Datenschutz
1. Verantwortlicher
TYLDA Solutions GmbH
Gürtelstraße 25
10247 Berlin, Deutschland
E-Mail: hello@tylda.solutions
2. Überblick: Welche Daten wir wofür verarbeiten
| Kontext | Datenkategorien | Zweck | Rechtsgrundlage |
|---|---|---|---|
| Aufruf Website/App | IP-Adresse, Zeitstempel, User-Agent (Server-Logs) | Auslieferung, Sicherheit, Stabilität | Art. 6 Abs. 1 lit. f |
| Registrierung/Login | E-Mail-Adresse, Passwort (gehasht) | Konto-Erstellung, Authentifizierung | Art. 6 Abs. 1 lit. b |
| Vertrags-Upload | Das hochgeladene PDF (kann Name, Adresse, IBAN, Telefonnummer, Unterschrift, Vertrags-/Versicherungsnummer, Geburtsdatum enthalten) | Automatisierte Erkennung von Anbieter, Kosten, Fristen | Art. 6 Abs. 1 lit. b |
| PII-Redaktion (automatisiert, vor jeder KI-Analyse) | dieselben Kategorien, technisch erkannt und durch Platzhalter ersetzt | Schutz vor Weitergabe an KI-Anbieter (Datenminimierung) | Art. 6 Abs. 1 lit. f, zugleich Maßnahme nach Art. 25/32 |
| KI-gestützte Extraktion | ausschließlich der bereits redigierte Text | Erkennung von Anbieter, Kategorie, Kosten, Fristen | Art. 6 Abs. 1 lit. b |
| Extrahierte Vertragsdaten (Dashboard) | Anbieter, Kategorie, Betrag, Datumsfelder, Zusammenfassung | Bereitstellung der Fristenübersicht | Art. 6 Abs. 1 lit. b |
| Fristen-Erinnerungen (E-Mail) | E-Mail-Adresse, Vertrags-/Fristbezug | Versand der vom Nutzer aktivierten Erinnerungen | Art. 6 Abs. 1 lit. b |
| Manuelle Korrektur | vom Nutzer geänderte Feldwerte | Korrektur fehlerhafter Erkennung | Art. 6 Abs. 1 lit. b |
3. Ihre Rechte
Sie haben jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Kontakt: hello@tylda.solutions.
Ihnen steht ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77). Zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Friedrichstraße 219, 10969 Berlin.
4. Hosting und Infrastruktur
Website/App: bereitgestellt über Lovable (Lovable Technologies). Lovable setzt eigene Sub-Auftragsverarbeiter ein: Vercel Inc. (Hosting/Auslieferung) sowie Supabase, Inc. (Authentifizierung, Datenbank, Datei-Speicher). Diese Dienste werden in der Europäischen Union betrieben (EU-Region). Beim Aufruf werden IP-Adresse, Datum/Uhrzeit, URL und Browsertyp in Server-Logfiles erfasst (Art. 6 Abs. 1 lit. f), Löschung nach spätestens 30 Tagen. Mit Lovable besteht ein Auftragsverarbeitungsvertrag, der Vercel und Supabase als genehmigte Sub-Prozessoren umfasst.
Konto- und Vertragsdaten sowie hochgeladene PDFs werden in der von Lovable verwalteten Supabase-Instanz (EU-Region) gespeichert, zugriffsbeschränkt auf Ihr eigenes Konto (Row-Level-Security).
Extraktions-Server (PDF-Verarbeitung und PII-Redaktion): eigener, dedizierter Server bei Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Auf diesem von TYLDA betriebenen Server in Deutschland findet die Text-Extraktion aus Ihrem PDF sowie die automatische Erkennung und Entfernung personenbezogener Daten statt — bevor irgendein Inhalt an einen externen KI-Anbieter geht. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag.
5. Der Kern-Ablauf: Vertrags-Upload und automatisierte Erkennung
5.1 Was beim Upload passiert
- Sie laden ein Vertrags-PDF hoch. Es wird zugriffsbeschränkt auf Ihr Konto gespeichert.
- Unser Extraktions-Server (Abschnitt 4) liest den Text (inkl. Tabellen) aus.
- Vor jeder Weitergabe an ein KI-Sprachmodell werden personenbezogene Daten automatisiert erkannt und durch Platzhalter ersetzt: Namen, Adressen, E-Mail-Adressen, Telefonnummern, IBAN, Vertrags-/Versicherungsnummern. Die Erkennung nutzt ein sprachbasiertes Mustererkennungsverfahren (u. a. Microsoft Presidio), ergänzt um für deutsche Vertragsdokumente entwickelte Erkennungsregeln.
- Nur der bereinigte Text wird an das KI-Sprachmodell (Abschnitt 6) übermittelt.
- Die strukturierten Ergebnisse (nicht der Fließtext) werden in Ihrem Konto gespeichert und im Dashboard angezeigt.
5.2 Grenzen der automatisierten Erkennung
Die Erkennung ist technisch, nicht perfekt. Einzelne personenbezogene Daten können unerkannt bleiben oder extrahierte Vertragsdaten fehlerhaft sein — deshalb sind alle Felder manuell korrigierbar, und Ergebnisse mit geringer Erkennungssicherheit werden zur Prüfung markiert.
5.3 Speicherung des Original-Dokuments
Ihr Original-PDF wird nach Abschluss der Analyse automatisch gelöscht. Dauerhaft gespeichert bleiben ausschließlich die extrahierten, strukturierten Vertragsdaten (Anbieter, Kategorie, Kosten, Fristen) in Ihrem Konto. Eine verschlüsselte Aufbewahrung des Originals ist als späteres, ausdrücklich zu aktivierendes Zusatzangebot geplant; solange Sie es nicht aktivieren, wird nichts vom Original behalten.
6. KI-gestützte Extraktion (Anthropic)
Zur Erkennung strukturierter Vertragsdaten aus dem bereits von personenbezogenen Daten bereinigten Text nutzen wir ein KI-Sprachmodell von Anthropic, PBC, San Francisco, USA. Anthropic erhält zu keinem Zeitpunkt das Original-PDF oder unredigierten Text — ausschließlich den nach Abschnitt 5.1 bereinigten Text. Rechtsgrundlage: Art. 6 Abs. 1 lit. b. Mit Anthropic besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum, Art. 28 DSGVO). Anthropic verarbeitet API-Daten nicht zum Training seiner Modelle.
7. Kein automatisiertes Einzelentscheiden (Art. 22 DSGVO)
Die extrahierten Vertragsdaten sind eine automatisierte Erkennung, keine automatisierte Entscheidung mit Rechtswirkung für Sie. klaari trifft keine Entscheidungen über Sie, sondern verschafft Ihnen Übersicht über Ihre eigenen Verträge. Alle Ergebnisse sind einsehbar und korrigierbar. Eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO findet nicht statt.
8. Empfänger / Auftragsverarbeiter (Übersicht)
| Empfänger | Funktion | Ort | Grundlage |
|---|---|---|---|
| Hetzner Online GmbH | Server: PDF-Verarbeitung, PII-Redaktion | Deutschland (EU) | AVV |
| Lovable Technologies | App-Bereitstellung (orchestriert Auth/Storage/Hosting) | EU-Region | AVV |
| ↳ Supabase, Inc. | Authentifizierung, Datenbank, Datei-Speicher | EU-Region | Sub-Prozessor von Lovable |
| ↳ Vercel Inc. | Hosting/Auslieferung | EU-Region | Sub-Prozessor von Lovable |
| Anthropic, PBC | KI-Textextraktion (nur bereinigter Text) | USA | AVV (DPA) + SCCs |
9. Drittlandübermittlung
Die Infrastruktur für Speicherung (Supabase), Auslieferung (Vercel) und Extraktion/PII-Redaktion (Hetzner) wird in der Europäischen Union betrieben. Eine Übermittlung in ein Drittland erfolgt ausschließlich für die KI-Extraktion an Anthropic (USA) und stützt sich auf EU-Standardvertragsklauseln (SCCs) gemäß dem abgeschlossenen Data Processing Addendum. Übermittelt wird ausschließlich der bereits von personenbezogenen Daten bereinigte Text.
10. Löschung Ihrer Daten
Sie können Ihre einzelnen Verträge sowie Ihr Konto jederzeit in der App löschen; damit werden die zugehörigen Vertragsdaten und Dateien vollständig entfernt. Das Original-PDF wird bereits nach der Analyse automatisch gelöscht (Abschnitt 5.3).
11. Cookies und lokale Speicherung
klaari verwendet ausschließlich technisch notwendige Cookies bzw. vergleichbare lokale Speichermechanismen, um Ihre Anmeldung und Sitzung aufrechtzuerhalten. Wir setzen keine Tracking-, Marketing- oder Analyse-Cookies ein; ein Einwilligungsbanner ist daher nicht erforderlich.
12. Datensicherheit
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO: TLS-Verschlüsselung der Übertragung, zugriffsbeschränkte Datenbank mit Row-Level-Security, isolierte Verarbeitungsumgebung für die PDF-Analyse (nicht-privilegierter Prozess, keine dauerhafte Speicherung von Zwischenergebnissen), PII-freies Logging.
13. Keine Verpflichtung zur Bereitstellung
Die Nutzung von klaari setzt die in Abschnitt 2 genannten Angaben voraus. Ohne Vertrags-Upload können wir die Kernfunktion (Fristenerkennung) nicht bereitstellen.
14. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich Rechtslage oder Verarbeitungen ändern. Es gilt die jeweils veröffentlichte Fassung.
Stand: 26.08.2026