Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

GuruSense UG (haftungsbeschränkt)
Vertreten durch: Daniel Defiebre
Eichelsheimer Straße 5
68163 Mannheim
Deutschland

E-Mail: daniel.defiebre@gurusense.de

2. Übersicht der Verarbeitungstätigkeiten und Rechtsgrundlagen

Wir verarbeiten Ihre personenbezogenen Daten für folgende Zwecke auf folgenden Rechtsgrundlagen:

• Bereitstellung der App und Benutzerkonto: Verarbeitung Ihrer Registrierungsdaten (E-Mail-Adresse, Benutzer-ID) zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• KI-gestützte Dokumentenanalyse und Chat: Analyse Ihrer hochgeladenen Dokumente und Beantwortung Ihrer Fragen zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Spracheingabe (Voice-to-Text): Umwandlung Ihrer Spracheingaben in Text über Google Cloud Speech-to-Text zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Verarbeitung sensibler Daten (Gesundheits- und Sozialdaten): Ausschließlich auf Basis Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
• Analyse des Nutzungsverhaltens (Amplitude, Firebase): Auf Basis unseres berechtigten Interesses an der Verbesserung und Fehlerbehebung der App (Art. 6 Abs. 1 lit. f DSGVO). Unser berechtigtes Interesse liegt in der technischen Optimierung und Stabilität des Dienstes.
• Absturzberichte (Firebase Crashlytics): Auf Basis unseres berechtigten Interesses an der Erkennung und Behebung technischer Fehler (Art. 6 Abs. 1 lit. f DSGVO).

3. Datenspeicherung und Hosting (Serverstandort Deutschland)

Der Schutz Ihrer sensiblen Daten hat für uns höchste Priorität. Wir nutzen für den Betrieb der App die Infrastruktur der Google Cloud Platform sowie Google Firebase.

Standortbindung (Deutschland): Wir haben unsere Systeme technisch so konfiguriert, dass die dauerhafte Speicherung Ihrer personenbezogenen Daten (Datenbanken, Dokumente, Account-Daten) ausschließlich in Rechenzentren in Deutschland erfolgt.

Verantwortlicher Anbieter der Cloud-Dienste ist Google Cloud EMEA Ltd. (Irland). Es besteht ein Vertrag zur Auftragsverarbeitung (Cloud Data Processing Addendum) gemäß Art. 28 DSGVO, der den Schutz Ihrer Daten nach europäischen Standards sicherstellt.

4. KI-Verarbeitung (Google Vertex AI)

Zur inhaltlichen Analyse Ihrer Dokumente und Beantwortung von Fragen nutzen wir fortschrittliche KI-Modelle (Google Gemini), bereitgestellt über Google Vertex AI.

4.1. Datenverarbeitung und Drittlandtransfer

Für die KI-gestützte Analyse Ihrer Dokumente nutzen wir die globalen Endpunkte von Google Vertex AI. Dies bedeutet, dass Ihre Texte und Bilder zur Analyse an Google-Server übermittelt werden, die sich auch außerhalb der Europäischen Union befinden können (z.B. in den USA).

• Ihre Daten werden zur Verarbeitung an Google Vertex AI übermittelt, wobei die Verarbeitung auf global verteilten Google-Servern stattfinden kann.
• Die generierten Antworten werden von dort direkt zurück an Ihr Gerät übertragen.
• Es handelt sich um eine flüchtige Verarbeitung: Google speichert Ihre Inhalte nicht dauerhaft auf den KI-Servern und legt keine Kopien in Datenbanken oder Dateispeichern an. Zur Beschleunigung und Kostenoptimierung wiederkehrender Anfragen kann Google Teile des übermittelten Anfrage-Kontexts für maximal 24 Stunden in einem reinen Arbeitsspeicher-Cache vorhalten. Dieser Cache ist ausschließlich unserem Google-Cloud-Projekt zugeordnet und für andere Kunden nicht zugänglich, wird nicht dauerhaft gespeichert („at rest"), liegt im Rechenzentrum der jeweiligen Verarbeitungsregion und wird spätestens nach 24 Stunden automatisch gelöscht. Am vertraglichen Ausschluss von KI-Training und Weiterverarbeitung ändert sich dadurch nichts.
• Google verwendet Ihre Daten bei Nutzung der Enterprise-API vertragsgemäß nicht zum Training der KI-Modelle. Ihre Daten bleiben vertraulich.

