Datenschutzerklärung

Diese Erklärung hat zwei Teile, weil es zwei verschiedene Dinge sind. Teil A beschreibt, was geschieht, wenn Sie diese Website aufrufen. Teil B beschreibt lokale Daten und die Verarbeitung für Modellzugang, Konto und Abrechnung.

Wir erheben Ihre Daten ausschließlich bei Ihnen selbst. Maßgeblich ist deshalb Art. 13 DSGVO. Personenbezogene Daten sind alle Angaben, die sich auf Sie beziehen lassen — auf dieser Website ist das im Wesentlichen Ihre IP-Adresse, das, was Sie uns in einer E-Mail schreiben, und was Sie in die Vormerkung am Seitenende eintragen.

Diese Website auf einen Blick

Die folgende Übersicht ist keine Absichtserklärung, sondern der geprüfte Zustand des Quelltextes. Die Einzelheiten stehen in den nummerierten Abschnitten darunter.

1 · Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten auf dieser Website im Sinne von Art. 4 Nr. 7 DSGVO ist:

Die vollständigen Anbieterangaben nach § 5 DDG finden Sie im Impressum.

2 · Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt, und wir sind dazu auch nicht verpflichtet. Die Bestellpflicht nach § 38 BDSG greift erst, wenn in der Regel mindestens zwanzig Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. So groß sind wir nicht.

Fragen zum Datenschutz beantworten wir deshalb selbst. Schreiben Sie an kontakt@biwak.ai. Es antwortet ein Mensch aus der Werkstatt, kein Formularsystem.

3 · Server-Protokolldateien

Beim Aufruf dieser Website übermittelt Ihr Browser technisch notwendige Angaben. Unser Hoster hält sie in Protokolldateien fest:

• aufgerufene Adresse und übertragene Datenmenge
• Datum und Uhrzeit des Abrufs
• verweisende Adresse (Referrer), sofern Ihr Browser sie mitschickt
• Browsertyp, Browserversion und Betriebssystem
• Ihre IP-Adresse

Zweck: die Seite ausliefern, den Betrieb stabil halten und Angriffe erkennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb dieser Website; ohne diese Daten lässt sich eine Seite technisch nicht ausliefern und nicht gegen Missbrauch schützen. Speicherdauer: Diese Protokolle entstehen beim Hoster und werden dort nach dessen Fristen gelöscht. Eine eigene Kopie legen wir nicht an.

Sprachfassung. Diese Website gibt es auf Deutsch und auf Englisch. Rufen Sie eine Seite von außerhalb auf — über eine Suchmaschine, einen Link oder die eingetippte Adresse —, leitet unser Hoster aus Ihrer IP-Adresse das Land ab, aus dem die Anfrage kommt. Aus Deutschland, Österreich, der Schweiz und Liechtenstein sehen Sie die deutsche Fassung, aus allen anderen Ländern die englische. Das Land dient nur dieser einen Weiterleitung und wird nicht gespeichert; ein Cookie wird dafür nicht gesetzt. Oben rechts können Sie jederzeit die andere Sprache wählen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, Ihnen die Seite in einer Sprache zu zeigen, die Sie voraussichtlich lesen können.

Was wir daraus zählen. Wir möchten wissen, ob und wie diese Seite benutzt wird. Dafür setzen wir Vercel Web Analytics ein. Beim Aufruf lädt Ihr Browser ein Skript von derselben Website-Adresse und übermittelt den Seitenaufruf an Vercel. Der Dienst verwendet keine Cookies und legt keine Kennung in Ihrem Browser ab. Er erfasst den aufgerufenen Pfad, Zeitpunkt, verweisende Seite, Browser- und Geräteangaben sowie grobe Standortdaten. Besucher werden anhand eines Hashwerts aus der eingehenden Anfrage nur für eine Sitzung unterschieden; diese Sitzungsinformation wird nach 24 Stunden verworfen. Die Angaben dienen ausschließlich einer zusammengefassten Besuchsstatistik; wir bilden keine Werbe- oder Nutzerprofile. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist zu erkennen, ob dieses Angebot gefunden und welche Seiten genutzt werden. Da weder Cookies gesetzt noch Informationen aus Ihrer Endeinrichtung gespeichert oder ausgelesen werden, ist keine Einwilligung nach § 25 TDDDG erforderlich.

Zusätzlich können wir die ohnehin vorhandenen Protokolldateien auswerten. In diese Auswertung gehen genau vier Angaben je Abruf ein:

• der aufgerufene Pfad, ohne alles hinter dem Fragezeichen
• der Tag des Abrufs
• der Antwortstatus
• der Rechnername einer verweisenden Seite — nie der volle Verweis

Ihre IP-Adresse, Ihr Browsertyp und der volle Verweis gehen nicht in diese Auswertung ein. Sie werden dabei nicht gelesen. Das Ergebnis sind Summen — „so viele Aufrufe dieser Seite an diesem Tag" —, aus denen sich kein einzelner Besuch und keine einzelne Person rekonstruieren lässt. Es entsteht kein Profil, keine Wiedererkennung, keine Besucherkennung. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die technische und zusammengefasste Auswertung der Nutzung.

Wir führen diese Daten nicht mit anderen Quellen zusammen und nicht zu Werbezwecken aus. Eine Auswertung über die genannten Summen hinaus findet nur anlassbezogen statt, wenn ein konkreter Verdacht auf einen Angriff oder eine Störung besteht.

Klicks auf „Herunterladen“. Laden Sie eine Fassung von Biwak herunter, zählt unser Server den Klick in unserer Datenbank in Frankfurt am Main (Abschnitt 9): Zeitpunkt, Plattform, Datei und Zieladresse, dazu Ihre IP-Adresse und die Kennung Ihres Browsers. Sind Sie angemeldet, kommen Ihre Kontokennung und Ihre E-Mail-Adresse hinzu. Zweck: sehen, wie oft welche Fassung geladen wird, und Missbrauch erkennen, etwa massenhafte automatische Abrufe. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine verlässliche und abgesicherte Auslieferung. Speicherdauer: IP-Adresse, Browserkennung und E-Mail-Adresse entfernt die Datenbank nach 30 Tagen von selbst, den ganzen Eintrag nach 180 Tagen (Abschnitt 10).

Anmerkung zur Ehrlichkeit: Der Vorschauserver, mit dem wir entwickeln, protokolliert nichts. Sobald die Seite öffentlich erreichbar ist, entstehen die oben genannten Daten beim Hoster.

4 · Hosting und Auftragsverarbeitung

Diese Website wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, gehostet. Der Hoster verarbeitet die in Abschnitt 3 genannten Daten ausschließlich in unserem Auftrag und nach unserer Weisung. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Vercel liefert die Seite über ein weltweites Netz von Auslieferungsknoten aus; Abrufe aus Deutschland werden in der Regel aus einem europäischen Knoten bedient. Weil das Unternehmen seinen Sitz in den Vereinigten Staaten hat, lässt sich eine Verarbeitung in einem Drittland dennoch nicht ausschließen. Grundlage dafür sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des Auftragsverarbeitungsvertrags von Vercel sind.

Die Datenbank hinter dem Biwak-Konto und die Gegenstelle, über die Modellaufträge laufen, betreiben wir bei der Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513. Beide liegen in einem Projekt in Frankfurt am Main; die Verarbeitung findet dort statt. Die Gegenstelle legen der Arbeitsbereich im Browser und die Anwendung ab der Fassung, die auf 0.2.31 folgt, auf Frankfurt am Main fest; ältere Fassungen der Anwendung tun das nicht, dann führt Supabase sie in der Region aus, die dem Aufrufer am nächsten liegt, bei Aufrufen aus Deutschland in Frankfurt. Weil das Unternehmen seinen Sitz in Singapur hat, lässt sich ein Zugriff aus einem Drittland dennoch nicht ausschließen. Grundlage dafür sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des Auftragsverarbeitungsvertrags von Supabase.

5 · Verschlüsselte Übertragung

Diese Website wird ausschließlich über HTTPS ausgeliefert. Der gesamte Verkehr zwischen Ihrem Browser und dem Server ist mit TLS verschlüsselt. Ob die Verbindung steht, erkennen Sie am Schloss in der Adresszeile Ihres Browsers.

6 · Vormerkung und Kontakt

Am Ende der Startseite steht ein Formular, mit dem Sie eine Vorführung vereinbaren oder sich einen Link an Ihren Rechner schicken lassen können. Es geht an einen Endpunkt auf derselben Adresse wie diese Seite. Es ist kein Formulardienst beteiligt — nichts wird unterwegs an einen Dritten gemeldet, und das Formular setzt keine Cookies.

Übertragen wird, was Sie eintragen, und sonst nur zweierlei:

• Ihre E-Mail-Adresse — ohne sie können wir nicht antworten
• Ihre Wahl: Vorführung oder Link an den Rechner
• welcher Knopf der Seite Sie zum Formular geführt hat
• der Zeitpunkt des Absendens

Diese Angaben legen wir in unserer Datenbank in Frankfurt ab (Abschnitt 4) und melden sie an unser Postfach. Für den Versand dieser Meldung und der Anmeldecodes setzen wir Resend ein — Anbieter ist die Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA. Versendet wird über einen Knoten in Irland; die Kontodaten des Versanddienstes liegen in den Vereinigten Staaten. Näheres in Abschnitt 9. Ihre IP-Adresse wird dabei nicht gespeichert. Sie wird für einen Zähler im Arbeitsspeicher benutzt, der verhindert, dass ein Skript das Formular flutet, und verschwindet mit dem Zeitfenster.

Der Weg über eine gewöhnliche E-Mail bleibt daneben bestehen: Jeder Kontaktverweis auf dieser Website ist ein schlichter mailto:-Verweis in Ihr eigenes Programm.

Zweck: Ihre Anfrage beziehungsweise Vormerkung bearbeiten und beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage der Anbahnung oder Erfüllung eines Vertrags dient — etwa bei einer Vorführung oder einem Angebot. Im Übrigen Art. 6 Abs. 1 lit. f DSGVO, mit unserem berechtigten Interesse an der Beantwortung von Anfragen, die an uns gerichtet sind.

Ihre Nachricht wird bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin verarbeitet; mit diesem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Löschung: Wir löschen Ihre Anfrage, sobald sie erledigt ist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Geschäftliche Korrespondenz bewahren wir nach § 257 HGB und § 147 AO sechs beziehungsweise zehn Jahre auf; diese Nachrichten sind während dieser Zeit in der Verarbeitung eingeschränkt und werden nur zu Nachweiszwecken vorgehalten.

Kündigen und Widerrufen ohne Anmeldung

Unter Verträge hier kündigen und Vertrag widerrufen nehmen wir Ihre Erklärung ohne Anmeldung entgegen. Übertragen werden die Art der Erklärung, Ihr Name, Ihre E-Mail-Adresse, die Angaben zum Vertrag, der gewünschte Zeitpunkt und bei einer außerordentlichen Kündigung der Grund. Gehört die Adresse zu einem Biwak-Konto mit laufendem Abo, setzen wir das Abo bei unserem Zahlungsdienstleister Stripe auf „endet zum Ende des bezahlten Monats“. Die Bestätigung mit Datum und Uhrzeit geht über Resend an die angegebene Adresse, eine Kopie an unser Postfach. Eine eigene Ablage in unserer Datenbank legen wir dafür nicht an. Ihre IP-Adresse nutzen wir nur gekürzt für einen Zähler, der das Formular vor Missbrauch schützt; er verfällt nach einer Stunde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit §§ 312k und 356a BGB sowie Art. 6 Abs. 1 lit. b DSGVO. Aufbewahrung: wie geschäftliche Korrespondenz, sechs Jahre nach § 257 HGB.

Hinweis: Eine gewöhnliche, unverschlüsselte E-Mail ist auf ihrem Weg grundsätzlich mitlesbar. Schicken Sie uns bitte keine vertraulichen Unterlagen unaufgefordert per E-Mail. Für Vertrauliches vereinbaren wir mit Ihnen einen anderen Weg.

7 · Speicherung in Ihrer Endeinrichtung

Diese Website setzt keine Cookies. Für die in Abschnitt 3 beschriebene Statistik bindet sie Vercel Web Analytics ein; Werbung und profilbildendes Tracking finden nicht statt.

Zwei Dinge werden lokal in Ihrem Browser abgelegt. Erstens: Wenn Sie zwischen Nacht- und Tagansicht umschalten, merkt sich Ihr Browser Ihre Wahl unter dem Schlüssel biwak.site.theme im lokalen Speicher (localStorage). Der Wert ist nacht oder tag — sonst nichts. Er wird nicht an uns übertragen und enthält keine Kennung, mit der Sie wiedererkannt werden könnten. Er bleibt so lange gespeichert, bis Sie die Websitedaten in Ihrem Browser löschen.

Diese Speicherung geschieht erst, wenn Sie den Schalter betätigen, und sie ist zur Bereitstellung der von Ihnen ausdrücklich gewünschten Funktion unbedingt erforderlich. Sie ist deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Ein Einwilligungsbanner ist aus diesem Grund nicht erforderlich — und wir setzen bewusst keines ein. Ein Banner ohne einwilligungsbedürftige Verarbeitung würde eine Wahl vortäuschen, die es hier gar nicht gibt.

Zweitens, nur auf der Seite Kontoauszug umwandeln: Legen Sie dort eine Datei ab oder wählen Sie den Musterauszug, bevor Sie angemeldet sind, hält Ihr Browser die Datei (oder nur den Vermerk „Musterauszug“) in seiner Datenbank (IndexedDB, Name biwak-kontoauszug), damit sie nach der Anmeldung an Ihren Auftrag gehängt werden kann. Bis dahin wird nichts an uns übertragen. Gelöscht wird der Eintrag, sobald er an Ihren Auftrag übergeben ist, und wenn Sie die Seite verlassen, ohne zur Anmeldung zu gehen. Einen Eintrag, der älter als eine Stunde ist, verwendet die Seite nicht mehr und löscht ihn beim nächsten Aufruf. Sie können ihn auf der Seite jederzeit entfernen oder mit den Websitedaten Ihres Browsers löschen. Auch diese Speicherung geschieht nur auf Ihre Handlung hin und ist für die gewünschte Funktion unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

8 · Schriftarten und fremde Inhalte

Die verwendeten Schriften — Archivo Expanded, IBM Plex Sans und IBM Plex Mono — liegen auf demselben Server wie diese Website und werden von dort ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen fremden Schriftendienst. Ihre IP-Adresse wird dabei an keinen Dritten übertragen.

Dasselbe gilt für alles Übrige: kein Content-Delivery-Network, keine eingebetteten Videos, keine Karten, keine Schaltflächen sozialer Netzwerke, keine externen Skripte. Die Seite lädt ausschließlich Dateien von ihrer eigenen Adresse. Bilder und Grafiken sind größtenteils direkt im Seitenquelltext enthalten.

Zwei Links führen zu fremden Diensten. „Termin vereinbaren“ öffnet die Terminbuchung von Calendly LLC, 271 17th St NW, Ste 1000, Atlanta, GA 30363, USA. Erst wenn Sie dort einen Termin buchen, erhält Calendly Ihre Angaben, und zwar von Ihnen selbst und in eigener Verantwortung; es gilt die Datenschutzerklärung von Calendly. Die Installationsdateien auf „Herunterladen“ liegen bei GitHub (Abschnitt 9). Solange Sie keinen dieser Links anklicken, erfährt keiner der beiden Dienste von Ihrem Besuch.

9 · Empfänger und Übermittlung in Drittländer

Art. 13 DSGVO ließe uns hier die Wahl, statt der Empfänger nur deren Kategorien zu nennen — „Hostingdienstleister“, „Zahlungsdienstleister“. Wir nennen sie beim Namen, samt Sitz und Verarbeitungsort, und legen ihre Verträge daneben: Jede Datei öffnen Sie mit einem Klick oder laden sie herunter, in der Fassung, auf die wir uns stützen. Wer prüfen soll, wohin etwas geht, kann mit einer Kategorie nichts anfangen.

Darüber hinaus geben wir Ihre Daten nicht weiter. Wir verkaufen keine Daten, wir vermieten keine Adressen und wir übermitteln nichts zu Werbezwecken. Eine Weitergabe an Behörden erfolgt nur, soweit wir dazu gesetzlich verpflichtet sind.

