Datenschutzerklärung für die App KI-Kira

Version: 4

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung der App KI-Kira ist:

giba-ai

Vertreten durch:

Michael Gilowski

Am Wischacker 47

30952 Ronnenberg

E-Mail: info@giba-ai.de

2. Worum es in dieser Datenschutzerklärung geht

Diese Datenschutzerklärung informiert darüber, welche personenbezogenen Daten wir bei der Nutzung der App KI-Kira verarbeiten, zu welchen Zwecken dies geschieht, auf welcher Rechtsgrundlage dies beruht, an wen Daten übermittelt werden können und welche Rechte Ihnen zustehen.

Die App ist ein sprach- und textbasierter KI-Assistent. Sie verarbeitet Nutzereingaben, kann Gespräche lokal auf dem Gerät speichern, kann eine nutzerkontrollierte, lokale Memory-Datenbank führen und übermittelt Inhalte an ein eigenes Backend zur KI-Verarbeitung, Profilverwaltung und E-Mail-Verifikation.

Je nach ausgewähltem Spracherkennungsmodus erfolgt die Sprachverarbeitung entweder lokal auf dem Endgerät oder über den nativen Sprachdienst des Betriebssystem- oder Plattformanbieters.

Wichtig: Ihre Chatinhalte werden von uns nicht eingesehen oder mitgelesen. Ihre Eingaben werden ausschließlich automatisiert zur Erzeugung der KI-Antwort verarbeitet und laufen dafür nur kurzzeitig durch unser Backend, bevor sie an den KI-Dienst übermittelt und die Antwort zurück an Ihr Gerät gesendet wird. Eine dauerhafte Speicherung oder manuelle Einsichtnahme durch uns findet nicht statt.

3. Welche Daten wir verarbeiten

Je nach Nutzung der App verarbeiten wir insbesondere folgende Daten:

• Vorname, Nachname, E-Mail-Adresse und die Information, ob Sie mindestens 18 Jahre alt sind
• App-interne Profil-ID, pseudonyme Nutzer-ID, Aktivierungs- und Verifikationsdaten
• gesprochene oder eingetippte Inhalte, Transkripte, Chatverläufe und KI-Antworten
• optionale Memory-Inhalte wie Alter, Beziehungen, Notizen oder Lebenssituation durch Nutzer vorgegeben
• technische Nutzungsdaten wie Zeitpunkte, Request-Status, Fehlermeldungen sowie IP-Adresse bei Registrierung, Aktivierung und Verifikation
• Sicherheits- und Berechtigungsdaten wie Profil-Token-Status, Token-Ablaufzeiten, app_id-bezogene Zugriffsmodi und gegebenenfalls Attestation-Informationen
• lokal gespeicherte Daten wie Einstellungen, Chat-Historie, Tokenverbrauch, Onboarding-Status und ausgewählte STT-Konfigurationen

4. Zwecke und Rechtsgrundlagen

Wir verarbeiten Ihre Daten insbesondere, um:

• die App und ihre Kernfunktionen bereitzustellen
• Sprache in Text umzuwandeln
• Anfragen durch KI beantworten zu lassen
• Registrierung, E-Mail-Verifikation und Aktivierungen durchzuführen
• die optionale Memory-Funktion bereitzustellen
• Sicherheit, Stabilität, Missbrauchsschutz und technische Nachvollziehbarkeit sicherzustellen

Rechtsgrundlagen sind insbesondere:

• Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung der angeforderten Funktionen
• Art. 6 Abs. 1 lit. f DSGVO für IT-Sicherheit, Missbrauchsvermeidung, Fehleranalyse und technische Nachvollziehbarkeit
• Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen

Soweit Sie in Ihren Eingaben besonders sensible Informationen teilen, kann die Verarbeitung auf Ihrer ausdrücklichen Einwilligung nach Art. 9 Abs. 2 lit. a DSGVO beruhen.

5. Empfänger und eingesetzte Dienstleister

Wir setzen technische Dienstleister ein, soweit dies für den Betrieb der App erforderlich ist. Dazu gehören insbesondere:

• Hosting- und Infrastruktur-Dienstleister für das Backend
• E-Mail-Dienstleister für Verifikationscodes
• KI-Dienstleister für die Verarbeitung von Anfragen
• gegebenenfalls Plattformdienste für native Sprachverarbeitung

Die KI-Verarbeitung erfolgt über einen oder mehrere von uns beauftragte KI-Dienstleister; aktuell setzen wir hierfür die Claude API von Anthropic, Inc. ein. Wir behalten uns vor, den eingesetzten KI-Dienstleister zu wechseln oder zu ergänzen; das in dieser Datenschutzerklärung beschriebene Schutzniveau bleibt dabei erhalten. Bei der KI-Verarbeitung können Nutzereingaben, Chatverläufe sowie Memory-Kontexte übermittelt werden, soweit dies für die jeweilige Funktion erforderlich ist. Für die technische Zuordnung von Anfragen wird an den KI-Dienst in den Provider-Metadaten ausschließlich eine gehashte Profilkennung übertragen; Profilstammdaten wie Vorname, Nachname oder E-Mail-Adresse werden dabei nicht als Provider-Metadaten übermittelt.

Für den Betrieb unseres Backends nutzen wir derzeit Hetzner Online GmbH als Hosting-Dienstleister (Serverstandort Deutschland).

Wenn Sie die native Spracherkennung Ihres Betriebssystems nutzen, kann die Spracheingabe zudem über Dienste des Plattformanbieters verarbeitet werden. Bei Nutzung der Offline-Engine Vosk erfolgt die Spracherkennung lokal auf dem Gerät (bei Android Nutzern).

