Hinweise zum Datenschutz

Verantwortlich für die Datenverarbeitung dieser Plattform im Sinne der DSGVO ist:

Kontakt Datenschutz: kontakt@cosmolarity.de

Für die Registrierung und das Nameserver-Sitzungsmanagement der Domain cosmolarity.de nutzen wir die Dienste der INWX GmbH & Co. KG, Prinzessinnenstraße 19-20, 10969 Berlin, Deutschland („INWX“). Beim Aufruf unserer Webseiten werden DNS-Abfragen und IP-Verbindungsdaten verarbeitet, um dich sicher auf unsere Server-Infrastruktur zu leiten.

Rechtsgrundlage ist unser berechtigtes Interesse an einer stabilen, performanten und ausfallsicheren Bereitstellung unseres Online-Angebots gemäß Art. 6 Abs. 1 lit. f DSGVO.

Zur automatisierten Abwicklung des eingehenden und ausgehenden E-Mail-Verkehrs (z. B. Support-Anfragen über kontakt@cosmolarity.de) nutzen wir die API-Infrastruktur von Resend Inc., 2261 Market St #5039, San Francisco, CA 94114, USA („Resend“). Wenn du uns eine E-Mail sendest, erfasst Resend die Metadaten (Absender, Empfänger, Zeitstempel) sowie den Inhalt der Nachricht und stellt diese unserem Vercel-Server via Webhook verschlüsselt zur Verfügung.

Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einer hocheffizienten, automatisierten Verarbeitung unserer Systembenachrichtigungen (Art. 6 Abs. 1 lit. f DSGVO). Die vertragliche Absicherung mit dem Anbieter in den USA erfolgt über EU-Standardvertragsklauseln (SCCs).

Für den Empfang administrativer System-Mails und intern weitergeleiteter Support-Anfragen nutzen wir die Ende-zu-Ende-verschlüsselte Umgebung der Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Schweiz („Proton“). Datenverarbeitungen im Rahmen deines direkten Austauschs mit unseren Support-Mitarbeitern können somit auf den Servern von Proton stattfinden.

Die Schweiz verfügt über einen Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), welcher ein mit der EU gleichwertiges, hohes Datenschutzniveau gesetzlich garantiert. Rechtsgrundlage ist unser berechtigtes Interesse an einer maximal sicheren, vertraulichen und datenschutzkonformen Kommunikation gemäß Art. 6 Abs. 1 lit. f DSGVO.

Die Plattform wird bei Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA („Vercel“) gehostet. Beim Aufruf übermittelt dein Gerät automatisch Verbindungsdaten; Vercel verarbeitet zur Betriebssicherheit unter anderem Server-Logfiles (etwa IP-Adresse und Zeitstempel der Anfrage), um die Verfügbarkeit, Integrität und Stabilität des Dienstes zu gewährleisten.

Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren, zuverlässigen Web-Angebot gemäß Art. 6 Abs. 1 lit. f DSGVO.

Hinweis zur Server-Region: Serverless Functions und Edge-Infrastruktur von Vercel können je nach Projekteinstellungen, Routing und Betriebsanforderungen in verschiedenen Regionen ausgeführt werden — auch außerhalb der EU. Edge-Funktionen, Content-Delivery, globale Betriebsinfrastruktur und technische Notfall-Routing-Pfade können beteiligt sein. Unbeschadet dessen bleibt Vercel Inc. ein Unternehmen mit Hauptsitz in den USA; die vertragliche Absicherung erfolgt unter anderem über EU-Standardvertragsklauseln (SCCs), soweit anwendbar.

Wir nutzen Supabase (Supabase Inc.) zur Speicherung von Nutzerdaten, Chat-Verläufen, Projekten, XP/Progression, Tagesreflexionen, persönlichen Insights und Auswertungen, Bibliotheks- und Artikel-Freischaltungen, Kursfortschritt, Kurschat, Kursmedaillen, Energie-/Credit-Salden sowie weiterer für den Betrieb erforderlicher Anwendungsdaten.

Die von uns konfigurierte Datenhaltung erfolgt in der Region West EU (Irland), soweit im Supabase-Projekt so eingerichtet. Die Übertragung zwischen deinem Endgerät und Supabase erfolgt verschlüsselt über SSL/TLS (https).

