Datenschutzerklärung

1. Überblick & Verantwortlicher

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten beim Besuch der Website gründerx.de und bei der Nutzung der dort angebotenen GründerX-Plattform verarbeitet werden. Wir behandeln deine Daten DSGVO-konform und so sparsam wie möglich.

Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO:

Sonni Buttke
Pinguinweg 18, 22527 Hamburg
E-Mail: datenschutz@gründerx.de
Telefon: +49 175 4220573

Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich. Bei Fragen zum Datenschutz wende dich direkt an die o. g. Adresse.

2. Was ist GründerX – und welche Daten verarbeiten wir dafür?

GründerX ist eine SaaS-Plattform für deutsche Gründer:innen mit u. a. folgenden Funktionen:

• Playbooks – Schritt-für-Schritt-Guides für GmbH, UG, Holding, Einzelunternehmen, Kleinunternehmer-Regelung, US-LLC etc.
• Felix-Chat – KI-Co-Founder (Anthropic Claude, ersatzweise Google Gemini bzw. OpenAI) für Fragen zu Gründung, Steuern, Compliance.
• Steuer-Cockpit – Frist-Kalender, IAB-Rechner, Quartals-Schätzung.
• Rechtsform-Wizard – Empfehlung zu Einzel/UG/GmbH/PartG.
• Anbieter-Vergleich – 210 Anbieter (Banking, Versand, Buchhaltung, Versicherungen etc.) mit Stärken/Schwächen.
• Notar-Finder & Notar-Vorbereitung – PLZ-basierte Suche (OpenStreetMap) plus Datenerfassung für deinen Notartermin.
• Firmenname-Check – Live-Verfügbarkeit über NorthData + GLEIF.

3. Datenkategorien & Zwecke im Detail

3.1 Konto- und Stammdaten

Daten: E-Mail-Adresse, Passwort-Hash (bcrypt/argon2 via Supabase Auth), optional Vor-/Nachname, Profilbild, Telefonnummer, Rechnungsadresse.

Zweck: Konto-Anlage, Login, Bestandsverwaltung, Rechnungsstellung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Bis zur Konto-Löschung. Rechnungs- und Buchhaltungs-relevante Daten 10 Jahre nach § 147 AO.

3.2 Playbook-Fortschritt & Notar-Vorbereitung (besonders sensibel)

Daten: Eingaben in den Playbooks – inklusive personenbezogener Daten von Gesellschafter:innen und Geschäftsführer:innen wie Vor- und Nachname, Geburtsdatum, Geburtsort, Wohnanschrift, Beruf, Familienstand, Stammkapital-Anteil, Sacheinlage-Beschreibung. Dazu Firmen-Stammdaten (Sitz, Geschäftsadresse, Unternehmensgegenstand) und freie Notiz-Felder.

Zweck: Strukturierte Vorbereitung deines Notartermins, Wiederaufnahme des Fortschritts bei späterem Login, Generierung von Brief-/Anschreiben-Vorlagen für den Notar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Daten Dritter im Notar-Modul: Soweit du Daten von Mit-Gesellschafter:innen, Geschäftsführer:innen oder Familienangehörigen eingibst, bist du der/die Verantwortliche i. S. d. Art. 4 Nr. 7 DSGVO für diese Erfassung; wir handeln insoweit als technischer Auftragsverarbeiter (Art. 28 DSGVO). Du sicherst zu, die betroffenen Personen nach Art. 13/14 DSGVO über Zweck (Notar-Vorbereitung), Speicherort (Supabase EU), Speicherdauer (bis Konto-Löschung) und ihre Betroffenenrechte zu informieren. Eine Mustervorlage „Information für Mitgesellschafter:innen" stellen wir dir im Notar-Modul als Download bereit. Auf Anforderung der/des Dritten löschen wir die Daten unverzüglich.

Speicherort: Supabase-Datenbank in der EU (Frankfurt am Main).

Speicherdauer: Bis zur Konto-Löschung oder bis du den Eintrag manuell löschst. Du kannst jederzeit unter „Meine Guides" Daten löschen oder den gesamten Run zurücksetzen.

