Datenschutzerklärung

Diese Datenschutzerklärung informiert nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten die Creativate Technologies GmbH verarbeitet, wenn Sie unsere Websites besuchen, uns kontaktieren, ein Konto anlegen oder c:node nutzen, und welche Rechte Sie haben.

Sie gilt für:

• die Websites creativate.tech, c-node.ai und graph.c-node.ai,
• die Anwendung c:node (app.c-node.ai, Testumgebung try.c-node.ai, Desktop- und Mobil-App), das zentrale Konto auth.c-node.ai, die Abrechnung billing.c-node.ai sowie die Schnittstellen (API, MCP) von c:node.

1. Verantwortlicher und Datenschutz-Kontakt

Creativate Technologies GmbH Lahnstraße 65, 60326 Frankfurt am Main, Deutschland

Vertreten durch den Geschäftsführer Leonardo Bornhäußer.

• E-Mail: contact@creativate.tech
• Datenschutz-Kontakt: privacy@creativate.tech

2. Unsere Rolle: Verantwortlicher oder Auftragsverarbeiter

• Wir sind Verantwortlicher für die Websites, Anfragen, Newsletter, die Demo- und Testangebote, das c:node-Konto, die Abrechnung, den Betrieb und die Sicherheit unserer Dienste sowie für den Datenbestand des c:node Graph (Abschnitt 4.13).
• Wir sind Auftragsverarbeiter, soweit Organisationen (Kunden) c:node für ihre Mitarbeitenden bereitstellen und dort Inhalte verarbeiten: Chats, Dateien, Gedächtnis, Daten aus verbundenen Diensten (Konnektoren), Routinen und Entwürfe. Verantwortlich ist dann die jeweilige Organisation; wir verarbeiten diese Inhalte nur nach ihren Weisungen auf Grundlage unseres Auftragsverarbeitungsvertrags (AVV). Fragen zu diesen Inhalten richten Sie bitte zuerst an Ihre Organisation; wir unterstützen sie bei der Beantwortung.

Die folgenden Abschnitte beschreiben auch die Verarbeitungen, die wir als Auftragsverarbeiter durchführen, damit Sie nachvollziehen können, was mit Ihren Daten geschieht.

3. Grundsätze

• Hosting in der EU. Unsere Server, Datenbanken und Dateien liegen bei Amazon Web Services in Frankfurt am Main (Region eu-central-1).
• Kein Training mit Ihren Daten. Wir verwenden Ihre Inhalte nicht zum Training von KI-Modellen und stellen sie Modellanbietern nicht zu Trainingszwecken zur Verfügung.
• Nichts mit Außenwirkung ohne Freigabe. c:node versendet keine E-Mails, legt keine Termine, Dokumente oder Aufgaben in verbundenen Diensten an und schreibt nichts nach außen, ohne dass eine berechtigte Person den Entwurf ausdrücklich freigibt.
• Kein Tracking. Auf c-node.ai, in der App, im Konto und in der Abrechnung setzen wir keine Analyse-, Werbe- oder Tracking-Werkzeuge ein. Schriften und Bibliotheken liefern wir von unseren eigenen Servern aus.

4. Verarbeitungen im Einzelnen

4.1 Besuch unserer Websites

Beim Aufruf einer Seite verarbeitet der ausliefernde Server technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser- und Betriebssystemangaben. Die Websites werden über Amazon CloudFront und Amazon S3 ausgeliefert.

• Zweck: Auslieferung der Website, Stabilität und Sicherheit (z. B. Abwehr von Angriffen).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionsfähigen Website).
• Speicherdauer: Soweit dabei Zugriffsprotokolle entstehen, löschen wir sie, sobald sie für diese Zwecke nicht mehr erforderlich sind.

Wir speichern auf Ihrem Gerät nur, was für die Funktion nötig ist (z. B. gewählte Sprache und Darstellung, Ihre Cookie-Auswahl). Einzelheiten stehen in der Cookie-Richtlinie. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, für die anschließende Verarbeitung Art. 6 Abs. 1 lit. f DSGVO.

Für Inhalte wie die Kennzahlen des c:node Graph ruft die Seite c-node.ai Daten von unseren eigenen Diensten ab (graph.c-node.ai, auth.c-node.ai für die Anzeige „angemeldet“, contract.c-node.ai für die Demo). Dabei werden keine Daten an Dritte übermittelt.

