Datenschutzerklärung

Stand: [[DATUM]]

Diese Datenschutzerklärung gilt für die Website scriptalong.com und für die Anwendung ScriptAlong unter app.scriptalong.com einschließlich ihrer Programmierschnittstellen (API, MCP). Sie erklärt, welche personenbezogenen Daten wir verarbeiten, wozu, auf welcher Rechtsgrundlage und wie lange.

1. Verantwortlicher

Einen Datenschutzbeauftragten müssen wir nach Art. 37 DSGVO und § 38 BDSG nicht benennen. Für alle Fragen zum Datenschutz erreichen Sie uns unter der genannten E-Mail-Adresse.

2. Überblick

• Die Website scriptalong.com setzt keine Cookies, verwendet kein Tracking und lädt keine Inhalte von Dritten.
• Die Anwendung setzt nur ein technisch notwendiges Session-Cookie für die Anmeldung.
• Ihre Stimme wird nur während einer laufenden Aufnahme zur Spracherkennung übertragen und von uns nicht gespeichert.
• Sie können Ihre Daten in der Anwendung jederzeit selbst exportieren und Ihr Konto löschen.

3. Hosting und Server-Logs

Website und Anwendung laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, in Rechenzentren in [[STANDORT, z. B. Deutschland oder Finnland]]. Hetzner verarbeitet die Daten in unserem Auftrag; ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO ist abgeschlossen.

Bei jedem Aufruf protokolliert der vorgeschaltete Webserver (Reverse Proxy) automatisch folgende Angaben (Zugriffsprotokoll):

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit des Zugriffs
• aufgerufene Adresse (Host, Pfad und Parameter, bei der Spracherkennung etwa Sprache und Fachbegriffe), HTTP-Methode und Protokoll
• HTTP-Statuscode, übertragene Datenmenge und Antwortzeit
• vom Browser mitgesendete Kopfzeilen wie Browser und Betriebssystem (User-Agent), bevorzugte Sprache und Referrer (die zuvor besuchte Seite); Cookies und Zugangstokens werden nicht protokolliert

Die Anwendung selbst schreibt zusätzlich ein Betriebsprotokoll ohne IP-Adresse: Zeitpunkt, eine zufällige Kennung der Anfrage, HTTP-Methode, Pfad ohne Parameter, Statuscode, Antwortzeit und, wenn Sie angemeldet sind, Ihre interne Benutzerkennung. Dazu kommen einzelne Ereignisse wie „Anmelde-Link versandt“, Beginn und Ende einer Spracherkennung mit ihrer Dauer oder „Konto gelöscht“. Inhalte Ihrer Skripte und Notizen, E-Mail-Inhalte, Tokens und Audiodaten stehen nicht im Protokoll.

Wir verwenden diese Daten nur, um den Betrieb sicherzustellen, Fehler zu finden und Angriffe abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren und stabilen Betrieb. Die Logs werden nach 14 Tagen automatisch gelöscht, es sei denn, ein konkreter Sicherheitsvorfall erfordert eine längere Aufbewahrung zur Aufklärung.

Die Verbindung ist durchgehend per TLS verschlüsselt. Zum Schutz vor Missbrauch begrenzen wir, wie oft Anmelde-Links angefordert werden können, je IP-Adresse und je E-Mail-Adresse; dazu werden beide bis zu 15 Minuten im Arbeitsspeicher des Servers gehalten und nicht gespeichert.

4. Konto und Anmeldung per E-Mail-Link

Für die Anwendung legen Sie ein Konto mit Ihrer E-Mail-Adresse an. Statt eines Passworts schicken wir Ihnen zur Anmeldung einen Link per E-Mail, der 15 Minuten und nur einmal gültig ist. Wir verarbeiten dabei:

• E-Mail-Adresse und Zeitpunkt der Registrierung
• Anmelde-Links (gespeichert nur als Prüfsumme, nicht im Klartext)
• Sitzungen: eine zufällige Sitzungskennung, Zeitpunkt der Anmeldung und der letzten Nutzung, Ablaufzeit sowie IP-Adresse und Browserkennung (User-Agent) bei der Anmeldung; damit können Sie Ihre Anmeldungen nachvollziehen und wir Missbrauch erkennen
• gewählter Tarif und Nutzung des Kontingents

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Nutzungsvertrags). Ohne E-Mail-Adresse können wir kein Konto einrichten.

