Datenschutzerklärung

Verantwortlicher im Sinne der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung – „DSGVO") ist:

paperglow ist ein eigenständiges Produkt der wissato UG, technisch und datenschutzrechtlich getrennt vom B2B-Dienst wissato betrieben (eigenes Supabase-Projekt, eigene Datenbank, eigener Speicher).

Datenschutzbeauftragter: Ein Datenschutzbeauftragter ist gesetzlich nicht zwingend zu benennen.

(1) Wir verarbeiten personenbezogene Daten unserer Nutzer grundsätzlich nur, soweit dies zur Bereitstellung einer funktionsfähigen Website sowie unserer Inhalte und Leistungen erforderlich ist oder eine sonstige Rechtsgrundlage besteht.

(2) Rechtsgrundlagen der Verarbeitung sind insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung und vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Für die Speicherung von Informationen in Ihrer Endeinrichtung bzw. den Zugriff darauf gelten ergänzend § 25 Abs. 1 TTDSG (Einwilligung) bzw. § 25 Abs. 2 Nr. 2 TTDSG (unbedingte Erforderlichkeit für einen von Ihnen ausdrücklich gewünschten Dienst).

(3) Personenbezogene Daten werden gelöscht, sobald der Zweck der Speicherung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(4) Wir beabsichtigen nicht, personenbezogene Daten für eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO zu nutzen. Die von paperglow erzeugten KI-gestützten Vorschläge (z. B. Kategorie, Frist, Keep/Toss-Einschätzung) dienen ausschließlich der Information des jeweiligen Nutzers, sind stets korrigierbar und entfalten ihm gegenüber keine rechtliche Wirkung.

Bei jedem Aufruf unserer Website erfasst unser System automatisiert Daten des zugreifenden Geräts: Browsertyp und -version, verwendetes Betriebssystem, Datum und Uhrzeit des Zugriffs, aufgerufene Seiten/Ressourcen sowie die IP-Adresse in gekürzter bzw. anonymisierter Form, soweit technisch möglich.

Zweck und Rechtsgrundlage: Auslieferung der Website, Systemsicherheit und Stabilität. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Logfiles werden nach kurzer Frist gelöscht, soweit sie nicht zur Aufklärung von Sicherheitsvorfällen benötigt werden.

Unsere Website, unsere Datenbank und unser Dateispeicher (Supabase) werden in der EU-Region Frankfurt betrieben. Für die KI-gestützte Auswertung Ihrer Dokumente (Extraktion, Chat) setzen wir das Sprachmodell Claude von Anthropic ein, bereitgestellt über Amazon Web Services (AWS Bedrock, Region Frankfurt) — für Texteinbettungen (Embeddings) setzen wir ein Modell von OpenAI ein, bereitgestellt über Microsoft Azure OpenAI Service (EU-Region) — siehe Abschnitt 7 für Details zur Rolle dieser Anbieter. Mit allen unten genannten Anbietern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO (Vertragserfüllung sowie berechtigtes Interesse an einem sicheren und effizienten Betrieb).

Für Kontobestätigung, Passwort-Zurücksetzen und Einladungen zu einem Haushalt versendet unser Authentifizierungsanbieter Supabase automatisierte E-Mails direkt aus der bereits genannten Supabase-Infrastruktur.

Wie beim Schwesterdienst wissato läuft die KI-Verarbeitung bei paperglow über eine zusätzliche AWS-/Azure-Zwischenschicht in der EU statt direkt über die Anbieter Anthropic und OpenAI — die übermittelten Inhalte verlassen die EU dadurch für diese beiden Verarbeitungsschritte nicht mehr in Richtung USA. Da die Konzernmütter von AWS und Microsoft dennoch in den USA sitzen, sichern wir die Übermittlung zusätzlich über EU-Standardvertragsklauseln nach Art. 46 DSGVO ab.

