← Zurück zur Startseite

Datenschutzerklärung

Stand: 5. November 2026 · Anfrage auch mit Idee statt Link

1. Verantwortlicher

Verantwortlich im Sinne der Datenschutz-Grundverordnung (DSGVO):

Ulrich Diedrichsen
Kippingstraße 27
20144 Hamburg
Deutschland
E-Mail: business@moinsen.dev

2. Geltungsbereich

Diese Erklärung gilt für feedbackcafe.app und app.feedbackcafe.app. Die App ist in einer geschlossenen Testphase für freigeschaltete Konten. Ohne Konto kannst du über das Formular eine Einschätzung anfragen; wir führen die Prüfung dann für dich in unserem Konto durch.

3. Welche Daten wir wofür verarbeiten

3.1 Besuch und Schutz vor Missbrauch

Cloudflare verarbeitet für Auslieferung und Sicherheit IP-Adresse, aufgerufene URL, HTTP-Methode, Zeitpunkt, Browser-/Geräteinformationen und gegebenenfalls den Referrer. Cloudflare kann dazu Sicherheitsprüfungen im Browser ausführen und Schutz-Cookies setzen (5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: unser Interesse an einem erreichbaren, stabilen und gegen Missbrauch geschützten Dienst.

Beim Kontaktformular verwenden wir einen aus der IP-Adresse berechneten Hash für die Ratenbegrenzung pro Minute. Er ist pseudonym und nicht anonym. Die Anwendung übernimmt ihn weder in die Kontaktmail noch in ihre Protokolle. Ein unsichtbares Köderfeld und der Zeitpunkt der Formularauslieferung dienen zusätzlich der Spam-Abwehr.

3.2 Anfrage über das Kontaktformular

Wir verarbeiten deine E-Mail-Adresse, den Link zur Seite oder die Beschreibung deiner Idee und gegebenenfalls weitere von dir mitgeschickte Angaben wie Name oder Nachricht. Die strukturierte Kontaktmail enthält außerdem den Zeitpunkt und die Fassung deiner KI-Einwilligung. Wir verwenden diese Angaben, um deine Anfrage zu bearbeiten, die Einschätzung zuzustellen und Rückfragen zu klären (Art. 6 Abs. 1 lit. b DSGVO). Du abonnierst damit keinen Newsletter; deine Adresse wird nicht für fremde Werbung weitergegeben.

Mit dem Häkchen willigst du in die angefragte KI-Prüfung und die Übermittlung der Seiteninhalte oder deiner Ideenbeschreibung an Anthropic in den USA ein (Art. 6 Abs. 1 lit. a DSGVO). Ohne dieses Häkchen führen wir die KI-Prüfung nicht aus. Du kannst die Einwilligung jederzeit für die Zukunft per Mail an business@moinsen.dev widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Für die Prüfung ruft die App die angegebene Seite und relevante verlinkte Unterseiten ab, zum Beispiel Impressum und Datenschutzerklärung. Diese Inhalte können selbst Namen, Kontaktdaten oder andere Angaben über Personen enthalten. Das E-Mail-Feld des Kontaktformulars wird nicht als solches an Anthropic übergeben; in der geprüften Website enthaltene Kontaktdaten können dagegen Teil der KI-Eingabe sein. Schickst du statt eines Links eine Beschreibung deiner Idee, geht dieser Text an Anthropic; eine Seite wird dann nicht abgerufen. Das Ergebnis speichern wir in unserem App-Konto; es wird nicht automatisch öffentlich.

Die Anfrage liegt im Postfach des Verantwortlichen. Wir bewahren sie für die Bearbeitung und mögliche Rückfragen auf, längstens 12 Monate nach abgeschlossener Konversation, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Bearbeitung und Löschung im Postfach erfolgen manuell. Die Aufbewahrung bei Versand- und KI-Anbietern ist davon getrennt (4).

