Datenschutzerklärung

1. Verantwortlicher

Max Plack
Lutherstraße 79
30171 Hannover
Deutschland

E-Mail: contact@consens.io. Siehe auch das Impressum. Das Projekt wird privat in Deutschland betrieben und derzeit nicht monetarisiert.

2. Zwecke und Daten, die wir verarbeiten

• Prompts und Modellausgaben in der Web-App: Wir verwenden sie, um den Dienst bereitzustellen, Anfragen an ausgewählte KI-Modelle zu senden und Antworten anzuzeigen. Wenn du angemeldet bist, werden Konsens-Unterhaltungen automatisch in Google Cloud Firestore gespeichert, einschließlich Fragen, Modellantworten, Konsens, Unterschieden, Quellen, Gesprächskontext und Metadaten von Anhängen. Die App speichert außerdem automatisch das zugehörige Lesezeichen in der Seitenleiste. Dafür ist keine gesonderte Speichern-Aktion nötig. Nachfragen verwenden den gespeicherten Gesprächskontext erneut, der durch einen zusätzlichen KI-Aufruf verdichtet werden kann. Diese Daten bleiben gespeichert, bis du die Unterhaltung bzw. das Lesezeichen oder dein Konto löschst; eine allgemeine automatische Ablauffrist für Chats gibt es nicht. Ein gesondertes temporäres Ergebnis zum Teilen läuft nach 24 Stunden ab und wird unabhängig von der gespeicherten Unterhaltung durch eine regelmäßige Bereinigung entfernt. Jede Modellantwort, die du erhältst, wird außerdem bis zu 24 Stunden serverseitig aufbewahrt, gebunden an dein Konto und diesen Lauf, damit der Konsens genau aus den Antworten gebildet wird, die die Modelle geliefert haben; diese Datensätze laufen automatisch ab und werden mit deinem Konto gelöscht.
• Läufe über die Konsens-API: Die vom Administrator ausgegebene Konsens-API speichert die übermittelte Frage, den serverseitig gewählten Modellplan, die Modellausgaben, den Konsens, die Unterschiedsanalyse, den Status und Zeitstempel in Firestore, damit Clients asynchrone Ergebnisse abrufen und Anfragen sicher wiederholen können. Inhalte von API-Läufen und ihre Idempotenz-Zuordnung laufen 30 Tage nach der Annahme ab und werden durch eine regelmäßige Bereinigung entfernt; Clients können abgeschlossene Läufe früher löschen. Eine vorzeitige Löschung entfernt den Inhalt des Laufs; bis zum ursprünglichen Ablauf bleibt nur ein inhaltsfreier Eintrag des gehashten Idempotenzschlüssels bestehen, damit ein gelöschter Lauf nicht erneut unter demselben Schlüssel gestartet werden kann. API-Schlüssel werden nur als SHA-256-Hash zusammen mit einem kurzen, nicht geheimen Anzeigepräfix und Audit-Zeitstempeln gespeichert. Während der Kontolöschung kann vorübergehend ein minimaler, an die UID gebundener Sperreintrag aufbewahrt werden, falls die Bereinigung wiederholt werden muss.
• Technische Anfragen und Protokolle: Deine IP-Adresse, die angeforderte Ressource, Verbindungs- und Browserinformationen sowie der Zeitpunkt werden verarbeitet, um Seiten auszuliefern und den Dienst zu schützen. Die Anwendungsdiagnose nutzt inhaltsfreie Fehlerkategorien, Zählwerte und Zeitmessungen. Die Hosting-Infrastruktur kann eigene Zugriffsprotokolle führen; dass unsere Anwendungsdatenbank keine IP-Adressen enthält, bedeutet nicht, dass Infrastrukturanbieter sie nie verarbeiten.
• Durchsicht von Unterhaltungen zur Fehlerbehebung und Verbesserung des Dienstes: Der Betreiber kann einzelne gespeicherte Unterhaltungen einschließlich Frage, Antworten, Quellen und Laufdetails ansehen, um Fehler zu finden und zu beheben, langsame, fehlgeschlagene oder schlecht beantwortete Läufe nachzuvollziehen und die Antwortqualität sowie den Dienst zu verbessern. Das tut nur der Betreiber; Ergebnisse werden als Notizen ohne deine Identität festgehalten und weder für Werbung genutzt noch verkauft noch zur Erstellung eines Profils über dich verwendet. Es wird keine zusätzliche Kopie der Unterhaltung angelegt; wenn du eine Unterhaltung oder dein Konto löschst, endet damit also auch jede weitere Durchsicht.
• Anhänge und erzeugte Dokumente: Gewöhnliche Anhänge im Konsens-Modus werden nur vorübergehend verarbeitet. Im Agent (Beta) werden private Dateiinhalte und erzeugte DOCX-/PDF-Dateien 30 Tage lang in einem privaten Bucket in Google Cloud Storage aufbewahrt; Einträge zu Extraktion, Herkunft und Versionen werden in Firestore gespeichert. Du kannst Dateien früher entfernen oder den Chat bzw. das Konto löschen. Relevante Auszüge oder unterstützte Bildinhalte können an die Modelle gesendet werden, die für deine Anfrage verwendet werden. Zitate und Zusammenfassungen in gespeicherten Chat-Antworten bleiben erhalten, bis dieser Chat gelöscht wird.
• Optionale Quellen aus Google Kalender, Gmail und Google Drive: Mit deiner gesonderten OAuth-Berechtigung speichert Consens die E-Mail-Adresse deines Google-Kontos, die erteilten Berechtigungen und verschlüsselte Zugangsdaten für Zugriff und Aktualisierung (Access/Refresh) für Google Kalender und Gmail. Du wählst für eine Nachricht Kalender oder relevante Gmail-Suchanfragen bzw. -Nachrichten aus. Dateien, die du in Googles eigenem Drive-Auswahldialog auswählst, werden mit einer kurzlebigen, auf diese Dateien beschränkten Berechtigung gelesen (kein gespeicherter Drive-Zugriff) und wie jede andere Datei gespeichert, die du anhängst. Bevor Google-Informationen in einen Chat gelangen, erlaubst du ausdrücklich und einmalig für diesen Chat, dass relevante Google-Informationen und der gespeicherte Chat-Kontext an