Rechtsgrundlage ist je nach Vorgang insbesondere die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO) sowie unser berechtigtes Interesse an einem sicheren, funktionsfähigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zahlungen werden durch Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland („Stripe“), abgewickelt. Stripe erhält die für die Abwicklung der Zahlung erforderlichen Daten (unter anderem Name, E-Mail-Adresse und die über Stripe erhobenen Zahlungsinformationen).

Wir speichern keine Kreditkarten- und keine Bankdaten auf eigenen Servern; die sensible Erfassung der Zahlungsmittel erfolgt im Rahmen der von Stripe bereitgestellten Prozesse bzw. Komponenten.

COSMO SPIRIT setzt für KI-gestützte Funktionen spezialisierte Modelle externer Anbieter ein — insbesondere DeepSeek, Google (Gemini API) und OpenAI. Welcher Anbieter im Einzelfall eingesetzt wird, hängt von der jeweiligen Funktion, der Anfrageart und der technischen Verfügbarkeit ab.

Betroffen sind insbesondere der Experten-Chat (einschließlich komplexer Anfragen), der Kurschat, das AI Office / Agenten-Büro einschließlich Experten-Konferenzen, personalisierte Kursgenerierung, Reflexions- und Auswertungsfunktionen, Cognitive Signature / strukturierte Analysen, semantische Suche, Moderationsprüfungen, Audio-Transkription sowie synthetische Kursaudio.

Datenminimierung vor Provider-Übermittlung: Vor der Übermittlung textbasierter Chat-Eingaben an externe KI-Anbieter kommt eine serverseitige Datenminimierungs- und Anonymisierungs-/Pseudonymisierungsschicht zum Einsatz. Das gilt insbesondere für den Experten-Chat (einschließlich komplexer Chat-Anfragen), den Kurschat sowie das AI Office / Agenten-Büro einschließlich Experten-Konferenzen. Dabei werden erkennbare Identifikations- und Kontaktmuster — etwa E-Mail-Adressen, Telefonnummern, bestimmte Namens- und Ortsangaben — soweit technisch erkennbar durch Platzhalter ersetzt oder reduziert. Im Kurschat werden Nutzerbeiträge und darin enthaltene Reflexionsausschnitte vor der externen Übermittlung durch dieselbe Schicht geführt. Ziel ist es, die Menge personenbezogener Informationen vor der Übermittlung zu reduzieren und das Risiko einer Identifizierbarkeit zu minimieren.

Da diese Erkennung technisch regel- bzw. musterorientiert erfolgt, kann eine vollständige Anonymisierung oder vollständige Entfernung aller personenbezogenen Angaben technisch nicht garantiert werden. Inhalt und Anliegen deiner Anfrage bleiben weitgehend erhalten, damit die KI sinnvoll antworten kann. Nutzerinnen und Nutzer sollten dennoch keine hochsensiblen oder für die Anfrage nicht erforderlichen personenbezogenen Informationen eingeben.

Andere KI-Pfade: Für personalisierte Kursgenerierung, Tagesreflexionen (einschließlich Validierung), persönliche Auswertungen, Insight-/Miraveda-Synthese, Cognitive Signature und strukturierte Analysen, Embeddings/semantische Suche, Moderationsprüfungen, Transkription, synthetische Kursaudio sowie Cron-/Hintergrund-Generierungen werden Inhalte in der Regel ohne dieselbe Chat-Datenminimierungsschicht an den jeweils eingesetzten Anbieter übermittelt, soweit die Funktion dies technisch erfordert.

Rechtsgrundlagen: Die Verarbeitung, die erforderlich ist, um eine von dir angeforderte KI-Funktion bereitzustellen, stützen wir insbesondere auf die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO). Sicherheits-, Stabilitäts- und Betriebsmaßnahmen können auf berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO) gestützt werden, wobei wir deine Interessen angemessen berücksichtigen.

Drittlandübermittlung: Je nach eingesetztem Anbieter und Routing kann eine Verarbeitung auch in Drittländern außerhalb des Europäischen Wirtschaftsraums erfolgen — etwa in den USA oder in China. Maßgeblich sind die jeweils vereinbarten vertraglichen Garantien (z. B. Standardvertragsklauseln, soweit anwendbar) sowie die Datenschutzhinweise der Anbieter.

