Datenschutzerklärung
Stand: 22. Oktober 2026
A. Verantwortlicher
Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:
Für datenschutzbezogene Anfragen wenden Sie sich bitte an die oben genannte E-Mail-Adresse. Ein gesetzlich vorgeschriebener Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Schwellenwerte (Art. 37 DSGVO) nicht erreicht werden.
B. Kategorien verarbeiteter personenbezogener Daten
1. Direkt bereitgestellte Daten
- Kontodaten: E-Mail-Adresse, Name (optional), Passwort (gehashed, via Supabase Auth)
- Chatdaten / Sachverhaltsangaben: Freitextbeschreibungen des Rechtsproblems. Diese können mittelbar personenbezogen sein (z.B. Angaben zu rechtlichen Auseinandersetzungen, Unfällen, Vertragsverhältnissen).
- Kontaktformulardaten (Widget): Name, E-Mail-Adresse, Telefonnummer, gewünschter Beratungstermin
- Zahlungsdaten: Es werden keine vollständigen Zahlungsdaten gespeichert. Die Zahlungsabwicklung erfolgt ausschließlich über Stripe. Intern gespeichert werden lediglich Stripe-Session-IDs, Betrag und Transaktionsstatus.
2. Automatisch erhobene Daten
- Server-Logfiles: IP-Adresse (pseudonymisiert), Datum und Uhrzeit des Zugriffs, aufgerufene URL, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL, Browser-Kennung
- Gerätedaten: Browser-Typ und -Version, Betriebssystem (über Browser-Header)
- Session-Daten: Auth-Tokens (Supabase JWT), Sitzungsdauer
3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)
Die Sachverhaltsangaben in Freitextfeldern können mittelbar Daten besonderer Kategorie enthalten, insbesondere gesundheitsbezogene Daten (z.B. bei medizinischen Streitigkeiten) oder strafrechtlich relevante Informationen. Die Verarbeitung erfolgt auf Basis der ausdrücklichen Einwilligung gemäß Art. 9 Abs. 2 lit. a DSGVO, die durch die aktive Nutzung der Eingabefelder erteilt wird. Wir empfehlen, keine identifizierenden Daten Dritter einzugeben.
C. Zwecke der Verarbeitung
| Zweck | Rechtsgrundlage (Art. 6 DSGVO) |
|---|---|
| Bereitstellung der KI-Analysefunktion | lit. b (Vertragserfüllung) |
| Nutzerkontenführung und Authentifizierung | lit. b (Vertragserfüllung) |
| Zahlungsabwicklung (Analyse-Credits) | lit. b (Vertragserfüllung) |
| Technischer Betrieb und IT-Sicherheit | lit. f (berechtigtes Interesse) |
| Server-Logging zur Fehlerbehebung | lit. f (berechtigtes Interesse) |
| Lead-Weitergabe an Partneranwälte | lit. a (ausdrückliche Einwilligung) |
| Terminvereinbarung bei Kanzleien | lit. a (Einwilligung) / lit. b (Vertragserfüllung) |
| Rechtsdurchsetzung und Missbrauchsabwehr | lit. f (berechtigtes Interesse) |
| Erfüllung gesetzlicher Aufbewahrungspflichten | lit. c (rechtliche Verpflichtung) |
D. Rechtsgrundlagen der Verarbeitung
Art. 6 Abs. 1 lit. a DSGVO – Einwilligung
Soweit Sie uns eine Einwilligung zur Verarbeitung Ihrer Daten erteilt haben (insbesondere für die Lead-Weitergabe an Anwälte und für Marketing-Kommunikation), ist diese Einwilligung die Rechtsgrundlage. Sie können Ihre Einwilligung jederzeit widerrufen.
Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung
Die Verarbeitung ist erforderlich zur Erfüllung des Nutzungsvertrages (Registrierung, Analyse-Credits, KI-Analyse).
Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung
Steuerrechtliche Dokumentationspflichten, handelsrechtliche Aufbewahrungspflichten (HGB/AO).
Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse
Technischer Betrieb, IT-Sicherheit, Betrugsprävention, Geltendmachung und Abwehr von Rechtsansprüchen.
Art. 9 Abs. 2 lit. a DSGVO – Besondere Datenkategorien
Für die Verarbeitung von Sachverhaltsangaben, die mittelbar besondere Kategorien personenbezogener Daten enthalten können (z.B. Gesundheitsdaten), ist Rechtsgrundlage die ausdrückliche Einwilligung durch die aktive Nutzung der Eingabefelder.
