Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze sowie sonstiger datenschutzrechtlicher Bestimmungen ist:

[Name und Anschrift des Verantwortlichen einfügen]

Datenschutzanfragen: datenschutz@everstrategy.ai

2. Übersicht der Datenverarbeitung

EverStrategy.ai ist eine KI-gestützte Unternehmensberatungsplattform, die den vollständigen AI Transformation Lifecycle abbildet — von der Unternehmensanalyse über Strategieentwicklung, Teamqualifizierung und Umsetzung bis hin zu Agent Monitoring und Compliance. Im Rahmen dieser Dienste verarbeiten wir verschiedene Kategorien personenbezogener Daten.

Arten der verarbeiteten Daten

• Bestandsdaten (E-Mail-Adresse, Passwort, Organisationsname)
• Unternehmensdaten (Branche, Unternehmensgröße, Abteilungsstruktur, Prozesse, Technologie-Stack)
• Nutzungsdaten (Plattformaktivitäten, Feature-Nutzung, Seitenaufrufe)
• Inhaltsdaten (Strategiedokumente, Chat-Verläufe, Kursfortschritt, hochgeladene Dokumente)
• KI-Interaktionsdaten (Prompts, Antworten, Token-Verbrauch, verwendete Modelle)
• Integrationsdaten (API-Schlüssel, Projektmanagement-Aufgaben, Synchronisationsprotokolle)
• Finanzdaten (Abonnement-Informationen, Credit-Transaktionen — Kreditkartendaten verarbeitet nur Stripe)
• Protokolldaten (IP-Adressen, Zeitstempel, Request-IDs, Audit-Trail-Einträge)

Kategorien betroffener Personen

• Registrierte Nutzer der Plattform
• Organisationsadministratoren und Teammitglieder
• Besucher der öffentlichen Website (nur technisch notwendige Daten)

3. Rechtsgrundlagen der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen gemäß Art. 6 DSGVO:

4. Hosting und Infrastruktur

Für den Betrieb der Plattform nutzen wir folgende Infrastruktur-Dienstleister:

Vercel Inc. (Webhosting)

Die Website wird auf der Plattform von Vercel Inc. gehostet. Bei jedem Seitenaufruf werden automatisch Server-Logdaten erfasst (IP-Adresse, Zeitstempel, aufgerufene URL, HTTP-Status, User-Agent). Vercel nutzt ein globales Edge-Netzwerk mit Standorten in der EU.

Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA

Supabase Inc. (Datenbank, Authentifizierung, Dateispeicher)

Sämtliche Anwendungsdaten werden in einer PostgreSQL-Datenbank bei Supabase gespeichert. Supabase stellt zudem die Authentifizierung (JWT-basiert), Row-Level Security (RLS) und den verschlüsselten Dateispeicher bereit. Die Datenbank ist mit AES-256 verschlüsselt (at rest).

Supabase Inc., 970 Toa Payoh North #07-04, Singapore 318992

Upstash Inc. (Rate Limiting)

Zum Schutz vor Missbrauch setzen wir Upstash Redis für Rate Limiting ein. Dabei werden kurzlebige Zähler pro Nutzer-ID und Zeitfenster gespeichert — keine personenbezogenen Daten werden dauerhaft vorgehalten.

Upstash Inc., San Francisco, CA, USA

5. Registrierung und Authentifizierung

Bei der Registrierung erheben wir:

• E-Mail-Adresse (als Benutzername und für Kontobezogene Benachrichtigungen)
• Passwort (wird von Supabase Auth gehasht gespeichert — wir haben keinen Zugriff auf das Klartextpasswort)

Die Sitzungsverwaltung erfolgt über sichere, HTTP-only Cookies, die JWT-basierte Authentifizierungstoken enthalten. Diese Cookies werden automatisch erneuert und bei Abmeldung gelöscht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

6. Unternehmensprofil und Onboarding

Im Rahmen des AI Readiness Assessments durchlaufen Sie einen 8-Schritte-Assistenten, in dem folgende Unternehmensdaten erhoben werden:

• Unternehmensname und Branche
• Unternehmensgröße und Abteilungsstruktur
• Bestehende Geschäftsprozesse und Pain Points
• Aktueller Technologie-Stack
• Unternehmensziele und Wachstumsstrategie
• Team-Kompetenzen im KI-Bereich
• Compliance-Anforderungen und regulatorische Rahmenbedingungen

Im optionalen Deep-Mode werden zusätzliche, dynamisch von der KI generierte Vertiefungsfragen gestellt, um ein präziseres Unternehmensprofil zu erstellen. Die Beantwortung ist freiwillig.

Auf Basis Ihrer Antworten und hochgeladener Dokumente werden automatisiert Folgefragen generiert, deren Beantwortung optional ist und die Qualität der Strategie verbessert.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Daten sind erforderlich, um eine individualisierte KI-Strategie zu erstellen.

7. KI-gestützte Analysen und Strategien

EverStrategy.ai setzt KI-Modelle zur Generierung von Unternehmensstrategien ein. Dabei werden folgende Daten verarbeitet:

Eingesetzte KI-Modelle

Sie können zwischen verschiedenen KI-Modellen wählen, darunter Claude Opus 4.6 (Anthropic) und Gemini 3.1 (Google). Die Wahl des Modells liegt bei Ihnen.

Verarbeitete Daten

• Ihr Unternehmensprofil wird als Kontext an das gewählte KI-Modell übermittelt
• Die KI generiert: Executive Summary, 8 Abteilungsstrategien, Quick Wins, Roadmap und 3-Jahres-ROI-Prognose
• Jede Strategieversion wird versioniert und mit Zeitstempel gespeichert
• Token-Verbrauch (Input/Output) wird pro Anfrage erfasst und dem Credit-System zugeordnet

System Prompt Transparenz

EverStrategy.ai macht den vollständigen System Prompt, der an die KI übermittelt wird, sichtbar und editierbar. Sie können jederzeit einsehen, welchen Kontext die KI nutzt. Dies umfasst: Ihr Unternehmensprofil, die aktuelle Strategie, Ihre Ziele und den Umsetzungsstand.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Ihre Daten werden an den jeweiligen KI-Anbieter übermittelt, um die vereinbarte Strategie-Generierung durchzuführen.

8. AI-Unternehmensberater (Chat)

Der integrierte AI-Unternehmensberater ist ein KI-gestützter Chat, der auf Ihr Unternehmensprofil, Ihre Strategie und Ihren Umsetzungsstand zugreift.

• Chat-Verläufe werden gespeichert, um den Beratungskontext über mehrere Sitzungen hinweg zu erhalten
• Jede Nachricht verbraucht Credits, die anhand des Token-Verbrauchs und des gewählten Modells berechnet werden
• Der vollständige System Prompt — inklusive aller kontextbezogenen Daten — ist für Sie jederzeit einsehbar
• Der Berater referenziert: Unternehmensprofil, aktuelle Strategie, Kanban-Aufgaben, Ziele/KPIs und Agent-Performance-Daten

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

9. Dokumente und Wissensmanagement

Sie können Dokumente hochladen, um den Kontext für die KI-Strategieberatung zu erweitern.

Unterstützte Formate: PDF, DOCX, TXT (maximal 10 MB pro Datei).

Verarbeitung der Dokumente

• Textextraktion aus dem hochgeladenen Dokument
• KI-gestützte Zusammenfassung des Inhalts
• Speicherung der Originaldatei im verschlüsselten Supabase Storage
• Integration der Zusammenfassung in den System Prompt der KI

Dokumente werden dauerhaft gespeichert, um die Strategie-Kontextualisierung aufrechtzuerhalten. Sie können Dokumente jederzeit über die Plattform löschen.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Der Upload ist freiwillig und dient der Verbesserung der Strategiequalität.

10. Lernplattform und Custom Courses

EverStrategy.ai bietet eine integrierte Lernplattform mit über 20 vorinstallierten Kursen sowie einem Custom Course Generator.

• Kursfortschritt und Quiz-Ergebnisse werden pro Teammitglied gespeichert
• Der Custom Course Generator erstellt individuelle Lernpfade basierend auf: Ihrer Strategie, Abteilungsbedürfnissen, Kanban-Aufgaben oder frei gewählten Themen
• Generierte Kurse enthalten Lektionen mit Markdown-Inhalten und Quizzes
• Die Kursgenerierung verbraucht Credits (Token-Verbrauch und Modell werden erfasst)

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

11. Business Development und Opportunity Pipeline

EverStrategy.ai generiert KI-gestützte Geschäftschancen-Vorschläge auf Basis Ihres Unternehmensprofils und Ihrer Strategie.

• Business Development Vorschläge: automatisch generierte Vorschläge für neue Märkte, Produkte, Partnerschaften und Prozessoptimierungen
• Opportunity Pipeline: Erkannte Chancen werden in einer Kanban-Pipeline mit Status-Tracking verwaltet
• KI-Tiefenanalysen: Auf Anfrage erstellt die KI detaillierte Marktanalysen, Risikoabschätzungen und Umsetzungsschritte
• ROI-Rechner: Interaktive Kosten-Nutzen-Analyse für jede Investition aus Ihrer Strategie

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

12. Kanban-Board und Projektmanagement-Integrationen

EverStrategy.ai bietet ein integriertes Kanban-Board sowie bidirektionale Synchronisation mit externen Projektmanagement-Tools.

Unterstützte PM-Tools

• ClickUp
• Notion
• Jira
• Trello
• Asana
• Monday.com

Synchronisierte Daten

• Aufgabentitel, Beschreibungen und Status
• Zuweisung und Fälligkeitsdaten
• Status-Mapping zwischen EverStrategy.ai-Kanban und dem externen PM-Tool
• Synchronisationsprotokolle (Zeitstempel, Anzahl erstellter/aktualisierter/gelöschter Aufgaben, Fehler)

Verbindungsdaten

Zur Herstellung der Verbindung speichern wir einen verschlüsselten API-Schlüssel (AES-256-GCM) sowie den Workspace-Namen. Nur Administratoren können Integrationen einrichten.

Webhook-Verarbeitung

Externe PM-Tools können Änderungen über Webhooks an EverStrategy.ai melden. Diese Webhooks werden über anbieterspezifische Signaturprüfungen verifiziert und idempotent verarbeitet.

Automatische Synchronisation

Die Synchronisation erfolgt standardmäßig alle 15 Minuten (konfigurierbar) und kann zusätzlich manuell ausgelöst werden.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Synchronisation wird vom Nutzer aktiv eingerichtet.

13. Agent Monitoring und Cost Intelligence

EverStrategy.ai ermöglicht die Überwachung und Kostenanalyse externer KI-Agents über verschiedene Anbieter hinweg.

Unterstützte KI-Anbieter (Read-only Monitoring)

• OpenAI (Assistants API): Agents, Threads, Runs, Nachrichten
• Google Gemini: Verfügbare Modelle und Konfigurationen
• Anthropic Claude: Verfügbare Modelle und Konfigurationen
• OpenClaw (WebSocket): Agent-Status, Health Snapshots

Erfasste Daten pro Agent Run

• Run-ID, Thread-ID, Status (erfolgreich/fehlgeschlagen/abgebrochen)
• Input- und Output-Zusammenfassungen
• Token-Verbrauch (Input, Output, Gesamt)
• Zeitstempel und Laufzeit
• Berechnete Kosten basierend auf der aktuellen Modell-Preismatrix

API-Schlüssel

Die API-Schlüssel der externen Anbieter werden mit AES-256-GCM verschlüsselt in der Datenbank gespeichert. Bei einer Kontolöschung werden alle API-Schlüssel sofort und unwiderruflich gelöscht.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Die Verbindung wird vom Nutzer aktiv hergestellt; EverStrategy.ai greift ausschließlich lesend auf die externen APIs zu.

