Datenschutzerklärung

Kurz gesagt

• Deine Notizen und Dateien liegen in Frankfurt. Wir nutzen sie nur, um WhyVault für dich zu betreiben – nicht für Werbung, nicht zum Training von KI-Modellen, und wir verkaufen sie nicht.
• Ein KI-Assistent bekommt Inhalte nur, wenn du ihn verbindest und er sie abruft. Für diese Inhalte gilt dann der Datenschutz seines Anbieters.
• Das Pro-Abo verkauft Link (Stripe). Kartendaten und Bankverbindungen sehen wir nie.
• Keine Werbe- oder Tracking-Cookies, keine Profile, keine Weitergabe an Datenhändler.
• Du kannst jederzeit alles exportieren und dein Konto selbst löschen.

Verantwortlich

Verantwortlich für die Verarbeitung deiner Daten auf whyvault.io, app.whyvault.io und mcp.whyvault.io ist:

Vertreten durch den Geschäftsführer Kilian Wimmer. E-Mail: post@ohrlaf.com · Fragen zu WhyVault und zum Datenschutz: hello@whyvault.io

Einen Datenschutzbeauftragten müssen wir nicht benennen (Art. 37 DSGVO, § 38 BDSG). Für alle Fragen zum Datenschutz schreib uns einfach an die Adresse oben.

Besuch der Website und der App

Wenn du whyvault.io oder die App aufrufst, verarbeitet unser Hoster Vercel technisch nötige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, übertragene Datenmenge, Referrer, Browser und Betriebssystem. Das ist nötig, um die Seiten auszuliefern, Fehler zu finden und Angriffe abzuwehren. Server-Protokolle bewahrt Vercel für uns einen Tag auf.

Für Besucherstatistiken nutzen wir Vercel Web Analytics. Es setzt keine Cookies von Drittanbietern und speichert keine IP-Adressen. Besuche werden über einen Hash aus der Anfrage gezählt, der nach 24 Stunden verworfen wird; wir sehen nur zusammengefasste Zahlen, etwa welche Seiten wie oft aufgerufen werden.

Schriften und Grafiken liefern wir selbst aus. Beim Aufruf der Seiten werden keine Daten an Schrift- oder Werbedienste übertragen.

Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren, funktionierenden und stetig verbesserten Website (Art. 6 Abs. 1 lit. f DSGVO).

Konto und Anmeldung

Für dein Konto speichern wir deine E-Mail-Adresse, einen Anzeigenamen (optional), deine Sprache, Zeitpunkte wie Registrierung und letzte Anmeldung und – wenn du eines festlegst – ein Passwort, nur als Hash. Anmeldelinks und Anmeldecodes schicken wir dir per E-Mail. Die Anmeldung läuft über Supabase Auth; Konto und Anmeldedaten liegen bei Supabase in Frankfurt. Anmeldeprotokolle mit IP-Adresse speichert Supabase einen Tag.

Legst du ein Passwort fest, prüfen wir, ob es aus bekannten Datenlecks stammt. Dazu senden wir nur die ersten fünf Zeichen seines SHA-1-Hashs an den Dienst „Have I Been Pwned“ und vergleichen die Antwort bei uns – das Passwort selbst und nichts, das auf dich schließen lässt, verlässt unsere Server nicht.

Ändert sich dein Passwort, deine E-Mail-Adresse oder eine Anmeldemethode, schicken wir dir zur Sicherheit eine Benachrichtigung.

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO); die Prüfung auf Datenlecks und die Sicherheits-Hinweise stützen wir auf unser berechtigtes Interesse, dein Konto zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Ohne E-Mail-Adresse können wir kein Konto anlegen.

Schutz vor Missbrauch (Captcha)

Die Formulare für Anmeldung und Registrierung schützen wir mit Cloudflare Turnstile vor automatisierten Zugriffen, etwa massenhaft verschickten Anmeldemails. Turnstile prüft im Hintergrund, ob ein Mensch das Formular nutzt; meist merkst du davon nichts, manchmal erscheint ein Häkchen zum Anklicken.

