Datenschutzerklärung

1. Für wen dieser Text ist

Konzeptiv ist eine Sammlung von Werkzeugen für Trainings und Workshops. Drei Gruppen von Menschen kommen mit Konzeptiv in Berührung, und dieser Text richtet sich an alle drei:

• Trainer:innen, die Werkzeuge ohne Anmeldung nutzen oder ein Konzeptiv-Cloud-Konto anlegen.
• Teilnehmende eines Seminars, die über einen Link oder QR-Code beitreten. Sie legen nie ein Konto an und brauchen keine E-Mail-Adresse. Was sie eintippen, zeichnen oder als Namen angeben, bestimmen sie selbst. Solche Angaben können personenbezogen sein.
• Besucher:innen der Website und veröffentlichter Materialboards.

Die Nutzung ist auf zwei Wegen möglich:

• Ohne Anmeldung: Werkzeuge direkt im Browser starten und per QR-Code mit Teilnehmenden teilen. Keine Konten, automatische Löschung 60 Tage nach der letzten Nutzung (Abschnitt 4.7).
• Konzeptiv Cloud (mit Anmeldung): Seminarvorlagen, Seminartage, gespeicherte Tools („Meine Tools“), Tool-Vorlagen und veröffentlichte Materialboards geräteübergreifend speichern (Abschnitt 5).

2. Verantwortlicher

Valentin Rausch (geb. Wider)
Peter-Thumb-Straße 14
79100 Freiburg
E-Mail: v.rausch@konzeptiv.net

Bei Fragen zum Datenschutz können Sie sich jederzeit an die oben genannte Adresse wenden.

3. Besuch der Website

3.1 Hosting und Server-Logfiles

Die Website wird über Lovable ausgeliefert (Abschnitt 6). Der Hoster erhebt in sog. Logfiles technische Daten, die der Browser übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, HTTP-Statuscode, übertragene Datenmenge, Browserversion. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt.

Lovable liefert die Website über den Netzwerk- und Sicherheitsdienst von Cloudflare aus (Abschnitt 6). Jede Verbindung zur Website läuft deshalb über Cloudflare-Server; Cloudflare sieht dabei die Verbindungsdaten, darunter die IP-Adresse. Die Cloudflare-Einrichtung für konzeptiv.net liegt bei Lovable; Konzeptiv hat dort kein eigenes Konto.

3.2 Cookies und Messung beim Besuch der Website

Die Konzeptiv-Anwendung selbst setzt keine Cookies und bindet keine Analyse- oder Werbedienste ein (z. B. Google Analytics, Facebook Pixel). Es findet keine Weitergabe von Daten an Dritte zu Werbezwecken statt. Was Konzeptiv im Speicher Ihres Browsers ablegt, steht vollständig in Abschnitt 7.

Beim Aufruf der Website können die Auslieferungsplattform und der vorgeschaltete Netzwerkdienst Cookies setzen. Sie stammen nicht aus dem Konzeptiv-Quellcode, sondern werden bei der Auslieferung ergänzt; ob und wann sie gesetzt werden, bestimmen die Anbieter. Zuletzt gemessen wurden:

• __dpl (Lovable, Auslieferungsplattform): ordnet den Browser der ausgelieferten Programmversion der Website zu (sog. Deployment-Pinning). Der Wert besteht aus der Kennung der Programmversion, einem sekundengenauen Ablaufzeitpunkt und einer Prüfsumme; jeder Seitenabruf ersetzt ihn durch einen neuen. Bei der Messung erhielten alle Abrufe derselben Sekunde denselben Wert, auch mit unterschiedlichem Browser-Typ; er war dabei keine Kennung je Person. Das Cookie läuft nach rund sieben Tagen ab. Die Plattform schaltet es selbst ein und aus.
• __cf_bm (Cloudflare, vorgeschalteter Netzwerkdienst): Teil der Bot-Erkennung; soll Anfragen von automatischen Programmen von Anfragen echter Besucher:innen unterscheiden. Es läuft nach rund 30 Minuten ab.

Die Messung der Auslieferungsplattform ist abgeschaltet. Nach einer Prüfung vom 04.10.2026 (Startseite, Anmeldung, Hilfe, diese Seite und Teilnehmerlinks) laden die Seiten kein Messskript der Plattform und rufen keine Messschnittstelle auf.