5. Ihre Inhalte: Skripte, Notizen, Ordner, Zugangstokens

Die Skripte, Notizen, Fachbegriffe und Ordner, die Sie selbst oder über einen KI-Agenten anlegen, speichern wir auf unserem Server, um sie Ihnen anzuzeigen. Für Zugangstokens (API, MCP) speichern wir nur eine Prüfsumme, ein Präfix zur Anzeige, den Namen und den Zeitpunkt der letzten Nutzung. Wir sehen uns Ihre Inhalte nicht an, außer Sie bitten uns darum oder es ist zur Behebung einer Störung oder zur Abwehr von Missbrauch zwingend nötig.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wenn Sie einen KI-Agenten (etwa von OpenAI oder Anthropic) mit ScriptAlong verbinden, entscheiden Sie selbst, welche Daten dieser Dienst erhält. Für die Verarbeitung durch den Agenten ist dessen Anbieter verantwortlich.

6. Spracherkennung über ElevenLabs

Damit der Prompter mitlaufen kann, wird Ihre Sprache in Text umgewandelt. Dafür setzen wir den Dienst ElevenLabs ein, betrieben von ElevenLabs Inc., [[ANSCHRIFT ELEVENLABS INC.]], USA.

• Erst wenn Sie eine Aufnahme starten und Ihr Browser den Zugriff auf das Mikrofon erlaubt, wird das Audiosignal in kleinen Abschnitten über unseren Server an ElevenLabs gestreamt. Ihr Browser verbindet sich dabei nicht direkt mit ElevenLabs.
• Mit dem Audio übermitteln wir die Sprache des Skripts und die Fachbegriffe, die Sie für das Skript hinterlegt haben, damit diese richtig erkannt werden. Den übrigen Skripttext übermitteln wir nicht.
• ElevenLabs liefert den erkannten Text zurück; daraus bestimmt Ihr Browser die Stelle im Skript.
• Die Übertragung endet, sobald Sie die Aufnahme stoppen, die Seite verlassen oder das Mikrofon nach 30 Sekunden Stille automatisch pausiert.

Das Audiosignal wird nur während der laufenden Aufnahme gestreamt und von unserem Server unmittelbar weitergeleitet. Wir speichern weder die Audiodaten noch die erkannten Texte, auch nicht vorübergehend. Gespeichert wird nur, wann und wie lange die Spracherkennung lief, zu welchem Skript und mit wie vielen Fachbegriffen, damit wir Ihr Kontingent berechnen und unsere Kosten zuordnen können. Eine Erkennung oder Identifizierung von Personen anhand der Stimme findet nicht statt.

ElevenLabs verarbeitet die Daten ausschließlich in unserem Auftrag nach Art. 28 DSGVO. Mit ElevenLabs haben wir einen Vertrag zur Auftragsverarbeitung (Data Processing Addendum, DPA) abgeschlossen. ElevenLabs verarbeitet die Daten in den USA. Die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit ElevenLabs danach zertifiziert ist, und ergänzend auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Wie lange ElevenLabs übermittelte Daten vorhält, richtet sich nach dem Auftragsverarbeitungsvertrag: [[SPEICHERDAUER BEI ELEVENLABS LAUT DPA]].

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, denn das Mitlaufen nach Stimme ist die Kernleistung von ScriptAlong. Sie können den Prompter jederzeit auch ohne Spracherkennung von Hand steuern; dann werden keine Audiodaten übertragen.

7. E-Mail-Versand über Amazon Web Services

Anmelde-Links und andere E-Mails zum Konto (etwa die Bestätigung einer Kontolöschung, Hinweise zum Kontingent oder zu Änderungen dieser Bedingungen) versenden wir über Amazon Simple Email Service (SES) in der Region Frankfurt am Main (eu-central-1). Anbieter ist Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Dabei werden Ihre E-Mail-Adresse, der Inhalt der E-Mail sowie technische Versanddaten (Zeitpunkt, Zustellstatus, gegebenenfalls Rückläufer und Beschwerden) verarbeitet.

AWS ist unser Auftragsverarbeiter; der Auftragsverarbeitungsvertrag ist Bestandteil der AWS-Service- bedingungen. Ein Zugriff aus den USA durch die Muttergesellschaft Amazon Web Services, Inc. ist nicht ausgeschlossen. Dafür stützen wir uns auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, nach dem Amazon zertifiziert ist, und ergänzend auf Standardvertragsklauseln. Rechtsgrundlage für den Versand ist Art. 6 Abs. 1 lit. b DSGVO. Versandprotokolle bewahren wir [[DAUER, z. B. 30 Tage]] auf.

Newsletter oder Werbe-E-Mails versenden wir nicht.

