Datenschutzerklärung

Diese Erklärung gilt für die Plattform KI-Denkraum unter kidenkraum.com. Sie sagt dir, welche personenbezogenen Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage, an wen sie gehen und wie lange wir sie speichern (Art. 13 und 14 DSGVO). Für die Unternehmenswebsite de.lennartgehl.com gilt deren eigene Datenschutzerklärung.

1. Verantwortlicher und Kontakt

Verantwortlich für die Datenverarbeitung auf der Plattform ist:

lennartgehl.com GmbH
Hans-Henny-Jahnn-Weg 53
22085 Hamburg, Deutschland
vertreten durch den Geschäftsführer Lennart Maximilian Gehl
Telefon: +49 176 40781724
E-Mail: hallo@kidenkraum.com

Diese Adresse gilt auch für alle Fragen zum Datenschutz.

Einen Datenschutzbeauftragten haben wir nicht benannt, weil nach unserer derzeitigen Einschätzung keine Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG).

Eine Besonderheit gilt für Teams: Für Teams und die Konten ihrer Mitglieder handeln wir im Auftrag des Unternehmens, das das Team-Abo bezahlt (Abschnitt 10).

2. Das Wichtigste in Kürze

Der KI-Denkraum ist eine Online-Plattform mit kuratierten Erkenntnissen aus Podcastgesprächen über KI in Unternehmen. Das Angebot richtet sich nur an Unternehmen. Wir verarbeiten personenbezogene Daten nur, soweit wir sie für den Betrieb der Plattform, dein Konto, die Abrechnung, die Sicherheit und gesetzliche Pflichten brauchen.

• Wir setzen keine Analyse-, Werbe- oder Tracking-Dienste ein und bilden keine Nutzungsprofile.
• Was du liest, suchst, merkst oder herunterlädst, speichern wir nicht zu deinem Konto. Deine Merkliste bleibt in deinem Browser.
• Wir verwenden deine Daten nicht, um KI-Modelle zu trainieren. Ein KI-Modell kommt nur in zwei Fällen zum Einsatz: Suchst du mit vollem Zugang, wandelt ein Modell von Cohere deinen Suchbegriff in eine Zahlenfolge um, ohne Bezug zu deinem Konto (Abschnitt 5). Bearbeiten wir eine Anfrage von dir oder einen Fehler, kann uns Claude helfen (Abschnitt 11). Beides läuft über Amazon Web Services in der EU, ohne Speicherung und ohne Training.
• Die Plattform bettet keine Player ein und lädt keine Schriften oder Bilder von fremden Servern. Auch die Cover der Podcasts liefert unser eigener Server aus (Abschnitt 4). Von einem fremden Server lädt dein Browser nur bei der Registrierung und bei „Passwort vergessen“ den Bot-Schutz von Cloudflare (Abschnitt 7).
• Die Vorschau nutzt du ohne Konto und ohne Angaben zu deiner Person.

Was für dich gilt, hängt davon ab, wie du den KI-Denkraum nutzt: mit eigenem Konto in der Testphase oder mit eigenem Abo (Abschnitte 7 bis 9), als Mitglied im Team deines Unternehmens oder als eingeladene Person, die die Einladung noch nicht angenommen hat (Abschnitt 10).

Vertragsgrundlage. Verträge über den KI-Denkraum schließen wir mit Unternehmen. Bist du selbst Vertragspartner, etwa als Einzelunternehmer, verarbeiten wir die Daten für Konto und Vertrag nach Art. 6 Abs. 1 lit. b DSGVO. Handelst du für ein Unternehmen, stützen wir uns auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, den Vertrag mit deinem Unternehmen durchzuführen und dir dafür ein Konto bereitzustellen. In den folgenden Abschnitten heißt das kurz „Vertragsgrundlage“.

3. Aufruf der Plattform und Hosting

Die Plattform läuft bei Vercel. Die Serverfunktionen arbeiten in Frankfurt am Main. Seiten und Dateien liefert Vercel über sein weltweites Servernetz aus, in der Regel von einem Standort in deiner Nähe.

• Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Statuscode und Browserkennung (Angaben zu Browser und Betriebssystem). Bei einzelnen Vorgängen wie Registrierung, Anmeldung, Kauf oder Fehlern schreibt unsere Anwendung kurze Einträge dazu, etwa die Kennung deines Kontos. E-Mail-Adressen erscheinen darin nur gekürzt.
• Zweck: Seiten ausliefern, Fehler finden, Angriffe und Missbrauch abwehren. Dazu zählt die Anwendung Anfragen je IP-Adresse, bei der Registrierung zum Beispiel höchstens fünf pro Minute. Diese Zählung liegt nur im Arbeitsspeicher und wird nicht gespeichert.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb der Plattform.
• Empfänger: Vercel Inc., USA, als Auftragsverarbeiter (Abschnitt 13).
• Speicherdauer: Vercel löscht diese Protokolle automatisch, in unserem Tarif nach spätestens 30 Tagen.

4. Cover-Bilder und Links zu Podcastplattformen

Cover-Bilder. Die Bilder der Podcastfolgen stammen aus den öffentlichen Feeds der Podcasts. Dort stellen die Podcasts sie selbst für Podcast-Apps und Verzeichnisse bereit. Unser Server holt sie dort ab und liefert sie selbst aus. Dein Browser nimmt dafür keine Verbindung zu den Podcasts oder ihren Anbietern auf, und sie erfahren nichts über dich. Welches Bild zu einer Folge gehört, ermitteln wir über den Podcast-Datendienst Podscan. Auch dabei gehen keine Daten über dich an Dritte.

Links. Links zu Spotify, Apple Podcasts und anderen Plattformen führen zu externen Angeboten. Erst wenn du einen Link anklickst, verbindet sich dein Browser mit dem jeweiligen Anbieter. Dort gelten dessen Datenschutzhinweise.

5. Suche

Über „Suche“ im Kopf der Seite und das Suchfeld auf der Übersicht durchsuchst du alle Räume des KI-Denkraums.

• Daten: dein Suchbegriff, deine IP-Adresse, ob du einen Raum gewählt hast und ob du angemeldet bist und vollen Zugang hast.
• Ohne Konto und ohne vollen Zugang sucht nur unser Server nach den Wörtern deiner Eingabe und zeigt, wie viele Treffer es gibt. Ein KI-Modell kommt dabei nicht zum Einsatz.
• Mit vollem Zugang (Testphase oder Abo) wandelt zusätzlich ein KI-Modell deinen Suchbegriff in eine Zahlenfolge um, die seine Bedeutung beschreibt. So findet die Suche auch Gespräche, die andere Wörter verwenden als du. Dafür nutzen wir das Modell Embed von Cohere über den Dienst Amazon Bedrock von Amazon Web Services, verarbeitet in Rechenzentren in der EU. Übermittelt wird nur der Suchbegriff, ohne Kennung deines Kontos. Nach den Zusagen von AWS wird der Suchbegriff dort nicht gespeichert, nicht an Cohere weitergegeben und nicht zum Training genutzt. Die Zahlenfolge hält unser Server bis zu einer Stunde im Arbeitsspeicher, damit dieselbe Suche nicht erneut umgewandelt werden muss; auf einen Datenträger schreiben wir sie nicht. Antwortet das Modell nicht rechtzeitig, zeigt die Suche nur die Treffer zu den Wörtern deiner Eingabe.
• Zweck: dir passende Kernaussagen, Gespräche und Anwendungsfälle zeigen und Missbrauch abwehren. Dazu zählt die Anwendung Suchen je IP-Adresse, ohne Konto zum Beispiel höchstens 20 pro Minute. Diese Zählung liegt nur im Arbeitsspeicher.
• Protokolle: Der Suchbegriff steht in der aufgerufenen Adresse und damit für höchstens 30 Tage in den Protokollen von Vercel (Abschnitt 3). Unsere Anwendung protokolliert je Suche nur Zahlen und Merkmale ohne den Suchbegriff: Art des Zugangs, Zahl der Treffer, Dauer und ob eine vorgeschlagene Frage, ein Raum oder das KI-Modell beteiligt war.
• Rechtsgrundlage: mit Konto die Vertragsgrundlage (Abschnitt 2); läuft dein Zugang über ein Team, verarbeiten wir die Suche im Auftrag deines Unternehmens (Abschnitt 10); ohne Konto Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist, Besuchern zu zeigen, was der KI-Denkraum zu ihrer Frage enthält. Für die Zählung je IP-Adresse gilt Abschnitt 3.
• Empfänger: Vercel Inc. (Abschnitt 3); bei vollem Zugang Amazon Web Services EMEA SARL als Auftragsverarbeiter (Abschnitt 13).
• Speicherdauer: Suchbegriffe speichern wir nicht zu deinem Konto und nicht in eigenen Protokollen; in den Protokollen von Vercel stehen sie höchstens 30 Tage.