3.3 Daten in der App

Eingereichte Inhalte, Profile, Texte, Bilder und UI-/UX-Aufnahmen werden je nach gewählter Prüfung an die Claude-API übermittelt. Für Website-Empfehlungen fließen aus menschlichem Feedback nur Aggregate ein, keine freien Antworten oder externen Antwort-/Auftragskennungen. Interne Quellen- und Befundkennungen dienen der Zuordnung. Auch der gespeicherte Website-Rahmen, Bearbeitungsstände, Begründungen und Nachweisverweise werden für eine angeforderte Website-Empfehlung an Anthropic übermittelt. Ein als Nachweis eingetragener Text oder Link ist damit Teil der KI-Eingabe; allein sein Eintragen lädt keine lokale Datei hoch. Ein Austausch mit TinyIdeas oder TesterPayKit erfolgt durch veranlasste Schnittstellenaufrufe, nicht durch eine automatische Synchronisierung sämtlicher Kontodaten.

Konten und Ergebnisse liegen in Cloudflare D1; Seitenmaterial, Post-Bilder und UI-/UX-Aufnahmen in Cloudflare R2. Job-Eingaben und Zwischenergebnisse werden zusätzlich durch Cloudflare Workflows verarbeitet und gespeichert. Zugriff haben die berechtigten Konten sowie der Verantwortliche für Betrieb und Support. Post-Bilder und UI-/UX-Aufnahmen sind über geschützte App-Routen erreichbar.

Rechtsgrundlage für die angefragte App-Leistung ist Art. 6 Abs. 1 lit. b DSGVO. Soweit öffentliche Seiten Angaben über andere Personen enthalten, dient ihre Verarbeitung der inhaltlichen Prüfung dieser Seite (Art. 6 Abs. 1 lit. f DSGVO; Interesse an der beauftragten Website-Analyse). Reiche nur Inhalte ein, die du hierfür verwenden darfst, und keine vertraulichen oder besonders sensiblen Personendaten. Eine Einwilligung des Auftraggebers ersetzt keine gegebenenfalls nötige Berechtigung für Daten anderer Personen. KI-Ergebnisse sind Einschätzungen, keine Entscheidungen mit rechtlicher Wirkung über Personen.

Anmeldung und Kontozugang

Für die Anmeldung speichern wir deine E-Mail-Adresse und eine Anmeldeanforderung und senden dir über Resend einen einmal verwendbaren Link. Er ist 15 Minuten gültig; eine angemeldete Sitzung höchstens 30 Tage. Diese Fristen begrenzen den Zugang, nicht die Speicherung sämtlicher Kontodaten. Abmelden beendet die betreffende Sitzung, löscht aber weder das Konto noch gespeicherte Prüfungen. Die Anmeldung allein startet keine KI-Prüfung und übermittelt deine Adresse nicht als KI-Eingabe an Anthropic.

Von dir verbundene KI-Clients

Wenn du einen persönlichen API-Token mit einem MCP-Client wie Claude Code verbindest, kann dieser die verfügbaren Werkzeuge in deinem Konto verwenden: etwa Prüfungen und Reports starten, Ergebnisse und menschliche Rückmeldungen lesen, Antworten oder Feedback-Importe speichern und Lese-Links erzeugen. Der Token ist nicht auf eine einzelne Prüfung oder reinen Lesezugriff begrenzt. Er gilt bis zum Widerruf unter „Konto“; dort siehst du Name, Erstellungszeit und letzte Nutzung. In unserer Datenbank speichern wir statt des API-Token-Klartexts einen Hash.

Die abgerufenen Inhalte gelangen an den verbundenen Client und können nach dessen Einstellungen auch durch seinen Anbieter verarbeitet werden. Dieser zusätzliche Datenweg unterscheidet sich von unserer eigenen Claude-API-Verarbeitung; die Bedingungen und Speicherfristen des gewählten Clients gelten gesondert. Gib Tokens nur an Clients, denen du diesen Zugriff erlauben möchtest. Ein Widerruf verhindert weitere Zugriffe mit diesem Token, entfernt aber keine bereits dorthin übertragenen Kopien oder erzeugten Lese-Links. Lese-Links kannst du separat zurückziehen.

