Datenschutzerklärung – sembrelio.com

Stand: 22.10.2026 · Version 0.2

1. Verantwortliche

Betrieb von sembrelio.com (Abschnitte 3.1 bis 3.4 und 3.6 bis 3.8): Verantwortlich ist

Thomas Hilbig
Georg-Bauschmann-Straße 5
61169 Friedberg
E-Mail: contact@sembrelio.com

Forschung im Rahmen der Masterarbeit (Abschnitte 3.5 und 3.9): Die Masterarbeit wird von einem Team aus drei Studierenden der Frankfurt School of Finance & Management verfasst. Für die Verarbeitung zu Forschungszwecken sind Thomas Hilbig, Faith Katingi und Ekaterina Kuznetsova gemeinsam verantwortlich (Art. 26 DSGVO). Gemeinsame Anschrift: c/o Thomas Hilbig, Georg-Bauschmann-Straße 5, 61169 Friedberg. In einer Vereinbarung haben wir festgelegt, wer welche Pflichten nach der DSGVO erfüllt. Ansprechpartner für alle Anfragen ist Thomas Hilbig (contact@sembrelio.com). Sie können Ihre Rechte aber auch gegenüber jedem der Verantwortlichen geltend machen. Das Wesentliche der Vereinbarung stellen wir Ihnen auf Anfrage zur Verfügung.

Die beiden weiteren Teammitglieder können beim Betrieb der Plattform Zugriff auf die Daten erhalten. Sie handeln dabei nach den Weisungen von Thomas Hilbig und sind zur Vertraulichkeit verpflichtet. Die Frankfurt School of Finance & Management erhält die Masterarbeit zur Begutachtung. Diese enthält nur zusammengefasste oder nicht identifizierbare Ergebnisse.

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht dazu besteht.

2. Worum es bei Sembrelio geht

Sembrelio ist ein Forschungsprototyp, der im Rahmen einer Masterarbeit an der Frankfurt School of Finance & Management entwickelt wird. Er untersucht, wie KI-Dienste Unternehmen beschreiben. Unternehmen können eine kostenlose Auswertung anfordern. Dafür füllen sie einen Fragebogen aus, wir analysieren die Website des Unternehmens und stellen einem KI-Dienst Fragen zum Unternehmen und zu seiner Branche. Das Ergebnis erhält das Unternehmen als Bericht.

Wir verarbeiten so wenige personenbezogene Daten wie möglich. Die meisten Daten betreffen das Unternehmen, nicht Personen. Personenbezug entsteht vor allem durch Ihre Kontodaten, durch Namen von Inhabern oder Geschäftsführern und bei Einzelunternehmen, deren Unternehmensdaten zugleich personenbezogene Daten sind.

3. Welche Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage

3.1 Aufruf der Website

Beim Aufruf der Website verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Das ist erforderlich, um die Website auszuliefern und vor Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die Server-Protokolle werden nach höchstens sieben Tagen automatisch gelöscht, es sei denn, ihre weitere Aufbewahrung ist zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich.

Wir setzen keine Analyse-, Tracking- oder Werbewerkzeuge ein. Schriften werden von unserem eigenen Server geladen. Es werden keine Inhalte von Drittanbietern eingebunden.

3.2 Cookies

Wir verwenden nur technisch notwendige Cookies:

• ein Sitzungs-Cookie, damit Sie nach der Anmeldung angemeldet bleiben
• ein Cookie, das Ihre gewählte Sprache speichert

Diese Cookies sind für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig. Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO.

3.3 Registrierung und Benutzerkonto

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse, Ihr Passwort (nur verschlüsselt als Hash gespeichert), Ihre Sprachwahl sowie Zeitpunkte von Registrierung, Bestätigung und Anmeldung. Ihre E-Mail-Adresse bestätigen Sie über einen Link (Double-Opt-in). Wir benötigen diese Daten, um Ihr Konto bereitzustellen und Ihnen Ihre Ergebnisse zugänglich zu machen. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Die Anmeldung im Admin-Bereich ist zusätzlich durch einen zweiten Faktor geschützt.

Vor der ersten Auswertung speichern wir, wann Sie den Nutzungsbedingungen zugestimmt, diese Datenschutzerklärung zur Kenntnis genommen und bestätigt haben, als Unternehmer zu handeln, jeweils mit der Version des Textes. Diese Nachweise bewahren wir auch nach Löschung Ihres Kontos ohne Ihre E-Mail-Adresse auf (Abschnitt 7).

