Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie nach Art. 13 und 14 der Datenschutz-Grundverordnung (DSGVO) darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie Ausfüllpilot unter https://ausfuellpilot.de (Website, Web-App und Programmierschnittstelle, im Folgenden „Dienst“) nutzen, zu welchen Zwecken und auf welcher Rechtsgrundlage dies geschieht und welche Rechte Sie haben.

1. Das Wichtigste in Kürze

• Wofür wir Ihre Daten brauchen: Um PDF-Formulare zu erkennen und – auf Ihre Anweisung – mit Ihren Angaben auszufüllen. Dafür setzen wir KI-Modelle ein.
• Keine Nutzung für KI-Training: Wir verwenden Ihre Dokumente, Angaben und Ergebnisse nicht zum Training von KI-Modellen. Wir leiten Anfragen nur an KI-Anbieter weiter, die Ihre Inhalte nach deren Zusagen weder speichern noch zum Training verwenden (siehe Abschnitt 5.4).
• Automatische Löschung: Hochgeladene und ausgefüllte Dateien werden automatisch gelöscht – im kostenlosen Tarif nach 24 Stunden, in anderen Tarifen nach der von Ihnen gewählten Frist (Abschnitt 8).
• Hosting in der EU: Datenbank, Dateispeicher und die PDF-Verarbeitung laufen auf Servern in der EU. Die KI-Verarbeitung findet in allen Tarifen ausschließlich in Rechenzentren in der EU statt (Abschnitt 5.4). Einzelne Dienstleister haben ihren Sitz in den USA; dafür bestehen die in Abschnitt 7 genannten Garantien.
• Sensible Daten: Formulare können Gesundheitsdaten oder andere besonders geschützte Daten enthalten. Diese verarbeiten wir nur mit Ihrer ausdrücklichen Einwilligung (Abschnitt 5.3).
• Keine Werbe-Cookies: Wir setzen keine Cookies oder vergleichbaren Technologien zu Werbe- oder Trackingzwecken ein (Abschnitt 6).

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Relativity GmbH
Breite Straße 25
13597 Berlin
Deutschland
Vertreten durch: Noel Lorenz (Geschäftsführer)
E-Mail: info@mind-verse.de

Für Datenschutzanfragen erreichen Sie uns am schnellsten unter info@mind-verse.de.

Wenn Sie Ausfüllpilot über ein Unternehmen nutzen

Nutzen Sie Ausfüllpilot als Mitglied eines Business- oder Enterprise-Kontos (z. B. als Mitarbeiterin einer Hausverwaltung, eines Pflegedienstes oder einer Kanzlei), ist für die Inhalte der Formulare und Dokumente dieses Unternehmen verantwortlich. Wir verarbeiten diese Inhalte dann als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Bitte wenden Sie sich mit Fragen zu diesen Inhalten an das jeweilige Unternehmen. Für die Verwaltung Ihres Nutzerkontos, die Abrechnung und die Sicherheit des Dienstes bleiben wir Verantwortlicher im Sinne dieser Erklärung.

3. Datenschutzbeauftragter

Sie erreichen unseren Datenschutzbeauftragten unter:

Joerg Weiß

4. Begriffe und Grundsätze

„Personenbezogene Daten“ sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Wir verarbeiten nur die Daten, die für den jeweiligen Zweck erforderlich sind, und löschen sie, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht besteht. Feldwerte, Anweisungen an die KI und aus Dokumenten übernommene Angaben schreiben wir nicht in unsere technischen Protokolle.

5. Verarbeitungen im Einzelnen

5.1 Aufruf der Website und technische Protokolle (Server-Logs)

Was: Beim Aufruf unserer Seiten verarbeiten unsere Hosting-Dienstleister technisch notwendige Verbindungsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse (URL), übertragene Datenmenge, Statuscode, Referrer-URL, Browsertyp und Betriebssystem (User-Agent).

Wozu: Auslieferung der Website, Sicherstellung von Stabilität und Sicherheit, Abwehr von Angriffen und Missbrauch (z. B. Ratenbegrenzung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und stabilen Betrieb des Dienstes.