3.3 Interne Nutzungsstatistik

Zur Verbesserung unseres Angebots werten wir die Nutzung von Konzeptiv ausschließlich in unserer eigenen Datenbank und nur in Form von Tagessummen aus (Anzahl der Konten, Anzahl genutzter Sitzungen je Werkzeug und Anzahl der Teilnehmenden je Sitzung). Dabei werden weder Tracking-Skripte noch Cookies eingesetzt; die gespeicherten Summen enthalten keine Namen, E-Mail-Adressen, IP-Adressen oder Sitzungskennungen und lassen keinen Rückschluss auf einzelne Personen zu. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Betrieb und Verbesserung des Angebots).

4. Teilnahme an einem Seminar und Nutzung ohne Anmeldung

4.1 Wie der Zugang funktioniert

Eine Trainer:in startet ein Werkzeug und erhält einen Link mit einer zufälligen, nicht erratbaren Sitzungskennung. Teilnehmende öffnen diesen Link oder scannen den QR-Code. Es gibt kein Konto, keine Anmeldung und keine E-Mail-Adresse. Manche Werkzeuge schützen den Beitritt zusätzlich mit einer PIN, die die Trainer:in ansagt. Beim einfachen Aufruf der Werkzeuge speichert Konzeptiv keine personenbezogenen Daten wie Namen, E-Mail-Adressen oder IP-Adressen zur Nutzeridentifikation. Was die Auslieferungsplattform beim Seitenaufruf erhebt, steht in Abschnitt 3.

Wer die richtige PIN eingibt, erhält für den geöffneten Browser-Tab einen zufälligen Zugangsnachweis und muss die PIN danach nicht erneut eingeben. Der Server speichert davon nur eine Prüfsumme. Der Nachweis gilt höchstens 12 Stunden und verfällt, sobald die PIN der Sitzung geändert wird. Abgelaufene oder widerrufene Nachweise löscht ein täglicher Datenbank-Job, sobald sie seit einem Tag ungültig sind.

Wer den Link besitzt, kann die Inhalte der Sitzung sehen, solange die Sitzung besteht. Der Link läuft nicht von selbst ab. Er verliert seine Wirkung erst mit der Löschung der Sitzung (Abschnitt 4.7). Geben Sie einen Sitzungslink deshalb nur an Personen weiter, die daran teilnehmen sollen.

4.2 Welche Daten die Werkzeuge speichern

Was Teilnehmende eintippen, zeichnen oder als Namen wählen, bestimmen sie selbst. Konzeptiv prüft und filtert diese Inhalte nicht. Freitext kann deshalb Namen, Firmenbezeichnungen, Angaben zur Gesundheit oder andere Angaben nach Art. 9 DSGVO enthalten, wenn Teilnehmende sie eingeben. Die Trainer:in steuert das allein über ihre Ansage.

Zur Zuordnung von Beiträgen zu einem Gerät (etwa damit eine Person ihre eigene Karte bearbeiten oder nur einmal abstimmen kann) erzeugt jedes Werkzeug eine zufällige Geräte-Kennung. Sie enthält keinen Namen und keine Adresse. Sie wird auf dem Gerät gespeichert (Abschnitt 4.3) und je nach Werkzeug im Klartext oder als Prüfsumme an den Server übertragen.

• Metaplanboard: Kartentexte, Textfelder, Rahmen- und Kategorietitel, Aufgabenstellungen und der Sitzungstitel (verschlüsselt, Abschnitt 4.5); Positionen und Farben von Karten, Linien und Rahmen (unverschlüsselt). Bei Abstimmungen zusätzlich je Karte die vergebenen Punkte zusammen mit der Geräte-Kennung, unverschlüsselt. Bei Aufstellungen (Skalen im Board) die Position je Runde zusammen mit einer Prüfsumme der Geräte-Kennung, unverschlüsselt. Für die Aufstellung können Teilnehmende freiwillig einen Anzeigenamen und einen Avatar angeben (Symbol, generiertes Bild oder ein selbst aufgenommenes Foto); beides wird verschlüsselt gespeichert. Ohne Angabe nimmt die Person mit einem generierten Avatar teil. Die Trainer:in kann Lese-Links auf ein Board erzeugen; wer einen solchen Link hat, sieht das Board ohne Schreibrecht.
• Skalenfragen: Die gewählten Zahlenwerte je Frage, zusammen mit der Geräte-Kennung, damit eine wiederholte Abgabe nicht doppelt zählt. Keine Namen.
• Gruppen: Eine Prüfsumme der Geräte-Kennung und die zugeloste Gruppenfarbe.
• Quiz und Umfrage: Frei wählbarer Nickname, Antworten, Punkte und Antwortzeiten, je Teilnahme mit einer Teilnahmekennung. Bei offenen Fragen und Wortwolken ist die Antwort Freitext; er wird unverschlüsselt gespeichert. Ist für eine Wortwolken-Folie die Option „KI-Sortierung“ eingeschaltet, werden die Begriffe zusätzlich an OpenAI übermittelt (Abschnitt 4.4).
• Postkarte: Nachrichtentext sowie optionale Absender- und Empfängernamen, verschlüsselt. Die Zeichnung auf der Vorderseite wird als Folge von Strichen (Koordinaten, Farbe, Strichstärke) in der Datenbank gespeichert, unverschlüsselt. Eine Bilddatei entsteht dabei nicht. Zusätzlich eine Prüfsumme der Geräte-Kennung je Karte sowie ein zufälliger Abgabeschlüssel, damit eine wiederholte Abgabe derselben Karte nicht doppelt ankommt.
• Ausreden: Die eingereichten Texte je Situation, unverschlüsselt, sowie je abgegebener Stimme die Geräte-Kennung der abstimmenden Person.
• ABC-Liste (früher A–Z-Liste): Der von der Trainer:in vergebene Titel und das Thema, die vorgegebenen Buchstaben oder das vorgegebene Wort, die Gruppenbezeichnung sowie zu jedem Buchstaben die frei eingegebenen Einträge. Zu jedem Eintrag kann ein selbst gewählter Anzeigename gespeichert werden; die Angabe ist freiwillig. Einträge und Anzeigenamen werden unverschlüsselt gespeichert.
• Montagsmaler: Ein selbst gewählter Spielername, die Zeichenstriche jeder Runde, die Punktestände sowie alle eingegebenen Rateversuche im Wortlaut, auch die falschen und auch solche, die gar kein Rateversuch sind. Diese Daten werden unverschlüsseltgespeichert.
• Seminar-Bühne: Ein Zugang je Seminartag, über den die Trainer:in das gerade aktive Werkzeug auf die Geräte der Teilnehmenden schaltet. Der Server speichert dazu nur, welches Werkzeug aktiv ist. Ein auf der Bühne eingegebener Anzeigename bleibt auf dem Gerät (Abschnitt 4.3). Der Bühnenzugang verfällt 30 Tage nach der letzten Aktivierung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung interaktiver Workshop-Tools).

4.3 Was auf Ihrem Gerät gespeichert bleibt

Damit Sie nach einem Neuladen der Seite Ihre eigenen Beiträge weiter bearbeiten können und nicht doppelt abstimmen, speichert Konzeptiv Angaben im Speicher Ihres Browsers (localStorage, sessionStorage). Das geschieht auf dem Gerät, auf dem Sie teilnehmen, ohne Konto und ohne Cookie. Je nach Werkzeug sind das:

• die zufällige Geräte-Kennung je Sitzung (etwa für Quiz, Montagsmaler, Skalenfragen, Ausreden, Gruppen, Postkarte, Metaplanboard),
• Entwürfe, die Sie noch nicht abgeschickt haben (Kartentext, Kartenstapel im Metaplanboard),
• Ihr Abstimmstand und Ihre Aufstellungsposition, damit die Anzeige nach einem Neuladen stimmt,
• freiwillig eingegebene Anzeigenamen und der gewählte Avatar (beim Metaplanboard einschließlich eines selbst aufgenommenen Fotos, wenn Sie eines gewählt haben),
• der Anzeigename auf der Seminar-Bühne und die Kennung der Bühne, an der der geöffnete Tab hängt,
• der Zugangsnachweis nach einer richtigen PIN-Eingabe (Abschnitt 4.1),
• bei der Postkarte der Abgabeschlüssel einer Karte, deren Eingang noch nicht bestätigt ist,
• bei Selbsttests Ihre Antworten und Ihr Fortschritt im sessionStorage; sie werden nie übertragen und enden mit dem Tab, „Neu starten“ löscht sie sofort,
• Zähler einer Missbrauchsbremse (verhindert zu viele Anfragen in kurzer Zeit).

Diese Angaben verlassen Ihr Gerät nur so weit, wie Abschnitte 4.1 und 4.2 es beschreiben. Angaben im sessionStorage, etwa der Zugangsnachweis nach der PIN-Eingabe und die Kennung der Seminar-Bühne, enden, wenn Sie den Tab schließen. Alle übrigen bleiben auf dem Gerät liegen, bis Sie die Website-Daten Ihres Browsers löschen. Die serverseitige Löschung der Sitzung (Abschnitt 4.7) räumt sie nicht ab; Konzeptiv hat auf Ihr Gerät keinen Zugriff. Auf einem geteilten Gerät kann die nächste Person diese Angaben also sehen, wenn sie dieselbe Sitzung öffnet. Sie löschen sie in den Einstellungen Ihres Browsers unter „Website-Daten“ für konzeptiv.net.

Ist der Speicher gesperrt (etwa im privaten Modus), funktioniert die Teilnahme trotzdem; die Angaben werden dann nur für die Dauer des geöffneten Fensters im Arbeitsspeicher gehalten.

5. Konzeptiv Cloud (Nutzung mit Anmeldung)

Wer ein Cloud-Konto anlegt, kann Seminarvorlagen, Seminartage, gespeicherte Tools („Meine Tools“), Tool-Vorlagen und veröffentlichte Materialboards geräteübergreifend speichern. Jede Kund:in sieht ausschließlich eigene Daten (Owner-Modell mit Row-Level-Security).

5.1 Verarbeitete Daten

• E-Mail-Adresse und Anzeigename
• Passwort (gehasht mit bcrypt, niemals im Klartext)
• Login-Zeitpunkt und IP-Adresse zur Sitzungsverwaltung
• Selbst angelegte Seminarvorlagen, Seminartage, gespeicherte Tools („Meine Tools“) und Tool-Vorlagen
• Materialboards inkl. eingegebener Inhalte, Links, Bild-Uploads und bewusst freigegebener Handschrift (Abschnitt 5.3)
• Optionale öffentliche Profilangaben (Abschnitt 5.3)

5.2 Anmeldeverfahren

Die Anmeldung erfolgt aktuell ausschließlich per E-Mail-Adresse und Passwort. Eine Anmeldung über Drittanbieter (z. B. Google) ist derzeit nicht möglich. Zur Bestätigung der Registrierung, zum Zurücksetzen des Passworts und zur Änderung der E-Mail-Adresse versendet Konzeptiv E-Mails (Abschnitt 6.1).

5.3 Materialboards, Datei-Uploads und öffentliche Profilangaben

Materialboards teilen Sie über Zugangsschlüssel, die Sie selbst erzeugen und jederzeit widerrufen können. Wer einen gültigen Schlüssel-Link hat, sieht das Board ohne Anmeldung. Boards, für die früher ein öffentlicher Link (/m/:slug) erzeugt wurde, bleiben darüber ohne Schlüssel abrufbar, bis Sie diesen Link im Teilen-Dialog abschalten; neue öffentliche Links lassen sich nicht mehr erzeugen. Hochgeladene Bilder werden in einem dedizierten Storage-Bucket abgelegt; die Anzeige erfolgt über signierte URLs mit begrenzter Gültigkeit (derzeit zehn Minuten), die während der Anzeige automatisch erneuert werden. Eine bereits ausgestellte URL bleibt bis zum Ablauf ihrer Gültigkeit funktionsfähig, auch wenn Sie den Zugang zwischenzeitlich widerrufen, abschalten oder das Board löschen. Beim Hinzufügen eines Links wird dessen Ziel-URL einmalig durch eine Edge-Funktion abgerufen, um Vorschaubild und -text zu erzeugen (sog. „Unfurl“). Dabei wird die IP der Konzeptiv-Infrastruktur an den Zielserver übertragen, nicht die Ihre.

Öffentliche Profilangaben. Im Profil können Sie getrennt von Ihren Kontodaten Angaben hinterlegen, die auf Ihren Materialboards erscheinen sollen: öffentlicher Name, Organisation, Postanschrift, E-Mail-Adresse, Telefonnummer, LinkedIn-Adresse und ein Profilbild. Beim Veröffentlichen wählen Sie je Board einzeln aus, welche davon als Handschrift auf diesem Board erscheinen. Alles, was Sie auswählen, ist für jede Person sichtbar, die den Permalink kennt. Die Login-E-Mail wird dafür niemals automatisch verwendet. Die Auswahl wird als boardgebundener Schnappschuss gespeichert; spätere Profiländerungen werden erst nach einer erneuten, bewussten Veröffentlichung sichtbar. Ein ausgewähltes Profilbild wird dabei aus dem privaten Profilbereich in den geschützten Dateibereich des Boards kopiert und wie andere Board-Bilder nur über zeitlich begrenzte signierte URLs ausgeliefert.

Schlüssel-Links. Sie können für ein Board Links mit Lese- oder Bearbeitungsrecht erzeugen und widerrufen. Konzeptiv speichert davon eine Prüfsumme; damit Sie einen Link später erneut anzeigen können, wird er zusätzlich mit einem Schlüssel verschlüsselt abgelegt, der außerhalb der Datenbank in der Laufzeitumgebung der Serverfunktionen liegt.

Ablauf von Materialboards. Materialboards, die zwölf Monate lang nicht bearbeitet wurden, werden automatisch gelöscht, mit ihren Dateien. Der erste Lauf dieser Regel löscht kein Board vor dem 19.09.2027. Nach der Löschung bleibt für 90 Tage nur der Permalink-Name gespeichert, damit Besucher:innen einen Hinweis statt einer Fehlerseite sehen; Inhalte bleiben dabei nicht erhalten.

5.4 Rechtsgrundlage, Zweck und Speicherdauer

Die Verarbeitung erfolgt zur Bereitstellung des persönlichen Arbeitsbereichs auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). System-E-Mails (Anmeldebestätigung, Passwort-Reset) werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO versendet.

Konto-, Seminar- und Vorlagendaten (Seminarvorlagen, Seminartage und Tool-Vorlagen) werden bis zur Löschung des Kontos durch die nutzende Person gespeichert.

Einträge in „Meine Tools“ werden zwölf Monate (365 Tage) nach ihrer letzten Nutzung automatisch gelöscht, zusammen mit den Ergebnissen der zugehörigen Tool-Session. Als Nutzung zählt insbesondere das Öffnen und das Bearbeiten des Eintrags. Das gilt für alle Werkzeuge, auch für solche ohne Ergebnisse von Teilnehmenden (etwa Sanduhr oder Glücksrad), und auch für Einträge, die nie gestartet wurden.

Übrige Tool-Sessions, die einem Account zugeordnet sind (etwa aus einem Seminartag), werden nach 365 Tagen (12 Monaten) Inaktivität automatisch gelöscht. Materialboards laufen zwölf Monate nach der letzten Bearbeitung ab (Abschnitt 5.3).

5.5 Profil bearbeiten und Konto löschen

Im Account-Bereich („Profil“) können Anzeigename, E-Mail-Adresse, Passwort und öffentliche Profilangaben jederzeit geändert werden. Über die Funktion „Konto löschen“ wird das Nutzerkonto inklusive aller persönlichen Daten (Profil, Seminarvorlagen, Seminartage, gespeicherte Tools, Tool-Vorlagen, Materialboards samt hochgeladener Dateien) unwiderruflich entfernt.

Tool-Sessions, die Sie mit Konto angelegt haben, werden dabei mitgelöscht: für alleTools, also auch für die ABC-Liste und den Montagsmaler. Diese beiden waren bis zum 10.09.2026 ausgenommen; die Kopplung an das Konto ist seither hergestellt und wirkt auf Datenbankebene, also unabhängig davon, auf welchem Weg das Konto gelöscht wird.

Gesondert behandelt wird das Versandprotokoll transaktionaler E-Mails (Empfängeradresse, Vorlagenname, Zeitpunkt und Zustellstatus). Es dient dem Nachweis der Zustellung und dem Umgang mit unzustellbaren Adressen. Bei der Kontolöschung wird die Empfängeradresse dieser Einträge überschrieben; erhalten bleibt nur die anonyme Zustellstatistik (Vorlagenname, Zeitpunkt, Status). Unabhängig davon werden Protokolleinträge spätestens nach 90 Tagen vollständig gelöscht, verbrauchte Abmelde-Links nach 30 Tagen. Bestehen bleibt allein die Liste der Adressen, die dem Empfang widersprochen haben oder unzustellbar waren. Ohne sie könnten wir den Widerspruch nicht beachten. Auf Anfrage an v.rausch@konzeptiv.net löschen wir auch diese Einträge.

5.6 Verbindung mit Drittanwendungen (MCP-Schnittstelle)

Konzeptiv stellt eine Schnittstelle bereit, über die Sie eine selbst gewählte externe Anwendung (etwa einen KI-Assistenten) mit Ihrem Konto verbinden können. Die Verbindung kommt nur zustande, wenn Sie sie auf einer Freigabeseite von Konzeptiv ausdrücklich zulassen. Danach kann die verbundene Anwendung in Ihrem Namen Seminare anlegen, auflisten, lesen und ändern, Phasen hinzufügen sowie Quiz-, Umfrage- und Skalenfragen anlegen, ändern und entfernen. Sie erhält außerdem Ihre E-Mail-Adresse und Ihre Kontokennung. Teilnehmerbeiträge aus Live-Sitzungen gibt die Schnittstelle nicht heraus.

Was die verbundene Anwendung mit diesen Daten tut, liegt außerhalb von Konzeptiv und in der Verantwortung ihres Anbieters. Prüfen Sie dessen Datenschutzhinweise, bevor Sie eine Verbindung zulassen.

6. Hosting und Auftragsverarbeiter

Konzeptiv setzt folgende Dienstleister ein, die Daten in seinem Auftrag verarbeiten:

• Lovable (Lovable Labs Incorporated, USA): Auslieferung der Website, Betrieb der Datenbank, der Authentifizierung, des Dateispeichers und der Serverfunktionen als verwaltete Umgebung („Lovable Cloud“) und Versand der System-E-Mails (Abschnitt 6.1). Als Betreiber der Datenbank hat Lovable technischen Zugriff auf alle gespeicherten Daten, auch auf die in Abschnitt 4.5 beschriebenen entschlüsselten Inhalte.
• Supabase (Infrastrukturanbieter von Lovable; die Datenbank liegt in einem AWS-Rechenzentrum in Irland, EU, Region eu-west-1): Datenbank, Authentifizierung, Dateispeicher und Serverfunktionen.
• OpenAI (OpenAI, L.L.C.): nur für die KI-Sortierung von Wortwolken, nur wenn eingeschaltet (Abschnitt 4.4). Verarbeitung in den USA. Einzelheiten unten.

Cloudflare: Lovable liefert die Website über den Netzwerk- und Sicherheitsdienst von Cloudflare aus, einschließlich Bot-Erkennung mit dem Cookie __cf_bm (Abschnitt 3.2). Cloudflare sieht dabei die Verbindungsdaten der Website-Aufrufe, darunter die IP-Adresse. Lovable setzt den Dienst ein und betreibt die Einrichtung für konzeptiv.net; Konzeptiv hat dort kein eigenes Konto und keinen eigenen Vertrag mit Cloudflare.

Serverfunktionen und der Authentifizierungsdienst schreiben Protokolle zur Fehleranalyse und Sicherheitsüberwachung. Zu den Server-Logfiles der Website siehe Abschnitt 3.1.

6.1 E-Mail-Versand über Lovable

Die E-Mails zur Bestätigung der Registrierung, zum Zurücksetzen des Passworts und zur Änderung der E-Mail-Adresse versendet Konzeptiv über den E-Mail-Dienst von Lovable, von der Absenderadresse noreply@notify.konzeptiv.net. Dabei erhält Lovable die Empfängeradresse und den Inhalt der jeweiligen E-Mail. Andere E-Mails versendet Konzeptiv derzeit nicht. Zum Versandprotokoll siehe Abschnitt 5.5.

6.2 OpenAI (KI-Sortierung von Wortwolken)

Für die Funktion „KI-Sortierung“ in Wortwolken-Fragen setzt Konzeptiv OpenAI, L.L.C. (San Francisco, Kalifornien, USA) als Auftragsverarbeiter ein. Die Funktion ist je Wortwolken-Folie einzeln zuschaltbar und standardmäßig ausgeschaltet.

• Welche Daten: die von den Teilnehmenden frei eingegebenen Begriffe einer Wortwolken-Frage, vereinheitlicht in Kleinschreibung und ohne Satzzeichen, je Begriff auf 100 Zeichen gekürzt, jeweils mit der Anzahl der Nennungen. Höchstens 200 Begriffe je Auswertung. Keine Nicknames, keine Teilnehmer- oder Sitzungskennungen, nicht die Fragestellung, keine Zuordnung eines Begriffs zu einer Person.
• Freitext: Die Begriffe stammen aus einem freien Eingabefeld. Sie können Namen, Firmen- oder Kundenbezeichnungen, Angaben zur Gesundheit oder andere Angaben nach Art. 9 DSGVO enthalten. Konzeptiv kann das weder erkennen noch technisch ausschließen.
• Zweck: ausschließlich das Zusammenfassen von Schreibvarianten desselben Begriffs (Tippfehler, Singular/Plural, Wortformen) für die Anzeige der Wortwolke. Keine Auswertung darüber hinaus, kein Profiling.
• Wohin: Vereinigte Staaten von Amerika (Drittland im Sinne des Kapitels V DSGVO).
• Grundlage der Übermittlung: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in Verbindung mit dem Datenverarbeitungszusatz von OpenAI.
• Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO. Bei Nutzung über ein Cloud-Konto handelt Konzeptiv insoweit auf Weisung der trainierenden Person; OpenAI ist dann Unterauftragsverarbeiter nach § 7 der AVV.

