Datenschutzerklärung

Gültig ab: 19. August 2026

Concerto Labs (das „Unternehmen") betreibt The CEO Staff (den „Dienst", einschließlich der Website theceostaff.com und der Desktop-App für macOS und Windows) unter Einhaltung des koreanischen Personal Information Protection Act („PIPA") und weiterer geltender Gesetze. Um personenbezogene Daten rechtmäßig zu verarbeiten und sicher zu verwalten, erstellt und veröffentlicht das Unternehmen diese Datenschutzerklärung gemäß Artikel 30 PIPA.

The CEO Staff ist eine Desktop-App, die während einer Videobesprechung in Echtzeit erkennt, was das Gegenüber sagt, ein vorlesbares Antwortskript bereitstellt und nach Ende der Besprechung einen Zusammenfassungsbericht erstellt. Sie ist derzeit für macOS und Windows verfügbar; der Funktionsumfang kann sich je nach Betriebssystem unterscheiden. Aufgrund seiner Funktionsweise verarbeitet der Dienst potenziell sensible Informationen — Besprechungsaudio und Gesprächsinhalte. Die Grundsätze hierfür legt das Unternehmen gesondert in Artikel 5 dar.

Kurz gefasst

•Besprechungsinhalte — Audio, Transkripte, Berichte, Wissensdatenbank und dergleichen — werden grundsätzlich nur auf Ihrem Gerät gespeichert.

•Eine Ausnahme gilt, wenn Sie die Funktion zum Teilen von Besprechungsprotokollen nutzen: Zusammenfassung, Gesprächsprotokoll und Teilnehmerangaben des betreffenden Protokolls werden dann auf den Servern des Unternehmens gespeichert. Aufzeichnungen gelangen in keinem Fall auf die Server. Wird die Freigabe widerrufen, werden die gespeicherten Inhalte ebenfalls gelöscht (Artikel 5 Abs. 2).

•Das Unternehmen verwendet Ihre Gespräche nicht zum Training von KI-Modellen.

•Das Unternehmen verkauft keine personenbezogenen Daten gegen Entgelt. Auf der Website befindet sich allerdings ein Meta-Pixel zur Messung des Werbeerfolgs; in Regionen mit Einwilligungspflicht arbeitet es nur mit Einwilligung (Artikel 10). Die Desktop-App enthält keinerlei Werbe- oder Tracking-Technologie.

•Teilnehmende über Aufzeichnung und Transkription zu informieren und deren Einwilligung einzuholen, liegt in Ihrer Verantwortung (Artikel 5 Abs. 4).

•Bei kostenpflichtigen Zahlungen speichert das Unternehmen keine vollständigen Kartennummern und keine Kartenprüfnummern; Widerruf und Erstattung richten sich nach der Richtlinie zu Widerruf, Kündigung und Erstattung kostenpflichtiger Dienste.

Artikel 1 (Anwendungsbereich)

① Diese Erklärung gilt für alle folgenden Bereiche.

1. Besuch der Website (theceostaff.com) und Vormerkung für den Betatest
2. Versand und Empfang von Einladungen sowie Registrierung und Anmeldung
3. Nutzung der Desktop-App (macOS und Windows) (Besprechungssitzungen, Wissensdatenbank, Probelauf, Berichte, Teilen von Besprechungsprotokollen usw.)
4. Aufruf des Web-Viewers für geteilte Besprechungsprotokolle (theceostaff.com/r/)
5. Kundenbetreuung und Mitteilungen

② Schließt das Unternehmen mit einem Geschäftskunden einen gesonderten Vertrag und verarbeitet es die personenbezogenen Daten von dessen Beschäftigten nach dessen Weisung, so ist der Geschäftskunde Verantwortlicher und das Unternehmen Auftragsverarbeiter. In diesem Fall geht die Datenschutzerklärung des Geschäftskunden vor.

③ Für externe Websites und Dienste, die aus dem Dienst heraus verlinkt werden, gilt diese Erklärung nicht; bitte prüfen Sie die Richtlinien der jeweiligen Anbieter.

④ Der Dienst kann kostenpflichtige Abonnements mit einer Laufzeit von drei Monaten oder einem Jahr sowie zusätzliche kostenpflichtige Produkte anbieten. Widerruf, Kündigung und Erstattung kostenpflichtiger Dienste richten sich nach der Richtlinie zu Widerruf, Kündigung und Erstattung kostenpflichtiger Dienste.

Artikel 2 (Begriffsbestimmungen)

Die in dieser Erklärung verwendeten Begriffe haben die nachstehende Bedeutung; nicht definierte Begriffe richten sich nach PIPA und den einschlägigen Gesetzen.

1. „Personenbezogene Daten" sind Informationen über eine lebende Person, die diese identifizieren — etwa Name, E-Mail-Adresse oder Stimme —, einschließlich Informationen, die sie in einfacher Kombination mit anderen Informationen identifizierbar machen.
2. „Betroffene Person" ist die durch die verarbeiteten Informationen identifizierbare Person; in dieser Erklärung zählen dazu Nutzerinnen und Nutzer, die den Dienst aufrufen, sich vormerken, registrieren oder ihn nutzen, sowie Dritte, die an einer Besprechung teilnehmen.
3. „Nutzer" ist, wer mit dem Unternehmen einen Nutzungsvertrag geschlossen hat und den Dienst nutzt.
4. „Besprechungsinhalte" sind das bei der Nutzung verarbeitete Audio, dessen Transkript, Übersetzungen, Zusammenfassungen und Berichte sowie die vom Nutzer angelegten Einträge in Wissensdatenbank, FAQ und Memory — also alles, was der Nutzer bereitstellt oder der Dienst erzeugt.
5. „Auftragsverarbeiter" ist, wer vom Unternehmen mit der Verarbeitung personenbezogener Daten betraut ist.
6. „Auslandsübermittlung" ist die Bereitstellung, Auftragsverarbeitung oder Speicherung personenbezogener Daten außerhalb der Republik Korea.

Artikel 3 (Zwecke der Verarbeitung)

Das Unternehmen verarbeitet personenbezogene Daten zu den folgenden Zwecken und nutzt sie zu keinem anderen Zweck. Ändert sich ein Zweck, ergreift das Unternehmen die erforderlichen Maßnahmen, etwa das Einholen einer gesonderten Einwilligung nach Artikel 18 PIPA.

1. Entgegennahme von Betaanmeldungen und Prüfung von Einladungen: Prüfung der Anmeldenden, Eignungsbewertung, Verwaltung der Einladungsreihenfolge, Versand von Einladungs-E-Mails
2. Registrierung und Kontoverwaltung: Identitätsprüfung (E-Mail-Bestätigung), Aufrechterhaltung der Anmeldung, Kontosicherheit, Verhinderung von Mehrfach- und Missbrauchsregistrierungen
3. Betrieb des Einladungsprogramms: Ausstellung, Zustellung und Ablauf von Einladungen, Gewährung und Abrechnung von Prämien (kostenlose Nutzungsguthaben) für Einladende und Beitretende
4. Erbringung des Dienstes: Echtzeit-Spracherkennung, Erstellung von Antwortskripten, Übersetzung und Simultandolmetschen, Zusammenfassungen und Besprechungsberichte, Speicherung und Suche in Wissensdatenbank, FAQ und Memory, Besprechungsprobelauf
5. Teilen von Besprechungsprotokollen: Erzeugung des Web-Freigabelinks für ein vom Nutzer angefordertes Protokoll, Verwaltung der Zugriffsrechte, Versand des Links per E-Mail an Teilnehmende, Abwicklung des Widerrufs einer Freigabe
6. Nutzungsverwaltung: Gewährung, Verbrauch und Verfall kostenloser Nutzungsguthaben
7. Kundenbetreuung und Mitteilungen: Beantwortung von Anfragen, Onboarding-Unterstützung, Versand notwendiger Hinweise wie Störungs- und Richtlinienänderungsmeldungen
8. Verbesserung des Dienstes und Statistik: statistische Auswertungen wie Funktionsnutzung und Fehlerdiagnose (grundsätzlich pseudonymisiert oder aggregiert)
9. Missbrauchsprävention und Rechtsbefolgung: Erkennung von Missbrauch und unrechtmäßigem Guthabenerwerb, Bearbeitung von Streitfällen, Erfüllung gesetzlicher Pflichten
10. Marketingmitteilungen (bei gesonderter Einwilligung): Hinweise zu neuen Funktionen, Veranstaltungen und Aktionen
11. Messung des Werbeerfolgs: Messung des Verhaltens von Nutzern, die über eine Anzeige kommen — Websitebesuche, Downloads und dergleichen —, Auswertung der Werbewirksamkeit und Bildung von Werbezielgruppen
12. Zahlung und Erstattung kostenpflichtiger Dienste: Zahlung für Abonnements und Zusatzprodukte, Verwaltung wiederkehrender Zahlungen, Zahlungsbestätigung, Ausstellung von Belegen, Abwicklung von Widerruf, Kündigung und Erstattung, Verhinderung betrügerischer Zahlungen und Bearbeitung zahlungsbezogener Streitfälle

Artikel 4 (Kategorien verarbeiteter Daten und Erhebung)

① Betaanmeldung (Interessensbekundung)

Eine Anmeldung ist auch ohne die freiwilligen Angaben möglich; für die Einladungsprüfung stehen dann jedoch weniger Informationen zur Verfügung.

② Registrierung und Einladungen

Telefonnummer: wird in internationaler Schreibweise (E.164, ohne Bindestriche) gespeichert und ausschließlich für unerlässliche Kontohinweise sowie zur Identitätsprüfung und Kontaktaufnahme im Rahmen des Kundensupports verwendet. Ohne gesonderte Einwilligung erfolgt keine Nutzung zu Marketingzwecken.

Hinweis beim Versand von Einladungen: Geben Sie die E-Mail-Adresse einer dritten Person ein, um eine Einladung zu versenden, stellen Sie dem Unternehmen deren personenbezogene Daten bereit. Sie müssen zuvor die Einwilligung dieser Person einholen. Das Unternehmen verwendet die Adresse ausschließlich für den Versand der Einladung und die Prüfung des Ergebnisses und vernichtet sie unverzüglich, wenn die Einladung abgelaufen oder ungenutzt geblieben ist.

③ Nutzung des Dienstes (Besprechungsinhalte)

Besprechungsinhalte werden grundsätzlich nur im Gerät des Nutzers gespeichert. Die Server des Unternehmens sowie externe KI- und Spracherkennungsanbieter sind nur als vorübergehender Verarbeitungsweg beteiligt, der ein Ergebnis erzeugt und an den Bildschirm des Nutzers zurückgibt.

Ausnahmsweise wird, wenn der Nutzer die Funktion zum Teilen von Besprechungsprotokollen verwendet, eine Momentaufnahme des betreffenden Protokolls auf den Servern des Unternehmens gespeichert. Die Einzelheiten regelt Artikel 5 Abs. 2.