E. Lead-Weitergabe an Partneranwälte
Die Plattform ermöglicht es Nutzern, nach einer KI-gestützten Ersteinschätzung ihres Rechtsfalls freiwillig Kontakt zu kooperierenden Rechtsanwaltskanzleien aufzunehmen. Diese Funktion umfasst folgende Verarbeitungsschritte:
- Anonyme Fallaufnahme: Die KI-Analyse und erste Einschätzung erfolgen ohne Weitergabe persönlicher Daten an Dritte.
- Ausdrückliche Einwilligung: Eine Übermittlung von Kontaktdaten (Name, E-Mail, Telefon, Wunschtermin, Fallzusammenfassung) an eine Partnerkanzlei erfolgt ausschließlich nach vorheriger, ausdrücklicher und informierter Einwilligung des Nutzers (Opt-in).
- Rolle von BoringAI GbR: BoringAI GbR fungiert als Vermittler und Auftragsverarbeiter im Sinne des Art. 28 DSGVO für den Übermittlungsvorgang. Nach Übermittlung wird die Kanzlei eigenständige datenschutzrechtliche Verantwortliche für die empfangenen Daten.
- Mandatsverhältnis: Ein anwaltliches Mandatsverhältnis entsteht ausschließlich durch direkte, separate Beauftragung zwischen Nutzer und Kanzlei. Die Plattform begründet kein solches Verhältnis.
Keine Rechtsberatung
BoringAI GbR erbringt keine Rechtsberatung, -besorgung oder rechtsdienstleistende Tätigkeit im Sinne des Rechtsdienstleistungsgesetzes (RDG). Die Plattform bietet ausschließlich KI-gestützte Informationsauswertung und die Vermittlung des Kontakts zu Rechtsanwälten.
F. Cookies und Tracking
| Kategorie | Zweck | Einwilligung |
|---|---|---|
| Technisch notwendige Cookies | Authentifizierung (JWT-Session-Token via Supabase), CSRF-Schutz, Cookie-Einwilligungsstand | Nicht erforderlich (§ 25 Abs. 2 TDDDG) |
| Funktionale Cookies | Speicherung von Nutzereinstellungen (Sprache, Theme) | Nicht erforderlich |
| Analyse-Cookies | Derzeit nicht eingesetzt. Bei zukünftigem Einsatz wird eine Einwilligung eingeholt. | Einwilligung erforderlich |
| Marketing-Cookies | Derzeit nicht eingesetzt. | Einwilligung erforderlich |
Die Einwilligung für nicht notwendige Cookies wird beim ersten Besuch über ein Cookie-Consent-Banner eingeholt. Sie können Ihre Einwilligung jederzeit über die Cookie-Einstellungen im Browser oder über unsere Kontakt-E-Mail widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
Rechtsgrundlage für technisch notwendige Cookies: § 25 Abs. 2 TDDDG i.V.m. Art. 6 Abs. 1 lit. f DSGVO.
Rechtsgrundlage für optionale Cookies: § 25 Abs. 1 TDDDG i.V.m. Art. 6 Abs. 1 lit. a DSGVO.
G. Eingesetzte Drittdienste und internationale Datenübermittlung
Für den Betrieb der Plattform werden folgende Drittdienste eingesetzt, bei denen eine Datenübermittlung in Drittländer (insbesondere USA) stattfindet. Die Übermittlung in die USA erfolgt auf Basis von EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO sowie ggf. auf Basis des EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023), soweit der jeweilige Anbieter zertifiziert ist.
| Dienst | Anbieter & Sitz | Zweck | Schutzmechanismus |
|---|---|---|---|
| Supabase | Supabase Inc., San Francisco, USA | Auth & Datenbank (PostgreSQL). Speicherung von Nutzerkonten, Fällen, Leads. | SCC (EU<–>USA) |
| NVIDIA NIM | NVIDIA Corp., Santa Clara, USA | KI-Sprachmodell für Fallanalyse. Nutzereingaben werden an die API übermittelt. | SCC |
| Tavily | Tavily AI, USA | KI-Websearch für aktuelle Rechtsinformationen als Analysequelle. | SCC |
| Jina AI | Jina AI GmbH, Berlin, Deutschland | Rechtsinformationssuche (NeuRIS-API-Anbindung). Keine Drittlandübermittlung. | EU-intern |
| Stripe | Stripe Inc., San Francisco, USA | Zahlungsabwicklung für Analyse-Credits. | SCC / EU-US DPF |
Bei der Nutzung der KI-Analysefunktion wird der von Ihnen eingegebene Sachverhalt an den KI-Anbieter (NVIDIA NIM) übermittelt. Wir haben mit den Anbietern Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen bzw. nutzen deren Standard-Datenschutzvereinbarungen mit SCC. Eingaben werden nicht zum Training der zugrundeliegenden KI-Modelle verwendet.
