Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Verarbeitung im Sinne der DSGVO ist:
[Firma] GmbH
[Adresse]
E-Mail: legal@delishy.ai

Für Inhalte, die Kunden in delishy einbringen (insbesondere Quellcode, Screenshots und Markenmaterial), handeln wir als Auftragsverarbeiter des Kunden; hierfür gilt der Auftragsverarbeitungsvertrag.

Den Auftragsverarbeitungsvertrag finden Sie hier: Auftragsverarbeitungsvertrag.

Datenschutzkontakt

Fragen zum Datenschutz und zur Ausübung Ihrer Rechte richten Sie bitte an privacy@delishy.ai.

[zu prüfen: Datenschutzbeauftragte/r erforderlich? Falls ja, Name und Kontaktdaten ergänzen.]

Kurzüberblick

• Wir verarbeiten Konto-, Organisations- und Markendaten, von Ihnen bereitgestellte Quellen (Repositories, Zip-Dateien, URLs, Screenshots, Brand-Kit-Dateien), erzeugte Assets sowie Nutzungs-, Abrechnungs- und Server-Daten.
• Quellcode wird vor der Analyse um Geheimnisse bereinigt und nicht zum Training von KI-Modellen verwendet.
• Für die KI-Verarbeitung nutzen wir Anthropic (USA); alle übrigen Dienstleister verarbeiten Daten überwiegend in der EU.
• Wir setzen nur technisch notwendige Cookies ein, keine Analyse- oder Werbe-Cookies.

Besuch der Website und Server-Logs

Beim Aufruf unserer Website und der Anwendung verarbeiten die eingesetzten Hosting-Dienste technisch erforderliche Daten, insbesondere IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browsertyp und Betriebssystem sowie den Status der Anfrage (Server-Logs).

Zweck ist der sichere und stabile Betrieb, die Fehleranalyse und die Abwehr von Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb). Die Logs werden nach [zu prüfen: Frist, z. B. 30 Tagen] gelöscht oder anonymisiert.

Konto und Organisation

Für die Anmeldung und Nutzung verarbeiten wir E-Mail-Adresse, Name (soweit angegeben), Profileinstellungen, Zugehörigkeit zu Organisationen und die zugewiesene Rolle (Inhaber, Administrator, Mitglied, Betrachter) sowie Einladungen und Zugriffsprotokolle.

Zweck ist die Bereitstellung des Kontos und der Organisationsverwaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Daten werden bis zur Löschung des Kontos gespeichert, danach nur, soweit gesetzliche Aufbewahrungspflichten bestehen.

Organisations- und Markendaten

Kunden legen Marken an und hinterlegen Markenmaterial wie Logos, Farben, Schriften, Tonalität und Brand-Kit-Dateien. Diese Daten enthalten in der Regel keine personenbezogenen Daten, können aber im Einzelfall Namen oder Abbildungen von Personen enthalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden bis zur Löschung der Marke oder der Organisation bzw. bis zum Vertragsende gespeichert.

Hochgeladene Quellen und Screenshots

Kunden verbinden Quellen ihrer Anwendung: Repositories, Zip-Dateien oder URLs, außerdem Screenshots. Diese Quellen können personenbezogene Daten enthalten, etwa Namen in Testdaten oder abgebildete Personen in Screenshots. Verantwortlich für diese Inhalte ist der Kunde; wir verarbeiten sie in seinem Auftrag zur Erbringung der Leistung (siehe Auftragsverarbeitungsvertrag).

Wir bitten Kunden, keine echten personenbezogenen Daten von Endkunden in Quellen und Screenshots einzubringen, soweit dies nicht erforderlich ist.

Verarbeitung von Quellcode

Von verbundenen Quellen erzeugen wir einen Snapshot (Archiv, „Tarball“). Vor der Analyse wird der Snapshot um Geheimnisse bereinigt, insbesondere .env-Dateien, Schlüssel und Tokens. Nur der bereinigte Stand wird analysiert und an die KI-Verarbeitung übergeben.

Snapshot-Archive werden standardmäßig 7 Tage nach der Freigabe des UI-Kits gelöscht [einstellbar; zu prüfen: Einstellmöglichkeiten und Höchstdauer]. Quellcode wird nicht zum Training eigener oder fremder KI-Modelle verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit wir im Auftrag des Kunden handeln, gilt der Auftragsverarbeitungsvertrag.

