Datenschutzerklärung

Stand: 18. Oktober 2026 · DSGVO Art. 13/14

1. Verantwortlicher

Schübeler Consulting
Johann Jörgen Schübeler
Am Kreuzberg 10, 37688 Beverungen
E-Mail: info@schuebeler-consulting.de

2. Verarbeitete Daten

Account-Daten: E-Mail-Adresse, Arbeitsbereichs-Name (selbst gewählt). Rechtsgrundlage: Art. 6 (1)(b) DSGVO (Vertrag).
Erinnerungen (Memories): Texte, die Sie selbst hochladen oder über die Schnittstelle speichern. Gespeichert in einer indexierten Datenbank in einem deutschen Rechenzentrum (Nürnberg). Rechtsgrundlage: Art. 6 (1)(b) DSGVO.
Zugriffsprotokoll: Anmeldezeitpunkte, Plan-Änderungen, Erzeugung und Widerruf von API-Token. Rufen Sie Wissen über eine angebundene KI oder über die Schnittstelle ab, werden die ersten 80 Zeichen der Anfrage und deren Gesamtlänge festgehalten; bei der Suche in der Oberfläche nur die Länge. Vermerkt werden ferner die herausgegebenen Wissenseinheiten, höchstens 25 je Abruf, mit Kennung, Art, Titel (bis 120 Zeichen) und Trefferwert (wie gut der Treffer zur Anfrage passte). Beim Speichern und Hochladen werden Titel (bis 200 Zeichen), Länge des Inhalts sowie Art, Quelle und Bereich protokolliert, nicht der Inhalt selbst. Zu jedem Eintrag kommen die IP-Adresse, die technische Kennung des anfragenden Programms, der Name des verwendeten Zugangs sowie Name und Version der angebundenen Anwendung. Diese Angaben können personenbezogene Daten enthalten, sobald Sie solche in Anfragen oder Titel schreiben. Das Protokoll ist im Audit-Bereich Ihres Arbeitsbereichs einsehbar und als JSON abrufbar.
Zahlungsdaten: Bei Bezahltarifen wickelt Stripe Payments Europe Ltd. (Irland) die Zahlung ab und stellt in unserem Namen die Rechnungen aus. Ihre Kartendaten bleiben bei Stripe. Uns übermittelt Stripe den Status Ihres Abonnements und jede Rechnung. Im Rechnungsarchiv speichern wir dazu die Rechnungsnummer, den Namen und die E-Mail-Adresse des Rechnungsempfängers, die Beträge, die Positionen und die Datei der Rechnung (Abschnitt 8). Rechtsgrundlage ist Art. 6 (1)(b) DSGVO, für die Aufbewahrung Art. 6 (1)(c) DSGVO in Verbindung mit § 14b UStG und § 147 AO.

Rechtsgrundlage des Zugriffsprotokolls: Art. 6 (1)(f) DSGVO. Unser berechtigtes Interesse ist der Nachweis, wer wann welches Wissen abgerufen hat. Ohne diesen Nachweis lässt sich nach einem Sicherheitsvorfall nicht feststellen, welche Inhalte betroffen waren. Wir halten den Eingriff gering, indem wir nur Auszüge und Metadaten festhalten und den Eintrag nach Ablauf der Frist aus Abschnitt 8 automatisch löschen.

Ihr Widerspruchsrecht: Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen. Das Zugriffsprotokoll lässt sich während der Nutzung von knowmind nicht abschalten, weil es die Nachweisbarkeit trägt. Wir prüfen jeden Widerspruch im Einzelfall und teilen Ihnen das Ergebnis mit.

Bestand nach einer Löschung: Wenn Sie eine einzelne Erinnerung löschen, bleiben die Protokolleinträge früherer Zugriffe darauf bestehen, bis die Frist aus Abschnitt 8 abgelaufen ist. Sie können den Titel der gelöschten Erinnerung enthalten. Einzelne Protokolleinträge lassen sich weder ändern noch vor Ablauf ihrer Frist herauslöschen. Jeder neue Eintrag hängt rechnerisch an seinem Vorgänger. Wir löschen Protokolleinträge auf zwei Wegen. Täglich löschen wir die Einträge, deren Frist abgelaufen ist. Wenn Sie Ihren Arbeitsbereich löschen, löschen wir sein gesamtes Protokoll (Abschnitt 8).

3. Auftragsverarbeiter (Sub-Prozessoren)

Hetzner Online GmbH, Gunzenhausen — Server-Betrieb (Nürnberg, Deutschland). AVV nach Art. 28 DSGVO geschlossen.
Stripe Payments Europe Ltd., Dublin — Zahlungs- abwicklung Bezahltarife. stripe.com/privacy. Stripe Payments Europe Ltd. kann dabei Daten an die Stripe, Inc. in den USA übermitteln; Grundlage sind Standardvertragsklauseln (Art. 46 (2)(c) DSGVO).
ALL-INKL.COM (Neue Medien Münnich), Friedersdorf (Deutschland) — E-Mail-Versand (Anmeldung-Magic-Links, Rechnungs-Hinweise).

