Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2.1 Registrierung und Nutzerkonto

Bei der Registrierung erheben wir folgende Daten:

• E-Mail-Adresse (zur Authentifizierung und Kommunikation)
• Passwort (gesalzen und gehasht gespeichert, niemals im Klartext)
• Optional: Firmenname (bei Unternehmenskonten)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 DSG).

2.2 Anonymisierungsdienst

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 DSG).

2.3 KI-Gateway

Wenn Sie das KI-Gateway nutzen, wird Ihr Text vor der Übermittlung an den KI-Anbieter (z.B. OpenAI, Anthropic) anonymisiert. Der KI-Anbieter erhält ausschliesslich den anonymisierten Text. API-Keys werden mit AES-256-GCM verschlüsselt auf unseren Servern gespeichert.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 DSG).

2.4 Nutzungsstatistiken

Wir erfassen anonymisierte Nutzungsstatistiken (Anzahl verarbeiteter Dokumente, Token-Verbrauch / geschätzte A4-Seiten) zur Abrechnung und Qualitätssicherung. Diese Statistiken enthalten keine personenbezogenen Daten aus Ihren Texten. Nutzungsstatistiken werden für die Dauer des Vertragsverhältnisses sowie 30 Tage nach Kontolöschung aufbewahrt. Für sicherheitsrelevante Aktionen können zusätzlich Audit-Logs mit eigener Aufbewahrungsfrist geführt werden.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO / Art. 31 Abs. 1 DSG).

Wir setzen folgende technische und organisatorische Massnahmen ein:

• Verschlüsselung: TLS-Verschlüsselung für alle Datenübertragungen, AES-256-GCM für gespeicherte API-Keys
• Authentifizierung: JWT-basierte Zugriffskontrolle mit Token-Rotation, optionale Multi-Faktor-Authentifizierung (TOTP)
• Audit-Logging: Alle sicherheitsrelevanten Aktionen werden protokolliert (Aufbewahrung: 30 Tage)
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem (RBAC)
• Mandantentrennung: Strikte Datenisolation zwischen Unternehmen

Die Plattform wird bei Exoscale (A4 Informatik AG, Schweiz) gehostet. Sämtliche Server befinden sich in Schweizer Rechenzentren. Es findet keine Datenübermittlung ins Ausland statt, mit Ausnahme der in Abschnitt 5 beschriebenen KI-Anfragen.

Rechtsgrundlage: Vertragserfüllung und berechtigtes Interesse (Art. 6 Abs. 1 lit. b/f DSGVO).

Bei Nutzung des KI-Gateways werden ausschliesslich anonymisierte Texte an folgende Auftragsverarbeiter übermittelt:

• OpenAI, Inc. (San Francisco, USA) — GPT-Modelle
• Anthropic, PBC (San Francisco, USA) — Claude-Modelle

Diese Anbieter erhalten keine personenbezogenen Daten, da alle Identifikatoren (Namen, Adressen, AHV-Nummern, IBAN etc.) vor der Übermittlung durch Platzhalter ersetzt werden. Die Übermittlung erfolgt verschlüsselt über TLS.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO / Art. 31 Abs. 1 DSG). Angemessenheit gemäss Art. 49 DSGVO, da keine personenbezogenen Daten übermittelt werden.

Sie haben gemäss der EU-Datenschutz-Grundverordnung (DSGVO) und dem Schweizer Datenschutzgesetz (DSG) folgende Rechte:

Sie können Ihr Konto jederzeit löschen. Bei der Kontolöschung werden alle personenbezogenen Daten gemäss den definierten Aufbewahrungsfristen entfernt. Dazu gehören insbesondere:

• Benutzerprofil und Anmeldedaten
• Gespeicherte API-Keys
• Nutzungsstatistiken (nach 30 Tagen Aufbewahrungsfrist)
• Prompt-Vorlagen und gespeicherte Antworten
• Audit-Logs (nach Ablauf der Aufbewahrungsfrist von 30 Tagen)

Incognify ist auf Datensparsamkeit ausgelegt. Technisch notwendig sind lediglich ein Sitzungs-Token (JWT), Ihre Spracheinstellung sowie Ihre Cookie-Entscheidung — gespeichert im localStorage Ihres Browsers; hierfür ist keine Einwilligung erforderlich. Daneben setzen wir folgende Dienste ein:

• Reichweitenmessung mit Umami — anonym, cookielos und auf Schweizer Servern selbst gehostet. Es werden keine personenbezogenen Daten erfasst, eine Einwilligung ist daher nicht erforderlich.
• Google Ads Conversion-Tracking (Google Ireland Limited) — misst ausschliesslich, ob nach dem Klick auf eine Anzeige eine Registrierung erfolgt ist. Es werden keine Namen, E-Mail-Adressen, Klienten- oder Inhaltsdaten an Google übermittelt. Aktiv erst nach Ihrer Einwilligung; ohne Einwilligung läuft der Dienst nur im cookielosen Modus (Google Consent Mode v2).
• Meta-Pixel (Meta Platforms Ireland Limited) — zur Messung unserer Werbekampagnen. Wird erst nach Ihrer Einwilligung geladen.

Beim ersten Besuch holen wir Ihre Einwilligung über einen Cookie-Banner ein. Ohne Einwilligung werden keine Marketing-Cookies gesetzt. Sie können Ihre Entscheidung jederzeit ändern oder widerrufen. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO für Deutschland und Österreich; Art. 31 DSG für die Schweiz).

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich an: