Datenschutzerklärung

Translate to English

Wir nehmen den Schutz Ihrer personenbezogenen Daten ernst und verarbeiten sie vertraulich gemäß der Datenschutz-Grundverordnung (DSGVO), dem Bundesdatenschutzgesetz (BDSG) und dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Diese Erklärung erläutert, welche personenbezogenen Daten wir auf brainmute.app verarbeiten und warum. Sie deckt derzeit ausschließlich die Website und die Warteliste ab. Die Brainmute-App selbst ist noch nicht veröffentlicht; die Datenverarbeitung innerhalb der App wird zum Start durch eine gesonderte App-Datenschutzerklärung geregelt.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich (keine Kerntätigkeit einer regelmäßigen, umfangreichen oder besonders sensiblen Datenverarbeitung gemäß Art. 37 DSGVO / § 38 BDSG).

2. Rechtsgrundlagen

Soweit wir personenbezogene Daten verarbeiten, stützen wir uns auf folgende Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), zum Beispiel bei der Anmeldung zur Warteliste.
• Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche oder vertragliche Maßnahmen), zum Beispiel bei der Bearbeitung einer E-Mail-Anfrage.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse), zum Beispiel für den Betrieb, die Sicherheit und die Stabilität der Website, die Abwehr von Spam und Missbrauch sowie den Nachweis einer erteilten Einwilligung.
• § 25 Abs. 2 Nr. 2 TDDDG (Speicherung von oder Zugriff auf Informationen auf Ihrem Endgerät, soweit dies für einen von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich ist).

3. Hosting und Server-Logfiles

Unsere Website wird gehostet von:

Weitere Informationen finden Sie in der Datenschutzerklärung von Cloudflare.

Beim Besuch der Website verarbeitet Cloudflare automatisch die folgenden Daten in Server-Logfiles, die Ihr Browser aus technischen Gründen übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte Datei, übertragene Datenmenge, HTTP-Statuscode, Browsertyp und -version, Betriebssystem und Referrer-URL.

Zweck: Auslieferung der Website, IT-Sicherheit sowie Abwehr von Angriffen und Bot-Traffic.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer technisch fehlerfreien und sicheren Website).
Speicherdauer: Server-Logfiles werden höchstens 14 Tage aufbewahrt. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt.

4. Content Delivery Network und Sicherheit

Cloudflare wird zusätzlich als Content Delivery Network (CDN) und Web Application Firewall (WAF) eingesetzt. Der gesamte Datenverkehr zwischen Ihrem Browser und unserer Website wird über das globale Netzwerk von Cloudflare geleitet, und schädliche Anfragen werden herausgefiltert. Die Verarbeitung Ihrer IP-Adresse ist hierfür technisch erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Leistungsfähigkeit und Sicherheit der Website).

5. Selbst gehostete Schriftarten

Diese Website verwendet die Schriftarten Inter, JetBrains Mono, Space Grotesk und Instrument Serif (alle unter der SIL Open Font License). Die Schriftdateien werden ausschließlich von unserem eigenen Server (Cloudflare Pages) ausgeliefert. Beim Laden der Schriften wird keine Verbindung zu Google Fonts oder einem externen Schrift-CDN hergestellt, sodass keine IP-Adresse an einen Schriftanbieter übermittelt wird.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einheitlichen Darstellung).

6. Wartelisten-Anmeldung und E-Mail-Verarbeitung

Auf brainmute.app können Sie Ihre E-Mail-Adresse eintragen, um sich zur Warteliste anzumelden und vor dem öffentlichen Start der App informiert zu werden.

Erhobene Daten

• E-Mail-Adresse
• Zeitpunkt der Einwilligung
• IP-Adresse bei der Anmeldung
• Browser-User-Agent (Teil des Anmelde-Protokolls, höchstens 72 Stunden gespeichert)

Double-Opt-In und Speicherung

Nach Eingabe Ihrer E-Mail-Adresse speichern wir diese im Klartext zusammen mit einem SHA-256-Hash, dem Anmelde-Zeitstempel, Ihrer IP-Adresse und Ihrem Browser-User-Agent für höchstens 72 Stunden in unserem Key-Value-Store (Auftragsverarbeiter Cloudflare) und senden eine Bestätigungs-E-Mail mit einem einmaligen Link. Klicken Sie ihn nicht an, werden diese Daten nach 72 Stunden automatisch gelöscht. Nach der Bestätigung werden Klartext-Adresse und Browser-User-Agent in unserem Key-Value-Store gelöscht; es verbleiben dort der SHA-256-Hash Ihrer Adresse, der Anmelde- und der Bestätigungs-Zeitstempel, Ihre IP-Adresse sowie eine interne Referenz-ID unseres E-Mail-Dienstleisters. Gleichzeitig legen wir einen zweiten, davon getrennten Datensatz an, der Ihren Abmeldelink trägt und höchstens 400 Tage gespeichert wird. Er enthält nur den SHA-256-Hash Ihrer Adresse und die interne Referenz-ID, keine Klartext-Adresse. Er ist nötig, damit der Abmeldelink aus Ihrer Bestätigungs-E-Mail auch nach der Bestätigung weiter funktioniert. Zusätzlich wird Ihre E-Mail-Adresse als Klartext-Kontakt bei unserem E-Mail-Dienstleister Resend (USA) gespeichert, zusammen mit den Protokolldaten (Quelle, Anmeldezeit, Bestätigungszeit, IP-Adresse, Consent-Version), um die Launch-E-Mail zu versenden und Ihre Einwilligung belegen zu können; die Übermittlung in die USA ist über das EU-US Data Privacy Framework und Standardvertragsklauseln abgesichert (siehe Abschnitt 9).

