Hinweise zum Datenschutz

Verantwortlich für die Datenverarbeitung dieser Plattform im Sinne der DSGVO ist:

Kontakt Datenschutz: kontakt@cosmolarity.de

Für die Registrierung und das Nameserver-Sitzungsmanagement der Domain cosmolarity.de nutzen wir die Dienste der INWX GmbH & Co. KG, Prinzessinnenstraße 19-20, 10969 Berlin, Deutschland („INWX“). Beim Aufruf unserer Webseiten werden DNS-Abfragen und IP-Verbindungsdaten verarbeitet, um dich sicher auf unsere Server-Infrastruktur zu leiten.

Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen, performanten und ausfallsicheren Bereitstellung unseres Online-Angebots gemäß Art. 6 Abs. 1 lit. f DSGVO.

Zur automatisierten Abwicklung des eingehenden und ausgehenden E-Mail-Verkehrs (z. B. Support-Anfragen über die offizielle Adresse) nutzen wir die API-Infrastruktur von Resend Inc., 2261 Market St #5039, San Francisco, CA 94114, USA („Resend“). Wenn du uns eine E-Mail sendest, erfasst Resend die Metadaten (Absender, Empfänger, Zeitstempel) sowie den Inhalt der Nachricht und stellt diese unserem Vercel-Server via Webhook verschlüsselt zur Verfügung.

Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer hocheffizienten, automatisierten Verarbeitung unserer Systembenachrichtigungen (Art. 6 Abs. 1 lit. f DSGVO). Die vertragliche Absicherung mit dem Anbieter in den USA erfolgt über EU-Standardvertragsklauseln (SCCs).

Für den Empfang administrativer System-Mails und intern weitergeleiteter Support-Anfragen nutzen wir die Ende-zu-Ende-verschlüsselte Umgebung der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz („Proton“). Datenverarbeitungen im Rahmen deines direkten Austauschs mit unseren Support-Mitarbeitern können somit auf den Servern von Proton stattfinden.

Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), der ein mit der EU vergleichbares Datenschutzniveau anerkennt. Rechtsgrundlage ist unser berechtigtes Interesse an einer vertraulichen und datenschutzkonformen Kommunikation gemäß Art. 6 Abs. 1 lit. f DSGVO.

Die Plattform wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA („Vercel“) gehostet. Beim Aufruf übermittelt dein Gerät automatisch Verbindungsdaten; Vercel verarbeitet zur Betriebssicherheit unter anderem Server-Logfiles (etwa IP-Adresse und Zeitstempel der Anfrage), um die Verfügbarkeit, Integrity und Stabilität des Dienstes zu gewährleisten.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, zuverlässigen Web-Angebot gemäß Art. 6 Abs. 1 lit. f DSGVO.

Hinweis zur Server-Region: Serverless Functions und Edge-Infrastruktur von Vercel können je nach Projekteinstellungen, Routing und Betriebsanforderungen in verschiedenen Regionen ausgeführt werden — auch außerhalb der EU. Edge-Funktionen, Content-Delivery, globale Betriebsinfrastruktur und technische Notfall-Routing-Pfade können beteiligt sein. Unbeschadet dessen bleibt Vercel Inc. ein Unternehmen mit Hauptsitz in den USA; die vertragliche Absicherung erfolgt unter anderem über EU-Standardvertragsklauseln (SCCs), soweit anwendbar.

Wir nutzen Supabase (Supabase Inc., Anbieter der Plattform; siehe verlinkte Datenschutzerklärung) zur Speicherung von Nutzerdaten, Chat-Verläufen, Projekten, Fortschritts- und XP-Daten, Reflexionen, personalisierten Auswertungen, Kursfortschritten, Kurs-Chats, Energie-Salden sowie weiterer für den Betrieb erforderlicher Anwendungsdaten. Die von uns konfigurierte Datenhaltung erfolgt in der Region West EU (Irland), soweit im Supabase-Projekt so eingerichtet. Die Übertragung zwischen deinem Endgerät und Supabase erfolgt verschlüsselt über SSL/TLS (https).

