Datenschutzerklärung

Wenn Sie Einfall aufrufen, verarbeitet unser Hosting-Dienst technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und die Kennung Ihres Browsers.

• Zweck: die Anwendung ausliefern, Störungen erkennen, Angriffe abwehren.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein sicherer und stabiler Betrieb.
• Speicherdauer: Die Protokolle des Hosting-Dienstes werden nach höchstens 30 Tagen gelöscht, die des Datenbankdienstes nach einem Tag.

Für ein Konto brauchen wir Ihren Namen und Ihre E-Mail-Adresse; den Namen Ihrer Organisation können Sie freiwillig angeben. Wir speichern außerdem, wann Sie den Nutzungsbedingungen zugestimmt und die Datenschutzerklärung zur Kenntnis genommen haben. Bis Sie den Code aus unserer E-Mail eingeben, liegen Ihr Name und Ihre Organisation bei unserem Anmeldedienst; danach legen wir Ihr Konto an und entfernen sie dort. Geben Sie den Code nicht ein, löschen wir Ihre Angaben nach 7 Tagen. Für Konten, die bis Oktober 2026 mit einem Pilot-Code angelegt wurden, speichern wir weiterhin, mit welchem Code das geschah – den Code selbst nur als Prüfwert.

• Zweck: Ihr Konto anlegen und Ihnen den Pilotbetrieb bereitstellen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Nutzungsverhältnis).
• Speicherdauer: bis Sie die Löschung verlangen, spätestens 3 Monate nach Ende des Pilotbetriebs. Ihr Konto löschen wir auf Ihre Anfrage an info@einfall.xyz. Eine Registrierung, die Sie nicht mit dem Code bestätigen, löschen wir nach 7 Tagen.

Einfall arbeitet ohne Passwort. Zur Anmeldung schicken wir Ihnen einen sechsstelligen Code per E-Mail; er gilt 10 Minuten.

• Zweck: Sie sicher anmelden.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Dienste: Anmeldung über Supabase, Versand der E-Mail über Resend (Versand aus Irland).

Bei Registrierung, Anmeldung, Beitritt zu einer Session und beim Anfrage-Formular (Abschnitt 3.9) prüft Cloudflare Turnstile, ob ein Mensch die Anfrage stellt. Dafür verarbeitet Cloudflare technische Merkmale Ihrer Verbindung und Ihres Browsers, etwa IP-Adresse, TLS-Merkmale und Browserkennung. Cloudflare nutzt diese Merkmale nach eigenen Angaben zusätzlich in eigener Verantwortung, um die Erkennung von Bots zu verbessern.

Außerdem zählen wir Anfragen je IP-Adresse, je E-Mail-Adresse und je Konto in kurzen Zeitfenstern, um massenhafte Versuche zu bremsen, und begrenzen, wie viele neue Konten an einem Tag entstehen können und wie viele Anfragen das Formular an einem Tag annimmt.

• Zweck: Schutz vor automatisierten Angriffen und Missbrauch.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Anwendung und ihrer Nutzerinnen und Nutzer. Für das Auslesen von Browsermerkmalen: § 25 Abs. 2 Nr. 2 TDDDG.
• Speicherdauer: Ein Zählereintrag wird nach spätestens zwei Tagen gelöscht.

Wenn Sie eine Session anlegen, wählen Sie zuerst, wie Sie vorgehen (allein, mit Team sofort oder mit Team zu einem Termin), und beschreiben dann Ihre Herausforderung; die KI stellt Ihnen dazu einige kurze Rückfragen mit Antwortvorschlägen und fasst Ihre Antworten zu einer Frage mit Eckdaten zusammen (Abschnitt 3.6). Bei uns gespeichert wird dabei nichts: Das Gespräch liegt nur in Ihrem Browser (Abschnitt 5) und geht für jede Rückfrage an den KI-Anbieter. Wählen Sie „Zum Tisch“, speichern wir Titel, Frage und Kontext, wie Sie sie übernommen haben, und die Einstellungen, etwa wie Sie vorgehen. Laden Sie jemanden ein, speichern wir den Namen, den Sie für diese Person angeben, und – falls Sie sie eintragen – ihre E-Mail-Adresse. Die E-Mail-Adresse sehen andere Teilnehmende nicht. Den Einladungslink geben Sie selbst weiter, oder Einfall schickt ihn per E-Mail (nächster Absatz).