Hinweise zu einzelnen Anbietern: Sofern für unsere OpenAI-API-Nutzung keine abweichende Datenfreigabe aktiviert ist, werden API-Eingaben und -Ausgaben nach den für die OpenAI-API geltenden Standardbedingungen in der Regel nicht zum Training der Modelle verwendet. Konkrete Aufbewahrungs- und Verarbeitungsdetails ergeben sich aus den OpenAI-Datenschutz- und API-Bedingungen.

Für Google Gemini nutzen wir die Gemini API in einer kostenpflichtigen API-Konfiguration. Nach den für kostenpflichtige Gemini-API-Dienste geltenden Bedingungen werden die über die API übermittelten Inhalte nicht zur Verbesserung der Google-Produkte verwendet. Die freiwillige Speicherung von GenerateContent- und Interactions-API-Logs ist für unser Projekt deaktiviert. Wir geben keine API-Logs oder Datasets freiwillig zur Produktverbesserung oder zum Modelltraining an Google weiter. Unabhängig davon kann Google Daten in dem Umfang verarbeiten, der nach den geltenden Bedingungen insbesondere für Sicherheit, Missbrauchsprävention und den technischen Betrieb erforderlich ist. Maßgeblich bleiben die Datenschutz- und API-Bedingungen von Google.

DeepSeek kann je nach Verfügbarkeit und Routing als KI-Anbieter eingesetzt werden. Maßgeblich sind die Datenschutzhinweise und API-Bedingungen von DeepSeek.

Zur Personalisierung von Reflexionsfragen, Chat-Auswertungen, Entwicklungsschwerpunkten und personalisierten Kursen verarbeitet COSMO SPIRIT insbesondere Tagesreflexionen, Chat-Inhalte, Kursinteraktionen, Kursreflexionen, Commitments, freiwillige Abschlussreflexionen sowie daraus abgeleitete strukturierte persönliche Insights und — soweit technisch genutzt — die interne Cognitive Signature bzw. vergleichbare Profilstrukturen.

Daraus können strukturierte persönliche Insights abgeleitet und kontobezogen in deinem Nutzerprofil gespeichert werden. Persönliche Nutzertexte anderer Nutzerinnen und Nutzer werden nicht als individueller persönlicher KI-Kontext übernommen. Für kollektive bzw. übergreifende Auswertungen (etwa im Creator-Kontext von Mira Veda) werden nur abstrahierte, aggregierte Kategorien verwendet — nicht die Rohtexte oder direkten persönlichen Inhalte anderer Nutzer.

Inhalte aus COSMO SPIRIT und COSMO OMEGA werden nicht automatisch gegenseitig als persönlicher KI-Kontext übernommen. Rechtsgrundlage ist insbesondere die Erfüllung des Nutzungsverhältnisses (Art. 6 Abs. 1 lit. b DSGVO).

Server-Transkription (Diktat): Wenn du die Diktatfunktion nutzt, wird die Audioaufnahme zur Transkription an OpenAI übermittelt. Die Audiodatei wird auf unseren Servern nicht dauerhaft gespeichert; verarbeitet wird sie vorübergehend zur Erstellung eines Texttranskripts. Es können technische Metadaten (z. B. Dateigröße, Dauer) protokolliert werden.

Browser-Spracheingabe: COSMO SPIRIT setzt für die Diktatfunktion keine eigene lokale Browser-Spracherkennung ein. Sofern dein Gerät oder Browser unabhängig davon eine Spracheingabe anbietet, kann deren Verarbeitung durch Browser oder Betriebssystem erfolgen, ohne dass die Audiodatei über unsere Server läuft.

Synthetische Kursaudio (TTS): Für personalisierte Kurse kann Kurstext an OpenAI zur Erzeugung synthetischer Sprachdateien übermittelt werden. Die erzeugten Audiodateien werden in unserem Supabase-Speicher abgelegt und dir über signierte Zugriffslinks bereitgestellt.

Rechtsgrundlage ist die Bereitstellung der von dir genutzten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Personenbezogene Daten speichern wir nur so lange, wie es für den Betrieb von COSMO SPIRIT, die Vertragserfüllung oder gesetzliche Pflichten erforderlich ist.

Freiwilliger Löschantrag: Du kannst die Löschung deiner gemeinsamen Cosmolarity ID jederzeit beantragen. Das betrifft COSMO SPIRIT und COSMO OMEGA — nicht nur eine einzelne Plattform. Grundsätzlich gilt eine Karenz von 14 Tagen, in der du den Antrag durch erneutes Einloggen oder über die Wiederherstellungsseite widerrufen kannst. Premium kündigen oder einen Kurs beenden ist nicht dasselbe wie die Löschung der Cosmolarity ID.

