Datenschutzerklärung für die DocuWhale App

1. Verantwortlicher

Pascal Raub – Flying Chair AI
Grüne Str. 70
27749 Delmenhorst
Deutschland
E-Mail: info@docuwhale.de

Ein Datenschutzbeauftragter ist nicht bestellt, da hierfür keine gesetzliche Pflicht besteht.

2. Einleitung

Wir nehmen den Schutz personenbezogener Daten sehr ernst. In dieser Datenschutzerklärung informieren wir Sie darüber, welche Daten wir erheben, wie wir diese verarbeiten und welche Rechte Ihnen nach der Datenschutz-Grundverordnung (DSGVO) zustehen.

3. Erhobene Daten

3.1 Konto- und Authentifizierungsdaten

• E-Mail-Adresse
• Name und Profilbild (bei Anmeldung über Google Sign-In oder Apple Sign-In)
• Eindeutige Nutzer-ID zur Identifikation Ihres Kontos

3.2 Nutzungsdaten

• Verbrauchte Token für KI-Funktionen (Input- und Output-Token)
• Abonnementstatus (z. B. Free, Premium, Pro)
• App-Nutzungsstatistiken (z. B. Funktionsaufrufe, Sitzungsdauer)
• Geräteinformationen (z. B. Gerätemodell, Betriebssystemversion)

3.3 Logfiles

Beim Zugriff auf unsere Dienste werden technisch bedingt u. a. folgende Daten verarbeitet:

• IP-Adresse (soweit möglich gekürzt/anonymisiert)
• Datum und Uhrzeit der Anfrage
• Aufgerufene Ressourcen (z. B. Upload-, Analyse-Endpunkte)
• Übertragene Datenmenge
• Fehler- und Systemprotokolle

3.4 Dokumentendaten

• Hochgeladene Dokumente (z. B. PDF-Dateien, Bilder)
• Aus Dokumenten extrahierte Textinhalte (OCR & KI)
• Automatisch oder manuell erstellte To-dos und Notizen
• Dokumentenkategorien und Metadaten (z. B. Fälligkeitsdaten, Beträge)

3.5 KI-Verarbeitung (Google Vertex AI, EU)

Für bestimmte Funktionen (z. B. Klassifikation, Zusammenfassung, Erklärung von Dokumenten, Extraktion relevanter Inhalte) nutzen wir KI-Dienste externer Anbieter. Dabei können Textauszüge aus Ihren Dokumenten, strukturierte Informationen (z. B. Rechnungsbeträge, Fälligkeiten, Absender) sowie Kontextinformationen (z. B. Dokumententyp, gewählte Kategorie) übermittelt werden.

Es werden nur die Daten übermittelt, die für die jeweilige Funktion erforderlich sind. Eingesetzte Dienste:

• Google Cloud: Gemini über Vertex AI (KI-Analyse) und Document AI (Texterkennung), jeweils an EU-Standorten

Der Dienst ist technisch auf EU-Standorte festgelegt: Ein Standort außerhalb der EU wird abgelehnt, statt Daten dorthin zu senden. Google verwendet die Inhalte nicht zum Training von Modellen; der Zwischenspeicher von Vertex AI ist abgeschaltet.

3.6 Geplante Funktion: E-Mail-Integration (optional)

Sofern Sie zukünftig Ihr E-Mail-Konto mit DocuWhale verknüpfen, können folgende Daten verarbeitet werden: Absender, Empfänger, Betreff und Inhalt relevanter E-Mails, Anhänge (z. B. Rechnungen, Verträge) sowie Metadaten (z. B. Empfangszeit).

3.7 Kameradaten

Die Kamera wird verwendet, um Dokumente zu scannen oder zu fotografieren. Die Texterkennung (OCR) erfolgt lokal auf Ihrem Gerät oder serverseitig über Google Document AI in der EU, je nach Funktion.

3.8 Benachrichtigungsdaten

Wenn Sie Mitteilungen erlaubt haben, erinnert DocuWhale Sie an Fristen, die aus Ihren Dokumenten erkannt wurden. Derzeit werden inhaltliche Push-Benachrichtigungen ausschließlich für Kündigungsfristen versendet.

