Datenschutz

1. Einleitung & Geltungsbereich

SOWA Privacy („wir", „uns", „unser") schützt Ihre personenbezogenen Daten, wenn Sie KI-Chatbots wie ChatGPT, Claude, Gemini, Copilot und Grok nutzen. Das Produkt umfasst drei Bereiche, die alle von dieser Datenschutzerklärung abgedeckt sind:

• Die Browser-Erweiterung. Erkennung und Anonymisierung personenbezogener Daten in Ihren Prompts. Läuft vollständig in Ihrem Browser. Der kostenlose Starter-Tarif funktioniert ohne jegliches Konto.
• Die Desktop-App SOWA Privacy Chat. Chat-Anwendung für macOS und Windows, die Prompts und Anhänge auf Ihrem Gerät bereinigt, bevor sie mit Ihrem eigenen API-Schlüssel an einen KI-Anbieter gehen. Enthalten in den Tarifen Business und Enterprise; setzt eine Anmeldung voraus.
• Die Website unter sowaprivacy.ai / sowaprivacy.ai. Kontoerstellung, Abonnementverwaltung, Kontakt- und Vertriebsformulare, Kündigungsformular, Marketingseiten. Nur erforderlich, wenn Sie ein kostenpflichtiges Abonnement starten, eine Organisation verwalten oder unser Team kontaktieren möchten.

Unser Kernprinzip ist Datenminimierung: Alles, was auf Ihrem Gerät bleiben kann, bleibt auch dort. Die Inhalte Ihrer KI-Konversationen und die darin von der Erweiterung oder der Desktop-App erkannten personenbezogenen Daten erreichen niemals unsere Server. Das gilt unabhängig davon, ob Sie ein kostenpflichtiges Abonnement haben oder nicht.

SOWA Privacy wird von der SOWA Privacy sp. z o.o. mit Sitz in Wrocław, Polen, entwickelt (KRS 0001255530). Unser Quellcode kann auf Anfrage unter einer Vertraulichkeitsvereinbarung eingesehen werden, sodass jede Aussage in dieser Erklärung unabhängig anhand des Codes überprüft werden kann.

2. Verarbeitung in der Browser-Erweiterung

2.1 Erkennung personenbezogener Daten (nur lokal)

SOWA Privacy durchsucht Text, den Sie in KI-Chatbot-Oberflächen eingeben, um personenbezogene Daten zu erkennen – Namen, E-Mail-Adressen, Telefonnummern, Ausweisnummern, Zugangsdaten, Finanzkennungen und andere sensible Informationen. Diese Erkennung läuft vollständig in Ihrem Browser. Kein Text – weder das Original noch die anonymisierte Version – wird an SOWA Privacy oder einen von uns betriebenen Server gesendet.

2.2 Keine Erfassung von KI-Konversationen

Die Inhalte Ihrer KI-Konversationen und alle von der Erweiterung erkannten personenbezogenen Daten verlassen niemals Ihr Gerät. Wir erfassen, übertragen, speichern oder verarbeiten sie auf keinem Server. Die Erweiterung enthält keine Analyse, Telemetrie, Tracking-Pixel oder Fingerprinting.

2.3 Lokal von der Erweiterung gespeicherte Daten

Die Erweiterung nutzt den lokalen Speicher Ihres Browsers (chrome.storage.local und chrome.storage.session), um Folgendes zu speichern:

• Einstellungen und Präferenzen – Erkennungskategorien, Sprache, Design, Seitenregeln, eigene Regex- / Whitelist- / Blacklist-Einträge.
• Anonymisierungswörterbuch – die Zuordnung zwischen Originalwerten und ihren Platzhaltern, damit KI-Antworten auf Ihrem Bildschirm de-anonymisiert werden können.
• Prüfprotokoll – ein SHA-256-verkettetes Protokoll darüber, was wann und auf welcher Seite erkannt wurde. Nur auf Ihrem Gerät gespeichert. Sie können es exportieren (JSON / CSV) oder über die Prüfprotokoll-Seite löschen.
• Sitzungstoken und zwischengespeicherte Berechtigungen (nur bei Anmeldung) – das von Supabase Auth ausgestellte JWT sowie die letzte Antwort von /api/entitlements/me. Dient dazu, kostenpflichtige Funktionen auch offline freigeschaltet zu halten.

Sie können alle lokal gespeicherten Daten jederzeit löschen, indem Sie den Speicher der Erweiterung in Ihrem Browser leeren oder die Erweiterung deinstallieren.

3. Verarbeitung in der Desktop-App

SOWA Privacy Chat ist eine Chat-Anwendung für macOS und Windows. Sie ist in den Tarifen Business und Enterprise enthalten und wird über unseren Vertrieb bereitgestellt. Erkennung und Anonymisierung laufen wie in der Erweiterung auf Ihrem Gerät. Anders als die Erweiterung sendet die App Ihre Nachrichten selbst an den KI-Anbieter.

