Operational update: Chiefly-owned WhatsApp Business App with linked devices; founders and authorised backup access; WhatsApp task history today; Notion handover summaries planned for later.
English
1. Who is responsible?
Himanshu Arora, trading as Chiefly, sole proprietor, Elmauer Str. 8, 81377 Munich, Germany. For privacy requests, the intended contact is hello@chiefly.eu. The mailbox must be activated and tested. You may also write to the postal address above.
2. What happens on this website now?
The website explains Chiefly and displays fictional examples. There is no active checkout, customer account or website enquiry form. Viewing an example does not transmit your own task information. The first step is an introductory conversation; contacting Chiefly does not itself start a paid subscription.
3. Information and purposes
We may process your name, contact details and enquiry to respond to you and assess the requested support. Steps you request towards a contract are based on Article 6(1)(b) GDPR; general enquiries may be handled on the basis of our legitimate interest in responding, under Article 6(1)(f). Technical access data may be processed for reliable delivery and security under Article 6(1)(f).
If a service agreement is made later, necessary task instructions, preferences, approvals and scheduling information are processed to perform it under Article 6(1)(b). Statutory accounting records are kept under Article 6(1)(c). Optional marketing or other consent-based purposes require a separate lawful basis; an enquiry is not a marketing subscription.
4. Hosting and website technologies
This website is hosted through OpenAI Sites. The exact contractual hosting entity, processor terms, technical recipients, log retention and international-transfer arrangements still require verification before this notice is final. We do not promise EU-only storage.
The website code uses local fonts and original illustrations, with no advertising pixels, analytics service or embedded third-party video player. The hosting and access layer must be assessed separately. Any non-essential device storage or tracking will require the applicable consent before activation.
5. Chiefly-owned WhatsApp Business account
Customers communicate with a Chiefly-owned WhatsApp Business number. Assistants do not use their own personal number for customer conversations. We receive the messages, voice notes, attachments and contact information you send to Chiefly. We do not receive access to your unrelated private WhatsApp conversations through that contact.
The dedicated service conversation still contains personal data. The current implementation is the WhatsApp Business App on linked devices. Founders and authorised backup assistants can access service conversations. Customer task history is currently kept in WhatsApp; a minimal Notion handover record is planned but is not yet in use. Linked-device access must be assessed because it may expose conversations beyond one assigned customer. For a business established in the European Region, WhatsApp’s current Business App and Platform terms identify WhatsApp Ireland Limited as the contracting provider. This does not mean every recipient is Chiefly’s processor; the roles and applicable transfer terms need to be documented for the selected setup.
Access will be limited to the assigned assistant and authorised Chiefly staff where needed for service delivery, continuity, supervision or security. Founders and authorised backup assistants may see service conversations; access is not exclusive to the assigned assistant. Calendar information is used only where you grant the required access, which you may revoke prospectively.
6. Assistants in India
Chiefly intends to use independent assistants in India. Making customer information available to a separate service provider there can constitute an international transfer, including remote access. Before such access begins, Chiefly must document the parties’ roles, confidentiality and instructions, any Article 28 processing agreement, the appropriate Chapter V transfer mechanism, transfer assessment and supplementary safeguards. These arrangements are not represented as completed by this draft. A general agreement to use the service does not replace them.
7. Providers, family members and sensitive information
Where needed for an approved task, relevant details may be shared with a selected venue, travel provider or other supplier. Only necessary information should be shared. Customers should provide information about family members or other people only where permitted. Children’s information should be limited to necessary organisational details, such as an age range for an activity. Any applicable indirect-collection notice must be assessed.
Please do not send passwords, payment-card details, identity documents or medical records by chat. If health information or another special category is genuinely needed, the Article 9 legal basis and safeguards must be assessed separately before processing. Stripe and other payment integrations are not currently active.
