Datenschutzerklärung

1. Verantwortlicher für die Datenverarbeitung

2. Allgemeine Hinweise zur Datenverarbeitung

Der Schutz deiner persönlichen Daten ist uns ein besonderes Anliegen. Wir verarbeiten deine personenbezogenen Daten ausschließlich im Rahmen der Bestimmungen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie des Telemediengesetzes (TMG).

2.1 Mindestalter und elterliche Einwilligung

Die Nutzung der Plattform ist nur Personen gestattet, die das 16. Lebensjahr vollendet haben. Minderjährige zwischen 16 und 18 Jahren benötigen die Einwilligung eines Erziehungsberechtigten zur Registrierung und Nutzung.

Bei der Registrierung bestätigst du, dass du mindestens 16 Jahre alt bist und – falls du zwischen 16 und 18 Jahren alt bist – die Einwilligung deiner Erziehungsberechtigten zur Registrierung und Nutzung vorliegt.

Sollten wir Kenntnis davon erhalten, dass wir Daten von Personen unter 16 Jahren verarbeitet haben, werden wir diese Daten unverzüglich löschen.

2.2 Blog und App — getrennte Angebote

Unser Blog unter blog.reflektionszeit.de ist ein eigenständiges Angebot (WordPress) und läuft technisch unabhängig von der App unter reflektionszeit.de. Für den Blog gilt eine eigene Datenschutzerklärung: Datenschutzerklärung des Blogs. Diese Datenschutzerklärung hier betrifft die App und die Website reflektionszeit.de.

Wenn du dich über ein Formular auf dem Blog für den Newsletter anmeldest, werden die Anmeldedaten an unsere App-Server übermittelt und anschließend wie in Abschnitt 3.6 beschrieben verarbeitet (einschließlich Double-Opt-in und Versand über Brevo). Für die Blog-Website selbst (Seitenaufrufe, Cookies, Kommentare usw.) bleibt die Datenschutzerklärung des Blogs maßgeblich.

2.3 Ausprobieren ohne Account

Unter ausprobieren.reflektionszeit.de kannst du Reflektionszeit kurz ohne Registrierung testen. Für Missbrauchsschutz speichern wir dabei temporär technische Kennungen (Fingerprint-Cookie rz_ausprobieren_fp, gehashte IP-Adresse) sowie Session-Zähler in Redis. Der Ausprobier-Chat selbst wird nicht dauerhaft in der Chat-Datenbank der Haupt-App gespeichert. Zur Qualitätsprüfung können anonymisierte Gesprächsauszüge als Textdateien ohne Personenbezug (keine IP, kein Fingerprint) kurzzeitig abgelegt werden.

Wenn du dich am Ende entscheidest, weiterzumachen, kannst du das Gespräch mit einem einmaligen Übernahme-Token in deinen Account übertragen. Der Token und die Nachrichtenkopie werden kurzzeitig (höchstens 7 Tage) gespeichert und nach erfolgreicher Übernahme bzw. Ablauf gelöscht. Damit die Übernahme auch nach einem Seitenwechsel (z. B. Hilfe, Datenschutz, Blog) im selben Browser möglich bleibt, setzen wir das technisch erforderliche Cookie rz_ausprobieren_handoff auf der Domain .reflektionszeit.de. Nach der Übernahme gelten die Chat-Daten wie in Abschnitt 3.2 beschrieben als Bestandteile deines Nutzerkontos (einschließlich Verschlüsselung und Löschrechten).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Missbrauchsschutz und an der Funktionsfähigkeit des Ausprobierens) sowie — bei Übernahme in den Account — Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und, soweit sensible Inhalte betroffen sind, deine Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO im Rahmen der Registrierung.

