Klare Entscheidungen. Begrenzte Daten. Kein verstecktes Tracking.
Diese Erklärung gilt für den öffentlichen Kurzcheck, Anfragen zum vollständigen Assessment, eingeladene Kampagnen, Reports und Betreiberbereiche.
1. Verantwortlicher und Kontakt
Macrocyra UG (haftungsbeschränkt)
Balbronner Str. 4
14195 Berlin
Deutschland
Vertreten durch Clemens Chaskel, Geschäftsführer
Datenschutz: gdpr@innovationflow.app
Allgemeiner Kontakt: admin@innovationflow.app
Falls ein Datenschutzbeauftragter bestellt wird oder gesetzlich erforderlich wird, veröffentlichen wir dessen Kontaktdaten hier.
2. Geltungsbereich und Rollen
Macrocyra ist Verantwortlicher für Website und öffentlichen Kurzcheck, Anfragen zum vollständigen Assessment, eigene Betreiberkonten, Sicherheit, direkten Support und optionale Produktanalyse. Bei einer Kundenkampagne bestimmt regelmäßig der benannte Kunde als Verantwortlicher Zweck und Teilnehmerkreis; Macrocyra verarbeitet Kampagnendaten dann nach dokumentierter Weisung und einer Vereinbarung gemäß Art. 28 DSGVO. Einladung und Kampagnenhinweis nennen vor der Teilnahme Verantwortlichen, Zweck und Löschfrist.
Freitext darf keine besonderen Kategorien personenbezogener Daten, persönlichen Vorwürfe, Geschäftsgeheimnisse oder unnötigen Namen enthalten, sofern der Verantwortliche Bedarf und Schutzmaßnahmen nicht ausdrücklich festgelegt hat.
3. Welche Daten wir verarbeiten
| Daten | Zweck und Behandlung |
|---|---|
| Kontaktanfragen | Das Formular Get in touch sendet Ihren Namen, Ihre E-Mail-Adresse und Ihre Nachricht ?ber Resend an Clemens Chaskel zur Beantwortung. Es ?bermittelt keine Befragungsantworten, privaten Einladungslinks oder Seitenkennungen. Die Nachricht wird im E-Mail-System bearbeitet und nicht als Befragungsantwort gespeichert. |
| Technische Anfragen | Netzwerk- und Hosting-Anbieter verarbeiten IP-Adresse und Metadaten zur Bereitstellung und Absicherung. Das minimierte Anwendungsprotokoll enthält Zeit, Request-ID, Methode, Route, Status, Dauer und Deployment-Daten, jedoch keine Query-Strings, Request-Bodies oder Assessment-Antworten. |
| Öffentlicher Kurzcheck | Kontextangaben und fünfzehn P-B-C-Antworten erzeugen das private Einzelergebnis und eine Empfehlung für die Vertiefung. Für den Kurzcheck sind weder Name noch E-Mail erforderlich. |
| Anfrage zum vollständigen Assessment | Name, geschäftliche E-Mail, Organisation, Entscheidungsrahmen, erwartete Teilnehmergruppe, ausgewählte Themen, Empfehlung, Einwilligungsversion und Zeitstempel werden getrennt von den Kurzcheck-Antworten gespeichert. |
| Betreiber- und Teilnehmerzugang | Name oder Kürzel, E-Mail, Rolle/Funktion, Konto- oder Einladungsstatus, Zeitstempel sowie gehashte Sitzungs-, Einladungs- und Wiederherstellungstokens ermöglichen autorisierten Zugang, Versand, Widerruf und Audit-Zuordnung. |
| Eingeladene Assessment-Daten | Projektkontext, themenspezifische Kernfragen, bedingte Vertiefungen, Faktenchecks, optionaler Freitext und Entwürfe erzeugen Einzel- und datenschutzbegrenzte Kohortenreports. Abgeschlossene Antworten behalten versionierte Frage- und Antwortsnapshots. |
| Evidenz und Report-Steuerung | Evidenzsnapshots, Kalibrierung, Prüfung, Freigabe, Veröffentlichung, Rücknahme, Export-Prüfsummen, Maßnahmen und Betreiberzuordnung machen Reports nachvollziehbar. |
| Produktfeedback | Seitenpfad, Typ, optionale Bewertung, Notiz, Status und Zeitstempel unterstützen Fehlerbehebung und Verbesserung. Assessment-Antworten werden nicht in Feedback kopiert. |
| Optionaler InnovationFlow Companion | Nur ein vom Betreiber bestätigtes, datenschutzbegrenztes Gruppenaggregat wird an den konfigurierten KI-Anbieter gesendet. Namen, E-Mails, Teilnehmer-IDs, Freitexte und einzelne Rohabgaben sind ausgeschlossen. Anbieter-/Modell-/Prompt-Version, Response-ID, Evidenzverweise und Freigabehistorie werden gespeichert. |
4. Assessment-Anfragen und Benachrichtigungs-E-Mail
Bei einer Anfrage werden die oben genannten Kontakt- und Umfangsdaten in der geschützten Moderatoren-Pipeline gespeichert. Eine transaktionale E-Mail mit diesen Angaben und einem geschützten internen Prüflink geht an den konfigurierten InnovationFlow-Moderator. Ihre Adresse wird als Antwortadresse verwendet. Kurzcheck-Antworten und Ergebniskennung sind nicht enthalten.
