Datenschutzerklärung

Diese Erklärung informiert über die Verarbeitung personenbezogener Daten bei Nutzung der XR4-Plattform (xr4.world und zugehörige Subdomains, einschließlich aller über das Kundenportal angebotenen Produkte) nach der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Tino Höhne, c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland
E-Mail: info@tinohox.de

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO / § 38 BDSG nicht vorliegen.

2. Grundsätze & Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten nur, soweit dies erforderlich ist. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Nutzung der Dienste), lit. f DSGVO (berechtigtes Interesse an sicherem, funktionsfähigem Betrieb), lit. c DSGVO (rechtliche Pflichten, z. B. handels- und steuerrechtliche Aufbewahrung) und – soweit erteilt – lit. a DSGVO (Einwilligung).

Die Plattform läuft auf eigener Infrastruktur in Deutschland. Eigene Dienste wie Identitätsverwaltung, Datenbanken, Dateiablage, lokale KI-Modelle, Spracherkennung und Sprachausgabe betreiben wir selbst. Externe Anbieter setzen wir nur dort ein, wo sie in dieser Erklärung ausdrücklich genannt sind. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

3. Hosting, Server-Logdaten & Angriffsabwehr

Beim Aufruf werden technisch notwendige Zugriffsdaten verarbeitet (IP-Adresse, Datum/Uhrzeit, aufgerufene Adresse, Statuscode, übertragene Datenmenge, User-Agent). Zugriffsprotokolle des Webservers speichern wir zur Aufklärung von Sicherheitsvorfällen 30 Tage und löschen sie danach automatisch. Geheimnisartige Angaben in Adressen (z. B. Anmelde-Codes, Suchbegriffe) werden dabei unkenntlich gemacht. Sicherheitsrelevante Ereignisse der Anmeldung (z. B. Login, fehlgeschlagene Anmeldung, jeweils mit IP-Adresse) speichern wir ebenfalls 30 Tage. Übrige Betriebsprotokolle werden nach kurzer Zeit (in der Regel wenigen Tagen) überschrieben.

Zur Abwehr von Angriffen und Missbrauch setzen wir die Software CrowdSec ein. Sie wertet IP-Adressen auffälliger Anfragen aus und kann diese vorübergehend sperren. Wird ein Angriff nach einem der allgemein bekannten Angriffsmuster erkannt, übermitteln wir die IP-Adresse, die Art des Angriffs und den Zeitpunkt an die CrowdSec SAS (Paris, Frankreich). Dort fließen diese Angaben in eine gemeinsame Sperrliste ein, die wir im Gegenzug beziehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der Plattform und ihrer Nutzer vor Angriffen.

4. Konto & Anmeldung (Keycloak)

Für ein Nutzerkonto verarbeiten wir die von dir angegebenen Daten (E-Mail-Adresse, Name, Passwort, ggf. einen zweiten Anmeldefaktor) über unsere selbst betriebene Identitätsverwaltung Keycloak (auth.xr4.world). Passwörter werden ausschließlich als kryptografische Hashes gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Öffnest du ein Produkt, prüft unser Zugangsdienst deine Berechtigung. Anschließend gibt er dem Produkt deine Konto-Kennung, E-Mail-Adresse, deinen Namen sowie ggf. deine Firma und Rolle weiter. Diese Weitergabe bleibt innerhalb der Plattform. Sie dient dazu, dir deine eigenen Daten zuzuordnen und sie von denen anderer Kunden getrennt zu halten.

5. Firmenkonten, Mitglieder & Einladungen

Legst du eine Firma an oder trittst einer bei, verarbeiten wir die Zugehörigkeit (Firma, Rolle, freigegebene Produkte) und protokollieren Änderungen daran, etwa wer wen hinzugefügt oder entfernt hat. Einladungen erfolgen per Link oder QR-Code. Wir speichern davon nur einen nicht umkehrbaren Prüfwert sowie den Zeitpunkt und die Person der Einlösung. Firmen können auch KI-Mitglieder anlegen, also technische Konten ohne natürliche Person. Diese sind als solche gekennzeichnet. Innerhalb einer Firma sehen Inhaber und Administratoren die Mitglieder mit Name, E-Mail-Adresse und Rolle.

6. Cookies & lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies. Sie dienen der Anmeldung und Sitzungsverwaltung (Kundenportal sowie ein plattformweites Sitzungs-Cookie für die Produkte) und kurzzeitig dem Abschluss einer Einladung. Deine Design-Einstellung (hell/dunkel) wird nur lokal in deinem Browser gespeichert. Diese Speicherungen sind für den Dienst erforderlich (§ 25 Abs. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO). Tracking-, Analyse- oder Marketing-Cookies setzen wir nicht. Das Kundenportal und die Startseite xr4.world laden keine Schriften, Skripte oder sonstigen Inhalte von fremden Servern.