3. Erhebung und Speicherung personenbezogener Daten

3.1 Bei der Registrierung

Bei der Registrierung auf unserer Plattform erheben und speichern wir folgende Daten:

• E-Mail-Adresse (zur Authentifizierung und Kommunikation)
• Vorname und Nachname (zur Personalisierung des Dienstes)
• Passwort (verschlüsselt gespeichert)
• Registrierungszeitpunkt
• IP-Adresse zum Zeitpunkt der Registrierung

3.2 Bei der Nutzung der Chat-Funktion

Bei der Nutzung unserer Chat-Plattform werden folgende Daten gespeichert:

• Chat-Sessions mit Zeitstempel
• Gesendete Nachrichten (Nutzernachrichten und KI-Antworten)
• verbrauchte Credits und Nutzungsstatistiken

Für die Verbesserung unserer KI-Technologie werden Dialoge anonymisiert gespeichert. Alle personenbezogenen Informationen (Namen, E-Mail-Adressen, Adressen, Telefonnummern) werden automatisch entfernt, bevor die Daten zu Trainingszwecken verwendet werden.

Standard bei der Registrierung: Mit der Erstellung deines Accounts und der Zustimmung zu dieser Datenschutzerklärung sowie den AGB erklärst du dich damit einverstanden, dass deine Dialoge anonymisiert zur Verbesserung der KI-Funktionalität verwendet werden dürfen. Diese Einstellung ist standardmäßig aktiviert. Du kannst sie jederzeit in deinen Account-Einstellungen unter „Anonymisierte Dialoge fürs KI-Training“ deaktivieren (Art. 7 Abs. 3 DSGVO).

Widerruf der Einwilligung zu sensiblen Daten (Art. 9): Wenn du im KI-Chat sensible Themen (z. B. Gefühle, mentale Verfassung) ansprichst, erfolgt die Verarbeitung auf Grundlage deiner ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO). Du kannst diese Einwilligung jederzeit in den Account-Einstellungen unter „KI-Chat“ widerrufen (Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt nur für die Zukunft: Es können dann keine neuen KI-Reflexionsgespräche geführt werden. Bereits erfolgte Verarbeitungen bleiben rechtmäßig; vorhandene Chatverläufe kannst du weiterhin einsehen oder löschen (Art. 17 DSGVO).

Dein Widerrufsrecht für Trainingsdaten: Du kannst deine Einwilligung zur Speicherung anonymisierter Daten für Trainingszwecke jederzeit widerrufen (DSGVO Art. 7 Abs. 3). Du findest diese Einstellung in deinen Account-Einstellungen unter „Anonymisierte Dialoge fürs KI-Training“. Der Widerruf betrifft nur zukünftige Dialoge. Bereits anonymisierte Trainingsdaten werden nach 90 Tagen automatisch gelöscht.

3.3 Bei der Zahlungsabwicklung

Bei der Zahlungsabwicklung über Stripe werden folgende Daten an Stripe übermittelt:

• E-Mail-Adresse
• Name
• Zahlungsinformationen (werden ausschließlich von Stripe verarbeitet, nicht von uns gespeichert)
• Transaktionsdaten

Die Zahlungsabwicklung erfolgt über Stripe. Weitere Informationen zum Datenschutz bei Stripe findest du unter: https://stripe.com/de/privacy

3.4 Bei der Nutzung der KI-basierten Selbstreflektions-Funktionen

Für die KI-gestützten Gespräche zur Selbstreflektion nutzen wir die Dienste von Anthropic (Claude AI). Dabei werden folgende Daten verarbeitet:

• Deine Chat-Nachrichten und Inhalte zur Selbstreflektion
• Konversationskontext für zusammenhängende Gespräche
• Technische Metadaten (Zeitstempel, Session-IDs)

3.5 Protokollierung zu Sicherheits- und Betriebszwecken

Zum Schutz unserer Systeme und zur Erkennung von Missbrauch verarbeiten wir technische Protokolldaten (Sicherheitslogs). Dazu gehören insbesondere IP-Adressen, Zeitstempel, aufgerufene URLs, HTTP-Statuscodes, Angaben zu fehlgeschlagenen Anmeldeversuchen sowie — bei administrativem Zugriff — technische Kennungen von Administratoren.

