# Datenschutzerklärung der App featureloom

 

Diese Datenschutzerklärung bezieht sich auf die App featureloom (app.featureloom.com, api.featureloom.com, mcp.featureloom.com) und auf die E-Mails, die wir senden. Die Website featureloom.com hat eine eigene Richtlinie. Version 1.3. Gültig ab 2026-11-01.

## 1. Wer Verantwortlicher ist

Verantwortlicher für die in dieser Datenschutzerklärung beschriebenen Daten ist VIGELION Tomasz Czubkowski, ul. Wiosenna 25, 60-185 Skórzewo, Polen, Steuernummer (NIP) 973-024-00-52 („wir“, „featureloom“). Kontakt in Angelegenheiten personenbezogener Daten: privacy@featureloom.com. 

## 2. Zwei Rollen: wann wir Verantwortlicher sind und wann nicht

Wenn ein Unternehmer oder eine Person, die den Dienst nutzt, Ihre Daten in featureloom eingegeben hat, ist dieser Kunde Verantwortlicher, und Ihre Rechte üben Sie bei ihm aus; einen an uns gerichteten Antrag leiten wir an den Kunden weiter. Ausnahme: Die in einer Einladung angegebene Adresse verarbeiten wir als Verantwortlicher (Nr. 3).

## 3. Welche Daten, wozu, auf welcher Grundlage und wie lange

Die Fristen stehen in Anlage 2, hier in Kurzform. Die Grundlagen stammen aus Art. 6 Abs. 1 DSGVO.