Dabei verarbeitet Cloudflare deine IP-Adresse, technische Merkmale deines Browsers und der Verbindung (z. B. User-Agent, TLS-Merkmale) sowie die Seite, auf der das Formular eingebunden ist. Cloudflare handelt dabei in unserem Auftrag; die gewonnenen Signale nutzt Cloudflare zudem in eigener Verantwortung, um die Erkennung von Bots zu verbessern. Einzelheiten: https://www.cloudflare.com/turnstile-privacy-policy/

Rechtsgrundlage ist unser berechtigtes Interesse, WhyVault und deine Mailadresse vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Soweit Turnstile dafür Informationen in deinem Browser liest oder speichert, ist das für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Inhalte deines Vaults

Wir speichern, was du in WhyVault ablegst: Notizen, Ordner, Ordnerfarben, Dateien (Anhänge) und Links zwischen Notizen. Zu jeder Änderung speichern wir eine Version und einen Eintrag im Verlauf – mit Zeitpunkt, einer kurzen Beschreibung und ob die Änderung von dir oder von einem verbundenen Assistenten kam. Alles liegt bei Supabase in Frankfurt, verschlüsselt gespeichert (AES-256) und nur verschlüsselt übertragen.

Gelöschte Notizen landen im Papierkorb, aus dem du sie wiederherstellen kannst. Papierkorb und ältere Versionen bleiben erhalten, bis du dein Konto löschst. Möchtest du einzelne Notizen samt aller Versionen vorher endgültig löschen lassen, schreib uns – wir erledigen das umgehend.

Wir nutzen deine Inhalte nur, um WhyVault für dich zu betreiben. Wir sehen sie nur an, wenn du uns darum bittest (z. B. im Support), wenn wir gesetzlich dazu verpflichtet sind oder wenn es nötig ist, um einen konkreten Missbrauch oder eine Störung abzuwehren. Wir lassen keine KI-Modelle über deine Inhalte laufen und nutzen sie nicht zum Training.

Enthalten deine Notizen personenbezogene Daten anderer Menschen, entscheidest du, was du speicherst; wir verarbeiten diese Daten nur, um sie für dich bereitzuhalten. Nutzt du WhyVault beruflich, schließen wir mit dir dafür einen Vertrag zur Auftragsverarbeitung (siehe „Auftragsverarbeitung (AVV)“ im Footer).

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Verbundene KI-Assistenten (MCP)

Du kannst KI-Assistenten über das Model Context Protocol mit deinem Vault verbinden – per Anmeldung (OAuth, z. B. Claude oder ChatGPT) oder mit einem persönlichen Zugangsschlüssel (z. B. Claude Code oder Cursor). Zu jeder Verbindung speichern wir ihren Namen, die Art, die Rechte (Zugangsschlüssel: nur lesen oder lesen und schreiben; OAuth-Verbindungen: lesen und schreiben), wann sie angelegt, zuletzt benutzt und gegebenenfalls widerrufen wurde. Zugangsschlüssel speichern wir nur als Hash und mit einem kurzen Präfix, an dem du sie wiedererkennst.

Ein verbundener Assistent liest und schreibt Notizen, wenn du ihn darum bittest. Was er abruft, geht an den Anbieter des Assistenten (z. B. Anthropic, OpenAI oder Anysphere). Dieser verarbeitet die Inhalte in eigener Verantwortung nach seinen eigenen Bedingungen; darauf haben wir keinen Einfluss. Verbinde deshalb nur Assistenten, denen du diese Inhalte anvertrauen willst, und gib im Zweifel nur Leserechte.

Schreibt eine Verbindung ungewöhnlich viel in kurzer Zeit (mehr als 30 Änderungen pro Minute), weisen wir weitere Änderungen vorübergehend ab. Jede Änderung durch einen Assistenten steht mit seinem Namen in deinem Verlauf und lässt sich rückgängig machen.