Die Verarbeitung erfolgt zur Wahrung unserer berechtigten Interessen an der IT-Sicherheit, Systemstabilität und der Aufklärung von Sicherheitsvorfällen (Art. 6 Abs. 1 lit. f DSGVO). Sicherheitsrelevante Protokolle werden auf einem separaten Server innerhalb unserer Infrastruktur gespeichert und in der Regel nach höchstens 90 Tagen automatisch gelöscht, sofern kein laufender Sicherheitsvorfall eine längere Aufbewahrung erfordert.

Empfänger sind ausschließlich befugte Personen in unserer Organisation sowie unser Hosting-Dienstleister im Rahmen des Auftragsverarbeitungsvertrags. Eine Weitergabe an Dritte erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder dies zur Rechtsverfolgung erforderlich ist.

3.6 Newsletter (Versand über Brevo)

Wenn du dich für unseren Newsletter anmeldest — über das Formular auf der Website, im Blog oder per Opt-in in den Account-Einstellungen — verarbeiten wir die dafür erforderlichen Daten. Die Anmeldung erfolgt mit Double-Opt-in: Du erhältst eine Bestätigungs-E-Mail mit einem Link; erst nach dem Klick ist die Anmeldung wirksam.

Verarbeitet werden insbesondere:

• E-Mail-Adresse
• optional Vorname (falls angegeben)
• Anmeldequelle (z. B. Website, Blog, App-Einstellungen)
• Zeitpunkt der Anmeldung bzw. Bestätigung sowie technische Metadaten zur Missbrauchsprävention

4. Zweck und Rechtsgrundlage der Datenverarbeitung

Wir verarbeiten deine personenbezogenen Daten zu folgenden Zwecken und auf Grundlage der folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung und Verwaltung deines Nutzerkontos, Bereitstellung der Chat-Dienste
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Verbesserung unserer Dienste durch anonymisierte Analyse von Nutzungsdaten, Betrugsprävention, IT-Sicherheit
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Soweit du eine Einwilligung erteilt hast — z. B. für den Newsletter (Double-Opt-in über Website, Blog oder Opt-in in den Einstellungen; Versand über Brevo, siehe Abschnitt 3.6) oder für anonymisierte Speicherung für KI-Training (standardmäßig bei Registrierung erteilt, jederzeit widerrufbar gem. Art. 7 Abs. 3 DSGVO in den Einstellungen)
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Erfüllung gesetzlicher Aufbewahrungspflichten (z.B. steuerrechtliche Aufbewahrungsfristen)

5. Dauer der Speicherung

Deine personenbezogenen Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist:

• Account-Daten: Solange dein Konto aktiv ist und darüber hinaus für die Dauer gesetzlicher Aufbewahrungspflichten
• Inaktive Accounts: Kostenlose Accounts ohne Zahlungen werden nach 3 Monaten ohne Anmeldung automatisch gelöscht – einschließlich Chat-Sessions und noch vorhandener Credits. Du erhältst 30 Tage vorher eine E-Mail. Eine Anmeldung bis zum genannten Datum verhindert die Löschung. Wenn du den Account nicht mehr brauchst, musst du nichts tun. Accounts mit aktiven Verträgen oder Zahlungen werden nicht automatisch gelöscht.
• Chat-Sessions: Solange dein Konto aktiv ist. Du kannst deine Chat-Sessions jederzeit löschen. Bei Account-Löschung werden diese sofort entfernt
• Anonymisierte Trainingsdaten: Werden automatisch nach 90 Tagen gelöscht, sofern keine längere Speicherung für rechtliche Zwecke erforderlich ist
• Vertrags- und Zahlungsdaten: Werden gemäß gesetzlicher Aufbewahrungspflichten (Abgabenordnung §147, Handelsgesetzbuch §257) 10 Jahre aufbewahrt, auch nach Account-Löschung. Personenbezogene Daten werden dabei anonymisiert, sodass eine Zuordnung zu deiner Person nicht mehr möglich ist.
• Server-Logs (Webserver/Anwendung, lokal): Werden für maximal 30 Tage aufbewahrt und danach automatisch gelöscht. Sie dienen der Fehleranalyse und Betrugsprävention.
• Zentrale Sicherheitslogs (separater Log-Server): Siehe Abschnitt 3.5 — in der Regel höchstens 90 Tage, danach automatische Löschung.
• Newsletter-Daten: Bis zum Widerruf der Einwilligung bzw. zur Abmeldung; unbestätigte Double-Opt-in-Anmeldungen werden nach angemessener Frist gelöscht. Nachweisdaten zur Einwilligung können wir bei Bedarf länger aufbewahren, soweit erforderlich.
• Bei Account-Löschung: Wenn du keine aktiven Verträge oder Zahlungen hast, werden alle Daten sofort gelöscht. Bei bestehenden Verträgen erfolgt eine Anonymisierung: Deine personenbezogenen Daten (Name, E-Mail) werden entfernt, Vertragsdaten (Zahlungen, Abonnements) bleiben für die gesetzliche Aufbewahrungsfrist anonymisiert gespeichert. Eine separate Newsletter-Anmeldung (ohne Account) bleibt davon unberührt, bis du dich abmeldest.