H. Speicherdauer und Löschfristen
| Datenkategorie | Speicherdauer | Grundlage |
|---|---|---|
| Nutzerkontodaten | Bis zur Löschung des Kontos durch den Nutzer oder nach 24 Monaten Inaktivität | Art. 6 Abs. 1 lit. b DSGVO |
| Falldaten & Chat-Verläufe | Bis zur Löschung durch den Nutzer, max. 12 Monate nach letzter Aktivität | Art. 6 Abs. 1 lit. b DSGVO |
| Lead-Daten (nach Kanzleivermittlung) | 24 Monate nach Vermittlung, dann anonymisiert | Art. 6 Abs. 1 lit. a/f DSGVO |
| Zahlungsdaten / Rechnungsbelege | 10 Jahre (§ 147 AO, § 257 HGB) | Art. 6 Abs. 1 lit. c DSGVO |
| Server-Logfiles | 7 Tage, dann automatische Löschung | Art. 6 Abs. 1 lit. f DSGVO |
Nach Ablauf der Speicherfrist werden die Daten routinemäßig und sicher gelöscht oder unwiederbringlich anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
I. Ihre Rechte als betroffene Person
Sie haben gegenüber BoringAI GbR folgende Rechte bezüglich Ihrer personenbezogenen Daten:
Recht auf Auskunft über verarbeitete Daten, Zwecke, Empfänger und Speicherdauer.
Korrektur unrichtiger oder Vervollständigung unvollständiger Daten.
Löschung Ihrer Daten, soweit kein Aufbewahrungsgrund entgegensteht.
Einschränkung der Verarbeitung unter bestimmten Voraussetzungen.
Erhalt Ihrer Daten in strukturiertem, maschinenlesbarem Format.
Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.
Jederzeit widerrufbar, ohne Auswirkung auf bisherige Verarbeitungen.
Beschwerde bei der zuständigen Datenschutz-Aufsichtsbehörde.
Zuständige Aufsichtsbehörde
Der Landesbeauftragte für Datenschutz und Informationsfreiheit Hessen (HBDI)
Postfach 3163, 65021 Wiesbaden
datenschutz.hessen.de
Zur Geltendmachung Ihrer Rechte wenden Sie sich an: kontakt@myrecht24.
J. Datensicherheit
Wir setzen technische und organisatorische Maßnahmen (TOMs) ein, um Ihre Daten vor unbefugtem Zugriff, Datenverlust und -manipulation zu schützen:
- SSL/TLS-Verschlüsselung: Alle Datenübertragungen zwischen Browser und Server erfolgen ausschließlich verschlüsselt über HTTPS (TLS 1.2/1.3).
- Datenbankzugriff: Zugriff auf die PostgreSQL-Datenbank (Supabase) ausschließlich über verschlüsselte Verbindungen und mit rollenbasierten Zugriffsrechten.
- Authentifizierung: JWT-basierte Authentifizierung; Passwörter werden ausschließlich gehasht (bcrypt via Supabase) gespeichert.
- Zugriffsminimierung: Datenzugriff auf das jeweils notwendige Minimum beschränkt (Least-Privilege-Prinzip).
- API-Sicherheit: Alle Backend-Schnittstellen sind durch API-Key-Authentifizierung und Rate-Limiting abgesichert.
Trotz dieser Maßnahmen kann keine absolute Sicherheit bei der Datenübertragung über das Internet gewährleistet werden. Wir weisen daher darauf hin, dass beim Datentransfer über offene Netzwerke ein Restrisiko besteht.
K. Änderungen dieser Datenschutzerklärung
Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen der Plattform, der eingesetzten Dienste oder der Rechtslage anzupassen. Die aktuelle Version ist stets unter der URL /datenschutz abrufbar.
Bei wesentlichen Änderungen, die Ihre Rechte beeinflussen (insbesondere Änderungen der Rechtsgrundlagen oder der Verarbeitungszwecke), werden wir Sie gesondert informieren, soweit wir über Ihre Kontaktdaten verfügen.
Aktueller Stand dieser Erklärung: 22. Oktober 2026