Datenschutzerklärung

Stand: 29. September 2026

1. Verantwortlicher

2. Geltungsbereich

Diese Datenschutzerklärung gilt für die Website von Poco und die zugehörige Webanwendung unter poco.carve-studio.de (zusammen „Poco“). Sie beschreibt, wie wir personenbezogene Daten verarbeiten, wenn du unsere Seiten besuchst, ein Konto anlegst, Poco nutzt oder Poco mit anderen Programmen wie Claude oder ChatGPT verbindest.

3. Allgemeine Hinweise

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Wir verarbeiten solche Daten nur, soweit dies für die nachfolgend beschriebenen Zwecke erforderlich ist. Je nach Verarbeitung stützen wir uns insbesondere auf:

• Art. 6 Abs. 1 lit. b DSGVO für vorvertragliche Maßnahmen und die Erfüllung unseres Nutzungsvertrags,
• Art. 6 Abs. 1 lit. c DSGVO für rechtliche Verpflichtungen,
• Art. 6 Abs. 1 lit. f DSGVO für unsere berechtigten Interessen an einem sicheren, stabilen und nutzerfreundlichen Angebot sowie
• Art. 6 Abs. 1 lit. a DSGVO, wenn wir dich ausdrücklich um eine Einwilligung bitten.

Soweit Dienstleister Daten ausschließlich nach unserer Weisung verarbeiten, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Innerhalb unseres Unternehmens erhalten nur Personen Zugriff, die ihn für die jeweiligen Aufgaben benötigen.

4. Aufruf der Website, Hosting und Auslieferung

Server-Protokolldaten

Beim Aufruf von Poco werden technisch erforderliche Daten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer-URL, Browser- und Betriebssysteminformationen, übertragene Datenmenge sowie HTTP-Status gehören. Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Abwehr missbräuchlicher oder schädlicher Zugriffe.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und zuverlässigen Betrieb von Poco. Protokolldaten werden gelöscht, sobald sie für diese Zwecke nicht mehr benötigt werden. Bei einem konkreten Sicherheitsvorfall können sie bis zur abschließenden Klärung länger gespeichert werden.

Cloudflare

Poco wird auf der Plattform von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, betrieben. Cloudflare stellt für uns DNS, TLS-Verschlüsselung, Auslieferung, Schutz vor Angriffen, die Ausführung der Anwendung (Workers und Durable Objects) sowie die Speicherung deiner Daten und hochgeladenen Bilder (R2) bereit. Cloudflare verarbeitet diese Daten als Auftragsverarbeiter. Neben den oben genannten Protokolldaten kann Cloudflare Sicherheitsmerkmale einer Anfrage verarbeiten, um automatisierte und schädliche Zugriffe zu erkennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Bereitstellung der Anwendung geht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Für Übermittlungen in die USA stützt sich Cloudflare auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln.

Weitere Informationen: Datenschutzhinweise von Cloudflare

Schriften

Die Schriften dieser Website sind in die Seite eingebettet. Beim Aufruf wird keine Verbindung zu Google Fonts oder anderen Schriftanbietern hergestellt.

5. Konto und Anmeldung

Bei Registrierung und Anmeldung verarbeiten wir insbesondere Namen, E-Mail-Adresse, einen Passwort-Hash, interne Benutzer- und Space-Kennungen, Anmeldezeitpunkte, Sitzungsdaten, IP-Adresse und User-Agent. Passwörter werden nicht im Klartext gespeichert. Die Daten sind erforderlich, um dein Konto bereitzustellen, Anmeldungen zu ermöglichen und Missbrauch zu verhindern.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsbezogene Protokoll- und Sitzungsdaten verarbeiten wir außerdem gemäß Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses am Schutz von Konten und Systemen. Kontodaten speichern wir für die Dauer des Nutzungsverhältnisses und danach nur, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.