3.1 Erkennung und Anonymisierung (nur lokal)

Die App prüft Prompts und angehängte Dateien (PDF, DOCX, XLSX und Textformate) auf Ihrem Gerät auf personenbezogene Daten und ersetzt erkannte Werte durch Platzhalter, bevor etwas das Gerät verlässt. Weder der Originaltext noch die erkannten Werte werden an SOWA Privacy oder einen von uns betriebenen Server gesendet.

3.2 Übermittlung an den KI-Anbieter

Wenn Sie eine Nachricht senden, gehen der bereinigte Text und die bereinigten Anhänge direkt von Ihrem Gerät an den Anbieter, den Sie in den Einstellungen eingerichtet haben: OpenAI (ChatGPT), Anthropic (Claude), Google (Gemini), xAI (Grok) oder einen Endpunkt, den Sie selbst eintragen – gegebenenfalls über einen von Ihnen konfigurierten Proxy. Die Anfrage wird mit Ihrem eigenen API-Schlüssel authentifiziert und läuft nicht über unsere Server; wir sehen weder Ihre Schlüssel noch Ihre Anfragen. Was der Anbieter mit dem empfangenen Text tut, richtet sich nach dessen Bedingungen und Datenschutzerklärung. In der Antwort setzt die App Ihre Originalwerte auf Ihrem Gerät wieder ein.

3.3 Lokal gespeicherte Daten

Die App speichert im Datenverzeichnis Ihres Benutzerkontos auf dem Gerät:

• Unterhaltungen – Ihre Chats und Anhänge, damit Sie sie später fortsetzen können.
• Anonymisierungswörterbuch – die Zuordnung zwischen Originalwerten und Platzhaltern.
• Prüfprotokoll – ein SHA-256-verkettetes Protokoll der Erkennungen; Originalwerte stehen darin standardmäßig nur als Hash. Export als JSON oder CSV möglich.
• Einstellungen und Anbieterkonfiguration – einschließlich Ihrer API-Schlüssel.
• Sitzung und Berechtigungen – das Anmelde-Token Ihres Kontos und die zuletzt abgerufenen Tarifberechtigungen.

Nichts davon wird mit unseren Servern synchronisiert; wir haben keine Kopie. Sie löschen die Daten, indem Sie Unterhaltungen in der App löschen, sich abmelden oder die App mitsamt ihrem Datenverzeichnis entfernen.

3.4 Anmeldung und Tarifprüfung

Die App setzt ein SOWA Privacy-Konto im Tarif Business oder Enterprise voraus. Zur Anmeldung öffnet sie Ihren Browser auf sowaprivacy.ai; nach der Anmeldung dort übergibt die Website der App über einen kurzlebigen, nur einmal verwendbaren Code (/api/desktop/handoff) eine Sitzung von Supabase Auth. Danach ruft die App beim Start, beim Wechsel in die App und einmal pro Stunde /api/entitlements/me ab, um die für Ihren Tarif freigeschalteten Funktionen zu ermitteln, und erneuert ihre Sitzung direkt bei Supabase. Verarbeitet werden dabei Ihre Nutzer-ID, das Sitzungs-Token und die IP-Adresse, die jede Verbindung mit sich bringt – keine Prompt-Inhalte und keine erkannten Daten. Wie wir Ihre Kontodaten verarbeiten, beschreibt Abschnitt 4.

3.5 Optionale lokale Modelle

Die Erkennung per Modell (NER) und der lokale LLM-Detektor sind standardmäßig ausgeschaltet. Wenn Sie sie in den Einstellungen einschalten, lädt die App die Modelldateien einmalig von HuggingFace (huggingface.co) herunter – je nach Modell etwa 30 bis 700 MB – und speichert sie auf Ihrem Gerät. Übertragen wird dabei nur, was jede HTTPS-Anfrage enthält, insbesondere Ihre IP-Adresse. Die Auswertung läuft vollständig auf Ihrem Gerät.

3.6 Keine Analyse, keine Telemetrie, keine automatischen Updates

Die App sendet keine Nutzungsanalyse, keine Absturzberichte und keine Telemetrie. Sie sucht nicht selbstständig nach Updates; neue Versionen erhalten Sie über Ihren Kontakt im Vertrieb.

4. Verarbeitung bei der Kontoerstellung

Die Erstellung eines SOWA Privacy-Kontos ist optional. Der kostenlose Starter-Tarif funktioniert auch ohne. Ein Konto benötigen Sie nur, um ein Pro- oder Business-Abonnement zu starten, eine Organisation zu verwalten oder die Erweiterung in einem kostenpflichtigen Tarif anzumelden.

