Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Fabian Weiß
Kolonnenstr. 8
10827 Berlin
Deutschland
E-Mail: contact@cyalog.ai

• cyalog ist eine Bring-Your-Own-Key-App: Deine API-Schlüssel, dein Profil, dein Gesprächsverlauf und deine Erinnerungen liegen lokal auf deinem Gerät. Wir haben darauf keinen Zugriff. Anfragen gehen mit deinen Schlüsseln direkt von deinem Gerät an die Dienste in Abschnitt 5, ohne Umweg über unsere Server.
• Nur das kostenlose Kennenlerngespräch läuft im Proxy-Modus über unseren Server. Gesprächsinhalte werden dabei nur durchgereicht und nicht gespeichert.
• Kein Werbe-Tracking, kein Verkauf von Daten.

3.1 Besuch der Website (cyalog.ai)

Beim Aufruf dieser Website verarbeitet unser Hosting-Anbieter Vercel technisch notwendige Verbindungsdaten (insbesondere IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seite, User-Agent) in Server-Logs, um die Website auszuliefern und die Sicherheit des Betriebs zu gewährleisten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb der Website).

3.2 Beta-Anmeldung (Formspree)

Wenn du dich über das Formular für die Beta anmeldest, wird deine E-Mail-Adresse über den Dienst Formspree an uns übermittelt und von uns gespeichert, um dich zum Beta-Start zu kontaktieren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — eine formlose E-Mail genügt. Die Adresse wird nach Widerruf oder nach Abschluss der Beta-Phase gelöscht.

3.3 Nutzung der App mit eigenen API-Schlüsseln (BYOK-Modus)

Im Standard-Modus gibst du eigene API-Schlüssel ein. Diese werden ausschließlich verschlüsselt auf deinem Gerät gespeichert. Mit diesen Schlüsseln gehen je nach Funktion folgende Daten direkt von deinem Gerät an die jeweiligen Dienste (siehe Abschnitt 5). Unsere Server sind daran nicht beteiligt, und wir haben keinen Zugriff auf diese Inhalte:

• Gesprächstext an Anthropic zur Generierung der Antworten,
• Text für die Sprachausgabe an OpenAI; auf der Apple Watch außerdem Sprachaufnahmen an OpenAI zur Transkription,
• Websuche: aus dem Gespräch abgeleitete Suchanfragen an Brave Search und Tavily,
• Öffentliche Datendienste für Wetter, Wissen, Sport, Nahverkehr und weitere Themen (vollständige Liste in Abschnitt 5): Suchbegriffe, Ortsnamen oder Koordinaten, ohne Account.

Weitere Verarbeitungen, die du über Systemberechtigungen steuerst:

• Spracherkennung auf dem iPhone übernimmt Apple. Dabei kann Apple die Audiodaten auf seinen Servern verarbeiten; die App verlangt keine reine Verarbeitung auf dem Gerät.
• Standort (nur wenn du ihn erlaubst): Koordinaten für ortsbezogene Anfragen wie Wetter. Sie werden auf dem Gerät für 5 Minuten zwischengespeichert und können an die Dienste der jeweiligen Anfrage gehen.
• Kalender (nur wenn du ihn erlaubst): Termine der nächsten 48 Stunden werden lokal gelesen und können als Kontext in die Anfrage an das Sprachmodell einfließen.
• Musikerkennung: Ein kurzer Audio-Ausschnitt wird an Apple (ShazamKit) übermittelt.
• iCloud-Synchronisation (optional, standardmäßig aus): Erinnerungen werden über deinen eigenen iCloud-Account synchronisiert.

Transkripte und Profildaten, die die App speichert, bleiben lokal auf deinem Gerät.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Bereitstellung der App-Funktion); für die Systemberechtigungen (Mikrofon, Spracherkennung, Standort, Kalender) zusätzlich deine Einwilligung durch die Erteilung der Berechtigung (Art. 6 Abs. 1 lit. a DSGVO); für sensible Gesprächsinhalte deine ausdrückliche Einwilligung (siehe Abschnitt 4).

3.4 Proxy-Modus (kostenloses Kennenlerngespräch)

Das kostenlose Kennenlerngespräch läuft über unseren Server (Proxy-Modus), den wir bei Vercel in Frankfurt (Region fra1) betreiben und dessen Kosten wir tragen. Der Server leitet Anfragen an Anthropic (Antworten, Auswertung des Gesprächs für dein Profil) und OpenAI (Sprachausgabe) weiter. Übertragen werden: die Nachrichten des Gesprächs, die aktuelle Phase des Kennenlerngesprächs, der von dir angegebene Vorname, die Sprache deines Geräts, am Ende das Gesprächsprotokoll für die Auswertung und der Text samt gewählter Stimme für die Sprachausgabe. Die Spracherkennung erfolgt auf deinem Gerät über Apple; Audioaufnahmen gehen nicht an unseren Server. Gesprächsinhalte werden dabei nicht serverseitig gespeichert — sie werden nur durchgereicht. Für den Proxy verarbeitet Vercel dieselben Verbindungsdaten wie in Abschnitt 3.1.

Serverseitig gespeichert werden ausschließlich:

• eine pseudonymisierte Geräte-ID (SHA-256-Hash einer zufälligen Geräte-Kennung) mit dem Registrierungsdatum — zur Missbrauchsprävention und um das kostenlose Kontingent pro Gerät durchzusetzen,
• Nutzungszähler pro Geräte-ID (verbrauchte Anfragen pro Tag und über die gesamte Lebensdauer des Geräts),
• deine IP-Adresse nur als Hash-Wert (mit einem geheimen Schlüssel erzeugt, nicht im Klartext) in Zählern zur Zugriffsbegrenzung (Rate-Limiting).

Ein kostenpflichtiges Paket, bei dem Gespräche dauerhaft über unseren Server laufen, ist in der Testphase nicht verfügbar. Bevor wir es anbieten, ergänzen wir diese Erklärung um die dann beteiligten Dienstleister und Verarbeitungen.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des unentgeltlichen Nutzungsvertrags) für die Durchleitung des Gesprächs und die Nutzungszähler; Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsprävention und Kostenkontrolle) für Geräte-ID und IP-Hash; für sensible Gesprächsinhalte deine ausdrückliche Einwilligung (siehe Abschnitt 4).

cyalog ist ein Gesprächspartner. Die Inhalte, die du mit der App teilst, können besondere Kategorien personenbezogener Daten enthalten — zum Beispiel Angaben zu deiner Gesundheit, deinem Gefühlsleben oder deinen Beziehungen. Diese Inhalte werden nur verarbeitet, wenn du zuvor im Consent-Screen der App ausdrücklich eingewilligt hast (Art. 9 Abs. 2 lit. a DSGVO). Du kannst diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem du die Nutzung beendest und deine lokalen Daten in den App-Einstellungen löschst; für serverseitig gespeicherte Registrierungsdaten genügt eine E-Mail an uns.

Wir setzen die folgenden Dienstleister ein. Mit eigenen API-Schlüsseln schließt du den Vertrag mit Anthropic, OpenAI, Brave und Tavily selbst; für die Verarbeitung dort gelten deren Datenschutzbestimmungen.

Drittlandtransfer: Die genannten Dienstleister haben ihren Sitz überwiegend in den USA; bei den öffentlichen Datendiensten sitzen die Betreiber teils in anderen Ländern. Die Übermittlung erfolgt auf Grundlage von Angemessenheitsbeschlüssen nach Art. 45 DSGVO (EU-US Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist) bzw. der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Anthropic und OpenAI speichern API-Anfragen nach eigenen Angaben zeitlich begrenzt (bis zu 30 Tage) zur Missbrauchskontrolle; Anthropic trainiert laut Commercial Terms nicht auf API-Daten.

• Gesprächsinhalte: werden auf unseren Servern nicht gespeichert. Lokal auf deinem Gerät bleiben sie, bis du sie in der App löschst oder die App deinstallierst.
• Proxy-Modus: Zähler für die Zugriffsbegrenzung samt IP-Hash und die Tageszähler pro Gerät werden nach 48 Stunden gelöscht. Die pseudonymisierte Geräte-ID mit Registrierungsdatum und der Lebenszeitzähler werden nach 180 Tagen gelöscht. Du kannst die Löschung jederzeit verlangen (siehe Abschnitt 7).
• Beta-E-Mail-Adresse: bis zum Widerruf deiner Einwilligung oder bis zum Abschluss der Beta-Phase.
• Server-Logs (Vercel): gemäß den Aufbewahrungsfristen des Hosting-Anbieters.

Du hast gegenüber uns folgende Rechte:

• Art. 15 DSGVO: Auskunft über die verarbeiteten Daten
• Art. 16 DSGVO: Berichtigung unrichtiger Daten
• Art. 17 DSGVO: Löschung („Recht auf Vergessenwerden“)
• Art. 18 DSGVO: Einschränkung der Verarbeitung
• Art. 20 DSGVO: Datenübertragbarkeit
• Art. 21 DSGVO: Widerspruch gegen Verarbeitungen auf Basis von Art. 6 Abs. 1 lit. f DSGVO

Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO) — zum Beispiel bei der Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts. Zur Ausübung deiner Rechte genügt eine formlose E-Mail an die oben genannte Adresse.

Du bist weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen. Ohne die in Abschnitt 3 beschriebenen Daten können wir die jeweilige Funktion (Website, Beta-Anmeldung, Kennenlerngespräch, App) allerdings nicht anbieten.

Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt. Die KI-Antworten der App entfalten keine rechtliche Wirkung dir gegenüber.

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung ändert (z. B. neue Funktionen oder Dienstleister). Die jeweils aktuelle Fassung findest du unter cyalog.ai/privacy.