Datenschutz

Verantwortlicher

STRUCT Tech UG (haftungsbeschränkt) Löffelstraße 22–24 70597 Stuttgart Deutschland

Aufruf des Dienstes

Beim Aufruf der Website verarbeiten die bereitstellenden Systeme IP-Adresse, Zeitpunkt, angeforderte Ressourcen und Browserinformationen, soweit für Übertragung und Betrieb erforderlich. Dies dient der Bereitstellung des Dienstes sowie der Fehler- und Missbrauchserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Dienstes und Art. 6 Abs. 1 lit. f DSGVO für unser Interesse an einem sicheren und stabilen Betrieb.

Schutz vor automatisiertem Missbrauch (Cloudflare Turnstile)

Bei aktivierter Missbrauchsabsicherung wird Cloudflare Turnstile bei Registrierung, Anmeldung, Passwort-Reset und Erstellung eines neuen Meetings geladen. Dein Browser verbindet sich mit challenges.cloudflare.com und übermittelt Verbindungs- und Browserdaten an Cloudflare für die Sicherheitsprüfung. Unsere API sendet den kurzlebigen Prüftoken zur Validierung an Cloudflare. Wir senden mit dieser Prüfanfrage keine E-Mail-Adresse, Passwörter, Meetingtitel, Teilnehmernamen oder Medien und speichern oder protokollieren den Turnstile-Token nicht. Dieser Schutz ist unabhängig von optionaler Diagnose und Produktanalyse. Bestehende Calls, Wiederverbindungen und Gerätewechsel lösen keine neue Prüfung aus. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz des Dienstes vor automatisiertem Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare verarbeitet Daten nach seinem Turnstile Privacy Addendum.

Hosting und Meeting-Infrastruktur

Website, API, LiveKit, TURN und Speicher betreiben wir auf Infrastruktur des Hosters Hetzner. Der Objektspeicher für Aufnahmen befindet sich in Nürnberg (Deutschland). Hetzner verarbeitet dafür in unserem Auftrag die erforderlichen technischen Verbindungs- und Betriebsdaten. Sentry, Stripe, Cloudflare und Mailjet sind gesonderte Empfänger und in eigenen Abschnitten beschrieben.

Meetings und Kommunikation

Für ein Meeting werden Anzeigename, Meeting-Kennung, Berechtigungen und technische Verbindungsdaten verarbeitet. Aktivierte Kamera, Mikrofon, Bildschirmfreigabe und Chat übermitteln Inhalte an die anderen Teilnehmenden über die Meeting-Infrastruktur. Die Bereitstellung erfolgt auf Grundlage des vereinbarten Dienstes beziehungsweise der Rechtsgrundlage der organisierenden Stelle. Ende-zu-Ende-Verschlüsselung ist in Entwicklung und noch nicht für produktive Meetings verfügbar; die Infrastruktur kann daher Medien serverseitig verarbeiten.

Aufnahmen

Wenn die Aufnahmefunktion für ein STRUCT-Call-Meeting freigeschaltet ist, kann der Host nach ausdrücklicher Zustimmung aller aktuell Teilnehmenden eine MP4-Aufnahme von Audio, Video und geteilten Bildschirmen starten. Die Aufnahme liegt in einem privaten Objektspeicher und wird gelöscht, nachdem alle das Meeting verlassen haben und eine kurze Downloadfrist abgelaufen ist. Die organisierende Stelle muss weiterhin für Information und Rechtsgrundlage sorgen. In Sitzungen über KI Praxis steuert KI Praxis die Aufnahme gesondert. In STRUCT-Call-Meetings gibt es keine Transkription und keinen externen Transkriptions- oder KI-Anbieter.

Speicherung im Browser

Die App speichert Sprache, Darstellung, Gerätepräferenzen, Anzeigenamen und geplante Meetings im Browser. Gastgeber-Zugangsdaten und Meeting-Titel werden teilweise im Session Storage und gemeinsam mit lokalen Terminen im Local Storage aufbewahrt. Diese Daten sind für andere Personen mit Zugriff auf dein Browser-Profil zugänglich. Das Löschen von Website-Daten entfernt lokale Einträge, widerruft aber nicht automatisch Zugänge auf dem Server. Die Cookie-Richtlinie beschreibt die Speicherbereiche näher.

