Datenschutzerklärung

Stand: August 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

Nova Digital Solutions GmbH
Hauptstraße 47
28857 Syke
Deutschland
E-Mail: moin@novadigitalgroup.de

2. Hosting

Briefklartext wird bei Railway Corp. (railway.com, USA) betrieben. Anwendung und Datenbank laufen in einem Rechenzentrum in der Europäischen Union — deine Daten verlassen für Betrieb und Speicherung die EU nicht. Mit Railway besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.

Die Domain wird über Cloudflare (Cloudflare, Inc., USA) aufgelöst. Cloudflare verarbeitet dabei ausschließlich DNS-Anfragen; die Website-Inhalte selbst laufen nicht über Cloudflare-Server.

Beim Aufrufen unserer Website werden automatisch Serverprotokolle (Server-Logs) erfasst. Diese enthalten technische Informationen wie deine IP-Adresse, aufgerufene Seiten, Zeitpunkt des Zugriffs und Browser-Typ. Die Daten werden ausschließlich zur Sicherstellung des Betriebs und zur Fehlerbehebung verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).

3. Kernfunktion: Briefanalyse

Wenn du einen Brief hochlädst, verarbeiten wir folgende Daten:

  • Das von dir hochgeladene Foto des Briefes (Bilddatei)
  • Das Analyse-Ergebnis (Text-Zusammenfassung, Fristen, Beträge, nächste Schritte)

Was mit dem Foto passiert

Das Foto wird zur Textanalyse an die Anthropic PBC (Anbieter des KI-Modells Claude, USA) über deren API übermittelt. Anthropic erhält das Bild ausschließlich zur Erstellung der Analyse. Das Foto wird danach nicht gespeichert — weder bei Briefklartext noch bei Anthropic im Sinne einer dauerhaften Archivierung.

Da Anthropic in den USA ansässig ist, findet eine Datenübermittlung in ein Drittland statt. Grundlage sind die EU-Standardvertragsklauseln (SCC) sowie der Datenverarbeitungsvertrag mit Anthropic (anthropic.com/legal/privacy). Deine Eingaben werden von Anthropic nicht zum Training von Modellen verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen — du bittest um eine Analyse, wir führen sie durch).

Briefe mit besonders sensiblen Inhalten

Behördenpost kann besonders schützenswerte Daten im Sinne von Art. 9 DSGVO enthalten — etwa Angaben zu Gesundheit, Sozialleistungen, Familienverhältnissen oder Weltanschauung. Solche Daten verarbeiten wir ausschließlich, weil du uns den betreffenden Brief zur Erklärung übermittelst. Mit dem Hochladen willigst du ausdrücklich in diese Verarbeitung ein (Art. 9 Abs. 2 lit. a DSGVO). Du kannst die Einwilligung jederzeit widerrufen; wir löschen den Vorgang dann auf Anfrage sofort. Für die Zukunft bleibt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt.

Wenn du das nicht möchtest: lade den Brief nicht hoch. Es gibt keine Möglichkeit, eine Analyse zu erstellen, ohne den Briefinhalt zu verarbeiten.

Was du selbst tun kannst

Briefe enthalten oft persönliche Informationen — Steuernummern, Kontonummern, Krankheitsdaten, Schulden. Überlege vor dem Hochladen, welche Informationen wirklich notwendig sind. Du kannst sensible Bereiche im Foto abdecken oder unkenntlich machen, ohne die Kernaussage des Briefes zu verlieren.

Speicherung des Analyse-Ergebnisses

Das Analyse-Ergebnis (Zusammenfassung, Fristen, Beträge, nächste Schritte) wird gespeichert:

  • Solange über dein Konto nicht gezahlt wurde: 28 Tage ab dem Analyse-Datum. Das gilt auch für Analysen, die anonym erstellt und noch keinem Konto zugeordnet wurden.
  • Sobald über dein Konto mindestens einmal gezahlt wurde (Abo oder Guthaben-Paket): 365 Tage ab dem Analyse-Datum. Diese längere Speicherdauer bleibt auch nach einer Kündigung erhalten.

Nach Ablauf der jeweiligen Frist wird das Ergebnis automatisch und vollständig gelöscht — samt Antwort-Entwürfen und Hash-Werten. Zwei Ausnahmen zu deinem Vorteil: die Löschung wird aufgeschoben, solange zu einem Brief noch eine Frist-Erinnerung aussteht, und vor der Löschung nicht bezahlter Vorgänge informieren wir dich einmalig per E-Mail, sofern deine Adresse bestätigt ist. Im Archiv siehst du zu jedem Vorgang, bis wann er gespeichert bleibt. Unabhängig davon kannst du jeden Brief jederzeit selbst löschen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Duplikat-Erkennung

Um Missbrauch durch Mehrfachanalysen zu verhindern, speichern wir zwei Hash-Werte je Brief:

  • Datei-Hash (SHA-256): Berechnet aus den rohen Datei-Bytes vor der Analyse. Erkennt identische Dateien.
  • Metadaten-Fingerprint (SHA-256): Berechnet aus Absender, Brieftyp und erstem Fristdatum nach der Analyse. Erkennt neu fotografierte Versionen desselben Briefes.

Beide Werte sind kryptografische Einweg-Hashes — der Briefinhalt lässt sich daraus nicht rekonstruieren. Die Hashes werden zusammen mit dem Analyse-Ergebnis gespeichert und bei dessen Löschung entfernt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse: Missbrauchsvermeidung und API-Kostenkontrolle).

4. Nutzerkonten und Sessions

Konto-Daten

Bei der Registrierung verarbeiten wir folgende Daten:

  • E-Mail-Adresse (Pflichtfeld, für Login und Erinnerungs-E-Mails)
  • Name (optional)
  • Passwort-Hash (scrypt, kein Klartext-Speicher)
  • E-Mail-Verifizierungsstatus (Timestamp der Bestätigung)

Eine Double-Opt-in-Verifizierung per E-Mail ist erforderlich, bevor Erinnerungs-E-Mails versendet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Rahmen des Kontos).

Session-Cookie

Nach dem Login wird ein technisches Session-Cookie gesetzt:

  • Name: bk_session
  • Inhalt: zufälliger 32-Byte-Token (kein personenbezogener Klartext); auf dem Server wird nur der SHA-256-Hash gespeichert.
  • Gültigkeit: 30 Tage
  • Flags: HttpOnly, SameSite=Lax — kein Zugriff durch JavaScript möglich; kein Tracking-Cookie

Das Cookie ist technisch notwendig für den eingeloggten Zustand. Es wird kein Tracking-Cookie gesetzt und kein Nutzerverhalten analysiert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG (technisch notwendig zur Erbringung des Dienstes).

Konto-Löschung und Datenmitnahme

Du kannst dein Konto jederzeit im Kontobereich löschen. Die Löschung entfernt dauerhaft alle gespeicherten Briefe (inkl. Analyse-Ergebnisse), Antwort-Entwürfe, Erinnerungen und die Session-Daten.

Du kannst alle gespeicherten Daten jederzeit als JSON-Datei exportieren (Datenübertragbarkeit nach Art. 20 DSGVO) — der Export-Link befindet sich im Kontobereich.

5. Deine Rechte

Du hast das Recht auf:

  • Auskunft (Art. 15 DSGVO) — Welche Daten speichern wir über dich?
  • Berichtigung (Art. 16 DSGVO) — Unrichtige Daten korrigieren lassen.
  • Löschung (Art. 17 DSGVO) — „Recht auf Vergessenwerden".
  • Einschränkung der Verarbeitung (Art. 18 DSGVO)
  • Datenübertragbarkeit (Art. 20 DSGVO)
  • Widerspruch (Art. 21 DSGVO) — Bei Verarbeitungen auf Basis von berechtigtem Interesse.
  • Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — z. B. beim Landesbeauftragten für Datenschutz in deinem Bundesland.

Für Anfragen zu deinen Rechten wende dich per E-Mail an: moin@novadigitalgroup.de

6. Frist-Erinnerungen per E-Mail

Zweck und Verarbeitung

Für angemeldete Nutzer werden Frist-Erinnerungen automatisch erstellt, sobald ein Brief mit erkennbaren zukünftigen Fristen analysiert oder dem Konto zugeordnet wird. Wir senden drei automatische Erinnerungen pro Frist: 1 Monat, 1 Woche und 1 Tag vor dem Fristdatum — an die im Konto hinterlegte E-Mail-Adresse.

Erinnerungen werden nur versendet, wenn die E-Mail-Adresse des Kontos bestätigt wurde. Die Erinnerungen können im Archiv (unter dem jeweiligen Brief) einzeln deaktiviert oder reaktiviert werden.

Gespeicherte Daten: Konto-E-Mail-Adresse, Fristdatum, Fristbeschreibung, Rechtsgrundlage (aus der Brief-Analyse), Erinnerungszeitpunkte (1 Monat / 1 Woche / 1 Tag vorher), Versandstatus.

Rechtsgrundlage

Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung im Rahmen des Kontos). Die Frist-Erinnerung ist eine Kernfunktion des angemeldeten Nutzungskontos.

Speicherdauer

Erinnerungseinträge werden automatisch 30 Tage nach dem Fristdatum gelöscht, unabhängig davon, ob sie versendet wurden. Bei Löschung des Kontos oder des jeweiligen Briefes werden alle zugehörigen Erinnerungen unmittelbar gelöscht.

Dienstleister (Auftragsverarbeiter)

Der E-Mail-Versand erfolgt über Resend Inc. (resend.com), mit dem ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht (resend.com/legal/dpa). Die Verarbeitung findet in einem Rechenzentrum in der Europäischen Union statt.

Wir setzen kein Öffnungs- und kein Klick-Tracking ein. Unsere E-Mails enthalten keine Zählpixel und keine umgeschriebenen Links — wir erfahren also nicht, ob und wann du eine Erinnerung geöffnet hast.

Abmeldung / Deaktivierung

Erinnerungen können jederzeit im Archiv unter dem jeweiligen Brief deaktiviert werden. Alternativ enthält jede Erinnerungs-E-Mail einen signierten Abmelde-Link, der alle noch nicht versendeten Erinnerungen für die Konto-E-Mail-Adresse löscht. Nach der Abmeldung werden keine weiteren Erinnerungen gesendet.

7. Aktualität dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Änderungen unserer Dienste oder gesetzlicher Anforderungen anzupassen. Die aktuelle Fassung ist stets auf dieser Seite abrufbar.