DSGVO / Datenschutz

Datenschutzerklärung

Arbeitsfassung zur rechtlichen Prüfung. Platzhalter, Datum und Anbieterangaben bitte vor Veröffentlichung final ersetzen.

PDF öffnen Alle Rechtstexte

Rechtstexte

Datenschutzerklärung für Starthub Aktualisierte Arbeitsfassung zur rechtlichen Prüfung

Stand: [Datum einsetzen]

Anbieter: Noventra Technologies UG (haftungsbeschränkt)

E-Mail: support@starthub-app.com

Website: https://www.starthub-app.com

Dieses Dokument ist ein Arbeitsentwurf für die Veröffentlichung in App und Website. Bitte vor finaler Veröffentlichung rechtlich und datenschutzrechtlich prüfen lassen und Platzhalter ersetzen.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung ist:

Noventra Technologies UG (haftungsbeschränkt) [Privatadresse / Geschäftsadresse einsetzen] Deutschland

E-Mail: support@starthub-app.com

Website: https://www.starthub-app.com

Die Gesellschaft befindet sich derzeit in Gründung bzw. in Vorbereitung der operativen Tätigkeit. Die Angaben werden aktualisiert, sobald sich rechtliche oder geschäftliche Daten ändern.

2. Allgemeine Hinweise zur Datenverarbeitung

Starthub ist eine digitale Anwendung zur Unterstützung von Gründern, Selbstständigen, Startups und unternehmerisch interessierten Nutzern. Die App stellt insbesondere Workspaces, Tasks, Playbooks, Dokumentfunktionen, Vorlagen, Fortschrittsfunktionen, abonnementsbasierte Pro-Funktionen, KI-gestützte Arbeitshilfen, Investor-Ready-Funktionen und Exportfunktionen bereit.

Wir verarbeiten personenbezogene Daten nur, soweit dies für den Betrieb der App, die Bereitstellung unserer Leistungen, die Verwaltung deines Nutzerkontos, die Erfüllung rechtlicher Pflichten, die Sicherheit der Systeme, die Bereitstellung von KI-Funktionen oder zur Bearbeitung deiner Anfragen erforderlich ist.

Je nachdem, welche Funktionen du nutzt und welche Inhalte du eingibst, können auch Informationen über dein Startup, deine Geschäftsidee, dein Team, deine geplanten Märkte, deine Finanzierung, deine Investorenvorbereitung oder andere von dir eingegebene Inhalte verarbeitet werden. Bitte gib keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ein, soweit dies für die Nutzung von Starthub nicht erforderlich ist.

Die Informationspflichten nach Art. 13 DSGVO umfassen insbesondere Angaben zum Verantwortlichen, zu Zwecken und Rechtsgrundlagen der Verarbeitung, Empfängern, Speicherdauer und Betroffenenrechten.

3. Nutzung der Website

Beim Aufruf unserer Website https://www.starthub-app.com werden technisch notwendige Daten verarbeitet, damit die Website angezeigt werden kann. Dazu können insbesondere gehören:

Die Verarbeitung erfolgt zur Bereitstellung der Website, zur Sicherstellung der technischen Stabilität und zur Abwehr von Missbrauch.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb unserer Website.

Für Domain, DNS, Website-Auslieferung und E-Mail-Routing nutzen wir Cloudflare.

Aktuell verwenden wir auf der Website keine Analyse-Tools, keine Marketing-Cookies, keinen Newsletter und kein eigenes Kontaktformular-Backend.

4. Registrierung und Nutzerkonto

Wenn du ein Nutzerkonto erstellst oder dich einloggst, verarbeiten wir insbesondere:

Die Authentifizierung erfolgt über Supabase Auth. Passwörter werden nicht im Klartext gespeichert.

Zweck: Registrierung, Login, Kontoverwaltung, Sicherheit und Bereitstellung der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung des Nutzerkontos; Art. 6 Abs. 1 lit. f DSGVO für Sicherheitsmaßnahmen.

Sessions können lokal auf deinem Gerät gespeichert werden, insbesondere über SecureStore oder, falls technisch erforderlich, über einen lokalen Fallback-Speicher. Dies dient dazu, dich angemeldet zu halten und die App funktionsfähig bereitzustellen.

5. Passwort zurücksetzen und E-Mail-Verifizierung

Du kannst über die App einen Passwort-Reset per E-Mail anfordern. Dabei werden deine E-Mail-Adresse und technisch notwendige Reset-Informationen verarbeitet. Außerdem können Verifizierungslinks zur Bestätigung deiner E-Mail-Adresse verarbeitet werden.

Zweck: Wiederherstellung des Kontozugangs, Sicherung des Nutzerkontos und Bestätigung der

E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Eine direkte Passwortänderung innerhalb der App wird in der aktuellen Version nicht angeboten. Der Reset erfolgt über den E-Mail-basierten Supabase-Prozess.

6. Rechtliche Zustimmung beim Registrieren

Bei der Registrierung erfassen wir, ob und wann du rechtlichen Texten zugestimmt hast. Dazu können gehören:

Zweck: Nachweis der Akzeptanz rechtlicher Bedingungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO und Art. 6 Abs. 1 lit. f DSGVO.

Diese Daten können aus Nachweisgründen länger gespeichert werden, soweit dies zur Rechtsverteidigung oder Erfüllung rechtlicher Pflichten erforderlich ist.

7. App-Nutzung, Workspaces und Startup-Daten

Wenn du Starthub nutzt, kannst du Startup-Projekte bzw. Workspaces anlegen und verwalten. Dabei verarbeiten wir insbesondere:

Zusätzlich kann gespeichert werden, welches Startup bzw. welcher Workspace aktuell aktiv ist. Dazu wird eine technische Referenz auf den aktiven Workspace verarbeitet, damit du beim Öffnen der App direkt in dein aktiv ausgewähltes Startup weitergeleitet werden kannst.

Zweck: Bereitstellung und Verwaltung deiner Startup-Projekte, vereinfachter App-Start, nutzerfreundliche Fortsetzung deiner Arbeit und Bereitstellung kontextbezogener Funktionen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Soweit du KI-Funktionen nutzt, können ausgewählte Startup- und Workspace-Daten als Kontext für die jeweilige KI-Funktion verarbeitet und an den eingesetzten KI-Dienst übermittelt werden. Dies geschieht nur, soweit es für die konkrete Funktion erforderlich ist.

8. Tasks, Playbooks, Glossar und Stage-Anpassung

Starthub stellt Aufgaben, Playbooks, Glossar-Inhalte und strukturierte Schritte für den Aufbau eines Startups bereit. Dabei können verarbeitet werden:

Playbook- und Glossar-Inhalte selbst sind grundsätzlich Systeminhalte. Personenbezogen werden sie erst, wenn sie mit deinem Workspace, deinem Fortschritt oder deinen Eingaben verknüpft werden.

Wenn du die Stage deines Startups änderst, können bestimmte frühere Tasks automatisch als erledigt bzw. vorab abgeschlossen markiert werden, sofern du dies bestätigst. Dabei wird gespeichert, dass der

Abschluss aufgrund der geänderten Stage erfolgt ist.

Glossar- oder Referenzinhalte können als nicht abschließbare Nachschlageinhalte ausgestaltet sein. Solche Inhalte können angezeigt und geöffnet werden, ohne dass dadurch ein normaler Task-Abschluss, eine Streak oder ein Completion-Screen ausgelöst wird.

Zweck: Strukturierung deines Startup-Aufbaus, Speicherung deines Fortschritts, Bereitstellung von Nachschlageinhalten und Anpassung der Taskliste an den tatsächlichen Entwicklungsstand deines Startups.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

9. Fortschritts-, Streak- und Completion-Funktionen

Starthub verarbeitet Fortschrittsdaten, um deinen Arbeitsstand innerhalb eines Startups darzustellen, abgeschlossene Aufgaben zu speichern und motivierende Fortschrittsfunktionen bereitzustellen.

Dabei können insbesondere verarbeitet werden:

Zweck ist die Darstellung deines Fortschritts, die Bereitstellung von Completion-Screens, Streaks, Streak-Pausen und Fortschrittsübersichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Streaks und Completion-Screens dienen ausschließlich der produktinternen Fortschrittsanzeige und Motivation. Eine Leistungsüberwachung durch Dritte findet nicht statt.

10. Bearbeitungszeiten in Task-Details

Wenn du einen Task-Detail-Screen öffnest, kann Starthub eine interne Bearbeitungssitzung erfassen. Dabei wird gespeichert, wann die Bearbeitungssitzung beginnt und endet und wie lange sie ungefähr gedauert hat.

Dabei können insbesondere verarbeitet werden:

Zweck ist es, dir auf Completion-Screens eine ungefähre aktive Bearbeitungszeit anzuzeigen und deinen Fortschritt nachvollziehbarer zu machen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Die Bearbeitungszeit dient nur der produktinternen Orientierung. Sie stellt keine arbeitsrechtliche Zeiterfassung und keine Leistungskontrolle dar.

11. Dokumente, Dokumentverwaltung und KI-Ausgaben

Als Pro-Funktion kann Starthub Dokumentfunktionen bereitstellen. Außerdem können durch KI-Funktionen strukturierte Ausgaben, Entwürfe und dokumentähnliche Inhalte erzeugt und gespeichert werden.

Dabei können verarbeitet werden:

Die Speicherung erfolgt in Supabase-Datenbank und Supabase Storage. Downloads können über kurzlebige signierte URLs bereitgestellt werden.

Zweck: Erstellung, Speicherung, Bearbeitung, Wiederanzeige und Download von Dokumenten, dokumentähnlichen Inhalten und KI-Ausgaben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bitte gib in Dokumenten oder KI-Eingaben keine sensiblen personenbezogenen Daten ein, die für den Zweck der Dokumenterstellung oder KI-Funktion nicht erforderlich sind.

12. Teammitglieder und Einladungen

Wenn du Teamfunktionen nutzt, können folgende Daten verarbeitet werden:

Zweck: Verwaltung von Teamzugriffen und Einladungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Einladung Dritter ggf. Art. 6 Abs. 1 lit. f DSGVO.

Teamfunktionen sind in der aktuellen App als Pro-Funktion vorgesehen, soweit sie verfügbar sind.

13. Abos, Pro-Funktionen, In-App-Käufe und AI Credits

Starthub kann eine kostenlose Version und kostenpflichtige Pro-Funktionen anbieten. Für Abos und Berechtigungen können verarbeitet werden:

Die Zahlungsabwicklung erfolgt über die jeweiligen App Stores, insbesondere Apple App Store und Google Play. Für die Verwaltung von Abos und Berechtigungen nutzen wir RevenueCat. Wir erhalten keine vollständigen Zahlungsdaten wie Kreditkartennummern.

Zur technischen Synchronisierung von Abo-Status und Pro-Zugriff verarbeitet Starthub serverseitige Ereignisse von RevenueCat. Dabei können technische Webhook-Daten verarbeitet werden, z. B.

RevenueCat Event-ID, Event-Typ, User-ID, Abo-Status, Produkt-ID, Entitlement-ID, Zeitpunkt des
Webhook-Eingangs, Zeitpunkt der Verarbeitung und technische Rohdaten des Webhook-Ereignisses.

Founder Pro kann monatliche AI Credits enthalten. AI Credits sind ein produktinternes Nutzungskontingent für KI-Funktionen und kein separat auszahlbares Geldguthaben. Aktuell werden keine zusätzlichen Credit-Käufe außerhalb des Abonnements angeboten. Nicht genutzte monatliche Credits können nach Maßgabe des jeweils angezeigten Tarifs am Ende des Abrechnungszeitraums verfallen.

Zweck: Abwicklung und Freischaltung kostenpflichtiger Funktionen, zuverlässige Verwaltung, Wiederherstellung und Beendigung von Pro-Funktionen, Verwaltung von AI Credits und Schutz vor missbräuchlicher oder übermäßiger Nutzung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Aboverwaltung und Bereitstellung von Pro-Funktionen; Art. 6 Abs. 1 lit. f DSGVO für technische Nachweise, Fehleranalyse, Missbrauchsschutz und Kostenkontrolle; Art. 6 Abs. 1 lit. c DSGVO, soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen.

Die App kann gekaufte Berechtigungen über „Käufe wiederherstellen“ erneut prüfen.

Wenn ein Pro-Abo abläuft, werden mit Pro erstellte Inhalte nicht automatisch gelöscht. Der Zugriff auf bestimmte Pro-Funktionen kann eingeschränkt werden. Zusätzliche Startups, Dokumente, Fortschritte,

KI-Ausgaben und sonstige Pro-Inhalte bleiben grundsätzlich gespeichert und können bei erneuter
Pro-Aktivierung wieder verfügbar werden, soweit keine Löschung durch den Nutzer oder rechtliche
Gründe entgegenstehen.

14. KI-Funktionen und OpenAI

Starthub kann KI-gestützte Funktionen bereitstellen. Dazu können insbesondere gehören:

Wenn du eine KI-Funktion ausführst, können je nach Tool insbesondere folgende Daten verarbeitet und als Kontext an den eingesetzten KI-Dienst übermittelt werden:

Die KI-Verarbeitung erfolgt serverseitig über Supabase Edge Functions. Die eigentlichen KI-Anfragen werden nicht direkt aus deinem Gerät an OpenAI gesendet, sondern über unsere Serverlogik vorbereitet und abgesichert. Dabei werden Zugriff, Pro-Status, Credit-Verbrauch, Limits und Budgetschutz geprüft.

Nach unserer aktuellen technischen Konfiguration werden OpenAI-Anfragen mit store:false übermittelt. Damit soll verhindert werden, dass die jeweiligen API-Anfragen dauerhaft für Anbieterzwecke gespeichert werden, soweit dies nach den jeweils geltenden OpenAI-Bedingungen und technischen Möglichkeiten unterstützt wird. Unabhängig davon können bei OpenAI technische Verarbeitungen, Sicherheitsprüfungen oder Missbrauchsschutzmaßnahmen nach den Bedingungen von OpenAI stattfinden.

Zweck: Bereitstellung KI-gestützter Arbeitshilfen, Erstellung strukturierter Entwürfe, Verbesserung der Nutzerproduktivität, Unterstützung bei Startup- und Investorenvorbereitung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die KI-Funktion Bestandteil der vertraglich bereitgestellten App-Funktion ist; Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Fehleranalyse, Missbrauchsschutz und technische Stabilität.

KI-Ausgaben können fehlerhaft, unvollständig, unpassend oder veraltet sein. Sie dienen als
Arbeitsentwürfe und müssen vor Verwendung geprüft werden. Starthub erbringt keine Rechts-, Steuer-,
Finanz-, Anlage- oder Investmentberatung.

15. Speicherung von KI-Eingaben, KI-Ausgaben und AI Output

Library Wenn du KI-Funktionen nutzt, können die erzeugten Ergebnisse in der AI Output Library gespeichert werden. Dadurch kannst du Ergebnisse später erneut öffnen, ansehen, bearbeiten oder weiterverwenden, ohne dass dafür erneut eine KI-Anfrage ausgelöst wird.

Dabei können insbesondere verarbeitet werden:

Je nach Funktion können gespeicherte KI-Ergebnisse z. B. Validator-Ergebnisse, One-liner, Namensvorschläge, Executive Summaries, Investor Summaries oder Pitchdeck-Slides enthalten.

Zweck: Speicherung und Wiederanzeige von KI-Ergebnissen, Bearbeitung von Arbeitsergebnissen, Nutzung als Kontext für spätere Funktionen, Vermeidung unnötiger erneuter KI-Anfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bitte prüfe vor Nutzung der KI-Funktionen, welche Informationen du eingibst. Wenn du personenbezogene Daten Dritter oder sensible Informationen eingibst, bist du dafür verantwortlich, dass hierfür eine ausreichende Rechtsgrundlage besteht.

16. AI Usage Events, Credits, Limits und Budgetschutz

Zur Bereitstellung, Abrechnung und Absicherung von KI-Funktionen verarbeitet Starthub Nutzungs- und Kontingentdaten. Dabei können insbesondere verarbeitet werden:

Diese Daten werden nicht verwendet, um dich im arbeitsrechtlichen Sinne zu überwachen, sondern um Pro-Zugriff, Credits, Fair Use, Missbrauchsschutz, technische Stabilität und Kostenkontrolle sicherzustellen.

Starthub kann tägliche, wöchentliche oder monatliche Limits verwenden. Außerdem kann ein Plattformbudget dazu führen, dass KI-Funktionen vorübergehend nicht ausführbar sind, wenn Sicherheits-, Fair-Use- oder Kostenkontrollgrenzen erreicht sind.

In Ausnahmefällen können für Test-, Support- oder Administrationszwecke zeitlich begrenzte technische Overrides gesetzt werden. Solche Overrides dienen der Fehlerbehebung oder Entwicklung und sollen nicht für reguläre Nutzerkonten ohne Anlass eingesetzt werden.

Zweck: Bereitstellung und Begrenzung von KI-Funktionen, Verwaltung von AI Credits, Schutz vor Missbrauch, Fehlerdiagnose, Kostenkontrolle und Systemstabilität.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Bereitstellung kontingentierter Pro-Funktionen; Art. 6 Abs. 1 lit. f DSGVO für Sicherheit, Missbrauchsschutz, Fehleranalyse und Kostenkontrolle.

17. Investor Ready

Starthub kann Investor-Ready-Funktionen bereitstellen. Diese helfen dir, Informationen zu deinem Startup strukturiert vorzubereiten, Lücken zu erkennen und ausgewählte Angaben für Investorenvorbereitung, Pitchdeck oder Zusammenfassungen zu nutzen.

Dabei können insbesondere verarbeitet werden:

Investor Ready kann Daten aus deinem Startup-Profil, deinen Tasks, Dokumenten oder KI-Ausgaben als Vorschlag anzeigen. Solche Vorschläge werden nicht automatisch als endgültig bestätigt, sondern können von dir geprüft, bearbeitet oder übernommen werden.

Zweck: Strukturierung der Investorenvorbereitung, Zusammenführung relevanter Startup-Informationen, Unterstützung bei Pitchdeck- und Summary-Erstellung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Investor Ready veröffentlicht keine Daten automatisch und nimmt keine automatische Kontaktaufnahme mit Investoren vor.

18. Pitchdeck Content, Preview, Bearbeitung und lokaler

PDF-Export Starthub kann Funktionen zur Erstellung und Bearbeitung von Pitchdeck-Inhalten bereitstellen. Dazu können gehören:

Bei der Erstellung von Pitchdeck Content können deine Startup-Daten, Investor-Ready-Daten, manuelle Eingaben und frühere KI-Ausgaben als Kontext verarbeitet werden. Das erzeugte Pitchdeck kann als strukturiertes KI-Ergebnis gespeichert werden.

Bei der Bearbeitung von Slides können Änderungen an Titeln, Headlines, Bullet Points, Speaker Notes, visuellen Hinweisen oder fehlenden Informationen gespeichert werden. Dabei kann auch eine ursprüngliche Version erhalten bleiben, um Änderungen nachvollziehbar zu machen.

Der PDF-Export wird lokal auf deinem Gerät erzeugt, soweit technisch verfügbar. Dazu können lokal gespeicherte Dateien im App-Speicher deines Geräts erstellt werden. Wenn du das Betriebssystem-Share-Sheet verwendest, entscheidest du selbst, an welche App, Person oder Plattform die Datei weitergegeben wird. Starthub veröffentlicht Pitchdeck-PDFs nicht automatisch und lädt sie nicht automatisch auf einen Server hoch, soweit dies nicht ausdrücklich anders angezeigt wird.

Zweck: Erstellung, Vorschau, Bearbeitung und Export von Pitchdeck-Inhalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Bitte prüfe exportierte Pitchdecks vor externer Weitergabe sorgfältig. Ein Pitchdeck kann vertrauliche oder personenbezogene Informationen enthalten.

19. Support und Feedback

Wenn du uns per E-Mail oder über Feedback-Links kontaktierst, verarbeiten wir die von dir übermittelten Daten, insbesondere:

E-Mails werden über Cloudflare Email Routing an ein Gmail-Postfach weitergeleitet.

Zweck: Bearbeitung von Support- und Feedbackanfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um vertragsbezogene oder kontobezogene Anfragen geht; sonst Art. 6 Abs. 1 lit. f DSGVO.

Support- und Feedback-Mails speichern wir grundsätzlich für 6 bis 12 Monate nach Abschluss der Anfrage, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisgründe eine längere Speicherung erforderlich machen.

20. Lokale App-Einstellungen, lokale Speicherung und

Benachrichtigungen Bestimmte Einstellungen werden lokal auf deinem Gerät gespeichert. Dazu können gehören:

Starthub kann lokale Erinnerungen anbieten, z. B. eine tägliche Erinnerung, an deinem Startup weiterzuarbeiten. Aktuell werden keine serverseitigen Push-Token für eigene Push-Kampagnen verarbeitet.

Diese Daten werden grundsätzlich lokal auf deinem Gerät gespeichert und nicht für eigene Analyse- oder Marketingzwecke an uns übertragen, soweit nicht ausdrücklich anders angegeben.

Zweck: nutzerfreundliche Darstellung und Bedienung der App, lokaler Login-Komfort, lokale Dateierzeugung und Erinnerung an die Nutzung der App.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Einstellung für die Nutzung der App erforderlich oder gewünscht ist; bei Benachrichtigungen zusätzlich deine Einwilligung über die Gerätepermission bzw. Art. 6 Abs. 1 lit. a DSGVO.

Du kannst Benachrichtigungen jederzeit in der App oder über die Systemeinstellungen deines Geräts deaktivieren. Lokal gespeicherte App-Daten können je nach Betriebssystem durch Abmelden, Löschen der App, Leeren des App-Speichers oder Systemeinstellungen entfernt werden.

21. Datenschutzanfragen und Datenexport

Du kannst in der App eine Anfrage auf Auskunft bzw. Datenexport stellen. Dabei verarbeiten wir:

Zweck: Bearbeitung deiner Datenschutzrechte, insbesondere Auskunfts- und Datenübertragbarkeitsanfragen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO, insbesondere Art. 15 und Art. 20 DSGVO.

Art. 15 DSGVO gibt betroffenen Personen das Recht auf Bestätigung, ob personenbezogene Daten verarbeitet werden, und auf Auskunft über diese Daten sowie über Zwecke, Kategorien, Empfänger, Speicherdauer und weitere Informationen.

Datenschutzanfragen speichern wir zu Nachweiszwecken grundsätzlich für 3 Jahre, soweit keine längere
Speicherung erforderlich ist.

Der Datenexport erfolgt in V1 manuell. Dabei können relevante Konto-, App-, Workspace-, Dokument-, KI-, Investor-Ready-, Fortschritts- und Abo-Daten zusammengestellt werden. Dokumentdateien aus Supabase Storage werden berücksichtigt, soweit sie personenbezogene Daten enthalten und deinem Konto bzw. Workspace zugeordnet sind.

22. Account-Löschung und Startup-Löschung

Du kannst dein Konto löschen. Dabei werden deine App-Daten grundsätzlich gelöscht, soweit keine gesetzlichen oder berechtigten Aufbewahrungsgründe entgegenstehen.

Dazu können gehören:

Technische Webhook-Ereignisse, Abrechnungsnachweise, Sicherheitslogs oder KI-Nutzungsmetadaten können aus Nachweis-, Sicherheits-, Abrechnungs- oder Missbrauchsschutzgründen gespeichert bleiben. Soweit möglich, wird die direkte User-Zuordnung entfernt bzw. anonymisiert, wenn eine weitere personenbezogene Speicherung nicht erforderlich ist.

Du kannst außerdem einzelne Startup-Projekte bzw. Workspaces löschen, sofern du dazu berechtigt bist. Dabei werden workspace-bezogene Daten grundsätzlich gelöscht, soweit keine gesetzlichen oder berechtigten Aufbewahrungsgründe entgegenstehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Kontoverwaltung; Art. 17 DSGVO für Löschanfragen; Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Pflichten.

Bestimmte Nachweisdaten, z. B. rechtliche Zustimmungsvorgänge, Datenschutzanfragen oder zahlungs-/vertragsrelevante Informationen, können länger gespeichert werden, soweit dies erforderlich ist.

23. Sicherheits-, Rate-Limit- und Missbrauchsschutzdaten

Zum Schutz der App vor Missbrauch, Spam, automatisierten Angriffen und übermäßiger Nutzung können Sicherheits-, Rate-Limit- und Schutzdaten verarbeitet werden, z. B.:

Zweck: Sicherheit, Missbrauchsschutz, Systemstabilität, Kostenkontrolle und Schutz anderer Nutzer.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Diese Daten speichern wir grundsätzlich für 30 bis 90 Tage, sofern kein Sicherheitsvorfall, Abrechnungsfall, Missbrauchsverdacht oder technischer Nachweisgrund eine längere Speicherung erforderlich macht. Für KI-Usage-Events können längere Fristen gelten, soweit dies für Credit-Nachweise, Fehlerdiagnose oder Abrechnung erforderlich ist.

24. Eingesetzte Dienstleister und Empfänger

Wir setzen zur Bereitstellung von Starthub insbesondere folgende Dienstleister bzw. Plattformen ein:

Dienstleister Zweck

Supabase Authentifizierung, Datenbank, Storage, Edge Functions, serverseitige App-Logik

OpenAI Serverbasierte KI-Verarbeitung für KI-Tools

RevenueCat                      Verwaltung von Abos, Entitlements und Store-Synchronisierung

Apple App Store In-App-Käufe, Zahlungsabwicklung, App-Vertrieb

Google Play In-App-Käufe, Zahlungsabwicklung, App-Vertrieb

Cloudflare Domain, DNS, Website, Sicherheitsfunktionen, E-Mail-Routing

Gmail / Google Empfang und Bearbeitung weitergeleiteter Support- und Legal-E-Mails

Expo / EAS und Expo-Module App-Build, App-Technik und lokale Gerätefunktionen wie SecureStore, FileSystem, Print, Sharing oder Notifications, soweit verwendet

Soweit Dienstleister in unserem Auftrag personenbezogene Daten verarbeiten, schließen wir erforderliche Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO ab. Soweit Apple, Google,

RevenueCat oder andere Anbieter eigene Verantwortlichkeiten wahrnehmen, gelten zusätzlich deren
jeweilige Datenschutzinformationen.

24.1 Supabase

Supabase wird für Authentifizierung, Datenbank, Storage und Edge Functions eingesetzt. Dabei können insbesondere Accountdaten, Workspace-Daten, Startup-Daten, Dokumente, KI-Ausgaben,

Investor-Ready-Daten, Usage Events, Fortschrittsdaten und technische Metadaten verarbeitet werden.

24.2 OpenAI

OpenAI wird zur Bereitstellung KI-gestützter Funktionen eingesetzt. Dabei können die für die jeweilige KI-Funktion erforderlichen Eingaben und Kontexte verarbeitet werden, z. B. Startup-Daten, Tool-Eingaben, Investor-Ready-Daten oder frühere KI-Ausgaben. Die Übermittlung erfolgt serverseitig und nur bei aktiver Nutzung einer KI-Funktion.

24.3 RevenueCat, Apple App Store und Google Play

RevenueCat wird zur Verwaltung von Abo-Berechtigungen und Entitlements eingesetzt. Apple und
Google wickeln In-App-Käufe, Abos, Kündigungen, Erstattungen und Store-Verwaltung nach ihren
jeweiligen Bedingungen ab. Starthub erhält keine vollständigen Zahlungsdaten wie Kreditkarten- oder
Bankdaten.

24.4 Cloudflare und Gmail / Google

Cloudflare wird für Domain, DNS, Website und E-Mail-Routing eingesetzt. Support- oder Legal-E-Mails können über Cloudflare Email Routing an Gmail / Google weitergeleitet und dort bearbeitet werden.

24.5 Expo und lokale Gerätefunktionen

Expo und Expo-Module können für technische App-Funktionen eingesetzt werden, z. B. lokale Speicherung, lokale Benachrichtigungen, lokaler PDF-Export oder Sharing. Soweit Daten ausschließlich lokal auf deinem Gerät verarbeitet werden, erfolgt keine automatische Übertragung an uns, sofern dies nicht ausdrücklich anders angegeben wird.

25. Auftragsverarbeitung und Drittlandübermittlungen

Bei der Nutzung der genannten Dienstleister kann es zu Übermittlungen personenbezogener Daten in Länder außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums kommen, insbesondere in die USA.

Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir erforderliche Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO ab. Soweit Daten in Drittländer übermittelt werden, erfolgt dies nur auf Grundlage geeigneter Schutzmechanismen, z. B. Angemessenheitsbeschluss, Standardvertragsklauseln oder vergleichbare Garantien, soweit diese erforderlich sind.

Bitte beachte, dass einige Anbieter je nach konkretem Dienst, Rolle und Datenverarbeitung als eigene Verantwortliche, gemeinsame Verantwortliche oder Auftragsverarbeiter handeln können. Die genaue datenschutzrechtliche Rolle kann sich nach dem jeweiligen Dienst und der konkreten Verarbeitung richten.

26. Nicht aktive oder vorbereitete Funktionen

Starthub kann einzelne Funktionen technisch vorbereiten, die noch nicht aktiv nutzbar sind. Soweit Funktionen für dich nicht verfügbar oder nicht aktiv nutzbar sind, findet insoweit keine aktive Verarbeitung personenbezogener Daten für diese Funktionen statt.

Nicht aktiv nutzbare oder nur vorbereitete Bereiche können insbesondere betreffen:

KI-Funktionen und Investor-Ready-Funktionen können dagegen, soweit in der App verfügbar, aktiv genutzt werden und werden in dieser Datenschutzerklärung beschrieben.

27. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung findet in Starthub nicht statt.

KI-Funktionen, Scoring-, Readiness-, Validator- oder Investor-Ready-Funktionen dienen ausschließlich als Arbeits-, Strukturierungs- und Orientierungshilfen. Sie treffen keine rechtlich verbindlichen Entscheidungen über dich, dein Unternehmen, deine Finanzierung, deine Bonität oder deine Rechte.

28. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten bestehen. Unsere aktuellen Fristen:

Datenbereich                                Speicherdauer
Account-/App-Daten                          Bis zur Account-Löschung, soweit keine Aufbewahrungsgründe entgegenstehen
Rechtliche Zustimmungsvorgänge              Solange für Nachweis, Vertrag und Rechtsverteidigung erforderlich
Startup-/Workspace-Daten                    Bis zur Workspace- oder Account-Löschung
Tasks, Fortschritt, Streaks, Freeze und     Bis zur Workspace- oder Account-Löschung
Work Sessions
Dokumente                                   Bis zur Dokument-, Workspace- oder Account-Löschung
KI-Ausgaben / AI Output Library             Bis zur Löschung des Dokuments, Workspaces oder Accounts, soweit keine
Aufbewahrungsgründe entgegenstehen
KI-Eingaben / Kontext-Snapshots             Bis zur Löschung des Dokuments, Workspaces oder Accounts, soweit keine
kürzere technische Frist vorgesehen ist oder keine Aufbewahrungsgründe
entgegenstehen
Investor-Ready-Antworten                    Bis zur Workspace- oder Account-Löschung
AI Usage Events / Credit- und Limitdaten    Solange für Credit-Nachweise, Abrechnung, Fehleranalyse, Missbrauchsschutz
und technische Nachweise erforderlich
Platform-Budget- und Limitdaten             Solange für Kostenkontrolle, Betrieb und technische Nachweise erforderlich
Lokale App-Einstellungen                    Bis zur Änderung, Deaktivierung oder App-Löschung auf dem Gerät
Lokal erzeugte PDF-Dateien                  Lokal auf deinem Gerät, bis du sie löschst oder die App-/Gerätespeicherung
entfernt wird
Support-/Feedback-Mails                     6 bis 12 Monate nach Abschluss, sofern keine längere Speicherung erforderlich
ist
Datenschutzanfragen                         Grundsätzlich 3 Jahre zu Nachweiszwecken
Rate-Limit-/Security-Logs                   30 bis 90 Tage, sofern kein Sicherheitsvorfall vorliegt
Abo-/Entitlement-Daten                      Solange für Vertrag, Aboverwaltung, Nachweise und gesetzliche Pflichten
erforderlich
RevenueCat Webhook-Rohdaten /               Grundsätzlich 12 Monate, sofern keine längere Speicherung wegen Streitfällen,
raw_event                                   Abrechnungsfragen oder Sicherheitsvorfällen erforderlich ist

Konkrete Fristen können abweichen, wenn gesetzliche Aufbewahrungspflichten, berechtigte Nachweisinteressen, laufende Support-, Sicherheits-, Abrechnungs- oder Rechtsfälle bestehen.

29. Übersicht der Datenkategorien

Die folgende Übersicht dient als interne und externe Orientierung über die wichtigsten Datenbereiche der aktuellen Version. Zur besseren Lesbarkeit ist sie in mehrere Teile gegliedert.

29.1 App-, Workspace- und Fortschrittsdaten

Datenbereich      Beispiele                  Zweck                   Rechtsgrundla        Speicherort /      Speicherdauer
ge                   Empfänger

Account und E-Mail, User-ID, Registrierung, Login, Art. 6 Abs. 1 lit. Supabase Auth Bis Account-Lös Auth Sessiondaten, Sicherheit b/f chung / Verifizierungsstatus Nachweisfristen

Aktives Startup active_workspace_id, Direkter Einstieg in Art. 6 Abs. 1 lit. Supabase Bis Änderung User-ID aktives Startup b profiles oder Account-Lö schung

Workspace / Startup-Name, Land, Verwaltung des Art. 6 Abs. 1 lit. Supabase Bis Workspace-/ Startup Stage, Market, Business Startup-Projekts b Datenbank Account-Löschu Model, Teamgröße ng

Tasks und Task-ID, Status, Strukturierung des Art. 6 Abs. 1 lit. Supabase Bis Workspace-/ Playbooks Template-Slug, Startup-Aufbaus b Datenbank Account-Löschu Stage-Bucket ng

Glossar / Reference-Task, Nachschlagewerk und Art. 6 Abs. 1 lit. Supabase Bis Workspace-/ Referenzinhalte group_slug, task_type Erklärung von b Datenbank / Account-Löschu Begriffen App-Inhalte ng, soweit nutzerbezogen

Stage-Precompl precompleted_by_stage Anpassung der Tasks Art. 6 Abs. 1 lit. Supabase tasks Bis Workspace-/ etion , Statusänderung an die Startup-Stage b Account-Löschu ng

Progress Events task_completed, Fortschrittsanzeige Art. 6 Abs. 1 lit. Supabase Bis Workspace-/ group_completed, und Completion b progress_events Account-Löschu all_completed, event_at, Screens ng metadata

Streak / Freeze current_streak, Motivation, Art. 6 Abs. 1 lit. Supabase works Bis Workspace-/ longest_streak, Streak-Pause, b pace_progress_st Account-Löschu streak_paused_until, Fortschritt ate ng pause_task_id

Bearbeitungszei started_at, ended_at, Anzeige aktiver Art. 6 Abs. 1 lit. Supabase task_w Bis Workspace-/ t duration_seconds, Bearbeitungszeit b ork_sessions Account-Löschu task_id ng

29.2 Dokumente, KI, Investor Ready und Exporte

Datenbereich      Beispiele                  Zweck                   Rechtsgrundla        Speicherort /      Speicherdauer
ge                   Empfänger
Dokumente         Dokumentinhalte,           Dokumenterstellung      Art. 6 Abs. 1 lit.   Supabase DB /      Bis Dokument-/
Versionen,                 und Verwaltung          b                    Storage            Workspace-/Acc
Storage-Pfade, signierte                                                                   ount-Löschung
Downloads
KI-Eingaben       Tool-Eingaben,             Ausführung von          Art. 6 Abs. 1 lit.   Supabase /         Bis Löschung
Startup-Kontext,           KI-Funktionen           b/f                  OpenAI             bzw. nach
Sprache, Optionen                                                                          Zweck/Frist
KI-Ausgaben       Validator, One-liner,      Speicherung und         Art. 6 Abs. 1 lit.   Supabase gener     Bis Dokument-/
Namen, Summaries,          Wiederanzeige von       b                    ated_documents     Workspace-/Acc
Pitchdeck Content          KI-Ergebnissen                                                  ount-Löschung

