Datenschutzerklärung

1. Verantwortlicher

2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht zu bestellen. Die gesetzlichen Voraussetzungen nach § 38 Abs. 1 BDSG (regelmäßig mindestens 20 Personen, die mit der automatisierten Verarbeitung beschäftigt sind) liegen nicht vor; eine dokumentierte Vorabbewertung nach Art. 35 DSGVO hat zudem keinen Schwellenwert-überschreitenden Risikobefund ergeben. Beide Grundlagen werden bei jeder Änderung der Mitarbeiterzahl oder des Produktumfangs neu bewertet und intern gemäß der Rechenschaftspflicht nach Art. 24 DSGVO dokumentiert.

3. Zwecke und Rechtsgrundlagen der Verarbeitung

• Kontoerstellung, Login, Session-Management: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Erstellung der von Ihnen angeforderten Analyse zu einem Steam-Spiel (Sie geben eine App-ID ein, wir liefern eine SWOT): Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
• Abruf der Steam Web API: Dabei werden personenbezogene Daten der Rezensions-Autoren und Spiel-Metadaten verarbeitet, nicht die personenbezogenen Daten der anfragenden Nutzerin/des Nutzers. Das Verhältnis zur Valve Corporation ist eine separate Verantwortlichkeit, die nicht über uns vermittelt wird.
• Rate-Limiting pro IP: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchs- und Abuse-Schutz). Die Interessenabwägung ist intern dokumentiert (Erforderlichkeit: ja; Datenminimierung: nur IP-Adresse und Zeitstempel; Eingriffsintensität: gering; keine entgegenstehenden Betroffeneninteressen erkennbar).
• Optionaler Google-OAuth-Login: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) bei Auswahl des Anmeldewegs; nach Kontoanlage Art. 6 Abs. 1 lit. b DSGVO.
• Zahlungs- und Abonnementabwicklung (Stripe): Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Abonnementvertrags). Zur Entgegennahme von Zahlungen, zur Verwaltung des Abonnements, zur Abwicklung von Verlängerungen und Kündigungen sowie zur Erfüllung steuer- und handelsrechtlicher Pflichten verarbeiten wir Abrechnungsdaten über Stripe (siehe Nr. 5). Die Aufbewahrung von Rechnungs-/Buchhaltungsunterlagen richtet sich nach den gesetzlichen Aufbewahrungsfristen (Art. 6 Abs. 1 lit. c DSGVO).
• Transaktions-E-Mails (Resend): Art. 6 Abs. 1 lit. b DSGVO: z. B. Registrierungsbestätigung und Passwort-Zurücksetzungs-E-Mails, die zur Vertragserfüllung und zum Betrieb des Kontos erforderlich sind. Rein werbliche / Marketing-E-Mails werden ausschließlich mit Ihrer gesonderten Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO versandt und können jederzeit über den Abmeldelink widerrufen werden.
• Server-Logs (Railway): Art. 6 Abs. 1 lit. f DSGVO (Sicherheit/Abwehr von Angriffen), Speicherdauer max. 14 Tage.
• Interne Nutzungs- und Kostenmessung der KI: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kostenkontrolle, Kapazitätsplanung und Missbrauchsabwehr) sowie Art. 6 Abs. 1 lit. b DSGVO, soweit dies der Durchsetzung der Nutzungskontingente Ihres Tarifs dient. Für jede KI-Generierung erfassen wir die Anzahl der Eingabe-/Ausgabe-Token, das verwendete Modell und den Anbieter, die Art der Generierung (z. B. Analyse, Research Lab, Review-Werkzeuge), die Dauer sowie das anfragende Konto. Die Interessenabwägung ist intern dokumentiert (Erforderlichkeit: ja; Datenminimierung: nur Token-Zahlen und Kennungen, keine Prompt- oder Review-Inhalte; geringe Eingriffsintensität; nicht durch Betroffenenrechte überwogen).
• Aktivitätsanzeige („zuletzt aktiv“): Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb und an der Sicherheit des Dienstes). Wir speichern den Zeitpunkt Ihrer zuletzt aktiven Sitzung.