Konto und Anmeldung

Für ein Konto verarbeiten wir deine E-Mail-Adresse, einen optionalen Anzeigenamen, dein Passwort in gehashter Form, Bestätigungs- und Anmeldezeitpunkte sowie die Meetings und Termine, die du anlegst. Die Anmeldung läuft über eine von uns selbst betriebene Supabase-Instanz. Nach der Anmeldung halten zwei HttpOnly-Cookies die Sitzung (Zugriffstoken; Erneuerungstoken für 30 Tage); Abmelden löscht sie. Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Zur Löschung deines Kontos wende dich an contact@ki-praxis.app; Daten, die wir gesetzlich aufbewahren müssen, bleiben bis zum Ende der jeweiligen Frist gespeichert.

E-Mail-Versand (Mailjet)

Bestätigungs- und Passwort-Reset-E-Mails für dein Konto versenden wir über Mailjet (Mailjet SAS, Paris, Frankreich, Teil der Sinch-Gruppe), die dafür in unserem Auftrag handelt. Mailjet erhält deine E-Mail-Adresse, den Inhalt der Nachricht einschließlich deines persönlichen, nur einmal nutzbaren Links und technische Zustelldaten. Links in diesen E-Mails können über Adressen von Mailjet geleitet werden, und Mailjet kann Zustell- und Abrufereignisse erfassen, etwa dass die E-Mail geöffnet oder der Link angeklickt wurde. Wir nutzen diese Ereignisse nicht für Werbung oder Profilbildung. Rechtsgrundlage ist die Durchführung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung durch Mailjet ist durch eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO geregelt.

Feature-Benachrichtigungen (Mailjet)

Auf der Startseite kannst du dich benachrichtigen lassen, sobald die geplanten Zusatzfunktionen verfügbar sind. Wir senden dann über Mailjet (siehe oben) eine Bestätigungs-E-Mail; erst wenn du den Link darin anklickst, wird deine E-Mail-Adresse in eine eigene Mailjet-Kontaktliste für diesen Zweck aufgenommen (Double-Opt-in). Bestätigungs-E-Mails werden ohne Öffnungs- und Klick-Tracking versendet. Wir nutzen die Liste ausschließlich, um dich über neue Features zu informieren, nicht für einen allgemeinen Newsletter; sie ist unabhängig von der Interessenabfrage und von einem Konto. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit mit Wirkung für die Zukunft widerrufen kannst, über den Abmeldelink in jeder E-Mail oder per Nachricht an uns. Nach einem Widerruf bleibt die Adresse als abgemeldet markiert, damit sie nicht ohne neue Bestätigung wieder eingetragen wird. Unbestätigte Anfragen werden in keiner Liste gespeichert; der Bestätigungslink verfällt nach 72 Stunden.

Kostenpflichtige Pakete und Zahlung

Vor einer kostenpflichtigen Buchung fragen wir den Namen deines Unternehmens (bei Selbstständigen deinen Namen) sowie deine Bestätigung der gewerblichen oder beruflichen Nutzung und der akzeptierten Fassung der Nutzungsbedingungen ab. Diese Angaben speichern wir mit deinem Konto, dem Zeitpunkt und dem Buchungsvorgang als Nachweis des Vertragsschlusses; IP-Adresse oder Browserdaten speichern wir dafür nicht. Die Zahlung wickelt Stripe ab: Rechnungsadresse, Zahlungsart und optional eine USt-ID gibst du direkt bei Stripe ein. Wir erhalten von Stripe den Kunden- und Abostatus, keine vollständigen Kartendaten. An Stripe geben wir deine E-Mail-Adresse und interne Referenznummern weiter, nicht deinen Unternehmensnamen. Rechtsgrundlage ist die Vertragserfüllung und -anbahnung (Art. 6 Abs. 1 lit. b DSGVO) sowie handels- und steuerrechtliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO). Stripe verarbeitet Daten auch außerhalb der EU.

Empfehlungsprogramm

Registrierst du dich über einen Empfehlungslink, speichern wir den Empfehlungscode an deinem Konto. Buchst du später ein kostenpflichtiges Paket, berechnen wir aus den Zahlungsdaten die Provision der empfehlenden Person. Sie erhält von uns weder deinen Namen noch deine E-Mail-Adresse oder Meeting-Daten. Rechtsgrundlage ist unser berechtigtes Interesse an der Abrechnung von Empfehlungen (Art. 6 Abs. 1 lit. f DSGVO).