8. Storage and deletion
Enquiries are retained while needed to resolve them or take requested pre-contractual steps. Service messages, profiles and task records are retained only for necessary service purposes, applicable legal obligations or concrete legal claims. Accounting records follow the applicable statutory retention rules. Proposed schedule for review: delete unconverted enquiries after 90 days without substantive contact; review completed routine task material after 90 days; delete customer profiles and Chiefly-held chats within 90 days after service ends, unless a documented legal obligation, unresolved task or claim requires specific information longer. Statutory records are separated from full chats. Hosting logs and backup cycles still require verification. These periods are proposals, not yet implemented controls. This draft does not assert that a deletion schedule is already implemented.
9. Security
The intended controls include individual authorised access, confidentiality obligations, secure accounts and devices, prompt removal of departing assistants’ access, and a documented incident and deletion process. Their actual implementation and any backups must be checked before service launch. No certification is claimed.
10. Your rights
Subject to the legal conditions, you may request access, correction, erasure, restriction and portability. Consent may be withdrawn for the future. You may object to processing based on legitimate interests on grounds relating to your particular situation and to direct marketing at any time. You may complain to a supervisory authority, including the Bavarian State Office for Data Protection Supervision at lda.bayern.de.
Information needed for an enquiry or task is necessary to handle it; optional information is voluntary. No solely automated decision producing legal or similarly significant effects is planned. Any future AI-assisted processing would need a separate assessment and an accurate explanation before introduction.
Betriebsstand: WhatsApp Business App mit verknüpften Geräten unter Chiefly-eigener Nummer. Gründer und autorisierte Vertretungen dürfen Service-Chats einsehen. Der Aufgabenverlauf liegt derzeit nur in WhatsApp; minimale Notion-Übergaben sind erst geplant. Verknüpfte Geräte können technisch mehr als einen Kundenchat sichtbar machen; Zugriffe sind vorab zu prüfen. Vorschlag zur Aufbewahrung: unverbindliche Anfragen 90 Tage nach letztem wesentlichem Kontakt löschen, erledigte Routineaufgaben nach 90 Tagen prüfen, Profile und Chiefly-seitige Chats binnen 90 Tagen nach Vertragsende löschen, soweit kein dokumentierter rechtlicher oder sachlicher Ausnahmegrund besteht. Anbieterlogs und Backupzyklen sind noch zu prüfen; diese Vorschläge sind noch keine umgesetzte Löschroutine.
Deutsch — vollständige deutsche Fassung
Das Angebot startet für volljährige Verbraucher in Deutschland. Die Service- und Vertragssprache ist Englisch. Ein unverbindliches Einführungsgespräch geht jedem kostenpflichtigen Angebot voraus. Die Kommunikation erfolgt über eine Chiefly-eigene WhatsApp-Business-Nummer; private Nummern der Assistenzkräfte werden dafür nicht genutzt. Auf andere private Chats der Kunden wird nicht zugegriffen. Aktivierung der Kontaktwege und konkrete Datenverarbeitungsabläufe sind vor Betriebsaufnahme zu bestätigen.
1. Verantwortlicher und Kontakt
Verantwortlich ist Himanshu Arora, handelnd unter Chiefly, Elmauer Str. 8, 81377 München, Deutschland. Datenschutzanfragen: hello@chiefly.eu. Falls ein Datenschutzbeauftragter benannt werden muss oder freiwillig benannt wird, werden dessen Kontaktdaten ergänzt.
2. Aktuelle Vorschau und geplanter Betrieb
Diese private Vorschau enthält Beispielabläufe und Preisvorschläge. Sie bietet derzeit kein Kundenkonto, keinen Checkout und kein Kontaktformular. Die Beispielanimation verarbeitet keine von Besuchern eingegebenen Aufgaben. Der Website-Aufruf kann dennoch beim Hosting-Anbieter technische Zugriffs- und Sicherheitsdaten erzeugen.
Die folgenden Abschnitte zum Assistenzdienst beschreiben den geplanten Betrieb. Sie dürfen erst als endgültige Information verwendet werden, wenn die beschriebenen Prozesse eingerichtet und überprüft sind.
3. Zwecke und Rechtsgrundlagen
- Websitebetrieb und Sicherheit: technisch erforderliche Verbindungsdaten, etwa IP-Adresse, Zeitpunkt, angeforderte Seite und Browserinformationen. Vorgesehene Grundlage: Art. 6 Abs. 1 lit. f DSGVO; Interesse an sicherem Betrieb und Missbrauchsschutz.
