Datenschutzerklärung

Stand: 9. November 2026. Verbindlich ist allein die deutsche Fassung; Übersetzungen dienen nur dem Verständnis.

Diese Erklärung sagt dir, welche personenbezogenen Daten wir bei todo.monster (nachfolgend „Dienst“) verarbeiten, wofür, auf welcher Grundlage, wer sie erhält und wie lange wir sie behalten. „lit. a“ bis „lit. f“ meint Art. 6 Abs. 1 DSGVO.

1. Verantwortlicher und Kontakt

Coozinha UG (haftungsbeschränkt), Sonnenallee 26, 12047 Berlin, Deutschland, vertreten durch den Geschäftsführer Jan Kube. Handelsregister: Amtsgericht Charlottenburg, HRB 239912 B. E-Mail: support@todo.monster.

Einen Datenschutzbeauftragten haben wir nicht bestellt; wir sind dazu nicht verpflichtet. Fragen zum Datenschutz und Anfragen zu deinen Rechten richtest du an support@todo.monster.

2. Geltungsbereich und Rollen

Diese Erklärung gilt für die Website und die Web-App unter todo.monster. Der Dienst richtet sich an Unternehmer und nicht an Minderjährige; Verträge schließen wir nur mit Personen ab 18 Jahren.

Wir sind Verantwortlicher für dein Konto, die Anmeldung, die Sicherheit des Dienstes, die Abrechnung, den Support, die Systemmails und das Pilotprogramm.

Wir sind Auftragsverarbeiter (Art. 28 DSGVO) für Inhalte, die ein Firmenkunde und seine Mitglieder in Firmenbereichen verarbeiten: Projekte, Aufgaben, Kommentare, Anhänge, Zeiterfassung, Firmenpostfächer, Firmenkalender und die KI-Umwandlung aus Firmenpostfächern. Verantwortlicher ist der Firmenkunde; Grundlage ist der Auftragsverarbeitungsvertrag (ADV), den jeder Kunde bei der Registrierung annimmt. Bist du Mitglied oder Gast einer Firma, wende dich mit Fragen zu diesen Inhalten an die Firma; Anfragen, die uns erreichen, leiten wir an sie weiter. Für dein eigenes Konto bleiben wir Verantwortlicher.

Verarbeitest du im Dienst Daten anderer Personen, etwa Absender importierter E-Mails oder Teilnehmer von Terminen, bist du dafür selbst verantwortlich.

3. Aufruf der Website

Bei jedem Aufruf verarbeiten wir technische Zugriffsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserkennung und Antwortstatus. Zweck sind Auslieferung, Fehlersuche und Abwehr von Angriffen (lit. f; unser berechtigtes Interesse ist der sichere Betrieb). Für Drosseln gegen Missbrauch halten wir die IP-Adresse nur als Hash für Minuten bis Stunden; Meldungen deines Browsers zu unserer Sicherheitsrichtlinie (Content Security Policy) protokollieren wir gekürzt und ohne Personenbezug.

Gehostet wird der Dienst bei der Mittwald CM Service GmbH & Co. KG, Espelkamp, in einem Rechenzentrum in Deutschland. Server- und Anwendungsprotokolle löschen wir nach 30 Tagen. Skripte, Schriften und Stylesheets liefern wir selbst aus; die Ausnahmen stehen in Abschnitt 5 (Bot-Schutz) und Abschnitt 12.

4. Cookies und Speicherung im Endgerät

Die Cookies todomonster_session, remember und tm_timezone sind für den von dir gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG): Ohne sie bleibt die Anmeldung nicht erhalten bzw. würden Termine in der falschen Zeitzone angezeigt; eine Einwilligung ist nicht nötig, deshalb gibt es kein Cookie-Banner. Im Browserspeicher (localStorage, sessionStorage) merken wir Anzeigeeinstellungen wie Spaltenbreiten, ausgeblendete Hinweise und die letzte Projektwahl; diese Werte verlassen deinen Browser nicht. Wir setzen keine Analyse-, Werbe- oder Tracking-Cookies und kein Fingerprinting ein.

