Datenschutzerklärung

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung („DSGVO“) ist:

Dinghy hat keinen expliziten Datenschutzbeauftragten ernannt. Datenschutzfragen werden zentral unter hello@dinghy.studio behandelt.

Diese Datenschutzerklärung gilt für die Website www.asksona.io und die Web-Anwendung Ask Sona (gemeinsam unser „Dienst“). Sie informiert darüber, welche personenbezogenen Daten wir verarbeiten, wenn Sie unsere Website besuchen, den Dienst ausprobieren, ein Konto anlegen, den Dienst nutzen oder mit uns in Kontakt treten.

Für die Inhalte, die unsere Kunden in den Dienst einbringen, insbesondere Projektdateien (z. B. Interviewtranskripte), Personas, Chats und die E-Mail-Adressen eingeladener Projektmitglieder, sind wir nicht Verantwortlicher, sondern verarbeiten diese Daten als Auftragsverarbeiter im Auftrag unserer Kunden (Art. 28 DSGVO). Verantwortlich ist in diesem Fall der Kunde, der das jeweilige Projekt angelegt hat. Wenn Ihre Daten in solchen Inhalten enthalten sind, etwa weil Sie an einem Interview teilgenommen haben, informiert Sie der jeweilige Kunde über die Verarbeitung; Ihre Rechte können Sie ihm gegenüber geltend machen. Wenden Sie sich an uns, leiten wir Ihre Anfrage an den Kunden weiter.

Soweit wir personenbezogene Daten für eigene Zwecke verarbeiten, sind wir Verantwortlicher. Das betrifft insbesondere Ihr Konto, die Abrechnung, die Analyse und Absicherung des Dienstes, den Anonymen Test, den Newsletter und Kontaktanfragen. Hierauf bezieht sich diese Datenschutzerklärung.

Wenn Sie die Website oder die Web-Anwendung aufrufen, verarbeiten wir technisch erforderliche Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, Browsertyp und -version (User Agent) sowie das verwendete Betriebssystem. Diese Daten werden in Server-Logs unseres Hosting-Anbieters Vercel Inc. (USA) und unseres Datenbankanbieters Supabase Pte. Ltd. (Singapur) gespeichert, jeweils mit Serverstandort in Frankfurt am Main.

Zweck ist die Auslieferung und Darstellung des Dienstes, die Gewährleistung seiner Sicherheit und Stabilität sowie die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und funktionsfähigen Angebot. Soweit Sie den Dienst im Rahmen eines Vertrags nutzen, ist Rechtsgrundlage zudem Art. 6 Abs. 1 lit. b DSGVO.

Die Log-Daten werden bei Vercel nach einem (1) Tag und bei Supabase nach sieben (7) Tagen gelöscht.

Wir speichern Informationen auf Ihrem Endgerät oder greifen auf dort gespeicherte Informationen zu, soweit dies unbedingt erforderlich ist, um den von Ihnen ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG). Dazu gehören:

Für die Produktanalyse mit PostHog greifen wir nur mit Ihrer Einwilligung auf Ihr Endgerät zu (§ 25 Abs. 1 TDDDG, siehe Ziffer 10). Ihre Entscheidung speichern wir in Ihrem Konto. Haben Sie eingewilligt, merkt sich PostHog im Speicher Ihres Browsers zusätzlich nur, dass die Erfassung eingeschaltet ist; beim nächsten Laden gilt wieder die Entscheidung aus Ihrem Konto.

Für die Nutzung des Dienstes legen Sie ein Konto an. Dabei verarbeiten wir Ihre E-Mail-Adresse, eine zufällig erzeugte Konto-ID und das Registrierungsdatum. Wir erheben weder Ihren Namen noch ein Profilbild, und es gibt kein Passwort. Zur Anmeldung senden wir Ihnen einen Einmalcode per E-Mail; hierfür setzen wir den E-Mail-Dienst Postmark (ActiveCampaign, LLC, USA) ein.