6. Deine Rechte nach der DSGVO

Du hast folgende Rechte bezüglich deiner personenbezogenen Daten:

6.1 Ausübung deiner Rechte in der App

Du kannst die meisten deiner Rechte direkt in deinen Account-Einstellungen ausüben:

• Auskunft und Export: Lade alle deine Daten als strukturierte Datei herunter
• Berichtigung: Ändere deine persönlichen Daten in den Einstellungen
• Löschung: Lösche deinen Account vollständig
• Einschränkung/Widerspruch: Deaktiviere Marketing-E-Mails und optionale Datenverarbeitungen
• Widerruf von Einwilligungen: Ändere deine Cookie- und Benachrichtigungseinstellungen jederzeit
• Widerruf der Einwilligung zu sensiblen Daten (Art. 9): In den Einstellungen unter „KI-Chat“ (Art. 7 Abs. 3 DSGVO)
• Widerruf der Einwilligung für Training-Daten: In den Einstellungen unter „Anonymisierte Dialoge fürs KI-Training“ (Art. 7 Abs. 3 DSGVO). Die Einwilligung ist bei Registrierung standardmäßig aktiv; du kannst sie dort jederzeit ausschalten.

Wichtig: Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

7. Verwendung von Cookies

Wir verwenden Cookies, um die Funktionalität unserer Website sicherzustellen und die Nutzererfahrung zu verbessern.

Erforderliche Cookies

Diese Cookies sind für den Betrieb der Website technisch notwendig und werden ohne deine Einwilligung gesetzt (Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO - berechtigtes Interesse):

• Authentifizierungs-Cookies (`rt_auth`, `rt_refresh`): httpOnly-Cookies (nicht per JavaScript auslesbar), verschlüsselt über HTTPS. Access-Token ca. 15 Minuten (wird bei Nutzung automatisch erneuert), Refresh-Token bis zu 3 Tage ohne Nutzung (Admins: 8 Stunden). Spätestens nach 30 Tagen ist eine erneute Anmeldung erforderlich.
• Ausprobieren, Fingerprint (`rz_ausprobieren_fp`): technisches Kennzeichen für Missbrauchsschutz und Dialogschritt-Limit auf ausprobieren.reflektionszeit.de, Laufzeit 30 Tage, httpOnly.
• Ausprobieren, Gesprächsübernahme (`rz_ausprobieren_handoff`): speichert den einmaligen Übernahme-Token, damit ein Ausprobier-Gespräch nach Registrierung im selben Browser übernommen werden kann (auch nach Wechsel zu Hilfe, Datenschutz oder Blog). Domain .reflektionszeit.de, Laufzeit höchstens 7 Tage, wird nach Übernahme gelöscht.
• Sicherheits-Cookie: Dient der Sicherheit und Betrugsprävention
• Cookie-Einstellungen: Speichert deine Cookie-Präferenzen

Analytische Cookies (Matomo)

Mit deiner Einwilligung setzen wir auf öffentlichen Marketing-Seiten (z. B. Startseite, Preise, Hilfe) das Analyse-Tool Matomo ein — selbst gehostet auf unserer Infrastruktur in Deutschland, ohne Übermittlung an Google oder vergleichbare US-Dienste.

