Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung der Daten registrierter Nutzerinnen und Nutzer sowie der Besucher dieser Website ist:

• E-Mail: datenschutz@ghost-writer.de
• Weitere Angaben: siehe Impressum

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen nach Art. 37 DSGVO i. V. m. § 38 BDSG nicht vorliegen. Datenschutzanfragen richten Sie bitte an die vorstehende E-Mail-Adresse.

• Datenminimierung: Es werden nur die Daten verarbeitet, die für den Betrieb des Dienstes erforderlich sind.
• Kein Verkauf von Daten: Personenbezogene Daten werden weder verkauft noch zu Werbezwecken an Dritte weitergegeben.
• Kein Tracking: Es werden keine Analyse-, Werbe- oder Social-Media-Tracker eingesetzt. Es gibt keine Cookie-Banner, weil keine einwilligungspflichtigen Cookies gesetzt werden.
• Kein KI-Training: Ihre Inhalte werden nicht zum Training eigener KI-Modelle verwendet.

Der Dienst wird bei folgendem Anbieter betrieben: Vercel Inc. (Frontend), Railway Corp. (Backend/Datenbank). Mit dem Anbieter besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die Server befinden sich in der Europäischen Union.

Bei jedem Aufruf werden vom Server automatisch Zugriffsdaten in Logfiles erfasst:

• IP-Adresse des anfragenden Geräts — ausschließlich gekürzt (siehe unten)
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL und HTTP-Statuscode
• übertragene Datenmenge
• Referrer-URL sowie Browser- und Betriebssystemkennung

Zweck: Auslieferung der Website, Gewährleistung von Systemsicherheit und Stabilität, Abwehr und Aufklärung von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und störungsfreien Betrieb). Speicherdauer: 7 Tage; die Logdateien werden anschließend automatisch rotiert und gelöscht. Bei sicherheitsrelevanten Vorfällen werden betroffene Einträge bis zur abschließenden Klärung aufbewahrt.

IP-Adressen werden vor dem Schreiben in die Protokolldatei automatisch gekürzt: Bei IPv4 wird das letzte Oktett auf Null gesetzt (203.0.113.42 wird zu 203.0.113.0), bei IPv6 werden die letzten 80 Bit entfernt. Eine Zuordnung zu einer bestimmten Person ist dadurch nicht mehr möglich.

Es werden keine Tracking- oder Marketing-Cookies eingesetzt. Zur Aufrechterhaltung Ihrer Anmeldung wird der Local Storage Ihres Browsers genutzt, um Ihr Zugangstoken und Ihre Basis-Kontodaten zu speichern. Wenn Sie sich mit Google anmelden oder ein Instagram-Konto verbinden, setzen wir zusätzlich für höchstens 10 Minuten ein technisch notwendiges Cookie (gw_oauth_nonce). Es enthält nur eine Zufallszahl, mit der wir prüfen, dass der Vorgang in demselben Browser abgeschlossen wird, in dem er begonnen wurde, und wird danach gelöscht.

Diese Speicherung ist unbedingt erforderlich, damit der von Ihnen ausdrücklich gewünschte Dienst (die angemeldete Sitzung) bereitgestellt werden kann. Sie ist daher nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Beim Abmelden werden diese Einträge gelöscht. Das Cookie gw_oauth_nonce wird nach Abschluss des Vorgangs gelöscht, spätestens nach 10 Minuten.

Für die Nutzung ist ein Konto erforderlich. Dabei werden verarbeitet:

Die Angabe dieser Daten ist zur Vertragserfüllung erforderlich. Ohne sie kann kein Konto bereitgestellt werden. Speicherdauer: bis zur Löschung des Kontos (siehe Abschnitt 11).

Anmeldung mit Google. Statt eines Passworts können Sie sich über Google anmelden. Sie werden dazu an Google weitergeleitet, das in diesem Schritt eigenständig verantwortlich ist. Wir erhalten Ihre Google-Kennung, Ihre bestätigte E-Mail-Adresse und Ihren Namen. Wir speichern, dass Sie sich mit Google anmelden, sowie Zeitpunkt der Verknüpfung und der letzten Anmeldung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Kontos.

Wenn Sie ein Instagram-Konto verbinden, werden Sie zur Anmeldung an Meta weitergeleitet (OAuth). Meta ist in diesem Schritt eigenständig verantwortlich; es gelten die Datenschutzbestimmungen von Meta. Nach erfolgreicher Verbindung speichern wir:

• Instagram-Konto-ID und Benutzername
• ggf. zugehörige Facebook-Seiten-ID
• ein Zugriffstoken (Access Token) samt Ablaufzeitpunkt
• Verbindungsstatus und Zeitstempel

Zweck: Empfang von Direktnachrichten über die Meta-Webhooks und Versand der Antworten in Ihrem Namen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Sie können die Verbindung jederzeit in den Einstellungen trennen; das Token wird dann gelöscht. Widerrufen Sie die Berechtigung zusätzlich in Ihren Instagram-Einstellungen, wird das Token darüber hinaus bei Meta ungültig.

Verarbeitet werden dabei: die Instagram-ID und der Benutzername Ihres Kontakts, der Inhalt eingehender und ausgehender Nachrichten, Zeitstempel, Zustellstatus sowie der Status der Konversation.

Zweck: Anzeige der Konversationen im Posteingang, Erzeugung kontextbezogener Antwortvorschläge, Ausführung Ihrer Auto-Reply-Regeln. Rechtsgrundlage im Verhältnis zu uns: Art. 6 Abs. 1 lit. b DSGVO i. V. m. Art. 28 DSGVO. Für welche Rechtsgrundlage die Verarbeitung gegenüber Ihren Kontakten trägt, sind Sie verantwortlich.

