Datenschutzerklärung

1. Verantwortlicher

Kontor NullEins UG (haftungsbeschränkt), Am Schloß 7, 08538 Weischlitz, Deutschland · Registergericht: Amtsgericht Chemnitz, HRB 38387 · Geschäftsführer: Tim Hendrik Erkelenz · E-Mail: hey@pitcheroo.de

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist nicht bestellt; eine gesetzliche Bestellpflicht besteht nach derzeitiger Bewertung nicht (§ 38 BDSG, Art. 37 DSGVO). Für Datenschutzanfragen wenden Sie sich an datenschutz@pitcheroo.de.

2. Allgemeines zur Datenverarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung des Dienstes erforderlich ist oder eine Rechtsgrundlage besteht. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag), lit. f (berechtigtes Interesse), lit. a (Einwilligung) und lit. c (rechtliche Verpflichtung) sowie § 25 TDDDG für den Zugriff auf Endgeräte.

3. Verarbeitete Daten, Zwecke, Rechtsgrundlagen

• Kontodaten (E-Mail, Anzeigename, Anschrift optional, Passwort-Hash, Rolle) — Konto/Login/Vertrag — Art. 6 Abs. 1 b.
• Onboarding-Profil (Rolle, Verwendungszweck, Häufigkeit) — Produktanpassung — Art. 6 Abs. 1 b, f.
• Akquise-Daten (UTM, Referrer-Host) — Reichweitenmessung — Art. 6 Abs. 1 a + § 25 Abs. 1 TDDDG.
• Logo-/Bild-Uploads — Deck-Gestaltung — Art. 6 Abs. 1 b.
• Präsentationsinhalte (Originaldatei, Titel, Folientexte, Layout, Notizen, Thumbnails) — Analyse/Generierung — Art. 6 Abs. 1 b.
• Analyse-Ergebnisse (Scores, Befunde, Gutachten, Q&A) — Leistungserbringung — Art. 6 Abs. 1 b.
• Zahlungsdaten (Paket, Betrag, Anbieter, Stripe-Session-ID; keine Kartendaten bei uns) — Kaufabwicklung/Buchhaltung — Art. 6 Abs. 1 b, c.
• Nutzungs-/Analytics (anon_id, Event, Pfad, Referrer, UTM, Geräteklasse) — Statistik — Art. 6 Abs. 1 a + § 25 Abs. 1 TDDDG.
• Support-Tickets — Support — Art. 6 Abs. 1 b, f.
• Technische Logs (Server-/Proxy-Logs inkl. IP) — Betrieb/Sicherheit — Art. 6 Abs. 1 f.
• KI-Nutzungs-Metadaten (Token-Verbrauch, kein Inhalt) — Kostencontrolling — Art. 6 Abs. 1 f.

IP-Adressen: Die Anwendung selbst speichert keine IP-Adresse; die Analyse-Statistik erfasst bewusst keine IP (nur die Geräteklasse). IP-Adressen fallen technisch bedingt in den Server-Logs an (siehe Abschnitt 7).

Inhalte mit Bezug zu Dritten: Hochgeladene oder erzeugte Präsentationen können personenbezogene Daten Dritter enthalten. Für solche Inhalte sind Sie selbst datenschutzrechtlich verantwortlich. Für Geschäftskunden stellen wir auf Anforderung einen Auftragsverarbeitungsvertrag (Art. 28 DSGVO) bereit.

4. KI-Verarbeitung und Drittlandbezug

Zur KI-gestützten Erstellung und Analyse werden Folientexte, Folien-Screenshots, Sprechernotizen und Eingaben (Prompts) an unseren KI-Dienst übermittelt. Die Verarbeitung erfolgt über AWS Bedrock ausschließlich in der EU (Region Frankfurt, eu-central-1, EU-Inferenzprofile). Ein Training der KI-Modelle mit Ihren Daten findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5. Empfänger / Auftragsverarbeiter

• netcup GmbH (Rechenzentrum Nürnberg) — Hosting — DE/EU — Art. 28 DSGVO (AVV).
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung — IE/EU (Konzern auch USA) — Art. 28 DSGVO (DPA).
• Amazon Web Services EMEA SARL (AWS Bedrock) — KI-Verarbeitung — EU (Frankfurt) — Art. 28 DSGVO (AWS DPA inkl. SCC).
• Anthropic (Claude-Modelle über AWS Bedrock) — KI-Modellanbieter, weiterer Sub-Verarbeiter — EU-Inferenz über AWS; Anbietersitz USA — über Bedrock, kein Training.

Die Rechtschreib- und Grammatikprüfung erfolgt auf unseren eigenen Servern in der EU; dabei verlassen keine Daten unsere Server. Soweit ein Dienstleister einem US-Konzern angehört (AWS, Stripe), erfolgt die produktive Verarbeitung in der EU; ein Transfer in die USA findet für die KI-Inhalte nicht statt. Geeignete Garantien (insb. Standardvertragsklauseln) sind über die jeweiligen DPA inkorporiert.

