Datenschutzerklärung

1. Einleitung

Dieser Text ist eine Übersetzung, die zur Erleichterung bereitgestellt wird. Im Falle von Abweichungen ist die englische Fassung unter studpulse.com/privacy.html maßgeblich.

StudPulse („wir“, „uns“, „unser“) betreibt die StudPulse-Plattform — ein KI-natives Pferdemanagementsystem für Zucht, Pension und Gestütsverwaltung.

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten wir erheben, warum wir sie erheben und wie wir sie schützen. Sie ist auf die Einhaltung der Datenschutz-Grundverordnung (DSGVO), der KI-Verordnung der Europäischen Union (AI Act) sowie der anwendbaren US-Datenschutzgesetze ausgelegt, einschließlich des California Consumer Privacy Act (CCPA/CPRA), des CAN-SPAM Act, COPPA und des Nevada Privacy Law (SB 220).

Die Anwendungsserver und Datenbanken von StudPulse werden innerhalb der Europäischen Union gehostet. Einige unterstützende Dienste — darunter die KI-Verarbeitung, die Website-Analyse und der E-Mail-Versand — werden aus Rechenzentren in den Vereinigten Staaten betrieben. Abschnitt 5a beschreibt genau, was an KI-Dienste gesendet wird und wer es erhält, und Abschnitt 7 legt dar, welcher Dienst wo betrieben wird und welche Schutzmaßnahmen gelten.

Datenschutzkontakt: StudPulse ist ein Start-up und ist aufgrund der Art und des Umfangs unserer Verarbeitung nicht verpflichtet, einen förmlichen Datenschutzbeauftragten nach Art. 37 DSGVO zu benennen. Unsere benannte Ansprechperson für Datenschutz bearbeitet alle datenschutzbezogenen Anfragen und ist unter support@studpulse.com erreichbar.

2. Rollen als Verantwortlicher und Auftragsverarbeiter

Im Sinne der DSGVO ist StudPulse Verantwortlicher für Ihre Kontoinformationen. Für die Pferde- und Betriebsdaten, die Sie über Ihre Kundinnen und Kunden, Einstaller oder Mitarbeitenden in die Plattform eingeben, sind Sie der Verantwortliche und StudPulse ist Auftragsverarbeiter.

3. Welche Daten wir erheben

Wir erheben die folgenden Kategorien von Informationen:

Kontodaten — Ihr Name, Ihre E-Mail-Adresse, Ihr Passwort (mit bcrypt gehasht) und der bei der Registrierung angegebene Name der Organisation.
Handynummer — freiwillig. Sie können sie bei der Kontoerstellung oder später in Ihrem Profil angeben. Wenn Sie sie angeben, bestätigen wir sie mit einem per SMS gesendeten Einmalcode. Sie wird verwendet, damit ein Stall Sie wegen Ihrer Buchungen kontaktieren kann, und um die Zahl der Konten zu begrenzen, die mit einer Nummer registriert werden können, was Fake-Konten von der Plattform fernhält. Die Nummer wird nicht für Werbung verwendet, und ihre Angabe ist keine Einwilligung in Werbeanrufe oder Werbe-SMS. Sie können sie in Ihrem Profil ändern.
Pferde- und Betriebsdaten — sämtliche Daten, die Sie in die Plattform eingeben: Pferdeprofile, medizinische Aufzeichnungen, Zuchtaufzeichnungen, Trainingsprotokolle, Stall- und Boxenzuordnungen, Fütterungspläne und Ereignisverlauf.
Nutzungsdaten — aufgerufene Seiten, genutzte Funktionen, Anfragen an den KI-Agenten und Zeitstempel von Aktionen innerhalb der Anwendung.
Geräte- und technische Daten — Browsertyp, Betriebssystem, IP-Adresse und Service-Worker-Status für die PWA-Funktionalität.
Push-Benachrichtigungstokens — eine Zustelladresse für Ihr Gerät, gespeichert zum Versand von Buchungsbestätigungen und Pflegeerinnerungen. Im Webbrowser ist dies ein VAPID-Push-Abonnementobjekt; in den Android- und iOS-Apps ist es ein Firebase-Cloud-Messaging-Registrierungstoken, also eine Gerätekennung.
Sprachaufnahmen und Transkriptionen — wenn Sie eine Notiz diktieren oder mit dem KI-Agenten sprechen, wird die Audioaufnahme selbst an einen KI-Dienst übermittelt (Microsoft Azure, über OpenRouter — siehe Abschnitt 5a), um sie in Text umzuwandeln; wir speichern das entstehende Transkript, nicht die Audiodatei. Die Sprachfunktion steht erst zur Verfügung, nachdem Sie in der App den KI-Funktionen zugestimmt (Abschnitt 5a) und Ihrem Gerät die Nutzung des Mikrofons erlaubt haben, und das Mikrofon wird nur während der Aufnahme genutzt. Ihre Unterhaltungen mit dem KI-Assistenten, einschließlich ihrer Sprachtranskripte, werden gelöscht, wenn Sie Ihr Konto löschen. Das Transkript einer Sprachnotiz, aus der ein Eintrag des Stalls geworden ist (zum Beispiel ein Pflegeeintrag), bleibt Teil der Aufzeichnungen dieses Stalls und trägt nach der Löschung Ihres Kontos Ihren Namen nicht mehr.
Fotos und Dateien — Bilder und Dokumente, die Sie an Datensätze anhängen: Pferdefotos, Belege, tierärztliche Unterlagen, Ultraschallaufnahmen und Ähnliches. In den mobilen Apps können diese mit der Kamera aufgenommen oder aus Ihrer Fotomediathek ausgewählt werden, in beiden Fällen erst nachdem Sie die Berechtigung erteilt und selbst etwas zum Anhängen ausgewählt haben. Wir durchsuchen Ihre Fotomediathek nicht und greifen nicht auf Fotos zu, die Sie nicht angehängt haben.
Ritt-Routen (Standort) — wenn Sie einen Ritt mit der mobilen App aufzeichnen oder eine Rittdatei (GPX oder TCX, z. B. aus einer Garmin-Uhr exportiert) in eine Trainingseinheit importieren: die Route als Folge von Punkten (Zeit, Breiten- und Längengrad, Höhe und Geschwindigkeit), der in der Datei gespeicherte Gerätename sowie eine daraus berechnete Zusammenfassung (Strecke, Dauer, Geschwindigkeiten und eine geschätzte Aufteilung nach Gangarten). Siehe Abschnitt 3c.
Herzfrequenz — nur wenn eine importierte Rittdatei Herzfrequenzwerte enthält und Sie die Option zum Speichern ankreuzen. Die Herzfrequenz ist ein Gesundheitsdatum, eine besondere Kategorie nach Art. 9 DSGVO; ohne dieses Häkchen wird sie beim Import verworfen und nie gespeichert.

