Datenschutzhinweise IdeenInbox

1. Verantwortlicher

Berno Thomas, Energieberater. Die App dient ausschließlich der Erfassung und Strukturierung eigener Notizen und Arbeitsideen. Es handelt sich um eine Einzelnutzer-Anwendung für eigene Daten, ohne Mandanten-, Kunden- oder sonstige Drittpersonendaten; zu Ausnahmen bei Terminen siehe Abschnitt 10.

Kontakt: berno.thomas@energieberater-brb.de

2. Zweck der Verarbeitung

Erfassung eigener Ideen per Text oder Spracheingabe sowie deren automatisierte Strukturierung und Klarstellung durch ein KI-Modell. Die Verarbeitung erfolgt ausschließlich zum Selbstgebrauch des Verantwortlichen.

Zusätzlich: ein Briefing-Gespräch mit Remote-Larry (Claude-Session), in dem über offene Ideen entschieden wird, sowie die Ablage ausgewählter Ideen als Notiz in der persönlichen Wissensbasis des Verantwortlichen (PKA) auf demselben Server.

3. Empfänger und Drittland-Transfer

3.1 Anthropic, PBC (USA) — KI-Strukturierung

• Übermittelt: vollständiger Idee-Text, ggf. Klärungsantworten.
• Strukturierung: täglich 19:00 UTC und sonntags 11:00 UTC über Claude-Pro-Subscription.
• Briefing: Idee-Texte, Klärungsfragen und -antworten sowie deine Gesprächsbeiträge werden im Briefing über Claude Remote Control an Anthropic übertragen. Der Gesprächsverlauf liegt im claude.ai-Konto bis zur Löschung dort. Rechtsgrundlage ist dieselbe.
• Morgenbriefing: Larry liest dabei auch deine Aufgaben-Dateien in der PKA (Aufgaben, Absprachen, Fälligkeiten; geschäftliche Gegenüber nur als Kürzel). Larry darf Websuchen ausführen und Seiten einer festen Vertrauensliste abrufen. Suchbegriffe enthalten keine personenbezogenen Daten (Regel in Larrys Anleitung).
• Termine und Todoist: Für das Morgenbriefing holt ein Programm auf dem Server alle 15 Minuten den privaten Google-Kalender und die datierten Todoist-Aufgaben über geheime, nur lesende Kalender-Links (Todoist nur über diesen Kalender-Feed, nicht über die Todoist-Schnittstelle). Gespeichert wird ein Zwischenstand für die nächsten 8 Tage (im Briefing gelesen werden heute und morgen, montags oder auf Wunsch die Woche): bei eigenen und angenommenen Terminen Titel, Zeit, Ort und eine gekürzte Beschreibung, bei noch nicht beantworteten Einladungen nur der Titel, bei Todoist Titel, Datum und Uhrzeit. Links, E-Mail-Adressen, Telefon- und Einwahldaten werden unkenntlich gemacht; Teilnehmerlisten, Kennungen und Links werden nie übernommen. Larry liest davon im Briefing nur das Nötige. Titel und Ort eigener und angenommener Termine gehen bei jedem Briefing an Anthropic, von offenen Einladungen nur der Titel. Beschreibungen gehen nur dann an Anthropic, wenn du im Briefing danach fragst. Es gibt keinen Filter für sensible Inhalte (etwa Gesundheitsbezug): Was im Titel oder Ort eines eigenen Termins steht, kann an Anthropic gehen. Der geschäftliche Kalender ist nicht angebunden.
• Google LLC (USA) und Doist (Todoist) sind für diese Daten keine neuen Empfänger: Die Daten liegen dort bereits, der Abruf übermittelt nur die Server-Adresse.
• Rechtsgrundlage: Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung mit Selbstbezug). Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt für die Pro-Subscription nicht vor; der Anthropic-DPA gilt nur für die kostenpflichtige Business-API.
• Risiko: US-Behörden können nach FISA 702 / CLOUD Act auf bei US-Anbietern gespeicherte Daten zugreifen. Ein Schutzniveau gleichwertig zur DSGVO ist nicht garantiert.
• Training: Im Anthropic-Account ist „Help improve Claude" deaktiviert. Inhalte fließen nicht in das Modelltraining.

3.2 Google LLC (USA) — Spracherkennung (optional)

• Nur aktiv bei Nutzung der Sprach-Eingabe auf Chrome-basierten Browsern.
• Übermittelt: Audio-Stream und Transkript an Google Cloud Speech.
• Rechtsgrundlage: Art. 49 Abs. 1 lit. a DSGVO (Einwilligung mit Selbstbezug).
• Vermeidbar durch Verzicht auf Spracheingabe; Text-Eingabe bleibt vollständig lokal bis zur Anthropic-Verarbeitung.