Bei der Registrierung bestätigen Sie, dass Sie als Unternehmer handeln, und akzeptieren die AGB; diese Bestätigung speichern wir mit Zeitstempel und der Version der AGB zu Nachweiszwecken, ebenso Ihre Angabe, ob Sie Neuigkeiten zu Ask Sona erhalten möchten. Bei Bestellungen geben Sie an, ob Sie für ein Unternehmen kaufen; auch diese Angabe speichern wir mit Zeitstempel.

Zweck ist die Bereitstellung des Kontos und des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Handeln Sie für ein Unternehmen, ist Rechtsgrundlage im Verhältnis zu Ihnen persönlich Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Durchführung des Vertrags mit Ihrem Unternehmen.

Operator-Aktionen im Zusammenhang mit Ihrem Konto (z. B. Planzuweisung, Vergabe von Bonus-Units, Kontolöschung) protokollieren wir in einem Audit-Log; bei einer Kontolöschung wird darin die E-Mail-Adresse des gelöschten Kontos festgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Nachvollziehbarkeit von Eingriffen und der Erfüllung unserer Rechenschaftspflicht. Die Einträge bewahren wir derzeit ohne feste Löschfrist auf.

Sie können die Löschung Ihres Kontos jederzeit per E-Mail an hello@dinghy.studio beantragen. Wir löschen Ihr Konto und die darin gespeicherten Inhalte dann unverzüglich; Datensicherungen werden innerhalb von sieben (7) Tagen überschrieben. Daten, für die gesetzliche Aufbewahrungspflichten bestehen (Ziffer 9.3), werden bis zu deren Ablauf gesperrt aufbewahrt.

Sie können den Dienst ohne Registrierung ausprobieren. Dafür legen wir ein anonymes Testkonto mit einer zufälligen Kennung ohne E-Mail-Adresse an und speichern die Inhalte, die Sie im Test erstellen oder eingeben. Die KI-Verarbeitung erfolgt wie in Ziffer 7 beschrieben.

Bei der Verarbeitung im Anonymen Test sind wir Verantwortlicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Nutzung des Dienstes nach unseren AGB).

Ein anonymes Testkonto wird einschließlich aller Inhalte nach sieben (7) Tagen Inaktivität automatisch gelöscht. Wenn Sie während des Tests ein Konto registrieren, wird das Testprojekt in Ihr Konto übernommen.

Bitte geben Sie im Anonymen Test keine personenbezogenen Daten Dritter ein.

Die Kernfunktionen des Dienstes beruhen auf Modellen der künstlichen Intelligenz. Wenn Sie Personas generieren, Projektdateien hochladen oder mit Personas chatten, übermitteln wir die hierfür erforderlichen Inhalte (Ihre Eingaben, Persona-Beschreibungen, Chatverläufe und Inhalte oder Auszüge aus Projektdateien) an KI-Modelle. Audiodateien werden dabei transkribiert, Bilder und PDF-Dateien ausgelesen, Persona-Porträts auf Grundlage einer aus Persona-Daten erstellten Bildbeschreibung erzeugt.

Alle Anfragen an KI-Modelle laufen über die OpenRouter Inc. (USA), die sie an nachgelagerte Modell- und Infrastrukturanbieter weiterleitet. Die Modelle stammen derzeit von OpenAI, Google, Moonshot AI und TypeSafe. Ausgeführt werden die Anfragen nur von den Infrastrukturanbietern, die wir dafür festgelegt haben; die aktuelle Liste finden Sie unter www.asksona.io/de/unterauftragsverarbeiter. Die Verarbeitung findet in den USA und in der EU statt; Google kann Anfragen außerdem über weltweit verteilte Rechenzentren bearbeiten (Ziffer 13).

Wir weisen OpenRouter an, Ihre Inhalte nur an Anbieter weiterzuleiten, die sie nicht zum Training von KI-Modellen verwenden. Die Anbieter können Anfragen kurzzeitig speichern, etwa zur Erkennung von Missbrauch. Auch wir selbst trainieren keine KI-Modelle mit Ihren Inhalten.

Die Bildbeschreibungen für Persona-Porträts speichern wir zusammen mit dem Porträt; im Rahmen der Überwachung der KI-Aufrufe übermitteln wir sie außerdem an PostHog (EU). Die bei der Persona-Generierung verwendeten Prompts und Modellantworten speichern wir zur Fehleranalyse und Qualitätssicherung dreißig (30) Tage und löschen sie danach automatisch. Metadaten der KI-Aufrufe (technische Kennungen, Textlängen, Dauer) übermitteln wir zur Überwachung von Stabilität und Kosten an PostHog (EU).