Kann Ihr Kontakt bei unserem E-Mail-Dienstleister nicht angelegt werden, etwa wegen einer technischen Störung, speichern wir zusätzlich für höchstens 400 Tage einen Fehlervermerk in unserem Key-Value-Store. Dieser besteht aus dem SHA-256-Hashwert Ihrer E-Mail-Adresse, dem Anmelde- und dem Bestätigungs-Zeitstempel sowie einer kurzen technischen Fehlermeldung. Er enthält keine Klartext-Adresse. Er dient ausschließlich dazu, fehlgeschlagene Anmeldungen sichtbar zu machen, damit die Störung erkannt und behoben werden kann. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen und überprüfbaren Anmeldeverfahren (Art. 6 Abs. 1 lit. f DSGVO). Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 Abs. 1 DSGVO). Nach spätestens 400 Tagen wird dieser Vermerk automatisch gelöscht.

Zweck

Höchstens zwei E-Mails: (1) die Bestätigungs-E-Mail und (2) eine einzige Benachrichtigung zum Start mit einem verpflichtenden Abmeldelink. Ein weiterer Newsletter wird ohne gesonderte Einwilligung nicht versendet.

Rechtsgrundlage

Die Verarbeitung Ihrer E-Mail-Adresse für den Versand der Informationen erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 7 Abs. 2 Nr. 3 UWG). Die Aufbewahrung des Einwilligungsnachweises (Protokolldaten wie Zeitstempel, IP-Adresse, Consent-Version) stützen wir auf Art. 6 Abs. 1 lit. c i.V.m. Art. 5 Abs. 1 lit. a, Abs. 2, Art. 7 Abs. 1 DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO. Diese Aufbewahrung dauert innerhalb der gesetzlichen Regelverjährungsfristen (drei Jahre, § 31 Abs. 2 Nr. 1 OWiG bzw. § 195 BGB) auch nach einem Widerruf fort.

Auftragsverarbeiter

Mit beiden Anbietern besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Übermittlungen in die USA sind wie in Abschnitt 9 beschrieben abgesichert.

Speicherdauer und Widerruf

Nicht bestätigte Anmeldungen werden nach 72 Stunden automatisch gelöscht. Bestätigte Einträge werden aufbewahrt, bis Sie Ihre Einwilligung widerrufen, in jedem Fall aber längstens 12 Monate nach der Anmeldung oder 30 Tage nach dem Versand der Launch-E-Mail, je nachdem, was zuerst eintritt. Sie können Ihre Einwilligung jederzeit über den Abmeldelink in jeder E-Mail oder formlos an [email protected] widerrufen. Nach dem Widerruf löschen wir Ihre E-Mail-Adresse; Ihre Klartext-Adresse wird aus unseren Systemen und bei unserem E-Mail-Dienstleister entfernt. Für höchstens 400 Tage speichern wir lediglich einen pseudonymisierten Vermerk, bestehend aus dem SHA-256-Hashwert Ihrer E-Mail-Adresse, dem Zeitpunkt Ihres Widerrufs und einer internen Referenz-ID unseres E-Mail-Dienstleisters, die nach der Löschung des Kontakts auf keinen Kontakt mehr verweist. Dies dient ausschließlich dazu, wiederholte Aufrufe desselben Abmeldelinks korrekt zu verarbeiten sowie den Eingang und die Verarbeitung Ihres Widerrufs zu dokumentieren und damit unseren datenschutzrechtlichen Rechenschaftspflichten nachzukommen. Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 Abs. 1 DSGVO; siehe Abschnitt „Widerruf der Einwilligung und Widerspruch"). Nach spätestens 400 Tagen wird dieser Vermerk automatisch gelöscht.

7. E-Mail-Kontakt und Routing

E-Mails an [email protected] werden in einem E-Mail-Postfach bei der IONOS SE (Elgendorfer Straße 57, 56410 Montabaur, Deutschland) empfangen und gespeichert, um Ihre Anfrage zu bearbeiten. IONOS verarbeitet die eingehenden E-Mails als unser Auftragsverarbeiter; ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht als Bestandteil der Allgemeinen Geschäftsbedingungen von IONOS. Die Verarbeitung erfolgt innerhalb der Europäischen Union (vorrangig in Deutschland). Nach unserem derzeitigen Stand findet keine Übermittlung personenbezogener Daten in ein Drittland statt. Verarbeitete Daten: Absenderadresse, Empfängeradresse, Betreff, Nachrichteninhalt, Anhänge und Header.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfragen) oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Kommunikation).
Speicherdauer: bis Ihre Anfrage abschließend bearbeitet ist; gesetzliche Aufbewahrungspflichten, insbesondere handels- und steuerrechtliche Aufbewahrungsfristen, bleiben unberührt.
Bereitstellung: Die Bereitstellung Ihrer Daten ist freiwillig; ohne Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht können wir Ihr Anliegen nicht bearbeiten.

