Datenschutzerklärung

Stand: August 2026 · DSGVO Art. 13/14

1. Verantwortlicher

Schübeler Consulting
Johann Jörgen Schübeler
Am Kreuzberg 10, 37688 Beverungen
E-Mail: info@schuebeler-consulting.de

2. Verarbeitete Daten

• Account-Daten: E-Mail-Adresse, Arbeitsbereichs-Name (selbst gewählt). Rechtsgrundlage: Art. 6 (1)(b) DSGVO (Vertrag).
• Erinnerungen (Memories): Texte, die Sie selbst hochladen oder über die Schnittstelle speichern. Gespeichert in einer indexierten Datenbank in einem deutschen Rechenzentrum (Nürnberg). Rechtsgrundlage: Art. 6 (1)(b) DSGVO.
• Eigene KI-Schlüssel: Falls hinterlegt, werden Ihre Anbieterschlüssel mandantenspezifisch und industriestandard verschlüsselt gespeichert. Nur Ihr eigener Arbeitsbereich kann sie verwenden, im Klartext liegen sie nicht dauerhaft auf den Servern.
• Zugriffsprotokoll: Anmeldezeitpunkte, Plan-Änderungen, Erzeugung und Widerruf von API-Token. Rufen Sie Wissen über eine angebundene KI oder über die Schnittstelle ab, werden die ersten 80 Zeichen der Anfrage und deren Gesamtlänge festgehalten; bei der Suche in der Oberfläche nur die Länge. Vermerkt werden ferner die herausgegebenen Wissenseinheiten, höchstens 25 je Abruf, mit Kennung, Art, Titel (bis 120 Zeichen) und Trefferwert (wie gut der Treffer zur Anfrage passte). Beim Speichern und Hochladen werden Titel (bis 200 Zeichen), Länge des Inhalts sowie Art, Quelle und Bereich protokolliert, nicht der Inhalt selbst. Zu jedem Eintrag kommen die IP-Adresse, die technische Kennung des anfragenden Programms, der Name des verwendeten Zugangs sowie Name und Version der angebundenen Anwendung. Diese Angaben können personenbezogene Daten enthalten, sobald Sie solche in Anfragen oder Titel schreiben. Das Protokoll ist im Audit-Bereich Ihres Arbeitsbereichs einsehbar und als JSON abrufbar.
• Zahlungsdaten: Bei Bezahltarifen verarbeitet ausschließlich Stripe Payments Europe Ltd. (Irland). Wir erhalten nur Status-Events (active / cancelled), keine Kartendaten.

Rechtsgrundlage des Zugriffsprotokolls: Art. 6 (1)(f) DSGVO. Unser berechtigtes Interesse ist der Nachweis, wer wann welches Wissen abgerufen hat. Ohne diesen Nachweis lässt sich nach einem Sicherheitsvorfall nicht feststellen, welche Inhalte betroffen waren. Wir halten den Eingriff gering, indem wir nur Auszüge und Metadaten festhalten und den Eintrag nach Ablauf der Frist aus Abschnitt 8 automatisch löschen.

Ihr Widerspruchsrecht: Sie können dieser Verarbeitung nach Art. 21 DSGVO widersprechen. Das Zugriffsprotokoll lässt sich während der Nutzung von knowmind nicht abschalten, weil es die Nachweisbarkeit trägt. Wir prüfen jeden Widerspruch im Einzelfall und teilen Ihnen das Ergebnis mit.

Bestand nach einer Löschung: Löschen Sie eine Erinnerung, bleibt der Protokolleintrag früherer Zugriffe darauf bestehen, bis die Frist aus Abschnitt 8 abgelaufen ist; er kann den Titel der gelöschten Erinnerung enthalten. Einzelne Einträge lassen sich weder ändern noch vorzeitig entfernen. Die Einträge sind zu einer Kette verbunden, die ihre Vollständigkeit belegt, und ein Eingriff an einer Stelle zerstört diesen Beleg. Entfernt wird ausschließlich am ältesten Ende durch den täglichen Aufbewahrungslauf.

3. Auftragsverarbeiter (Sub-Prozessoren)

• Hetzner Online GmbH, Gunzenhausen — Server-Betrieb (Nürnberg, Deutschland). AVV nach Art. 28 DSGVO geschlossen.
• Stripe Payments Europe Ltd., Dublin — Zahlungs- abwicklung Bezahltarife. stripe.com/privacy
• ALL-INKL.COM (Neue Medien Münnich), Friedersdorf (Deutschland) — E-Mail-Versand (Anmeldung-Magic-Links, Rechnungs-Hinweise).

4. KI-Anbieter (BYOK)

Sie hinterlegen optional Ihre eigenen KI-Anbieterschlüssel (Anthropic, OpenAI, Google, Mistral, lokale Modelle). Wenn Sie knowmind über einen BYOK-Schlüssel nutzen, gehen Inferenz-Anfragen direkt vom Server an den gewählten KI-Anbieter. Wir empfehlen, einen US-Anbieter nur dann einzusetzen, wenn Sie selbst einen Datenverarbeitungs-Zusatzvertrag (DPA) mit diesem Anbieter abgeschlossen haben.

Drittland-Hinweis: Wählen Sie einen Anbieter außerhalb der EU/des EWR (etwa Anthropic, OpenAI oder Google in den USA), findet bei der Inferenz eine Übermittlung in ein Drittland statt. Diese Übermittlung veranlassen und verantworten Sie selbst durch Ihre Wahl des Anbieters und Hinterlegung des Schlüssels; die für den Transfer nötige Rechtsgrundlage (z. B. EU-Standardvertragsklauseln oder ein Beschluss über die Angemessenheit des Datenschutzniveaus) ist im Verhältnis zwischen Ihnen und dem KI-Anbieter zu schaffen. Schübeler Consulting sichert diesen Transfer nicht mit eigenen Standardvertragsklauseln ab. Setzen Sie ausschließlich Anbieter in der EU oder lokale Modelle ein, verlässt der Inhalt den EU-Raum durch knowmind nicht.

