# Datenschutzerklärung — ENTWURF

> **Das ist kein fertiges Rechtsdokument.** Dieser Text ist eine faktenbasierte
> Arbeitsgrundlage, aus dem tatsächlichen Verhalten der Anwendung abgeleitet
> (siehe Quellenangaben in eckigen Klammern) — keine Rechtsberatung und kein
> Ersatz für die Prüfung durch eine Anwältin oder einen Anwalt. Vor
> Veröffentlichung: juristisch prüfen lassen, alle `[Platzhalter]` ausfüllen,
> Datum aktuell halten. Gleicher Vorbehalt wie bei der RDG-Einschätzung in
> [PROJEKT.md](PROJEKT.md) — ich kann Fakten sauber aufbereiten, aber keine
> Rechtsberatung leisten.

## 1. Verantwortlicher

Stephan Krüger (AppVora)
Wiesenstraße 2b, 47506 Neukirchen-Vluyn
kontakt@appvora.de
+49 160 9776 4514

## 2. Übersicht: welche Daten wofür

| Datenart | Zweck | Rechtsgrundlage (Art. 6 DSGVO) | Speicherdauer |
|---|---|---|---|
| E-Mail-Adresse (Warteliste) | Benachrichtigung zum Produktstart | Abs. 1 lit. a (Einwilligung) | Bis Widerruf oder Produktstart + 6 Monate |
| Hochgeladene Abrechnung (PDF) | Durchführung des Rechen- und Plausibilitätschecks | Abs. 1 lit. b (Vertragserfüllung) | Nur für die Dauer der Anfrage, siehe 3.2 |
| Name, Anschrift, Mietobjekt (optional) | Erstellung der Rückfrage-Checkliste an den Vermieter | Abs. 1 lit. b | Nur für die Dauer der Anfrage, siehe 3.2 |
| Zahlungsdaten (Kartendaten selbst) | Abwicklung der Bezahlung | Abs. 1 lit. b | Bei uns: keine — siehe 3.3 |
| Rechnungs-/Zahlungsnachweis (Betrag, Zeitpunkt, Zahlungskennung) | Buchhaltung, gesetzliche Aufbewahrungspflicht | Abs. 1 lit. c (rechtliche Verpflichtung) | 10 Jahre (§ 147 AO), 6 Jahre für sonstige Geschäftsunterlagen (§ 257 HGB) |
| E-Mails an kontakt@/delete@appvora.de | Bearbeitung von Anfragen | Abs. 1 lit. b bzw. f (berechtigtes Interesse) | Bis zur Erledigung, danach nach Aufbewahrungspflicht bzw. Löschung |

Es findet **keine automatisierte Entscheidungsfindung im Sinne des Art. 22
DSGVO** statt: Der Check informiert und rechnet, trifft aber keine
Entscheidung mit rechtlicher Wirkung gegenüber Ihnen.

**Widerrufsrecht:** Soweit eine Verarbeitung auf Ihrer Einwilligung beruht
(Warteliste), können Sie diese Einwilligung jederzeit mit Wirkung für die
Zukunft widerrufen — formlos per E-Mail an delete@appvora.de. Der Widerruf
lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt.

## 3. Im Einzelnen

### 3.1 Warteliste

Wer sich auf der Startseite mit einer E-Mail-Adresse einträgt, wird in einer
Datenbank auf dem Server gespeichert (Tabelle `warteliste`: Adresse, Quelle,
Zeitpunkt der Eintragung). [Quelle: `src/server/speicher.ts`] Die Adresse
wird ausschließlich verwendet, um über den Produktstart zu informieren, und
nicht an Dritte weitergegeben. Eine Abmeldung ist jederzeit per E-Mail an
delete@appvora.de möglich; die Löschung erfolgt danach unverzüglich. Das ist
zugleich der Widerruf der Einwilligung (siehe oben).

**Empfehlung, noch nicht umgesetzt:** Double-Opt-In für die Eintragung, um
die Einwilligung im Streitfall nachweisen zu können (Beweislast liegt beim
Verantwortlichen, Art. 7 Abs. 1 DSGVO).

### 3.2 Rechen- und Plausibilitätscheck einer Abrechnung

**Die hochgeladene PDF-Datei wird zu keinem Zeitpunkt auf der Festplatte des
Servers gespeichert.** Sie wird ausschließlich im Arbeitsspeicher der
laufenden Anfrage verarbeitet und nach Beendigung der Anfrage automatisch
verworfen. [Quelle: `src/server/app.ts`, Kommentar „Die hochgeladene Datei
bleibt nur im Arbeitsspeicher dieser Anfrage"] Dasselbe gilt für optional
eingegebene Absenderdaten (Name, Anschrift, Bezeichnung des Mietobjekts) —
sie werden nur zur Erstellung der Rückfrage-Checkliste innerhalb derselben
Anfrage verwendet, nicht gespeichert.

