Datenschutzerklärung

1. Wer wir sind

AstraNL (eingetragen als AstraNL ZZP, KvK 88449335, BTW NL004604224B69). Koordinationsinfrastruktur mit Sitz in den Niederlanden. Kontakt: hello@astranl.com.

Diese Erklärung gilt für astranl.com und alle Subdomains.

2. Welche personenbezogenen Daten wir erheben

3. Warum wir Ihre Daten verarbeiten (Rechtsgrundlagen nach Art. 6 DSGVO)

• Vertrag (Art. 6 Abs. 1 lit. b) — um den von Ihnen gewünschten Koordinationsdienst zu erbringen (Konto, Veröffentlichung, Vermittlung).
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f) — Betrugsvermeidung (gehashte IPs), Beobachtung des Dienstes (Brain Events).
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c) — niederländische ZZP-Buchführung (7 Jahre für Finanzunterlagen), Steuerpflichten.
• Einwilligung (Art. 6 Abs. 1 lit. a) — derzeit nicht genutzt, da wir keine Analyse- oder Marketing-Cookies einsetzen.

4. Wie lange wir Daten aufbewahren

• Serverprotokolle (IP-anonymisiert): 30 Tage, danach automatische Löschung.
• Kontodaten: bis Sie Ihr Konto löschen.
• Foreninhalte: bis Sie sie löschen (oder die Löschung verlangen).
• Chatnachrichten: 30 Tage aktive Speicherung, danach ein komprimiertes Archiv, das nur Ihnen zugänglich ist.
• Finanzunterlagen (Rechnungen, Zahlungsnachweise): 7 Jahre nach niederländischem Recht (BW 2:10).
• Brain Events (Beobachtung): das Akteur-Feld enthält nur gehashte IDs, Löschung nach 90 Tagen.

5. Wo Ihre Daten liegen

Alle personenbezogenen Daten werden auf Servern in Amsterdam, Niederlande gespeichert (Rechenzentrum DigitalOcean AMS3). Sicherungen sind im Ruhezustand verschlüsselt. Einige Auftragsverarbeiter aus Abschnitt 6 sitzen außerhalb der EU; wenn sie Ihre Daten verarbeiten, werden diese in Länder außerhalb der EU übermittelt. Diese Übermittlungen und die jeweilige Garantie sind unten aufgeführt.

• Groq (USA): Sprache zu Text für Spracheingabe und Video-Kostenvoranschläge (Abschnitt 15). Garantie: wird derzeit eingerichtet (EU-Standardvertragsklauseln in einem Auftragsverarbeitungsvertrag).
• Anthropic (USA): KI-Modell für Fragen, Dokumente und Schritte von Kostenvoranschlägen. Garantie: wird derzeit eingerichtet (EU-Standardvertragsklauseln in einem Auftragsverarbeitungsvertrag).
• OpenAI (USA): Prüfung von Kostenvoranschlägen. Garantie: wird derzeit eingerichtet (EU-Standardvertragsklauseln in einem Auftragsverarbeitungsvertrag).
• xAI (USA): zweite Prüfung von Kostenvoranschlägen. Garantie: wird derzeit eingerichtet (EU-Standardvertragsklauseln in einem Auftragsverarbeitungsvertrag).
• Google (USA): Anmeldung mit Google und das Suchmodell Gemini. Garantie: zertifiziert nach dem EU-U.S. Data Privacy Framework (Datenschutzrahmen EU-USA).
• Stripe (USA): Zahlungen, wenn Sie bezahlen. Garantie: zertifiziert nach dem EU-U.S. Data Privacy Framework (Datenschutzrahmen EU-USA).
• GitHub (USA): Anmeldung mit GitHub, falls Sie es nutzen. Garantie: zertifiziert nach dem EU-U.S. Data Privacy Framework (Datenschutzrahmen EU-USA).
• DigitalOcean (USA): Hosting; Ihre Daten bleiben in Amsterdam gespeichert. Garantie: zertifiziert nach dem EU-U.S. Data Privacy Framework (Datenschutzrahmen EU-USA).

Bis die Garantien, die derzeit eingerichtet werden, bestehen, erhalten diese Anbieter nur die Daten, die sie mindestens brauchen. AstraNL sendet den Text, den Sie Astra geben, nicht an KI-Anbieter in China.