Hinweispflicht der Trainer:innen: Wer die KI-Sortierung einschaltet, muss die eigenen Teilnehmenden vor der Frage über diese Übermittlung informieren und ihnen nahelegen, keine personenbezogenen Angaben in die Wortwolke zu schreiben. Bleibt die Option ausgeschaltet, werden keine Daten an OpenAI übermittelt.

6.3 Übermittlung in Drittländer

Für Hosting und Betrieb dieser Anwendung nutzen wir Lovable (Lovable Labs Incorporated, USA). Die Daten der Anwendung liegen bei einem Infrastrukturanbieter in einem Rechenzentrum in Irland (EU). Beim Aufruf der Seite werden technische Daten wie die IP-Adresse über ein weltweites Auslieferungsnetz verarbeitet (Abschnitt 3.1); dadurch kann eine Verarbeitung auch außerhalb der EU stattfinden. Soweit personenbezogene Daten in Drittländer übermittelt werden, stützen wir uns auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder, bei zertifizierten Anbietern, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO). Für die KI-Sortierung von Wortwolken siehe Abschnitt 6.2.

7. Cookies, Tracking und Speicherung auf Ihrem Gerät

Die Konzeptiv-Anwendung setzt selbst keine Cookies und bindet keine Analyse- oder Werbedienste ein. Beim Aufruf der Website können die Auslieferungsplattform das Cookie __dpl und Cloudflare das Cookie __cf_bm setzen (Abschnitt 3.2). Im Speicher Ihres Browsers legt Konzeptiv ab:

• Im angemeldeten Zustand: den technisch notwendigen Auth-Token im localStorage, damit Sie eingeloggt bleiben, sowie Ihre Einstellungen für die Seminarplanung (Ansicht, Farbschema, aktives Seminar). Ein Abmelden entfernt diese Einträge.
• Als Trainer:in ohne Konto: Ihre lokal gespeicherten Seminartage, Tools und Tool-Vorlagen sowie die Nachweise, dass Sie eine Sitzung gestartet haben (Moderationsrechte). Ohne diese Einträge könnten Sie eine gestartete Sitzung nach einem Neuladen nicht mehr steuern.
• Als Teilnehmende: die in Abschnitt 4.3 beschriebenen Kennungen, Entwürfe und Einstellungen.

Die Speicherung des Auth-Tokens ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei (unbedingt erforderlich).

8. Auftragsverarbeitung (AVV)

Wenn Sie Konzeptiv Cloud geschäftlich nutzen und dabei personenbezogene Daten Ihrer Teilnehmenden, Kund:innen oder Materialboard-Besucher:innen verarbeiten lassen, ist Konzeptiv insoweit Ihr Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

Die zugehörige Vereinbarung (inklusive der Liste der Unterauftragsverarbeiter sowie technischer und organisatorischer Maßnahmen) finden Sie hier: Auftragsverarbeitungs-Vereinbarung. Mit der Anmeldung eines Cloud-Kontos zur geschäftlichen Nutzung gilt diese AVV als zwischen Ihnen und Konzeptiv abgeschlossen. Für die rein private oder anonyme Solo-Nutzung ohne Account ist keine AVV erforderlich.

9. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Wenden Sie sich dazu an v.rausch@konzeptiv.net.

10. Transportverschlüsselung

Diese Seite nutzt aus Sicherheitsgründen eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://“ in der Adresszeile und am Schloss-Symbol Ihres Browsers.

11. Aktualität dieser Datenschutzerklärung

Stand: 07.10.2026. Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung steht unter /datenschutz.

Änderung vom 07.10.2026: Als Vertragspartnerin für Hosting und Betrieb ist Lovable Labs Incorporated, USA, genannt; die bisher genannte Gesellschaft von Lovable traf nach den Geschäftsbedingungen und dem Auftragsverarbeitungsvertrag von Lovable nicht zu. Supabase ist als Infrastrukturanbieter von Lovable bezeichnet. Neu ist der Abschnitt 6.3 zur Übermittlung in Drittländer.

Änderung vom 06.10.2026: Die Auslieferungsplattform setzte bei der Messung auf Seitenanfragen das Cookie __dpl, das den Browser der ausgelieferten Programmversion zuordnet; es war am 04.10.2026 nicht gesetzt und ist es am 06.10.2026 wieder (Abschnitte 3.2 und 7). Die Abschnitte 3.2 und 7 sagten seit dem 04.10.2026, nur Cloudflare setze ein Cookie, die Änderung vom 04.10.2026, __dpl werde nicht mehr gesetzt; beides traf nicht mehr zu. Der Standort der Datenbank ist das AWS-Rechenzentrum in Irland (Region eu-west-1), nicht Frankfurt (Abschnitt 6). Die Aufbewahrung der täglichen Datenbanksicherungen von rund 14 Tagen ist beziffert (Abschnitt 4.7), und das Impressum trägt einen Stand.