Standortdaten erheben wir nur für Ritt-Routen. Die mobile App nutzt den Standort Ihres Geräts nur, während Sie einen selbst gestarteten Ritt aufzeichnen, und beendet die Nutzung, sobald Sie die Aufzeichnung stoppen. Zu keinem anderen Zeitpunkt nutzen die Apps den Standort; wir verwenden ihn nicht für Werbung und verkaufen ihn niemals.

3a. Mobile Anwendungen (Android und iOS)

Die mobilen StudPulse-Apps verarbeiten dieselben Daten wie die Webanwendung, wie oben beschrieben. Zusätzlich fragen sie Ihr Gerät nach den folgenden Berechtigungen. Jede ist optional, jede wird erst in dem Moment angefragt, in dem die Funktion zum ersten Mal genutzt wird, und die App bleibt nutzbar, wenn Sie ablehnen:

Berechtigung	Wofür sie angefragt wird	Was Ihr Gerät verlässt
Mikrofon	Notizen diktieren und mit dem KI-Agenten sprechen	Die Aufnahme, die zur Transkription über OpenRouter an Microsoft Azure gesendet wird (Abschnitt 5a), und zwar erst, nachdem Sie den KI-Funktionen zugestimmt haben. Wir behalten den Text, nicht das Audio.
Kamera und Fotomediathek	Fotos an Pferdedatensätze, Ausgaben und Ereignisse anhängen	Ausschließlich die Bilder, die Sie ausdrücklich zum Anhängen auswählen.
Benachrichtigungen	Stundenerinnerungen, Buchungsanfragen und Hinweise zur Pferdepflege	Ein Geräteregistrierungstoken, das ausschließlich als Zustelladresse dient.
Standort	Aufzeichnung der Route eines Ritts, den Sie selbst starten, auch bei gesperrtem Bildschirm. Solange die Aufzeichnung läuft, zeigt Ihr Telefon an, dass der Standort verwendet wird.	Die Punkte des Ritts (Zeit, Position, Höhe, Geschwindigkeit), während des Ritts in Teilen an unsere Server gesendet und beim Beenden in der Trainingseinheit gespeichert. Wenn Sie nicht aufzeichnen, wird nichts gesendet.

Die Apps sind nicht werbefinanziert. Wir verwenden keine Werbekennungen, verfolgen Sie nicht über Apps oder Websites anderer Unternehmen hinweg und verkaufen oder teilen keine personenbezogenen Daten zu Werbezwecken.

Konto in der App löschen: Profilmenü → Kontoeinstellungen → Konto löschen (oder Profilmenü → Sicherheit → Reiter Konto löschen) → Mein Konto löschen, anschließend mit Ihrem Passwort und durch Eingabe des Bestätigungsworts bestätigen. Das Konto wird sofort anonymisiert. Dauerhaft gelöscht werden Ihr Name, Ihre E-Mail-Adresse, Telefonnummer, Ihr Passwort und Profilbild, Ihre Geräte und Push-Benachrichtigungstoken, Ihre Daten zur Zwei-Schritt-Verifizierung, alle Ihre Unterhaltungen mit dem KI-Assistenten (einschließlich ihres vollständigen Textes und Ihrer Sprachtranskripte), Ihr persönliches Aktivitätsprotokoll und Ihr Zugang zu jedem Stall. Rechnungen und Zahlungsbelege, die eigenen Betriebsaufzeichnungen des Stalls und technische KI-Nutzungszähler (Tokenanzahl und Kosten, keine Inhalte) bleiben ohne Ihren Namen erhalten. Sind Sie die einzige Administratorin bzw. der einzige Administrator eines Stalls, wird mit der Löschung Ihres Kontos auch dieser Stall geschlossen: Niemand kann sich mehr bei ihm anmelden, und seine Aufzeichnungen bleiben erhalten (zum Beispiel Rechnungen, die wir gesetzlich aufbewahren müssen). Damit der Stall weiterbetrieben werden kann, machen Sie zuerst jemand anderen zur Administratorin oder zum Administrator. Ausführliche Angaben dazu, was gelöscht und was aufbewahrt wird, finden Sie auf der Seite zur Kontolöschung.

3b. Informationseinträge im Verzeichnis

Unser öffentliches Verzeichnis von Reitbetrieben auf studpulse.com enthält auch Informationseinträge: Profile, die wir selbst für Betriebe erstellt haben, die StudPulse nicht nutzen, damit Reiterinnen und Reiter Ställe, Reitschulen und Gestüte an einem Ort finden. Jeder dieser Einträge ist auf seiner Seite deutlich als Informationseintrag gekennzeichnet.