4.1 Registrierung und Anmeldung

Wenn Sie sich unter sowaprivacy.ai registrieren, erfassen wir:

• E-Mail-Adresse – dient als Kontokennung und für transaktionale E-Mails (Verifizierung, Passwortzurücksetzung, wichtige Kontohinweise).
• Passwort – von Supabase Auth gehasht und gespeichert; für uns niemals im Klartext sichtbar.
• Vollständiger Name (optional) – um Sie im Dashboard und auf Rechnungen anzusprechen.
• Standardtarif – der aktuell mit Ihrem Konto verknüpfte Tarif (Starter / Pro / Business).
• Zeitstempel der Kontoerstellung – für Prüfung und Lebenszyklusverwaltung.
• Akzeptierte AGB-Fassung – der Stand der AGB, die Sie bei der Registrierung angenommen haben, als Nachweis, dass sie Vertragsbestandteil geworden sind.

Sitzungen werden von Supabase Auth als JWT ausgestellt. Das JWT sowie ein Refresh-Token liegen im Browser-Speicher (Website) oder in chrome.storage.local (Erweiterung). Wir setzen keine Tracking-Cookies; die einzigen Cookies auf der Website sind das von Supabase Auth gesetzte Authentifizierungs-Sitzungscookie (notwendig, Erstanbieter).

4.2 Organisationsmitgliedschaften (Business-Tarif)

Wenn Sie den Business-Tarif nutzen und eine Organisation erstellen oder ihr beitreten, verarbeiten wir zusätzlich:

• Name und Slug der Organisation.
• Mitgliederliste – die E-Mail-Adressen und Rollen der in Ihre Organisation eingeladenen Nutzer.
• Ausstehende Einladungen – die eingeladene E-Mail-Adresse, das zur Annahme der Einladung verwendete Token und der einladende Nutzer. Tokens verfallen und werden gelöscht, sobald die Einladung angenommen, abgelehnt oder widerrufen wird.

Wenn Sie eine Kollegin oder einen Kollegen einladen, wird deren E-Mail-Adresse an unser Backend übermittelt, damit wir die Einladung zustellen können. Die eingeladene Person wird ab dem Moment der Annahme zu einer eigenständigen betroffenen Person im Sinne dieser Erklärung.

Verfügt Ihre Organisation über einen aktiven Business-Plan, wird Ihr Konto von dieser Organisation verwaltet: Sie können es nicht selbst löschen, solange Sie Mitglied sind. Ein Administrator der Organisation entfernt Sie im Organisationsbereich; ab diesem Moment ist das Konto ein gewöhnliches Konto und Sie können es auf dem üblichen Weg löschen.

Wenn ein Administrator Sie aus einer Organisation entfernt oder Sie um die Entfernung bitten, behält die Änderungshistorie der Organisation einen Eintrag zu diesem Ereignis einschließlich Ihrer E-Mail-Adresse, damit die Organisation ihre Plätze nachvollziehen kann. Dieser Eintrag wird beim Löschen Ihres Kontos nicht gelöscht.

4.3 Abruf der Berechtigungen

Sowohl die Website als auch die Erweiterung rufen /api/entitlements/me auf, um zu ermitteln, welche Funktionen für Ihren Tarif freigeschaltet sind. Die Antwort enthält nur Funktions-Flags und Ihre Tarifstufe – sie enthält keine Prompt-Inhalte, Prüfdaten oder personenbezogenen Daten über Ihre eigene Nutzer-ID hinaus. Die Erweiterung speichert die Antwort bis zu 60 Minuten zwischen (aktualisiert über chrome.alarms), damit sie offline weiter funktioniert.

4.4 Verbindung der Erweiterung mit Ihrem Konto

Wenn Sie im Popup der Erweiterung auf „Anmelden" klicken, öffnet Chromes chrome.identity.launchWebAuthFlow ein Fenster unter sowaprivacy.ai/auth/extension-connect. Nach Ihrer Authentifizierung gibt die Website ein kurzlebiges Übergabe-Token zurück, das die Erweiterung über /api/extension/handoff/exchange gegen eine Supabase-Sitzung eintauscht. Das Token ist einmalig verwendbar und verfällt innerhalb von Minuten.

5. Abrechnung (Stripe)

Wenn Sie ein kostenpflichtiges Pro- oder Business-Abonnement starten, wird die Abrechnung von Stripe abgewickelt. Die Datenaufteilung ist:

• Stripe erhält direkt: Ihre Kartendaten, Rechnungsname, Rechnungsadresse, Land und etwaige von Ihnen eingegebene Steuernummern. Wir sehen oder speichern niemals vollständige Kartennummern – Stripe Checkout erfasst sie in einem von stripe.com bereitgestellten iframe.
• Wir erhalten von Stripe (per Webhook): Ihre Stripe-Kunden-ID, Abonnement-ID, Tarifstufe, Abrechnungszyklus (monatlich / jährlich), Teststatus, Abonnementstatus (active / trialing / past_due / canceled) und Rechnungsmetadaten (Betrag, Währung, Status, gehostete Rechnungs-URL). Wir speichern diese in Ihrem Konto bei Supabase, damit wir Ihnen auf der Abrechnungsseite den richtigen Status anzeigen können.
• 14-tägige Testphase: Neue Pro- und Business-Abonnements beinhalten eine 14-tägige Testphase. Zum Start ist keine Karte erforderlich; wenn Sie bis zum Ende der Testphase keine Zahlungsmethode hinzufügen, wird das Abonnement automatisch pausiert.
• Stripe-Webhook-Ereignisprotokoll: Wir zeichnen eingehende Stripe-Ereignisse auf (checkout.session.completed, customer.subscription.*, invoice.payment_*), um die Webhook-Zustellung idempotent zu machen. Das Protokoll speichert die Stripe-Ereignis-ID und den Zeitstempel; es sind keine Kartendaten beteiligt.
• Self-Service-Abrechnungsportal: Wenn Sie auf der Abrechnungsseite auf „Abonnement verwalten" klicken, öffnen wir das von Stripe gehostete Billing-Portal. Dort können Sie Ihre Zahlungsmethode aktualisieren, den Tarif wechseln, Rechnungen herunterladen oder kündigen – alles direkt bei Stripe.
• Bestellbestätigung: Nach Abschluss eines Pro-Abonnements senden wir an die im Bezahlformular angegebene E-Mail-Adresse eine Vertragsbestätigung mit Tarif, Preis, Vertragsdatum, Testphase und der Widerrufsbelehrung, über Resend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312f BGB.

6. Kontakt-, Vertriebs- und Kündigungsformulare

6.1 Kontaktformular (contact.html)

Die Kontaktseite nutzt derzeit dasselbe Formular wie die unter 6.2 beschriebene Vertriebsseite; Ihre Daten werden wie dort beschrieben verarbeitet (über HubSpot).

6.2 Vertriebs- / Anfrageformular (sales.html)

Wenn Sie das Formular „Vertrieb kontaktieren" auf der Vertriebsseite absenden, werden die eingegebenen Daten (Name, E-Mail, optional Unternehmen, optional Unternehmensgröße, optional Abteilung, optional Telefon, optional Nachricht) über die HubSpot Forms API in der EU-Region an HubSpot weitergeleitet. Wir nutzen HubSpot als CRM, um eingehende Vertriebsanfragen zu verwalten.

Falls beim Absenden des Formulars zufällig ein HubSpot-Tracking-Cookie (hubspotutk) von anderswo in Ihrem Browser vorhanden ist, wird dessen Wert mitübermittelt, damit HubSpot die Übermittlung mit vorhandenen Analysedaten verknüpfen kann. Wir laden das Tracking-Skript von HubSpot nicht auf unserer Marketing-Website, setzen also selbst keine HubSpot-Cookies; Sie können es jederzeit in Ihrem Browser löschen oder blockieren, ohne dass dies Ihre Nutzung der Erweiterung beeinträchtigt.

6.3 Kündigungsformular (cancel-contract)

Über den Link „Verträge hier kündigen“ in der Fußzeile jeder Seite können Sie ein kostenpflichtiges Abonnement ohne Anmeldung kündigen (§ 312k BGB). Dabei verarbeiten wir:

• Ihre Angaben – E-Mail-Adresse, Art der Kündigung (ordentlich oder außerordentlich) und, falls angegeben, den Grund einer außerordentlichen Kündigung und das gewünschte Vertragsende.
• Zeitpunkte – Eingang und Ausführung der Kündigung sowie das Vertragsende.
• Zuordnung – den Verweis auf Ihr Abonnement, sofern unter der angegebenen Adresse ein Pro-Abonnement besteht.
• Prüfwert – einen mit einem geheimen Schlüssel gebildeten Hash Ihrer IP-Adresse, mit dem wir die Zahl der Anfragen begrenzen.

Besteht unter der angegebenen Adresse ein Pro-Abonnement, stellen wir es sofort bei Stripe auf Beendigung zum Ende des Abrechnungszeitraums und vermerken dort die Kündigung. An die angegebene Adresse erhalten Sie sofort eine Eingangsbestätigung mit Inhalt, Datum und Uhrzeit Ihrer Kündigung und dem Datum, zu dem Ihr Vertrag endet. Außerordentliche Kündigungen leiten wir zur Prüfung des Grundes an info@sowaprivacy.ai weiter. Alle diese E-Mails versenden wir über Resend.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 312k BGB für die Eingangsbestätigung und ihren Nachweis, Art. 6 Abs. 1 lit. b DSGVO für die Beendigung des Vertrags und Art. 6 Abs. 1 lit. f DSGVO für die Begrenzung der Anfragen, die das Formular vor Missbrauch schützt. Wie lange wir die Angaben aufbewahren, steht in Abschnitt 11.