4.2 Kontakt- und Anfrageformulare, E-Mail, Terminbuchung

Wenn Sie uns über ein Formular schreiben, verarbeiten wir Vorname, Nachname, E-Mail-Adresse, Unternehmen, Ihre Nachricht, das Anliegen, die Sprache, die Seite, von der Sie schreiben, und Ihre Einwilligungserklärung. Die Formulare laufen über unseren eigenen Formular-Dienst (forms.creativate.tech) und werden in unserem selbst betriebenen Kundenkontakt-System (Mautic) abgelegt. Gegen Spam setzen wir ALTCHA ein: Ihr Browser löst eine kleine Rechenaufgabe; dabei werden keine Cookies gesetzt und keine Daten an Dritte übermittelt.

E-Mails an uns gehen in Postfächer bei Google Workspace (Google Ireland Limited). Für die Terminbuchung verlinken wir auf Google Kalender (calendar.app.google); dort gelten zusätzlich die Datenschutzhinweise von Google, und Sie geben Ihre Daten direkt bei Google ein.

• Zweck: Bearbeitung Ihrer Anfrage und Kommunikation mit Ihnen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage einen Vertrag betrifft oder vorbereitet, sonst Art. 6 Abs. 1 lit. f DSGVO (Beantwortung von Anfragen).
• Speicherdauer: bis Ihre Anfrage erledigt ist und danach bis zu 3 Jahre (regelmäßige Verjährung), solange keine Geschäftsbeziehung entsteht; bei einem Vertrag gelten die Fristen in Abschnitt 7.

4.3 Newsletter

Auf creativate.tech und bei der Kontoerstellung können Sie Neuigkeiten per E-Mail abonnieren. Wir verarbeiten Ihre E-Mail-Adresse, Sprache, Zeitpunkt und Text Ihrer Einwilligung. Auf creativate.tech senden wir eine Bestätigungs-E-Mail (Double-Opt-in); erst nach Ihrer Bestätigung erhalten Sie den Newsletter.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
• Widerruf: jederzeit über den Abmeldelink in jeder Ausgabe, in den Kontoeinstellungen (auth.c-node.ai) oder per E-Mail an privacy@creativate.tech.
• Speicherdauer: bis zum Widerruf; den Nachweis der Einwilligung bewahren wir danach bis zu 3 Jahre auf (Art. 7 Abs. 1 DSGVO, Verjährung).

4.4 Lagebild-Demo auf c-node.ai und Testumgebung try.c-node.ai

Auf c-node.ai können Sie ohne Anmeldung ein „Lagebild“ zu einem Unternehmen erstellen lassen. Sie geben eine Internetadresse (Domain) und optional eine Frage ein. c:node ruft daraufhin bis zu einige Dutzend öffentliche Seiten dieser Website ab (auch Impressum- und Team-Seiten), gleicht sie mit öffentlichen Quellen ab (z. B. Registerdaten, EU-Ausschreibungen, Rechtsquellen) und lässt den Text durch ein KI-Sprachmodell (Google Gemini) zusammenfassen. Das Ergebnis ist ein KI-generierter Entwurf, der Fehler enthalten kann.

Wenn Sie das Lagebild als PDF per E-Mail anfordern, verarbeiten wir zusätzlich Ihre E-Mail-Adresse und Ihre Einwilligung, senden Ihnen den Link und dürfen Sie einmal zu dem Lagebild kontaktieren.

• Daten: eingegebene Domain und Frage, Sprache, technische Daten (IP-Adresse für die Begrenzung der Nutzung und den Missbrauchsschutz), ein Sitzungs-Cookie (cn_demo, 24 Stunden), bei PDF-Anforderung E-Mail-Adresse und Einwilligung.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO für die Demo (Vorführung unseres Produkts, Missbrauchsschutz); Art. 6 Abs. 1 lit. a DSGVO für Versand und Kontaktaufnahme per E-Mail.
• Empfänger: Google (Gemini API, siehe Abschnitt 5) für die Zusammenfassung; für den E-Mail-Versand unser Versanddienst (Resend).
• Speicherdauer: PDF-Link 7 Tage; Demo-Sitzung 24 Stunden; E-Mail-Adresse, Domain und Frage bis zu Ihrem Widerruf. Die IP-Adresse kann im Nutzungsprotokoll bis zu 400 Tage gespeichert werden. Zu einer Domain erstellte Ergebnisse können wir zwischenspeichern, um wiederholte Anfragen schneller zu beantworten; auf Anfrage an privacy@creativate.tech löschen wir sie.

Hinweis für Personen, deren Website analysiert wird: Wir verarbeiten nur öffentlich zugängliche Seiten. Namen aus Impressum- oder Team-Seiten können dabei im Text enthalten sein, der an das Sprachmodell geht; das Lagebild selbst gibt keine Personen aus. Sie können der Verarbeitung nach Art. 21 DSGVO widersprechen (Abschnitt 10).

In der Testumgebung try.c-node.ai können Sie c:node mit einem kostenlosen Testkonto ausprobieren. Dort verarbeitet die KI Ihre Eingaben mit Google Gemini; es gelten die Abschnitte 4.6 bis 4.8. Bitte geben Sie in der Testumgebung keine vertraulichen oder besonders schützenswerten Daten ein.

4.5 Feedback

Über das Feedback-Symbol auf unseren Seiten können Sie uns eine Bewertung, eine Nachricht und auf Wunsch Ihre E-Mail-Adresse und bis zu drei Bildschirmfotos senden. Wir speichern außerdem die Seite, die Sprache und den Browser-Typ.

• Zweck: Fehler beheben und das Produkt verbessern.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
• Speicherdauer: bis der Hinweis bearbeitet ist, höchstens 12 Monate.

4.6 Konto und Anmeldung

Für c:node, das Konto und die Abrechnung nutzen Sie ein zentrales Konto (auth.c-node.ai). Wir verarbeiten E-Mail-Adresse, Name, optional Unternehmen, Sprache, Profilbild, Passwort (nur als Hash), Rollen und Mitgliedschaften in Organisationen, Anmeldezeitpunkte, Einwilligungen und Zustimmungen zu AGB und Datenschutzhinweisen (mit Version und Zeitpunkt) sowie sicherheitsrelevante Ereignisse (z. B. Anmeldungen, mit gekürztem Hash der IP-Adresse).

Sie können sich mit einem Code oder Link per E-Mail, mit Passwort oder über Google bzw. Microsoft anmelden. Bei der Anmeldung über Google oder Microsoft erhalten wir von dort Ihre E-Mail-Adresse, Ihren Namen, eine Kennung und gegebenenfalls Ihr Profilbild (Berechtigungen „openid“, „email“, „profile“); es gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters. Ein so übernommenes Profilbild kann bei der Anzeige direkt von Servern des Anbieters geladen werden; dabei erhält der Anbieter Ihre IP-Adresse.

• Zweck: Bereitstellung des Kontos, sichere Anmeldung, Verwaltung von Organisationen und Rollen, Nachweis von Zustimmungen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsvertrag); Art. 6 Abs. 1 lit. c i. V. m. Art. 7 Abs. 1 DSGVO für den Nachweis von Einwilligungen; Art. 6 Abs. 1 lit. f DSGVO für Sicherheitsereignisse.
• Speicherdauer: solange das Konto besteht. Sicherheitsereignisse 90 Tage, abgelaufene Anmeldecodes und -links nach 1 Tag, beendete Sitzungen nach 7 Tagen. Wenn Sie Ihr Konto löschen, wird es nach einer Wartefrist von 30 Tagen gelöscht; in dieser Zeit können Sie die Löschung zurücknehmen. Danach bleibt nur ein Platzhalter ohne Bezug zu Ihrer Person; Rechnungsdaten bewahren wir nach Abschnitt 4.14 auf.

Konto deaktivieren, löschen und Ihre Daten exportieren (Art. 20 DSGVO) können Sie selbst in den Kontoeinstellungen.

4.7 Nutzung von c:node: Chats, Dateien und Gedächtnis

Wenn Sie c:node nutzen, verarbeiten wir die Inhalte, die Sie eingeben oder hochladen, und die Ergebnisse: Fragen und Antworten (Chats), Dateien in der Bibliothek, Notizen und Einträge im Gedächtnis, Entwürfe, Berechnungen, Freigaben sowie Nutzungsdaten (z. B. verbrauchte Kontingente).

Das Gedächtnis hat drei Bereiche: persönlich (Standard, nur Sie), Team und Organisation. Persönliche Inhalte sieht niemand sonst, auch keine Administratoren. Inhalte gelangen nur nach ausdrücklicher Freigabe in das Team- oder Organisationsgedächtnis. Das öffentliche Wissen des c:node Graph ist davon getrennt und wird durch Ihre Nutzung nicht verändert.

Dateien liegen verschlüsselt in Amazon S3 (Frankfurt); gelöschte Dateien bleiben wegen der Versionierung noch bis zu 30 Tage in einer Sicherungsversion erhalten.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Nutzung über eine Organisation verarbeiten wir die Inhalte als deren Auftragsverarbeiter (Art. 28 DSGVO).
• Speicherdauer: bis Sie oder Ihre Organisation die Inhalte löschen, spätestens mit Löschung des Kontos bzw. 30 Tage nach Vertragsende (AVV). Inhalte im Team- oder Organisationsbereich gehören der Organisation und bleiben bei Löschung Ihres Kontos erhalten.

4.8 KI-Verarbeitung

c:node ist ein KI-System. Antworten, Zusammenfassungen und Entwürfe werden von KI-Sprachmodellen erzeugt und in der Anwendung als KI-Ergebnis gekennzeichnet; belegte Aussagen tragen ihre Quelle. KI-Ergebnisse können Fehler enthalten. Bitte prüfen Sie sie, bevor Sie sie verwenden. Einzelheiten stehen im KI-Transparenzhinweis.

Für eine Antwort übermitteln wir Ihre Frage, den bisherigen Chatverlauf und die dafür benötigten Inhalte (z. B. Auszüge aus Dateien, Gedächtnis oder verbundenen Diensten) an ein Sprachmodell. Welches Modell genutzt wird, hängt von Tarif, Aufgabe und Einstellungen Ihrer Organisation ab:

Organisationen können eine Richtlinie „nur EU“ wählen; dann werden nur Modelle mit Verarbeitung in der EU oder eigene Modelle genutzt. Bei eigenen API-Schlüsseln einer Organisation („Bring your own key“) gilt deren Vertrag mit dem Anbieter.

Pseudonymisierung. Für einen Teil der Modellaufrufe ersetzen wir vor der Übermittlung erkennbare Personenangaben (z. B. E-Mail-Adressen, Telefonnummern, IBAN, Anschriften, Namen) durch Platzhalter und setzen sie erst in der Antwort wieder ein. Wir bauen diese Schutzschicht schrittweise auf alle Modellaufrufe aus. Pseudonymisierte Daten bleiben personenbezogene Daten; die Garantien in Abschnitt 5 und 6 gelten daher unverändert.

Besondere Kategorien. Bitte geben Sie keine Gesundheitsdaten oder andere besondere Kategorien (Art. 9 DSGVO) ein, wenn Ihre Organisation dafür keine Vorgaben gemacht hat. Erkennt c:node solche Daten, verarbeitet es sie nur mit Modellen in der EU oder auf eigenen Servern.

Keine automatisierten Einzelentscheidungen. c:node trifft keine Entscheidungen mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung im Sinne von Art. 22 DSGVO. Es schlägt vor; entscheiden und freigeben müssen Menschen.

• Rechtsgrundlage: wie Abschnitt 4.7.
• Speicherdauer bei den Modellanbietern: Die Anbieter verarbeiten die Daten zur Erzeugung der Antwort. Ob und wie lange sie Daten darüber hinaus kurzzeitig speichern, etwa zur Missbrauchserkennung, richtet sich nach den API-Bedingungen des jeweiligen Anbieters.
• Nutzungsprotokoll: Für Abrechnung, Kostenkontrolle und Qualitätssicherung protokollieren wir je Modellaufruf Organisation, Tarif, Aufgabe, Anbieter, Modell, Tokenzahl, Kosten und Dauer — ohne Inhalte. Speicherdauer: 400 Tage.

4.9 Verbundene Dienste (Konnektoren)

Sie oder Ihre Organisation können c:node mit anderen Diensten verbinden, z. B. Google (Gmail, Drive, Kalender, Docs, Sheets, Aufgaben), Microsoft 365 (Outlook, Kalender, OneDrive, SharePoint, To Do, Teams), Atlassian (Jira, Confluence), Slack, Notion, Asana, GitHub, Nextcloud, DATEV, Lexware Office, sevDesk, Personio, EspoCRM und weitere. Eine aktuelle Liste steht in der Anwendung.

