Hinweise zum Datenschutz

Verantwortlich für die Datenverarbeitung dieser Plattform im Sinne der DSGVO ist:

Kontakt Datenschutz: kontakt@cosmolarity.de

Für die Registrierung und das Nameserver-Sitzungsmanagement der Domain cosmolarity.de nutzen wir die Dienste der INWX GmbH & Co. KG, Prinzessinnenstraße 19-20, 10969 Berlin, Deutschland („INWX“). Beim Aufruf unserer Webseiten werden DNS-Abfragen und IP-Verbindungsdaten verarbeitet, um dich sicher auf unsere Server-Infrastruktur zu leiten.

Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen, performanten und ausfallsicheren Bereitstellung unseres Online-Angebots gemäß Art. 6 Abs. 1 lit. f DSGVO.

Zur automatisierten Abwicklung des eingehenden und ausgehenden E-Mail-Verkehrs (z. B. Support-Anfragen über die offizielle Adresse) nutzen wir die API-Infrastruktur von Resend Inc., 2261 Market St #5039, San Francisco, CA 94114, USA („Resend“). Wenn du uns eine E-Mail sendest, erfasst Resend die Metadaten (Absender, Empfänger, Zeitstempel) sowie den Inhalt der Nachricht und stellt diese unserem Vercel-Server via Webhook verschlüsselt zur Verfügung.

Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer hocheffizienten, automatisierten Verarbeitung unserer Systembenachrichtigungen (Art. 6 Abs. 1 lit. f DSGVO). Die vertragliche Absicherung mit dem Anbieter in den USA erfolgt über EU-Standardvertragsklauseln (SCCs).

Für den Empfang administrativer System-Mails und intern weitergeleiteter Support-Anfragen nutzen wir die Ende-zu-Ende-verschlüsselte Umgebung der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz („Proton“). Datenverarbeitungen im Rahmen deines direkten Austauschs mit unseren Support-Mitarbeitern können somit auf den Servern von Proton stattfinden.

Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), der ein mit der EU vergleichbares Datenschutzniveau anerkennt. Rechtsgrundlage ist unser berechtigtes Interesse an einer vertraulichen und datenschutzkonformen Kommunikation gemäß Art. 6 Abs. 1 lit. f DSGVO.

Die Plattform wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA („Vercel“) gehostet. Beim Aufruf übermittelt dein Gerät automatisch Verbindungsdaten; Vercel verarbeitet zur Betriebssicherheit unter anderem Server-Logfiles (etwa IP-Adresse und Zeitstempel der Anfrage), um die Verfügbarkeit, Integrity und Stabilität des Dienstes zu gewährleisten.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, zuverlässigen Web-Angebot gemäß Art. 6 Abs. 1 lit. f DSGVO.

Hinweis zur Server-Region: Serverless Functions und Edge-Infrastruktur von Vercel können je nach Projekteinstellungen, Routing und Betriebsanforderungen in verschiedenen Regionen ausgeführt werden — auch außerhalb der EU. Edge-Funktionen, Content-Delivery, globale Betriebsinfrastruktur und technische Notfall-Routing-Pfade können beteiligt sein. Unbeschadet dessen bleibt Vercel Inc. ein Unternehmen mit Hauptsitz in den USA; die vertragliche Absicherung erfolgt unter anderem über EU-Standardvertragsklauseln (SCCs), soweit anwendbar.

Wir nutzen Supabase (Supabase Inc., Anbieter der Plattform; siehe verlinkte Datenschutzerklärung) zur Speicherung von Nutzerdaten, Chat-Verläufen, Projekten, Fortschritts- und XP-Daten, Reflexionen, personalisierten Auswertungen, Kursfortschritten, Kurs-Chats, Energie-Salden sowie weiterer für den Betrieb erforderlicher Anwendungsdaten. Die von uns konfigurierte Datenhaltung erfolgt in der Region West EU (Irland), soweit im Supabase-Projekt so eingerichtet. Die Übertragung zwischen deinem Endgerät und Supabase erfolgt verschlüsselt über SSL/TLS (https).

