Datenschutzerklärung

Verantwortlicher

Rollen bei Interviews

Der Founder ist Verantwortlicher gegenüber den Befragten: Er wählt die Personen aus, versendet den Link und entscheidet, wofür die Antworten in seinem Projekt genutzt werden.

Lolax handelt bei Speicherung, Anzeige und KI-Auswertung der Interviewantworten als Auftragsverarbeiter des Founders (Art. 28 DSGVO), soweit das für den Betrieb der Plattform erforderlich ist. Befragte können sich an den Founder oder an uns wenden.

Grundsätze

Personenbezogene Daten werden nur verarbeitet, soweit das für den Betrieb des Workspace erforderlich ist. Es werden keine Website-Analyse-Tools (z. B. Google Analytics) eingesetzt.

Konto und Workspace

• E-Mail-Adresse (Pflicht zur Anmeldung)
• Anzeigename und Founder-Stage (optional)
• Projekte, Research Briefs, Chatverläufe
• Zeitstempel und Nutzungsmetadaten

Speicherung in PostgreSQL 18 auf unserem Server bei hosting.de (united-domains AG, Gautinger Straße 10, 82319 Starnberg) in Deutschland.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. f DSGVO (stabiler Betrieb).

Anmeldung und E-Mail (Auth.js / AhaSend)

Anmeldung passwortlos per Magic Link von customs@auth.lolax.dev über AhaSend B.V. (Willem Fenengastraat 16, 1096 BN Amsterdam, Niederlande). Verarbeitung und Versand in der EU. AVV nach Art. 28 DSGVO (ahasend.com/dpa). Keine Übermittlung in die USA für den E-Mail-Versand.

Click-Tracking und Open-Tracking sind deaktiviert. Links in Login-Mails werden nicht über eine Tracking-Domain umgeschrieben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Anmeldung).

Befragten-Interviews

Founder können tokenbasierte Interview-Links versenden. Befragte antworten über den Link; Name und E-Mail der befragten Person speichern wir nicht. Antworten hängen am Projekt des Founders.

Rechtsgrundlage gegenüber Befragten: Art. 6 Abs. 1 lit. f DSGVO (evidenzbasierte Produktforschung des Founders). Hinweis auf der Interviewseite. Der Founder bleibt für die Einladung verantwortlich.

Generative KI (Google Gemini)

Für Briefs, Fragen, Zusammenfassungen und Workspace-Nachrichten senden wir den relevanten Projektkontext an Google Ireland Ltd. / Google LLC (Gemini API). Das kann Projekttext, Chat und Interviewtranskripte umfassen. KI-Inhalte werden als solche gekennzeichnet (AI Act Art. 50). Google LLC: EU-US Data Privacy Framework und SCCs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Hosting (hosting.de)

VPS bei hosting.de. Technisch bedingt: IP-Adresse, Browsertyp, Zeitpunkt in Server-Logs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Cookies

• authjs.session-token – Sitzung, ca. 30 Tage
• authjs.csrf-token – CSRF-Schutz
• authjs.callback-url – Rücksprung beim Login

Keine Marketing-, Tracking- oder Statistik-Cookies.

Speicherdauer

• Konto und Workspace: bis zur Kontolöschung oder auf Anfrage (Art. 17)
• Sitzungs-Cookies: ca. 30 Tage bzw. bis zur Abmeldung
• Magic-Link-Token: 24 Stunden
• Server-Logs: bis 7 Tage
• Backups: bis 30 Tage nach Löschung

Konto löschen und JSON-Export (Art. 20) im Profil. Kopien bei Google Gemini sind nicht rückholbar.

Widerspruch (Art. 21 DSGVO)

Soweit wir auf berechtigtes Interesse stützen, kannst du widersprechen: info@lolax.dev. Vertragserfüllung läuft bis zur Kontolöschung weiter.

Rechte (Art. 15–21 DSGVO)

• Auskunft (Art. 15)
• Berichtigung (Art. 16)
• Löschung (Art. 17)
• Einschränkung (Art. 18)
• Datenübertragbarkeit (Art. 20) – JSON-Download im Profil
• Widerspruch (Art. 21)

Anfragen: info@lolax.dev. Aufsicht: Sächsischer Datenschutzbeauftragter.