Rechtliches
Datenschutzerklärung
Stand: 21. August 2026 · Entwurf · Anwaltliche Endabnahme ausstehend
1. Verantwortlicher
Verantwortlicher im Sinne der DSGVO und sonstiger nationaler Datenschutzgesetze der Mitgliedstaaten:
Christoph Perkles (Einzelunternehmer)
Grillparzerstraße 4
5020 Salzburg, Österreich
E-Mail: hello@innerworldpicture.com
Vollständige Anbieterkennzeichnung im Impressum.
2. Datenschutzbeauftragte:r
Ein Datenschutzbeauftragter wird benannt, sobald die gesetzlichen Schwellen nach Art. 37 DSGVO bzw. § 5 DSG erreicht sind (insbesondere bei umfangreicher systematischer Verarbeitung besonderer Datenkategorien gem. Art. 9 DSGVO). Anfragen zur Datenverarbeitung bitte bereits jetzt an die oben genannte E-Mail-Adresse.
3. Welche Daten wir verarbeiten
3.1 Konto- und Zugangsdaten
- Vorname (frei wählbar — Pseudonym möglich)
- E-Mail-Adresse
- Passwort (ausschließlich als gesalzener Hash gespeichert)
- Zeitstempel von Anmeldung, letzter Sitzung und Sitzungs-Cookies zur Aufrechterhaltung der Anmeldung
3.2 Inhaltsdaten („Inner World Picture")
Die App lädt dich ein, in dreizehn Freitextfeldern dein inneres Weltbild festzuhalten. Diese Inhalte können — abhängig davon, was du selbst schreibst — besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO enthalten, insbesondere:
- religiöse oder weltanschauliche Überzeugungen (Feld III)
- Hinweise auf psychische Muster, Trigger oder Belastungen (Feld X & XI)
- Angaben zu Vertrauenspersonen (Feld VIII) — wir empfehlen ausdrücklich, hier nur Initialen oder Pseudonyme zu verwenden, weil dies Daten Dritter sind
Weitere Inhalte aus der Nutzung der App:
- Aus deinen Eingaben generierte Manifestation (Text + optional synthetisches Audio)
- Tageseinträge, Gefühl-in-einem-Wort, Abend-Reflexion
- Reflect-Chat-Verläufe (deine Frage, KI-Antwort)
- Wöchentlicher IWP-Score, Ziele (GAS-Goal), Empfehlungen
3.3 Technische Daten
- IP-Adresse, User-Agent, Zeitstempel — verarbeitet zur Auslieferung der Seite und zur Abwehr von Missbrauch (Server-Logs, max. 30 Tage)
- Lokaler Speicher („LocalStorage") im Browser für die App-Funktion und Spracheinstellung
3.4 Optional: Reichweiten-Statistik
Nur mit deiner ausdrücklichen Einwilligung (Cookie-Banner) verwenden wir Vercel Analytics (Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA). Vercel Analytics zählt Seitenaufrufe pseudonym, ohne Cookies zu setzen und ohne IP-Adressen dauerhaft zu speichern. Du kannst die Einwilligung jederzeit unter Cookies & Speicher widerrufen.
4. Zwecke und Rechtsgrundlagen
| Zweck | Datenart | Rechtsgrundlage |
|---|---|---|
| Konto bereitstellen, Anmeldung, Vertrag erfüllen | Konto-/Zugangsdaten | Art. 6 (1) lit. b DSGVO |
| IWP-Inhalte speichern und für dich abrufbar halten; Manifestation und Reflect-Antworten generieren | Inhaltsdaten — inkl. Art. 9-Daten | Art. 6 (1) lit. b DSGVO + Art. 9 (2) lit. a DSGVO (ausdrückliche Einwilligung im Onboarding) |
| KI-Generierung über externen Sprachmodell-Dienst | Inhaltsdaten | Art. 9 (2) lit. a DSGVO + Art. 6 (1) lit. b DSGVO |
| Synthetische Sprachausgabe der Manifestation (Text-to-Speech) | Manifestations-Text | Art. 6 (1) lit. b DSGVO |
| Bezahlung Premium-Abo, Rechnungslegung, Buchhaltung | E-Mail, Zahlungsdaten | Art. 6 (1) lit. b DSGVO + Art. 6 (1) lit. c DSGVO (BAO, UGB) |
| System-E-Mails (Bestätigung, Passwort-Reset) | Art. 6 (1) lit. b DSGVO | |
| Reichweiten-Statistik (optional) | Pseudonyme Nutzungs-Pings | Art. 6 (1) lit. a DSGVO (Einwilligung) |
| Server-Logs, Missbrauchsabwehr | IP, User-Agent | Art. 6 (1) lit. f DSGVO |
5. Empfänger / Auftragsverarbeiter
Wir setzen sorgfältig ausgewählte Dienstleister ein. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Für Datenübermittlungen in Drittländer (außerhalb des EWR) verwenden wir die EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914) und führen eine Transfer-Impact-Assessment durch.
