Datenschutzerklärung

Diese Erklärung hat zwei Teile, weil es zwei verschiedene Dinge sind. Teil A beschreibt, was geschieht, wenn Sie diese Website aufrufen. Teil B beschreibt lokale Daten und die Verarbeitung für Modellzugang, Konto und Abrechnung.

Wir erheben Ihre Daten ausschließlich bei Ihnen selbst. Maßgeblich ist deshalb Art. 13 DSGVO. Personenbezogene Daten sind alle Angaben, die sich auf Sie beziehen lassen — auf dieser Website ist das im Wesentlichen Ihre IP-Adresse, das, was Sie uns in einer E-Mail schreiben, und was Sie in die Vormerkung am Seitenende eintragen.

Diese Website auf einen Blick

Die folgende Übersicht ist keine Absichtserklärung, sondern der geprüfte Zustand des Quelltextes. Die Einzelheiten stehen in den nummerierten Abschnitten darunter.

1 · Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

Die vollständigen Anbieterangaben nach § 5 DDG finden Sie im Impressum.

2 · Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, und wir sind dazu auch nicht verpflichtet. Die Bestellpflicht nach § 38 BDSG greift erst, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. So groß sind wir nicht.

Fragen zum Datenschutz beantworten wir deshalb selbst. Schreiben Sie an kontakt@biwak.ai. Es antwortet ein Mensch aus der Werkstatt, kein Formularsystem.

3 · Server-Protokolldateien

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Angaben. Unser Hoster hält sie in Protokolldateien fest:

• aufgerufene Adresse und übertragene Datenmenge
• Datum und Uhrzeit des Abrufs
• verweisende Adresse (Referrer), sofern Ihr Browser sie mitschickt
• Browsertyp, Browserversion und Betriebssystem
• Ihre IP-Adresse

Zweck: die Seite ausliefern, den Betrieb stabil halten und Angriffe erkennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb dieser Website; ohne diese Daten lässt sich eine Seite technisch nicht ausliefern und nicht gegen Missbrauch schützen. Speicherdauer: Diese Protokolle entstehen beim Hoster und werden dort nach dessen Fristen gelöscht. Eine eigene Kopie legen wir nicht an.

Sprachfassung. Diese Website gibt es auf Deutsch und auf Englisch. Rufen Sie eine Seite von außerhalb auf — über eine Suchmaschine, einen Link oder die eingetippte Adresse —, leitet unser Hoster aus Ihrer IP-Adresse das Land ab, aus dem die Anfrage kommt. Aus Deutschland, Österreich, der Schweiz und Liechtenstein sehen Sie die deutsche Fassung, aus allen anderen Ländern die englische. Das Land dient nur dieser einen Weiterleitung und wird nicht gespeichert; ein Cookie wird dafür nicht gesetzt. Oben rechts können Sie jederzeit die andere Sprache wählen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Ihnen die Seite in einer Sprache zu zeigen, die Sie voraussichtlich lesen können.

Was wir daraus zählen. Wir möchten wissen, ob und wie diese Seite benutzt wird. Dafür setzen wir Vercel Web Analytics ein. Beim Aufruf lädt Ihr Browser ein Skript von derselben Website-Adresse und übermittelt den Seitenaufruf an Vercel. Der Dienst verwendet keine Cookies und legt keine Kennung in Ihrem Browser ab. Er erfasst den aufgerufenen Pfad, Zeitpunkt, verweisende Seite, Browser- und Geräteangaben sowie grobe Standortdaten. Besucher werden anhand eines Hashwerts aus der eingehenden Anfrage nur für eine Sitzung unterschieden; diese Sitzungsinformation wird nach 24 Stunden verworfen. Die Angaben dienen ausschließlich einer zusammengefassten Besuchsstatistik; wir bilden keine Werbe- oder Nutzerprofile. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist zu erkennen, ob dieses Angebot gefunden und welche Seiten genutzt werden. Da weder Cookies gesetzt noch Informationen aus Ihrer Endeinrichtung gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich.

Zusätzlich können wir die ohnehin vorhandenen Protokolldateien auswerten. In diese Auswertung gehen genau vier Angaben je Abruf ein:

• der aufgerufene Pfad, ohne alles hinter dem Fragezeichen
• der Tag des Abrufs
• der Antwortstatus
• der Rechnername einer verweisenden Seite — nie der volle Verweis

Ihre IP-Adresse, Ihr Browsertyp und der volle Verweis gehen nicht in diese Auswertung ein. Sie werden dabei nicht gelesen. Das Ergebnis sind Summen — „so viele Aufrufe dieser Seite an diesem Tag" —, aus denen sich kein einzelner Besuch und keine einzelne Person rekonstruieren lässt. Es entsteht kein Profil, keine Wiedererkennung, keine Besucherkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die technische und zusammengefasste Auswertung der Nutzung.

Wir führen diese Daten nicht mit anderen Quellen zusammen und nicht zu Werbezwecken aus. Eine Auswertung über die genannten Summen hinaus findet nur anlassbezogen statt, wenn ein konkreter Verdacht auf einen Angriff oder eine Störung besteht.

Klicks auf „Herunterladen“. Laden Sie eine Fassung von Biwak herunter, zählt unser Server den Klick in unserer Datenbank in Frankfurt am Main (Abschnitt 9): Zeitpunkt, Plattform, Datei und Zieladresse, dazu Ihre IP-Adresse und die Kennung Ihres Browsers. Sind Sie angemeldet, kommen Ihre Kontokennung und Ihre E-Mail-Adresse hinzu. Zweck: sehen, wie oft welche Fassung geladen wird, und Missbrauch erkennen, etwa massenhafte automatische Abrufe. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine verlässliche und abgesicherte Auslieferung. Speicherdauer: IP-Adresse, Browserkennung und E-Mail-Adresse entfernt die Datenbank nach 30 Tagen von selbst, den ganzen Eintrag nach 180 Tagen (Abschnitt 10).

Anmerkung zur Ehrlichkeit: Der Vorschauserver, mit dem wir entwickeln, protokolliert nichts. Sobald die Seite öffentlich erreichbar ist, entstehen die oben genannten Daten beim Hoster.

4 · Hosting und Auftragsverarbeitung

Diese Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Der Hoster verarbeitet die in Abschnitt 3 genannten Daten ausschließlich in unserem Auftrag und nach unserer Weisung. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Vercel liefert die Seite über ein weltweites Netz von Auslieferungsknoten aus; Abrufe aus Deutschland werden in der Regel aus einem europäischen Knoten bedient. Weil das Unternehmen seinen Sitz in den Vereinigten Staaten hat, lässt sich eine Verarbeitung in einem Drittland dennoch nicht ausschließen. Grundlage dafür sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des Auftragsverarbeitungsvertrags von Vercel sind.

