Datenschutz

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf symbas.ai und in der App unter app.symbas.ai (bisher xodra.de und app.xodra.de) ist die Exord GmbH, Maria-Goeppert-Str. 5, 23562 Lübeck, Deutschland. E-Mail: hallo@exord.de, Telefon: +49 151 28954261. Weitere Angaben stehen im Impressum. Einen Datenschutzbeauftragten haben wir nicht benannt; für alle Fragen zum Datenschutz erreichst du uns unter der genannten Adresse.

2. Überblick

Website, App, Datenbank, Gedächtnis und die Computer deiner Bots laufen auf unserem eigenen Server bei Hetzner in Nürnberg. Für einige Aufgaben setzen wir externe Dienste ein: Sprachmodelle, Websuche, E-Mail-Postfächer, Nachschlagen, Zahlung und Analyse. Unten steht für jeden Dienst, wer ihn betreibt, wo er sitzt und ob Daten die EU verlassen. Das tun sie in einigen Fällen: bei den Sprachmodellen nur, wenn du die US-Version wählst, bei der Websuche, bei Wikipedia und bei manchen Domain-Endungen (Abschnitte 7, 8 und 9). Wir verkaufen keine Daten und trainieren keine Modelle mit deinen Daten.

3. Hosting und Server-Protokolle

Die Website symbas.ai und die App app.symbas.ai, ebenso die bisherigen Adressen xodra.de und app.xodra.de, laufen auf einem Server der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Nürnberg. Hetzner verarbeitet die Daten in unserem Auftrag; mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Hetzner erstellt in unserem Auftrag auch Sicherungen des Servers.

Beim Aufruf überträgt dein Browser technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem). Der Webserver braucht sie, um die Seite verschlüsselt auszuliefern; er schreibt keine Zugriffsprotokolle. Die App protokolliert technische Fehler, um den Betrieb zu sichern, aber keine Inhalte deiner Chats. Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Die TLS-Zertifikate stammen von Let's Encrypt (Internet Security Research Group, USA). Dabei werden nur unsere Domainnamen übermittelt, keine Daten von Besuchern.

4. Domain und DNS

Die Domains symbas.ai und xodra.de und ihre DNS-Einträge verwalten wir bei der Hostinger International Ltd., 61 Lordou Vironos str., 6023 Larnaca, Zypern. Wenn eine dieser Adressen aufgelöst wird, fragt in der Regel der DNS-Resolver deines Internetanbieters bei den Nameservern von Hostinger an, nicht dein Gerät selbst. Hostinger betreibt nach eigenen Angaben auch Server außerhalb der EU und stützt Übermittlungen dorthin auf Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Konto, Anmeldung und gespeicherte Einstellungen

Für dein Konto speichern wir deine E-Mail-Adresse, dein Passwort nur als Hash (argon2; im Klartext kennen wir es nicht), den Namen, den du angibst, und deine Einstellungen, zum Beispiel das gewählte Modell. Die E-Mail-Adresse prüfen wir derzeit nicht per Bestätigungsmail. Rechtsgrundlage ist die Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO).

Nach der Anmeldung setzen wir ein Sitzungs-Cookie (xodra_session, 30 Tage gültig, beim Abmelden gelöscht). Es hält dich angemeldet und ist technisch notwendig. Die App merkt sich außerdem im Local Storage deines Browsers, ob du das helle oder dunkle Design gewählt hast. Beides ist für den von dir gewünschten Dienst unbedingt erforderlich und braucht keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Cookies setzen wir nicht, auch nicht für die Analyse.