6. Cookies und Speicher im Browser

Wir speichern in deinem Browser nur, was für die Plattform unbedingt nötig ist. Analyse- oder Werbecookies gibt es nicht. Deshalb brauchen wir keine Einwilligung. Der Cookie-Hinweis informiert dich nur und schaltet nichts ein.

Merkliste und Bestätigung des Hinweises überträgt die Anwendung nie an einen Server.

• Rechtsgrundlage: Für das Speichern und Auslesen § 25 Abs. 2 Nr. 2 TDDDG, weil die Einträge für die Funktionen unbedingt erforderlich sind, die du nutzen möchtest. Für die Anmeldedaten die Vertragsgrundlage (Abschnitt 2), für die Hinweise Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Hinweise nicht bei jedem Besuch erneut zu zeigen.

Über „Cookie-Hinweis“ in der Fußzeile öffnest du den Hinweis jederzeit erneut. Löschen kannst du alle Einträge über die Einstellungen deines Browsers; ohne Anmelde-Cookie meldest du dich neu an.

7. Konto und Registrierung

Registrierung. Für ein Konto gibst du deinen Namen, deine geschäftliche E-Mail-Adresse und den Namen deines Unternehmens an. Adressen von Freemail-Anbietern wie gmail.com nimmt die Plattform nicht an, weil sich das Angebot nur an Unternehmen richtet. Wir schicken dir einen Bestätigungslink, der eine Stunde gilt; danach legst du dein Passwort fest. Das Passwort speichert Supabase nur als Hash, wir kennen es nicht. Registrierst du dich aus einer Einladung heraus, gilt die eingeladene Adresse, und die Bestätigungsmail entfällt, weil die Einladung bereits an diese Adresse ging. Für Mitglieder eines Teams gilt zusätzlich Abschnitt 10.

• Daten: Name, E-Mail-Adresse, Unternehmen, Sprache, Passwort-Hash; Zeitpunkte der Registrierungsschritte (Beginn, Versand des Links, Bestätigung, erste Anmeldung) und der letzten Anmeldung. Zu jeder Sitzung speichert Supabase IP-Adresse, Browserkennung und Zeitpunkte, außerdem protokolliert Supabase die Anmeldevorgänge.
• Zweck: Konto einrichten und bereitstellen, Anmeldung absichern, Fehler bei Registrierung und Zustellung erkennen.
• Rechtsgrundlage: für das Konto die Vertragsgrundlage (Abschnitt 2). Für Registrierungsschritte, Sitzungsdaten und Anmeldeprotokolle Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine funktionierende und sichere Anmeldung.
• Empfänger: Supabase (Datenbank und Anmeldung), Vercel (Hosting), Postmark (Mails, Abschnitt 11).
• Speicherdauer: Kontodaten und Registrierungsschritte, bis du dein Konto löschst (Abschnitt 12). Sitzungsdaten bis zur Abmeldung oder zur Löschung des Kontos. Anmeldeprotokolle bewahrt Supabase in unserem Tarif sieben Tage auf.