Beim Planen von Aufgaben speichern wir die dafür verwendete Zeitzone an der Aufgabe beziehungsweise der Serienregel. Diese Zeitzonenangabe ist Teil deines Datenexports. Für die Ermittlung der Gerätezeitzone ist keine Standortberechtigung nötig.

5. Konto, Anmeldung und Sicherheit

Registrierung und Profil. Für ein Konto brauchen wir Vorname, Nachname, E-Mail-Adresse und ein Passwort, das wir nur als Hash speichern; die Adresse bestätigst du mit einem Code per E-Mail. Ohne diese Angaben können wir keinen Vertrag schließen; alle weiteren Angaben (Statusmeldung, Profilfoto, Sprache, Anzeigeeinstellungen) sind freiwillig. Grundlage ist der Nutzungsvertrag (lit. b). Dein Name, dein Foto und deine Statusmeldung sind für Mitglieder deiner Projekte und Firmen sichtbar. Nicht bestätigte Konten löschen wir nach 14 Tagen.

Zustimmungen. Zum Nachweis, dass du AGB und ADV angenommen hast, speichern wir Zeitpunkt, Fassung und die IP-Adresse (verschlüsselt) (lit. f; Interesse am Nachweis).

Anmeldung. Jeden Anmeldeversuch protokollieren wir mit E-Mail-Adresse, Zeitpunkt, IP-Adresse, Browserkennung und Ergebnis, um Angriffe zu erkennen; nach 20 Fehlversuchen in 15 Minuten sperren wir die Anmeldung vorübergehend (lit. f). Dieses Protokoll löschen wir nach 90 Tagen. Administratoren des Dienstes sehen den Zeitpunkt deiner letzten erfolgreichen Anmeldung.

Aktivitätsprotokoll. Änderungen an deinem Konto und seinen Zugängen halten wir in einem persönlichen Aktivitätsprotokoll fest, zum Beispiel wenn dein Passwort geändert oder über einen E-Mail-Link neu gesetzt wird, ein Wechsel deiner E-Mail-Adresse beantragt, bestätigt oder abgebrochen wird, die Administration deine E-Mail-Adresse ändert, die mobile App angemeldet wird, App-Sitzungen beendet werden, ein Datenexport angefordert wird und wenn die Löschung deines Kontos beantragt oder zurückgenommen wird. Gespeichert werden die Art des Ereignisses und der Zeitpunkt, bei einem Löschantrag zusätzlich, ob du, die Administration oder das System ihn ausgelöst hat. Wir speichern dabei weder IP-Adressen noch Geräte- oder Browserangaben noch E-Mail-Adressen. Die Anmeldung im Browser gehört nicht dazu; sie steht, soweit überhaupt, im Anmeldeprotokoll. Das Protokoll siehst nur du in deinem Profil; eine Ansicht für Firmen, andere Mitglieder, Administratoren oder den Support gibt es nicht. Wir führen es, damit du Änderungen an deinem Konto nachvollziehen und einen fremden Zugriff erkennen kannst (lit. f; Kontosicherheit und Transparenz für dich). Die Einträge löschen wir nach 90 Tagen, spätestens mit deinem Konto.

Passwortprüfung. Bei der Vergabe eines Passworts senden wir ein kurzes Fragment seines Hashwerts an den Dienst „Have I Been Pwned“ (api.pwnedpasswords.com) und prüfen die Antwort lokal. Aus diesem Fragment lässt sich weder dein Passwort noch deine Person ableiten; das Passwort selbst verlässt den Dienst nie (lit. f; Kontosicherheit).

Bot-Schutz. Auf der Registrierungsseite und im Kontaktformular der Impressumseite lädt dein Browser ein Prüfskript des Dienstes EU-Captcha (Myra Security GmbH). Dabei erhält der Anbieter deine IP-Adresse, die Browserkennung und das Prüfergebnis (lit. f; Schutz vor automatisierten Anmeldungen und Nachrichten). Das Prüfskript bindet ein Prüffenster (iframe) von cdn.eu-captcha.eu ein; auf todo.monster legt es keine Cookies und keine Einträge im Browserspeicher ab.

