Thetawave AI Datenschutzerklärung

Letzte Aktualisierung: 9. Mai 2026

Diese Datenschutzerklärung erläutert, wie Thetawave AI, Inc., eine Gesellschaft nach dem Recht von Delaware ("Thetawave", "wir", "uns" oder "unser"), Informationen erhebt, verwendet, offenlegt und schützt, wenn Sie unsere Website (https://thetawave.ai), unsere mobilen Anwendungen und damit verbundene Dienste (die "Dienste") nutzen.

Mit der Nutzung der Dienste erklären Sie sich mit den in dieser Erklärung beschriebenen Praktiken einverstanden. Wenn Sie nicht einverstanden sind, nutzen Sie die Dienste bitte nicht. Diese Erklärung ist Bestandteil unserer Nutzungsbedingungen.

Wichtige Hinweise

Wir trainieren keine KI-Modelle mit Ihren Nutzerinhalten. Die Notizen, Dokumente, Audiodateien, Bilder und sonstigen Materialien, die Sie hochladen, werden nicht zum Training der Modelle von Thetawave verwendet, und wir verpflichten unsere externen KI- und Transkriptionsanbieter vertraglich, ihre Modelle ebenfalls nicht mit Ihren Eingaben zu trainieren. Siehe Abschnitt 5.

Wir blenden in den Diensten keine Werbung Dritter ein, und wir "verkaufen" Ihre personenbezogenen Daten nicht gegen Entgelt im Sinne der Definition dieses Begriffs nach dem California Consumer Privacy Act.

Globale Nutzer. Die Dienste werden von den Vereinigten Staaten aus betrieben. Wir halten die anwendbaren Datenschutzgesetze in der EU/UK/Schweiz (GDPR/DSGVO), Japan (APPI), Südkorea (PIPA), Hongkong (PDPO), Taiwan (PDPA), Kanada (PIPEDA) und den USA (CCPA/CPRA und einzelstaatliche Gesetze) ein. Regionspezifische Rechte finden Sie in den Abschnitten 7 und 12.

Inhaltsverzeichnis

Welche Informationen wir erheben
Wie wir Informationen verwenden
Rechtsgrundlagen für die Verarbeitung (EWR / UK / Schweiz)
Wie wir Informationen weitergeben
KI-Verarbeitung von Nutzerinhalten
Cookies, Tracking-Technologien und Push-Benachrichtigungen
Internationale Datenübermittlungen
Datenspeicherung
Datensicherheit
Datenschutz von Kindern
Ihre Datenschutzrechte – Globaler Überblick
Regionspezifische Rechte und Hinweise
- 12.1 Europäischer Wirtschaftsraum, UK und Schweiz (GDPR/DSGVO)
- 12.2 Kalifornien (CCPA/CPRA)
- 12.3 Andere US-Bundesstaaten
- 12.4 Japan (APPI)
- 12.5 Südkorea (PIPA)
- 12.6 Hongkong (PDPO)
- 12.7 Taiwan (Personal Data Protection Act)
- 12.8 Kanada (PIPEDA)
- 12.9 Andere Rechtsordnungen
Wie Sie Ihre Rechte ausüben können
Do-Not-Track-Signale
Datenschutzhinweise für mobile Apps (App Store / Google Play)
Links und Dienste Dritter
Änderungen dieser Erklärung
Kontakt

1. Welche Informationen wir erheben

Wir erheben drei Kategorien von Informationen:

1.1 Von Ihnen bereitgestellte Informationen

Kontoinformationen: Name, E-Mail-Adresse, Passwort (in gehashter Form gespeichert), Profileinstellungen sowie – sofern Sie sich über einen externen Identitätsanbieter (z. B. Google, Apple) anmelden – die grundlegenden Profildaten, die dieser Anbieter mit uns teilt.
Abonnement- und Zahlungsinformationen: Bei Web-Käufen werden die Abrechnungsdaten von Stripe verarbeitet (wir erhalten Transaktionsbestätigungen und die letzten vier Stellen Ihrer Karte; vollständige Kartennummern speichern wir nicht); bei mobilen In-App-Käufen erhalten wir Transaktionsbestätigungen von Apple oder Google.
Kommunikation: Nachrichten, die Sie an den Support senden (per E-Mail), Feedback und Antworten auf Umfragen.
Nutzerinhalte: Notizen, Dokumente, Audioaufnahmen, Bilder, Videos und sonstige Materialien, die Sie über die Dienste hochladen, erstellen oder generieren. Ihre Nutzerinhalte können als "sensibel" gelten (z. B. akademische Schülerunterlagen, Sprachaufnahmen) und werden entsprechend behandelt – siehe Abschnitte 5 und 12.

Personenbezogene Daten Dritter innerhalb von Nutzerinhalten. Sofern Ihre Nutzerinhalte personenbezogene Daten Dritter enthalten (z. B. den Namen einer Kommilitonin in Ihren Notizen oder die Stimme einer Professorin in einer Vorlesungsaufnahme), handeln Sie als Verantwortlicher für diese Daten und sichern zu, dass Sie über alle erforderlichen Einwilligungen oder eine sonstige Rechtsgrundlage verfügen, um diese Daten an uns weiterzugeben. Wir verarbeiten solche Daten Dritter ausschließlich in Ihrem Auftrag, um Ihnen die Dienste zur Verfügung zu stellen, in Übereinstimmung mit dieser Erklärung sowie mit den Abschnitten 6.4 und 9 unserer Nutzungsbedingungen.

1.2 Automatisch erhobene Informationen

Wenn Sie die Dienste nutzen, erheben wir und unsere Analyseanbieter automatisch:

Geräte- und technische Daten: IP-Adresse, Browsertyp und -version, Betriebssystem, Gerätekennungen (einschließlich mobiler Werbe-IDs, sofern nicht auf Betriebssystemebene deaktiviert), Bildschirmgröße, Sprache, Zeitzone.
Nutzungsdaten: besuchte Seiten, genutzte Funktionen, Klicks, Verweildauer, Verweis-URLs, Suchanfragen innerhalb der Dienste sowie ein ungefährer Standort, der aus der IP-Adresse abgeleitet wird.
Diagnosedaten: Absturzberichte, Fehlerprotokolle, Leistungskennzahlen.

1.3 Informationen von Dritten

Identitätsanbieter: Wenn Sie Google Sign-In, Apple Sign-In oder Ähnliches verwenden, erhalten wir die grundlegenden Profilinformationen, deren Übermittlung Sie autorisieren.
Zahlungsdienstleister: Stripe, Apple und Google können uns Transaktionsdaten übermitteln, soweit dies zur Abwicklung von Käufen erforderlich ist.
Dienstleister: Unsere Tools für Analyse, Fehlerverfolgung und Kundensupport teilen aggregierte und ereignisbezogene Daten darüber, wie Sie die Dienste nutzen (siehe Abschnitt 4).

Wir kaufen keine personenbezogenen Daten von Datenhändlern und erhalten keine personenbezogenen Daten von Werbenetzwerken.

2. Wie wir Informationen verwenden

Wir verwenden die oben beschriebenen Informationen, um:

die Dienste bereitzustellen, zu betreiben, zu warten und abzusichern, einschließlich der Authentifizierung Ihres Kontos, der Synchronisierung Ihrer Inhalte über mehrere Geräte hinweg und der Abwicklung Ihrer Transaktionen;
KI-Ausgaben als Antwort auf Ihre Eingaben zu generieren (siehe Abschnitt 5);
mit Ihnen über Ihr Konto, Transaktionen, wichtige Änderungen der Richtlinien sowie (mit Ihrer Einwilligung oder soweit gesetzlich zulässig) über Produktneuigkeiten zu kommunizieren;
Kundensupport zu leisten und auf Ihre Anfragen zu antworten;
Betrug, Missbrauch, Sicherheitsvorfälle und Verstöße gegen unsere Bedingungen zu erkennen, zu untersuchen und zu verhindern;
die Dienste zu analysieren und zu verbessern, einschließlich aggregierter Nutzungsanalyse;
gesetzliche Pflichten zu erfüllen und unsere Bedingungen durchzusetzen;
mit Ihrer Einwilligung für jeden weiteren Zweck, der Ihnen zum Zeitpunkt der Erhebung mitgeteilt wird.

Wir verwenden Ihre Informationen nicht für eine automatisierte Entscheidungsfindung, die Ihnen gegenüber rechtliche oder ähnlich erhebliche Wirkung entfaltet, ohne dass eine menschliche Überprüfung erfolgt.

Marketingkommunikation und Widerspruchsrecht. Soweit wir Marketing- oder Werbemitteilungen versenden (mit Ihrer Einwilligung oder sofern gesetzlich zulässig), können Sie sich jederzeit abmelden, indem Sie:

den Link "Abmelden" in einer Marketing-E-Mail anklicken;
die Benachrichtigungseinstellungen in Ihren Kontoeinstellungen anpassen; oder
eine E-Mail an contact@thetawave.ai senden.

Bei transaktionsbezogenen und kontobezogenen Mitteilungen (z. B. Sicherheitswarnungen, Abrechnungshinweise zum Abonnement, wichtige Richtlinienänderungen) ist eine Abmeldung während der Kontoaktivität nicht möglich, da diese Mitteilungen für die Erbringung der Dienste und zur Erfüllung unserer gesetzlichen Pflichten erforderlich sind.

3. Rechtsgrundlagen für die Verarbeitung (EWR, UK, Schweiz)

Wenn Sie sich im Europäischen Wirtschaftsraum, im Vereinigten Königreich oder in der Schweiz befinden, verarbeiten wir Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

Zweck	Rechtsgrundlage
Bereitstellung der Dienste an Sie, einschließlich KI-Inferenz auf Ihren Eingaben	Erfüllung eines Vertrags (Art. 6(1)(b) GDPR)
Zahlungsabwicklung und Betrugsprävention	Erfüllung eines Vertrags; rechtliche Verpflichtung; berechtigte Interessen
Sicherheit der Dienste und Missbrauchsprävention	Berechtigte Interessen am Schutz der Nutzer und der Dienste
Produktanalyse und -verbesserung	Berechtigte Interessen; Einwilligung für nicht erforderliche Cookies
Marketingkommunikation	Einwilligung (jederzeit widerrufbar)
Erfüllung rechtlicher Anforderungen	Rechtliche Verpflichtung
Verarbeitung "besonderer Kategorien" personenbezogener Daten innerhalb von Nutzerinhalten (sofern vorhanden)	Ihre ausdrückliche Einwilligung (Art. 9(2)(a))

Sie haben das Recht, einer auf berechtigtes Interesse gestützten Verarbeitung zu widersprechen – siehe Abschnitt 12.1.

4. Wie wir Informationen weitergeben

Wir geben Ihre Informationen ausschließlich an die folgenden Kategorien von Empfängern weiter, die alle vertraglichen Vertraulichkeits- und Datenschutzpflichten unterliegen.

4.1 Dienstleister (Unterauftragsverarbeiter)

Wir setzen externe Dienstleister ein, um die Dienste in unserem Auftrag zu betreiben. Sie dürfen Ihre Informationen nur zur Erbringung ihrer Dienstleistungen für uns verwenden und müssen angemessenen Vertraulichkeits- und Sicherheitspflichten nachkommen. Die folgenden Kategorien spiegeln unseren aktuellen Stack an Unterauftragsverarbeitern wider; diese Liste kann sich mit einem Wechsel der Anbieter weiterentwickeln.

Kategorie	Zweck	Aktueller Hauptanbieter
Cloud-Hosting & Datenbank	Betrieb unseres Backends und Speicherung von Kontodaten und Nutzerinhalten	Supabase (PostgreSQL, Auth, Storage); Cloud-Infrastrukturanbieter
KI-Inferenz (LLM)	Generierung von KI-Ausgaben (Notizen, Zusammenfassungen, Karteikarten, Quizze, Lern-Chats) aus Ihren Eingaben	OpenAI, Anthropic, Google (siehe Abschnitt 5)
Audio-Transkription	Umwandlung von Audio-Nutzerinhalten (z. B. Vorlesungsaufnahmen) in Text zur weiteren KI-Verarbeitung	Soniox, Inc., Deepgram, Inc.
Web-Zahlungsabwicklung	Abwicklung von Abonnements, die über die Website abgeschlossen werden	Stripe, Inc. (https://stripe.com/privacy)
Mobile In-App-Käufe & Abonnementverwaltung	Abwicklung und Abgleich von Käufen über App Store / Google Play	Apple Inc., Google LLC, RevenueCat, Inc.
Produktanalyse	Verständnis der Nutzung der Dienste	Mixpanel, Inc.
Fehlerverfolgung & Diagnose	Erkennen und Beheben von Problemen	Sentry (Functional Software, Inc.)
Kundensupport	Beantwortung von E-Mail-Anfragen	E-Mail-Infrastruktur (derzeit kein externes Ticket-Tool)

Benachrichtigung über Änderungen bei Unterauftragsverarbeitern. Wenn wir einen wesentlichen Unterauftragsverarbeiter hinzufügen oder ersetzen, aktualisieren wir diese Erklärung mindestens 14 Tage vor Inkrafttreten der Änderung. Nutzer mit einem aktiven kostenpflichtigen Abonnement informieren wir zusätzlich per E-Mail oder In-App-Nachricht. Sollten Sie einen neuen Unterauftragsverarbeiter ablehnen, können Sie Ihr Konto vor Inkrafttreten der Änderung kündigen und – soweit nach geltendem Recht erforderlich – eine anteilige Erstattung verlangen.

4.2 Sonstige Offenlegungen

Rechtskonformität und Sicherheit. Wir können Informationen offenlegen, wenn wir nach Treu und Glauben davon ausgehen, dass die Offenlegung erforderlich ist, um (a) geltendem Recht, gerichtlichen Verfahren oder behördlichen Anordnungen nachzukommen; (b) unsere Bedingungen durchzusetzen; (c) die Rechte, die Sicherheit oder das Eigentum von Thetawave, unseren Nutzern oder der Allgemeinheit zu schützen; oder (d) Betrug, Sicherheits- oder technische Probleme zu erkennen, zu verhindern oder zu beheben.
Unternehmensübergänge. Im Falle einer Fusion, Übernahme, Finanzierung, Restrukturierung oder eines Verkaufs von Vermögenswerten von Thetawave können Ihre Informationen im Rahmen einer solchen Transaktion übertragen werden. Wir werden Sie (z. B. per E-Mail und/oder durch einen deutlich sichtbaren Hinweis in den Diensten) über jede Änderung der Inhaberschaft oder der Verwendung Ihrer personenbezogenen Daten informieren.
Mit Ihrer Einwilligung. Wir können Informationen an andere Parteien weitergeben, wenn Sie uns dazu anweisen.

4.3 Was wir NICHT tun

Wir verkaufen Ihre personenbezogenen Daten nicht gegen Entgelt.
Wir geben Ihre personenbezogenen Daten nicht an Dritte für kontextübergreifende verhaltensbasierte Werbung weiter (wir betreiben keine solche).
Wir gestatten unseren KI- und Transkriptionsanbietern nicht, mit Ihren Nutzerinhalten zu trainieren (Abschnitt 5).

CCPA "sale" / "sharing" – vorsorglicher Hinweis. Der kalifornische CCPA definiert die Begriffe "sale" und "sharing" weit. Soweit eine Offenlegung gegenüber unseren Analyse-, KI-, Transkriptions- oder Fehlerverfolgungs-Unterauftragsverarbeitern als "sale" oder "sharing" im Sinne von CCPA/CPRA ausgelegt werden könnte, behandeln wir solche Aktivitäten als mit Opt-out-Möglichkeit versehen und respektieren Opt-out-Signale (einschließlich des Global Privacy Control / GPC), soweit dies technisch möglich ist. Weitere kalifornische Rechte finden Sie in Abschnitt 12.2.

5. KI-Verarbeitung von Nutzerinhalten

Dieser Abschnitt erläutert, wie Ihre Eingaben und Nutzerinhalte mit KI-Modellen interagieren. Dies ist zentral für die Funktionsweise der Dienste – bitte lesen Sie ihn aufmerksam.

5.1 Wie KI-Inferenz und Transkription funktionieren

Wenn Sie eine KI-Funktion verwenden (z. B. zum Erstellen von Notizen, Zusammenfassen einer PDF-Datei oder Erzeugen von Karteikarten), wird Ihre Eingabe – die Ihre Nutzerinhalte oder Auszüge daraus enthalten kann – zur Generierung der Antwort an einen unserer externen KI-Anbieter (derzeit OpenAI, Anthropic und Google) übermittelt. Wenn Sie Audiodateien hochladen (z. B. eine Vorlesungsaufnahme), werden diese zunächst an einen unserer Transkriptionsanbieter (Soniox, Deepgram) übermittelt, um in Text umgewandelt zu werden, der anschließend wie oben beschrieben von einem KI-Anbieter verarbeitet wird.

Die Antwort wird Ihnen zurückgegeben und in Ihrem Thetawave-Konto in Verbindung mit Ihren Nutzerinhalten gespeichert. KI-Anbieter und Transkriptionsanbieter können Eingaben und Ausgaben während der Verarbeitung kurzzeitig vorhalten, wie in Abschnitt 5.3 beschrieben; der dauerhafte Datensatz Ihrer Nutzerinhalte und KI-generierten Ausgaben befindet sich jedoch in Ihrem Thetawave-Konto und nicht bei den Anbietern.

5.2 Kein Training mit Ihren Inhalten

Thetawave trainiert keine KI- oder Machine-Learning-Modelle mit Ihren Nutzerinhalten. Wir stützen uns auf vertragliche Zusagen unserer KI- und Transkriptionsanbieter, die ein Verbot des Trainings sowie eine begrenzte Speicherung beinhalten. Im Einzelnen:

OpenAI: Wir verwenden die OpenAI-API. Gemäß der API-Datenrichtlinie von OpenAI verwendet OpenAI weder API-Eingaben noch -Ausgaben zum Training seiner Modelle.
Anthropic: Wir verwenden die Anthropic-API. Nach den kommerziellen Bedingungen von Anthropic trainiert Anthropic seine Modelle nicht mit über die API übermittelten Eingaben oder Ausgaben.
Google: Wir verwenden die Google AI / Gemini API zu Bedingungen, die es Google nicht gestatten, seine Modelle mit unseren über die kostenpflichtige API übermittelten Inhalten zu trainieren.
Soniox: Wir verwenden die kommerzielle API von Soniox zu Bedingungen, die es Soniox nicht gestatten, seine Modelle mit den von uns übermittelten Audioinhalten zu trainieren.
Deepgram: Wir verwenden die kommerzielle API von Deepgram zu Bedingungen, die es Deepgram nicht gestatten, seine Modelle mit den von uns übermittelten Audioinhalten zu trainieren.

Sollten wir die KI- oder Transkriptionsanbieter wechseln oder sich die für diese Anbieter geltenden Bedingungen wesentlich ändern, werden wir diese Erklärung aktualisieren. Sie sollten den Diensten keine Informationen anvertrauen, die Sie nicht zur Verarbeitung an einen dieser Anbieter übermittelt sehen möchten.

5.3 Keine dauerhafte Speicherung bei KI- / Transkriptionsanbietern (über die anbieterseitig festgelegten Grenzen hinaus)

KI- und Transkriptionsanbieter können Eingaben und Ausgaben zu Sicherheits-, Missbrauchskontroll- und betrieblichen Zwecken kurzzeitig in Übereinstimmung mit ihren eigenen Datenschutzhinweisen speichern. Wir nutzen Enterprise- bzw. API-Tarife, die eine solche Speicherung dort minimieren, wo dies möglich ist (z. B. Modi mit Null-Datenspeicherung oder kurzer Speicherdauer).

5.4 Aggregierte und de-identifizierte Daten

Wir können de-identifizierte oder aggregierte Daten (die nicht in zumutbarer Weise wieder mit Ihnen in Verbindung gebracht werden können) für Produktanalyse, Sicherheit und Verbesserung der Dienste verwenden. Wir setzen branchenübliche De-Identifizierungstechniken ein (z. B. Entfernung direkter Identifikatoren, Aggregation und sonstige technische Maßnahmen, die sicherstellen sollen, dass die Informationen nicht in zumutbarer Weise einer Person zugeordnet werden können), und wir untersagen jeder Partei, die de-identifizierte Daten von uns erhält, vertraglich jeden Versuch einer Re-Identifikation.

6. Cookies, Tracking-Technologien und Push-Benachrichtigungen

6.1 Cookies und ähnliche Technologien

Wir und unsere Dienstleister verwenden Cookies, Pixel, lokalen Speicher, Software Development Kits (SDKs) und ähnliche Technologien zum Betrieb der Dienste. Wir verwenden Cookies nicht für seitenübergreifende verhaltensbasierte Werbung. Soweit gesetzlich erforderlich (einschließlich im EWR, im UK, in der Schweiz, in Japan und in Korea für nicht erforderliche Cookies), holen wir Ihre Einwilligung über ein Cookie-Banner ein, bevor wir nicht erforderliche Cookies setzen. Sie können Ihre Cookie-Einstellungen über das Cookie-Banner oder Ihre Browsereinstellungen verwalten.

Die wichtigsten Cookies und ähnlichen Technologien, die wir einsetzen, sind:

Name / Muster	Art	Zweck	Anbieter	Ungefähre Speicherdauer
`sb-*` (Auth-Token)	Unbedingt erforderlich	Authentifizierung Ihrer Sitzung und Aufrechterhaltung der Anmeldung	Supabase	Sitzung / bis zu 1 Jahr
CSRF- / Anti-Forgery-Token	Unbedingt erforderlich	Verhinderung von Cross-Site Request Forgery	Thetawave	Sitzung
`cookie_consent`	Unbedingt erforderlich	Speichert Ihre Auswahl im Cookie-Banner	Thetawave	1 Jahr
`theme`, `locale`	Funktional	Speichert Ihre UI-Einstellungen (z. B. Dark Mode, Sprache)	Thetawave	1 Jahr
`mp_*`	Analyse (Opt-in, sofern erforderlich)	Produktanalyse – Messung der Funktionsnutzung und Verbesserung der Dienste	Mixpanel	Bis zu 1 Jahr
Sentry-Sitzungs-Tags	Unbedingt erforderlich	Verknüpfung von Fehlerberichten mit Sitzungen zur Fehlersuche	Sentry	Bis zu 30 Tage

Wenn wir wesentliche Cookie-Kategorien hinzufügen oder ändern, aktualisieren wir diese Tabelle.

6.2 Push-Benachrichtigungen

Wenn Sie Push-Benachrichtigungen über unsere mobilen Apps aktivieren, erheben und verwenden wir einen gerätespezifischen Push-Token (bereitgestellt von Apple Push Notification service ("APNs") für iOS oder Firebase Cloud Messaging ("FCM") für Android) ausschließlich zur Zustellung von:

dienstbezogenen Benachrichtigungen (z. B. Transkription abgeschlossen, von Ihnen gesetzte Lernerinnerung);
kontobezogenen Benachrichtigungen (z. B. Sicherheitswarnungen);
mit Ihrer zusätzlichen Einwilligung gelegentlich Mitteilungen zu Produktneuigkeiten.

Sie können Push-Benachrichtigungen jederzeit über die Benachrichtigungseinstellungen Ihres Geräts deaktivieren. Die Deaktivierung von Push-Benachrichtigungen wirkt sich nicht auf andere Teile der Dienste aus.

7. Internationale Datenübermittlungen

Thetawave hat seinen Sitz in den Vereinigten Staaten, und unsere Server sowie mehrere unserer Dienstleister befinden sich in den USA und anderen Ländern. Wenn Sie die Dienste nutzen, werden Ihre personenbezogenen Daten in die Vereinigten Staaten und gegebenenfalls in andere Länder übermittelt, dort gespeichert und verarbeitet, deren Datenschutzgesetze sich von denen Ihres Wohnsitzlandes unterscheiden können.

Wir stützen uns auf folgende Garantien zum Schutz internationaler Übermittlungen:

EWR / UK / Schweiz: Standardvertragsklauseln ("SCCs"), die von der Europäischen Kommission genehmigt wurden (sowie das UK-Addendum / die Schweizer Pendants), mit unseren Unterauftragsverarbeitern, ergänzt durch Verschlüsselung bei Übertragung und Speicherung, Zugriffskontrollen und (sofern anwendbar) Übermittlungsfolgenabschätzungen. Wir sind derzeit nicht unter dem EU-US Data Privacy Framework ("DPF") zertifiziert; wir stützen uns auf SCCs als primären Übermittlungsmechanismus.
Japan: Soweit nach APPI für eine grenzüberschreitende Übermittlung erforderlich, holen wir Ihre Einwilligung ein oder stützen uns auf gleichwertige Garantien (einschließlich SCC-äquivalenter vertraglicher Bestimmungen mit dem Empfänger).
Südkorea: Soweit nach PIPA für die Übermittlung personenbezogener Daten ins Ausland erforderlich, stellen wir die nach Artikel 28-8 PIPA erforderlichen Informationen bereit und holen erforderlichenfalls Ihre Einwilligung ein.
Hongkong, Taiwan, Kanada: Wir stellen sicher, dass Empfänger an vertragliche Pflichten gebunden sind, die mit PDPO, dem PDPA bzw. PIPEDA in Einklang stehen.

Mit der Nutzung der Dienste nehmen Sie zur Kenntnis, dass Ihre Daten wie oben beschrieben international übermittelt werden.

8. Datenspeicherung

Wir speichern personenbezogene Daten so lange, wie es zur Bereitstellung der Dienste und für die in dieser Erklärung beschriebenen Zwecke erforderlich ist, sofern nicht eine längere Speicherdauer gesetzlich vorgeschrieben ist.

Datenkategorie	Speicherdauer
Kontoinformationen	Während Ihr Konto aktiv ist; Löschung innerhalb von 30 Tagen nach Kontolöschung (mit Ausnahme von Backups)
Nutzerinhalte	Während Ihr Konto aktiv ist; Löschung innerhalb von 30 Tagen nach Löschung des Inhalts oder Ihres Kontos
Backups	Werden bis zu 90 Tage nach der Löschung aufbewahrt und anschließend endgültig gelöscht
Zahlungs- und Abrechnungsunterlagen	Aufbewahrung 7 Jahre zur Erfüllung steuerlicher, buchhalterischer und prüfungsbezogener Pflichten
Kundensupport-Kommunikation	Bis zu 3 Jahre nach Erledigung
Diagnose- / Protokolldaten	Bis zu 12 Monate
De-identifizierte oder aggregierte Daten	Können unbegrenzt aufbewahrt werden (nicht mehr auf Sie rückführbar)

Sie können jederzeit eine frühere Löschung verlangen, wie in Abschnitt 13 beschrieben, vorbehaltlich begrenzter Ausnahmen (z. B. wenn die Aufbewahrung gesetzlich vorgeschrieben ist).

9. Datensicherheit

Wir setzen administrative, technische und physische Schutzmaßnahmen ein, um Ihre Daten zu schützen, darunter:

Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand;
Zugriffskontrollen und das Prinzip der minimalen Berechtigung für unser Personal;
sichere Softwareentwicklungspraktiken und Code-Reviews;
Sicherheitsprüfungen für Unterauftragsverarbeiter;
Protokollierung und Überwachung; sowie
Verfahren zur Reaktion auf Sicherheitsvorfälle.

Keine Sicherheitsmaßnahme ist perfekt, und wir können keine absolute Sicherheit garantieren.

Meldung von Datenschutzverletzungen. Wenn wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erhalten, die Ihre Informationen betrifft, werden wir Sie und die zuständigen Aufsichtsbehörden gemäß den geltenden Gesetzen informieren, insbesondere:

GDPR / UK GDPR / FADP: Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden nach Kenntniserlangung (sofern möglich) und an betroffene Personen ohne unangemessene Verzögerung, wenn ein hohes Risiko für ihre Rechte und Freiheiten besteht;
Japan APPI (Artikel 26): unverzügliche Meldung an die Personal Information Protection Commission (PPC) und an betroffene Personen in der Form und nach dem Zeitplan, die das APPI vorschreibt;
Südkorea PIPA (Artikel 34): unverzügliche Meldung an betroffene Personen sowie – bei Verletzungen, die 1.000 oder mehr Personen oder sensible Informationen betreffen – Meldung an die PIPC innerhalb von 24 Stunden;
US-Bundesstaatengesetze: Meldung innerhalb der Fristen und nach den Verfahren, die das jeweils anwendbare einzelstaatliche Gesetz zur Meldung von Datenschutzverletzungen vorsieht;
Andere Rechtsordnungen: wie nach geltendem Recht erforderlich.

10. Datenschutz von Kindern

Die Dienste richten sich nicht an Kinder unter 13 Jahren, und wir erheben wissentlich keine personenbezogenen Daten von Kindern unter 13 Jahren in den Vereinigten Staaten oder unter dem Mindestalter für die digitale Einwilligung im jeweiligen Wohnsitzland (z. B. 14 in Spanien, 15 in Frankreich, 16 in Deutschland).

Wenn Sie zwischen 13 und 17 Jahre alt sind (oder das Mündigkeitsalter Ihrer Rechtsordnung noch nicht erreicht haben), dürfen Sie die Dienste nur unter Beteiligung und mit Einwilligung eines Elternteils oder gesetzlichen Vormunds nutzen.

Einzelheiten dazu, wie Eltern eine nachprüfbare elterliche Einwilligung nach COPPA und gleichwertigen Gesetzen erteilen (und diese widerrufen) können, finden Sie in Nutzungsbedingungen Abschnitt 2.2.

Wenn wir feststellen, dass wir personenbezogene Daten eines Kindes unterhalb des anwendbaren Alters ohne nachprüfbare elterliche Einwilligung erhoben haben, werden wir diese so bald wie möglich löschen. Eltern, die der Auffassung sind, dass ein Kind ohne Einwilligung personenbezogene Daten bereitgestellt hat, können uns unter contact@thetawave.ai kontaktieren.

Für Schulen und Lehrkräfte, die die Dienste mit Schülern und Studenten einsetzen: Sie sind dafür verantwortlich, alle nach COPPA, FERPA, GDPR, Japans APPI, Südkoreas PIPA und gleichwertigen Gesetzen erforderlichen Einwilligungen einzuholen und als zuständige Stelle nach diesen Gesetzen zu fungieren.

11. Ihre Datenschutzrechte – Globaler Überblick

Je nach Ihrem Wohnort können Sie unter anderem folgende Rechte haben:

Auskunft: das Recht zu erfahren, welche personenbezogenen Daten wir über Sie speichern, und eine Kopie davon zu erhalten;
Berichtigung: das Recht, unrichtige oder unvollständige Informationen zu berichtigen;
Löschung ("Recht auf Vergessenwerden"): das Recht, die Löschung Ihrer Daten zu verlangen;
Datenübertragbarkeit: das Recht, bestimmte Informationen in einem übertragbaren Format zu erhalten;
Einschränkung / Widerspruch: das Recht, bestimmte Verarbeitungen einzuschränken oder ihnen zu widersprechen;
Widerruf der Einwilligung: das Recht, jede erteilte Einwilligung zu widerrufen;
Widerspruch gegen "sale" / "sharing" / zielgerichtete Werbung: das Recht auf Opt-out, sofern anwendbar;
Beschwerde bei einer Aufsichtsbehörde einzulegen.

Wir respektieren diese Rechte unabhängig von Ihrem Wohnsitz, soweit dies nach billigem Ermessen möglich ist. Regionspezifische Einzelheiten finden Sie in Abschnitt 12 und Hinweise zur Ausübung Ihrer Rechte in Abschnitt 13.

12. Regionspezifische Rechte und Hinweise

12.1 Europäischer Wirtschaftsraum, Vereinigtes Königreich und Schweiz (GDPR / UK GDPR / FADP)

Wenn Sie sich im EWR, im UK oder in der Schweiz befinden, stehen Ihnen die in Abschnitt 11 beschriebenen Rechte nach der Datenschutz-Grundverordnung (GDPR/DSGVO), der UK GDPR bzw. dem Schweizer Bundesgesetz über den Datenschutz (FADP) zu. Sie haben außerdem das Recht:

bei Ihrer örtlichen Datenschutzaufsichtsbehörde Beschwerde einzulegen (eine Liste finden Sie für den EWR unter https://edpb.europa.eu/about-edpb/about-edpb/members_en; für das UK beim ICO unter https://ico.org.uk/; und für die Schweiz beim FDPIC unter https://www.edoeb.admin.ch).

Die Rechtsgrundlagen unserer Verarbeitung sind in Abschnitt 3 aufgeführt.

EU-Vertreter (Artikel 27 GDPR). Auf Grundlage unserer Bewertung der Art, des Umfangs, der Umstände und der Zwecke unserer Verarbeitung – und weil unsere Verarbeitung personenbezogener Daten aus dem EWR im Hinblick auf besondere Datenkategorien gemäß Artikel 9 GDPR oder strafrechtsbezogene Daten gemäß Artikel 10 GDPR nicht "in großem Umfang" erfolgt – haben wir keinen EU-Vertreter nach Artikel 27 GDPR benannt. EWR-Nutzer können sich mit GDPR-bezogenen Anfragen direkt an contact@thetawave.ai wenden; wir werden im Einklang mit dem geltenden Recht antworten. Wir werden diese Einschätzung im Zuge der Entwicklung unserer Nutzerbasis und unserer Verarbeitungstätigkeiten neu bewerten.

12.2 Kalifornien (CCPA / CPRA)

Wenn Sie in Kalifornien ansässig sind, stehen Ihnen die Rechte nach dem California Consumer Privacy Act in der Fassung des California Privacy Rights Act ("CCPA/CPRA") zu.

Kategorien personenbezogener Daten, die wir erheben

In den letzten 12 Monaten haben wir die folgenden Kategorien personenbezogener Daten (im Sinne von Cal. Civ. Code § 1798.140) erhoben:

Kategorie	Beispiele	Erhoben?	Verkauft?	Geteilt (kontextübergreifende verhaltensbasierte Werbung)?
A. Identifikatoren	Name, E-Mail, IP-Adresse, Geräte-IDs, Kontoname	Ja	Nein	Nein
B. Kundendatensätze	Rechnungsadresse, Zahlungsinformationen	Ja	Nein	Nein
C. Geschützte Klassifikationen	Alter (sofern angegeben), Land	Begrenzt	Nein	Nein
D. Geschäftliche Informationen	Abonnementverlauf, Transaktionsaufzeichnungen	Ja	Nein	Nein
E. Biometrische Informationen	(Stimmmerkmale in Audio-Nutzerinhalten, sofern hochgeladen)	Bei Upload	Nein	Nein
F. Internetaktivität	Nutzungsdaten, Interaktionen mit den Diensten	Ja	Nein	Nein
G. Geolokalisierung	Ungefährer Standort aus IP	Ja	Nein	Nein
H. Sensorische Daten	Audio, Bild, Video in Nutzerinhalten (sofern hochgeladen)	Bei Upload	Nein	Nein
I. Beruf/Beschäftigung	Nicht erhoben	Nein	—	—
J. Bildungsdaten	Akademische Inhalte in Nutzerinhalten (Notizen, Lernmaterialien)	Ja	Nein	Nein
K. Schlussfolgerungen	Aus der Nutzung abgeleitete Präferenzen und Lernmuster	Ja	Nein	Nein
L. Sensible PI	Konto-Anmeldedaten; konkreter Inhalt der Kommunikation innerhalb der Dienste	Ja	Nein	Nein

Ihre Rechte als kalifornischer Einwohner

Recht zu erfahren, welche personenbezogenen Daten wir erhoben haben und wie wir sie verwenden und weitergeben;
Recht, Löschung zu verlangen, vorbehaltlich gesetzlicher Ausnahmen;
Recht, unrichtige personenbezogene Daten berichtigen zu lassen;
Recht, dem "sale" oder "sharing" zu widersprechen – wir "verkaufen" oder "teilen" Ihre personenbezogenen Daten nicht für kontextübergreifende verhaltensbasierte Werbung im Sinne dieser Begriffe nach CCPA/CPRA, respektieren jedoch Opt-out-Signale (einschließlich des Global Privacy Control / GPC), soweit dies technisch möglich ist;
Recht, die Verwendung sensibler personenbezogener Daten auf das zur Erbringung der Dienste Erforderliche zu beschränken;
Recht auf Nichtdiskriminierung für die Ausübung Ihrer Rechte.

"Shine the Light" (Cal. Civ. Code § 1798.83)

Kalifornische Einwohner können Auskunft über die Offenlegung personenbezogener Daten an Dritte zu Direktmarketingzwecken verlangen. Wir nehmen keine derartige Offenlegung vor.

12.3 Andere US-Bundesstaaten

Wenn Sie in Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA), Montana (MTCDPA), Iowa (ICDPA), Tennessee (TIPA), Delaware (DPDPA), New Jersey (NJDPA), New Hampshire (NHPA), Maryland (MODPA), Minnesota (MCDPA), Indiana (INCDPA), Nebraska (NDPA), Rhode Island (RIDPA) oder Kentucky (KCDPA) wohnen, stehen Ihnen Rechte zu, die den oben beschriebenen ähneln, einschließlich (je nach Bundesstaat) der Rechte auf Auskunft, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch gegen zielgerichtete Werbung, "sale" sowie bestimmte Arten des Profilings. Soweit erforderlich, haben Sie das Recht, Widerspruch gegen die Ablehnung eines Antrags einzulegen – siehe Abschnitt 13.

Sie können außerdem das Recht haben, einen bevollmächtigten Vertreter zur Stellung eines Antrags in Ihrem Namen zu benennen. Vor der Bearbeitung von Anträgen bevollmächtigter Vertreter werden wir eine Verifizierung verlangen.

12.4 Japan (個人情報保護法 / APPI)

Wenn Sie sich in Japan befinden, verarbeiten wir Ihre personenbezogenen Daten in Übereinstimmung mit dem Act on the Protection of Personal Information (APPI).

Verwendungszwecke sind in Abschnitt 2 beschrieben. Wir werden Ihre personenbezogenen Daten ohne Ihre Einwilligung nicht für andere Zwecke verwenden, sofern dies nicht nach APPI gestattet ist.
Grenzüberschreitende Übermittlung: Wie in Abschnitt 7 beschrieben, werden Ihre Daten in die Vereinigten Staaten und andere Länder übermittelt. Mit der Nutzung der Dienste willigen Sie in diese Übermittlung gemäß Artikel 28 APPI ein. Auf Anfrage stellen wir Informationen über die Datenschutzsysteme der Empfängerländer und die von uns getroffenen Schutzmaßnahmen zur Verfügung.
Ihre Rechte: Sie haben das Recht, Auskunft, Berichtigung, Ergänzung, Löschung, Aussetzung der Nutzung und Aussetzung der Bereitstellung an Dritte zu verlangen sowie eine Kopie der bei uns gespeicherten personenbezogenen Daten zu erhalten.
Verantwortlicher Betreiber für die Bearbeitung personenbezogener Daten: Thetawave AI, Inc. ist der Betreiber, der Ihre personenbezogenen Daten verarbeitet. Kontakt: contact@thetawave.ai.
Meldung von Datenschutzverletzungen: Wie nach Artikel 26 APPI vorgeschrieben, melden wir qualifizierende Datenschutzverletzungen der Personal Information Protection Commission (PPC) und betroffenen Personen.
Beschwerden: Können wir Ihr Anliegen nicht klären, können Sie die japanische Personal Information Protection Commission (PPC) konsultieren.

12.5 Südkorea (개인정보 보호법 / PIPA)

Wenn Sie in Südkorea ansässig sind, verarbeiten wir Ihre personenbezogenen Daten in Übereinstimmung mit dem Personal Information Protection Act (PIPA) und den damit verbundenen Gesetzen.

Zwecke der Erhebung und Nutzung: wie in Abschnitt 2 beschrieben.
Erhobene Datenpunkte: wie in Abschnitt 1 beschrieben.
Speicherdauer: wie in Abschnitt 8 beschrieben.
Grenzüberschreitende Übermittlung (PIPA Art. 28-8): Ihre personenbezogenen Daten können an die in Abschnitt 4 aufgeführten KI-Anbieter, Transkriptionsanbieter, Hosting-Anbieter und sonstigen Unterauftragsverarbeiter in den Vereinigten Staaten und anderen Ländern übermittelt werden. Wir holen, soweit erforderlich, Ihre Einwilligung zur Übermittlung ein und stellen die nach PIPA erforderlichen Informationen bereit.
Ihre Rechte: Auskunft, Berichtigung, Löschung, Aussetzung der Verarbeitung sowie Widerruf der Einwilligung. Nach Artikel 35 PIPA werden wir Auskunfts- und Berichtigungsanträge innerhalb von 10 Tagen beantworten (verlängerbar um weitere 10 Tage, sofern dies vernünftigerweise erforderlich ist).
Datenschutzbeauftragter / 개인정보 보호책임자: Kontakt unter contact@thetawave.ai.
Meldung von Datenschutzverletzungen (PIPA Art. 34): Wir benachrichtigen betroffene Personen unverzüglich und melden – bei Verletzungen, die 1.000 oder mehr Personen oder sensible Informationen betreffen – die PIPC innerhalb von 24 Stunden.
Beschwerden: Sie können Beschwerde bei der Personal Information Protection Commission (PIPC, 개인정보보호위원회) oder der Korea Internet & Security Agency (KISA) einreichen, einschließlich des Privacy Complaint Center (privacy.go.kr / 118).

12.6 Hongkong (個人資料（私隱）條例 / PDPO)

Wenn Sie in Hongkong ansässig sind, verarbeiten wir Ihre personenbezogenen Daten in Übereinstimmung mit der Personal Data (Privacy) Ordinance (PDPO) und den sechs Datenschutzgrundsätzen. Sie haben das Recht, Auskunft über und Berichtigung Ihrer personenbezogenen Daten zu verlangen. Anfragen können an contact@thetawave.ai gerichtet werden. Beschwerden können beim Office of the Privacy Commissioner for Personal Data (PCPD) eingereicht werden.

12.7 Taiwan (個人資料保護法 / PDPA)

Wenn Sie in Taiwan ansässig sind, verarbeiten wir Ihre personenbezogenen Daten in Übereinstimmung mit dem Personal Data Protection Act (PDPA). Sie haben das Recht, Auskunft anzufordern, eine Kopie zu verlangen, Daten zu ergänzen oder zu berichtigen, die Beendigung der Erhebung/Verarbeitung/Nutzung zu verlangen und die Löschung Ihrer personenbezogenen Daten zu verlangen. Anfragen können an contact@thetawave.ai gerichtet werden. Soweit erforderlich, holen wir Ihre Einwilligung vor einer internationalen Übermittlung Ihrer personenbezogenen Daten ein.

12.8 Kanada (PIPEDA)

Wenn Sie in Kanada ansässig sind, verarbeiten wir Ihre personenbezogenen Daten in Übereinstimmung mit dem Personal Information Protection and Electronic Documents Act (PIPEDA) und den anwendbaren provinziellen Gesetzen (z. B. Quebecs Law 25). Sie haben Rechte auf Auskunft, Berichtigung und Widerruf der Einwilligung. Beschwerden können beim Office of the Privacy Commissioner of Canada unter https://www.priv.gc.ca/ eingereicht werden.

12.9 Andere Rechtsordnungen

Wir respektieren die für Ihren Wohnsitz geltenden Datenschutzgesetze auch dann, wenn sie oben nicht ausdrücklich genannt sind. Wenn Sie in einer Rechtsordnung mit anwendbaren Gesetzen ansässig sind (z. B. Brasiliens LGPD, Australiens Privacy Act, Indiens DPDP Act, VAE PDPL oder anderen), wenden Sie sich bitte mit Anliegen zur Rechtsausübung an contact@thetawave.ai; wir werden im Einklang mit dem geltenden Recht antworten.

13. Wie Sie Ihre Rechte ausüben können

Um eines der oben beschriebenen Rechte auszuüben:

senden Sie uns eine E-Mail an contact@thetawave.ai mit dem Betreff "Privacy Request"; oder
nutzen Sie eine In-App-Datenschutzfunktion, sofern wir eine solche bereitstellen.

Zum Schutz Ihrer Daten müssen wir gegebenenfalls Ihre Identität verifizieren (in der Regel durch Bestätigung der Kontrolle über die mit Ihrem Konto verknüpfte E-Mail-Adresse). Bei Inanspruchnahme eines bevollmächtigten Vertreters können wir einen Nachweis der Bevollmächtigung verlangen.

Wir werden auf nachprüfbare Anträge innerhalb der nach geltendem Recht vorgeschriebenen Frist antworten, insbesondere:

Gesetz	Antwortfrist
GDPR / UK GDPR	Ein Monat, verlängerbar um bis zu zwei weitere Monate bei komplexen oder zahlreichen Anträgen
CCPA / CPRA	45 Tage, verlängerbar um weitere 45 Tage, sofern vernünftigerweise erforderlich
Andere Datenschutzgesetze der US-Bundesstaaten	wie vom jeweiligen Gesetz vorgeschrieben (in der Regel 45 oder 60 Tage)
Korea PIPA	10 Tage, verlängerbar um weitere 10 Tage
Japan APPI	Ohne unangemessene Verzögerung; Ziel sind 30 Tage
Andere Rechtsordnungen	wie nach geltendem Recht erforderlich

Wir werden Sie nicht für die Ausübung Ihrer Rechte diskriminieren.

Wenn wir einen Antrag ablehnen, erläutern wir die Gründe und – sofern anwendbar – haben Sie ein Recht, gegen unsere Entscheidung Widerspruch einzulegen. Um Widerspruch einzulegen, antworten Sie innerhalb von 60 Tagen auf unsere Antwort-E-Mail. Wird Ihr Widerspruch zurückgewiesen, können Sie bei Ihrer Datenschutzaufsichtsbehörde oder dem zuständigen Generalstaatsanwalt Beschwerde einreichen.

14. Do-Not-Track-Signale

Die meisten Browser bieten ein "Do Not Track"-Signal (DNT) an. Da es keine branchenweit standardisierte Auslegung von DNT-Signalen gibt, reagieren die Dienste derzeit nicht auf DNT-Signale. Wir respektieren jedoch die gesetzlich vorgeschriebenen Opt-out-Signale (z. B. das Global Privacy Control / GPC, soweit anwendbar).

15. Datenschutzhinweise für mobile Apps (App Store / Google Play)

Zusätzlich zu dieser Erklärung machen wir Datenschutzangaben über die von Apple und Google geforderten Plattformmechanismen:

Apple App Store Privacy Nutrition Labels und das iOS Privacy Manifest (PrivacyInfo.xcprivacy) beschreiben die Kategorien von Daten, die die iOS-Anwendung erhebt, und deren Verwendung in dem von Apple geforderten Format.
Das Google Play Data Safety-Formular beschreibt die Kategorien von Daten, die die Android-Anwendung erhebt und teilt, sowie die von uns angewandten Sicherheitspraktiken in dem von Google geforderten Format.

Die Angaben in diesen Formularen sollen mit dieser Erklärung konsistent sein. Im Falle einer unbeabsichtigten Abweichung zwischen den Plattformangaben und dieser Erklärung gilt diese Erklärung vorrangig, und wir werden die Plattformangaben entsprechend aktualisieren.

16. Links und Dienste Dritter

Die Dienste können Links zu Websites Dritter oder Integrationen enthalten (z. B. Identitätsanbieter, Zahlungsdienstleister, KI-Anbieter). Diese Erklärung gilt nicht für solche Dritten. Wir empfehlen Ihnen, deren Datenschutzrichtlinien zu prüfen, bevor Sie ihnen Ihre Daten zur Verfügung stellen.

17. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Das Datum "Letzte Aktualisierung" am Anfang spiegelt die jeweils aktuelle Fassung wider. Bei wesentlichen Änderungen werden wir Sie mindestens 14 Tage vor Inkrafttreten (oder früher, soweit gesetzlich erforderlich) per E-Mail oder durch einen deutlich sichtbaren Hinweis in den Diensten informieren. Wesentliche Änderungen, die einen Unterauftragsverarbeiter betreffen, unterliegen zusätzlich den Mitteilungsanforderungen in Abschnitt 4.1. Ihre fortgesetzte Nutzung der Dienste nach dem Inkrafttretensdatum stellt eine Annahme dar.

18. Kontakt

Bei Datenschutzanfragen, Anträgen oder Beschwerden:

Thetawave AI, Inc. Attn: Privacy E-Mail: contact@thetawave.ai Website: https://thetawave.ai

Thetawave AI hat sich dem Schutz Ihrer Privatsphäre und einer transparenten Handhabung Ihrer Daten verpflichtet. Sollte etwas in dieser Erklärung unklar sein, wenden Sie sich bitte an uns – wir helfen Ihnen gern weiter.

Datenschutzerklärung