Konzeptiv
    Anmelden

    Datenschutzerklärung

    Stand: August 2026

    1. Datenschutz auf einen Blick

    Konzeptiv ist eine Sammlung von Tools für Trainings und Workshops. Die Nutzung ist auf zwei Wegen möglich:

    • Solo-Modus (ohne Anmeldung): Tools direkt im Browser nutzen, Sessions per QR-Code mit Teilnehmenden teilen, keine Konten, keine Nutzeridentifikation, automatische Löschung nach 60 Tagen. Was Teilnehmende in die Tools eintippen oder zeichnen, bestimmen sie selbst – solche Freitexte können personenbezogene Angaben enthalten (siehe Abschnitt 3).
    • Konzeptiv Cloud (mit Anmeldung): Seminarvorlagen, Durchführungen, Tool-Vorlagen und veröffentlichte Materialboards geräteübergreifend speichern.

    Teilnehmende eines Seminars müssen sich nie anmelden – sie scannen lediglich einen QR-Code.

    2. Verantwortlicher

    Valentin Rausch
    Peter-Thumb-Straße 14
    79100 Freiburg
    E-Mail: v.rausch@konzeptiv.net

    Bei Fragen zum Datenschutz können Sie sich jederzeit an die oben genannte Adresse wenden.

    Rollen im Sinne der DSGVO: Für die eigene Website, Solo-Nutzung und alle Cloud-Konto-Daten ist Konzeptiv Verantwortlicher. Wenn Sie als Trainer:in Konzeptiv Cloud geschäftlich nutzen und dabei Daten Ihrer Teilnehmenden oder Materialboard-Besucher:innen verarbeiten lassen, ist Konzeptiv insoweit Ihr Auftragsverarbeiter nach Art. 28 DSGVO. Es gilt unsere Auftragsverarbeitungs-Vereinbarung.

    3. Nutzung ohne Anmeldung

    Beim einfachen Aufruf der Tools werden keine personenbezogenen Daten wie Namen, E-Mail-Adressen oder IP-Adressen zur Nutzeridentifikation gespeichert. Es werden keine Tracking-Cookies gesetzt.

    Interaktive Tools (Metaplan, Skalenfragen, Gruppen, Quiz, Postkarte, Ausreden, A–Z-Liste, Montagsmaler)

    Bei der Nutzung der interaktiven Tools werden folgende Daten temporär gespeichert:

    • Metaplan-Karten: Textinhalte und Position auf dem Board (verschlüsselt)
    • Metaplan-Aufstellung: In der Aufstellungs-Ansicht optional ein selbst gewählter Anzeigename sowie ein Avatar (Icon, generiertes Bild oder ein selbst aufgenommenes Selfie-Foto) – beides wird verschlüsselt gespeichert und mit der Session nach 60 Tagen gelöscht. Die Angabe ist freiwillig; ohne sie nimmt die teilnehmende Person mit einem generierten Avatar teil.
    • Skalenfragen: Anonyme Antworten (nur Zahlenwerte, keine IDs)
    • Gruppenaufteilung: Zufällige Farbzuweisungen (anonymisiert per Hash)
    • Quiz / Umfrage: Frei wählbarer Nickname, Antworten, Punkte und Antwortzeiten. Bei offenen Fragen und Wortwolken sind die Antworten Freitext, den die Teilnehmenden selbst formulieren; er wird unverschlüsselt gespeichert. Ist für eine Wortwolken-Folie die Option „KI-Sortierung" eingeschaltet, werden die eingegebenen Begriffe zusätzlich an OpenAI übermittelt – siehe den folgenden Kasten und Abschnitt 5.
    • Postkarte: Nachrichtentext sowie optionale Absender- und Empfängernamen (verschlüsselt). Die Zeichnung selbst wird als Bilddatei im Speicher abgelegt und ist nicht zusätzlich verschlüsselt.
    • Ausreden: Einreichungen und Stimmen
    • A–Z-Liste: Der von der trainierenden Person vergebene Titel und das Thema, die Gruppenbezeichnung sowie zu jedem Buchstaben die frei eingegebenen Einträge der Teilnehmenden. Zu jedem Eintrag kann ein selbst gewählter Anzeigename gespeichert werden; die Angabe ist freiwillig, ohne sie erscheint der Eintrag ohne Namen. Einträge und Anzeigenamen werden unverschlüsseltgespeichert und mit der Session gelöscht.
    • Montagsmaler: Ein selbst gewählter Spielername, die Zeichenstriche jeder Runde, die Punktestände sowie alle eingegebenen Rateversuche im Wortlaut – auch die falschen und auch solche, die gar kein Rateversuch sind. Diese Daten werden unverschlüsseltgespeichert und mit der Session gelöscht.

    Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bereitstellung interaktiver Workshop-Tools).

    🤖 KI-Sortierung der Wortwolke (Übermittlung an OpenAI)

    Für Wortwolken-Fragen in Quiz und Umfrage kann die trainierende Person je Folie die Option „KI-Sortierung" einschalten. Sie ist standardmäßig ausgeschaltet. Ist sie eingeschaltet, werden nach dem Schließen der Folie die von den Teilnehmenden frei eingegebenen Begriffe – vereinheitlicht in Kleinschreibung, ohne Satzzeichen, je Begriff auf 100 Zeichen gekürzt – zusammen mit der Häufigkeit ihrer Nennung an OpenAI, L.L.C. (USA) übermittelt. Zweck ist ausschließlich, Tippfehler und Wortformen desselben Begriffs zusammenzufassen. Je Auswertung werden höchstens 200 Begriffe übertragen. Nicknames, Teilnehmer-Kennungen und die Zuordnung eines Begriffs zu einer Person werden nicht mitgesendet.

    Es handelt sich um Freitext. Was Teilnehmende in eine Wortwolke schreiben, entscheiden sie selbst – Namen, Firmen- oder Kundenbezeichnungen, Angaben zur Gesundheit oder andere Angaben nach Art. 9 DSGVO können darin stehen. Technisch lässt sich das weder erkennen noch verhindern. Die Übermittlung erfolgt in die USA und damit in ein Drittland; sie stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO; bei Nutzung über ein Cloud-Konto handelt Konzeptiv insoweit auf Weisung der trainierenden Person (Abschnitt 7 und § 7 der AVV).

    Wenn Sie als Trainer:in diese Option nutzen: Informieren Sie Ihre Teilnehmenden vor der Frage über diese Übermittlung und weisen Sie darauf hin, keine personenbezogenen Angaben in die Wortwolke zu schreiben. Bleibt die Option ausgeschaltet, findet keine Übermittlung an OpenAI statt.

    🔒 Serverseitige Verschlüsselung (AES-128)

    Alle Textinhalte im Metaplanboard sowie alle Postkarten-Texte (Nachricht, Absender, Empfänger) werden serverseitig mit AES-Verschlüsselung (pgp_sym_encrypt, AES-128) geschützt. Der Verschlüsselungsschlüssel steht in einer eigenen Tabelle, die über die öffentliche Schnittstelle gesperrt ist und nur von serverseitigen Funktionen gelesen wird.

    Was diese Verschlüsselung leistet – und was nicht: Der Schlüssel liegt in derselben Datenbank wie die verschlüsselten Inhalte. Der Schutz wirkt deshalb gegen Zugriffe über die Programmierschnittstelle und gegen versehentlich zu weit gesetzte Leserechte. Er wirkt nicht gegen jemanden, der die Datenbank als Ganzes kopieren kann oder über Administrationsrechte auf ihr verfügt – wer den Datenbestand hat, hat auch den Schlüssel. Die anderen Tools (Quiz, Umfrage, A–Z-Liste, Montagsmaler, Ausreden, Skalenfragen) speichern ihre Inhalte unverschlüsselt.