Aufzeichnungen sind in der geteilten Momentaufnahme nicht enthalten. Zeitangaben im Gesprächsprotokoll werden zudem nicht als absolute Uhrzeit, sondern nur als verstrichene Zeit ab Besprechungsbeginn gespeichert.

④ Automatisch erhobene Informationen

⑤ Datenminimierung

1. Das Unternehmen erhebt keinerlei eindeutige Kennnummern wie Personenkennziffern oder Passnummern.
2. Das Unternehmen bezweckt nicht die Erhebung sensibler Daten wie politische Meinungen, Gesundheit, Sexualleben, genetische Daten oder Vorstrafen. Da solche Inhalte in Besprechungen naturgemäß vorkommen können, wendet das Unternehmen die verstärkten Schutzmaßnahmen des Artikels 5 auf sämtliche Besprechungsinhalte an.
3. Das Unternehmen erzeugt und speichert keine biometrischen Daten wie Stimmprofile zur Sprechererkennung. Sprecher werden ausschließlich durch getrennte Verarbeitung der Audiokanäle (eigenes Mikrofon / Ton des Gegenübers) unterschieden.
4. Das Unternehmen speichert keine eigenen Aufzeichnungen der IP-Adressen von Websitebesuchern; für das Zugriffsland wird nur der Ländercode aus dem Anfrage-Header erfasst (beispielsweise KR).

⑥ Zahlung und Erstattung kostenpflichtiger Dienste

Details des Zahlungsmittels — Kartennummer, Gültigkeitsdauer, Kartenprüfnummer und dergleichen — verarbeitet der Zahlungsdienstleister unmittelbar. Das Unternehmen speichert weder vollständige Kartennummern noch Kartenprüfnummern.

⑦ App-Download

Die Telefonnummer wird in internationaler Schreibweise (E.164, ohne Bindestriche) gespeichert und ohne gesonderte Einwilligung nicht zu Marketingzwecken verwendet.

Artikel 5 (Besondere Bestimmungen zu Besprechungsinhalten)

Besprechungsinhalte enthalten Gespräche zwischen dem Nutzer und seinem Gegenüber und bedürfen daher besonderen Schutzes. Das Unternehmen beachtet die folgenden Grundsätze.

① Besprechungsinhalte werden grundsätzlich nur auf dem Gerät des Nutzers gespeichert (Local-First-Architektur)

1. Aufzeichnungen, Transkripte, Übersetzungen, Antwortskripte, Zusammenfassungen und Berichte, Memory-Einträge, Wissensdatenbank und FAQ sowie Angaben zu Gesprächspartnern werden im app-eigenen Datenbereich auf dem Gerät des Nutzers je Konto verschlüsselt vorgehalten. Solange die Freigabe von Besprechungsprotokollen nach Absatz 2 nicht ausgeführt wird, werden diese Informationen nicht an die Server des Unternehmens übertragen und dort gespeichert; das Unternehmen kann sie weder vorhalten noch einsehen.
2. Die Server des Unternehmens und externe Anbieter sind nur als vorübergehender Verarbeitungsweg beteiligt, der ein Ergebnis erzeugt und an den Bildschirm zurückgibt. Der Audiostream für die Echtzeit-Spracherkennung wird nur während der laufenden Sitzung an den Spracherkennungsanbieter gesendet und nicht gespeichert; Text zur Erzeugung von Antworten und Zusammenfassungen wird an den KI-Anbieter gesendet, und die Verarbeitung endet mit der Rückgabe des Ergebnisses (Artikel 12). Ist das Echtzeitprotokoll eingeschaltet, werden auch während der laufenden Besprechung in regelmäßigen Abständen die Äußerungen des jeweiligen Abschnitts zur Erstellung einer Zusammenfassung an den KI-Anbieter gesendet. Das Gesendete wird mit der Rückgabe des Ergebnisses abschließend verarbeitet und nicht gespeichert.
3. Bitte beachten Sie: Da Besprechungsinhalte nur auf Ihrem Gerät liegen, sind sie in folgenden Fällen nicht wiederherstellbar.
   • Sie löschen die App zusammen mit ihren App-Daten
   • Sie setzen Ihr Gerät zurück oder tauschen es aus
   • Der Anmeldeinformationsspeicher des Betriebssystems (macOS-Schlüsselbund, Windows-Datenschutz-API und dergleichen) ist beschädigt oder zurückgesetzt, sodass der Verschlüsselungsschlüssel nicht mehr gelesen werden kann
   • Sie melden sich von einem anderen Gerät an (eine Synchronisierung zwischen Geräten wird nicht unterstützt)
   • Sie melden sich mit einem anderen Konto an (die Daten werden je Konto getrennt gespeichert)

   Der Schlüssel, der die Kontodaten öffnet, ist an den geschützten Bereich des Betriebssystems des jeweiligen Geräts gebunden; das bloße Kopieren der Datendateien auf ein anderes Gerät ermöglicht daher keine Entschlüsselung. Das ist bewusst so gestaltet, damit Dritte die Inhalte auch dann nicht lesen können, wenn sie die Dateien an sich bringen. Das Unternehmen hält keine Sicherungskopien vor und kann daher bei der Wiederherstellung nicht helfen. Bitte sichern Sie wichtige Berichte und Dokumente gesondert über die Downloadfunktion im Dienst.

② Verarbeitung beim Teilen eines Besprechungsprotokolls (Ausnahme vom Local-First-Grundsatz)

1. Nutzt ein Nutzer die Funktion zum Teilen von Besprechungsprotokollen, werden Titel, strukturierte Zusammenfassung, Einträge nach Zeitabschnitten, Sprechernamen, E-Mail-Adressen und Namen der Teilnehmenden sowie das Gesprächsprotokoll des betreffenden Protokolls als Momentaufnahme auf den Servern des Unternehmens gespeichert. Damit können Teilnehmende, die die App nicht verwenden, das Protokoll über einen Weblink aufrufen. Die an Teilnehmende versendete E-Mail enthält nur den Titel des Protokolls, den Aufruflink und eine vom Nutzer eingegebene Notiz; das Protokoll selbst ist nicht enthalten.
2. Aufzeichnungen sind nicht Gegenstand der Freigabe und werden in keinem Fall auf den Servern des Unternehmens gespeichert.
3. Zeitangaben im Gesprächsprotokoll werden nicht als absolute Uhrzeit, sondern nur als verstrichene Zeit ab Besprechungsbeginn gespeichert.
4. Nutzer können den Freigabeumfang zwischen „alle mit dem Link" und „nur Teilnehmende" wählen.
5. Nutzer können eine Freigabe jederzeit widerrufen. Mit dem Widerruf wird die auf dem Server gespeicherte Momentaufnahme gelöscht, und auch bereits versendete Links gewähren keinen Zugriff mehr.
6. Gibt ein Nutzer E-Mail-Adressen von Teilnehmenden ein, um den Protokolllink zu versenden, stellt dies eine Bereitstellung personenbezogener Daten Dritter an das Unternehmen dar. Der Nutzer muss die betreffenden Teilnehmenden vorab über das Teilen des Protokolls informieren und die erforderliche Einwilligung einholen.
7. Das Unternehmen verwendet die erhaltenen E-Mail-Adressen der Teilnehmenden ausschließlich zum Versand des Protokolllinks und zur Prüfung des Ergebnisses.
8. Wird die Freigabefunktion nicht genutzt, verlässt das Besprechungsprotokoll das Gerät des Nutzers nicht.

③ Keine Nutzung für das Training von KI-Modellen

Das Unternehmen verwendet Audio, Transkripte, Wissensdatenbank und Berichte der Nutzer nicht zum Training oder zur Feinabstimmung von Modellen künstlicher Intelligenz. Auch mit den eingesetzten externen KI-Anbietern (Artikel 12) ist vertraglich vereinbart, dass die Daten nicht zum Modelltraining verwendet werden.

④ Verantwortung des Nutzers für Information und Einwilligung

1. Die Verarbeitung des Audios des Gegenübers beginnt mit der Entscheidung und Handlung des Nutzers; das Unternehmen verarbeitet es auf dessen Weisung.
2. Vor jeder Aufzeichnung oder Transkription sind Sie dafür verantwortlich, die Teilnehmenden zu informieren und die nach dem für Sie geltenden Recht erforderliche Einwilligung einzuholen. Das koreanische Gesetz zum Schutz des Kommunikationsgeheimnisses untersagt Aufzeichnungen durch Personen, die nicht am Gespräch beteiligt sind; einige Länder und US-Bundesstaaten, etwa Kalifornien, verlangen die Einwilligung aller Teilnehmenden (all-party consent).
3. Für Streitigkeiten, die aus der Nichterfüllung dieser Pflicht entstehen, haftet das Unternehmen nicht; bei festgestellter rechtswidriger Nutzung kann es die Nutzung des Dienstes einschränken.

⑤ Zugriffskontrolle

1. Da nicht geteilte Besprechungsinhalte nur auf dem Gerät des Nutzers gespeichert sind, können Beschäftigte des Unternehmens sie nicht einsehen. Selbst wenn das Unternehmen Besprechungsinhalte zur technischen Unterstützung oder Störungsbehebung prüfen müsste, ist ein Zugriff ohne direkte Bereitstellung durch den Nutzer nicht möglich. Nach Absatz 2 geteilte Momentaufnahmen von Besprechungsprotokollen liegen jedoch auf den Servern des Unternehmens und sind daher technisch zugänglich. Das Unternehmen erteilt hierfür nur einer möglichst kleinen Zahl von Personen Rechte, protokolliert und verwaltet die Zugriffe und liest sie zu keinem anderen Zweck als zur Störungsbehebung und zur Erfüllung gesetzlicher Pflichten.
2. Stellt ein Nutzer im Rahmen einer Anfrage oder Fehlermeldung Teile seiner Besprechungsinhalte unmittelbar bereit, verwendet das Unternehmen sie ausschließlich zur Bearbeitung dieser Anfrage und vernichtet sie unverzüglich nach Abschluss. Zeitpunkt, Grund und zugreifende Person werden protokolliert und ein Jahr aufbewahrt.
3. Für auf den Servern des Unternehmens gespeicherte Informationen wie Kontodaten werden Zugriffsrechte nur der minimal erforderlichen Zahl von Personen erteilt; Zugriffe werden protokolliert und verwaltet.

⑥ Löschsteuerung

1. Nutzer können einzelne Sitzungen (Aufzeichnung, Transkript, Bericht), Dokumente der Wissensdatenbank, Memory-Einträge und Ordner jederzeit selbst im Dienst löschen.
2. Wird die App zusammen mit ihren App-Daten gelöscht, werden sämtliche Besprechungsinhalte sofort vernichtet.
3. Da nicht geteilte Besprechungsinhalte nicht auf den Servern des Unternehmens liegen, ist kein gesondertes Löschersuchen an das Unternehmen erforderlich.
4. Ein geteiltes Besprechungsprotokoll wird vom Server gelöscht, sobald die Freigabe im Dienst widerrufen wird. Ist ein Widerruf nicht möglich, kann die Löschung über die Kontaktstelle in Artikel 14 verlangt werden.

