung über offene Aufgaben für den erreichten Standort. Es erfolgt keine Leistungs- oder Verhaltenskontrolle, keine Weitergabe an Dritte, keine Nutzung für Werbung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Für die Erfassung im Hintergrund wird die Einwilligung vor der Systemabfrage in einem eigenen Hinweis in der App eingeholt.

3.4 Push-Benachrichtigungen

• Push-Token (Expo Push Token) — zur Zustellung von Benachrichtigungen an Ihr Gerät
• Geräte-Plattform (iOS/Android/Web) — zur korrekten Zustellung
• Benachrichtigungseinstellungen — Ihre aktivierten Kategorien

Push-Tokens werden bei Aktivierung der Benachrichtigungen erhoben und bei Deregistrierung gelöscht. Die Zustellung erfolgt über Expo Push (Expo, Inc., USA) als technischer Vermittler zu Apple Push Notification Service (APNs) bzw. Google Firebase Cloud Messaging (FCM).

3.5 Technische Daten

• IP-Adresse — für Sicherheits- und Protokollierungszwecke
• Gerätetyp & Betriebssystem — zur Optimierung der App-Darstellung
• Zeitstempel — für Protokollierung und Fehleranalyse

3.6 Cookies & lokale Speicherung

Heinz verwendet HTTP-Only Cookies ausschließlich für die Authentifizierung (Session-Token, Refresh-Token). Es werden keine Tracking-Cookies oder Cookies von Drittanbietern eingesetzt. Zusätzlich nutzt die App den lokalen Gerätespeicher (AsyncStorage / localStorage) für Benutzereinstellungen wie Theme-Auswahl.

4. Zweck der Datenverarbeitung

• Bereitstellung und Betrieb der Heinz-Funktionen
• Authentifizierung und Zugriffskontrolle
• KI-gestützte Assistenzfunktionen (Chat, Zusammenfassungen, Vorlagen)
• Zustellung von Push-Benachrichtigungen
• Standortbezogene Aufgaben-Erinnerungen — nur bei aktivierter Standorte-Funktion
• Fehleranalyse und Verbesserung der App
• Sicherstellung der IT-Sicherheit

5. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Arbeitsvertrags / Bereitstellung betrieblicher Werkzeuge
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigtes Interesse an IT-Sicherheit und Betriebsoptimierung
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (für optionale Push-Benachrichtigungen sowie für die Standorte-Funktion, einschließlich der gesondert eingeholten Einwilligung zur Erfassung im Hintergrund)

6. KI-Verarbeitung & Drittanbieter

Heinz nutzt die OpenAI API zur Verarbeitung von Chat-Nachrichten. Dabei wird eine automatische PII-Anonymisierung (Personally Identifiable Information) vorgeschaltet. Nach Erhalt der KI-Antwort werden die anonymisierten Platzhalter wieder in die Originaldaten zurückgewandelt. OpenAI erhält somit keine personenbezogenen Daten.

6.1 KI-Gedächtnis (Memory)

Heinz kann sich über Gespräche hinweg Informationen merken, um bessere und personalisiertere Antworten zu geben. Dabei werden drei Arten von Kontextinformationen verarbeitet:

• Gesprächszusammenfassungen — Ältere Teile einer Konversation werden zu einer komprimierten Zusammenfassung verdichtet, damit Heinz den Gesprächsfaden bei langen Unterhaltungen nicht verliert.
• Semantische Verlaufssuche — Frühere relevante Nachrichten innerhalb einer Konversation können bei Bedarf automatisch wiedergefunden werden.
• Nutzer-Erinnerungen — Heinz kann Ihre Präferenzen und häufige Anweisungen aus früheren Konversationen lernen (z. B. bevorzugte Sprache, Arbeitskontext). Diese Erinnerungen werden auf unseren Servern in Deutschland gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an personalisierten Assistenzfunktionen) in Verbindung mit Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung). Die Anonymisierung (PII) wird auch auf gespeicherte Erinnerungen angewendet, bevor diese an externe Dienste übermittelt werden.