• Was passiert: Erst wenn Sie einen Dienst verbinden, erhält c:node die von Ihnen erteilten Berechtigungen (z. B. Gmail lesen und Entwürfe anlegen, Kalender lesen und Termine anlegen, Dateien lesen). c:node liest dann die Inhalte, die für Ihre Frage oder Routine nötig sind, und übergibt Auszüge gegebenenfalls an das Sprachmodell (Abschnitt 4.8). Bei aktivierter Synchronisation speichern wir Metadaten (z. B. Betreff, Absender, Dateiname, Zeitpunkt) und, wenn Sie das wählen, Volltexte, damit c:node sie finden kann.
• Schreiben nur nach Freigabe: E-Mails, Entwürfe, Termine, Dokumente, Aufgaben und Nachrichten in verbundenen Diensten legt c:node nur an oder versendet sie nur, wenn Sie den jeweiligen Entwurf ausdrücklich freigeben. Das Versenden einer E-Mail ist ein zweiter, eigener Freigabeschritt.
• Zugangsdaten: Zugriffsschlüssel der Dienste speichern wir verschlüsselt. Sie können die Verbindung jederzeit in c:node trennen und beim Anbieter widerrufen. Bereits synchronisierte Daten bleiben nach dem Trennen erhalten, bis Sie sie löschen oder Ihr Konto gelöscht wird.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; bei Nutzung über eine Organisation als deren Auftragsverarbeiter. Für Personen, deren Daten in Ihren E-Mails, Kalendern oder Dateien vorkommen, ist die nutzende Organisation verantwortlich.
• Speicherdauer: synchronisierte Daten folgen der Quelle (im Dienst gelöschte Inhalte werden auch bei uns gelöscht), sonst bis Sie sie löschen oder das Konto gelöscht wird. Hilfsdaten von Synchronisationsaufträgen löschen wir nach 14 Tagen.

4.10 Routinen

Mit Routinen können Sie c:node wiederkehrende Aufgaben übertragen, z. B. „jeden Montag die offenen Angebote zusammenfassen“. Eine Routine läuft zu dem von Ihnen gewählten Zeitpunkt in Ihrem Namen und mit Ihren Berechtigungen über die Quellen, die Sie ausgewählt haben (z. B. E-Mail, Kalender, Dateien, Gedächtnis, Websuche). Das Ergebnis ist immer ein Entwurf, der als von einer Routine erstellt gekennzeichnet ist; nichts wird ohne Ihre Freigabe versendet oder gespeichert. Nach drei Fehlern in Folge pausiert eine Routine.

Routinen stehen derzeit für ausgewählte Organisationen zur Verfügung und werden mit einem der nächsten Releases für alle Instanzen freigeschaltet.

• Daten: Name, Anweisung, Zeitplan, ausgewählte Quellen und Ziele der Routine, je Lauf ein Protokoll (Zeitpunkt, Status, erzeugter Entwurf). Die Verarbeitung durch Sprachmodelle folgt Abschnitt 4.8; besondere Kategorien (Art. 9 DSGVO) werden in Routinen nur mit eigenen Modellen verarbeitet, sonst gar nicht.
• Rechtsgrundlage: wie Abschnitt 4.7.
• Speicherdauer: bis Sie die Routine löschen; Laufprotokolle bewahren wir auf, solange sie zur Nachvollziehbarkeit der Routine erforderlich sind.

4.11 Push-Benachrichtigungen

Wenn Sie Push-Benachrichtigungen einschalten, speichern wir die Push-Adresse Ihres Browsers oder Geräts und eine Gerätebezeichnung. Benachrichtigungen werden verschlüsselt über den Push-Dienst Ihres Browsers oder Betriebssystems zugestellt (z. B. Google Firebase Cloud Messaging, Mozilla, Microsoft, Apple) und enthalten nur einen allgemeinen Titel, keine Inhalte.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung über die Browser-Abfrage); Widerruf jederzeit in c:node oder in den Browser-Einstellungen.
• Speicherdauer: bis Sie Push ausschalten oder der Push-Dienst die Adresse als ungültig meldet.

4.12 Websuche und Recherche

Für Fragen, die aktuelle Informationen aus dem Internet brauchen, sendet c:node den Suchbegriff an einen Suchdienst: Google Gemini mit Google-Suche, SerpApi (SerpApi LLC, USA) oder eine eigene Suchinstanz. Für wissenschaftliche Recherchen fragt c:node die offenen Verzeichnisse OpenAlex und Crossref ab. Übermittelt wird nur der Suchbegriff, keine Kontodaten. Bitte verwenden Sie in Suchanfragen keine vertraulichen Personenangaben.

Rufen Sie über c:node eine bestimmte Website auf, liest c:node diese Seite von unseren Servern aus.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.13 Öffentliche Daten im c:node Graph

Der c:node Graph ist ein Wissensbestand aus öffentlichen Quellen (z. B. Gesetze und Verordnungen, Gerichtsentscheidungen, EU-Rechtsakte, Statistiken, Register von Unternehmen und Organisationen, Förderprogramme, öffentliche Ausschreibungen). Er dient dazu, Antworten mit nachprüfbaren Quellen zu belegen. Die meisten Quellen enthalten keine personenbezogenen Daten; wo sie welche enthalten, minimieren wir sie (z. B. lassen wir Parteinamen in Gerichtsentscheidungen, Nutzerkonten von Code-Plattformen und natürliche Personen als Zuschlagsempfänger weg).