4. Kategorien personenbezogener Daten

• E-Mail-Adresse und gehashter Passwort-Hash (bcrypt)
• IP-Adresse (nur im Rahmen kurzfristiger Rate-Limit-Fenster und Server-Logs)
• Analyse-Historie (von Ihnen ausgelöste Analysen)
• Favoriten
• Research-Lab-Datensätze (Pro-Funktion)
• OAuth-Profildaten, sofern Sie sich über Google anmelden
• Zahlungs-/Abrechnungsdaten für kostenpflichtige Abonnements: Stripe-Kunden-ID, Abonnementstatus und Tarif, Abrechnungsintervall, Zeitraums- und Testphasen-Daten sowie Abrechnungs-Metadaten. Wir speichern Stripe-Kennungen und den Abonnementstatus; vollständige Kartennummern werden von uns nicht gespeichert; die Kartendaten werden direkt von Stripe verarbeitet (siehe Nr. 5). Die im Checkout eingegebene Rechnungsadresse und eine etwaige USt-IdNr. werden von Stripe zur Rechnungsstellung verarbeitet.
• E-Mail-Adresse und Nachrichten-Metadaten für über Resend versandte Transaktions- (und mit Einwilligung Marketing-) E-Mails
• KI-Nutzungsdatensätze: pro Generierung Token-Zahlen, Modell/Anbieter, Art der Generierung, Dauer und das anfragende Konto; Prompt- oder Review-Texte werden in diesen Datensätzen nicht gespeichert
• Zeitpunkt Ihrer zuletzt aktiven Sitzung („zuletzt aktiv“)

5. Empfänger / Auftragsverarbeiter (Art. 28 DSGVO)

• Railway Corp.: Hosting und PostgreSQL (EU-Region)
• Anthropic PBC: Claude-API für die Analyse-Erstellung
• OpenAI OpCo LLC: GPT-API für die Analyse-Erstellung
• Google LLC: Gemini-API sowie optionaler OAuth-Login
• Stripe Payments Europe, Limited (Irland): Zahlungs- und Abonnementabwicklung; die Vertragspartnerin für Händler im EU-Raum. Stripe, Inc. (USA) wird als Unterauftragsverarbeiter tätig. Zweck: Entgegennahme von Zahlungen, Verwaltung von Abonnements, Verlängerungen, Kündigungen und Rechnungsstellung. Wir übermitteln Stripe die zur Abrechnung erforderlichen Daten (z. B. E-Mail-Adresse, im Checkout eingegebene Rechnungsadresse und USt-IdNr.); Ihre vollständigen Kartendaten geben Sie direkt bei Stripe ein und gehen uns nicht zu.
• Resend, Inc. (USA): Versand von Transaktions- und (mit Einwilligung) Marketing-E-Mails über die EU-Absenderdomain mail.critmap.com. Zweck: Zustellung von Konto- und Service-E-Mails; verarbeitet werden die Empfänger-E-Mail-Adresse und Nachrichten-Metadaten.

Mit allen Auftragsverarbeitern werden Verträge nach Art. 28 DSGVO abgeschlossen.

6. Drittlandübertragung (Art. 44 ff. DSGVO)

Die genannten KI-Anbieter, Google, Resend, Inc. (USA) sowie Stripe, Inc. (USA, Unterauftragsverarbeiterin der irischen Stripe Payments Europe, Limited) sind in den USA ansässig bzw. übermitteln Daten in die USA. Als Übertragungsmechanismen kommen das EU-US-Data-Privacy-Framework (DPF), Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 sowie die jeweils veröffentlichten Auftragsverarbeitungs-Bedingungen der Anbieter zum Einsatz; die konkret einschlägige Grundlage richtet sich nach dem aktuell zertifizierten Status des jeweiligen Empfängers und wird unternehmensintern je Empfänger geführt. Eine Kopie der Garantien können Sie unter den oben genannten Kontaktdaten anfordern.