Hinweis: Die Plattform ersetzt keinen Notar oder Steuerberater. Übermittlung der Daten an einen Notar erfolgt ausschließlich durch dich selbst (z. B. Copy/Paste oder Download als .txt) – wir senden Notar-Daten nicht automatisch an Dritte.

3.3 Felix-Chat (KI-Beratung)

Daten: Chat-Verlauf (deine Nachrichten + Felix-Antworten), Zeitstempel, Konversations-ID.

Verarbeitung: Deine Nachrichten werden zur Beantwortung an einen KI-Sprachmodell-Anbieter übermittelt. Primär nutzen wir Anthropic (Claude-API); bei dessen Nichtverfügbarkeit greifen wir automatisch der Reihe nach auf Google Gemini bzw. OpenAI (GPT) zurück, damit der Chat funktionsfähig bleibt. Die Antwort wird zurück an deine Session gesendet und im Chat-Verlauf gespeichert.

Drittlandtransfer USA – Rechtsgrundlage: Google LLC ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert (Angemessenheitsbeschluss der EU-Kommission v. 10.07.2023, C(2023) 4745). Insoweit liegt ein angemessenes Schutzniveau nach Art. 45 DSGVO vor und es bedarf keiner zusätzlichen Garantien. Soweit Lovable.dev / das Lovable AI Gateway nicht selbst DPF-zertifiziert ist, sichern wir die Übermittlung über die EU-Standardvertragsklauseln (Modul 2 / Modul 3, Durchführungsbeschluss (EU) 2021/914) und ein dokumentiertes Transfer Impact Assessment (TIA) ab. Auf Anfrage übermitteln wir dir die TIA-Zusammenfassung (datenschutz@gründerx.de).

Anthropic und Fallback-Anbieter OpenAI: Anthropic PBC (Claude-API) verarbeitet deine Chat-Nachricht primär; ist weder Anthropic noch Gemini verfügbar, verarbeitet ersatzweise OpenAI, L.L.C. (GPT) deine Chat-Nachricht. Beide sitzen in den USA; die Übermittlung sichern wir über die EU-Standardvertragsklauseln (Art. 46 DSGVO) ab. Es werden ausschließlich der Nachrichteninhalt und der nötige Kontext übermittelt, keine Konto-Stammdaten.

Nutze Felix nicht für sensible personenbezogene Daten Dritter ohne ausdrückliche Einwilligung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) i. V. m. Art. 45 DSGVO (DPF) bzw. Art. 46 DSGVO (SCC).

Speicherdauer: Bis zur manuellen Löschung durch dich oder Konto-Löschung. Du kannst Konversationen jederzeit unter „Felix-Chat-Verlauf" löschen.

3.4 Notar-Suche, Firmenname-Check, Anbieter-Daten

Bei diesen Funktionen werden keine personenbezogenen Daten an externe Anbieter übermittelt – nur die Sachanfrage (PLZ, Firmenname). Konkret:

• Notar-Finder: Deine PLZ-Eingabe → OpenStreetMap (Nominatim + Overpass), keine Authentifizierung, keine Cookies.
• Firmenname-Check: Der gesuchte Firmenname → NorthData + GLEIF. Kein Bezug zu deinem Konto wird übermittelt.
• Anbieter-Vergleich: Die angezeigten Daten (Preise, Bewertungen) sind statisch in der App gespeichert und werden über automatisierte Audit-Routinen monatlich aktualisiert. Beim Klick auf einen Anbieter-Link verlässt du unsere Seite.

3.5 Zahlungs-Daten

Zahlungen werden über Stripe Payments Europe Ltd. (1 Grand Canal Street Lower, Dublin 2, Irland) abgewickelt. Stripe ist Auftragsverarbeiter und EU-DSGVO-konform.

Daten: Du gibst deine Zahlungsdaten direkt bei Stripe ein – wir sehen sie nicht. Wir erhalten von Stripe nur Customer-ID, Subscription-Status, Rechnungsdokumente.