• Geräte-Token (Firebase Cloud Messaging Token) zur Zustellung von Push-Benachrichtigungen
• Benachrichtigungseinstellungen
• Inhalt der Erinnerung: Art der Frist, Datum und die betroffene Sache — in der Regel der Name des Vertragspartners und die Art des Vertragsverhältnisses, wie sie im Dokument stehen

Beispiel: „In 3 Tagen läuft Ihre Kündigungsfrist ab — Musterfirma GmbH Servicevertrag, bis 18.09.2026.“ Dokumentinhalte, Beträge und Dateien werden nicht in der Nachricht übertragen. Der technische Datenteil der Nachricht enthält lediglich den Nachrichtentyp und eine Dokument-ID.

Die Nachricht kann auf dem Sperrbildschirm Ihres Geräts erscheinen und dort für andere Personen sichtbar sein. Wenn Sie nicht möchten, dass Vertragsnamen dort angezeigt werden, können Sie die Vorschau in den Geräteeinstellungen einschränken (iOS: Einstellungen → Mitteilungen → Vorschau zeigen; Android: Einstellungen → Benachrichtigungen → Auf dem Sperrbildschirm).

Für die Zustellung werden der Geräte-Token und der Nachrichteninhalt an Firebase Cloud Messaging (Google) und auf iOS zusätzlich an den Apple Push Notification service übermittelt. Die beteiligten Dienste können den Nachrichteninhalt technisch zur Weiterleitung verarbeiten; sie werden von uns nicht mit einer inhaltlichen Auswertung beauftragt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Push-Benachrichtigungen werden nur versendet, wenn Sie diese in den Systemeinstellungen erlaubt haben. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie Mitteilungen für DocuWhale deaktivieren. Ohne Einwilligung bleibt die App vollständig nutzbar; die Fristen werden weiterhin in der App angezeigt, Sie erhalten lediglich keine Push-Erinnerung.

4. Zweck der Datenverarbeitung

4.1 Bereitstellung der App-Funktionen

• Verwaltung Ihres Benutzerkontos
• Speicherung und Synchronisation Ihrer Dokumente
• KI-gestützte Analyse, Zusammenfassung und Erklärung
• Automatische Erstellung und Verwaltung von To-dos und Erinnerungen
• Kategorisierung und Strukturierung Ihrer Dokumente

4.2 App-Verbesserung und Support

• Analyse der Nutzung zur Verbesserung von Stabilität, Benutzerfreundlichkeit und Funktionsumfang
• Fehlerdiagnose und Fehlerbehebung
• Beantwortung von Supportanfragen

4.3 Sicherheit

• Abwehr und Analyse von Angriffen (z. B. Brute-Force, Missbrauch)
• Sicherstellung eines stabilen und sicheren Betriebs

5. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Bereitstellung der App, Abonnementabwicklung.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Kamera, Push, optionale E-Mail-Integration, bestimmte KI-Funktionen.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Verbesserung der App, IT-Sicherheit, Missbrauchsprävention.

6. Weitergabe von Daten

6.1 Drittanbieter-Dienste

Supabase (Datenbank & Authentifizierung)

• Zweck: Speicherung von Nutzerdaten, Dokumenten, Authentifizierungsdaten
• Anbieter: Supabase Inc., USA
• Standort: EU, Frankfurt am Main (AWS eu-central-1)
• Rechtsgrundlage für Drittlandübermittlungen: EU-US Data Privacy Framework oder Standardvertragsklauseln

Google Cloud (Backend, Texterkennung und KI-Analyse)

• Zweck: Betrieb unserer Backend-Dienste (Cloud Run), Texterkennung (Document AI), KI-Analyse und Suchindex (Gemini über Vertex AI), Systemprotokolle und IT-Sicherheit
• Anbieter: Google Cloud EMEA Limited, Dublin, Irland
• Standort: EU (Niederlande, Belgien; EU-Multiregion für Document AI und Vertex AI); Anwendungsprotokolle in den Niederlanden
• Rechtsgrundlage für Drittlandübermittlungen: EU-US Data Privacy Framework oder Standardvertragsklauseln, soweit Daten an Google LLC in den USA übermittelt werden

