Datenschutz­erklärung

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO: Cornelius Krämer, Kalkstraße 135, 51377 Leverkusen, E-Mail: [email protected]. Weitere Angaben im Impressum.

2. Deine Rechte

Du hast jederzeit das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21). Für Anfragen genügt eine E-Mail an die oben genannte Adresse.

Beschwerderecht: Dir steht ein Beschwerderecht bei einer Datenschutz-Aufsichtsbehörde zu. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, ldi.nrw.de. Du kannst dich auch an die Aufsichtsbehörde deines Wohnsitzes wenden.

Keine automatisierte Entscheidungsfindung: Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt.

3. Server-Logfiles & Hosting

Die Seite wird bei Railway (Region EU-West) über den Webserver Caddy ausgeliefert; das DNS, der TLS-Schutz und das CDN laufen über Cloudflare. Bei jedem Aufruf fallen technisch bedingt Server-Logfiles an (u. a. IP-Adresse, Browsertyp/-version, Betriebssystem, Referrer-URL, Uhrzeit). Rechtsgrundlage ist unser berechtigtes Interesse am sicheren, stabilen Betrieb und an der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO). Die Übertragung erfolgt durchgängig TLS-/HTTPS-verschlüsselt.

4. Lokale Einstellungen & Warenkorb

Theme (hell/dunkel), Sprachwahl und der Warenkorb werden ausschließlich lokal im Browser gespeichert (localStorage/sessionStorage: sfa-theme, sfa-lang, sfa-cart, sfa-last-order) und nicht an uns übertragen, solange du keinen Kauf/keine Freischaltung auslöst. Schriften werden lokal ausgeliefert — kein Google-Fonts-CDN. Ohne deine Einwilligung werden keine Analyse- oder Marketing-Cookies gesetzt.

5. Konto & Anmeldung

Für „Meine Skills", Käufe und Downloads kannst du ein Konto anlegen. Die Authentifizierung erfolgt über Supabase (Auth/Datenbank/Storage; Region EU). Anmeldung wahlweise per Magic-Link (passwortlos per E-Mail) oder per OAuth über Google, GitHub oder Discord. Dabei verarbeiten wir deine E-Mail-Adresse, ggf. Anzeigename/Avatar des Anbieters sowie eine interne Nutzer-ID; mehrere Anmeldewege mit derselben E-Mail werden demselben Konto zugeordnet. Rechtsgrundlage: Vertrag/Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Die Bereitstellung dieser Daten ist freiwillig; ohne Konto kannst du die frei zugänglichen Bereiche weiter nutzen, jedoch keine persönlichen Funktionen wie „Meine Skills", Freischaltungen oder Downloads. Meldest du dich über Google, GitHub oder Discord an, beziehen wir Anzeigename und Avatar vom jeweiligen Anbieter als Datenquelle (Art. 14 DSGVO).

6. Kostenlose Bereitstellung

Alle Skills & Agents werden derzeit unentgeltlich bereitgestellt. Es findet keine Zahlungsabwicklung statt; es werden keine Zahlungsdaten erhoben und keine Daten an einen Zahlungsdienstleister übermittelt.

7. Auslieferung & Lizenzschlüssel

Kostenlos freigeschaltete Skills werden ausschließlich nach Anmeldung und Besitzprüfung ausgeliefert — wahlweise per Installations-Befehl (CLI) oder über kurzlebige, signierte Download-Links aus einem nicht-öffentlichen Speicher. In die heruntergeladene Datei wird zum Lizenznachweis eine persönliche LICENSE.txt eingebettet, die deinen Lizenzschlüssel, deine E-Mail-Adresse, das Kaufdatum und die Bestell-Referenz enthält. Rechtsgrundlage: Vertrag (Art. 6 Abs. 1 lit. b DSGVO).

8. Statistik

Wir zählen ausschließlich aggregierte Aufruf- und Download-Zahlen je Skill. Dabei werden keine IP-Adressen, keine Besucher-IDs und keine personenbezogenen Daten gespeichert; ein Cookie-Banner ist hierfür nicht erforderlich. Rechtsgrundlage: berechtigtes Interesse an einer einfachen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

Web-Analyse & Werbung mit Google — nur mit deiner Einwilligung

Wenn du im Cookie-Banner zustimmst, setzen wir Google Analytics 4 (Reichweiten- und Nutzungsanalyse) und/oder Google Ads (Messung des Werbeerfolgs, Remarketing) ein. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Konzernmutter: Google LLC, USA). Dabei werden Cookies bzw. ähnliche Kennungen gesetzt und Nutzungs- sowie Gerätedaten verarbeitet.

Die Google-Tags werden erst nach deiner Einwilligung geladen — vorher findet keine Verbindung zu Google statt (Google Consent Mode, Variante „basic"). Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); die damit verbundene Datenübermittlung in die USA stützt sich auf deine ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO) sowie das EU-US Data Privacy Framework. Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß widerrufen oder anpassen.