3.3 ntfy + Push-Transport (Eigenbetrieb auf Hetzner, Deutschland)

• Push-Benachrichtigungen mit Idee-Auszug (max. 80 Zeichen) bei Klärungsfragen.
• Weckruf zum Briefing (Mo–Fr 7:30 Uhr, deutsche Zeit) enthält nur Zahlen (Termine heute, Aufgaben heute, Absprachen, neue Ideen), keine Inhalte. Störungsmeldungen des Termin-Abrufs bestehen aus festen Texten. Uhrzeit-Erinnerungen enthalten nur die Anzahl und den Bereich (privat/geschäftlich), nie Inhalte. Der Hinweis „Remote-Larry läuft nicht“ enthält ebenfalls keine Inhalte.
• Self-hosted unter ntfy.bernothomas.coach in Hetzner Falkenstein/Nürnberg.
• Zustellung auf das Smartphone über die ntfy-App, die direkt mit dem eigenen Server verbunden ist — ohne Google Firebase Cloud Messaging. Nur falls Pushes stattdessen als Web-Push in einem Chrome-basierten Browser abonniert würden, liefe die Zustellung technisch über Google FCM (Google LLC, USA); das ist derzeit nicht eingerichtet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse Eigennutzung); für den Fall eines Browser-Web-Pushes über Google FCM Art. 49 Abs. 1 lit. a DSGVO.

3.4 Hetzner Online GmbH (Deutschland)

• Hosting der App und Speicherung der Datendateien in Falkenstein / Nürnberg.
• Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit Hetzner liegt vor.

3.5 GitHub, Inc. (USA) — Gegenstelle der PKA (derzeit ohne automatische Übertragung)

• Die PKA hat ein privates GitHub-Repository als Gegenstelle eingetragen. Es gibt aber derzeit keine automatische Übertragung: Ablagen bleiben auf dem Hetzner-Server (lokale Versionsgeschichte, stündlicher lokaler Commit).
• Nur ein manueller Abgleich würde Ablagen zu GitHub übertragen.
• Vor Einführung einer automatischen Übertragung werden diese Hinweise aktualisiert.

4. Speicherdauer

• Aktive Ideen: bis zur manuellen Löschung.
• Gelöschte Ideen: Soft-Delete, automatische Hard-Löschung nach 30 Tagen (täglich 02:00 UTC).
• PKA-Ablagen: unterliegen nicht dem 30-Tage-Löschzyklus der App; sie bleiben bis zur manuellen Löschung in der PKA.
• Zusammengelegte Ideen: Ein Text-Snapshot der Quell-Ideen (Text, Zeitstempel, Klärungsfrage/-antwort, ohne Klärungsverlauf) lebt in der Ziel-Idee weiter, auch nachdem die Quelle nach 30 Tagen endgültig gelöscht wurde.
• Termin-Zwischenstand: wird alle 15 Minuten überschrieben, enthält keine Historie und wird ab 24 Stunden ohne erfolgreichen Abruf nicht mehr ausgegeben und beim nächsten Abruflauf nach 48 Stunden geleert (läuft kein Abruf, etwa bei Serverausfall oder Konfigurationsfehler, bleibt die Datei bis dahin liegen); der ursprüngliche Kalender-Feed wird nie gespeichert. In Kalender oder Todoist gelöschte Einträge verschwinden mit dem nächsten Abruf; im Server-Backup können sie bis zu 7 Tage, in Briefing-Gesprächsprotokollen etwa 30 Tage und im claude.ai-Verlauf bis zur Löschung dort weiterleben.
• Briefing-Gesprächsprotokolle (Transkripte) auf dem Server: etwa 30 Tage (Aufräumen beim Start der Sitzung).
• Briefing-Protokoll (Audit-Log): 365 Tage; enthält nur IDs, Aktionen und Zeitpunkte, keine Inhalte.
• Sicherungs-Backup von inbox.json: entsteht nur an Tagen mit Briefing-Änderungen, vor der ersten Änderung des Tages; Aufbewahrung 7 Tage. Es enthält die vollen Ideen inklusive Papierkorb — ein gelöschter Inhalt kann daher bis zu 7 Tage im Backup weiterleben.
• Backups: Hetzner Cloud Backup (täglich automatisch, die letzten 7 Backups rollierend, danach automatische Überschreibung).
• Account-Daten (Email, Passwort-Hash, Session, Einwilligungs-Timestamp): bis zur Account-Löschung.
• Lokaler Browser-Speicher (IndexedDB/Cache): bis zur Synchronisation bzw. bis zum Logout oder Browser-Cache-Löschen (Details: §7).

