Datenschutzerklärung

Informationen zur Verarbeitung personenbezogener Daten gem. Art. 13 / Art. 14 DSGVO. Stand: 04.10.2026.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung personenbezogener Daten im Sinne von Art. 4 Nr. 7 DSGVO ist:

Benjamin Lison
Lindoza (Einzelunternehmen)
Am Kohlgarten 10
38442 Wolfsburg
Deutschland
E-Mail: software@lindoza.com

2. Zuständige Aufsichtsbehörde

Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
https://lfd.niedersachsen.de

3. Was ist Lindoza? — Kurz und ehrlich

Lindoza ist ein Voice-AI-Trainingsraum: du beschreibst eine Person (z. B. deinen Chef, eine Kundin, ein Familienmitglied) und übst in einem gesprochenen Rollenspiel ein schwieriges Gespräch — bevor es im echten Leben passiert. Dabei verarbeiten wir besonders sensible Daten (deine Stimme, deine Beschreibungen anderer Menschen, Gesprächsinhalte zu Themen wie Konflikt, Bewerbung, Beziehung). Wir nehmen das ernst — und legen offen, was passiert.

4. Welche Daten wir verarbeiten

Erforderlichkeit der Bereitstellung (Art. 13 Abs. 2 lit. e DSGVO). Die Bereitstellung deiner E-Mail-Adresse ist vertraglich erforderlich für die Account-Anlage und Authentifizierung — ohne sie kann Lindoza nicht genutzt werden. Die Bereitstellung deiner Voice-Audio-Daten ist für die Kernfunktion (Übungs- Sessions) erforderlich; ohne sie ist das gesprochene Roleplay nicht möglich. Andere Daten (Persona-Beschreibungen, Wallet-Topup für kostenpflichtige Sessions) sindfreiwillig — wenn du sie nicht bereitstellst, kannst du den Dienst ohne Konversations-Funktion bzw. mit dem kostenlosen Probekontingent nutzen.

4.1 Account-Daten

• E-Mail-Adresse — zum Login (Magic-Link) und für transaktionale Benachrichtigungen
• Wallet-Stand und Topup-Historie — für Abrechnung
• IP-Adresse + User-Agent — kurzzeitig in Server-Logs zur Missbrauchs-Erkennung

4.2 Inhaltliche Daten

• Persona-Beschreibungen — Texte, die du selbst über fiktive oder reale Personen anlegst (Name, Charakter, typische Sätze, Trigger)
• Voice-Audio — die Stimme, die du sprichst, während du eine Übungs-Session führst (biometrische Daten, Art. 9 DSGVO). Wird ausschließlich live zur Transkription verarbeitet und nicht gespeichert — siehe Speicherdauer.
• Transkripte — deine gesprochene Sprache wird automatisch in Text umgewandelt
• Konversations-Verlauf — deine Sätze + KI-generierte Antworten der Persona
• Mustererkennung — KI-basierte Auswertung des Gesprächsstils (Pausen, Wortwahl, Themen) zur persönlichen Reflexion

4.3 Zahlungsdaten

• Kreditkartendaten werden nicht von uns, sondern direkt von Stripe verarbeitet (PCI-DSS Level 1, EU-Vertragspartner Stripe Payments Europe Ltd. in Irland). Wir sehen nur die Zahlungs-Bestätigung + Beträge.

5. Wofür wir die Daten nutzen (Verarbeitungszwecke)

5.1 Bereitstellung der Übungs-Sessions

Zweck: dir das Kerngerät bereitstellen — gesprochene Konversationen mit KI-Personas führen.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO),ausdrückliche Einwilligung für biometrische und ggf. gesundheits-/lebensbezogene Daten (Art. 9 Abs. 2 lit. a DSGVO).

5.2 Konto-Verwaltung & Wallet

Zweck: Login, Authentifizierung, Abrechnung deines Guthabens.
Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

5.3 Analyse deiner eigenen Sitzungen

Zweck: dir Muster zeigen (z. B. „Du sprichst in Stress-Momenten schneller“), damit du dich verbessern kannst.
Rechtsgrundlage: Vertragserfüllung + dein berechtigtes Interesse an deiner persönlichen Reflexion (Art. 6 Abs. 1 lit. b, f DSGVO).