Kampagnen-Zuordnung: Bist du über einen Kampagnen- oder Partnerlink (utm-Parameter, z. B. von einer unserer Schwester-Marken) gekommen, geben wir diese Kennzeichnung und die Einstiegsseite beim Checkout an die Zahlungssitzung bei Stripe mit, damit wir den Kauf der Kampagne zuordnen können (Art. 6 Abs. 1 lit. f DSGVO, Erfolgsmessung der eigenen Werbung).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Stripe-Datenschutz: stripe.com/de/privacy

3.6 Page-View-Tracking (intern)

Wir loggen anonymisierte Seitenaufrufe (Pfad, Zeitstempel, gehashte User-ID), um die meistgenutzten Funktionen zu erkennen und das Produkt zu verbessern. Keine IP-Adresse, kein Cross-Site-Tracking; dieses interne Tracking nutzt keine externen Analytics-Anbieter. Werbe-Pixel (Meta, Google) laufen nur mit deiner Einwilligung, siehe Abschnitt 6.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Produktverbesserung).

Speicherdauer: 90 Tage.

3.7 Server-Log-Dateien

Bei jedem Aufruf erfasst der Hosting-Server automatisch:

• Browsertyp und -version
• Betriebssystem
• Referrer-URL
• Hostname / Anonymisierte IP (gekürzt um letztes Oktett)
• Zugriffszeit

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit, Missbrauchs-Erkennung).

Speicherdauer: 7 Tage, danach Löschung.

3.8 Kontakt / Support / E-Mail

Wenn du uns per E-Mail oder Kontaktformular schreibst, speichern wir deine Anfrage zur Bearbeitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO. Speicherdauer: 3 Jahre nach Abschluss der Anfrage.

3.9 Kostenlose Tools und Prüfungen (Ergebnis gegen E-Mail-Adresse)

Einige Tools kannst du ohne Konto je einmal nutzen: den WEEE-Check, den Brand-Check, den LUCID-Wizard, den Gründungskosten-Rechner und die Generatoren unter „Gratis-Tools" (Businessplan, Rechtsform-Finder, Amazon-Widersprüche). Das Ergebnis schalten wir frei, wenn du deine E-Mail-Adresse angibst.

Daten: E-Mail-Adresse, das genutzte Tool (Herkunft, z. B. „gx-tool:weee-check") und der Zeitpunkt. Die Inhalte, die du in das Tool eingibst, speichern wir dabei nicht. Beim WEEE-Check und beim Brand-Check geht der gesuchte Marken- oder Firmenname – ohne deine E-Mail-Adresse – über unsere Server an die öffentlichen Quellen, die das Tool abfragt (u. a. EAR-Verzeichnis der stiftung ear, Markenregister, DNS, App Store).

Zweck: Bereitstellung des angeforderten Ergebnisses und Nachhalten der kostenlosen Nutzung (eine Prüfung bzw. Nutzung je Tool), damit das Angebot nicht missbraucht wird. Ob du ein Tool schon genutzt hast, merkt sich zusätzlich dein Browser im lokalen Speicher (siehe Abschnitt 6). Werbung senden wir an diese Adresse nur, wenn du zusätzlich in Tipps per E-Mail einwilligst und das bestätigst (Abschnitt 3.9b).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des angeforderten Ergebnisses) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsabwehr).
Speicherdauer: 12 Monate, danach automatische Löschung.
Auftragsverarbeiter: Supabase (Datenbank, Serverstandort Frankfurt am Main).

3.9b Tipps per E-Mail nach einem kostenlosen Tool (Double-Opt-in)

Im E-Mail-Fenster der kostenlosen Tools kannst du freiwillig ankreuzen, dass du in den folgenden 10 Tagen bis zu vier E-Mails mit Tipps zum Thema des Tools und zu GründerX bekommen möchtest. Das Häkchen ist nicht vorausgewählt. Wir schicken dir zuerst eine Bestätigungsmail; erst nach dem Klick auf den Link darin (Double-Opt-in) senden wir die Tipps. Ohne Klick bekommst du nichts.