Bot-Schutz mit Cloudflare Turnstile. Auf der Registrierungsseite und auf der Seite „Passwort vergessen“ lädt dein Browser Turnstile von Cloudflare. Turnstile prüft, ob ein Mensch das Formular abschickt, und verarbeitet dazu deine IP-Adresse, deine Browserkennung, technische Merkmale der Verbindung und die Adresse unserer Seite. Unser Server schickt das Ergebnis mit deiner IP-Adresse zur Bestätigung an Cloudflare. Cloudflare prüft in unserem Auftrag und verarbeitet einzelne Signale zusätzlich in eigener Verantwortung, um die Bot-Erkennung zu verbessern.

• Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Schutz vor automatisierten Registrierungen, vor automatisierten Anfragen bei „Passwort vergessen“ und vor Missbrauch.
• Empfänger: Cloudflare, Inc., USA (Abschnitt 13).

Bestätigung als Unternehmen. Bei der Registrierung, nach einer Anmeldung mit Google vor Beginn der Testphase, bei der ersten Anmeldung eines schon bestehenden Kontos und vor dem Kauf bestätigst du, dass du für ein Unternehmen handelst und nicht als Verbraucher. Dazu speichern wir Zeitpunkt, Wortlaut der Bestätigung, die geltende Fassung der AGB, dein Konto, deine E-Mail-Adresse, den Namen deines Unternehmens, deine IP-Adresse und deine Browserkennung.

• Zweck: nachweisen, dass der Vertrag mit einem Unternehmen zustande kam.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Nachweis des Vertragsschlusses und die Abwehr von Ansprüchen.
• Speicherdauer: für die Dauer des Vertrags und danach bis zum Ablauf der Verjährungsfristen (Abschnitt 14).

Anmeldung mit Google. Statt mit Passwort kannst du dich freiwillig mit deinem Google-Konto anmelden. Dein Browser wechselt dazu zu Google. Nach deiner Freigabe übermittelt Google uns Name, E-Mail-Adresse, Google-Kennung und einen Link zu deinem Profilbild. Auch hier nimmt die Plattform nur geschäftliche Adressen an. Meldest du dich mit einer privaten Adresse an, entsteht dabei trotzdem ein Konto, weil die Anmeldung bei Google vor unserer Prüfung abgeschlossen ist; dieses Konto löschen wir spätestens am folgenden Tag. Den Namen deines Unternehmens ergänzt du im nächsten Schritt.

• Rechtsgrundlage: Vertragsgrundlage (Abschnitt 2), weil du diesen Weg der Anmeldung wählst.
• Verantwortung: Für die Anmeldung bei Google ist Google Ireland Limited selbst verantwortlich. Google kann Daten in die USA übermitteln (Abschnitt 13).
• Speicherdauer: Die Verknüpfung mit Google bleibt bis zur Löschung deines Kontos gespeichert.

8. Testphase

Mit deiner ersten Anmeldung auf dem KI-Denkraum beginnt eine kostenlose Testphase von 14 Tagen, einmal je Konto und ohne Zahlungsdaten. Sie endet automatisch und ohne Kosten.

• Daten: Beginn, Ende und Status der Testphase zu deinem Konto.
• Zweck: Zugang freischalten, die Testphase nur einmal je Konto gewähren, dich etwa drei Tage vor dem Ende und am Ende per Mail informieren.
• Rechtsgrundlage: Vertragsgrundlage (Abschnitt 2).
• Speicherdauer: bis zur Löschung deines Kontos; danach ohne Bezug zu Namen oder E-Mail-Adresse (Abschnitt 12).

9. Abo, Zahlung und Rechnungen

Bezahlt wird über Stripe. Beim Kauf wechselst du zur Kasse von Stripe (Stripe Checkout). Dort gibst du Namen oder Firma, E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls die Umsatzsteuer-Identifikationsnummer und deine Zahlungsdaten ein. Stripe berechnet die Umsatzsteuer, wickelt die Zahlung ab, erstellt die Rechnungen als PDF und betreibt das Kundenportal, in dem du kündigst, die Zahlungsart änderst und Rechnungen abrufst.