Speicherdauer: Protokolle werden nach 14 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls länger benötigt werden. [Vorschlag – Konfiguration bei Cloudflare und Hetzner prüfen]

Empfänger: Cloudflare, Inc. (Hosting und Auslieferung der Website über Cloudflare Workers, DNS sowie Netzwerk- und Angriffsschutz; Cloudflare verarbeitet dabei insbesondere Ihre IP-Adresse und die genannten Verbindungsdaten, auch in Rechenzentren außerhalb der EU [ungeprüft]) und Hetzner Online GmbH als Betreiber unserer Verarbeitungsserver (Abschnitt 9). Wir setzen beim Aufruf der Website keine Cookies für Hosting oder Auslieferung.

5.2 Nutzerkonto, Anmeldung und Teams

Was: E-Mail-Adresse, Name (freiwillig), Passwort (nur als Hash gespeichert), Anmeldezeitpunkte, Einstellungen, gewählter Tarif, bei Zwei-Faktor-Authentifizierung ein TOTP-Geheimnis, bei Teams die Organisationszugehörigkeit, Rolle und Einladungen.

Wozu: Bereitstellung des Kontos, Anmeldung, Verwaltung von Teams und Berechtigungen, Absicherung gegen unberechtigten Zugriff.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen); für Sicherheitsmaßnahmen Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Für die Dauer des Nutzungsvertrags. Nach Löschung Ihres Kontos löschen wir die Kontodaten innerhalb von 30 Tagen, soweit keine gesetzlichen Aufbewahrungspflichten bestehen (Abschnitt 8). Kostenlose Konten, die 24 Monate nicht genutzt wurden, löschen wir nach vorheriger Benachrichtigung. [Vorschlag – technisch umsetzen]

Empfänger: Supabase, Inc. (Authentifizierung und Datenbank, Serverstandort Frankfurt am Main), unser E-Mail-Dienstleister (Abschnitt 5.10).

5.3 Formularverarbeitung: Hochladen, Felderkennung, Ausfüllen, Herunterladen

Was: Die von Ihnen hochgeladenen PDF-Dateien, daraus erzeugte Seitenbilder und Texte, erkannte Formularfelder, Ihre Angaben und Anweisungen, Ergebnisse (ausgefüllte PDF-Dateien, Prüfliste), eine sichtbare Unterschrift, falls Sie eine einfügen, sowie Metadaten des Vorgangs (Dateiname, Seitenzahl, Dateigröße, Prüfsumme, Status, Zeitpunkte, Verbrauch).

Formulare enthalten häufig Daten weiterer Personen, etwa Ihrer Kinder, Angehörigen oder Mieter. Bitte laden Sie Daten anderer Personen nur hoch, wenn Sie dazu berechtigt sind.

Wozu: Erbringung der von Ihnen gewünschten Leistung: Felder erkennen, Werte vorschlagen und eintragen, Ergebnis bereitstellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags).

Besondere Kategorien personenbezogener Daten: Manche Formulare enthalten Daten im Sinne von Art. 9 Abs. 1 DSGVO, zum Beispiel Gesundheitsdaten (etwa in Anträgen auf einen Pflegegrad, auf Feststellung einer Schwerbehinderung oder bei Krankenkassenformularen), Angaben zur Religionszugehörigkeit (z. B. in Steuer- und Meldeformularen) oder zur Gewerkschaftszugehörigkeit. Solche Daten verarbeiten wir – einschließlich der Übermittlung an die in Abschnitt 5.4 genannten KI-Anbieter – nur auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die wir vor dem ersten Hochladen einholen. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Abschnitt 10). Ohne Einwilligung können Sie Formulare mit solchen Daten nicht mit Ausfüllpilot bearbeiten.

Speicherdauer: Siehe Abschnitt 8. Hochgeladene und erzeugte Dateien werden automatisch nach Ablauf der Aufbewahrungsfrist gelöscht; Feldwerte, Anweisungen und Gesprächsverläufe des Assistenten löschen wir zusammen mit den Dateien des Vorgangs.

Empfänger: Supabase, Inc. (Datenbank und Dateispeicher in Frankfurt am Main), der Betreiber unserer Verarbeitungsserver (Abschnitt 9), die KI-Dienstleister nach Abschnitt 5.4.

Ausweisdokumente: Wenn Sie eine Kopie Ihres Personalausweises oder Reisepasses hochladen, um Angaben zu übernehmen, empfehlen wir, nicht benötigte Angaben (insbesondere die Zugangsnummer und das Lichtbild) vorher zu schwärzen. Wir verwenden das Dokument ausschließlich zur Übernahme der von Ihnen gewünschten Angaben.

5.4 Verarbeitung durch KI-Modelle

Was: Für die Felderkennung und das Ausfüllen übermitteln wir die dafür nötigen Inhalte an KI-Modelle: Seitenbilder und Texte des Formulars, erkannte Feldbezeichnungen, Ihre Angaben und Anweisungen, Inhalte aus unterstützenden Dokumenten, die Sie hinzufügen, sowie Einträge aus einem Datenprofil, das Sie ausgewählt haben. Wir übermitteln keine Kontodaten wie Ihre E-Mail-Adresse oder Zahlungsdaten.

Wie: Wir nutzen den Vermittlungsdienst OpenRouter (OpenRouter, Inc., USA), der die Anfrage an ein Rechenzentrum eines Modellanbieters weiterleitet. Wir senden die Anfragen an den EU-Endpunkt von OpenRouter (eu.openrouter.ai) und lassen sie ausschließlich an Rechenzentren in der EU weiterleiten. Wir konfigurieren jede Anfrage so, dass sie nur an Endpunkte geleitet wird, die nach den Angaben von OpenRouter keine Inhalte speichern (Zero Data Retention) und nicht zum Training verwenden. Nach eigener Aussage speichert OpenRouter die Inhalte von Anfragen nicht, sondern nur Metadaten (z. B. Anzahl der Token, Antwortzeit). Mit dem derzeit eingesetzten Modell werden Anfragen von Microsoft (Azure OpenAI Service) verarbeitet. Die jeweils eingesetzten Modellanbieter und ihre Standorte nennen wir in der Liste der Unterauftragsverarbeiter unter https://ausfuellpilot.de/sicherheit.

Verarbeitung ausschließlich in der EU (alle Tarife): KI-Anfragen werden in allen Tarifen nur an Rechenzentren in der EU geleitet (derzeit: Microsoft Azure, Region EU). Ein Ausweichen auf Rechenzentren außerhalb der EU ist technisch ausgeschlossen; ist der EU-Endpunkt nicht erreichbar, schlägt die Anfrage fehl. Die Vermittlung läuft über den EU-Endpunkt von OpenRouter. OpenRouter ist ein US-Unternehmen; Konto-, Abrechnungs- und Nutzungsmetadaten (z. B. Anzahl der Token, Kosten, Zeitpunkt) können in den USA verarbeitet werden [ungeprüft]. Die Inhalte Ihrer Anfragen werden dabei nach Angaben von OpenRouter nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei besonderen Kategorien personenbezogener Daten Art. 9 Abs. 2 lit. a DSGVO (Abschnitt 5.3). Zur Übermittlung in Drittländer siehe Abschnitt 7.

KI-Ergebnisse: KI-Vorschläge können fehlerhaft sein. Von der KI eingetragene Werte kennzeichnen wir im Editor als KI-Vorschlag. Bitte prüfen Sie alle Werte, bevor Sie ein Formular verwenden oder einreichen.

5.5 Ausfüll-Assistent

Was: Der Ausfüll-Assistent ist ein KI-gestützter Dialog, der nach fehlenden oder unsicheren Angaben fragt. Wir verarbeiten Ihre Nachrichten, die Antworten des Assistenten und den Bezug zum jeweiligen Formular. Der Assistent ist als KI gekennzeichnet.

Wozu, Rechtsgrundlage, Empfänger: wie Abschnitte 5.3 und 5.4.

Speicherdauer: Der Gesprächsverlauf wird zusammen mit dem Vorgang gelöscht (Abschnitt 8).

5.6 Datenprofile und Übernahme von Angaben aus Dokumenten (Tarife Plus, Business, Enterprise)

Was: Angaben, die Sie für die wiederholte Verwendung speichern (z. B. Name, Anschrift, Geburtsdatum, Steuer-Identifikationsnummer, Bankverbindung, Angaben zu Haushaltsmitgliedern oder zum Unternehmen). Auf Wunsch übernehmen wir solche Angaben aus Dokumenten, die Sie hochladen (z. B. Meldebescheinigung, Lohnabrechnung, frühere Formulare); dafür werden die Dokumente wie in Abschnitt 5.4 beschrieben von KI-Modellen ausgewertet.

Schutz: Datenprofile werden verschlüsselt gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei besonderen Kategorien Art. 9 Abs. 2 lit. a DSGVO.

Speicherdauer: Bis Sie das Datenprofil oder Ihr Konto löschen. Die zur Übernahme hochgeladenen Dokumente löschen wir wie andere Dateien (Abschnitt 8).