AI Output doc_type, Organisation Art. 6 Abs. 1 lit. Supabase DB Bis Dokument-/ Library metadata.result, gespeicherter b Workspace-/Acc original_result, KI-Ausgaben ount-Löschung edited_at

AI Usage Events   tool_key, credits,         Credits, Limits,        Art. 6 Abs. 1 lit.   Supabase edge_     Solange für
tokens, model, status,     Fehleranalyse,          b/f                  ai_usage_events    Nachweise und
error_code                 Kostenkontrolle                                                 Betrieb
erforderlich

Investor Ready Antworten, Investorenvorbereitu Art. 6 Abs. 1 lit. Supabase invest Bis Workspace-/ Review-Status, ng und strukturierte b or_readiness_ans Account-Löschu confirmed_at, Readiness wers ng source_document_id

Pitchdeck Edit bearbeitete Slides, Bearbeitung von Art. 6 Abs. 1 lit. Supabase gener Bis Dokument-/ original_result, Pitchdeck-Inhalten b ated_documents Workspace-/Acc edited_at ount-Löschung

Datenbereich      Beispiele                   Zweck                 Rechtsgrundla        Speicherort /       Speicherdauer
ge                   Empfänger

Pitchdeck PDF lokal erzeugte Lokaler Export und Art. 6 Abs. 1 lit. Lokal auf Gerät / Bis lokale Lösch PDF-Datei Teilen auf b OS Share Sheet ung/App-Löschu Nutzeraktion ng

29.3 Abos, Support und Datenschutzrechte

Datenbereich      Beispiele                   Zweck                 Rechtsgrundla        Speicherort /       Speicherdauer
ge                   Empfänger
Team und          Mitgliederrollen,           Teamzugriff und       Art. 6 Abs. 1 lit.   Supabase            Bis Workspace-/
Einladungen       Invite-E-Mail,              Einladungen           b/f                  Datenbank           Account-Löschu
Invite-Token                                                                               ng / Ablauf
Invite
Abo-Status        Plan, Status, Product-ID,   Pro-Zugriff und       Art. 6 Abs. 1 lit.   Supabase /          Solange für
Entitlement-ID,             Aboverwaltung         b/c                  RevenueCat /        Vertrag und
Provider-Metadaten                                                     Stores              Nachweise nötig
AI Credits        Credit-Kontingent,          Nutzungskontingente   Art. 6 Abs. 1 lit.   Supabase            Solange für
Verbrauch, Reset,           und Pro-Funktion      b/f                                      Vertrag und
Refund                                                                                     Nachweise nötig
Webhook-Event     event_id, event_type,       Synchronisierung,     Art. 6 Abs. 1 lit.   Supabase proces     Grundsätzlich
s                 raw_event,                  Fehleranalyse,        b/f/c                sed_webhook_ev      12 Monate
processed_at                Nachweis                                   ents

Lokale Theme, Sprache, App-Darstellung und Art. 6 Abs. 1 lit. Lokal auf Gerät Bis Änderung/A Einstellungen Reminder-ID, Erinnerung b/a pp-Löschung Reminder-Zeit

Datenschutzanfr request_type, status, Bearbeitung von Art. 6 Abs. 1 lit. Supabase Grundsätzlich 3 agen user_email, locale DSGVO-Rechten c privacy_requests Jahre

Support /         E-Mail, Nachricht,          Bearbeitung von       Art. 6 Abs. 1 lit.   Cloudflare Email    6 bis 12 Monate
Feedback          Betreff, Metadaten          Anfragen              b/f                  Routing / Gmail     nach Abschluss

30. Deine Rechte

Du hast nach Maßgabe der DSGVO insbesondere folgende Rechte:

Das Auskunftsrecht nach Art. 15 DSGVO umfasst unter anderem Informationen über Verarbeitungszwecke, Kategorien personenbezogener Daten, Empfänger, Speicherdauer und weitere Rechte.

31. Beschwerderecht bei der Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für Sachsen ist voraussichtlich zuständig:

Sächsische Datenschutz- und Transparenzbeauftragte Maternistraße 17 01067 Dresden Postanschrift: Postfach 11 01 32, 01330 Dresden Telefon: +49 351 85471-101

E-Mail: post@sdtb.sachsen.de

Die Behörde stellt außerdem Kontakt- und Beschwerdemöglichkeiten online bereit.

32. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich die App, die Website, rechtliche Anforderungen oder eingesetzte Dienstleister ändern.

Die jeweils aktuelle Version wird in der App und auf der Website bereitgestellt.

33. Prüfpunkte vor Veröffentlichung

Bitte vor Veröffentlichung insbesondere prüfen:

Hinweis zur Veröffentlichung: Dieser Text ist ein Arbeitsentwurf und sollte vor Veröffentlichung anwaltlich bzw. datenschutzrechtlich geprüft werden. Platzhalter sind vor Veröffentlichung vollständig zu ersetzen.