Entwurf v1, wird anwaltlich geprüft

Datenschutzerklärung

Stand: [DATUM] · Version 1

1. Wer ist verantwortlich?

[NAME], [ANSCHRIFT], [E-MAIL] („wir“). Einen Datenschutzbeauftragten haben wir nicht benannt (keine Pflicht nach § 38 BDSG).

2. Unsere Rollen

• Verantwortlich sind wir für deine Daten als Kundin bzw. Kunde: Website, Konto, Anmeldung, Abo und Zahlung, Support, Werbeprogramm, Sicherheit.
• Auftragsverarbeiter sind wir für alles, was du in deinem Workspace speicherst (Bookings, Rechnungen, Kontakte, Gästelisten, Fans, Mails). Verantwortlich bist dort du; es gilt unser Auftragsverarbeitungsvertrag (AVV).
• Deine öffentlichen Seiten (<name>.gixn.space): Verantwortlich bist du; dort steht deine eigene Datenschutzerklärung.

3. Website und Hosting

Beim Aufruf verarbeitet unser Hoster Vercel technisch nötige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser-Kennung), um die Seite auszuliefern und Angriffe abzuwehren. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer Betrieb). Server-Protokolle löscht Vercel kurzfristig (laut Vercel-Angaben).

4. Konto und Anmeldung

• Google-Anmeldung: Wir erhalten von Google nur deine E-Mail-Adresse, eine Konto-Kennung und, falls vorhanden, deinen Namen (Umfang openid email). Auf dein Google-Konto greifen wir dabei nicht zu.
• Anmeldung per E-Mail-Link: Wir schicken dir einen Link, der 15 Minuten gilt; gespeichert ist nur ein Prüfwert des Codes.
• Passkey: Wir speichern den öffentlichen Schlüssel, eine Kennung und den Namen des Geräts. Dein privater Schlüssel und biometrische Daten verlassen dein Gerät nie.
• Sitzung: Ein Anmelde-Cookie hält dich bis zu 90 Tage angemeldet (es verlängert sich bei Nutzung, höchstens 365 Tage). Zur Sicherheit speichern wir dazu Zeitpunkt, IP-Adresse und Browser-Kennung der Sitzung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), für die Sicherheitsdaten lit. f.

5. Inhalte deines Workspace

Wir speichern sie in einer Datenbank bei Neon (Region Frankfurt) und Dateien bei Vercel Blob (bei Vercel, Unternehmen in den USA; Region laut Vercel-Konfiguration), getrennt je Workspace. Zugangsdaten wie Passwörter für dein Postfach oder KI-Schlüssel liegen verschlüsselt. Einzelheiten regelt der AVV.

6. Abo und Zahlung

Die Zahlung läuft über Stripe Payments Europe, Ltd. (Irland). Stripe verarbeitet Name, E-Mail, Anschrift, USt-IdNr., Zahlungsmittel und berechnet die Umsatzsteuer (Stripe Tax). Kartendaten sehen wir nie. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO (Vertrag, steuerliche Pflichten). Stripe ist für Teile der Verarbeitung (z. B. Betrugsabwehr) selbst verantwortlich: Datenschutz von Stripe.

7. E-Mail

• Mails von uns (Anmelde-Link, Erinnerung vor Testende, Support-Antworten) verschicken wir über Resend, Inc. (USA).
• Deine GiXn-Adresse (<name>@gixn.space, wenn du sie wählst): Versand über Brevo SAS (Frankreich), Empfang über Resend; eingehende Mails liegen bei Resend bis zu 30 Tage auf Servern in den USA.
• Dein eigenes Postfach (SMTP/IMAP, wenn du es verbindest): Wir verbinden uns in deinem Auftrag mit deinem Anbieter; dein Passwort liegt verschlüsselt.