Rechtsgrundlage ist je nach Vorgang insbesondere die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zahlungen werden durch Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland („Stripe“), abgewickelt. Stripe erhält die für die Abwicklung der Zahlung erforderlichen Daten (unter anderem Name, E-Mail-Adresse und die über Stripe erhobenen Zahlungsinformationen). Wir speichern keine Kreditkarten- und keine Bankdaten auf eigenen Servern; die sensible Erfassung der Zahlungsmittel erfolgt im Rahmen der von Stripe bereitgestellten Prozesse bzw. Komponenten.

COSMO OMEGA setzt für KI-gestützte Funktionen spezialisierte Modelle externer Anbieter ein — insbesondere OpenAI, DeepSeek und Google (Gemini API). Welcher Anbieter im Einzelfall eingesetzt wird, hängt von der jeweiligen Funktion, der Anfrageart und der technischen Verfügbarkeit ab.

Betroffen sind insbesondere der Experten-Chat (einschließlich komplexer Anfragen), Kurs-Chats, das Agenten-Büro, Konferenz-Modi, personalisierte Kursgenerierung, Reflexions- und Auswertungsfunktionen, semantische Suche, Chat-Titel, Moderationsprüfungen, Audio-Transkription, synthetische Sprachausgabe sowie — bei aktivierter Live-Recherche — externe Such-API-Dienste für Websuchanfragen.

Datenminimierung vor Provider-Übermittlung: Vor der Übermittlung textbasierter Chat-Eingaben an externe KI-Anbieter — einschließlich Experten-Chat, Kurs-Chats und Agenten-Büro — kommt eine serverseitige Datenminimierungs- und Anonymisierungs-/Pseudonymisierungsschicht zum Einsatz. Dabei werden erkennbare Identifikations- und Kontaktmuster — etwa E-Mail-Adressen, Telefonnummern, bestimmte Namens- und Ortsangaben — soweit technisch erkennbar durch Platzhalter ersetzt oder reduziert. Auch personalisierte Kurstexte im Kurs-Chat-Kontext werden vor externer Übermittlung durch dieselbe Schicht geführt. Ziel ist es, die Menge personenbezogener Informationen vor der Übermittlung zu reduzieren und das Risiko einer Identifizierbarkeit zu minimieren.

Da diese Erkennung technisch regel- bzw. musterorientiert erfolgt, kann eine vollständige Anonymisierung oder vollständige Entfernung aller personenbezogenen Angaben technisch nicht garantiert werden. Bitte gib daher keine hochsensiblen oder für deine Anfrage nicht erforderlichen personenbezogenen Informationen ein. Inhalt und Anliegen deiner Anfrage bleiben weitgehend erhalten, damit die KI sinnvoll antworten kann.

Andere KI-Pfade: Für personalisierte Kursgenerierung, Tagesreflexionen, persönliche Auswertungen, Insight-Synthese, Embeddings und synthetische Kursaudio werden Inhalte in der Regel ohne dieselbe Chat-Anonymisierungsschicht an den jeweils eingesetzten Anbieter übermittelt, soweit die Funktion dies technisch erfordert.

Rechtsgrundlagen: Die Verarbeitung, die erforderlich ist, um eine von dir angeforderte KI-Funktion bereitzustellen, stützen wir insbesondere auf die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Sicherheits-, Stabilitäts- und Betriebsmaßnahmen können auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) gestützt werden, wobei wir deine Interessen angemessen berücksichtigen.

Drittlandübermittlung: Je nach eingesetztem Anbieter und Routing kann eine Verarbeitung auch in Drittländern außerhalb des Europäischen Wirtschaftsraums erfolgen — etwa in den USA oder in China. Maßgeblich sind die jeweils vereinbarten vertraglichen Garantien (z. B. Standardvertragsklauseln) sowie die Datenschutzhinweise der Anbieter.

Hinweise zu einzelnen Anbietern: Sofern für unsere OpenAI-API-Nutzung keine abweichende Datenfreigabe aktiviert ist, werden API-Eingaben und -Ausgaben nach den für die OpenAI-API geltenden Standardbedingungen in der Regel nicht zum Training der Modelle verwendet. Konkrete Aufbewahrungs- und Verarbeitungsdetails ergeben sich aus den OpenAI-Datenschutz- und API-Bedingungen.