Soweit wir dabei Inhalte unserer Kunden verarbeiten, handeln wir als Auftragsverarbeiter (Ziffer 2.2). Im Anonymen Test und bei der Verarbeitung von Metadaten und Logs sind wir Verantwortlicher; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw., für Fehleranalyse und Stabilitätsüberwachung, Art. 6 Abs. 1 lit. f DSGVO.

Personas sind fiktiv, ihre Antworten sind KI-generiert. Eine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO findet nicht statt.

Wenn ein Nutzer Sie zu einem Projekt einlädt, verarbeiten wir Ihre E-Mail-Adresse, Ihre Rolle, die einladende Person und den Zeitpunkt der Einladung und senden Ihnen die Einladung über den E-Mail-Dienst Postmark (ActiveCampaign, LLC, USA). Wir handeln dabei im Auftrag des Kunden, der das Projekt verwaltet (Ziffer 2.2).

Nehmen Sie die Einladung an, legen Sie ein eigenes Konto an; dafür gilt Ziffer 5. Ihre Chats in einem Projekt sind für andere Projektmitglieder, einschließlich des Owners, nicht sichtbar.

Für kostenpflichtige Pläne verarbeiten wir die zur Abrechnung erforderlichen Daten: Name bzw. Firma, Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, gebuchter Plan, Planstatus und Abrechnungszeitraum sowie Rechnungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland („Stripe“). Ihre Zahlungsdaten (z. B. Kartendaten) geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Stripe verarbeitet Daten zum Teil als eigener Verantwortlicher, insbesondere zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten; hierfür gilt die Datenschutzerklärung von Stripe (stripe.com/de/privacy). Stripe kann Daten an die Stripe, Inc. in den USA übermitteln (Ziffer 13).

Rechnungen und Buchungsbelege bewahren wir für die gesetzlich vorgeschriebene Dauer auf (bis zu zehn Jahre nach § 257 HGB und § 147 AO). Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Mit Ihrer Einwilligung, die Sie in der Web-Anwendung erteilen, nutzen wir den Analysedienst PostHog der PostHog Inc. (USA), dessen Daten in der EU (Frankfurt) gespeichert werden. PostHog erfasst dann, wie Sie den Dienst nutzen: aufgerufene Seiten, Klicks und andere Interaktionen (Autocapture), Heatmaps, technische Fehler im Browser sowie Sitzungsaufzeichnungen (Session Recording). Texte, Eingaben und Bilder werden dabei verdeckt, sodass Inhalte Ihrer Personas, Chats und Dateien nicht übertragen werden; Seitentitel entfernen wir vor der Übertragung. Wir verknüpfen diese Daten mit Ihrer Konto-ID, nicht mit Ihrer E-Mail-Adresse. Zweck ist, Ihre Support-Anfragen schneller nachvollziehen zu können, Fehler zu finden und den Dienst zu verbessern.

Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft in den Einstellungen der Web-Anwendung (Allgemein, Produktanalyse) widerrufen; die Erfassung endet dann sofort.

PostHog speichert die Daten nur im Arbeitsspeicher Ihres Browsers und setzt keine Cookies. Sitzungsaufzeichnungen werden nach dreißig (30) Tagen gelöscht, die übrigen Analysedaten mit Ablauf der Aufbewahrungsfrist unseres PostHog-Tarifs.

Ohne Einwilligung zählen wir auf unserer Website (nicht in der Web-Anwendung) nur Seitenaufrufe, und zwar im cookielosen Modus von PostHog: Statt einer Kennung auf Ihrem Endgerät bildet PostHog auf seinen Servern aus IP-Adresse und Browserangaben einen täglich wechselnden Hash-Wert. Auf Ihrem Endgerät wird dafür nichts gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Messung der Reichweite unserer Website.