5. Verschlüsselung

• Transport: TLS 1.3 (Caddy + Let's Encrypt) für alle externen Verbindungen.
• Passwörter: bcrypt-Hash (Cost 12).
• At-Rest: Die Server-Disk auf Hetzner ist derzeit nicht verschlüsselt. Bei physischem Datenträger-Zugriff sind die Datendateien im Klartext lesbar.

6. Cookies

Die App verwendet ausschließlich ein technisch notwendiges Session-Cookie (HttpOnly, Secure, SameSite=Strict, signiert). Kein Tracking, keine Analytics, keine Drittanbieter-Cookies.

7. Lokaler Browser-Speicher (Offline-Fähigkeit)

Damit du Ideen auch ohne Internetverbindung erfassen und lesen kannst, speichert die App Inhalte lokal in deinem Browser:

• IndexedDB (Offline-Queue): Ideen, die du offline erfasst hast, sowie ausstehende Statusänderungen und Klärungsantworten werden in der IndexedDB deines Browsers zwischengespeichert, bis sie beim nächsten Verbindungsaufbau automatisch mit dem Server synchronisiert werden. Die Daten verlassen deinen Browser erst beim Sync-Vorgang.
• Cache Storage (Lesezugriff offline): Die zuletzt geladene Inbox-Liste wird im Browser-Cache gespeichert, damit du bestehende Ideen auch ohne Verbindung lesen kannst. Es handelt sich ausschließlich um bereits auf dem Server gespeicherte Daten — kein separater Upload.
• Speicherdauer: Die IndexedDB-Queue wird nach erfolgreicher Synchronisation automatisch geleert. Cache Storage wird bei jedem App-Update überschrieben sowie beim Logout gelöscht. Manuell löschbar über den Logout-Button oder die Browser-Einstellungen (Websitedaten löschen für inbox.bernothomas.coach).
• Kein Drittanbieter-Zugriff: Lokale Speicher (IndexedDB, Cache Storage) verlassen deinen Browser nicht und sind für Dritte nicht zugänglich. Sie dienen ausschließlich der Offline-Funktionalität.
• Hinweis bei geteiltem Gerät: Auf einem geteilten Gerät könnten andere Browser-Benutzer:innen den lokalen Offline-Speicher einsehen — daher Logout immer aktiv durchführen.

8. Betroffenenrechte (DSGVO Art. 15–22)

• Auskunft (Art. 15): vollständige Idee-Liste über die App einsehbar; Rohdaten auf Anfrage.
• Berichtigung (Art. 16): über Edit-Funktion in der App.
• Löschung (Art. 17): pro Idee per Trash-Button; Account-Löschung auf Anfrage. Das Löschen in der App entfernt keine PKA-Ablagen und keine Gesprächsprotokolle — diese separat löschen (PKA-Datei bzw. claude.ai-Verlauf). Termine löschst du im Kalender bzw. in Todoist; der Zwischenstand folgt binnen etwa 30 Minuten.
• Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20): auf Anfrage als JSON-Export.
• Widerspruch (Art. 21) und Widerruf der Einwilligung (Art. 7 Abs. 3): jederzeit ohne Angabe von Gründen, ohne Nachteile, mit Wirkung für die Zukunft.

Beschwerderecht bei der zuständigen Aufsichtsbehörde: Die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg).

9. Widerruf der Einwilligung

Die Einwilligung zur Übermittlung an Anthropic (USA) kann jederzeit widerrufen werden:

• Nutzung der App einstellen bzw. keine Briefings mehr führen — keine neuen Ideen werden übermittelt.
• Account-Löschung auf Anfrage — bestehende Daten werden entfernt.
• Bereits an Anthropic übermittelte Inhalte können nicht rückwirkend zurückgeholt werden.

10. Keine Drittdaten

Diese App ist ausschließlich für eigene Notizen vorgesehen. Klarnamen, Adressen, Telefonnummern, E-Mails, Geschäftsdaten oder sonstige personenbezogene Daten Dritter (insbesondere Mandanten- oder Kundendaten) dürfen nicht erfasst werden. Die Einwilligung deckt ausschließlich Daten mit Selbstbezug.

Ausnahme Termine: Kalendereinladungen und Todoist-Aufgaben können Namen oder Texte anderer Personen enthalten. Teilnehmerlisten werden nicht übernommen, Kontaktdaten unkenntlich gemacht; was verbleibt (zum Beispiel ein Name im Termintitel), kann im Briefing an Anthropic gehen. Die Einwilligung deckt nur eigene Daten — deshalb Termintitel möglichst ohne Nachnamen und ohne Kundendaten führen.