Die Absendung erlaubt Macrocyra, zu antworten, den Umfang zu klären und gewünschte vorvertragliche Schritte vorzubereiten. Konto oder Kampagne entstehen dadurch nicht. Einwilligung kann über gdpr@innovationflow.app widerrufen werden.
5. Cookies und Browserspeicher
Erforderliche HTTP-only-Cookies schützen Betreiber- und Teilnehmersitzungen sowie das private Ergebnis des Kurzchecks. Sie enthalten opake oder signierte Kennungen und laufen automatisch ab. Ein host-spezifisches Präferenzcookie auf jeder Assessment-Subdomain speichert die Wahl „nur erforderlich“ oder „Analyse“ für 180 Tage. Entwürfe nutzen tab-bezogenen sessionStorage; eingeladene Vollassessments speichern Entwürfe zusätzlich serverseitig beim autorisierten Teilnehmer und löschen sie bei Abschluss.
| Name | Zweck |
|---|---|
innovation_momentum_beta | Erforderliche Betreiber-Sitzung, regelmäßig 12 Stunden. |
innovation_momentum_respondent | Erforderliche eingeladene Teilnehmersitzung, bis zu 12 Stunden und früher widerrufbar. |
innovation_momentum_result | Erforderlicher privater Zugang zum Kurzcheck-Ergebnis, bis zu sieben Tage. |
innovation_momentum_privacy | Erforderlicher Nachweis der Datenschutzwahl auf dem aktuellen Host, 180 Tage. |
im_assessment_draft:v1:… | Erforderlicher tab-bezogener Kurzcheck-Entwurf, Löschung nach erfolgreicher Abgabe. |
im_beta_session | Optionale eigene Analyse-Sitzungs-UUID, begrenzt auf den aktuellen Tab. |
Erforderlicher Browserspeicher wird nach § 25 Abs. 2 Nr. 2 TDDDG zur Bereitstellung des ausdrücklich gewünschten Dienstes eingesetzt. Optionale Analyse beginnt erst nach Einwilligung: Datenschutz-Einstellungen öffnen.
6. Optionale Produktanalyse
Analyse ist bis zur Einwilligung deaktiviert. Danach starten zwei begrenzte Systeme. Die eigene InnovationFlow-Produktanalyse speichert eine opake Tab-Sitzungs-UUID, Ereignis, Seitenpfad, optional Kampagnen- oder Schrittschlüssel, Dauer, Serverzeit und Einwilligungsnachweis in Supabase. Assessment-Antworten, Freitexte, Namen, E-Mails, Report-Inhalte und Werbekennungen werden nicht gespeichert.
Vercel Web Analytics wird danach über einen eigenen Dienstpfad geladen und erfasst aggregierte Seitenaufrufe ausschließlich für eine Positivliste öffentlicher Einstiegs- und Assessment-Routen. Private Ergebnisse, Kunden- und Betreiberbereiche, Einladungen, Reports, APIs und unbekannte Routen werden vor dem Versand blockiert; Query-Strings und Fragmente werden entfernt. Vercel kann Ereigniszeit, öffentlichen Pfad, Referrer, groben Standort, Betriebssystem, Browser und Gerätetyp erhalten. Es gibt kein Drittanbieter-Analyse-Cookie; Vercel bildet einen Hash aus der Anfrage und verwirft diese Besuchersitzung nach 24 Stunden. Pulse- und Vollassessment-Antworten werden nie versendet.
„Nur erforderlich“ verhindert den Start beider Systeme. Ein späterer Widerruf lädt die Seite neu und beendet die künftige Erfassung; die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt. Es gibt kein Werbe- oder websiteübergreifendes Tracking. Weitere Angaben enthält Vercels Datenschutzhinweis zu Web Analytics.
7. Zwecke und Rechtsgrundlagen
- Kurzcheck und angeforderter Dienst: Art. 6 Abs. 1 lit. b DSGVO für den Dienst und gewünschte vorvertragliche Schritte.
- Kontaktanfrage: Art. 6 Abs. 1 lit. a und gegebenenfalls lit. b DSGVO.
- Kundenkampagne: Der Kampagnenhinweis nennt die Rechtsgrundlage des Verantwortlichen; Macrocyra handelt gegebenenfalls nach Weisung.
- Sicherheit und notwendige Verbesserung: Art. 6 Abs. 1 lit. f DSGVO, begrenzt durch Minimierung und Zugriffskontrollen.
- Optionale Analyse: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.
- Rechtspflichten: Art. 6 Abs. 1 lit. c DSGVO.
Es besteht keine gesetzliche Pflicht zur Angabe von Assessment-Antworten. Pflichtfelder sind für Ergebnis oder Zugangsverwaltung erforderlich.
