Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Website exposegpt.de, die Browser-Erweiterung ExposéGPT und das zugehörige Nutzerkonto ist:

Maximilian Löser IT Solutions
c/o IP-Management #6776
Ludwig-Erhard-Straße 18
20459 Hamburg

E-Mail: hello@loeser.solutions
Telefon: 015678 303065
WhatsApp / Signal: 0163 7929930
USt-IdNr.: DE442287158

Für Fragen zum Datenschutz genügt eine E-Mail an die oben genannte Adresse.

2. Wofür diese Erklärung gilt

Diese Erklärung beschreibt die Verarbeitung personenbezogener Daten bei der Nutzung von:

• der Website exposegpt.de einschließlich ihrer Unterseiten,
• der Browser-Erweiterung ExposéGPT für Chrome und Firefox,
• dem Nutzerkonto unter app.exposegpt.de und
• der Text- und Sprachverarbeitung über die ExposéGPT-API.

3. Rechtsgrundlagen im Überblick

Je nach Vorgang stützen wir die Verarbeitung auf:

• Art. 6 Abs. 1 lit. b DSGVO: Erfüllung des Vertrags oder vorvertragliche Maßnahmen, etwa Nutzerkonto, Textgenerierung und Zahlungsabwicklung,
• Art. 6 Abs. 1 lit. f DSGVO: berechtigtes Interesse, etwa Server-Logs für einen sicheren Betrieb, Datensicherung und Reichweitenmessung,
• Art. 6 Abs. 1 lit. a DSGVO: Einwilligung, soweit wir sie für einzelne Vorgänge gesondert einholen,
• Art. 6 Abs. 1 lit. c DSGVO: rechtliche Pflichten, etwa steuer- und handelsrechtliche Aufbewahrung.

Übermittlungen in Länder außerhalb der EU und des EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Welche Grundlage im Einzelfall gilt, steht bei den Empfängern in Abschnitt 14.

4. Hosting und Datensicherung

Hosting bei Scaleway (Frankreich)

Website, Nutzerbereich, Backend, Datenbank, Analyse- und Terminsoftware laufen auf einem Server der Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich, in einem Rechenzentrum in Frankreich. Scaleway verarbeitet die Daten als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage des Auftragsverarbeitungsvertrags, der Bestandteil der Vertragsbedingungen von Scaleway ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Bereitstellung des Dienstes, sicherer Betrieb). Eine Übermittlung in ein Drittland findet dabei nicht statt.

Backups bei Hetzner (Deutschland)

Zur Datensicherung legen wir Backups mit der Software Borg bei der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, ab. Die Backups werden vor der Übertragung auf unserem Server verschlüsselt; Hetzner speichert nur die verschlüsselten Daten und hat keinen Zugriff auf deren Inhalt. Hetzner ist Auftragsverarbeiter nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der Wiederherstellbarkeit des Dienstes nach Ausfällen oder Fehlern. Die Speicherung erfolgt in Deutschland, eine Übermittlung in ein Drittland findet nicht statt.

5. Aufruf der Website und des Nutzerbereichs

Beim Abruf einer Seite werden technisch erforderliche Verbindungsdaten verarbeitet, damit die angeforderte Seite ausgeliefert und der Betrieb abgesichert werden kann. Der Webserver und der Nutzerbereich protokollieren Zugriffe in Server-Logs. Diese können insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Statuscode, Referrer und Browserkennung enthalten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren, stabilen und nachvollziehbaren Bereitstellung des Dienstes.

Die Website bindet keine Schriftarten, Skripte oder Icons von fremden CDN-Anbietern ein. Alle Ressourcen werden von unserem eigenen Server ausgeliefert.

6. Reichweitenmessung mit Umami

Die Website lädt das Analyseskript der quelloffenen Software Umami von analytics.loeser.solutions. Umami betreiben wir selbst auf unserem Server bei Scaleway (Abschnitt 4); ein weiterer Anbieter ist nicht eingebunden. Zusätzlich kann die Website einmal je Browsersitzung ein Attributionsereignis senden. Wenn entsprechende Parameter in der aufgerufenen URL enthalten sind, umfasst dieses Ereignis das Caller-Kürzel (c), die Firma bzw. den Prospect (f), utm_*-Parameter und den Pfad der Einstiegsseite. Im sessionStorage wird nur vermerkt, dass das Ereignis in dieser Sitzung bereits gesendet wurde.

Die Verarbeitung dient der Reichweitenmessung und der Zuordnung von Kampagnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit die konkrete Konfiguration ohne einwilligungspflichtige Speicherung oder Zugriffe auskommt. Andernfalls erfolgt die Verarbeitung erst nach einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

7. Lokale Speicherung im Browser

Die Website speichert Anzeige- und Bedienpräferenzen lokal im Browser, etwa das Farbschema, die gewählte Darstellungsrichtung und die bevorzugte Hero-Ansicht. Außerdem wird die bereits erfolgte Attributionsmessung für die laufende Sitzung vermerkt. Diese Angaben werden nicht allein durch die lokale Speicherung an uns übertragen. Sie können sie über die Browserfunktionen löschen.

Soweit diese Speicherung für eine ausdrücklich angeforderte Darstellung oder Funktion erforderlich ist, beruht sie auf § 25 Abs. 2 Nr. 2 TDDDG.

8. Formulare, Demo und Terminbuchung auf der Website

Demo

Die derzeitige Exposé-Demo arbeitet mit lokalen Beispieldaten. Eine ausgewählte PDF und die im Demo-Formular eingegebene E-Mail-Adresse werden in dieser Fassung nicht an einen Analyse- oder Mailserver übertragen.

Beta- und Kontaktformulare

Einzelne Seiten enthalten Formulare, die Name und E-Mail-Adresse an einen Endpunkt der Website senden. Die Angaben sind für Beta-Updates oder eine Kontaktaufnahme vorgesehen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei Newsletter-artigen Updates Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Terminbuchung

Auf einzelnen Funnel-Seiten kann eine Terminbuchung über cal.loeser.solutions eingebettet oder verlinkt werden. Diese Terminsoftware betreiben wir selbst auf unserem Server bei Scaleway. Wenn Sie einen Termin buchen, werden die von Ihnen dort eingegebenen Angaben zur Organisation und Durchführung des Termins verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

9. Nutzerkonto und Anmeldung

Für das Nutzerkonto verarbeitet ExposéGPT insbesondere:

• E-Mail-Adresse und Authentifizierungsdaten,
• Aktivierungs- und Passwort-Reset-Daten,
• den erkannten CRM-Typ (onOffice, Flowfact oder Propstack),
• Tarifstatus, Nutzungskontingent und Zeitpunkte des Kontingent-Resets,
• Stripe-Kundenkennung,
• Zustimmung zu Datenschutzerklärung und AGB,
• Onboarding-Status und persönliche Stil-Anweisungen (bis zu 2.000 Zeichen).

Diese Daten werden in einer Datenbank auf unserem Server bei Scaleway gespeichert. Die Verarbeitung ist für Registrierung, Anmeldung und Bereitstellung des Dienstes erforderlich und beruht auf Art. 6 Abs. 1 lit. b DSGVO. Sitzungen werden ebenfalls dort gespeichert; das Sitzungscookie ist auf 30 Tage mit gleitender Verlängerung eingestellt.

Sie können die Löschung Ihres Kontos jederzeit über die oben genannten Kontaktdaten verlangen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

10. Daten aus dem CRM und Textgenerierung

ExposéGPT erhält von der Browser-Erweiterung die für den jeweiligen Vorgang zusammengestellten Objektdaten. Dazu gehören insbesondere:

• zusammengefasste Objektdaten, Grunddaten, Preise und Flächen sowie Objektdetails,
• vorhandene Texte für Beschreibung, Lage, Ausstattung und sonstige Angaben,
• Schreibstil, Kreativitätseinstellung, Zielsprache und ausgewählte Aktion,
• freie Anweisungen und dauerhaft hinterlegte persönliche Stil-Anweisungen sowie
• optional eine transkribierte Sprachnotiz.