Quelle — die öffentliche Website des Betriebs selbst. Wir kaufen keine Daten und erheben nichts aus sozialen Netzwerken oder Bewertungsplattformen.
Zweck — ein Verzeichnis von Reitbetrieben für Reiterinnen und Reiter.
Rechtsgrundlage — unser berechtigtes Interesse am Betrieb dieses Verzeichnisses und das Interesse der Reiter, einen Betrieb zu finden (Art. 6 Abs. 1 lit. f DSGVO). Wir veröffentlichen nur geschäftliche Kontaktdaten, die der Betrieb selbst öffentlich macht.
Was angezeigt wird — Name des Betriebs, Ort, eine kurze, in eigenen Worten verfasste Beschreibung auf Grundlage seiner Website sowie seine öffentlichen geschäftlichen Kontaktdaten: Telefonnummer, E-Mail-Adresse und Website.
Was nicht angezeigt wird — keine Bewertungen oder Rezensionen, keine Fotos oder Logos und keine Namen einzelner Personen.
Übernahme eines Eintrags — der Betrieb kann den Eintrag über den Link „Das ist mein Stall“ auf seinem Profil übernehmen. Wir bestätigen die Anfrage mit einem Code, der ausschließlich an die Telefonnummer oder E-Mail-Adresse aus dem Eintrag gesendet wird, und jede Übernahme wird von unserem Team freigegeben. Die Angaben in der Anfrage verwenden wir nur zu deren Bearbeitung (und nach Freigabe zur Einrichtung des Kontos); aus dem Anfragedatensatz werden sie 180 Tage nach der Entscheidung gelöscht.
Entfernung — der Betrieb kann den Eintrag jederzeit über den Link „Fehler melden oder Eintrag entfernen“ auf seinem Profil oder per E-Mail an support@studpulse.com entfernen lassen. Ein entfernter Eintrag verschwindet sofort aus dem Verzeichnis; wir behalten nur den Namen des Betriebs und eine interne Kennung, damit er nicht erneut aufgenommen wird.

Wir kontaktieren eingetragene Betriebe nicht von uns aus: Eine Nachricht wird nur versendet, wenn jemand das Übernahme- oder Entfernungsformular nutzt. Sie können dieser Verarbeitung außerdem nach Art. 21 DSGVO widersprechen, indem Sie an die oben genannte Adresse schreiben.

3c. Ritt-Routen und Live-Ansicht

Eine Ritt-Route zeigt, wo eine Person geritten ist. Deshalb behandeln wir sie als personenbezogene Daten des Reiters, auch wenn sie in den Trainingsdaten des Pferdes gespeichert wird.

Quellen — eine von Ihnen importierte Rittdatei (GPX oder TCX; wir lesen sie einmal ein und speichern die Originaldatei nicht) oder eine Aufzeichnung mit dem GPS Ihres Telefons in der StudPulse-App. Während der Aufzeichnung wird jede Position zuerst auf Ihrem Telefon gespeichert, sodass bei Funkloch oder geschlossener App nichts verloren geht; diese Kopie wird vom Telefon entfernt, sobald der Ritt gespeichert oder verworfen wurde. Positionen mit einer Genauigkeit schlechter als 25 Meter werden verworfen.
Wer die Route sieht — die Administratoren und Mitarbeitenden des Stalls, die Person, die den Ritt aufgezeichnet oder importiert hat, der Reiter, die Person, die die Trainingseinheit angelegt hat oder ihr zugewiesen ist, sowie der Eigentümer des Pferdes (ein Kunde, der dessen Einstellung bezahlt). Alle anderen, die die Trainingseinheit sehen können, sehen nur die Zusammenfassung (Strecke, Dauer und Gangarten), ohne Karte und ohne Herzfrequenz.
Live-Ansicht — standardmäßig ausgeschaltet. Schaltet der Reiter sie vor Beginn einer Aufzeichnung ein, können die oben genannten Personen die aktuelle Position während des Ritts verfolgen. Sie endet mit der Aufzeichnung und wird niemandem außerhalb des Stalls angezeigt.
Herzfrequenz — wird nur mit Ihrer ausdrücklichen Einwilligung gespeichert, die Sie durch das Ankreuzen der Option beim Import erteilen (Art. 9 Abs. 2 lit. a DSGVO), und nur den Personen angezeigt, die die Route sehen. Sie können die Einwilligung widerrufen, indem Sie die Route aus der Trainingseinheit löschen.
Löschung — die Person, die eine Route hinzugefügt hat, und jeder, der die Trainingseinheit bearbeiten darf (etwa die Mitarbeitenden des Stalls), kann die Route jederzeit löschen. Wenn Sie Ihr Konto löschen, entfernen wir die Route und Herzfrequenz jedes Ritts, den Sie hochgeladen haben oder geritten sind, sowie jede noch laufende Aufzeichnung; die Zusammenfassung bleibt ohne sie in den Trainingsdaten des Pferdes.

4. Wie wir Ihre Daten nutzen und Rechtsgrundlagen (Art. 6 DSGVO)

Nach der DSGVO verarbeiten wir Ihre personenbezogenen Daten nur, wenn wir eine gültige Rechtsgrundlage haben. Die folgende Tabelle ordnet jeder Verarbeitungstätigkeit ihre konkrete Rechtsgrundlage zu:

Verarbeitungstätigkeit	Rechtsgrundlage (Art. 6)
Bereitstellung und Betrieb der StudPulse-Plattform (Kontoerstellung, Authentifizierung, Kernfunktionen)	Vertragserfüllung — Art. 6 Abs. 1 lit. b
Betrieb des KI-Agenten (Ihre Nachrichten, der Gesprächsverlauf und Stalldaten, die an die in Abschnitt 5a beschriebenen KI-Dienste gesendet werden)	Einwilligung — Art. 6 Abs. 1 lit. a (erteilt im KI-Einwilligungsbildschirm der App, bevor etwas gesendet wird; jederzeit widerrufbar mit dem Schalter „KI-Funktionen“ in Ihren Kontoeinstellungen)
Versand von Push-Benachrichtigungen zu Buchungen, Erinnerungen und Pflegehinweisen	Einwilligung — Art. 6 Abs. 1 lit. a (Sie aktivieren Push-Benachrichtigungen ausdrücklich selbst)
Sprachtranskription und Speicherung für Befehle an den KI-Agenten	Einwilligung — Art. 6 Abs. 1 lit. a (dieselbe KI-Einwilligung sowie die Mikrofonberechtigung Ihres Geräts; aufgenommen wird erst, wenn Sie die Aufnahme starten)
Erstellung KI-gestützter Dashboard-Zusammenfassungen und Auswertungen	Einwilligung — Art. 6 Abs. 1 lit. a (nur für Nutzerinnen und Nutzer erstellt, die die KI-Einwilligung erteilt haben; die Zusammenfassung, die das Dashboard eines Stalls über Nacht vorbereitet, wird nur erstellt, wenn eine Administratorin oder ein Administrator des Stalls sie erteilt hat)
Versand transaktionaler E-Mails (Passwortzurücksetzungen, Einladungslinks, Kontobenachrichtigungen)	Vertragserfüllung — Art. 6 Abs. 1 lit. b
Versand von Marketing- oder Werbe-E-Mails (sofern vorhanden)	Einwilligung — Art. 6 Abs. 1 lit. a (Opt-in erforderlich; jede Werbe-E-Mail enthält einen Abmeldelink gemäß CAN-SPAM Act)
Erkennung und Verhinderung betrügerischer oder missbräuchlicher Nutzung	Berechtigte Interessen — Art. 6 Abs. 1 lit. f (Absicherung der Plattform und ihrer Nutzenden)
Verbesserung und Entwicklung neuer Funktionen	Berechtigte Interessen — Art. 6 Abs. 1 lit. f (zur Auswertung werden ausschließlich anonymisierte, aggregierte Daten genutzt)
Website-Analyse mit Google Analytics 4	Einwilligung — Art. 6 Abs. 1 lit. a (Cookie-Banner für Besuchende aus der EU/dem EWR; GA wird erst nach erteilter Einwilligung geladen)
Überprüfung einer Handynummer, sofern Sie eine angeben, mit einem SMS-Einmalcode; die zugehörigen Aufzeichnungen der Bestätigungsversuche (Zeitpunkt, IP-Adresse, Anzahl der Versuche); Begrenzung der Zahl der Konten pro Telefonnummer	Berechtigtes Interesse — Art. 6 Abs. 1 lit. f (Sicherheit des Dienstes und Verhinderung von Fake-Konten). Die Nummer wird nicht für Werbung verwendet
Aufzeichnung und Import von Ritt-Routen und deren Anzeige für die in Abschnitt 3c genannten Personen	Vertragserfüllung — Art. 6 Abs. 1 lit. b (Sie starten die Aufzeichnung oder den Import selbst)
Live-Ansicht (Teilen der aktuellen Position eines laufenden Ritts innerhalb des Stalls)	Einwilligung — Art. 6 Abs. 1 lit. a (standardmäßig aus; der Reiter schaltet sie vor einem Ritt ein und kann sie beim nächsten ausgeschaltet lassen)
Speicherung der Herzfrequenz aus einer importierten Rittdatei	Ausdrückliche Einwilligung — Art. 9 Abs. 2 lit. a und Art. 6 Abs. 1 lit. a (die Option ist standardmäßig nicht angekreuzt)

5. Künstliche Intelligenz und Einhaltung der KI-Verordnung

StudPulse ist eine KI-native Plattform. Wir halten die Transparenz- und Sicherheitsanforderungen der KI-Verordnung der EU ein:

Einwilligung zuerst: Es werden keine Daten an einen KI-Dienst gesendet, bevor Sie in der App den KI-Funktionen zugestimmt haben. Abschnitt 5a führt auf, was an wen und warum gesendet wird.
Wo die KI-Verarbeitung stattfindet: KI-Anfragen werden von OpenRouter, Inc. und den Modellanbietern, an die OpenRouter sie weiterleitet, in den Vereinigten Staaten verarbeitet. Für diese Übermittlungen außerhalb des EWR gelten die in Abschnitt 7 beschriebenen Garantien.
Keine Speicherung, kein Training von Basismodellen: Jede KI-Anfrage wird ausschließlich an Endpunkte mit Zero Data Retention (keine Datenspeicherung) geleitet: Der Anbieter speichert weder die Anfrage noch die Antwort, nachdem er sie zurückgegeben hat, und verwendet sie nicht zum Training seiner Modelle. Ihre Sprachtranskripte, Betriebsdaten und personenbezogenen Daten dienen ausschließlich dazu, die Anfragen Ihrer eigenen Organisation zu beantworten.
Risikoeinstufung: Der KI-Agent von StudPulse gilt nach der KI-Verordnung als KI-System mit „minimalem/begrenztem Risiko“. Er unterstützt bei der Betriebsverwaltung und Datenstrukturierung — er nimmt keine biometrische Identifizierung vor, beeinflusst keine rechtlichen Ansprüche und trifft keine rechtsverbindlichen Entscheidungen.
Menschliche Aufsicht: Die KI trifft keine autonomen medizinischen, rechtlichen oder finanziellen Entscheidungen. Alle KI-generierten Vorschläge (z. B. Decktermine, Gesundheitshinweise) erfordern eine Prüfung durch einen Menschen. Sie behalten die volle Möglichkeit, jede KI-generierte Angabe zu bearbeiten, zu übergehen oder zu löschen.
Auftragsverarbeitungsverträge: Jeder von uns eingesetzte KI-Anbieter ist durch einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO gebunden, der ihn darauf beschränkt, Ihre Daten ausschließlich zur Erbringung der Leistung für uns zu verarbeiten.

5a. KI-Dienste: Was wir senden, an wen und warum

Die KI-Funktionen von StudPulse — der KI-Assistent (KI-Agent), Sprachnotizen, gesprochene Antworten und die von der KI verfassten Dashboard-Zusammenfassungen — werden von KI-Diensten Dritter bereitgestellt. Es wird nichts an sie gesendet, bevor Sie zustimmen, und zwar im Einwilligungsbildschirm, den die App vor der ersten Nutzung einer KI-Funktion anzeigt; dieser Bildschirm erklärt, was gesendet wird und an wen. Ihre Einwilligung gilt persönlich für Ihr Konto und wird dort zusammen mit ihrem Datum gespeichert. Sie können sie jederzeit mit dem Schalter KI-Funktionen in Ihren Kontoeinstellungen widerrufen; danach wird für Sie keine KI-Anfrage mehr gestellt. Die Zusammenfassung, die das Dashboard eines Stalls über Nacht vorbereitet, wird nur erstellt, wenn eine Administratorin oder ein Administrator des Stalls eingewilligt hat.

Wer die Daten erhält. Jede KI-Anfrage geht von unseren Servern an OpenRouter, Inc. (Vereinigte Staaten), ein KI-Gateway, das sie an den Anbieter weiterleitet, der das Modell betreibt:

KI-Funktion	Wozu sie dient	Anbieter, der die Daten erhält
Chat mit dem KI-Assistenten (KI-Agent)	Beantwortung Ihrer Fragen und, wenn Sie darum bitten, Anlegen oder Ändern von Einträgen des Stalls	Open-Weight-Modelle (Open Source), betrieben von Baseten, DeepInfra, Fireworks oder Novita; sind diese nicht verfügbar, ein Ersatzmodell von Google (Gemini) oder Microsoft (Azure, das OpenAI-Modelle bereitstellt)
Von der KI verfasste Dashboard-Zusammenfassungen	Zusammenfassung dessen, was im Stall Aufmerksamkeit erfordert	Wie beim KI-Assistenten
Sicherheitsprüfung jeder Chat-Nachricht	Prüfung, ob eine Nachricht eine echte Anfrage zur Stallverwaltung ist, bevor sie beantwortet wird	Google (Gemini)
Sprache-zu-Text	Umwandlung Ihrer Sprachaufnahmen in Text	Microsoft (Sprachmodell von Azure AI)
Text-zu-Sprache	Vorlesen der Antworten des Assistenten	Google (Gemini)
Such-Embeddings	Auffinden eines früheren Gesprächs, wenn Sie den Assistenten bitten, sich daran zu erinnern, und Suche in der Wissensdatenbank	Google (Gemini)

Was gesendet wird. Nur das, was die jeweilige Funktion benötigt:

Ihre Fragen und Nachrichten sowie der Gesprächsverlauf;
Sprachaufnahmen (Audio), wenn Sie mit dem Assistenten sprechen oder eine Notiz diktieren;
die Stalldaten, die der Assistent für seine Antwort benötigt — Pferde, Gesundheit und Pflege, Zucht, Fütterung, Kalender und Buchungen sowie Finanzen (Finanzen nur, wenn Ihre Rolle im Stall sie sehen darf);
Namen und Rollen von Stallmitgliedern (mit einer internen Zufallskennung, die Personen mit gleichem Namen unterscheidet), wenn es in einer Frage um sie geht — ihre E-Mail-Adressen und Telefonnummern werden niemals an KI-Dienste gesendet, es sei denn, Sie geben selbst eine solche Angabe in Ihre Frage ein;
für Dashboard-Zusammenfassungen: zusammengefasste Kennzahlen des Stalls — zum Beispiel überfällige Pflegemaßnahmen mit Pferdenamen, offene Buchungen, Abfohltermine, Einnahmen, Ausgaben und Kosten pro Pferd (nur für Rollen, die Finanzen sehen dürfen), Trainingsaktivität und Namen von Leistungen.

Zero Data Retention. Jede KI-Anfrage — an das Chat-Modell, die Sicherheitsprüfung, die Such-Embeddings, Sprache-zu-Text und Text-zu-Sprache — wird ausschließlich an Endpunkte mit Zero Data Retention (keine Datenspeicherung) geleitet: Der Anbieter speichert weder die Anfrage noch die Antwort, nachdem er sie zurückgegeben hat, und verwendet sie nicht zum Training von Modellen. Anbieter können technische Metadaten, die den Inhalt der Anfrage nicht enthalten, etwa Zeitstempel und Nutzungsdaten, für Abrechnung und Sicherheit aufbewahren. OpenRouter und die Modellanbieter erhalten die Daten ausschließlich, um die Antwort auf die jeweilige Anfrage zu erzeugen.

Geprüfte Anbieter. Baseten, DeepInfra, Fireworks und Novita sind jeweils nach SOC 2 geprüft. Google und Microsoft arbeiten mit ihren eigenen Sicherheitszertifizierungen, darunter SOC 2 für Google Cloud und Microsoft Azure.

Gleichwertiger Schutz. OpenRouter und die Modellanbieter verarbeiten die Daten in den Vereinigten Staaten, also außerhalb des EWR. Diese Übermittlungen sind durch Datenverarbeitungsbedingungen und die Standardvertragsklauseln der Europäischen Kommission (Art. 28 und 46 DSGVO) abgesichert, die die Empfänger verpflichten, Ihre Daten auf einem Niveau zu schützen, das dem in dieser Erklärung beschriebenen Schutz gleichwertig ist. Siehe Abschnitt 7.

6. Cookies und Analyse

Auf unserer Marketing-Website setzen wir Google Analytics 4 (Property-ID: G-G9WWE3TGC6) ein, um das Verhalten der Besuchenden zu verstehen. In Übereinstimmung mit der ePrivacy-Richtlinie und der DSGVO wird Besuchenden aus der EU/dem EWR beim ersten Besuch ein Cookie-Einwilligungsbanner angezeigt. Google Analytics wird erst nach Ihrer ausdrücklichen Einwilligung geladen. Sie können Ihre Einwilligung jederzeit widerrufen oder über das Browser-Add-on zur Deaktivierung von Google Analytics widersprechen.

Darüber hinaus setzen wir funktionale Cookies, die für die Authentifizierung (JWT-Sitzungsverwaltung) und Ihre Sprachpräferenz (studpulse_lang) zwingend erforderlich sind. Diese Cookies verfolgen Sie nicht über andere Websites hinweg und werden auf der Rechtsgrundlage der Vertragserfüllung gesetzt; sie lassen sich nicht deaktivieren, ohne den Dienst funktionsunfähig zu machen.

Auf unserer Startseite ist ein Werbefilm eingebettet, der bei YouTube (Google Ireland Limited) gehostet wird. Der Film wird beim Öffnen der Seite nicht geladen: Sie sehen ein Standbild von unseren eigenen Servern, und es geht keine Anfrage an Google, bis Sie auf Wiedergabe klicken. Mit dem Klick wird der YouTube-Player von youtube-nocookie.com geladen; dabei wird Ihre IP-Adresse an Google übermittelt und es können Informationen auf Ihrem Gerät gespeichert werden. Rechtsgrundlage ist Ihre mit diesem Klick erteilte Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Klicken Sie nicht auf Wiedergabe, erreichen YouTube keine Daten. Siehe die Datenschutzerklärung von Google.

