Datenschutz­erklärung

Stand: Mai 2026

Das Wichtigste zuerst: Resonanz speichert deine Nachrichten und Audioaufnahmen nicht dauerhaft — sie werden nur zur Analyse an externe KI-Dienste gesendet. Dein GFK-Tagebuch liegt standardmäßig ausschließlich lokal auf deinem Gerät. Über die optionale Geräte-Sync-Funktion (Einstellungen) kannst du Einträge zusätzlich auf unseren Servern sichern, um sie geräteübergreifend abrufen zu können — dies geschieht nur nach expliziter Aktivierung. Deine Beziehungskarte und App-Einstellungen verbleiben stets lokal. Du kannst deine Daten jederzeit als Datei exportieren, sichern und auf anderen Geräten importieren.

1. Verantwortlicher

Vitaly Kohmann
c/o POSTFLEX PFX-472-937
Emsdettener Straße 10, 48268 Greven
Bitte keine Pakete oder Päckchen an diese Anschrift senden.
E-Mail: support@resonanz.chat

2. Welche Daten wir verarbeiten

Textnachrichten und Audiodateien

Nachrichten und Sprachaufnahmen, die du zur Analyse eingibst, werden an unseren Server und von dort an sorgfältig ausgewählte Unterauftragsverarbeiter (KI-Schnittstellen-Betreiber) weitergeleitet, mit denen entsprechende Datenschutzvereinbarungen (Data Processing Agreements) bestehen. Derzeit sind dies:

Auf unseren Servern und bei den eingesetzten KI-Diensten werden diese Rohdaten nicht dauerhaft gespeichert und nicht für das Training von KI-Modellen verwendet. Zur lokalen und optional Ende-zu-Ende-verschlüsselten Speicherung in deinem eigenen Tagebuch siehe Abschnitt 3.

Kurzfristige Recovery-Speicherung (max. 5 Minuten): Damit eine Analyse bei Verbindungsabbruch (z. B. Wechsel zwischen WLAN und Mobilfunk oder VPN-Wechsel) nicht verloren geht, wird das fertige Analyse-Ergebnis zusammen mit einer zufälligen Anfrage-ID (requestId) für maximal 5 Minuten serverseitig vorgehalten und automatisch danach gelöscht. Wir nutzen diese kurzlebige Speicherung ausschließlich, um dir nach einem Netzwerkfehler dein bereits berechnetes Ergebnis erneut auszuliefern (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung). Es findet keine andere Verwendung statt; nach Ablauf der 5 Minuten wird der Inhalt durch einen automatisierten Cleanup-Job auf NULL gesetzt.

Rechtsgrundlage: Die Verarbeitung deiner Texte und Audiodaten durch KI-Dienste erfolgt auf Basis deiner ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Da die Analyse von Kommunikation Rückschlüsse auf emotionale Zustände, persönliche Überzeugungen oder zwischenmenschliche Beziehungen ermöglichen kann und damit potenziell besondere Kategorien personenbezogener Daten gem. Art. 9 Abs. 1 DSGVO berührt, stützen wir die Verarbeitung auf deine ausdrückliche Einwilligung gem. Art. 9 Abs. 2 lit. a DSGVO.

Die Einwilligung wird einmalig beim Onboarding erteilt — über zwei separate Checkboxen für AGB und KI-Verarbeitung. Sie gilt einheitlich für alle Eingabe-Arten (Textnachrichten, Chats, Screenshots, Audio). Die Einwilligung wird mit Zeitstempel und Policy-Version serverseitig gespeichert (Art. 7 Abs. 1 DSGVO).

Hinweis § 201 StGB: Du verarbeitest Audio-Aufnahmen ausschließlich auf eigene Veranlassung. Bei Sprachaufnahmen Dritter ist es deine Verantwortung, die rechtlichen Voraussetzungen einzuhalten — siehe Abschnitt 3 zur Selbstreflexions-Nutzung.

Die Einwilligung kann jederzeit widerrufen werden (Konto löschen oder KI-Verarbeitung einstellen).

Die Liste der Unterauftragsverarbeiter kann sich ändern. Über wesentliche Änderungen informieren wir per E-Mail oder In-App-Hinweis.

Benutzerkonto (Supabase)

Für die Registrierung und Anmeldung nutzen wir Supabase Inc. (San Francisco, USA). Dabei werden folgende Daten gespeichert:

Datenschutz: supabase.com/privacy

E-Mail-Versand (Resend)

Für den Versand von E-Mails nutzen wir Resend Labs, Inc. (USA) in zwei Fällen:

Datenschutz: resend.com/privacy

DNS und E-Mail-Weiterleitung (Cloudflare)

Für die Bereitstellung der Domain-Namensauflösung (DNS) und die Weiterleitung eingehender Support-E-Mails nutzen wir Cloudflare, Inc. (USA).

DNS: Cloudflare löst unsere Domain resonanz.chat auf. Dabei werden keine Inhalte verarbeitet, nur Verbindungs-Metadaten (IP-Adresse, angeforderter Hostname). Ein Authentifizierungs-Worker auf Cloudflare-Ebene wird nicht betrieben — die Auth erfolgt ausschließlich über Supabase (siehe Zugriffskontrolle).

E-Mail-Weiterleitung: An support@resonanz.chat gesendete E-Mails werden über Cloudflare Email Routing automatisch an unsere interne Adresse weitergeleitet. Dabei werden Absenderadresse und Inhalt der E-Mail verarbeitet.

Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Datenschutz: cloudflare.com/privacypolicy

Zahlungsabwicklung (Stripe)

Für den Kauf von Credit-Paketen nutzen wir Stripe, Inc. (San Francisco, USA) als Zahlungsdienstleister. Bei einem Kauf werden an Stripe übermittelt: E-Mail-Adresse und eine interne Nutzer-ID. Stripe Automatic Tax ist aktiviert — dabei wird im Checkout-Prozess die Rechnungsadresse und das Wohnsitzland erhoben, um die gesetzlich korrekte Mehrwertsteuer zu berechnen. Gewerbliche Kunden können optional ihre Umsatzsteuer-Identifikationsnummer angeben. Die Zahlungsdaten (Kreditkarte etc.) werden ausschließlich von Stripe verarbeitet — wir haben keinen Zugriff darauf. Stripe ist unter dem EU-U.S. Data Privacy Framework zertifiziert.

Zur Rechnungsstellung und gesetzlichen Aufbewahrung speichern wir pro Kauf-Transaktion zusätzlich: den Steuerbetrag in Cent, das Wohnsitzland des Kunden, den tatsächlichen Zahlungsbetrag und die Währung. Bei Kontolöschung werden diese Daten pseudonymisiert (User-ID entfernt) und gem. § 147 AO für 10 Jahre aufbewahrt.

Datenschutz: stripe.com/privacy

Lokal gespeicherte Daten (auf deinem Gerät)

Folgende Daten werden standardmäßig ausschließlich lokal in deinem Browser gespeichert (localStorage) — kein Server sieht diese Daten:

Du kannst deine Daten jederzeit über die App-Einstellungen als Datei exportieren (optional verschlüsselt) und auf einem anderen Gerät wieder importieren.

Du kannst alle lokalen Daten durch Zurücksetzen in den App-Einstellungen oder durch Löschen der Browser-Daten entfernen.

Optionaler Geräte-Sync (GFK-Tagebuch & Beziehungskarte)

Wenn du in den App-Einstellungen den Geräte-Sync aktivierst, werden deine Tagebucheinträge und deine Beziehungskarte zusätzlich auf unseren Servern (Supabase Inc., San Francisco, USA) gespeichert, damit du sie auf mehreren Geräten abrufen kannst.

Rechtsgrundlage: Deine ausdrückliche Einwilligung gem. Art. 6 Abs. 1 lit. a DSGVO. Die Aktivierung ist ein bewusster Opt-in-Schritt in den Einstellungen.

Gespeicherte Inhalte: GFK-Analyse-Ergebnisse (Gefühle, Bedürfnisse, Zusammenfassung, Muster), die von dir eingegebene Nachricht, der Quellentyp (z. B. „Partner“, „Freund“) sowie die Beziehungskarte (Kontakte und Einstellungen).

Speicherdauer: Bis zur Löschung des Eintrags oder des Kontos. Du kannst den Sync jederzeit deaktivieren — bestehende Cloud-Einträge bleiben dabei erhalten, bis du sie oder dein Konto löschst.

Widerruf: Den Sync kannst du jederzeit in den Einstellungen deaktivieren. Bei Kontolöschung werden alle cloud-gespeicherten Tagebucheinträge vollständig gelöscht.

Eigene Kommunikation und Inhalte mit Bezug zu Dritten

Resonanz ist primär für die Analyse der eigenen Kommunikation konzipiert — als digitales Reflexions- und Tagebuch-Werkzeug auf Basis der Gewaltfreien Kommunikation (GFK). Soweit du im Rahmen dieser Selbstreflexion Inhalte einpflegst, die auch Kommunikation Dritter enthalten (z. B. weitergeleitete Gesprächsverläufe), verarbeitest du personenbezogene Daten dieser Dritten. Du bist insoweit selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO — nicht der Betreiber von Resonanz.

Bitte stelle sicher, dass du für die Eingabe solcher Daten eine geeignete Rechtsgrundlage hast (z. B. Einwilligung der betroffenen Person oder berechtigtes Interesse im Rahmen einer rein persönlichen bzw. haushaltsinternen Nutzung gem. Art. 2 Abs. 2 lit. c DSGVO). Bei Audioaufnahmen beachte bitte zusätzlich § 201 StGB (Verletzung der Vertraulichkeit des Wortes). Der Betreiber übernimmt keine Haftung für die Rechtmäßigkeit deiner Eingaben.

Serverlogs

Unser Hosting-Anbieter (Vercel Inc., USA) speichert technische Zugriffsdaten (IP-Adresse, Zeitstempel, aufgerufene URL) für bis zu 30 Tage. Dies dient der Sicherheit und Fehlerbehebung. Vercel ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Datenschutz: vercel.com/legal/privacy-policy

Zugriffskontrolle

Der Zugang zur App wird über Supabase Auth geschützt. Nach der Anmeldung wird ein verschlüsseltes Session-Cookie (Supabase SSR) gesetzt, das serverseitig über JWT-Signatur (ES256/JWKS) verifiziert wird.

Fehlerüberwachung (Sentry)

Zur Erkennung und Behebung technischer Fehler nutzen wir Sentry (Functional Software, Inc., USA). Bei einem Anwendungsfehler werden folgende Daten übermittelt: Fehlermeldung und Stack Trace, eine anonyme interne Nutzer-ID, Browser- und Betriebssystem-Informationen sowie die aufgerufene Seite. Es werden keine Inhalte deiner Nachrichten oder Analysen an Sentry gesendet. Die Daten werden auf Servern in der EU verarbeitet (EU-Rechenzentrum). Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einem stabilen und sicheren Betrieb der App. Datenschutz: sentry.io/privacy

Trial Credits und Ausgabenlimits

Neue Nutzer erhalten bei der Registrierung automatisch 5 kostenlose Trial Credits. Diese Gutschrift wird serverseitig in der Transaktionshistorie mit dem Typ signup_trial erfasst. Die Credits sind nicht übertragbar und nicht zurückerstattungsfähig.

Zum Schutz der Nutzer vor Überausgaben und gegen Missbrauch werden folgende serverseitige Limits durchgesetzt:

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der Vermeidung von Betrug und dem Schutz der Nutzer vor übermäßigem Verbrauch.

Automatische Kostenüberwachung

Zur Sicherstellung eines stabilen Betriebs führen wir automatisierte Prüfungen durch (Vercel Cron, täglich 08:00 UTC). Diese aggregieren ausschließlich Kostendaten ohne Personenbezug (Gesamtkosten der API-Nutzung, Erreichbarkeit externer Dienste). Bei Überschreitung von Schwellenwerten wird der Betreiber über einen internen Slack-Kanal benachrichtigt. Es werden keine personenbezogenen Daten einzelner Nutzer übermittelt.

Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an einem sicheren und wirtschaftlichen Betrieb.

Feedback-Funktion

Über die Einstellungen können angemeldete Nutzer Feedback zur App senden. Dabei werden folgende Daten verarbeitet:

Das Feedback wird per Resend als E-Mail an support@resonanz.chat gesendet. Es wird nicht in einer Datenbank gespeichert. Missbrauchsschutz erfolgt über IP-basiertes Rate Limiting (max. 5 Einsendungen pro Tag).

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) durch aktives Absenden des Feedbacks.

Admin-Audit-Log (DSGVO-Rechenschaftspflicht)

Gemäß Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht) führen wir ein Admin-Audit-Log, das protokolliert, welche Administratoren wann auf welche Nutzerdaten zugegriffen haben. Dieses Log enthält ausschließlich:

Das Audit-Log wird für 3 Jahre aufbewahrt und dient ausschließlich dem Nachweis datenschutzkonformer Datenverarbeitung gegenüber Aufsichtsbehörden.

Interne Systemstatus-Visualisierung (Admin)

Für den stabilen und sicheren Betrieb der App nutzen wir eine ausschließlich Administratoren zugängliche Status-Visualisierung. Diese aggregiert bestehende technische Daten aus den oben genannten Verarbeitungen (z. B. Zeitpunkt des letzten KI-Calls, des letzten Stripe-Webhooks, Anzahl offener Credit-Reservierungen) zu Diagnosezwecken. Es werden keine neuen personenbezogenen Daten erhoben oder gespeichert; die Anzeige erfolgt server-seitig nach Admin-Authentifizierung. Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an Betriebsstabilität und Fehlerdiagnose.

3. Nutzer als Verantwortlicher bei Eingabe von Inhalten mit Bezug zu Dritten

Resonanz ist ein digitales Reflexions- und Tagebuch-Werkzeug für deine eigene Kommunikation. Bestimmungsgemäßer Gebrauch ist die Analyse von Gesprächen, an denen du selbst beteiligt warst, zum Zweck deiner persönlichen Reflexion. Soweit du ausschließlich eigene Nachrichten und Kommunikation analysierst, fällt die Verarbeitung in der Regel unter die persönliche bzw. haushaltsinterne Ausnahme gem. Art. 2 Abs. 2 lit. c DSGVO.

Keine serverseitige Speicherung der Inhalte: Eingegebene Roh-Inhalte (Texte, Audio-Dateien, Screenshots, Chat-Exporte) werden auf unseren Servern ausschließlich während der KI-Analyse verarbeitet und unmittelbar danach verworfen. Sie werden nicht in unserer Backend-Datenbank gespeichert und nicht an Drittanbieter zu Trainingszwecken weitergegeben. Die Inhalte werden jedoch während der Analyse in voller Form an die oben genannten KI-Dienstleister (Anthropic, OpenAI) übermittelt — es findet keine Pseudonymisierung oder Anonymisierung vor der Übermittlung statt. Serverseitig persistent gespeichert werden nur technische Nutzungs-Metadaten (Modell, Token-Anzahl, Kosten) ohne Inhaltsbezug.

Lokale Speicherung in deinem Browser: Damit du deine Analysen später wieder ansehen kannst, werden eingegebener Text bzw. Audio-Transkript bzw. Screenshot-Erkennung zusammen mit dem KI-Analyse-Ergebnis automatisch in deinem lokalen Browser-Tagebuch (localStorage) abgelegt. Diese Daten verlassen dein Gerät nicht, solange du den Cloud-Sync nicht aktivierst. Du kannst einzelne Einträge oder das gesamte Tagebuch jederzeit in den Einstellungen löschen.

Optionaler Cloud-Sync (Ende-zu-Ende-verschlüsselt): Wenn du den Cloud-Sync aktivierst, wird dein Tagebuch vor dem Versand auf deinem Gerät verschlüsselt (AES-256-GCM, Schlüssel aus deinem Passwort abgeleitet) und in dieser verschlüsselten Form auf unseren Servern gesichert. Wir können die Inhalte nicht entschlüsseln — nur du mit deinem Passwort. Bei Kontolöschung werden auch die verschlüsselten Server-Daten gelöscht.

Soweit du im Rahmen deiner Selbstreflexion auch Inhalte einpflegst, die personenbezogene Daten anderer Personen enthalten, bist du im datenschutzrechtlichen Sinne selbst Verantwortlicher für deren Verarbeitung. Der Betreiber von Resonanz handelt dabei lediglich als technischer Dienstleister, der die Verarbeitung auf deine Veranlassung hin ausführt.

Als Nutzer bist du in diesem Fall verpflichtet:

Bei Fragen oder Beschwerden von Dritten, deren Daten du eingegeben hast, bist du die zuständige Ansprechperson — nicht der Betreiber von Resonanz.

4. Datenübertragung in Drittländer

Einige unserer Unterauftragsverarbeiter haben ihren Sitz in den USA (u. a. Anthropic, OpenAI, Supabase, Stripe, Resend, Cloudflare und Vercel). Sentry verarbeitet Daten im EU-Rechenzentrum.

Die Übertragung personenbezogener Daten in die USA wird durch folgende Mechanismen abgesichert:

5. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

Konto löschen: Du kannst dein Konto jederzeit in den App-Einstellungen vollständig löschen. Dabei werden alle personenbezogenen Daten unwiderruflich entfernt (Profil, E-Mail-Adresse, Credit-Guthaben, Kostenerfassung). Der Einwilligungsnachweis (Zeitstempel und Einwilligungsversion) wird gem. Art. 7 Abs. 1 DSGVO ohne Personenbezug aufbewahrt; deine E-Mail-Adresse wird dabei entfernt. Steuerrelevante Transaktionsdaten (Kaufbeträge, Steuerbetrag, Währung, Land, Zahlungsereignis-IDs) werden gem. § 147 AO und § 257 HGB in pseudonymisierter Form (Art. 4 Abs. 5 DSGVO — Nutzer-ID wird entfernt) für die gesetzliche Aufbewahrungsfrist von 10 Jahren aufbewahrt (Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO). Zusätzlich werden dein GFK-Tagebuch, deine Beziehungskarte und App-Einstellungen auf dem aktuellen Gerät automatisch gelöscht.

Abmelden: Beim Abmelden bleiben dein GFK-Tagebuch und deine Beziehungskarte auf dem aktuellen Gerät gespeichert. Wenn du den Cloud-Sync aktiviert hast, werden sie zusätzlich Ende-zu-Ende-verschlüsselt (AES-256-GCM, Schlüssel aus deinem Passwort abgeleitet) auf unseren Servern gesichert — nur du kannst sie entschlüsseln. Bei Kontolöschung werden alle Daten (lokal und serverseitig) unwiderruflich entfernt.

Lokale Daten auf anderen Geräten: Falls du Resonanz auf mehreren Geräten genutzt hast und den Cloud-Sync nicht aktiviert hast, musst du die Browser-Daten auf jedem Gerät separat manuell löschen, um dort gespeicherte Verlaufsdaten zu entfernen. Mit aktivem Cloud-Sync werden deine Daten bei Kontolöschung automatisch auf allen Geräten entfernt.

Beschwerden kannst du bei der zuständigen Datenschutzaufsichtsbehörde einreichen. Für den Betreiber zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) (ldi.nrw.de).

6. Cookies und lokaler Browserspeicher

Diese Website verwendet keine Tracking-Cookies und keine Analyse-Tools (kein Google Analytics, kein Facebook Pixel). Es werden ausschließlich technisch notwendige Technologien eingesetzt:

Alle drei Technologien sind für den Betrieb der App technisch erforderlich (Art. 25 DSGVO, § 25 Abs. 2 Nr. 2 TDDDG) und erfordern keine gesonderte Einwilligung.

7. Minderjährige

Resonanz richtet sich nicht bewusst an Personen unter 16 Jahren. Solltest du unter 16 Jahre alt sein, nutze die App bitte nur mit Zustimmung deiner Eltern.