9. Öffentliche Inhalte: Profil, Bewertungen & Creator-Nennung

Einige Funktionen veröffentlichen Angaben von dir im offenen Netz — sichtbar für alle und über Suchmaschinen auffindbar. Das geschieht nur, wenn du die jeweilige Funktion aktiv nutzt bzw. einschaltest:

• Öffentliches Profil (/u/<handle>) — Anzeigename, Handle, Kurzbeschreibung, Website-Link und Avatar. Nur bei aktiviertem Opt-in in den Einstellungen; standardmäßig ist das Profil nicht öffentlich.
• Bewertungen — Bewertungstext, Sterne und Datum. Dein Klarname erscheint nur, wenn du die Namensanzeige aktiviert hast; andernfalls steht dort „Verifizierter Käufer".
• Creator-Nennung — wer einen Skill einreicht, wird auf der Skill-Seite als Urheber genannt (ebenfalls abhängig von der Namensanzeige).

Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du jederzeit in den Einstellungen mit Wirkung für die Zukunft widerrufen kannst. Bitte beachte: Einmal veröffentlichte Inhalte können von Suchmaschinen indexiert oder von Dritten kopiert worden sein — darauf haben wir keinen Einfluss. Löschst du dein Konto, wird eine abgegebene Bewertung anonymisiert (Name entfernt, Bewertungstext gelöscht), damit die Sterne-Statistik anderer Nutzer nicht verfälscht wird.

10. Missbrauchsabwehr & Sicherheit

Zum Schutz der Auslieferung verarbeiten wir technisch notwendige Sicherheitsdaten. Deine IP-Adresse speichern wir dabei nicht im Klartext, sondern nur als nicht rückrechenbaren Hash-Wert:

• Auslieferungs-Drosselung — gehashter IP-Wert und Zeitstempel, um massenhafte automatisierte Downloads zu verhindern (automatische Löschung nach 24 Stunden).
• Sicherheitsberichte des Browsers (Content-Security-Policy) — gehashter IP-Wert, blockierte Adresse, Zeitpunkt (automatische Löschung nach 30 Tagen).
• Installations- und Auslieferungs-Token — mit deinem Konto verknüpft, damit ausschließlich du deine freigeschalteten Skills laden kannst.

Rechtsgrundlage: berechtigtes Interesse an Betriebssicherheit und Missbrauchsabwehr (Art. 6 Abs. 1 lit. f DSGVO).

11. Newsletter

Sofern ein Newsletter angeboten und von dir abonniert wird, verarbeiten wir deine E-Mail-Adresse im Double-Opt-in-Verfahren auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung ist jederzeit mit Wirkung für die Zukunft widerrufbar. (Derzeit nicht aktiv.)

12. Kontaktaufnahme

Bei Kontakt per Formular oder E-Mail verarbeiten wir deine Angaben zur Bearbeitung der Anfrage (Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO).

13. Empfänger & Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter ein und schließen mit ihnen, soweit erforderlich, Auftragsverarbeitungsverträge nach Art. 28 DSGVO (bzw. deren Standard-Auftragsverarbeitungsklauseln) ab:

• Supabase — Konto/Authentifizierung, Datenbank, Datei-Speicher (Region EU); versendet auch die Anmelde-Links (Magic-Link) und System-E-Mails über einen Versanddienstleister als Subunternehmer.
• Railway — Hosting der Anwendung (Region EU-West).
• Cloudflare — DNS, CDN, TLS und Angriffsabwehr (USA/global).
• Strato — Domain-Registrierung.

Nutzt du die Anmeldung per OAuth, findet der Anmeldevorgang bei Google, GitHub bzw. Discord statt; der jeweilige Anbieter erfährt dabei, dass du dich bei skills-for-ai anmeldest, und verarbeitet die Anmeldedaten in eigener Verantwortung (teils in den USA). Diese Anbieter sind insoweit keine Auftragsverarbeiter.

14. Übermittlung in Drittländer

Einzelne Dienste (insb. Cloudflare) können Daten in den USA verarbeiten. Eine Übermittlung erfolgt nur auf Grundlage geeigneter Garantien (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework).

15. Speicherdauer

• Konto- und Besitzdaten — bis zur Löschung deines Kontos bzw. solange dies für die Bereitstellung freigeschalteter Skills erforderlich ist.
• Bewertungen — bis du sie zurückziehst oder dein Konto löschst (danach anonymisiert, s. Abschnitt 9).
• Server-Logfiles — kurzzeitig zur Betriebssicherheit, danach automatische Löschung.
• Auslieferungs-Drosselung — 24 Stunden.
• Sicherheitsberichte (CSP) — 30 Tage.
• Einwilligungs-Nachweise — solange das Konto besteht; danach so lange, wie wir die Rechtmäßigkeit der Verarbeitung nachweisen können müssen.

Im Übrigen löschen wir Daten, sobald der Zweck entfällt und keine gesetzliche Aufbewahrungspflicht entgegensteht.