← Alle Rechtsdokumente

Datenschutzerklärung — MCP Bridge — AI for Bitrix24

1. Einleitung

Diese Datenschutzerklärung beschreibt, wie HUB DESPACHOS Y PYMES S.L. („HUB Consultores”, „wir”, „uns”) personenbezogene Daten erhebt, verwendet, speichert und schützt, wenn Sie (der „Nutzer”) die Anwendung MCP Bridge for Bitrix24 (die „Software”) auf einem Bitrix24-Portal installieren und nutzen.

Diese Erklärung unterliegt der Datenschutz-Grundverordnung der Europäischen Union (DSGVO — Verordnung (EU) 2016/679) und dem spanischen Organgesetz über den Schutz personenbezogener Daten und die Gewährleistung digitaler Rechte (LOPDGDD — Ley Orgánica 3/2018).

Durch die Installation der Software akzeptiert der Nutzer die in dieser Erklärung beschriebenen Praktiken. Stimmt der Nutzer nicht zu, darf er die Software nicht installieren oder nutzen.

2. Verantwortlicher und Datenschutzbeauftragter

Verantwortlicher:

• HUB DESPACHOS Y PYMES S.L.
• Steuernummer (CIF): B76816875
• Anschrift: Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, Spain
• Email: [email protected]
• Phone: +34 822 684 008

Datenschutzbeauftragter (DSB): HUB Consultores hat keinen DSB förmlich benannt, da seine Verarbeitungstätigkeiten die zwingenden Kriterien des Artikels 37 DSGVO nicht erfüllen. Für datenschutzbezogene Anfragen kontaktieren Sie uns bitte direkt unter [email protected] mit dem Betreff „MCP Bridge — Privacy Request”.

3. Unsere Rolle: Verantwortlicher vs. Auftragsverarbeiter

Die Software umfasst zwei verschiedene Verarbeitungsszenarien:

3.1 Wir handeln als Verantwortlicher für:

• Authentifizierungsdaten und Routing-Daten (OAuth-Token, mcp_token, member_id, user_id)
• Aufzeichnungen autorisierter Client-Anwendungen (Connected Apps)
• Betriebstelemetrie (Anfrageprotokolle, Metrikzähler, Fehlerberichte)

Diese werden verarbeitet, um die Software zu betreiben, und stellen unsere eigenen Geschäftsunterlagen dar. Die Bestimmungen dieser Erklärung gelten für sie vollständig.

3.2 Wir handeln als Auftragsverarbeiter für:

• CRM-Daten (Leads, Deals, Kontakte, Unternehmen, Aufgaben, Kommentare, Dateien), die die Organisation des Nutzers in Bitrix24 speichert und die in Echtzeit durch die Software übertragen werden, wenn der Nutzer über einen KI-Assistenten eine Anfrage stellt.

In diesem Szenario ist die Organisation des Nutzers der Verantwortliche für diese CRM-Daten, und HUB Consultores handelt in deren Auftrag als Auftragsverarbeiter gemäß Artikel 28 DSGVO. Die Bedingungen für dieses Auftragsverarbeitungsverhältnis sind in unserem Auftragsverarbeitungsvertrag (DPA) festgelegt, der unter https://mcp.hubtool.net/legal/dpa-en verfügbar ist und Bestandteil der bei der Installation akzeptierten EULA ist.

Wir speichern die CRM-Daten nicht: Wir leiten sie direkt von Bitrix24 an den vom Nutzer autorisierten KI-Assistenten weiter. Über die Dauer der jeweiligen HTTP-Anfrage hinaus wird keine Kopie oder kein Cache von CRM-Inhalten in unserer Infrastruktur aufbewahrt.

4. Informationen, die wir erheben (als Verantwortlicher)

Wir verarbeiten die zum Betrieb der Software unbedingt erforderliche Mindestmenge an Daten. Erhobene Kategorien:

4.1 Authentifizierungs- und Routing-Daten

• OAuth-Zugriffs- und Aktualisierungstoken, die von Bitrix24 ausgestellt werden, wenn der Nutzer die Software installiert. Werden verwendet, um im Namen des Nutzers API-Anfragen an das Bitrix24-Portal des Nutzers zu stellen.
• MCP-Token (mcp_token), das von uns generiert wird, wenn die Software installiert wird. Wird von KI-Assistenten verwendet, um sich bei jeder Anfrage gegenüber der Software zu authentifizieren.
• Bitrix24-Portal-Kennung (member_id), Benutzerkennung (user_id) und Portal-Domain (z. B. example.bitrix24.com). Werden für das Multi-Tenant-Routing verwendet. Hinweis: member_id und user_id sind pseudonyme Kennungen gemäß Erwägungsgrund 26 DSGVO, was bedeutet, dass sie mit einer natürlichen Person verknüpft werden können und daher als personenbezogene Daten gelten.

