Datenschutzerklärung
Stand: Juli 2026, Launch-Vorbereitung
1. Verantwortlicher
Pascas Labs UG (haftungsbeschränkt)
Im Mediapark 5, 50670 Köln, Deutschland
Registergericht: Amtsgericht Köln, HRB 127717
E-Mail: info@ivolog.com
2. Welche Daten wir verarbeiten
Im Rahmen der Nutzung von IVOLOG werden folgende Daten verarbeitet:
- Registrierungsdaten: E-Mail-Adresse, Passwort (verschlüsselt), Firmenname, Branche
- Mitarbeiterdaten: Name, E-Mail, Rolle im Betrieb
- Projektdaten: Baustellen, Projektnamen, Beschreibungen
- Sprachaufnahmen: Audioaufnahmen von Mitarbeitern auf der Baustelle (temporär, zur Transkription)
- Transkripte und KI-Auswertungen: Verschriftlichung und Klassifizierung der Sprachnotizen
- Zahlungsdaten: Name, Rechnungsadresse, Steuer-ID, E-Mail, Zahlungsmittel-Token (bei kostenpflichtigen Abonnements; Kartendaten selbst erreichen uns nicht)
- Nutzungsdaten: Login-Zeitpunkte, IP-Adressen (durch Supabase Auth)
3. Zweck der Verarbeitung und Rechtsgrundlagen
Die Verarbeitung erfolgt zu folgenden Zwecken und auf folgenden Rechtsgrundlagen:
- Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung der App-Funktionalität (Meldungen, Projekte, Fälle, Mitarbeiter, Zahlungsabwicklung kostenpflichtiger Abonnements).
- Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): Aufbewahrung von Rechnungen und Buchungsbelegen nach AO/HGB.
- Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): technische Absicherung gegen Missbrauch (Auth-Logs) und, nach separater Freigabe, cookielose Website-Statistik.
4. Eingesetzte Drittanbieter
Die folgenden Dienste sind für IVOLOG technisch vorgesehen oder im Code vorbereitet. Production-Host, Supabase-Projekt, Mailversand, Zahlungsabwicklung und Analytics werden vor dem öffentlichen Launch über separate Launch-Gates final bestätigt.
Supabase (Datenbank & Authentifizierung)
Supabase Inc., 970 Toa Payoh North, Singapur. Supabase ist als Datenbank-, Authentifizierungs- und Storage-Dienst vorgesehen. Production-Projekt, Region, Auth-Konfiguration und Storage-Setup werden vor dem Launch separat freigegeben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO für Auth-Logs (technische Absicherung). Datenschutz: supabase.com/privacy
OpenAI (Sprachtranskription & KI-Auswertung)
OpenAI, L.L.C., 3180 18th Street, San Francisco, CA 94110, USA. Sprachaufnahmen und Transkripte werden zur Transkription (Whisper API) und Analyse (GPT API) an OpenAI übertragen. OpenAI verarbeitet API-Inhalte gemäß dem OpenAI Data Processing Addendum nicht zu eigenen Trainingszwecken und löscht sie gemäß der OpenAI Retention Policy (maximal 30 Tage, außer bei rechtlichen Verpflichtungen). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Da OpenAI nicht unter dem EU-US Data Privacy Framework zertifiziert ist, stützt sich der Drittland-Transfer in die USA auf die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss 2021/914 der EU-Kommission); diese sind Bestandteil des OpenAI DPA. Datenschutz: openai.com/privacy, DPA: openai.com/policies/data-processing-addendum
Resend (E-Mail-Versand)
Resend Inc., San Francisco, USA. Resend ist für transaktionale Einladungs-, Benachrichtigungs- und System-E-Mails vorgesehen. Live-Versand über IVOLOG <noreply@ivolog.com> erfolgt erst nach verifizierter Sender-Domain und separater Mail-Freigabe. Übertragen werden dann E-Mail-Adresse, Name und Inhalt der jeweiligen Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Für Datenübermittlungen in die USA ist Resend unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO, Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023). Datenschutz: resend.com/legal/privacy-policy
Stripe (Zahlungsabwicklung)