Zugänge für KI-Clients (MCP). Nur Administratoren des Dienstes können Zugangstoken für KI-Clients erzeugen; die Token laufen nach 30 Tagen ab, Zugriffe protokollieren wir mit IP-Adresse. Für andere Nutzer findet dort keine Verarbeitung statt.

6. Inhalte: Aufgaben, Projekte, Kommentare, Anhänge, Zeiten, Firmen

Du legst Projekte, Module, Aufgaben (Titel, Beschreibung, Termine, Status, Priorität), Kommentare, Zuweisungen, Tags, Anhänge und Zeiteinträge an; wir führen dazu eine Änderungshistorie und Benachrichtigungen. Grundlage ist der Nutzungsvertrag (lit. b); für Firmeninhalte gilt Abschnitt 2. Sichtbar sind Inhalte nur für die Mitglieder des jeweiligen Projekts oder der Firma nach ihrer Rolle.

Serverseitig verschlüsselt (AES-256) liegen: bei Aufgaben Titel und Beschreibung, bei Projekten und Modulen Name und Beschreibung, Kommentare, bei E-Mails Betreff, Textauszug, Empfänger (An, Cc, Bcc) und Nachrichtentext (Text und HTML), bei Terminen Titel, Beschreibung, Ort, Teilnehmer und die Terminadresse beim Kalenderanbieter sowie die Zugangsdaten angeschlossener Postfächer und Kalender (Benutzername, Passwort, Zugriffstoken, Kalenderadresse). Dateianhänge liegen unverschlüsselt im Dateispeicher des Hosters. Dein Passwort speichern wir nur als Argon2id-Hash. Im Regelbetrieb greifen wir nicht auf Inhalte zu. Ausnahmen sind die Wiederherstellung aus dem Papierkorb auf deine Anfrage, bei der Administratoren Benutzername, E-Mail-Adresse, Projekt-, Modul- und Aufgabentitel sowie Löschzeitpunkte sehen, und die Fehlerdiagnose; beides wird protokolliert.

Gelöschte Inhalte liegen 30 Tage im Papierkorb und werden dann endgültig entfernt. Benachrichtigungen löschen wir nach 30 Tagen. Deine eigenen Arbeitsdaten kannst du als Export abrufen; der Download ist 24 Stunden verfügbar.

Firmen und Einladungen. Für eine Firma speichern wir Name, Inhaber, Mitglieder und Rollen sowie ein Protokoll der Verwaltungsvorgänge (wer hat was geändert), das wir drei Jahre aufbewahren (lit. f; Nachvollziehbarkeit). Wirst du per E-Mail in ein Projekt oder eine Firma eingeladen, haben wir deine Adresse von der einladenden Person erhalten (Art. 14 DSGVO); wir verarbeiten sie nur für die Einladung (lit. f; Interesse der Einladenden an der Zusammenarbeit). Die Einladung läuft nach 7 Tagen ab, den Datensatz löschen wir nach 30 Tagen. Die Einladungs-E-Mail verlinkt diese Erklärung.

7. Verbundene E-Mail-Postfächer

Du kannst ein eigenes Postfach (IMAP/SMTP) verbinden. Wir speichern Server, Benutzername und Passwort (verschlüsselt) und rufen alle fünf Minuten Nachrichten ab: Absender, Empfänger, Betreff, Text und Anhänge. Betreff und Text liegen verschlüsselt vor. Ein Spamfilter lernt aus deinen Markierungen. Grundlage ist der Nutzungsvertrag (lit. b). Gegenstelle ist der E-Mail-Anbieter, den du gewählt hast; Firmenpostfächer verbindet die Firma, für sie gilt Abschnitt 2.

Absender und Empfänger dieser Nachrichten erfahren von uns nichts; Quelle ihrer Daten (Name, Adresse, Inhalte) ist dein Postfach, und verantwortlich dafür bist du beziehungsweise deine Firma.

Gelöschte Nachrichten entfernen wir nach 45 Tagen aus dem Papierkorb, ein entferntes Postfach samt Zugangsdaten nach 30 Tagen, Abrufprotokolle nach spätestens 7 Tagen.