| Zweck | Daten | Grundlage | Frist |
|---|---|---|---|
| Konto und Anmeldung des Gründers der Organisation | E-Mail-Adresse, Anzeigename, Sprache, geschütztes Passwort (wenn Sie eines festlegen), Version der Nutzungsbedingungen und Zeitpunkt ihrer Annahme, Land, Name der Organisation | Buchst. b (Vertrag) | bis zur Löschung des Kontos oder der Organisation  |
| Konto und Anmeldung einer in eine Organisation eingeladenen Person | E-Mail-Adresse, Anzeigename, Sprache, geschütztes Passwort (wenn Sie eines festlegen), Version der Nutzungsbedingungen und Zeitpunkt der Annahme der Einladung | Buchst. b (Führung des Kontos auf Verlangen der Person) und Buchst. f (damit das Team des Kunden arbeiten kann) | bis zur Löschung des Kontos (Version der Nutzungsbedingungen: so lange wie die Mitgliedschaft in der Organisation); ein Konto ohne jede Organisation löschen wir nach 12 Monaten  |
| Sitzungen und ihre Sicherheit | geschütztes Sitzungstoken (der Code, der im Cookie der Anmeldesitzung gespeichert ist), gekürzte IP-Adresse, von der aus Sie sich anmelden, Name des Browsers | Buchst. b, Buchst. f (Sicherheit) | 14 Tage ab der Anmeldung, 3 Tage ohne Nutzung; Datensatz 90 Tage nach dem Ende  |
| zweistufige Anmeldung (Pflicht für den Administrator einer Organisation, die mehr als eine Person hat; für andere, wenn Sie sie aktivieren oder wenn die Organisation sie verlangt) | geschütztes Geheimnis der Authenticator-App, geschützte Wiederherstellungscodes, Fehlerzähler, Frist für die Einrichtung | Buchst. b, Buchst. f (Sicherheit) | bis zur Deaktivierung oder bis zur Löschung des Kontos  |
| Passkeys (wenn Sie welche hinzufügen) | Kennung des Schlüssels, öffentlicher Schlüssel, Name, Nutzungszähler, letzte Nutzung | Buchst. b | bis zur Löschung des Schlüssels oder des Kontos  |
| Anmeldung mit Google (wenn Sie sie wählen) | Daten aus Nr. 5 Abs. 1 | Buchst. b | bis zur Trennung oder bis zur Löschung des Kontos; Einzelheiten in Nr. 5  |
| Konsolen der Personen (mit einem Schlüssel `flc_` und über eine Anmeldung mit OAuth) und Automationsschlüssel | Name, Programm, geschützter Schlüssel oder Tokens, Ablaufdaten, Aussteller; Orte der Nutzung: gekürzte IP-Adresse, Name des Programms, Tag | Buchst. b, Buchst. f (Sicherheit) | Konsole `flc_` 90 Tage und Datensatz 90 Tage nach dem Ende; OAuth-Konsole bis zu 90 Tage ab der Zustimmung; Schlüssel bis zu 180 Tage; Orte 90 Tage  |
| E-Mails zu Konto und Sicherheit an die Person und an die Administratoren der Organisation | E-Mail-Adresse, Name des Browsers, gekürzte IP-Adresse, Name der Person, die die E-Mail betrifft oder die die Handlung vorgenommen hat | Buchst. f (Sicherheit des Kontos und Rechenschaftspflicht in der Organisation) | einmaliger Versand; E-Mail-Protokoll nach Anlage 2  |
| Einladung in eine Organisation | E-Mail-Adresse der eingeladenen Person, Rolle, Sprache, Status; die Daten erhalten wir vom Administrator der Organisation | Buchst. f (Aufnahme einer neuen Person auf Bitte des Administrators der Organisation) | Link 14 Tage; Eintrag 90 Tage nach dem Ende  |
| Registrierung und Zurücksetzen des Passworts | E-Mail-Adresse, einmal nutzbarer Link; bei der Registrierung auch die Quelle der Registrierung und die Sprache des Browsers | Buchst. b | 24 Stunden; Eintrag 7 Tage (Registrierung) und 90 Tage (Zurücksetzen) |
| Schutz vor Bots (Cloudflare Turnstile) bei der Anmeldung, der Registrierung und der Bitte um Zurücksetzen des Passworts sowie der Weg des Datenverkehrs über Cloudflare, unseren Zwischenserver und unsere App | an Cloudflare geht Ihre Anfrage (IP-Adresse, technische Daten, die mit ihr gesendet werden, Merkmale des Browsers) | Buchst. f (Sicherheit) | bei Cloudflare nach dessen Regeln (cloudflare.com/turnstile-privacy-policy); Protokolle unseres Zwischenservers und unserer App: Nr. 8  |
| Begrenzung von Anmeldeversuchen, Registrierungen, Zurücksetzen des Passworts und E-Mails mit Einladung | E-Mail-Adresse aus dem Versuch der Anmeldung, der Registrierung oder des Zurücksetzens, Zähler, Zeit; bei Registrierung, Zurücksetzen und Einladung auch ein aus der E-Mail-Adresse gebildetes Kennzeichen | Buchst. f (Sicherheit) | Adresse: längstens bis zum Neustart des Servers; Kennzeichen: höchstens 49 Stunden  |
| eine kostenlose Testphase pro Person | aus der E-Mail-Adresse gebildetes Kennzeichen (ohne die Adresse selbst), Datum | Buchst. f (Verhinderung von Missbrauch der Testphase) | 24 Monate  |
| Abonnement und Modellguthaben | Tarif, Status, Zahl der Plätze, Land, Kennungen des Kunden und des Abonnements beim Zahlungsvermittler, geplante Änderung, wer das Abonnement geändert oder einen Kauf begonnen hat, Betrag der Aufladung; Einträge des Guthabens: Betrag, Modell, Tokens, wer beauftragt hat | Buchst. b | so lange wie die Organisation  |
| Kaufdaten vom Zahlungsvermittler (Quelle: Stripe) | Vor- und Nachname oder Firmenname, E-Mail-Adresse, Rechnungsadresse, Steuernummer, Art der Zahlungsmethode und ihre Kurzform (zum Beispiel Kartentyp und letzte Ziffern), Beträge und Zahlungsverlauf | Buchst. b (Abwicklung des Vertrags), Buchst. c (Steuern und Abrechnungen), Buchst. f (Reklamationen, Rechtsansprüche) | im Dashboard des Zahlungsvermittlers für die Dauer des Vertrags und 5 Jahre ab dem Ende des Kalenderjahres, in dem die Frist für die Zahlung der Steuer abgelaufen ist (Anlage 2)  |
| E-Mails zu Abonnement und Testphase | E-Mail-Adresse, Name der Organisation, in der Ankündigung der Löschung der Betrag des Guthabens | Buchst. b | einmaliger Versand; Register der versendeten E-Mails so lange wie die Organisation  |
| Bestätigung des Vertrags, des Kaufs und des Widerrufs | E-Mail-Adresse, Name der Organisation, Tarif, Zahl der bezahlten Plätze und Zeitraum oder Betrag der Aufladung und Guthaben danach, Preis mit Steuer und Betrag der Steuer, Version der Nutzungsbedingungen, Ende der Testphase; in der Bestätigung des Widerrufs Name und Anschrift der Person, die ihn erklärt hat | Buchst. c (das polnische Verbraucherrechtegesetz), Buchst. b, Buchst. f (Bestätigung des Vertrags gegenüber Unternehmern) | einmaliger Versand; Datensatz darüber, dass die E-Mail versendet wurde, so lange wie die Organisation; E-Mail-Protokoll nach Anlage 2  |
| Widerruf des Vertrags und Erstattungen | Widerrufserklärung, ihr Zeitpunkt, die Person, die sie abgegeben hat, der Kauf, den sie betrifft, Status und Zeitpunkt der Abrechnung, Betrag der Zahlung und der Erstattung, bei einer Aufladung der ungenutzte Teil, Zeitpunkt des Versands der Bestätigung; bei einer Erstattung per Überweisung die Kontonummer | Buchst. c (das polnische Verbraucherrechtegesetz), Buchst. f (Rechtsansprüche) | Datensatz in der Organisation so lange wie diese; Korrespondenz und Abrechnungen nach Anlage 2  |
| Herkunft der Registrierung und Produktstatistik | Land, Sprache des Gründers, Sprache des Browsers, Quelle der Registrierung, Art des Starts, Datumsangaben der Schritte (erster Agent, erster Plan, erste Zahlung, Kündigung), Kosten der Testphase; ohne Namen und Adressen | Buchst. f (Messung, ob das Produkt funktioniert und woher die Kunden kommen) | während des Bestehens der Organisation und höchstens 26 Wochen und 31 Tage nach ihrer Löschung  |
| Löschregister der Organisationen | Kennung der Organisation (Pseudonym), Quelle, Tarif, Endstand des Guthabens mit Währung, Zeilenzahlen, Datumsangaben | Buchst. f (Rechenschaftspflicht, Verteidigung von Rechtsansprüchen) | bei positivem Guthaben 6 Jahre, bei einem Guthaben von null oder darunter 3 Jahre, ab dem Ende des Jahres der Löschung  |
| Korrespondenz, Reklamationen, DSA-Meldungen | E-Mail-Adresse, Vor- und Nachname, Inhalt | Buchst. b, Buchst. c, Buchst. f (Abwicklung der Angelegenheit) | bis zum Abschluss der Angelegenheit und 12 Monate |
| rechtliche Pflichten (Buchführung, Steuern, Antworten an Behörden) | Abrechnungsdaten, die im Ersuchen der Behörde genannten Daten | Buchst. c | nach den Vorschriften |
| Geltendmachung, Ausübung und Verteidigung von Rechtsansprüchen | Abrechnungsunterlagen, Korrespondenz, Löschregister | Buchst. f | bis zur Verjährung |