4.2 Autorisierte Client-Anwendungen

• Aufzeichnungen von MCP-Clients Dritter (wie Claude.ai, ChatGPT), die der Nutzer über OAuth 2.1 zur Nutzung der Software autorisiert hat. Jede Aufzeichnung enthält den Client-Namen, die Client-ID und den Zeitstempel der Autorisierung.

4.3 Betriebstelemetrie

• Anfrageprotokolle mit einer Korrelations-ID. Diese Protokolle enthalten HTTP-Metadaten (Methode, Statuscode, Dauer), den Namen des aufgerufenen Tools, die member_id und die user_id. Sie enthalten nicht den Inhalt der Anfrage-Payloads oder die CRM-Daten des Nutzers.
• Aggregierte Metrikzähler (Anzahl der Tool-Aufrufe pro Typ, Fehlerraten, Antwortzeiten), die zur Dienstüberwachung verwendet werden. Jedes Ereignis ist mit einer member_id und einer user_id verknüpft — pseudonyme personenbezogene Daten.
• Fehlerberichte, die an Sentry, unseren Anbieter für die Fehlerüberwachung, gesendet werden, wenn die Software auf unerwartete Ausnahmen stößt. Fehlerberichte können Stack-Traces und HTTP-Metadaten enthalten, jedoch nicht die CRM-Daten des Nutzers, Anfrageinhalte, Authentifizierungstoken, Cookies oder Sitzungskennungen. Dies wird durch zwei Schichten in der Initialisierung des Sentry SDK durchgesetzt: (i) send_default_pii=False, was die automatische Erfassung von Cookies, Headern und Benutzerkontext durch das SDK unterdrückt; und (ii) einen benutzerdefinierten before_send-Filter, der jede lokale Variable eines Stack-Traces, deren Name einem CRM-ähnlichen Muster entspricht (z. B. tasks, items, leads, contacts, email, phone), durch einen Schwärzungsplatzhalter ersetzt, bevor das Ereignis den Anwendungsprozess verlässt.

4.4 Daten, die wir NICHT speichern

Wir speichern, cachen oder kopieren ausdrücklich keines der folgenden Elemente:

• Die CRM-Daten des Nutzers über die Dauer einer einzelnen API-Anfrage hinaus (siehe Abschnitt 3.2).
• Den Inhalt von Nachrichten oder Prompts, die zwischen dem Nutzer und dem KI-Assistenten ausgetauscht werden.
• Jegliche Geschäftsdokumente, Dateien oder Anhänge, die im Bitrix24-Portal gespeichert sind.

5. Zwecke und Rechtsgrundlage (Art. 6 DSGVO)

6. Automatisierte Entscheidungsfindung und Profiling (Art. 13 Abs. 2 lit. f DSGVO)

Die Software führt keine automatisierte Entscheidungsfindung, einschließlich Profiling, durch, die rechtliche Wirkung oder eine ähnlich erhebliche Beeinträchtigung gegenüber dem Nutzer oder einer natürlichen Person entfaltet. Die Software fungiert als transparente Brücke zwischen dem KI-Assistenten des Nutzers und Bitrix24: Jede „Entscheidung” oder „Empfehlung” wird von dem vom Nutzer gewählten KI-Assistenten eines Dritten (z. B. Claude.ai, ChatGPT) erzeugt, nicht von uns.

7. Daten von Kindern (Art. 8 DSGVO)

Die Software richtet sich nicht an Minderjährige. Sie ist ein B2B-Werkzeug für Organisationen, die ein Bitrix24-Portal betreiben. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 18 Jahren. Sollten wir Kenntnis davon erlangen, dass wir versehentlich Daten von einem Minderjährigen erhoben haben, werden wir diese unverzüglich löschen.

8. Aufbewahrung von Daten

Wenn der Nutzer die Software von seinem Bitrix24-Portal deinstalliert, werden alle zugehörigen OAuth-Token, das mcp_token und die Connected-Apps-Aufzeichnungen innerhalb von 24 Stunden aus unserer Datenbank gelöscht, im Einklang mit der entsprechenden Klausel des Auftragsverarbeitungsvertrags (DPA Abschnitt 11).

