1. Verantwortlicher

Diese Erklärung gilt für die Website khumo.ai, die Demo unter demo.khumo.ai und die Khumo-Plattform (die Anwendung, in der unsere Kunden ihre Projekte bearbeiten).

2. Website khumo.ai

Aufruf der Website

Die Website wird über Cloudflare Pages ausgeliefert (Cloudflare, Inc., USA). Beim Aufruf verarbeitet Cloudflare technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Seite, Referrer und Browserkennung. Das ist nötig, um die Seiten auszuliefern und vor Angriffen zu schützen (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einem sicheren Betrieb). Wir selbst führen keine eigenen Zugriffsprotokolle der Website.

Keine Cookies, keine Analyse, keine Schriften von Dritten

Die Website setzt keine Cookies und nutzt keine Analyse- oder Marketingdienste. Beim Wechsel der Sprache merkt sich der Browser für diesen einen Seitenwechsel die Scrollposition (sessionStorage auf Ihrem Gerät, technisch erforderlich nach § 25 Abs. 2 TDDDG). Schriften werden von unserem eigenen Server geladen, nicht von Google. Links zu LinkedIn verbinden Sie erst, wenn Sie sie anklicken.

Kontakt per E-Mail

Wenn Sie uns schreiben, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten, um zu antworten (Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag, sonst lit. f). Wir löschen sie, wenn die Anfrage erledigt ist, außer Aufbewahrungspflichten des Handels- und Steuerrechts verlangen etwas anderes (bis zu sechs bzw. zehn Jahre).

3. Demo (demo.khumo.ai)

Die Demo öffnet sich über einen persönlichen Link. Damit Sie die Demo danach ohne den Link wieder öffnen können, legt sie ein technisch notwendiges Cookie mit dem Schlüssel des Links ab. Je Link speichern wir, wann er zuerst und zuletzt geöffnet wurde, wie oft, und ob auf einem Telefon oder einem Computer; keine IP-Adressen. So sehen wir, ob eine Einladung angekommen ist (Art. 6 Abs. 1 lit. f DSGVO). Die Daten liegen bei Cloudflare und bleiben, solange der Link besteht; auf Anfrage löschen wir den Link sofort. Die Demo enthält nur erfundene Unternehmen und Daten.

4. Khumo-Plattform

Projektinhalte: Verarbeitung im Auftrag

Dokumente, Ergebnisse, Kommentare und alles Weitere, was unsere Kunden in ihre Projekte einbringen, verarbeiten wir im Auftrag des Kunden (Art. 28 DSGVO), auf Grundlage eines Auftragsverarbeitungsvertrags. Verantwortlich für diese Daten ist der Kunde, also die Beratungsgesellschaft oder der Investor, der das Projekt führt. Fragen zu solchen Daten richten Sie bitte an ihn; erreichen sie uns, leiten wir sie weiter.

Konten

Konten gibt es nur auf Einladung, durch den Kunden oder durch uns bei der Einrichtung. Dazu verarbeiten wir Name, E-Mail-Adresse, Organisation, Rolle, Anmeldedaten (das Passwort nur als Hash), persönliche Einstellungen und das Aktivitätsprotokoll der Organisation (wer hat wann was hochgeladen, geprüft, geändert oder freigegeben). Für die Mitarbeiter unserer Kunden und die von ihnen eingeladenen Personen geschieht das im Auftrag des Kunden. Soweit wir selbst verantwortlich sind, für die Sicherheit des Betriebs, die Abwehr von Missbrauch und die Abrechnung, stützen wir uns auf Art. 6 Abs. 1 lit. b, c und f DSGVO.

E-Mails

Die Plattform verschickt Einladungen und Links zum Zurücksetzen des Passworts sowie Hinweise, wenn jemand Sie erwähnt, Ihnen antwortet, Ihnen etwas zuweist, Dokumente hinzufügt oder ein Projekt für Sie öffnet. Die Hinweise lassen sich in den persönlichen Einstellungen abschalten. Versand über Brevo (Sendinblue SAS, Frankreich).

Im Browser

Die Plattform speichert in Ihrem Browser nur, was sie zum Funktionieren braucht: Ihre Anmeldung und Ansichtseinstellungen (technisch erforderlich nach § 25 Abs. 2 TDDDG). Keine Analyse- oder Marketingdienste, Schriften vom eigenen Server.

KI-Modelle

Für die Auswertung gehen Ausschnitte der Dokumente über OpenRouter ausschließlich an EU-Endpunkte der Modellanbieter, die nichts speichern (Zero Data Retention). Kein Anbieter darf die Daten speichern oder zum Training verwenden; wir trainieren keine Modelle.

Protokolle

Unser Hosting-Anbieter führt technische Protokolle (IP-Adresse, Zeitpunkt, Anfrage) zur Fehlersuche und Abwehr von Angriffen; sie werden nach kurzer Zeit automatisch gelöscht. Für jeden KI-Aufruf protokollieren wir Zeitpunkt, Aufgabe, Modell, Tokenzahl und Kosten, aber keine Inhalte.