8. KI-Funktionen

• Mit deinem eigenen Schlüssel (Anthropic, OpenAI, Google, Mistral): Wir senden die Anfrage in deinem Auftrag an den Anbieter, den du gewählt hast. Dein Vertrag mit diesem Anbieter regelt, was er mit den Daten tut.
• Einrichtungsassistent ohne eigenen Schlüssel: Für Stammdaten, Tonalität und den Import alter Rechnungen nutzen wir Anthropic PBC (USA) mit unserem Schlüssel, begrenzt durch ein Budget. Übermittelt wird nur, was du dafür hochlädst oder auswählst.
• „Im Browser öffnen“: Kopierst du einen Prompt in einen KI-Dienst im Browser, geht nichts über unsere Server. Füge dort bitte keine Daten Dritter ein.

9. Kolleg/innen werben

Wenn du jemanden einlädst, speichern wir den Einladungscode, auf Wunsch die E-Mail-Adresse der eingeladenen Person, Zeitpunkt und Status. Wird die Einladung angenommen, sehen beide Seiten nur, dass sie angenommen wurde und ob die Person aktiv zählt. Inhalte des anderen Workspace sieht niemand. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (für dich als Werber), lit. f (für die eingeladene Person). Die Adresse einer nicht angenommenen Einladung löschen wir 30 Tage nach Ablauf.

10. Support, Fehler und Sicherheit

• Tickets: Wir speichern deine Nachricht und auf Wunsch technische Angaben (Seite, Browser, Fehlermeldungen der Konsole), vorher maskiert.
• Fehlerprotokoll: Fehler speichern wir mit Workspace- und Nutzer-Kennung; Passwörter, Schlüssel, Tokens und Kontonummern werden vor dem Speichern unkenntlich gemacht.
• Protokoll wichtiger Aktionen (Audit), z. B. Anmeldung, Abo-Wechsel, Einladungen.
• Support-Zugriff: Nur auf deine Anfrage oder zur Störungsbeseitigung kann sich unser Support bis zu 60 Minuten in deinem Workspace anmelden. Das ist sichtbar und wird protokolliert; Zahlen, Kündigen und Passkeys sind dabei gesperrt.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

11. Cookies und Speicher im Browser

Wir setzen nur technisch notwendige Cookies: Anmeldung (bis 90 Tage), Schutz des Anmeldevorgangs (10 Minuten), Passkey-Prüfung (5 Minuten), Support-Zugriff (60 Minuten). Im Speicher deines Browsers (localStorage) merkt sich die App Suchverlauf, laufende Aufgaben und Fehlermeldungen. Es gibt keine Analyse- oder Werbe-Cookies und keine Inhalte von Drittanbietern. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.

12. Empfänger und Drittländer

13. Speicherdauer

• Konto und Workspace: bis zur Löschung. Nach einem Löschantrag oder Vertragsende kannst du deine Daten noch 30 Tage exportieren; danach löschen wir sie endgültig, Sicherungskopien nach Ablauf des Sicherungsfensters der Datenbank.
• Unsere Rechnungen an dich: 8 Jahre (§ 147 AO, § 14b UStG), Buchungsunterlagen wie gesetzlich vorgesehen.
• Fehlerprotokoll: 90 Tage. Audit: 3 Jahre, IP-Adressen darin 30 Tage. Tickets: 2 Jahre nach Abschluss.
• Abgelaufene Anmelde-Codes und Sitzungen: 30 Tage nach Ablauf.

14. Deine Rechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit (Export als ZIP), Widerspruch gegen Verarbeitungen nach lit. f (Art. 15–21 DSGVO). Schreib an [E-MAIL]. Für Daten in deinem Workspace über Dritte bist du der Ansprechpartner; wir unterstützen dich.

15. Beschwerde

Bei einer Aufsichtsbehörde, z. B. die für deinen Wohnsitz oder den Sitz des Anbieters zuständige Datenschutzaufsicht.

16. Sonstiges

Für Konto und Abo brauchen wir deine E-Mail-Adresse; ohne sie geht es nicht. Automatisierte Entscheidungen nach Art. 22 DSGVO treffen wir nicht.