6. Bots, Chats und Gedächtnis

Deine Bots, Chats, Routinen und verbundenen MCP-Server speichern wir in unserer Datenbank auf dem Server in Nürnberg. Was ein Bot sich merkt, verarbeitet Honcho, eine quelloffene Software, die wir selbst auf demselben Server betreiben; an den Hersteller fließen dabei keine Daten. Was ein Bot sich gemerkt hat, kannst du auf seiner Seite unter „Gedächtnis“ einsehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

In Gruppenchats schreibst du mit mehreren deiner Bots zugleich; andere Menschen sind dort nicht dabei. Jede Gruppe hat ein eigenes Gedächtnis, ebenfalls in Honcho auf unserem Server. Fragt ein Bot einen anderen deiner Bots um Rat, steht die Frage mit der Antwort im Chat des gefragten Bots; in dessen Gedächtnis geht sie nicht ein. Beides bleibt innerhalb deines Kontos.

Gib deinen Bots Daten Dritter bitte nur, wenn du das darfst. Für Inhalte, die du selbst eingibst, bist du verantwortlich.

7. Sprachmodelle

Damit ein Bot antworten und handeln kann, schicken wir den nötigen Kontext an einen Anbieter von Sprachmodellen. Welcher das ist, bestimmst du mit der Version, die du beim Registrieren wählst und in den Settings unter General änderst. Die Anfragen gehen von unserem Server aus. Deine IP-Adresse, E-Mail-Adresse und dein Name werden dabei nicht mitgeschickt, wohl aber alles, was im Chat und im Kontext des Bots steht: deine Nachrichten, der bisherige Chatverlauf, Auszüge aus dem Gedächtnis des Bots und Ergebnisse seiner Werkzeuge, etwa E-Mails oder Inhalte von Webseiten. Postfächer, Gedächtnis und Computer der Bots bleiben in beiden Versionen auf unserem Server in Nürnberg.

EU-Version (Standard): Alle Sprachmodelle nutzen wir über die Generative APIs der Scaleway SAS, 8 rue de la Ville l’Evêque, 75008 Paris, Frankreich, in einem Rechenzentrum in Paris: das Modell, das antwortet und handelt (derzeit DeepSeek V4.1 Flash), ein kleines Modell, das vorher entscheidet, wie der Bot vorgeht, und die Umwandlung von Sprachnachrichten in Text. Scaleway verarbeitet die Daten in unserem Auftrag nach Art. 28 DSGVO; eine Übermittlung in ein Drittland findet nicht statt. Nach eigenen Angaben speichert Scaleway Anfragen und Antworten nicht und nutzt sie nicht zum Training.

US-Version: Das Modell, das antwortet und handelt, ist Claude Haiku 5.5 der Anthropic, PBC, San Francisco, USA. Bevor ein Bot handelt, entscheidet Jev der TypeSafe AI, Inc., San Francisco, USA, wie er vorgeht; Jev bekommt die letzten Nachrichten des Chats, in Gruppenchats außerdem Namen, Projekt und Verbindungen der Bots, damit es wählen kann, welcher Bot antwortet. Beide verarbeiten die Daten in den USA. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in den Auftragsverarbeitungsverträgen der Anbieter. Nach eigenen Angaben nutzen beide diese Daten nicht zum Training. Sprachnachrichten wandelt auch in der US-Version Scaleway in Paris um. Behörden in den USA können unter Umständen auf Daten bei US-Anbietern zugreifen, ohne dass du davon erfährst und ohne dass dir dort dieselben Rechtsbehelfe zustehen wie in der EU.

Sprachnachrichten: Sprichst du eine Nachricht ein, nimmt die App sie in deinem Browser oder in der App auf und schickt die Aufnahme an unseren Server, der sie an Scaleway weitergibt. Der Text erscheint in deinem Entwurf und geht erst mit Senden an den Bot. Die Aufnahme speichern wir nicht, sie wird nach der Umwandlung verworfen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn ohne Modell kann der Bot den Dienst nicht erbringen. Bevor du deinem ersten Bot schreibst, zeigt dir die App, welche Anbieter deiner Version was bekommen, und fragt dich, ob du einverstanden bist; ohne dein Einverständnis schickt die App keine Nachrichten an die Modelle. Beim Wechsel der Version zeigt sie dir die neuen Anbieter, bevor du bestätigst.