    🔐 Zugriff über den Session-Link

    Der Zugriff auf die Inhalte einer Session (z. B. Metaplanboard oder Postkarte) erfolgt über den Session-Link, der eine nicht erratbare, zufällige Session-Kennung enthält. Ein Zugriff über die öffentliche Programmierschnittstelle an der Anwendung vorbei ist gesperrt: Die betroffenen Tabellen sind serverseitig durch Row-Level-Security geschützt, und Inhalte werden über autorisierte, serverseitige Funktionen ausgeliefert. Wer den Link nicht besitzt, hat über diesen Weg keinen Zugang zu den Inhalten. Der Betrieb der Datenbank selbst (Administration, Backups, Support beim Cloud-Anbieter) ist davon nicht erfasst.

    🗑️ Automatische Datenlöschung nach 60 Tagen

    Sessions, die ohne Account erstellt wurden, werden 60 Tage nach der letzten Nutzung vollständig und unwiderruflich gelöscht – inklusive aller Karten, Texte, Rahmen, Linien und Metadaten. Die Löschung erfasst alle acht Tools (Metaplan, Gruppen, Skalenfragen, Ausreden, Quiz, Postkarte, A–Z-Liste, Montagsmaler) und läuft als täglicher Datenbank-Job. Fehlt zu einer Session ein Zeitpunkt der letzten Nutzung, zählt die Frist ab ihrer Anlage.

    Für Sessions, die einem Cloud-Konto zugeordnet sind, gilt stattdessen eine Frist von 365 Tagen nach der letzten Nutzung (siehe Abschnitt 4).

    4. Konzeptiv Cloud (Nutzung mit Anmeldung)

    Wer ein Cloud-Konto anlegt, kann Seminarvorlagen, Durchführungen, Tool-Vorlagen und veröffentlichte Materialboards geräteübergreifend speichern. Jede Kund:in sieht ausschließlich eigene Daten (Owner-Modell mit Row-Level-Security).

    Verarbeitete Daten

    • E-Mail-Adresse und Anzeigename
    • Passwort (gehasht mit bcrypt, niemals im Klartext)
    • Login-Zeitpunkt und IP-Adresse zur Sitzungsverwaltung
    • Selbst angelegte Seminarvorlagen, Durchführungen und Tool-Vorlagen
    • Materialboards inkl. eingegebener Inhalte, Links und Bild-Uploads

    Anmeldeverfahren

    Die Anmeldung erfolgt aktuell ausschließlich per E-Mail-Adresse und Passwort. Eine Anmeldung über Drittanbieter (z. B. Google) ist derzeit nicht möglich.

    Materialboards und Datei-Uploads

    Veröffentlichte Materialboards sind über eine öffentliche URL (/m/:slug) ohne Anmeldung abrufbar. Wer den Permalink kennt, sieht das Board – eine Anmeldung ist dafür nicht nötig. Hochgeladene Bilder werden in einem dedizierten Storage-Bucket abgelegt; die Anzeige erfolgt über signierte URLs mit begrenzter Gültigkeit (derzeit eine Stunde), die bei jedem Seitenaufruf neu ausgestellt werden. Abrufbar sind ausschließlich Dateien, die zu einem veröffentlichten Board gehören; Dateien aus Entwürfen sind es nicht. Eine bereits ausgestellte URL bleibt bis zum Ablauf ihrer Gültigkeit funktionsfähig, auch wenn Sie das Board zwischenzeitlich zurückziehen oder löschen. Beim Hinzufügen eines Links wird dessen Ziel-URL einmalig durch eine Edge-Funktion abgerufen, um Vorschaubild und -text zu erzeugen (sog. „Unfurl"). Dabei wird die IP der Konzeptiv-Infrastruktur an den Zielserver übertragen, nicht die Ihre.

    Rechtsgrundlage und Zweck

    Die Verarbeitung erfolgt zur Bereitstellung des persönlichen Arbeitsbereichs auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). System-E-Mails (Anmeldebestätigung, Passwort-Reset) werden auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO versendet.