Die Datenbank hinter dem Biwak-Konto und die Gegenstelle, über die Modellaufträge, die Websuche der Anwendung und die Patentsuche aus Anwendung und Arbeitsbereich laufen, betreiben wir bei der Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513. Beide liegen in einem Projekt in Frankfurt am Main; die Verarbeitung findet dort statt. Die Gegenstelle legen der Arbeitsbereich im Browser und die Anwendung ab der Fassung, die auf 0.2.31 folgt, auf Frankfurt am Main fest; ältere Fassungen der Anwendung tun das nicht, dann führt Supabase sie in der Region aus, die dem Aufrufer am nächsten liegt, bei Aufrufen aus Deutschland in Frankfurt. Weil das Unternehmen seinen Sitz in Singapur hat, lässt sich ein Zugriff aus einem Drittland dennoch nicht ausschließen. Grundlage dafür sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des Auftragsverarbeitungsvertrags von Supabase. Auch die Kopien für den Support aus Abschnitt 13 liegen in dieser Datenbank, ihr Inhalt verschlüsselt; den Schlüssel zum Öffnen hat Supabase nicht.

5 · Verschlüsselte Übertragung

Diese Website wird ausschließlich über HTTPS ausgeliefert. Der gesamte Verkehr zwischen Ihrem Browser und dem Server ist mit TLS verschlüsselt. Ob die Verbindung steht, erkennen Sie am Schloss in der Adresszeile Ihres Browsers.

6 · Vormerkung und Kontakt

Am Ende der Startseite steht ein Formular, mit dem Sie eine Vorführung vereinbaren oder sich einen Link an Ihren Rechner schicken lassen können. Es geht an einen Endpunkt auf derselben Adresse wie diese Seite. Es ist kein Formulardienst beteiligt — nichts wird unterwegs an einen Dritten gemeldet, und das Formular setzt keine Cookies.

Übertragen wird, was Sie eintragen, und sonst nur zweierlei:

• Ihre E-Mail-Adresse — ohne sie können wir nicht antworten
• Ihre Wahl: Vorführung oder Link an den Rechner
• welcher Knopf der Seite Sie zum Formular geführt hat
• der Zeitpunkt des Absendens

Diese Angaben legen wir in unserer Datenbank in Frankfurt ab (Abschnitt 4) und melden sie an unser Postfach. Für den Versand dieser Meldung und der Anmeldecodes setzen wir Resend ein — Anbieter ist die Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Versendet wird über einen Knoten in Irland; die Kontodaten des Versanddienstes liegen in den Vereinigten Staaten. Näheres in Abschnitt 9. Ihre IP-Adresse wird dabei nicht gespeichert. Sie wird für einen Zähler im Arbeitsspeicher benutzt, der verhindert, dass ein Skript das Formular flutet, und verschwindet mit dem Zeitfenster.

Der Weg über eine gewöhnliche E-Mail bleibt daneben bestehen: Jeder Kontaktverweis auf dieser Website ist ein schlichter mailto:-Verweis in Ihr eigenes Programm.

Zweck: Ihre Anfrage beziehungsweise Vormerkung bearbeiten und beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage der Anbahnung oder Erfüllung eines Vertrags dient — etwa bei einer Vorführung oder einem Angebot. Im Übrigen Art. 6 Abs. 1 lit. f DSGVO, mit unserem berechtigten Interesse an der Beantwortung von Anfragen, die an uns gerichtet sind.

Ihre Nachricht wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin verarbeitet; mit diesem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Löschung: Wir löschen Ihre Anfrage, sobald sie erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Geschäftliche Korrespondenz bewahren wir nach § 257 HGB und § 147 AO sechs beziehungsweise zehn Jahre auf; diese Nachrichten sind während dieser Zeit in der Verarbeitung eingeschränkt und werden nur zu Nachweiszwecken vorgehalten.

Kündigen und Widerrufen ohne Anmeldung

Unter Verträge hier kündigen und Vertrag widerrufen nehmen wir Ihre Erklärung ohne Anmeldung entgegen. Übertragen werden die Art der Erklärung, Ihr Name, Ihre E-Mail-Adresse, die Angaben zum Vertrag, der gewünschte Zeitpunkt und bei einer außerordentlichen Kündigung der Grund. Gehört die Adresse zu einem Biwak-Konto mit laufendem Abo, setzen wir das Abo bei unserem Zahlungsdienstleister Stripe auf „endet zum Ende des bezahlten Monats“. Die Bestätigung mit Datum und Uhrzeit geht über Resend an die angegebene Adresse, eine Kopie an unser Postfach. Eine eigene Ablage in unserer Datenbank legen wir dafür nicht an. Ihre IP-Adresse nutzen wir nur gekürzt für einen Zähler, der das Formular vor Missbrauch schützt; er verfällt nach einer Stunde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 312k und 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO. Aufbewahrung: wie geschäftliche Korrespondenz, sechs Jahre nach § 257 HGB.

Hinweis: Eine gewöhnliche, unverschlüsselte E-Mail ist auf ihrem Weg grundsätzlich mitlesbar. Schicken Sie uns bitte keine vertraulichen Unterlagen unaufgefordert per E-Mail. Für Vertrauliches vereinbaren wir mit Ihnen einen anderen Weg.

7 · Speicherung in Ihrer Endeinrichtung

Diese Website setzt keine Cookies. Für die in Abschnitt 3 beschriebene Statistik bindet sie Vercel Web Analytics ein; Werbung und profilbildendes Tracking finden nicht statt. Ein Video von YouTube startet erst auf Ihren Klick (Abschnitt 8). Ob YouTube beim Abspielen etwas in Ihrem Browser ablegt, bestimmt YouTube; unsere Seite setzt dafür nichts.

Zwei Dinge werden lokal in Ihrem Browser abgelegt. Erstens: Wenn Sie zwischen Nacht- und Tagansicht umschalten, merkt sich Ihr Browser Ihre Wahl unter dem Schlüssel biwak.site.theme im lokalen Speicher (localStorage). Der Wert ist nacht oder tag — sonst nichts. Er wird nicht an uns übertragen und enthält keine Kennung, mit der Sie wiedererkannt werden könnten. Er bleibt so lange gespeichert, bis Sie die Websitedaten in Ihrem Browser löschen.

Diese Speicherung geschieht erst, wenn Sie den Schalter betätigen, und sie ist zur Bereitstellung der von Ihnen ausdrücklich gewünschten Funktion unbedingt erforderlich. Sie ist deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Ein Einwilligungsbanner ist aus diesem Grund nicht erforderlich — und wir setzen bewusst keines ein. Ein Banner ohne einwilligungsbedürftige Verarbeitung würde eine Wahl vortäuschen, die es hier gar nicht gibt.