5.4 Sicherheit & Missbrauchsverhinderung

Zweck: Plattform vor Angriffen, Fraud und automatisiertem Missbrauch schützen.
Rechtsgrundlage: Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

5.5 Rechtliche Pflichten

Zweck: Erfüllung gesetzlicher Aufbewahrungs- und Melde-Pflichten (z. B. Steuerrecht für Stripe-Rechnungen).
Rechtsgrundlage: Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO).

6. Speicherdauer

• Account-Daten: bis zur Account-Löschung; danach max. 30 Tage in Backups, dann vollständige Löschung.
• Voice-Audio: wird nicht gespeichert — die Stimme wird ausschließlich live zur Echtzeit-Transkription verarbeitet (Transport via LiveKit, Spracherkennung via Deepgram am EU-Endpoint mit Model-Improvement-Opt-out) und nicht aufbewahrt. Persistiert wird nur das Text-Transkript.
• Transkripte + Persona-Texte: bis du sie selbst löschst oder den Account beendest.
• Wallet-/Zahlungs-Belege: 10 Jahre (steuerrechtliche Aufbewahrungspflicht, § 147 AO).
• Server-Logs (IP, etc.): max. 14 Tage.

7. Wer hat Zugriff (Empfänger / Sub-Processors)

Wir nutzen sorgfältig ausgewählte Dienstleister, die uns helfen, Lindoza bereitzustellen. Mit jedem haben wir einen Auftragsverarbeitungsvertrag (AVV / DPA) nach Art. 28 DSGVO und — wo Daten in Drittländer fließen — EU-Standardvertragsklauseln 2021/914 + ggf. EU-US Data Privacy Framework.

Im Überblick — gegliedert nach Verarbeitungs-Kategorie:

• Datenbank & Authentifizierung: Supabase (🇪🇺 Frankfurt, EU-Hauptverarbeitung — kein Drittland-Transfer für Account-, Persona- und Session-Daten; kein Audio — das wird nicht persistiert)
• Web-Hosting & Serverless Functions: Vercel (🇪🇺 Frankfurt Compute + 🇺🇸 Edge-Cache, mit DPF + SCC 2021/914)
• Sprach- und KI-Verarbeitung (Voice-Pipeline): spezialisierte Anbieter für Spracherkennung, KI-Roleplay (LLM), Sprachsynthese und Voice-Transport (überwiegend 🇺🇸 USA, jeweils mit SCC 2021/914 + zusätzliche Datenschutzmaßnahmen wie Log-Retention-Limits, Zero-Retention-Mode und EU-Endpoints, soweit beim jeweiligen Anbieter verfügbar)
• Hintergrund-Analyse-Jobs: Job-Orchestration-Anbieter (🇺🇸 USA, mit SCC 2021/914)
• Zahlungsabwicklung: Stripe (EU-Vertragspartner SPEL in 🇪🇺 Irland + 🇺🇸 PCI-Vault-Affiliates, mit SCC 2021/914)
• Transaktionale E-Mails: Resend (🇺🇸 USA, mit SCC 2021/914)
• Marketing-Conversion-Tracking auf öffentlicher Landingpage (nur nach Cookie-Einwilligung, siehe Punkt 11.3): Google LLC (🇺🇸 USA, mit EU-US Data Privacy Framework + SCC 2021/914)
• Produkt-Analytics & Session-Replay: PostHog Inc. (Hauptverarbeitung 🇪🇺 EU-Cloud, mit EU-US Data Privacy Framework + SCC 2021/914). Ausschließlich auf den öffentlichen Marketing-Seiten und nur nach Cookie-Einwilligung — nicht im eingeloggten App-Bereich (siehe Punkt 11.4).

Eine vollständige Liste der einzelnen Anbieter inkl. Datenkategorien, Region, technischen Schutzmaßnahmen und Auftragsverarbeitungs-Verträgen stellen wir auf Anfrage an software@lindoza.com zur Verfügung. Aufsichtsbehörden, Wirtschaftsprüfer und Geschäftskunden, deren Compliance dies erfordert, erhalten die Liste sofort.