3.4 Fragebogen und Auswertung

Für die Auswertung verarbeiten wir:

• Ihre Angaben im Pflichtteil des Fragebogens: Name, Branche, Standort, Leistungen und Website des Unternehmens, Telefonnummer, optional die Anschrift, Namen von Wettbewerbern sowie weitere Fakten zum Unternehmen. Dazu speichern wir Beginn und Abschluss des Fragebogens.
• Inhalte der Website des Unternehmens: Unser Crawler „SembrelioBot“ ruft öffentlich zugängliche Seiten der angegebenen Website ab. Er beachtet die robots.txt und ruft höchstens 30 Seiten ab. Aus den Seiten werden Fakten über das Unternehmen mit wörtlichem Beleg extrahiert. Namen von Personen übernehmen wir nur, wenn es sich um Inhaber, Geschäftsführer oder gesetzliche Vertreter handelt.
• Fragen an einen KI-Dienst und dessen Antworten: Wir stellen dem KI-Dienst von OpenAI 20 Fragen. Zehn davon nennen das Unternehmen beim Namen, zehn fragen allgemein nach Anbietern der Branche in der Region. Wir speichern die Antworten mit den angegebenen Quellen.
• Analyseergebnisse: Aussagen in den Antworten, ihre Bewertung als richtig, falsch oder nicht prüfbar, Nennungen des Unternehmens und anderer Anbieter sowie daraus berechnete Kennzahlen.

Zweck ist die Erstellung Ihres Berichts. Rechtsgrundlage ist die Durchführung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO). Vor der Freigabe prüft ein Mensch jeden Bericht.

Die Bewertungen werden teilweise automatisiert mit KI erstellt. Es findet keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Der Bericht ist eine Einschätzung und hat keine rechtliche oder ähnlich erhebliche Wirkung für Sie.

Für Daten von Personen, die Sembrelio nicht selbst nutzen, gilt Abschnitt 3.8.

3.5 Forschung

Mit Ihrer gesonderten Einwilligung verwenden wir Ihre Angaben und Ergebnisse zusätzlich für die Masterarbeit. Dazu gehören auch die Antworten im optionalen Forschungsteil des Fragebogens. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist freiwillig. Ihre Auswertung und Ihren Bericht erhalten Sie auch ohne sie.

• Für die Auswertung wird jeder Fall mit einem Code (z. B. C001) pseudonymisiert.
• Zur Prüfung der automatisierten Bewertung bewertet ein Teammitglied einzelne Aussagen aus den KI-Antworten unabhängig ein zweites Mal. Dafür erhält es eine Datei mit diesen Antworten. Sie kann den Namen Ihres Unternehmens enthalten. Die Datei wird nach Abschluss der Bewertung gelöscht.
• Auswertungsdateien, die wir aus dem System erzeugen, werden nach 14 Tagen automatisch gelöscht.
• In der Masterarbeit und in anderen Veröffentlichungen erscheinen Ergebnisse nur zusammengefasst oder so beschrieben, dass das Unternehmen nicht erkennbar ist.
• Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, im Konto oder per E-Mail an contact@sembrelio.com. Danach nehmen wir keine neuen Forschungsantworten mehr an und schließen Ihre Daten von künftigen Auswertungen und Exporten aus. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

3.6 E-Mails

Wir senden Ihnen E-Mails zur Bestätigung Ihrer Adresse, zum Zurücksetzen des Passworts und zur Benachrichtigung, wenn Ihr Bericht bereitsteht. Werbe-E-Mails versenden wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

3.7 Kontakt

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Adresse und den Inhalt Ihrer Nachricht, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn sich die Anfrage auf Ihre Nutzung bezieht, sonst unser berechtigtes Interesse an der Beantwortung (Art. 6 Abs. 1 lit. f DSGVO).

E-Mails an Adressen unter sembrelio.com werden über Namecheap an ein Postfach bei Gmail weitergeleitet. Anbieter von Gmail ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet diese E-Mails als eigener Verantwortlicher nach seinen Datenschutzbestimmungen (https://policies.google.com/privacy). Ein Vertrag zur Auftragsverarbeitung besteht nicht. Google kann Daten in die USA übermitteln; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Rechtsgrundlage für die Weiterleitung ist unser berechtigtes Interesse an einer einfachen und zuverlässigen Bearbeitung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Wenn Sie nicht möchten, dass Ihre Nachricht an Google gelangt, können Sie uns per Post an die Anschrift in Abschnitt 1 schreiben.