Daten: E-Mail-Adresse, das genutzte Tool, die Version des Einwilligungstexts, die Zeitpunkte von Anforderung, Bestätigung und Versand der einzelnen Mails. Hast du ein GründerX-Abo, beenden wir die Reihe; dafür gleichen wir die Adresse mit unseren Kundenkonten ab. Jede Tipps-Mail enthält ein Zählpixel und über unseren Server umgeleitete Links, beide mit einer Kennung der Mail. Damit sehen wir, ob eine Mail geöffnet und welcher Link geklickt wurde (Öffnungen sind nur eine Schätzung, weil manche Mailprogramme Bilder vorab laden). Auch das umfasst deine Einwilligung.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Mail oder per Nachricht an uns.
Speicherdauer: Unbestätigte Anfragen löschen wir nach 30 Tagen. Bestätigte Einwilligungen bewahren wir als Nachweis 24 Monate nach der Anforderung auf, danach automatische Löschung.
Auftragsverarbeiter: Supabase (Datenbank, Serverstandort Frankfurt am Main); Versand über unser Mailpostfach bei IONOS.

3.9c Steuerfristen & Neuigkeiten per E-Mail (Double-Opt-in)

Im Fuß jeder Seite, am Ende der Ratgeber, auf den Tool-Seiten und beim Freischalten eines Tool-Ergebnisses (eigenes Häkchen, unabhängig von den Tipps) kannst du dich für Mails mit Erinnerungen an Steuerfristen (z. B. USt-Voranmeldung) und Neuigkeiten für Gründer anmelden. Das Häkchen ist nicht vorausgewählt. Nach der Bestätigung schicken wir dir eine Willkommensmail mit deinen nächsten Steuerterminen. Wir schicken dir zuerst eine Bestätigungsmail; erst nach dem Klick auf den Link darin (Double-Opt-in, gültig 7 Tage) gilt die Anmeldung. Ohne Klick bekommst du nichts weiter. Bestätigst du die Anmeldung nicht, löschen wir deine Adresse nach spätestens 30 Tagen automatisch. Werbliche Mails schicken wir höchstens zwei pro Woche.

Tipps der Schwester-Marken (freiwillig): Mit einem zweiten, nicht vorausgewählten Häkchen kannst du zusätzlich gelegentliche Hinweise auf passende Angebote unserer Schwester-Marken AnwaltX, ArbitrageX und Delta Sourcing per E-Mail erhalten. Alle Marken betreibt derselbe Verantwortliche (siehe Impressum); deine Daten werden dafür nicht an Dritte weitergegeben. Auch diese Einwilligung gilt erst nach der Bestätigung (Double-Opt-in) und lässt sich jederzeit über den Abmeldelink oder per Nachricht an uns widerrufen; meldest du dich ab, endet sie mit.

Daten: E-Mail-Adresse, Marke (GründerX), Herkunft der Anmeldung, Zeitpunkte von Anmeldung und Bestätigung sowie die Versandprotokolle der einzelnen Mails. Jede Mail enthält ein Zählpixel und über unseren Server umgeleitete Links mit einer Kennung der Mail; damit sehen wir, ob eine Mail geöffnet und welcher Link geklickt wurde (Öffnungen sind nur eine Schätzung). Auch das umfasst deine Einwilligung.

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 UWG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – über den Abmeldelink in jeder Mail oder per Nachricht an uns.
Speicherdauer: bis zu deiner Abmeldung; danach bleibt die Adresse auf unserer Sperrliste, damit du keine Mails mehr bekommst, und den Nachweis der Einwilligung bewahren wir so lange auf, wie Ansprüche daraus geltend gemacht werden können.
Verarbeitung: Die Anmeldeliste liegt auf unserem eigenen Server bei Hetzner in Deutschland (Anmeldeadresse arbitragex.de, unser Schwesterprojekt); versendet wird über Supabase (Frankfurt am Main) und unser Mailpostfach bei IONOS.