Voraussetzung für das Anlegen eines Kontos ist die Angabe einer E-Mail-Adresse und eines Anzeigenamens sowie die Einrichtung einer Anmeldemethode, beim Anlegen einer Organisation auch die Angabe ihres Namens und des Landes; die übrigen Daten geben Sie freiwillig an, wenn Sie die jeweilige Funktion aktivieren. 

## 4. Empfänger der Daten

1. **Auftragsverarbeiter auf unsere Weisung**: die öffentliche Liste in Anlage 3 Teil 1 (Weiterleitung des Datenverkehrs an unseren Server und Schutz vor Bots, Abwicklung der Kasse und der Abonnements).
2. **Eigenständige Verantwortliche**: der Zahlungsvermittler für die in der Kasse angegebenen Daten (Nr. 6), Google als Anbieter der Anmeldung (Nr. 5), Cloudflare für die Daten aus der Prüfung durch Turnstile (cloudflare.com/turnstile-privacy-policy).
3. **Ihre Organisation**: jedes ihrer Mitglieder sieht Ihren Namen und Ihre E-Mail-Adresse, das Datum Ihres Beitritts und ob Sie Administrator der Organisation sind; die Administratoren der Organisation sehen außerdem Ihre Rechte, die Zahl der Konsolen, die letzte Nutzung einer Konsole und den Status der zweistufigen Anmeldung und erhalten diese Daten im Export der Organisation. 
4. **Werkzeuge, die die Organisation oder eine Person verbindet**: Slack (wenn die Organisation die Integration aktiviert) sowie Agenten und andere Programme, die sich über MCP verbinden (wenn Sie oder die Organisation sie verbinden); die Daten senden wir auf Weisung der Organisation oder der Person an deren eigenes Werkzeug, das sie auf Grundlage ihres Vertrags verarbeitet (Anlage 3 Teil 2).

## 5. Anmeldung mit Google

1. Wenn Sie Google zur Anmeldung nutzen, übermittelt uns Google eine Bestätigung Ihrer Identität (ein Token), der wir entnehmen: die Kennung des Google-Kontos (`sub`), die E-Mail-Adresse, ob die Adresse bestätigt ist, und die Domain von Google Workspace, wenn das Konto zu einer gehört. 
2. Eine Adresse von Google behandeln wir nur bei Gmail-Konten und bei Workspace-Konten in der Domain, die diese Bestätigung als eigene angibt, als bestätigt; andernfalls behandeln wir sie als Adresse, die zu bestätigen ist. 
3. Die Google-Kennung dient nur der Anmeldung. Die E-Mail-Adresse von Google wird zur Adresse Ihres Kontos und dient den Zwecken aus Nr. 3: Wir senden E-Mails an sie, sie schützt die einmalige Testphase, sie ist für die Mitglieder Ihrer Organisation sichtbar, und sie gelangt in den Export der Organisation. Daten von Google verkaufen wir nicht, nutzen sie nicht für Werbung oder zur Beurteilung der Kreditwürdigkeit und geben sie an keine anderen Stellen weiter außer an die Empfänger aus Nr. 4. Wir halten die Regeln von Google zu Nutzerdaten der Google-API-Dienste ein, einschließlich der Anforderungen an die eingeschränkte Nutzung (Limited Use).
4. Die Anmeldung mit Google trennen Sie in der App, in den Einstellungen des Kontos (Anmeldemethoden); dann löschen wir die gespeicherte Google-Kennung.