Einladungen per E-Mail: Tragen Sie die E-Mail-Adresse einer eingeladenen Person ein und lassen die Einladung von Einfall verschicken, senden wir ihr in Ihrem Namen („Ihr Name über Einfall“) eine E-Mail mit der Frage der Session und einem persönlichen Link, bei einem Termin mit einer Kalenderdatei; vor einem Termin eine Erinnerung und bei einer Änderung oder Absage des Termins eine Nachricht. Jede Einladung enthält einen Knopf, mit dem die Person absagen kann. Antworten auf diese E-Mails erreichen niemanden. Zu jeder E-Mail speichern wir, wann welche Art an welchen Platz ging und ob der Versand gelang – nicht ihren Inhalt und nicht die Adresse.

• Zweck: die eingeladene Person über die Session und ihren Termin informieren.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – das berechtigte Interesse der einladenden Person und unseres, die Session mit den Eingeladenen durchzuführen.
• Dienst: Versand über Resend, Versand aus Irland (Abschnitt 4).
• Speicherdauer: Adresse und Versandprotokoll wie die Session (unten). Widerrufen Sie eine Einladung oder entfernen eine Person, gelten ihre Links nicht mehr.

Wenn Sie einer Session beitreten, verarbeiten wir Ihren Anzeigenamen, eine technische Kennung für Ihre Teilnahme (ohne Konto), ob Sie gerade online sind, und eine Kennung Ihres Browserfensters, damit die Session nicht in zwei Fenstern gleichzeitig läuft.

Ihre Ideen erscheinen für alle in der Session ohne Namen, nur mit einer kurzen Nummer (zum Beispiel „#12“) – auch für die Person, die eingeladen hat. Intern speichern wir, von welcher teilnehmenden Person eine Idee stammt; diese Zuordnung zeigt die Anwendung niemandem an. Ihr Anzeigename ist für die anderen Personen derselben Session sichtbar, etwa in der Liste der Anwesenden.

• Zweck: die Session durchführen und ihr Ergebnis bereitstellen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – Sie nutzen Einfall, wenn Sie eine Session anlegen oder ihr beitreten.
• Speicherdauer: bis die Session gelöscht wird – das kann die Person, die sie angelegt hat, auf der Session-Seite oder unter „Meine Runden“ tun –, spätestens 3 Monate nach Ende des Pilotbetriebs. Archivieren löscht nichts; es blendet die Session nur aus der Übersicht aus.

Ist das Ergebnis einer Session veröffentlicht, fragen wir alle Menschen der Session einmal mit einem kurzen Bogen: wie wertvoll die Session war (1 bis 5), was am wertvollsten war (freier Text, höchstens 1.000 Zeichen), ob Sie Einfall wieder nutzen oder empfehlen würden und ob wir Ihre Antwort auf „Was war am wertvollsten?“ als Zitat verwenden dürfen. Alle Angaben sind freiwillig; „Überspringen“ beendet den Bogen. Eine E-Mail dazu schicken wir nicht.

Die anderen Teilnehmenden sehen Ihre Antworten nicht. Wir speichern sie mit der Session und Ihrer Teilnahme, damit der Bogen nicht ein zweites Mal erscheint; der Betreiber liest sie ohne Ihren Namen. Als Zitat verwenden wir eine Antwort nur, wenn Sie eingewilligt haben und wir sie geprüft haben – ohne Ihren Namen und ohne Ihre Organisation.

• Zweck: Einfall verbessern und belegen, wie wertvoll die Sessions sind.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Qualität von Einfall zu messen und zu verbessern. Für die Verwendung als Zitat Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); Sie können sie jederzeit für die Zukunft widerrufen – eine E-Mail an info@einfall.xyz genügt.
• Speicherdauer: wie die Session (Abschnitt 3.5) – wird sie gelöscht, löschen wir auch die Antworten; spätestens 3 Monate nach Ende des Pilotbetriebs. Gezählte Summen, etwa die mittlere Note, gehen in die Tageszahlen ein (Abschnitt 3.8). Damit sie nicht wieder herausfallen, wenn eine Session gelöscht wird, bewahren wir je Antwort nur die Note und die Antwort auf „wieder nutzen“ – ohne Text und ohne Ihren Namen – mit der Kennung der Session 31 Tage auf.

Einfall nutzt KI an vier Stellen: Beim Anlegen einer Session stellt sie Ihnen kurze Rückfragen und fasst Ihre Antworten als Briefing zusammen, das Sie prüfen und ändern können; eine KI schreibt in jeder Runde Ideen aus wechselnden Blickwinkeln mit; auf Wunsch schreiben simulierte KI-Teilnehmende mit, damit sich Einfall auch ohne ganzes Team ausprobieren lässt; und wenn Sie eine Idee einsprechen, fasst sie das Gesagte in einem kurzen Satz zusammen (Abschnitt 3.6a). Alle KI-Beiträge sind in der Anwendung gekennzeichnet.

Dafür übermitteln wir an Anthropic: beim Anlegen einer Session Ihre Herausforderung, die Rückfragen der KI und Ihre Antworten darauf; danach die Herausforderung und den Kontext, die Ideen der Session, bei KI-Teilnehmenden deren erfundenes Profil und bei der Spracheingabe von Ideen die Umschrift Ihrer Aufnahme. Namen von Personen übermitteln wir nicht; Ideen tragen dabei nur die Angabe „Mensch“, „KI-Teilnehmer“ oder „KI-Person“. Was Sie selbst in Ideen, in die Herausforderung oder in Ihre Antworten schreiben, geht allerdings so an die KI, wie Sie es geschrieben haben. Schreiben Sie deshalb keine vertraulichen Informationen und keine personenbezogenen Daten anderer hinein.

• Zweck: die KI-Funktionen von Einfall bereitstellen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Anbieter: Anthropic, PBC, USA. Nach den Bedingungen von Anthropic (Stand 01.07.2026) werden Eingaben und Ausgaben innerhalb von 30 Tagen gelöscht; wird ein Verstoß gegen die Nutzungsrichtlinien vermutet, bis zu 2 Jahre aufbewahrt. Anthropic verwendet sie nicht zum Training seiner Modelle, solange wir das nicht ausdrücklich erlauben – das tun wir nicht.
• Keine automatisierte Entscheidung: Die KI macht Vorschläge. Sie entscheidet nichts über Sie.

Statt eine Idee zu tippen, können Sie sie einsprechen. Die Aufnahme – höchstens 60 Sekunden – übermitteln wir zur Umschrift an ElevenLabs. Bei uns liegt sie nur während der Verarbeitung im Arbeitsspeicher; gespeichert wird sie nicht.

Die Umschrift kürzt anschließend die KI aus Abschnitt 3.6 auf einen kurzen Satz. Die Namen der Personen in dieser Session und alle E-Mail-Adressen ersetzen wir vorher durch neutrale Angaben wie „Person A“; andere Namen, die Sie aussprechen, gehen so an die KI, wie Sie sie gesagt haben. Der Satz erscheint in Ihrem Eingabefeld. Gespeichert wird er erst, wenn Sie ihn stehen lassen oder ändern – wie eine getippte Idee, mit dem Vermerk, dass sie eingesprochen wurde. Die Umschrift selbst speichern wir nicht; Sie können sie ansehen, bis Sie die Seite neu laden.

Gleich nach der Umschrift beantragen wir bei ElevenLabs, die Umschrift zu löschen, und wiederholen den Antrag automatisch, wenn er nicht sofort gelingt. Ob und wie lange ElevenLabs die Aufnahme selbst aufbewahrt, richtet sich nach unserem Vertrag mit ElevenLabs; eine Löschung unmittelbar nach jeder Anfrage bietet ElevenLabs nur im Enterprise-Tarif an, den wir nicht nutzen. ElevenLabs verwendet die Aufnahmen nicht zum Training seiner Modelle; das haben wir in unserem Konto ausgeschlossen.

Beim Anlegen einer Session können Sie auch Ihre Herausforderung und Ihre Antworten auf die Rückfragen einsprechen. Die Aufnahme geht ebenso zur Umschrift an ElevenLabs, und wir beantragen die Löschung der Umschrift wie oben. Hier kürzt keine KI: Die Umschrift erscheint unverändert in Ihrem Eingabefeld, und Sie entscheiden, ob Sie sie ändern und abschicken. Was Sie abschicken, behandeln wir wie getippten Text (Abschnitt 3.5).

• Zweck: Ideen – und beim Anlegen einer Session Ihre Herausforderung und Ihre Antworten – einsprechen statt tippen.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Spracheingabe ist freiwillig: Sie nutzen sie nur, wenn Sie auf das Mikrofon tippen; Tippen geht immer.
• Anbieter: ElevenLabs Inc., USA, für die Umschrift; Anthropic, PBC, USA, für den kurzen Satz bei Ideen (Abschnitt 3.6).
• Speicherdauer bei uns: keine für Aufnahme und Umschrift; der eingetragene Satz wie jede Idee, ein beim Anlegen abgeschickter Text wie Ihre getippten Angaben (Abschnitt 3.5).

Tritt ein technischer Fehler auf, erhält unser Dienst Sentry einen Fehlerbericht: Fehlermeldung, betroffene Stelle im Programm, aufgerufene Seite sowie Angaben zu Browser und Gerät. Vor dem Versand entfernt die Anwendung Formulardaten, Anfrageinhalte, Cookies und Angaben zur Person; IP-Adressen speichert Sentry in unserer Einstellung nicht. Ideen, Namen und E-Mail-Adressen gelangen so nicht in die Fehlerberichte. Bildschirmaufzeichnungen gibt es nicht.

• Zweck: Fehler finden und beheben.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist eine funktionierende Anwendung.
• Speicherdauer: 30 Tage.
• Ort: Datenregion der EU.

Wir halten ohne Inhalte fest, dass bestimmte Ereignisse stattgefunden haben, zum Beispiel „Konto registriert“, „Session angelegt“, „angemeldet“ oder „Ergebnis heruntergeladen“, jeweils mit Zeitpunkt und der Kennung von Organisation, Session oder handelnder Person. Inhalte von Sessions, Ideen oder Namen stehen darin nicht. Diese Einträge bleiben auch bestehen, wenn eine Session gelöscht wird.

Tageszahlen: Jede Nacht zählen wir die Zahlen des Vortags zusammen – etwa wie viele Sessions gestartet wurden, wie viele Menschen und KI-Teilnehmende mitgemacht und wie viele Ideen sie geschrieben haben und was die KI-Funktionen gekostet haben. Gespeichert werden nur Summen je Tag, ohne Inhalte und ohne Bezug zu einer Person. Damit wir die Zahlen der letzten 30 Tage noch berichtigen können, etwa wenn wir eigene Test-Sessions herausnehmen, halten wir je Session 31 Tage lang eine Zeile mit ihren Zahlen und der Kennung des Kontos fest, das sie angelegt hat – auch wenn die Session inzwischen gelöscht ist.

Verschiedene Menschen: Um zu zählen, wie viele verschiedene Menschen an Sessions teilnehmen, bilden wir aus der Kennung Ihres Kontos oder – wenn Sie per E-Mail eingeladen wurden – aus Ihrer E-Mail-Adresse mit einem geheimen Schlüssel eine pseudonyme Kennung. Ihre E-Mail-Adresse steht darin nicht, und ohne den Schlüssel lässt sie sich daraus nicht zurückgewinnen. Wer über einen Link ohne E-Mail-Adresse teilnimmt, wird je Teilnahme gezählt. Gespeichert wird die Kennung mit dem Tag; die Verbindung zur Session löschen wir nach 31 Tagen.

Begonnene Registrierungen: Um zu sehen, wie viele Menschen eine Registrierung beginnen und wo sie abbrechen, zählen wir, wenn jemand Name und E-Mail-Adresse zur Registrierung absendet und wenn eine Registrierung an unserer Grenze für neue Konten je Tag scheitert. Dafür bilden wir aus dem Tag und der E-Mail-Adresse mit einem geheimen Schlüssel eine Tageskennung; so zählt dieselbe Adresse an einem Tag nur einmal. Ihre E-Mail-Adresse, Ihr Name und Ihre Organisation stehen darin nicht, und ohne den Schlüssel lässt sich die Adresse daraus nicht zurückgewinnen. Nach 31 Tagen löschen wir die Tageskennung; die Zahl je Tag bleibt.

Diese Zahlen sieht nur der Betreiber.

• Zweck: den Pilotbetrieb auswerten und belegen, wie Einfall genutzt wird, Abläufe nachvollziehen, Sicherheit.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, zu verstehen, ob und wie Einfall genutzt wird, dies gegenüber Partnern und Geldgebern belegen und Vorfälle aufklären zu können.
• Speicherdauer: Ereignisse bis zum Ende des Pilotbetriebs; danach löschen wir sie mit allen übrigen Daten, spätestens nach 3 Monaten. Die Zeile je Session 31 Tage. Die Tageskennung einer begonnenen Registrierung 31 Tage. Die pseudonyme Kennung höchstens 24 Monate – endet der Pilotbetrieb früher, löschen wir sie mit allen übrigen Daten spätestens 3 Monate danach. Die Tageszahlen sind Summen ohne Personenbezug; sie bewahren wir auf.

Auf den öffentlichen Seiten von Einfall – Startseite, „So funktioniert’s“, häufige Fragen, Impressum, Datenschutzerklärung, Nutzungsbedingungen, Anmeldung, Registrierung und die Seiten „Einfall in Bildern“ (einfall.xyz/pitch/kunden), „Einfall für Teamleitungen“ (einfall.xyz/pitch/kunden/beruf) und „Einfall für Investoren“ (einfall.xyz/pitch/investoren) – zählen wir Besuche mit Vercel Web Analytics. In der Anwendung nach der Anmeldung, beim Beitritt zu einer Session und in Sessions zählen wir so nichts.

Bei jedem Seitenaufruf erhält Vercel die aufgerufene Adresse, die Seite, von der Sie kamen, den Zeitpunkt, den ungefähren Standort (Land, Region, Stadt), den Gerätetyp sowie Betriebssystem und Browser mit Version. Um Aufrufe derselben Person an einem Tag zusammenzufassen, bildet Vercel aus der Anfrage einen Prüfwert, den es nach 24 Stunden verwirft; über Tage oder andere Websites hinweg erkennt es niemanden wieder. Vercel Web Analytics setzt keine Cookies, und wir lassen nichts davon in Ihrem Browser speichern. Wir sehen nur zusammengefasste Zahlen, etwa Besucher und Seitenaufrufe je Tag.

Geteilter Link: Die Adresse einfall.xyz/wa führt auf die Startseite; wir verwenden sie, wenn wir Einfall über Messenger wie WhatsApp teilen. Öffnet jemand diese Adresse, zählen wir die Öffnung selbst – mit dem Zeitpunkt, ohne Cookie, ohne IP-Adresse und ohne Verbindung zu einem Konto. Gezählt werden Öffnungen, nicht Personen. Abrufe, mit denen ein Messenger die Vorschau des Links erzeugt, erkennen wir an der Kennung des abrufenden Programms und zählen sie nicht; diese Kennung speichern wir nicht.

• Zweck: wissen, wie viele Menschen die Website besuchen, wie viele über einen geteilten Link kommen und wie viele davon sich registrieren.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist, die Reichweite der Website zu kennen und sie zu verbessern.
• Anbieter: Vercel Inc., USA (Abschnitt 4); die Öffnungen des geteilten Links zählen wir in unserer Datenbank bei Supabase (Abschnitt 4).
• Speicherdauer: Die Zahlen je Tag übernehmen wir in unsere Tageszahlen (Abschnitt 3.8). Bei Vercel bleiben die Zählungen mindestens 12 Monate abrufbar; nach Angaben von Vercel können sie auch länger gespeichert werden. Die Öffnungen des geteilten Links speichern wir wie die Ereignisse in Abschnitt 3.8.

Schreiben Sie uns an info@einfall.xyz, verarbeiten wir Ihre E-Mail-Adresse und den Inhalt Ihrer Nachricht, um Ihnen zu antworten.

Anfrage-Formular: Auf den Seiten „Einfall für Teamleitungen“ und „Einfall für Investoren“ (Abschnitt 3.8a) können Sie uns auch über ein Formular schreiben. Es fragt nach Ihrem Namen, Ihrer E-Mail-Adresse und Ihrem Anliegen; den Namen Ihrer Organisation können Sie freiwillig angeben. Mit der Anfrage geht auch die Seite mit, von der sie kommt. Wir schicken Ihre Angaben als E-Mail an info@einfall.xyz; antworten wir darauf, geht die Antwort an die Adresse, die Sie angegeben haben. In unserer Datenbank speichern wir die Anfrage nicht.

• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn es um Ihr Konto geht, sonst lit. f (Anfragen beantworten).
• Speicherdauer: bis Ihr Anliegen erledigt ist, soweit keine Aufbewahrungspflicht besteht. Die E-Mail aus dem Formular bewahrt Resend nach eigenen Angaben 30 Tage auf.
• Dienste beim Formular: Schutz vor Bots mit Cloudflare Turnstile (Abschnitt 3.4); Versand über Resend, Versand aus Irland (Abschnitt 4).
• Empfang und Postfach: Nachrichten an diese Adresse nimmt die ImprovMX Inc. (USA) entgegen und leitet sie an ein Postfach bei Google (Gmail) weiter. ImprovMX speichert eingehende Nachrichten nach eigener Angabe nur bis zur Zustellung, in einem Rechenzentrum in Paris.