5.7 Vorlagen und Wiedererkennung bekannter Formulare

Um bekannte Formulare schneller und genauer zu verarbeiten, berechnen wir beim Hochladen eine Prüfsumme der Datei und einen Fingerabdruck des vorgedruckten Formulartexts. Der Fingerabdruck wird aus dem leeren Formularaufbau gebildet, nicht aus Ihren eingetragenen Angaben, und nur mit Vorlagen Ihrer Organisation und mit unserer öffentlichen Formular-Bibliothek abgeglichen. Von Ihnen gespeicherte Vorlagen sind nur für Ihr Konto bzw. Ihre Organisation sichtbar. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (effiziente und genaue Leistungserbringung).

5.8 Programmierschnittstelle (API) und Webhooks

Was: API-Schlüssel (nur als Hash gespeichert), Anfrageprotokolle (Zeitpunkt, Endpunkt, Statuscode, Dauer, Verbrauch, IP-Adresse – ohne Datei- und Feldinhalte), Webhook-Adressen und Zustellprotokolle.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Missbrauchserkennung Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: Anfrage- und Zustellprotokolle 30 Tage. [Vorschlag] Für über die API verarbeitete Dateien gelten die Fristen in Abschnitt 8.

5.9 Bestellung, Zahlung und Rechnungen

Was: Name, E-Mail-Adresse, Rechnungsanschrift, ggf. Firma und Umsatzsteuer-Identifikationsnummer, gewählter Tarif, Zahlungsbeträge und -zeitpunkte, Zahlungsart. Vollständige Karten- oder Kontodaten erhalten wir nicht; diese verarbeitet unser Zahlungsdienstleister.

Zahlungsdienstleister: Stripe Payments Europe, Limited (Irland). Stripe verarbeitet Zahlungsdaten teils in unserem Auftrag, teils in eigener Verantwortung (z. B. zur Betrugsprävention und zur Erfüllung aufsichtsrechtlicher Pflichten); insoweit gilt die Datenschutzerklärung von Stripe. Wählen Sie PayPal, verarbeitet PayPal (Europe) S.à r.l. et Cie, S.C.A. (Luxemburg) Ihre Daten in eigener Verantwortung. Bei Apple Pay oder Google Pay sind zusätzlich Apple bzw. Google nach deren Bedingungen beteiligt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsabwicklung), Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Pflichten), Art. 6 Abs. 1 lit. f DSGVO (Betrugsprävention).

Speicherdauer: Rechnungen und sonstige Buchungsbelege bewahren wir acht Jahre auf (§ 147 Abs. 1 Nr. 4, Abs. 3 AO; § 257 Abs. 1 Nr. 4, Abs. 4 HGB), Handels- und Geschäftsbriefe sechs Jahre, Handelsbücher und Jahresabschlüsse zehn Jahre. Die Frist beginnt mit dem Schluss des Kalenderjahres, in dem das Dokument entstanden ist.

5.10 E-Mails

Was: E-Mail-Adresse, Name, Inhalt und Zustellstatus von E-Mails, die für den Dienst erforderlich sind (z. B. Bestätigungslinks, Anmeldelinks, Einladungen, Rechnungen, Bestätigungen von Kündigung oder Widerruf, Hinweise zu Ihrem Konto).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Werbliche E-Mails versenden wir nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) oder im Rahmen von § 7 Abs. 3 UWG; derzeit versenden wir keinen Newsletter.

Empfänger: Twilio Inc. (Dienst „Twilio SendGrid“, USA). Wir nutzen, soweit verfügbar, die EU-Datenresidenz von SendGrid (Versand und Speicherung der E-Mail-Daten in der EU); Konto- und Abrechnungsdaten liegen in den USA [ungeprüft]. Die Klick- und Öffnungsverfolgung ist abgeschaltet.

Speicherdauer: Zustellprotokolle 30 Tage [Vorschlag]; E-Mails mit Handelsbrief-Charakter sechs Jahre.

5.11 Kontakt und Support

Wenn Sie uns per E-Mail oder Kontaktformular schreiben, verarbeiten wir Ihre Angaben und Ihre Nachricht, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO). Wir löschen die Anfrage zwölf Monate nach Abschluss der Bearbeitung, soweit keine Aufbewahrungspflichten bestehen. [Vorschlag] Bitte senden Sie uns keine ausgefüllten Formulare oder Gesundheitsdaten per E-Mail.