5. Empfänger

Wir setzen diese Dienstleister ein, jeweils mit einem Vertrag zur Auftragsverarbeitung:

Bei Dienstleistern mit Sitz in den USA beruht die Übermittlung auf dem Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und im Übrigen auf den Standardvertragsklauseln der EU-Kommission.

6. Speicherdauer

• Projektinhalte: nach Weisung des Kunden; mit der Löschung eines Projekts werden sie sofort gelöscht, aus den Datenbanksicherungen des Anbieters spätestens nach Ablauf von deren Aufbewahrungsfrist.
• Konten: für die Dauer des Vertrags mit dem Kunden; nach Vertragsende 30 Tage für den Export, danach Löschung.
• E-Mail-Korrespondenz: bis die Anfrage erledigt ist, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

7. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Schreiben Sie dazu an [email protected]. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren (Art. 77 DSGVO); für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Ansbach.

8. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Dienste oder Dienstleister ändern. Es gilt die hier veröffentlichte Fassung.

Privacy policy

As of 15 October 2026. The German version above prevails.

1. Controller

Khumo Automation UG (haftungsbeschränkt), Freisinger Landstraße 21, 80939 München, Germany · [email protected]. This policy covers the website khumo.ai, the demo at demo.khumo.ai and the Khumo platform (the application in which our customers work on their projects).

2. Website khumo.ai

Visiting the website

The website is delivered by Cloudflare Pages (Cloudflare, Inc., USA). When you visit it, Cloudflare processes the data needed to deliver the pages and protect them from attacks: IP address, time, page requested, referrer and browser (Art. 6(1)(f) GDPR, our legitimate interest in secure operation). We keep no access logs of the website ourselves.

No cookies, no analytics, no third-party fonts

The website sets no cookies and uses no analytics or marketing services. When you switch the language, your browser remembers the scroll position for that one page change (sessionStorage on your device, strictly necessary under § 25(2) TDDDG). Fonts come from our own server, not from Google. Links to LinkedIn only connect you when you click them.

Contact by e-mail

When you write to us, we process your message and contact details to answer (Art. 6(1)(b) GDPR for enquiries about a contract, otherwise (f)). We delete them once the matter is settled, unless commercial or tax law requires us to keep them (up to six or ten years).

3. Demo (demo.khumo.ai)

The demo opens with a personal link. So that you can open it again without the link, it sets a strictly necessary cookie holding the link's key. For each link we store when it was first and last opened, how often, and whether on a phone or a computer; no IP addresses. That tells us whether an invitation arrived (Art. 6(1)(f) GDPR). The data is kept at Cloudflare for as long as the link exists; on request we delete the link at once. The demo contains only made-up companies and data.

4. The Khumo platform

Project content: processing on behalf of our customers

Documents, results, comments and everything else our customers bring into their projects are processed on behalf of the customer (Art. 28 GDPR), under a data processing agreement. The customer, the advisory firm or investor running the project, is the controller for that data. Please address questions about it to them; if they reach us, we pass them on.

Accounts

Accounts exist only by invitation, from the customer or from us while setting up. For them we process name, e-mail address, organisation, role, sign-in data (the password only as a hash), personal settings and the organisation's activity log (who uploaded, checked, changed or approved what, and when). For our customers' staff and the people they invite this is done on behalf of the customer. Where we are controller ourselves, for secure operation, preventing misuse and billing, the legal bases are Art. 6(1)(b), (c) and (f) GDPR.

E-mails

The platform sends invitations and password-reset links, and notices when someone mentions you, replies to you, assigns something to you, adds documents or opens a project for you. The notices can be switched off in your personal settings. Sent through Brevo (Sendinblue SAS, France).

In your browser

The platform stores in your browser only what it needs to work: your sign-in and view settings (strictly necessary under § 25(2) TDDDG). No analytics or marketing services; fonts from our own server.

AI models

For the analysis, excerpts of the documents go through OpenRouter only to EU endpoints of the model providers that keep nothing (zero data retention). No provider may store the data or train on it; we do not train models.

Logs

Our hosting provider keeps technical logs (IP address, time, request) for troubleshooting and defence against attacks; they are deleted automatically after a short time. For every AI call we log the time, task, model, token count and cost, but no content.

5. Recipients

We use these providers, each under a data processing agreement:

For providers based in the USA, transfers rely on the European Commission's adequacy decision for the EU–US Data Privacy Framework where the provider is certified, and otherwise on the Commission's standard contractual clauses.

6. How long we keep data

• Project content: as the customer instructs; deleting a project deletes it at once, and from the provider's database backups once their retention period has passed.
• Accounts: for the term of the contract with the customer; after it ends, 30 days for export, then deletion.
• E-mail correspondence: until the matter is settled, subject to statutory retention periods.

7. Your rights

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21). Write to [email protected]. You may also lodge a complaint with a data protection authority (Art. 77 GDPR); ours is the Bavarian Data Protection Authority (BayLDA), Ansbach.

8. Changes

We update this policy when our services or providers change. The version published here applies.