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse, deinen Vault vor Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO).

Zahlung (Pro)

Das Pro-Abo verkaufen wir über Stripe Managed Payments. Verkäufer ist dabei Link, ein Dienst von Stripe; Link stellt die Rechnungen aus, zieht die Zahlungen ein und bearbeitet Erstattungen. Link und Stripe verarbeiten deine Zahlungs- und Rechnungsdaten (etwa Name, Anschrift, Zahlungsmittel, Rechnungen, Steuerangaben) als eigenständig Verantwortliche nach ihrer Datenschutzerklärung: https://stripe.com/de/privacy

Von Stripe erhalten wir nur, was wir für dein Abo brauchen: eine Kundennummer, die Abo-Nummer, Status, Tarif und Abrechnungsrhythmus, das Ende des laufenden Zeitraums und ob eine Kündigung vorgemerkt ist. Kartendaten oder Bankverbindungen sehen wir nicht.

Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO). Unterlagen, die wir für unsere Buchhaltung brauchen, bewahren wir nach den gesetzlichen Fristen auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

E-Mails

Anmeldelinks, Bestätigungen, Sicherheits-Hinweise und Mails zu deinem Konto verschicken wir über Plunk. Dafür legen wir dich in Plunk als Kontakt an – mit E-Mail-Adresse, Sprache, Plan (Free oder Pro) und dem Datum deiner Registrierung. Plunk speichert Daten in der EU (Hetzner, Deutschland) und stellt Mails über Amazon SES zu; auf dem Weg zum Empfänger können Mails dabei Server außerhalb der EU durchlaufen. Protokolle mit IP-Adressen bewahrt Plunk 30 Tage auf. Rechtsgrundlage für Konto-Mails ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Neuigkeiten (neue Funktionen, Tipps) schicken wir nur, wenn du ausdrücklich zustimmst – nach der Registrierung oder im Profil. Wir speichern, ob und wann du zugestimmt hast, als Nachweis. Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen: im Profil unter „Neuigkeiten per E-Mail“ oder über den Abmeldelink in jeder solchen Mail; eine Abmeldung über den Link übernehmen wir spätestens am nächsten Tag in dein Profil. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Konto-Mails bekommst du unabhängig davon.

Feedback und Support

Schickst du uns Feedback über den Knopf in der App, speichern wir die Art (Idee, Problem, Lob), deinen Text, die Seite, auf der du warst, und den Zeitpunkt; per E-Mail an uns gehen zusätzlich deine E-Mail-Adresse, dein Plan und deine Sprache, damit wir dir antworten können. Schreibst du uns eine E-Mail, verarbeiten wir deine Nachricht und deine Kontaktdaten, um die Anfrage zu beantworten. Unser Postfach betreibt Google Workspace.

Rechtsgrundlage ist der Vertrag mit dir bzw. die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und im Übrigen unser berechtigtes Interesse, Anfragen zu beantworten und WhyVault zu verbessern (Art. 6 Abs. 1 lit. f DSGVO).

Cookies und lokaler Speicher

Wir setzen keine Werbe- oder Tracking-Cookies. Wenn du dich in der App anmeldest, setzen wir Sitzungs-Cookies, damit du angemeldet bleibst. In deinem Browser speichern wir außerdem Anzeigeeinstellungen: das Farbschema (hell oder dunkel), aufgeklappte Ordner, ob die Spalte mit dem Verlauf eingeblendet ist und – nur für die aktuelle Sitzung – den Fokusmodus. Diese Einstellungen verlassen dein Gerät nicht. Turnstile (siehe „Schutz vor Missbrauch“) kann für die Prüfung ebenfalls Informationen in deinem Browser ablegen.

All das ist unbedingt erforderlich, damit die Funktionen laufen, die du ausdrücklich nutzt (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht nötig; deshalb gibt es auch kein Cookie-Banner.