8. Cookies, lokaler Speicher und Analyse

Diese Website verwendet keine Cookies zu Analyse-, Marketing- oder Tracking-Zwecken. Es gibt kein Google Analytics, kein Meta-Pixel und kein TikTok-Pixel.

Cloudflare kann ein technisch notwendiges Cookie (__cf_bm, Laufzeit max. 30 Minuten) zur Bot-Abwehr setzen. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich) und Art. 6 Abs. 1 lit. f DSGVO.

Wir verwenden Cloudflare Web Analytics (Cloudflare, Inc., USA) zur aggregierten, datenschutzfreundlichen Reichweitenmessung. Dabei werden keine Cookies gesetzt und keine personenbezogenen Daten gespeichert (insbesondere keine IP-Adressen, keine Geräte-Fingerabdrücke und keine seitenübergreifenden Kennungen). Eine Identifizierung einzelner Besucher ist technisch nicht möglich, sodass keine Einwilligung nach § 25 TDDDG erforderlich ist. Rechtsgrundlage für die Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO. Weitere Informationen: cloudflare.com/web-analytics-privacy.

Da keine Marketing- oder Tracking-Cookies verwendet werden, benötigt diese Website kein Cookie-Einwilligungsbanner. Sollten künftig Tracking-Werkzeuge hinzukommen, wird diese Erklärung aktualisiert und, soweit erforderlich, vorab Ihre Einwilligung eingeholt.

9. Übermittlung in Drittländer

Für den Betrieb der Website werden Daten an Anbieter mit Sitz in den USA übermittelt (Cloudflare, Resend). Die USA sind ein Drittland. Wir stellen ein angemessenes Schutzniveau sicher durch:

• das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023, Art. 45 DSGVO); Cloudflare und Resend sind danach zertifiziert
• EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO
• Auftragsverarbeitungsverträge mit allen Anbietern

Eine Kopie dieser Garantien können Sie unter [email protected] anfordern.

10. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten es verlangen. Konkrete Fristen: Server-Logfiles max. 14 Tage; das Cookie __cf_bm max. 30 Minuten; nicht bestätigte Wartelisten-Anmeldungen max. 72 Stunden; bestätigte Wartelisten-Einträge bis zum Widerruf, längstens 12 Monate nach der Anmeldung oder 30 Tage nach der Launch-E-Mail, je nachdem, was zuerst eintritt; der getrennte Datensatz mit dem Abmeldelink max. 400 Tage; nach dem Widerruf ein pseudonymisierter Vermerk (SHA-256-Hashwert der Adresse, Zeitpunkt des Widerrufs und eine interne Referenz-ID) für höchstens 400 Tage; kann ein Kontakt bei unserem E-Mail-Dienstleister nicht angelegt werden, ein pseudonymisierter Fehlervermerk (SHA-256-Hashwert der Adresse, Anmelde- und Bestätigungs-Zeitstempel, technische Fehlermeldung) für höchstens 400 Tage.

11. Ihre Rechte

Als betroffene Person haben Sie die folgenden Rechte:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerspruch (Art. 21 DSGVO), insbesondere gegen eine auf berechtigtem Interesse beruhende Verarbeitung, aus Gründen, die sich aus Ihrer besonderen Situation ergeben
• Recht, keiner ausschließlich auf einer automatisierten Verarbeitung beruhenden Entscheidung unterworfen zu werden (Art. 22 DSGVO); eine solche findet nicht statt

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an [email protected].

12. Widerruf der Einwilligung und Widerspruch

Sie können eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), zum Beispiel durch Anklicken des Abmeldelinks in unseren E-Mails. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Soweit Daten auf Grundlage eines berechtigten Interesses verarbeitet werden, können Sie gemäß Art. 21 DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), zum Beispiel bei der Behörde Ihres gewöhnlichen Aufenthaltsorts oder unseres Geschäftssitzes:

14. Datensicherheit

Diese Website verwendet aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL/TLS-Verschlüsselung, erkennbar an „https://" und dem Schloss-Symbol in Ihrem Browser.

15. Minderjährige

Die Warteliste richtet sich an Personen ab 16 Jahren (Art. 8 Abs. 1 DSGVO). Für jüngere Personen ist die Einwilligung eines Erziehungsberechtigten erforderlich. Sobald uns bekannt wird, dass Daten einer Person unter 16 Jahren ohne eine solche Einwilligung erhoben wurden, löschen wir diese unverzüglich.

16. Änderungen dieser Datenschutzerklärung

Wir können diese Erklärung anpassen, wenn sich die Rechtslage oder die tatsächliche Datenverarbeitung ändert (zum Beispiel bei der Einbindung neuer Dienste). Es gilt die jeweils unter brainmute.app/datenschutz veröffentlichte Fassung.