Rechtsgrundlage für den Drittlandtransfer: Die Übermittlung personenbezogener Daten in die USA erfolgt auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission gemäß dem EU-US Data Privacy Framework (DPF) nach Art. 45 DSGVO. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Ergänzend greifen die im Google Cloud Data Processing Addendum enthaltenen EU-Standardvertragsklauseln (Standard Contractual Clauses, SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO als zusätzliche Schutzmaßnahme.

4.2. Spracheingabe (Google Speech-to-Text)

Wenn Sie die Spracheingabe-Funktion der App nutzen, wird Ihre Audiodaten zur Umwandlung in Text an Google Cloud Speech-to-Text übermittelt. Die Verarbeitung erfolgt auf globalen Google-Servern und kann auch außerhalb der EU stattfinden (z.B. in den USA).

• Die Audiodaten werden ausschließlich für die Dauer der Spracherkennung verarbeitet und anschließend nicht dauerhaft bei Google gespeichert.
• Google verwendet Ihre Sprachdaten vertragsgemäß nicht zur Verbesserung seiner Sprachmodelle.
• Der daraus generierte Text wird anschließend wie eine normale Chat-Eingabe behandelt und kann sensible Daten enthalten (siehe Abschnitt 4.4).

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für den Drittlandtransfer gelten dieselben Garantien wie in Abschnitt 4.1 (EU-US Data Privacy Framework + SCCs).

4.3. Umgang mit sensiblen Daten (Art. 9 DSGVO)

Ihre Eingaben – ob durch hochgeladene Dokumente, Chat-Nachrichten oder Spracheingaben – können sensible Daten enthalten (Gesundheitsdaten, Sozialdaten, juristische Daten). Wir verarbeiten solche Daten ausschließlich auf Basis Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a DSGVO), die wir vor der Nutzung in der App abfragen.

Hinweis zum Sozialdatenschutz: Daten aus Bescheiden von Jobcentern und Sozialleistungsträgern unterliegen dem besonderen Schutz des Sozialgeheimnisses gemäß § 35 SGB I und den Vorschriften des SGB X. Wir behandeln diese Daten mit besonderer Sorgfalt und verarbeiten sie ausschließlich im Rahmen der von Ihnen erteilten Einwilligung zum Zweck der Dokumentenanalyse und Chat-Beratung.

4.4. Automatisierte Entscheidungsfindung und KI-Logik (Art. 13 Abs. 2 lit. f DSGVO)

Unsere App setzt KI-Modelle ein, um Ihre Dokumente zu analysieren und Ihnen Handlungsempfehlungen (z.B. Entwürfe für Widersprüche) bereitzustellen. Die KI analysiert dabei den Text Ihrer hochgeladenen Dokumente, gleicht die Inhalte mit relevanten Rechtsgrundlagen ab und generiert auf dieser Basis Textvorschläge.

Wichtiger Hinweis: Die KI-generierten Texte und Analysen stellen keine Rechtsberatung dar, sondern dienen als Orientierungshilfe. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO statt – die endgültige Entscheidung über die Verwendung der generierten Inhalte liegt stets bei Ihnen. Wir empfehlen, die Ergebnisse im Zweifelsfall durch eine qualifizierte Rechtsberatung überprüfen zu lassen.

5. Speicherdauer und Löschung

Wir speichern Ihre Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Hochgeladene Dokumente: Automatische Löschung nach 3 Monaten nach dem Hochladen.
• Chat-Verläufe: Automatische Löschung nach 12 Monaten. Sie können Ihre Chat-Verläufe jederzeit auch manuell in der App löschen.
• Benutzerkonto und Account-Daten: Löschung bei Kontolöschung durch Sie oder automatisch nach 24 Monaten Inaktivität.
• Analytics-Daten (Amplitude): Pseudonymisierte Nutzungsdaten werden nach 12 Monaten gelöscht.
• Absturzberichte (Firebase Crashlytics): Automatische Löschung nach 90 Tagen.
• Flüchtiger KI-Kontext-Cache bei Google (Vertex AI): Automatische Löschung spätestens nach 24 Stunden; keine dauerhafte Speicherung, keine Ablage „at rest".

6. Analyse des Nutzungsverhaltens (Tracking)

Um die App technisch zu verbessern und Fehler zu beheben, nutzen wir Analysedienste. Hierbei unterscheiden wir strikt zwischen Ihren Inhalten (Dokumente/Chat) und technischen Metadaten (Klicks/Abstürze).

