Datenschutzerklärung

Was wir erheben

• E-Mail-Adresse: dient dazu, dein Konto zu identifizieren und dir Check-in-Erinnerungen sowie Benachrichtigungen zur Tresorzustellung zu senden.
• Name (optional): wird deinen Empfängern angezeigt, wenn sie Tresorinhalte erhalten.
• Telefonnummer (optional, Guardian): Wenn du eine Telefonnummer für Check-in-Benachrichtigungen per SMS hinzufügst, speichern wir sie, um dir Benachrichtigungen und Bestätigungscodes zu senden. Deine Telefonnummer wird an Twilio (unseren SMS-Anbieter) übermittelt, damit diese Nachrichten zugestellt werden können.
• Telegram-Chat-ID (optional, Guardian): Wenn du Telegram für Check-in-Benachrichtigungen verbindest, speichern wir deine Telegram-Chat-ID, damit wir dir Benachrichtigungen senden können.
• Vermögensübersicht: Namen, Anbieter, Werte, Daten, Notizen und Zugangsnotizen, die du zu dem einträgst, was du besitzt und schuldest. Namen, Anbieter, Werte, Notizen und Zugangsnotizen werden verschlüsselt gespeichert. Eine optionale Datei, zum Beispiel ein Kontoauszug, liegt im selben verschlüsselten Tresor wie deine anderen Dateien. Wir lesen diese Dateien nicht für dich aus.
• Tresorinhalte: deine Notizen und Dateien, verschlüsselt gespeichert. Anders als beim Sealed Vault verwahrt Notenz den Schlüssel, der für die automatische Zustellung deines Tresors nötig ist, sodass wir sie technisch lesen könnten. Unsere Server entschlüsseln normale Einträge außerdem, um sie zuzustellen, und wenn du einen Vertrag hochlädst oder Notenz einen Brief oder ein Dokument lesen lässt, wird dessen Inhalt zur KI-Verarbeitung an Anthropic (USA) gesendet. Sealed-Vault- und Shared-Key-Einträge können wir nicht lesen. Siehe unsere Sicherheitsseite für Details.
• Angaben zu Empfängern und Vertrauenspersonen: Namen, E-Mail-Adressen und (optional) Telefonnummern, die du für deine Empfänger und Vertrauenspersonen hinzufügst. Wir speichern sie, damit wir deinen Tresor zustellen und diesen Personen Benachrichtigungen senden können.
• Check-in-Einstellungen: deine Einstellungen für Check-in-Intervall und Kulanzfrist.
• QR-Tresor-PIN (Guardian): Wenn du einen QR-Tresor erstellst, speichern wir einen bcrypt-Hash deiner 6-stelligen PIN. Die PIN selbst speichern wir nie in lesbarer Form.
• Registrierungsquelle: Wenn du ein Konto erstellst, speichern wir ein Kürzel dafür, woher du kommst (die Website, die auf uns verlinkt hat, oder der Kampagnen-Tag bzw. die Partner-ID im Link, den du genutzt hast). So sehen wir, welche Artikel und Partner Menschen zu Notenz bringen. Wir lesen es aus deiner Registrierungsanfrage. Wenn du bei einem Partnerlink Cookies akzeptiert hast, behalten wir die Partner-ID zusätzlich bis zu 24 Stunden, verknüpft mit deinem Sitzungs-Cookie, damit sie bei der Registrierung noch vorliegt. Deine IP-Adresse speichern wir dazu nicht. Von der verweisenden Seite speichern wir nur den Domainnamen. Rechtsgrundlage: unser berechtigtes Interesse, zu verstehen, welche Kanäle Menschen erreichen (Art. 6 Abs. 1 lit. f DSGVO); für die Partner-ID, die wir nach deiner Cookie-Zustimmung merken, deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
• IP-Adresse und grundlegende Anfrageprotokolle: werden kurz zur Gewährleistung der Sicherheit und zur Fehlersuche aufbewahrt. Eine Nutzung für Tracking oder Werbung findet nicht statt.

Was wir NICHT erheben

• ✗ Wir verwenden keine Werbe-Tracker oder Pixel
• ✗ Wir geben deine Daten nicht an externe Werbetreibende weiter
• ✗ Wir können den Inhalt von Sealed-Vault- und Shared-Key-Einträgen nicht lesen
• ✗ Wir erstellen keine Profile zu Marketingzwecken

Drittanbieter, die wir einsetzen

Wir setzen eine kleine Zahl spezialisierter Dienstleister ein, um Notenz zu betreiben. Jeder erhält nur die Daten, die er für seine Aufgabe mindestens benötigt.

• Resend: E-Mail-Versand. Deine E-Mail-Adresse wird an Resend weitergegeben, damit wir dir Benachrichtigungen senden können.
• Lemon Squeezy: Zahlungsabwicklung. Lemon Squeezy übernimmt die Abrechnung; deine Kartendaten speichern wir nicht.
• Supabase: Datenbank-Hosting für deine Konto- und Tresordaten sowie verschlüsselte Dateispeicherung für Dateianhänge im Tresor. Dateien werden direkt nach dem Upload verschlüsselt und die temporäre Upload-Kopie wird gelöscht.
• DigitalOcean: Anwendungs-Hosting (die Server, auf denen Notenz läuft).
• Telegram: Wenn du dein Telegram-Konto für Check-in-Benachrichtigungen verbindest (Guardian), wird deine Telegram-Chat-ID gespeichert, damit wir dir Benachrichtigungen senden können.
• Twilio: Wenn du eine Telefonnummer für Check-in-Benachrichtigungen per SMS bestätigst (Guardian), werden deine Telefonnummer und der Inhalt dieser Nachrichten an Twilio weitergegeben, damit sie versendet werden können. Twilio hat seinen Sitz in den USA. Siehe den Abschnitt Internationale Datenübermittlungen weiter unten.
• Sentry: Fehlerverfolgung, damit wir Fehler finden und beheben können. Fehlerberichte werden vor dem Versand von Tresorinhalten und sensiblen Feldern bereinigt.
• Umami: Website-Analyse, geladen von cloud.umami.is. Wir erfassen Seitenaufrufe und Ereignisse, zum Beispiel Besuche der Startseite (Landing), das Absenden des Registrierungsformulars (Signup Started), das Erstellen eines Kontos (Signup Completed) und bestätigte Zahlungen, die auf der Abrechnungsseite angezeigt werden (Payment Completed). Das Skript kann die Seitenadresse einschließlich der URL-Parameter, die Sprache der Seite und Kampagnenangaben (Quelle, Medium, Kampagne, Inhalt) erhalten. Wenn kein verwendbares utm_source-Tag vorhanden ist, kann die Quellenangabe aus dem Hostnamen der verweisenden Website abgeleitet werden. Wir fügen deine E-Mail-Adresse, deinen Namen und deine Konto-ID aus deinem Konto nicht zu diesen Ereignisdaten hinzu. Personenbezogene Daten in einer Seitenadresse oder Kampagnenangabe können trotzdem übertragen werden. Das Skript wird auf diesen Seiten geladen, egal ob du Partner-Cookies akzeptierst, auch wenn du dich noch nicht entschieden hast. Wenn du Partner-Cookies ablehnst, schaltet das diese Analyse nicht aus. Partner-Cookies sind eine eigene Auswahl und werden nur gesetzt, wenn du sie akzeptierst.
• Anthropic: Vertragsanalyse. Wenn du Contract Guardian nutzt, wird die von dir hochgeladene Vertragsdatei an Anthropic gesendet, um die Zusammenfassung und die Termine zu erstellen. Anthropic hat seinen Sitz in den USA. Siehe den Abschnitt Internationale Datenübermittlungen weiter unten.