8. KI-Funktion „E-Mail zu Aufgabe“

Nur wenn du im Postfach „Mit KI“ wählst, übermitteln wir Absendername, Absenderadresse, Empfangszeitpunkt, Betreff und den bereinigten Text der gewählten E-Mail (höchstens 24.000 Zeichen, keine Anhänge) an ein Sprachmodell von Mittwald AI Hosting (Mittwald CM Service GmbH & Co. KG). Das Modell läuft in Deutschland; Mittwald hat zugesagt, die Eingaben nicht für das Training von Modellen zu verwenden. Zurück kommt ein Vorschlag für Titel, Beschreibung und Termin, den du prüfst und änderst; eine automatisierte Entscheidung findet nicht statt.

Grundlage ist für deine Daten der Nutzungsvertrag (lit. b), für die Daten des Absenders unser und dein berechtigtes Interesse an einer schnellen Bearbeitung (lit. f). Vor dem ersten Einsatz weisen wir dich im Dialog auf die Übermittlung hin; du kannst je Umwandlung „Ohne KI“ wählen oder die Funktion in deinen Einstellungen dauerhaft abschalten.

Je Aufruf protokollieren wir Benutzer, Nachricht, Modell, Umfang, Dauer und Ergebnis ohne Inhalte (lit. f; Abrechnung und Missbrauchsschutz) und löschen das Protokoll nach 90 Tagen.

9. Kalender: Google, Microsoft und CalDAV

Google. Du kannst ein Google-Konto verbinden. Du meldest dich direkt bei Google an und erlaubst uns dort, deine Kalender zu lesen und zu schreiben. Wir speichern die Zugriffstoken (verschlüsselt) und die Adresse des Kontos und rufen aus den gewählten Kalendern Termine ab: Titel, Beschreibung, Ort, Zeiten und Teilnehmer. Termine, die du im Dienst anlegst oder änderst, übertragen wir an Google, einschließlich Namen und Adressen der Teilnehmer.

Microsoft. Du kannst ein privates Microsoft-Konto (Outlook.com, Hotmail, Live) verbinden. Du meldest dich direkt bei Microsoft an und erlaubst uns dort dauerhaft, deine Kalender zu lesen und zu schreiben. Wir speichern die Zugriffstoken (verschlüsselt) und die Adresse des Kontos und rufen aus den gewählten Kalendern Termine ab: Titel, Beschreibung, Ort, Zeiten, Teilnehmer und Anhänge bis 5 MiB. Termine, die du im Dienst anlegst oder änderst, übertragen wir an Microsoft, einschließlich Namen und Adressen der Teilnehmer; Microsoft kann ihnen Einladungen senden.

CalDAV. Alternativ verbindest du einen Kalenderserver deiner Wahl (etwa Nextcloud oder Fastmail) mit Adresse, Benutzername und Passwort (verschlüsselt); der Abgleich läuft genauso.

Grundlage ist der Nutzungsvertrag (lit. b), weil du die Verbindung selbst einrichtest. Google, Microsoft und dein CalDAV-Anbieter sind eigenständige Verantwortliche deiner Wahl, die du auf eigene Veranlassung verknüpfst; Google und Microsoft verarbeiten auch in den USA (Abschnitt 15). Lesen wir Termine aus deinem Kalender, ist dieser die Quelle der Daten (Art. 14 DSGVO); schreiben wir Termine, ist der Kalenderanbieter Empfänger. Für Daten von Terminteilnehmern bist du verantwortlich. Trennst du die Verbindung, löschen wir die Zugangsdaten und rufen nichts mehr ab; bereits importierte Termine bleiben zunächst bestehen. Entfernen kannst du sie in den Kalender-Einstellungen: bei Microsoft mit „Konto und Daten entfernen“, bei Google und CalDAV mit „Kalender löschen“. Das Ergebnis ist bei allen drei Anbietern dasselbe: Wir löschen die importierten Termine samt ihrer Anhänge endgültig und entfernen die Zugangsdaten; deine eigenen, im Dienst angelegten Termine bleiben erhalten. Beim Anbieter löschen wir nichts. Mit der Löschung deines Kontos werden die Daten ebenfalls entfernt.