Fünf Empfänger haben ihren Sitz außerhalb der Europäischen Union: Vercel, Resend und GitHub in den Vereinigten Staaten, Supabase in Singapur, PREM SA in der Schweiz. Bei Vercel, Resend und Supabase ist eine Verarbeitung in einem Drittland damit möglich; die Garantie dafür sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO als Bestandteil des jeweiligen Auftragsverarbeitungsvertrags. GitHub sieht nur, wer eine Installationsdatei oder ein Update lädt, und stützt die Übermittlung auf das EU-U.S. Data Privacy Framework. Linkup hat seinen Sitz in Frankreich, verarbeitet die Suchbegriffe laut eigener Dokumentation aber je nach Last auch in den USA, in Kanada oder im Asien-Pazifik-Raum; eine Garantie nach Art. 46 DSGVO haben wir dafür nicht. Für die Schweiz und das Vereinigte Königreich hat die Europäische Kommission ein angemessenes Datenschutzniveau festgestellt (Art. 45 DSGVO). Bei allen Leistungsstufen rechnet zuerst Microsoft Azure in der EU-Datenzone; der Auftragstext läuft dann über Frankfurt an Microsoft Ireland. Lehnt Azure einen Auftrag ab oder wiederholt die Anwendung ihn, geht er an PREM SA in der Schweiz und von dort an Rechenpartner in der EU und im Vereinigten Königreich (Abschnitt 14). Bei den älteren Modellen von Scaleway und beim Ersatz für Bilder verlässt er die Europäische Union nicht, er läuft dann über Frankfurt nach Paris. An eine internationale Organisation übermitteln wir nichts. Sollte sich an den Empfängern etwas ändern, steht es hier.

10 · Speicherdauer im Überblick

Seit dem 22. September 2026 setzt unsere Datenbank diese Fristen jede Nacht selbst durch — niemand muss daran denken:

• Klicks auf „Herunterladen“ (Abschnitt 3): IP-Adresse, Browserkennung und E-Mail-Adresse nach 30 Tagen, der ganze Eintrag nach 180 Tagen
• Angaben zu Modellanfragen (Abschnitt 14): IP-Adresse und Browserkennung nach 30 Tagen — derzeit erfassen wir beides gar nicht

Für alles Übrige gilt:

• Server-Protokolldateien: beim Hoster, nach dessen Löschfristen
• E-Mail-Anfragen und Vormerkungen: bis zur Erledigung; danach Löschung, soweit keine gesetzliche Aufbewahrungsfrist nach § 257 HGB oder § 147 AO greift (sechs bzw. zehn Jahre)
• Der Schlüssel biwak.site.theme liegt ausschließlich in Ihrem Browser und unterliegt allein Ihrer Kontrolle
• Eine vor der Anmeldung abgelegte Datei auf /kontoauszug-umwandeln: in Ihrem Browser, bis zur Übergabe an Ihren Auftrag oder bis Sie die Seite ohne Anmeldung verlassen, höchstens eine Stunde (Abschnitt 7)
• Ein von Ihnen gesendeter Fehlerbericht aus der Anwendung: dreißig Tage ab Eingang, danach gibt der Dienst ihn nicht mehr heraus und löscht ihn beim nächsten Aufräumen; vorher auf Ihr Verlangen (Abschnitt 15)
• Eine von Ihnen gesendete Meldung zu einer KI-Antwort: ebenso dreißig Tage ab Eingang, vorher auf Ihr Verlangen (Abschnitt 15)
• Für Unternehmen, für die unser Vertrag zur Auftragsverarbeitung gilt: Gespräche und Dateien im Arbeitsbereich im Browser, Teamdaten, Fehlerberichte, Meldungen und Hilfeanfragen samt ihren Kopien im Postfach löschen wir spätestens 30 Tage nach dem Ende des Vertrags (Teil C Nummer 9 des Vertrags)

Wo eine feste Frist nicht sinnvoll angegeben werden kann, gilt: Wir löschen, sobald der Zweck entfällt und keine gesetzliche Pflicht der Löschung entgegensteht.

11 · Pflicht zur Bereitstellung Ihrer Daten

Sie sind weder gesetzlich noch vertraglich verpflichtet, uns personenbezogene Daten bereitzustellen. Die Angaben in den Protokolldateien fallen technisch beim Aufruf der Seite an; ohne sie ist eine Auslieferung nicht möglich. Alles, was Sie uns in einer E-Mail mitteilen, teilen Sie freiwillig mit — ohne diese Angaben können wir Ihre Anfrage allerdings nicht beantworten. Weitere Nachteile entstehen Ihnen nicht.

12 · Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Wir bilden keine Nutzerprofile und bewerten Sie nicht automatisiert.

13 · Anwendung und Biwak-Konto

Die vorstehenden Angaben beschreiben den Webauftritt. Die folgenden Abschnitte unterscheiden lokale Daten in der Anwendung und die Verarbeitung für den Biwak-Modellzugang.

Biwak führt Werkzeuge auf Ihrem Rechner aus und legt dort Gespräche und Sicherungspunkte ab. Für Modellaufträge melden Sie sich mit Ihrem Biwak-Konto an. Biwak verarbeitet Anmelde- und Verbrauchsdaten für den Zugang, Kontingente, Guthaben und Abrechnung. Das Löschen lokaler Dateien löscht diese Kontodaten nicht.

Lokale Dateiverarbeitung und serverseitiger Modellzugang sind getrennte Verarbeitungsvorgänge. Die erforderlichen Vereinbarungen und Angaben zu den beteiligten Dienstleistern sind anhand Ihres konkreten Einsatzes zu prüfen.

Setzen Sie Biwak als Unternehmen ein, verarbeiten wir die Inhalte Ihrer Aufträge in Ihrem Auftrag. Dafür gilt unser Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, automatisch mit dem Biwak-Abo und ohne Unterschrift.

Teams

Arbeiten mehrere Personen als Team aus einem gemeinsamen Kontingent, sehen alle Personen des Teams einander mit Namen und E-Mail-Adresse. Der Inhaber des Teams (und ein Verwalter, wo es einen gibt) sieht zusätzlich, wie viele Credits jede Person im laufenden Abrechnungsmonat verbraucht hat — nie ihre Aufträge, Dateien oder Gespräche. Einladungen in ein Team gehen über denselben Mailversand wie die Anmeldecodes (Resend, Abschnitt 9) an die Adresse, die der Einladende eingibt; sie nennen ihn, das Team und einen Link, der 14 Tage gilt.