⑦ Angaben zu Gesprächspartnern (Dritten)

1. Erfasst ein Nutzer Namen, Organisation oder Haltung eines Gesprächspartners in der Wissensdatenbank oder beauftragt er eine Recherche öffentlicher Informationen, verarbeitet das Unternehmen dies auf seine Weisung. Der Nutzer hat selbst zu prüfen, ob Erhebung und Nutzung dieser Angaben rechtmäßig sind.
2. Die Recherche öffentlicher Informationen durchsucht und fasst ausschließlich im Internet veröffentlichte Informationen zusammen; das Unternehmen baut keine eigene Personendatenbank auf.
3. Ein Dritter, der Gesprächspartner war, kann über die Kontaktstelle in Artikel 14 Auskunft über oder Löschung von Angaben zu seiner Person verlangen. Das Unternehmen leitet das Ersuchen an den Nutzer weiter, der die Angaben vorhält, und unterstützt die Bearbeitung.

Artikel 6 (Verarbeitung und Speicherfristen)

① Das Unternehmen verarbeitet und speichert personenbezogene Daten innerhalb der gesetzlich vorgeschriebenen oder der von der betroffenen Person eingewilligten Frist.

② Das Unternehmen kann das Konto eines Nutzers, der den Dienst ein Jahr oder länger nicht genutzt hat, nach vorheriger Ankündigung inaktiv setzen oder löschen.

Artikel 7 (Vernichtung personenbezogener Daten)

① Werden personenbezogene Daten entbehrlich — weil die Speicherfrist abgelaufen oder der Zweck erreicht ist —, vernichtet das Unternehmen sie unverzüglich.

② Elektronisch gespeicherte Daten werden so gelöscht, dass eine Wiederherstellung ausgeschlossen ist; Papierunterlagen werden geschreddert oder verbrannt.

③ Daten, die nach anderen Vorschriften aufzubewahren sind, werden in einer gesonderten Datenbank oder an einem anderen Ablageort gespeichert und verwaltet.

Artikel 8 (Weitergabe an Dritte)

① Das Unternehmen verarbeitet personenbezogene Daten nur im Rahmen der in Artikel 3 genannten Zwecke und gibt sie nur mit Einwilligung der betroffenen Person oder in den Fällen der Artikel 17 und 18 PIPA an Dritte weiter, etwa aufgrund einer besonderen gesetzlichen Bestimmung.

② Derzeit gibt das Unternehmen keine personenbezogenen Daten an Dritte weiter. Ausgenommen sind die folgenden Fälle.

1. Rechtmäßiges Ersuchen einer staatlichen Stelle, etwa einer Ermittlungsbehörde, im gesetzlich vorgesehenen Verfahren
2. Erforderliche Übertragung im Rahmen einer Verschmelzung oder Betriebsübertragung (in diesem Fall werden der Umstand und die Rechte der Nutzer vorab mitgeteilt)

③ Das Unternehmen verkauft keine personenbezogenen Daten gegen Entgelt. Die über das Werbepixel nach Artikel 10 an Meta übermittelten Angaben können jedoch nach einzelnen US-bundesstaatlichen Datenschutzgesetzen als „Verkauf" (sale) oder „Weitergabe" (share) personenbezogener Daten gelten. Sie können dem jederzeit über „Cookie-Einstellungen" am Seitenende widersprechen (Artikel 18 Abs. 2).

④ Bei Auskunftsersuchen von Ermittlungsbehörden prüft das Unternehmen die gesetzlichen Voraussetzungen und das Verfahren und informiert die betroffenen Nutzer, sofern dies nicht gesetzlich untersagt ist.

Artikel 9 (Auftragsverarbeitung)

① Für den reibungslosen Betrieb überträgt das Unternehmen Teile der Verarbeitung an externe Anbieter.

② Von den genannten Auftragsverarbeitern speichert Supabase, Inc. Daten in einer Region innerhalb Koreas; da das Unternehmen seinen Sitz im Ausland hat, kann bei technischer Unterstützung und Störungsbehebung ein Zugriff aus dem Ausland erfolgen. Diese und weitere Auslandsübermittlungen legt das Unternehmen in Artikel 12 dar.

③ Weitere ausländische Auftragsverarbeiter sind in Artikel 12 aufgeführt.

④ Beim Abschluss von Auftragsverarbeitungsverträgen regelt das Unternehmen gemäß Artikel 26 PIPA schriftlich das Verbot zweckfremder Verarbeitung, Sicherheitsmaßnahmen, Beschränkungen der Unterbeauftragung, Steuerung und Aufsicht sowie Schadensersatzpflichten und überwacht die sichere Verarbeitung durch den Auftragsverarbeiter.

⑤ Änderungen der übertragenen Aufgaben oder des Auftragsverarbeiters werden unverzüglich über diese Erklärung veröffentlicht.

Artikel 10 (Automatische Erfassungstechnologien und Widerspruch)

① Das Unternehmen verwendet die folgenden Cookies und ähnliche Technologien.

② Für Nutzer in Regionen, in denen eine vorherige Einwilligung erforderlich ist (EU, EWR, Vereinigtes Königreich, Schweiz und Brasilien), werden Cookies außer den notwendigen nur mit Einwilligung gesetzt. Marketing-Skripte werden vor der Einwilligung nicht einmal geladen. Die Auswahl lässt sich jederzeit über „Cookie-Einstellungen" am Seitenende ändern.

