Datenschutzerklärung
Kurzfassung: Ihre Daten werden ausschließlich auf EU-Servern verarbeitet (Hetzner, Falkenstein und Nürnberg, Deutschland). Die KI-Verarbeitung erfolgt über AWS Bedrock (Ursprungsregion Frankfurt; Verarbeitung innerhalb der EU/des EWR) mit Claude — ohne Speicherung Ihrer Eingaben (0 Tage). Ihre Chat- und Dokumenteninhalte verlassen die EU nicht; US-Anbieter setzen wir nur für DNS und die Marketing-Website (Cloudflare; Subdomain-Metadaten, keine Kundeninhalte) ein; der System-E-Mail-Versand läuft über unseren selbstgehosteten Mailserver Postal (Hetzner, Nürnberg). Keine Cookies außer technisch notwendigen.
1. Verantwortlicher
Catalina Rojas Ugarte, handelnd als ClapNClaw
Gneisenaustrasse 51, Wohnung 9, 10961 Berlin
E-Mail: [email protected]
Website: https://clapnclaw.io
Bei Datenschutzfragen wenden Sie sich bitte an: [email protected]
2. Erhobene Daten, Zwecke und Rechtsgrundlagen
2.1 Registrierung und Vertragsabschluss
Daten: Name, E-Mail-Adresse, Unternehmensname, Passwort (gehasht).
Zweck: Erstellung und Verwaltung Ihres Benutzerkontos, Erfüllung des Nutzungsvertrags.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: Vertragsdauer; 30 Tage nach Vertragsende wird das Benutzerkonto gelöscht bzw. anonymisiert (sofern die Person nicht zugleich einem anderen Kundenkonto angehört)
2.2 Nutzung der KI-Plattform
Daten: Prompts und Dokumente, die Sie zur Verarbeitung einreichen; Kommunikationsdaten aus verbundenen Integrationen (Gmail, Slack, etc.) nur nach expliziter Freigabe durch Sie.
Zweck: Erbringung der KI-Dienste gemäß Ihren Weisungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: Verarbeitungsinhalt: 0 Tage bei AWS Bedrock; auf unserem Server: Vertragsdauer, Löschung durch Nutzer jederzeit möglich, vollständige Löschung 30 Tage nach Vertragsende
2.3 Technische Protokolldaten
Daten: IP-Adresse, Zeitstempel, Fehlermeldungen, Token-Nutzung.
Zweck: Betrieb, Sicherheit und Debugging der Plattform.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Systemsicherheit)
Speicherdauer: 30 Tage
2.4 Zahlungs- und Rechnungsdaten
Daten: Rechnungsadresse, Zahlungsart, Transaktionskennungen. Kreditkartendaten werden ausschließlich durch Stripe verarbeitet — wir speichern keine Kreditkartennummern.
Zweck: Abwicklung von Zahlungen, Ausstellung von Rechnungen, steuerliche Dokumentation.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB, § 14b UStG (gesetzliche Aufbewahrungspflicht)
Speicherdauer: 8 Jahre ab dem Ende des Kalenderjahres der Rechnungsstellung bzw. des Vertragsendes (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b UStG); nach Vertragsende werden diese Daten nur noch zu diesem Zweck verarbeitet
2.5 Transaktionale E-Mails (Onboarding, Benachrichtigungen)
Daten: E-Mail-Adresse, Name.
Zweck: Versand von Willkommens-E-Mails, Systembenachrichtigungen, Rechnungen, Sicherheitswarnungen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Speicherdauer: E-Mail-Protokolle: 30 Tage (Versand ausschließlich über den selbstgehosteten Mailserver Postal, Hetzner Nürnberg)
2.6 Marketing-E-Mails
Daten: E-Mail-Adresse, Name.
Zweck: Zusendung von Produktneuigkeiten und Angeboten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung nach Double-Opt-In, § 7 UWG)
Speicherdauer: Bis Widerruf
3. Auftragsverarbeiter
Wir haben mit folgenden Auftragsverarbeitern Verträge gemäß Art. 28 DSGVO geschlossen:
| Anbieter | Sitz | Zweck | Datentransfer & Safeguards |
|---|---|---|---|
| Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen |
🇩🇪 Deutschland | Hosting, Server, Datenspeicherung, selbstgehosteter E-Mail-Server (Postal) | Kein Drittlandtransfer (EU/EWR) ISO 27001:2022, BSI C5 Type 2 AVV abgeschlossen am 2026-03-24 |
| Amazon Web Services EMEA SARL 38 Avenue John F. Kennedy, L-1855 Luxembourg |
🇱🇺 Luxemburg (EU) | KI-Inferenz via AWS Bedrock (Ursprungsregion eu-central-1, Frankfurt; die Verarbeitung kann in eu-central-1, eu-west-1, eu-west-3, eu-north-1, eu-south-1 oder eu-south-2 erfolgen, stets innerhalb der EU/des EWR) | Kein Drittlandtransfer (EU/EWR) Anthropic hat keinen Zugriff auf Daten via Bedrock ISO 27001, SOC 2, BSI C5 AVV (AWS GDPR DPA) inkorporiert |
| Stripe Payments Europe, Limited 1 Grand Canal Street Lower, Dublin 2, Irland |
🇮🇪 Irland (EU) | Zahlungsabwicklung, Abonnementverwaltung | EU-Niederlassung, kein Drittlandtransfer für EU-Daten PCI DSS Level 1 DPA inkorporiert in Stripe Services Agreement |
| Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland |
🇮🇪 Irland (EU) Vertragspartner EU; Verarbeitung teils durch Google LLC (USA) |
OAuth-Login (E-Mail, Name, Profilbild). Nur bei aktivierter Integration: Zugriff auf Gmail/Drive/Kalender im Auftrag des Kunden | Übermittlung in die USA möglich — EU-US Data Privacy Framework + Standardvertragsklauseln (SCCs) ISO 27001, EU-US DPF Google Data Processing Terms — Aktivierung der Integration nur mit ausdrücklicher Einwilligung |
| GitHub, Inc. 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107 |
🇺🇸 USA Microsoft-Tochter |
OAuth-Login (nur E-Mail, Name, Avatar) — optional, nur wenn der Nutzer 'Mit GitHub anmelden' wählt | USA — EU-US Data Privacy Framework (Microsoft) + SCCs EU-US DPF, ISO 27001 GitHub Data Protection Agreement |
| Slack Technologies Limited (Salesforce) One Park Place, Hatch Street Upper, Dublin 2, Irland |
🇮🇪 Irland (EU) Vertragspartner EU; Verarbeitung teils in den USA |
Nur bei aktivierter Integration: Senden/Lesen von Slack-Nachrichten im Auftrag des Kunden | Übermittlung in die USA möglich — EU-US DPF + SCCs ISO 27001, SOC 2 Type II, EU-US DPF Salesforce/Slack DPA — Aktivierung nur mit ausdrücklicher Einwilligung |
| Notion Labs, Inc. 2300 Harrison Street, San Francisco, CA 94110 |
🇺🇸 USA | Nur bei aktivierter Integration: Lesen/Schreiben von Notion-Seiten im Auftrag des Kunden | USA — EU-US Data Privacy Framework + SCCs SOC 2 Type II, EU-US DPF Notion DPA — Aktivierung nur mit ausdrücklicher Einwilligung |
| Twilio Ireland Limited 25-28 North Wall Quay, Dublin 1, Irland |
🇮🇪 Irland (EU) Vertragspartner EU; SMS-Zustellung teils über US-Infrastruktur |
SMS-Verifizierung der Telefonnummer bei der Registrierung (Übergangslösung — Wechsel zu seven.io geplant) | Übermittlung in die USA möglich — EU-US DPF + SCCs ISO 27001, SOC 2 Type II, EU-US DPF Twilio DPA |
| seven communications GmbH & Co. KG Willestraße 4-6, 24103 Kiel |
🇩🇪 Deutschland | SMS-Verifizierung der Telefonnummer (EU-Anbieter, ersetzt Twilio) | Kein Drittlandtransfer (Deutschland) ISO 27001 AVV nach Art. 28 DSGVO verfügbar |
| DuckDuckGo, Inc. 20 Paoli Pike, Paoli, PA 19301 |
🇺🇸 USA | Websuche im Chat — standardmäßig DEAKTIVIERT; nur nach ausdrücklicher Aktivierung durch den Kunden werden Suchanfragen übermittelt | USA — bei Aktivierung werden Suchanfragen (ohne Konto-/Kundendaten) übermittelt Kein DPA — daher standardmäßig deaktiviert |
| Cloudflare, Inc. 101 Townsend Street, San Francisco, CA |
🇺🇸 USA | DNS-Verwaltung für Tenant-Subdomains — nur DNS-Metadaten (Subdomain-Namen), keine Kundeninhalte; TLS-Terminierung und Netzwerk-Proxy ausschließlich für die Marketing-Website clapnclaw.io (keine Kundeninhalte) | EU-US Data Privacy Framework (EU-US DPF) + SCCs ISO 27001 Cloudflare DPA |
Optionale Integrationen: Verbinden Sie auf eigenen Wunsch Drittdienste (z. B. Gmail, Outlook, Slack, Notion, Google Drive, HubSpot), werden Daten an den jeweiligen Anbieter übermittelt — bei US-Anbietern erst nach Ihrer ausdrücklichen Einwilligung in die Drittlandübermittlung (Art. 44 ff. DSGVO). Ohne Verknüpfung findet keine solche Übermittlung statt.
Hinweis zu E-Mails: System-E-Mails der Plattform (Einladungen, Benachrichtigungen) werden ausschließlich über unseren selbstgehosteten Mailserver Postal (eigener Hetzner-Server, Nürnberg) versendet und empfangen; diese Daten verlassen Deutschland nicht und es ist kein externer E-Mail-Dienstleister eingebunden. E-Mails an [email protected] und [email protected] werden ebenfalls über Postal empfangen.
Hinweis zur KI-Verarbeitung: Alle KI-Anfragen werden über AWS Bedrock in der EU-Region eu-central-1 (Frankfurt) als Ursprungsregion mit Claude verarbeitet; die Verarbeitung kann in eu-central-1, eu-west-1, eu-west-3, eu-north-1, eu-south-1 oder eu-south-2 erfolgen, stets innerhalb der EU/des EWR; Eingaben werden dort nicht gespeichert (0 Tage). Die KI-Verarbeitung findet vollständig in der EU statt; eine Übermittlung Ihrer Inhalte in Drittländer erfolgt im Rahmen der KI-Verarbeitung nicht.
Hinweis zu Berufsgeheimnisträgern: Rechtsanwälten, Ärzten und Steuerberatern wird empfohlen, den gesonderten Auftragsverarbeitungsvertrag (AVV) und die Verschwiegenheitsverpflichtung gemäß § 203 StGB abzuschließen. Bitte kontaktieren Sie uns unter [email protected].
4. Speicherdauer — Übersicht
| Datenart | Speicherdauer | Grund |
|---|---|---|
| Kontodaten | Vertragsdauer; Löschung bzw. Anonymisierung 30 Tage nach Vertragsende | Nutzungsvertrag / Art. 5 Abs. 1 lit. e DSGVO |
| KI-Prompts (AWS Bedrock) | 0 Tage | EU-Verarbeitung, keine Speicherung |
| Konversationsverlauf (isolierte Kundenumgebung) | Vertragsdauer; Löschung durch Nutzer jederzeit; vollständige Löschung 30 Tage nach Vertragsende (Sicherungskopien laufen spätestens 30 Tage danach aus) | Nutzungsvertrag / Art. 5 Abs. 1 lit. e DSGVO |
| Technische Logs | bis zu 30 Tage | Sicherheit, Debugging |
| Rechnungs- und Abrechnungsdaten (Firma, Stripe-Kennung, Tarif, Laufzeit, Rechnungen) | 8 Jahre ab Ende des Kalenderjahres der Rechnungsstellung bzw. des Vertragsendes; nach Vertragsende nur noch zu diesem Zweck verarbeitet | § 147 AO, § 257 HGB, § 14b UStG; Art. 6 Abs. 1 lit. c DSGVO |
| Transaktionale E-Mails (selbstgehosteter Mailserver Postal) | 30 Tage | Zustellnachweis |
| Marketing-Einwilligung | Bis Widerruf | Art. 6 Abs. 1 lit. a DSGVO |
5. Ihre Rechte als betroffene Person (Art. 15–22 DSGVO)
Sie haben das Recht auf:
- Auskunft (Art. 15): Welche Daten wir über Sie gespeichert haben
- Berichtigung (Art. 16): Korrektur unrichtiger Daten
- Löschung (Art. 17): „Recht auf Vergessenwerden“
- Einschränkung (Art. 18): Begrenzung der Verarbeitung
- Datenübertragbarkeit (Art. 20): Export Ihrer Daten auf Anfrage unter [email protected] oder durch den Administrator Ihrer Kundenorganisation. Der Export ist ein verschlüsseltes Archiv mit Chat-Verläufen, Dokumenten und Wissensdateien samt Originalanhängen, Dateien, Ordnern, Skills und Zugriffsprotokoll sowie einem Manifest; Größengrenzen und nicht enthaltene Daten (insbesondere Zugangsschlüssel und Passwort-Hashes) werden im Manifest ausgewiesen
