Datenschutzerklärung

Verantwortlich für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Weitere Angaben finden Sie im Impressum. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung eines funktionsfähigen, sicheren und nutzerfreundlichen Angebots erforderlich ist. Rechtsgrundlagen sind insbesondere:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (z. B. optionale Cookies, KI-Memory).
• Art. 6 Abs. 1 lit. b DSGVO – Vertrag / vorvertragliche Maßnahmen (z. B. Nutzerkonto).
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Verpflichtung (z. B. handels- und steuerrechtliche Aufbewahrung).
• Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (z. B. IT-Sicherheit, Missbrauchsprävention, anonymisierte Reichweitenmessung).
• § 25 Abs. 1, Abs. 2 TDDDG – Speichern von und Zugriff auf Informationen im Endgerät.

Das Hosting der Website erfolgt bei der Lovable GmbH (Lovable, lovable.dev) als Auftragsverarbeiter. Auslieferung und Datenhaltung erfolgen über deren Infrastruktur-Partner innerhalb der Europäischen Union (u. a. Cloudflare-Edge für die Auslieferung sowie Supabase / AWS Frankfurt für Datenhaltung).

Die zugehörige Domain wird über die Strato AG, Pascalstraße 10, 10587 Berlin registriert und verwaltet. Strato verarbeitet in diesem Rahmen technische Domain- und DNS-Daten.

Beim Aufruf der Website werden technisch notwendige Verbindungsdaten verarbeitet, um die Seite überhaupt ausliefern zu können (Art. 6 Abs. 1 lit. f DSGVO). Mit allen genannten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Beim Besuch von AFFILIOS AI werden folgende Daten in Server-Logs verarbeitet: aufgerufene URL, Zeitpunkt, HTTP-Status, übertragene Datenmenge, Referrer, User-Agent sowie eine gekürzte bzw. per Einweg-Hash (SHA-256 mit rotierendem Salt) verarbeitete IP-Adresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Berechtigtes Interesse ist der stabile und sichere Betrieb sowie die Abwehr von Angriffen und Betrug (Fraud Detection). Klartext-IP-Adressen speichern wir nicht dauerhaft; Logs werden spätestens nach 30 Tagen gelöscht, sofern nicht ein konkreter Sicherheitsvorfall eine längere Speicherung erfordert.

Wir setzen Cookies und ähnliche Technologien (localStorage) nur sparsam ein. Wir unterscheiden:

Technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG)

Erforderlich für Login-Session, Sicherheits-Token (CSRF), Speicherung Ihrer Cookie-Entscheidung, Dark/Light-Mode sowie den Warenkorb-ähnlichen Zustand der Vergleichs-Funktion. Diese benötigen keine Einwilligung.

Optional (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG)

Optionale Cookies (z. B. anonymisierte Reichweitenmessung, KI-Memory) werden ausschließlich nach Ihrer aktiven Einwilligung über unser Cookie-Banner gesetzt. Sie können Ihre Einwilligung jederzeit widerrufen über Cookie-Einstellungen. Der Widerruf wirkt für die Zukunft.

Eingesetzte Kategorien, Dienste & Zwecke

Die folgende Übersicht zeigt, welche Kategorien wir unterscheiden, welche Dienste bzw. Speicherorte betroffen sind, welchem Zweck sie dienen und wie lange die zugehörigen Informationen im Endgerät bzw. serverseitig vorgehalten werden.

Wir setzen bewusst kein Google Analytics, Google Ads, Meta Pixel, TikTok Pixel, Hotjar oder vergleichbare Cross-Site-Tracker ein. Sollten neue Dienste hinzukommen, aktualisieren wir diese Übersicht und holen – falls erforderlich – erneut Ihre Einwilligung ein.

Für einige Funktionen (Favoriten, Vergleiche über Geräte hinweg, KI-Memory) ist ein Nutzerkonto erforderlich. Wir verarbeiten E-Mail-Adresse, ggf. Anzeigename, Passwort-Hash (bcrypt/argon2 über unseren Auth-Provider Supabase), Anmeldezeitpunkte, IP-Hash und Geräte-Metadaten für die Sicherheitshistorie sowie – bei Aktivierung – TOTP-Secrets für die Zwei-Faktor-Authentifizierung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (Sicherheit). Bei Login über einen OAuth-Anbieter (z. B. Google) erhalten wir ausschließlich die vom Anbieter freigegebenen Profildaten (E-Mail, Name, ggf. Profilbild-URL). Auf die dortige Verarbeitung haben wir keinen Einfluss.