Einige amtlich veröffentlichte Quellen enthalten Namen natürlicher Personen in ihrer beruflichen oder öffentlichen Rolle, insbesondere Organe von Unternehmen im Handelsregister (unten im Einzelnen), im Lobbyregister des Deutschen Bundestages eingetragene Interessenvertreter, Betreiber von Energieanlagen im Marktstammdatenregister, Anmelder von EU-Marken und Personen auf der EU-Sanktionsliste. Herkunft ist jeweils die genannte amtliche Quelle; wir übernehmen nur die für den Nachweis nötigen Angaben, verarbeiten keine besonderen Kategorien (Art. 9 DSGVO) und bieten keine Suche nach Personen und keine Profilbildung an.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an belegten Auskünften aus öffentlich zugänglichen Quellen); für die Sanktionsliste zusätzlich das Interesse unserer Nutzer an der Einhaltung von Sanktionsvorschriften.
• Ihr Widerspruchsrecht: wie unten beschrieben, an privacy@creativate.tech.

Organe von Unternehmen aus dem Handelsregister (Information nach Art. 14 DSGVO)

Dieser Abschnitt richtet sich an Personen, die im Handelsregister als Organ oder Vertreter einer Firma eingetragen sind oder waren, und informiert sie nach Art. 14 DSGVO. Er betrifft nicht die Nutzer unserer Plattform.

Herkunft. Der c:node Graph enthält einen Bestand deutscher Handelsregisterdaten aus dem offenen Datensatz von OffeneRegister.de (Open Knowledge Foundation Deutschland) und OpenCorporates, veröffentlicht unter der Lizenz Creative Commons Namensnennung 4.0 (CC BY 4.0). Wir erheben diese Daten nicht bei Ihnen, nicht beim Registerportal und nicht durch automatisiertes Auslesen von Websites.

Historischer Stand. Der Datensatz bildet den Registerstand der Jahre 2018/2019 ab und wird nicht laufend aktualisiert. Jede Antwort, die Organe nennt, kennzeichnet diesen Stand als historisch und verweist für den aktuellen Stand auf das amtliche Handelsregister (handelsregister.de).

Zweck. Angemeldete Nutzer freigeschalteter c:node-Arbeitsbereiche können zu einer bestimmten Firma fragen, wer dort als Geschäftsführung, Vorstand oder in einer anderen Organfunktion eingetragen ist. Die Antwort nennt Quelle und Registerstand, damit sie nachprüfbar ist (geschäftliche Recherche wie Kunden-, Lieferanten- und Partnerprüfung). Eine Suche nach Personen, eine Profilbildung über Personen und Massenexporte bieten wir nicht an.

Rechtsgrundlage. Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse und das unserer Nutzer besteht in einer belegten Geschäftsauskunft aus Daten, die der Gesetzgeber zur Information des Rechtsverkehrs öffentlich macht (§ 9 HGB). Die Daten betreffen ausschließlich Ihre berufliche Rolle.

Kategorien personenbezogener Daten. Name, Funktion (z. B. Geschäftsführer, Vorstand, Prokurist, Liquidator, persönlich haftender Gesellschafter), Beginn und Ende der Eintragung sowie der Bezug zur Firma (Firmenname, Rechtsform, Sitz, Registergericht, Registernummer). Wohnort, Geburtsdatum, Anschrift und Kontaktdaten speichern wir nicht. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nicht.

Keine Verarbeitung durch KI-Modelle. Antworten zu Organen werden regelbasiert aus dem Registerbestand erstellt. Die Namen werden nicht an Anbieter von Sprachmodellen übermittelt und nicht zum Training von Modellen verwendet.

Empfänger. Nur die angemeldeten Nutzer, die eine konkrete Frage zu einer Firma stellen. Gehostet wird bei Amazon Web Services in Frankfurt am Main (eu-central-1) als Auftragsverarbeiter; eine Übermittlung in Drittländer findet nicht statt.

Speicherung und Löschung. Der Bestand liegt in einem gesonderten, nur lesbaren Index, getrennt vom übrigen Graphen. Er wird bei jedem Neuaufbau vollständig ersetzt; Sicherungskopien eines früheren Stands löschen wir spätestens nach 30 Tagen. Namen erscheinen nur in der jeweiligen Antwort, nicht in technischen Protokollen. Antworten in Chats folgen den Löschfristen des jeweiligen Arbeitsbereichs. Wir speichern den Bestand, solange wir die Funktion anbieten.