8. Speicherdauer und Löschung
| Kategorie | Regel |
|---|---|
| Kurzcheck und Einzelergebnis | Löschung oder irreversible Anonymisierung spätestens 90 Tage nach Abgabe, sofern keine kürzere technische Frist oder rechtlich notwendige längere Speicherung gilt. |
| Nicht umgewandelte Assessment-Anfragen | Spätestens sechs Monate nach dem letzten sinnvollen Kontakt. Umgewandelte Anfragen folgen dem dokumentierten Kundenauftrag. |
| Kampagneneinladungen, Antworten und Reports | Nach der vor Teilnahme gezeigten Kampagnenfrist, regelmäßig 90 Tage nach dem späteren Zeitpunkt von Zugangsablauf oder Kampagnenende, soweit Vertrag oder Gesetz nichts anderes vorgeben. |
| Konten und Audit-Daten | Konten solange autorisiert. Notwendige Evidenz- und Freigabezuordnung kann für den Auftrag und bis zu drei Jahre zur Anspruchssicherung bestehen; unnötige Personendaten werden früher entfernt. |
| Analyse und Feedback | Eigene Produktanalyse bis sechs Monate. Das garantierte Vercel-Pro-Auswertungsfenster beträgt zwölf Monate; Vercel erklärt, aggregierte Analysedaten gegebenenfalls länger für spätere Tarifwechsel vorzuhalten. Die anfragebasierte Besuchersitzung wird nach 24 Stunden verworfen. Feedback wird nach dem Produkt-Prüfzyklus, regelmäßig innerhalb von sechs Monaten, gelöscht oder anonymisiert. |
| Sicherheitsprotokolle und Backups | Sicherheitsprotokolle regelmäßig höchstens 30 Tage. Verschlüsselte Backups laufen nach dem jeweiligen Anbieterplan ab und sind vom normalen Betrieb getrennt. |
9. Empfänger, Hosting und Übermittlungen
Der Produktionsdienst nutzt Vercel Inc. für Web-Laufzeit und eingewilligte aggregierte Webanalyse, Supabase für verwaltete Datenbank, Speicher und Authentifizierung sowie den konfigurierten transaktionalen E-Mail-Anbieter, derzeit Resend, für Anfrage- und Zugangsnachrichten. Der E-Mail-Dienst erhält Adresse und Nachrichteninhalt; Assessment-Antworten stehen nicht in Anfrage-Benachrichtigungen. Macrocyra-Betreiber und autorisierte Kundenrollen erhalten nur rollenbezogenen Zugriff.
Aktuelle Unterauftragsverarbeiter und Verarbeitungsangaben werden zusammen mit den allgemeinen InnovationFlow-Rechtsdokumenten veröffentlicht. Vercels Auftragsverarbeitungsvereinbarung gilt auch für Pro-Tarife und bezieht für einschlägige Übermittlungen die EU-Standardvertragsklauseln 2021 ein. Für sonstige Verarbeitung außerhalb des EWR nutzt Macrocyra den geltenden Anbietervertrag und einen zulässigen Mechanismus nach Kapitel V DSGVO. Werbenetzwerke erhalten keine Assessment-Daten.
InnovationFlow Companion ist aktiviert. Ein autorisierter Betreiber kann das begrenzte Gruppenaggregat bewusst für einen privaten Entwurf übermitteln. Der aktuelle Anbieter ist Anthropic (Claude). API-Eingaben und -Ausgaben werden normalerweise innerhalb von 30 Tagen gelöscht; gesetzliche, sicherheitsbezogene und vereinbarte Ausnahmen bleiben möglich. Eine ausschließlich europäische Verarbeitung wird nicht zugesichert. Siehe Anthropics Angaben zur API-Aufbewahrung. Ein namentlich zugeordneter Betreiber muss die Erzählung vor der Kundenfreigabe prüfen und genehmigen. Kampagnenunterlagen nennen Verantwortliche, Verarbeitungsanweisungen und Garantien.
10. Ihre Rechte
Unter den gesetzlichen Voraussetzungen bestehen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch nach Art. 15-21 DSGVO sowie Widerruf einer Einwilligung mit Wirkung für die Zukunft. Kontakt: gdpr@innovationflow.app. Wir antworten regelmäßig binnen eines Monats und können die Identität zum Schutz anderer prüfen.
Beschwerden sind bei einer Aufsichtsbehörde möglich, insbesondere der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, datenschutz-berlin.de.
11. Sicherheit, automatisierte Entscheidungen und Änderungen
Maßnahmen umfassen benannte Konten mit minimalen Rechten, MFA-Unterstützung, gehashte Passwörter und Tokens, ablaufende widerrufbare Sitzungen, Same-Origin-Schutz, restriktive Browserheader, verschlüsselte Übertragung, Row-Level-Datenbankkontrollen, Datenschutz-Anzeigeschwellen, unveränderliche Evidenzsnapshots und gesteuerte Reportfreigabe. Absolute Sicherheit kann kein Internetdienst garantieren.
Der Dienst trifft keine ausschließlich automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung über Teilnehmende. Ergebnisse sind Hypothesen zur menschlichen Prüfung. Wesentliche Änderungen an Zwecken, Empfängern oder optionaler Speicherung werden hier und, soweit erforderlich, in einer neuen Auswahl oder Annahme angezeigt.