• Anbieter: Reflektionszeit (Eigenbetrieb), Server in der EU
• Zweck: Anonyme Statistik zu Seitenaufrufen, Verweildauer und Absprüngen
• Cookies: _pk_id, _pk_ses (Laufzeit max. 13 Monate bzw. 30 Minuten)
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung über Cookie-Banner)
• Kein Tracking im eingeloggten Chat- oder App-Bereich

IP-Adressen werden gekürzt gespeichert. Du kannst die Einwilligung jederzeit im Cookie-Banner oder unter Account-Einstellungen widerrufen.

Marketing-Cookies

Marketing-Cookies setzen wir nur mit deiner ausdrücklichen Einwilligung ein. Derzeit verwenden wir keine Marketing-Cookies.

Cookie-Verwaltung

Du kannst deine erteilten Einwilligungen für optionale Cookies jederzeit in deinen Account-Einstellungen unter "Cookie-Einstellungen" mit Wirkung für die Zukunft widerrufen. Bitte beachte, dass die Funktionalität unserer Website hierdurch beeinträchtigt werden kann.

8. Weitergabe an Dritte

Wir geben deine personenbezogenen Daten grundsätzlich nicht an Dritte weiter. Ausnahmen:

Auftragsverarbeiter (Art. 28 DSGVO):

Wir arbeiten mit folgenden Auftragsverarbeitern zusammen, mit denen jeweils Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO geschlossen wurden:

• Stripe Payments Europe Ltd. (Irland): Zahlungsabwicklung
  Weitere Informationen: https://stripe.com/de/privacy
• Hetzner Online GmbH (Deutschland): Hosting unserer Server
  Serverstandort: Nürnberg, Deutschland
  Weitere Informationen: https://www.hetzner.com/rechtliches/datenschutz
• Anthropic PBC (USA): KI-gestützte Selbstreflektions-Funktionen (siehe Abschnitt 3.4)
  Drittlandtransfer auf Basis des EU-US Data Privacy Framework
  Weitere Informationen: https://www.anthropic.com/privacy
• Brevo (Sendinblue SAS / Brevo GmbH, u. a. Deutschland/Frankreich): Newsletter-Versand und Kontaktverwaltung (siehe Abschnitt 3.6)
  Weitere Informationen: https://www.brevo.com/de/legal/privacypolicy/

Gesetzliche Verpflichtungen:

Wir geben Daten nur weiter, sofern wir gesetzlich dazu verpflichtet sind (z.B. an Steuerbehörden, Strafverfolgungsbehörden bei richterlicher Anordnung).

9. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um deine personenbezogenen Daten vor Verlust, Zerstörung, Manipulation und unbefugtem Zugriff zu schützen:

• Verschlüsselte Datenübertragung (SSL/TLS)
• Passwörter werden nur als Hash-Werte gespeichert (bcrypt)
• Chat-Nachrichten in der Datenbank verschlüsselt (AES-256-GCM)
• Zentrale Sicherheitsprotokollierung auf getrenntem Server (nur über privates Admin-Netz erreichbar)
• Regelmäßige Sicherheitsupdates
• Zugriffsbeschränkungen auf personenbezogene Daten
• Regelmäßige Datensicherungen

10. Änderungen der Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht oder um Änderungen unserer Leistungen in der Datenschutzerklärung umzusetzen. Für deinen erneuten Besuch gilt dann die neue Datenschutzerklärung.