Mit der Annahme der Nutzungsbedingungen schließen Sie zugleich die dort in Ziffer 10 enthaltene Vereinbarung zur Auftragsverarbeitung. Sie regelt unsere Weisungsbindung, die Vertraulichkeit, technische und organisatorische Maßnahmen, den Einsatz von Unterauftragsverarbeitern sowie Löschung und Rückgabe der Daten.

Zur Erzeugung von Antwortvorschlägen werden der Nachrichtenverlauf sowie passende Einträge Ihrer Wissensdatenbank an einen KI-Anbieter übermittelt. Standardanbieter ist OpenAI, L.L.C., USA bzw. OpenAI Ireland Ltd.

• Bring your own key: In der Regel hinterlegen Sie Ihren eigenen OpenAI-API-Schlüssel. Die Anfragen laufen dann über Ihren eigenen Vertrag mit OpenAI; wir speichern den Schlüssel ausschließlich verschlüsselt.
• Drittlandtransfer: Eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO bzw. — soweit der Anbieter zertifiziert ist — auf Grundlage des EU-US Data Privacy Framework nach Art. 45 DSGVO.
• Keine Trainingsnutzung: Über die API übermittelte Inhalte werden nach den Bedingungen des Anbieters nicht zum Training seiner Modelle verwendet.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; die Übermittlung erfolgt auf Ihre Weisung im Rahmen der Auftragsverarbeitung.

Zusätzlich werden Einträge Ihrer Wissensdatenbank in Vektordarstellungen (Embeddings) umgewandelt, um relevante Passagen auffinden zu können. Auch hierfür wird der genannte KI-Anbieter eingesetzt.

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne des Art. 22 DSGVO findet nicht statt. Automatisch versendete Antworten sind Kommunikationsinhalte, keine Entscheidungen über betroffene Personen.

Von Ihnen hinterlegte Inhalte (Wissensdatenbank-Einträge, Geschäftskontext, Website-Adresse, Auto-Reply-Regeln, gewähltes KI-Modell) werden gespeichert, um Antworten erzeugen zu können. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Bitte hinterlegen Sie dort keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (z. B. Gesundheitsdaten).

Ihr OpenAI-API-Schlüssel wird verschlüsselt gespeichert und niemals im Klartext angezeigt oder exportiert.

Eine darüber hinausgehende Weitergabe erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind oder dies zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.

Die vorstehenden Fristen werden technisch durchgesetzt: Ein automatischer Prozess löscht abgelaufene Webhook-Ereignisprotokolle täglich, die Server-Logdateien werden täglich rotiert und nach sieben Tagen entfernt.

Die Löschung Ihres Kontos können Sie jederzeit selbst unter Einstellungen → Datenschutz auslösen. Sie wirkt sofort und ist unwiderruflich; alle zugehörigen Datensätze werden dabei endgültig entfernt.

Da Sie hinsichtlich der Daten Ihrer Kontakte selbst Verantwortlicher sind, obliegt Ihnen insbesondere:

1. Ihre Kontakte gemäß Art. 13/14 DSGVO darüber zu informieren, dass Nachrichten mit KI-Unterstützung bearbeitet und beantwortet werden, und die Rechtsgrundlage dafür zu bestimmen.
2. Anfragen betroffener Personen (Auskunft, Löschung, Widerspruch) zu beantworten. Wir unterstützen Sie dabei nach Art. 28 Abs. 3 lit. e DSGVO — löschen Sie die betreffende Konversation im Posteingang oder wenden Sie sich an datenschutz@ghost-writer.de.
3. Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO zu führen, soweit Sie dazu verpflichtet sind.
4. Die Nutzungsbedingungen und Richtlinien von Meta/Instagram einzuhalten.

Ihnen stehen gegenüber dem Verantwortlichen folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten wir zu Ihnen verarbeiten
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — „Recht auf Vergessenwerden“
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) — Herausgabe in maschinenlesbarem Format
• Widerspruch (Art. 21 DSGVO) — gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO) — mit Wirkung für die Zukunft

Auskunft und Datenübertragbarkeit können Sie jederzeit selbst ausüben: unter Einstellungen → Datenschutz erhalten Sie einen vollständigen Export Ihrer Daten als JSON-Datei. Für alle übrigen Rechte genügt eine formlose Nachricht an datenschutz@ghost-writer.de.

Unabhängig davon steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Zuständig ist: .... Eine Übersicht aller Behörden finden Sie hier.

• Übertragung ausschließlich TLS-verschlüsselt (HTTPS)
• Passwörter werden ausschließlich als Hash gespeichert und sind nicht rückrechenbar
• API-Schlüssel werden verschlüsselt at rest abgelegt
• Zugriff auf Produktionsdaten ist auf den Betreiber beschränkt und erfolgt nur, soweit für Betrieb und Fehlerbehebung erforderlich
• Zugangstoken sind zeitlich befristet

Trotz sorgfältiger Maßnahmen kann kein Online-Dienst absolute Sicherheit gewährleisten. Im Fall einer Verletzung des Schutzes personenbezogener Daten informieren wir die zuständige Aufsichtsbehörde nach Art. 33 DSGVO und, bei hohem Risiko, die betroffenen Personen nach Art. 34 DSGVO.

Diese Erklärung wird angepasst, wenn sich der Dienst oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung. Bei wesentlichen Änderungen informieren wir registrierte Nutzerinnen und Nutzer zusätzlich per E-Mail. Stand: 13. Oktober 2026.