Datenschutzerklärung

Stand: 26. August 2026

1. Verantwortlicher

Arkant UG (haftungsbeschränkt)
Biberacher Straße 3
88410 Bad Wurzach
Deutschland

E-Mail: mail@initiwise.de

2. Zwecke und Rechtsgrundlagen der Verarbeitung

INITIWISE ist ein SaaS-Werkzeug zur Bewertung und Priorisierung von
KI-Initiativen. Wir verarbeiten personenbezogene Daten ausschließlich, um den
Dienst zur Verfügung zu stellen, abzurechnen und weiterzuentwickeln.

Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung (Bereitstellung des Dienstes, Authentifizierung, Workspace-Verwaltung)
• Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse (Sicherheit, Missbrauchsabwehr)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (optionale KI-Funktionen mit US-Anbietern, sofern gewählt)

3. Welche Daten werden verarbeitet?

Bei Registrierung und Nutzung:

• E-Mail-Adresse und Anzeigename
• Workspace- und Use-Case-Daten, die Sie selbst eingeben
• Login-Zeitpunkte sowie kurzlebige Einmal-Codes (OTP) für die passwortlose Anmeldung — für reguläre Nutzer werden keine Passwörter gespeichert; das Kennwort des administrativen Notfallzugangs liegt ausschließlich als kryptografischer Hash vor
• IP-Adresse: nur flüchtig zur Missbrauchsabwehr (Rate-Limiting), keine dauerhafte Speicherung
• Optional hochgeladene Dateien (Use-Case-Anhänge)

4. Auftragsverarbeiter

Wir nutzen folgende Dienstleister, um den Dienst bereitzustellen:

Wie die KI-Anfragen laufen: Nutzen Sie eine KI-Funktion (Copilot, Recherche,
Zusammenfassungen), verlässt Ihre Anfrage unseren Server und wird über den
Abrechnungs-Proxy "Api Dash" an ein Modell-Gateway und von dort an den
Modellanbieter weitergereicht, der die Antwort erzeugt. In der
Standard-Konfiguration bleibt diese Kette vollständig innerhalb der EU
(Modellbetrieb in Frankfurt). Übermittelt werden dabei die Inhalte, die Sie in
der Anfrage bzw. im jeweiligen Use-Case-Kontext bereitstellen. Wird in den
App-Einstellungen ein eigener Anbieter-Schlüssel hinterlegt, entfällt der Proxy
und die Anfrage geht direkt an den dort gewählten Anbieter — dann gilt dessen
Sitz (siehe Abschnitt 8).

KI-Chatverläufe: Ihre Unterhaltungen mit dem KI-Berater werden gespeichert,
damit Sie sie später fortsetzen können. Chatverläufe sind ausschließlich für
das Konto einsehbar, das sie geführt hat — weder andere Mitglieder Ihres
Workspace noch wir als Betreiber können sie über die Anwendung einsehen. Sie
können einzelne Unterhaltungen jederzeit selbst löschen.

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

5. Speicherdauer

Personenbezogene Daten werden gespeichert, solange ein aktives Konto besteht.
Nach Kündigung bzw. Konto-Löschung werden Daten innerhalb von 30 Tagen
gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen (z. B. § 147 AO)
entgegenstehen.

6. Ihre Rechte

Sie haben das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch (Art. 21 DSGVO)
• Beschwerde bei der zuständigen Aufsichtsbehörde — für uns: Landesbeauftragter

für den Datenschutz und die Informationsfreiheit Baden-Württemberg

Anfragen richten Sie bitte an: mail@initiwise.de

7. Cookies und vergleichbare Technologien

Wir verwenden ausschließlich ein technisch notwendiges Session-Cookie für die
Anmeldung (HttpOnly, signiert). Die Design-Einstellung (hell/dunkel) wird lokal
in Ihrem Browser gespeichert. Es findetkein Tracking durch Drittanbieter
statt.

8. Datenübermittlung in Drittländer

In der Standard-Konfiguration findet für die KI-Funktionen keine Übermittlung
in ein Drittland statt: Die Anfragen werden über ein EU-Gateway an einen
Modellanbieter mit Verarbeitung in der EU (Frankfurt) geleitet — siehe die
Kette in Abschnitt 4.

Eine Übermittlung in die USA findet nur in zwei Fällen statt:

• wenn in den App-Einstellungen ein eigener Schlüssel für einen

US-amerikanischen Anbieter (z. B. Anthropic, OpenAI) hinterlegt wird — dann
geht die Anfrage direkt an diesen Anbieter;

• bei Nutzung der Meeting-Transkription über Google, soweit die Verarbeitung

dort nicht auf die EU beschränkt ist.

Die Übermittlung erfolgt in diesen Fällen auf Grundlage von
EU-Standardvertragsklauseln (Art. 46 DSGVO). Die Zahlungsabwicklung über Stripe
kann ebenfalls eine Übermittlung in die USA umfassen.

9. Datensicherheit

Alle Verbindungen sind TLS-verschlüsselt (HTTPS). Die Anmeldung erfolgt
passwortlos über kurzlebige Einmal-Codes; Sitzungen werden über signierte
HttpOnly-Cookies abgesichert. Die Trennung der Workspace-Daten erfolgt über
Postgres Row-Level-Security; zusätzlich gelten rollenbasierte
Zugriffskontrollen und eine restriktive Content-Security-Policy.

10. Änderungen dieser Erklärung

Wir behalten uns vor, diese Erklärung anzupassen, um sie an geänderte rechtliche
oder tatsächliche Gegebenheiten anzupassen.