Dienstleister und Empfänger

Wir arbeiten mit wenigen, sorgfältig ausgewählten Dienstleistern. Mit allen Auftragsverarbeitern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO); sie dürfen deine Daten nur nach unseren Weisungen verarbeiten.

• Supabase

  AV-Vertrag

  Zweck

  Datenbank, Dateispeicher und Anmeldung (Hosting deiner Notizen und deines Kontos)

  Anbieter und Ort

  Supabase Pte. Ltd., 65 Chulia Street #38-02/03, 049513 Singapur; Daten liegen im Rechenzentrum Frankfurt (AWS eu-central-1). Drittlandübermittlung auf Grundlage der EU-Standardvertragsklauseln.

  Rolle

  Auftragsverarbeiter

• Vercel

  AV-Vertrag

  Zweck

  Hosting von Website und App, Server-Funktionen, Besucherstatistik

  Anbieter und Ort

  Vercel Inc., 440 N Barranca Ave, Suite 4133, Covina, CA 91723, USA; Server-Funktionen in Frankfurt (fra1), Auslieferung über ein weltweites Netz (CDN). Zertifiziert nach dem EU-US Data Privacy Framework, zusätzlich EU-Standardvertragsklauseln.

  Rolle

  Auftragsverarbeiter

• Plunk

  AV-Vertrag

  Zweck

  Versand von Anmeldelinks, Konto-Mails und – mit Einwilligung – Neuigkeiten

  Anbieter und Ort

  Speicherung in der EU (Hetzner, Deutschland); Zustellung über Amazon SES, dabei nur auf dem Transportweg auch außerhalb der EU (EU-Standardvertragsklauseln).

  Rolle

  Auftragsverarbeiter

• Google Workspace

  AV-Vertrag

  Zweck

  Unser Postfach hello@whyvault.io – Support und Feedback

  Anbieter und Ort

  Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland; Mutterkonzern Google LLC (USA) ist nach dem EU-US Data Privacy Framework zertifiziert.

  Rolle

  Auftragsverarbeiter

• Cloudflare Turnstile

  Datenschutz Turnstile

  Zweck

  Schutz von Anmeldung und Registrierung vor automatisierten Zugriffen (Captcha)

  Anbieter und Ort

  Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA; zertifiziert nach dem EU-US Data Privacy Framework.

  Rolle

  Auftragsverarbeiter; zur Verbesserung der Bot-Erkennung eigenständig Verantwortlicher

• Stripe (Link)

  Datenschutzerklärung

  Zweck

  Verkauf und Abrechnung des Pro-Abos (Stripe Managed Payments, Verkäufer: Link)

  Anbieter und Ort

  Für Verbraucher in der EU: Stripe Technology Company Limited, Irland, sowie „Sold through Link, LLC“; Stripe ist nach dem EU-US Data Privacy Framework zertifiziert.

  Rolle

  Eigenständig Verantwortlicher

• Have I Been Pwned

  Datenschutz

  Zweck

  Prüfung, ob ein neues Passwort aus bekannten Datenlecks stammt – nur die ersten fünf Zeichen seines SHA-1-Hashs, keine personenbezogenen Daten

  Anbieter und Ort

  Superlative Enterprises Pty Ltd, Australien; ausgeliefert über Cloudflare.

  Rolle

  Empfänger nicht personenbezogener Daten

Außerdem können Daten an Behörden gehen, wenn wir gesetzlich dazu verpflichtet sind, und – falls nötig – an Berater, die zur Verschwiegenheit verpflichtet sind (z. B. Steuerberater, Rechtsanwälte).

