Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung dieser Anwendung ist:

2. Welche Daten werden verarbeitet?

• Account-Daten: E-Mail-Adresse, Passwort-Hash (bzw. OAuth-Provider-ID bei Google-Login), Name (optional)
• Onboarding-Antworten der 50 Scan-Fragen (Freitext und Auswahl-Werte)
• Generiertes Coach-Profil (Markdown, basierend auf deinen Antworten)
• Chat-Verlauf mit dem KI-Coach (deine Nachrichten + Coach-Antworten + Zeitstempel)
• Token-Telemetrie pro Chat-Antwort (technische Metadaten zur Caching-Effizienz)
• Zahlungsdaten: ausschließlich Stripe-Customer-ID und Subscription-Status (keine Kartendaten bei uns)
• Technische Logs: IP-Adresse, User-Agent, Zeitstempel der Anfragen (Server-seitig 30 Tage zur Missbrauchsabwehr)

3. Zweck der Verarbeitung

Die Daten werden verarbeitet, um (a) dein persönliches Coach-Profil zu erstellen, (b) dir individuelle Coach-Antworten zu liefern, die auf dein Profil zugeschnitten sind, (c) deine Chat-Historie für dich zugänglich zu halten und (d) die Abonnement-Abrechnung über Stripe abzuwickeln.

4. Rechtsgrundlagen (DSGVO)

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung des Coachings, Zahlungsabwicklung)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (Registrierung, ggf. Google-Login)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigte Interessen (technische Logs zur Missbrauchsabwehr)

5. Übermittlung an die KI (besondere Aufmerksamkeit)

Damit dein KI-Coach individuell antworten kann, werden bei jeder Chat-Anfrage folgende Daten an Langdock GmbH (Deutschland, EU/Frankfurt) übermittelt: dein aktuell generiertes Coach-Profil (Markdown), der bisherige Chat-Verlauf dieses Gesprächs sowie deine neue Nachricht. Bei der erstmaligen Profil-Erstellung werden die 50 Scan-Antworten an Langdock gesendet. Langdock leitet die Anfrage an das Modell Claude Sonnet 4.6 (Profiler und Coach) bzw. Claude Haiku 4.5 (Followup-Komposition) des US-Anbieters Anthropic PBC weiter — als Unter-Auftragsverarbeiter im Sinne der DSGVO.

DSGVO-Stand: Mit Langdock besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Langdock ist nach ISO 27001 und SOC 2 Type II zertifiziert und hostet die Schnittstelle in der EU. Weder Langdock noch Anthropic verwenden API-Eingaben zum Modelltraining (Zero-Retention für Trainingszwecke). Eingaben werden bis zu 30 Tage zur Missbrauchserkennung gespeichert und anschließend gelöscht. Für die Weiterleitung an Anthropic (USA) durch Langdock gelten EU-Standardvertragsklauseln.

Was du tun kannst: Du entscheidest selbst, welche Inhalte du im Chat preisgibst. Vermeide nach Möglichkeit Klarnamen Dritter, sensible Gesundheits- oder Finanzdaten. Du kannst dein Coach-Profil und deine Chat-Historie jederzeit in den Einstellungen löschen.

6. Auftragsverarbeiter / Drittanbieter

7. Speicherdauer

• Account- und Profil-Daten: bis zur Löschung deines Accounts durch dich
• Chat-Historie: bis zur Löschung durch dich (einzeln oder gesamt)
• Technische Logs: 30 Tage
• Zahlungsbelege: 10 Jahre (gesetzliche Aufbewahrungspflicht §257 HGB)
• KI-Eingaben bei Langdock und Anthropic: bis zu 30 Tage (siehe §5)

8. Betroffenenrechte

Gemäß DSGVO stehen dir folgende Rechte zu:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch (Art. 21)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3) — wirkt für die Zukunft
• Beschwerde bei der zuständigen Datenschutzbehörde

Anfragen richte bitte an: kontakt@deepling.de. Wir antworten innerhalb von 30 Tagen.

9. Cookies und Tracking

Diese Anwendung verwendet ausschließlich technisch notwendige Cookies zur Authentifizierung (Supabase-Session-Cookies). Es werden keine Marketing-, Werbe- oder Analyse-Cookies eingesetzt, keine Drittanbieter-Tracker eingebunden.

Da keine zustimmungspflichtigen Cookies eingesetzt werden, zeigen wir keinen Cookie-Banner (§ 25 Abs. 2 Nr. 2 TTDSG).

10. Sicherheit

Alle Datenübertragungen sind TLS-verschlüsselt. Der Datenbank-Zugriff erfolgt über Row-Level-Security — jeder Nutzer sieht ausschließlich seine eigenen Datensätze. Passwörter werden ausschließlich als Hash gespeichert (bcrypt durch Supabase Auth). API-Schlüssel werden in einer separaten, verschlüsselten Konfiguration verwahrt.