Zweitens, nur auf den Seiten mit eingebettetem Biwak (Kontoauszug umwandeln, Bestellung erfassen, Messreihe auswerten): Legen Sie dort eine Datei ab oder wählen Sie den Musterauszug, bevor Sie angemeldet sind, hält Ihr Browser die Datei (oder nur den Vermerk „Musterauszug“) in seiner Datenbank (IndexedDB, Name biwak-kontoauszug), damit sie nach der Anmeldung an Ihren Auftrag gehängt werden kann. Bis dahin wird nichts an uns übertragen. Gelöscht wird der Eintrag, sobald er an Ihren Auftrag übergeben ist, und wenn Sie die Seite verlassen, ohne zur Anmeldung zu gehen. Einen Eintrag, der älter als eine Stunde ist, verwendet die Seite nicht mehr und löscht ihn beim nächsten Aufruf. Sie können ihn auf der Seite jederzeit entfernen oder mit den Websitedaten Ihres Browsers löschen. Auch diese Speicherung geschieht nur auf Ihre Handlung hin und ist für die gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

8 · Schriftarten und fremde Inhalte

Die verwendeten Schriften — Archivo Expanded, IBM Plex Sans und IBM Plex Mono — liegen auf demselben Server wie diese Website und werden von dort ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen fremden Schriftendienst. Ihre IP-Adresse wird dabei an keinen Dritten übertragen.

Dasselbe gilt für alles Übrige: kein Content-Delivery-Network, keine Karten, keine Schaltflächen sozialer Netzwerke, keine externen Skripte. Die Seite lädt ausschließlich Dateien von ihrer eigenen Adresse, mit einer Ausnahme: Das Video im Ratgeber lädt erst nach Ihrem Klick von YouTube (unten). Bilder und Grafiken sind größtenteils direkt im Seitenquelltext enthalten.

Einige Links führen zu fremden Diensten. „Termin vereinbaren“ öffnet die Terminbuchung von Calendly LLC, 271 17th St NW, Ste 1000, Atlanta, GA 30363, USA. Erst wenn Sie dort einen Termin buchen, erhält Calendly Ihre Angaben, und zwar von Ihnen selbst und in eigener Verantwortung; es gilt die Datenschutzerklärung von Calendly. Die Installationsdateien auf „Herunterladen“ liegen bei GitHub (Abschnitt 9). Der Link „YouTube“ im Seitenfuß führt zu unserem Kanal. Solange Sie keinen dieser Links anklicken, erfährt keiner der Dienste von Ihrem Besuch.

Videos von YouTube. Auf einzelnen Ratgeber-Seiten zeigen wir ein Video, das bei YouTube liegt. Zunächst sehen Sie nur ein Standbild, das von unserer Seite kommt, und einen Startknopf. Eine Verbindung zu YouTube entsteht erst, wenn Sie den Knopf anklicken. Dann lädt Ihr Browser den Player über youtube-nocookie.com, den erweiterten Datenschutzmodus von YouTube. Dabei wird Ihre IP-Adresse an YouTube übertragen, weil der Browser das Video von dort holt. Was YouTube darüber hinaus verarbeitet, bestimmt YouTube in eigener Verantwortung; es gilt die Datenschutzerklärung von Google. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Ihnen das Video zu zeigen, das Sie mit dem Klick anfordern.

9 · Empfänger und Übermittlung in Drittländer

Art. 13 DSGVO ließe uns hier die Wahl, statt der Empfänger nur deren Kategorien zu nennen — „Hostingdienstleister“, „Zahlungsdienstleister“. Wir nennen sie beim Namen, samt Sitz und Verarbeitungsort, und legen ihre Verträge daneben: Jede Datei öffnen Sie mit einem Klick oder laden sie herunter, in der Fassung, auf die wir uns stützen. Wer prüfen soll, wohin etwas geht, kann mit einer Kategorie nichts anfangen.

Darüber hinaus geben wir Ihre Daten nicht weiter. Wir verkaufen keine Daten, wir vermieten keine Adressen und wir übermitteln nichts zu Werbezwecken. Eine Weitergabe an Behörden erfolgt nur, soweit wir dazu gesetzlich verpflichtet sind.

Vier Empfänger haben ihren Sitz außerhalb der Europäischen Union: Vercel, Resend und GitHub in den Vereinigten Staaten, Supabase in Singapur. Bei Vercel, Resend und Supabase ist eine Verarbeitung in einem Drittland damit möglich; die Garantie dafür sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des jeweiligen Auftragsverarbeitungsvertrags. GitHub sieht nur, wer eine Installationsdatei oder ein Update lädt, und stützt die Übermittlung auf das EU-U.S. Data Privacy Framework. Bei allen Leistungsstufen rechnet Microsoft Azure in der EU-Datenzone; der Auftragstext läuft dann über Frankfurt an Microsoft Ireland. Lehnt Azure einen Auftrag ab, geht er an keinen anderen Anbieter (Abschnitt 14). An eine internationale Organisation übermitteln wir nur das Europäische Patentamt, und nur bei einer Patentsuche (siehe den Absatz darunter). Sollte sich an den Empfängern etwas ändern, steht es hier.

Europäisches Patentamt, Bob-van-Benthem-Platz 1, 80469 München. Es ist eine internationale Organisation und kein Auftragsverarbeiter von uns; es gelten seine Nutzungsbedingungen für Open Patent Services. Bei einer Patentsuche des Agenten bekommt es die Suchanfrage oder Patentnummern über unsere Gegenstelle in Frankfurt am Main (Abschnitt 14). Es sieht nur diese Gegenstelle und unseren Zugang, nicht Ihre IP-Adresse und nicht Ihre Identität.

10 · Speicherdauer im Überblick

Seit dem 22. September 2026 setzt unsere Datenbank diese Fristen jede Nacht selbst durch — niemand muss daran denken:

• Klicks auf „Herunterladen“ (Abschnitt 3): IP-Adresse, Browserkennung und E-Mail-Adresse nach 30 Tagen, der ganze Eintrag nach 180 Tagen
• Angaben zu Modellanfragen (Abschnitt 14): IP-Adresse und Browserkennung nach 30 Tagen — derzeit erfassen wir beides gar nicht
• Kopien für den Support aus der Anwendung (Abschnitt 13): 30 Tage nach dem letzten Auftrag des Gesprächs; sofort, wenn wir die Kopie für Ihr Konto oder Ihr Team abschalten, auf Ihr Verlangen und mit Ihrem Konto

Für alles Übrige gilt:

• Server-Protokolldateien: beim Hoster, nach dessen Löschfristen
• E-Mail-Anfragen und Vormerkungen: bis zur Erledigung; danach Löschung, soweit keine gesetzliche Aufbewahrungsfrist nach § 257 HGB oder § 147 AO greift (sechs bzw. zehn Jahre)
• Der Schlüssel biwak.site.theme liegt ausschließlich in Ihrem Browser und unterliegt allein Ihrer Kontrolle
• Eine vor der Anmeldung abgelegte Datei auf den Seiten mit eingebettetem Biwak: in Ihrem Browser, bis zur Übergabe an Ihren Auftrag oder bis Sie die Seite ohne Anmeldung verlassen, höchstens eine Stunde (Abschnitt 7)
• Ein von Ihnen gesendeter Fehlerbericht aus der Anwendung: dreißig Tage ab Eingang, danach gibt der Dienst ihn nicht mehr heraus und löscht ihn beim nächsten Aufräumen; vorher auf Ihr Verlangen (Abschnitt 15)
• Eine von Ihnen gesendete Meldung zu einer KI-Antwort: ebenso dreißig Tage ab Eingang, vorher auf Ihr Verlangen (Abschnitt 15)
• Für Unternehmen, für die unser Vertrag zur Auftragsverarbeitung gilt: Gespräche und Dateien im Arbeitsbereich im Browser, Kopien für den Support, Teamdaten, Fehlerberichte, Meldungen und Hilfeanfragen samt ihren Kopien im Postfach löschen wir spätestens 30 Tage nach dem Ende des Vertrags (Abschnitt 11 des Vertrags)

Wo eine feste Frist nicht sinnvoll angegeben werden kann, gilt: Wir löschen, sobald der Zweck entfällt und keine gesetzliche Pflicht der Löschung entgegensteht.

11 · Pflicht zur Bereitstellung Ihrer Daten

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Die Angaben in den Protokolldateien fallen technisch beim Aufruf der Seite an; ohne sie ist eine Auslieferung nicht möglich. Alles, was Sie uns in einer E-Mail mitteilen, teilen Sie freiwillig mit — ohne diese Angaben können wir Ihre Anfrage allerdings nicht beantworten. Weitere Nachteile entstehen Ihnen nicht.

12 · Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Wir bilden keine Nutzerprofile und bewerten Sie nicht automatisiert.

13 · Anwendung und Biwak-Konto

Die vorstehenden Angaben beschreiben den Webauftritt. Die folgenden Abschnitte unterscheiden lokale Daten in der Anwendung und die Verarbeitung für den Biwak-Modellzugang.

Biwak führt Werkzeuge auf Ihrem Rechner aus und legt dort Gespräche und Sicherungspunkte ab. Für Modellaufträge melden Sie sich mit Ihrem Biwak-Konto an. Biwak verarbeitet Anmelde- und Verbrauchsdaten für den Zugang, Kontingente, Guthaben und Abrechnung. Was die Anwendung für einen Auftrag an das Sprachmodell schickt, bewahren wir samt Antwort 30 Tage verschlüsselt als Kopie für den Support auf. Das Löschen lokaler Dateien löscht weder diese Kontodaten noch die Kopie.

Lokale Dateiverarbeitung und serverseitiger Modellzugang sind getrennte Verarbeitungsvorgänge. Die erforderlichen Vereinbarungen und Angaben zu den beteiligten Dienstleistern sind anhand Ihres konkreten Einsatzes zu prüfen.

Setzen Sie Biwak als Unternehmen ein, verarbeiten wir die Inhalte Ihrer Aufträge in Ihrem Auftrag. Dafür gilt unser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, automatisch mit dem Biwak-Abo und ohne Unterschrift.

Nutzen Sie Biwak rein privat, etwa für eigene Briefe oder Familienfotos, braucht es nach der DSGVO keinen solchen Vertrag. Wir behandeln Ihre Daten trotzdem genau so, wie es der Vertrag zur Auftragsverarbeitung vorschreibt: nur für Ihre Aufträge, mit denselben Schutzmaßnahmen, denselben Dienstleistern und denselben Löschfristen. Darauf können Sie sich berufen.

Teams

Arbeiten mehrere Personen als Team aus einem gemeinsamen Kontingent, sehen alle Personen des Teams einander mit Namen und E-Mail-Adresse. Der Inhaber des Teams (und ein Verwalter, wo es einen gibt) sieht zusätzlich, wie viele Credits jede Person im laufenden Abrechnungsmonat verbraucht hat — nie ihre Aufträge, Dateien oder Gespräche. Einladungen in ein Team gehen über denselben Mailversand wie die Anmeldecodes (Resend, Abschnitt 9) an die Adresse, die der Einladende eingibt; sie nennen ihn, das Team und einen Link, der 14 Tage gilt.

Arbeitsbereich im Browser

Nutzen Sie Biwak unter biwak.ai/chat, liegen Ihre Aufträge, die Antworten des Modells und der Arbeitsfortschritt in unserer Datenbank in Frankfurt am Main (Abschnitt 4) — damit ein Auftrag weiterläuft, auch wenn Sie das Fenster schließen. Der Agent selbst arbeitet dabei auf unserem Server bei Scaleway in Paris, und dort liegen auch die Dateien Ihres Arbeitsbereichs (Abschnitt 9).

Wer diese Inhalte sehen kann. Ausschließlich der Verantwortliche, Hermann Hampel, über eine gesonderte Verwaltungsansicht, die ein eigenes Passwort und einen Passkey verlangt. Niemand sonst hat diesen Zugang. Die Ansicht liest nur; sie ändert nichts und handelt nie in Ihrem Namen. Eine Einsicht gibt es nur mit einem benannten Anlass:

• Sie haben uns um Hilfe gebeten (Art. 6 Abs. 1 lit. b DSGVO),
• wir suchen einen Fehler, der Ihren Auftrag betrifft (Art. 6 Abs. 1 lit. b, im Übrigen lit. f DSGVO),
• es gibt Anhaltspunkte für Missbrauch oder einen Sicherheitsvorfall (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere Betrieb),
• solange der Arbeitsbereich eine Vorabfunktion ist: die Prüfung, ob Antworten und Werkzeuge richtig arbeiten (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein Produkt, das tut, was es verspricht). Gegen diese Prüfung können Sie jederzeit widersprechen (Abschnitt 16). Für Konten, die zu einer Organisation gehören, findet sie nicht statt — dort sehen wir Inhalte nur aus einem der drei anderen Anlässe. Ebenso nicht für Unternehmen, für die unser Vertrag zur Auftragsverarbeitung gilt.

Jede Einsicht wird mit Zeitpunkt, Anlass und betroffenem Gespräch protokolliert, bevor Inhalte angezeigt werden; das Protokoll enthält keine Inhalte und wird nach zwölf Monaten gelöscht. Inhalte verwenden wir nicht zum Training von Modellen, nicht für Werbung und geben sie nicht weiter. Löschen Sie ein Gespräch im Arbeitsbereich, sind seine Inhalte auch für die Verwaltungsansicht fort.