Das Stallverzeichnis und die Stallprofile auf unserer Website zeigen eine Karte. Ihre Kartenkacheln werden beim Öffnen einer solchen Seite sofort von tile.openstreetmap.org geladen, betrieben von der OpenStreetMap Foundation (St John’s Innovation Centre, Cambridge, Vereinigtes Königreich). Jede Kachelanfrage übermittelt Ihre IP-Adresse, die angeforderte Kartenkachel sowie die User-Agent- und Referer-Header Ihres Browsers an die OpenStreetMap Foundation, die diese Daten zur Auslieferung der Kacheln und zum Schutz ihres Dienstes vor Missbrauch verwendet. Für die Karte werden keine Cookies gesetzt und keine Einwilligung eingeholt: Die Lage eines Stalls zu zeigen, ist Teil der von Ihnen geöffneten Seite; Rechtsgrundlage ist daher unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU. Siehe die Datenschutzerklärung der OpenStreetMap Foundation.

Die Routenkarte in der Webanwendung und in den mobilen Apps verwendet dieselben OpenStreetMap-Kacheln. Beim Öffnen der Karte eines Ritts werden Ihre IP-Adresse und die Anfragen nach den Kacheln, die die Route abdecken, und damit das Gebiet, in dem der Ritt stattfand, an die OpenStreetMap Foundation übermittelt. Die Route selbst wird auf Ihrem Gerät gezeichnet und nie an die OpenStreetMap Foundation gesendet. Rechtsgrundlage ist hier die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Die Karte ist die Funktion, die Sie geöffnet haben.

7. Datenweitergabe und Unterauftragsverarbeiter

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben sie ausschließlich an die unten aufgeführten Unterauftragsverarbeiter und Empfänger weiter und nur in dem für den Betrieb des Dienstes erforderlichen Umfang. Alle Unterauftragsverarbeiter sind vertraglich durch Auftragsverarbeitungsverträge nach Art. 28 DSGVO gebunden.

Kategorie	Zweck	Verarbeitete Daten	Verarbeitungsort
Cloud-Hosting und Datenbank	Anwendungsserver und Datenspeicherung	Alle Anwendungsdaten	Europäische Union
KI-Gateway	OpenRouter, Inc. — empfängt jede KI-Anfrage und leitet sie an den Modellanbieter weiter (Abschnitt 5a); erst nachdem Sie den KI-Funktionen zugestimmt haben	Der in Abschnitt 5a beschriebene Inhalt von KI-Anfragen: Nachrichten, Gesprächsverlauf, Sprachaufnahmen, Stalldaten, Namen und Rollen von Stallmitgliedern (niemals ihre E-Mail-Adressen oder Telefonnummern)	Vereinigte Staaten
Hosting von KI-Modellen	Baseten, DeepInfra, Fireworks oder Novita (jeweils nach SOC 2 geprüft) — betreiben die Open-Weight-Modelle (Open Source) für den KI-Assistenten und die von der KI verfassten Dashboard-Zusammenfassungen	Der Inhalt von Anfragen an den KI-Assistenten und für Dashboard-Zusammenfassungen (Abschnitt 5a)	Vereinigte Staaten
KI-Modelle (Google)	Google LLC (Gemini) — Sicherheitsprüfung von Chat-Nachrichten, Text-zu-Sprache, Such-Embeddings und Ersatzmodell für den KI-Assistenten und die Zusammenfassungen	Chat-Nachrichten, Antworten des Assistenten, Gesprächsinhalte und Texte der Wissensdatenbank (Abschnitt 5a)	Vereinigte Staaten
KI-Modelle (Microsoft)	Microsoft Corporation (Azure) — Sprache-zu-Text für Sprachaufnahmen und Ersatzmodell für den KI-Assistenten und die Zusammenfassungen (von Azure bereitgestellte OpenAI-Modelle)	Sprachaufnahmen; der Inhalt von Anfragen an den KI-Assistenten und für Zusammenfassungen, wenn Azure als Ersatzmodell dient (Abschnitt 5a)	Vereinigte Staaten
Website-Analyse	Statistiken der Marketing-Website (einwilligungsabhängig)	Anonymisierte Nutzungsstatistiken, gekürzte IP-Adresse	Vereinigte Staaten
E-Mail-Zustellung	Transaktionale E-Mails (Passwortzurücksetzungen, Einladungen)	E-Mail-Adresse, Nachrichteninhalt	Europäische Union oder Vereinigte Staaten
Zustellung von Push-Benachrichtigungen	Zustellung von Benachrichtigungen an mobile Geräte (Google Firebase Cloud Messaging; unter iOS weiter an den Apple Push Notification service)	Geräteregistrierungstoken, Titel und Text der Benachrichtigung	Vereinigte Staaten
Zahlungsabwicklung	Abonnements, Kundenzahlungen und Auszahlungen (Stripe)	Name, E-Mail-Adresse, Zahlungsdaten. Kartennummern werden vom Zahlungsdienstleister verarbeitet und erreichen unsere Server nie.	Europäische Union oder Vereinigte Staaten
Bot-Schutz	Cloudflare, Inc. — Turnstile-Bot-Schutz in den Anmelde- und Registrierungsformularen	IP-Adresse und technische Daten zu Browser und Gerät	Vereinigte Staaten
SMS-Versand	Versand des Einmalcodes, mit dem eine Handynummer bestätigt wird, sofern Sie eine angeben (SMSAPI, LINK Mobility Poland sp. z o.o.)	Telefonnummer, Text der Nachricht mit dem Code	Europäische Union (Polen)
Kartenkacheln	Anzeige von Karten im Stallverzeichnis und in Stallprofilen (OpenStreetMap Foundation, eigenständiger Empfänger; Datenschutzerklärung)	IP-Adresse, angeforderte Kartenkachel, User-Agent- und Referer-Header des Browsers	Vereinigtes Königreich

Wo Ihre Daten verarbeitet werden: Unsere Anwendungsserver und unsere Datenbank befinden sich in der Europäischen Union. Einige unterstützende Dienste — insbesondere die KI-Verarbeitung, die Website-Analyse und der E-Mail-Versand — werden aus Rechenzentren in den Vereinigten Staaten betrieben. Welcher Ort gilt, hängt von der konkret genutzten Funktion ab.