Google Sign-In / Apple Sign-In

• Zweck: Anmeldung über Google-Konto / Apple-ID
• Anbieter: Google LLC, USA / Apple Inc., USA

RevenueCat (In-App-Käufe)

• Zweck: Verwaltung von Abonnements und In-App-Käufen
• Anbieter: RevenueCat Inc., USA

Sentry (Fehlerdiagnose)

• Zweck: Erkennen und Beheben von Abstürzen und Fehlern
• Verarbeitete Daten: technische Fehlerberichte ohne Dokumentinhalte, ohne IP-Adressen und ohne E-Mail-Adressen
• Anbieter: Functional Software, Inc. (Sentry), USA
• Standort: EU, Frankfurt am Main
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (stabiler, sicherer Betrieb); für Zugriffe aus den USA EU-US Data Privacy Framework oder Standardvertragsklauseln

Cloudflare Email Routing (E-Mail-Eingang)

• Zweck: Empfang von E-Mails an Ihre persönliche Eingangsadresse, damit Anhänge in Ihre Ablage gelangen
• Anbieter: Cloudflare, Inc., USA
• Standort: weltweites Netz, nicht auf die EU festgelegt; Sie können Dokumente stattdessen hochladen
• Rechtsgrundlage für Drittlandübermittlungen: EU-US Data Privacy Framework oder Standardvertragsklauseln

Firebase Analytics (Messung mit Einwilligung)

• Zweck: Messung, über welche Werbung und welche Schritte Nutzer zur App finden (z. B. Registrierung, Abschluss eines Abos); Weitergabe dieser Ereignisse an Google Ads zur Erfolgsmessung von Anzeigen
• Verarbeitete Daten: App-Ereignisse, Geräte- und Sitzungsdaten, App-Instanz-ID, auf Android die Werbe-ID; keine Dokumentinhalte
• Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
• Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung bleibt die Erhebung ausgeschaltet; ein Widerruf ist jederzeit in der App möglich.
• Drittlandübermittlung: Eine Übermittlung an Google LLC in den USA ist nicht ausgeschlossen; Garantien: EU-US Data Privacy Framework und Standardvertragsklauseln.

Google ML Kit (Texterkennung)

• Zweck: OCR auf dem Gerät — keine Übertragung an Google-Server innerhalb dieser Funktion

Firebase Cloud Messaging (Push-Benachrichtigungen)

• Zweck: Zustellung von Fristenerinnerungen an registrierte Geräte
• Verarbeitete Daten: Geräte-Token sowie der unter Ziffer 3.8 beschriebene Nachrichteninhalt
• Anbieter und Auftragsverarbeiter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
• Drittlandübermittlung: Eine Übermittlung an Google LLC in den USA ist nicht ausgeschlossen; als Garantien dienen insbesondere Standardvertragsklauseln und die Zusatzvereinbarungen der Firebase-Bedingungen.

Apple Push Notification service (Push-Benachrichtigungen auf iOS)

• Zweck: Zustellung von Fristenerinnerungen an iOS-Geräte
• Verarbeitete Daten: Geräte-Token sowie der unter Ziffer 3.8 beschriebene Nachrichteninhalt
• Empfänger: Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA

6.2 Keine Weitergabe zu Werbezwecken

Wir verkaufen Ihre Daten nicht an Dritte. Eine Weitergabe erfolgt nur, wenn dies zur Erfüllung unserer vertraglichen Pflichten erforderlich ist, eine gesetzliche Verpflichtung besteht oder Sie ausdrücklich eingewilligt haben.

