Datenschutzerklärung

1. Verantwortlicher

Einen Datenschutzbeauftragten haben wir nicht bestellt; wir sind dazu nicht verpflichtet.

2. Die kurze Fassung

Wir speichern, was wir für Ihren Zugang und die Abrechnung brauchen: Ihre E-Mail-Adresse, die Angaben zu Ihrem Server, Ihre Organisation und Ihr Abo. Dazu speichern wir zwei API-Schlüssel von Ihnen in verschlüsselter Form, weil wir Ihren Server sonst nicht für Sie neu starten könnten.

Was wir nicht speichern, ist Ihre Arbeit. Ihre Dateien, Ihre Projekte und Ihre Unterhaltungen mit dem Agenten liegen auf Ihrem eigenen Server in Ihrem eigenen Hetzner-Konto. Wir kopieren sie nicht und wir lesen sie nicht.

3. Konto und Anmeldung

Bei der Anlage eines Kontos verarbeiten wir Ihre E-Mail-Adresse, einen Hash Ihres Passworts sowie die Zeitpunkte von Anlage und Bestätigung. Die Anmeldung läuft über Supabase; die Sitzung liegt in einem Cookie, das für den Betrieb der Seite technisch notwendig ist.

Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

4. Ihr Server

Zum Anlegen und Verwalten Ihres Servers speichern wir: eine interne Box-Kennung, die Hetzner-Servernummer, die IPv4-Adresse, den von Ihnen gewählten Benutzernamen, den Status sowie die Kennungen der Geräte, die Sie für die Dateisynchronisation gekoppelt haben. Außerdem speichern wir einen Hash des Tokens, mit dem sich Ihr Server an unserem Relay anmeldet, und die Synchronisations-Identität des Servers in verschlüsselter Form, damit ein neu aufgesetzter Server dieselbe Identität behält und Ihre eigenen Rechner ihm nicht erneut vertrauen müssen.

Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

5. API-Schlüssel, die wir für Sie speichern

Wir speichern Ihr Hetzner-API-Token und, sofern Sie eines nutzen, Ihren Anthropic-API-Schlüssel. Beide werden vor dem Schreiben in die Datenbank mit AES-256-GCM verschlüsselt, jeweils mit eigenem Nonce, und nur im Moment der Verwendung entschlüsselt.

Wir speichern sie, weil Sie ein Produkt wollten, das Ihren Server mit einem Klick neu starten, neu aufsetzen und aus der Ferne reparieren kann. Jede dieser Aktionen braucht das Hetzner-Token, und ein neu aufgesetzter Server braucht den Anthropic-Schlüssel erneut. Die Alternative wäre, Sie jedes Mal beide Schlüssel eingeben zu lassen.

Sie können das jederzeit beenden, indem Sie Ihren Server in den Einstellungen löschen und die Token bei Hetzner und Anthropic zurückziehen. Wir empfehlen, fastpal ein Hetzner-Token zu geben, das auf ein eigens dafür angelegtes Projekt beschränkt ist.

Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

6. Organisationen und Einladungen

Wenn Sie eine Organisation anlegen, speichern wir ihren Namen, wem sie gehört, E-Mail-Adresse und Rolle jedes Mitglieds sowie die Information, welche Projekte mit wem geteilt sind. Zu einer Einladung speichern wir die eingeladene Adresse, die Rolle, ein Ablaufdatum und einen Hash des Einladungs-Tokens — nie das Token selbst, damit ein Blick in unsere Datenbank keinen benutzbaren Einladungslink ergibt.

Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

7. Bezahlung

Zahlungen laufen über Stripe Payments Europe Ltd. Wir speichern die Stripe-Kunden- und Abonummer, den Status des Abos, die Währung, den Betrag je Platz, die Zahl der Plätze, das Ende des laufenden Zeitraums und das Ende Ihrer Testphase.

Kartendaten geben Sie auf den Seiten von Stripe ein; sie erreichen uns nie. Stripe verarbeitet die Zahlungsdaten als eigener Verantwortlicher nach seiner eigenen Datenschutzerklärung. Für Rechnungen verarbeitet Stripe Ihre Rechnungsanschrift und, sofern angegeben, Ihre Umsatzsteuer-Identifikationsnummer; diese Rechnungen müssen wir nach deutschem Recht zehn Jahre aufbewahren.

Zweck: Vertragserfüllung und Erfüllung unserer steuerlichen Pflichten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. c DSGVO.

8. Was auf Ihrem Server passiert und nicht auf unserem

Ihre Dateien, Ihre Projekte, der Zustand des Agenten und der Verlauf Ihrer Sitzungen liegen auf Ihrem Server. Dieser Server läuft in Ihrem Hetzner-Konto, und für dessen Inhalte sind Sie verantwortlich, nicht wir.

Ihr Server schreibt ein Protokoll der Eingaben, die Sie an den Agenten schicken. Es enthält nur die Eingaben, nicht die Antworten, es verlässt den Server nicht und wird nach etwa dreißig Tagen rotiert. Wir erheben es nicht. Erreichen können wir es nur, wenn Sie uns im Rahmen einer Unterstützung Zugang geben oder wenn innerhalb einer Organisation die einrichtende Person die Fernwartung nutzt.

Laden Sie Kolleginnen und Kollegen ein, entstehen deren Server in Ihrem Hetzner-Konto, und Sie bestimmen, was darauf geschieht. In diesem Verhältnis sind Sie der Verantwortliche, und soweit wir Daten in Ihrem Auftrag verarbeiten, sind wir Auftragsverarbeiter. Wenn Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO benötigen, schreiben Sie uns; wir stellen ihn bereit.

9. Server-Protokolle

Unsere Hosting-Anbieter führen kurzlebige technische Protokolle der Aufrufe, darunter IP-Adresse, Zeitpunkt und aufgerufene Seite. Sie dienen dem sicheren Betrieb und der Fehlersuche.

Zweck: sicherer Betrieb. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an einem funktionierenden, sicheren Dienst).

10. Wer sonst beteiligt ist

Wir setzen die folgenden Anbieter ein. Jeder von ihnen verarbeitet nur, was seine Funktion erfordert:

• Hetzner Online GmbH, Deutschland — das Relay, über das die Verbindung zu Ihrem Server läuft, sowie die Server in Ihrem eigenen Konto.
• Supabase Inc. — Datenbank und Anmeldung. Unser Projekt liegt in der EU (Frankfurt).
• Vercel Inc., USA — Hosting der Weboberfläche.
• Stripe Payments Europe Ltd., Irland, und Stripe Inc., USA — Zahlung und Rechnungstellung.
• Loops (Fifty Nine Inc.), USA — die E-Mails, die wir Ihnen schicken, etwa zur Adressbestätigung und für Einladungen.
• Anthropic PBC, USA — das Modell hinter Claude Code. Was Sie dem Agenten schicken, geht an Anthropic unter dem Konto, dessen Schlüssel verwendet wird; dafür gelten die Bedingungen und die Datenschutzerklärung von Anthropic.

11. Übermittlung außerhalb der EU

Vercel, Stripe, Loops und Anthropic verarbeiten Daten in den Vereinigten Staaten. Diese Übermittlungen stützen sich auf den Angemessenheitsbeschluss der Europäischen Kommission zum EU-US Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

12. Speicherdauer

• Konto- und Organisationsdaten: bis Sie Ihr Konto löschen.
• Serverangaben und verschlüsselte Schlüssel: bis Sie den Server löschen, spätestens mit der Löschung des Kontos.
• Einladungen: bis zur Annahme, zum Widerruf oder zum Ablauf.
• Zahlungs- und Rechnungsdaten: zehn Jahre, weil handels- und steuerrechtliche Aufbewahrungspflichten das verlangen.
• Das Eingabeprotokoll auf Ihrem Server: etwa dreißig Tage, danach wird es rotiert.

13. Cookies

fastpal setzt ein einziges Cookie: das Sitzungs-Cookie, das Sie angemeldet hält. Es ist technisch notwendig und einwilligungsfrei. Wir verwenden keine Analyse-, Tracking- oder Werbe-Cookies.

14. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage unseres berechtigten Interesses (Art. 21). Schreiben Sie an m.hofmann@fastpal.com.

Außerdem haben Sie das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.