3.4 Teilen und Löschen

Ein von dir erzeugter Lese-Link macht das betreffende Ergebnis für jeden mit diesem Link ohne Anmeldung lesbar. Er gilt höchstens 14 Tage und kann vorher unter „Konto“ zurückgezogen werden. Er zeigt den aktuellen Ergebnisstand, gegebenenfalls einschließlich später importierter menschlicher Freitexte. Prüfe diese vor dem Teilen auf persönliche Angaben und die Berechtigung zur Weitergabe. Bei einem geteilten UI-/UX-Ergebnis sind auch dessen Bildschirmaufnahmen sichtbar. Hochgeladene Post-Bilder werden über diese Lese-Links nicht freigegeben. Die Seiten sind mit noindex gekennzeichnet; dies verhindert nicht, dass Empfänger Inhalte kopieren oder den Link weitergeben.

App-Inhalte bleiben für deine Prüfungshistorie gespeichert, bis du sie in der App löschst oder ihre Löschung per Mail verlangst. Beim Löschen von Prüfungen beziehungsweise Absender-Profilen werden die zugeordneten Ergebnisse, Dateien und Teil-Links entfernt. Bekannte wartende oder laufende Prüfungen müssen zuvor enden; die App weist dann auf die noch nicht erfolgte Löschung hin. Die zu einer gelöschten Prüfung gehörenden Befundnotizen werden ebenfalls entfernt. Beim Löschen einzelner Prüfungen bleibt ein separat gespeicherter Website-Rahmen erhalten. Du kannst ihn durch Leeren und Speichern des Rahmenfelds oder zusammen mit allen Daten der Website entfernen. Für Kontolöschung oder verbliebene Daten aus Fehlerfällen wende dich bitte an die Adresse unter 1.

Eine Löschung in der App löscht nicht sofort Sicherungskopien oder die gesonderte Workflow-Historie des Anbieters. Cloudflare beschreibt je Tarif bis zu 30 Tage Wiederherstellungszeit für D1 und bis zu 30 Tage Aufbewahrung beendeter Workflow-Instanzen. Technische Worker-Protokolle werden je Tarif bis zu 7 Tage aufbewahrt. D1-Sicherungen, Workflow-Aufbewahrung, Worker-Protokolle.

4. Dienstleister und Verarbeitung außerhalb der EU

Wir setzen die folgenden Dienstleister ein. Die verlinkten Anbieterunterlagen beschreiben ihre Datenschutz- und Transferregelungen. Die Nutzung ist nicht auf eine Verarbeitung innerhalb der EU beschränkt.

4.1 Cloudflare

Cloudflare, Inc., USA, übernimmt Hosting, Auslieferung, Sicherheitsfunktionen, Datenbank, Dateispeicherung und Hintergrundläufe. D1 und R2 liegen derzeit in der Region Westeuropa (WEUR). Das ist keine Garantie einer ausschließlich europäischen Speicherung oder Verarbeitung; insbesondere das Worker-Netz und weitere Dienste arbeiten global. Auftragsverarbeitung und Transferregelungen, Datenschutzhinweise.

4.2 Resend

Resend, Inc., USA, versendet Kontaktmails und Anmeldelinks. Dazu erhält Resend Empfänger, Absender, gegebenenfalls Antwortadresse, Betreff und Mailinhalt sowie technische Versanddaten. Resend verarbeitet diese für Versand, Zustellung und Missbrauchsschutz und speichert Kundendaten in den USA. Laut Anbieter werden E-Mails und Versandprotokolle in den Standardtarifen 30 Tage gespeichert; abweichende Enterprise-Vereinbarungen sind möglich. Datenschutz, Aufbewahrung und Vertragsgrundlagen bei Resend.