Rechtsgrundlage ist je nach Vorgang insbesondere die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zahlungen werden durch Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland („Stripe“), abgewickelt. Stripe erhält die für die Abwicklung der Zahlung erforderlichen Daten (unter anderem Name, E-Mail-Adresse und die über Stripe erhobenen Zahlungsinformationen). Wir speichern keine Kreditkarten- und keine Bankdaten auf eigenen Servern; die sensible Erfassung der Zahlungsmittel erfolgt im Rahmen der von Stripe bereitgestellten Prozesse bzw. Komponenten.

COSMO OMEGA setzt für KI-gestützte Funktionen spezialisierte Modelle externer Anbieter ein — insbesondere OpenAI, DeepSeek und Google (Gemini API). Je nach Funktion, Verfügbarkeit und technischem Routing kann eine Anfrage durch unterschiedliche der genannten Anbieter verarbeitet werden.

Betroffen sind insbesondere der Experten-Chat (einschließlich komplexer Anfragen), Kurs-Chats, das Agenten-Büro, Konferenz-Modi, personalisierte Kursgenerierung, Reflexions- und Auswertungsfunktionen, semantische Suche, Chat-Titel, Moderationsprüfungen, Audio-Transkription, synthetische Sprachausgabe sowie — bei aktivierter Live-Recherche — externe Such-API-Dienste für Websuchanfragen.

Datenminimierung vor Provider-Übermittlung: Vor der Übermittlung textbasierter Chat-Eingaben an externe KI-Anbieter — einschließlich Experten-Chat, Kurs-Chats und Agenten-Büro — kommt eine serverseitige Datenminimierungs- und Anonymisierungs-/Pseudonymisierungsschicht zum Einsatz. Dabei werden erkennbare Identifikations- und Kontaktmuster — etwa E-Mail-Adressen, Telefonnummern, bestimmte Namens- und Ortsangaben — soweit technisch erkennbar durch Platzhalter ersetzt oder reduziert. Auch personalisierte Kurstexte im Kurs-Chat-Kontext werden vor externer Übermittlung durch dieselbe Schicht geführt.

Da diese Erkennung technisch regel- bzw. musterorientiert erfolgt, kann nicht zugesichert werden, dass sämtliche personenbezogenen oder sensiblen Angaben erkannt und entfernt werden. Bitte gib daher keine unnötigen hochsensiblen Daten ein. Inhalt und Anliegen deiner Anfrage bleiben weitgehend erhalten, damit die KI sinnvoll antworten kann.

Andere KI-Pfade: Für personalisierte Kursgenerierung, Tagesreflexionen, persönliche Auswertungen, Insight-Synthese, Embeddings und synthetische Kursaudio werden Inhalte in der Regel ohne dieselbe Chat-Anonymisierungsschicht an den jeweils eingesetzten Anbieter übermittelt, soweit die Funktion dies technisch erfordert.

Rechtsgrundlagen: Die Verarbeitung, die erforderlich ist, um eine von dir angeforderte KI-Funktion bereitzustellen, stützen wir insbesondere auf die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Sicherheits-, Stabilitäts- und Betriebsmaßnahmen können auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) gestützt werden, wobei wir deine Interessen angemessen berücksichtigen.

Drittlandübermittlung: Je nach eingesetztem Anbieter und Routing kann eine Verarbeitung auch in Drittländern außerhalb des Europäischen Wirtschaftsraums erfolgen — etwa in den USA oder in China. Maßgeblich sind die jeweils vereinbarten vertraglichen Garantien (z. B. Standardvertragsklauseln) sowie die Datenschutzhinweise der Anbieter.

Hinweise zu einzelnen Anbietern: Sofern für unsere OpenAI-API-Nutzung keine abweichende Datenfreigabe aktiviert ist, werden API-Eingaben und -Ausgaben nach den für die OpenAI-API geltenden Standardbedingungen in der Regel nicht zum Training der Modelle verwendet. Konkrete Aufbewahrungs- und Verarbeitungsdetails ergeben sich aus den OpenAI-Datenschutz- und API-Bedingungen.

Für Google Gemini nutzen wir die Gemini API über einen API-Schlüssel. Welche Datenverwendungs-, Protokollierungs- und Aufbewahrungsregeln gelten, hängt vom jeweils aktivierten API-Tarif und den kontoseitig gewählten Einstellungen ab. Maßgeblich sind die Datenschutz- und API-Bedingungen von Google.

DeepSeek kann je nach Verfügbarkeit und Routing als KI-Anbieter eingesetzt werden. Maßgeblich sind die Datenschutzhinweise und API-Bedingungen von DeepSeek.