Training eigener Modelle (freiwillig): Wir möchten eigene Modelle in der EU trainieren, die entscheiden, wie ein Bot vorgeht. Die App fragt dich einmal, ob wir dafür deine Daten nutzen dürfen; ändern kannst du das jederzeit in den Settings unter General. Nur wenn du zustimmst, speichern wir auf unserem Server in Nürnberg zu jeder Entscheidung die letzten Nachrichten, die das Entscheidungsmodell bekommen hat, seine Antworten, das Modell, die Werkzeuge, die der Bot danach genutzt hat, und wie der Lauf endete. E-Mail-Adressen, Telefonnummern, Konto- und Kartennummern, Links mit Zugangsdaten und Zeichenfolgen, die wie Schlüssel aussehen, ersetzen wir vorher durch Platzhalter; Namen und andere Angaben im Text können erhalten bleiben. Einzelne Ausschnitte können Personen aus unserem Team lesen, um die Daten zu prüfen. Wir nutzen die Daten nur für eigene Modelle, die wir in der EU trainieren und betreiben, geben sie nicht an Anbieter von Sprachmodellen weiter und verkaufen sie nicht. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Ohne sie funktioniert Symbas genauso. Ziehst du sie zurück, löschen wir sofort alles, was dazu gespeichert ist; was schon in ein trainiertes Modell eingeflossen ist, entfällt beim nächsten Training. Gespeicherte Daten löschen wir spätestens nach 12 Monaten.

8. Websuche

Wenn ein Bot im Web sucht, schicken wir den Suchbegriff, den der Bot formuliert hat, von unserem Server an die Brave Search API der Brave Software, Inc., San Francisco, USA. Brave erhält nur den Suchbegriff und die IP-Adresse unseres Servers, nicht deine. Enthält ein Suchbegriff personenbezogene Daten, etwa einen Namen, gelangen diese in die USA. Brave speichert Suchanfragen an die API bis zu 90 Tage für Abrechnung und Fehlersuche. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die Übermittlung gilt der Datenverarbeitungszusatz von Brave.

9. Schnelle Tools zum Nachschlagen

Für häufige Fragen haben die Bots eigene Werkzeuge, damit sie dafür weder suchen noch ihren Computer benutzen müssen. Rechnen, Einheiten, Zeitzonen, Feiertage, die Prüfung einer IBAN und die Suche nach Postleitzahlen laufen vollständig auf unserem Server; dabei verlassen keine Daten den Server. Die Postleitzahlen stammen aus dem Datensatz von GeoNames (CC BY 4.0), den wir auf dem Server ablegen. Für die übrigen Werkzeuge fragt unser Server bei öffentlichen Stellen an. Diese erhalten nur das, wonach der Bot fragt, und die IP-Adresse unseres Servers, nicht deine IP-Adresse, deinen Namen oder deine E-Mail-Adresse:

• Ob eine Domain frei ist: den Domainnamen an die Registry der jeweiligen Endung, etwa die DENIC eG in Frankfurt am Main für .de oder Verisign, Inc. (USA) für .com, und an die IANA (ICANN, USA) nur die Endung, um die zuständige Registry zu finden. Je nach Endung sitzt die Registry auch außerhalb der EU.
• Ob eine Website erreichbar ist: unser Server ruft die Website selbst auf, liest ihr Zertifikat und fragt die DNS-Einträge über den Resolver unseres Servers ab. Die Website sieht die IP-Adresse unseres Servers.
• USt-IdNr.: die Nummer an das Mehrwertsteuer-Informationsaustauschsystem (VIES) der Europäischen Kommission, Brüssel.
• Wechselkurse: die gewünschten Währungen und gegebenenfalls ein Datum an die Europäische Zentralbank, Frankfurt am Main.
• Wetter: die Koordinaten des Ortes, auf etwa einen Kilometer gerundet, an das Meteorologisk institutt (MET Norway), Oslo, Norwegen. Norwegen gehört zum Europäischen Wirtschaftsraum, dort gilt die DSGVO.
• Wikipedia und Wikidata: den Suchbegriff oder den Titel eines Artikels an die Wikimedia Foundation, Inc., San Francisco, USA. Wikimedia beantwortet Anfragen aus Europa meist über Server in Amsterdam, verarbeitet die Daten aber auch in den USA. Enthält ein Suchbegriff personenbezogene Daten, etwa den Namen einer Person, gelangen diese in die USA.