Sitzungen über KI Praxis

Trittst du über einen Link aus KI Praxis einer Sitzung bei, leitet unsere API die Anfragen zu dieser Sitzung (das Link-Token und die von dir übermittelten Angaben, etwa deinen Anzeigenamen) an den Dienst KI Praxis weiter, der Sitzung und Zugang verwaltet. IP-Adresse und Cookies leiten wir nicht weiter. Das Meeting selbst läuft dann wie oben beschrieben über STRUCT Call. Für die Sitzungsdaten gelten zusätzlich die Datenschutzhinweise von KI Praxis.

Beta-Diagnose

Für technische Fehler, Verbindungszustände und Zeitmessungen in der App nutzen wir Sentry, angeboten von Functional Software, Inc. d/b/a Sentry (USA). Die App reduziert und filtert Ereignisdaten; das schließt Personenbezug durch technische Metadaten nicht vollständig aus. Diese Diagnose läuft nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, soweit anwendbar § 25 Abs. 1 TDDDG); ohne Entscheidung oder nach Ablehnung sendet dein Browser nichts. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Auf diesen Informationsseiten ist der Versand deaktiviert.

Server-Fehlerberichte und Beta-Feedback

Soweit eingerichtet, meldet unsere API technische Fehler und Leistungsdaten ihres eigenen Betriebs an Sentry. Diese Meldungen hängen nicht von der Diagnose-Auswahl in deinem Browser ab. Anfrage-Header, Cookies, Anfrageinhalte, URL-Parameter und Nutzerangaben werden nicht übertragen, Zugangsdaten werden gefiltert. Rechtsgrundlage ist unser berechtigtes Interesse an der Erkennung und Behebung von Fehlern (Art. 6 Abs. 1 lit. f DSGVO). Sendest du Beta-Feedback ab, werden dein Text und deine Bewertungen an Sentry übermittelt; das geschieht nur, wenn du auf Senden drückst (Art. 6 Abs. 1 lit. f DSGVO). Nur mit Diagnose-Einwilligung enthält das Feedback zusätzlich die Qualitätskategorie des Calls und einen Verweis auf einen zugehörigen Fehlerbericht.

Interessenabfrage zu geplanten Zusatzfunktionen

Auf der Startseite kannst du angeben, ob dich eine geplante Zusatzfunktion interessiert. Ein Klick sendet nur die Funktion, deine Antwort und die Antwort, die sie ersetzt, an unsere API. Diese zählt sie als zusammengefasste Metrik in Sentry (siehe Server-Diagnose) und antwortet erst, wenn Sentry sie angenommen hat. An Sentry gehen keine E-Mail-Adresse, kein Konto, keine IP-Adresse, kein Name und keine sonstige Kennung, und es wird keine technische Diagnose deines Browsers gestartet. Deine Anfrage an unsere API wird wie jede Anfrage verarbeitet (Missbrauchsschutz im Arbeitsspeicher). Deine Antworten werden in deinem Browser gespeichert (localStorage), damit du sie sehen und ändern kannst; mit dem Löschen der Websitedaten verschwinden sie. Rechtsgrundlage ist unser berechtigtes Interesse an einer bedarfsgerechten Produktplanung (Art. 6 Abs. 1 lit. f DSGVO); die Teilnahme ist freiwillig.

Produktanalyse (optional)

Die Produktanalyse ist eine eigene, selbst betriebene Messung von Produktschritten und nicht die Sentry-Diagnose. Sie ist standardmäßig aus und gilt nur für ein angemeldetes Konto, das sie bei der Registrierung oder später in den Cookie-Einstellungen ausdrücklich erlaubt hat; Grundlage ist diese Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit widerrufen kannst. Nur wenn der Betreiber die Erfassung eingeschaltet hat, besteht ein Ereignis aus einem Server-Zeitstempel, dem Ereignisnamen aus einer festen Liste und zwei pseudonymen Codes (HMAC), die mit einem geheimen Server-Schlüssel aus deinem Konto gebildet werden. Für uns sind die Codes weiterhin personenbezogene Daten. Ereignisse enthalten keine Meeting- oder Raumkennungen, Empfehlungslinks, Namen, E-Mail- oder IP-Adressen, URLs, Nachrichten, Medien, Transkripte, Schlüssel oder Tokens. Ereignisse liegen in der Supabase-Datenbank des Betreibers und werden nach 90 Tagen automatisch gelöscht. Ein Widerruf unterbindet künftige Ereignisse und löscht deine gespeicherten Ereignisse. Zahlungs-Conversion und Provisionen werden aus den Abrechnungs- und Empfehlungsdaten bestimmt, nicht aus diesen Ereignissen.

