Datenschutzerklärung

1. Verantwortlicher

Kerim Agdaci, Elsenheimerstraße 25C, 85283 Wolnzach (siehe Impressum).

2. Erhobene Daten

Wir verarbeiten folgende personenbezogenen Daten:

E-Mail-Adresse (Anmeldung, Telegram-Bot-Verknüpfung)
Tenant-Inhalte (Markenbeschreibung, hochgeladene Dateien, Voice-Samples)
IP-Adresse (pseudonymisiert über rotierenden Tages-Salt)
Cookie-IDs für Session-Cookies

3. Zwecke + Rechtsgrundlagen

Vertragserfüllung (Art. 6 Abs. 1 b DSGVO): Plattform-Bereitstellung
Berechtigte Interessen (Art. 6 Abs. 1 f DSGVO): Sicherheit, Anti-Missbrauch
Vertragserfüllung / rechtliche Verpflichtung (Art. 6 Abs. 1 b/c DSGVO): C1, C2a, C3, C4 — erforderliche Bedingungen des Dienstes, keine freiwillige Einwilligung
Einwilligung (Art. 6 Abs. 1 a DSGVO): C2b, C5a/C5b, C6a/C6b, C7, C8, C9 — freiwillig erteilt und jederzeit unter Einstellungen → Einwilligungen widerrufbar

4. Auftragsverarbeiter / Sub-Processors

Liste der eingesetzten Sub-Processoren (Art. 28 DSGVO):

Anthropic PBC (USA) — KI-Inferenz
Cloudflare, Inc. (USA + EU) — Hosting, KV, R2, Workers AI
Cloudflare Public DNS Resolver (1.1.1.1) — Auflösung des Ziel-Hostnamens für die Sicherheitsprüfung ausgehender Anfragen, die wir vor jedem Kontakt mit einer von Ihnen angegebenen Web-Adresse durchführen (Benachrichtigungs-Webhooks, eigene Endpunkte, Website-Analyse). Übermittelt wird ausschließlich der Ziel-Hostname — keine Zyklusinhalte und keine Kennung von Ihnen oder Ihrem Workspace. Dies ist der öffentliche Resolver-Dienst von Cloudflare und läuft unter dessen eigenen Dienstbedingungen, nicht unter der Kundenvereinbarung, die den vorstehenden Hosting-Eintrag abdeckt.
Supabase Inc. (USA mit EU-Region) — Datenbank, Auth
AWS, Inc. (EU Frankfurt) — Medien-Rendering + GPU-Medienerzeugung (Sprachsynthese, Musikgenerierung)
Resend, Inc. (EU, Irland / eu-west-1) — transaktionale E-Mail-Zustellung: Magic-Links, Workspace-Einladungen sowie Zyklus-Benachrichtigungen an eine E-Mail-Adresse, die Sie unter Einstellungen → Benachrichtigungen selbst benennen
Telegram Messenger Inc. (BVI) — Notification-Bot
Exa Labs Inc. (USA) — Web-Suche
Upload-Post / TONVI TECH SL (EU) — Cross-Plattform-Posting (Posting-Provider; nur falls Sie diesen Anbieter verbinden)
Workers Logs / Observability (Cloudflare) — Diagnose
MailerLite (Litauen, EU) — E-Mail-Marketing (nur bei C7)

Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern werden vor Verarbeitungsbeginn abgeschlossen.

4a. Von Ihnen benannte Empfänger

Unabhängig von den vorstehenden Auftragsverarbeitern können Sie die Plattform anweisen, Zyklus-Benachrichtigungen an von Ihnen selbst gewählte Ziele zu senden: einen Telegram-Chat, einen Slack-Workspace, eine E-Mail-Adresse oder einen beliebigen von Ihnen benannten HTTPS-Endpunkt. Konfigurieren Sie ein solches Ziel, übermitteln wir auf Ihre Weisung ausschließlich das Zyklus-Thema, die Zyklus-ID, einen Link zum Zyklus und im Fehlerfall eine kurze Begründung. Diese Empfänger sind keine Unterauftragsverarbeiter von uns: Wir wählen sie nicht aus, schließen mit ihnen keinen Vertrag und können sie weder anweisen noch prüfen. Die Verantwortung für diesen Empfänger — einschließlich seines Standorts und, soweit er außerhalb der EU/des EWR liegt, der einschlägigen Transfergarantie — verbleibt bei Ihnen. Nach erfolgter Zustellung können wir eine Nachricht weder zurückrufen noch kontrollieren. Sie können jedes Ziel jederzeit unter Einstellungen → Benachrichtigungen ändern oder entfernen.