| Anbieter | Funktion | Sitz / Region |
|---|---|---|
| Supabase Inc. | Datenbank (Postgres), Authentifizierung, Datei-Speicher für Audio-Manifestationen | USA, Datenhaltung Frankfurt (EU) |
| Vercel Inc. | Hosting, Edge- und Function-Runtime | USA — Funktionen primär Frankfurt (fra1) |
| CometAPI (Aggregator) | KI-Sprachmodell für Manifestation und Reflect-Antworten | China — siehe Hinweis zu Drittlandtransfers unten |
| xAI Corp. | Text-to-Speech (Stimme „Grok ARA") | USA |
| Resend Inc. | Versand von Bestätigungs- und Reset-E-Mails | USA |
| Stripe Payments Europe Ltd. (geplant) | Zahlungsabwicklung Premium-Abo | Irland (EU) — technische Spiegelung USA |
6. Drittlandtransfers
Die Generierung von Manifestation, Reflect-Antworten und ähnlichen KI-Outputs erfolgt über einen Sprachmodell-Aggregator, der seinen Sitz außerhalb der EU hat. Dies ist eine Übermittlung in ein Drittland ohne Angemessenheitsbeschluss der EU-Kommission. Wir sichern diese Transfers durch EU-Standardvertragsklauseln, technische Maßnahmen (Übertragung nur über TLS, kein langfristiges Logging des Inhalts beim Dienstleister gefordert) und durch unsere ausdrückliche Einwilligungseinholung gem. Art. 9 (2) lit. a und Art. 49 (1) lit. a DSGVO ab.
Falls du diesen Transfer nicht möchtest, kannst du auf die Generierung verzichten — die App bleibt mit reduziertem Funktionsumfang nutzbar (Eingabe und Anzeige der eigenen Daten, kein KI-Output).
7. Speicherdauer
- Konto und Inhalte: bis zur Löschung des Kontos durch dich (Einstellungen → „Account und alle Daten löschen") oder ausdrücklicher Widerruf der Einwilligung
- Rechnungsrelevante Daten: 7 Jahre (§ 132 BAO)
- Server-Logs: 30 Tage
- Backups: rollierend max. 30 Tage nach Löschung
8. Automatisierte Entscheidungen, Profiling
Wir berechnen aus deinen wöchentlichen Selbst-Einschätzungen einen IWP-Score und stellen daraus ableitbare Hinweise dar. Diese Auswertung entfaltet keine rechtliche oder vergleichbar erhebliche Wirkung. Eine Entscheidung ausschließlich auf Basis automatisierter Verarbeitung im Sinne von Art. 22 DSGVO findet nicht statt.
9. KI-Hinweis
Antworten des Reflect-Bots, der Manifestations-Text und die synthetisch gesprochene Audio-Manifestation werden durch generative Künstliche Intelligenz erzeugt. Sie sind kein medizinischer, psychologischer oder rechtlicher Rat. Die App ist kein Medizinprodukt und diagnostiziert oder behandelt keine Erkrankungen.
10. Deine Rechte
Dir stehen folgende Rechte zu:
- Auskunft (Art. 15 DSGVO)
- Berichtigung (Art. 16 DSGVO)
- Löschung (Art. 17 DSGVO) — direkt in den Einstellungen unter „Account und alle Daten löschen"
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO) — direkt in den Einstellungen unter „Mein inneres Weltbild exportieren"
- Widerspruch (Art. 21 DSGVO)
- jederzeitiger Widerruf der Einwilligung mit Wirkung für die Zukunft
- Beschwerde bei der österreichischen Datenschutzbehörde (dsb.gv.at) oder einer anderen zuständigen Aufsichtsbehörde
11. Sicherheit
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Transportverschlüsselung (TLS 1.2+), zeilen-basierte Zugriffskontrolle in der Datenbank (Row-Level-Security), getrennte API-Schlüssel, Passwörter ausschließlich als gesalzene Hashes, regelmäßige Wartung. Audio-Manifestationen, generierte Zielbilder und ein optional von dir hochgeladenes Referenzfoto liegen in privaten Buckets und werden nur über signierte, kurzlebige URLs bzw. authentifizierte Zugriffe ausgeliefert. Das Referenzfoto lädst du freiwillig hoch, es dient ausschließlich der Ähnlichkeit deiner generierten Bilder, wird pro Generierung an unseren KI-Anbieter (xAI) übermittelt und dort nicht gespeichert; du kannst es jederzeit in der App entfernen — bei Konto-Löschung wird es mitgelöscht.
12. Cookies und Speicher
Details siehe Cookies & Speicher. Wir setzen ausschließlich technisch notwendige Cookies (Login/Sitzung). Optionale Reichweiten-Statistik nur nach aktiver Einwilligung.
13. Änderungen
Diese Erklärung wird mit der App weiterentwickelt. Die jeweils aktuelle Fassung ist immer hier abrufbar. Wesentliche Änderungen kündigen wir per E-Mail an.