Datenschutzerklärung

Stand: August 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Plattform ist:
S. Regenass, Klybeckstrasse 141, 4057 Basel, Schweiz
E-Mail: kontakt@kibos.space

Da der Anbieter seinen Sitz in der Schweiz hat und die Plattform auch Personen in der EU/EWR anspricht, gelten sowohl das Schweizer Datenschutzgesetz (revDSG) als auch die EU-Datenschutz-Grundverordnung (DSGVO). Die nachstehenden Angaben zu Rechtsgrundlagen beziehen sich auf die DSGVO; für in der Schweiz ansässige Personen gelten die entsprechenden Bestimmungen des revDSG sinngemäss.

2. Überblick

Diese Plattform ermöglicht Live-Gespräche mit KI-Avataren. Dabei verarbeiten wir personenbezogene Daten nur, soweit dies für die Bereitstellung des Dienstes, die Abrechnung und die Sicherheit erforderlich ist. Alle Verbindungen sind TLS-verschlüsselt (HTTPS). Passwörter speichern wir ausschliesslich als kryptographischen Hash (bcrypt), niemals im Klartext.

3. Hosting und Infrastruktur

Für den Betrieb setzen wir folgende Auftragsverarbeiter ein:

Vercel Inc. (USA) — Auslieferung der Weboberfläche. Dabei werden technisch bedingt IP-Adresse, Browser-Informationen und Zugriffszeitpunkt verarbeitet (Server-Logs).
Render Services, Inc. (USA) — Betrieb des Anwendungs-Servers.
Supabase — Datenbank für Konten, Nutzungs- und Abrechnungsdaten (Serverregion: EU (Irland)).
Resend (USA) — Versand von Transaktions-E-Mails (z.B. Verifizierung, Passwort-Reset, Zahlungs- und Einladungs-Benachrichtigungen).

Soweit Anbieter Daten in den USA verarbeiten, erfolgt die Übermittlung auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln (Art. 46 DSGVO).

4. Registrierung und Konto

Bei der Registrierung verarbeiten wir E-Mail-Adresse, Name und Passwort (als Hash) zur Bereitstellung deines Kontos, deines Tarifs und deiner Minuten-Kontingente. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten werden gelöscht, wenn du dein Konto löschst, soweit keine gesetzlichen Aufbewahrungspflichten (z.B. für Rechnungsdaten) entgegenstehen.

5. Live-Gespräche mit Avataren

Während eines Live-Gesprächs werden deine Eingaben zur Erbringung des Dienstes an spezialisierte, vertraglich gebundene Dienstleister (Auftragsverarbeiter) übermittelt — je nach genutzter Funktion an folgende Kategorien von Empfängern:

Spracherkennung — wandelt deine Mikrofon-Aufnahmen in Text um (Anbieter mit Sitz in den USA).
KI-Sprachmodell — erzeugt die Antworten des Avatars aus deinen Text-/Sprachnachrichten (USA).
Sprachsynthese — erzeugt aus den Antworten die gesprochene Stimme (USA).
Echtzeit-Avatar-Rendering — erzeugt das Live-Videobild des Avatars und stellt die Echtzeit-Verbindung (WebRTC) her.
Video-Konferenz-Infrastruktur — stellt bei Video-Räumen (z.B. Klassenzimmer-Funktion und Live-Einladungen) die Audio-/Video-Verbindung zwischen den Teilnehmern her.
Web-Recherche — führt bei aktivierter Live-Recherche Web-Suchanfragen zu deiner Frage aus (USA).
Video-Erzeugung — erzeugt bei der Video-Avatar-Ausgabe (Lippensynchronisation zum gesprochenen Text) das animierte Videobild (USA).

Die vollständige, stets aktuelle Liste unserer Unterauftragsverarbeiter mit Firmennamen und Sitz stellen wir Geschäftskunden in unserer Auftragsverarbeitungsvereinbarung (AVV) zur Verfügung.

Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Wir nutzen Gesprächsinhalte nicht zu Werbezwecken. Bitte sprich in Gesprächen keine besonders sensiblen Daten ein (z.B. Gesundheitsdaten), soweit das für deine Nutzung nicht erforderlich ist.

5a. Live-Modus: du selbst hinter deinem Avatar (Studio und Live-Einladungen)

Im Live-Modus (Studio-Funktion und Live-Einladungen) sprichst du als Gastgeber selbst hinter deinem Avatar: Dein Kamerabild wird dafür während der Sitzung fortlaufend und in Echtzeit an unseren Render-Partner Decart AI, Inc. (USA) übertragen, der daraus das Avatar-Bild erzeugt. Deine Zuschauer sehen ausschliesslich den fertigen Avatar, nie dein Kamerabild. Wir selbst speichern dein Kamerabild nicht; eine Aufnahme der Sitzung entsteht nur, wenn du sie im Studio ausdrücklich selbst startest (Speicherung dann unter „Meine Videos", Supabase, EU).

Du startest diese Übertragung aktiv selbst („Live gehen"); ein entsprechender Hinweis wird dir vor dem Start angezeigt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework (Art. 46 DSGVO). Das Kamerabild wird ausschliesslich zur Echtzeit-Umwandlung in den Avatar verwendet, nicht zur Identifizierung und nicht zum Training.

Gäste einer Live-Einladung benötigen kein Konto; ihr Mikrofon wird nur nach eigenem Klick aktiviert und über LiveKit an den Gastgeber übertragen. Zur Missbrauchs- und Abrechnungssicherheit protokollieren wir bei Einladungs-Räumen technische Ereignisse (Beitritt/Verlassen mit Zeitpunkt und technischer Kennung, ohne Gesprächsinhalte) — Rechtsgrundlage ist unser berechtigtes Interesse an sicherem Betrieb und Abrechnungsnachweis (Art. 6 Abs. 1 lit. f DSGVO). Nutzt ein Gast die Funktion „Problem melden", speichern wir den von ihm eingegebenen Meldetext in diesem Protokoll und leiten ihn an den Betreiber weiter, um dem Hinweis nachgehen zu können.

6. Hochgeladene Bilder, Stimmen und eigene Avatare

Lädst du ein Foto hoch, um daraus einen Avatar zu erstellen, oder eine Sprachaufnahme, um eine eigene Stimme anzulegen, werden Gesicht bzw. Stimme (besonders schützenswerte Daten) zur Erzeugung verarbeitet. Rechtsgrundlage ist deine ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a i.V.m. Art. 6 Abs. 1 lit. a DSGVO), die du beim Hochladen gesondert bestätigst — du erklärst dabei, dass du die abgebildete bzw. sprechende Person bist oder deren ausdrückliche Einwilligung besitzt. Diese Erklärung protokollieren wir als Nachweis (Zeitpunkt, Konto, bestätigter Wortlaut). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du den Avatar bzw. die Stimme löschst; auf Anfrage an kontakt@kibos.space löschen wir hochgeladene Bilder, Aufnahmen und daraus erstellte Avatare/Stimmen ebenfalls.

6a. Gedächtnis-Funktion (persönliche Merkliste)

Für eingeloggte Nutzer führt der Avatar eine kurze Merkliste mit Angaben aus deinen Gesprächen (z.B. Name, Interessen, laufende Themen), damit Folgegespräche persönlicher werden. Diese Merkliste wird in unserer Datenbank (Supabase, EU) gespeichert, nicht zu Werbezwecken genutzt und bei Löschung deines Kontos automatisch mitgelöscht; auf Anfrage an kontakt@kibos.space löschen wir sie auch vorab. Gespräche von Gästen ohne Konto werden nicht dauerhaft gespeichert. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

7. Zahlungen

Zahlungen werden über Stripe Payments Europe, Ltd. (Irland) abgewickelt. Deine Kartendaten werden direkt bei Stripe eingegeben und verarbeitet — wir erhalten keine vollständigen Zahlungsdaten, sondern nur Bestätigung, Betrag und eine Referenz. Bei bezahlten Einladungen speichern wir zusätzlich die beim Bezahlvorgang angegebene E-Mail-Adresse des Gastes als Zahlungsbeleg und für den Support (z.B. Erstattungen). Rechtsgrundlagen sind Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Aufbewahrungspflichten (Art. 6 Abs. 1 lit. c DSGVO).

8. Cookies und lokale Speicherung

Wir setzen keine Werbe- oder Tracking-Cookies ein. Zur Anmeldung verwenden wir ausschliesslich technisch notwendige Cookies bzw. Einträge im lokalen Speicher deines Browsers (Login-Token, Sitzungsdaten). Da diese für den Betrieb des Dienstes erforderlich sind (Art. 6 Abs. 1 lit. b DSGVO), ist weder eine Einwilligung noch ein Cookie-Banner nötig.

9. Fehlerdiagnose und Sicherheit

Zur Erkennung technischer Fehler und zur Abwehr von Missbrauch (z.B. Ratenbegrenzung) verarbeiten wir Server-Logs mit IP-Adresse und Zeitpunkt sowie Fehlerberichte. Diese werden in unserer eigenen Fehlererfassung (Datenbank bei Supabase, EU) gespeichert und dem Betreiber gemeldet; personenbezogene Angaben werden dabei so weit wie möglich normalisiert/entfernt. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist: Kontodaten bis zur Löschung des Kontos, Abrechnungs- und Rechnungsdaten gemäss den gesetzlichen Fristen (bis zu 10 Jahre), technische Logs und temporäre Gesprächsdaten deutlich kürzer.

11. Deine Rechte

Du hast gegenüber uns folgende Rechte hinsichtlich deiner personenbezogenen Daten:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)

Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Ausserdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Für den Anbieter (Sitz Schweiz) ist dies der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB), Feldeggweg 1, 3003 Bern. Personen mit Wohnsitz in der EU/EWR können sich zusätzlich an die Datenschutz-Aufsichtsbehörde ihres Wohnorts wenden (Art. 77 DSGVO).

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung.