Datenschutzerklärung

• Kontodaten: Ihre E-Mail-Adresse, ein optionaler Anzeigename und die bevorzugte Sprache.
• Passwort: nur als kryptografischer Einweg-Hash (bcrypt) gespeichert — nie im Klartext und für uns nicht lesbar.
• Inhalte: die Unterhaltungen und Nachrichten, die Sie mit Deywos austauschen, sowie von Ihnen erstellte Projekte und Projekt-Prompts.
• Zustandsmessungen: Wenn Sie auf „Read State“ tippen, werden die vier eingestellten Zustandswerte, der zugeordnete Cluster und die Tageszeit gespeichert.
• Optional Puls & HRV über die Kamera: Wenn Sie die Puls-Karte antippen und eine Messung abschließen, speichern wir die abgeleitete Herzfrequenz, die Herzratenvariabilität (RMSSD), die Signalqualität und das rohe kameragestützte Pulssignal (Rotkanal-Zeitreihe) für dieses ca. 60-Sekunden-Fenster. Das Kamerabild selbst wird nie aufgezeichnet — nur die Helligkeit pro Frame zur Pulsschätzung. Völlig optional; das Auslassen hat keine Auswirkungen auf den Rest des Dienstes.
• Technische & Sitzungsdaten: IP-Adresse, Geräte-/Browser-Kennung (User-Agent) und Zeitstempel, die aus Sicherheitsgründen zu jeder Anmeldesitzung erfasst werden.
• Öffentliche Demo (ohne Konto): Wenn Sie den nicht angemeldeten Demo-Chat auf dieser Website nutzen, speichern wir vorübergehend die gesendeten Nachrichten, Ihre IP-Adresse und Ihre Browser-Kennung — für den Betrieb der Demo und zum Schutz vor Missbrauch. Dies wird getrennt von Nutzerkonten aufbewahrt. Anonyme Demo-Unterhaltungen können zur Verbesserung des Produkts ausgewertet werden.
• Warteliste (ohne Konto): Wenn Sie auf der Zugangs-Seite um Benachrichtigung bitten, speichern wir Ihre E-Mail-Adresse, Sprache, IP-Adresse sowie die Zeitpunkte von Anmeldung und Bestätigung (Double-Opt-in) — ausschließlich, um Ihnen die Zugangs-Ankündigung zu senden.
• Kurzlebige Tokens: E-Mail-Verifizierungs- und Passwort-Reset-Tokens.

Wir verarbeiten Ihre Daten auf folgenden Rechtsgrundlagen (Art. 6 Abs. 1 DSGVO):

• Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b): Kontoerstellung, Authentifizierung, Speichern Ihrer Unterhaltungen, Erzeugen der Antworten.
• Transaktions-E-Mails (Art. 6 Abs. 1 lit. b): Verifizierungs- und Passwort-Reset-Nachrichten.
• Sicherheit & Missbrauchsprävention (Art. 6 Abs. 1 lit. f, berechtigtes Interesse): Erfassung von IP-Adresse und User-Agent zu Sitzungen, um Konten zu schützen.

Gesundheitsbezogene Daten (Puls / HRV). Die aus der optionalen Kameramessung abgeleitete Herzfrequenz und Herzratenvariabilität sind gesundheitsbezogene Daten — eine besondere Kategorie nach Art. 9 DSGVO. Wir verarbeiten sie ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 9 Abs. 2 lit. a), die Sie erteilen, wenn Sie eine Messung starten, und die Sie jederzeit widerrufen können, indem Sie die Funktion nicht nutzen und die Messwerte löschen. Diese Signale dienen allein Ihrer Selbstreflexion über Ihren körperlichen/funktionalen Zustand. Sie sind keine medizinische Bewertung, Diagnose oder Gesundheitsüberwachung und werden nie mit einem Krankheitsbild verknüpft.

Wir nutzen Ihre Daten nicht für Werbung, kein Marketing-Profiling und keine automatisierten Entscheidungen mit Rechtswirkung — und wir verkaufen sie nicht.

Wir setzen eine kleine Zahl von Auftragsverarbeitern ein, die Daten in unserem Auftrag verarbeiten:

• Hetzner Online GmbH (Deutschland) — hostet Backend und Datenbank.
• Vercel Inc. (USA) — hostet diese Website.
• Resend — versendet Transaktions-E-Mails; verarbeitet Empfängeradresse und Nachrichteninhalt.
• Ein Dritt-KI-Anbieter (USA) — erzeugt die Antworten von Deywos. Die Nachrichten Ihrer Unterhaltung werden an dessen API gesendet, um eine Antwort zu erzeugen. Die kommerziellen Bedingungen erlauben dem Anbieter nicht, seine Modelle mit Ihren Inhalten zu trainieren — Ihre Nachrichten werden nur zur Antworterzeugung verarbeitet.

Bevor Ihre Nachrichten an diesen Anbieter übermittelt werden, entfernen wir automatisch im Text erkannte E-Mail-Adressen und Telefonnummern. Sprachtranskription ist in dieser Alpha noch nicht aktiv; diese Erklärung wird vor deren Einführung aktualisiert.

Einige Anbieter (z. B. Vercel, Resend) können Daten auf Servern außerhalb der EU/des EWR verarbeiten, auch in den USA. Soweit dies geschieht, stützen sich die Übermittlungen auf geeignete Garantien wie die EU-Standardvertragsklauseln.

• Reguläre Chats: solange Ihr Konto besteht. Wenn Sie einen Chat in der App löschen, verschwindet er sofort aus Ihrer Liste und wird innerhalb von 30 Tagen von Ihrem Konto getrennt. Inhalte können danach in de-identifizierter Form (ohne Bezug zu Ihrem Konto) aufbewahrt werden, um den Dienst zu verbessern und KI-Modelle zu trainieren.
• Inkognito-Chats: werden gespeichert, aber innerhalb von 24 Stunden nach Sitzungsende von Ihrem Konto getrennt. Wie bei regulären Chats können Inhalte de-identifiziert aufbewahrt werden.
• Projekte & Projekt-Prompts: solange Ihr Konto besteht. Beim Löschen eines Projekts bleiben dessen Chats (ohne Projektbezug) in Ihrer Liste; das Projekt selbst wird entfernt.
• Zustandsmessungen & optionale Pulsdaten: solange Ihr Konto besteht. Mit der Kontoschließung werden sie von Ihrer Identität getrennt; sie können de-identifiziert für Dienstverbesserung und KI-Training aufbewahrt werden. Der Deep Data Wipe Request entfernt sie vollständig.
• Kontoschließung („Konto löschen“): Ihr Konto wird geschlossen, Ihre Unterhaltungen/Projekte werden von Ihrer Identität getrennt. Inhalte können zu den oben genannten Zwecken de-identifiziert fortbestehen.
• Deep Data Wipe Request: eine separate Aktion in Ihren Einstellungen, die Ihr Konto und sämtliche von Ihnen erzeugten Unterhaltungen, Nachrichten und Projekte endgültig löscht — einschließlich der Inhalte, die andernfalls im de-identifizierten Trainingskorpus verbleiben würden. Unumkehrbar. Damit üben Sie Ihr Recht auf Löschung nach Art. 17 DSGVO aus.
• Öffentliche Demo (ohne Konto): die einer Demo-Sitzung zugeordnete IP-Adresse wird innerhalb von 24 Stunden gelöscht; die gesamte Demo-Sitzung einschließlich ihrer Nachrichten innerhalb von 30 Tagen.
• Warteliste: gespeichert, bis Sie um Entfernung bitten oder kurz nachdem die Zugangs-Ankündigung versandt wurde — danach gelöscht.
• Sitzungen: Refresh-Sitzungen laufen automatisch ab (innerhalb von ca. 72 Stunden Inaktivität).
• Verifizierungs-/Reset-Tokens: verfallen schnell (Verifizierung innerhalb von 24 Stunden, Reset innerhalb von 1 Stunde).

Da es sich um eine geschlossene Alpha handelt, können Alpha-Daten nach Ende der Alpha-Phase entfernt werden.

Nach der DSGVO haben Sie das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15);
• Berichtigung unrichtiger Daten (Art. 16);
• Löschung Ihrer Daten (Art. 17) — siehe Deep Data Wipe Request in Ihren Einstellungen, oder schreiben Sie uns;
• Einschränkung der Verarbeitung und Widerspruch (Art. 18, 21);
• Datenübertragbarkeit (Art. 20);
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde.

Zur Ausübung dieser Rechte: contact@manuwey.com.

Alle Übertragungen sind verschlüsselt (HTTPS). Passwörter werden ausschließlich als bcrypt-Hashes gespeichert. Der Zugriff auf die Datenbank ist auf das Backend in einem privaten Netzwerk beschränkt.

Deywos richtet sich ausschließlich an Erwachsene ab 18 Jahren. Es richtet sich nicht an Personen unter 18, und wir erheben wissentlich keine Daten von ihnen. Wenn Sie glauben, dass eine Person unter 18 Deywos genutzt hat, kontaktieren Sie uns — wir entfernen die Daten.

Wir können diese Erklärung anpassen, wenn sich der Dienst weiterentwickelt (zum Beispiel bei neuen KI-Funktionen, Zahlungen oder Social Sign-in). Das Datum „Stand“ oben bezeichnet die aktuelle Fassung.