6. Deine Inhalte in Poco

Wenn du Poco nutzt, verarbeiten wir die Inhalte, die du erzählst, eingibst oder hochlädst: Nachrichten an den Agenten, Tabellen und Zeilen, Ansichten, eigene Apps, Einträge im Gedächtnis, Bilder, Sprachnotizen und Dateien sowie das Journal aller Änderungen. Diese Inhalte können personenbezogene Daten über dich und über Dritte enthalten. Du bist dafür verantwortlich, dass du zur Verarbeitung von Daten Dritter berechtigt bist.

Zweck ist ausschließlich die Bereitstellung der von dir genutzten Funktionen: Speichern, Ordnen, Anzeigen, Auswerten und Synchronisieren deiner Daten auf deinen Geräten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Deine Inhalte bleiben gespeichert, bis du sie löschst oder dein Konto aufgelöst wird.

Du kannst deinen gesamten Space jederzeit als JSON-Datei exportieren (Art. 20 DSGVO). Teilst du eine Ansicht über einen Link, können alle Personen mit diesem Link die geteilten Inhalte sehen, bis du die Freigabe widerrufst.

7. KI-Agent (OpenAI API)

Damit Poco deine Nachrichten verstehen, Tabellen vorschlagen, Fragen zu deinen Daten beantworten und Apps bauen kann, übermitteln wir die für die jeweilige Anfrage nötigen Inhalte an die OpenAI API. Dazu gehören deine Nachricht, angehängte Bilder oder Dateien, der Aufbau deiner Tabellen, relevante Zeilen und Einträge aus deinem Gedächtnis.

Anbieter ist OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. OpenAI verarbeitet API-Inhalte nach den geschäftlichen Vertragsbedingungen als Auftragsverarbeiter und nutzt sie nicht zum Training allgemeiner Modelle, sofern nicht ausdrücklich anders vereinbart. OpenAI kann Unterauftragsverarbeiter außerhalb des EWR einsetzen; Übermittlungen werden durch EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss abgesichert.

Die Antworten des Agenten sind Vorschläge. Poco trifft keine Entscheidungen, die dir gegenüber rechtliche Wirkung entfalten.

Weitere Informationen: Datenverarbeitungsbedingungen von OpenAI

8. Verbindung mit Claude, ChatGPT und anderen Programmen

Du kannst Poco über das Model Context Protocol (MCP) mit Programmen wie Claude (Anthropic) oder ChatGPT (OpenAI) verbinden. Die Verbindung richtest du selbst ein und bestätigst dabei ausdrücklich, welche Rechte das Programm erhält, zum Beispiel deine Tabellen lesen, Zeilen anlegen oder das Gedächtnis ergänzen. Wir speichern dafür die Kennung des Programms, die erteilten Rechte und die Zugangstoken.

Liest ein verbundenes Programm Daten aus Poco, übermitteln wir diese Daten an den Anbieter dieses Programms. Was dort mit den Daten geschieht, richtet sich nach deinem Vertrag mit diesem Anbieter und dessen Datenschutzhinweisen; dafür ist der jeweilige Anbieter verantwortlich. Änderungen, die ein verbundenes Programm vornimmt, stehen im Journal und lassen sich zurücknehmen. Du kannst eine Verbindung jederzeit in deinem Konto trennen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Übermittlung auf deine Anweisung erfolgt.

Weitere Informationen: Datenschutzhinweise von Anthropic, Datenschutzhinweise von OpenAI

9. Abruf externer Informationen durch den Agenten

Bittest du den Agenten um eine Wettervorhersage, fragt unser Server bei Open-Meteo (Open-Meteo.com, Zürich, Schweiz) den genannten Ortsnamen und die Vorhersage ab. Bittest du den Agenten, eine Webseite zu lesen, ruft unser Server diese Seite ab. In beiden Fällen erfolgt der Abruf von unserem Server aus; deine IP-Adresse wird dabei nicht an den Anbieter übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

10. Kartenansichten (OpenStreetMap)

Legst du in Poco eine Kartenansicht an, lädt dein Browser die Kartenkacheln direkt von den Servern der OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge, CB4 0WS, Vereinigtes Königreich. Dabei werden insbesondere deine IP-Adresse, der Kartenausschnitt, Datum und Uhrzeit sowie Browserinformationen übermittelt. Die Inhalte deiner Tabellen werden nicht übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, da die Karte eine von dir angeforderte Funktion ist. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO.

