Datenschutzerklärung

ENTWURF — juristische Prüfung ausstehend. Angaben in [Klammern] müssen vor dem Produktivstart ergänzt werden, insbesondere die Kontaktadresse und die Frage der EU-Vertretung (Art. 27 DSGVO).

1. Verantwortliche

Verantwortliche für die Verarbeitung personenbezogener Daten auf dieser Plattform ist die Mitbolas GmbH, Asylstrasse 26, 8800 Thalwil, Schweiz.

• Kontakt: [legal@mitbolas.com]
• EU-Vertretung (Art. 27 DSGVO): [zu bestellen / in Prüfung — erforderlich, wenn keine EU-Niederlassung besteht und Leistungen für EU-Nutzer angeboten werden]

Wir verarbeiten Personendaten nach dem schweizerischen Datenschutzgesetz (DSG). Für Nutzerinnen und Nutzer im Europäischen Wirtschaftsraum und im Vereinigten Königreich gelten ergänzend die DSGVO bzw. die UK GDPR.

2. Was wir verarbeiten und warum

Wir erheben bewusst wenig. Es gibt kein Passwort, kein Werbetracking und keine Analyseprofile.

• Kontodaten — E-Mail-Adresse, Anzeigename, Rolle (Creator/Leser). Erforderlich für Konto und Anmeldung. Rechtsgrundlage: Vertragserfüllung.
• Anmeldedaten — einmalige Magic-Link-Token (gelöscht oder abgelaufen nach rund 15 Minuten) und Sitzungseinträge (Ablauf innert 24 Stunden). Rechtsgrundlage: Vertragserfüllung.
• Abonnement- und Abrechnungsdaten — Ihr Abostatus und Referenzen auf Stripe-Objekte. Kartendaten gehen direkt an Stripe und erreichen unsere Systeme nie. Rechtsgrundlage: Vertragserfüllung; rechtliche Verpflichtung (Buchführung).
• Nutzungszähler — monatliche Zahl der Generierungsläufe zur Durchsetzung der Plan-Kontingente. Rechtsgrundlage: Vertragserfüllung.
• Zuordnungsdaten — Ihre E-Mail an Projekten, die Ihnen gehören, an verfasstem Feedback und an bearbeiteten Dokumentversionen. Rechtsgrundlage: Vertragserfüllung; berechtigtes Interesse an einer nachvollziehbaren redaktionellen Historie.
• Creator- und Buchinhalte — Universe-Dokumente, Kapitel und zugehöriges Material werden projektbezogen, nicht personenbezogen gespeichert und unterliegen den AGB und der Creator-Vereinbarung.

Unsere Anwendung ist so gebaut, dass E-Mail-Adressen nicht in Server-Logs geschrieben werden.

3. KI-Verarbeitung

Bei der Generierung von Buchinhalten werden Projektinhalte und Prompts an die auf der Seite Auftragsverarbeiter genannten KI-Modellanbieter übermittelt. Ihr Kontoprofil senden wir nicht an Modellanbieter, und wir trainieren selbst keine Modelle mit Ihren Inhalten; die Anbieter verarbeiten API-Inhalte nach ihren jeweiligen API-Bedingungen. Siehe die KI-Transparenzerklärung.

4. Empfänger und internationale Übermittlungen

Wir setzen wenige Dienstleister ein (Hosting, E-Mail-Versand, Zahlungen, KI-Modelle); sie sind mit Standorten auf der Seite Auftragsverarbeiter aufgeführt. Unsere Infrastruktur läuft auf AWS in der EU (Frankfurt, eu-central-1).

Soweit Personendaten ausserhalb der Schweiz oder des EWR übermittelt werden — insbesondere an KI-Modellanbieter in den USA — stützen wir uns auf anerkannte Übermittlungsgarantien [Mechanismus je Anbieter in der juristischen Prüfung zu bestätigen: EU-US Data Privacy Framework und/oder Standardvertragsklauseln]. Die Schweiz und die EU erkennen das Datenschutzniveau der jeweils anderen als angemessen an.

5. Aufbewahrung

• Magic-Link-Token: rund 15 Minuten.
• Sitzungen: bis 24 Stunden.
• Konto-, Abonnement- und Nutzungsdaten: für die Dauer Ihres Kontos, danach Löschung oder Anonymisierung wie unten beschrieben.
• Rechnungs- und Buchhaltungsunterlagen: rund 10 Jahre (Art. 958f OR). Stripe bewahrt Rechnungen nach eigenen gesetzlichen Pflichten auf.

6. Ihre Rechte

Sie haben im Rahmen von DSG und DSGVO das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Die beiden wichtigsten Rechte sind als Selbstbedienung umgesetzt:

• Export — Ihr Konto kann einen vollständigen maschinenlesbaren Export erzeugen (Profil, Abonnement, eigene Projekte mit Dokumenten und Kapiteltexten, verfasstes Feedback) über die Exportfunktion des Kontos (GET /account/export).
• Löschung — Sie können Ihr Konto löschen (Bestätigung erforderlich) über die Löschfunktion des Kontos (POST /account/delete). Dabei werden Konto-, Abonnement- und Nutzungsdaten gelöscht, Ihre Sitzung beendet und die Löschung Ihres Stripe-Kundenobjekts veranlasst. Unterlagen mit Aufbewahrungspflicht (z. B. Buchhaltung) werden stattdessen anonymisiert: Ihre E-Mail wird überall durch ein nicht umkehrbares Kürzel ersetzt, sodass die Unterlagen Sie nicht mehr identifizieren.

Für alles Weitere: [legal@mitbolas.com]. Sie können sich zudem beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) oder, im EWR, bei Ihrer örtlichen Aufsichtsbehörde beschweren.

7. Cookies und lokale Speicherung

Die Plattform verwendet nur technisch Notwendiges: Im lokalen Speicher Ihres Browsers liegt Ihr Sitzungstoken, damit Sie angemeldet bleiben. Es gibt keine Werbe- oder Analyse-Cookies und kein Drittanbieter-Tracking — deshalb auch keinen Cookie-Banner.

8. Sicherheit

Daten werden bei der Übertragung (TLS) und im Ruhezustand verschlüsselt. Der Zugriff auf Produktionssysteme ist auf befugtes Personal beschränkt. An Leserinnen und Leser ausgelieferte Kapitelinhalte tragen personenbezogene Wasserzeichen, um Weiterverbreitung zu erschweren.

9. Änderungen

Wir passen diese Erklärung bei Weiterentwicklung der Plattform an und aktualisieren das obenstehende Datum. Wesentliche Änderungen kündigen wir auf der Plattform an.