Diese Stellen verarbeiten die Anfragen in eigener Verantwortung nach ihren Datenschutzbestimmungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn ohne diese Anfragen könnte der Bot deine Frage nicht beantworten.

10. E-Mail-Postfächer der Bots

Jeder Bot bekommt eine eigene E-Mail-Adresse unter bots.xodra.de. Die Postfächer liegen in unserer Datenbank in Nürnberg: die Mails, die dein Bot sendet und empfängt, mit Absendern, Empfängern, Inhalten und Anhängen. Für Empfang und Versand nutzen wir die Sendinblue SAS (Brevo), 106 boulevard Haussmann, 75008 Paris, Frankreich, als Auftragsverarbeiter. Brevo nimmt eingehende Mails an, prüft sie auf Spam und gibt sie an unseren Server weiter, und verschickt die Mails deines Bots. Brevo verarbeitet die Daten nach eigenen Angaben in der EU, in Rechenzentren von OVH in Frankreich und Deutschland und von Google Cloud in Belgien. Löschst du einen Bot oder dein Konto, löschen wir sein Postfach mit allen Mails. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Computer der Bots

Jeder Bot kann einen eigenen Computer nutzen: einen abgeschotteten Container mit Browser auf unserem Server in Nürnberg. Dateien und Browserdaten dieses Computers bleiben auf dem Server. Websites, die der Bot besucht, sehen die IP-Adresse unseres Servers, nicht deine, und erhalten das, was der Bot dort eingibt. Für die Verarbeitung auf diesen Websites sind deren Betreiber verantwortlich. Die Live-Ansicht im Browser läuft über unseren Server. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

12. MCP-Server, die du verbindest

Du kannst einem Bot eigene MCP-Server hinzufügen. Der Bot schickt diesen Servern dann die Daten, die er für den jeweiligen Aufruf braucht. Welche Anbieter das sind und wo sie sitzen, bestimmst du; für deren Verarbeitung gelten deren Datenschutzbestimmungen.

13. Tresor

Im Tresor legst du Logins, API-Keys und Notizen ab, die deine Bots benutzen dürfen, und bestimmst für jeden Eintrag, welche Bots darauf zugreifen. Wir speichern die Werte verschlüsselt (XChaCha20-Poly1305) mit einem eigenen Schlüssel für dein Konto in unserer Datenbank in Nürnberg. Ein gespeicherter Wert lässt sich nicht mehr anzeigen, auch nicht von dir oder von uns; du kannst ihn nur überschreiben oder löschen. Weil ein Bot den Wert später für dich eingeben soll, kann unser Server ihn entschlüsseln. Die Werte gehen nicht an die Sprachmodelle, nicht in das Gedächtnis, nicht in Protokolle und nicht an PostHog. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

14. Zahlung über Stripe

Guthaben bezahlst du über Stripe Checkout. Vertragspartner ist die Stripe Payments Europe, Ltd., Dublin, Irland. Deine Zahlungsdaten gibst du direkt bei Stripe ein. Vollständige Kartendaten sehen wir nicht, nur Zahlungsstatus, Betrag und eine Kunden-Kennung. Wenn du zustimmst, speichert Stripe deine Karte für spätere Aufladungen; diese Zustimmung kannst du jederzeit widerrufen. Stripe verarbeitet Daten auch in den USA (Stripe, Inc.). Stripe ist nach dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO) und nutzt zusätzlich Standardvertragsklauseln. Für die Prüfung von Zahlungen und Betrug ist Stripe teils selbst verantwortlich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die gespeicherte Karte deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) und für die Aufbewahrung der Buchungsbelege unsere gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO).