14. Alignment-Scoring und Anomalie-Erkennung

Alignment-Scoring

Jeder Agent Run wird automatisch gegen Ihre Unternehmensziele bewertet. Die KI (Claude) analysiert den Output des Runs und vergibt einen gewichteten Alignment-Score (0–100) mit Begründung und Konfidenzgrad. Diese Bewertung ist rein informativ und hat keine automatische Konsequenz.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Messung der Zielbeiträge von KI-Agents.

Anomalie-Erkennung

Das System erkennt automatisch ungewöhnliche Muster in Ihren Agent-Daten:

• Kostenspitzen (plötzlicher Anstieg des Token-Verbrauchs)
• Themenabweichung (Agent-Output weicht von Zielen ab)
• Fehlerrate (erhöhte Anzahl fehlgeschlagener Runs)

Bei Erkennung werden Anomalien in der Plattform angezeigt. Sie können Schwellenwerte und E-Mail-Benachrichtigungen konfigurieren.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Sicherstellung der KI-Infrastruktur-Integrität.

15. Zahlungsabwicklung und Credit-System

Stripe (Zahlungsabwicklung)

Die Zahlungsabwicklung erfolgt über Stripe Inc. Wir übermitteln an Stripe: E-Mail-Adresse, Organisationsname und gewählter Plan. Kreditkartendaten werden ausschließlich von Stripe verarbeitet und nie auf unseren Servern gespeichert. Stripe ist PCI-DSS-zertifiziert.

Stripe Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA

Credit-System

Alle KI-gestützten Features verbrauchen Credits. Jede Transaktion wird mit folgenden Daten protokolliert:

• Transaktionstyp (z.B. AI-Berater, Strategiechat, Kursgenerierung, Dokumentverarbeitung)
• Verbrauchte Credits und resultierender Kontostand
• Verwendetes KI-Modell und Token-Verbrauch
• API-Kosten in Cent (zur internen Abrechnung)
• Zeitstempel und Nutzer-ID

Abonnements

EverStrategy.ai bietet drei Pläne (Starter, Business, Enterprise) mit unterschiedlichen monatlichen Credit-Kontingenten (5.000 / 25.000 / 100.000 Credits). Nicht verbrauchte Credits verfallen am Monatsersten.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

16. Cookies und Tracking

EverStrategy.ai verwendet ausschließlich technisch notwendige Cookies.

Es werden keine Tracking-Cookies, Marketing-Cookies, Analyse-Tools von Drittanbietern (wie Google Analytics, Hotjar, Facebook Pixel) oder Fingerprinting-Technologien eingesetzt. EverStrategy.ai setzt kein Re-Targeting und keine personalisierte Werbung ein.

17. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen zum Schutz Ihrer Daten ein:

Verschlüsselung bei Übertragung

Sämtliche Daten werden über TLS 1.2+ (HTTPS) verschlüsselt übertragen. HSTS (HTTP Strict Transport Security) ist mit einer Gültigkeit von 2 Jahren aktiviert.

Verschlüsselung bei Speicherung

Die PostgreSQL-Datenbank und der Dateispeicher sind mit AES-256 verschlüsselt (at rest). API-Schlüssel externer Dienste werden zusätzlich mit AES-256-GCM applikationsseitig verschlüsselt.

Zugriffskontrolle

Row-Level Security (RLS) in Supabase stellt sicher, dass Nutzer nur auf Daten ihrer eigenen Organisation zugreifen können. Ein rollenbasiertes Berechtigungssystem (Admin, Member, Viewer) begrenzt den Zugriff auf Feature-Ebene.

Sicherheitsheader

• Content-Security-Policy: Strenge Richtlinie, die nur eigene Quellen und Stripe/Supabase zulässt
• X-Frame-Options: DENY (Schutz gegen Clickjacking)
• X-Content-Type-Options: nosniff
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy: Kamera, Mikrofon und Geolocation deaktiviert

Rate Limiting

Alle API-Endpunkte sind durch abgestufte Rate Limits geschützt (z.B. 10 Anfragen/Minute für Standard-Operationen, 3/Minute für Billing-Operationen, 1/Minute für KI-Generierungen).