Arbeitsbereich im Browser

Nutzen Sie Biwak unter biwak.ai/chat, liegen Ihre Aufträge, die Antworten des Modells und der Arbeitsfortschritt in unserer Datenbank in Frankfurt am Main (Abschnitt 4) — damit ein Auftrag weiterläuft, auch wenn Sie das Fenster schließen. Der Agent selbst arbeitet dabei auf unserem Server bei Scaleway in Paris, und dort liegen auch die Dateien Ihres Arbeitsbereichs (Abschnitt 9).

Wer diese Inhalte sehen kann. Ausschließlich der Verantwortliche, Hermann Hampel, über eine gesonderte Verwaltungsansicht, die ein eigenes Passwort und einen Passkey verlangt. Niemand sonst hat diesen Zugang. Die Ansicht liest nur; sie ändert nichts und handelt nie in Ihrem Namen. Eine Einsicht gibt es nur mit einem benannten Anlass:

• Sie haben uns um Hilfe gebeten (Art. 6 Abs. 1 lit. b DSGVO),
• wir suchen einen Fehler, der Ihren Auftrag betrifft (Art. 6 Abs. 1 lit. b, im Übrigen lit. f DSGVO),
• es gibt Anhaltspunkte für Missbrauch oder einen Sicherheitsvorfall (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere Betrieb),
• solange der Arbeitsbereich eine Vorabfunktion ist: die Prüfung, ob Antworten und Werkzeuge richtig arbeiten (Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist ein Produkt, das tut, was es verspricht). Gegen diese Prüfung können Sie jederzeit widersprechen (Abschnitt 16). Für Konten, die zu einer Organisation gehören, findet sie nicht statt — dort sehen wir Inhalte nur aus einem der drei anderen Anlässe. Ebenso nicht für Unternehmen, für die unser Vertrag zur Auftragsverarbeitung gilt.

Jede Einsicht wird mit Zeitpunkt, Anlass und betroffenem Gespräch protokolliert, bevor Inhalte angezeigt werden; das Protokoll enthält keine Inhalte und wird nach zwölf Monaten gelöscht. Inhalte verwenden wir nicht zum Training von Modellen, nicht für Werbung und geben sie nicht weiter. Löschen Sie ein Gespräch im Arbeitsbereich, sind seine Inhalte auch für die Verwaltungsansicht fort.

Gespräche, die Sie in der Anwendung auf Ihrem Rechner führen, erreichen uns nicht — außer in einem Fehlerbericht oder einer Meldung, die Sie selbst senden (Abschnitt 15). Von dort sehen wir nur Verbrauchsdaten: wann, mit welchem Modell und in welchem Umfang ein Auftrag lief, und ob er aus dem Browser oder aus der Anwendung für macOS, Windows oder Linux kam.

14 · Anfragen an ein Sprachmodell

Ein persönliches Anliegen. Datensicherheit liegt mir als Anbieter von Biwak persönlich am Herzen. Deshalb erklären wir offen, welche Inhalte für Ihren Auftrag verarbeitet werden, welche Anbieter daran beteiligt sind und welche Zusagen und Ausnahmen gelten. Diese Transparenz ist für uns die Grundlage Ihres Vertrauens. — Hermann Hampel

Modellaufträge laufen über den angemeldeten Biwak-Zugang an den eingesetzten Modellanbieter. Biwak stellt diesen Zugang für Ihr Konto bereit und verwaltet die Zugangsdaten serverseitig.

Dabei werden Ihre Eingaben, der benötigte Gesprächskontext und verwendete Dateiinhalte übermittelt. Biwak ordnet den tatsächlichen Verbrauch Ihrem Konto zu und rechnet ihn auf das Kontingent Ihres Tarifs an; neue Konten erhalten einmalig Test-Credits.

Der Weg im Einzelnen. Ihr Auftrag geht von Ihrem Rechner an unsere Gegenstelle bei Supabase in Frankfurt am Main und von dort an das Sprachmodell. Angebunden sind drei Anbieter. Alle fünf Leistungsstufen des Reglers rechnen seit dem 4. Oktober 2026 zuerst bei Microsoft Azure; lehnt Azure einen Auftrag ab, rechnet derselbe Auftrag über Prem AI, und wiederholt die Anwendung einen Auftrag, beginnt jeder zweite Anlauf dort. Solange unser Kontingent bei Azure klein ist, rechnet Prem so den größeren Teil der Aufträge. Bei Scaleway rechnen ältere Fassungen der Anwendung (bis 0.2.24), eine früher gespeicherte Modellwahl, die der Regler als „Individuell“ zeigt, und ersatzweise Bilder, die weder Azure noch Prem lesen konnte. Wir nennen die Stationen hier, weil „über unseren Zugang“ die Frage nicht beantwortet, die Ihre IT stellt.

• Zuerst rechnet Microsoft Azure (Vertragspartner Microsoft Ireland Operations Limited) mit der Bereitstellungsart „Data Zone Standard“ für die EU: Microsoft verarbeitet Eingaben und Antworten dabei nur in der EU-Datenzone, die Microsoft nach seiner EU-Datengrenze bestimmt; laut Microsoft kann sie neben den Mitgliedstaaten auch EFTA-Staaten wie Norwegen und die Schweiz umfassen. Gespeicherte Daten bleiben in Deutschland, wo unsere Azure-Ressource liegt. Texte rechnet dort das Modell DeepSeek V4 Flash, Bilder liest GPT-5.4 mini.
• Lehnt Azure einen Auftrag ab, bevor eine Antwort beginnt — etwa weil das Kontingent erschöpft ist —, geht derselbe Auftrag an die PREM SA in Lugano, Schweiz. Prem rechnet nicht selbst, sondern leitet an Partner weiter; nach Prems Datenschutzerklärung für die API sind das Nebius (EU und Vereinigtes Königreich) und TensorX (Irland). Bilder liest dort das Modell DeepSeek V4.1 Flash. Prems Zugang läuft über das Netz von Cloudflare. Die Schweiz und das Vereinigte Königreich gehören nicht zur Europäischen Union, die Europäische Kommission hat beiden aber ein angemessenes Datenschutzniveau bescheinigt (Art. 45 DSGVO).
• Die älteren Modelle ohne Vorsatz rechnen bei der Scaleway SAS in Paris, ebenso der Ersatz für Bilder: Scheitern die Bildmodelle bei Azure und Prem, bevor eine Antwort beginnt, liest der nächste Anlauf das Bild mit dem Modell Qwen3.8 27B bei Scaleway. Beide Stationen liegen in der Europäischen Union; der Auftragstext verlässt sie nicht.