Zur inhaltlichen Auswertung wird der aus dem PDF extrahierte **Text** (nicht
die Datei selbst) an die Anthropic-API (Claude) übermittelt — ein
US-amerikanisches Unternehmen (Anthropic, PBC). Dieser Text enthält in der
Regel Name und Anschrift von Mieter und Vermieter sowie die einzelnen
Kostenpositionen der Abrechnung. Dafür ist ein Auftragsverarbeitungsvertrag
mit Anthropic erforderlich; Standardvertragsklauseln (SCC) regeln die
Übermittlung in dieses Drittland — eine Kopie der SCC ist über
[anthropic.com/legal/data-processing-addendum](https://www.anthropic.com/legal/data-processing-addendum)
erhältlich. Dieser AVV ist automatisch Bestandteil der Anthropic Commercial
Terms of Service — kein separater Abschluss nötig, siehe Abschnitt 4. Nach
Angaben von Anthropic werden API-Ein- und -Ausgaben bei Anthropic selbst
standardmäßig bis zu 30 Tage zur Missbrauchsprüfung gespeichert und nicht
für das Training von Modellen verwendet — das betrifft die Verarbeitung
beim Empfänger, nicht unseren eigenen Server (siehe oben).

Die Prüfung selbst — welche Beträge betroffen sind, welche Fristen gelten —
läuft vollständig lokal auf dem Server, ohne weitere Datenübermittlung.
[Quelle: `src/engine.ts`, `src/rules/`]

### 3.3 Bezahlung

Zahlungen werden über Stripe abgewickelt. **Kreditkarten- oder sonstige
Zahlungsdaten werden zu keinem Zeitpunkt an unseren Server übermittelt** —
sie werden direkt im Browser über ein von Stripe bereitgestelltes
Formularelement erfasst und verschlüsselt an Stripe gesendet. [Quelle:
`public/app.html`, Stripe Payment Element; `src/server/stripe-zahlung.ts`]
Wir speichern lediglich eine technische Kennung der Zahlung (keine
Kartendaten), um zu verhindern, dass dieselbe Zahlung mehrfach für eine
Prüfung verwendet wird. [Quelle: `src/server/zahlungsspeicher.ts`] Vertragspartner
für die Zahlungsabwicklung ist Stripe Payments Europe, Ltd. mit Sitz in
Irland; einzelne Verarbeitungsschritte können über Subunternehmer außerhalb
der EU laufen, abgesichert über Standardvertragsklauseln. Für die
Zahlungsabwicklung gilt zusätzlich die Datenschutzerklärung von Stripe.
Auch hier ist ein Auftragsverarbeitungsvertrag mit Stripe erforderlich —
dieser ist laut Stripe automatisch Bestandteil der Stripe Services
Agreement, siehe Abschnitt 4. Stripe ist zusätzlich unter dem EU-US Data
Privacy Framework zertifiziert.

**Aufbewahrungspflicht:** Auch wenn wir keine Kartendaten speichern, fallen
für die Zuordnung Zahlung↔Leistung Rechnungs- und Buchhaltungsunterlagen an
(Betrag, Zeitpunkt, Zahlungskennung). Diese unterliegen den gesetzlichen
Aufbewahrungspflichten aus § 147 AO (10 Jahre) bzw. § 257 HGB (6 Jahre).

**Stripe-Cookies/Gerätesignale (§ 25 TDDDG):** Stripe.js, das für die
Zahlungsabwicklung im Browser eingebunden ist, setzt zur Betrugserkennung
technische Cookies (u. a. `__stripe_mid`, `__stripe_sid`) und verarbeitet
Gerätesignale. Diese Verarbeitung erfolgt im Rahmen der Zahlungsabwicklung
für den von Ihnen ausgelösten Kauf. Details zur Verarbeitung durch Stripe
selbst finden sich in der Datenschutzerklärung von Stripe.