18. Auftragsverarbeiter und Drittlandtransfers

Wir setzen folgende Auftragsverarbeiter ein, die Zugriff auf personenbezogene Daten haben können:

Optionale PM-Tool-Anbieter (nur bei aktiver Integration)

Bei Einrichtung einer Projektmanagement-Integration werden Daten mit dem jeweiligen Anbieter synchronisiert. Diese Verbindung ist optional und wird ausschließlich vom Nutzer initiiert:

• ClickUp (ClickUp Inc., USA)
• Notion (Notion Labs Inc., USA)
• Jira (Atlassian Pty Ltd, Australien)
• Trello (Atlassian Pty Ltd, Australien)
• Asana (Asana Inc., USA)
• Monday.com (monday.com Ltd., Israel)

Für sämtliche Transfers in Drittländer (außerhalb des EWR) gelten EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Darüber hinaus prüfen wir regelmäßig die Angemessenheit des Datenschutzniveaus der Empfängerländer.

19. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen:

Kontolöschung

Bei Löschung Ihres Kontos werden sämtliche zugehörigen Daten kaskadierend gelöscht: Organisation, Mitglieder, Ziele, Agents, Runs, Kosten, Alignment-Scores, Anomalien, Integrationen, Kurse, Kanban-Aufgaben, Chancen, Strategien, Audit-Logs und Dokumente. API-Schlüssel externer Dienste werden vorab unwiderruflich gelöscht. Dieser Vorgang ist nicht umkehrbar.

Datenexport

Sie können Ihre Daten jederzeit als JSON-Datei exportieren. Der Export umfasst: Organisation, Ziele, KPIs, Agents, Agent-Runs (letzte 10.000), Kosten, Alignment-Scores, Anomalien und Audit-Logs (letzte 10.000). Verschlüsselte API-Schlüssel und Zahlungsdaten bei Stripe sind aus Sicherheitsgründen nicht im Export enthalten.

20. Automatisierte Entscheidungsfindung

EverStrategy.ai setzt in folgenden Bereichen automatisierte Verfahren ein, die jedoch ausschließlich informativ und unterstützend sind — keine automatisierte Entscheidung hat eine rechtliche Wirkung oder beeinträchtigt Sie in ähnlicher Weise (Art. 22 DSGVO):

21. Audit-Trail und EU AI Act Compliance

EverStrategy.ai führt einen lückenlosen, append-only Audit-Trail, der alle relevanten Ereignisse forensisch belastbar dokumentiert:

• Authentifizierung (Anmeldung, Abmeldung, Registrierung)
• Billing-Operationen (Planwechsel, Credit-Käufe)
• Integrations-Ereignisse (PM-Tool-Verbindung, Synchronisation)
• Strategie-Operationen (Erstellung, Versionierung, Chat-Änderungen)
• System-Synchronisationen (Agent-Sync, Cost-Berechnung)
• Datenzugriff und -export
• Kontolöschung

Im Hinblick auf den EU AI Act (Verordnung (EU) 2024/1689), der ab dem 2. August 2026 vollständig Anwendung findet, dokumentiert EverStrategy.ai: eingesetzte KI-Modelle, Alignment-Nachweise, Token-Verbrauch, Entscheidungsgrundlagen und Compliance-Berichte. Diese Dokumentation unterstützt die Anforderungen an Transparenz und Rückverfolgbarkeit gemäß Art. 13 und Art. 14 des EU AI Act.

Rechtsgrundlage: Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) in Verbindung mit den Anforderungen des EU AI Act.

22. Ihre Rechte

Als betroffene Person haben Sie gemäß DSGVO folgende Rechte:

Für alle datenschutzrechtlichen Anfragen erreichen Sie uns unter: datenschutz@everstrategy.ai

23. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslage, neue Features oder geänderte Datenverarbeitungsprozesse anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar. Bei wesentlichen Änderungen werden registrierte Nutzer per E-Mail informiert. Das Datum der letzten Aktualisierung finden Sie am Anfang dieser Datenschutzerklärung.