8. Drittland-Übermittlungen (USA)

Mehrere unserer Sub-Processors verarbeiten Daten in den USA. Die rechtliche Grundlage für diese Übermittlungen ist:

• das EU-US Data Privacy Framework (Adäquanzbeschluss der EU-Kommission vom 10. Juli 2023), soweit der jeweilige Anbieter zertifiziert ist;
• ergänzend bzw. ersatzweise EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021);
• jeweils begleitet durch technische Schutzmaßnahmen wie AES-256-Verschlüsselung, DTLS-SRTP für Voice-Streams, TLS 1.2+ im Transport.

Wir sind uns bewusst, dass US-Behörden unter dem CLOUD Act und FISA 702 Zugriffsrechte haben können. Wir minimieren Drittland-Exposition aktiv (z. B. EU-Endpoint bei Deepgram, EU-Region bei Vercel, Supabase Frankfurt) und schließen kontinuierlich Lücken (siehe interne Roadmap: ElevenLabs-EU-Residency, EU-Region für Anthropic sobald verfügbar).

Für unser Google Ads Conversion-Tracking (siehe Punkt 11.3) setzen wir Google Consent Mode v2 mit der Zusatz-Einstellung ads_data_redaction ein. Vor deiner Einwilligung sendet Google keine identifizierenden Daten und setzt keine Cookies; übertragen werden ausschließlich anonyme, cookielose Pings zur statistischen Werbeerfolgs-Messung. Eine Verbindung zur Google-Infrastruktur (auf TCP-Ebene mit IP-Header) ist beim Laden des Tag-Skripts unvermeidbar — Google verpflichtet sich vertraglich, diese IPs im Cookieless-Modus nicht zur Identifikation oder Profilbildung zu verwenden. Nach deiner ausdrücklichen Einwilligung wird auf vollwertiges Conversion-Tracking inkl. Cookies upgegradet.

9. Deine Rechte

Nach DSGVO stehen dir folgende Rechte zu:

• Auskunft (Art. 15 DSGVO) — welche Daten wir zu dir verarbeiten
• Berichtigung (Art. 16 DSGVO) — falscher Daten
• Löschung (Art. 17 DSGVO) — deiner Daten ("Recht auf Vergessenwerden")
• Einschränkung (Art. 18 DSGVO) — der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — deine Daten in maschinenlesbarem Format
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO) — jederzeit mit Wirkung für die Zukunft
• Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO) — bei der LfD Niedersachsen (siehe Punkt 2)

Direkt in der App: unter Einstellungen → Account kannst du Personen, Sessions und deinen kompletten Account jederzeit mit einem Klick löschen — ohne Rückfrage, ohne Restbestände. Für alle anderen Rechte schreibst du uns an software@lindoza.com.

10. Automatisierte Entscheidungen / Profiling

Wir treffen keine automatisierten Einzelentscheidungen im Sinne von Art. 22 DSGVO. Die KI-basierte Mustererkennung deiner Sessions dient ausschließlich deiner persönlichen Reflexion — sie führt zu keiner rechtlichen Wirkung gegenüber dir oder einer Beeinträchtigung deiner Rechte.

11. Cookies & Tracking

11.1 Technisch notwendige Cookies

Wir setzen technisch notwendige Cookies (Session-Cookie für Login, CSRF-Token). Diese sind für den Betrieb der App erforderlich (Art. 6 Abs. 1 lit. b DSGVO / § 25 Abs. 2 Nr. 2 TDDDG) und benötigen keine Einwilligung.

11.2 Cookieless Analytics (Plausible)

Falls wir das cookieless Analyse-Tool Plausible aktivieren, läuft es DSGVO-konform: Server in Deutschland (Falkenstein), keine Cookies, keine Cross-Site-Tracker, keine personenbezogenen Daten. Wir nennen es hier, sobald es aktiv ist.

11.3 Marketing-Conversion-Tracking (Google Ads + Consent Mode v2)

Wir messen mit Google Ads Conversion-Tracking die Effektivität unserer Werbung (z. B. wie viele Besucher sich anmelden, nachdem sie eine Google-Anzeige gesehen haben). Anbieter: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Wir setzen Google Consent Mode v2 ein und betreiben das Tracking in zwei Stufen:

• Vor / ohne deine Einwilligung (Default): Das gtag.js-Skript lädt zwar, sendet aber ausschließlich anonyme, cookielose Pings. Es werden keine Cookies gesetzt, keine Werbe-IDs oder Click-IDs übertragen, und Google entfernt durch die Einstellung ads_data_redaction verbleibende Identifier serverseitig. Auf TCP-Ebene wird — unvermeidbar beim Laden eines Skripts — deine IP-Adresse als Bestandteil der HTTP-Anfrage übertragen; Google verpflichtet sich vertraglich, diese im Cookieless-Modus nicht zur Identifikation, Profilbildung oder Personalisierung zu verwenden. Aus diesen Cookieless-Pings schätzt Google statistisch („modellierte Conversions“) den Werbeerfolg, ohne dass eine einzelne Person nachverfolgt wird. Rechtsgrundlage: berechtigtes Interesse an datenminimierter Werbeerfolgs-Messung (Art. 6 Abs. 1 lit. f DSGVO). § 25 Abs. 1 TDDDG ist nicht einschlägig, da im Default-Zustand keine Informationen auf deinem Endgerät gespeichert oder gelesen werden.
• Nach deiner Einwilligung („Alle akzeptieren“): Wir upgraden via gtag('consent', 'update', 'granted') auf vollwertiges Conversion-Tracking. Dabei werden Conversion-Cookies (max. 90 Tage, Google-Default) gesetzt und Conversions individuell deinem Besuch zugeordnet. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TDDDG) über unseren Cookie-Banner.

Datenübermittlung in die USA: Übermittlung in die USA auf Basis des EU-US Data Privacy Framework (Adäquanzbeschluss vom 10. Juli 2023, Google LLC ist zertifiziert) sowie ergänzend auf Basis von EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021).

Widerruf / Widerspruch: Deine Einwilligung kannst du jederzeit über „Cookie-Einstellungen“ im Footer widerrufen — ab dem Widerruf werden keine vollwertigen Conversion-Cookies mehr gesetzt und wir senden gegenüber Google nur noch Cookieless-Pings. Möchtest du auch diese nicht (Art. 21 DSGVO Widerspruch gegen berechtigtes Interesse), reicht eine formlose E-Mail an software@lindoza.com. Zusätzlich kannst du Werbe-Personalisierung in deinem Google-Konto unter myadcenter.google.com deaktivieren. Weitere Informationen in der Google-Datenschutzerklärung.

Datenminimierung: Wir haben das Tag mit send_page_view: false konfiguriert — gtag sendet keine automatischen Seitenaufruf-Beacons. Google erhält ausschließlich Daten, wenn ein explizites Conversion-Ereignis ausgelöst wird (derzeit: erfolgreiche Anmeldung im Onboarding). Auf keiner Seite — weder Landingpage noch eingeloggter App-Bereich — werden URLs, Klickpfade, Inhalte deiner Sessions, Personas, Transkripte oder Voice-Audio an Google übermittelt.

11.4 Produkt-Analytics & Error-Tracking (PostHog)

Zur Verbesserung unserer öffentlichen Marketing-Seiten setzen wir PostHog ein. Anbieter: PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA. Datenverarbeitung erfolgt in der EU-Cloud (Region eu.i.posthog.com); PostHog Inc. ist als Konzernmutter in den USA ansässig.

Wo & wann: PostHog lädt ausschließlich auf unseren öffentlichen Marketing-Seiten (Startseite, Rechtstexte) und nur nach deiner Einwilligung. Im eingeloggten App-Bereich läuft kein PostHog — dort werden keinerlei Produkt-Events, Interaktionen oder Sessions erfasst.

Was wir erfassen:

• Page-Views & Interaktions-Metadaten (Autocapture: welche Buttons/Links geklickt werden) auf den Marketing-Seiten.
• Session-Replays: Aufzeichnung von Maus-, Scroll- und Klick-Interaktionen auf den Marketing-Seiten. Alle Eingabefelder werden maskiert — eingegebene Inhalte werden nicht aufgezeichnet.
• Fehler-Traces (JavaScript-Exceptions) zur Stabilitäts-Verbesserung. Setzt First-Party-Analytics-Cookies (ph_*).
• Keine Voice-Audios, keine Persona-Inhalte, keine Transkripte — diese entstehen ausschließlich im App-Bereich, in dem PostHog gar nicht lädt.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO + § 25 Abs. 1 TDDDG) über den Cookie-Banner. Vor deinem Klick auf „Alle akzeptieren“ lädt kein PostHog-Skript, es besteht keine Verbindung zu PostHog-Servern und keine Übermittlung deiner IP-Adresse.