6.4 Widerrufsfunktion (withdraw-contract)

Über den Link „Vertrag widerrufen“ in der Fußzeile jeder Seite können Verbraucher einen online geschlossenen Vertrag widerrufen (§ 356a BGB). Dabei verarbeiten wir Ihren Namen und die E-Mail-Adresse Ihres Kontos, über die wir den Vertrag zuordnen und an die wir die Eingangsbestätigung senden, außerdem den Zeitpunkt des Eingangs, die Zuordnung zu Ihrem Abonnement und denselben Prüfwert wie beim Kündigungsformular. Einen Grund fragen wir nicht ab. Besteht unter der Adresse ein Pro-Abonnement, stellen wir es bei Stripe auf Beendigung zum Ende des Abrechnungszeitraums. Jeden Widerruf leiten wir an info@sowaprivacy.ai weiter, wo geprüft wird, ob die Widerrufsfrist gewahrt ist und welche Zahlungen zu erstatten sind. Die Eingangsbestätigung versenden wir über Resend. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 356a BGB, für die Begrenzung der Anfragen Art. 6 Abs. 1 lit. f DSGVO. Die Angaben bewahren wir auf wie Kündigungen (Abschnitt 11).

7. KI-API-Anbieter (nutzerinitiiert, nur Erweiterung)

Wenn Sie den in die Erweiterung integrierten KI-Chat-Proxy nutzen, wird der anonymisierte Text – bei dem Ihre personenbezogenen Daten bereits durch Platzhalter ersetzt wurden – an den von Ihnen gewählten KI-API-Anbieter gesendet. Dies geschieht nur, wenn Sie es aktiv auslösen. Unterstützte Endpunkte:

• OpenAI API (api.openai.com)
• OpenRouter (openrouter.ai)
• Fireworks AI (api.fireworks.ai)
• Mistral AI (mistral.ai)

Die Anfrage geht von Ihrem Browser direkt an den gewählten Anbieter, authentifiziert mit Ihrem eigenen API-Schlüssel, der ausschließlich in chrome.storage.local gespeichert wird. Wir sehen weder Ihre API-Schlüssel noch die Anfragen. Was mit dem empfangenen anonymisierten Text geschieht, richtet sich nach der Datenschutzerklärung des von Ihnen gewählten Anbieters.

8. Download lokaler KI-Modelle

Wenn Sie in den Einstellungen der Erweiterung die NER- oder lokale LLM-Erkennung aktivieren, werden die erforderlichen Modelldateien heruntergeladen von:

• HuggingFace (huggingface.co) – Named-Entity-Recognition-Modelle (~65 MB).
• GitHub (raw.githubusercontent.com) – Erweiterungsressourcen und WebLLM-Modelldateien.
• WebLLM-CDN – Gewichte lokaler LLM-Modelle (~200 MB), wenn der Power-Modus aktiviert ist.

Dies sind Standard-HTTPS-GET-Anfragen. Es werden keine personenbezogenen Daten gesendet, die über das hinausgehen, was jede HTTP-Anfrage enthält (Ihre IP-Adresse). Die Inferenz selbst läuft vollständig auf Ihrem Gerät über WebAssembly (ONNX Runtime) und WebGPU (WebLLM).

9. Unterauftragsverarbeiter

Die Drittanbieterdienste, auf die wir für den Betrieb der Website angewiesen sind, sind unten aufgeführt. Jeder verarbeitet einen bestimmten Datenumfang und unterliegt seinen eigenen Auftragsverarbeitungsbedingungen.

Unterauftragsverarbeiter	Zweck	Region
Supabase	Konto-Authentifizierung, Profile, Organisationen, Berechtigungen, Abonnementtabelle. Datenschutzerklärung.	EU (Irland)
Stripe	Zahlungsabwicklung, Abonnementverwaltung, Abrechnungsportal, Rechnungen. Datenschutzerklärung.	USA / global; EU-SCCs vorhanden
HubSpot	CRM für Vertriebsformular-Übermittlungen und eingehende Vertriebsanfragen. Datenschutzerklärung.	EU (Frankfurt)
Resend	Versand unserer E-Mails an Kunden: Eingangs- und Ausführungsbestätigungen von Kündigungen und Widerrufen, interne Weiterleitung zur Prüfung sowie Bestellbestätigungen mit Widerrufsbelehrung. Datenschutzerklärung.	USA (Delaware); EU-SCCs vorhanden
Vercel	Hosting der Marketing-Website und der serverlosen API. Verarbeitet HTTP-Verkehr (IP-Adresse, User-Agent) für Routing und Betriebsprotokolle. Datenschutzerklärung.	EU-Edge; US-Infrastruktur mit EU-SCCs
PostHog	Datenschutzfreundliche Produktanalyse für die Marketing-Website – Seitenaufrufe und aggregierte Interaktionen. Einwilligungsbasiert: lädt erst nach Ihrer Zustimmung. Kein Session-Replay. Datenschutzerklärung.	EU (Frankfurt)
HuggingFace	Statische Bereitstellung von Modelldateien für die optionale lokale Erkennung (NER, lokales LLM) in Erweiterung und Desktop-App. Nur auf Opt-in-Basis.	Globales CDN
GitHub	Quellcode-Repository; statische Bereitstellung von WebLLM-Modellressourcen. Nur auf Opt-in-Basis.	US

Wir verkaufen, vermieten oder teilen Ihre Daten mit niemandem außerhalb der obigen Liste. Wir betreiben kein Werbenetzwerk und kein Session-Replay-Tool. Die einzige verhaltensbasierte Analyse ist PostHog, das standardmäßig deaktiviert ist und auf der Marketing-Website erst nach Ihrer Zustimmung über das Einwilligungs-Banner lädt – und niemals innerhalb der Browser-Erweiterung. Auch die Desktop-App enthält keine Analyse und keine Telemetrie (siehe Abschnitt 3.6).

10. Rechtsgrundlagen (Art. 6 DSGVO)

• Vertragserfüllung (Art. 6 Abs. 1 lit. b) – um die Erweiterung und die von Ihnen aktiv genutzten Konto- / Abrechnungsfunktionen bereitzustellen: Registrierung, Anmeldung, Berechtigungsprüfung, Abonnementverwaltung, Rechnungen. In der Desktop-App gehören dazu Anmeldung und Tarifprüfung, beim Kündigungsformular die Beendigung Ihres Vertrags.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) – um Rechnungen und steuerrelevante Unterlagen für die nach geltendem Buchführungs- und Steuerrecht erforderlichen Zeiträume aufzubewahren. Ebenso, um den Eingang einer Kündigung über das Kündigungsformular zu bestätigen und nachzuweisen (§ 312k BGB).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f) – um den Dienst sicher zu halten (Betriebsprotokolle, Ratenbegrenzung, Webhook-Signaturprüfung) und um auf Kontaktformular-Nachrichten zu antworten.
• Einwilligung (Art. 6 Abs. 1 lit. a) – für die Produktanalyse auf der Marketing-Website (PostHog) und für jede optionale Komponente, die bei der ersten Nutzung ein Drittanbietermodell herunterlädt (NER, lokales LLM). Die Analyse bleibt deaktiviert, bis Sie das Einwilligungs-Banner akzeptieren; Sie können die Einwilligung jederzeit widerrufen (siehe Abschnitt 14). Die lokalen Modelldateien können jederzeit aus der Erweiterung gelöscht werden.

11. Aufbewahrung

Wie lange die einzelnen Datenarten aufbewahrt werden:

• Lokal gespeicherte Erweiterungsdaten (Einstellungen, Wörterbuch, Prüfprotokoll, zwischengespeicherte Sitzung) – verbleiben auf Ihrem Gerät, bis Sie sie löschen oder die Erweiterung deinstallieren. Wir haben keine Kopie auf unseren Servern.
• Lokal gespeicherte Daten der Desktop-App (Unterhaltungen, Wörterbuch, Prüfprotokoll, Einstellungen, Sitzung) – verbleiben auf Ihrem Gerät, bis Sie sie löschen oder die App mitsamt ihrem Datenverzeichnis entfernen. Wir haben keine Kopie auf unseren Servern.
• Kontoprofil (E-Mail, gehashtes Passwort, Name, Tarif) – wird aufbewahrt, solange Ihr Konto aktiv ist. Wird innerhalb von 30 Tagen nach einem Löschungsantrag gelöscht, mit Ausnahme von Feldern, die aus Abrechnungs- oder rechtlichen Gründen aufbewahrt werden müssen (siehe unten).
• Organisationsmitgliedschaften und Einladungstokens – werden aufbewahrt, solange die Organisation besteht. Einladungstokens werden gelöscht, sobald sie angenommen, abgelehnt, widerrufen oder abgelaufen sind.
• Abrechnungsunterlagen – Rechnungen und Zahlungshistorie werden von unserem Zahlungsanbieter Stripe für die nach geltendem Handels- und Steuerrecht vorgeschriebene Dauer aufbewahrt (in der EU üblicherweise 10 Jahre, in manchen Rechtsordnungen 7 Jahre) und bleiben Ihnen im Stripe-Abrechnungsportal für diesen Zeitraum zugänglich. Unsere eigene Kopie Ihres Abonnementstatus (Kunden-ID, Plan, Status) wird zusammen mit Ihrem Konto gelöscht. Kartendaten werden bei uns zu keinem Zeitpunkt gespeichert.
• Rechnungen – wie oben. Im Stripe-Billing-Portal für denselben Zeitraum für Sie verfügbar.
• Stripe-Webhook-Ereignisprotokoll – wird für Idempotenz und Prüfzwecke aufbewahrt; es enthält Stripe-Ereignis-IDs, Ereignistypen und Zeitstempel. Der Ereignisinhalt wird geleert, sobald das betroffene Konto gelöscht wird.
• Vertriebsformular-Übermittlungen in HubSpot – werden bis zu 24 Monate ab dem letzten Kontakt aufbewahrt, sofern keine aktive Geschäftsbeziehung mit Ihnen besteht; danach gilt dieselbe Aufbewahrung wie für Kontodaten. Sie können uns bitten, Ihren HubSpot-Datensatz früher zu löschen.
• Serverseitige Betriebsprotokolle (Vercel / Supabase) – IP-Adressen, Anfragepfade und Zeitstempel in kurzfristigen Betriebsprotokollen werden gemäß der jeweiligen Aufbewahrungsrichtlinie des Anbieters aufbewahrt, typischerweise 7–30 Tage. Sie enthalten keine KI-Prompt-Inhalte und keine personenbezogenen Daten, die die Erweiterung für Sie erkannt hat.
• Kündigungen über das Kündigungsformular – Erklärungen, die einem Abonnement zugeordnet wurden, bewahren wir als Nachweis bis zum Ende des dritten Kalenderjahres nach Vertragsende auf. Erklärungen, die keinem Abonnement zugeordnet werden konnten, löschen wir 90 Tage nach Eingang. Die Zustellprotokolle von Resend werden gemäß dessen Richtlinie aufbewahrt (typischerweise bis zu 30 Tage).