Für die Nutzung des Dienstes ist die Anlage eines Kontos erforderlich (E-Mail-Adresse, Passwort, optional Name). Wenn Sie den Familien-Tarif nutzen, können Sie weitere Haushaltsmitglieder einladen; deren Kontodaten (E-Mail, Name) verarbeiten wir zur Bereitstellung des gemeinsamen Zugangs.

Zweck und Rechtsgrundlage: Begründung, Durchführung und Verwaltung des Nutzungsverhältnisses. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Daten werden für die Dauer des Vertragsverhältnisses und im Rahmen gesetzlicher Aufbewahrungsfristen gespeichert.

(1) Der wesentliche Zweck des Dienstes besteht darin, von Ihnen hochgeladene oder fotografierte Dokumente (Post, Rechnungen, Verträge) auszulesen, einzuordnen, durchsuchbar zu machen und per KI-Chat abfragbar zu machen. Diese Dokumente können in erheblichem Umfang personenbezogene Daten enthalten — auch besondere Kategorien personenbezogener Daten (z. B. Gesundheitsdaten aus Arztrechnungen oder Versicherungsunterlagen), soweit Sie entsprechende Dokumente hochladen.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), für besondere Kategorien personenbezogener Daten zusätzlich Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung, die Sie durch das aktive Hochladen des jeweiligen Dokuments erteilen).

(3) Bei Fotos komprimieren wir die Bilddatei vor Speicherung und KI-Auswertung serverseitig (verkleinerte Auflösung, moderate Kompression) — das physische Original bleibt bei Ihnen; unsere gespeicherte Kopie dient nur der Übersicht und Auswertung.

(4) Ihre Dokumente sowie die daraus abgeleiteten Chunks/Embeddings werden, soweit optional aktiviert, serverseitig verschlüsselt gespeichert (Verschlüsselung „at rest" mit einem serverseitig verwalteten Schlüssel; keine Ende-zu-Ende-Verschlüsselung).

(5) Privatsphäre innerhalb des Haushalts: Wenn Sie den Familien-Tarif nutzen, können Sie einzelne Ordner als privat für sich selbst kennzeichnen — Dokumente in einem privaten Ordner sind dann weder für andere Haushaltsmitglieder noch für den Konto-Inhaber im Chat oder in der Dokumentenliste sichtbar.

(1) Zur Erbringung der KI-Funktionen setzen wir das Sprachmodell Claude von Anthropic ein (für Extraktion, Vision-Auswertung von Fotos, Fristenerkennung und den Chat-Assistenten), bereitgestellt über AWS Bedrock in der EU-Region Frankfurt, sowie ein Texteinbettungs-Modell von OpenAI (für die Volltext-/Sinn-Suche), bereitgestellt über Microsoft Azure OpenAI Service in der EU. Die eingesetzten Anbieter verwenden die über die Programmierschnittstelle (API) übermittelten Inhalte vertraglich nicht zum Training ihrer KI-Modelle.

(2) Der Chat-Assistent beantwortet Fragen ausschließlich auf Basis der von Ihnen (bzw. Ihrem Haushalt) hochgeladenen Dokumente. Private Ordner (Abschnitt 6 Absatz 5) werden dabei nicht in den Chat-Kontext einbezogen.

(3) Fristen-Erinnerungen: Erkennt paperglow in einem Dokument eine relevante Frist (z. B. Kündigungsfrist, Garantie, Vertragsverlängerung), legen wir hierfür einen Eintrag im Fristenradar an. Steht die Frist bevor, versenden wir eine Erinnerungs-E-Mail an Sie bzw. die von Ihnen zugewiesene Person im Haushalt.

(4) Transparenz nach der KI-Verordnung: Da unsere Vorschläge und Chat-Antworten mithilfe eines KI-Sprachmodells erzeugt werden, kennzeichnen wir sie gemäß Art. 50 der Verordnung (EU) 2024/1689 über künstliche Intelligenz dauerhaft sichtbar als KI-generiert. paperglow ist kein Hochrisiko-KI-System im Sinne dieser Verordnung.