Internationale Datenübermittlungen: Soweit Daten außerhalb des Europäischen Wirtschaftsraums (EWR) übermittelt werden, stellen wir ein angemessenes Schutzniveau durch die von der Europäischen Kommission genehmigten Standardvertragsklauseln (SCC) sicher oder stützen uns, soweit anwendbar, auf das EU-US Data Privacy Framework (DPF) (Art. 44–49 DSGVO). Dies gilt auch für die oben aufgeführten KI-Empfänger: OpenRouter und die Modellanbieter, an die OpenRouter Anfragen weiterleitet, sind verpflichtet, Ihre Daten auf einem Niveau zu schützen, das dem im EWR gewährleisteten gleichwertig ist.

Die KI-Empfänger sind oben und in Abschnitt 5a einzeln benannt. Eine aktuelle Liste der übrigen einzelnen von uns eingesetzten Unterauftragsverarbeiter ist auf Anfrage unter support@studpulse.com erhältlich.

8. Speicherdauer

Wir speichern Daten nur so lange, wie es für die in dieser Erklärung beschriebenen Zwecke erforderlich ist:

Datenkategorie	Speicherdauer
Kontodaten (Name, E-Mail, Organisation)	Bis zur Kontolöschung + bis zu 90 Tage für die Abwicklung der Löschung
Pferde- und Betriebsdaten, Ereignisprotokolle	Bis zur Kontolöschung + bis zu 90 Tage
KI-Gesprächsverlauf (Threads des KI-Agenten)	Wird bei der Löschung Ihres Kontos gelöscht; einzelne Threads können jederzeit gelöscht werden
Sprachtranskriptionen	Transkripte in KI-Unterhaltungen werden mit Ihrem Konto gelöscht. Das Transkript einer Sprachnotiz, aus der ein Eintrag des Stalls geworden ist, bleibt Teil der Aufzeichnungen des Stalls, nach der Löschung Ihres Kontos ohne Ihren Namen
Ihre Einwilligung in die KI-Funktionen (und ihr Datum)	Bis Sie sie widerrufen oder Ihr Konto löschen
Push-Benachrichtigungstokens	Bis das Abonnement durch die nutzende Person oder den Browser widerrufen wird oder bis zur Kontolöschung
Geräte- und technische Protokolle (IP-Adressen, Fehlerprotokolle)	Rollierendes 90-Tage-Fenster
Google-Analytics-Daten	14 Monate (gemäß den GA-Aufbewahrungseinstellungen); es gilt die Datenschutzerklärung von Google
Anonymisierte aggregierte Statistiken	Unbefristet (nicht auf eine einzelne Person rückführbar)
Handynummer	Bis zur Löschung des Kontos
SMS-Bestätigungscodes und Protokoll der gesendeten Codes	Ein Code ist 10 Minuten gültig und wird nur als verschlüsselter Hash gespeichert; das Protokoll der gesendeten Codes (Nummer, IP-Adresse, Zeitpunkt, Versuche) bis zu 30 Tage
Ritt-Routen und Herzfrequenz	Gespeichert mit der Trainingseinheit, wie die übrigen Pferde- und Betriebsdaten; früher gelöscht, wenn die Route aus der Einheit gelöscht wird oder wenn das Konto der Person gelöscht wird, die sie hochgeladen hat oder geritten ist
Während einer Ritt-Aufzeichnung gesendete Positionen	Gelöscht, sobald der Ritt gespeichert ist. Eine Aufzeichnung ohne Signal seit 12 Stunden wird geschlossen und 7 Tage nach dem Schließen samt ihren Positionen gelöscht
Während einer Ritt-Aufzeichnung auf Ihrem Telefon gespeicherte Positionen	Vom Telefon entfernt, sobald der Ritt auf unseren Servern gespeichert oder verworfen wurde

9. Ihre Rechte (DSGVO)

Wenn Sie sich im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in einer anderen Rechtsordnung mit vergleichbarem Datenschutzrecht befinden, haben Sie das Recht auf:

Auskunft (Art. 15) — eine Kopie der personenbezogenen Daten anzufordern, die wir über Sie gespeichert haben.
Berichtigung (Art. 16) — uns aufzufordern, unrichtige oder unvollständige Daten zu berichtigen.
Löschung (Art. 17) — die Löschung Ihrer personenbezogenen Daten zu verlangen („Recht auf Vergessenwerden“). Sie müssen nicht danach fragen: Sie können Ihr Konto jederzeit selbst über Profilmenü → Kontoeinstellungen → Konto löschen (oder Sicherheit → Konto löschen) in der App oder der Webanwendung löschen. Was genau entfernt wird und was wir gesetzlich aufbewahren müssen, steht auf der Seite zur Kontolöschung.
Datenübertragbarkeit (Art. 20) — Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten (JSON oder CSV).
Widerspruch (Art. 21) — einer Verarbeitung auf Grundlage berechtigter Interessen zu widersprechen (Art. 6 Abs. 1 lit. f).
Einschränkung (Art. 18) — unter bestimmten Umständen eine Einschränkung der Verarbeitung zu verlangen.
Widerruf der Einwilligung — beruht die Verarbeitung auf einer Einwilligung (z. B. KI-Funktionen, Push-Benachrichtigungen, Sprachtranskription, GA-Cookies), können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Die Einwilligung in die KI-Funktionen widerrufen Sie mit dem Schalter KI-Funktionen in Ihren Kontoeinstellungen.
Automatisierte Entscheidungsfindung (Art. 22) — Sie haben das Recht, keiner ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden, die rechtliche oder ähnlich erhebliche Wirkung entfaltet. Der KI-Agent von StudPulse gibt ausschließlich Vorschläge und trifft niemals verbindliche automatisierte Entscheidungen; ein Mensch ist stets eingebunden.
Beschwerde (Art. 77) — Sie haben das Recht, bei Ihrer nationalen Datenschutzaufsichtsbehörde Beschwerde einzulegen. Eine Liste der EU-Aufsichtsbehörden führt der Europäische Datenschutzausschuss unter edpb.europa.eu.

Um eines dieser Rechte auszuüben, wenden Sie sich an support@studpulse.com. Wir antworten innerhalb von 30 Tagen und in komplexen Fällen innerhalb von 90 Tagen, wobei wir die Verlängerung vorab ankündigen.