15. Analyse mit PostHog, ohne Cookies

Um zu verstehen, wie Website und App genutzt werden, setzen wir PostHog Cloud EU ein. Anbieter ist die PostHog, Inc. (USA); die Daten liegen in einem Rechenzentrum in Frankfurt am Main. Das Skript wird von eu-assets.i.posthog.com geladen, Ereignisse gehen an eu.i.posthog.com. PostHog verarbeitet die Daten in unserem Auftrag.

Auf dieser Website erfassen wir Seitenaufrufe und Klicks, zum Beispiel auf „Registrieren“ und „Download“. PostHog speichert dabei nichts auf deinem Gerät: keine Cookies, kein Local Storage. Die Kennung lebt nur im Arbeitsspeicher des Tabs und ist beim Schließen weg. Personenprofile werden nicht angelegt.

In der App erfassen wir zusätzlich Seitenwechsel, Klicks, technische Fehler und Sitzungsaufzeichnungen. In den Aufzeichnungen sind alle Texte und Eingaben unkenntlich gemacht, deine Chats sind darin also nicht lesbar. Dazu kommt, ob du die App im Browser, auf dem Mac, unter Linux oder auf dem iPhone nutzt. Nach der Anmeldung verknüpfen wir diese Daten mit deiner Nutzer-ID, nicht mit deiner E-Mail-Adresse. Unser Server meldet außerdem einzelne Ereignisse wie Registrierung, Anmeldung, angelegte Bots, Käufe und abgeschlossene Läufe, mit IDs, Zahlen und Tarif, nie mit Nachrichteninhalten. Auch in der App setzt PostHog keine Cookies.

Rechtsgrundlage ist unser berechtigtes Interesse, Website und Dienst zu verbessern und Fehler zu finden (Art. 6 Abs. 1 lit. f DSGVO). Du kannst dem jederzeit widersprechen, zum Beispiel per E-Mail an uns, oder die Erfassung mit einem Tracking-Blocker verhindern. Da PostHog ein US-Unternehmen ist, ist ein Zugriff aus den USA nicht völlig ausgeschlossen; PostHog stützt Übermittlungen in die USA auf Standardvertragsklauseln.

16. Desktop-App

Die Desktop-App lädst du von symbas.ai herunter. Sie zeigt die Web-App unter app.symbas.ai in einem eigenen Fenster und speichert dort dein Sitzungs-Cookie. Es gelten dieselben Angaben wie für die App.

17. iOS-App

Die iOS-App lädst du aus dem App Store von Apple. Für den Download und die Verwaltung der App gelten die Bestimmungen von Apple. Die App zeigt die Web-App unter app.symbas.ai und speichert dort dein Sitzungs-Cookie; es gelten dieselben Angaben wie für die App. Zusätzlich gilt:

• Mitteilungen: Erlaubst du Mitteilungen, vergibt Apple an dein Gerät eine Kennung für den Apple Push Notification service (APNs). Wir speichern sie zusammen mit deiner Sitzung und schicken darüber Mitteilungen, wenn ein Bot geantwortet hat, etwas fragt oder eine Freigabe braucht. Die Mitteilung enthält den Namen des Bots und den Anfang seiner Nachricht und läuft über Server von Apple (Apple Inc., USA, und Apple Distribution International Ltd., Irland). Das Bild des Bots in der Mitteilung zeichnet die App auf deinem Gerät. Meldest du dich ab oder löschst dein Konto, löschen wir die Kennung. Mitteilungen schaltest du in den Einstellungen von iOS jederzeit aus.
• Live-Aktivität: Während ein Bot arbeitet, zeigt dein Sperrbildschirm, was er gerade tut. Dafür bekommt die Aktivität von Apple eine eigene Kennung, über die wir den Stand per APNs aktualisieren. Sie gilt nur, solange die Aktivität läuft.
• Widgets, Siri und Kurzbefehle: Damit Widgets und Siri deine Bots zeigen und Nachrichten an sie schicken können, legt die App Namen, Farben und die letzte Nachricht deiner Bots sowie dein Sitzungs-Cookie in einem geschützten Speicher auf deinem Gerät ab, den nur die App und ihre Erweiterungen lesen. Sprichst du mit Siri, verarbeitet Apple deine Spracheingabe nach seinen eigenen Bestimmungen.
• Mikrofon: Nur für Sprachnachrichten, und erst wenn du darauf tippst. iOS fragt dich vorher um Erlaubnis; du kannst sie in den Einstellungen von iOS jederzeit zurücknehmen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Mitteilungen deine Einwilligung in iOS (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG). In der iOS-App kann man kein Guthaben kaufen.