KI-Verarbeitung über Anthropic

Für die Analyse der Quellen, den Nachbau der Oberfläche als UI-Kit und die Erstellung von Texten nutzen wir die Claude-Modelle von Anthropic über die Programmierschnittstelle (API). Dabei werden bereinigte Quellinhalte, Screenshots, Markenangaben und Anweisungen an Anthropic in den USA übermittelt.

Nach den Angaben von Anthropic werden Daten, die über die API übermittelt werden, nicht zum Training der Modelle verwendet. [zu prüfen: Vereinbarung einer Zero-Data-Retention und deren Umfang.]

Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit Anthropic zertifiziert ist, ansonsten auf Standardvertragsklauseln der EU-Kommission [zu prüfen: Zertifizierung und Vertragsgrundlage von Anthropic]. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Ergebnisse der KI-Verarbeitung können fehlerhaft sein. Wir treffen keine Entscheidungen, die Sie rechtlich oder in ähnlicher Weise erheblich beeinträchtigen, ausschließlich auf Grundlage einer automatisierten Verarbeitung.

Erzeugte Assets

Aus dem UI-Kit werden Videos und Standbilder in verschiedenen Formaten und Sprachen gerendert. Die erzeugten Assets sowie zugehörige Kit-Artefakte und Schriften werden gespeichert und über signierte, kurzlebige Adressen ausgeliefert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Speicherung endet mit der Löschung durch den Kunden oder spätestens [30 Tage, zu prüfen] nach Vertragsende.

Nutzungs- und Abrechnungsdaten

Wir verarbeiten Nutzungsdaten (z. B. gestartete Jobs, Credit-Verbrauch, Zeitpunkte) und Abrechnungsdaten (Rechnungsangaben, Abonnement, Zahlungsstatus). Die Zahlungsabwicklung erfolgt über Stripe; Zahlungsdaten wie Kartennummern erreichen uns nicht.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c DSGVO (handels- und steuerrechtliche Aufbewahrungspflichten, derzeit in der Regel 6 bzw. 10 Jahre [zu prüfen]). Nutzungsdaten ohne Abrechnungsbezug löschen wir nach [zu prüfen: Frist].

E-Mails und Kommunikation

Wir versenden E-Mails, die für den Betrieb erforderlich sind, etwa Anmeldelinks, Einladungen zu Organisationen, Rechnungen und Sicherheitsmitteilungen. Für den Versand setzen wir Resend ein. Wenn Sie uns schreiben, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten zur Bearbeitung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für allgemeine Anfragen Art. 6 Abs. 1 lit. f DSGVO. Werbliche Newsletter versenden wir nur mit gesonderter Einwilligung.

Fehlerberichte

Zur Erkennung und Behebung von Fehlern setzen wir Sentry in der EU-Region ein. Fehlerberichte enthalten technische Angaben (Fehlermeldung, Ablaufspur, Browser- und Systeminformationen). Personenbezogene Standarddaten wie IP-Adressen werden nicht erfasst bzw. entfernt [zu prüfen: Sentry-Konfiguration].

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen Betrieb).

Cookies und lokaler Speicher

Wir setzen ausschließlich technisch notwendige Cookies und vergleichbare Technologien ein:

• Session-Cookies der Anmeldung (Supabase Auth), damit Sie angemeldet bleiben.
• Hinweis-Cookies, die die zuletzt geöffnete Organisation und Marke sowie ausgeblendete Hinweise speichern.

Die Darstellung (hell oder dunkel) speichern wir ausschließlich im lokalen Speicher (localStorage) Ihres Browsers; sie wird nicht an uns übertragen.

Es gibt keine Analyse- oder Werbe-Cookies. Deshalb ist kein Einwilligungsbanner erforderlich; die Speicherung ist nach § 25 Abs. 2 Nr. 2 TDDDG zulässig. Die nachgelagerte Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b und f DSGVO. Session-Cookies enden mit der Abmeldung bzw. nach [zu prüfen: Dauer]; Hinweis-Cookies bleiben bis zu [zu prüfen: Dauer, z. B. 12 Monate] bestehen. Sie können Cookies in den Browsereinstellungen löschen; dann müssen Sie sich erneut anmelden.

Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Nach Vertragsende können Kunden ihre Daten exportieren; die Löschung erfolgt anschließend innerhalb von [30 Tage, zu prüfen]. Backups werden im regulären Zyklus überschrieben [zu prüfen: Backup-Zeitraum].