Wenn Sie Ihr Konto löschen, anonymisieren wir Datensätze, die wir aus rechtlichen Gründen aufbewahren müssen (z. B. Rechnungen), und löschen alles Übrige.

12. Internationale Datenübermittlung

Supabase, HubSpot und das Vercel-Edge-Netzwerk bedienen EU-Nutzer primär aus EU-Rechenzentren. Stripe, Resend und GitHub haben ihren Sitz in den USA; Übermittlungen an sie sind durch die Standardvertragsklauseln der Europäischen Kommission und, soweit anwendbar, durch das EU-US Data Privacy Framework abgedeckt. HuggingFace stellt Modelldateien über ein globales CDN bereit; Modell-Downloads sind statische HTTPS-GET-Anfragen ohne angehängte personenbezogene Daten.

13. Browser-Berechtigungen

Die Erweiterung fordert die folgenden Chrome-Berechtigungen an. Wir führen jede einzelne und ihren Zweck auf:

• activeTab – um auf den Inhalt des aktiven Tabs für die Erkennung personenbezogener Daten in Textfeldern zuzugreifen.
• storage – um Einstellungen, Anonymisierungswörterbuch und (bei Anmeldung) Ihre Sitzung und Berechtigungen lokal zu speichern.
• tabs – um die KI-Chatbot-Seite zu erkennen, auf der Sie sich befinden, und die Benutzeroberfläche der Erweiterung über Tabs hinweg zu verwalten.
• contextMenus – um Rechtsklick-Optionen für schnelle Anonymisierung, Whitelisting und Blacklisting bereitzustellen.
• sidePanel – um die Seitenleisten-Oberfläche der Erweiterung anzuzeigen.
• windows – um Popup- und Panel-Fenster zu verwalten.
• offscreen – um die NER-Inferenz in einem isolierten Kontext auszuführen, den die Host-Seite weder sehen noch aufrufen kann.
• identity – um die Erweiterung über chrome.identity.launchWebAuthFlow bei Ihrem SOWA Privacy-Konto anzumelden. Wird nur verwendet, wenn Sie auf „Anmelden" klicken.
• alarms – um Ihre Berechtigungen einmal pro Stunde zu aktualisieren, damit Tarifänderungen auch dann wirksam werden, wenn Sie die Erweiterung gerade nicht aktiv nutzen.

Das Content-Script läuft auf <all_urls>, aber die Erkennung und die Privacy-Eule werden nur auf den sieben KI-Chat-Domains der Standard-Integrationsliste aktiviert (ChatGPT, OpenAI, Claude, Gemini, Copilot, Grok, x.ai). Sie können Seiten unter Einstellungen → Seiten & Datenschutz hinzufügen oder entfernen.

14. Cookies und lokaler Speicher

• Die Erweiterung speichert nichts in Cookies – ausschließlich in chrome.storage.local und chrome.storage.session.
• Die Marketing-Website setzt einen sowa-analytics-consent-Eintrag im localStorage, um Ihre Analyse-Entscheidung zu merken. Dabei handelt es sich nicht um ein Tracking-Cookie.
• Das Dashboard (Seiten Konto, Abrechnung, Einstellungen) setzt über Supabase Auth ein notwendiges Erstanbieter-Authentifizierungscookie, damit Ihre Sitzung Seitenneuladevorgänge übersteht. Dieses Cookie ist für den Dienst unbedingt erforderlich und wird nicht zum Tracking verwendet.
• PostHog-Analyse – nur wenn Sie das Einwilligungs-Banner akzeptieren. Bei Zustimmung setzt PostHog Erstanbieter-Cookies / localStorage-Einträge, um Seitenaufrufe und aggregierte Interaktionen auf der Marketing-Website zu zählen. Es ist standardmäßig deaktiviert, berücksichtigt das „Do Not Track"-Signal Ihres Browsers automatisch, führt kein Session-Replay durch und lädt niemals innerhalb der Erweiterung. Sie können Ihre Meinung jederzeit ändern – eine Ablehnung (oder das Löschen des sowa-analytics-consent-Eintrags) beendet es und das Banner erscheint bei Ihrem nächsten Besuch erneut.
• HubSpot – wir laden das clientseitige Tracking-Skript von HubSpot nicht auf der Marketing-Website, setzen also keine HubSpot-Cookies. Falls Ihr Browser bereits ein HubSpot-Cookie (hubspotutk) von einer anderen Seite hat, kann dessen Wert mit Vertriebsformular-Übermittlungen weitergeleitet werden; das Löschen oder Blockieren beeinträchtigt niemals Ihre Nutzung der Erweiterung oder Ihres Kontos.