18. Kontaktformular

Schreibst du uns über das Kontaktformular auf symbas.ai, schickt dein Browser Name, E-Mail-Adresse, optional dein Unternehmen, das Thema und deine Nachricht an unseren Server in Deutschland (Hetzner, siehe oben). Der Server speichert die Anfrage nicht, sondern schickt sie als E-Mail an unser Team, über Brevo (Sendinblue SAS, Paris, Frankreich), mit dem wir auch die E-Mails der App versenden. Deine Adresse steht als Antwortadresse darin, damit wir dir antworten können. Gegen Missbrauch zählt der Server kurzzeitig im Arbeitsspeicher, wie viele Anfragen von einer IP-Adresse kommen; nach einer Stunde ist das vergessen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, etwa White-Label für dein Unternehmen, sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Die E-Mail mit deiner Anfrage löschen wir, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

19. Speicherdauer

Konto, Bots, Chats, Gedächtnis, Tresor, Postfächer und Computer speichern wir, solange dein Konto besteht. Dein Konto löschst du in der App unter Settings, General, „Konto löschen“, im Browser genauso wie auf dem iPhone, dem Mac und unter Linux: Dann löschen wir sofort dein Konto mit allen Bots, Chats und Gruppenchats, Routinen, dem Gedächtnis, dem Tresor, den Postfächern und Computern deiner Bots und den Kennungen deiner Geräte für Mitteilungen; offenes Guthaben verfällt. Du kannst uns auch schreiben, dann löschen wir es für dich. Gelöschte Daten können bis zum Ablauf der Server-Sicherungen noch in diesen enthalten sein. Sitzungen enden nach 30 Tagen oder beim Abmelden. Rechnungen und Buchungsbelege bewahren wir so lange auf, wie Handels- und Steuerrecht es verlangen, in der Regel bis zu 10 Jahre (§ 147 AO, § 257 HGB). Bei den externen Diensten gelten deren Fristen, soweit oben genannt. Daten für das Training eigener Modelle löschen wir, wenn du die Einwilligung zurückziehst, sonst nach 12 Monaten (Abschnitt 7).

20. Empfänger

Deine Daten erhalten nur die oben genannten Dienstleister, soweit sie sie für ihre Aufgabe brauchen, und Behörden, wenn wir gesetzlich dazu verpflichtet sind. In der Exord GmbH haben nur die Personen Zugriff, die den Dienst betreiben.

21. Deine Rechte

Du hast uns gegenüber das Recht auf

• Auskunft über deine Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO). Schreib uns dafür an hallo@exord.de.

Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein, Holstenstraße 98, 24103 Kiel.

22. Pflicht zur Bereitstellung

Für ein Konto brauchen wir E-Mail-Adresse und Passwort; ohne sie kannst du die App nicht nutzen. Darüber hinaus musst du uns keine Daten geben. Automatisierte Entscheidungen mit rechtlicher Wirkung für dich im Sinne von Art. 22 DSGVO treffen wir nicht.

23. Änderungen

Ändern sich der Dienst oder die eingesetzten Anbieter, passen wir diese Erklärung an. Es gilt die jeweils hier veröffentlichte Fassung.

Stand: 29. Oktober 2026