die Modell-Endpunkte des Chats gesendet werden, und zwar nur mit Zero Data Retention (ohne Datenaufbewahrung) und an Endpunkte, die keine Prompts erfassen; die Websuche ist in solchen Chats ausgeschaltet. Es findet keine Synchronisierung von Kalender, Posteingang oder Drive im Hintergrund statt. Standardmäßig liest Consens Google-Daten nur und sendet, ändert oder löscht nie etwas bei Google. Wo eine Installation Schreibzugriffe aktiviert, erfordert das Erstellen oder Aktualisieren eines Termins, einschließlich Benachrichtigungen an Teilnehmende, oder das Senden einer E-Mail die Bestätigung der genauen Vorschau. E-Mail-Entwürfe werden in Consens gespeichert, nicht in den Gmail-Entwürfen; Vorschauen zeigen alle Empfänger, Inhalte, Verweise auf die Originalnachricht und private Anhänge. Vorschläge, Header mit Nachrichtenverweisen und Aktionsergebnisse werden 30 Tage lang aufbewahrt; daraus abgeleitete Chat-Antworten folgen der Speicherdauer des Chats. Trenne die Verbindung über die Google-Steuerung im Agent, um Zugangsdaten sofort zu entfernen, und widerrufe den Zugriff in deinem Google-Konto, falls der Widerruf beim Anbieter nicht bestätigt werden konnte. Wenn du deinen Chat löschst, werden seine Vorschläge, Nachrichtenverweise und privaten Dateien entfernt; eine inhaltsfreie Sperre aus Hash und Status der Schreibabsicht bleibt bis zu 30 Tage bestehen, um doppelte, noch nicht abgeschlossene Vorgänge zu verhindern. Wenn du dein Konto löschst, wird Google aufgefordert, den gespeicherten Zugriff zu widerrufen, und die Zugangsdaten der Verbindung sowie alle zugehörigen Chat-Daten werden entfernt.
• Kontodaten: Wenn du dich registrierst, werden deine E-Mail-Adresse und eine Nutzer-ID über Google Firebase Authentication (einschließlich der optionalen Anmeldung mit Google) für die Zugangskontrolle, die Kontingentverwaltung und damit verbundene Nutzungsfunktionen verarbeitet. Dein Tarif und deine gespeicherten Lesezeichen (Anfrage, Antworten, Quellen, Metadaten von Anhängen) werden in Google Cloud Firestore gespeichert, bis du sie oder dein Konto löschst.
• Kontoeinstellungen: Solange du angemeldet bist, werden die Einstellungen, die du in der App wählst (Laufmodus, die von dir gewählten Modelle und Agent-Optionen, dein eigener System-Prompt und Anzeigeoptionen), mit deinem Konto in Google Cloud Firestore gespeichert, damit sie auf jedem Gerät gelten, auf dem du dich anmeldest. Einstellungen, die du nie geändert hast, werden nicht gespeichert; wenn du eine Modellauswahl änderst, werden die dann für alle Modellfamilien ausgewählten Modelle gemeinsam als deine Auswahl gespeichert. Wenn du dich zum ersten Mal in einem Browser anmeldest, werden die dort bereits getroffenen Entscheidungen, auch solche vor der Anmeldung, in dein Konto übernommen, soweit es dort noch keine gibt. Dein Browser behält eine Kopie, die beim Abmelden entfernt wird. Die Einstellungen werden mit deinem Konto gelöscht. Außerdem speichern wir mit deinem Konto die Sprache, in der die App zuletzt angezeigt wurde (Englisch oder Deutsch), damit E-Mails zu deinen Watches und der Morning Brief sie verwenden; sie wird mit deinem Konto gelöscht. Dein eigener System-Prompt wird mit deinen Fragen an die Modelle deiner Läufe gesendet; bitte trage darin keine besonderen Kategorien personenbezogener Daten ein.
• Dein Gedächtnis (optionales Profil, Notizen und gespeicherte Erinnerungen): In den Einstellungen kannst du ein kurzes Profil über dich schreiben (wer du bist, woran du arbeitest, wie Antworten geschrieben sein sollen, Vorgaben, die immer gelten) und eine längere, von dir selbst gepflegte Gedächtnisnotiz. Beides wird in deinem Konto in Google Cloud Firestore gespeichert und der Anweisung hinzugefügt, die an jedes Modell gesendet wird, das du für einen Lauf auswählst; diese Modellanbieter erhalten es also mit jeder Frage. Solange du „Agent darf Gedächtnis aktualisieren“ (siehe unten) nicht einschaltest, wird aus deinen Fragen oder aus Modellantworten nichts automatisch abgeleitet, zusammengefasst oder umgeschrieben. Wenn du in einer interaktiven Frage, im Konsens oder in einer Modellantwort ausdrücklich eine Aussage markierst und die Aktion „Merken“ oder „Gedächtnis korrigieren“ absendest, senden wir das aktuelle Gedächtnis (bis zur Grenze deines Tarifs), die markierte Aussage, deinen Text und die gewählte Absicht (hinzufügen oder korrigieren) über OpenRouter an das konfigurierte Modell. Es darf nur einen einzigen strukturierten Vorschlag zum Ersetzen, Anhängen oder Löschen zurückgeben; unser Server prüft und übernimmt ihn. Eine „Merken“-Aktion darf eine eindeutig passende Stelle anhängen oder ersetzen, aber keine löschen. Wir speichern einen Idempotenz-Eintrag, dauerhafte Nutzungszähler und eine Kopie deines vorherigen Gedächtnisses für „Rückgängig“. „Rückgängig“ ist kurze Zeit nach der Änderung verfügbar; die Kopie deines vorherigen Gedächtnisses wird 30 Tage nach der Änderung automatisch gelöscht. Ein inhaltsfreier Eintrag (Status, Revisionsnummern und Anfragereferenz) bleibt bis zur Kontolöschung bestehen, damit eine wiederholte Anfrage nicht doppelt angewendet wird. Diese Einträge werden nie für Watch- oder Themen-Läufe verwendet und mit deinem Konto gelöscht. In den Einstellungen gibt es außerdem eine Liste kurzer gespeicherter Erinnerungen, die du selbst hinzufügen, bearbeiten