6. Dienstleister, die wir nutzen

Auftragsverarbeitungsverträge (AVV/DPA) mit den hier genannten Auftragsverarbeitern werden derzeit abgeschlossen. Die Auftragsverarbeiter sind: DigitalOcean (Hosting), Stripe (Zahlungen), Brevo (E-Mail), Google (Anmeldung und das Suchmodell Gemini), GitHub (Anmeldung), Groq (Sprache zu Text), Mistral AI (KI-Sprachmodell) sowie Anthropic, OpenAI und xAI (KI-Modelle für Fragen, Dokumente und die Prüfung von Kostenvoranschlägen). Bis diese Verträge vorliegen, übermitteln wir jedem Auftragsverarbeiter nur die Daten, die er für seine Aufgabe mindestens braucht.

7. Ihre Rechte (DSGVO Kapitel III)

Sie können jederzeit:

• Auskunft — eine Kopie aller Ihrer Daten verlangen (Art. 15)
• Berichtigung — falsche Angaben korrigieren (Art. 16)
• Löschung — Ihr Konto und Ihre Inhalte löschen (Art. 17, „Recht auf Vergessenwerden“)
• Einschränkung — die Verarbeitung während eines Streits aussetzen (Art. 18)
• Datenübertragbarkeit — Ihre Daten im JSON-Format erhalten (Art. 20)
• Widerspruch — einer Verarbeitung auf Grundlage berechtigter Interessen widersprechen (Art. 21)
• Beschwerde — bei der Autoriteit Persoonsgegevens (niederländische Datenschutzbehörde) einreichen

So nutzen Sie diese Rechte: Schreiben Sie mit Ihrem Anliegen an hello@astranl.com. Wir antworten innerhalb von 30 Tagen (Art. 12 Abs. 3 DSGVO). Oder nutzen Sie die Self-Service-Endpunkte:

• GET /api/user/export — sofortiger Datenexport (Anmeldung erforderlich)
• POST /api/user/delete — Konto löschen und Inhalte anonymisieren

8. Cookies

Wir verwenden nur unbedingt erforderliche Cookies, die nach der ePrivacy-Richtlinie keine Einwilligung erfordern:

• astra_lang (1 Jahr) — merkt sich Ihre Oberflächensprache
• astra_session (30 Tage, nur für angemeldete Nutzer) — hält Sie angemeldet

Wir verwenden KEIN Google Analytics, kein Facebook Pixel, keine Werbe-Tracker, keine Sitzungsaufzeichnung, keine Heatmaps und keine Analysewerkzeuge Dritter. Sollte sich das ändern, fügen wir vorher ein ordentliches Einwilligungsbanner hinzu.

9. Kinder

AstraNL ist nicht für Nutzer unter 16 Jahren bestimmt. Wir erheben wissentlich keine Daten von Kindern. Wenn Sie glauben, dass wir versehentlich Daten eines Kindes erhoben haben, kontaktieren Sie uns sofort; wir löschen sie dann.

10. Sicherheit

• TLS 1.3 für alle Verbindungen (Let's-Encrypt-Zertifikate, automatisch erneuert)
• Bcrypt/Argon2-gleichwertiges Hashing für Sitzungstoken
• SHA-256-Hashing von IP-Adressen vor der Speicherung
• Datenbank im Ruhezustand verschlüsselt (DigitalOcean-Volume-Verschlüsselung)
• Geheimnisse in Dateien mit Modus 600, Eigentümer root
• Automatische Sicherheitsupdates (unattended-upgrades) unter Ubuntu
• Alle API-Schlüssel werden alle 90 Tage gewechselt

11. Meldung von Datenpannen

Falls es zu einer Verletzung des Schutzes personenbezogener Daten kommt, die ein Risiko für Ihre Rechte darstellt, melden wir sie innerhalb von 72 Stunden der Autoriteit Persoonsgegevens und informieren betroffene Nutzer direkt gemäß Art. 33–34 DSGVO.

12. Änderungen dieser Erklärung

Wesentliche Änderungen teilen wir Ihnen per E-Mail (wenn Sie ein Konto haben) oder durch einen Hinweis auf der Website mindestens 30 Tage vor ihrem Inkrafttreten mit. Die vollständige Versionsgeschichte wird in unserem öffentlichen Repository geführt.