7. Speicherdauer

• Kontodaten: bis zur Löschung des Kontos. Sie können Ihr Konto jederzeit über Dashboard → Einstellungen → Konto löschen selbst entfernen.
• Analyse-Historie: für die Dauer des aktiven Kontos; wird mit der Konto-Löschung entfernt.
• Rate-Limit-Daten: werden best-effort beim nächsten Zugriff nach Ablauf der Fensterdauer entfernt, typischerweise innerhalb einer Stunde.
• Server-Logs: max. 14 Tage zur Abwehr von Angriffen.
• Backups: Postgres-Backups bei Railway laufen in einem Zyklus von bis zu 30 Tagen, in dem gelöschte Datensätze noch enthalten sein können. Eine sofortige Löschung aus dem unveränderlichen Backup-Medium ist im Sinne des Art. 17 Abs. 3 lit. b DSGVO mit unverhältnismäßigem Aufwand verbunden; die endgültige Löschung erfolgt durch den regulären Backup-Zyklus.
• Zahlungs-/Abrechnungsdaten: Die Stripe-Kunden-ID und der Abonnementstatus werden gespeichert, solange Sie ein Abonnement haben oder hatten; bei Löschung Ihres Kontos wird die Verknüpfung zu Ihrem Konto entfernt, während Stripe die zur Erfüllung eigener gesetzlicher Pflichten erforderlichen Daten als eigenständige(r) Verantwortliche(r)/Verarbeiter weiterhin vorhält. Rechnungs- und Buchhaltungsunterlagen werden für die gesetzlichen Aufbewahrungsfristen nach deutschem Handels- und Steuerrecht aufbewahrt (in der Regel bis zu 10 Jahre, § 257 HGB / § 147 AO).
• Transaktions-E-Mails: Nachrichten-Metadaten bei Resend werden gemäß den dortigen Default-Vorgaben gespeichert; die zugrunde liegende E-Mail-Adresse wird mit Ihrem Konto vorgehalten (siehe Kontodaten oben).
• pg-boss-Jobzeilen (Hintergrund-Jobs der Research Lab): werden nach Abschluss bzw. Fehlschlag durch den eigenen Retention-Mechanismus von pg-boss entfernt. Offene Jobs werden bei Konto-Löschung freigegeben und laufen kontrolliert leer.
• KI-Nutzungsdatensätze: werden bis zu 18 Monate in personenbezogener Form aufbewahrt und danach anonymisiert (die Verknüpfung mit Ihrem Konto wird entfernt), sodass nur aggregierte Kostenstatistiken verbleiben. Bei Löschung Ihres Kontos wird die Verknüpfung mit Ihrem Konto aus noch nicht anonymisierten Datensätzen entfernt.
• Zeitstempel „zuletzt aktiv“: wird gespeichert, solange Ihr Konto aktiv ist; bei Löschung des Kontos entfernt.

8. Betroffenenrechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17, auch unmittelbar selbst über die Konto-Löschfunktion), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Erteilte Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden.

9. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben gemäß Art. 77 Abs. 1 DSGVO das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, insbesondere bei der Aufsichtsbehörde Ihres Mitgliedstaats, Ihres Wohnsitzes oder Ihres Arbeitsplatzes. Für den Sitz des Verantwortlichen zuständig ist:

9a. Keine ausschließlich automatisierte Entscheidung im Einzelfall (Art. 22 DSGVO)

Die durch CritMap erzeugten KI-Analysen entfalten keine rechtliche Wirkung gegenüber dem Nutzer i.S.d. Art. 22 Abs. 1 DSGVO; ein darauf gestütztes ausschließlich automatisiertes Entscheidungsverfahren findet nicht statt.

