Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
cachly.dev – Heinrich Neb, Im Wiesengrund 72, 55496 Argenthal, Deutschland
E-Mail: [email protected]

2. Erhobene Daten und Verarbeitungszwecke

2.1 Besuch der Website und Aufruf der Schnittstelle

Beim Aufruf unserer Website und unserer Schnittstelle (API) speichert der Webserver automatisch Zugriffsdaten (Server-Log-Dateien): IP-Adresse, Datum/Uhrzeit, aufgerufene URL, Referrer, HTTP-Status, übertragene Datenmenge sowie Browser- und Betriebssystemkennung. Die Protokolle werden auf einem Überwachungsserver gesammelt (Hetzner, Helsinki, Finnland) und dort nach 14 Tagen gelöscht. Auf dem Anwendungsserver (Hetzner, Nürnberg) liegen sie zusätzlich, bis die Anwendung das nächste Mal ausgerollt wird. Vor unserem Webserver steht Cloudflare (Abschnitt 2.6); Cloudflare verarbeitet dieselben Angaben, bevor sie bei uns ankommen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Sicherheit).

2.2 Registrierung und Anmeldung

Die Anmeldung erfolgt über unsere selbst betriebene Keycloak-Instanz (Open Source) auf Servern von Hetzner in Deutschland. Dabei werden E-Mail-Adresse, gegebenenfalls Profildaten (Name, Profilbild) sowie Sitzungstoken verarbeitet. Wählen Sie die Anmeldung mit GitHub oder Google, leiten wir Sie direkt zu diesem Anbieter weiter. Der Anbieter erfährt dabei Ihre IP-Adresse und übergibt uns Name, E-Mail-Adresse und Profilbild; er ist für seine eigene Verarbeitung selbst verantwortlich (Abschnitt 3). E-Mails des Anmeldedienstes (E-Mail-Adresse bestätigen, Passwort zurücksetzen) versenden wir über Resend in den USA (Abschnitt 2.7). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

2.3 Zahlungsabwicklung

Zahlungen werden über Stripe (Stripe, Inc., 510 Townsend Street, San Francisco, CA 94103, USA; in der EU: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland) abgewickelt. Stripe erhebt Zahlungsdaten (Kartennummer, Ablaufdatum, Rechnungsadresse). Wir selbst speichern keine vollständigen Zahlungsdaten. Die Daten können in die USA gelangen; Grundlage der Übermittlung sind das EU-US Data Privacy Framework und EU-Standardvertragsklauseln (Abschnitt 3). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz Stripe: stripe.com/de/privacy.

2.4 Datenbank und gespeicherte Inhalte

Unsere Anwendungsdatenbank (Konten, Instanzmetadaten, Tenant-IDs, Vektoren der semantischen Suche) wird als selbst betriebenes PostgreSQL auf Servern der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Nürnberg betrieben. Ihre Lektionen (was Sie oder Ihr Assistent speichern: Thema, was funktionierte, was scheiterte, Kontext, Dateien, Befehle) liegen in Ihrer eigenen Valkey-Instanz, ebenfalls bei Hetzner in Nürnberg. Datensicherungen der Datenbank werden mit age verschlüsselt, lokal 7 Tage aufbewahrt und zusätzlich im Hetzner Object Storage abgelegt. Ein Protokoll der Konto- und Instanzereignisse (Audit-Log) bewahren wir 2.555 Tage (7 Jahre) auf und löschen es danach automatisch; bei der Löschung Ihres Kontos entfernen wir die Einträge Ihres Kontos. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Audit-Log: lit. f).

2.5 Hosting und Infrastruktur

Anwendung, Instanzen, Anmeldedienst und Reichweitenmessung laufen bei Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland, im Rechenzentrum Nürnberg. Die Protokollsammlung und Überwachung laufen bei Hetzner in Helsinki (Finnland). Den Leser, der Suchtreffer nach Bedeutung ordnet, betreiben wir bei der Contabo GmbH, München, in Frankreich (Lauterbourg). Der Leser erhält die Suchanfrage und die Texte der Kandidaten-Lektionen und gibt nur Punktzahlen zurück. Alle drei Standorte liegen in der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b, f DSGVO. Mit Hetzner besteht ein AV-Vertrag gemäß Art. 28 DSGVO.

2.6 Netzwerkdienst Cloudflare

Die Adressen cachly.dev, www.cachly.dev, api.cachly.dev und auth.cachly.dev laufen über Cloudflare, Inc. (San Francisco, USA). Cloudflare beendet die verschlüsselte Verbindung in einem seiner Rechenzentren und leitet die Anfrage an unsere Server weiter. Anfragen laufen dabei mit ihrem Inhalt durch Cloudflare: mit IP-Adresse, Lektionen, Suchanfragen und Zugangs-Token. Welches Rechenzentrum eine Anfrage bedient, bestimmt Cloudflare; bei unseren Messungen war es Frankfurt. Außerdem nimmt Cloudflare eingehende E-Mails an cachly-Adressen an und leitet sie weiter (Email Routing). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sicherer und schneller Betrieb). Grundlage der Übermittlung in die USA: Abschnitt 3.

2.7 E-Mail-Versand und eingehende E-Mails

E-Mails versenden wir über Resend (Plus Five Five, Inc., San Francisco, USA). Das sind Hinweise zu Konto, Zahlung, Tarif und Instanzen (die Bereitstellungsmail enthält die Zugangsdaten der Instanz), Einladungen in Teams, Hinweise zur Einrichtung und zum Testzeitraum, eine wöchentliche Übersicht sowie die E-Mails des Anmeldedienstes. Resend erhält dafür E-Mail-Adresse, Name (falls vorhanden) und den Inhalt der Nachricht. Nach Angabe von Resend liegen Nachrichten und Zustellprotokolle in den USA. Tragen Sie sich mit Ihrer E-Mail-Adresse für den Newsletter ein, speichern wir Adresse und Quelle der Eintragung und senden eine Willkommensmail. Eingehende E-Mails an cachly-Adressen nimmt Cloudflare an (Abschnitt 2.6); Betreff und Text können zusätzlich als Benachrichtigung an Telegram gehen (Abschnitt 2.9). Rechtsgrundlage der Mails zu Konto, Zahlung und Instanzen: Art. 6 Abs. 1 lit. b DSGVO.

2.8 Nutzung des MCP-Servers und der Hooks

Der MCP-Server und die Hooks laufen auf Ihrem Rechner. Sie senden Lektionen an Ihre Instanz und Suchanfragen an unsere Schnittstelle, um Einbettungen zu berechnen und Treffer zu ordnen. Einbettungen berechnen wir auf eigenen Servern (Ollama mit dem Modell bge-m3, Hetzner, Nürnberg). Die Ordnung der Treffer übernimmt der Leser bei Contabo in Frankreich. Texte gehen nur dann an OpenAI, Google, Mistral oder Cohere, wenn Sie das auf Ihrem Rechner mit der Einstellung CACHLY_EMBED_PROVIDER selbst wählen.

Außerdem melden der MCP-Server und die Hooks Nutzungsereignisse: Ereignisname, Version, Editor, Quelle, Instanz-Kennung und, wenn Sie angemeldet sind, über Ihr Zugangs-Token Ihr Konto, dazu einige Zähler (Tabelle mcp_events). Zusätzlich meldet die Einblendung vor einem Prompt, wie viele Token sie eingeblendet und wie viele eine Lektion erspart hat, mit einer Notiz von höchstens 200 Zeichen (Tabelle ambient_ledger_events); das speist die Übersicht im Team-Dashboard. Die Meldung eines Nutzungsereignisses kann bis zu 80 Zeichen einer Suchanfrage enthalten; die Schnittstelle speichert diesen Teil nicht. Mit CACHLY_NO_TELEMETRY=1 schalten Sie die Meldungen ab. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Betrieb der Funktion) und lit. f (Sicherheit und Verbesserung des Dienstes).

Geplant, noch nicht in Betrieb: Die Einblendung soll je Entscheidung aufschreiben, mit welcher Einstellung sie lief und ob der Agent eine gezeigte Lektion aufgegriffen hat (Tabelle einblendungen). Themen und Sitzung gehen nur als Prüfsumme (12 Hexzeichen) an den Server, nicht im Klartext. Mit CACHLY_LERNEN=0 oder CACHLY_NO_TELEMETRY=1 wird das abgeschaltet.

2.9 Benachrichtigungen an den Betreiber (Telegram)

Der Betreiber erhält Meldungen über einen Telegram-Bot (Telegram Messenger Inc., Britische Jungferninseln; Telegram FZ-LLC, Dubai). Darin stehen: E-Mail-Adresse und Tarif bei neuen Konten, die IP-Adresse bei Verdacht auf Missbrauch (zum Beispiel wiederholte Fehlanmeldungen), Betreff und Text eingehender E-Mails an cachly-Adressen sowie E-Mail-Adressen von Konten mit auslaufendem Testzeitraum. Zweck ist, Fehler und Missbrauch zu erkennen und Anfragen zu beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Grundlage der Übermittlung: Abschnitt 3.

2.10 Reichweitenmessung

Wir messen Seitenaufrufe und Klicks (zum Beispiel auf „Anmelden“) mit Plausible Community Edition. Plausible läuft auf unserem Server bei Hetzner (analytics.cachly.dev) und setzt keine Cookies. Die Daten gehen nicht an Dritte. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Verständnis der Nutzung der Website).

3. Empfänger und Übermittlung in Drittländer

Wir geben personenbezogene Daten nur an die Dienstleister in der folgenden Tabelle weiter, soweit es für die beschriebenen Zwecke nötig ist. Eine Weitergabe zu Werbezwecken findet nicht statt.

Mehrere Dienstleister sitzen in den USA oder verarbeiten Daten dort (Cloudflare, Resend, Stripe, GitHub, Google) oder in einem anderen Drittland (Telegram). Das ist eine Übermittlung in ein Drittland nach Art. 44 ff. DSGVO. Bei Unternehmen, die am EU-US Data Privacy Framework teilnehmen, ist die Grundlage der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Zusätzlich oder sonst gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Ihre Lektionen und Suchanfragen speichern und verarbeiten wir nur auf Servern in der EU (Hetzner in Nürnberg, Contabo in Frankreich). Auf dem Weg dorthin laufen die Anfragen durch Cloudflare (USA), weil Cloudflare vor unserer Schnittstelle steht (Abschnitt 2.6).

4. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Außerdem haben Sie das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde einzulegen.

Einen Export Ihrer Daten laden Sie im Dashboard herunter. Die Löschung Ihres Kontos beantragen Sie unter [email protected]. Sie entfernt Ihre Instanzen, die Vektoren der semantischen Suche, die Audit-Einträge Ihres Kontos und das Konto selbst.

Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]

5. Cookies und Speicher im Browser

Wir setzen keine Marketing-Cookies ein und nutzen keine Werbenetzwerke. Folgendes legt die Website in Ihrem Browser ab:

• Sitzung der Anmeldung (Cookie von next-auth), solange Sie angemeldet sind. Technisch notwendig.
• cachly-lang (Cookie, 365 Tage, und Browser-Speicher): die Sprache, die Sie gewählt haben.
• cachly_ab_variant (Cookie, 30 Tage): ordnet Besucher der Startseite einer Seitenvariante zu, um den Weg von der Startseite zur Anmeldung zu messen. Beim ersten Besuch der Startseite meldet die Seite diese Zuordnung mit einer zufälligen Sitzungskennung (cachly_ab_session, nur für diese Browsersitzung) an unsere Schnittstelle; dort stehen Variante, Ereignis und Sitzungskennung.
• cachly_ref (Cookie, 30 Tage, nur über einen Empfehlungslink): der Empfehlungscode.
• Browser-Speicher (localStorage, sessionStorage): Hinweise, die Sie weggeklickt haben (Cookie-Hinweis, Einrichtungsassistent), die zuletzt genutzte Anmeldeart, Kampagnenparameter (utm_*) der Sitzung und Merker, ob ein Ereignis schon gemeldet wurde.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO und, für notwendige Speicherungen, § 25 Abs. 2 TDDDG.

6. Datensicherheit

Alle Verbindungen zu cachly.dev sind TLS-verschlüsselt (HTTPS). Bei Cloudflare endet die Verbindung und wird von dort an unsere Server weitergeleitet (Abschnitt 2.6). Verbindungen zu Ihrer Cache-Instanz sind durch Passwortauthentifizierung gesichert. Zugriffs-Passwörter für Cache-Instanzen werden zusätzlich auf Anwendungsebene mit AES-256-GCM verschlüsselt in der Datenbank gespeichert (Defence-in-Depth, Art. 32 DSGVO). Server-Passwörter werden als bcrypt-Hash abgelegt.

Einbettungen (Vektoren) berechnen wir auf eigenen Servern in der EU. Texte gehen nicht an externe KI-Dienste, es sei denn, Sie wählen auf Ihrem Rechner ausdrücklich einen solchen Anbieter (Abschnitt 2.8). Die Vektoren werden in unserer Datenbank bei Hetzner gespeichert.

7. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen anzupassen. Die jeweils aktuelle Version finden Sie unter cachly.dev/legal/datenschutz.