Internationale Datenübermittlungen

Wo deine Daten gehostet werden: Die Datenbank und hochgeladene Dateien werden bei Supabase in Frankfurt (Deutschland, AWS-Region eu-central-1) gespeichert. Die Anwendung läuft auf DigitalOcean. Die KI-Verarbeitung erfolgt durch Anthropic in den USA. Einige Unterauftragsverarbeiter haben ihren Sitz in den USA:

• Resend: Deine E-Mail-Adresse wird weitergegeben, um transaktionale Benachrichtigungen zu senden. Resend stellt Standardvertragsklauseln (SCCs) als Übermittlungsmechanismus nach Art. 46 Abs. 2 lit. c DSGVO bereit.
• Lemon Squeezy: Deine E-Mail-Adresse wird für die Abrechnung weitergegeben. Die Zahlungsdaten, die du an der Kasse eingibst, verarbeitet Lemon Squeezy, ein US-Unternehmen, und sie können in die USA übermittelt werden. Lemon Squeezy stellt Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bereit.
• Twilio: Wenn du SMS-Benachrichtigungen aktivierst, werden deine Telefonnummer und der Nachrichteninhalt weitergegeben. Twilio nimmt am EU-U.S. Data Privacy Framework teil und stellt Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bereit.
• Sentry: Anonymisierte Fehlerberichte werden gesendet, damit wir Probleme beheben können. Fehlerdaten werden vor der Übermittlung von Tresorinhalten und personenbezogenen Kennungen bereinigt. Sentry nimmt am EU-U.S. Data Privacy Framework teil.
• Anthropic: Deine hochgeladene Vertragsdatei wird zur Analyse in die USA übermittelt. Wir veröffentlichen für diesen Auftragsverarbeiter bislang weder einen Übermittlungsmechanismus noch eine Speicherfrist.

Resend, Lemon Squeezy und Twilio stützen sich auf Standardvertragsklauseln nach Art. 46 DSGVO. Sentry stützt sich auf das EU-U.S. Data Privacy Framework. Anthropic verfügt über keines von beidem; siehe oben.

Rechtsgrundlagen der Verarbeitung

Wir verarbeiten deine personenbezogenen Daten auf den folgenden Rechtsgrundlagen nach Art. 6 DSGVO:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Verarbeitung deiner E-Mail-Adresse, deiner Tresorinhalte, deiner Check-in-Einstellungen und deiner Benachrichtigungskanäle (Telefon, Telegram) ist erforderlich, um den Notenz-Dienst bereitzustellen, für den du dich registriert hast. Dazu gehört eine kurze Onboarding-E-Mail-Reihe (an Tag 1, 2 und 4 nach der Registrierung), die dir beim Einrichten deines Tresors helfen soll. Du kannst diese E-Mails jederzeit über den Link in jeder E-Mail abbestellen.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Wir speichern minimale Audit-Protokolle und IP-Logs, um die Sicherheit zu gewährleisten und Fehler zu beheben. Dasselbe Interesse deckt das Kürzel zur Registrierungsquelle ab (siehe Registrierungsquelle oben). Wir sind der Ansicht, dass dieses Interesse verhältnismäßig ist und deine Rechte nicht überwiegt.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die Partner-ID, die wir nach deiner Cookie-Zustimmung merken, beruht auf deiner Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Wir bewahren Abrechnungsunterlagen bis zu 7 Jahre auf, um die deutschen steuer- und handelsrechtlichen Pflichten zu erfüllen.

Partnerprogramm

Wenn du dich über die Einladung eines Notenz-Partners (zum Beispiel einer Finanzberatung oder einer Firma für Nachlassplanung) registriert hast, ist dein Konto mit dieser Partnerorganisation verknüpft. Die Partnerorganisation kann deine E-Mail-Adresse, deinen Kontostatus und das Datum deines letzten Check-ins sehen. Deine Tresorinhalte, Empfänger und andere personenbezogene Daten kann sie nicht einsehen. Alle Daten, die wir über dich gespeichert haben, kannst du jederzeit herunterladen unter Einstellungen > Meine Daten herunterladen.

Wie lange wir deine Daten aufbewahren

Deine Daten werden aufbewahrt, solange dein Konto aktiv ist. Die folgende Tabelle deckt jede Datenart ab:

• Notizen und Dateien im Tresor : Bis du sie löschst, oder 30 Tage nach der Tresorausführung, oder 30 Tage nach der Sperrung des Abonnements, je nachdem, was zuerst eintritt.
• Dateikopien von Zwei-Personen-Geheimnissen : Wenn ein Dateieintrag im Tresor als Zwei-Personen-Geheimnis zugestellt wird, wird vorübergehend eine verschlüsselte Kopie gespeichert, damit zwei beliebige der von dir ausgewählten Empfänger sich abstimmen und die Datei herunterladen können. Diese Kopie wird bis zu 90 Tagen ab der Tresorausführung aufbewahrt und danach endgültig gelöscht. Die Kopie wird im Ruhezustand verschlüsselt gespeichert, mit einem Schlüssel, den Notenz betreibt, sodass Notenz sie lesen kann, um sie zuzustellen.
• Kontodaten (E-Mail-Adresse, Einstellungen) : Bis du dein Konto löschst oder 30 Tage nach der Tresorausführung.
• Audit-Protokoll der Ausführung : Wird unbefristet aufbewahrt. Es handelt sich nur um einen minimalen Eintrag mit deiner E-Mail-Adresse, dem Ausführungsdatum, dem Löschdatum und der Anzahl der Einträge. Tresorinhalte sind nicht enthalten.
• Aktivitätsprotokoll (Audit-Ereignisse) : Wird aufbewahrt, solange dein Konto aktiv ist, und mit deinem Konto gelöscht.
• Abrechnungsunterlagen : Werden bis zu 7 Jahre aufbewahrt, um finanzrechtliche Vorschriften einzuhalten.

Wenn du dein Konto manuell löschst, werden alle Tresorinhalte, Empfänger und personenbezogenen Daten sofort endgültig gelöscht.

Deine Rechte (DSGVO)

Wenn du dich in der EU oder im Vereinigten Königreich befindest, hast du die folgenden Rechte in Bezug auf deine personenbezogenen Daten:

• Auskunft: Fordere eine Kopie aller Daten an, die wir über dich gespeichert haben. Nutze dafür die Funktion Meine Daten herunterladen in den Einstellungen.
• Berichtigung: Korrigiere unrichtige Daten in deinen Kontoeinstellungen.
• Löschung: Lösche dein Konto und alle zugehörigen Daten in den Einstellungen. Die Kontolöschung erfolgt sofort. Löschanträge, die du per E-Mail stellst, bearbeiten wir innerhalb von 30 Tagen.
• Datenübertragbarkeit: Du erhältst deine Daten in einem maschinenlesbaren Format über die Funktion „Meine Daten herunterladen“.
• Widerspruch: Widersprich der Verarbeitung, die auf berechtigtem Interesse beruht. Schreib uns eine E-Mail, dann prüfen wir dein Anliegen innerhalb von 30 Tagen.
• Einschränkung der Verarbeitung: Beantrage, dass wir die Verarbeitung deiner Daten einschränken, solange eine Streitigkeit geklärt wird.

Du hast außerdem das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen. In Deutschland ist die zuständige Behörde die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI): www.bfdi.bund.de. Du kannst dich auch an die Datenschutzaufsichtsbehörde deines Wohnsitzlandes wenden.

Wir beantworten alle Anfragen zu deinen Datenrechten innerhalb von 30 Tagen.

Cookies

Wir verwenden ein Sitzungs-Cookie, damit du angemeldet bleibst, und ein CSRF-Sicherheits-Cookie, um Formulare vor Cross-Site-Request-Forgery zu schützen.

Wenn du über den Link eines Partners zu Notenz kommst und in unserem Cookie-Banner zustimmst, setzt das Affiliate-Skript unseres Zahlungsanbieters Lemon Squeezy ein Cookie (ls_aff_ref) und übermittelt Lemon Squeezy die Seitenadresse, die verweisende Seite und eine aus deinem Browser abgeleitete Gerätekennung, damit dem Partner dein Abschluss gutgeschrieben werden kann. Ohne deine Einwilligung wird das Skript nicht geladen. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit unter „Cookie-Einstellungen“ widerrufen kannst.

Wenn du bei einem Partnerlink Cookies akzeptierst, behalten wir die Partner-ID zusätzlich bis zu 24 Stunden, verknüpft mit deinem Sitzungs-Cookie.

Wir speichern deine Cookie-Auswahl 6 Monate lang in einem notwendigen Erstanbieter-Cookie (nz_consent).

Verantwortlicher

Verantwortlicher für diesen Dienst ist:
Ahmed El Taweel, trading as Klarschritt (Einzelunternehmen)
Irmtraud-Morgner-Straße 11, 10318 Berlin, Germany
[email protected]