3.9e Infos an Kunden zu ähnlichen Produkten (§ 7 Abs. 3 UWG)

Wenn du bei uns etwas kaufst (Abo oder Gründungspaket), nutzen wir die E-Mail-Adresse, die du im Checkout angibst, auch für Infos zu ähnlichen Produkten von GründerX – etwa Aktionen, neue Funktionen oder wichtige Änderungen, höchstens zwei Mails pro Woche. Darauf weisen wir dich im Checkout und in der Kaufbestätigung hin; Kunden, die vor dem 27.10.2026 gekauft haben, bekommen den Hinweis einmal per Mail, bevor wir ihnen solche Infos schicken. Du kannst dem jederzeit widersprechen – über den Abmeldelink in jeder Mail oder per Nachricht an uns –, ohne dass andere als die Übermittlungskosten nach den Basistarifen entstehen. Nach einem Widerspruch steht deine Adresse auf unserer Sperrliste.

Rechtsgrundlage: unser berechtigtes Interesse an Direktwerbung gegenüber Kunden (Art. 6 Abs. 1 lit. f DSGVO i. V. m. § 7 Abs. 3 UWG). Speicherdauer: solange du Kunde bist und nicht widersprichst; die Sperrliste bewahren wir auf, damit dein Widerspruch dauerhaft wirkt.

3.9a Vorlagen-Bibliothek (Download gegen bestätigte E-Mail-Adresse)

Die Vertragsvorlagen unter „Vorlagen" (z. B. GbR-Vertrag, Kaufverträge, Arbeitsverträge) kannst du ohne Konto herunterladen. Dafür gibst du deine E-Mail-Adresse an; wir schicken dir eine Mail mit einem Bestätigungslink (Double-Opt-in). Erst der Klick auf diesen Link schaltet den Download in deinem Browser frei – für alle Vorlagen zugleich.

Daten: E-Mail-Adresse, die angeforderte Vorlage, die Zeitpunkte von Anforderung, Mailversand und Bestätigung sowie die Anzahl der gesendeten Mails (Versandbremse: höchstens eine Mail alle zwei Minuten und fünf am Tag je Adresse). Die Bestätigungsmail selbst protokollieren wir wie alle Mails (Abschnitt zu E-Mails). Der Bestätigungslink enthält deine Adresse und eine Signatur, mit der wir prüfen, dass der Link von uns stammt.

Zweck und Rechtsgrundlage: Bereitstellung des angeforderten Downloads und Schutz vor Missbrauch fremder Adressen (Art. 6 Abs. 1 lit. b und f DSGVO). Die Bestätigung ist keine Einwilligung in Werbung; einen Newsletter bekommst du dadurch nicht.

Speicherdauer: Unbestätigte Adressen löschen wir nach 30 Tagen, bestätigte 24 Monate nach der letzten Anforderung. Du kannst jederzeit früher die Löschung verlangen (Kontakt unten).

3.9d Kauf des Gründungspakets und Widerrufsformular

Kauf: Das Gründungspaket bezahlst du bei Stripe (siehe oben); deine Zahlungsdaten sehen wir nicht. Wir erhalten von Stripe die Kauf-Kennung, deine E-Mail-Adresse, den Zahlungsstatus und die Rechnung. Damit erzeugen wir einen zeitlich begrenzten Download-Link und schicken dir die Bestätigung des Vertrags per E-Mail (§ 312f BGB). Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO).