Zur Personalisierung von Reflexionsfragen, Chat-Auswertungen, Entwicklungsschwerpunkten und personalisierten Kursen verarbeitet COSMO OMEGA insbesondere Tagesreflexionen, Chat-Inhalte, Kursinteraktionen, Kursreflexionen, Commitments sowie freiwillige Abschlussreflexionen. Daraus können strukturierte persönliche Insights abgeleitet und in deinem Nutzerprofil gespeichert werden.

Diese Verarbeitung dient der Bereitstellung personalisierter Funktionen innerhalb deines Kontos. Persönliche Nutzerinhalte und individuelle Insights bleiben kontobezogen. Für übergreifende, nicht personenbezogene Musterauswertungen werden nur abstrahierte, aggregierte Kategorien verwendet — nicht die Rohtexte oder direkten persönlichen Inhalte anderer Nutzer.

Inhalte aus COSMO SPIRIT und COSMO OMEGA werden nicht automatisch gegenseitig als persönlicher KI-Kontext übernommen. Rechtsgrundlage ist insbesondere die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Server-Transkription (Diktat): Wenn du die Diktatfunktion nutzt, wird die Audioaufnahme zur Transkription an OpenAI übermittelt. Die Audiodatei wird auf unseren Servern nicht dauerhaft gespeichert; verarbeitet wird sie vorübergehend zur Erstellung eines Texttranskripts. Es können technische Metadaten (z. B. Dateigröße, Dauer) protokolliert werden.

Browser-Spracheingabe: Sofern dein Browser eine lokale Spracheingabe anbietet, kann die Verarbeitung auch durch die Sprachfunktion deines Browsers oder Betriebssystems erfolgen, ohne dass die Audiodatei über unsere Server läuft.

Synthetische Kursaudio (TTS): Für personalisierte Kurse kann Kurstext an OpenAI zur Erzeugung synthetischer Sprachdateien übermittelt werden. Die erzeugten Audiodateien werden in unserem Supabase-Speicher abgelegt und dir über signierte Zugriffslinks bereitgestellt.

Rechtsgrundlage ist die Bereitstellung der von dir genutzten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Wir setzen nur technisch notwendige Cookies bzw. vergleichbare Technologien ein, die zur Aufrechterhaltung einer sicheren Sitzung (Anmeldestatus) erforderlich sind. Für UI-Funktionen des Chats, der Bibliothek und der Energie-Anzeige werden außerdem gezielt Daten im lokalen Speicher des Browsers verwendet (localStorage / Session-Speicher), etwa um einmalige Hinweise oder Einstellungen zu merken — nicht für werbliches Tracking oder Analyse-Netzwerke.

Rechtsgrundlage ist die unbedingte Erforderlichkeit zur Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes (Anmeldung/Sitzungserhalt).

Personenbezogene Daten speichern wir nur so lange, wie dies für die Bereitstellung deines Nutzerkontos, die Leistungserbringung, die Erfüllung gesetzlicher Pflichten oder berechtigter Zwecke erforderlich ist. Gesetzlich vorgeschriebene Aufbewahrungsfristen können längere Speicherung erfordern.

Du kannst die Löschung deines Kontos beantragen. Nach Bestätigung wird die Löschung in der Regel mit einer Karenzzeit von 14 Tagen vorgemerkt, innerhalb der du dich erneut anmelden und die Löschung widerrufen kannst. Nach Ablauf dieser Frist kann das Konto endgültig gelöscht werden. Kostenpflichtige Abonnements werden dabei nach den jeweils geltenden Vertrags- und Zahlungsbedingungen beendet bzw. zum Periodenende gekündigt.

Rechtsgrundlage ist je nach Vorgang die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Soweit wir personenbezogene Daten von dir verarbeiten, stehen dir unter den gesetzlichen Voraussetzungen insbesondere folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Zusätzlich können Nutzer unter den gesetzlichen Voraussetzungen unter anderem die Einschränkung der Verarbeitung (Art. 18 DSGVO) verlangen oder von einem auf berechtigtem Interesse gestützten Vorgang Widerspruch (Art. 21 DSGVO) einlegen. Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Anfragen zu diesen Rechten richtest du vorzugsweise an: kontakt@cosmolarity.de.