6. Internationale Datenübermittlungen

Unser Backend-Server wird in Deutschland betrieben. Für die KI-Verarbeitung setzen wir einen oder mehrere KI-Dienstleister ein; aktuell ist dies Anthropic, Inc. (USA) mit der Claude API.

Soweit ein von uns eingesetzter KI-Dienstleister außerhalb der EU/des EWR ansässig ist, verarbeitet dieser die übermittelten Nutzereingaben als Auftragsverarbeiter auf Grundlage eines Data Processing Addendum (DPA). Die Übermittlung erfolgt auf Grundlage geeigneter Garantien, insbesondere Standardvertragsklauseln gemäß Art. 46 DSGVO, sowie jeweils verschlüsselt (TLS). Mit den von uns eingesetzten KI-Dienstleistern vereinbaren wir vertraglich, dass übermittelte API-Daten nicht zum Training von KI-Modellen verwendet werden.

Bei dieser Übermittlung werden Profilstammdaten wie Vorname, Nachname oder E-Mail-Adresse nicht als Provider-Metadaten übertragen; hierfür wird nur eine gehashte Profilkennung verwendet.

Nutzer werden gebeten, in ihren Eingaben keine unnötigen personenbezogenen Daten Dritter zu übermitteln. Soweit Nutzer gleichwohl personenbezogene Daten in ihre Eingaben einbeziehen, werden diese im Rahmen der KI-Verarbeitung an den jeweiligen KI-Dienstleister übermittelt.

6a. Profiling und automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder vergleichbar erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO findet nicht statt.

Zur technischen Funktionsweise der App werden Chatinhalte und zugehörige Verarbeitungsdaten innerhalb unserer Systeme einer app-internen Profilkennung zugeordnet (z. B. für Antwortbereitstellung, Sitzungsbezug und Kontinuität der Nutzung). Diese Zuordnung dient ausschließlich der technischen Bereitstellung der App-Funktionen und nicht einem Marketing-Scoring oder einer vergleichbaren Bewertungsentscheidung.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie dies für die jeweiligen Zwecke erforderlich ist.

Chatinhalte und KI-Antworten werden auf unserem Backend nicht dauerhaft gespeichert. Sie verbleiben dort nur für die Dauer der technischen Verarbeitung (Weiterleitung an den KI-Dienst und Rückübermittlung der Antwort an die App) und werden anschließend automatisch verworfen. Ein manueller Zugriff oder eine inhaltliche Auswertung Ihrer Chats durch uns findet nicht statt.

Lokal gespeicherte Daten verbleiben grundsätzlich auf Ihrem Endgerät, bis Sie sie in der App löschen, die App deinstallieren oder lokale App-Daten entfernen.

Servergespeicherte Profil- und Aktivierungs-Daten werden nach Kontolöschung innerhalb von 30 Tagen endgültig gelöscht. Sicherheits- und Audit-Logs werden für 12 Monate aufbewahrt. Soweit gesetzliche Aufbewahrungspflichten bestehen (z. B. steuerrechtliche Dokumente), richtet sich die Speicherdauer nach den jeweiligen Fristen, in der Regel 6 bzw. 10 Jahre.

8. Berechtigungen auf dem Endgerät

Die App benötigt insbesondere Mikrofonzugriff für Spracheingaben und Internetzugriff für die Kommunikation mit Backend und technischen Diensten.

Standort, Kontakte oder Kamera werden nach dem derzeitigen technischen Stand nicht für die Kernfunktionen verarbeitet.

Sicherheitsrelevante Zustandsdaten wie Profil-Token werden auf dem Gerät getrennt von allgemeinen Komfortdaten gespeichert, soweit das Betriebssystem dies unterstützt.

9. Datensicherheit

Wir treffen angemessene technische und organisatorische Massnahmen, um personenbezogene Daten gegen Verlust, Missbrauch und unbefugten Zugriff zu schützen. Dazu gehören insbesondere:

• app_id-gesteuerte Zugriffsmodi auf App-Endpunkten
• Profil-Token mit serverseitig gehashten Tokenwerten und Ablaufzeiten
• HMAC-basierte Absicherung von Aktivierungs- und Verifikationsartefakten
• Redis-basiertes Rate Limiting für zentrale App-Endpunkte
• getrennte Datenhaltung für Bot-, Profil- und RAG-Daten
• Audit-Logs für Aktivierung und E-Mail-Verifikation
• Schutzmassnahmen bei der Backend-Kommunikation
• verschlüsselte Übertragung (TLS/HTTPS) sämtlicher Daten zwischen der App und unserem Backend

Bitte beachten Sie, dass trotz angemessener Schutzmassnahmen keine Datenverarbeitung vollständig risikofrei ist.

10. Minderjährige

Das Angebot richtet sich nicht an Personen unter 18 Jahren. Im Onboarding wird abgefragt, ob Nutzer mindestens 18 Jahre alt sind.

11. Ihre Rechte

Sie haben nach der DSGVO insbesondere folgende Rechte:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft

Ausserdem haben Sie das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Zur Ausübung Ihrer Rechte können Sie sich unter oben genanntem Kontakt bei uns melden. Bitte richten Sie entsprechende Anfragen per E-Mail an info@giba-ai.de und verwenden Sie nach Möglichkeit den Betreff „Datenschutz“. Zur eindeutigen Zuordnung und zum Schutz vor unbefugten Auskünften sollen Anfragen grundsätzlich von der in der App registrierten E-Mail-Adresse gestellt werden.

12. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich gesetzliche Anforderungen, technische Funktionen oder die Datenverarbeitung ändern. Es gilt jeweils die aktuelle Fassung.