4. KI-Modelle und Ihr KI-Werkzeug

knowmind gibt Ihre Inhalte an keinen KI-Anbieter weiter. Auch die Sortierung der Treffer bei einer Suche übernimmt ein Modell auf unseren eigenen Servern in Deutschland.

Ihr eigenes KI-Werkzeug: Verbinden Sie ein KI-Werkzeug mit knowmind, etwa Claude, ChatGPT oder Cursor, richten Sie den Zugang dafür selbst ein. Das Werkzeug erhält dann die Treffer, die es bei knowmind abruft, und verarbeitet sie mit dem Modell seines Anbieters. Empfänger sind damit die Anbieter der KI-Werkzeuge, die Sie verbinden. Rechtsgrundlage dieser Herausgabe ist Art. 6 (1)(b) DSGVO: Wir erfüllen den Vertrag, indem wir die Abrufe ausführen, die Sie veranlassen. Für die Verarbeitung beim Anbieter Ihres Werkzeugs, auch außerhalb der EU oder des EWR, bestimmt Schübeler Consulting weder Zweck noch Mittel; dort gelten die Bedingungen dieses Anbieters. Jeder Abruf steht im Zugriffsprotokoll Ihres Arbeitsbereichs (Abschnitt 2).

Indexierung ohne Drittland: Die Vektor-Indexierung Ihrer Erinnerungen (Embeddings) erfolgt lokal innerhalb unserer Server-Umgebung in Deutschland. Zur Indexierung werden keine Inhalte an externe Anbieter übermittelt.

5. Konnektoren zu Ihren eigenen Systemen

Sie können einen Konnektor einrichten, über den ein von Ihnen betriebenes System — etwa Jira — Inhalte an knowmind übergibt. knowmind ruft dabei nichts ab: Es besitzt keine Zugangsdaten zu Ihrem System und nimmt ausschließlich entgegen, was Sie dorthin senden lassen. Welche Ereignisse das sind, legen Sie in Ihrem System fest.

Welche Daten dabei anfallen: Der übergebene Inhalt selbst, dazu die Angaben, die Ihr System mitliefert — im Fall Jira etwa Vorgangsnummer, Bezeichnung, Beschreibung, Abschlussgrund sowie die Namen der beteiligten Personen wie Bearbeiter oder Verfasser von Kommentaren. Diese Angaben werden wie jede andere Erinnerung in Ihrem Arbeitsbereich gespeichert, von uns in Deutschland verarbeitet und von uns nicht an Dritte übermittelt. Rufen Sie sie über ein verbundenes KI-Werkzeug ab, gilt Abschnitt 4.

Ihre Verantwortung: Da Sie bestimmen, welche Ereignisse Ihr System sendet, entscheiden Sie auch, welche personenbezogenen Daten dabei übergeben werden. Prüfen Sie vor der Einrichtung, ob die betroffenen Personen — etwa Beschäftigte oder Kunden, deren Namen in Vorgängen auftauchen — davon erfasst sein dürfen, und ob eine Beteiligung Ihrer Arbeitnehmervertretung erforderlich ist. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag nach Art. 28 DSGVO.

Löschung: Aufgenommene Inhalte löschen Sie wie Ihre übrigen Erinnerungen. Jede Aufnahme über einen Konnektor wird zusätzlich im Zugriffsprotokoll Ihres Arbeitsbereichs festgehalten. Der Eintrag kann die Bezeichnung des aufgenommenen Vorgangs enthalten. Er bleibt bestehen, bis die Frist aus Abschnitt 8 abläuft oder Sie Ihren Arbeitsbereich löschen. Mit dem Arbeitsbereich löschen wir auch die aufgenommenen Inhalte und ihre Protokolleinträge (Abschnitt 8).

6. Ihre Rechte

Sie haben das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16)
Löschung (Art. 17) — einzelne Erinnerungen und Dokumente löschen Sie im Dashboard, Ihren gesamten Arbeitsbereich samt Konto im Dashboard unter „Arbeitsbereich löschen“; was dabei geschieht und was wir aufbewahren, steht in Abschnitt 8. Falls Sie die Löschung nicht selbst auslösen können, schreiben Sie an info@schuebeler-consulting.de; wir bearbeiten Ihre Anfrage unverzüglich, spätestens innerhalb eines Monats (Art. 12 (3) DSGVO)
Einschränkung der Verarbeitung (Art. 18)
Datenübertragbarkeit (Art. 20) — Self-Service per JSON-Export im Audit-Bereich
Widerspruch (Art. 21)
Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

7. Cookies

knowmind setzt nur technisch notwendige Cookies: für die Anmeldung und, wenn Sie die Sprache umschalten, einen Cookie mit Ihrer Sprachwahl (1 Jahr gültig). Es gibt kein Tracking, kein Marketing-Pixel, keine Drittanbieter- Skripte auf den Marketing-Seiten. Der Stripe-Checkout setzt eigene Cookies; das ist im Stripe-Datenschutz dokumentiert.

