Datenschutzerklärung
Stand: 5. August 2026
1. Verantwortlicher
Xherdi Lika, Gubitzstr. 6, 10409 Berlin, Deutschland E-Mail: support@decksmd.app
Ein Datenschutzbeauftragter ist gesetzlich nicht zu benennen.
2. Geltungsbereich — und was ausdrücklich nicht erfasst ist
Diese Erklärung gilt für die Website decksmd.app und den Abonnementdienst DecksMD Pro. Die vertraglichen Bedingungen des Dienstes regeln unsere Nutzungsbedingungen; für Fragen der Datenverarbeitung ist diese Erklärung maßgeblich.
Sie gilt nicht für die kostenlose Nutzung des Obsidian-Plugins mit eigenen
API-Schlüsseln. Wählen Sie im Plugin einen eigenen Anbieter (OpenAI, Anthropic, Google oder
ein lokales Modell), so sendet das Plugin Ihre Inhalte direkt von Ihrem Gerät an diesen
Anbieter. Diese Daten erreichen unsere Server zu keinem Zeitpunkt. Ihre API-Schlüssel
werden ausschließlich lokal in einer Datei im Plugin-Verzeichnis gespeichert
(ai-keys.json), nicht mit Ihrem Vault synchronisiert und niemals an uns übertragen.
Ohne KI-Funktionen arbeitet das Plugin vollständig offline: Karten, Lernfortschritt und Statistiken bleiben in Ihrem Vault.
3. Verarbeitung Ihrer Inhalte durch DecksMD Pro
Dies ist der wichtigste Abschnitt dieser Erklärung.
Was übertragen wird
Wenn Sie DecksMD Pro zur Kartengenerierung nutzen, überträgt das Plugin an unseren Dienst:
- den Text der ausgewählten Notiz bzw. des ausgewählten Abschnitts,
- Ihre Anweisung (etwa „erstelle Karten zu Kapitel 3”),
- bereits erzeugte Karten des laufenden Vorgangs, damit keine Dubletten entstehen,
- bei PDF- und Bildverarbeitung die gerenderten Seitenbilder der von Ihnen gewählten Seiten.
Diese Inhalte können personenbezogene Daten enthalten, wenn Ihre Notizen solche enthalten.
Was damit geschieht
Unser Server nimmt die Anfrage entgegen, ergänzt sie um die Systemanweisung und leitet sie an OpenRouter, Inc. weiter, das die Anfrage an das jeweils passende Sprachmodell weiterreicht. Die Antwort wird an Ihr Gerät zurückgegeben.
Ihre Inhalte werden dabei nicht gespeichert. Sie werden ausschließlich für die Dauer der Anfrage verarbeitet und danach verworfen. Notizinhalte, Anweisungen, Bilder und erzeugte Karten legen wir zu keinem Zeitpunkt ab. Auch in unseren Protokollen erscheinen keine Inhalte: Im Fehlerfall protokollieren wir ausschließlich den Fehlerstatus, die Bezeichnung des angefragten Modells und die Fehlermeldung des Anbieters.
Wir verwenden Ihre Inhalte nicht zum Training von KI-Modellen. Darüber hinaus übermitteln wir jede Anfrage mit einer ausdrücklichen Kennzeichnung, die eine Speicherung und eine Verwendung zu Trainingszwecken untersagt, und lassen Anfragen ausschließlich von Anbietern verarbeiten, deren veröffentlichte Richtlinien ein Training mit den übermittelten Inhalten sowie deren Speicherung ausschließen. Diese Kennzeichnung setzen wir technisch bei jeder einzelnen Anfrage; die tatsächliche Verarbeitung durch den jeweiligen Anbieter richtet sich nach dessen eigenen veröffentlichten Richtlinien.
Nach Abschluss einer Anfrage speichern wir lediglich Verbrauchszahlen: die Anzahl verarbeiteter Tokens und die entstandenen Kosten. Aus diesen Zahlen lässt sich der Inhalt Ihrer Notizen nicht rekonstruieren.
Rechtsgrundlage
Art. 6 Abs. 1 lit. b DSGVO — die Verarbeitung ist zur Erfüllung des Vertrags erforderlich, denn sie ist die von Ihnen beauftragte Leistung.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)
Viele Nutzerinnen und Nutzer lernen medizinische, pflegerische oder psychologische Inhalte. Hierzu ist eine Klarstellung wichtig:
Lernmaterial über ein Fachgebiet ist in aller Regel kein Gesundheitsdatum im Sinne des Art. 9 DSGVO. Eine Karte über die Symptome einer Erkrankung, ein Lehrbuchauszug oder ein Vorlesungsskript enthält keinen Personenbezug — es gibt keine betroffene Person, auf die sich die Angaben beziehen. Solche Inhalte können Sie unbedenklich verarbeiten lassen.
Anders liegt es bei Unterlagen, die sich auf konkrete Personen beziehen: Patientenakten, Fallberichte mit identifizierbaren Angaben, Befunde, Therapieprotokolle oder vergleichbare Dokumente. Diese enthalten besondere Kategorien personenbezogener Daten.
Wir bitten Sie ausdrücklich, solche Unterlagen nicht zu übermitteln. Der Dienst ist dafür nicht bestimmt, wir fordern derartige Daten nicht an und richten unsere Verarbeitung nicht auf sie aus. Gleiches gilt für personenbezogene Daten Dritter, für die Sie keine Rechtsgrundlage haben.
Übermitteln Sie dennoch solche Inhalte, gilt: Wir verarbeiten sie ausschließlich als Teil der von Ihnen beauftragten Generierung, speichern sie nicht (siehe oben) und werten sie nicht aus. Eine eigenständige Verarbeitung besonderer Kategorien im Sinne des Art. 9 Abs. 1 DSGVO ist von uns weder bezweckt noch findet sie statt. Für die Zulässigkeit der Eingabe bleiben Sie verantwortlich — insbesondere gegenüber den betroffenen Personen und, bei beruflichen Unterlagen, im Hinblick auf Ihre Schweigepflicht.
Für Notizen mit personenbezogenem Inhalt empfehlen wir, im Plugin ein lokales Modell zu verwenden. Dann verlassen die Daten Ihr Gerät nicht (siehe Ziffer 2).
4. Drittlandübermittlung an OpenRouter (USA)
OpenRouter, Inc. mit Sitz in den Vereinigten Staaten ist der Modell-Gateway-Anbieter, über den wir die KI-Verarbeitung abwickeln. Mit der Nutzung von DecksMD Pro werden die unter Ziffer 3 genannten Inhalte in die USA übermittelt.
OpenRouter leitet die Anfrage seinerseits an den jeweiligen Modellanbieter weiter, der die Verarbeitung tatsächlich durchführt. Diese Anbieter sind Unterauftragsverarbeiter von OpenRouter; sie können in den USA oder in weiteren Drittländern ansässig sein. Welcher Anbieter zum Einsatz kommt, hängt vom jeweiligen Fachgebiet und der gewählten Qualitätsstufe ab und kann sich ändern.
Die USA sind ein Drittland ohne generellen Angemessenheitsbeschluss für alle Empfänger. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil unserer Vereinbarung mit OpenRouter sind.
Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf Basis dortiger Gesetze Zugriff auf Daten verlangen und dass Ihnen insoweit keine mit dem EU-Recht vergleichbaren Rechtsbehelfe zur Verfügung stehen. Auf dieses Risiko weisen wir ausdrücklich hin.
Eine Kopie der Garantien erhalten Sie auf Anfrage unter support@decksmd.app.
5. Konto und Anmeldung
Zur Nutzung von DecksMD Pro benötigen Sie ein Konto.
| Daten | Zweck | Rechtsgrundlage |
|---|---|---|
| E-Mail-Adresse, Nutzer-ID | Kontoverwaltung, Anmeldung, Zuordnung des Abonnements | Art. 6 Abs. 1 lit. b |
| Passwort-Hash bzw. Google-Anmeldung | Authentifizierung | Art. 6 Abs. 1 lit. b |
| Kontostatus, Zeitstempel | Vertragsdurchführung | Art. 6 Abs. 1 lit. b |
Die Anmeldung wird über Supabase abgewickelt; das Projekt wird in einer Region innerhalb der EU betrieben. Für den Versand der Konto-E-Mails (Bestätigung der Registrierung, Zurücksetzen des Passworts) nutzen wir Resend; dabei werden Ihre E-Mail-Adresse und der Zustellstatus in den USA verarbeitet, gestützt auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Diese E-Mails enthalten keine Zähl- oder Öffnungs-Pixel und keine Klick-Nachverfolgung. Bei Anmeldung über Google werden von Google die dafür erforderlichen Daten (Name, E-Mail-Adresse) an uns übermittelt; es gilt insoweit zusätzlich die Datenschutzerklärung von Google.
6. Geräteverbindung
Verbinden Sie Ihren Vault mit Ihrem Konto, entsteht ein Gerätetoken.
- Vom Token speichern wir ausschließlich einen kryptografischen Hashwert, nie den Token selbst. Aus diesem Wert lässt sich der Token nicht zurückrechnen.
- Ebenfalls gespeichert werden der Name Ihres Vaults als Bezeichnung, eine zufällige Geräte-ID, sowie Zeitpunkt der Verbindung und der letzten Nutzung.
- Die einmaligen Verbindungscodes werden ebenfalls nur als Hashwert gespeichert und verfallen nach fünf Minuten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse an der Absicherung der Zugänge und daran, verbundene Geräte für Sie sichtbar und widerrufbar zu machen.
7. Verbrauch und Abrechnung
Wir speichern je Konto die verbrauchten Tokens und die entstandenen Kosten für den laufenden Tag und Monat, das verbleibende kostenlose Kontingent sowie monatliche Summenwerte der Vormonate.
Zweck: Durchsetzung der vereinbarten Nutzungsgrenzen, Abrechnung, Erkennung missbräuchlicher Nutzung. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Missbrauchsvermeidung und Kostenkontrolle).