und löschen kannst. Nur wenn du „Agent darf Gedächtnis aktualisieren“ einschaltest (standardmäßig aus), darf das von dir genutzte Agent-Modell beim Antworten gespeicherte Erinnerungen hinzufügen, aktualisieren oder löschen. Das darf es nur auf Grundlage von Aussagen in deinen eigenen Nachrichten in diesem Chat: Jede Änderung muss deine Worte zitieren, und unser Server lehnt Änderungen ab, deren Zitat dort nicht vorkommt (eine Stelle, die du aus einer früheren Antwort zitierst, zählt nicht als deine Worte); Inhalte aus Webseiten, Dateien, E-Mails oder anderen Werkzeugergebnissen können also nicht allein aufgrund ihres eigenen Textes gespeichert werden. Der Agent ist angewiesen, keine besonderen Kategorien personenbezogener Daten festzuhalten, es sei denn, du bittest ausdrücklich darum, und unser Server lehnt Text ab, der wie ein Passwort, ein Zugangsschlüssel, eine Karten- oder Kontonummer aussieht. Jede Änderung wird angezeigt, während der Agent an der Antwort arbeitet, und die Gedächtnis-Einstellungen listen jede gespeicherte Erinnerung zum Prüfen, Bearbeiten, Löschen und Rückgängigmachen auf. Für „Rückgängig“ bewahren wir zu jeder Änderung einen Eintrag mit dem vorherigen und dem neuen Text höchstens 30 Tage lang auf (höchstens die letzten 50 Änderungen); der Chat, in dem eine Änderung vorgenommen wurde, behält bis zu seiner Löschung nur einen Vermerk, welche Erinnerung hinzugefügt, geändert oder gelöscht wurde (ohne deren Text). Gespeicherte Erinnerungen werden zusammen mit deinem Profil und deiner Notiz an die Modelle deiner Läufe gesendet, solange das Gedächtnis eingeschaltet ist. Wenn du die Option ausschaltest, finden keine neuen automatischen Änderungen mehr statt; bestehende gespeicherte Erinnerungen bleiben erhalten, bis du sie löschst. Darüber hinaus wird nur Text gespeichert und verwendet, den du in den Gedächtnis-Einstellungen eingibst oder ausdrücklich über „Merken“ oder „Gedächtnis korrigieren“ absendest. Du kannst dein Gedächtnis jederzeit bearbeiten, mit einem einzigen Schalter pausieren oder leeren; es wird mit deinem Konto gelöscht. Geplante Wiederholungsläufe von Watches erhalten dein Gedächtnisprofil nicht als gesonderte Eingabe, und veröffentlichte Seiten zeigen es nicht als Profilfeld an. Erzeugte Antworten oder Fragen können jedoch persönliche Angaben aus dem Gedächtnis widerspiegeln; prüfe Inhalte, bevor du sie veröffentlichst. Bitte gib keine besonderen Kategorien personenbezogener Daten (zum Beispiel Gesundheit, Überzeugungen oder politische Meinungen) und keine personenbezogenen Daten anderer Personen ein.
• Missbrauchsschutz und Nutzung: IP-basierte Ratenbegrenzungen und kontogebundene Zähler verhindern Überlastung und Missbrauch des Kontingents. Wir speichern Einträge zu Nutzung, Tarif, Anfrage-Idempotenz und Abstimmungen, aber keine Zuordnung von IP-Adressen zu Kontoregistrierungen. Stimmen für die Modell-Rangliste werden intern an dein Konto gebunden; die öffentliche Rangliste enthält aggregierte Zählwerte pro Modell.
• Feedback: Wenn du Feedback sendest, speichern wir deine Nachricht, die E-Mail-Adresse, die du optional angibst, deine Konto-ID und einen Zeitstempel, so lange, wie es nötig ist, um dem Feedback nachzugehen.
• Frühere Interessensbekundungen: Einträge aus der früheren Funktion zur Bekundung von Interesse an Pro können Konto-ID, E-Mail-Adresse und Zeitstempel enthalten. Die aktuelle App bietet diese Übermittlung nicht mehr an. Bestehende Einträge werden mit der Kontolöschung oder auf einen Löschantrag hin entfernt, sofern kein vorrangiger Aufbewahrungsgrund besteht.
• Browserspeicher und Cookies: Firebase nutzt den Browserspeicher, um die von dir gewünschte Anmeldung aufrechtzuerhalten, mit einem nur für die Sitzung geltenden Speicher als Ausweichlösung. Ein eigenes HttpOnly-Sitzungscookie (First-Party) für geschützte Seiten läuft nach einer Stunde ab oder wird beim Abmelden entfernt. Solange du angemeldet bist, sorgt ein eigenes Cookie (consens_app=1, ohne Kennung, ein Jahr) dafür, dass consens.io direkt die App statt der Startseite öffnet; es wird beim Abmelden entfernt. Wählst du eine Sprache, merkt sich ein eigenes Cookie (consens_lang, ohne Kennung, ein Jahr) diese Wahl; wählst du wieder die Browsersprache, wird es entfernt. Der lokale bzw. Sitzungsspeicher enthält außerdem Einstellungen für Oberfläche und Modelle (bei angemeldeten Konten eine Kopie der oben genannten Kontoeinstellungen), Feature-Flags und, falls eingegeben, deinen OpenRouter-Schlüssel. Dauerhafte Einstellungen bleiben bestehen, bis sie in der App oder im Browser geändert oder gelöscht werden. Speicherung und Zugriff, die für einen von dir ausdrücklich gewünschten Dienst unbedingt erforderlich sind, beruhen auf § 25 Abs. 2 Nr. 2 TDDDG; die damit verbundene Verarbeitung personenbezogener Daten stützt sich auf die unten genannten Rechtsgrundlagen der DSGVO. Wenn du Browserspeicher ablehnst oder löschst, kann das eine dauerhafte Anmeldung oder dauerhafte Einstellungen verhindern.
• Dein eigener OpenRouter-Schlüssel, optional: Wenn du ihn eingibst, wird der Schlüssel nur in deinem Browser gespeichert. Bei jeder Anfrage wird er über eine verschlüsselte Verbindung durch unseren Server an OpenRouter übertragen, um deine Modellanfragen zu authentifizieren. Wir speichern deinen Schlüssel nicht auf dem Server.

3. Nutzungsanalyse mit Umami

Wir nutzen Umami Cloud für eine datenschutzfreundliche Webanalyse. Umami erfasst Seitenaufrufe und ausgewählte Interaktionsereignisse, damit wir verstehen, welche Teile von consens.io genutzt werden, das Produkt verbessern, Hürden finden und Missbrauch verhindern können. Der Tracker ist so konfiguriert, dass er Do-Not-Track-Signale des Browsers beachtet und URL-Suchparameter sowie Hash-Fragmente ausschließt.

Umami kann technische Nutzungsinformationen verarbeiten, etwa besuchte Seiten, Referrer, Browser, Betriebssystem, Gerätetyp, ungefähres Land, Zeitstempel und die unten aufgeführten benutzerdefinierten Ereignisse. Nach Angaben von Umami verwendet sein Tracking-Code keine Cookies, anonymisiert die erhobenen Daten und identifiziert Nutzer nicht websiteübergreifend.

Die benutzerdefinierten Ereignisse, die wir erfassen, beschränken sich auf Signale zur Produktnutzung: Handlungsaufforderungen auf der Startseite, das Öffnen oder Nutzen der App, das Senden oder Abbrechen einer Anfrage, den Abschluss eines Modelllaufs, das Erzeugen oder Abbrechen eines Konsenses, das Kopieren eines Konsenses oder einer Quellenangabe, den Wechsel von Oberflächenmodi, Änderungen der Modellauswahl, das Öffnen von Abschnitten der Seitenleiste, Aktionen in Einstellungen, Hilfe und Feedback, Versuche und Ergebnisse von Anmeldung, Registrierung, Zurücksetzen des Passworts und Kontolöschung, Aktionen zum Speichern, Öffnen und Löschen von Lesezeichen sowie Ergebnisse von API-Schlüssel-Tests.

Ereigniseigenschaften beschränken sich auf inhaltsfreie Metadaten, zum Beispiel den ausgewählten Modus, die Anzahl der ausgewählten Modelle, die Anbieter- oder Modellbezeichnung, den Status, die Art des Auslösers, den gewählten Modus (Vergleich, Konsens oder Agent) und boolesche Zustände wie „angemeldet“ oder „eigene Schlüssel“. Wir senden keine Prompts, Modellantworten, Konsenstexte, Texte von Feedback-Nachrichten, E-Mail-Adressen, Passwörter, Authentifizierungstoken, API-Schlüssel, Lesezeicheninhalte oder andere von Nutzern eingegebene Inhalte als benutzerdefinierte Ereignisdaten an Umami.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse daran, die aggregierte Produktnutzung zu messen, den Dienst zu verbessern, die Sicherheit zu gewährleisten und die Entwicklung zu priorisieren. Du kannst dieser Verarbeitung nach Art. 21 DSGVO über die oben genannten Kontaktdaten widersprechen. Um das Tracking in diesem Browser zu deaktivieren, schalte das Umami-Tracking aus. Dadurch wird lokal eine Opt-out-Einstellung gespeichert; wenn du den Browserspeicher löschst, wird diese Einstellung entfernt. Du kannst jederzeit das Opt-out aufheben. Der Tracker beachtet außerdem Do-Not-Track-Signale des Browsers.

4. Weiterleitung an Anbieter

Die Nutzung von Informationen, die über Google-Workspace-APIs empfangen werden, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use). Google-Informationen werden für die angeforderte nutzerseitige Aufgabe verwendet und weder verkauft noch für Werbung oder zum Training von KI-Modellen mit allgemeinem Verwendungszweck genutzt. Jede Modellanfrage in einem Chat mit Google-Daten setzt Zero Data Retention (keine Datenaufbewahrung) voraus und schließt Endpunkte aus, die Prompts erfassen könnten (der Betreiber kann dies auf eine geprüfte Positivliste einschränken); Websuche und externe Quellenprüfungen sind deaktiviert. Diese Routing-Vorgaben ersetzen nicht die Pflichten des Betreibers, die Verarbeitungsbedingungen der Anbieter und erforderliche Google-Freigaben zu prüfen.

Modellanfragen laufen über OpenRouter, Inc. (USA). Zu den verfügbaren Modellfamilien gehören OpenAI, Anthropic/Claude, Google/Gemini, Mistral, xAI/Grok, DeepSeek, Moonshot AI/Kimi, Z.ai/GLM, Meta/Muse und Alibaba/Qwen. Der Entwickler eines Modells ist nicht unbedingt das Unternehmen, das den Endpunkt betreibt: OpenRouter kann dasselbe Modell an verschiedene Infrastrukturanbieter weiterleiten.

Je nach Funktion enthalten Anfragen deine Frage, Anweisungen, das aktivierte Gedächtnis, Anhänge, früheren Gesprächskontext, Modellantworten und Quellen. Konsens, Unterschiede, Abdeckungsprüfungen, Klärung von Widersprüchen, Kontextaufbereitung und ausdrückliche Änderungen am Gedächtnis können über die Vergleichsmodelle hinaus weitere konfigurierte Modelle einbeziehen. Geplante Watches und API-Läufe verwenden serverseitig konfigurierte Modelle. Wenn du ein Vergleichsmodell abwählst, schließt das daher nicht jeden möglichen verarbeitenden Endpunkt aus.

Unsere Inferenzanfragen fordern OpenRouter auf, jede Anfrage an den Endpunkt mit dem höchsten gemessenen Durchsatz unter den Endpunkten zu senden, die keine Prompts erfassen; dafür nutzen wir die Einstellung zur Datenerfassung von OpenRouter („deny“). Endpunkte, die Prompts zum Training von Modellen verwenden könnten, werden daher nicht genutzt. Außerhalb von Chats mit Google-Daten (siehe oben) ist Zero Data Retention nicht vorausgesetzt: Der antwortende Endpunkt kann Prompts und Antworten nach seinen eigenen Bedingungen für einen begrenzten Zeitraum aufbewahren, zum Beispiel zur Missbrauchsüberwachung oder aufgrund gesetzlicher Pflichten. Vorübergehendes Prompt-Caching kann vorkommen, betriebliche Metadaten sind davon getrennt, und die eigene optionale Inhaltsprotokollierung von OpenRouter hängt von den Einstellungen des Kontos ab.

Modellläufe können das Websuche-Tool von OpenRouter nutzen. Aus deiner Eingabe abgeleitete Suchbegriffe können den ausgewählten Suchdienst erreichen, darunter Exa oder native Suchdienste. Deren Verarbeitung und Aufbewahrung richten sich nach den eigenen Bedingungen dieser Dienste.

Es gibt keine Beschränkung auf Endpunkte ausschließlich in der EU. Die Verarbeitung kann außerhalb von EU/EWR stattfinden, unter anderem in den USA und, je nach tatsächlichem Endpunkt, in Singapur oder China. Modellbezeichnungen allein lassen nicht erkennen, in welchem Land die Verarbeitung stattfindet. Übermittle keine vertraulichen Informationen und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Diese Vorsichtsmaßnahme ersetzt nicht unsere eigenen Datenschutzpflichten.

5. Geteilte Seiten (öffentliches Teilen)

Wenn du eine Konsens-Antwort als öffentliche geteilte Seite veröffentlichst (eine ausdrückliche, freiwillige Aktion in der App), speichern wir die geteilten Inhalte (Frage, Konsens-Antwort, Unterschiedsanalyse, Quellen und Modellnamen) zusammen mit deiner internen Konto-ID. Die Konto-ID wird ausschließlich verwendet, damit du deine eigenen geteilten Seiten verwalten und widerrufen kannst und damit wir unseren Moderationspflichten nachkommen können; sie wird nie öffentlich angezeigt und nie in die öffentliche Seite eingebettet.

Geteilte Seiten, die über die Aktion „Teilen“ erstellt werden, sind öffentlich: Jeder mit dem Link kann sie lesen, und ausgewählte Seiten können über eine vom Betreiber gesteuerte Indexierung in Suchmaschinen erscheinen, einschließlich der automatisierten Veröffentlichung vom Betreiber konfigurierter Themen-Inhalte. Watch-Seiten können stattdessen privat sein. Eine private Watch-Seite ist nur für die Person zugänglich, die sie erstellt hat, und nur im angemeldeten Zustand; sie wird nie zur Indexierung eingereicht und nicht als verwandte Seite angezeigt. Bitte nimm keine personenbezogenen Daten in Inhalte auf, die du veröffentlichst.

Besucher können eine geteilte Seite melden („Diese Seite melden“). Der Meldeeintrag enthält Zähler pro Grund, ohne Konto der meldenden Person, IP-Adresse oder Browserdaten. Die HTTP-Anfrage unterliegt dennoch der üblichen technischen Verarbeitung und Ratenbegrenzungen. Meldungen priorisieren eine Seite für unsere Prüfung; Entscheidungen über Indexierung oder Sperrung werden in dieser Prüfung getroffen, nicht automatisch durch die Zähler.

Wenn du Consensus Watch aktivierst, führen wir regelmäßig nur die ursprüngliche Frage mit einer begrenzten Auswahl an Modellen erneut aus. Wir speichern kompakte Verlaufspunkte (Datum, Übereinstimmungswert, Urteil und eine kurze Zusammenfassung der Änderung) bei der ausgewählten öffentlichen oder privaten Watch-Seite, aber nicht die vollständigen Modellantworten der Wiederholungsläufe. Du kannst Benachrichtigungen des Dienstes für wesentliche Änderungen, für jeden erfolgreichen neuen Konsens oder für den Fall wählen, dass eine von dir eingegebene Bedingung erfüllt ist. Die gewählte lokale Uhrzeit für den Lauf und die Zeitzone werden mit dem Zeitplan der Watch gespeichert. Bedingungen werden mit den privaten Watch-Einstellungen gespeichert und von einem KI-Prüfer anhand jedes neu erzeugten Konsenses bewertet; sie werden auf öffentlichen Seiten nicht angezeigt. Eine Benachrichtigung zu einer Bedingung wird gesendet, wenn das Ergebnis zu „erfüllt“ wechselt, nicht wiederholt, solange es erfüllt bleibt. Ergebnisbenachrichtigungen können den erzeugten Konsenstext enthalten. Wiederholte Fehlschläge können außerdem einen einmaligen Hinweis auf eine Pausierung auslösen. Jede Watch-E-Mail enthält einen signierten Link, der die Watch ohne Anmeldung pausiert. Benachrichtigungen (einschließlich Updates für Follower und zu Themen sowie des Morning Brief) werden zunächst als Zustellauftrag gespeichert, der die Empfängerreferenz, die Frage, Werte und die Zusammenfassung der Änderung enthält, aber nicht den vollständigen Konsenstext, damit eine vorübergehend fehlgeschlagene Zustellung für eine begrenzte Zeit erneut versucht werden kann. Vor jedem Versuch prüfen wir erneut, ob die Watch noch aktiv und das Abonnement bzw. der Kanal noch aktiviert ist; an ein gekündigtes Abonnement wird nie verspätet zugestellt. Abgeschlossene Zustellaufträge werden etwa 30 Tage nach ihrer Erstellung durch regelmäßige Wartung entfernt, die Aufträge eines Watch-Inhabers sofort, wenn dessen Konto gelöscht wird. Aufträge für Follower von Seiten oder Themen verweisen auf das Abonnement nur über eine pseudonyme Kennung, nicht über die E-Mail-Adresse.

Optionale Zustellung über Telegram: Wenn du angemeldet bist, kannst du freiwillig einen privaten Telegram-Chat verbinden und Telegram für einzelne Watches gesondert aktivieren. Dafür speichern wir die Telegram-Chat- und Nutzerkennungen, den von Telegram übermittelten öffentlichen Telegram-Benutzernamen bzw. Vornamen, den Verbindungsstatus und minimale Zustellmetadaten. Das einmalige Token zur Kontoverknüpfung läuft nach zehn Minuten ab; abgelaufene Token-Einträge werden durch regelmäßige Wartung entfernt. Telegram erhält den für die Zustellung erforderlichen Benachrichtigungstext (Frage, Übereinstimmungswert und Zusammenfassung der Änderung oder erzeugter Konsens) sowie Callback-Daten für Aktionen wie Stummschalten oder Pausieren. Wir lesen keine anderen Telegram-Chats und verwenden Telegram-Daten nicht zum Training von Modellen. Das Trennen der Verbindung entfernt die Zuordnung zum Konto; eine Kontolöschung entfernt außerdem ausstehende Verknüpfungen und Zustellmetadaten. Zustellmetadaten werden ansonsten nach 90 Tagen automatisch entfernt. Für die eigene Verarbeitung durch Telegram gilt dessen Datenschutzerklärung.

Einer öffentlichen Watch-Seite folgen (Besucher): Besucher können Benachrichtigungen über Änderungen an einer öffentlichen Watch-Seite oder einem Thema abonnieren, indem sie eine E-Mail-Adresse eingeben, ohne ein Konto anzulegen. Das Abonnement wird erst aktiv, nachdem die Adresse über einen Link bestätigt wurde, den wir an sie senden (Double-Opt-in); schon vor der Bestätigung speichern wir gehashte Empfänger- und Ressourcenkennungen, Sendezeitpunkte und Zähler zur Missbrauchsverhinderung. Diese sind pseudonym, nicht anonym. Die Bestätigungsanfrage läuft nach drei Tagen ab; der Ablauf des Links löscht nicht von selbst alle Einträge zum Missbrauchsschutz. Für aktive Abonnements speichern wir nur die bestätigte E-Mail-Adresse, die abonnierte Seite, das Bestätigungsdatum und die Sprache der Bestätigungsseite (Englisch oder Deutsch) für die Benachrichtigungen, aber keine IP-Adresse und keine sonstigen Browserdaten. Die Adresse wird ausschließlich verwendet, um Benachrichtigungen über wesentliche Änderungen an dieser Seite zu senden. Jede Benachrichtigung enthält einen signierten Link zum Abbestellen, der die Adresse ohne Anmeldung entfernt. Adressen von Followern werden sofort gelöscht, wenn das Abonnement gekündigt wird und wenn die abonnierte Seite widerrufen oder gelöscht wird.