5.12 Kündigung und Widerruf über die Website

Wenn Sie über die Schaltflächen „Verträge hier kündigen“ oder „Vertrag widerrufen“ eine Erklärung abgeben, verarbeiten wir die dort angegebenen Daten (Name, E-Mail-Adresse, Vertragsangaben, Art und Zeitpunkt der Kündigung, Zeitpunkt des Eingangs), um die Erklärung zuzuordnen, auszuführen und Ihnen den Eingang zu bestätigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO (§§ 312k, 356a BGB). Wir bewahren die Erklärung und die Bestätigung bis zum Ablauf der regelmäßigen Verjährungsfrist von drei Jahren nach Ende des Kalenderjahres auf. [Vorschlag]

5.13 Fehlerüberwachung (Sentry)

Um technische Fehler zu erkennen und zu beheben, setzen wir Sentry (Functional Software, Inc., USA) mit Datenspeicherung in der EU-Region (Frankfurt am Main) ein. Bei einem Fehler werden technische Informationen übermittelt (Fehlermeldung, Programmstelle, Browser- und Gerätetyp, gekürzte bzw. pseudonymisierte Kennungen). Wir filtern Formularinhalte, Feldwerte, Anweisungen und Dateiinhalte vor der Übermittlung heraus und nutzen keine Sitzungsaufzeichnung (Session Replay). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (fehlerfreier und sicherer Betrieb). Fehlerereignisse werden nach 30 Tagen gelöscht. [Vorschlag – Aufbewahrung in Sentry konfigurieren]

5.14 Reichweitenmessung ohne Cookies

Variante A – serverseitige Messung (empfohlen): Wir zählen Seitenaufrufe und Schritte im Dienst (z. B. „Formular hochgeladen“, „Formular ausgefüllt“, „Tarif gebucht“) ausschließlich auf unseren Servern, anhand der Anfragen, die Ihr Browser ohnehin an uns sendet. Dabei werden keine Cookies gesetzt, keine Informationen in Ihrem Endgerät gespeichert und kein zusätzliches Messskript in Ihrem Browser ausgeführt. IP-Adressen werden nicht gespeichert; zur Unterscheidung von Besuchen verwenden wir allenfalls einen täglich wechselnden, nicht umkehrbaren Hashwert. Wir werten die Daten nur zusammengefasst aus. Anbieter: [PostHog Inc., Datenspeicherung in der EU (Frankfurt am Main) / Plausible Insights OÜ (Estland), Speicherung in Deutschland – Auswahl].

Variante B – cookielose Messung im Browser: Wir setzen [PostHog (EU-Cloud) im cookielosen Modus / Plausible Analytics] ein. Das Skript setzt keine Cookies und speichert nichts in Ihrem Browser (weder Local Storage noch Session Storage). Es übermittelt beim Seitenaufruf die aufgerufene Adresse, die verweisende Seite, Browser- und Gerätetyp sowie die Bildschirmgröße; die IP-Adresse wird nur zur Bildung eines täglich wechselnden Hashwerts verwendet und nicht gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, zu verstehen, wie der Dienst genutzt wird, und ihn zu verbessern, ohne Nutzer über Websites hinweg zu verfolgen. Sie können jederzeit nach Art. 21 DSGVO widersprechen (Abschnitt 10).

Speicherdauer: Zusammengefasste Statistiken ohne Personenbezug unbegrenzt; Einzelereignisse höchstens 12 Monate. [Vorschlag]

5.15 Schutz vor Missbrauch (Friendly Captcha)

Den kostenlosen Testbereich auf unserer Startseite und die Registrierung schützen wir mit Friendly Captcha (Friendly Captcha GmbH, Am Anger 3–5, 82237 Wörthsee, Deutschland). Dabei löst Ihr Browser eine kleine Rechenaufgabe; übermittelt werden technische Merkmale der Anfrage und die IP-Adresse, die der Anbieter nach eigenen Angaben nur in anonymisierter (gehashter) Form speichert. Es werden keine Cookies gesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor automatisiertem Missbrauch); der Zugriff auf Ihr Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich, um den von Ihnen genutzten Dienst vor Missbrauch zu schützen.

5.16 Kostenloser Testbereich ohne Anmeldung

Im Testbereich auf der Startseite können Sie ein Formular ohne Konto ausprobieren. Dafür gelten die Abschnitte 5.3 und 5.4 entsprechend. Dateien aus dem Testbereich löschen wir nach einer Stunde. [Vorschlag – technisch umsetzen] Zur Begrenzung der Nutzung verarbeiten wir Ihre IP-Adresse gekürzt bzw. gehasht für höchstens 24 Stunden.