Herzstück von AFFILIOS AI ist eine KI-gestützte Kaufberatung. Ihre Eingaben (Nachrichten, Filter, Budget-Angaben) werden an unser LLM-Gateway übermittelt und für die Erstellung der Antwort verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung der angefragten Beratungsleistung).

Wir verwenden Anbieter, die vertraglich zusichern, Ihre Eingaben nicht für das Training öffentlicher Modelle zu verwenden. Chat-Verläufe werden angemeldeten Nutzern zur eigenen Nutzung im Konto angezeigt; anonyme Chats werden nur für die aktuelle Sitzung im Browser gehalten. Geben Sie im Chat bitte keine sensiblen Daten (Gesundheit, politische Meinung, Zahlungsdaten) ein.

Auf ausdrücklichen Wunsch speichern wir Präferenzen, Budget, bevorzugte Marken und weitere Angaben dauerhaft in einem versionierten „KI-Memory", damit die Beratung über Sitzungen hinweg konsistent bleibt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO; Sie können jeden Eintrag im Nutzerkonto einsehen, korrigieren, löschen und den Datensatz vollständig exportieren.

AFFILIOS AI finanziert sich über Affiliate-Provisionen. Klicken Sie auf einen mit „Anzeige" bzw. „Affiliate-Link" gekennzeichneten Button, werden Sie über unseren serverseitigen Redirect (/go/…) zum Händler weitergeleitet. Dabei wird beim Amazon-Partnerprogramm unsere Partner-ID affilios26-21 angehängt.

Wir protokollieren dabei den Klick (Ziel-Händler, Produkt-ID, Zeitpunkt, IP-Hash, User-Agent-Kategorie) zur Provisions-Zuordnung, Attribution und Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO). Der Händler setzt anschließend eigene Cookies bzw. Tracking-Mechanismen ein; dafür ist der jeweilige Anbieter datenschutzrechtlich verantwortlich. Bitte beachten Sie dessen Datenschutzerklärung.

Zur Verbesserung des Angebots setzen wir – nur mit Ihrer Einwilligung – eine datensparsame, in der EU gehostete Analyse-Lösung ohne geräteübergreifendes Tracking ein. Erhoben werden aggregierte Kennzahlen wie Seitenaufrufe, ungefähre Region (Länderebene) und Geräteklasse. Es findet kein Profiling im Sinne von Art. 22 DSGVO statt. Der Widerruf ist jederzeit über die Cookie-Einstellungen möglich.

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die von Ihnen übermittelten Daten (Name, E-Mail, Inhalt der Nachricht) zur Bearbeitung Ihrer Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO). Wir löschen die Anfrage, sobald sie nicht mehr erforderlich ist, spätestens jedoch nach Ablauf gesetzlicher Aufbewahrungsfristen.

Personenbezogene Daten geben wir nur an Auftragsverarbeiter weiter, die uns bei Betrieb, Hosting, Auth, KI-Inferenz, E-Mail-Versand und Fehler-Monitoring unterstützen. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Bevorzugt wählen wir Anbieter mit Sitz und Rechenzentren in der EU/EWR.

Sofern in Einzelfällen eine Übermittlung in ein Drittland (z. B. USA) erforderlich ist, erfolgt diese ausschließlich auf Basis geeigneter Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) bzw. bei zertifizierten US-Anbietern gestützt auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023).

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen (z. B. §§ 147 AO, 257 HGB – bis zu 10 Jahre) dies vorschreiben. Konto- und Memory-Daten werden nach Löschung des Kontos unverzüglich entfernt, spätestens innerhalb von 30 Tagen aus allen produktiven Systemen; Sicherheits- und Backup-Systeme werden gemäß Rotation überschrieben.

Sie haben nach der DSGVO jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine formlose Nachricht an info@philipp-weigert.de. Angemeldete Nutzer finden zusätzlich in den Kontoeinstellungen Self-Service-Funktionen für Export und Löschung.

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist für uns das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach – www.lda.bayern.de.

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage, unsere Dienste oder die Datenverarbeitung ändern. Die jeweils aktuelle Fassung ist unter /datenschutz abrufbar.