Kopie für den Support

Gespräche, die Sie in der Anwendung führen, liegen auf Ihrem Rechner. Damit wir bei einer Störung helfen können, ohne dass Sie erst einen Bericht senden müssen, bewahrt Biwak jeden Modellauftrag aus der Anwendung samt der Antwort des Modells 30 Tage auf: Ihren Auftrag, den Gesprächsverlauf, Ergebnisse von Werkzeugen, gelesene Dateiausschnitte und Bilder — genau das, was die Anwendung für den Auftrag ohnehin an das Sprachmodell schickt. Dateien, die das Modell nicht gelesen hat, und die Protokolle der Anwendung gehören nicht dazu; vom Rechner liest Biwak dafür nichts zusätzlich. Die Kopie liegt verschlüsselt in unserer Datenbank in Frankfurt am Main; den Schlüssel dazu hat nur die Verwaltungsansicht. Biwak öffnet sie nur, wenn Sie um Hilfe bitten oder einen Fehler melden, um einen technischen Fehler in dem betroffenen Auftrag zu beheben und bei konkreten Anhaltspunkten für Missbrauch oder einen Sicherheitsvorfall; jede Einsicht wird vorher protokolliert. 30 Tage nach dem letzten Auftrag eines Gesprächs löscht die Datenbank die Kopie selbst. Auf Wunsch schalten wir sie für Ihr Konto oder Ihr Team ab und löschen vorhandene Kopien sofort. Wir verwenden sie nicht zum Training, nicht für Statistik und nicht zur Qualitätsprüfung.

Im Einzelnen. Zur Antwort gehören ihr Text, das Denken des Modells, seine Werkzeugaufrufe und der Endgrund, bei einem Fehler dessen Code. Je Gespräch entsteht eine Kopie; ein späterer Auftrag, der den Verlauf fortsetzt, ersetzt sie. Aufträge aus dem Arbeitsbereich im Browser kopieren wir nicht, sie liegen ohnehin in unserer Datenbank (oben). Unverschlüsselt stehen neben einer Kopie nur Angaben ohne Inhalt: Konto, Plattform (macOS, Windows oder Linux), Kennungen von Gespräch, Lauf und Anfrage, Modell, Endgrund, Zahl der Nachrichten, Größe und Zeitpunkte. Den Inhalt verschlüsselt die Gegenstelle, bevor sie ihn speichert, mit einem Schlüssel, der nur für diese Kopie gilt (AES-256-GCM), und verpackt diesen mit unserem öffentlichen Schlüssel (RSA-OAEP, 3072 Bit); in der Datenbank liegt eine Kopie nur verschlüsselt. Den privaten Schlüssel zum Öffnen hält nur unser Kontodienst bei Vercel in Frankfurt am Main, in dem die Verwaltungsansicht läuft (Abschnitt 9), als „Sensitive“-Variable, die sich nach dem Speichern nicht mehr auslesen lässt; Supabase, bei der die Datenbank liegt, hat ihn nicht. Offen benannt: Wer Zugang sowohl zu dieser Umgebung bei Vercel als auch zur Datenbank hat, bei Biwak nur der Verantwortliche, Hermann Hampel, könnte Kopien ohne Protokollzeile öffnen; wir entschlüsseln sie nur in der Verwaltungsansicht. Löschen Sie ein Gespräch auf Ihrem Rechner, bleibt seine Kopie bis zum Ende der Frist bestehen, es sei denn, Sie verlangen die Löschung.

Wer hineinsieht und wann. Ausschließlich der Verantwortliche, Hermann Hampel, über die Verwaltungsansicht aus dem vorigen Unterabschnitt. Ohne Anlass zeigt sie von den Kopien nur die Angaben ohne Inhalt. Eine Kopie öffnet sie nur aus einem von drei Anlässen und lehnt jeden anderen ab:

• Sie haben uns um Hilfe gebeten oder einen Fehler gemeldet, gleich auf welchem Weg, etwa per E-Mail, am Telefon oder mit einem Fehlerbericht (Art. 6 Abs. 1 lit. b DSGVO, im Übrigen lit. f DSGVO). Dann öffnen wir nur die Kopien, die wir für die Hilfe brauchen. Hat ein Kunde Sie in sein Konto oder Team aufgenommen, öffnen wir auf Ihre Bitte nur Kopien Ihrer eigenen Aufträge.
• Ein Auftrag ist technisch gescheitert, etwa laut einer Störungsmeldung, und wir suchen und beheben den Fehler (Art. 6 Abs. 1 lit. b DSGVO, im Übrigen lit. f DSGVO). Dann öffnen wir nur die Kopie des betroffenen Auftrags; die Verwaltungsansicht öffnet aus diesem Anlass nur ein Gespräch, dessen letzter Auftrag gescheitert ist.
• Es gibt konkrete Anhaltspunkte für Missbrauch oder einen Sicherheitsvorfall (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere Betrieb).

Zur Qualitätsprüfung und für Statistik öffnen wir keine Kopie. Bevor die Ansicht eine Kopie entschlüsselt, schreibt sie eine Protokollzeile mit Zeitpunkt, Anlass, betroffenem Konto und der Kopie; gelingt das nicht, zeigt sie nichts. Das Protokoll enthält keine Inhalte und wird nach zwölf Monaten gelöscht.

Rechtsgrundlage. Für das Aufbewahren Art. 6 Abs. 1 lit. b DSGVO, soweit die Hilfe bei Störungen zu Ihrem Vertrag über Biwak gehört (§ 2 Abs. 2 unserer AGB); im Übrigen, etwa für Angaben über andere Personen in Ihren Aufträgen, Art. 6 Abs. 1 lit. f DSGVO, mit unserem berechtigten Interesse, bei Störungen helfen und Missbrauch aufklären zu können. Haben Sie Ihr Abo unter einer früheren Fassung unserer AGB abgeschlossen, gilt die Kopie für Sie nur mit Ihrer Zustimmung zu dieser Änderung (§ 14 der AGB), und zwar ab dem 16. November 2026; stimmen Sie ausdrücklich einem früheren Beginn zu, etwa ab Ihrer Antwort, gilt sie ab dann. Ohne Ihre Zustimmung entsteht keine Kopie. Setzen Sie Biwak als Unternehmen ein, verarbeiten wir die Kopie in Ihrem Auftrag nach unserem Vertrag zur Auftragsverarbeitung; bitten Sie oder eine Person, die Sie in Ihr Konto oder Team aufgenommen haben, um Hilfe, ist das Ihre Weisung, die dafür nötigen Kopien zu öffnen, auf die Bitte einer solchen Person nur Kopien ihrer eigenen Aufträge (Abschnitt 6 des Vertrags).

Abschalten. Eine formlose Nachricht an kontakt@biwak.ai genügt, ohne Begründung: Wir schalten die Kopie für Ihr Konto oder Ihr Team ab und löschen vorhandene Kopien sofort. Ein solcher Wunsch gilt auch als Widerspruch nach Art. 21 DSGVO, und wir folgen ihm immer (Abschnitt 16). Hilfe bekommen Sie dann weiter über einen Fehlerbericht (Abschnitt 15). Löschen Sie Ihr Konto, werden die Kopien mit ihm gelöscht.