• Daten bei uns: Stripe-Kundennummer, E-Mail-Adresse des zahlenden Kontos, Tarif, Status und Laufzeit des Abos, Zahl der Plätze und Zahlungsstatus. Vor dem Kauf legen wir bei Stripe einen Kunden mit deinem Namen und deiner E-Mail-Adresse an. Vollständige Zahlungsdaten wie Kartennummern erhalten wir nicht. Beim Kauf speichern wir außerdem, welche Fassung der AGB und des Auftragsverarbeitungsvertrags galt.
• Zweck: Vertrag schließen und durchführen, Zahlungen abwickeln, Rechnungen stellen, Buchführungs- und Steuerpflichten erfüllen, Mails zum Abo senden (Abschnitt 11).
• Rechtsgrundlage: Vertragsgrundlage (Abschnitt 2). Für die Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO, § 257 HGB und § 14b UStG.
• Empfänger: Stripe Payments Europe, Limited, Irland. Für Betrugsprävention, Sicherheit, gesetzliche Pflichten wie die Geldwäscheprüfung und die Weiterentwicklung seiner Dienste ist Stripe selbst verantwortlich; dafür gilt die Datenschutzerklärung von Stripe. Stripe kann Daten an Gesellschaften der Stripe-Gruppe in den USA übermitteln (Abschnitt 13).
• Speicherdauer: Abo-Daten für die Dauer des Vertrags, Rechnungen und Buchungsbelege nach den gesetzlichen Fristen (Abschnitt 14).

10. Teams und Einladungen

Wer wofür verantwortlich ist. Ein Konto mit bezahltem Abo kann ein Team anlegen. Das Team-Abo bezahlt das Unternehmen des Inhabers. Inhaber und Admins des Teams entscheiden, wen sie einladen, welche Rolle jemand bekommt und wer das Team verlässt. Für diese Teamverwaltung verarbeiten wir die Daten im Auftrag des Unternehmens (Art. 28 DSGVO). Grundlage ist der Auftragsverarbeitungsvertrag, der als Anlage zu unseren AGB mit dem Kauf gilt. Verantwortlich für die Teamverwaltung ist also das Unternehmen. Seine Rechtsgrundlage ist in der Regel sein berechtigtes Interesse, Mitarbeitenden einen Zugang bereitzustellen (Art. 6 Abs. 1 lit. f DSGVO). Solange dein Zugang über das Team läuft, verarbeiten wir auch dein Konto, deine Anmeldung, deine Suche und die Mails zu Konto und Einladung im Auftrag deines Unternehmens (AVV § 2). Selbst verantwortlich bleiben wir für die Sicherheit der Plattform insgesamt, die Abrechnung mit deinem Unternehmen, gesetzliche Pflichten und für dein Konto vor der Einladung und nach dem Ende deiner Teamzugehörigkeit (AVV § 4 und § 10 Abs. 3).

Was dein Team sieht. Inhaber und Admins sehen Namen, E-Mail-Adressen und Rollen der Mitglieder sowie offene Einladungen mit Adresse, Rolle und Ablaufdatum. Mitglieder sehen das Team und ihre eigene Rolle. Was du liest, merkst oder herunterlädst, sieht dein Team nicht, weil wir es nicht speichern.

Teamverwaltung im Einzelnen.

• Daten: Name des Teams; Mitgliedschaften mit Rolle (Inhaber, Admin, Mitglied) und Zeitpunkt; Einladungen mit E-Mail-Adresse, Rolle, einladender Person, Zeitpunkten und einem zufälligen Einladungscode; ein Protokoll der Änderungen im Team (Einladung, erneuter Versand, Rücknahme, Annahme, Entfernen, Rollenwechsel) mit Zeitpunkt, handelnder Person und betroffener Adresse.
• Zweck: Zugang über das Team bereitstellen, Plätze buchen und abrechnen (jede Einladung bucht sofort einen Platz, offene Einladungen zählen mit), Änderungen im Team nachvollziehbar machen.
• Empfänger: Supabase, Vercel und Postmark für die Einladungsmail. Stripe erfährt nur die Zahl der Plätze, nicht, wer sie belegt.
• Speicherdauer: Mitgliedschaften, bis jemand das Team verlässt, entfernt wird oder sein Konto löscht. Einladungen und Protokoll siehe Abschnitt 14.