3.8 Daten von Personen, die Sembrelio nicht selbst nutzen

Bei der Erstellung eines Berichts können wir personenbezogene Daten von Personen verarbeiten, die Sembrelio nicht selbst nutzen:

• Namen von Inhabern, Geschäftsführern oder gesetzlichen Vertretern des bewerteten Unternehmens, wenn sie auf dessen Website genannt sind,
• Namen und Angaben zu Wettbewerbern, die im Fragebogen genannt werden,
• Namen und Angaben zu anderen Anbietern, die in den Antworten des KI-Dienstes genannt werden.

Bei Einzelunternehmen und Personengesellschaften sind Unternehmensangaben zugleich personenbezogene Daten.

Quellen sind die Website des bewerteten Unternehmens, die Angaben des Nutzers im Fragebogen und die Antworten des KI-Dienstes, die auf öffentlich zugänglichen Quellen beruhen. Wir verarbeiten nur geschäftliche Angaben, keine besonderen Kategorien personenbezogener Daten.

Zweck ist die Erstellung des Berichts, insbesondere der Vergleich mit anderen Anbietern. Rechtsgrundlage ist unser berechtigtes Interesse und das berechtigte Interesse des Nutzers, die Darstellung von Unternehmen in KI-Diensten zu messen und mit dem Wettbewerb zu vergleichen (Art. 6 Abs. 1 lit. f DSGVO). Die Daten sind nur für den jeweiligen Nutzer und für uns sichtbar. In der Masterarbeit und anderen Veröffentlichungen erscheinen keine Namen.

Empfänger sind die in Abschnitt 4 und 5 genannten Dienstleister. Die Speicherdauer richtet sich nach Abschnitt 7.

Eine Benachrichtigung jeder einzelnen Person wäre mit einem unverhältnismäßigen Aufwand verbunden, da uns ihre Kontaktdaten in der Regel nicht vorliegen (Art. 14 Abs. 5 lit. b DSGVO). Wir stellen diese Informationen daher öffentlich in dieser Datenschutzerklärung bereit. Betroffene Personen haben die in Abschnitt 8 genannten Rechte, insbesondere das Recht, der Verarbeitung zu widersprechen (Art. 21 DSGVO).

3.9 Ansprache von Unternehmen für Interviews und Teilstudien

Für die Masterarbeit sprechen wir ausgewählte Unternehmen an und bitten sie um ein Interview oder um die Teilnahme an einer Teilstudie, zum Beispiel an einer Auswertung auf sembrelio.com. Dafür führen wir eine Liste von Unternehmen.

Daten: Firmenname, Anschrift, Website, Branche und Marktsegment, Mitarbeiterzahl und Eigentümerstruktur, Namen der Geschäftsführung laut Impressum, allgemeine Telefonnummer und allgemeine E-Mail-Adresse des Unternehmens, Datum und Weg unserer Kontaktaufnahmen und Ihre Antwort. Außerdem vermerken wir, ob das Unternehmen in der Antwort von ChatGPT auf eine einmalige, allgemeine Frage nach Herstellern seiner Branche genannt wurde. Diese Frage enthielt keine Unternehmensnamen und keine personenbezogenen Daten. Persönliche E-Mail-Adressen oder Durchwahlen ermitteln wir nicht.

Quellen: Impressum und Website des Unternehmens, öffentliche Register und Wirtschaftsdatenbanken (zum Beispiel Handelsregister, North Data) sowie die genannte Antwort von ChatGPT.

Zweck und Rechtsgrundlage: Auswahl und Ansprache von Unternehmen für Interviews und Teilstudien der Masterarbeit. Rechtsgrundlage ist unser berechtigtes Interesse an der Durchführung eines wissenschaftlichen Forschungsprojekts und an der Gewinnung von Gesprächspartnern (Art. 6 Abs. 1 lit. f DSGVO). Wir nutzen nur geschäftliche Angaben, die das Unternehmen selbst veröffentlicht hat, und nur die offiziellen Kontaktwege des Unternehmens. Die Ansprache dient nicht der Werbung.

Kontaktwege: Brief, E-Mail an die allgemeine Adresse, Telefon über die Zentrale und eine Nachricht über LinkedIn. Wir kontaktieren ein Unternehmen höchstens viermal innerhalb von zwei Wochen und danach nicht mehr, wenn keine Antwort kommt.

Empfänger: die Mitglieder des Forschungsteams (Abschnitt 1) sowie die in Abschnitt 5 genannten Dienstleister, soweit sie für E-Mail und Speicherung genutzt werden. Wenn Sie über den Link im Brief einen Termin buchen, verarbeitet Google die von Ihnen eingegebenen Daten für die Terminbuchung (Google Kalender) in eigener Verantwortung. Nachrichten über LinkedIn verarbeitet LinkedIn in eigener Verantwortung. Die Liste wird in einem geteilten Ordner in Google Drive gespeichert, der einem Mitglied des Forschungsteams gehört; Zugriff haben nur die Mitglieder des Forschungsteams. Google verarbeitet die Daten dabei in eigener Verantwortung.