Weitere Informationen: Datenschutzhinweise der OpenStreetMap Foundation

11. E-Mails und Support

Wenn du uns kontaktierst, verarbeiten wir deine Kontaktdaten, den Inhalt deiner Nachricht und technische Versanddaten, um deine Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um ein Vertragsverhältnis oder vorvertragliche Fragen geht, ansonsten Art. 6 Abs. 1 lit. f DSGVO.

Für Bestätigungs-, Anmelde- und Passwort-E-Mails nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Dabei werden insbesondere E-Mail-Adresse, Nachrichteninhalt und technische Versanddaten übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Resend ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich sind EU-Standardvertragsklauseln in die Vereinbarung zur Auftragsverarbeitung einbezogen.

Weitere Informationen: Datenschutzhinweise von Resend

12. Push-Benachrichtigungen

Wenn du Benachrichtigungen erlaubst, zum Beispiel für Automationen, registriert dein Browser eine Push-Adresse beim Push-Dienst deines Browser- oder Geräteherstellers (etwa Apple, Google oder Mozilla). Wir speichern diese Adresse und senden darüber verschlüsselte Benachrichtigungen. Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst die Einwilligung jederzeit in den Einstellungen deines Browsers oder in Poco widerrufen.

13. Cookies und Speicherzugriffe

Wir verwenden nur Speicherzugriffe, die für die von dir angeforderten Funktionen erforderlich sind. Rechtsgrundlage für das Speichern oder Auslesen auf deinem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung erfolgt auf den jeweils in dieser Erklärung genannten DSGVO-Rechtsgrundlagen. Wir setzen keine Cookies zu Werbe- oder Analysezwecken ein und binden keine Analyse- oder Werbedienste ein.

14. Empfänger und Drittlandübermittlungen

Neben den ausdrücklich genannten Dienstleistern können IT-, Hosting-, Kommunikations- und Beratungsdienstleister Daten erhalten, soweit dies für Betrieb, Support oder die Erfüllung rechtlicher Pflichten erforderlich ist. Behörden, Gerichte oder sonstige Stellen erhalten Daten nur, wenn wir hierzu gesetzlich verpflichtet sind oder dies zur Rechtsverfolgung erforderlich ist.

Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums prüfen wir, ob ein Angemessenheitsbeschluss nach Art. 45 DSGVO besteht. Andernfalls verwenden wir insbesondere die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der maßgeblichen Garantien kannst du über die oben genannte Kontaktadresse anfordern.

15. Speicherdauer

Soweit in dieser Erklärung keine feste Frist genannt ist, speichern wir personenbezogene Daten nur, solange sie für den jeweiligen Zweck erforderlich sind. Anschließend löschen oder anonymisieren wir sie, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Handels- und steuerrechtlich relevante Unterlagen können sechs, acht oder zehn Jahre aufzubewahren sein.

16. Pflicht zur Bereitstellung

Du bist nicht gesetzlich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die für Konto, Anmeldung und die jeweils genutzte Funktion erforderlichen Daten können wir Poco oder einzelne Funktionen jedoch nicht anbieten. Die Verbindung mit anderen Programmen und Push-Benachrichtigungen sind freiwillig.

17. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO sowie
• Widerspruch nach Art. 21 DSGVO.

Wenn eine Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.

Widerspruch gegen berechtigte Interessen: Du kannst aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einlegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Zur Ausübung deiner Rechte genügt eine Nachricht an legal@carve-studio.de. Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, zuständig: www.lda.bayern.de.

18. Automatisierte Entscheidungen

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).

19. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Verarbeitung, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.