Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Datenverarbeitung auf dieser Website ist:

Dr. Ingo Glaser
Krumbacherstraße 8
80798 München
Deutschland

Hinweis zur lokalen Verarbeitung: Stript ist eine local-first-Anwendung. Ihre Dokumente werden ausschließlich auf Ihrem Gerät verarbeitet (siehe Abschnitt 2.6). Die nachfolgend beschriebenen Online-Dienste aktivieren und erneuern Berechtigungen für die kostenlose Evaluierung und für Pro. Sie erhalten keine Dokumente oder aus Dokumenten abgeleiteten Informationen.

2. Welche Daten wir erheben

Wenn Sie unseren Newsletter abonnieren, erheben wir Ihre E-Mail-Adresse und die gewählte Sprachfassung. Die Anmeldung erfolgt im Double-Opt-in-Verfahren. Nach Eingabe Ihrer Adresse erhalten Sie eine Bestätigungs-E-Mail. Hierfür wird die Adresse an unseren Versanddienstleister Resend übermittelt. Erst mit Klick auf den darin enthaltenen Bestätigungslink wird ein aktiver Kontakt im Newsletter-Verteiler angelegt. Ohne Bestätigung erhalten Sie keinen Newsletter.

Wir verwenden Ihre E-Mail-Adresse ausschließlich für den Versand des Newsletters: gelegentliche Produktneuigkeiten zu Stript und praktische Inhalte zu Datenschutz und KI-Nutzung (etwa monatlich). Unsere Newsletter-E-Mails enthalten keine Tracking-Pixel und keine personalisierten Tracking-Links. Wir messen nicht, wer eine E-Mail öffnet oder einen Link anklickt.

Sie können sich jederzeit über den Abmeldelink in jeder Newsletter-Ausgabe abmelden oder uns kontaktieren. Danach erhalten Sie keinen weiteren Newsletter. Resend hält die Adresse anschließend mit einem Abmeldestatus vor, damit der Widerruf zuverlässig beachtet und keine weitere Newsletter-Ausgabe versendet wird. Eine darüber hinausgehende Speicherung erfolgt nur, soweit sie zur Beachtung oder zum Nachweis des Widerrufs erforderlich ist.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

2.2 Kauf und Lizenzierung

Wenn Sie Stript Pro erwerben, fallen folgende Daten an:

E-Mail-Adresse (zur Zustellung des Lizenzschlüssels und der Kaufbestätigung)
Zahlungsdaten (z. B. Kreditkarte, PayPal)

Der Kaufvertrag kommt mit Lemon Squeezy als Merchant of Record (Verkäufer) zustande. Die gesamte Zahlungsabwicklung, Rechnungsstellung und Umsatzsteuer-Abführung erfolgt durch Lemon Squeezy. Wir selbst speichern keine Zahlungsdaten. Wir erhalten von Lemon Squeezy lediglich die zur Lizenzerstellung und -zustellung erforderlichen Bestelldaten (insbesondere Ihre E-Mail-Adresse). Lemon Squeezy verarbeitet Ihre Daten gemäß deren eigener Datenschutzerklärung als eigenständig Verantwortlicher für den Zahlungs- und Verkaufsvorgang.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / Lizenzierung).

Bestell- und Lizenzdaten, die bei uns anfallen, werden für die Dauer der Vertragsbeziehung sowie im Rahmen gesetzlicher Aufbewahrungspflichten gespeichert. Hierzu gehören die steuer- und handelsrechtlichen Aufbewahrungsfristen nach § 147 AO. Die Frist für Buchungsbelege wurde 2025 auf 8 Jahre verkürzt. Die kaufmännischen Belege (Rechnungen) zum Verkaufsvorgang werden von Lemon Squeezy als Merchant of Record geführt.

2.3 Server-Logdaten / Hosting

Diese Website wird über Cloudflare Pages bereitgestellt. Beim Zugriff verarbeitet Cloudflare als Hosting-/CDN-Anbieter automatisch technische Verbindungsdaten (u. a. IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, Browsertyp und Betriebssystem), um die Website auszuliefern, ihre Stabilität und Sicherheit zu gewährleisten. Die Funktion zur Newsletter-Anmeldung verwendet Ihre IP-Adresse zudem ausschließlich vorübergehend zur Begrenzung von Mehrfach-/Spam-Anfragen (Rate-Limiting) und speichert sie nicht. Für Speicherfristen der Hosting-Logs gilt die Datenschutzerklärung von Cloudflare.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technisch sicheren Bereitstellung der Website).

2.4 Webanalyse

Wir nutzen Cloudflare Web Analytics, um die Nutzung unserer Website zu verstehen. Cloudflare Web Analytics erfasst aggregierte, nicht zur Identifizierung geeignete Daten (aufgerufene Seiten, Referrer, aus der IP abgeleitetes Land ohne Speicherung, Geräte-, Browser- und Betriebssystemtyp). Cloudflare Web Analytics verwendet keine Cookies, speichert oder liest keine Informationen auf Ihrem Endgerät und trackt keine einzelnen Besucher. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung zur Verbesserung unseres Angebots).

2.5 Cookies und Endgeräte-Speicherung

Diese Website verwendet keine Cookies und speichert oder liest keine Informationen auf Ihrem Endgerät. Es kommen weder Tracking-, Analyse- noch Marketing-Cookies zum Einsatz. Eine Einwilligung nach § 25 TDDDG ist daher nicht erforderlich. Die verwendeten Schriftarten werden lokal ausgeliefert (selbst-gehostet). Es findet keine Einbindung von Google Fonts oder vergleichbaren Drittanbieter-CDNs mit Datenübertragung statt.

2.6 Desktop-Anwendung (local-first)

Die Stript Desktop-Anwendung verarbeitet alle Dokumente ausschließlich lokal auf Ihrem Rechner. Es werden keine Dokumentinhalte, Dateinamen, Pfade, Dokumentkennungen, Quell-Commitments, Zuordnungen, Erkennungsergebnisse, Entitätsinformationen oder Exportaktivitäten an uns oder Dritte übermittelt. Optionale Absturzberichte sind standardmäßig deaktiviert und werden ausschließlich mit Ihrer ausdrücklichen Einwilligung übermittelt. Die Desktop-Anwendung stellt folgende Netzwerkverbindungen her:

Bei der Ersteinrichtung lädt die Anwendung einmalig die KI-Modelle herunter. Die Modelle werden von unserem Distributions-Host downloads.stript.io abgerufen, der über Cloudflare R2 bereitgestellt wird. Dabei sieht Cloudflare wie bei jedem Web-Abruf Ihre IP-Adresse. Es werden keine Dokumentdaten übermittelt.
Zur Aktivierung der kostenlosen Evaluierung für eine bestätigte E-Mail-Identität auf einem aktiven Gerät geben Sie eine E-Mail-Adresse ein und akzeptieren die anwendbaren AGB oder Terms sowie diese Datenschutzerklärung. Die Adresse wird durch Entfernen führender und nachfolgender Leerzeichen und Umwandlung in Kleinbuchstaben normalisiert. Sie wird vorübergehend verwendet, um über Resend einen Verifizierungslink zu versenden. Stript speichert die Adresse nicht im Klartext in der Evaluierungsdatenbank. Stattdessen speichern wir einen mit einem geheimen Schlüssel gebildeten kryptografischen Hash der normalisierten Adresse, eine zufällige Evaluierungskennung, die akzeptierten Versionen der Rechtsdokumente, Sprache und Annahmezeitpunkt, Fingerabdrücke des aktiven Geräteschlüssels und Zählerschlüssels, das Schutzniveau des Gerätes, die Grant-Epoche, Grant-Zeitpunkte und signierte Sicherheitszeitpunkte.
Nach der Aktivierung synchronisiert die Anwendung ausschließlich die aggregierte Zahl der verwendeten Evaluierungsdokumente von null bis fünf, die Zahl ausstehender Reservierungen, die Zählersequenz, einen datensparsamen signierten Prüfwert, die Grant-Epoche, die Gerätesignatur, Sicherheitszeitpunkte sowie App- und Protokollversionen. Es werden keine einzelnen Verarbeitungsvorgänge übermittelt. Diese Synchronisierung erfolgt normalerweise beim Start, wenn der vorherige Versuch mehr als 24 Stunden zurückliegt. Eine erfolgreiche Synchronisierung erneuert den Evaluierungs-Grant für bis zu 30 Tage. Es erfolgt keine Online-Anfrage für jedes Dokument. Ist seit mehr als 30 Tagen keine erfolgreiche Synchronisierung erfolgt, wird nur der Start eines weiteren neuen Evaluierungsdokuments pausiert, bis der Grant erneuert wurde. Bestehende Dokumente, Beispieldokumente, Wiederherstellung, Anonymisierung und Exporte bleiben verfügbar.
Gerätewechsel, Wiederherstellung und Löschung der Evaluierung verwenden denselben Evaluierungsdienst. Bei einem normalen Wechsel wird der aggregierte Zähler synchronisiert, bevor das aktive Gerät ersetzt wird. Bei der Wiederherstellung nach Verlust oder Löschung eines Geräts werden unsichere Restdokumente nicht automatisch wiederhergestellt. Nach einer verifizierten Löschung wird nur ein Missbrauchsschutz-Sperrvermerk wie nachfolgend beschrieben gespeichert.
Die Aktivierung, Prüfung und Deaktivierung einer Pro-Lizenz erfolgt über die Lizenz-API von Lemon Squeezy. Bei der Aktivierung werden der Lizenzschlüssel und eine allgemeine Gerätebezeichnung, z. B. „Stript (macOS)”, übermittelt. Bei der Prüfung und Deaktivierung werden der Lizenzschlüssel und die von Lemon Squeezy für diese Aktivierung vergebene Instanzkennung übermittelt. Eine aktive Lizenz wird beim Start der Anwendung geprüft. Dabei werden niemals der Rechnername oder Dokumentdaten übermittelt.
Bei Bedarf erneuert die Anwendung die getrennte signierte Pro-Berechtigung. Hierfür sendet sie den Lizenzschlüssel, die Instanzkennung und den Fingerabdruck des nativen Geräteschlüssels an eine von uns betriebene Funktion auf stript.io, die über Cloudflare bereitgestellt wird. Die Funktion lässt die Lizenz durch Lemon Squeezy prüfen und gibt ein an das Gerät gebundenes signiertes Bestätigungs-Token an die Anwendung zurück. Lizenzschlüssel und Instanzkennung werden von dieser Funktion nicht gespeichert und nicht protokolliert. Die Anwendung versucht, das Token zu erneuern, wenn es fehlt oder älter als drei Tage ist. Für die fortgesetzte unbegrenzte Verarbeitung neuer Dokumente muss die Pro-Lizenz mindestens einmal innerhalb jedes Zeitraums von 30 Tagen erfolgreich online überprüft werden. Ist diese Prüfung seit mehr als 30 Tagen nicht gelungen, pausiert die unbegrenzte Verarbeitung neuer Dokumente bis zur erfolgreichen Prüfung. Bestehende Pro-Dokumente und deren Arbeitsabläufe bleiben verfügbar. Restliche Dokumente der kostenlosen Evaluierung bleiben unberührt. Evaluierungsprüfung und Pro-Prüfung sind getrennt und erneuern einander nicht.
Beim Start prüft die Anwendung, ob eine neuere Version verfügbar ist. Dabei wird eine kleine statische Versionsdatei von stript.io und/oder downloads.stript.io abgerufen. Diese gewöhnliche Web-Anfrage enthält keine personenbezogenen Daten über das technisch Erforderliche hinaus, etwa die durch unseren Hosting-Anbieter verarbeitete IP-Adresse.
Ein Update wird nur auf Ihre Veranlassung heruntergeladen. Wählen Sie die Installation einer neueren Version aus, lädt die Anwendung das Update-Paket von downloads.stript.io herunter und prüft vor der Installation dessen kryptografische Signatur. Wie die Update-Prüfung überträgt dieser Vorgang keine personenbezogenen Daten über das hinaus, was jede Web-Anfrage zwangsläufig enthält. Ohne Ihre Aktion wird kein Update heruntergeladen oder installiert.
Optionale Absturzberichte werden nur mit Ihrer ausdrücklichen Einwilligung übermittelt und sind standardmäßig deaktiviert. Aktivieren Sie die Funktion in den Einstellungen, übermittelt die Anwendung beim Auftreten eines technischen Fehlers einen Absturzbericht an unsere eigene Infrastruktur (Cloudflare, Abschnitt 4.2). Ein Bericht enthält ausschließlich die App-Version, das Betriebssystem und die Prozessorarchitektur sowie eine bereinigte technische Fehlerbeschreibung. Diese umfasst den Fehlertyp und die Programmstellen. Benutzerpfade, Dateinamen und ähnliche Angaben werden vor der Übermittlung auf Ihrem Gerät entfernt. Absturzberichte enthalten keine Dokumentinhalte, keine Erkennungsergebnisse und keine Nutzer- oder Gerätekennung. Wir speichern bei der Entgegennahme keine IP-Adresse. Da Berichte keine Kennungen enthalten, können wir nicht feststellen, von wem ein Bericht stammt. Wie bei jeder Web-Anfrage sieht der Hosting-Anbieter bei der Übertragung Ihre IP-Adresse. Die Berichte werden nach spätestens 90 Tagen gelöscht und ausschließlich zur Fehlerdiagnose und -behebung verwendet. Die Funktion kann jederzeit wieder deaktiviert werden. Dabei werden auf Ihrem Gerät zwischengespeicherte Berichte gelöscht. Die Anwendung zeigt Ihnen vorab ein Beispiel des exakten Berichtsinhalts.

Unvollständige Evaluierungsanfragen werden innerhalb von 24 Stunden gelöscht. Aktive Evaluierungsdatensätze werden gespeichert, solange die Evaluierung aktiv bleibt. Datensätze über Gerätewechsel, Wiederherstellung und Sicherheitsprüfungen werden 24 Monate gespeichert. Nach verifizierter Löschung speichern wir für 36 Monate nur einen schlüsselbasierten Sperrvermerk zur Verhinderung einer erneuten Evaluierungsaktivierung mit derselben Identität. Der Sperrvermerk enthält keine E-Mail-Adresse im Klartext. Anonyme aggregierte Betriebsstatistiken dürfen ohne individuelle Kennungen gespeichert bleiben. Stript speichert IP-Adressen auf Anwendungsebene nicht im Klartext. Zur Begrenzung missbräuchlicher Verifizierungsanfragen speichert der Evaluierungsdienst für höchstens eine Stunde einen schlüsselbasierten kryptografischen Hash, der aus der IP-Adresse abgeleitet wird. Cloudflare verarbeitet IP-Adressen zusätzlich bei der Bereitstellung und Absicherung des Dienstes einschließlich der Anfragenbegrenzung.

3. Rechtsgrundlagen

Newsletter: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung, Double-Opt-in). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die begrenzte Vorhaltung des Abmeldestatus beruht auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, den Widerruf zuverlässig zu beachten und weitere Newsletter-Zusendungen zu verhindern.
Absturzberichte (optional): Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie die Funktion in den Einstellungen deaktivieren. Noch nicht übermittelte Berichte werden dabei auf Ihrem Gerät gelöscht.
Kauf/Lizenzierung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Aktivierung, Grant-Erneuerung, Gerätewechsel, Wiederherstellung und Löschung der kostenlosen Evaluierung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die zum Schutz der Begrenzung auf fünf Dokumente vor Betrug und Manipulation erforderliche Verarbeitung beruht ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im Schutz des Evaluierungsmodells und der Sicherheit des Dienstes bei möglichst geringer Verarbeitung identifizierender Informationen.
Prüfung der Pro-Berechtigung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Die Gerätebindung und Sicherheitsprüfungen beruhen ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht darin, unberechtigte Lizenznutzung zu verhindern und den Lizenzdienst zu schützen.
Server-Logdaten / Hosting: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Bereitstellung und Sicherheit).
Webanalyse: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Analyse der Websitenutzung).

4. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO bestehen.

4.1 Resend (USA)

Für den Versand von Newsletter-Nachrichten und Verifizierungslinks zur kostenlosen Evaluierung nutzen wir Resend (Plus Five Five, Inc., USA). Bei der Evaluierungsaktivierung erhält Resend die E-Mail-Adresse, den Verifizierungslink, die Sprache und die für den Versand erforderlichen technischen Zustelldaten. Diese Evaluierungs-E-Mail meldet Sie nicht zum Newsletter an. Resend verarbeitet die Daten in unserem Auftrag. Zur Datenübermittlung in die USA siehe Abschnitt 5.

Weitere Informationen: resend.com/legal/privacy-policy

4.2 Cloudflare, Inc. (USA)

Diese Website wird über Cloudflare Pages gehostet. Zudem nutzen wir Cloudflare Web Analytics, Cloudflare R2 für Software-Downloads und Updates sowie Cloudflare Workers mit einem SQLite-basierten Durable Object in einer EU-Jurisdiktion für den Evaluierungsdienst unter api.stript.io. Wenn Sie optionale Absturzberichte aktivieren, nimmt Cloudflare diese ebenfalls entgegen und speichert sie. Cloudflare verarbeitet technische Zugriffsdaten und die in Abschnitt 2.6 beschriebenen Evaluierungsdaten in unserem Auftrag. Zur Datenübermittlung in die USA siehe Abschnitt 5.

Weitere Informationen: cloudflare.com/privacypolicy

4.3 Lemon Squeezy (USA)

Für Zahlungsabwicklung und Lizenzverwaltung nutzen wir Lemon Squeezy als Merchant of Record. Anbieter ist Sold through Link, LLC (vormals Lemon Squeezy LLC), 222 South Main Street, Suite 500, Salt Lake City, Utah 84101, USA. Lemon Squeezy verarbeitet Kaufdaten (E-Mail, Zahlungsinformationen). Für den Verkaufs- und Zahlungsvorgang handelt Lemon Squeezy als eigenständig Verantwortlicher. Soweit Lemon Squeezy darüber hinaus Daten in unserem Auftrag verarbeitet (Lizenzverwaltung), erfolgt dies auf Grundlage des Auftragsverarbeitungsvertrags von Lemon Squeezy (lemonsqueezy.com/dpa). Zur Datenübermittlung in die USA siehe Abschnitt 5.

Weitere Informationen: lemonsqueezy.com/privacy

5. Datenübermittlung in Drittländer (USA)

Die in Abschnitt 4 genannten Anbieter sind in den USA ansässig. Dabei kann es zu einer Übermittlung personenbezogener Daten in die USA kommen. Soweit ein Anbieter unter dem EU-US Data Privacy Framework (DPF) zertifiziert ist, erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission vom 10. Juli 2023 (Art. 45 DSGVO). Ergänzend bzw. für den Fall, dass eine Zertifizierung nicht (mehr) besteht, stützen wir die Übermittlung auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Cloudflare (Cloudflare, Inc.): unter dem EU-US DPF zertifiziert. Zusätzlich sind Standardvertragsklauseln verfügbar.
Resend (Plus Five Five, Inc.): unter dem EU-US DPF zertifiziert. Zusätzlich sind Standardvertragsklauseln verfügbar.
Lemon Squeezy (Sold through Link, LLC): nicht unter dem EU-US DPF zertifiziert. Die Übermittlung erfolgt auf Grundlage der EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Siehe hierzu den Auftragsverarbeitungsvertrag von Lemon Squeezy.

6. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte:

Auskunftsrecht (Art. 15 DSGVO)
Berichtigungsrecht (Art. 16 DSGVO)
Löschungsrecht (Art. 17 DSGVO)
Einschränkungsrecht (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruchsrecht (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO
Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an: [email protected]

7. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland

Website: lda.bayern.de

8. Keine automatisierte Entscheidungsfindung

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Die KI-gestützte PII-Erkennung in der Desktop-Anwendung läuft lokal auf Ihrem Gerät und dient Ihnen als Werkzeug. Sie trifft keine rechtlich erheblichen Entscheidungen über Sie.

9. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie stets den aktuellen rechtlichen Anforderungen anzupassen oder um Änderungen unserer Leistungen umzusetzen.

Stand: 15.07.2026