4.3 Anthropic

Anthropic, PBC, USA, verarbeitet die in 3 genannten KI-Eingaben und erzeugt die Auswertungen. Für die kommerzielle API verwendet Anthropic Eingaben und Ausgaben nach seinen Standardbedingungen nicht zum Modelltraining, sofern keine gesonderte Freigabe erfolgt. Feedback-Café übermittelt keine Trainingsfreigabe. Laut Anbieter werden API-Eingaben und -Ausgaben regulär innerhalb von 30 Tagen gelöscht; Ausnahmen gelten unter anderem für Missbrauchsprüfung, gesetzliche Pflichten oder abweichende Vereinbarungen. Eine Zusage sofortiger Löschung oder ausschließlich europäischer Verarbeitung geben wir nicht. Auftragsverarbeitung und Standardvertragsklauseln, Aufbewahrung, Modelltraining.

4.4 Persönliche Korrespondenz: Google und Spark

Für persönliche Antworten auf Anfragen und Support verwenden wir ein Google-Mailpostfach und die Mailanwendung Spark (Spark Mail Limited, Irland). Dabei werden Absender, Empfänger, Betreff, Inhalt und gegebenenfalls Anhänge für den Empfang, die Bearbeitung und die Antwort verarbeitet. Dieser Weg ergänzt den automatischen Versand über Resend. Die manuelle Aufbewahrungs- und Löschregel aus 3.2 gilt auch für diese Korrespondenz.

Google und Spark können Daten auch außerhalb der EU verarbeiten. Spark beschreibt je verwendeter Funktion eine Verarbeitung auf dem Gerät und in eigenen Systemen sowie Speicherung im EWR und in den USA. Anbieterfristen und Sicherungskopien können von der Löschung im Postfach abweichen. Einzelheiten zu Verarbeitung und Transferregelungen: Google und Spark.

4.5 Keine Werbe- oder Reichweitenanalyse

Wir setzen keine Werbe-Pixel oder Dienste zur nutzerübergreifenden Reichweitenanalyse ein. Technische Betriebs- und Missbrauchsprüfungen der genannten Dienstleister bleiben davon unberührt.

5. Cookies und technischer Browserspeicher

Aktiviert sind Cloudflares Bot Fight Mode mit JavaScript-Prüfungen und die Prüfung der Browser-Integrität. Die Einstellung „Challenge Passage“ beträgt derzeit 30 Minuten: Sie begrenzt die Freigabe nach einer bestandenen Sicherheitsabfrage, nicht pauschal die Speicherfrist des Cookies. Ergebnisse zusätzlicher JavaScript-Prüfungen können darin ebenfalls enthalten sein. Die genannten App-Cookies sind auf den App-Host begrenzt, nur über HTTPS übertragbar und nicht durch Seitenskripte lesbar (Secure und HttpOnly); SameSite=Lax begrenzt ihre Übermittlung bei Seitenwechseln.

Die App nutzt außerdem den tabbezogenen Sitzungsspeicher deines Browsers (sessionStorage) für technische Navigation und Wiederherstellung, etwa Scrollpositionen und die Zuordnung von Verlaufseinträgen. Die Einträge heißen sveltekit:history-info, sveltekit:snapshot und sveltekit:navigation-snapshot. Sie gehören zur jeweiligen Tabsitzung; Neuladen löscht sie nicht. Beim Beenden der Tabsitzung werden sie normalerweise entfernt, eine Browser-Wiederherstellung kann die Sitzung fortsetzen.

Diese Cookies und Sitzungsspeicher dienen Anmeldung, Navigation und Schutz vor Missbrauch, nicht Werbetracking. Der Zugriff auf das Endgerät erfolgt für die erforderlichen Funktionen auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Datenverarbeitung für die App-Leistung nach Art. 6 Abs. 1 lit. b, für die Sicherheit nach Art. 6 Abs. 1 lit. f DSGVO. Cloudflare-Cookies im Einzelnen.

6. Deine Rechte

Nach Maßgabe der DSGVO hast du Rechte auf:

Anfragen und Widerruf bitte an business@moinsen.dev.

7. Sicherheit und Änderungen

Website und App verwenden HTTPS. Inhalte sind durch Kontozugriff geschützt, soweit du sie nicht selbst über einen Lese-Link freigibst. Wenn sich Datenwege oder Dienste ändern, passen wir diese Erklärung an. Die aktuelle Fassung steht auf dieser Seite.