6. Cookies und lokale Speicherung (§ 25 TDDDG)

• sc_session (Cookie, httpOnly) — Login-Session — technisch notwendig (§ 25 Abs. 2 TDDDG) — Session/befristet.
• pitcheroo_consent (Cookie + localStorage) — Einwilligungs-Entscheidung — technisch notwendig — 1 Jahr.
• pitcheroo-lang (localStorage) — Sprachwahl — technisch notwendig — dauerhaft (Gerät).
• anon_id (localStorage) — anonyme Besucher-ID (Statistik) — Einwilligung — bis Widerruf, längstens 14 Monate.
• acq (localStorage) — UTM/Herkunft — Einwilligung — bis Widerruf.

Statistik-Funktionen sind standardmäßig deaktiviert und werden nur nach Ihrer aktiven Zustimmung über unseren Einwilligungs-Banner aktiviert. Es kommen ausschließlich Erstanbieter-Funktionen zum Einsatz; Drittanbieter-Tracker (z. B. Google Analytics, Meta-Pixel) werden nicht verwendet. Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

6a. Newsletter (Double-Opt-in)

Auf unserer Website können Sie sich für unseren Newsletter mit Praxis-Tipps und Produkt-Neuigkeiten anmelden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Anmeldung erfolgt im Double-Opt-in-Verfahren: Der Versand beginnt erst, nachdem Sie Ihre Anmeldung über einen Bestätigungslink per E-Mail bestätigt haben. Verarbeitet werden Ihre E-Mail-Adresse, der Zeitpunkt von Anmeldung und Bestätigung sowie die Version des Einwilligungstexts (Nachweis nach Art. 7 Abs. 1 DSGVO); IP-Adressen speichern wir dabei nicht.

Der Versand erfolgt über unsere eigene Infrastruktur; ein Newsletter-Drittanbieter wird nicht eingesetzt. Unsere Newsletter enthalten keine Zählpixel oder personenbezogenes Klick-Tracking. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder E-Mail oder per Nachricht an hey@pitcheroo.de. Nach der Abmeldung versenden wir keine weiteren Newsletter; die E-Mail-Adresse wird mit Abmeldestatus gespeichert, um den Nachweis der früheren Einwilligung zu erhalten und eine erneute ungewollte Aufnahme zu verhindern.

7. Speicherdauer / Löschkonzept

• Konto-/Stammdaten: bis zur Kontolöschung; danach unverzüglich, soweit keine Aufbewahrungspflicht besteht.
• Präsentationen, Uploads, Analysen, Thumbnails: mit Kontolöschung sofort; im Übrigen nutzergesteuert.
• Rechnungen / Buchungsbelege (inkl. Stripe-Belege): 8 Jahre (§ 147 AO, § 257 HGB).
• Support-Tickets: bis zu 3 Jahre nach Abschluss (Verjährung).
• Analytics (anon_id, acq): bis zum Widerruf, längstens 14 Monate.
• Newsletter-Anmeldungen: bis zum Widerruf; nach Abmeldung nur Status und Consent-Nachweis.
• Server-Logs (IP): in der Regel 7 Tage; länger nur bei konkretem Sicherheitsbedarf.

8. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, eine erteilte Einwilligung jederzeit zu widerrufen (Art. 7 Abs. 3).

Wir haben mehrere dieser Rechte als Selbstbedienung umgesetzt: einen Datenexport (Auskunft/Übertragbarkeit) sowie eine eigenständige, endgültige Kontolöschung direkt in Ihrem Nutzerkonto. Mit der Kontolöschung werden Nutzerdaten, Präsentationen und Dateien gelöscht; Rechnungsbelege bleiben aufgrund gesetzlicher Aufbewahrungspflichten erhalten, Analytics-Daten werden pseudonymisiert. Für die weiteren Rechte genügt eine formlose Mitteilung an datenschutz@pitcheroo.de.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere beim Sächsischen Datenschutzbeauftragten (zuständig für den Sitz der Verantwortlichen).

9. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, u. a.: Passwort-Speicherung ausschließlich als kryptographischer Hash (scrypt mit zufälligem Salt); HMAC-signierte, httpOnly-Sitzungs-Cookies; Transportverschlüsselung (TLS); Datenhaltung auf eigenen Servern in der EU; tägliche, integritätsgeprüfte Backups.

10. Pflicht zur Bereitstellung / automatisierte Entscheidungen

Die Bereitstellung der Kontodaten ist für den Vertragsschluss erforderlich. Eine automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung i.S.d. Art. 22 DSGVO findet nicht statt; die KI erzeugt Vorschläge ohne verbindliche Entscheidung über Sie.

11. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils im Dienst veröffentlichte Fassung.