5. Speicherdauer

Siehe Retention-Matrix unter /legal/help (Datenkategorie → Speicherort → Speicherdauer → Rechtsgrundlage).

6. Ihre Rechte

Art. 15 (Auskunft), 16 (Berichtigung), 17 (Löschung), 18 (Einschränkung), 20 (Übertragbarkeit), 21 (Widerspruch), 22 (automatisierte Entscheidung).

Beschwerde bei der Aufsichtsbehörde (BayLDA für Bayern): <https://www.lda.bayern.de>.

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO nicht vorliegen.

7. Materialien, Wissensbasis-Verarbeitung und KI-Assistenzfunktionen (Phase 17)

Ergänzend zu Ziffer 2-4 verarbeiten wir im Rahmen folgender Funktionen:

Hochgeladene Materialien (Corpus): Dokumente/Bilder, die Sie unter Einstellungen → Materialien hochladen, sowie daraus abgeleitete Text-Ausschnitte und Vektor-Embeddings. Zweck: Aufbau einer durchsuchbaren Wissensbasis für die KI-gestützte Generierung und Assistenzfunktion. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); bei möglichem Bezug zu Art. 9 DSGVO gilt zusätzlich die gesonderte Rechte-Zusicherung, die Sie beim Hochladen bestätigen. Speicherort: privater Cloudflare-R2-Bereich (organisationsspezifisch) und Supabase-Datenbank (EU-Region, Row-Level-Security). Embedding-Erzeugung über Cloudflare Workers AI (Modell @cf/baai/bge-m3); soweit dabei im Rahmen der Modellbereitstellung eine Verarbeitung außerhalb der EU stattfindet, ist diese durch EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Aufbewahrung: bis zur Löschung des einzelnen Materials oder Ihres Kontos; Löschung Ihres Kontos entfernt automatisiert alle Materialien-Datensätze Ihrer Organisation (Dateien, Datenbank-Zeilen, abgeleitete Embeddings).
Entscheidungs-Protokoll ("Decision Ledger"): protokolliert für jeden Content-Zyklus die Themen-/Format-Auswahl der Engine, Ihre menschliche Freigabe-Entscheidung und das Veröffentlichungsergebnis — zur Verbesserung der Auswahl-Logik ("Flywheel-Lernen"). Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt (Human-in-the-Loop bleibt erhalten). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO), hilfsweise Vertragserfüllung. Aufbewahrung + Löschung: wie oben, im selben Löschvorgang wie Ihre Materialien.
KI-Assistenzfunktion (RAG): bei Nutzung der Assistenzfunktion (Fragen zu Ihren eigenen Materialien bzw. Recherche-Anfragen) werden Ihre Anfrage und die passenden Text-Ausschnitte aus Ihrer Wissensbasis an Anthropic (Claude, USA) übermittelt — dieselbe Verarbeitung wie bei der regulären Inhalts-Generierung (siehe Ziffer 4, KI-Inferenz). Übermittlung auf Basis von EU-Standardvertragsklauseln; Anthropic nutzt Ihre Anfragen nicht zum Modelltraining. Die Verarbeitung ist transient; wir protokollieren die Anfrage nicht dauerhaft im Klartext. Die Funktion unterliegt technischen Ausgaben-Obergrenzen zum Schutz vor missbräuchlicher Nutzung.
Social-Publishing — Mehr-Organisationen-Modell: jede Organisation erhält ein eigenes, organisationsspezifisches Upload-Post-Profil (TONVI TECH SL, Spanien) mit eigenen verbundenen Social-Media-Konten. Der Auftragsverarbeitungsvertrag mit TONVI TECH SL (Version 1.4, gegengezeichnet 14.06.2026) deckt dieses Modell beim aktuellen Nutzungsvolumen ab. Löschen Sie Ihr Konto, wird Ihr Upload-Post-Profil bestmöglich mitdeprovisioniert (best-effort).

8. Kontakt

Datenschutz-Anfragen: contact@bykainsights.com

Stand: 2026-08-02