Für kostenpflichtige Tarife setzen wir den externen Zahlungsdienstleister Lemon Squeezy (Lemon Squeezy LLC) ein, der als „Merchant of Record" auftritt — er schließt den Kaufvertrag über die Zahlung im eigenen Namen mit Ihnen ab und ist hierfür selbst datenschutz- und umsatzsteuerrechtlich verantwortlich, nicht wir. Die für die Zahlung erforderlichen Daten (z. B. Name, E-Mail-Adresse, Zahlungsdaten, Rechnungsanschrift) werden von Lemon Squeezy in eigener Verantwortung verarbeitet; wir selbst erhalten keine vollständigen Zahlungsmittelinformationen (z. B. keine vollständige Kreditkartennummer), sondern lediglich den Abrechnungsstatus und die gewählte Tarifstufe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zur statistischen Auswertung der Nutzung unserer Website setzen wir Vercel Analytics und Vercel Speed Insights ein. Beide Werkzeuge arbeiten ohne Cookies und bilden keine personenbezogenen Profile; es werden lediglich aggregierte Nutzungsdaten erhoben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Angebots).

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten zur Bearbeitung Ihrer Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

Eine Übermittlung Ihrer personenbezogenen Daten an Dritte findet nur in den in dieser Erklärung beschriebenen Fällen statt, insbesondere an die in Abschnitt 4 genannten Auftragsverarbeiter sowie soweit eine rechtliche Verpflichtung besteht. Die KI-gestützte Auswertung Ihrer Dokumente (Claude über AWS Bedrock, Embeddings über Microsoft Azure OpenAI Service) findet dabei ausschließlich in EU-Rechenzentren statt. Soweit gleichwohl eine Übermittlung in Drittländer erfolgt (insbesondere USA, da die Konzernmütter der in Abschnitt 4 genannten Anbieter dort sitzen), stellen wir geeignete Garantien nach Art. 44 ff. DSGVO sicher, insbesondere durch das EU-US Data Privacy Framework bzw. EU-Standardvertragsklauseln.

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen.

• Konto-Daten: für die Dauer des Vertragsverhältnisses und gesetzlicher Aufbewahrungsfristen
• Hochgeladene Dokumente: bis zur Löschung durch Sie; jederzeit selbst per DSGVO-Datenexport (ZIP) exportierbar; nach Kündigung werden sämtliche Daten unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen
• Chat-Verläufe: bis zur Löschung durch Sie oder Vertragsende
• Zugriffsprotokolle: bis zu 90 Tage

Ihnen stehen nach der DSGVO insbesondere folgende Rechte zu:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an: hallo@paperglow.eu. Auskunft, Berichtigung und Löschung Ihrer Dokumente können Sie zudem jederzeit selbst über die Kontoeinstellungen und den DSGVO-Export vornehmen.

Beschwerderecht: Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist die Aufsichtsbehörde des Bundeslandes, in dem unser Unternehmen seinen Sitz hat, oder die Behörde an Ihrem Aufenthaltsort.

Wir treffen geeignete technische und organisatorische Maßnahmen, um Ihre Daten gegen Verlust, Zerstörung, Manipulation und unbefugten Zugriff zu schützen. Hierzu gehören insbesondere Transportverschlüsselung, optionale Speicherverschlüsselung, ein Rollen- und Rechtekonzept mit striktem Zugriffsschutz je Haushalt (Row-Level-Security) sowie die in Abschnitt 6 Absatz 5 beschriebene Privatsphäre-Trennung innerhalb eines Haushalts. Unsere Maßnahmen werden entsprechend der technologischen Entwicklung fortlaufend angepasst.

Diese Datenschutzerklärung hat den Stand August 2026 (Entwurf, noch nicht anwaltlich geprüft). Durch die Weiterentwicklung unseres Angebots oder geänderte rechtliche Vorgaben kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist auf unserer Website abrufbar.