- Widerspruch (Art. 21): Gegen auf berechtigtem Interesse gestützte Verarbeitung
- Widerruf: Jederzeit für erteilte Einwilligungen
Kontakt für alle Anfragen: [email protected]
Wir antworten innerhalb von 30 Tagen, in komplexen Fällen innerhalb von 90 Tagen (Art. 12 Abs. 3 DSGVO).
Sie können Ihre Daten auf Anfrage unter [email protected] anfordern oder löschen lassen (binnen 30 Tagen gemäß Art. 12 DSGVO).
6. Beschwerderecht bei der Aufsichtsbehörde
Unbeschadet anderweitiger verwaltungsrechtlicher oder gerichtlicher Rechtsbehelfe steht Ihnen das Recht zu, Beschwerde einzulegen bei:
Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61 · 10555 Berlin
Telefon: +49 30 13889-0
[email protected] ·
www.datenschutz-berlin.de
7. Soziale Medien und externe Kanäle
Wir betreiben folgende externe Kanäle für Marketing und öffentliche Kommunikation:
- Instagram: Meta Platforms Ireland Ltd., 4 Grand Canal Square, Dublin 2, Irland. Bei Interaktion mit unserer Seite verarbeitet Meta Daten gemäß ihrer Datenschutzrichtlinie. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
- Telegram: Öffentlicher Kanal. Nachrichten sind öffentlich. Keine Kundendaten werden über Telegram verarbeitet. Direkte Anfragen werden an [email protected] weitergeleitet.
Wichtig: Über diese Kanäle werden keine Kundendaten verarbeitet. Für Supportanfragen nutzen Sie ausschließlich [email protected].
8. Cookies und Tracking
Wir verwenden ausschließlich technisch notwendige Cookies:
| Cookie | Zweck | Laufzeit |
|---|---|---|
| clapnclaw_session | Verwaltung der Anmeldesitzung (HttpOnly, Secure) | 30 Tage |
| token | Anmeldesitzung im KI-Arbeitsbereich (Open WebUI, Tenant-Subdomain) | Sitzungsdauer |
Zusätzlich nutzen wir den localStorage Ihres Browsers für Einstellungen (z. B. Farbschema, Spracheinstellung, zuletzt genutzter Arbeitsbereich). Ihre Anmeldung wird nicht im localStorage gespeichert, sondern ausschließlich im HttpOnly-Cookie clapnclaw_session, auf das Skripte im Browser keinen Zugriff haben. Die localStorage-Daten verbleiben in Ihrem Browser, werden nicht an Dritte übertragen und können jederzeit über die Browser-Einstellungen gelöscht werden.
Web-Analyse: Auf unserer öffentlichen Website setzen wir Umami ein — ein selbst gehostetes, cookiefreies Web-Analyse-Tool, das ausschließlich auf unserer eigenen Infrastruktur läuft. Es werden keine Cookies gesetzt, keine Nutzerprofile erstellt und keine Daten an Dritte übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung).
Kein Tracking durch Dritte, keine Werbecookies. Ein Cookie-Banner ist für ausschließlich technisch notwendige Cookies nicht erforderlich (vgl. § 25 Abs. 2 TDDDG); Umami setzt keine Cookies und liest keine Informationen aus dem Endgerät aus.