Unabhängig von der Kopie halten wir zu jedem Auftrag Angaben ohne Inhalt fest: wann, mit welchem Modell und in welchem Umfang er lief und ob er aus dem Browser oder aus der Anwendung für macOS, Windows oder Linux kam (Abschnitt 14). Was Sie uns darüber hinaus selbst senden, etwa einen Fehlerbericht oder eine Meldung, beschreibt Abschnitt 15.

14 · Anfragen an ein Sprachmodell

Ein persönliches Anliegen. Datensicherheit liegt mir als Anbieter von Biwak persönlich am Herzen. Deshalb erklären wir offen, welche Inhalte für Ihren Auftrag verarbeitet werden, welche Anbieter daran beteiligt sind und welche Zusagen und Ausnahmen gelten. Diese Transparenz ist für uns die Grundlage Ihres Vertrauens. — Hermann Hampel

Modellaufträge laufen über den angemeldeten Biwak-Zugang an den eingesetzten Modellanbieter. Biwak stellt diesen Zugang für Ihr Konto bereit und verwaltet die Zugangsdaten serverseitig.

Dabei werden Ihre Eingaben, der benötigte Gesprächskontext und verwendete Dateiinhalte übermittelt. Biwak ordnet den tatsächlichen Verbrauch Ihrem Konto zu und rechnet ihn auf das Kontingent Ihres Tarifs an; neue Konten erhalten einmalig Test-Credits.

Der Weg im Einzelnen. Ihr Auftrag geht von Ihrem Rechner an unsere Gegenstelle bei Supabase in Frankfurt am Main und von dort an das Sprachmodell. Von Aufträgen aus der Anwendung legt die Gegenstelle samt Antwort eine verschlüsselte Kopie für den Support in unserer Datenbank ab (Abschnitt 13). Seit dem 8. Oktober 2026 rechnet allein Microsoft Azure: alle fünf Leistungsstufen des Reglers, Bilder, ältere Fassungen der Anwendung (bis 0.2.24) und eine früher gespeicherte Modellwahl, die der Regler als „Individuell“ zeigt. Lehnt Azure einen Auftrag ab, geht er an keinen anderen Anbieter. Wir nennen die Stationen hier, weil „über unseren Zugang“ die Frage nicht beantwortet, die Ihre IT stellt.

• Es rechnet Microsoft Azure (Vertragspartner Microsoft Ireland Operations Limited) mit der Bereitstellungsart „Data Zone Standard“ für die EU: Microsoft verarbeitet Eingaben und Antworten dabei nur in der EU-Datenzone, die Microsoft nach seiner EU-Datengrenze bestimmt; laut Microsoft kann sie neben den Mitgliedstaaten auch EFTA-Staaten wie Norwegen und die Schweiz umfassen. Gespeicherte Daten bleiben in Deutschland, wo unsere Azure-Ressource liegt. Texte und Bilder rechnet dort das Modell GPT-6 Luna.

Websuche und Webseiten. Braucht ein Auftrag Informationen aus dem Internet, gehen die Suchbegriffe an die Websuche von Amazon Web Services (Vertragspartner Amazon Web Services EMEA SARL, Luxemburg; Abschnitt 9). Sie läuft in der Region Irland und antwortet aus einem Index, den Amazon selbst betreibt; laut AWS gehen die Anfragen an keinen fremden Suchdienst. Nach dem Auftragsverarbeitungsvertrag von AWS verlassen Daten die gewählte Region nur, soweit es für den Dienst nötig oder gesetzlich verlangt ist; für eine Übermittlung in Drittländer enthält er die Standardvertragsklauseln. Im Arbeitsbereich im Browser fragt unser Server in Paris die Websuche. In der Anwendung auf Ihrem Rechner (ab Fassung 0.2.32) gehen die Suchbegriffe mit dem Zugriffstoken Ihres Kontos an unsere Gegenstelle in Frankfurt am Main; sie prüft Ihr Konto und fragt die Websuche mit unserem eigenen Zugang zu AWS, den Ihr Rechner nicht bekommt. Suchbegriffe und Treffer speichert sie nicht, sie hält sie nur für die Dauer des Aufrufs. Ihre Dateien gehen dabei nicht mit. Für die Websuche gibt es keinen anderen Suchdienst, auch nicht als Ersatz. Ruft der Agent eine Webseite auf, fragt er sie direkt an — im Browser von unserem Server in Paris, in der Anwendung von Ihrem Rechner aus; die aufgerufene Seite sieht dann diese Adresse wie bei jedem gewöhnlichen Seitenaufruf. Beides können Sie in den Einstellungen abschalten.

Patentsuche. Braucht ein Auftrag Patente, sucht der Agent in der Patentdatenbank des Europäischen Patentamts (EPA) und liest dort Veröffentlichungen und Patentfamilien. Das geschieht nur, wenn der Agent es für einen Auftrag braucht und Sie die Internetrecherche erlauben; ohne sie sucht der Agent keine Patente. Hinaus gehen die Suchanfrage oder die Nummern der Veröffentlichungen, bei Patentfamilien nur Nummern. Ihren Namen, Ihre E-Mail-Adresse, Ihre Dateien und Ihr Konto gehen nicht an das Amt. Aus der Anwendung auf Ihrem Rechner wie aus dem Arbeitsbereich im Browser gehen die Anfragen mit dem Zugriffstoken Ihres Kontos an unsere Gegenstelle in Frankfurt am Main; sie prüft Ihr Konto und fragt das Amt mit unserem eigenen Zugang, den weder Ihr Rechner noch der Arbeitsbereich bekommt. Das Amt sieht nur unsere Gegenstelle in Frankfurt am Main und unseren Zugang, nicht Ihre IP-Adresse und nicht Ihre Identität. Was zurückkommt, sind öffentliche Patentdaten: bibliografische Angaben, Ansprüche und Beschreibungen, vor allem zu EP- und WO-Schriften. Die Gegenstelle speichert Suchanfragen und Treffer nicht; in ihrem Protokoll steht nur die Art einer Ablehnung, nie ein Inhalt. Im Gesprächsverlauf stehen sie wie jeder andere Schritt des Agenten. Das Amt ist eine internationale Organisation mit Sitz in München (Bob-van-Benthem-Platz 1, 80469 München).

Was mit dem Auftragstext geschieht. Bei Microsoft Azure gilt Microsofts Auftragsverarbeitungsvertrag (Products and Services Data Protection Addendum). Laut Microsofts Dokumentation sind Eingaben und Antworten weder anderen Kunden noch den Herstellern der Modelle zugänglich, auch nicht OpenAI oder DeepSeek, und werden nicht zum Training verwendet; die Modelle selbst speichern nichts. Eine Ausnahme nennt Microsoft selbst: Zur Missbrauchserkennung werden Anfragen automatisch geprüft, und auffällige Anfragen können gespeichert und von Menschen geprüft werden; dieser Speicher liegt in der Geografie unserer Ressource, also in Deutschland.