7. Hosting & Datenübermittlung

Ihre personenbezogenen Daten verlassen die EU nicht. An Drittanbieter außerhalb der EU (Expo, OpenAI) werden ausschließlich anonymisierte bzw. technische Daten ohne Personenbezug übermittelt.

8. Datenspeicherung & Löschung

• Daten werden auf Servern in Deutschland gespeichert (Hetzner).
• Chat-Verläufe können von Ihnen jederzeit in Heinz gelöscht werden.
• KI-Erinnerungen können jederzeit einzeln oder vollständig in den Einstellungen gelöscht werden.
• Bei Deaktivierung Ihres Kontos werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht.
• Systemprotokolle werden nach 90 Tagen automatisch bereinigt.
• Push-Tokens werden bei Abmeldung oder Deregistrierung sofort gelöscht.
• Standort-Besuchseinträge werden gelöscht, sobald der zugehörige Standort oder Ihr Konto gelöscht wird. Bei widerrufener Einwilligung werden keine neuen Einträge mehr erzeugt.

9. Ihre Rechte (DSGVO)

Sie haben jederzeit das Recht auf:

• Auskunft (Art. 15 DSGVO) — welche Daten über Sie gespeichert sind
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen die Verarbeitung
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — z.B. Push-Benachrichtigungen oder die Standort-Erinnerungen im Hintergrund deaktivieren

Zur Ausübung Ihrer Rechte wenden Sie sich an: info@herbert.de

10. Berechtigungen der App

• Kamera — zum Aufnehmen von Fotos und Videos innerhalb von Heinz
• Mikrofon — für Audio-Aufnahmen, Transkriptionen und Spracheingabe
• Push-Benachrichtigungen — für Echtzeit-Benachrichtigungen (optional, jederzeit deaktivierbar)
• Medienbibliothek — zum Auswählen und Hochladen von Fotos aus Ihrer Galerie
• Standort (während der Nutzung) — zur Anzeige nahegelegener Standorte und der Entfernung dorthin (optional)
• Standort im Hintergrund („Immer erlauben") — nur für Erinnerungen an offene Aufgaben beim Ankommen an einem hinterlegten Standort, auch wenn die App geschlossen ist. Wird ausschließlich nach ausdrücklicher Zustimmung im gesonderten Hinweis der App angefragt und ist jederzeit widerrufbar (siehe 3.3).

Alle Berechtigungen werden nur bei aktiver Nutzung der jeweiligen Funktion angefragt und können jederzeit in den Geräte-Einstellungen widerrufen werden.

11. Datensicherheit

Wir setzen folgende technische und organisatorische Maßnahmen ein:

• Verschlüsselte Übertragung aller Daten (TLS/HTTPS)
• Sichere Passwort-Speicherung (Argon2-Hashing)
• HTTP-Only, Secure Cookies für Session-Management
• Rollenbasierte Zugriffskontrolle (RBAC)
• Automatische PII-Anonymisierung bei KI-Anfragen
• Regelmäßige Sicherheitsupdates und Monitoring

12. Beschwerderecht & Hinweisgeberstelle

Interne Meldestelle (Hinweisgeberstelle)

Die Herbert Gruppe betreibt gemäß dem Hinweisgeberschutzgesetz (HinSchG) eine interne Meldestelle. Über diese können Sie Verstöße — auch im Bereich Datenschutz — vertraulich und auf Wunsch anonym melden:

Externe Aufsichtsbehörde

Darüber hinaus haben Sie das Recht, sich jederzeit bei der zuständigen Datenschutz-Aufsichtsbehörde zu beschweren:

13. Änderungen

Diese Datenschutzerklärung kann bei Bedarf aktualisiert werden. Die aktuelle Version ist stets unter dieser URL abrufbar. Bei wesentlichen Änderungen werden Sie über Heinz informiert.