15. Sicherheit

Die Inhalte Ihrer KI-Konversationen und erkannte personenbezogene Daten verlassen niemals Ihren Browser, sodass diese Daten keinem serverseitigen Verletzungsrisiko ausgesetzt sind. Ihre lokalen Daten werden durch das Sicherheitsmodell Ihres Browsers und Betriebssystems geschützt – halten Sie Ihren Browser aktuell. In der Desktop-App liegen Ihre lokalen Daten im Datenverzeichnis Ihres Benutzerkontos und sind durch dessen Zugriffsrechte geschützt.

Konto- und Abrechnungsdaten liegen bei unseren Unterauftragsverarbeitern unter deren jeweiligen Sicherheitsregimen. Auf unserer Seite wenden wir das Least-Privilege-Prinzip an: Row-Level-Security in der Supabase-Datenbank, Stripe-Webhook-Signaturprüfung, Geheimnisse ausschließlich in Vercels verschlüsselten Umgebungsvariablen, HTTPS an jedem Endpunkt sowie kurzlebige JWTs mit Refresh-Token-Rotation.

16. Ihre Rechte

Nach der DSGVO (und gleichwertigen Gesetzen in anderen Rechtsordnungen) haben Sie das Recht auf:

• Auskunft über die personenbezogenen Daten, die wir über Sie speichern.
• Berichtigung unrichtiger oder unvollständiger Daten.
• Löschung Ihrer Daten, vorbehaltlich der in Abschnitt 11 beschriebenen gesetzlichen Aufbewahrungspflichten.
• Einschränkung der Verarbeitung in bestimmten Situationen.
• Widerspruch gegen eine auf berechtigten Interessen beruhende Verarbeitung.
• Datenübertragbarkeit – Erhalt einer Kopie Ihrer Kontodaten in einem maschinenlesbaren Format.
• Widerruf der Einwilligung jederzeit, sofern die Verarbeitung auf Einwilligung beruht.
• Beschwerde bei Ihrer zuständigen Aufsichtsbehörde. Eine Liste der EU-Behörden finden Sie unter edpb.europa.eu.

Bei lokal gespeicherten Erweiterungsdaten üben Sie diese Rechte direkt aus: Die Einstellungen zeigen jedes gespeicherte Element, die Prüfseite erlaubt Export und Löschen des Protokolls, und das Deinstallieren der Erweiterung löscht alles. Für Konto- und Abrechnungsdaten nutzen Sie den Bereich „Konto löschen" in Ihrem Profil: Ihr Konto wird sofort eingefroren und nach 30 Tagen endgültig gelöscht; in dieser Zeit können Sie abbrechen. Sie können auch von der im Konto hinterlegten Adresse an info@sowaprivacy.ai schreiben; wir antworten innerhalb von 30 Tagen.

17. Kinder

Die Erweiterung richtet sich nicht an Kinder. Sie müssen mindestens 16 Jahre alt sein (oder das Alter der digitalen Einwilligung in Ihrer Rechtsordnung erreicht haben), um ein SOWA Privacy-Konto zu erstellen oder ein Abonnement zu starten. Der kostenlose Starter-Tarif der Erweiterung verarbeitet alles lokal, und wir erfassen darüber wissentlich von niemandem – auch nicht von Kindern – personenbezogene Daten.

18. Quellcode-Transparenz

SOWA Privacy wird unter einer Source-Available-Lizenz vertrieben. Zugang zum vollständigen Quellcode gewähren wir auf Anfrage unter einer Vertraulichkeitsvereinbarung. Sie – oder eine Sicherheitsforscherin bzw. ein Sicherheitsforscher in Ihrem Auftrag – können den Code prüfen, um zu verifizieren, dass sich die Erweiterung genau so verhält, wie in dieser Erklärung beschrieben. Wir halten überprüfbare Aussagen für die stärkste Form von Vertrauen.

19. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Das Datum „Stand" oben auf der Seite gibt die letzte Überarbeitung wieder. Bei wesentlichen Änderungen benachrichtigen wir Sie über das Dashboard und, sofern angebracht, per E-Mail an die in Ihrem Konto hinterlegte Adresse.

20. Kontakt

Bei Fragen, Anliegen oder Beschwerden zu dieser Datenschutzerklärung kontaktieren Sie uns bitte:

• Email: info@sowaprivacy.ai
• Website: sowaprivacy.ai

Rechtsträger und Postanschrift: siehe unser Impressum.

Falls Sie mit uns keine zufriedenstellende Lösung erzielen, haben Sie das Recht, eine Beschwerde bei der Datenschutz-Aufsichtsbehörde Ihres Wohnsitzlandes einzureichen.