Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

seamvio UG (haftungsbeschränkt)
Schwanthalerstr. 97, 80336 München
Vertreten durch den Geschäftsführer Martin Kleiner
Handelsregister: Amtsgericht München, HRB 314815
E-Mail: martin@sossego.de

Wir sind gesetzlich nicht verpflichtet, einen Datenschutzbeauftragten nach Art. 37 DSGVO / § 38 BDSG zu benennen. Für alle Anliegen zum Datenschutz wenden Sie sich bitte an den oben genannten Verantwortlichen (seamvio UG (haftungsbeschränkt), martin@sossego.de).

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen Dienstes sowie unserer Inhalte und Leistungen erforderlich ist. Eine Verarbeitung erfolgt auf Grundlage Ihrer Einwilligung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO), zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) oder aufgrund unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO).

Der Dienst wird auf einer Cloud-Infrastruktur (Lovable Cloud, technisch auf Basis von Supabase) sowie über ein Edge-/CDN-Netzwerk betrieben. Beim Aufruf werden technisch erforderliche Informationen verarbeitet (u. a. IP-Adresse, Datum und Uhrzeit des Zugriffs, übertragene Datenmenge, Browsertyp). Diese Daten dienen der technischen Bereitstellung und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO). Mit den eingesetzten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Zur Nutzung der geschützten Funktionen legen Sie ein Konto an. Dabei verarbeiten wir Ihre E-Mail-Adresse, einen optionalen Anzeigenamen sowie Authentifizierungsdaten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) ist auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) für uns tätig. Dabei können Daten auch an die Stripe, Inc. in den USA übermittelt werden. Diese Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie, soweit anwendbar, auf das EU-U.S. Data Privacy Framework.

Rechnungen und Abrechnungsdaten bewahren wir so lange auf, wie es die gesetzlichen handels- und steuerrechtlichen Aufbewahrungspflichten verlangen (in der Regel 8 bis 10 Jahre, § 147 AO, § 257 HGB), und löschen sie danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Kern von Sossego ist das Speichern und Organisieren Ihrer Dokumente (z. B. Verträge, Versicherungen, Ausweisdaten). Hochgeladene Dateien sowie daraus extrahierte Informationen werden verschlüsselt gespeichert und sind ausschließlich Ihrem Konto zugeordnet. Der Zugriff ist durch Zugriffsregeln (Row-Level-Security) auf Ihr Konto beschränkt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie, soweit besondere Datenkategorien betroffen sind, Ihre Einwilligung (Ziffer 7).

Sossego nutzt künstliche Intelligenz, um hinzugefügte Dokumente und Briefe automatisch auszulesen, zu strukturieren, zusammenzufassen und durchsuchbar zu machen. Hierzu werden die relevanten Inhalte an folgende Auftragsverarbeiter übermittelt und dort in unserem Auftrag auf Grundlage eines Vertrags zur Auftragsverarbeitung (Art. 28 DSGVO) verarbeitet:

• Lovable Labs AB (Lovable AI Gateway), Regeringsgatan 25, 111 53 Stockholm, Schweden
  Vermittlung der KI-Anfragen an das Sprachmodell
  Ort der Verarbeitung: EU (Schweden)
• Google LLC (Google Cloud Vertex AI, Gemini-Modelle), 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA
  Verarbeitung der Inhalte durch das Sprachmodell (Unterauftragsverarbeiter)
  Ort der Verarbeitung: USA
  Garantien bei Drittlandübermittlung: EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln
• OpenAI, L.L.C. (GPT-Modelle), 1455 3rd Street, San Francisco, CA 94158, USA
  Verarbeitung der Inhalte durch das Sprachmodell (Unterauftragsverarbeiter)
  Ort der Verarbeitung: USA
  Garantien bei Drittlandübermittlung: EU-U.S. Data Privacy Framework bzw. EU-Standardvertragsklauseln

Lovable kann für die Vermittlung weitere Unterauftragsverarbeiter einsetzen; die aktuelle Liste: trust.lovable.dev/subprocessors.

Die Dokumente können besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO enthalten, insbesondere Gesundheitsdaten (z. B. Gesundheitskarten, Arztbriefe). Solche Inhalte übermitteln wir an die KI-Auftragsverarbeiter nur auf Grundlage Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO, die Sie bei der Registrierung erteilen (siehe Ziffer 7). Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

Im Übrigen ist Rechtsgrundlage die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt; KI-Ergebnisse sind unverbindliche Hilfestellungen.