Information für Eingeladene (Art. 14 DSGVO). Wenn du eine Einladung in ein Team erhalten hast, gilt für dich:

• Quelle: Deine geschäftliche E-Mail-Adresse hat eine Person aus deinem Unternehmen eingegeben, die Inhaber oder Admin eines Teams im KI-Denkraum ist.
• Daten: deine E-Mail-Adresse, die vorgesehene Rolle, das Team, die einladende Person und die Zeitpunkte der Einladung.
• Zweck: dir die Einladung zustellen und sicherstellen, dass nur diese Adresse sie annehmen kann.
• Verantwortung und Rechtsgrundlage: im Auftrag deines Unternehmens, wie oben beschrieben. Selbst verantwortlich sind wir dafür, dass Einladungen nur an geschäftliche Adressen gehen (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Missbrauch).
• Wenn du nicht annimmst: Die Einladung gilt sieben Tage, danach kannst du sie nicht mehr annehmen. 30 Tage nach dem Ablauf löschen wir sie (Abschnitt 14). Du kannst der Verarbeitung widersprechen (Abschnitt 15), bei deinem Unternehmen oder unter hallo@kidenkraum.com.

Nimmst du die Einladung an, gilt für dein Konto Abschnitt 7, und dein Zugang läuft über das Team. Verlässt du das Team oder wirst entfernt, bleibt dein Konto mit der Vorschau bestehen, bis du es löschst (Abschnitt 12).

11. E-Mails und Kontakt

E-Mails an dich. Wir schicken nur Mails, die zu deinem Konto, deinem Abo oder einer Einladung gehören: Bestätigung der Registrierung, Zurücksetzen des Passworts, Einladung ins Team, Hinweis etwa drei Tage vor dem Ende der Testphase, Hinweis zum Ende der Testphase, Beginn des Abos nach einem Kauf in der Testphase, Bestellbestätigung und Erinnerung vor der Verlängerung eines Jahresabos. Newsletter und Werbung schicken wir nicht.

• Versand: über Postmark (AC PM, LLC, USA). Postmark verarbeitet E-Mail-Adresse, Name, Inhalt, Zeitpunkt und Zustellstatus. Ob du eine Mail öffnest oder Links darin anklickst, verfolgen wir nicht. Postmark meldet uns, ob eine Mail zugestellt wurde oder zurückkam; diese Meldungen speichern wir bei den Registrierungsschritten.
• Rechtsgrundlage: Vertragsgrundlage (Abschnitt 2) für Mails zu Konto und Vertrag; für die Einladungsmail gilt Abschnitt 10.
• Speicherdauer: Postmark speichert Inhalt und Metadaten der Mails 45 Tage (Voreinstellung von Postmark). Adressen, an die keine Zustellung möglich war, Spam-Beschwerden und gesperrte Empfänger hält Postmark unbefristet vor, damit an diese Adressen keine Mails mehr gehen.

Kontakt per E-Mail. Schreibst du an hallo@kidenkraum.com, landet deine Nachricht in unserem Postfach bei Microsoft 365.

• Daten: Absender, Inhalt und Zeitpunkt deiner Nachricht und die Angaben darin.
• Zweck: deine Anfrage beantworten.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit du selbst Vertragspartner bist oder werden willst; sonst Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Bearbeitung geschäftlicher Anfragen.
• Empfänger: Microsoft Ireland Operations Limited als Auftragsverarbeiter (Abschnitt 13).
• Speicherdauer: bis die Anfrage erledigt ist; Geschäftsbriefe zu einem Vertrag sechs Jahre (§ 257 HGB).

KI-Unterstützung bei Support und Betrieb. Bearbeiten wir eine Anfrage von dir, eine Einladung, die nicht ankommt, oder einen Fehler in deinem Konto, kann uns ein KI-Modell dabei helfen, etwa beim Nachsehen der Daten deines Kontos. Dafür nutzen wir ausschließlich Claude über den Dienst Amazon Bedrock von Amazon Web Services, verarbeitet in Rechenzentren in der EU, und nur in einer eigens dafür getrennten Arbeitssitzung.