7. Vertragsschluss, Zahlungsabwicklung (Stripe) & Rechnungen

Beim Kauf oder der Aktivierung eines Produkts speichern wir, welcher Fassung unserer AGB und – bei Verbrauchern – der Widerrufsbelehrung du wann zugestimmt hast, zusammen mit deiner Konto-Kennung und dem Produkt. Das dient dem Nachweis des Vertragsinhalts (Art. 6 Abs. 1 lit. b und lit. c DSGVO).

Kostenpflichtige Leistungen werden über den Zahlungsdienstleister Stripe abgewickelt (Stripe Payments Europe, Ltd., Irland; Stripe, Inc., USA). Die Zahlungsdaten gibst du direkt bei Stripe ein, Kartendaten verarbeiten wir nicht selbst. Für laufende Abonnements und nutzungsabhängige Abrechnung hinterlegt Stripe dein Zahlungsmittel für spätere Abbuchungen. Rechnungen und Abrechnungsdaten, einschließlich der Verbrauchsmengen der gebuchten Produkte, führen wir in unserem selbst betriebenen Abrechnungssystem (Lago). Wir bewahren sie aus handels- und steuerrechtlichen Gründen auf (Art. 6 Abs. 1 lit. b und lit. c DSGVO). Stripe kann Daten auch in die USA übermitteln (siehe Ziffer 14).

8. Inhalte in den Produkten

Die Produkte der Plattform verarbeiten die Inhalte, die du bzw. deine Firma dort einstellst oder erzeugst. Dazu gehören etwa Chatverläufe, hochgeladene Dokumente, Bilder, Audio- und Videodateien, Projektdateien, Webseiten-Projekte, Podcast-Skripte und erzeugte Audiodateien, Sequenz- und Projektdaten oder Forenbeiträge. Wir verarbeiten diese Inhalte, um den jeweiligen Dienst zu erbringen (Art. 6 Abs. 1 lit. b DSGVO). Sie werden je Nutzer bzw. je Firma getrennt gespeichert. Einige Produkte bieten zusätzlich:

• Anbindungen an deine Datenquellen (z. B. Nextcloud/WebDAV, E-Mail-Postfächer per IMAP, Webseiten). Dafür speichern wir die von dir hinterlegten Zugangsdaten verschlüsselt und lesen die freigegebenen Inhalte regelmäßig ein. Bei Postfächern schließt das Nachrichten samt Anhängen ein.
• Auswertung öffentlicher Webseiten (z. B. für Marken-Kit oder Website-MCP). Dabei rufen wir die von dir angegebenen Seiten ab und speichern deren Inhalte und Bildschirmfotos.
• Zusammenarbeit & Dateiablage über unsere selbst betriebene Nextcloud (cloud.xr4.world) mit Talk für Chat, Audio- und Videogespräche. Eine Live-Transkription läuft, wenn sie genutzt wird, auf unseren eigenen Servern.
• Veröffentlichung, z. B. von Webseiten, gehosteten Anwendungen oder Forenbeiträgen. Diese Inhalte sind dann für den von dir gewählten Personenkreis oder öffentlich sichtbar.

Soweit du bzw. deine Firma in diesen Inhalten personenbezogene Daten Dritter verarbeitest (z. B. von Kunden, Beschäftigten oder E-Mail-Absendern), bist du bzw. deine Firma dafür Verantwortlicher. Wir handeln insoweit als Auftragsverarbeiter nach Art. 28 DSGVO. Den Vertrag zur Auftragsverarbeitung findest du unter xr4.world/avv; auf Anfrage stellen wir ihn auch zur Unterschrift bereit.

9. KI-Funktionen (lokale & externe Modelle)

Viele Produkte nutzen KI-Modelle über unser LLM-Gateway (llm.xr4.world). Deine Eingaben (Prompts, Dateien, Bilder) und die erzeugten Antworten werden dafür verarbeitet. Je Zugang erfassen wir zur Abrechnung und Kontingentierung den Verbrauch (Anzahl Token, Modell, Zeitpunkt), nicht aber die Inhalte.