13. Kontakt zum Datenschutzbeauftragten

Für jedes Datenschutzanliegen:
E-Mail: hello@astranl.com
Post: AstraNL ZZP, Niederlande — Anschrift auf Anfrage
Aufsichtsbehörde: Autoriteit Persoonsgegevens

14. Gemessene Lieferangebote für Projekte

15. Spracheingabe und der Assistent Astra

15.1 Wie gesprochene Eingaben zu Text werden

• Zuerst die Spracherkennung Ihres Browsers. Wenn Sie die Mikrofontaste gedrückt halten, nutzt Astra zuerst die in Ihren Browser eingebaute Spracherkennung. AstraNL erhält diese Audiodaten nicht, nur den erkannten Text. In Google Chrome sendet diese Erkennung Ihre Audiodaten normalerweise an Google; andere Browser können sie an ihren eigenen Anbieter senden. Der Browseranbieter tut dies nach seinen eigenen Datenschutzbedingungen.
• Sonst Transkription durch AstraNL. Hat Ihr Browser keine Spracherkennung oder schlägt sie fehl, nimmt Ihr Browser die Audiodaten auf und sendet sie an unseren Server. Wir senden sie an Groq (Whisper-Modell), um daraus Text zu machen. Ist Groq nicht verfügbar, erfolgt die Transkription auf unserem eigenen Server in Amsterdam.
• Videos für eine Schätzung. Wenn Sie ein Video für eine Schätzung senden, wird dessen Ton ebenfalls von Groq transkribiert.
• Sprachnotizen in Projekten im Projekt-Dashboard werden nur auf unserem eigenen Server transkribiert und nie an einen externen Dienst gesendet.

15.2 Was wir verarbeiten, warum und wie lange

• Zweck: Ihre Frage verstehen und beantworten und Ihr Anliegen bearbeiten; die Transkription macht aus Ihrer gesprochenen Anfrage Text.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO: Das Transkribieren und Bearbeiten Ihrer Anfrage sind Schritte, um die Sie bitten, vor oder im Rahmen eines Vertrags. Die Spracherkennung in Ihrem Browser führt der Browseranbieter nach seinen eigenen Bedingungen durch.
• Empfänger: Anbieter für Sprache-zu-Text: Groq, Inc. (Vereinigte Staaten); Anbieter des KI-Sprachmodells: Mistral AI (Frankreich); Hosting: DigitalOcean (Amsterdam). Nicht über AstraNL, sondern über Ihren Browser: der Browserhersteller, zum Beispiel Google in Chrome. Groq ist ein Unternehmen außerhalb der EU; dorthin gesendete Audiodaten können daher außerhalb der EU verarbeitet werden. AstraNL sendet Ihre Fragen nicht an KI-Anbieter in China.

15.3 KI und ein Weg zu einem Menschen

• Astra ist ein KI-Assistent. Die Antworten werden automatisch erzeugt und können falsch sein; prüfen Sie Preise und Fakten, bevor Sie sich darauf verlassen.
• Astra trifft keine Entscheidungen über Sie. Astra antwortet, zeigt Links und kann eine Auftragsanfrage erfassen. Astra genehmigt, bestellt und bezahlt nichts.
• Ein Weg zu einem Menschen: Schreiben Sie an hello@astranl.com. Fragen, die dort eingehen, werden an einen Menschen weitergegeben.
• Wenn das KI-Modell nicht antworten kann, sagt Astra das höflich in Ihrer Sprache und verweist Sie an hello@astranl.com.

15.4 So vermeiden Sie Spracheingabe

• Tippen Sie Ihre Frage in das Textfeld des Astra-Fensters, statt die Mikrofontaste zu drücken. Getippter Text wird wie in 15.2 beschrieben verarbeitet; es werden keine Audiodaten verarbeitet.
• Beschreiben Sie für eine Schätzung die Arbeiten in Textform, statt ein Video zu senden.
• Sie können den Mikrofonzugriff für astranl.com in den Einstellungen Ihres Browsers sperren; alles funktioniert weiterhin per Texteingabe.
• Astra liest eine Antwort nur nach einer gesprochenen Frage mit der eingebauten Stimme Ihres Browsers vor. Je nach Browser kann diese Stimme einen Onlinedienst des Browseranbieters nutzen.

15.5 Ihre Rechte

Es gelten die Rechte aus Abschnitt 7: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit und Beschwerde bei der Autoriteit Persoonsgegevens. Da AstraNL kein Astra-Audio speichert, gibt es keine Aufnahme, die wir herausgeben könnten. Für Audiodaten, die die Spracherkennung Ihres Browsers verarbeitet, wenden Sie sich an den Browseranbieter (zum Beispiel Google).