• Daten: die für den Fall nötigen Angaben, etwa Name, E-Mail-Adresse, Team und Zeitpunkte.
• Zweck: Anfragen beantworten, Fehler finden und beheben.
• Rechtsgrundlage: Vertragsgrundlage (Abschnitt 2); bei der Suche nach Fehlern auch Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse ist ein funktionierender Betrieb.
• Empfänger: Amazon Web Services EMEA SARL als Auftragsverarbeiter (Abschnitt 13). AWS speichert die Eingaben und Ausgaben nicht, gibt sie nicht an den Hersteller des Modells weiter und nutzt sie nicht zum Training.
• Speicherdauer: Den Verlauf einer solchen Sitzung löschen wir auf unserem verschlüsselten Rechner, sobald die Sitzung endet.

12. Datenexport und Kontolöschung

Datenexport. Auf deiner Kontoseite lädst du über „Daten herunterladen“ eine Datei im JSON-Format herunter. Sie enthält unter anderem dein Profil, deine Registrierungsdaten, deine Teammitgliedschaften, gesendete und erhaltene Einladungen und deinen Kundendatensatz (Art. 15 und 20 DSGVO). Eine vollständige Auskunft erhältst du zusätzlich jederzeit über hallo@kidenkraum.com.

Konto löschen. Auf deiner Kontoseite löschst du dein Konto selbst. Das geht, sobald dein eigenes Abo gekündigt ist oder keines besteht und du nicht alleiniger Inhaber eines Teams bist, dessen Abo noch läuft. Die kostenlose Testphase steht dem nicht entgegen. Beim Löschen

• löschen wir dein Anmeldekonto mit E-Mail-Adresse, Passwort-Hash, Sitzungen und Google-Verknüpfung, deine Registrierungsdaten und Registrierungsschritte sowie deine Teammitgliedschaften. Dein Platz im Team wird dabei frei.
• anonymisieren wir dein Profil sowie die Kunden- und Abodaten. Name und E-Mail-Adresse entfernen wir, die Einträge selbst bleiben ohne Bezug zu dir erhalten, weil Buchführungs- und Steuerrecht die Aufbewahrung verlangen. Einladungen, die du verschickt hast, bleiben beim Team, aber ohne Verweis auf dich.
• bewahren wir auf: Nachweise über die Bestätigung als Unternehmen und die Vertragsannahme, mit E-Mail-Adresse und Unternehmen, bis zum Ablauf der Verjährungsfristen (Abschnitt 14).
• bleibt bei Stripe der Kundendatensatz mit den Rechnungen bestehen, soweit Stripe und wir zur Aufbewahrung verpflichtet sind.

Protokolle bei Vercel, Supabase und Postmark laufen nach deren Fristen aus (Abschnitt 14). Deine Merkliste löschst du in deinem Browser.

13. Empfänger, Auftragsverarbeiter und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur weiter, soweit es für die genannten Zwecke nötig ist. Mit unseren Auftragsverarbeitern haben wir Verträge nach Art. 28 DSGVO geschlossen; sie verarbeiten die Daten nur nach unseren Weisungen.

Übermittlungen in die USA stützen wir auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF), wenn der Empfänger danach zertifiziert ist, und sonst oder zusätzlich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Für Singapur, den Sitz von Supabase, gibt es keinen Angemessenheitsbeschluss; dort gelten die Standardvertragsklauseln. Eine Kopie der Garantien kannst du über hallo@kidenkraum.com anfordern; gesetzlich erforderliche Schwärzungen bleiben vorbehalten.

Weitere Empfänger können sein: dein Unternehmen, wenn du in einem Team bist (Abschnitt 10), sowie Rechts- und Steuerberatung, Banken, Behörden und Gerichte, wenn eine rechtliche Pflicht besteht oder es für die Vertragsabwicklung oder die Rechtsverteidigung nötig ist.

14. Speicherdauer im Überblick

Wir speichern personenbezogene Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen. Danach löschen wir sie, es sei denn, gesetzliche Aufbewahrungspflichten oder die Geltendmachung oder Abwehr von Rechtsansprüchen verlangen eine weitere Speicherung. Dann sperren wir sie für andere Zwecke.