Was Microsofts Auftragsverarbeitungsvertrag zusagt. Wir haben die Fassung vom 22. Mai 2026 gelesen und mit Prüfsumme abgelegt. Microsoft verarbeitet Ihre Daten danach nur, um den Dienst nach unseren Weisungen bereitzustellen, und nicht für Profile, Werbung oder Marktforschung. Herausgegeben werden sie nur, wenn ein Gesetz es verlangt: Microsoft verweist Behörden an uns, benachrichtigt uns, soweit das nicht verboten ist, ficht Anordnungen an, die gegen das Recht der EU oder eines Mitgliedstaats verstoßen, und gibt höchstens das Nötigste heraus; pauschalen Zugang oder die Schlüssel der Plattform erhält niemand. Sicherheitsvorfälle meldet Microsoft uns unverzüglich. Microsoft verpflichtet seine Mitarbeitenden und seine eigenen Unterauftragsverarbeiter zur Vertraulichkeit. Neue Unterauftragsverarbeiter kündigt Microsoft vorher an, solche für KI-Funktionen 30 Tage vorher. Die Sicherheitsmaßnahmen erfüllen nach dem Vertrag ISO/IEC 27001, 27002 und 27018 und werden jährlich von unabhängigen Prüfern geprüft. Der Vertrag erlaubt Übermittlungen in die USA (Standardvertragsklauseln, Data Privacy Framework); für Dienste der EU-Datengrenze sagt Microsoft Speicherung und Verarbeitung in der EU und den EFTA-Staaten zu, und unsere Bereitstellungsart folgt laut Microsoft dieser Grenze. Für Stellen, die wir heranziehen, verlangt § 43e Abs. 3 Satz 2 Nr. 3 BRAO eine Verpflichtung zur Verschwiegenheit in Textform; nach unserer Auffassung erfüllt Microsofts Vertraulichkeitspflicht das (Anlage 3 Nummer 5 unseres Auftragsverarbeitungsvertrags).

Was Scaleway nachweist. Bei Scaleway in Paris läuft unser Server für den Arbeitsbereich im Browser; Sprachmodelle rechnet Scaleway seit dem 8. Oktober 2026 nicht mehr. Scaleway betreibt ein Informationssicherheits-Managementsystem, das nach ISO/IEC 27001:2022 zertifiziert ist. Die Urkunde stammt von der British Standards Institution — nicht vom deutschen Bundesamt für Sicherheit in der Informationstechnik. Sie ist am 6. Dezember 2023 ausgestellt und bis zum 5. Dezember 2026 gültig. Der Geltungsbereich lautet „Providing the technical infrastructure platform to support the Scaleway’s Public Cloud products“ und führt die Anlagen einzeln auf, darunter die Pariser Rechenzentren. Zertifiziert ist damit das Managementsystem des Betreibers, ausdrücklich nicht ein einzelner Dienst und nicht Biwak. Die abgerufene Urkunde bewahren wir mit Prüfsumme auf; ihre Registriernummer nennen wir hier nicht, weil die Urkunde selbst untersagt, Nummer und Prüfzeichen in Unterlagen über Produkte oder Dienstleistungen zu führen. Für eine Prüfung nennen wir sie Ihnen auf Anfrage. Für Microsoft Azure steht die Prüfpflicht im Auftragsverarbeitungsvertrag (siehe oben); die Zertifikate selbst haben wir noch nicht abgelegt.

15 · Fehlerbericht aus der Anwendung

Die Anwendung meldet von sich aus nichts an uns: keine Telemetrie, keine Nutzungsstatistik, kein Absturzbericht im Hintergrund. Was sie für einen Auftrag an das Modell schickt, bewahrt die Gegenstelle als Kopie für den Support auf (Abschnitt 13). Es gibt aber einen Weg, den Sie auslösen. Klemmt etwas, wählen Sie gleich zu Beginn „Bericht senden“ oder „Abbrechen“. Erst mit „Bericht senden“ erstellt Biwak den vollständigen technischen Fehlerbericht und übermittelt ihn. Bei „Abbrechen“ wird kein Bericht erstellt und nichts vom Gerät übertragen.

Was darin steht. Ihre eigene Beschreibung; die Fassung von Biwak; Angaben zu diesem Rechner (Betriebssystem, Architektur, Rechnername, Benutzerordner, Zeitzone, Sprache); Ihre lokale Konfiguration und die erteilten Freigaben; die zuletzt protokollierten Fehler; die Protokolldateien aus ~/.biwak/logs; und die vollständige Mitschrift der geöffneten Unterhaltung — Ihre Nachrichten, die Antworten des Modells, jeder Werkzeugaufruf mit Ergebnis. Zugangsdaten stehen als Maske darin, nicht im Klartext. Der Bericht wird als ein einziges Textdokument mit einer Prüfsumme versendet; die Prüfsumme bezieht sich genau auf den Inhalt, der den Kontodienst erreicht.

Was damit geschieht. Der Bericht geht an unseren Kontodienst und wird dort Ihrem Konto und dem sendenden Gerät zugeordnet; die Ablage liegt beim Speicher unseres Supabase-Projekts in Frankfurt am Main. Nach der Annahme übermittelt der Kontodienst den vollständigen Bericht per Resend an kontakt@biwak.ai. Sie erhalten eine Berichtsnummer und den Löschtermin zurück. Wir verwenden den Bericht ausschließlich, um die gemeldete Störung zu bearbeiten — nicht für Statistik, nicht zur Produktverbesserung, nicht zum Training von Modellen.

Wie lange. Die dreißig Tage ab Eingang beziehen sich auf die Ablage im Kontodienst; danach gibt der Dienst den Bericht nicht mehr heraus und löscht ihn beim nächsten Aufräumen, das derzeit mit dem Eingang eines neuen Berichts läuft. Vorher können Sie die Löschung jederzeit und ohne Begründung verlangen — es genügt die Berichtsnummer in einer Nachricht an kontakt@biwak.ai. Für die Aufbewahrung der weitergeleiteten E-Mail im Postfach gelten die Angaben zu geschäftlicher Korrespondenz in Abschnitt 6. Für Unternehmen, für die unser Vertrag zur Auftragsverarbeitung gilt, verarbeiten wir Berichte und Meldungen als Auftragsverarbeiter nach diesem Vertrag statt nach diesem Abschnitt: Die Kopie im Postfach löschen wir dann von Hand, sobald der Vorgang erledigt ist, spätestens 30 Tage danach; aufbewahrt wird nur, was als Handels- oder Geschäftsbrief aufzubewahren ist (Abschnitte 3 und 11 des Vertrags).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, soweit die Bearbeitung Ihrer Störung zur Erfüllung des Vertrags über die Nutzung von Biwak gehört; im Übrigen Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, einen gemeldeten Fehler zu finden und zu beheben. Sie sind zum Senden nicht verpflichtet; mit „Abbrechen“ wird kein Bericht erstellt.

