Datenschutzerklärung

Stand: August 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung:
The Strength Hack UG (haftungsbeschränkt) i.G., vertreten durch den Geschäftsführer Murk Creusen
Ravenestr. 5, 13347 Berlin, Deutschland
E-Mail: murk@strength-hack.com

Ein Datenschutzbeauftragter ist aufgrund der Unternehmensgröße gesetzlich nicht bestellt (Schwelle gemäß Art. 37 DSGVO, § 38 BDSG nicht erreicht). Anfragen zum Datenschutz richten Sie bitte direkt an die oben genannte E-Mail-Adresse.

2. Verarbeitete Daten und Zwecke

Zugriffsdaten (IP-Adresse*, Datum/Uhrzeit, Browser, Gerät) – zur technischen Bereitstellung und Sicherheit.
Kontodaten (Name, E-Mail) – zur Registrierung, Authentifizierung und Vertragsabwicklung.
Nutzungsdaten (Team-, Profil-, Assessment-Informationen) – zur Funktion und Personalisierung der Plattform.
Zahlungsdaten – werden über den Zahlungsdienstleister Stripe verarbeitet.

*IP-Adressen werden, wo möglich, anonymisiert gespeichert.

3. Rechtsgrundlagen

Art. 6 Abs. 1 lit. b DSGVO – Vertrag / Vertragsanbahnung
Art. 6 Abs. 1 lit. f DSGVO – berechtigtes Interesse (Betrieb und Sicherheit)

4. Dienste & Empfänger

Hosting / Backend: Google LLC / Firebase — Serverstandort: us-central1 (Iowa, USA). Auftragsverarbeitungsvertrag (AVV) gem. Art. 28 DSGVO liegt vor. Datenübermittlung in die USA auf Grundlage des EU-US Data Privacy Frameworks (Google LLC ist zertifiziert) sowie EU-Standardvertragsklauseln. Verarbeitete Daten: Kontodaten, Nutzungsdaten, Assessment-Daten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Zahlung: Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland. AVV gem. Art. 28 DSGVO liegt vor. Verarbeitete Daten: Zahlungsdaten, E-Mail-Adresse, Transaktionsdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Kommunikation: Google Ireland Ltd. (Google Workspace), Gordon House, Barrow Street, Dublin 4, Irland. EU-Rechenzentren. AVV gem. Art. 28 DSGVO liegt vor. Verarbeitete Daten: E-Mail-Adressen, Nachrichteninhalte. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO.
Webanalyse (nur mit Einwilligung): PostHog Inc., 965 Mission St, San Francisco, CA, USA — EU-Cloud-Instanz (Frankfurt). AVV abgeschlossen. Verarbeitete Daten: Seitenaufrufe, Klick-Events, Nutzer-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Webanalyse (nur mit Einwilligung): Google LLC (Google Analytics 4) — Serverstandort: USA. Datenübermittlung auf Grundlage des EU-US Data Privacy Frameworks. Verarbeitete Daten: Seitenaufrufe, Events, anonymisierte Nutzer-ID. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

5. Speicherdauer

Personenbezogene Daten werden nur so lange gespeichert, wie dies für die Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Im Einzelnen:

Kontodaten (Name, E-Mail): Löschung 30 Tage nach endgültiger Account-Löschung.
Zahlungsdaten (Rechnungen, Transaktionen): 10 Jahre gemäß §147 AO und §257 HGB.
Zugriffslogs (IP-Adressen, Zeitstempel): 7 Tage, danach automatische Löschung.
Assessment- und Profildaten (Stärkenprofile, Ergebnisse): Löschung gemeinsam mit dem Account.
Team-Daten (Mitgliedschaften, Canvas, Berichte): Löschung bei Auflösung des Teams oder des letzten Mitglieds-Accounts.

6. Betroffenenrechte

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit
Widerspruch gegen Verarbeitungen gemäß Art. 6 Abs. 1 lit. f DSGVO
Widerruf von Einwilligungen mit Wirkung für die Zukunft
Beschwerderecht bei einer Aufsichtsbehörde (z. B. Berliner Beauftragte für Datenschutz)

7. Cookies & Einwilligung

Wir setzen technisch notwendige Cookies für Login und Session-Management (§25 Abs. 2 TDDDG, keine Einwilligung erforderlich). Darüber hinaus setzen wir Analyse-Cookies (Google Analytics 4, PostHog) nur nach Ihrer ausdrücklichen Einwilligung gemäß §25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO. Die Einwilligung kann jederzeit über den Cookie-Banner oder per E-Mail an murk@strength-hack.com widerrufen werden.

8. Sicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen (z. B. TLS-Verschlüsselung, Zugriffsbeschränkungen), um Ihre Daten vor Verlust oder unbefugtem Zugriff zu schützen.