• Konto und Registrierung: bis du dein Konto löschst (Abschnitt 12); ein Konto, das eine Anmeldung mit Google für eine private Adresse angelegt hat, spätestens am folgenden Tag (Abschnitt 7); Einträge in deinem Browser siehe Abschnitt 6.
• Suchbegriffe: nicht zu deinem Konto und nicht in eigenen Protokollen; in den Protokollen von Vercel höchstens 30 Tage (Abschnitt 3).
• Einladungen: 30 Tage nach Annahme, Rücknahme oder Ablauf (eine Einladung läuft nach sieben Tagen ab).
• Protokoll der Teamverwaltung: zwölf Monate nach dem jeweiligen Eintrag.
• Daten eines Teams nach dem Ende seines Abos: 30 Tage, danach löschen wir Team, Mitgliedschaften, Einladungen und Protokoll. Die Konten der Mitglieder bleiben bestehen, bis die Mitglieder sie selbst löschen.
• Nachweise zur Bestätigung als Unternehmen und zur Vertragsannahme: für die Dauer des Vertrags und danach bis zum Ablauf der Verjährungsfristen, in der Regel drei Jahre ab dem Ende des Jahres, in dem der Vertrag endet.
• Rechnungen und andere Buchungsbelege: acht Jahre; Handelsbücher und Jahresabschlüsse: zehn Jahre; Geschäftsbriefe: sechs Jahre; jeweils ab dem Ende des Kalenderjahres (§ 147 AO, § 257 HGB, § 14b UStG).
• Protokolle bei Dienstleistern: Vercel höchstens 30 Tage, Supabase sieben Tage, Postmark 45 Tage für Inhalte und Metadaten der Mails.

15. Deine Rechte

Nach Maßgabe der gesetzlichen Voraussetzungen hast du das Recht auf

• Auskunft (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch (Art. 21 DSGVO, siehe unten).

Schreib uns dazu an hallo@kidenkraum.com. Wir antworten in der Regel innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Für Daten der Teamverwaltung, die wir im Auftrag deines Unternehmens verarbeiten (Abschnitt 10), ist dein Unternehmen der richtige Ansprechpartner. Schreibst du uns, leiten wir die Anfrage an dein Unternehmen weiter und unterstützen es bei der Antwort.

Widerspruchsrecht nach Art. 21 DSGVO

Du hast das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen die Verarbeitung deiner Daten Widerspruch einzulegen, die wir auf Art. 6 Abs. 1 lit. f DSGVO stützen. Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Direktwerbung betreiben wir nicht. Eine formlose Nachricht an hallo@kidenkraum.com genügt.

Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat, in dem du dich aufhältst oder arbeitest oder in dem der mutmaßliche Verstoß stattfand. Für uns zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit
Ludwig-Erhard-Straße 22, 7. OG
20459 Hamburg
E-Mail: mailbox@datenschutz.hamburg.de
datenschutz-hamburg.de

16. Pflicht zur Angabe und automatisierte Entscheidungen

Gesetzlich bist du nicht verpflichtet, uns Daten zu geben. Die Vorschau nutzt du ohne Angaben. Für ein Konto brauchen wir deinen Namen, deine geschäftliche E-Mail-Adresse, den Namen deines Unternehmens und die Bestätigung als Unternehmen, für einen Kauf außerdem die Angaben in der Kasse von Stripe. Ohne diese Angaben können wir kein Konto einrichten und keinen Vertrag schließen.

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und bilden keine Profile. Automatische Prüfungen gibt es bei Registrierung, Einladung und „Passwort vergessen“: ob eine E-Mail-Adresse zu einem Freemail-Anbieter gehört und ob Turnstile eine Registrierung oder eine Anfrage bei „Passwort vergessen“ als automatisiert einstuft. Hält dich eine dieser Prüfungen zu Unrecht auf, schreib uns; wir sehen es uns dann persönlich an.

17. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Plattform, die eingesetzten Dienste oder die rechtlichen Anforderungen ändern. Jede Fassung trägt oben ihr Datum und ihre Kennung. Maßgeblich ist die auf der Plattform veröffentlichte Fassung.