Schriftarten

Manrope wird von unserer eigenen Website ausgeliefert (SIL Open Font License 1.1); dein Browser verbindet sich dafür nicht mit Google Fonts. Auch die Programmdateien und das Segmentierungsmodell für den Hintergrund-Weichzeichner (MediaPipe, Apache License 2.0) kommen von unserer Website und werden nur geladen, wenn du den Weichzeichner einschaltest.

Kontakt und Support

Wenn du uns kontaktierst, verarbeiten wir deine Kontaktangaben und Nachricht zur Bearbeitung deiner Anfrage. Grundlage ist je nach Anliegen die Vertragsanbahnung oder Vertragserfüllung nach Art. 6 Abs. 1 lit. b DSGVO beziehungsweise unser berechtigtes Interesse an der Beantwortung nach lit. f. Sende nur die für das Anliegen erforderlichen Informationen und keine unnötigen Gesprächsinhalte oder Zugangsdaten.

Zwecke, Rechtsgrundlagen und Empfänger

Meeting-Dienst und Konto stützen sich auf die Durchführung des Nutzungsverhältnisses oder Vertrags nach Art. 6 Abs. 1 lit. b DSGVO. Technischer Betrieb, Fehlerberichte und Missbrauchsschutz stützen sich auf unsere berechtigten Interessen nach lit. f. Optionale Diagnose und Produktanalyse beruhen auf deiner Einwilligung nach lit. a. Handels- und steuerrechtliche Pflichten beruhen auf lit. c. Bei geschäftlichen Meetings bestimmt die organisierende Stelle die Rechtsgrundlage für ihre Inhalte.

Speicherung und Löschung

Lokale Einstellungen bleiben bis zur Löschung durch dich, den Browser oder die App gespeichert; Session Storage endet grundsätzlich mit der Browser-Sitzung. Auf dem Server werden Meeting-Titel nach 180 Tagen und Ereignisse der Produktanalyse nach 90 Tagen automatisch gelöscht. Wenn ein STRUCT-Call-Meeting aufgenommen wird, wird die Aufnahme gelöscht, nachdem alle das Meeting verlassen haben und die konfigurierte kurze Downloadfrist abgelaufen ist; Speicher- oder Dienstausfälle können die Löschung verzögern, sie wird dann erneut versucht. Kontodaten speichern wir bis zur Löschung des Kontos; Nachweise über akzeptierte Bedingungen und Zahlungsdaten so lange, wie sie als Vertragsnachweis und für handels- und steuerrechtliche Fristen erforderlich sind. Serverseitige Löschung entfernt keine von Teilnehmenden heruntergeladenen Aufnahmen.

Datenregion und internationale Zugriffe

Sentry, Stripe, Cloudflare und Mailjet (als Teil der Sinch-Gruppe) sind Unternehmen mit Sitz oder Konzerngesellschaften außerhalb der EU und können Daten in Drittländern verarbeiten, insbesondere in den USA. Soweit das geschieht, gelten die nach Art. 44 ff. DSGVO vorgesehenen Garantien, etwa ein Angemessenheitsbeschluss oder Standardvertragsklauseln. Eine Zusage, dass sämtliche Daten ausschließlich in Deutschland verbleiben, machen wir nicht.

Deine Rechte

Nach den gesetzlichen Voraussetzungen hast du Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit, und du kannst eine Einwilligung mit Wirkung für die Zukunft widerrufen. Ohne notwendige Verbindungs- oder Zugangsdaten ist eine Meeting-Teilnahme gegebenenfalls nicht möglich. Anfragen richtest du an contact@ki-praxis.app. Du kannst dich außerdem bei einer zuständigen Datenschutzaufsicht beschweren, insbesondere an deinem Aufenthaltsort, Arbeitsplatz oder dem Ort des vermuteten Verstoßes.

Widerspruchsrecht

Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit zu widersprechen (Art. 21 DSGVO). Richte deinen Widerspruch an contact@ki-praxis.app.

Automatisierte Entscheidungen

Wir setzen keine automatisierten Entscheidungen über Personen mit rechtlicher oder ähnlich erheblicher Wirkung ein. Product Analytics wird in diesen Hinweisen gesondert beschrieben. Eine künftige Verarbeitung mit erheblicher Wirkung würde vor ihrem Einsatz eine gesonderte Bewertung und aktualisierte Hinweise erfordern.

Kontakt

Telefon: +49 172 628 9359

contact@ki-praxis.app