Die Objektdaten verarbeiten wir nur, um den angeforderten Text zu erzeugen. Wir speichern sie nicht dauerhaft in unserer Datenbank. Freitexte und Objektdaten können personenbezogene Daten Dritter enthalten, etwa Namen von Eigentümern in Freitextfeldern. Nutzer sind dafür verantwortlich, nur Daten zu übermitteln, die sie für diesen Zweck verarbeiten dürfen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. KI-Verarbeitung: Portkey, OpenAI und Anthropic

Ablauf

Für die Textgenerierung senden wir die in Abschnitt 10 genannten Inhalte über das KI-Gateway Portkey an ein Sprachmodell. Standardmodell ist gpt-4o von OpenAI über die OpenAI-API. Ist OpenAI nicht erreichbar, leitet Portkey die Anfrage ersatzweise an ein Sprachmodell von Anthropic über die Anthropic-API. Eine eingesprochene Sprachnotiz wird vorübergehend auf unserem Server abgelegt, zur Transkription an die OpenAI-API (Modell whisper-1) gesendet und anschließend auf unserem Server gelöscht.

Zweck ist die von Ihnen angeforderte Text- bzw. Sprachverarbeitung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Alle drei Anbieter verarbeiten die Daten als Auftragsverarbeiter in unserem Auftrag.

Training und Speicherung bei den Anbietern

Nach den Geschäftsbedingungen für die API von OpenAI und Anthropic werden über die API übermittelte Daten nicht zum Training ihrer Modelle verwendet. OpenAI speichert Ein- und Ausgaben der API bis zu 30 Tage, um den Dienst zu erbringen und Missbrauch zu erkennen, und löscht sie danach, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Anthropic löscht Ein- und Ausgaben der API nach eigenen Angaben innerhalb von 30 Tagen; bei einem Verstoß gegen die Nutzungsrichtlinien kann Anthropic sie bis zu zwei Jahre aufbewahren.

Portkey ist ein Gateway mit Protokollfunktion und kann Anfragen und Antworten in seinen Logs speichern. Die Aufbewahrungsdauer dieser Logs richtet sich nach dem gebuchten Tarif von Portkey; nach Angaben von Portkey sind es 3 Tage im Einstiegstarif und 30 Tage im Production-Tarif.

12. Protokollierung im Backend

Das Backend führt Zugriffs-, Authentifizierungs-, Fehler- und Anwendungslogs. Authentifizierungslogs können E-Mail-Adressen und den Anlass eines fehlgeschlagenen Logins oder Passwort-Resets enthalten. Bei Generierungsanfragen können Inhalte der Anfrage, etwa Objektdaten, vorhandene Texte, Anweisungen und Transkripte, in Prozesslogs gelangen. Außerdem protokolliert die Anwendung Tokenzahlen, Fehler und technische Metadaten.

Die Logdateien sind auf höchstens 10 MB je Datei und fünf Dateien je Logger begrenzt und werden danach fortlaufend überschrieben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in Fehlersuche und Betriebssicherheit.

13. Zahlungsabwicklung mit Stripe

Für kostenpflichtige Abonnements erstellt das Backend eine Checkout-Sitzung bei Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Dabei werden die interne Nutzerkennung, E-Mail-Adresse, Abrechnungsanschrift, gegebenenfalls die Umsatzsteuer-ID, der ausgewählte Tarif und Informationen zum Abonnement an Stripe übermittelt. Als Zahlungsmethoden sind Karte und PayPal freigeschaltet. Zahlungsdaten geben Sie direkt in der Checkout-Umgebung von Stripe ein; wir erhalten keine vollständigen Kartendaten. Die Verwaltung des Abonnements erfolgt über das Kundenportal von Stripe. ExposéGPT speichert die Stripe-Kundenkennung und verarbeitet Stripe-Ereignisse zum Start, zur Verlängerung, zu fehlgeschlagenen Zahlungen und zur Beendigung eines Abonnements.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO.