Websuche und Webseiten. Braucht ein Auftrag Informationen aus dem Internet, schickt der Arbeitsbereich im Browser die Suchbegriffe an Linkup (Sitz in Frankreich; verarbeitet laut Linkup je nach Last auch in den USA, Kanada oder im Asien-Pazifik-Raum, Abschnitt 9); Ihre Dateien gehen dabei nicht mit. In der Anwendung auf Ihrem Rechner sucht der Agent nur, wenn dort ein Suchdienst eingerichtet ist. Ruft der Agent eine Webseite auf, fragt er sie direkt an — im Browser von unserem Server in Paris, in der Anwendung von Ihrem Rechner aus; die aufgerufene Seite sieht dann diese Adresse wie bei jedem gewöhnlichen Seitenaufruf. Beides können Sie in den Einstellungen abschalten.

Was mit dem Auftragstext geschieht. Bei Microsoft Azure gilt Microsofts Auftragsverarbeitungsvertrag (Products and Services Data Protection Addendum). Laut Microsofts Dokumentation sind Eingaben und Antworten weder anderen Kunden noch den Herstellern der Modelle zugänglich, auch nicht OpenAI oder DeepSeek, und werden nicht zum Training verwendet; die Modelle selbst speichern nichts. Eine Ausnahme nennt Microsoft selbst: Zur Missbrauchserkennung werden Anfragen automatisch geprüft, und auffällige Anfragen können gespeichert und von Menschen geprüft werden; dieser Speicher liegt in der Geografie unserer Ressource, also in Deutschland. Eine Befreiung davon vergibt Microsoft nur auf gesonderten Antrag, den wir noch nicht gestellt haben.

Was Microsofts Auftragsverarbeitungsvertrag zusagt. Wir haben die Fassung vom 22. Mai 2026 gelesen und mit Prüfsumme abgelegt. Microsoft verarbeitet Ihre Daten danach nur, um den Dienst nach unseren Weisungen bereitzustellen, und nicht für Profile, Werbung oder Marktforschung. Herausgegeben werden sie nur, wenn ein Gesetz es verlangt: Microsoft verweist Behörden an uns, benachrichtigt uns, soweit das nicht verboten ist, ficht Anordnungen an, die gegen das Recht der EU oder eines Mitgliedstaats verstoßen, und gibt höchstens das Nötigste heraus; pauschalen Zugang oder die Schlüssel der Plattform erhält niemand. Sicherheitsvorfälle meldet Microsoft uns unverzüglich. Die Mitarbeitenden sind zur Vertraulichkeit verpflichtet. Neue Unterauftragsverarbeiter kündigt Microsoft vorher an, solche für KI-Funktionen 30 Tage vorher. Die Sicherheitsmaßnahmen erfüllen nach dem Vertrag ISO/IEC 27001, 27002 und 27018 und werden jährlich von unabhängigen Prüfern geprüft. Der Vertrag erlaubt Übermittlungen in die USA (Standardvertragsklauseln, Data Privacy Framework); für Dienste der EU-Datengrenze sagt Microsoft Speicherung und Verarbeitung in der EU und den EFTA-Staaten zu, und unsere Bereitstellungsart folgt laut Microsoft dieser Grenze. Was der Vertrag nicht enthält, ist eine Verpflichtung nach § 203 StGB; einen gesonderten Zusatz für Berufsgeheimnisträger haben wir mit Microsoft nicht (Abschnitt 13).

Rechnet Prem, gilt Prems Betriebsart „Zero Data Retention“: Laut Prems Dokumentation sind die Partner vertraglich verpflichtet, Eingaben und Antworten weder zu speichern noch zu protokollieren noch zum Training zu verwenden. Prem schreibt selbst, dass diese Zusage auf Vertrag und Betriebsabläufen beruht, nicht auf technischer Absicherung wie einer verschlüsselten Ausführungsumgebung, und empfiehlt für personenbezogene Daten und Rechtsdokumente seinen verschlüsselten Modus, den Biwak derzeit nicht nutzt. Einen Auftragsverarbeitungsvertrag mit Prem haben wir verhandelt, aber noch nicht unterschrieben. Eine Wahl zwischen den Anbietern bietet die Oberfläche nicht mehr. Prüfen Sie deshalb vor vertraulichen Aufträgen die tatsächlichen Datenflüsse und die erforderlichen Vertragsunterlagen; für Berufsgeheimnisträger gilt zusätzlich Abschnitt 13.

Für die älteren Modelle bei Scaleway und den Ersatz für Bilder gilt: Scaleway sichert in der Datenschutzrichtlinie seiner Generative APIs (Stand 3. Oktober 2025) zu, dass Eingaben und Antworten standardmäßig nicht gespeichert („Zero Data Retention“), nicht gelesen, nicht ausgewertet und nicht zum Training von Modellen verwendet werden; die Hersteller der Modelle haben keinen Zugriff darauf. Eine Ausnahme nennt Scaleway selbst: Löst eine Anfrage einen Serverfehler aus, kann ihr voller Inhalt bis zu zwei Wochen gespeichert und zur Fehlersuche gelesen werden. Diese Zusagen stehen in der Dokumentation des Anbieters, nicht in seinem Auftragsverarbeitungsvertrag; eine schriftliche Bestätigung als Vertragsbestandteil liegt uns noch nicht vor. Die abgerufene Fassung bewahren wir mit Prüfsumme auf.

Was Scaleway nachweist. Scaleway betreibt ein Informationssicherheits-Managementsystem, das nach ISO/IEC 27001:2022 zertifiziert ist. Die Urkunde stammt von der British Standards Institution — nicht vom deutschen Bundesamt für Sicherheit in der Informationstechnik. Sie ist am 6. Dezember 2023 ausgestellt und bis zum 5. Dezember 2026 gültig. Der Geltungsbereich lautet „Providing the technical infrastructure platform to support the Scaleway’s Public Cloud products“ und führt die Anlagen einzeln auf, darunter die Pariser Rechenzentren. Zertifiziert ist damit das Managementsystem des Betreibers, ausdrücklich nicht ein einzelner Dienst und nicht Biwak. Die abgerufene Urkunde bewahren wir mit Prüfsumme auf; ihre Registriernummer nennen wir hier nicht, weil die Urkunde selbst untersagt, Nummer und Prüfzeichen in Unterlagen über Produkte oder Dienstleistungen zu führen. Für eine Prüfung nennen wir sie Ihnen auf Anfrage. Für Prem AI und seine Partner liegt uns keine vergleichbare Angabe vor. Für Microsoft Azure steht die Prüfpflicht im Auftragsverarbeitungsvertrag (siehe oben); die Zertifikate selbst haben wir noch nicht abgelegt.

15 · Fehlerbericht aus der Anwendung

Die Anwendung meldet von sich aus nichts an uns: keine Telemetrie, keine Nutzungsstatistik, kein Absturzbericht im Hintergrund. Es gibt aber einen Weg, den Sie auslösen. Klemmt etwas, wählen Sie gleich zu Beginn „Bericht senden“ oder „Abbrechen“. Erst mit „Bericht senden“ erstellt Biwak den vollständigen technischen Fehlerbericht und übermittelt ihn. Bei „Abbrechen“ wird kein Bericht erstellt und nichts vom Gerät übertragen.

Was darin steht. Ihre eigene Beschreibung; die Fassung von Biwak; Angaben zu diesem Rechner (Betriebssystem, Architektur, Rechnername, Benutzerordner, Zeitzone, Sprache); Ihre lokale Konfiguration und die erteilten Freigaben; die zuletzt protokollierten Fehler; die Protokolldateien aus ~/.biwak/logs; und die vollständige Mitschrift der geöffneten Unterhaltung — Ihre Nachrichten, die Antworten des Modells, jeder Werkzeugaufruf mit Ergebnis. Zugangsdaten stehen als Maske darin, nicht im Klartext. Der Bericht wird als ein einziges Textdokument mit einer Prüfsumme versendet; die Prüfsumme bezieht sich genau auf den Inhalt, der den Kontodienst erreicht.

Was damit geschieht. Der Bericht geht an unseren Kontodienst und wird dort Ihrem Konto und dem sendenden Gerät zugeordnet; die Ablage liegt beim Speicher unseres Supabase-Projekts in Frankfurt am Main. Nach der Annahme übermittelt der Kontodienst den vollständigen Bericht per Resend an kontakt@biwak.ai. Sie erhalten eine Berichtsnummer und den Löschtermin zurück. Wir verwenden den Bericht ausschließlich, um die gemeldete Störung zu bearbeiten — nicht für Statistik, nicht zur Produktverbesserung, nicht zum Training von Modellen.

Wie lange. Die dreißig Tage ab Eingang beziehen sich auf die Ablage im Kontodienst; danach gibt der Dienst den Bericht nicht mehr heraus und löscht ihn beim nächsten Aufräumen, das derzeit mit dem Eingang eines neuen Berichts läuft. Vorher können Sie die Löschung jederzeit und ohne Begründung verlangen — es genügt die Berichtsnummer in einer Nachricht an kontakt@biwak.ai. Für die Aufbewahrung der weitergeleiteten E-Mail im Postfach gelten die Angaben zu geschäftlicher Korrespondenz in Abschnitt 6. Für Unternehmen, für die unser Vertrag zur Auftragsverarbeitung gilt, verarbeiten wir Berichte und Meldungen als Auftragsverarbeiter nach diesem Vertrag statt nach diesem Abschnitt: Die Kopie im Postfach löschen wir dann von Hand, sobald der Vorgang erledigt ist, spätestens 30 Tage danach; aufbewahrt wird nur, was als Handels- oder Geschäftsbrief aufzubewahren ist (Anhang II und Teil C Nummer 9 des Vertrags).

Rechtsgrundlage. Art. 6 Abs. 1 lit. b DSGVO, soweit die Bearbeitung Ihrer Störung zur Erfüllung des Vertrags über die Nutzung von Biwak gehört; im Übrigen Art. 6 Abs. 1 lit. f DSGVO — unser berechtigtes Interesse daran, einen gemeldeten Fehler zu finden und zu beheben. Sie sind zum Senden nicht verpflichtet; mit „Abbrechen“ wird kein Bericht erstellt.

Wer den Bericht öffnet. Ausschließlich der Verantwortliche, Hermann Hampel — als E-Mail im Postfach und in der Verwaltungsansicht aus Abschnitt 13, dort nur zur Bearbeitung der Störung, bei Ihrer Anfrage oder bei Gefahr und nie zur Qualitätsprüfung. Jede Einsicht dort wird protokolliert.

Meldung einer KI-Antwort

Unter jeder Antwort steht neben „Kopieren“ ein Ausrufezeichen. Damit melden Sie uns eine Antwort, die Sie für anstößig, gefährlich oder falsch halten. Auch hier geschieht nichts im Hintergrund: Erst mit „Melden“ geht etwas hinaus, und bei „Abbrechen“ nichts.

Was darin steht. Die gemeldete Antwort im Wortlaut, der gewählte Grund und Ihre Anmerkung, wenn Sie eine schreiben; dazu die Fassung von Biwak, das Betriebssystem, das Modell und der Zeitpunkt der Antwort. Außerdem geht immer die vollständige Mitschrift der Unterhaltung mit, aus der die Antwort stammt — wie beim Fehlerbericht mit allen Nachrichten, Antworten und Werkzeugaufrufen —, denn erst sie zeigt, wie es zu der Antwort kam. Der Dialog kündigt das in seiner ersten Zeile an. Protokolldateien, Einstellungen, Rechnername und Benutzerordner gehören nicht dazu.

Was damit geschieht. Die Meldung nimmt denselben Weg wie ein Fehlerbericht: an unseren Kontodienst, in die Ablage in Frankfurt am Main, per Resend an kontakt@biwak.ai. Sie erhalten eine Nummer und den Löschtermin zurück; es gelten dieselben dreißig Tage, dasselbe Löschverlangen und derselbe Zugriffskreis wie oben. Wir verwenden die Meldung, um die Antwort zu prüfen und Abhilfe zu schaffen — etwa an den Anweisungen für das Modell oder an der Modellwahl —, nicht für Statistik, nicht für Werbung und nicht zum Training von Modellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse daran, unangemessene Ausgaben zu erkennen und abzustellen. Für Anwendungen mit generativer KI verlangt der Microsoft Store diesen Meldeweg ausdrücklich.

Ohne direkten Weg. Im Arbeitsbereich im Browser und ohne Anmeldung geht die Meldung nicht direkt hinaus. Biwak legt dann ihren Text in die Zwischenablage und öffnet Ihr Mailprogramm; was Sie abschicken, entscheiden Sie selbst, und für die Nachricht gilt Abschnitt 6.

Wenn Sie uns stattdessen selbst etwas schicken. Bei einem Auszug, einem Bildschirmfoto oder einer Protokolldatei per E-Mail entscheiden allein Sie darüber, was darin steht; für diese Nachricht gilt Abschnitt 6 dieser Erklärung. Prüfen Sie vorher bitte, ob personenbezogene Daten Dritter enthalten sind, und schwärzen Sie, was nicht nötig ist.

16 · Ihre Rechte im Einzelnen

Ihnen stehen gegenüber uns die folgenden Rechte zu:

• Auskunft (Art. 15 DSGVO): Sie können erfahren, ob und welche Daten wir zu Ihnen verarbeiten, und eine Kopie davon verlangen.
• Berichtigung (Art. 16 DSGVO): Unrichtige Daten müssen wir korrigieren, unvollständige vervollständigen.
• Löschung (Art. 17 DSGVO): Sie können die Löschung verlangen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
• Einschränkung der Verarbeitung (Art. 18 DSGVO): Statt zu löschen, können wir Daten auch nur noch aufbewahren.
• Datenübertragbarkeit (Art. 20 DSGVO): Daten, die Sie uns bereitgestellt haben, erhalten Sie in einem gängigen, maschinenlesbaren Format.
• Widerspruch (Art. 21 DSGVO): siehe den gesondert hervorgehobenen Hinweis unmittelbar darunter.

Ein Widerrufsrecht nach Art. 7 Abs. 3 DSGVO läuft hier leer: Wir stützen keine Verarbeitung auf eine Einwilligung, also gibt es nichts zu widerrufen.

Für die Ausübung genügt eine formlose Nachricht an kontakt@biwak.ai. Die Ausübung ist für Sie kostenfrei. Wir antworten innerhalb eines Monats; kommen wir in Ausnahmefällen nicht rechtzeitig durch, sagen wir Ihnen das mit Begründung.

Widerspruchsrecht nach Art. 21 DSGVO

Unternehmen, zu denen Biwak passen könnte, schreiben wir gelegentlich per Brief an (Direktwerbung, berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO). Dafür nutzen wir Firmenname und Anschrift aus öffentlichen Quellen, meist der Website des Unternehmens, den Namen einer Person nur aus einer Quelle, die sie selbst veröffentlicht hat, etwa einer Teamseite; diese Quelle nennt der Brief. Gespeichert wird das in unserer Datenbank in Frankfurt am Main (Abschnitt 4). Namen und Anschrift löschen wir nach sechs Monaten ohne Kontakt.

Einem solchen Schreiben können Sie jederzeit ohne Angabe von Gründen widersprechen (Art. 21 Abs. 2 DSGVO), formlos an kontakt@biwak.ai. Dann bekommen Sie keine Post mehr von uns; damit das so bleibt, behalten wir den Firmennamen auf einer Sperrliste.

17 · Beschwerde bei einer Aufsichtsbehörde

Unbeschadet anderer Rechtsbehelfe haben Sie nach Art. 77 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren — insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach

Uns ist eine direkte Nachricht lieber als eine Beschwerde — aber der Weg zur Behörde steht Ihnen immer offen, und Sie müssen sich vorher nicht an uns wenden.

18 · Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Rechtslage ändert oder wenn wir an der Website etwas ändern, das die Verarbeitung berührt — etwa beim Wechsel des Hosters. Es gilt jeweils die hier veröffentlichte Fassung. Wesentliche Änderungen halten wir im Änderungsstand fest, damit Sie nachvollziehen können, was sich wann geändert hat.

Stand dieser Fassung: 4. Oktober 2026