9. Datenweitergabe und Dritte (Unterauftragsverarbeiter)

Wir geben Daten nur an die folgenden Kategorien von Empfängern weiter, die alle aufgrund ihrer Sicherheitslage und ihrer Verpflichtungen zur DSGVO-Konformität ausgewählt wurden:

Eine vollständige und aktuelle Liste der Unterauftragsverarbeiter wird als Teil des Auftragsverarbeitungsvertrags (DPA) geführt und kann unter [email protected] angefordert werden.

Wir verkaufen personenbezogene Daten niemals. Wir geben keine Daten an Dritte aus den Bereichen Marketing, Werbung oder Analytik weiter.

9.1 Recht auf Widerspruch gegen neue Unterauftragsverarbeiter

Wenn wir einen neuen Unterauftragsverarbeiter beauftragen, der personenbezogene Daten im Namen eines Verantwortlichen verarbeitet (Abschnitt 3.2), werden wir die betroffenen Nutzer mindestens 30 Tage im Voraus benachrichtigen. Nutzer können der Änderung innerhalb dieses Zeitraums schriftlich widersprechen; können Einwände nicht beigelegt werden, kann der Nutzer die betreffende Verarbeitungsvereinbarung beenden.

10. Internationale Datenübermittlungen

Die eigene Infrastruktur der Software (Anwendungsserver, Datenbank, Fehlerüberwachung) wird innerhalb des Europäischen Wirtschaftsraums (EWR) gehostet: Anwendungsserver und Datenbank bei Hetzner (Nürnberg, Deutschland) und Fehlerüberwachung in Sentrys EU-Region (Frankfurt, Deutschland). Wir speichern CRM-Daten an keinem Standort im Ruhezustand.

Die wesentliche Übermittlung personenbezogener Daten außerhalb des EWR, die im Zusammenhang mit der Software auftreten kann, ist die Weiterübermittlung von CRM-Daten an den vom Nutzer autorisierten KI-Assistenten (z. B. Claude.ai, ChatGPT), der sich in den Vereinigten Staaten oder anderswo befinden kann. Diese Übermittlung erfolgt auf dokumentierte Weisung des Nutzers — verwirklicht in dem Moment, in dem der Nutzer einen bestimmten Assistenten über den OAuth-Ablauf der Software autorisiert. Wie im DPA dargelegt, handelt die Organisation des Nutzers für diese Weiterübermittlung als Datenexporteur und ist gemäß Kapitel V der DSGVO dafür verantwortlich, einen angemessenen Übermittlungsmechanismus mit dem gewählten Assistenten sicherzustellen.

Für diese Weiterübermittlung gelten die folgenden Garantien, in der Reihenfolge ihrer Anwendbarkeit:

• Standardvertragsklauseln der Europäischen Kommission (Beschluss 2021/914), die zwischen dem Datenexporteur und dem Anbieter des Assistenten abgeschlossen werden. Zum Stichtag dieser Erklärung ist dies der von Anthropic (Claude) und OpenAI (ChatGPT) öffentlich dokumentierte Mechanismus für personenbezogene Daten aus der EU.
• Zertifizierung der empfangenden Partei nach dem EU-US Data Privacy Framework, sofern — und nur sofern — der Anbieter sich selbstzertifiziert hat und auf der aktiven DPF-Liste verbleibt (aktuellen Status überprüfen unter dataprivacyframework.gov).

Wir stützen uns nicht auf die Ausnahmen des Art. 49 DSGVO (einschließlich Art. 49 Abs. 1 lit. a „ausdrückliche Einwilligung”) als routinemäßige Garantie für diese Übermittlungen. Im Einklang mit den EDSA-Leitlinien 2/2018 sind diese Ausnahmen außergewöhnlich und nicht für Übermittlungen geeignet, die wiederholt oder systematisch erfolgen, was bei den Übermittlungen der Software im normalen Betrieb der Fall ist.

Durch die Autorisierung eines Assistenten außerhalb des EWR akzeptiert der Nutzer, dass seine Anfragen und die entsprechenden CRM-Daten von diesem Assistenten in dessen Rechtsordnung verarbeitet werden. Wir haben keine Kontrolle darüber, wie der Assistent diese Informationen verarbeitet oder aufbewahrt; wir empfehlen dem Nutzer, die jeweilige Datenschutzerklärung jedes Assistenten zu konsultieren.