10. Bezahltarife, Rechnungen, Verträge

Buchst du einen Bezahltarif, speichern wir Rechnungsname und -anschrift, Rechnungs-E-Mail, gegebenenfalls Umsatzsteuer-ID und Handelsregisternummer, den Vertrag, Rechnungen, Zahlungen und Zahlungsmandate (lit. b; beim Kauf Kreditkarte, später im Kundenkonto auch SEPA-Lastschrift, soweit dort zur Wahl angeboten). Rechnungen und Buchungsbelege bewahren wir zehn Jahre auf (lit. c; § 147 AO, § 14b UStG). Deine Umsatzsteuer-ID prüfen wir über das Bestätigungsverfahren der EU-Kommission (VIES); die Antwort schwärzen wir nach 400 Tagen. Bei der Buchung protokollieren wir Zeitpunkt, Fassung und IP-Adresse (verschlüsselt) deiner Zustimmungen und löschen die IP-Adresse drei Jahre nach Vertragsende. In einer Firma sieht der Inhaber, welche Mitglieder abgerechnet werden. Nutzt du einen Empfehlungscode, speichern wir die Verbindung zwischen werbendem und geworbenem Konto für die Gutschrift (lit. b).

Zahlungen wickelt die Mollie B.V., Amsterdam, Niederlande, ab. Mollie erhält Name und E-Mail-Adresse des Rechnungskontos, Betrag, Verwendungszweck und Zahlungsart und meldet uns den Zahlungsstatus zurück. Mollie ist eigenständiger Verantwortlicher; seine Datenschutzerklärung: mollie.com/de/privacy.

11. Systemmails und Support

Wir senden dir E-Mails, die der Dienst braucht: Bestätigungscode, Anmeldelink, Einladungen, Rechnungen, Benachrichtigungen, Bestätigungen zu Vertrag und Löschung (lit. b). Der Versand läuft über den Mailserver von Mittwald in Deutschland; das Versandprotokoll enthält weder Adresse noch Betreff.

Schreibst du an support@todo.monster, verarbeiten wir deine Adresse und den Inhalt zur Bearbeitung der Anfrage (lit. b, sonst lit. f). Supportanfragen bewahren wir nach Abschluss noch 12 Monate für Rückfragen auf.

Kontaktformular. Auf der Impressumseite kannst du uns über ein Formular schreiben. Wir verarbeiten Name, E-Mail-Adresse und Nachricht, um deine Anfrage zu bearbeiten und dir zu antworten (lit. b DSGVO, wenn die Anfrage einen Vertrag oder dessen Anbahnung betrifft, sonst lit. f; Interesse an der Beantwortung von Anfragen). Zum Schutz vor automatisierten Nachrichten prüft der Dienst EU-Captcha die Übermittlung (siehe Abschnitt 5, Bot-Schutz), und wir begrenzen die Zahl der Nachrichten je Anschluss und Stunde; dafür halten wir kurzzeitig einen nicht umkehrbaren Hashwert deiner IP-Adresse im Zwischenspeicher vor. Die Nachricht geht als E-Mail an unser Support-Postfach; in der Anwendung selbst speichern wir sie nicht. Wir löschen sie wie jede Supportanfrage nach Abschluss und der oben genannten Aufbewahrungsfrist, soweit keine längere gesetzliche Aufbewahrungspflicht besteht.

12. Optionale Einbindungen: Fehlermelder und Videos

Fehlermelder. Angemeldet kannst du uns einen Fehler melden. Erst wenn du die Meldung auslöst, übermitteln wir einen Screenshot der aktuellen Seite (er kann Inhalte anderer Personen zeigen), Titel und Beschreibung, optional deine Kontaktangabe, Seitenadresse, Browser, Gerät, Bildschirmgröße und Zeitpunkt an unseren Meldeserver bei Strato (Deutschland) (lit. f; Fehlerbehebung). Das Meldefenster lädt sein Skript von diesem Server und legt keine Kennungen in deinem Browser ab. Meldungen und Screenshots löschen wir nach 90 Tagen.

