‹ Zurück

Datenschutzerklärung

Stand: 9. Juli 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und in der KarmaPrisma-App ist:

SHOP-Construct UG (haftungsbeschränkt)
von-Schwind-Str. 17, 45768 Marl
Kontakt: info@shop-construct.de

2. Erhobene Daten

Wir erheben und verarbeiten folgende Daten:

• Kontodaten: E-Mail-Adresse, Vorname und verschlüsseltes Passwort bei der Registrierung
• Nutzungsdaten: Deine Einträge (kreative Handlungen), KI-Auswertungen, Karma-Farben, Funken, Streaks und Meilensteine
• Technische Daten: Geräteinformationen, App-Version, Spracheinstellung, Zeitzone
• Zahlungsdaten: Bei Web-Checkout über Stripe: E-Mail, Zahlungsstatus (keine Kreditkartendaten bei uns)

3. Rechtsgrundlagen der Verarbeitung

• Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Bereitstellung der KarmaPrisma-Kernfunktionen — kreative Handlungen festhalten, KI-Auswertung, Karma-Farben, Funken, Streaks, Level und Portfolio. Dies ist die vertragliche Hauptleistung.
• Art. 6 Abs. 1 lit. f DSGVO (Berechtigtes Interesse): Kontosicherheit, Missbrauchsprävention, Token-basierte Authentifizierung, Rate Limiting.
• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Push-Benachrichtigungen (Erinnerungen, Rückblicke), Werbung sowie soziale Funktionen — nur nach aktiver Zustimmung.

4. KI-Verarbeitung und Auftragsverarbeiter

Deine Einträge werden durch KI-Dienste analysiert, um Karma-Farben (z. B. Mut, Ausdruck, Konsistenz) zuzuordnen, eine würdigende Bewertung zu vergeben und ermutigende Impulse zu generieren.

Eingesetzter KI-Anbieter:

• Anthropic PBC (San Francisco, USA) — Claude-Modelle als primärer KI-Anbieter für die Auswertung. Deine Einträge werden per API an Anthropic übermittelt. Gemäß der Anthropic Usage Policy werden API-Daten nicht für KI-Training verwendet.

Drittlandtransfer in die USA: Die Verarbeitung erfolgt auf Servern in den USA. Anthropic stellt für seine API die Standard-Vertragsklauseln (SCC) nach Durchführungsbeschluss (EU) 2021/914 zur Verfügung. Verarbeitungsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie deine explizite Einwilligung in der App (Consent-Type ai_analysis). Es erfolgt keine Weitergabe an Dritte zu Werbezwecken.

4a. Anonymisierter Feedback-Pool (sekundäre Nutzung)

Um Nutzer:innen auch ohne KI-Aufruf unmittelbare Impulse liefern zu können, wiederverwenden wir bereits generierte KI-Antworten in anonymisierter Form:

• Der Original-Eintragstext wird nicht gespeichert. Wiederverwendet wird ausschließlich der KI-Output (Zusammenfassung, Frage, Karma-Farbe, Wert) — nicht die Eingabe.
• Automatisierte PII-Filterung: Vor der Wiederverwendung werden E-Mail-Adressen, Telefonnummern, URLs, längere Ziffernfolgen und mutmaßliche Eigennamen erkannt; betroffene Antworten werden verworfen.
• Kein Personenbezug: Die anonymisierten Einträge enthalten keine Nutzer-ID und keinen Eintragstext.
• Aufbewahrung: Löschung spätestens 6 Monate nach letzter Verwendung; FIFO-Obergrenze 50.000 Einträge pro Sprache.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einspeisung erfolgt nur mit separatem Consent feedback_pool_contribution; im Default-Zustand ist der Pool deaktiviert.
• Audit-Protokoll: Ein internes Prüfprotokoll (Nutzer-ID, Eintrag-ID, Entscheidung, Grund) wird spätestens nach 90 Tagen automatisch gelöscht.

4b. Werbung (Google AdMob)

In der KarmaPrisma-App können Free-Nutzer:innen freiwillig ein Belohnungsvideo ansehen, um sich einen zusätzlichen Eintrag pro Tag zu verdienen. Die Werbung wird über Google AdMob (Google Ireland Limited, Dublin, Irland) bereitgestellt und ist anonym und nicht personalisiert. Premium-Nutzer:innen sehen keine Werbung.

Von AdMob verarbeitete Daten: Werbe-ID (zurücksetzbar), IP-Adresse, Gerätedaten (Modell, OS, Sprache), ungefährer Standort (IP-basiert). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) — vor dem ersten Laden zeigen wir über Google UMP einen Consent-Dialog gemäß § 25 TDDDG. Widerruf jederzeit in den App-Einstellungen. Details: policies.google.com/privacy.

4c. Bilder zu Einträgen (Foto-Journal)

Du kannst deinen Einträgen optional Bilder anhängen (Premium-Funktion). Einträge ohne Bild funktionieren unverändert.