Für Google Gemini nutzen wir die Gemini API in einer kostenpflichtigen API-Konfiguration. Nach den für kostenpflichtige Gemini-API-Dienste geltenden Bedingungen werden die über die API übermittelten Inhalte nicht zur Verbesserung der Google-Produkte verwendet. Die freiwillige Speicherung von GenerateContent- und Interactions-API-Logs ist für unser Projekt deaktiviert. Wir geben keine API-Logs oder Datasets freiwillig zur Produktverbesserung oder zum Modelltraining an Google weiter. Unabhängig davon kann Google Daten in dem Umfang verarbeiten, der nach den geltenden Bedingungen insbesondere für Sicherheit, Missbrauchsprävention und den technischen Betrieb erforderlich ist. Maßgeblich bleiben die Datenschutz- und API-Bedingungen von Google.

DeepSeek kann je nach Verfügbarkeit und Routing als KI-Anbieter eingesetzt werden. Maßgeblich sind die Datenschutzhinweise und API-Bedingungen von DeepSeek.

Zur Personalisierung von Reflexionsfragen, Chat-Auswertungen, Entwicklungsschwerpunkten und personalisierten Kursen verarbeitet COSMO OMEGA insbesondere Tagesreflexionen, Chat-Inhalte, Kursinteraktionen, Kursreflexionen, Commitments sowie freiwillige Abschlussreflexionen. Daraus können strukturierte persönliche Insights abgeleitet und in deinem Nutzerprofil gespeichert werden.

Diese Verarbeitung dient der Bereitstellung personalisierter Funktionen innerhalb deines Kontos. Persönliche Nutzerinhalte und individuelle Insights bleiben kontobezogen. Für übergreifende, nicht personenbezogene Musterauswertungen werden nur abstrahierte, aggregierte Kategorien verwendet — nicht die Rohtexte oder direkten persönlichen Inhalte anderer Nutzer.

Inhalte aus COSMO SPIRIT und COSMO OMEGA werden nicht automatisch gegenseitig als persönlicher KI-Kontext übernommen. Rechtsgrundlage ist insbesondere die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Server-Transkription (Diktat): Wenn du die Diktatfunktion nutzt, wird die Audioaufnahme zur Transkription an OpenAI übermittelt. Die Audiodatei wird auf unseren Servern nicht dauerhaft gespeichert; verarbeitet wird sie vorübergehend zur Erstellung eines Texttranskripts. Es können technische Metadaten (z. B. Dateigröße, Dauer) protokolliert werden.

Browser-Spracheingabe: Sofern dein Browser eine lokale Spracheingabe anbietet, kann die Verarbeitung auch durch die Sprachfunktion deines Browsers oder Betriebssystems erfolgen, ohne dass die Audiodatei über unsere Server läuft.

Synthetische Kursaudio (TTS): Für personalisierte Kurse kann Kurstext an OpenAI zur Erzeugung synthetischer Sprachdateien übermittelt werden. Die erzeugten Audiodateien werden in unserem Supabase-Speicher abgelegt und dir über signierte Zugriffslinks bereitgestellt.

Rechtsgrundlage ist die Bereitstellung der von dir genutzten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Wir setzen nur technisch notwendige Cookies bzw. vergleichbare Technologien ein, die zur Aufrechterhaltung einer sicheren Sitzung (Anmeldestatus) erforderlich sind. Für UI-Funktionen des Chats, der Bibliothek und der Energie-Anzeige werden außerdem gezielt Daten im lokalen Speicher des Browsers verwendet (localStorage / Session-Speicher), etwa um einmalige Hinweise oder Einstellungen zu merken — nicht für werbliches Tracking oder Analyse-Netzwerke.

Rechtsgrundlage ist die unbedingte Erforderlichkeit zur Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes (Anmeldung/Sitzungserhalt).

Personenbezogene Daten speichern wir nur so lange, wie dies für die Bereitstellung deines Nutzerkontos, die Leistungserbringung, die Erfüllung gesetzlicher Pflichten oder berechtigter Zwecke erforderlich ist.

Freiwilliger Löschantrag: Du kannst die Löschung deiner gemeinsamen Cosmolarity ID beantragen. Das betrifft COSMO OMEGA und COSMO SPIRIT — nicht nur eine einzelne Plattform. Nach Bestätigung wird die Löschung mit einer Karenzzeit von in der Regel 14 Tagen vorgemerkt. Innerhalb dieser Zeit kannst du dich erneut anmelden und die Löschung widerrufen. Premium kündigen oder einen Kurs beenden ist nicht dasselbe wie die Cosmolarity ID zu löschen.