6.1. Amplitude Analytics (Serverstandort EU)

Wir nutzen den Dienst Amplitude zur Analyse der Nutzerströme (z.B. „Welche Funktionen werden häufig genutzt?"). Wir verwenden hierfür die EU Data Residency Konfiguration. Die Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

• WICHTIG: Wir übermitteln an Amplitude keine Inhalte Ihrer Dokumente, keine Chat-Texte und keine sensiblen Personendaten. Es werden lediglich technische Ereignisse (Events) und pseudonyme IDs übertragen.
• Speicherung in der EU: Wir haben Amplitude so konfiguriert, dass die erfassten Nutzungsdaten auf Servern in der Europäischen Union (Frankfurt am Main) gespeichert werden. Eine Speicherung dieser Daten in den USA findet somit nicht statt.
• Widerspruchsrecht: Sie können der Erhebung von Nutzungsdaten durch Amplitude jederzeit widersprechen, indem Sie uns eine Nachricht an daniel.defiebre@gurusense.de senden. Wir werden die Erfassung dann für Ihr Konto deaktivieren.

6.2. Google Firebase (Crashlytics & Analytics)

Wir nutzen Google Firebase für Absturzberichte und technische Leistungsdaten. Die Daten werden innerhalb der Google Cloud Infrastruktur (siehe Punkt 3) verarbeitet. IP-Adressen werden standardmäßig anonymisiert. Die Rechtsgrundlage ist unser berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO.

7. Auftragsverarbeiter und Empfänger

Zur Erbringung unserer Dienste setzen wir folgende Auftragsverarbeiter ein, mit denen jeweils ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen wurde:

• Google Cloud / Google LLC (USA, zertifiziert unter dem EU-US Data Privacy Framework) – Cloud-Hosting, Firebase, Vertex AI, Speech-to-Text. Datenspeicherung in Deutschland (Hosting/Firebase), KI-Verarbeitung und Spracherkennung global (Vertex AI/Speech-to-Text), inklusive eines flüchtigen Kontext-Caches von maximal 24 Stunden in der jeweiligen Verarbeitungsregion.
• Amplitude Inc. (EU-Rechenzentrum Frankfurt) – Nutzungsanalyse. Ausschließlich pseudonymisierte technische Daten, keine Inhalte.

Eine darüber hinausgehende Weitergabe Ihrer personenbezogenen Daten an Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet.

8. Datenübermittlung in Drittländer

Die dauerhafte Speicherung Ihrer personenbezogenen Daten (Datenbanken, Dokumente, Account-Daten) erfolgt ausschließlich in Deutschland. Für die KI-gestützte Analyse über Google Vertex AI kann jedoch eine Übermittlung in die USA oder andere Drittländer stattfinden (siehe Abschnitt 4.1).

Für diese Übermittlung stützen wir uns auf folgende Garantien:

• EU-US Data Privacy Framework (DPF): Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, für das ein Angemessenheitsbeschluss der EU-Kommission gemäß Art. 45 DSGVO besteht.
• EU-Standardvertragsklauseln (SCCs): Ergänzend sind im Google Cloud Data Processing Addendum EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO enthalten, die als zusätzliche Schutzmaßnahme dienen.

9. Ihre Rechte als betroffene Person

Sie haben gemäß DSGVO folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Recht auf Auskunft (Art. 15 DSGVO): Sie können jederzeit Auskunft darüber verlangen, welche personenbezogenen Daten wir über Sie gespeichert haben.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Sie können unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung Ihrer Daten verlangen.
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Sie haben das Recht, Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder die Übermittlung an einen anderen Verantwortlichen zu verlangen.
• Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Basis unseres berechtigten Interesses verarbeiten (z.B. Analytics), können Sie jederzeit Widerspruch einlegen. Wir werden die Verarbeitung dann einstellen, sofern keine zwingenden schutzwürdigen Gründe überwiegen.
• Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Da die Verarbeitung Ihrer sensiblen Daten auf Ihrer Einwilligung beruht, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Dies können Sie durch Löschen der Daten in der App oder durch eine Nachricht an daniel.defiebre@gurusense.de veranlassen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt hiervon unberührt.

10. Beschwerderecht bei der Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, eine Beschwerde bei einer Datenschutz-Aufsichtsbehörde einzulegen (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Lautenschlagerstraße 20
70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

11. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die aktuelle Fassung finden Sie stets in der App und auf unserer Website.

Stand: 01.08.2026