Keine individuelle Benachrichtigung. Den Datensatz bilden mehrere Millionen Registereinträge. Eine Benachrichtigung jeder eingetragenen Person wäre mit einem unverhältnismäßigen Aufwand verbunden (Art. 14 Abs. 5 lit. b DSGVO). Wir stellen diese Informationen deshalb hier öffentlich bereit.

Ihr Widerspruchsrecht (Art. 21 DSGVO). Sie können der Verarbeitung Ihrer Registerdaten im c:node Graph jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Schreiben Sie dazu an privacy@creativate.tech und nennen Sie Ihren Namen und die betroffene Firma (am besten mit Registergericht und Registernummer). Nach einem berechtigten Widerspruch nehmen wir Sie in eine Sperrliste auf: Ihr Name wird dann zu der betroffenen Firma (oder zu allen Firmen) nicht mehr ausgegeben, auch nicht als Zahl ausgeblendeter Einträge. Die Sperre wirkt sofort und auch bei jedem künftigen Neuaufbau des Bestands. Ihre übrigen Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Beschwerde bei einer Aufsichtsbehörde) bleiben unberührt, siehe Abschnitt 10. Eine Berichtigung des Registerinhalts selbst erfolgt beim zuständigen Registergericht.

4.14 Abrechnung und Zahlungen

Kostenpflichtige Tarife buchen Sie über billing.c-node.ai. Die Zahlung wickelt Stripe ab (Stripe Payments Europe, Limited, Irland). Stripe erhebt auf seinen eigenen Seiten Name, Rechnungsanschrift, gegebenenfalls USt-IdNr. und Zahlungsdaten; Kartendaten erhalten wir nicht. Wir übermitteln an Stripe Ihre E-Mail-Adresse, eine Konto-Kennung und den gewählten Tarif. Rechnungen erzeugt Stripe; wir senden sie Ihnen per E-Mail (Resend) und als Beleg an unsere Buchhaltung (Lexware Office, Haufe-Lexware GmbH & Co. KG, Freiburg) und unsere Steuerberatung.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag), Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung).
• Speicherdauer: Rechnungen und Buchungsbelege 10 Jahre, Geschäftsbriefe 6 Jahre (§ 147 AO, § 257 HGB), jeweils ab Ende des Kalenderjahres. Danach werden sie gelöscht.

Wir informieren unsere Kunden außerdem über ihren Vertrag (z. B. Kontingente, Verlängerungen) und pflegen Vertragsdaten (E-Mail, Tarif, Status) in unserem Kundenkontakt-System, Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

4.15 E-Mail-Versand

Service-E-Mails (Anmeldecodes und -links, Einladungen, Hinweise zu Konto, Kontingenten und Rechnungen, Freigabe-Hinweise) versenden wir über Resend (Plus Five Five, Inc., USA). Resend erhält Empfängeradresse, Betreff und Inhalt der E-Mail.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

4.16 Betrieb, Sicherheit und Missbrauchsschutz

Zum sicheren Betrieb protokollieren unsere Dienste technische Ereignisse (Zeitpunkt, aufgerufene Funktion oder Adresse, Statuscode, Fehler); Zugriffsprotokolle der Server können dabei auch die IP-Adresse enthalten. In den Anwendungsprotokollen maskieren wir E-Mail-Adressen und Zugangsdaten. Für Nutzungsgrenzen (z. B. in der Testumgebung) verarbeiten wir die IP-Adresse. Die Überwachung (Grafana, Loki, Prometheus) betreiben wir selbst in Frankfurt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Stabilität), Art. 32 DSGVO.
• Speicherdauer: zentrale Protokolle und Messwerte 30 Tage; lokale Protokolle der einzelnen Dienste löschen wir, sobald sie für Betrieb und Sicherheit nicht mehr erforderlich sind.

4.17 Schnittstellen (API und MCP)

Organisationen können c:node über eine API oder das Model Context Protocol (MCP) mit eigenen Anwendungen und KI-Assistenten (z. B. Claude, ChatGPT, Microsoft Copilot) verbinden. Die Antworten gehen dann an diese Anwendungen; für deren Verarbeitung ist die Organisation verantwortlich. Je Aufruf protokollieren wir Zeitpunkt, Werkzeug und eine gehashte Kennung, keine Fragen und keine Inhalte. Über MCP und API kann nichts freigegeben werden; Freigaben sind nur in c:node selbst möglich.