③ Nutzer können Cookies über die Einstellungen ihres Browsers ablehnen oder löschen.

④ Das Unternehmen setzt keine Webanalysewerkzeuge ein. Zur Messung des Werbeerfolgs verwendet es ausschließlich auf der Website das Meta-Pixel (Meta Platforms, Inc.), um festzustellen, ob jemand nach dem Sehen einer Anzeige die Website besucht oder einen Download getätigt hat, und um Werbezielgruppen zu bilden. Besprechungsinhalte, Besprechungsprotokolle und Kontodaten gelangen nicht an den Werbeanbieter.

⑤ Die Desktop-App enthält überhaupt keine Cookies oder Tracking-Technologien zu Werbe- oder Analysezwecken. Das Pixel nach Absatz 4 gibt es nur auf der Website. Sie speichert nur die vom Nutzer gewählten App-Einstellungen — Anzeigesprache, Sitzungsvoreinstellungen, Prompter-Skripte und dergleichen — auf dem Gerät; diese Angaben werden nicht an die Server des Unternehmens übertragen.

Artikel 11 (Automatisierte Entscheidungen und KI-Verarbeitung)

① Der Dienst analysiert Gesprächsinhalte mit künstlicher Intelligenz und erzeugt Antwortskripte, Zusammenfassungen und Berichte. Dabei handelt es sich um unterstützendes Referenzmaterial; das Unternehmen trifft damit keine automatisierten Entscheidungen mit rechtlicher oder vergleichbar erheblicher Wirkung.

② Erzeugte Ergebnisse können unzutreffend sein; die abschließende Prüfung und Bewertung obliegt dem Nutzer.

③ Das Unternehmen nimmt keine automatisierte Entscheidungsfindung mittels Profiling vor.

Artikel 12 (Übermittlung ins Ausland)

① Soweit für die Erbringung des Dienstes erforderlich, übermittelt das Unternehmen gemäß Artikel 28-8 Abs. 1 Nr. 3 PIPA (Auftragsverarbeitung oder Speicherung zur Begründung und Erfüllung eines Vertrags mit der betroffenen Person) personenbezogene Daten wie folgt ins Ausland.

② Sitzungsaufzeichnungen werden an keinen der genannten Anbieter übermittelt.

③ Besprechungsinhalte werden nur vorübergehend zur Erzeugung eines Ergebnisses übertragen und verarbeitet und bei ausländischen Anbietern nicht gespeichert. Ausgenommen sind Momentaufnahmen der vom Nutzer geteilten Besprechungsprotokolle: Sie werden in der Region Seoul in der Republik Korea gespeichert; im Rahmen der technischen Unterstützung durch den Anbieter kann ein Zugriff aus dem Ausland erfolgen (Artikel 5 Abs. 2).

④ Zahlungsdaten werden nicht ins Ausland übermittelt. Zahlungen werden über einen Zahlungsdienstleister in Korea abgewickelt (Artikel 9).

⑤ Betroffene Personen können der Übermittlung ihrer personenbezogenen Daten ins Ausland über die Kontaktstelle in Artikel 14 widersprechen. Da diese Übermittlungen für Kernfunktionen des Dienstes (Spracherkennung, KI-Erzeugung, Authentifizierung, Datenspeicherung) unerlässlich sind, kann ein Widerspruch die Nutzung des Dienstes einschränken oder unmöglich machen.

⑥ Automatische Übermittlungen im Zusammenhang mit Webschriften und CDNs lassen sich über die Inhaltsblockierung des Browsers unterbinden, was jedoch die Darstellung beeinträchtigen kann.

⑦ Bei Verträgen mit ausländischen Auftragsverarbeitern wendet das Unternehmen geeignete, gesetzlich anerkannte Garantien wie Standardvertragsklauseln (SCC) an und sichert das Verbot des Modelltrainings sowie der zweckfremden Nutzung vertraglich ab.

Artikel 13 (Rechte betroffener Personen und deren Ausübung)

① Betroffene Personen können gegenüber dem Unternehmen jederzeit die folgenden Rechte ausüben.

1. Auskunft über die Verarbeitung
2. Berichtigung bei Fehlern
3. Löschung
4. Einschränkung der Verarbeitung
5. Widerruf der Einwilligung
6. Datenübertragbarkeit (Download) — Besprechungsberichte, Transkripte und Wissensdatenbank liegen auf Ihrem Gerät und lassen sich direkt im Dienst herunterladen.
7. Widerruf eines geteilten Besprechungsprotokolls — Sie können ihn im Freigabebereich des Dienstes selbst vornehmen oder über die Kontaktstelle in Artikel 14 verlangen.

② Diese Rechte können Sie über den Einstellungsbereich im Dienst ausüben oder schriftlich bzw. per E-Mail an die Kontaktstelle in Artikel 14 richten; das Unternehmen handelt innerhalb von 10 Tagen nach Eingang. Da das Unternehmen keine nicht geteilten Besprechungsinhalte vorhält, müssen Auskunft, Berichtigung und Löschung insoweit vom Nutzer selbst im Dienst vorgenommen werden. Die Ausübung durch eine bevollmächtigte Person ist möglich; hierfür ist eine Vollmacht vorzulegen.

③ Die Einwilligung in Erhebung und Nutzung können Sie frei verweigern. Wird die Einwilligung zu Pflichtangaben verweigert, sind Registrierung und Nutzung eingeschränkt. Die Verweigerung freiwilliger Angaben (etwa Marketingnachrichten) bringt keine Nachteile bei der Nutzung mit sich.

④ Das Unternehmen prüft, ob die anfragende Person die betroffene Person oder eine ordnungsgemäß bevollmächtigte Person ist.

⑤ Betroffene Personen haben ihre Rechte im Rahmen der geltenden Gesetze auszuüben und dürfen die personenbezogenen Daten anderer nicht verletzen.

⑥ Informationen, deren Aufbewahrung der Act on the Consumer Protection in Electronic Commerce vorschreibt, etwa Zahlungs- und Erstattungsdaten, können von einem Lösch- oder Einschränkungsverlangen ausgenommen sein; das Unternehmen erläutert in diesem Fall den Grund.

Artikel 14 (Datenschutzbeauftragter und Auskunftsersuchen)

① Das Unternehmen hat die nachstehende Person benannt, die die Verarbeitung personenbezogener Daten verantwortet sowie Beschwerden und Abhilfeersuchen betroffener Personen bearbeitet.

• Datenschutzverantwortlicher: Jemin You (COO)
• Kontakt: hello@theceostaff.com
• Fragen zu Zahlung und Erstattung: hello@theceostaff.com

② Betroffene Personen können sich mit jeder Anfrage, Beschwerde oder jedem Abhilfeersuchen zur Verarbeitung personenbezogener Daten — einschließlich Auskunftsersuchen nach Artikel 35 PIPA — an den obigen Kontakt wenden. Das Unternehmen antwortet und handelt unverzüglich und nach Treu und Glauben.

Artikel 15 (Kinder unter 14 Jahren)

① Der Dienst richtet sich nicht an Kinder unter 14 Jahren; das Unternehmen erhebt keine personenbezogenen Daten von Kindern unter 14 Jahren.

② Wird festgestellt, dass Daten eines Kindes unter 14 Jahren erhoben wurden, vernichtet das Unternehmen sie unverzüglich.

Artikel 16 (Sicherheitsmaßnahmen)

Gemäß Artikel 29 PIPA ergreift das Unternehmen die folgenden Maßnahmen.

1. Organisatorische Maßnahmen: Aufstellung und Umsetzung eines internen Verwaltungsplans, Beschränkung der mit personenbezogenen Daten befassten Personen auf das für den Betrieb erforderliche Minimum, regelmäßige Schulungen, Verwaltung der Erteilung, Änderung und Entziehung von Zugriffsrechten
2. Technische Maßnahmen
   • Durchgängige Verschlüsselung der Übertragung (TLS 1.2 oder höher)
   • Verschlüsselung gespeicherter Daten (Passwörter als Einweg-Hash; Besprechungsinhalte mit einem kontobezogenen AES-256-Schlüssel, der seinerseits über den Anmeldeinformationsspeicher des Betriebssystems umschlossen verschlüsselt wird)
   • Datentrennung je Konto und Zugriffskontrolle auf Zeilenebene (Row Level Security)
   • Strukturelle Beseitigung des Leckrisikos durch eine Local-First-Architektur, die nicht geteilte Besprechungsinhalte von den Servern fernhält
   • Architektur, in der Details des Zahlungsmittels unmittelbar vom Zahlungsdienstleister verarbeitet und nie auf den Servern des Unternehmens gespeichert werden
   • Aufbewahrung von Zugriffsprotokollen und Schutz vor Manipulation
   • Angriffserkennung und -abwehr sowie regelmäßige Schwachstellenprüfungen
3. Physische Maßnahmen: Speicherung in inländischen Einrichtungen von Cloudanbietern mit physischen Sicherheitszertifizierungen (ISO 27001 / SOC 2 und dergleichen)
4. Vorfallbehandlung: Im Fall einer Datenschutzverletzung Benachrichtigung der betroffenen Personen und Meldung an die Behörden innerhalb der gesetzlichen Fristen

Artikel 17 (Rechtsbehelfe)

Zur Abhilfe bei Verletzungen können betroffene Personen die folgenden Stellen um Streitbeilegung oder Beratung ersuchen. Diese Stellen sind vom Unternehmen unabhängig; bitte wenden Sie sich an sie, wenn Sie mit der Bearbeitung durch das Unternehmen nicht zufrieden sind oder weitergehende Hilfe benötigen.

1. Personal Information Dispute Mediation Committee: 1833-6972 (www.kopico.go.kr)
2. Privacy Infringement Report Centre (Korea Internet & Security Agency): 118 (privacy.kisa.or.kr)
3. Oberste Staatsanwaltschaft: 1301 (www.spo.go.kr)
4. Nationale Polizeibehörde: 182 (ecrm.police.go.kr)

Artikel 18 (Ergänzende Bestimmungen für die EU, den EWR, das Vereinigte Königreich und weitere Rechtsräume)

① Für betroffene Personen in Regionen, in denen die DSGVO oder vergleichbares Recht gilt, gilt ergänzend Folgendes.