10. Cookies und lokale Speicherung

• Session-Cookie (next-auth.session-token, HttpOnly, SameSite=Lax): unbedingt erforderlich nach § 25 Abs. 2 Nr. 2 TDDDG. Ohne dieses Cookie können Sie den von Ihnen angefragten Dienst nach dem Login nicht nutzen. Eine Einwilligung ist daher nicht erforderlich.
• Theme-Einstellung im localStorage (critmap-theme-style, critmap-color-mode): funktionale Präferenz, die Sie durch sichtbare Auswahl gesetzt haben. Die Daten verbleiben ausschließlich auf Ihrem Endgerät und werden nicht übertragen.
• Modell- und Analyse-Komfortpräferenzen im localStorage (z. B. critmap.selectedModel.v1): funktionale Präferenzen; der Dienst funktioniert auch ohne diese Speicherung. Die Daten verbleiben ausschließlich auf Ihrem Endgerät. Eine Migration in eine serverseitige Nutzerpräferenz (Art. 6 Abs. 1 lit. b DSGVO) für eingeloggte Nutzer ist als Folgeaufgabe vorgesehen.
• Serverseitige Rate-Limit-Fenster: siehe Speicherdauer oben.

11. Caching von Analyse-Ergebnissen

CritMap cached die KI-generierten Analyse-Ergebnisse je Steam-Spiel über einen Schlüssel aus (App-ID, Modell, Pro Insights, Deep-Analyse, Scope-Signatur). Dies umfasst die kanonische SWOT sowie davon abgeleitete Ansichten, darunter Edges (Ausreißer-Rezensionen + kontroverse Themen), die aus derselben Analyse berechnet und zusammen mit ihr zwischengespeichert werden. Wenn eine andere Nutzerin/ein anderer Nutzer mit denselben Einstellungen dieselbe Spiel-Analyse anfragt, erhalten Sie das gleiche zwischengespeicherte Ergebnis. Eingabe sind die öffentlichen Steam-Rezensionen; die Ausgabe enthält keine personenbezogenen Daten der anfragenden Nutzerin/des Nutzers. Ihre Identität als anfragende Nutzerin/Nutzer wird ausschließlich in Ihrer privaten Analyse-Historie gespeichert.

Öffentliche Anzeige (Standard): Standardmäßig kann die SWOT-Ausgabe zu einem von Ihnen analysierten Spiel öffentlich in unserem Schaufenster auf der Startseite angezeigt werden (Karussell der neuesten Analysen sowie hervorgehobene Plätze). Angezeigt werden das Spiel und seine Analyse, nicht Ihre Identität. In den kostenpflichtigen Tarifen (Indie und höher) können Sie dies für alle Ihre Analysen über die Einstellung „Private Recherche“ in Ihrem Dashboard deaktivieren; bereits angezeigte Analysen werden dann von der Startseite zurückgezogen. Bei Löschung Ihres Kontos werden Ihre Analysen von Ihrem Konto getrennt und von der öffentlichen Startseite entfernt.

12. Server-Logs

Bei jedem Zugriff auf unsere Webseite werden durch unseren Hosting-Anbieter Railway technische Zugriffsdaten (insbesondere IP-Adresse, Zeitpunkt, URL, User-Agent) in Server-Logs erfasst und gemäß den dortigen Default-Vorgaben gespeichert; die Daten werden nicht zur Profilbildung verwendet.

13. Sicherheit

Die Kommunikation mit unserer Plattform erfolgt durchgängig TLS-verschlüsselt. Passwörter werden ausschließlich als bcrypt-Hash gespeichert. Sessions werden als signierte JWTs verwaltet; bei jedem Refresh wird gegen die Datenbank geprüft, ob der zugehörige Nutzer noch existiert, sodass nach einer Konto-Löschung verbliebene Sitzungs-Cookies unverzüglich entwertet werden.

14. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie aktuell geltenden rechtlichen Anforderungen oder Änderungen unserer Leistungen anzupassen. Die jeweils gültige Version ist unter dieser URL abrufbar.