4.18 Kunden- und Interessentenverwaltung

Kontaktdaten von Interessenten, Kunden und Partnern (Name, Unternehmen, Rolle, E-Mail, Telefon, Verlauf der Kommunikation, Vertragsstand) führen wir in selbst betriebenen Systemen (Mautic, EspoCRM) auf unseren Servern in Frankfurt.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; Werbung per E-Mail nur mit Einwilligung oder im Rahmen von § 7 Abs. 3 UWG (dann mit Widerspruchsmöglichkeit in jeder E-Mail).
• Speicherdauer: bis zu 3 Jahre nach dem letzten Kontakt, bei Kunden für die Dauer der Geschäftsbeziehung zuzüglich gesetzlicher Fristen.

5. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, wenn eine Rechtsgrundlage besteht. Dienstleister, die Daten in unserem Auftrag verarbeiten, setzen wir als Auftragsverarbeiter mit Vertrag nach Art. 28 DSGVO ein. Einige Empfänger verarbeiten Daten teilweise als eigene Verantwortliche, etwa Stripe für Zahlungsabwicklung, Betrugsprävention und gesetzliche Pflichten.

Selbst betrieben auf unseren Servern bei AWS in Frankfurt (keine weiteren Empfänger): Datenbanken (PostgreSQL, SQLite), Formular-Dienst mit ALTCHA, Mautic, EspoCRM, Spracherkennung, Einbettungsmodelle, Überwachung (Grafana, Loki, Prometheus).

Verbundene Dienste (Abschnitt 4.9) sind keine Empfänger von uns: Sie oder Ihre Organisation entscheiden, welche Dienste c:node lesen und beschreiben darf.

6. Übermittlung in Drittländer

Einige Empfänger sitzen in den USA oder verarbeiten dort. Wir übermitteln Daten dorthin nur, wenn ein angemessenes Schutzniveau besteht: auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger zertifiziert ist, sonst auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO, Durchführungsbeschluss (EU) 2021/914) mit ergänzenden Maßnahmen. Eine Kopie der Garantien erhalten Sie auf Anfrage an privacy@creativate.tech.

Wenn Sie oder Ihre Organisation die Richtlinie „nur EU“ wählen, findet für die KI-Verarbeitung keine Übermittlung in Drittländer statt.

7. Speicherdauer im Überblick

8. Pflicht zur Bereitstellung

Für Konto und Vertrag brauchen wir mindestens Ihre E-Mail-Adresse; ohne sie können wir kein Konto anlegen. Alle weiteren Angaben sind freiwillig. Eine gesetzliche Pflicht, uns Daten bereitzustellen, besteht nicht.

9. Automatisierte Entscheidungen

Wir treffen keine ausschließlich automatisierten Entscheidungen im Sinne von Art. 22 DSGVO und betreiben kein Profiling mit rechtlicher oder ähnlich erheblicher Wirkung.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und auf Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3). Viele Rechte können Sie direkt in den Kontoeinstellungen ausüben (Export, Deaktivierung, Löschung, Einwilligungen). Sonst schreiben Sie an privacy@creativate.tech. Wir antworten innerhalb eines Monats (verlängerbar nach Art. 12 Abs. 3 DSGVO) und können einen Identitätsnachweis verlangen.

Widerspruchsrecht (Art. 21 DSGVO)

Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, Widerspruch einlegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Gegen die Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen; wir verwenden Ihre Daten dann nicht mehr für diesen Zweck.

Der Widerspruch ist formfrei, am einfachsten per E-Mail an privacy@creativate.tech.

11. Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de

12. Datensicherheit

Wir schützen Daten mit technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, unter anderem: Verschlüsselung der Übertragung (TLS), verschlüsselte Ablage von Dateien und Zugangsschlüsseln, Hosting in der EU, Trennung der Daten nach Organisationen mit Zugriffsregeln in der Datenbank, Rollen- und Rechtekonzept, Freigabe-Pflicht für jede Wirkung nach außen, Maskierung von Personenangaben in Anwendungsprotokollen, Missbrauchs- und Spamschutz, Sicherungen und dokumentierte Wiederherstellung. Die Einzelheiten stehen in Anlage 2 des Auftragsverarbeitungsvertrags.

13. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Frühere Fassungen stellen wir auf Anfrage bereit; über wesentliche Änderungen informieren wir angemeldete Nutzer vorab.

Stand: 21. Oktober 2026 (Version 3.0.0) Creativate Technologies GmbH