Aktiver bezahlter Nutzungszeitraum: Besteht beim Antrag noch ein bereits bezahlter Premium-Zeitraum, der länger als diese 14 Tage dauert, wird die endgültige Löschung bis zum Ende dieses Zeitraums verschoben. Endet der bezahlte Zeitraum früher als die Karenz, bleibt die 14-Tage-Frist maßgeblich.

Offener personalisierter Kurs: Ein noch nicht final beendeter personalisierter Kurs auf COSMO SPIRIT oder COSMO OMEGA blockiert die endgültige Löschung ebenfalls. Du kannst einen solchen Kurs vorzeitig beenden; andernfalls bleibt der Löschantrag vorgemerkt, bis der Kurs final beendet ist. Bestehen gleichzeitig Premium-Restlaufzeit und offener Kurs, erfolgt die endgültige Löschung erst, wenn alle Blocking Conditions weggefallen sind und die Karenz abgelaufen ist.

Endgültige Kontolöschung: Mit der endgültigen Löschung deiner Cosmolarity ID verlierst du den Zugriff auf COSMO SPIRIT und COSMO OMEGA sowie auf die dort mit diesem Konto verbundenen Inhalte und Funktionen — insbesondere Chatverläufe, Kursverläufe, Kurschat, Tagesreflexionen, Projekte, persönliche Insights, XP/Progression, Kursmedaillen, Bibliotheksinhalte sowie noch nicht heruntergeladene Artikel-PDFs und Kurs-Audios. Bereits zuvor auf dein Gerät heruntergeladene Dateien bleiben bei dir erhalten und werden nicht zurückgerufen. Premium-Ende allein bedeutet keine Kontolöschung und keine Cosmolarity-ID-Löschung: Ein separat erworbener Kurs kann über das weiter bestehende Konto zugänglich bleiben. Erst die endgültige Löschung der Cosmolarity ID beendet diesen kontogebundenen Zugriff auf beiden Plattformen.

Gesetzliche Aufbewahrung: Daten, die wir gesetzlich aufbewahren müssen (z. B. Zahlungs- oder Buchhaltungsunterlagen), können im erforderlichen Umfang und für die erforderliche Dauer weiter gespeichert werden — auch nach Ende des Nutzerkontos. Eine Sofortlöschung sämtlicher Datensätze wird nicht zugesagt.

Inaktivität: Zusätzlich kann eine vollständig inaktive Cosmolarity ID nach 365 Tagen ohne relevante Nutzeraktivität auf den verbundenen Plattformen automatisch gelöscht werden. Vorher erfolgt nach etwa 335 Tagen eine einmalige Warnung. Aktivität auf COSMO SPIRIT oder COSMO OMEGA setzt den Inaktivitätszeitraum zurück. Ein aktives bezahltes Premium oder ein offener personalisierter Kurs (Spirit oder Omega) verhindern eine einfache automatische Löschung. Diese 365-Tage-Regel ist eine eigene Produkt-/Speicherregel und kein gesetzlich vorgeschriebenes „Recht auf Vergessenwerden nach einem Jahr“.

Wir setzen nur technisch notwendige Cookies bzw. vergleichbare Technologien ein, die zur Aufrechterhaltung einer sicheren Sitzung (Anmeldestatus) erforderlich sind. Für UI-Funktionen des Chats, der Bibliothek und der Energie-Anzeige werden außerdem gezielt Daten im lokalen Speicher des Browsers verwendet (localStorage / Session-Speicher), etwa um einmalige Hinweise oder Einstellungen zu merken — nicht für werbliches Tracking oder Analyse-Netzwerke.

Rechtsgrundlage ist die unbedingte Erforderlichkeit zur Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes (Anmeldung/Sitzungserhalt).

Soweit wir personenbezogene Daten von dir verarbeiten, stehen dir unter den gesetzlichen Voraussetzungen insbesondere folgende Rechte zu: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) sowie das Recht auf Widerspruch (Art. 21 DSGVO). Unabhängig davon steht dir ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu (Art. 77 DSGVO). Anfragen zu diesen Rechten richtest du vorzugsweise an: kontakt@cosmolarity.de.