11. Ihre Rechte (DSGVO)

Als betroffene Person haben Sie die folgenden Rechte:

• Auskunftsrecht (Art. 15) — Anforderung einer Kopie der personenbezogenen Daten, die wir über Sie führen.
• Recht auf Berichtigung (Art. 16) — Anforderung der Korrektur unrichtiger oder unvollständiger Daten.
• Recht auf Löschung (Art. 17) — Anforderung der Löschung Ihrer Daten, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
• Recht auf Einschränkung der Verarbeitung (Art. 18).
• Recht auf Datenübertragbarkeit (Art. 20) — Erhalt Ihrer Daten in einem strukturierten, maschinenlesbaren Format.
• Widerspruchsrecht (Art. 21) — Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung.
• Recht auf Widerruf der Einwilligung — sofern die Verarbeitung auf einer Einwilligung beruht (Art. 7 Abs. 3). Der Widerruf berührt nicht die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung.

Ob die Bereitstellung von Daten verpflichtend ist: Die in Abschnitt 4 beschriebenen Daten sind zum Betrieb der Software unbedingt erforderlich. Wünscht der Nutzer nicht, dass seine Daten verarbeitet werden, sollte er die Software nicht installieren. Es besteht weder vertraglich noch gesetzlich eine Verpflichtung zur Bereitstellung dieser Daten; die einzige Folge einer Verweigerung ist, dass die Software nicht funktionieren kann.

Um ein Recht auszuüben, senden Sie eine Anfrage an [email protected] mit dem Betreff „MCP Bridge — Privacy Request” und einer angemessenen Beschreibung Ihres Anliegens. Wir antworten innerhalb von 30 Kalendertagen.

Sie haben außerdem das Recht, eine Beschwerde bei der spanischen Datenschutzbehörde (AEPD) unter https://www.aepd.es oder bei der Aufsichtsbehörde Ihres EU-Wohnsitzlandes einzureichen.

12. Sicherheitsmaßnahmen

Wir setzen technische und organisatorische Maßnahmen um, die dem Risiko angemessen sind, darunter:

• Verschlüsselung bei der Übertragung (HTTPS / TLS 1.2+, mit bevorzugtem TLS 1.3) für sämtliche Kommunikation zwischen dem Nutzer, der Software und Bitrix24.
• Verschlüsselung im Ruhezustand auf Anwendungsebene für OAuth-Token und das mcp_token: gespeichert als Fernet-Chiffretext (cryptography-Bibliothek) unter Verwendung eines TOKEN_ENCRYPTION_KEY, der außerhalb der Datenbank aufbewahrt wird, mit Unterstützung für Schlüsselrotation. Ein alleiniges Leck der Datenbank ohne den Schlüssel ist kryptografisch unzureichend, um ein Token wiederherzustellen.
• SHA-256-Hashing des mcp_token für den eindeutigen Nachschlageindex, sodass die primäre für die Authentifizierung verwendete Kennung niemals im Klartext gespeichert wird. Die Sperrliste widerrufener Token speichert ebenfalls nur SHA-256-Hashes, niemals die ursprünglichen Token.
• Verschlüsselung auf Datenträgerebene für das Datenbankvolumen, bereitgestellt durch den Cloud-Hosting-Anbieter auf der Infrastrukturebene (ergänzend zur obigen Verschlüsselung auf Anwendungsebene).
• Ratenbegrenzung und Eindringungserkennung, um Brute-Force- oder Enumerationsangriffe abzumildern.
• Audit-Protokolle für sicherheitsrelevante Ereignisse (Installation, OAuth-Autorisierung, Token-Rotation, manueller Widerruf).
• Prinzip der geringsten Rechte bei den OAuth-Scopes — wir fordern nur die für die Funktionalität der Software unbedingt erforderlichen Mindest-Scopes an (crm, user_brief, task, im, imopenlines, bizproc).
• Regelmäßige Sicherheitsüberprüfungen und Aktualisierungen von Abhängigkeiten.

13. Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, werden wir:

1. Die AEPD innerhalb von 72 Stunden benachrichtigen, nachdem uns die Verletzung bekannt geworden ist (Art. 33 DSGVO).
2. Die betroffenen Nutzer unverzüglich benachrichtigen, wenn die Verletzung voraussichtlich ein hohes Risiko für ihre Rechte und Freiheiten zur Folge hat, und dabei die Art der Verletzung, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen zu ihrer Behebung beschreiben (Art. 34 DSGVO).
3. Eine interne Dokumentation aller Verletzungen führen, unabhängig davon, ob eine Meldung erforderlich ist, wie es Art. 33 Abs. 5 DSGVO verlangt.

Benachrichtigungen der Nutzer werden über das Panel „What’s new” der Software und per E-Mail an den im Bitrix24-Portal hinterlegten Kontakt versandt, sofern verfügbar.

14. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren, um Änderungen der Software, gesetzlicher Anforderungen oder unserer Praktiken Rechnung zu tragen. Wesentliche Änderungen werden über das Benachrichtigungspanel „What’s new” der Software und per E-Mail an die im Bitrix24-Portal hinterlegte Kontaktadresse angekündigt, sofern verfügbar. Das Datum des Inkrafttretens und die Version oben in dieser Erklärung werden entsprechend aktualisiert.

Die fortgesetzte Nutzung der Software nach einer Aktualisierung der Erklärung gilt als Annahme der aktualisierten Erklärung.

15. Kontakt

Bei datenschutzbezogenen Fragen, Anliegen oder Anfragen kontaktieren Sie uns unter:

• Email: [email protected] (Betreff: „MCP Bridge — Privacy Request”)
• Address: HUB DESPACHOS Y PYMES S.L., Avenida Benito Pérez Armas, 2 - PTL 2,6 B, Santa Cruz de Tenerife, Spain
• Phone: +34 822 684 008

Last updated: 2026-06-05 Version: 1.2

Änderungsprotokoll

v1.2 (2026-06-05) — DSGVO-Härtungsprüfung (Abstimmung mit DPA v1.1):

• §4.3 — Die Sentry-Aussage präzisiert: ausdrücklicher Verweis auf die Einstellung send_default_pii=False und den benutzerdefinierten before_send-Filter, der auf lokale Stack-Trace-Variablen angewendet wird, die CRM-ähnlichen Mustern entsprechen.
• §8 — Löschfristen für OAuth-Token, mcp_token und Connected-Apps- Aufzeichnungen über alle Zeilen der Aufbewahrungstabelle hinweg auf „innerhalb von 24 Stunden” vereinheitlicht, in Abstimmung mit DPA §11.
• §9 — Tabelle der Unterauftragsverarbeiter aktualisiert: ausdrückliche Sentry- EU-Region (Frankfurt — ingest.de.sentry.io); Hetzner-Rechenzentrum angegeben (Nürnberg, Deutschland); zeilenbezogene Garantien für jede Übermittlung außerhalb des EWR; Klarstellung, dass der KI-Assistent für die eigene Verarbeitung der Antwort durch den Assistenten als eigenständiger Verantwortlicher handelt. Für Anthropic (Claude) und OpenAI (ChatGPT) wird der primäre Übermittlungsmechanismus als Standardvertragsklauseln (2021) benannt; das EU-US Data Privacy Framework wird als bedingte Garantie behandelt, vorbehaltlich der Überprüfung des aktuellen Zertifizierungsstatus des Anbieters durch den Nutzer unter dataprivacyframework.gov.
• §10 — Abschnitt zu internationalen Übermittlungen im Einklang mit den EDSA-Leitlinien 2/2018 neu gefasst, wobei SCCs (2021) als primäre Garantie für die Weiterübermittlung an den KI-Assistenten und das EU-US Data Privacy Framework als bedingte Garantie, die eine Überprüfung durch den Nutzer auf der offiziellen DPF-Liste erfordert, benannt werden. Art. 49 Abs. 1 lit. a „ausdrückliche Einwilligung” als routinemäßige Garantie entfernt.
• §12 — Sicherheitsmaßnahmen erweitert, um die Fernet-Verschlüsselung von OAuth-Token und mcp_token auf Anwendungsebene, das SHA-256-Hashing für Nachschlageindizes und die Sperrliste widerrufener Token hervorzuheben, wobei die Verschlüsselung auf Datenträgerebene als ergänzende Maßnahme klargestellt wird.

v1.1 (2026-05-21) — Unterscheidung zwischen Verantwortlichem/ Auftragsverarbeiter, DPA-Verweis, automatisierte Entscheidungsfindung nach Art. 13 Abs. 2 lit. f, Daten von Kindern nach Art. 8, DSB-Erklärung, Meldung von Verletzungen an Nutzer nach Art. 34, Klarstellung pseudonymer personenbezogener Kennungen, Opt-out-Rechte bei Unterauftragsverarbeitern hinzugefügt.