Widerrufsformular (/vertrag-widerrufen, § 356a BGB): Wir verarbeiten deinen Namen, deine E-Mail-Adresse, den gewählten Vertrag und – falls angegeben – Bestellnummer und Kaufdatum, um deinen Widerruf zu bearbeiten und dir den Eingang zu bestätigen. Zum Schutz vor Missbrauch zählen wir Anfragen je E-Mail-Adresse und je Internet-Verbindung; die IP-Adresse speichern wir dafür nur als nicht rückrechenbaren Hash-Wert. Rechtsgrundlage: gesetzliche Pflicht (Art. 6 Abs. 1 lit. c DSGVO) sowie unser berechtigtes Interesse an der Abwehr von Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

Speicherdauer: Kauf- und Rechnungsdaten sowie Widerrufe bewahren wir so lange auf, wie es die gesetzlichen Aufbewahrungspflichten verlangen (§ 147 AO, § 257 HGB – bis zu zehn Jahre), danach werden sie gelöscht.
Verarbeitung: Supabase (Frankfurt am Main), Stripe (siehe oben), Versand über unser Mailpostfach bei IONOS.

3.10 Mitgründer-Börse

In der Mitgründer-Börse kannst du freiwillig ein Profil anlegen. Daten: Anzeigename, deine Rolle und gesuchte Rollen, Region (Bundesland oder „remote“), Branche, Phase, Zeitumfang, Pitch-Text und Skills sowie die Kontaktanfragen, die du sendest oder erhältst (Nachricht, Antwort, Status, Zeitpunkt). E-Mail-Adresse, Nachname und weitere Kontodaten werden nicht angezeigt.

Sichtbarkeit: Dein Profil ist nur sichtbar, wenn du es selbst veröffentlichst, und nur für eingeloggte Mitglieder mit aktivem Zugang. Kontaktanfragen sehen nur Absender und Empfänger. Kontaktdaten teilst du erst, wenn du sie selbst in eine Antwort schreibst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (deine Einwilligung durch Veröffentlichen) und lit. b (Bereitstellung der Funktion).
Speicherdauer: bis du das Profil löschst oder dein Konto entfernst; Anfragen werden mit dem Konto gelöscht. Du kannst die Sichtbarkeit jederzeit zurücknehmen.
Auftragsverarbeiter: Supabase (Datenbank, Serverstandort Frankfurt am Main).

3.11 Behörden-Wegweiser

Gibst du auf der Seite „Gründungsberatung & Behörden finden“ eine Postleitzahl ein, fragt dein Browser direkt beim Portalverbund Online-Gateway (PVOG, betrieben im Auftrag der FITKO – Föderale IT-Kooperation, Frankfurt am Main) ab, welche Stelle für die Gewerbeanmeldung zuständig ist. Dabei werden die Postleitzahl und – technisch bedingt – deine IP-Adresse an den PVOG übermittelt. Wir selbst speichern die Postleitzahl nicht. Der Link zur Finanzamtsuche führt zum Bundeszentralamt für Steuern; dort gelten dessen Datenschutzhinweise.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (von dir angeforderte Suche).

3.12 Tools, die nur in deinem Browser rechnen

Der E-Rechnungs-Leser, der Finanzplan-, Pitch-Deck- und Mahnungs-Generator, der Steuer- und Fristenkalender, der Kleinunternehmer-Wächter, der Bericht für den Gründungszuschuss Phase 2, die Bankgespräch-Vorbereitung und das Event-Radar verarbeiten deine Eingaben und hochgeladenen Dateien ausschließlich in deinem Browser. An uns übertragen wird dabei nichts. Damit deine Eingaben beim nächsten Besuch noch da sind, speichern manche Tools sie im lokalen Speicher deines Browsers (siehe Abschnitt 6); du kannst ihn jederzeit in den Browser-Einstellungen löschen.