Videos. Einführungsvideos binden wir über YouTube erst nach deinem Klick ein (Zwei-Klick-Lösung); vorher hat dein Browser keinen Kontakt zu Google. Mit dem Klick willigst du ein, dass Google deine IP-Adresse und Nutzungsdaten des Videos erhält (lit. a; § 25 Abs. 1 TDDDG). „Immer laden“ speichert diese Einwilligung in deinem Konto; du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen. Google verarbeitet auch in den USA (Abschnitt 15).

13. Pilotprogramm und Onboarding

Nimmt deine Firma am Pilotprogramm teil, begleiten wir die Einführung: Wir führen je Firma eine Akte mit Verlauf, Checklisten und Kontaktprotokoll, laden zu Live-Terminen ein, fragen nach deiner Zufriedenheit (Befragungen, NPS, Freitexte) und speichern deinen Fortschritt bei den Einführungsvideos. Grundlage sind die Pilotvereinbarung (lit. b) und unser Interesse, das Produkt zu verbessern (lit. f). Nennt uns ein Interessent eine Ansprechperson, erhalten wir deren Name, E-Mail-Adresse und Telefonnummer von ihm (Art. 14 DSGVO) und nutzen sie nur für die Einladung.

Fristen: Befragungen verlieren den Personenbezug nach 12 Monaten; Freitexte und Akten löschen wir nach 24 Monaten, Aufzeichnungen von Live-Terminen nach 30 Tagen, abgeschlossene Pilot-Einladungen nach 12 Monaten. Auskünfte zu diesen Daten protokollieren wir ohne Inhalte für drei Jahre.

14. Empfänger

Mit unseren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO; die vollständige Liste mit Anschriften steht in Anhang C des ADV. Behörden erhalten Daten nur, wenn wir dazu gesetzlich verpflichtet sind (lit. c).

15. Übermittlung in Drittländer

Alles, was wir selbst beauftragen (Hosting, Datensicherung, Mailversand, KI-Modell, Fehlermelder, Zahlung), läuft in der EU. Außerhalb der EU wird nur verarbeitet, was du veranlasst: Verbindest du ein Google- oder Microsoft-Konto, verarbeitet Google beziehungsweise Microsoft deine Kalenderdaten auch in den USA; lädst du ein YouTube-Video, erhält Google Daten in den USA. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der Empfänger dort zertifiziert ist, sonst sind es Standardvertragsklauseln der EU-Kommission. Ein Postfach oder einen Kalenderserver außerhalb der EU wählst du selbst. Das Hash-Fragment der Passwortprüfung (Abschnitt 5) geht an einen Dienst außerhalb der EU, enthält aber keine personenbezogenen Daten.

16. Speicherdauer

Nach der Kontolöschung bleibt ein Datensatz ohne Personenbezug („Gelöschter Benutzer“), weil Beiträge in gemeinsamen Projekten, Rechnungen und Verträge darauf verweisen; deine Beiträge bleiben den anderen Mitgliedern ohne deinen Namen erhalten. Anmeldeprotokolle behalten bis zum Ablauf ihrer Frist eine gekürzte IP-Adresse ohne Browserkennung. Dein Aktivitätsprotokoll wird mit dem Konto gelöscht.

17. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Name, Adresse und Einstellungen änderst du im Profil; deine Arbeitsdaten exportierst du dort als Datei; dein Konto löschst du dort selbst. Eine Einwilligung (Videos, Abschnitt 12) kannst du jederzeit mit Wirkung für die Zukunft widerrufen; die Verarbeitung bis zum Widerruf bleibt rechtmäßig. Für alles andere genügt eine formlose E-Mail an support@todo.monster. Betrifft deine Anfrage Inhalte einer Firma, leiten wir sie an die Firma weiter (Abschnitt 2).

Widerspruchsrecht (Art. 21 DSGVO). Du kannst einer Verarbeitung, die wir auf ein berechtigtes Interesse stützen (lit. f), jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Direktwerbung betreiben wir nicht.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, datenschutz-berlin.de.

18. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen, und erstellen keine Profile. Die KI-Funktion (Abschnitt 8) liefert nur Vorschläge, die du prüfst.

19. Änderungen

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Wollen wir Daten zu einem anderen als dem hier genannten Zweck verarbeiten, informieren wir dich vorher. Es gilt die auf dieser Seite veröffentlichte Fassung mit dem Stand im Kopf.