9. KI-gestützte Funktionen

Die Plattform bietet KI-gestützte Coaching- und Analysefunktionen. Hinweis gemäß Art. 50 EU AI Act: Die Coaching-Texte, Team-Analysen und Feedback-Inhalte werden durch ein KI-System erzeugt.

Anbieter: Google Ireland Ltd. (Gemini API, Modelle: gemini-3.5-flash und gemini-3.1-flash-lite), Gordon House, Barrow Street, Dublin 4, Irland.
Verarbeitete Daten: Stärkenprofile, Assessment-Ergebnisse, Team-Zusammensetzung und Nutzereingaben (z. B. Coaching-Fragen). Personenbezogene Daten werden auf das für die Funktion notwendige Minimum beschränkt.
Kein Modelltraining: Ihre Daten werden nicht zum Training oder zur Verbesserung von KI-Modellen verwendet (gemäß Google Gemini API Terms of Service).
Serverstandort: Die Anfragen an Gemini laufen über die Google Gemini Developer API. Diese nutzt die globale Infrastruktur von Google und ist nicht auf eine Region beschränkt — wir können daher aktuell keinen ausschließlich europäischen (EU/EWR) Verarbeitungsstandort für diesen Verarbeitungsschritt zusichern. Eine Umstellung auf eine EU-Region über Google Cloud Vertex AI ist vorbereitet und wird umgesetzt, sobald die dafür nötige Google-Cloud-Infrastruktur eingerichtet ist; diese Seite wird entsprechend aktualisiert.
Kein Klarname erreicht Google — auch nicht Ihr eigener: Bei allen team-bezogenen KI-Funktionen (Team-Synergie-Report, Team-Personas, Delegation Matrix, Team-Coaching-Chat, Meeting-Vorbereitung) ersetzt unser Server automatisch die Namen aller Teammitglieder — auch in Freitextfeldern wie Team-Canvas-Notizen — durch neutrale Platzhalter (z. B. „Team-Mitglied A“, „Team-Mitglied B“), bevor überhaupt eine Anfrage an Gemini gesendet wird. Google erhält dadurch zu keinem Zeitpunkt die echten Namen Ihrer Kolleginnen und Kollegen. Erst nachdem die KI geantwortet hat, setzt unser Server die Platzhalter serverseitig wieder durch die echten Namen zurück, bevor Ihnen das Ergebnis angezeigt wird — auch bei Antworten, die live Wort für Wort einblendet werden („Streaming“). Bei rein persönlichen KI-Funktionen (persönlicher Report, Wochenfokus, geführtes Onboarding, persönlicher Coaching-Chat) wird auf dieselbe Weise sogar Ihr eigener Name durch einen Platzhalter ersetzt, bevor die Anfrage Google erreicht — Google erhält also zu keinem Zeitpunkt Ihren echten Namen im Klartext, auch nicht bei Anfragen, die nur Ihre eigenen Daten betreffen. Dies ist Pseudonymisierung im Sinne von Art. 4 Nr. 5 DSGVO: Die Zuordnung zwischen Platzhalter und echtem Namen wird für jede Anfrage neu erzeugt und verlässt zu keinem Zeitpunkt unsere Server — sie wird weder an Google übermittelt noch dort gespeichert. Selbst im hypothetischen Fall eines Sicherheitsvorfalls bei Google enthielten die dort verarbeiteten Texte keine echten Namen, die sich einer bestimmten Person zuordnen ließen.
Keine Klartext-Protokollierung auf unseren Servern: Unsere Serverprotokolle enthalten keine Rohinhalte von KI-Anfragen oder -Antworten (also keine Stärkenprofile, Team-Daten oder Coaching-Texte im Klartext) — zur Fehlerdiagnose werden ausschließlich technische Metadaten wie Textlängen protokolliert. Auch unsere eigenen Mitarbeitenden können Inhalte Ihrer KI-Gespräche daher nicht über Server-Logs einsehen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — die KI-Funktionen sind Bestandteil des gebuchten Dienstes).

10. Internationale Datenübermittlungen

Die Plattform wird auf Google Firebase (us-central1, USA) betrieben. Datenübermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Frameworks (Google LLC und Stripe Inc. sind jeweils zertifiziert) sowie ergänzend auf Basis der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Für Google Analytics gilt zusätzlich die IP-Anonymisierung; für PostHog werden Daten ausschließlich über die EU-Cloud-Instanz (Frankfurt) verarbeitet.

11. Änderungen

Diese Datenschutzerklärung kann aktualisiert werden, wenn sich unsere Datenverarbeitung ändert. Die aktuelle Fassung finden Sie stets auf dieser Seite.