3.13 KI-Schnittstelle (MCP-Server und GPT-Schnittstelle)

Unter gruenderx.de/mcp (MCP-Server) und gruenderx.de/api/gpt (Schnittstelle für ChatGPT-GPTs) können KI-Assistenten wie ChatGPT oder Claude öffentlich zugängliche GründerX-Inhalte abfragen: Gründer-Events, Bewerbungsfristen, Startup-Guthaben und veröffentlichte Ratgeber. Verarbeitet werden nur die Werte, die der Assistent an das jeweilige Werkzeug übergibt, etwa ein Bundesland, ein Zeitraum oder ein Stichwort. Diese Werte dienen ausschließlich dazu, die Antwort zu erzeugen, und werden nicht gespeichert. Auf deinen Chatverlauf und auf ein GründerX-Konto haben wir keinen Zugriff; eine Anmeldung ist nicht nötig. Deine IP-Adresse wird nur kurzzeitig im Arbeitsspeicher der Server-Funktion gehalten (höchstens eine Minute), um zu viele Anfragen in kurzer Zeit abzuwehren. Zusätzlich zählen wir, welches Werkzeug aufgerufen wurde, ohne IP-Adresse, ohne Eingaben und ohne Bezug zu einer Person (Tabelle der internen Produktanalytik, siehe 3.6). Für die Server-Log-Dateien des Hosters gilt Abschnitt 3.7. Für die Verarbeitung in ChatGPT, Claude oder einem anderen KI-Assistenten ist der jeweilige Anbieter verantwortlich; dort gelten dessen Datenschutzhinweise.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (angeforderte Abfrage) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, missbrauchsgeschützten Dienst und an der Reichweitenmessung ohne Personenbezug).

4. Auftragsverarbeiter, eigenverantwortliche Dritte & Datenflüsse

Im Folgenden listen wir alle Empfänger nach ihrer datenschutzrechtlichen Rolle (Auftragsverarbeiter nach Art. 28 DSGVO oder eigenverantwortlicher Dritter nach Art. 4 Nr. 7 DSGVO):

AVV-Kopien stellen wir dir auf Anfrage zur Verfügung. Stripe handelt nach eigener Privacy-Policy eigenverantwortlich und ist insoweit kein Auftragsverarbeiter; siehe stripe.com/de/privacy.

5. Drittlandtransfer (USA / Nicht-EU)

Bei der Nutzung von Felix-Chat (Anthropic Claude, ersatzweise Google Gemini bzw. OpenAI) findet eine Übermittlung in die USA statt. Wir stellen den Schutz über die EU-Standardvertragsklauseln (SCC) sicher und nutzen Anbieter, die unter dem EU-US Data Privacy Framework zertifiziert sind. Du kannst den Felix-Chat jederzeit nicht nutzen – die anderen Funktionen der Plattform funktionieren ohne KI-Drittland-Transfer.

6. Cookies & lokaler Speicher

Wir verwenden technisch unbedingt erforderliche Cookies i. S. d. § 25 Abs. 2 Nr. 2 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, vormals TTDSG). Diese sind erforderlich, damit der von dir aktiv angeforderte Dienst (Login, Zahlungs-Session, Theme-Auswahl) funktioniert:

• sb-access-token / sb-refresh-token (Supabase Auth) – Login-Session, Lifetime: Session bzw. 7 Tage
• theme-preference (LocalStorage) – Hell/Dunkel-Modus
• gx-profile-{userId} (LocalStorage) – Profil-Cache zur Vermeidung erneuter DB-Roundtrips
• stripe-session – nur während aktiver Zahlung gesetzt
• gruenderx:vorlagen-freigabe (LocalStorage) – merkt nach dem Klick auf den Bestätigungslink, dass die Vorlagen in diesem Browser frei sind (Abschnitt 3.9a); enthält deine E-Mail-Adresse und die Signatur des Links
• gruenderx:vorlagen-angefordert (LocalStorage) – merkt die zuletzt für eine Vorlage eingegebene E-Mail-Adresse, damit du sie beim erneuten Senden nicht noch einmal tippen musst
• gruenderx:tool-unlocked:{tool} (LocalStorage) – merkt, dass du ein kostenloses Tool bereits freigeschaltet hast (Abschnitt 3.9); enthält nur den Zeitpunkt, keine E-Mail-Adresse
• gx-event-radar-v1, gx-chancen-radar-besuch, gx-steuerkalender-v1, gx-ku-waechter-v1, gx-gruendungsunterlagen-v1, gx-pitchdeck-v1, gx-gz-phase2-v1, gx-bankgespraech-v1, gx-startup-guthaben-v1, gx-sidebar-zu-v1 (LocalStorage) – deine Eingaben in den Tools aus Abschnitt 3.12, damit sie beim nächsten Besuch erhalten bleiben; sie verlassen deinen Browser nicht

Für diese Cookies ist keine Einwilligung erforderlich.