Speicherdauer: Wir löschen die Daten spätestens am 31. März 2027. Wenn Sie widersprechen oder nicht teilnehmen möchten, löschen wir Ihre Daten sofort. Wir behalten dann nur den Firmennamen mit dem Vermerk „kein Kontakt“, damit wir Sie nicht erneut ansprechen. Auch dieser Vermerk wird spätestens am 31. März 2027 gelöscht.

Ihre Rechte: Sie haben die in Abschnitt 8 genannten Rechte, insbesondere das Recht, der Verarbeitung jederzeit zu widersprechen (Art. 21 DSGVO). Eine formlose Nachricht an contact@sembrelio.com genügt. Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Bei einer Teilnahme: Für Interviews erhalten Sie vorab eine eigene Information und werden um Ihre Einwilligung gebeten, auch zur Aufzeichnung. Für eine Auswertung auf sembrelio.com gelten die übrigen Abschnitte dieser Datenschutzerklärung.

4. Einsatz von KI-Diensten

Wir setzen zwei KI-Dienste über deren Programmierschnittstellen (APIs) ein:

Ihre Kontodaten (E-Mail-Adresse, Passwort) und Ihre Antworten im Forschungsteil übermitteln wir nicht an KI-Dienste.

Wir nutzen ausschließlich kostenpflichtige API-Zugänge. Nach den Bedingungen beider Anbieter werden über die API übermittelte Daten nicht zum Training ihrer Modelle verwendet. Die Anbieter speichern Ein- und Ausgaben für begrenzte Zeit zur Erkennung von Missbrauch.

5. Empfänger und Auftragsverarbeiter

Wir setzen folgende Dienstleister als Auftragsverarbeiter ein. Mit allen besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Google (Gmail, Google Kalender, Google Drive) ist kein Auftragsverarbeiter, sondern verarbeitet Daten in eigener Verantwortung (Abschnitte 3.7 und 3.9). Eine Weitergabe an andere Dritte findet nicht statt, außer wir sind gesetzlich dazu verpflichtet oder es ist in dieser Datenschutzerklärung beschrieben.

6. Übermittlung in Drittländer

Einige Anbieter haben ihren Sitz außerhalb der EU oder können Daten dort verarbeiten. Die Übermittlung stützt sich je Anbieter auf folgende Grundlage:

Brevo verarbeitet Daten ausschließlich in der EU. Ob ein Unternehmen unter dem EU-US Data Privacy Framework zertifiziert ist, können Sie unter www.dataprivacyframework.gov prüfen. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage an contact@sembrelio.com.

7. Speicherdauer

Der Dienst wird spätestens am 31. März 2027 eingestellt. Wir informieren registrierte Nutzer vorher per E-Mail, damit sie ihre Berichte speichern können. Danach löschen wir alle Konten und Auswertungsdaten, spätestens drei Monate nach der Einstellung. Pseudonymisierte Forschungsdaten, für die eine Einwilligung vorliegt, bewahren wir nur wie oben angegeben auf.

Wenn Sie die Löschung verlangen, löschen wir die Daten Ihres Falls vollständig, einschließlich gespeicherter Dateien. Die Löschung wird protokolliert. Kosten- und Nutzungsdaten der KI-Abfragen ohne Inhalt bleiben zu Abrechnungszwecken erhalten.

8. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen, die auf unserem berechtigten Interesse beruhen (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wenden Sie sich dafür an contact@sembrelio.com.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 31 63, 65021 Wiesbaden
https://datenschutz.hessen.de

9. Pflicht zur Bereitstellung

Die Angaben im Pflichtteil des Fragebogens sind für die Auswertung erforderlich. Ohne sie können wir keinen Bericht erstellen. Der Forschungsteil ist freiwillig. Wenn Sie ihn nicht ausfüllen, hat das keine Nachteile für Ihre Auswertung.

10. Datensicherheit

Die Verbindung zur Website ist verschlüsselt (TLS). Der Zugriff auf Daten ist auf Datenbankebene je Fall beschränkt. Unternehmen sehen nur ihren eigenen, freigegebenen Bericht. Messdaten können nachträglich nicht verändert werden. Der Admin-Zugang und alle Admin-Funktionen sind mit einem zweiten Faktor geschützt.

11. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Die deutsche Fassung ist verbindlich. Die englische Fassung ist eine Übersetzung zur Information. Im Zweifel gilt die deutsche Fassung.