Änderung vom 04.10.2026: Die Messung der Auslieferungsplattform maß bis zur Veröffentlichung am 04.10.2026 (Cookies __dpl und session-id, Seitenaufruf-Messung mit der vollständigen Seitenadresse); die Messung war am 03.10.2026 in den Projekteinstellungen abgeschaltet worden und lief danach noch weiter. Bei der Prüfung am 04.10.2026 nach der Veröffentlichung luden die Seiten kein Messskript der Plattform mehr und riefen keine Messschnittstelle auf; das Cookie session-id wurde nicht mehr gesetzt, das Cookie __dpl am 04.10.2026 ebenfalls nicht (zu seinem Stand am 06.10.2026 siehe unten). Die Abschnitte 6 und 7 verweisen nicht mehr auf eine Messung. Die interne Nutzungsstatistik (Abschnitt 3.3) ist unverändert.

Änderung vom 03.10.2026: Die Auslieferungsplattform setzte Cookies und maß Seitenaufrufe einschließlich der vollständigen Seitenadresse; Abschnitt 3.2 sagte bisher, es gebe keine Cookies und kein Tracking, und nannte diese Cookies und die Messung nicht (Abschnitte 3.2 und 7). Cloudflare ist als vorgeschalteter Dienst der Auslieferung genannt (Abschnitte 3.1 und 6). Die Aussage, ein Cookie-Banner sei nicht erforderlich, ist entfallen (Abschnitt 7).

Änderung vom 25.09.2026: Zugangsnachweis nach einer richtigen PIN-Eingabe, seine Gültigkeit und Löschung (Abschnitte 4.1 und 4.3); Skalenfragen speichern die Geräte-Kennung, damit eine wiederholte Abgabe nicht doppelt zählt, und die Postkarte einen Abgabeschlüssel je Karte (Abschnitt 4.2); die Speicherung auf dem Gerät unterscheidet Angaben, die mit dem Tab enden, von dauerhaft gespeicherten; die Kennung der Seminar-Bühne gilt nur noch für den geöffneten Tab (Abschnitt 4.3).

Änderung vom 23.09.2026: Einträge in „Meine Tools“ werden für alle Werkzeuge zwölf Monate nach ihrer letzten Nutzung gelöscht, zusammen mit ihrer Session; das Öffnen eines Eintrags zählt als Nutzung (Abschnitte 4.7 und 5.4). Die vorige Fassung nannte für solche Einträge die Speicherung bis zur Löschung des Kontos; ihre Sessions liefen unabhängig davon ab.

Änderungen in der Fassung vom 22.09.2026 gegenüber September 2026: vollständige Aufzählung der je Werkzeug gespeicherten Daten einschließlich Abstimmungen, Aufstellungspositionen und Stimmen mit Geräte-Kennung (Abschnitt 4.2); Beschreibung der Postkarten-Zeichnung als Strichfolge in der Datenbank statt als Bilddatei (Abschnitt 4.2); neuer Abschnitt zur Speicherung auf dem Gerät der Teilnehmenden (Abschnitt 4.3); Hinweis auf den Betreiberzugriff von Lovable (Abschnitt 4.5); Nennung der öffentlichen Profilangaben im Einzelnen und der Schlüssel-Links (Abschnitt 5.3); Ablauffrist für Materialboards (Abschnitt 5.3); neuer Abschnitt zur Schnittstelle für Drittanwendungen (Abschnitt 5.6); Korrektur des E-Mail-Versands: Lovable statt Resend (Abschnitt 6.1); Aktualisierung der Gesetzesbezeichnung TDDDG, vormals TTDSG (Abschnitt 7).

Frühere Änderungen (Fassung September 2026): Aufnahme von OpenAI als Auftragsverarbeiter für die KI-Sortierung von Wortwolken; Ergänzung der A–Z-Liste und des Montagsmalers in der Tool-Übersicht; Klarstellung der Aufbewahrungsfristen (60 Tage ohne Konto, 365 Tage mit Konto); Präzisierung der Aussagen zur Verschlüsselung und zum Zugriff auf Materialboard-Dateien; Aufbewahrungsfrist für das Versandprotokoll transaktionaler E-Mails (90 Tage) und Anonymisierung der Empfängeradresse bei Kontolöschung. Änderung vom 10.09.2026: Die Kontolöschung erfasst auch Sitzungen der A–Z-Liste und des Montagsmalers (Abschnitt 5.5).