Speicherdauer und Löschung:

• Konsens-Ergebnisse, die geteilt werden können, und die einzelnen Modellantworten, aus denen ein Konsens gebildet wird, werden serverseitig mit einer Ablauffrist von 24 Stunden aufbewahrt und danach durch eine regelmäßige Bereinigung entfernt. Gespeicherte Unterhaltungen und Lesezeichen haben ihre eigene Speicherdauer.
• Geteilte Seiten bleiben online, bis du sie widerrufst oder dein Konto löschst.
• Wenn du eine geteilte Seite widerrufst, stellt consens.io sie innerhalb weniger Minuten nicht mehr öffentlich bereit, und sie wird nach einer Aufbewahrungsfrist von 30 Tagen zur endgültigen Löschung vorgemerkt, die durch eine regelmäßige Bereinigung erfolgt. Öffentliche Seiten werden von unseren Servern und von Browsern nur kurz zwischengespeichert; Kopien, die Suchmaschinen oder Dritte vorhalten, liegen außerhalb unserer Kontrolle.
• Wenn du dein Konto löschst, werden alle deine Watches, der Watch-Verlauf, geteilte Seiten, ausstehende Ergebnisse sowie Telegram-Verbindungs- und Zustellmetadaten im Rahmen der Kontolöschung gelöscht.
• Meldezähler werden zusammen mit der Seite gelöscht.
• E-Mail-Adressen von Followern werden gelöscht, wenn das Abonnement über den Link zum Abbestellen gekündigt wird und wenn die abonnierte Seite widerrufen oder gelöscht wird.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für das Veröffentlichen und Verwalten von Seiten, die du erstellst, sowie für deine eigenen Watch-Einstellungen und angeforderte Benachrichtigungen des Dienstes; Art. 6 Abs. 1 lit. a DSGVO für E-Mail-Abonnements von Besuchern, die per Double-Opt-in bestätigt wurden (jederzeit über den Link zum Abbestellen widerrufbar); Art. 6 Abs. 1 lit. f DSGVO für Moderation, Bearbeitung von Meldungen und Missbrauchsverhinderung.

6. Rechtsgrundlagen nach der DSGVO

• Art. 6 Abs. 1 lit. b: Bereitstellung des von dir gewünschten Kontos, der KI-Vergleiche, des Gesprächsverlaufs, des Gedächtnisses, des API-Zugangs sowie der Funktionen zum Teilen und für Watches sowie Beantwortung von Anfragen zum Dienst.
• Art. 6 Abs. 1 lit. f: Schutz des Dienstes vor Missbrauch, Fehlerdiagnose, Durchsicht einzelner Unterhaltungen zur Fehlerbehebung und Verbesserung des Dienstes, Moderation öffentlicher Inhalte, Bearbeitung allgemeinen Feedbacks und Führung aggregierter Modellstatistiken. Unsere Interessen sind ein sicherer, zuverlässiger Dienst und der Schutz von Nutzern und Dritten.
• Art. 6 Abs. 1 lit. a: optionale E-Mail-Abonnements von Besuchern und jede gesondert erbetene Einwilligung. Ein Widerruf gilt für die künftige Verarbeitung und berührt nicht die Rechtmäßigkeit der zuvor erfolgten Verarbeitung.
• Art. 6 Abs. 1 lit. c: soweit die Verarbeitung zur Erfüllung einer bestimmten rechtlichen Verpflichtung erforderlich ist, etwa zur Bearbeitung von Anträgen betroffener Personen oder rechtmäßiger behördlicher Anordnungen.

Die Angabe einer E-Mail-Adresse ist für ein Konto oder ein E-Mail-Abonnement erforderlich; das Absenden einer Frage ist für einen KI-Lauf erforderlich. Dies sind keine gesetzlichen Pflichten, aber die gewünschte Funktion kann ohne diese Angaben nicht funktionieren. Gedächtnis, das Hochladen von Dateien, das Teilen und Telegram sind optional.

Wir nutzen KI-Ausgaben nicht, um Entscheidungen über dich zu treffen, die dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Technische Zugangs- und Nutzungsgrenzen werden automatisch durchgesetzt; wende dich an uns, um eine Überprüfung zu verlangen, wenn du eine Beschränkung für einen Fehler hältst.

7. Empfänger, Auftragsverarbeiter und internationale Datenübermittlungen

• Hosting: Render Services, Inc. (USA), für das Hosting der Anwendung und technische Anfragen. Render leitet den gesamten Datenverkehr über seinen Netzwerkanbieter Cloudflare, Inc. (USA), der IP-Adressen und Metadaten der Anfragen verarbeitet, um die Verbindung bereitzustellen und zu schützen. Datenschutzhinweise von Render.
• Konten und Datenbank: Google Firebase Authentication und Cloud Firestore, bereitgestellt von Google auf Grundlage des geltenden Kontovertrags, für die Authentifizierung und gespeicherte Anwendungsdaten. Die Anmeldung mit Google ist optional. Datenschutzhinweise von Firebase.
• Analyse: Umami Cloud für die in Abschnitt 3 beschriebene Nutzungsanalyse.
• KI und Suche: OpenRouter und die in Abschnitt 4 beschriebenen Inferenz- und Suchendpunkte.
• E-Mail: Firebase für die Kontobestätigung und das Einrichten bzw. Zurücksetzen des Passworts; der konfigurierte SMTP-Zustelldienst für Bestätigungen und Benachrichtigungen zu Watches und Themen sowie für Morning Briefs. Die Zustellung umfasst Empfängeradresse, Betreff und Nachrichteninhalt, der deine Frage und Ergebnisse enthalten kann.
• Browser-Abhängigkeiten: Google (gstatic.com) erhält technische Anfragen einschließlich der IP-Adresse, wenn Seiten die Anmeldebibliothek laden. Bibliotheken für Darstellung und mathematische Formeln liefert consens.io selbst aus.
• Telegram: optionale Zustellung deiner Watch-Benachrichtigungen nach Verbindung und Aktivierung des Kanals. Unabhängig davon erhält der Telegram-Bot des Betreibers inhaltsfreie Betriebsmeldungen (etwa Fehlerkategorien oder Registrierungsereignisse), ohne Prompts, E-Mail-Adressen oder Kontokennungen.
• Weitere Empfänger: Leser und Suchmaschinen bei bewusst öffentlichen Inhalten; Behörden oder Berater nur, soweit dies gesetzlich vorgeschrieben oder zur Bearbeitung eines Rechtsanspruchs erforderlich ist.