Auftragsverarbeiter

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter nach Art. 28 DSGVO ein. Mit allen besteht ein Auftragsverarbeitungsvertrag (AVV/DPA); bei Übermittlungen in Drittländer stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework oder auf Standardvertragsklauseln.

• Supabase – Datenbank, Authentifizierung und Datei-Speicher; Region Frankfurt (EU).
• Vercel – Hosting der Web-Anwendung; Funktionen in Frankfurt (fra1), das Edge-Netz arbeitet weltweit, weshalb Anfragen auch außerhalb der EU verarbeitet werden können. Transfer: Data Privacy Framework bzw. Standardvertragsklauseln.
• Cloudflare R2 – Speicherung und Auslieferung von Kit-Artefakten und Schriften; EU-Jurisdiktion [zu prüfen]. Transfer: Data Privacy Framework bzw. Standardvertragsklauseln.
• Anthropic – KI-Modelle (Claude-API); USA; keine Nutzung der API-Daten zum Training. Transfer: Data Privacy Framework bzw. Standardvertragsklauseln [zu prüfen].
• Stripe – Zahlungsabwicklung und Abonnements; Irland und USA. Stripe verarbeitet Zahlungsdaten teilweise in eigener Verantwortung. Transfer: Data Privacy Framework bzw. Standardvertragsklauseln.
• Resend – Versand von E-Mails wie Anmeldelinks und Einladungen; USA bzw. EU [zu prüfen]. Transfer: Standardvertragsklauseln bzw. Data Privacy Framework.
• Sentry – Fehlerberichte; EU-Region. Transfer: Standardvertragsklauseln, soweit erforderlich.
• Fly.io – Render- und Agenten-Worker; Region Frankfurt (EU). Transfer: Standardvertragsklauseln, soweit erforderlich.

[zu prüfen: Vollständigkeit der Liste und der jeweiligen Vertragsgrundlagen vor Veröffentlichung.]

Weitere Empfänger

Darüber hinaus geben wir Daten nur weiter, wenn dies gesetzlich vorgeschrieben ist, zur Durchsetzung von Rechtsansprüchen erforderlich ist oder Sie eingewilligt haben, etwa an Steuerberater, Zahlungsdienstleister oder Behörden. Innerhalb von Organisationen sehen andere Mitglieder die Daten, die nach der jeweiligen Rolle freigegeben sind.

Übermittlung in Drittländer

Eine Übermittlung in Länder außerhalb des Europäischen Wirtschaftsraums findet insbesondere an Anthropic (USA) und teilweise an weitere in der Liste genannte Dienstleister statt. Sie stützt sich auf einen Angemessenheitsbeschluss der EU-Kommission (EU-US Data Privacy Framework) oder auf Standardvertragsklauseln samt ergänzender Maßnahmen. Eine Kopie der Garantien erhalten Sie auf Anfrage unter privacy@delishy.ai.

Rechte der betroffenen Personen

Sie haben gegenüber uns folgende Rechte:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung genügt eine Nachricht an privacy@delishy.ai. Soweit wir im Auftrag eines Kunden handeln, leiten wir Anfragen an den Kunden weiter.

Widerspruchsrecht

Soweit wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Aufsichtsbehörde am Ort Ihres Aufenthalts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist [zu prüfen: Aufsichtsbehörde nach Sitz des Unternehmens].

Pflicht zur Bereitstellung

Für die Nutzung von delishy sind E-Mail-Adresse und die Angaben zur Organisation erforderlich. Ohne diese Daten können wir den Vertrag nicht erfüllen. Weitere Angaben sind freiwillig.

Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt.

Kunden als Verantwortliche für ihre Inhalte

Für personenbezogene Daten in den Quellen, Screenshots und Markenmaterialien, die Kunden einbringen, sind die Kunden Verantwortliche. Wir verarbeiten diese Daten als Auftragsverarbeiter nach unserem Auftragsverarbeitungsvertrag. Wenn Sie als betroffene Person Rechte hinsichtlich solcher Inhalte geltend machen möchten, wenden Sie sich bitte zunächst an den jeweiligen Kunden.

Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die jeweils aktuelle Fassung finden Sie auf dieser Seite; über wesentliche Änderungen informieren wir Kunden angemessen.