Marketing-Cookies (nur mit Einwilligung): Nur wenn du im Cookie-Banner „Alle akzeptieren“ wählst, laden wir das Meta-Pixel (Meta Platforms Ireland Ltd.) und – sofern aktiv – den Google-Tag für Google Ads (Google Ireland Ltd.). Sie messen, welche Anzeigen zu einer Registrierung oder einem Kauf führen, und setzen dafür Cookies wie _fbp, _fbc bzw. _gcl_*. Dabei können Daten in die USA übermittelt werden. Rechtsgrundlage ist deine Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung wird keines dieser Skripte geladen.

Widerruf: Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – über „Cookie-Einstellungen“ im Seitenfuß oder hier: Cookie-Einstellungen öffnen. Beim Widerruf löschen wir die Marketing-Cookies und laden die Seite neu.

7. Keine automatisierte Entscheidungsfindung mit Rechtswirkung

Felix-Chat, Rechtsform-Wizard und Steuer-Cockpit liefern menschlich überprüfbare Vorschläge, keine rechtlich verbindlichen Entscheidungen. Der Output enthält stets den Hinweis, dass eine zugelassene steuer- oder rechtsberatende Person die finale Entscheidung treffen sollte. Eine ausschließlich automatisierte Entscheidung i. S. d. Art. 22 Abs. 1 DSGVO – mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung – findet nicht statt:

• (a) Du kannst jeden Vorschlag jederzeit ignorieren oder anpassen.
• (b) Wir treffen keine Vertrags-, Preis- oder Zugangs-Entscheidungen über dich auf Basis von KI-Profilen.
• (c) Profilbildung i. S. d. Art. 4 Nr. 4 DSGVO findet nicht statt.

Soweit du eine Empfehlung umsetzt, beruht dies auf deiner eigenen freien Entscheidung. Diese Linie folgt den Leitlinien WP251rev.01 sowie der Rechtsprechung des EuGH (C-634/21, „SCHUFA").

8. Deine Rechte als Betroffene:r

• Auskunft (Art. 15 DSGVO) – welche Daten haben wir von dir?
• Berichtigung (Art. 16) – falsche Daten korrigieren lassen.
• Löschung (Art. 17) – „Recht auf Vergessenwerden". Du kannst dein Konto und alle Daten jederzeit selbst löschen unter Profil → Sicherheit → „Konto endgültig löschen" (außer gesetzlich aufzubewahrende Rechnungs-Daten). Alternativ formlos per E-Mail.
• Einschränkung (Art. 18) – Verarbeitung pausieren.
• Datenübertragbarkeit (Art. 20) – Export deiner Daten in maschinenlesbarem Format (JSON).
• Widerspruch (Art. 21) – gegen Verarbeitung nach lit. f.
• Widerruf einmal erteilter Einwilligungen mit Wirkung für die Zukunft.
• Beschwerde bei Aufsichtsbehörde (Art. 77) – z. B. Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit.

Anfragen formlos an: datenschutz@gründerx.de

9. Sicherheit der Datenverarbeitung

• HTTPS/TLS 1.3 für alle Verbindungen
• Passwörter werden niemals im Klartext gespeichert (Supabase Auth, bcrypt/argon2)
• Row-Level-Security (RLS) auf Datenbank-Ebene – jede:r User:in sieht nur eigene Daten
• Tägliche Backups, geografisch getrennte Speicherung
• Edge Functions laufen in isolierten Containern
• 2FA-Optionen für Mitarbeiter-Accounts (intern)

10. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung gelegentlich an, wenn sich Funktionen oder Auftragsverarbeiter ändern. Die jeweils aktuelle Version findest du auf dieser Seite. Bei wesentlichen Änderungen informieren wir dich zusätzlich per E-Mail.

Stand: Mai 2026 · Version 2.0