# Datenschutzerklärung Stand: 2026-11-06 · Quelle: Stand: November 2026 ## 1. Verantwortlicher GRETUS Software UG (haftungsbeschränkt), Telgter Str. 16, 48324 Sendenhorst, vertreten durch Florian Schneider. E-Mail: support@gretus.de. ## 2. Was GRETUS® ist GRETUS ist ein KI-Assistent für Unternehmen. Kundinnen und Kunden nutzen ihn, um Fragen zu beantworten, ihre Kunden, Vorgänge und Aufgaben zu führen, Aufgaben in verbundenen Diensten zu erledigen und eigene Assistenten mit festen Aufgaben einzusetzen. Für die Inhalte, die Kunden in GRETUS verarbeiten, sind wir Auftragsverarbeiter (siehe [Auftragsverarbeitungsvertrag](/rechtliches/avv)). Für Website, Konto, Abrechnung und Betrieb sind wir Verantwortliche. ## 3. Welche Daten wir verarbeiten - **Konto:** Name, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Passkeys und Sicherheitseinstellungen. - **Abrechnung:** Rechnungsanschrift, Umsatzsteuer-ID und Zahlungsdaten. Zahlungsdaten verarbeitet ausschließlich Stripe; wir sehen sie nicht. - **KI-Schlüssel:** die Schlüssel, die der Kunde optional für einen eigenen KI-Anbieter hinterlegt. Wir speichern sie verschlüsselt und zeigen sie nach dem Speichern nie wieder an. - **KI-Nutzung:** jede Nutzung der inklusiven KI (Zeitpunkt, Person, Art der Nutzung, Modell, geschätzte Kosten), um das Kontingent einer Firma im laufenden Monat zu berechnen. Inhalte speichern wir dafür nicht. - **Inhalte:** Nachrichten, Gesprächsverläufe, Gedächtnis-Einträge, Dokumente der Wissensdatenbank, Aufgaben und Ergebnisse von Assistenten, Ergebnisse aus verbundenen Diensten. - **Kundenverwaltung:** Kontakte, Firmen, Vorgänge, Aufgaben, Notizen und Gesprächsprotokolle sowie Angebote mit Positionen und PDF, also personenbezogene Daten der Kunden, Interessenten und Geschäftspartner unserer Kunden. Dazu der Verlauf, wer wann welchen Eintrag angelegt oder geändert hat. Auch dafür sind wir Auftragsverarbeiter. - **Protokoll:** Welche Aufgaben GRETUS erledigt hat, Freigaben und Ablehnungen, Änderungen an Kontakten, Vorgängen und Angeboten durch GRETUS, Änderungen an Integrationen, KI-Schlüsseln und Datenschutz-Einstellungen. - **Support:** Anfragen aus dem Hilfe-Bereich mit Betreff, Nachricht und Kategorie. - **Demo-Anfragen:** Name, Firma, E-Mail-Adresse, optional Telefonnummer und Nachricht aus dem Formular auf der Website. - **Team:** Wer zu welcher Firma gehört, Rollen und Einladungen (E-Mail-Adresse der eingeladenen Person). - **Technisch:** IP-Adresse, Zeitpunkt und Art von Anfragen in Server-Protokollen. ## 4. Zwecke und Rechtsgrundlagen - Bereitstellung des Dienstes und Erfüllung des Vertrags (Art. 6 Abs. 1 lit. b DSGVO). - Beantwortung von Support- und Demo-Anfragen sowie Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO). - Abrechnung und gesetzliche Aufbewahrung (Art. 6 Abs. 1 lit. b und c DSGVO). - Sicherheit, Missbrauchsabwehr und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Wir verwenden Inhalte nicht zum Training eigener oder fremder KI-Modelle. ## 5. Künstliche Intelligenz Ohne eigenen Schlüssel arbeitet GRETUS mit der inklusiven KI über Mistral AI SAS, Paris (Sitz in Frankreich, Speicherung in der EU). Mistral AI ist dafür unser Unterauftragsverarbeiter. Das gilt für Antworten und Aufgaben, die Wissensdatenbank, die Websuche und die Sprachfunktionen. Wie viel davon eine Firma im Monat nutzt, zählen wir für ihr Kontingent; Inhalte speichern wir dafür nicht. Optional hinterlegt der Kunde in den Einstellungen einen eigenen Schlüssel für einen KI-Anbieter: Mistral AI (Sitz in Frankreich, Speicherung in der EU) oder Google, Anthropic oder OpenAI (Verarbeitung auch in den USA). Dafür schließt der Kunde einen eigenen Vertrag mit dem Anbieter und zahlt ihn dort direkt. Wählt der Kunde einen Anbieter außerhalb der EU, zeigt GRETUS vorher einen Hinweis. In beiden Fällen übermittelt GRETUS dem Anbieter die Inhalte, die für eine Antwort oder Aufgabe nötig sind, auch Einträge aus der Kundenverwaltung, soweit sie dafür nötig sind. Einträge der Kundenverwaltung werden nicht für die Suche der Wissensdatenbank aufbereitet und gehen deshalb nicht an deren Anbieter. Die Websuche läuft über den Anbieter, mit dem GRETUS gerade arbeitet: über Mistral AI bei der inklusiven KI oder einem eigenen Mistral-Schlüssel, sonst über die Websuche des gewählten Anbieters (Google, Anthropic oder OpenAI). Für die Wissensdatenbank nutzt GRETUS je Firma einen Anbieter: den ersten mit eigenem Schlüssel in der Reihenfolge Mistral AI, Google, OpenAI, sonst die inklusive KI. Welcher das ist, steht in den Einstellungen unter KI. ## 6. Verbundene Dienste Verbindet ein Kunde eigene Dienste, etwa sein E-Mail-Postfach, Microsoft 365, Google Kalender, iCloud-Kalender, seine Buchhaltung bei Lexware Office oder sevDesk oder Integrationen wie Notion und Shopify, überträgt GRETUS Daten dorthin und ruft Daten von dort ab, soweit der Kunde das veranlasst. Dafür gelten die Verträge zwischen dem Kunden und dem jeweiligen Anbieter. Aktionen mit Außenwirkung, etwa das Senden einer Nachricht, führt GRETUS nur nach Freigabe aus, sofern der Kunde nichts anderes einstellt. Startet ein Assistent bei neuen E-Mails, prüft GRETUS das verbundene Postfach alle paar Minuten auf neue Nachrichten. Ist festgelegt, bei welchen Mails der Assistent starten soll, übermittelt GRETUS Absender, Betreff und den Anfang des Textes einer neuen Mail an die KI, um das zu prüfen. Absender und Betreff neuer Mails speichern wir dafür 30 Tage. Den Inhalt der passenden Mails bekommt der Assistent für seinen Lauf. Ist „Antwort nötig“ eingeschaltet (Standard, abschaltbar in den Einstellungen), prüft GRETUS die verbundenen Postfächer etwa alle zwei Minuten auf neue Nachrichten und übermittelt von neuen Mails, die nicht schon nach festen Regeln ausscheiden (etwa Newsletter oder automatische Mails), Absender, Betreff, Datum und den Anfang des Textes an die KI, um zu erkennen, ob eine Antwort nötig ist. Gespeichert werden nur Absender, Betreff und ein kurzer Grund, nicht der Mailtext, und zwar 30 Tage; das gilt auch für die Mitteilungen dazu. Schaltet der Kunde einen Absender mit „Nicht wichtig“ stumm, speichern wir dessen Adresse oder Domain, bis der Kunde die Stummschaltung aufhebt oder sein Konto löscht. Einen Antwortentwurf erstellt GRETUS nur auf Anforderung des Kunden; dafür erhält die KI die betreffende Mail. Aus dem verbundenen Postfach legt GRETUS auf Wunsch Vorgänge aus Anfragen an. Dafür speichert GRETUS Absender, Betreff und den Anfang des Mailtextes (gekürzt) als Notiz am Vorgang. Angebote sendet GRETUS nach Freigabe als PDF-Anhang über das verbundene Postfach des Kunden; die Mail liegt danach in dessen Ordner „Gesendet“. Aus Lexware Office und sevDesk liest GRETUS auf Anfrage des Kunden oder eines von ihm eingerichteten Assistenten Rechnungen, Positionen und Kontakte mit Namen, Kundennummern und E-Mail-Adressen. Diese Daten übermittelt GRETUS an die KI (inklusive KI oder vom Kunden gewählter KI-Anbieter), soweit sie für die Antwort oder Aufgabe nötig sind. Nach Freigabe übergibt GRETUS ein angenommenes Angebot als Entwurf an die Buchhaltung, als Rechnungsentwurf oder bei Lexware Office auch als Angebot. Dafür überträgt GRETUS Name, Anschrift, E-Mail-Adresse und Ansprechpartner des Empfängers sowie die Positionen und legt den Empfänger dort bei Bedarf als Kontakt an. Rechnungen stellt GRETUS nicht aus; festschreiben und versenden