7. Datenspeicherung und Löschung

7.1 Speicherdauer

• Kontodaten: solange Ihr Konto besteht.
• Dokumente & extrahierte Inhalte: bis Sie diese löschen oder Ihr Konto auflösen.
• Nutzungs- und Token-Daten: in der Regel 12 Monate.
• Logfiles: 30 Tage; Fehlerberichte (Sentry) höchstens 90 Tage.
• Papierkorb: gelöschte Dokumente 30 Tage, danach endgültige Löschung einschließlich Suchindex und Analyseergebnissen.
• E-Mail-Zwischenspeicher: bis zur Übernahme der Anhänge, nach einer gescheiterten Verarbeitung höchstens 14 Tage.
• Geräte-Token: solange das Gerät angemeldet ist; der Token wird gelöscht, wenn Sie sich abmelden oder Mitteilungen dauerhaft verweigern.
• Versandprotokoll für Fristenerinnerungen: Wir speichern, welche Erinnerung versendet wurde, um eine doppelte Zustellung zu vermeiden. Das Protokoll wird spätestens mit der Löschung Ihres Kontos gelöscht.
• Datenbanksicherungen: täglich, höchstens 60 Tage aufbewahrt, danach automatische Löschung.
• Abrechnungsrelevante Daten: gemäß gesetzlichen Aufbewahrungsfristen bis zu 10 Jahre.

7.2 Kontolöschung

Sie können Ihr Konto in der App löschen oder eine Löschung per E-Mail beantragen. Mehr dazu auf der Account-Löschseite.

8. Datensicherheit

• Verschlüsselte Übertragung (TLS/SSL)
• Verschlüsselte Speicherung sensibler Daten, soweit technisch vorgesehen
• Strenge Zugangsbeschränkungen und Rollenkonzepte
• Regelmäßige Backups
• Laufende Aktualisierung der eingesetzten Systeme

9. Ihre Rechte

Sie haben im Rahmen der DSGVO insbesondere folgende Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Widerruf von Einwilligungen (Art. 7 Abs. 3 DSGVO)

Kontakt: info@docuwhale.de

10. Berechtigungen der App

Android-Berechtigungen

• CAMERA: Dokumente scannen und fotografieren
• INTERNET: Synchronisation mit der Cloud, Nutzung von KI-Funktionen
• READ_EXTERNAL_STORAGE / WRITE_EXTERNAL_STORAGE: Import/Export von Dokumenten
• RECEIVE_BOOT_COMPLETED: Wiederherstellung von Benachrichtigungen nach Neustart
• SCHEDULE_EXACT_ALARM: Genaue To-do-Erinnerungen
• POST_NOTIFICATIONS: Push-Benachrichtigungen

iOS-Berechtigungen

• Kamera: Dokumente scannen
• Fotobibliothek: Import vorhandener Dokumente
• Benachrichtigungen: Fristenerinnerungen und Hinweise

11. Minderjährige

DocuWhale richtet sich nicht an Personen unter 16 Jahren. Wir verarbeiten nach bestem Wissen keine Daten von Personen unter 16 Jahren.

12. Internationale Datenübertragungen

Speicherung, Texterkennung und KI-Analyse Ihrer Dokumente finden in Rechenzentren in der EU statt. Einzelne Anbieter haben ihren Sitz oder Konzernsitz in den USA; außerdem können bei der Anmeldung über Google oder Apple, bei In-App-Käufen (RevenueCat), bei Push-Benachrichtigungen, beim E-Mail-Eingang über Cloudflare und bei der Messung mit Einwilligung Daten in die USA übertragen werden. Dafür stellen wir geeignete Garantien sicher, u. a. das EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln (SCC).

13. Cookies und Tracking

DocuWhale verwendet in der App keine Tracking-Cookies. Firebase Analytics (Ziffer 6.1) ist nur mit Ihrer Einwilligung aktiv; ohne Einwilligung bleibt die Erhebung ausgeschaltet.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen. Über wesentliche Änderungen werden wir Sie in der App oder per E-Mail informieren.

15. Kontakt

E-Mail: info@docuwhale.de
Anschrift: Pascal Raub – Flying Chair AI, Grüne Str. 70, 27749 Delmenhorst, Deutschland

16. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Für Niedersachsen zuständig:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover, Deutschland
lfd.niedersachsen.de