14. Empfänger und Übermittlungen in Drittländer

Wir setzen folgende Dienstleister ein. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

• Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich. Zweck: Hosting von Website, Backend, Datenbank, Analyse und Terminsoftware. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Verarbeitung in Frankreich, keine Drittlandübermittlung.
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Zweck: Speicherung verschlüsselter Backups. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherung in Deutschland, keine Drittlandübermittlung.
• Portkey, Inc., 2261 Market Street #5205, San Francisco, CA, USA. Zweck: KI-Gateway, Weiterleitung und Protokollierung der Anfragen an die Sprachmodelle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Drittlandübermittlung in die USA möglich. Portkey ist nicht unter dem EU-US Data Privacy Framework gelistet; Die Übermittlung soll auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) gestützt werden; der Auftragsverarbeitungsvertrag mit Portkey wird derzeit abgeschlossen (Stand: 10.11.2026).
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, Irland, mit der Muttergesellschaft OpenAI OpCo, LLC, San Francisco, USA. Zweck: Textgenerierung und Sprachtranskription. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Eine Verarbeitung in den USA ist möglich. OpenAI ist nicht unter dem EU-US Data Privacy Framework gelistet; die Übermittlung stützt sich auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag von OpenAI (Art. 46 Abs. 2 lit. c DSGVO).
• Anthropic Ireland, Limited, Dublin, Irland, mit der Muttergesellschaft Anthropic, PBC, San Francisco, USA. Zweck: Textgenerierung als Ausweichlösung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Eine Verarbeitung in den USA ist möglich. Anthropic ist nicht unter dem EU-US Data Privacy Framework gelistet; die Übermittlung stützt sich auf die Standardvertragsklauseln im Auftragsverarbeitungsvertrag von Anthropic (Art. 46 Abs. 2 lit. c DSGVO).
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland, im Verbund mit Stripe, LLC, South San Francisco, USA. Zweck: Zahlungsabwicklung und Kundenportal. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO. Soweit Daten an Stripe in den USA gehen, ist Stripe, LLC unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss, Art. 45 DSGVO).

Umami und die Terminsoftware betreiben wir selbst; dafür ist kein weiterer Dienstleister eingebunden. Eine Übermittlung an sonstige Dritte findet nicht statt, es sei denn, wir sind gesetzlich dazu verpflichtet oder Sie haben eingewilligt.

15. E-Mail-Kommunikation

ExposéGPT versendet unter anderem Aktivierungs-, Onboarding-, Passwort-Reset- und Zahlungs-E-Mails. Dabei werden E-Mail-Adresse, Betreff, verwendete Vorlage und die für die jeweilige Nachricht erforderlichen Inhalte verarbeitet. Die Anwendung protokolliert außerdem Empfänger, Betreff, Vorlage und die Nachrichtenkennung des Mailservers. Wenn Sie uns schreiben, verarbeiten wir Ihre Angaben zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie sie für den jeweiligen Zweck erforderlich sind oder gesetzliche Pflichten bestehen. Insbesondere gilt:

• Objektdaten einer Anfrage: keine dauerhafte Speicherung in unserer Datenbank; Reste in Prozesslogs werden durch die Logrotation überschrieben,
• Sitzungscookie: 30 Tage mit gleitender Verlängerung,
• Aktivierungstoken: 24 Stunden, Passwort-Reset-Token: 12 Stunden,
• temporäre Audiodateien: Löschung nach der Transkriptionsanfrage,
• Kontodaten und Stil-Anweisungen: bis zur Löschung des Kontos,
• Rechnungsdaten: nach den gesetzlichen Fristen (§ 147 AO, § 257 HGB, in der Regel 6 bis 10 Jahre),
• Daten bei OpenAI, Anthropic und Portkey: wie in Abschnitt 11 beschrieben.

17. Rechte betroffener Personen

Unter den gesetzlichen Voraussetzungen haben Sie insbesondere das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO und
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO nach Art. 21 DSGVO.

Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Zur Ausübung Ihrer Rechte genügt eine Nachricht an hello@loeser.solutions.

18. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für unseren Sitz in Hamburg ist dies der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit, Ludwig-Erhard-Straße 22, 20459 Hamburg. Sie können sich auch an die Behörde Ihres gewöhnlichen Aufenthalts- oder Arbeitsorts wenden.

19. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich Funktionen, Empfänger oder rechtliche Anforderungen ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.