    Speicherdauer

    Konto-, Vorlagen- und Durchführungsdaten werden bis zur Löschung des Kontos durch die nutzende Person gespeichert. Tool-Sessions, die einem Account zugeordnet sind, werden nach 365 Tagen (12 Monaten) Inaktivität automatisch gelöscht. Materialboards bleiben so lange erhalten, bis Sie sie archivieren oder löschen.

    Profil bearbeiten und Konto löschen

    Im Account-Bereich („Profil") können Anzeigename, E-Mail-Adresse und Passwort jederzeit geändert werden. Über die Funktion „Konto löschen" wird das Nutzerkonto inklusive aller persönlichen Daten (Profil, Seminarvorlagen, Durchführungen, Tool-Vorlagen, Materialboards) unwiderruflich entfernt.

    Tool-Sessions, die Sie mit Konto angelegt haben, werden dabei für Metaplan, Gruppen, Skalenfragen, Ausreden, Quiz und Postkarte mitgelöscht. Für die A–Z-Liste und den Montagsmaler ist diese Kopplung an das Konto derzeit nicht hergestellt: Sitzungen dieser beiden Tools bleiben bis zum Ablauf der 365-Tage-Frist bestehen. Auf Anfrage an v.rausch@konzeptiv.net löschen wir sie sofort.

    Gesondert behandelt wird das Versandprotokoll transaktionaler E-Mails (Empfängeradresse, Vorlagenname, Zeitpunkt und Zustellstatus). Es dient dem Nachweis der Zustellung und dem Umgang mit Bounces. Bei der Kontolöschung wird die Empfängeradresse dieser Einträge überschrieben; erhalten bleibt nur die anonyme Zustellstatistik (Vorlagenname, Zeitpunkt, Status). Unabhängig davon werden Protokolleinträge spätestens nach 90 Tagen vollständig gelöscht, verbrauchte Abmelde-Links nach 30 Tagen. Bestehen bleibt allein die Liste der Adressen, die dem Empfang widersprochen haben – ohne sie könnten wir den Widerspruch nicht beachten. Auf Anfrage an v.rausch@konzeptiv.net löschen wir auch diese Einträge.

    5. Hosting und Auftragsverarbeiter

    Diese Website wird über Lovable (Lovable Technologies Ltd.) gehostet. Datenbank und Authentifizierung laufen auf Supabase (Supabase Inc., Server in der EU / AWS Frankfurt). Der Versand transaktionaler E-Mails (Account-Bestätigung, Passwort-Reset) erfolgt über Resend (EU-Region).

    Der Hoster erhebt in sog. Logfiles technische Daten, die der Browser übermittelt: IP-Adresse, Datum und Uhrzeit der Anfrage, HTTP-Statuscode, übertragene Datenmenge, Browserversion. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt.

    OpenAI (KI-Sortierung von Wortwolken)

    Für die Funktion „KI-Sortierung" in Wortwolken-Fragen setzt Konzeptiv OpenAI, L.L.C. (San Francisco, Kalifornien, USA) als Auftragsverarbeiter ein. Die Funktion ist je Wortwolken-Folie einzeln zuschaltbar und standardmäßig ausgeschaltet.

    • Welche Daten: die von den Teilnehmenden frei eingegebenen Begriffe einer Wortwolken-Frage, vereinheitlicht in Kleinschreibung und ohne Satzzeichen, je Begriff auf 100 Zeichen gekürzt, jeweils mit der Anzahl der Nennungen. Höchstens 200 Begriffe je Auswertung. Keine Nicknames, keine Teilnehmer- oder Sitzungskennungen, keine Zuordnung eines Begriffs zu einer Person.
    • Freitext: Die Begriffe stammen aus einem freien Eingabefeld. Sie können Namen, Firmen- oder Kundenbezeichnungen, Angaben zur Gesundheit oder andere Angaben nach Art. 9 DSGVO enthalten. Konzeptiv kann das weder erkennen noch technisch ausschließen.
    • Zweck: ausschließlich das Zusammenfassen von Schreibvarianten desselben Begriffs (Tippfehler, Singular/Plural, Wortformen) für die Anzeige der Wortwolke. Keine Auswertung darüber hinaus, kein Profiling.
    • Wohin: Vereinigte Staaten von Amerika (Drittland im Sinne des Kapitels V DSGVO).
    • Grundlage der Übermittlung: Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) in Verbindung mit dem Datenverarbeitungszusatz von OpenAI.
    • Rechtsgrundlage der Verarbeitung: Art. 6 Abs. 1 lit. f DSGVO. Bei Nutzung über ein Cloud-Konto handelt Konzeptiv insoweit auf Weisung der trainierenden Person; OpenAI ist dann Sub-Auftragsverarbeiter nach § 7 der AVV.

    Hinweispflicht der Trainer:innen: Wer die KI-Sortierung einschaltet, muss die eigenen Teilnehmenden vor der Frage über diese Übermittlung informieren und ihnen nahelegen, keine personenbezogenen Angaben in die Wortwolke zu schreiben. Bleibt die Option ausgeschaltet, werden keine Daten an OpenAI übermittelt.

    6. Cookies, Tracking und Cookie-Banner

    Konzeptiv setzt keine Tracking-Cookies und nutzt keine Analyse- oder Werbedienste (z. B. Google Analytics, Facebook Pixel). Es findet keine Weitergabe von Daten an Dritte zu Werbezwecken statt.

    Im angemeldeten Zustand wird ausschließlich ein technisch notwendiger Auth-Token im localStorage Ihres Browsers gespeichert, damit Sie eingeloggt bleiben. Diese Speicherung ist nach § 25 Abs. 2 Nr. 2 TTDSG einwilligungsfrei (unbedingt erforderlich), weshalb kein Cookie-Banner erforderlich ist.

    7. Auftragsverarbeitung (AVV)

    Wenn Sie Konzeptiv Cloud geschäftlich nutzen und dabei personenbezogene Daten Ihrer Teilnehmenden, Kund:innen oder Materialboard-Besucher:innen verarbeiten lassen, ist Konzeptiv insoweit Ihr Auftragsverarbeiter im Sinne von Art. 28 DSGVO.

    Die zugehörige Vereinbarung – inklusive Sub-Prozessoren-Liste sowie technischer und organisatorischer Maßnahmen – finden Sie hier: Auftragsverarbeitungs-Vereinbarung. Mit der Anmeldung eines Cloud-Kontos zur geschäftlichen Nutzung gilt diese AVV als zwischen Ihnen und Konzeptiv abgeschlossen. Für die rein private oder anonyme Solo-Nutzung ohne Account ist keine AVV erforderlich.

    8. Ihre Rechte

    Sie haben jederzeit das Recht auf:

    • Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
    • Berichtigung unrichtiger Daten (Art. 16 DSGVO)
    • Löschung Ihrer Daten (Art. 17 DSGVO)
    • Einschränkung der Verarbeitung (Art. 18 DSGVO)
    • Datenübertragbarkeit (Art. 20 DSGVO)
    • Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
    • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

    9. SSL-Verschlüsselung

    Diese Seite nutzt aus Sicherheitsgründen eine SSL-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie am „https://" in der Adresszeile und am Schloss-Symbol Ihres Browsers.

    10. Aktualität dieser Datenschutzerklärung

    Stand: August 2026. Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen.

    Änderungen in dieser Fassung: Aufnahme von OpenAI als Auftragsverarbeiter für die KI-Sortierung von Wortwolken (Abschnitte 3 und 5) – dieser Verarbeiter ist bereits im Einsatz; Ergänzung der A–Z-Liste und des Montagsmalers in der Tool-Übersicht (Abschnitt 3); Klarstellung der Aufbewahrungsfristen (60 Tage ohne Konto, 365 Tage mit Konto); Präzisierung der Aussagen zur Verschlüsselung und zum Zugriff auf Materialboard-Dateien; Aufbewahrungsfrist für das Versandprotokoll transaktionaler E-Mails (90 Tage) und Anonymisierung der Empfängeradresse bei Kontolöschung – zuvor war dieses Protokoll unbefristet gespeichert.