- Anfragen und Vertragsanbahnung: Name, Kontaktdaten und Inhalt der Anfrage; Art. 6 Abs. 1 lit. b DSGVO bei konkreten vorvertraglichen Anfragen, sonst gegebenenfalls lit. f für die Bearbeitung allgemeiner Nachrichten.
- Assistenzleistung: Aufgaben, Termine, freigegebene Kalenderinformationen, Präferenzen, Entscheidungen und notwendige Kommunikationsinhalte; Art. 6 Abs. 1 lit. b DSGVO, soweit zur vereinbarten Leistung erforderlich.
- Abrechnung und Nachweise: Vertrags- und Rechnungsdaten; Art. 6 Abs. 1 lit. b sowie lit. c DSGVO bei gesetzlichen Pflichten.
- Optionale Zwecke: Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, soweit rechtlich erforderlich. Werbung oder zusätzliche Analyse wird nicht allein aus dem Servicevertrag abgeleitet.
4. Hosting, Cookies und Dienste der Website
Die Vorschau wird über OpenAI Sites bereitgestellt. Die konkrete vertragliche Anbieteridentität, Auftragsverarbeitungsbedingungen, technischen Unterauftragnehmer, Logfristen und Übermittlungsmechanismen sind vor einer öffentlichen Freigabe anhand der geltenden Hosting-Unterlagen zu dokumentieren. Diese Prüfung ist noch offen. Eine ausschließliche Speicherung in Deutschland oder der EU wird nicht zugesagt.
Im selbst erstellten Seitencode sind derzeit keine externen Schriftarten, Werbepixel oder Drittanbieter-Videoplayer eingebunden. Das Verhalten der Hosting- und Zugangsebene muss zusätzlich geprüft werden. Für nicht notwendige Endgerätezugriffe ist vorab die erforderliche Einwilligung einzuholen; technisch notwendige Zugriffe sind nach § 25 Abs. 2 TDDDG gesondert zu beurteilen.
5. WhatsApp, E-Mail und Kalender
Die Kommunikation erfolgt über eine Chiefly-eigene WhatsApp-Business-Nummer, nicht über private Nummern der Assistenzkräfte. Chiefly erhält keinen Zugriff auf andere private WhatsApp-Chats der Kunden. Der Chiefly-Chat selbst enthält jedoch personenbezogene Daten. Dabei können Nachrichten, Telefonnummern, Profilinformationen, Anhänge und Kommunikationsmetadaten verarbeitet werden. Die konkrete WhatsApp-/Meta-Vertragsgesellschaft, die verwendete Business-Lösung und ein möglicher Inbox-Anbieter stehen noch nicht abschließend fest. Der Kundenbetrieb wird erst nach Dokumentation der Rollen, Datenschutzhinweise und Drittlandtransfers freigegeben. Die Wahl von WhatsApp ersetzt keine erforderlichen Verträge oder Transfergarantien.
Für Anfragen und Datenschutzrechte: hello@chiefly.eu. Kalender werden nur mit einer passenden Freigabe und im erforderlichen Umfang genutzt. Eine Freigabe kann für die Zukunft entzogen werden; betroffene Aufgaben müssen dann gegebenenfalls anders bearbeitet werden.
6. Zugeordnete Assistenzkräfte und Zugriff aus Indien
Chiefly plant den Einsatz von Assistenzkräften in Indien. Ein Zugriff rechtlich selbstständiger Dienstleister aus Indien auf EU-Kundendaten ist als Drittlandübermittlung zu prüfen. Indien steht derzeit nicht auf der Angemessenheitsliste der Europäischen Kommission.
Vor einem solchen Zugriff müssen Rollen und Weisungsbindung geklärt, erforderliche Verträge nach Art. 28 DSGVO sowie geeignete Garantien nach Kapitel V festgelegt werden. Als Grundlage kommen insbesondere passende EU-Standardvertragsklauseln in Betracht, ergänzt durch eine Transferprüfung und erforderliche zusätzliche Schutzmaßnahmen. Die genaue Empfängerkategorie, das passende Modul und die Garantien sind hier zu benennen; eine Kopie kann mit den notwendigen Schwärzungen angefordert werden.