6. Cookies und Speicherung im Endgerät

Wir speichern Informationen in Ihrem Endgerät oder greifen darauf zu, nur soweit dies unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Das sind:

Eine Einwilligung ist dafür nicht erforderlich. Cookies zu Werbe- oder Trackingzwecken setzen wir nicht ein. Sollten wir künftig einwilligungsbedürftige Technologien einsetzen, holen wir Ihre Einwilligung vorher ein.

7. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder können Daten dort verarbeiten (insbesondere Supabase, Cloudflare, OpenRouter, Microsoft, Sentry, Twilio SendGrid, Stripe). Soweit wir Daten verarbeiten lassen, die in die USA übermittelt werden, stützen wir uns auf:

• den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist. Das Gericht der Europäischen Union hat die Gültigkeit dieses Beschlusses mit Urteil vom 3. September 2025 (Rechtssache T-553/23) bestätigt; ein Rechtsmittel ist beim Gerichtshof der Europäischen Union anhängig (Rechtssache C-703/25 P);
• im Übrigen auf Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Art. 46 Abs. 2 lit. c DSGVO), ergänzt um zusätzliche Maßnahmen wie Verschlüsselung bei der Übertragung und Speicherung, Speicherung in EU-Rechenzentren und Datenminimierung.

Die Garantien für die einzelnen Empfänger nennen wir in Abschnitt 9. Eine Kopie der Standardvertragsklauseln erhalten Sie auf Anfrage unter info@mind-verse.de.

8. Speicherdauer im Überblick

Sie können Dateien jederzeit vorzeitig löschen, alle Daten auf einmal löschen („Alles löschen“) und Ihr Konto in den Einstellungen löschen. Aus Sicherungskopien werden gelöschte Daten spätestens nach Ablauf des Sicherungszyklus von [Anzahl] Tagen entfernt. [Vorschlag – Backup-Aufbewahrung bei Supabase prüfen]

9. Empfänger und Auftragsverarbeiter

Wir setzen Dienstleister ein, die Daten in unserem Auftrag nach Art. 28 DSGVO verarbeiten und vertraglich an unsere Weisungen gebunden sind. Die jeweils aktuelle, vollständige Liste mit Standorten und Garantien finden Sie unter https://ausfuellpilot.de/sicherheit.

Eigenverantwortliche Empfänger sind Stripe Payments Europe, Limited, PayPal (Europe) S.à r.l. et Cie, S.C.A. (soweit Sie PayPal nutzen) sowie Behörden, Gerichte und Berater, soweit wir gesetzlich dazu verpflichtet sind oder dies zur Durchsetzung von Ansprüchen erforderlich ist (Art. 6 Abs. 1 lit. c bzw. f DSGVO).

10. Ihre Rechte

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die bei uns gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO) und Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO) – in den Einstellungen können Sie Ihre Daten selbst exportieren,
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO), z. B. in den Einstellungen oder per E-Mail an info@mind-verse.de. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Reichweitenmessung (Abschnitt 5.14) können Sie ohne Angabe von Gründen widersprechen.

Wenden Sie sich zur Ausübung Ihrer Rechte an info@mind-verse.de.

11. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Datenschutz-Aufsichtsbehörde des Bundeslandes, in dem wir unseren Sitz haben (Berlin).

12. Automatisierte Entscheidungen

Wir treffen keine ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Die KI schlägt Werte für Formularfelder vor; ob Sie ein Formular verwenden oder einreichen, entscheiden allein Sie. Über Anträge entscheidet ausschließlich die zuständige Stelle. Wir führen kein Profiling durch.

13. Pflicht zur Bereitstellung

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns Daten bereitzustellen. Ohne die für das Konto, die Bestellung oder das Formular erforderlichen Angaben können wir die jeweilige Leistung jedoch nicht erbringen.

14. Sicherheit

Wir schützen Ihre Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem durch verschlüsselte Übertragung (TLS), Verschlüsselung gespeicherter Daten, strikte Trennung der Daten verschiedener Konten, kurzlebige signierte Download-Links, Zwei-Faktor-Authentifizierung und Protokollierung sicherheitsrelevanter Vorgänge. Einzelheiten finden Sie unter https://ausfuellpilot.de/sicherheit.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils unter https://ausfuellpilot.de/datenschutz veröffentlichte Fassung. Über wesentliche Änderungen informieren wir registrierte Nutzer per E-Mail.

Stand: 25. September 2026