• Cloudflare R2 (EU-Jurisdiktion): Objekt-Speicher mit Standort European Union (Endpoint *.eu.r2.cloudflarestorage.com). Die Bilder verlassen die EU nicht.
• Eigenes Bucket je App: KarmaPrisma nutzt ein eigenes, von anderen Apps technisch isoliertes Bucket.
• Verarbeitet werden: Bildinhalt (JPEG/PNG, max. 5 MB), Dateigröße, Breite × Höhe. EXIF-Daten (inkl. GPS) werden vor dem Upload entfernt.

Auftragsverarbeiter: Cloudflare, Inc., San Francisco, USA (physische Speicherung in EU-Rechenzentren; EU-US Data Privacy Framework + SCCs). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Eintrags oder Kontos; verwaiste Upload-Fragmente werden stündlich entfernt.

5. Drittlandtransfer (USA)

Für KI-Auswertung, Werbung, Web-Zahlungsabwicklung und Fehleranalyse werden Daten an Anbieter in den USA übermittelt:

• Anthropic PBC: KI-Analyse der Einträge, gestützt auf SCC (EU) 2021/914 sowie deine Einwilligung (ai_analysis)
• Google LLC (AdMob): Werbe-ID, IP, Gerätedaten (nur nach Einwilligung)
• Stripe, Inc.: E-Mail und Zahlungsstatus bei Web-Checkout
• Functional Software, Inc. dba Sentry: technische Fehlerberichte

Google LLC, Stripe Inc. und Sentry sind nach EU-US Data Privacy Framework zertifiziert. Für Anthropic PBC stützt sich die Übermittlung auf die Standard Contractual Clauses (SCC) sowie deine Einwilligung.

5a. Fehleranalyse (Sentry)

Zur Stabilitätsverbesserung setzen wir Sentry (Functional Software, Inc., San Francisco, USA) ein. Erfasst werden: Fehler-Stack-Trace, App-/API-Version, Plattform, Locale, Zeitzone, anonyme Sitzungs-ID. Nicht erfasst: Klartext deiner Einträge/Fotos, Passwort, Zahlungsdaten, Standort. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). IP-Maskierung Sentry-seitig. Speicherdauer: 90 Tage.

6. Zahlungsabwicklung

• Stripe, Inc. (USA) — Zahlungsabwicklung für Web-Checkout.
• Apple (App Store): In-App-Käufe auf iOS.
• Google (Play Store): In-App-Käufe auf Android.

Wir haben keinen Zugriff auf Kreditkarten- oder Bankdaten.

7. Datenspeicherung und Aufbewahrungsfristen

• Daten werden auf sicheren Servern in der EU gespeichert (Standort: Deutschland)
• Passwörter nur als Hash (bcrypt); Übertragung verschlüsselt (HTTPS/TLS)
• Account-Daten: bis zur Kontolöschung
• Bei Kontolöschung: sofortige Deaktivierung (Soft-Delete), endgültige Löschung nach 30 Tagen. Zahlungsdaten gemäß § 147 AO bis zu 10 Jahre.
• KI-Antwort-Cache: 24 Stunden
• Sitzungs-Token: Access-Token 15 Minuten, Refresh-Token 7 Tage

8. Deine Rechte (Art. 15–22 DSGVO)

Du hast jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) und Widerruf von Einwilligungen (Art. 7 Abs. 3). Kontolöschung und Datenexport kannst du direkt in der App unter Einstellungen vornehmen.

Beschwerderecht: bei der Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (Kavalleriestr. 2–4, 40213 Düsseldorf, www.ldi.nrw.de).

9. Diese Website (karmaprisma.app)

Die Website karmaprisma.app ist eine statische Informationsseite. Sie setzt keine Tracking-Cookies und führt kein Web-Analytics durch. Es werden keine personenbezogenen Profile gebildet.

• Web-Schriftarten: Die Seite lädt Schriftarten von Google Fonts (Google Ireland Limited). Dabei wird technisch bedingt deine IP-Adresse an Google übertragen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (ansprechende, einheitliche Darstellung).
• Server-Logs: Beim Aufruf entstehen technische Server-Logs (IP, Zeitpunkt, angeforderte Ressource) zur Auslieferung und Missbrauchsprävention; Speicherung max. 7 Tage.

In der KarmaPrisma-App setzen wir zur Produktverbesserung Matomo Analytics auf einem eigenen Server in Deutschland ein (Hosting bei IONOS; keine Weitergabe an Dritte). Matomo läuft datensparsam mit serverseitig anonymisierter IP; es werden keine Eingabeinhalte erfasst.

10. Kontakt

Bei Fragen zum Datenschutz: info@shop-construct.de

Maßgeblich ist die deutsche Fassung; Übersetzungen dienen nur der Verständlichkeit.