Aktiver bezahlter Nutzungszeitraum: Besteht beim Löschantrag noch ein bereits bezahlter Premium-Zeitraum, der über die 14-Tage-Karenz hinausgeht, erfolgt die endgültige Kontolöschung frühestens zum Ende dieses bezahlten Zeitraums. Automatische Verlängerungen werden im Rahmen der bestehenden Kündigungslogik beendet. Endet der bezahlte Zeitraum früher als die Karenz, bleibt die 14-Tage-Frist maßgeblich.

Offener personalisierter Kurs: Besteht beim Löschantrag noch ein nicht endgültig beendeter personalisierter Kurs auf COSMO OMEGA oder COSMO SPIRIT, wirst du darauf hingewiesen. Omega-Kurse kannst du hier vorzeitig beenden; Spirit-Kurse in COSMO SPIRIT. Beendest du ihn nicht, bleibt die Kontolöschung vorgemerkt und wird erst ausgeführt, wenn der Kurs final beendet ist (z. B. abgeschlossen oder vorzeitig beendet — einschließlich der bestehenden automatischen Kursbeendigung nach längerer Kurs-Inaktivität). Bestehen gleichzeitig Premium-Restlaufzeit und offener Kurs, erfolgt die endgültige Löschung erst, wenn alle Blocking Conditions weggefallen sind und die Karenz abgelaufen ist.

Endgültige Kontolöschung: Mit der endgültigen Löschung deiner Cosmolarity ID verlierst du den Zugriff auf COSMO OMEGA und COSMO SPIRIT sowie auf die dort mit diesem Konto verbundenen Inhalte und Funktionen — insbesondere Chatverläufe, Kursverläufe, Reflexionen, Projekte, persönliche Insights, Bibliotheksinhalte, XP/Progression sowie noch nicht heruntergeladene Artikel- oder Audiodateien. Bereits vor der Kontolöschung heruntergeladene Dateien bleiben auf deinem Gerät und werden nicht von dort entfernt. Das Ende eines Premium-Abonnements allein bedeutet keine Kontolöschung; ein separat erworbener Kurs kann über ein bestehendes Konto weiterhin zugänglich bleiben, bis die Cosmolarity ID endgültig gelöscht wird.

Gesetzliche Aufbewahrung: Daten, die aufgrund gesetzlicher Aufbewahrungspflichten weiter gespeichert werden müssen (insbesondere Zahlungs-, Rechnungs- oder buchhalterische Daten bei Zahlungsdienstleistern), speichern wir bzw. unsere Auftragsverarbeiter nur im erforderlichen Umfang und nur für die jeweilige Dauer. Übrige, für das Nutzerkonto nicht mehr benötigte personenbezogene Daten werden nach der bestehenden Löschlogik entfernt.

Inaktivität: Zusätzlich kann eine vollständig inaktive Cosmolarity ID nach unserer Speicher-/Produktregel nach 365 Tagen ohne relevante Nutzeraktivität über die verbundenen Cosmolarity-Dienste automatisch gelöscht werden. Etwa 30 Tage zuvor (nach 335 Tagen accountweiter Inaktivität) erhältst du in der Regel eine einmalige Erinnerung. Eine erneute Anmeldung bzw. aktive Nutzung auf COSMO OMEGA oder COSMO SPIRIT setzt die Inaktivitätsfrist zurück. Konten mit laufendem bezahltem Premium-Zeitraum oder noch nicht abgeschlossenem personalisierten Kurs (Omega oder Spirit) werden nicht allein wegen Inaktivität gelöscht. Dies ist keine gesetzliche „Löschung nach einem Jahr“, sondern unsere eigene Produktregel.

Rechtsgrundlage ist je nach Vorgang die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO), gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) sowie berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO).

Soweit wir personenbezogene Daten von dir verarbeiten, stehen dir unter den gesetzlichen Voraussetzungen insbesondere folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Zusätzlich können Nutzer unter den gesetzlichen Voraussetzungen unter anderem die Einschränkung der Verarbeitung (Art. 18 DSGVO) verlangen oder von einem auf berechtigtem Interesse gestützten Vorgang Widerspruch (Art. 21 DSGVO) einlegen. Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Anfragen zu diesen Rechten richtest du vorzugsweise an: kontakt@cosmolarity.de.