1. Verantwortlicher: Concerto Labs. Anfragen richten Sie an Jemin You (COO) / hello@theceostaff.com.
2. Rechtsgrundlagen der Verarbeitung
   • Registrierung und Erbringung des Dienstes: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO)
   • Verarbeitung von Besprechungsaudio und Transkripten: Einwilligung (Art. 6 Abs. 1 lit. a) und Vertragserfüllung (Art. 6 Abs. 1 lit. b)
   • Zahlungs- und Erstattungsabwicklung: Vertragserfüllung (Art. 6 Abs. 1 lit. b) und rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c)
   • Sicherheit, Missbrauchsprävention und Verbesserung: berechtigte Interessen des Unternehmens (Art. 6 Abs. 1 lit. f)
   • Marketingnachrichten: Einwilligung (Art. 6 Abs. 1 lit. a)
   • Gesetzliche Pflichten: Art. 6 Abs. 1 lit. c
3. Weitere Rechte: Zusätzlich zu den Rechten aus Artikel 13 bestehen das Recht auf Einschränkung, das Widerspruchsrecht und das Recht auf Datenübertragbarkeit sowie das Recht auf Beschwerde bei der Aufsichtsbehörde des Wohnorts.
4. Drittlandsübermittlungen: Bei Übermittlungen außerhalb des EWR werden geeignete Garantien wie Angemessenheitsbeschlüsse und Standardvertragsklauseln (SCC) angewandt. Die Republik Korea hat im Dezember 2021 einen Angemessenheitsbeschluss der Europäischen Kommission erhalten.
5. Automatisierte Entscheidungsfindung: Das Unternehmen nimmt keine automatisierte Entscheidungsfindung im Sinne des Artikels 22 DSGVO vor.

② Für betroffene Personen in Regionen mit US-bundesstaatlichen Datenschutzgesetzen, etwa Kalifornien, verkauft das Unternehmen keine personenbezogenen Daten gegen geldwerte Gegenleistung. Die Übermittlung über das Meta-Pixel nach Artikel 10 kann nach diesen Gesetzen jedoch einen „Verkauf" (sale) oder eine „Weitergabe" (share) zu Zwecken personalisierter Werbung darstellen; betroffene Personen können dem über „Cookie-Einstellungen" am Seitenende widersprechen (Opt-out). Auch das GPC-Signal (Global Privacy Control) des Browsers wird als Widerspruch beachtet. Die Rechte auf Auskunft, Löschung und Berichtigung sowie auf Nichtdiskriminierung werden wie in Artikel 13 gewährleistet.

③ Maßgeblich ist die koreanische Fassung dieser Erklärung; weicht eine Übersetzung ab, geht die koreanische Fassung vor, soweit dies zwingendem lokalem Recht nicht widerspricht.

Artikel 19 (Änderungen dieser Erklärung)

① Wird diese Erklärung ergänzt, geändert oder teilweise gestrichen, informiert das Unternehmen mindestens 7 Tage vor Inkrafttreten (30 Tage bei Änderungen mit erheblichen Auswirkungen auf die Rechte betroffener Personen) über die Website-Mitteilungen oder diese Seite.

② Mit dieser Fassung wurden folgende Änderungen vorgenommen.

1. Klarstellung, dass bei Nutzung der Funktion zum Teilen von Besprechungsprotokollen Zusammenfassung, Gesprächsprotokoll und Teilnehmerangaben des betreffenden Protokolls auf den Servern des Unternehmens gespeichert werden (Kurzüberblick, Artikel 3 und 4, Artikel 5 Abs. 2)
2. Ergänzung der Speicherfrist für geteilte Besprechungsprotokolle und der Löschung durch Widerruf der Freigabe (Artikel 6, Artikel 5 Abs. 6, Artikel 13)
3. Ergänzung der Auftragsverarbeitung und der Auslandsübermittlung im Zusammenhang mit der Freigabe (Artikel 9 und 12)
4. Berichtigung der Darstellung des Dienstes als Desktop-App (macOS und Windows) sowie Angleichung von Speicherorten und Gründen fehlender Wiederherstellbarkeit an den Anmeldeinformationsspeicher des Betriebssystems (Artikel 1, 4, 5 Abs. 1, 10 und 16)
5. Berichtigung des Anbieters generativer KI entsprechend der tatsächlichen Nutzung und Angabe der Übermittlung abschnittsweiser Zusammenfassungen des Echtzeitprotokolls (Artikel 12)
6. (Geändert am 15. August 2026) Aufnahme der Telefonnummer in die bei der Registrierung erhobenen Pflichtangaben und Anpassung des zugehörigen Eintrags zur Auslandsübermittlung (Artikel 4 und 12)
7. (Geändert am 15. August 2026) Angabe, dass beim App-Download die Telefonnummer erhoben wird (Artikel 4 und 6)
8. (Geändert am 19. August 2026) Aufnahme des Meta-Pixels zur Messung des Werbeerfolgs (Kurzüberblick, Artikel 3, 4, 6, 8, 10, 12 und 18). In Regionen mit Einwilligungspflicht wird das Skript vor der Einwilligung nicht geladen; anderswo lässt es sich jederzeit über „Cookie-Einstellungen" ablehnen

Aufzeichnungen werden wie bisher in keinem Fall auf den Servern des Unternehmens gespeichert; wird die Freigabefunktion nicht genutzt, verlässt das Besprechungsprotokoll das Gerät des Nutzers nicht.

③ Frühere Fassungen dieser Erklärung finden Sie nachstehend.

1. Gültig 29. Juli 2026 – 31. Juli 2026 (v1, nur Betaanmeldung): frühere Fassung ansehen
2. Gültig 1. August 2026 – 5. August 2026 (v2, vor Einführung kostenpflichtiger Angebote): frühere Fassung ansehen

Schlussbestimmung

Diese Erklärung tritt am 11. August 2026 in Kraft.

Diese geänderte Erklärung (Aufnahme der Telefonnummer in die erhobenen Angaben) tritt am 15. August 2026 in Kraft.

Diese Änderung (Einführung des Werbepixels) tritt am 19. August 2026 in Kraft.