8. Aufbewahrung

Erinnerungen, Dokumente und Kontodaten bleiben gespeichert, solange Ihr Arbeitsbereich besteht. Endet ein Bezahltarif, läuft Ihr Arbeitsbereich im kostenlosen Tarif Privat weiter, und Ihre Daten bleiben vollständig erhalten. Liegt Ihr Bestand über der Grenze dieses Tarifs, können Sie weiter lesen und abrufen, aber nichts Neues speichern. Den Vertrag insgesamt beenden Sie, indem Sie Ihren Arbeitsbereich löschen; was dabei geschieht, steht unten. Einträge des Zugriffsprotokolls löschen wir nach einer Frist, die vom Tarif abhängt: Privat 1 Monat, Pro 3 Monate, Team 12 Monate, Business 24 Monate, Enterprise 5 Jahre. Für andere Tarife steht die Frist im Audit-Bereich Ihres Dashboards. Wechselt Ihr Arbeitsbereich in einen Tarif mit kürzerer Frist, etwa nach dem Ende eines Bezahltarifs in den Tarif Privat, gilt ab dann die kürzere Frist; ältere Einträge entfernt der nächste tägliche Löschlauf.

Löschung des Arbeitsbereichs: Sobald Sie Ihren Arbeitsbereich im Dashboard löschen, sperren wir alle Zugänge. Sie können sich nicht mehr anmelden, und Ihre Zugangsschlüssel werden ungültig. Wiederherstellen lässt sich der Arbeitsbereich ab diesem Zeitpunkt nicht mehr. Im selben Schritt löschen wir Ihre Einträge im Wissensgraphen, der die Verbindungen zwischen Ihren Erinnerungen speichert. Frühestens 24 Stunden später löschen wir alle übrigen Daten des Arbeitsbereichs aus unserer Datenbank; das erledigt ein Löschlauf, der stündlich läuft. Gelöscht werden Kontodaten, Erinnerungen, Dokumente mit allen Teilen, das Zugriffsprotokoll, das Änderungsprotokoll (es hält fest, wann Erinnerungen angelegt, geändert oder gelöscht wurden) sowie Ihre Tarif- und Abrechnungsangaben mit Ausnahme der Rechnungen (siehe unten). Die Fristen des Zugriffsprotokolls enden damit vorzeitig. Falls im Wissensgraphen noch Einträge übrig sind, weil das Löschen dort nicht vollständig gelungen ist, wartet der Löschlauf, bis wir sie gelöscht haben.

Was nach der Löschung bleibt:

Rechnungen: Ihre Rechnungen bewahren wir 8 Jahre auf, gerechnet ab dem Ende des Jahres, in dem die jeweilige Rechnung ausgestellt wurde (§ 14b UStG, § 147 AO). Jede Rechnung nennt Namen und E-Mail-Adresse des Rechnungsempfängers, die Beträge und die Positionen. Wir nutzen die Rechnungen ausschließlich, um diese Aufbewahrungspflicht zu erfüllen (Art. 6 (1)(c), Art. 17 (3)(b) DSGVO), und löschen sie nach Ablauf der Frist.
Schlussanker: Für das Zugriffsprotokoll und für das Änderungsprotokoll bleibt je ein Schlussanker dauerhaft bestehen. Er enthält die interne Kennung des Arbeitsbereichs, Position und Prüfsumme des letzten Eintrags sowie die Zahl der gelöschten Einträge. Namen, Adressen oder Inhalte stehen darin nicht.
Sicherungen: Unsere Sicherungen der Datenbank bewahren wir bis zu 8 Wochen auf. Daten eines gelöschten Arbeitsbereichs können noch in einer Sicherung stehen. Einzeln löschen wir sie dort nicht. Auf eine Sicherung greifen wir nur zurück, wenn wir den Datenbestand wiederherstellen müssen.
Daten bei Stripe: Die Daten, die Stripe zu Ihrem Abonnement speichert, löscht der Löschlauf nicht. Die Löschung dieser Daten bei Stripe veranlassen wir, wenn Sie uns an info@schuebeler-consulting.de darum bitten.

9. Verletzungen des Schutzes personenbezogener Daten (Datenpannen)

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt (etwa unbefugter Zugriff, Verlust oder unbeabsichtigte Offenlegung), gehen wir nach einem festen Verfahren vor: Wir analysieren den Vorfall, begrenzen ihn, dokumentieren ihn und bewerten das Risiko für die betroffenen Personen.

Soweit wir für die betroffenen Daten selbst Verantwortlicher sind (etwa Account-, Zahlungs- oder Mailverkehrsdaten) und die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten führt, melden wir sie der zuständigen Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko benachrichtigen wir die betroffenen Personen unverzüglich und in klarer Sprache (Art. 34 DSGVO).
Für die Inhalte, die Sie als geschäftlicher Kunde in knowmind verarbeiten, sind in der Regel Sie der Verantwortliche und wir Ihr Auftragsverarbeiter. In diesem Fall melden wir eine uns bekannt gewordene Verletzung nicht selbst der Behörde, sondern informieren Sie als Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, mit den verfügbaren Angaben zu Art, Folgen und Gegenmaßnahmen, damit Sie Ihren eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachkommen können. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV).