Datenschutzerklärung

Verantwortlicher für die hier beschriebenen Verarbeitungen ist:

Lukas Buck
Dorfstraße 11
72660 Beuren
Deutschland
E-Mail: legal@sixsentences.com

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nach aktuellem Stand nicht erfüllt sind.

Im Workspace können insbesondere Fragen, Chats, Suchprotokolle, bibliographische Daten, Screening-Entscheidungen, Volltexte, Notizen, Kommentare, Forschungsdaten, Interviewaufnahmen, Transkripte, Umfrageantworten, Visualisierungen, Manuskripte und Exporte verarbeitet werden. Soweit diese Daten die nutzende Person betreffen, erfolgt die Verarbeitung zur Bereitstellung des Dienstes nach Art. 6 Abs. 1 Buchstabe b DSGVO.

Workspace-Inhalte werden nicht für Werbung verkauft und von uns nicht zum Training eigener Basismodelle verwendet. Die Verarbeitung durch externe KI-Anbieter wird im folgenden Abschnitt gesondert erläutert. Ein administrativer Zugriff erfolgt nur, soweit dies für Betrieb, Sicherheit oder eine gesetzliche Pflicht erforderlich ist oder die nutzende Person dies ausdrücklich für einen Supportfall freigibt.

Bei einer KI-Funktion werden nur die für die konkrete Aufgabe erforderlichen Eingaben an den ausgewählten Anbieter übermittelt, zum Beispiel die Anweisung und relevante Titel, Abstracts, Textpassagen, Tabellen, Bilder oder Audiodaten. E-Mail-Adresse und Kontoname werden nicht Bestandteil des Modellprompts.

Textmodelle werden überwiegend über OpenRouter, Inc., USA, bereitgestellt. Das Modellmenü zeigt vor Ausführung das gewählte Modell, aber nicht zwingend die juristische Person, die den konkreten Inferenz-Endpunkt betreibt. OpenRouter kann einen Modellaufruf unter den zugelassenen Endpunkten dynamisch, insbesondere nach Preis und Verfügbarkeit, weiterleiten. Der tatsächlich empfangende Modellanbieter kann daher erst bei der Ausführung feststehen und sich ändern. Bildgenerierung, Transkription und Live Interviews können zusätzlich unmittelbar die Gemini API von Google Cloud EMEA Limited, Irland, nutzen; verbundene Unternehmen und Auftragsverarbeiter von Google können dabei in weiteren Ländern tätig werden.

Für direkte Gemini-Aufrufe verwendet SixSentences_ einen Cloud- Abrechnungsaccount und damit Googles Paid Services. Google erklärt, Prompts und Antworten bei Paid Services nicht zur Verbesserung seiner Produkte zu verwenden. Davon unabhängig protokolliert Google Prompts und Antworten für einen begrenzten, in den Gemini- Zusatzbedingungen nicht genauer angegebenen Zeitraum ausschließlich zur Erkennung und Verhinderung von Verstößen gegen die Nutzungsrichtlinie sowie für erforderliche rechtliche oder regulatorische Offenlegungen. Google weist darauf hin, dass diese Daten vorübergehend oder als Cache in jedem Land gespeichert werden können, in dem Google oder seine Beauftragten Einrichtungen unterhalten. Diese Missbrauchs- und Sicherheitsprotokollierung ist von der nachfolgend beschriebenen Aufbewahrung eines Gemini-Live-Sitzungszustands getrennt.

OpenRouter erklärt, Prompt- und Antwortinhalte nach Abschluss eines Aufrufs zu löschen, solange keine optionale Inhaltsprotokollierung aktiviert ist; ausgenommen sind insbesondere gesetzlich erforderliche Verarbeitung und Maßnahmen gegen missbräuchliche Nutzung. Jeder produktive OpenRouter-Aufruf von SixSentences_ enthält sowohl die Routing-Vorgabe, Endpunkte mit Datenerhebung auszuschließen, als auch die gesonderte Zero-Data-Retention-Vorgabe. Dadurch darf OpenRouter den Aufruf nur an einen Endpunkt weiterleiten, der sich zur Nichtaufbewahrung von Prompt- und Antwortinhalten verpflichtet hat; steht für das gewählte Modell kein solcher Endpunkt zur Verfügung, schlägt der Aufruf fehl. Modelle ohne einen verfügbaren ZDR-Endpunkt werden nicht im Produktkatalog angeboten. Technische Metadaten wie Tokenzahl, Laufzeit und Kosten können zur Abrechnung und Betriebssteuerung gespeichert werden.

OpenRouters Standard-Auftragsverarbeitungsvereinbarung sieht keine Verarbeitung sensibler Daten oder besonderer Kategorien nach Art. 9 DSGVO vor, solange dies nicht ausdrücklich vertraglich ergänzt wurde. Solche Daten dürfen daher nicht an über OpenRouter bereitgestellte KI-Funktionen übermittelt werden, sofern für den konkreten Einsatz keine entsprechende Zusatzvereinbarung und geeignete Route bestätigt wurden. Das betrifft nicht ihre bloße Speicherung im Workspace.

Rechtsgrundlage für die vom Kontoinhaber ausgelöste Verarbeitung ist Art. 6 Abs. 1 Buchstabe b DSGVO. Bei Kundendaten über Dritte erfolgt sie als Auftragsverarbeitung nach Art. 28 DSGVO auf Weisung des Kunden. Übermittlungen außerhalb des Europäischen Wirtschaftsraums beruhen, soweit erforderlich, auf einem Angemessenheitsbeschluss oder geeigneten Garantien nach Art. 46 DSGVO, insbesondere Standardvertragsklauseln. Das Modell kann vor Ausführung ausgewählt werden; der konkrete, dynamisch von OpenRouter gewählte Inferenz-Endpunkt ist dabei nicht immer vorab sichtbar.

Bei einem KI-geführten Interview wird vor Beginn erkennbar darauf hingewiesen, dass die teilnehmende Person mit einem KI-System interagiert. Audio wird nur nach der im Interview angezeigten Bestätigung verarbeitet. Der Browser der teilnehmenden Person sendet Audio über eine geschützte Verbindung an einen SixSentences_-Server, der es an die Gemini Live API von Google weiterleitet. Google erhält dabei die gesprochenen Inhalte, den für das Interview erforderlichen Gesprächskontext und technische Daten der Serververbindung. Die Weiterleitung puffert Audio kurzzeitig im Arbeitsspeicher und legt selbst kein Roh-Audio-Archiv an. Eine gesondert ausgewählte Aufbewahrung der Aufnahme richtet sich weiterhin nach der Workspace-Einstellung des Kunden.

SixSentences_ speichert vom Anbieter erzeugte Transkriptfragmente mit Sprecherrollen und sitzungsbezogenen Zeitangaben. Diese maschinellen Transkripte sind keine unabhängige Überprüfung anhand einer Audioaufnahme. Zusammengefasste Nutzungswerte wie Tokenkostenschätzungen, Audiodauer und Anzahl der Gesprächswechsel werden für Capacity-Abrechnung und Betriebssicherheit gespeichert; diese Messwerte enthalten keine Audioinhalte.

Damit ein bereits laufendes Interview über den regelmäßigen Wechsel einer Gemini-Live-Verbindung hinaus fortgesetzt werden kann, nutzt der SixSentences_-Server die Sitzungsfortsetzung nur innerhalb dieses Interviews. Zugangsdaten und Fortsetzungs-Handles für Google werden nicht an den Browser ausgegeben. Google gibt an, dass bei Erzeugung eines Fortsetzungs-Handles der zugehörige Gesprächszustand einschließlich Audio und Text bis zu 24 Stunden gespeichert werden kann. Dieser Gemini-Live-Pfad ist deshalb kein Zero-Data-Retention-Pfad. Die im Workspace gewählte Aufbewahrung, insbesondere „nur Transkript“, verkürzt diese vorübergehende Speicherung bei Google nicht.

Für Recherchen übermittelt der Dienst die Suchanfrage ohne Kontaktdaten an wissenschaftliche Indizes und, wenn ausgewählt, an offene Webquellen. Hierzu gehören insbesondere OpenAlex von OurResearch sowie Server von Verlagen und Repositorien, von denen frei verfügbare Metadaten oder Volltexte abgerufen werden.

Die optionale Live Websuche für graue Literatur wird ausschließlich über OpenRouter, Inc., USA, an Perplexity AI, Inc., USA, mit dem fest vorgegebenen Modell perplexity/sonar übermittelt. Vor der Übermittlung entfernt der Server erkennbare direkte Identifikatoren und begrenzt die Eingabe auf die für die Suche erforderliche Frage. Kontodaten, Uploads, Volltexte, Transkripte und Manuskripte werden der Suchanfrage nicht automatisch beigefügt. Die Musterbereinigung ist jedoch keine vollständige Anonymisierung: Eine frei formulierte Suchfrage kann weiterhin Namen oder sonstigen Personenbezug enthalten. Die von Sonar erzeugte Antwort wird verworfen, sobald daraus Quellenmetadaten wie Titel, URL, Textauszug und Veröffentlichungsdatum entnommen wurden.

Jeder Suchaufruf setzt bei OpenRouter sowohl data_collection=deny als auch Zero Data Retention. Nach diesen Routingvorgaben dürfen Prompt und Antwort nicht für Modelltraining verwendet oder nach dem Aufruf aufbewahrt werden; technische Nutzungsmetadaten können für Abrechnung und Betrieb verbleiben. Es gibt keinen alternativen Suchanbieter: Ist der festgelegte ZDR-Endpunkt nicht verfügbar, schlägt die Suche fehl. Die Verarbeitung erfolgt in den USA. OpenRouters Auftragsverarbeitungsvereinbarung bezieht die EU Standardvertragsklauseln, Modul 2, ein; ein EU-Endpunkt wird für diese Route derzeit nicht zugesagt. Trotz der automatischen Bereinigung dürfen Suchfragen keine sensiblen Daten, besonderen Kategorien nach Art. 9 DSGVO oder vertraulichen personenbezogenen Angaben enthalten.

Externe Integrationen wie Zotero werden nur auf ausdrückliche Aktion verbunden. Dabei werden die zur Verbindung erforderlichen Zugangsdaten und die vom Nutzer ausgewählten Quellen an den jeweiligen Dienst übermittelt. Importdateien aus Citavi werden lokal im Workspace verarbeitet, soweit keine externe Verbindung ausgelöst wird.

SixSentences_ setzt keine optionalen Werbe- oder Tracking-Cookies. Die Anwendung nutzt den lokalen Speicher des Browsers für die Anmeldung und für ausdrücklich gewählte Oberflächeneinstellungen. Diese Speicherung ist erforderlich, um den angeforderten Dienst bereitzustellen. Sie stützt sich auf § 25 Abs. 2 Nr. 2 TDDDG. Beim Abmelden wird das Sitzungstoken entfernt.

Beim Wechsel zu Stripe Checkout, Google Anmeldung oder anderen ausdrücklich gewählten externen Diensten können diese Anbieter auf ihren eigenen Seiten technisch erforderliche oder nach ihren Erklärungen zulässige Speicherungen vornehmen.

Zahlungen, Abonnements, Rechnungen, Betrugsprävention, Rückerstattungen und Zahlungsstreitigkeiten werden über Stripe Payments Europe, Limited und verbundene Stripe Gesellschaften abgewickelt. Stripe handelt je nach Verarbeitung als unser Auftragsverarbeiter und für eigene Zwecke, insbesondere Betrugsprävention, Erfüllung regulatorischer Pflichten und Verbesserung seiner Dienste, als eigenständig oder gemeinsam Verantwortlicher. Im EWR ist Stripe Payments Europe, Limited der Vertragspartner der Auftragsverarbeitungsvereinbarung; Stripe Technology Company, Limited ist die europäische Hauptniederlassung, und für bestimmte regulierte Zahlungsdienste kann Stripe Technology Europe, Limited tätig werden.

Stripe erhält die für Checkout, Abrechnung, Authentifizierung und Betrugsprävention erforderlichen Daten. Dazu können insbesondere Name, E-Mail-Adresse, Rechnungs- oder Lieferadresse, Produkt, Preis, Währung, Zahlungsstatus, Transaktionskennung, Zahlungsdaten, IP-Adresse und Standort- sowie Geräte- und Aktivitätssignale gehören. Vollständige Kartendaten werden direkt bei Stripe eingegeben und nicht von SixSentences_ gespeichert. Für unsere Übermittlung gelten Art. 6 Abs. 1 Buchstabe b und c DSGVO; für Stripes eigene Verarbeitung gelten die in Stripes Datenschutzhinweisen genannten Zwecke und Rechtsgrundlagen.

Vor dem Checkout speichern wir einen versionierten Nachweis der angezeigten Vertragsbedingungen, Widerrufsinformationen und abgegebenen Erklärungen. Bei Kündigung oder Widerruf speichern wir Identität, Kontaktadresse, Vertragsbezeichnung, Erklärung, Zugangszeitpunkt, Zustellstatus und Bearbeitungsstand. Dies dient der Vertragserfüllung und dem Nachweis rechtlich relevanter Vorgänge. Rechtsgrundlagen sind Art. 6 Abs. 1 Buchstabe b, c und f DSGVO.

Für Buchführung, Belegarchiv, Zahlungsabgleich und steuerliche Nachweise verwenden wir Lexware Office der Haufe Service Center GmbH, Munzinger Straße 9, 79111 Freiburg, als Auftragsverarbeiter. Hierfür werden erforderliche Rechnungs- und Kontaktdaten, Beleg- und Korrekturdaten, Zahlungen, Erstattungen, Stripe-Gebühren und Auszahlungszuordnungen verarbeitet. Bankzugänge werden nur dann unmittelbar bei Lexware eingegeben, wenn der Verantwortliche die optionale Bankverbindung ausdrücklich einrichtet. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe c DSGVO.

Bei einer Supportanfrage verarbeiten wir Kontaktdaten, Nachrichteninhalt und erforderliche technische Angaben zur Bearbeitung. Wenn ein Nutzer einen Chat meldet, wird dessen Inhalt erst nach der in der Anwendung angezeigten Freigabe für die Bearbeitung durch SixSentences_ zugänglich. Rechtsgrundlage ist Art. 6 Abs. 1 Buchstabe b oder f DSGVO.

Bei API Schlüsseln speichern wir nur eine kryptographische Prüfsumme sowie Bezeichnung, Berechtigungen und Nutzungsdaten. Webhooks werden an die vom Workspace festgelegte URL gesendet. Freigabelinks und Einladungen machen die jeweils ausgewählten Inhalte für die eingeladenen oder im Besitz des Links befindlichen Personen verfügbar. Der Workspace Verantwortliche entscheidet über Empfänger und Umfang und kann Freigaben widerrufen.

Empfänger oder Empfängerkategorien sind, soweit erforderlich:

• Hetzner für Hosting, Datenbank, Speicher und Warteschlangen,
• Backblaze für clientseitig verschlüsselte Wiederherstellungssicherungen in der Region EU Central,
• IONOS und der Empfänger-Mailprovider für die E-Mail-Zustellung,
• Stripe und dessen Dienstleister für Zahlung, Rechnung und Betrugsprävention,
• Haufe Service Center GmbH mit Lexware Office für Buchführung, Belegarchiv, Zahlungsabgleich und steuerliche Nachweise,
• OpenRouter, Google sowie der von OpenRouter dynamisch gewählte oder unmittelbar angesprochene Modellanbieter für die konkret ausgelöste KI-Funktion,
• OpenRouter und Perplexity Sonar für die ausdrücklich ausgelöste, minimierte optionale Live Websuche,
• wissenschaftliche Indizes, Repositorien und Webquellen für die ausgelöste Recherche,
• verbundene Integrationen wie Zotero auf ausdrückliche Aktion des Nutzers,
• Behörden, Gerichte und Berater, soweit eine gesetzliche Pflicht oder die Geltendmachung von Ansprüchen dies erfordert.

Personenbezogene Daten werden nicht verkauft.

Einige Anbieter können Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten. Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO besteht, verwenden wir geeignete Garantien nach Art. 46 DSGVO, insbesondere die Standardvertragsklauseln der Europäischen Kommission, und prüfen ergänzende Schutzmaßnahmen. Eine Kopie der für eine konkrete Übermittlung maßgeblichen Garantien kann über legal@sixsentences.com angefragt werden, soweit keine Rechte Dritter oder Geheimhaltungspflichten entgegenstehen.

• Konto und Workspace-Inhalte bestehen grundsätzlich bis zur Löschung durch den Nutzer oder zur Löschung des Kontos.
• Serverprotokolle werden in der Regel höchstens 14 Tage aufbewahrt.
• Wenn ein laufendes Gemini-Live-Interview die Sitzungsfortsetzung verwendet, kann Google den zugehörigen Gesprächszustand nach eigenen Angaben bis zu 24 Stunden speichern. Diese Frist ist von der anschließend gewählten Workspace-Aufbewahrung getrennt.
• Unabhängig davon protokolliert Google bei Paid Services Prompts und Antworten für einen begrenzten, von Google nicht genauer angegebenen Zeitraum zur Sicherheits- und Missbrauchserkennung und für erforderliche rechtliche oder regulatorische Offenlegungen. Diese Daten können vorübergehend oder als Cache weltweit an Standorten von Google oder seinen Beauftragten gespeichert werden.
• Gelöschte Inhalte können bis zum Ablauf der rotierenden, verschlüsselten Sicherungen noch technisch enthalten sein und werden dort nicht erneut produktiv verwendet. Die Rotation umfasst bis zu 14 tägliche, 8 wöchentliche und 12 monatliche Sicherungen.
• Rechnungen und Buchungsbelege werden regelmäßig acht Jahre nach § 147 AO aufbewahrt.
• Vertragsnachweise, Kündigungen, Widerrufe und zugehörige Kommunikation werden bis zum Ablauf der einschlägigen gesetzlichen Nachweis-, Verjährungs- und Aufbewahrungsfristen gespeichert.
• Meldungen möglicherweise rechtswidriger Inhalte und die Entscheidung werden für die Dauer der Prüfung und anschließend so lange gespeichert, wie dies für DSA-Dokumentation, mögliche Rechtsbehelfe, Rechtsverteidigung oder gesetzliche Pflichten erforderlich ist. Der schlüsselgebundene IP-Pseudonymwert trägt ein Ablaufdatum von 30 Tagen und wird danach aus dem Vorgang entfernt.
• Einwilligungsnachweise werden für die Dauer der Einwilligung und anschließend solange aufbewahrt, wie sie zur Rechtsverteidigung erforderlich sind.

Betroffene Personen haben nach Maßgabe der DSGVO das Recht auf:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch nach Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Soweit eine Verarbeitung auf Art. 6 Abs. 1 Buchstabe f DSGVO beruht, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir beenden die Verarbeitung, sofern keine zwingenden schutzwürdigen Gründe oder Gründe zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen überwiegen.

Anfragen können an legal@sixsentences.com gerichtet werden. Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns ist insbesondere der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, zuständig.

Die für Registrierung, Vertrag, Zahlung oder eine angeforderte Funktion als erforderlich gekennzeichneten Daten müssen bereitgestellt werden. Ohne sie können Konto, Vertrag oder Funktion nicht angeboten werden. Freiwillige Angaben sind entsprechend gekennzeichnet.

SixSentences_ trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über die nutzende Person im Sinne von Art. 22 DSGVO. Automatisches Screening bewertet wissenschaftliche Publikationen und keine Personen.

Der Dienst richtet sich an volljährige Studierende, Forschende und Organisationen und nicht an Kinder. Wir erheben nicht wissentlich Daten von Kindern für eigene Zwecke.

Diese Erklärung wird angepasst, wenn sich der Dienst, Empfänger oder die Rechtslage ändern. Die aktuelle Version und das Gültigkeitsdatum stehen am Anfang dieser Seite. Wesentliche Änderungen werden in der Anwendung oder per E-Mail angekündigt, soweit dies erforderlich ist.