8. Zahlungsabwicklung
Der Verkauf erfolgt über Lemon Squeezy LLC als Merchant of Record. Zahlungsdaten (Kartendaten, Rechnungsanschrift, Steuerdaten) geben Sie unmittelbar bei Lemon Squeezy ein; wir erhalten und speichern keine Zahlungsdaten.
Von Lemon Squeezy erhalten wir per Webhook: Abonnement-, Kunden-, Bestell- und Varianten-ID, Status, Verlängerungs- und Enddatum sowie die E-Mail-Adresse. Diese Daten benötigen wir, um Ihr Abonnement Ihrem Konto zuzuordnen und den Zugang freizuschalten.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die steuerliche Aufbewahrung Art. 6 Abs. 1 lit. c DSGVO.
9. Website, Protokolle und Reichweitenmessung
Hosting: Die Website wird bei Vercel betrieben, der Dienst bei Cloudflare. Unsere Datenbank wird mit primärem Standort innerhalb der EU betrieben. Beim Abruf verarbeiten die Anbieter technisch notwendige Verbindungsdaten einschließlich IP-Adresse. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (sichere und funktionsfähige Bereitstellung).
Reichweitenmessung: Wir nutzen Vercel Web Analytics. Der Dienst arbeitet ohne Cookies und ohne geräteübergreifende Wiedererkennung; er erhebt aggregierte Kennzahlen wie aufgerufene Seiten, Herkunftsland und Gerätetyp. Ein Personenbezug wird nicht hergestellt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der statistischen Auswertung der Nutzung).
Schriftarten: Die verwendete Schriftart (Inter) wird von unseren eigenen Servern ausgeliefert. Es besteht keine Verbindung zu Google Fonts oder einem anderen Schriftarten-CDN; eine Übermittlung Ihrer IP-Adresse an Dritte findet zu diesem Zweck nicht statt.
Cookies: Wir setzen ausschließlich technisch notwendige Cookies für Ihre Anmeldesitzung. Es werden keine Werbe- oder Tracking-Cookies gesetzt. Eine Einwilligungspflicht besteht insoweit nicht (§ 25 Abs. 2 Nr. 2 TDDDG).
Administrationsprotokoll: Änderungen an Konten durch die Administration (etwa Sperrung oder Freischaltung) werden mit Zeitpunkt und auslösender Person protokolliert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Nachvollziehbarkeit).
10. Empfänger im Überblick
| Empfänger | Rolle | Verarbeitete Daten | Ort |
|---|---|---|---|
| Cloudflare, Inc. | Betrieb von Dienst und Datenbank | Verbindungsdaten, Kontodaten | EU (Datenbank), weltweit |
| OpenRouter, Inc. | KI-Verarbeitung | Ihre übermittelten Inhalte | USA |
| Supabase, Inc. | Authentifizierung | E-Mail-Adresse, Nutzer-ID | EU |
| Resend (Plus Five Five, Inc.) | Versand von Konto-E-Mails | E-Mail-Adresse, Zustellstatus | USA |
| Lemon Squeezy LLC | Merchant of Record, Zahlungen | Zahlungs- und Abonnementdaten | USA |
| Vercel, Inc. | Website-Hosting, Reichweitenmessung | Verbindungsdaten, Nutzungsstatistik | USA/EU |
| Google LLC | Nur bei Anmeldung über Google | Name, E-Mail-Adresse | USA |
Über die genannten Empfänger hinaus geben wir Ihre Daten nicht weiter, es sei denn, wir sind gesetzlich dazu verpflichtet.
Die eingesetzten Dienstleister können sich im Laufe der Zeit ändern. Wir aktualisieren diese Übersicht entsprechend; maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung.
11. Speicherdauer
- Kontodaten: für die Dauer des Kontos; nach Löschung des Kontos entfernt, soweit keine Aufbewahrungspflicht entgegensteht.
- Abonnement- und Rechnungsdaten: aufgrund handels- und steuerrechtlicher Aufbewahrungspflichten bis zu zehn Jahre (§ 147 AO, § 257 HGB).
- Gerätetoken: bis zum Widerruf des Geräts oder zur Löschung des Kontos.
- Verbindungscodes: fünf Minuten.
- Monatliche Verbrauchssummen: bis zur Löschung des Kontos.
- Ihre Inhalte: werden nicht gespeichert (Ziffer 3).
12. Ihre Rechte
Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21).
Zur Ausübung genügt eine formlose Nachricht an support@decksmd.app. Wir antworten innerhalb der gesetzlichen Frist von einem Monat. Eine Selbstbedienungsfunktion zur Kontolöschung ist in Vorbereitung; bis dahin löschen wir Ihr Konto auf diese Anfrage hin manuell.
Sie haben zudem das Recht auf Beschwerde bei einer Aufsichtsbehörde. Für uns zuständig ist:
Berliner Beauftragte für Datenschutz und Informationsfreiheit Alt-Moabit 59–61, 10555 Berlin www.datenschutz-berlin.de
13. Änderungen dieser Erklärung
Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Datum oben zeigt den Stand.