### 3.4 Server-Protokolle

Auf **Anwendungsebene** protokolliert unser Server eingehende Anfragen
**nicht**. [Quelle: `src/server/app.ts`, `Fastify({ logger: false })`] Der
vorgeschaltete Reverse Proxy (Caddy, siehe [Caddyfile](Caddyfile)) ist
ebenfalls ohne eigenes Zugriffsprotokoll konfiguriert (kein `log`-Direktiv)
— es werden also auch dort keine IP-Adressen oder Zugriffszeiten
client-seitiger Anfragen dauerhaft gespeichert. [Verifiziert 2026-08-21
gegen den laufenden Produktivserver]

Diese Aussage betrifft ausschließlich unsere eigene Anwendungsschicht. Auf
**Infrastrukturebene** unseres Hosters (1blu, Netz- und Sicherheitslogs)
können IP-Adressen im Rahmen des allgemeinen Betriebs- und
Sicherheitsmonitorings kurzzeitig verarbeitet werden — dafür ist der AVV
mit 1blu (siehe Abschnitt 4) die maßgebliche Grundlage.

## 4. Empfänger und Auftragsverarbeiter

| Empfänger | Zweck | Sitz | AV-Vertrag |
|---|---|---|---|
| Anthropic | Sprachmodell-Extraktion (kommerzielle API, direkter Zugang — nicht über Drittplattform) | USA (Anthropic, PBC) | Automatisch Bestandteil der Commercial Terms of Service (kein separater Abschluss nötig), abgesichert über SCC (Art. 46 DSGVO). Quelle: [anthropic.com/legal/data-processing-addendum](https://www.anthropic.com/legal/data-processing-addendum). Hinweis: Als Transfergrundlage werden hier ausschließlich die SCC genannt — eine DPF-Zertifizierung von Anthropic ist nicht einheitlich belegt. |
| Stripe | Zahlungsabwicklung | Irland (Stripe Payments Europe, Ltd. — Vertragspartner für Nutzer außerhalb Amerikas; nutzt ggf. US-Subunternehmer unter Standardvertragsklauseln) | Automatisch Bestandteil der Stripe Services Agreement ("subject to and forms part of the Agreement"), kein separater Dashboard-Abschluss gefunden/nötig. Quelle: [stripe.com/legal/dpa](https://stripe.com/legal/dpa). **Bei der Anwaltsprüfung gegenchecken:** reicht diese automatische Einbindung als Dokumentationsnachweis, oder wird ein aktiver Annahme-Nachweis empfohlen? |
| 1blu GmbH | Serverbetrieb | Berlin, Deutschland (EU) | Abgeschlossen (2026-08-22) über das 1blu-Kundencenter |

## 5. Betroffenenrechte

Nach Art. 15–21 DSGVO haben Sie das Recht auf Auskunft, Berichtigung,
Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und
Widerspruch. Da hochgeladene Abrechnungen und Absenderdaten technisch gar
nicht gespeichert werden (siehe 3.2), betreffen diese Rechte in der Praxis
vor allem die Warteliste. Anfragen an delete@appvora.de.

Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu
beschweren. Zuständig ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit
Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4, 40213 Düsseldorf
poststelle@ldi.nrw.de

## 6. Hosting

Die Anwendung läuft auf einem Server der 1blu GmbH, Riedemannweg 60, 13627
Berlin, Deutschland. Datenverarbeitung findet damit innerhalb der EU statt.
Der Auftragsverarbeitungsvertrag mit 1blu ist abgeschlossen (2026-08-22).

---

Stand dieses Entwurfs: 2026-08-30 (Ergänzungen nach anwaltlicher
Voreinschätzung: Widerrufsrecht, Aufbewahrungspflichten, Stripe-Cookies,
Art.-22-Negativvermerk, konkrete Aufsichtsbehörde, Log-Präzisierung,
E-Mail-Verarbeitung, Anthropic-Transfergrundlage), ursprünglich am
2026-08-22 automatisch aus dem Code-Verhalten der Anwendung abgeleitet. Bei
jeder Funktionsänderung, die Daten anders verarbeitet (z. B. Logging
aktivieren, neue Drittanbieter, Speicherung von PDFs), muss dieser Text mit
aktualisiert werden — sonst beschreibt er nicht mehr, was die Anwendung
tatsächlich tut.

**Weiterhin offen, nicht in dieser Runde umgesetzt:** Double-Opt-In für die
Warteliste (siehe 3.1), Verzeichnis von Verarbeitungstätigkeiten (VVT) als
gesondertes Dokument, AVV-Nachweis-Dossier (archivierte DPA-Versionen,
Akzeptanznachweis) — siehe PROJEKT.md, Abschnitt "Vorab-Einschätzung zur
RDG-Frage" für den Kontext. **Weiterhin ausdrücklich keine Rechtsberatung
und kein Ersatz für die anwaltliche Prüfung dieses Dokuments.**