tut der Kunde in seiner Buchhaltung. Sonst ändert GRETUS dort nichts. Den API-Schlüssel des Kunden speichern wir verschlüsselt. ## 7. Empfänger und Unterauftragsverarbeiter Wir setzen Dienstleister für Betrieb, die inklusive KI samt Sprachfunktionen, Zahlung und E-Mail-Versand ein. Die aktuelle Liste steht unter [Unterauftragsverarbeiter](/rechtliches/unterauftragsverarbeiter). Mitteilungen aufs Gerät (Push) laufen über den Push-Dienst des jeweiligen Browsers oder Betriebssystems, etwa Apple, Google oder Mozilla. Die Inhalte sind dabei verschlüsselt; der Push-Dienst erhält nur eine technische Kennung des Geräts. ## 8. Drittlandübermittlung Soweit Dienstleister Daten außerhalb der EU verarbeiten, geschieht das auf Grundlage von Angemessenheitsbeschlüssen (z. B. EU-US Data Privacy Framework) oder Standardvertragsklauseln. ## 9. Cookies und Website Wir setzen nur technisch notwendige Cookies und Speicher im Browser ein: für die Anmeldung, zum Schutz vor gefälschten Anfragen und für Einstellungen wie die Darstellung (hell oder dunkel). Rechtsgrundlage ist § 25 Abs. 2 TDDDG. Wir nutzen keine Analyse- oder Werbe-Cookies und keine Tracking-Dienste. Schriften und Bilder liefern wir von unseren eigenen Servern aus. ## 10. Speicherdauer Inhalte speichern wir, solange das Konto besteht. Einträge der Kundenverwaltung gehören der Firma: Wir speichern sie, bis die Firma sie löscht oder der Vertrag endet; löscht ein Mitglied sein Konto, bleiben sie bei der Firma. Gesprächsverläufe können Namen von Kontakten enthalten und folgen der eingestellten Aufbewahrung. Kunden können eine automatische Löschung von Gesprächen und Nachrichten nach 30 bis 365 Tagen einstellen. Meldungen, mit denen GRETUS sich von selbst meldet, einschließlich der Erinnerungen an Aufgaben, löschen wir 90 Tage nach ihrer Fälligkeit, Protokolleinträge und Support-Anfragen nach 24 Monaten. Einladungen ins Team samt E-Mail-Adresse löschen wir 90 Tage nach ihrer Annahme oder ihrem Ablauf, verlässt die Person das Team oder löscht ihr Konto, sofort. Nach Vertragsende, also nach dem Ende der Testphase oder des Abos, löschen wir alle Kundendaten innerhalb von 30 Tagen und kündigen das eine Woche vorher per E-Mail an. Abrechnungsdaten bewahren wir nach den gesetzlichen Fristen auf (bis zu zehn Jahre). Demo-Anfragen löschen wir, wenn kein Vertrag zustande kommt, spätestens nach zwölf Monaten. Angeforderte Datenexporte löschen wir 24 Stunden nach ihrer Erstellung. Einträge zur Nutzung der inklusiven KI löschen wir nach drei Monaten, Absender und Betreff neuer E-Mails für Assistenten mit Mail-Auslöser und für „Antwort nötig“ nach 30 Tagen. ## 11. Deine Rechte Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Einen vollständigen Datenexport kannst du jederzeit unter Einstellungen → Datenschutz anfordern; den Link zum Herunterladen schicken wir dir per E-Mail. Dort löschst du auch dein Konto selbst; als Inhaber einer Firma löschst du dabei die ganze Firma. Für alle Fragen zum Datenschutz schreib an support@gretus.de. Bist du Kunde, Interessent oder Ansprechpartner einer Firma, die GRETUS nutzt, und geht es um deine Daten in deren Kundenverwaltung, wende dich an diese Firma. Sie ist dafür verantwortlich; wir unterstützen sie dabei. Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen. ## 12. Sicherheit Verbindungen sind verschlüsselt (TLS). KI-Schlüssel und Zugangsdaten für Integrationen, E-Mail-Postfächer und Buchhaltungsprogramme speichern wir verschlüsselt und geben sie nie an den Browser zurück. Jede Aktion von GRETUS steht im Protokoll. Anlegen, Ändern und Löschen von Einträgen der Kundenverwaltung führt GRETUS nur nach Freigabe aus, auch bei selbstständig handelnden Assistenten.