Übermittlung in Drittländer

Deine Notizen und dein Konto liegen in Frankfurt. Einige Dienstleister haben ihren Sitz außerhalb der EU (Singapur, USA, Australien) oder können von dort auf Daten zugreifen, etwa für Wartung und Support. Wir übermitteln Daten dorthin nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind:

• USA: Vercel, Cloudflare, Google und Stripe sind nach dem EU-US Data Privacy Framework zertifiziert; für diese Anbieter gilt der Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Ergänzend sind EU-Standardvertragsklauseln vereinbart, wo die Anbieter sie anbieten.
• Singapur (Supabase) und der Transportweg bei Amazon SES (Plunk): EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).
• Australien (Have I Been Pwned): Es werden keine personenbezogenen Daten übermittelt, nur ein Bruchstück eines Hashs.

Eine Kopie der jeweiligen Garantien bekommst du auf Anfrage an hello@whyvault.io.

Wie lange wir Daten speichern

Wir speichern Daten nur so lange, wie wir sie für den jeweiligen Zweck brauchen oder gesetzlich aufbewahren müssen:

• Konto, Vault (Notizen, Versionen, Papierkorb, Dateien), Verbindungen und Feedback: bis du dein Konto löschst.
• Server-Protokolle bei Vercel und Anmeldeprotokolle bei Supabase: ein Tag; Versandprotokolle bei Plunk: 30 Tage.
• Sicherungskopien der Datenbank, soweit unser Datenbank-Anbieter sie anlegt: Sie werden spätestens nach 7 Tagen überschrieben; so lange können gelöschte Daten dort noch enthalten sein.
• Einwilligung in Neuigkeiten: solange sie gilt und danach, solange wir sie nachweisen können müssen (bis zu drei Jahre).
• E-Mails und Feedback an uns: bis die Anfrage erledigt ist, danach höchstens zwei Jahre, soweit wir sie zur Nachvollziehbarkeit brauchen.
• Buchhaltungsunterlagen: sechs bzw. acht Jahre (§ 147 AO, § 257 HGB); Rechnungen zum Pro-Abo bewahrt Link/Stripe nach eigenen gesetzlichen Pflichten auf.

Löschst du dein Konto (Profil → „Konto löschen“), beenden wir ein laufendes Pro-Abo und löschen sofort dein Konto, deinen Vault mit allen Versionen und Dateien, deine Verbindungen und dein Feedback; deinen Kontakt bei Plunk entfernen wir nach dem Versand der Bestätigung. Daten, die wir aus gesetzlichen Gründen aufbewahren müssen, sperren wir bis zum Ablauf der Frist.

Sicherheit

Wir schützen deine Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem:

• Verschlüsselung bei der Übertragung (TLS, HSTS) und bei der Speicherung (AES-256).
• Strikte Trennung der Vaults in der Datenbank (Row Level Security): Jede Anfrage sieht nur die Daten des eigenen Kontos. Automatisierte Tests prüfen diese Trennung bei jeder Änderung.
• Zugangsschlüssel und Passwörter nur als Hash; Schreibzugriffe nur über geprüfte Datenbankfunktionen mit Versionierung und Verlauf.
• Schutz vor Missbrauch durch Captcha, Begrenzung von Schreibvorgängen, Uploads und Mails sowie eine strenge Content Security Policy.
• Zugriff auf Produktivsysteme nur durch den Geschäftsführer.

Findest du eine Sicherheitslücke, schreib uns bitte an hello@whyvault.io.

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20) – deinen Vault kannst du dafür jederzeit selbst als Zip mit Markdown-Dateien exportieren. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder brauchen sie zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Schreib uns dafür einfach an hello@whyvault.io oder post@ohrlaf.com. Wir antworten innerhalb eines Monats, meist deutlich schneller.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa an deinem Wohnort. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, https://www.lda.bayern.de

Pflicht zur Bereitstellung und automatisierte Entscheidungen

Für ein Konto brauchen wir deine E-Mail-Adresse; alle anderen Angaben sind freiwillig. Ohne E-Mail-Adresse können wir dir WhyVault nicht anbieten.

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und erstellen keine Profile.

Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich WhyVault, unsere Dienstleister oder die Rechtslage ändern. Es gilt die hier veröffentlichte Fassung; über wesentliche Änderungen informieren wir dich per E-Mail.