Internationale Datenübermittlungen erfordern zusätzlich zur Rechtsgrundlage der Verarbeitung aus Abschnitt 6 eine Grundlage nach Kapitel V DSGVO. Ein Angemessenheitsbeschluss gilt nur für die davon erfassten Empfänger; der Datenschutzrahmen EU-USA (EU–US Data Privacy Framework) gilt nur für teilnehmende, zertifizierte US-Stellen. Andere Übermittlungen erfordern geeignete Garantien, etwa anwendbare Standardvertragsklauseln und eine Bewertung der Übermittlungsrisiken.

Die Modellauswahl, die Annahme der Nutzungsbedingungen, die Verwendung deines eigenen API-Schlüssels und die Weiterleitung an Anbieter stellen diese Garantien nicht selbst her. Wir stützen uns bei routinemäßigen KI-Anfragen nicht pauschal auf die Ausnahme nach Art. 49 Abs. 1 lit. b DSGVO. Wende dich an uns, um Informationen über den jeweiligen Empfänger und eine Kopie der einschlägigen Übermittlungsgarantien zu erhalten.

8. Speicherdauer

Kontodaten, Kontoeinstellungen, Unterhaltungen, Kontextversionen, Lesezeichen, Gedächtnis und Revisionseinträge bleiben gespeichert, solange du diese gespeicherten Funktionen nutzt, bis zur jeweiligen Löschung oder zur Kontolöschung. API-Läufe verfallen nach 30 Tagen; temporäre Ergebnisse zum Teilen verfallen nach 24 Stunden. Ablauf und physische Löschung sind nicht dasselbe: Eine regelmäßige Bereinigung entfernt abgelaufene Einträge, und eine fehlgeschlagene Bereinigung wird wiederholt.

Öffentliche und private Momentaufnahmen, Watches und Abonnements folgen den Löschregeln in Abschnitt 5. Feedback und Korrespondenz werden aufbewahrt, bis die Angelegenheit erledigt ist, länger nur, soweit dies für eine rechtliche Verpflichtung oder einen konkreten Rechtsanspruch erforderlich ist. Minimale Einträge zu Sicherheit, Kontingent und Missbrauch von Abonnements werden verarbeitet, um wiederholten Missbrauch zu verhindern; einige sind an ein Konto gebunden und werden bei der Kontolöschung entfernt. Ein Hash oder ein abgelaufenes Token ist nicht automatisch anonym oder gelöscht.

Die Kontolöschung umfasst auch gespeicherte Chats und Kontext. Schlägt ein Bereinigungsschritt fehl, wird das Konto für weitere Schreibvorgänge gesperrt und die Bereinigung wiederholt; ein minimaler Eintrag zum Löschauftrag wird aufbewahrt, um diese Arbeit abzuschließen. Hosting-Protokolle, Zustellprotokolle für E-Mails und Sicherungskopien der Infrastruktur haben eine vom Anbieter bzw. von der Konfiguration abhängige Speicherdauer. Eine sofortige Löschung aus jeder Sicherungskopie der Infrastruktur wird nicht zugesagt.

9. Deine Rechte in der EU/im EWR

• Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO) nach Maßgabe der gesetzlichen Voraussetzungen.
• Widerspruchsrecht: Du kannst einer Verarbeitung, die auf berechtigten Interessen beruht, aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen (Art. 21 DSGVO); der Direktwerbung kannst du jederzeit ohne Angabe von Gründen widersprechen.
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO), insbesondere im Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts, an dem ein mutmaßlicher Verstoß stattgefunden hat; zuständig für uns ist die bzw. der Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen), Prinzenstraße 5, 30159 Hannover, Deutschland.

Du kannst dein Konto jederzeit selbst in den Einstellungen der App löschen („Konto löschen“). Dadurch werden dein Authentifizierungskonto, Profildaten, Kontoeinstellungen, dein Gedächtnisprofil, Notizen und gespeicherte Erinnerungen, Lesezeichen, Watches, der Watch-Verlauf, geteilte Seiten, ausstehende Ergebnisse zum Teilen, Telegram-Verbindungs- und Zustellmetadaten sowie Einträge entfernt, die du in den Listen für Feedback und Pro-Interesse angelegt hast. Für alles Weitere wende dich an die oben genannte Adresse.

10. Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen im Sinne von Art. 32 DSGVO um, darunter Zugriffsbeschränkungen, Protokollierung und aktuelle Transportverschlüsselung.

11. Kinder

consens.io richtet sich nicht an Kinder. Der Dienst ist für Personen ab 16 Jahren bestimmt. Nutzer unter 18 Jahren benötigen außerdem die Zustimmung ihres gesetzlichen Vertreters (in der Regel der Eltern), soweit dies für den Abschluss des Nutzungsvertrags erforderlich ist. Die Altersregel ist keine pauschale Einwilligung in die Datenverarbeitung.

12. Änderungen und Kontakt

Wir können diese Datenschutzerklärung aktualisieren und geben das Datum der letzten Aktualisierung unten an.

E-Mail: contact@consens.io