Datenschutzerklärung

(Stand: 8. August 2026 · Version 3)

Diese Datenschutzerklärung informiert gemäß der Datenschutz-Grundverordnung (DSGVO), dem österreichischen Datenschutzgesetz (DSG) und dem Telekommunikationsgesetz 2021 (TKG 2021) über die Verarbeitung personenbezogener Daten auf drefrajo.dev, im unter interview.drefrajo.dev angebotenen Interview-Service sowie bei der direkten Kommunikation und Geschäftsabwicklung mit mir.

Diese Datenschutzerklärung betrifft drei unterschiedliche Verarbeitungskontexte:

die öffentliche Website drefrajo.dev;
Creator-Konten sowie meine eigene Kommunikation, Abrechnung und sonstige Geschäftsabwicklung;
den Interview-Service unter interview.drefrajo.dev.

Nicht jede nachfolgend beschriebene Verarbeitung betrifft jede Person. Welche Verarbeitung stattfindet, hängt davon ab, welche Bereiche und Funktionen genutzt werden.

1. Verantwortlicher und Rollenverteilung

Franz Josef Drexler
Adresse: siehe Impressum
E-Mail: contact@drefrajo.dev

Für den Betrieb der Website sowie für eigene Zwecke im Zusammenhang mit Creator-Konten und dem Interview-Service – insbesondere Authentifizierung, Abrechnung, IT-Sicherheit, Missbrauchsvermeidung und eigene Kommunikation – bin ich Verantwortlicher.

Bei den Inhalten eines Interviews legt regelmäßig der eingeloggte Creator Zweck und Rahmen der Verarbeitung sowie den Kreis der eingeladenen Personen fest. Insoweit ist der Creator in der Regel selbst Verantwortlicher und ich verarbeite die Interview-Inhalte als Auftragsverarbeiter gemäß Art. 28 DSGVO.

Die Auftragsverarbeitung wird durch eine Auftragsverarbeitungsvereinbarung geregelt, die gilt, soweit ein Creator den Interview-Service als Verantwortlicher nutzt.

Diese Datenschutzerklärung ersetzt nicht die Datenschutzhinweise des Creators. Der Creator ist insbesondere dafür verantwortlich, eingeladene Clients über seine Verarbeitung zu informieren, eine geeignete Rechtsgrundlage festzulegen und die datenschutzrechtlichen Anforderungen an die konkrete Nutzung des Interviews einzuhalten.

Entscheidend bleibt die tatsächliche Nutzung im Einzelfall.

2. Welche Daten verarbeitet werden und woher sie stammen

Website-Besucher:innen

Beim Besuch von drefrajo.dev können insbesondere folgende Daten verarbeitet werden:

technische Verbindungs- und Protokolldaten wie Zeitpunkt, öffentliche IP-Adresse, angeforderte URL, HTTP-Header, Browser, Betriebssystem, Gerätetyp und Antwortstatus;
cookielose Nutzungsdaten der Website wie Seitenaufrufe, Referrer sowie Geräte-, Browser- und Länderinformationen.

Creator

Bei der Erstellung und Nutzung eines Creator-Kontos sowie bei der Geschäftsabwicklung können insbesondere folgende Daten verarbeitet werden:

vom gewählten OAuth-Anbieter erhaltene Kontodaten wie Provider-ID, verifizierte E-Mail-Adresse, Name bzw. Profilname und gegebenenfalls Profilbild;
Authentifizierungs- und Sitzungsdaten einschließlich notwendiger Session-Cookies bzw. Token, Ablaufzeit, IP-Adresse und User-Agent;
Creator-Profil, Anzeigename, Spracheinstellungen, eine gegebenenfalls für Clients freigegebene Kontakt-E-Mail-Adresse und Datenschutzerklärungs-URL;
private Interview-Vorlagen;
Projektnamen, Interview-Anweisungen, Interview-Links sowie die vom Creator verwalteten Interview-Inhalte und Ergebnisse;
Nutzungs- und Betriebsdaten wie Zeitstempel, Bearbeitungsstatus, Token-Verbrauch, geschätzte KI-Kosten und Fehlermeldungen;
Zahlungs-, Transaktions-, Erstattungs- und Streitfalldaten einschließlich entsprechender Referenznummern.

Vollständige Karten- oder Bankdaten erhalte ich nicht.

Diese Daten stammen vom Creator, vom gewählten OAuth-Anbieter und – bei Zahlungen – vom eingesetzten Zahlungsdienstleister.

Clients eines Interviews

Clients benötigen kein eigenes Konto.

Im Rahmen eines Interviews können insbesondere folgende Daten verarbeitet werden:

der Interview-Link bzw. dessen Zugriffstoken und technische Zugriffsdaten;
sämtliche Eingaben und Chat-Nachrichten sowie Zeitstempel;
Änderungswünsche zum Projektdokument;
optionale Hinweise zu einer visuellen Richtung oder Inspirationslinks;
die Auswahl eines visuellen Konzepts und der Abgabezeitpunkt;
aus dem Gespräch erzeugte Inhalte wie Interview-Plan, KI-Antworten, Projektdokument, Bild-Prompts, visuelle Konzepte und Projektabgabe.

Der Interview-Service fragt Clients nicht gezielt nach Name oder E-Mail-Adresse. Freitext kann dennoch personenbezogene Daten über den Client oder Dritte enthalten.

Der Interview-Service ist nicht für besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen oder Straftaten, Zugangsdaten oder vergleichbar sensible Informationen vorgesehen. Solche Informationen sollen nicht eingegeben werden.

3. Zwecke und Rechtsgrundlagen

Bereich	Verarbeitung	Zweck	Rechtsgrundlage
Website	Bereitstellung der Website und Server-Logs	Technische Bereitstellung, Fehleranalyse, Sicherheit und Abwehr von Angriffen	Art. 6 Abs. 1 lit. f DSGVO
Website	Cookielose Website-Statistik	Reichweitenmessung und Verbesserung der Website	Art. 6 Abs. 1 lit. f DSGVO
Creator-Bereich	Creator-Konto, OAuth-Anmeldung, Einstellungen und Servicefunktionen	Kontoerstellung und Durchführung des Nutzungsvertrags	Art. 6 Abs. 1 lit. b DSGVO; ergänzend lit. f für Sicherheit und Missbrauchsschutz
Interview-Service	Interview-Inhalte eines Clients	Durchführung, Speicherung und Bereitstellung des vom Creator eingerichteten Interviews	regelmäßig Verarbeitung im Auftrag des Creators nach Art. 28 DSGVO; die Rechtsgrundlage gegenüber dem Client bestimmt der Creator
Interview-Service	KI-gestützte Konversation sowie Erstellung von Dokumenten und Bildern	Beantwortung von Nachrichten sowie Erstellung und Überarbeitung der Projektergebnisse	wie beim jeweiligen Interview-Inhalt
Creator-Bereich	Eigene vorbereitende oder administrative KI-Funktionen	Bereitstellung der vom Creator angeforderten Funktionen	Art. 6 Abs. 1 lit. b DSGVO
Geschäftsabwicklung	Abrechnung und Interview-Pässe	Checkout, Zahlungszuordnung, Guthabenverwaltung, Erstattungen und Streitfälle	Art. 6 Abs. 1 lit. b und c DSGVO
Interview-Service	Einreichungsbenachrichtigung an den Creator	Mitteilung, dass eine Projektabgabe bereitsteht	Art. 6 Abs. 1 lit. b DSGVO
Allgemein	Support und sonstige Kommunikation	Bearbeitung von Anfragen und Vertragsabwicklung	Art. 6 Abs. 1 lit. b oder f DSGVO
Allgemein	Rechtsdurchsetzung und gesetzliche Pflichten	Buchhaltung, Nachweise sowie Geltendmachung oder Abwehr von Ansprüchen	Art. 6 Abs. 1 lit. c und f DSGVO

4. Ablauf und Sichtbarkeit eines Interviews

Der Creator erstellt ein Interview, legt Projektname, Sprache und Anweisungen fest und teilt einen nicht erratbaren Link mit dem Client.

Wer über den Link verfügt, kann das zugehörige Interview ohne eigenes Konto aufrufen, fortsetzen und die für diesen Link verfügbaren Inhalte sehen. Creator und Clients sollten den Link daher vertraulich behandeln.

Der Creator kann einen neuen Link erzeugen und damit einen früheren Link ungültig machen.

Vor Beginn des Interviews wird der Client darauf hingewiesen, dass er mit einem KI-System interagiert.

Außerdem werden der Anzeigename des Creators, die von ihm für diesen Zweck hinterlegte Kontakt-E-Mail-Adresse sowie ein Link zu seinen Datenschutzhinweisen angezeigt.

Der Creator kann den vollständigen Chatverlauf, das Projektdokument, Inspirationslinks, generierte visuelle Konzepte, die getroffene Auswahl und die Projektabgabe einsehen und herunterladen.

Nach der Abgabe erhält der Creator eine Benachrichtigung mit Projektname, Abgabestatus und einem Link zum geschützten Creator-Bereich.

Die Benachrichtigung enthält weder Chatverlauf noch Projektdokument, visuelle Konzepte, Client-Nachrichten oder den geheimen Interview-Link.

5. Verarbeitung durch KI-Modelle

Für die KI-gestützte Konversation sowie die Erstellung von Texten und visuellen Konzepten werden externe KI-Modelle über einen KI-Gateway-Dienst aufgerufen.

Je nach Arbeitsschritt können insbesondere Interview-Anweisungen, bisherige Client- und KI-Nachrichten, interne Interview-Planung, Projektdokumente, Änderungswünsche oder daraus abgeleitete Bild-Prompts an den KI-Gateway-Dienst und den jeweiligen Modellanbieter übermittelt werden.

Erzeugte Antworten und Bilder werden anschließend im Interview-Service gespeichert.

Modellanfragen werden so konfiguriert, dass nur Provider-Routen zugelassen werden, bei denen die übermittelten Ein- und Ausgaben nach den hinterlegten Richtlinien nicht für das Training oder die Verbesserung der Modelle verwendet werden (data_collection: deny).

Dies stellt keine Zusage einer vollständigen Zero-Data-Retention auf Ebene des Modellanbieters dar. Je nach Anbieter können Daten insbesondere zur Sicherheit, Missbrauchserkennung oder aufgrund gesetzlicher Verpflichtungen vorübergehend gespeichert werden.

Der eingesetzte KI-Gateway-Dienst speichert Prompt- und Antwortinhalte nach dessen eigener Dokumentation standardmäßig nicht, sofern kein entsprechendes Logging aktiviert wurde. Technische Metadaten zu Modellanfragen, etwa Token-Anzahl oder Latenz, können gespeichert werden.

Die KI trifft im Rahmen des Interview-Service keine ausschließlich automatisierte Entscheidung, die gegenüber Creator oder Client rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt.

Die aktuell eingesetzten KI-Dienstleister sind in der Liste der Unterauftragsverarbeiter aufgeführt.

6. Cookies, lokale Speicherung und Server-Logs

Der geschützte Creator-Bereich verwendet ausschließlich technisch notwendige Authentifizierungs- und Session-Cookies bzw. vergleichbare Token.

Sie dienen der Anmeldung, Sitzungsverwaltung und Kontosicherheit und werden bis zum Abmelden, bis zum Ablauf der jeweiligen Sitzung oder bis zu ihrer Löschung im Browser gespeichert.

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b und f DSGVO.

Die Speicherung von bzw. der Zugriff auf Informationen im Endgerät erfolgt, soweit erforderlich, zur Bereitstellung des ausdrücklich gewünschten Dienstes gemäß § 165 Abs. 3 TKG 2021.

Clients benötigen kein Konto und der Interview-Service setzt für sie kein eigenes Anmelde-Cookie. Der Zugriff erfolgt über das Token im Interview-Link.

Es werden keine Werbe- oder Marketing-Tracker eingesetzt.

Beim Aufruf der Website oder des Interview-Service können eingesetzte Hosting-, Infrastruktur- und Sicherheitsdienstleister technische Server- und Sicherheitsdaten verarbeiten.

Von mir kontrollierte reguläre Zugriffsprotokolle werden grundsätzlich höchstens 30 Tage gespeichert.

Sicherheitsrelevante Daten können bei einem konkreten Vorfall bis zu dessen Klärung und erforderlichenfalls bis zum Ablauf einschlägiger Anspruchsfristen länger aufbewahrt werden.

Dienstleister können eigene technische Protokolle nach ihren jeweiligen vertraglichen und gesetzlichen Vorgaben führen.

7. Cookielose Website-Statistik

Auf drefrajo.dev verwende ich eine selbst gehostete Instanz von Umami Analytics auf Infrastruktur innerhalb Deutschlands.

Der Interview-Service unter interview.drefrajo.dev verwendet Umami nicht.

Umami setzt keine Analytics-Cookies ein und speichert die öffentliche IP-Adresse nicht dauerhaft als solche.

Während der Verarbeitung kann die IP-Adresse zur Bildung einer pseudonymen Sitzungskennung sowie zur Ableitung technischer oder ungefährer geografischer Informationen verwendet werden.

Gespeichert werden insbesondere Informationen über Seitenaufrufe und Sitzungen sowie Referrer-, Browser-, Betriebssystem-, Geräte- und Länderinformationen.

Eine websiteübergreifende Wiedererkennung findet nicht statt.

Die Analytics-Daten werden nur so lange gespeichert, wie dies für die Reichweitenmessung und Verbesserung der Website erforderlich ist, und gelöscht, sobald sie für diese Zwecke nicht mehr benötigt werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse besteht in der Reichweitenmessung und Verbesserung meiner Website.

Betroffene Personen können dieser Verarbeitung aus Gründen, die sich aus ihrer besonderen Situation ergeben, gemäß Art. 21 DSGVO widersprechen.

8. Dienstleister und Empfänger

Welche Empfänger personenbezogene Daten erhalten, hängt davon ab, welcher Teil des Angebots genutzt wird.

Der bloße Besuch von drefrajo.dev führt insbesondere nicht dazu, dass Website-Inhalte oder Nutzungsdaten an KI-Modellanbieter oder Zahlungsdienstleister übermittelt werden.

Öffentliche Website

Beim Betrieb von drefrajo.dev können insbesondere folgende Kategorien von Empfängern eingesetzt werden:

Hosting-, Infrastruktur- und IT-Sicherheitsdienstleister;
Dienstleister für die selbst gehostete Website-Statistik.

Creator-Konten und eigene Geschäftsabwicklung

Bei Creator-Konten, Authentifizierung, Zahlungen und direkter Kommunikation können insbesondere folgende Kategorien von Empfängern eingesetzt werden:

Hosting-, Backend-, Datenbank- und IT-Sicherheitsdienstleister;
vom Creator gewählte Authentifizierungsanbieter;
Zahlungs- und Abrechnungsdienstleister;
E-Mail- und Kommunikationsdienstleister.

Interview-Service

Bei der Durchführung eines Interviews können insbesondere folgende Kategorien von Empfängern eingesetzt werden:

Hosting-, Backend-, Datenbank- und IT-Sicherheitsdienstleister;
KI-Gateway- und KI-Modellanbieter zur Verarbeitung von Interview-Inhalten und Erstellung von Projektergebnissen;
Kommunikationsdienstleister, soweit diese für Benachrichtigungen im Zusammenhang mit einem Interview benötigt werden.

Bei einem vom Creator eingerichteten Interview erhält außerdem der jeweilige Creator die in Abschnitt 4 beschriebenen Interview-Inhalte.

Berufliche Berater, Behörden oder Gerichte können personenbezogene Daten erhalten, soweit dies gesetzlich erforderlich oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen notwendig ist.

Soweit ich Interview-Inhalte im Auftrag eines Creators verarbeite, sind die dabei eingesetzten Unterauftragsverarbeiter einschließlich ihrer jeweiligen Funktion und ihres Verarbeitungsorts in der aktuellen Liste der Unterauftragsverarbeiter aufgeführt.

9. Übermittlungen in Drittländer

Abhängig davon, welcher Teil des Angebots genutzt wird, können einzelne eingesetzte Dienstleister personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, insbesondere in den USA.

Nicht jede Nutzung des Angebots führt daher zu denselben internationalen Datenübermittlungen.

Soweit für einen Empfänger und die betreffende Verarbeitung ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO gilt, erfolgt die Übermittlung auf dieser Grundlage.

Dies kann insbesondere bei entsprechend zertifizierten US-Unternehmen im Rahmen des EU-US Data Privacy Framework der Fall sein.

Soweit kein anwendbarer Angemessenheitsbeschluss besteht, werden geeignete Garantien gemäß Art. 46 DSGVO eingesetzt, insbesondere die Standardvertragsklauseln der Europäischen Kommission sowie, soweit erforderlich, ergänzende technische und organisatorische Maßnahmen.

Informationen über die im Rahmen der Auftragsverarbeitung für Creator eingesetzten Unterauftragsverarbeiter und deren Verarbeitungsorte sind in der aktuellen Liste der Unterauftragsverarbeiter verfügbar.

Eine Kopie der für eine konkrete Übermittlung einschlägigen Garantien kann unter den in Abschnitt 1 genannten Kontaktdaten angefordert werden.

10. Speicherdauer und Löschung

Personenbezogene Daten werden grundsätzlich nur so lange gespeichert, wie dies für den jeweiligen Zweck erforderlich ist.

Daten	Dauer bzw. Kriterium
Reguläre Server-Logs	grundsätzlich höchstens 30 Tage; länger nur bei einem konkreten Sicherheits- oder Rechtsfall
Creator-Konto und Profil	für die Dauer des Kontos; anschließend Löschung, soweit keine gesetzlichen oder rechtlichen Aufbewahrungsgründe entgegenstehen
OAuth- und Sessiondaten	solange für Anmeldung und Kontosicherheit erforderlich; Sessions bis Abmeldung oder Ablauf
Private Interview-Vorlagen	bis zur Löschung durch den Creator oder zur Löschung des Creator-Kontos
Abgeschlossene Interviews einschließlich Chat, Projektdokumenten und Bildern	Löschung spätestens 24 Monate nach Abgabe, sofern der Creator sie nicht bereits früher löscht
Nicht abgeschlossene Interviews	Löschung spätestens 24 Monate nach der letzten Aktivität
Abrechnungs- und Buchhaltungsdaten	gesetzlich aufbewahrungspflichtige Unterlagen grundsätzlich sieben Jahre ab Ende des maßgeblichen Kalenderjahres; gegebenenfalls länger bei anhängigen Verfahren
Sonstige Zahlungs- und Transaktionsdaten	solange sie für Zahlungsabwicklung, Erstattungen, Streitfälle oder Rechtsansprüche erforderlich sind
Support- und E-Mail-Kommunikation	bis zur abschließenden Bearbeitung und anschließend nur solange sie für Vertrag, Nachweis, Rechtsansprüche oder gesetzliche Pflichten benötigt wird
Umami-Analytics-Daten	solange dies für Reichweitenmessung und Verbesserung der Website erforderlich ist; anschließend Löschung

Löscht ein Creator ein Interview oder erreicht es seine automatische Löschfrist, werden dessen aktiver Datensatz, Chatverlauf und gespeicherte Konzeptbilder aus dem Produkt entfernt und der Interview-Link wird ungültig.

Vorübergehende Restkopien können bis zur turnusmäßigen Überschreibung in Backups der eingesetzten Dienstleister verbleiben.

Gesetzlich erforderliche Abrechnungs- und Nachweisdaten werden nicht zusammen mit einem Interview gelöscht.

Clients können sich wegen der Löschung von Interview-Inhalten an den Creator oder an mich wenden.

Soweit der Creator Verantwortlicher ist, erfolgt die Bearbeitung grundsätzlich nach dessen Weisung; zwingende Betroffenenrechte bleiben unberührt.

11. Datensicherheit

Zum Schutz personenbezogener Daten werden angemessene technische und organisatorische Maßnahmen eingesetzt.

Dazu gehören insbesondere Transportverschlüsselung, Zugriffskontrollen, sichere Authentifizierung, nicht erratbare und widerrufbare Interview-Links sowie Maßnahmen gegen missbräuchliche Zugriffe.

Die Maßnahmen werden entsprechend dem Risiko und der technischen Entwicklung überprüft und angepasst.

12. Betroffenenrechte

Nach Maßgabe der gesetzlichen Voraussetzungen bestehen insbesondere die Rechte auf:

Auskunft gemäß Art. 15 DSGVO;
Berichtigung gemäß Art. 16 DSGVO;
Löschung gemäß Art. 17 DSGVO;
Einschränkung der Verarbeitung gemäß Art. 18 DSGVO;
Datenübertragbarkeit gemäß Art. 20 DSGVO;
Widerspruch gegen Verarbeitungen aufgrund berechtigter Interessen gemäß Art. 21 DSGVO;
Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft; und
Beschwerde bei einer zuständigen Datenschutzaufsichtsbehörde gemäß Art. 77 DSGVO.

Für Daten im Zusammenhang mit der Website, Creator-Konten, Abrechnung, direkter Kommunikation oder Sicherheit können Sie sich direkt an die in Abschnitt 1 genannten Kontaktdaten wenden.

Bei Interview-Inhalten ist regelmäßig der einladende Creator Verantwortlicher und damit erster Ansprechpartner.

Dessen Kontaktinformationen und Datenschutzhinweise werden im Interview angezeigt.

Sie können sich auch an mich wenden. Soweit ich als Auftragsverarbeiter tätig bin, unterstütze ich den zuständigen Creator bei der Bearbeitung von Betroffenenrechten.

Zur Verhinderung unbefugter Offenlegung kann ein angemessener Identitäts- oder Berechtigungsnachweis erforderlich sein.

Beschwerden können insbesondere an die Österreichische Datenschutzbehörde gerichtet werden:

Barichgasse 40–42
1030 Wien
Österreich
dsb@dsb.gv.at
https://www.dsb.gv.at/

Alternativ kann eine andere zuständige Datenschutzaufsichtsbehörde innerhalb der Europäischen Union angerufen werden.

13. Pflicht zur Bereitstellung

Daten, die für Creator-Konto, Authentifizierung, Abrechnung und Vertragsdurchführung erforderlich sind, müssen bereitgestellt werden, wenn die entsprechenden Funktionen genutzt werden sollen.

Für die technische Durchführung eines Interviews müssen Clients die Informationen bereitstellen, die für die Erstellung der gewünschten Projektergebnisse erforderlich sind.

Ob gegenüber dem Creator darüber hinaus eine gesetzliche oder vertragliche Pflicht zur Bereitstellung bestimmter personenbezogener Daten besteht und welche Folgen eine Nichtbereitstellung hat, bestimmt der jeweilige Creator.

14. Änderungen dieser Datenschutzerklärung

Diese Datenschutzerklärung wird angepasst, wenn sich die Verarbeitung, die eingesetzten Dienstleister oder die rechtlichen Anforderungen wesentlich ändern.

Das am Anfang angeführte Datum und die Versionsnummer kennzeichnen den jeweiligen Stand.