8. Zahlungen über Stripe (Managed Payments)

Kostenpflichtige Tarife buchen Sie über Stripe Managed Payments. Dabei tritt Stripe als Händler (Merchant of Record) auf: Stripe verkauft Ihnen das Abonnement, wickelt die Zahlung ab, stellt die Rechnung aus und führt die Umsatzsteuer ab. Vertragspartner für den Kauf ist [[STRIPE-GESELLSCHAFT, z. B. Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Dublin 2, Irland]].

Für die Zahlungsabwicklung ist Stripe eigenständig Verantwortlicher im Sinne der DSGVO. Ihre Zahlungsdaten (etwa Karten- oder Kontodaten) geben Sie direkt bei Stripe ein; wir erhalten sie nicht. Es gilt die Datenschutzerklärung von Stripe: stripe.com/de/privacy.

Von Stripe erhalten wir die Angaben, die wir brauchen, um Ihren Tarif freizuschalten: eine Kunden- und Abonnement-Kennung, Ihre E-Mail-Adresse, Tarif, Status und Laufzeit des Abonnements sowie Land und Betrag. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit wir Unterlagen aufbewahren müssen, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

9. Cookies und Speicher im Browser

Website scriptalong.com: setzt keine Cookies, speichert nichts im Browser und bindet keine Inhalte Dritter ein. Schriften werden nicht von externen Servern geladen.

Anwendung app.scriptalong.com: verwendet nur, was für die Funktion unbedingt nötig ist:

Beides ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich und daher nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig. Die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. b DSGVO. Analyse- oder Werbe-Cookies verwenden wir nicht.

10. Kontakt per E-Mail

Wenn Sie uns schreiben, verarbeiten wir Ihre Nachricht und Ihre Kontaktdaten, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage Ihr Konto oder einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen die Korrespondenz, wenn sie erledigt ist und keine Aufbewahrungspflicht besteht.

11. Empfänger und Auftragsverarbeiter

Stripe ist für die Zahlungsabwicklung kein Auftragsverarbeiter, sondern eigenständig Verantwortlicher (siehe Abschnitt 8). Darüber hinaus geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind, etwa auf behördliche Anordnung.

12. Speicherdauer

• Konto, Skripte, Notizen, Ordner und Tokens: bis Sie sie löschen oder Ihr Konto löschen.
• Nutzungsdaten der Spracherkennung (Zeitpunkt, Dauer, Skript): solange das Konto besteht, längstens [[DAUER, z. B. 24 Monate]].
• Anmelde-Links: bis zur Nutzung, längstens 15 Minuten. Sitzungen: 30 Tage ab der letzten Nutzung oder bis zur Abmeldung; „Überall abmelden“ unter Einstellungen > Konto beendet alle Sitzungen sofort.
• Server-Logs (Zugriffs- und Betriebsprotokoll): 14 Tage.
• Datensicherungen: Gelöschte Daten verschwinden aus den Sicherungen spätestens nach [[DAUER, z. B. 30 Tagen]], wenn die Sicherung turnusmäßig überschrieben wird.
• Unterlagen mit gesetzlicher Aufbewahrungspflicht: 6 bzw. 8 Jahre nach § 147 AO und § 257 HGB.

13. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich Ihrer personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)

Direkt in der Anwendung: Unter Einstellungen > Konto können Sie alle Daten zu Ihrem Konto exportieren, als JSON-Datei oder als Zip-Archiv mit einer Markdown-Datei je Skript: Konto, Skripte mit Notizen, Ordner, Zugangstokens (Name und Präfix, nie das Token selbst), Nutzung der Spracherkennung und Sitzungen. Dort können Sie auch Ihr Konto löschen. Beim Löschen entfernen wir Konto, Inhalte, Tokens, Nutzungsdaten und Sitzungen sofort aus der laufenden Datenbank und bestätigen das per E-Mail; ein laufendes Abonnement wird vorher gekündigt. Für Datensicherungen und Aufbewahrungspflichten gilt Abschnitt 12. Für alle anderen Anliegen genügt eine E-Mail an die in Abschnitt 1 genannte Adresse.

Beschwerderecht: Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes (Art. 77 DSGVO). Für uns zuständig ist [[ZUSTÄNDIGE AUFSICHTSBEHÖRDE MIT ANSCHRIFT]].

14. Pflicht zur Bereitstellung, automatisierte Entscheidungen

Für die Nutzung der Website müssen Sie keine personenbezogenen Daten angeben; die Server-Logs entstehen technisch bedingt. Für die Anwendung ist die E-Mail-Adresse erforderlich. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

15. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.