• Lokale Modelle (z. B. Qwen über Ollama, Spracherkennung mit Whisper/Vosk, Sprachausgabe mit Piper) laufen ausschließlich auf unserer Infrastruktur in Deutschland. Hier findet keine Übermittlung an Dritte statt.
• Externe Modelle von OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C., USA) und Anthropic (Anthropic Ireland, Ltd. / Anthropic, PBC, USA). Wählst du ein solches Modell oder ist es in einem Produkt voreingestellt, werden deine Eingaben an den jeweiligen Anbieter (auch in den USA) übermittelt und dort verarbeitet. Voreingestellt sind externe Modelle derzeit u. a. im Web-Studio (Anthropic), bei KI-Mitarbeitern (OpenAI) und bei der Bildauswertung im Marken-Kit (OpenAI). Im jeweiligen Produkt siehst du, welches Modell verwendet wird, und kannst, wo angeboten, ein lokales Modell wählen.
• Ausweichmodelle: Ist ein externes Modell nicht erreichbar, kann die Anfrage automatisch an ein vergleichbares Modell des jeweils anderen der beiden genannten Anbieter oder an ein lokales Modell weitergeleitet werden.

Nach den Vertragsbedingungen der Anbieter für die API-Nutzung werden die Daten nicht zum Training ihrer Modelle verwendet und nur für begrenzte Zeit zur Missbrauchserkennung gespeichert. Bitte gib keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) ein, wenn du externe Modelle nutzt. KI-Ausgaben können fehlerhaft sein und sollten vor der Verwendung geprüft werden.

10. App-Hosting & Web-Studio

Buchst du App-Hosting, verarbeiten wir die von dir angegebene Repository-Adresse und ggf. ein Zugriffs-Token, um deine Anwendung bereitzustellen und zu aktualisieren. Außerdem verarbeiten wir die Daten, die deine Anwendung speichert, sowie ein Protokoll der Freigaben und Zugriffsänderungen. Wählst du für deine Anwendung eine eigene externe Datenbank (z. B. dein eigenes Supabase-Projekt), liegen diese Daten bei deinem Anbieter. Für Inhalte und Rechtmäßigkeit der von dir gehosteten oder veröffentlichten Anwendungen und Webseiten bist du verantwortlich.

11. Community-Forum

Im Community-Forum (forum.xr4.world) verarbeiten wir deine Anmeldedaten (per Single-Sign-on über dein XR4-Konto), deinen Anzeigenamen und die von dir erstellten Beiträge. Beiträge sind für andere Mitglieder sichtbar.

12. E-Mail-Versand

System-E-Mails verschicken wir über den E-Mail-Dienst der Hetzner Online GmbH (Gunzenhausen, Deutschland). Dazu gehören etwa Kontobestätigung, Passwort zurücksetzen und Forums- oder Produktbenachrichtigungen. Verarbeitet werden Empfängeradresse und Inhalt der Nachricht.

13. Interne Verwaltung & Betrieb

Für Betrieb, Wartung und Verwaltung der Plattform setzen wir auch KI-gestützte Werkzeuge ein (Anthropic, OpenAI). Dabei können im Einzelfall Konto-, Vertrags- und Abrechnungsdaten sowie technische Protokolle verarbeitet werden, etwa bei Fehlersuche, Support oder Buchhaltung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO. Unser berechtigtes Interesse liegt in einem effizienten und sicheren Betrieb. Die Übermittlung erfolgt unter den in Ziffer 14 genannten Garantien.

Externe Entwickler, die Produkte für die Plattform beisteuern, reichen ihren Quellcode über GitHub (GitHub, Inc., USA) ein. Dabei verarbeiten wir ihr GitHub-Konto und ihre Einreichungen.

14. Übermittlung in Drittländer (USA)

Bei Nutzung von Stripe, externen KI-Modellen (OpenAI, Anthropic) sowie in den Fällen der Ziffer 13 können Daten in die USA übermittelt werden. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und ergänzend auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

15. Speicherdauer & Datensicherung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben. Für Rechnungen und Buchungsbelege sind das in der Regel 8–10 Jahre. Nachweise über Zustimmungen zu Vertragsbedingungen bewahren wir für die Dauer des Vertrags und der anschließenden Verjährungsfristen auf. Nach Kündigung eines Produkts bleiben dessen Inhalte in der Regel noch 30 Tage erhalten, damit du sie sichern kannst, und werden danach gelöscht. Konto- und Nutzungsdaten entfernen wir nach Löschung des Kontos, soweit keine Aufbewahrungspflicht entgegensteht.

Zum Schutz vor Datenverlust erstellen wir regelmäßig Datensicherungen auf eigenen, in Deutschland aufbewahrten Datenträgern. Gelöschte Daten können darin bis zum Ablauf der jeweiligen Sicherung noch enthalten sein. Sie werden daraus nicht einzeln entfernt, aber nur zur Wiederherstellung nach einem Ausfall verwendet und für jede andere Nutzung gesperrt.

16. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch einlegen (Art. 21 DSGVO). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Zur Ausübung genügt eine Nachricht an info@tinohox.de.

17. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de).

18. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage oder Dienste ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.

Siehe auch unser Impressum.