Unabhängig von Ihrer Einwilligung erfassen wir auf unseren Servern, wenn Sie bestimmte Schritte im Dienst abschließen (z. B. Registrierung, Erstellung einer Persona, Kauf), sowie Fehler auf unseren Servern, und übermitteln dies mit Ihrer Konto-ID an PostHog; bei der Registrierung zusätzlich die Domain Ihrer E-Mail-Adresse (z. B. „beispiel.de“), nicht die Adresse selbst. Dafür greifen wir nicht auf Ihr Endgerät zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im stabilen Betrieb des Dienstes und im Verständnis seiner Nutzung.

Wenn Sie uns über das Kontaktformular oder per E-Mail schreiben, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, gegebenenfalls Ihre Firma und Ihre Nachricht. Feedback, das Sie im Dienst abgeben, verarbeiten wir zusammen mit einer technischen Sitzungskennung. Die Nachrichten werden über Postmark (ActiveCampaign, LLC, USA) an uns zugestellt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag betrifft oder auf einen Vertragsschluss gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Beantwortung Ihrer Anfrage und der Verbesserung des Dienstes. Wir löschen die Daten, wenn die Anfrage erledigt ist, spätestens nach zwölf (12) Monaten, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

Zum Schutz des Kontakt- und des Newsletter-Formulars vor Missbrauch durch automatisierte Programme (Bots) nutzen wir Cloudflare Turnstile der Cloudflare, Inc. (USA). Dabei werden Ihre IP-Adresse und technische Merkmale Ihres Browsers an Cloudflare übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz unserer Formulare vor Spam und Missbrauch. Der Zugriff auf Ihr Endgerät erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre E-Mail-Adresse und, falls angegeben, Ihren Namen und Ihre Firma. Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Sie erhalten eine E-Mail, in der Sie die Anmeldung bestätigen. Wir protokollieren Anmeldung und Bestätigung mit Zeitstempel und IP-Adresse, um die Einwilligung nachweisen zu können. Die Anmeldung nimmt unser eigener Formulardienst MailHub entgegen, der bei Vercel betrieben wird; er speichert sie bei Sanity (Sanity AS, Norwegen) und versendet die E-Mails über Postmark (ActiveCampaign, LLC, USA). Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie können den Newsletter jederzeit über den Abmeldelink in jeder E-Mail abbestellen. Nach der Abmeldung löschen wir Ihre Daten; die E-Mail-Adresse können wir in einer Sperrliste speichern, um weitere Zusendungen zu verhindern (Art. 6 Abs. 1 lit. f DSGVO).

Auf unserer Website binden wir Videos von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) im erweiterten Datenschutzmodus (youtube-nocookie.com) ein. Das Video wird erst geladen, wenn Sie es anklicken; erst dann werden Daten, insbesondere Ihre IP-Adresse, an Google übermittelt und gegebenenfalls Informationen auf Ihrem Endgerät gespeichert. Rechtsgrundlage ist Ihre Einwilligung durch das Anklicken (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Google kann Daten an Google LLC in den USA übermitteln (Ziffer 13).

Wir geben personenbezogene Daten nur weiter, soweit dies zur Erbringung des Dienstes erforderlich ist, eine gesetzliche Pflicht besteht oder Sie eingewilligt haben. Die Empfänger sind:

Soweit Empfänger ihren Sitz in den USA haben oder Daten dort verarbeiten, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und im Übrigen auf Grundlage der Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Nach dem Data Privacy Framework zertifiziert sind derzeit Vercel, PostHog, Postmark (über ActiveCampaign), Cloudflare, Google LLC und Stripe, Inc.; für Supabase und OpenRouter gelten die Standardvertragsklauseln. Eine Kopie der Standardvertragsklauseln stellen wir Ihnen auf Anfrage zur Verfügung.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Wenden Sie sich hierzu an hello@dinghy.studio.

Haben Sie eine Einwilligung erteilt, können Sie sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Widerspruchsrecht: Soweit wir Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden.

Die Angabe Ihrer E-Mail-Adresse ist für die Registrierung erforderlich; ohne sie können wir kein Konto für Sie anlegen. Für kostenpflichtige Pläne sind die Abrechnungsangaben erforderlich. Im Übrigen sind Sie weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.