10. Sicherheit

Wir schützen Ihre Daten mit branchenüblichen Maßnahmen:

Alle Daten werden über HTTPS (TLS 1.2+) übertragen.
Passwörter werden mit bcrypt gehasht und niemals im Klartext gespeichert.
Der API-Zugriff erfordert kurzlebige JWT-Zugriffstokens (30 Minuten Gültigkeit) und rotierende Refresh-Tokens (7 Tage Gültigkeit).
Eine strikte Datenisolierung stellt sicher, dass Nutzende nur auf Daten ihrer eigenen Organisation zugreifen können.
Meldung von Datenschutzverletzungen: Im Fall einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir die zuständige Aufsichtsbehörde innerhalb von 72 Stunden nach Bekanntwerden der Verletzung (Art. 33 DSGVO). Ist die Verletzung voraussichtlich mit einem hohen Risiko für Ihre Rechte und Freiheiten verbunden, benachrichtigen wir auch Sie unverzüglich unmittelbar (Art. 34 DSGVO).

Keine Übertragungs- oder Speichermethode ist zu 100 % sicher. Wenn Sie eine Sicherheitslücke entdecken, melden Sie sie bitte verantwortungsvoll an support@studpulse.com.

11. Datenschutz von Kindern

StudPulse ist ein B2B- und Profiwerkzeug und richtet sich nicht an Kinder. Wir erheben wissentlich keine personenbezogenen Daten von Minderjährigen.

EU/EWR (Art. 8 DSGVO): Nutzende müssen mindestens 16 Jahre alt sein (oder über eine überprüfbare Einwilligung der Eltern bzw. Erziehungsberechtigten verfügen, sofern das anwendbare nationale Recht ein niedrigeres Alter zulässt, mindestens jedoch 13 Jahre). Erfahren wir, dass Daten eines Kindes unter 16 Jahren ohne die erforderliche Einwilligung erhoben wurden, löschen wir sie umgehend.
Vereinigte Staaten (COPPA, 16 CFR Part 312): Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren. Wenn Sie glauben, dass uns ein Kind unter 13 Jahren personenbezogene Daten übermittelt hat, wenden Sie sich an support@studpulse.com, und wir löschen sie unverzüglich.

12. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. In diesem Fall aktualisieren wir das Datum „Zuletzt aktualisiert“ oben auf dieser Seite. Über wesentliche Änderungen informieren wir Sie mindestens 30 Tage vor deren Inkrafttreten per E-Mail oder durch einen Hinweis in der Anwendung.

13. Kontakt und anwendbares Recht

Bei datenschutzbezogenen Fragen, Datenanfragen oder zur Ausübung Ihrer Rechte wenden Sie sich an:
support@studpulse.com

Diese Datenschutzerklärung und alle sich daraus ergebenden Streitigkeiten unterliegen dem Recht der Europäischen Union und der Republik Polen (als Gerichtsstand des Verantwortlichen). Ihr Recht, nach geltendem Datenschutzrecht Verfahren bei Ihrer örtlichen Aufsichtsbehörde oder Ihren örtlichen Gerichten einzuleiten, bleibt davon unberührt.

14. Einwohnerinnen und Einwohner Kaliforniens (CCPA / CPRA)

Wenn Sie in Kalifornien ansässig sind, gewährt Ihnen der California Consumer Privacy Act (CCPA) in der durch den California Privacy Rights Act (CPRA) geänderten Fassung die folgenden Rechte:

Recht auf Kenntnis — Offenlegung der Kategorien und konkreten Bestandteile der über Sie erhobenen personenbezogenen Daten, der Kategorien von Quellen, der geschäftlichen oder kommerziellen Zwecke der Erhebung sowie der Kategorien von Dritten, an die wir sie weitergeben.
Recht auf Löschung — Löschung Ihrer personenbezogenen Daten zu verlangen, vorbehaltlich bestimmter Ausnahmen (z. B. Abschluss einer Transaktion, Sicherheitszwecke, gesetzliche Pflichten).
Recht auf Berichtigung — Berichtigung unrichtiger personenbezogener Daten zu verlangen, die wir über Sie führen.
Recht auf Widerspruch gegen Verkauf oder Weitergabe — Wir verkaufen Ihre personenbezogenen Daten nicht und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter. Sie müssen nichts abwählen, können uns aber unter support@studpulse.com kontaktieren, um dies schriftlich bestätigt zu bekommen.
Recht auf Beschränkung der Nutzung sensibler personenbezogener Daten — Wir nutzen oder offenbaren sensible personenbezogene Daten nicht über die vom CPRA erlaubten Zwecke hinaus.
Recht auf Nichtdiskriminierung — Wir benachteiligen Sie nicht, weil Sie Ihre Rechte nach CCPA/CPRA ausüben. Sie erhalten weder ein anderes Leistungsniveau noch andere Preise.

Kategorien erhobener personenbezogener Daten (CCPA-Kategorien): Identifikatoren (Name, E-Mail-Adresse, IP-Adresse); kommerzielle Informationen (Abonnementtarif); Internet- oder sonstige Netzwerkaktivität (Nutzungsprotokolle, aufgerufene Seiten); Audio-/elektronische Daten (Sprachtranskripte, sofern eingewilligt); abgeleitete Schlussfolgerungen (KI-generierte Betriebszusammenfassungen).

Shine the Light (California Civil Code § 1798.83): In Kalifornien ansässige Personen können einmal jährlich eine Liste der Kategorien personenbezogener Daten anfordern, die zu Zwecken der Direktwerbung an Dritte weitergegeben wurden. StudPulse gibt keine personenbezogenen Daten für Direktwerbung Dritter weiter.

Um eines Ihrer kalifornischen Rechte auszuüben, wenden Sie sich an support@studpulse.com mit dem Betreff „California Privacy Request“. Wir antworten innerhalb von 45 Tagen (verlängerbar um weitere 45 Tage nach Ankündigung).

15. Einwohnerinnen und Einwohner Nevadas

Kapitel 603A der Nevada Revised Statutes gibt in Nevada ansässigen Personen das Recht, dem „Verkauf“ bestimmter personenbezogener Daten an Dritte zu widersprechen. StudPulse verkauft keine personenbezogenen Daten im Sinne des Rechts von Nevada. Bei Fragen oder zur Einreichung eines Antrags wenden Sie sich an support@studpulse.com.