Da Sie Dokumente wie Gesundheitskarten, Ausweise oder Versicherungsunterlagen hochladen können, können dabei besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO verarbeitet werden (z. B. Gesundheitsdaten).

Diese Verarbeitung erfolgt ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO, die Sie bei der Registrierung bzw. vor dem Hochladen erteilen. Sie sind nicht verpflichtet, solche Daten bereitzustellen. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, z. B. durch Löschen der betreffenden Dokumente oder Ihres Kontos. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Für kostenpflichtige Leistungen (Premium) nutzen wir den Zahlungsdienstleister Stripe. Bei einer Buchung werden die für die Zahlungsabwicklung erforderlichen Daten (z. B. Zahlungsmittel, Rechnungsdaten) direkt durch Stripe verarbeitet. Zahlungsdaten wie vollständige Kreditkartennummern werden nicht bei uns gespeichert. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) ist auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO) für uns tätig. Dabei können Daten auch an die Stripe, Inc. in den USA übermittelt werden. Diese Übermittlung stützt sich auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) sowie, soweit anwendbar, auf das EU-U.S. Data Privacy Framework.

Rechnungen und Abrechnungsdaten bewahren wir so lange auf, wie es die gesetzlichen handels- und steuerrechtlichen Aufbewahrungspflichten verlangen (in der Regel 8 bis 10 Jahre, § 147 AO, § 257 HGB), und löschen sie danach. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO.

Zur Kontobestätigung, für Benachrichtigungen und auf Ihre Anfragen hin versenden wir E-Mails über einen E-Mail-Dienstleister. Rechtsgrundlage ist die Vertragserfüllung bzw. unser berechtigtes Interesse an zuverlässiger Kommunikation (Art. 6 Abs. 1 lit. b und f DSGVO).

Die verwendeten Schriftarten (Newsreader, IBM Plex Sans, IBM Plex Mono) werden lokal von unserem eigenen Server ausgeliefert. Es findet dabei keine Verbindung zu Servern Dritter (z. B. Google Fonts) und keine Übertragung Ihrer IP-Adresse an Dritte statt.

Wir setzen ausschließlich technisch notwendige Cookies bzw. vergleichbare Technologien ein, die für den Betrieb und Ihre Anmeldung erforderlich sind (§ 25 Abs. 2 TDDDG). Optionale, nicht notwendige Dienste setzen wir nur nach Ihrer aktiven Einwilligung über unseren Cookie-Hinweis ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ihre Auswahl wird gespeichert und kann jederzeit geändert werden.

Nur wenn Sie im Cookie-Banner der optionalen Kategorie „Statistik“ aktiv zustimmen, nutzen wir Lovable Analytics, die Reichweitenmessung unseres Hosting-Anbieters Lovable Labs Incorporated. Zweck: in zusammengefasster Form zu verstehen, wie oft Seiten aufgerufen werden, um Sossego zu verbessern. Verarbeitete Daten: aufgerufene Seiten, Zeitpunkt, Referrer, Browser- und Gerätetyp sowie eine pseudonyme Kennung, die in Ihrem Browser gespeichert wird (localStorage-Schlüssel „__lovable_anonymous_id“). Ohne Ihre Einwilligung werden keine Tracking-Anfragen gesendet und keine Kennung gespeichert.

Rechtsgrundlage: Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Footer jeder Seite widerrufen.

Zur Bereitstellung des Dienstes setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter ein. Mit diesen bestehen Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Bei Übermittlungen in Drittländer werden geeignete Garantien (z. B. EU-Standardvertragsklauseln) verwendet.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Ihre Dokumente und Kontodaten werden gelöscht, wenn Sie diese löschen oder Ihr Konto auflösen. Bei Kontolöschung werden Ihre Inhalte aus Datenspeicher, Datenbank und Authentifizierung entfernt.

Zu Ihrer Sicherheit und Transparenz führen wir ein Zugriffsprotokoll (Audit-Log). Darin protokollieren wir sicherheitsrelevante Ereignisse rund um Ihr Konto, insbesondere Freigaben, Exporte und Zugriffe Dritter auf Ihre Daten sowie die Löschung Ihres Kontos. Jeder Eintrag enthält die Art des Ereignisses, den Zeitpunkt und technische Angaben (z. B. welches Dokument oder welcher Bereich betroffen war); Dokumentennummern oder Inhalte werden im Protokoll nicht gespeichert. Einträge werden ausschließlich von unseren Servern erstellt und können von Nutzer:innen nachträglich nicht verändert oder gelöscht werden.

Sie können die Einträge zu Ihrem Konto jederzeit in Ihrem Profil unter „Zugriffsprotokoll“ einsehen. Rechtsgrundlage ist unser berechtigtes Interesse an der Sicherheit und Nachvollziehbarkeit des Dienstes (Art. 6 Abs. 1 lit. f DSGVO) sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Protokolleinträge werden im Backend gespeichert, solange Ihr Konto besteht, und bei Kontolöschung entfernt, sofern keine gesetzlichen Aufbewahrungspflichten eine längere Speicherung verlangen.

Entsprechend Ihrem Recht auf Datenübertragbarkeit (Art. 20 DSGVO) können Sie einzelne Dokumente herunterladen oder in den Einstellungen alle Ihre Daten als ZIP-Datei exportieren. Die Exportdatei wird auf unseren Servern erstellt, in einem nicht öffentlichen Speicherbereich in der EU abgelegt, ist nur nach Anmeldung über einen 60 Sekunden gültigen Link abrufbar und wird nach 24 Stunden automatisch gelöscht. Wir benachrichtigen Sie per E-Mail ohne Inhalte. Jeder Export wird in Ihrem Zugriffsprotokoll vermerkt.

Wenn Sie eine Mappe erstellen, speichern wir eine Kopie der von Ihnen ausgewählten Angaben, den eingegebenen Zweck und Verweise auf die gewählten Dokumente. Teilen Sie eine Mappe per Link, erhalten die von Ihnen bestimmten Empfänger:innen (z. B. eine Hausverwaltung) diese Angaben und Dokumente; darüber entscheiden allein Sie (Art. 6 Abs. 1 lit. a und b DSGVO, für besondere Kategorien Art. 9 Abs. 2 lit. a DSGVO). Religion und Gesundheitsdaten können nie aufgenommen werden. Der Link wird nur als kryptografischer Hash gespeichert, läuft nach der gewählten Frist (höchstens 14 Tage) ab und kann jederzeit widerrufen werden; Dateien werden nur über 60 Sekunden gültige Links ausgeliefert. Zu jedem Abruf speichern wir den Zeitpunkt und das von unserem Hosting-Anbieter ermittelte Land – keine IP-Adresse – und vermerken ihn in Ihrem Zugriffsprotokoll. Beim ersten Abruf erhalten Sie eine E-Mail ohne Inhalte. Mappen und ihre Protokolle werden mit Ihrem Konto gelöscht.

Wenn Sie die Zwei-Faktor-Anmeldung aktivieren, speichert unser Anmeldedienst den geheimen Schlüssel Ihrer Authenticator-App; Wiederherstellungscodes speichern wir nur als kryptografische Prüfwerte (Hashes). Um neue Geräte zu erkennen, speichern wir einen aus Ihrer Browser-Kennung abgeleiteten Prüfwert zusammen mit einer groben Gerätebeschreibung (z. B. „Safari · iPhone“) sowie den Zeitpunkt der ersten und letzten Anmeldung; IP-Adressen speichern wir dafür nicht. Meldet sich ein neues Gerät an, senden wir Ihnen eine E-Mail ohne Dokumentinhalte. Die Liste aktiver Sitzungen zeigt Gerätetyp und letzte Aktivität. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Die Daten werden mit Ihrem Konto gelöscht.

Fristen-Erinnerungen (Premium) versenden wir per E-Mail und, wenn Sie es aktivieren, als Push-Mitteilung über den Push-Dienst Ihres Browsers (z. B. Apple, Google oder Mozilla). Push-Nachrichten enthalten keine Inhalte; der Mitteilungstext entsteht auf Ihrem Gerät. Ein Kalender-Abo-Link enthält einen langen Zufallsschlüssel; wer ihn kennt, sieht Dokumenttyp und Datum Ihrer Fristen. Sie können jederzeit einen neuen Link erzeugen, der alte wird damit ungültig.

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO)
• Recht auf Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO)

Zudem haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, damit sie stets den aktuellen rechtlichen Anforderungen entspricht. Für erneute Besuche gilt dann die jeweils aktuelle Fassung.