Stripe Payments Europe, Limited, The One Building, 1 Grand Canal Street Lower, Dublin 2, Irland (Auftragsverarbeiter mit Unterauftragsverarbeitung durch Stripe, Inc., San Francisco, USA). Stripe ist für die Abwicklung kostenpflichtiger Abonnements vorgesehen. Produkte, Preise, Checkout, Portal und Webhooks werden vor Live-Abrechnung in einem separaten Billing-Gate final bestätigt. Übertragen werden dann: Name, Rechnungsadresse, Steuer-ID, E-Mail, Zahlungsmittel-Token (die Kartendaten selbst werden ausschließlich zwischen Ihrem Browser und Stripe verarbeitet, wir sehen sie nicht). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. c DSGVO (Erfüllung rechtlicher Verpflichtungen, insbesondere Rechnungsstellung). Für Datenübermittlungen an Stripe, Inc. in die USA ist Stripe unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO, Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023); zusätzlich hat Stripe Standardvertragsklauseln im DPA vereinbart. Datenschutz: stripe.com/privacy, DPF-Zertifikat: stripe.com/legal/data-privacy-framework
Plausible Analytics (Website-Statistik)
Plausible Insights OÜ, Västriku tn 2, 50403 Tartu, Estland. Plausible Analytics ist als optionale cookielose Website-Statistik vorgesehen und wird nur nach separater Analytics- und Datenschutzfreigabe aktiviert. Wenn aktiviert, erfasst Plausible anonyme Besuchsstatistiken (Seitenaufrufe, Verweildauer, Herkunftsland, Gerätetyp), setzt keine Cookies und legt keinen LocalStorage an. Es werden keine personenbezogenen Daten gespeichert; Besucher werden über einen täglich rotierenden Hash aus IP-Adresse und User-Agent erkannt, ohne dass die Rohdaten gespeichert werden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen und statistischen Auswertung unserer Website). Datenschutz: plausible.io/privacy, Data Policy: plausible.io/data-policy
Produktionshosting
Der finale Produktionshost wird vor dem öffentlichen Launch festgelegt und anschließend in dieser Datenschutzerklärung ergänzt. Bis dahin werden keine konkreten Hosting-Anbieter, Serverstandorte oder DNS-Zielwerte als freigegeben behauptet.
5. Drittland-Transfer (Zusammenfassung)
Pro Vendor differenziert sich die Rechtsgrundlage für Datenübermittlungen in Drittländer wie folgt:
- OpenAI, USA: Art. 46 DSGVO (EU-Standardvertragsklauseln, Bestandteil des OpenAI DPA) — OpenAI ist nicht DPF-zertifiziert.
- Resend, USA: vorgesehen für transaktionale E-Mails nach Mail-Gate; Art. 45 DSGVO (EU-US Data Privacy Framework, Angemessenheitsbeschluss vom 10.07.2023).
- Stripe (Unterauftragsverarbeiter in USA): vorgesehen für Live-Abrechnung nach Billing-Gate; Art. 45 DSGVO (EU-US Data Privacy Framework) zuzüglich Standardvertragsklauseln im DPA.
- Supabase, Plausible und Hosting: Production-Projekt, Analytics-Aktivierung und finaler Host werden vor Launch separat freigegeben und dokumentiert.
6. Speicherdauer
- Account-Daten (Profil, E-Mail, Betriebsdaten, Projekte, Fälle): für die Dauer des aktiven Vertrags, danach Löschung innerhalb von 30 Tagen nach Kündigung.
- Rechnungen und steuerlich relevante Buchungsbelege: 8 Jahre nach Ablauf des Kalenderjahres, in dem die Rechnung ausgestellt wurde (§ 147 Abs. 3 AO i.V.m. § 257 HGB, in der Fassung des Vierten Bürokratieentlastungsgesetzes vom 29.10.2024). Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO.
- Sprachaufnahmen (Audio-Dateien): werden spätestens 30 Tage nach erfolgreicher Transkription automatisch gelöscht.
- Transkripte und KI-Auswertungen: wie Account-Daten, Löschung 30 Tage nach Kündigung.
- Log-Daten (IP-Adressen bei Supabase Auth): 7 Tage zu Sicherheitszwecken.
7. Ihre Rechte
Sie haben das Recht auf:
- Auskunft über gespeicherte Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung Ihrer Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Für Anfragen wenden Sie sich an: info@ivolog.com
Sie haben zudem das Recht, sich bei der zuständigen Datenschutzbehörde zu beschweren.
8. Cookies & Tracking
IVOLOG verwendet ausschließlich technisch notwendige Cookies für die Session-Verwaltung (Auth). Website-Statistik wird nur nach separater Analytics-Freigabe aktiviert und soll cookielos erfolgen. Es werden keine Tracking-, Marketing- oder klassischen Analyse-Cookies eingesetzt.