## 6. Zahlungen

1. Die Zahlung wickelt Link (Sold through Link, LLC, eine Gesellschaft von Stripe, LLC) im Rahmen von Stripe Managed Payments ab. Kartendaten, Rechnungsadresse und Steueradresse geben Sie bei Stripe an. Stripe und Link sind für diese Daten und für ihre eigenen Zwecke eigenständige Verantwortliche (stripe.com/privacy). 
2. Von Stripe erhält die App: die Kennungen des Kunden, des Abonnements und der Zahlung, das Land, den Tarif, die Zahl der Plätze und den Zeitraum sowie Status und Ereignisse des Kaufs und der Zahlung, einschließlich der Beträge der Zahlung, der Steuer und der Erstattung. 

## 7. Übermittlung außerhalb des Europäischen Wirtschaftsraums

Daten können nur an die Stellen aus Anlage 3 oder an die eigenständigen Verantwortlichen aus Nr. 4 außerhalb des EWR gelangen, auf der Grundlage: eines Angemessenheitsbeschlusses (EU-U.S. Data Privacy Framework für zertifizierte Stellen: Google LLC, Stripe, LLC, Cloudflare, Inc.) oder von Standardvertragsklauseln der Europäischen Kommission. Eine Kopie der Garantien stellen wir auf Verlangen zur Verfügung. 

## 8. Protokolle und Sicherheit

1. Cloudflare und unser Zwischenserver speichern die IP-Adresse, die Adresse der Anfrage und die technischen Daten, die mit der Anfrage gesendet werden. Auf unserem Zwischenserver bewahren wir einen Zugriffseintrag etwa 4 Tage auf, bei hohem Datenverkehr kürzer. Fehlereinträge des Zwischenservers gelangen in sein gemeinsames Protokoll, das in der Größe begrenzt ist und überschrieben wird. Einträge im Protokoll unserer App, auch solche mit IP-Adresse, bewahren wir höchstens 14 Tage auf. 
2. Sicherungen bewahren wir höchstens 6 Monate auf. 

## 9. Ihre Rechte

Sie haben das Recht auf Auskunft über die Daten, auf Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie auf Beschwerde beim Präsidenten des Amtes für den Schutz personenbezogener Daten (Prezes Urzędu Ochrony Danych Osobowych, uodo.gov.pl). Anträge richten Sie an privacy@featureloom.com; wir antworten innerhalb eines Monats. Ein Konto löschen wir auf Verlangen innerhalb von 30 Tagen; die Löschung der Organisation veranlasst ein Administrator der Organisation. Eine schreibgeschützte Organisation löschen wir automatisch nach den Nutzungsbedingungen (§ 14 Abs. 1). 

**Widerspruchsrecht.** Gegen die Verarbeitung, die auf unserem berechtigten Interesse beruht (Buchst. f in der Tabelle in Nr. 3), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen.

## 10. Cookies und Speicher des Browsers in der App

1. Die App verwendet ausschließlich Cookies und Einträge, die für ihren Betrieb notwendig sind.
2. **Cookies**: Anmeldesitzung (bis zu 14 Tage, nicht länger als die Sitzung), der Schritt mit dem Code der zweistufigen Anmeldung (5 Minuten), Anmeldung mit Google (10 Minuten), Verbindung eines Agenten über OAuth (30 Minuten). 
3. **Speicher des Browsers** (localStorage) und **Speicher des Tabs** (sessionStorage): Einträge, die sich Ihre Einstellungen und den Zustand der App merken. 
4. Cloudflare kann eigene Cookies speichern, die für den Schutz vor Bots notwendig sind, darunter `__cf_bm` (bis zu 30 Minuten ohne Aktivität) und `cf_clearance` nach bestandener Sicherheitsabfrage (30 Minuten).

## 11. Änderungen der Datenschutzerklärung

Über eine Änderung informieren wir jede Person mit einem Konto per E-Mail mindestens 14 Tage vor ihrem Inkrafttreten; eine gesetzlich erforderliche Änderung kann früher in Kraft treten.