Wer den Bericht öffnet. Ausschließlich der Verantwortliche, Hermann Hampel — als E-Mail im Postfach und in der Verwaltungsansicht aus Abschnitt 13, dort nur zur Bearbeitung der Störung, bei Ihrer Anfrage oder bei Gefahr und nie zur Qualitätsprüfung. Jede Einsicht dort wird protokolliert. Für die Hilfe öffnen wir, wo nötig, auch Kopien für den Support (Abschnitt 13).

Meldung einer KI-Antwort

Unter jeder Antwort steht neben „Kopieren“ ein Ausrufezeichen. Damit melden Sie uns eine Antwort, die Sie für anstößig, gefährlich oder falsch halten. Auch hier geschieht nichts im Hintergrund: Erst mit „Melden“ geht etwas hinaus, und bei „Abbrechen“ nichts.

Was darin steht. Die gemeldete Antwort im Wortlaut, der gewählte Grund und Ihre Anmerkung, wenn Sie eine schreiben; dazu die Fassung von Biwak, das Betriebssystem, das Modell und der Zeitpunkt der Antwort. Außerdem geht immer die vollständige Mitschrift der Unterhaltung mit, aus der die Antwort stammt — wie beim Fehlerbericht mit allen Nachrichten, Antworten und Werkzeugaufrufen —, denn erst sie zeigt, wie es zu der Antwort kam. Der Dialog kündigt das in seiner ersten Zeile an. Protokolldateien, Einstellungen, Rechnername und Benutzerordner gehören nicht dazu.

Was damit geschieht. Die Meldung nimmt denselben Weg wie ein Fehlerbericht: an unseren Kontodienst, in die Ablage in Frankfurt am Main, per Resend an kontakt@biwak.ai. Sie erhalten eine Nummer und den Löschtermin zurück; es gelten dieselben dreißig Tage, dasselbe Löschverlangen und derselbe Zugriffskreis wie oben. Wir verwenden die Meldung, um die Antwort zu prüfen und Abhilfe zu schaffen — etwa an den Anweisungen für das Modell oder an der Modellwahl —, nicht für Statistik, nicht für Werbung und nicht zum Training von Modellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse daran, unangemessene Ausgaben zu erkennen und abzustellen. Für Anwendungen mit generativer KI verlangt der Microsoft Store diesen Meldeweg ausdrücklich.

Ohne direkten Weg. Im Arbeitsbereich im Browser und ohne Anmeldung geht die Meldung nicht direkt hinaus. Biwak legt dann ihren Text in die Zwischenablage und öffnet Ihr Mailprogramm; was Sie abschicken, entscheiden Sie selbst, und für die Nachricht gilt Abschnitt 6.

Wenn Sie uns stattdessen selbst etwas schicken. Bei einem Auszug, einem Bildschirmfoto oder einer Protokolldatei per E-Mail entscheiden allein Sie darüber, was darin steht; für diese Nachricht gilt Abschnitt 6 dieser Erklärung. Prüfen Sie vorher bitte, ob personenbezogene Daten Dritter enthalten sind, und schwärzen Sie, was nicht nötig ist.

16 · Ihre Rechte im Einzelnen

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können erfahren, ob und welche Daten wir zu Ihnen verarbeiten, und eine Kopie davon verlangen.
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten müssen wir korrigieren, unvollständige vervollständigen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Statt zu löschen, können wir Daten auch nur noch aufbewahren.
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die Sie uns bereitgestellt haben, erhalten Sie in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO): siehe den gesondert hervorgehobenen Hinweis unmittelbar darunter.

Ein Widerrufsrecht nach Art. 7 Abs. 3 DSGVO läuft hier leer: Wir stützen keine Verarbeitung auf eine Einwilligung, also gibt es nichts zu widerrufen.

Für die Ausübung genügt eine formlose Nachricht an kontakt@biwak.ai. Die Ausübung ist für Sie kostenfrei. Wir antworten innerhalb eines Monats; kommen wir in Ausnahmefällen nicht rechtzeitig durch, sagen wir Ihnen das mit Begründung.

Widerspruchsrecht nach Art. 21 DSGVO

Unternehmen, zu denen Biwak passen könnte, schreiben wir gelegentlich per Brief an (Direktwerbung, berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO). Dafür nutzen wir Firmenname und Anschrift aus öffentlichen Quellen, meist der Website des Unternehmens, den Namen einer Person nur aus einer Quelle, die sie selbst veröffentlicht hat, etwa einer Teamseite; diese Quelle nennt der Brief. Gespeichert wird das in unserer Datenbank in Frankfurt am Main (Abschnitt 4). Namen und Anschrift löschen wir nach sechs Monaten ohne Kontakt.

Einem solchen Schreiben können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), formlos an kontakt@biwak.ai. Dann bekommen Sie keine Post mehr von uns; damit das so bleibt, behalten wir den Firmennamen auf einer Sperrliste.

17 · Beschwerde bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach

Uns ist eine direkte Nachricht lieber als eine Beschwerde — aber der Weg zur Behörde steht Ihnen immer offen, und Sie müssen sich vorher nicht an uns wenden.

18 · Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Rechtslage ändert oder wenn wir an der Website etwas ändern, das die Verarbeitung berührt — etwa beim Wechsel des Hosters. Es gilt jeweils die hier veröffentlichte Fassung. Wesentliche Änderungen halten wir im Änderungsstand fest, damit Sie nachvollziehen können, was sich wann geändert hat.

Änderungsstand, geführt seit der Fassung vom 5. Oktober 2026:

• 14. Oktober 2026: Ein Ratgeberartikel zeigt ein YouTube-Video, das erst nach Ihrem Klick lädt (Abschnitt 8).
• 12. Oktober 2026: Der Agent kann Patente beim Europäischen Patentamt suchen und lesen, nur bei eingeschalteter Internetrecherche. Das Amt steht neu unter den Empfängern (Abschnitte 9 und 14).
• 9. Oktober 2026: Eine Kopie für den Support öffnen wir auch, um einen technischen Fehler in dem betroffenen Auftrag zu beheben, und dann nur, wenn der letzte Auftrag des Gesprächs gescheitert ist (Abschnitt 13).
• 8. Oktober 2026: PREM SA ist kein Empfänger mehr, und Scaleway rechnet keine Sprachmodelle mehr; jeder Modellauftrag rechnet bei Microsoft Azure, ohne Ersatzweg über einen weiteren Anbieter. Zum Berufsgeheimnis bei Microsoft steht in Abschnitt 14 unsere Einordnung nach § 43e BRAO (Abschnitte 9 und 14).
• 5. Oktober 2026: Kopie für den Support aus der Anwendung (Abschnitte 4, 10 und 13 bis 16).

Stand dieser Fassung: 14. Oktober 2026