Indexierung ohne Drittland: Die Vektor-Indexierung Ihrer Erinnerungen (Embeddings) erfolgt lokal innerhalb unserer Server-Umgebung in Deutschland. Zur Indexierung werden keine Inhalte an externe Anbieter übermittelt.

5. Konnektoren zu Ihren eigenen Systemen

Sie können einen Konnektor einrichten, über den ein von Ihnen betriebenes System — etwa Jira — Inhalte an knowmind übergibt. knowmind ruft dabei nichts ab: Es besitzt keine Zugangsdaten zu Ihrem System und nimmt ausschließlich entgegen, was Sie dorthin senden lassen. Welche Ereignisse das sind, legen Sie in Ihrem System fest.

Welche Daten dabei anfallen: Der übergebene Inhalt selbst, dazu die Angaben, die Ihr System mitliefert — im Fall Jira etwa Vorgangsnummer, Bezeichnung, Beschreibung, Abschlussgrund sowie die Namen der beteiligten Personen wie Bearbeiter oder Verfasser von Kommentaren. Diese Angaben werden wie jede andere Erinnerung in Ihrem Arbeitsbereich gespeichert, in Deutschland verarbeitet und nicht an Dritte übermittelt.

Ihre Verantwortung: Da Sie bestimmen, welche Ereignisse Ihr System sendet, entscheiden Sie auch, welche personenbezogenen Daten dabei übergeben werden. Prüfen Sie vor der Einrichtung, ob die betroffenen Personen — etwa Beschäftigte oder Kunden, deren Namen in Vorgängen auftauchen — davon erfasst sein dürfen, und ob eine Beteiligung Ihrer Arbeitnehmervertretung erforderlich ist. Wir verarbeiten diese Daten ausschließlich in Ihrem Auftrag nach Art. 28 DSGVO.

Löschung: Aufgenommene Inhalte löschen Sie wie jede andere Erinnerung; mit der Löschung Ihres Arbeitsbereichs werden sie entfernt. Jede Aufnahme über einen Konnektor wird zusätzlich im Zugriffsprotokoll Ihres Arbeitsbereichs festgehalten. Dieser Eintrag bleibt bis zum Ablauf der Frist aus Abschnitt 8 bestehen und kann die Bezeichnung des aufgenommenen Vorgangs enthalten.

6. Ihre Rechte

Sie haben das Recht auf:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16)
• Löschung (Art. 17) — einzelne Erinnerungen und Dokumente löschen Sie selbst im Dashboard; die vollständige Löschung von Konto und Arbeitsbereich lösen wir auf Anfrage per E-Mail an info@schuebeler-consulting.de aus (Bestätigung binnen 30 Tagen)
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20) — Self-Service per JSON-Export im Audit-Bereich
• Widerspruch (Art. 21)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77)

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.

7. Cookies

knowmind setzt nur technisch notwendige Cookies (Session-Token nach Anmeldung). Es gibt kein Tracking, kein Marketing-Pixel, keine Drittanbieter- Skripte auf den Marketing-Seiten. Der Stripe-Checkout setzt eigene Cookies; das ist im Stripe-Datenschutz dokumentiert.

8. Aufbewahrung

Memories und Account-Daten bleiben so lange erhalten, wie Ihr Konto aktiv ist. Nach Kündigung haben Sie 30 Tage Lese-Zugriff; danach werden Ihre Erinnerungen, Dokumente und Account-Daten unwiederbringlich gelöscht. Einträge des Zugriffsprotokolls bestehen darüber hinaus fort, tarifabhängig: Privat 1 Monat, Pro 3 Monate, Team 12 Monate, Business 24 Monate, Enterprise 5 Jahre. Für Tarife außerhalb dieser Liste gilt die im Tarif-Bereich Ihres Arbeitsbereichs ausgewiesene Frist. Nach Ablauf der jeweiligen Frist werden die Einträge automatisch gelöscht.

9. Verletzungen des Schutzes personenbezogener Daten (Datenpannen)

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt (etwa unbefugter Zugriff, Verlust oder unbeabsichtigte Offenlegung), gehen wir nach einem festen Verfahren vor: Wir analysieren den Vorfall, begrenzen ihn, dokumentieren ihn und bewerten das Risiko für die betroffenen Personen.

• Soweit wir für die betroffenen Daten selbst Verantwortlicher sind (etwa Account-, Zahlungs- oder Mailverkehrsdaten) und die Verletzung voraussichtlich zu einem Risiko für die Rechte und Freiheiten führt, melden wir sie der zuständigen Aufsichtsbehörde unverzüglich, möglichst binnen 72 Stunden (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko benachrichtigen wir die betroffenen Personen unverzüglich und in klarer Sprache (Art. 34 DSGVO).
• Für die Inhalte, die Sie als geschäftlicher Kunde in knowmind verarbeiten, sind in der Regel Sie der Verantwortliche und wir Ihr Auftragsverarbeiter. In diesem Fall melden wir eine uns bekannt gewordene Verletzung nicht selbst der Behörde, sondern informieren Sie als Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, mit den verfügbaren Angaben zu Art, Folgen und Gegenmaßnahmen, damit Sie Ihren eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachkommen können. Einzelheiten regelt der Auftragsverarbeitungsvertrag (AVV).