Offen: diese Vereinbarungen und Prüfungen sind im Entwurf nicht als abgeschlossen bestätigt. Ein allgemeines Einverständnis mit dem Service ersetzt sie nicht.
7. Weitere Empfänger und Daten anderer Personen
Informationen können an für eine Aufgabe ausgewählte Anbieter gehen, etwa Restaurants, Hotels oder Terminanbieter. Es wird nur weitergegeben, was für die abgestimmte Aufgabe benötigt wird. Zahlungsanbieter wie Stripe sind noch nicht eingebunden; vor Aktivierung werden Anbieter, Zwecke und rechtliche Rollen ergänzt.
Wenn Kunden Angaben über Partner, Kinder oder andere Personen übermitteln, müssen Berechtigung, Rechtsgrundlage und gegebenenfalls Informationspflichten nach Art. 14 DSGVO geprüft werden. Bitte keine unnötigen Informationen Dritter oder besonders vertraulichen Unterlagen senden. Daten von Kindern sollen auf notwendige organisatorische Angaben begrenzt werden.
8. Sensible Daten und Schutz
Das Standardangebot ist nicht auf die Verarbeitung von Gesundheitsakten, Ausweiskopien, Bankzugängen oder anderen besonders sensiblen Unterlagen ausgelegt. Sollten ausnahmsweise besondere Datenkategorien erforderlich sein, müssen Zweck, Rechtsgrundlage nach Art. 9 DSGVO und Schutzmaßnahmen vorher gesondert geklärt werden.
Vorgesehen sind aufgabenbezogene Zugriffsrechte, Vertraulichkeitsverpflichtungen, sichere Konten und eine nachvollziehbare Freigabe von Präferenzänderungen. Vor Aufnahme des Kundenbetriebs werden diese Maßnahmen und die konkreten Zugriffsrollen dokumentiert. Es wird keine Datenschutz-Zertifizierung zugesagt.
9. Speicherdauer
Daten werden nur so lange aufbewahrt, wie es für den jeweiligen Zweck, gesetzliche Pflichten oder die Klärung von Ansprüchen erforderlich ist. Einzelfristen werden vor Start festgelegt und hier eingetragen:
- Technische Logs: Die verbindliche Löschfrist ist aus den Hosting-Vertragsunterlagen noch zu bestätigen.
- Unverbindliche Anfragen: bis zur abschließenden Bearbeitung; eine längere Speicherung erfolgt nur bei einem dokumentierten gesetzlichen oder sonstigen tragfähigen Grund.
- Chats, Profile und Aufgabenhistorie: während der notwendigen Aufgabenbearbeitung und Zusammenarbeit; nach Vertragsende nur soweit eine gesetzliche Pflicht oder die Klärung konkreter Ansprüche dies erfordert.
- Rechnungs- und Vertragsnachweise: nach den jeweils einschlägigen gesetzlichen Aufbewahrungspflichten; die Zuordnung nach Belegart ist vor dem ersten Vertrag zu dokumentieren.
- Backups: der konkrete Löschzyklus und die Behandlung von Löschanforderungen sind mit dem gewählten Anbieter vor Kundenbetrieb festzulegen.
10. Ihre Rechte
Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden. Gegen eine auf berechtigte Interessen gestützte Verarbeitung kann aus Gründen der besonderen Situation Widerspruch eingelegt werden; gegen Direktwerbung jederzeit.
Sie können sich an eine Datenschutzaufsichtsbehörde wenden, insbesondere am gewöhnlichen Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Bei einem privaten Unternehmen mit Sitz in Bayern ist insbesondere das Bayerische Landesamt für Datenschutzaufsicht eine Anlaufstelle.
Für die Leistung notwendige Angaben sind erforderlich, um entsprechende Aufgaben zu bearbeiten. Eine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung ist nicht vorgesehen. Zusätzliche KI-gestützte Profilpflege müsste vor Einführung gesondert bewertet und erläutert werden.