Datenübermittlung in die USA: Hauptverarbeitung erfolgt in der EU-Cloud. Soweit PostHog Inc. (USA) als Konzernmutter Daten erhält, geschieht dies auf Basis des EU-US Data Privacy Framework (Adäquanzbeschluss vom 10. Juli 2023, PostHog ist zertifiziert) sowie EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021).

Speicherdauer: Event-Daten max. 12 Monate, danach automatische Löschung oder Aggregation.

Widerruf: Cookie-Einwilligung jederzeit über „Cookie-Einstellungen“ im Footer widerrufbar. Nach dem Widerruf werden keine weiteren Events oder Session-Replays mehr erfasst.

11.5 Pseudonyme First-Party-Cookies (lz_anon, lz_attr)

Zusätzlich zu den unter 11.1 genannten Cookies setzen wir zwei eigene, rein pseudonyme Cookies. Beide sind First-Party-Cookies von lindoza.com, sind httpOnly und SameSite=Lax, laufen nach 180 Tagen ab, werden nicht an Dritte übermittelt und erlauben keine seitenübergreifende Wiedererkennung.

lz_anon — pseudonyme Besucher-ID: eine zufällige Kennung (UUID) ohne jeden Personenbezug. Sie verbindet die Schritte eines Besuchs miteinander (Seitenaufruf, Klick auf einen Button, Registrierung) und dient als Zuordnungsschlüssel unserer A/B-Tests. Sie enthält weder Namen noch E-Mail-Adresse noch Geräte-Kennungen. Auf unseren Landingpages vermerken wir unter dieser Kennung außerdem, ob jemand mindestens eine Bildschirmhöhe weit gescrollt hat und ob die Seite 15 Sekunden sichtbar geöffnet war, jeweils mit der aufgerufenen Seite und der Angabe, ob sie in der App von Instagram, Facebook oder TikTok geöffnet wurde. Damit sehen wir, ob eine Seite gelesen oder sofort verlassen wird. Weitere Inhalte, Klickpfade oder Bildschirmaufnahmen werden dabei nicht erfasst.

lz_attr — Herkunft des ersten Besuchs: hält fest, worüber jemand zu uns gefunden hat. Gespeichert werden eine Kanal-Einordnung (z. B. „Google Ads“, „organische Suche“, „direkt“), die UTM-Parameter der aufgerufenen Adresse, Klick-Kennungen der Werbeplattformen (gclid, gbraid, wbraid, msclkid), der Referrer-Host (nur die Domain, z. B. „google.com“, nie die vollständige Adresse), die zuerst aufgerufene Seite und der Zeitpunkt. Das Cookie wird nur beim allerersten Besuch geschrieben und danach nie überschrieben. Registriert sich jemand später, wird diese Herkunft einmalig am Konto vermerkt, um auswerten zu können, welche Kanäle tatsächlich Nutzer bringen.

Wo sie gesetzt werden: auf allen Seiten von lindoza.com einschließlich Blog (/blog/…) und Tools (/tools/…). Auf Blog- und Tools-Seiten wird ausschließlich lz_attr gesetzt, keine Besucher-ID.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Messung, welche Kanäle zu unserem Angebot führen, und an der Verbesserung des Angebots). Widerspruch: Du kannst beide Cookies jederzeit über die Cookie-Einstellungen deines Browsers löschen oder blockieren; die Nutzung von Website und App bleibt davon unberührt.

12. Voice-AI: Was wir besonders schützen

Deine Stimme und deine Beschreibungen anderer Menschen sind das Sensibelste, was bei uns ankommt. Wir verpflichten uns:

• Keine Trainings-Nutzung — weder Lindoza noch unsere Sub-Processors trainieren KI-Modelle mit deinen Daten.
• Audio wird nicht gespeichert — deine Stimme wird nur live zur Transkription verarbeitet und nicht aufbewahrt; persistiert wird ausschließlich das Transkript (solange du es behältst).

12.1 Persona-Daten Dritter (Art. 14 DSGVO)

Lindoza ist ein Proberaum: du legst Personas an, mit denen du übst. Soweit du dabei Daten realer Dritter (Chef:in, Partner:in, Familienmitglieder) eingibst, gilt Folgendes:

• Du bist Verantwortlicher (Art. 4 Nr. 7 DSGVO) für die Inhalte deiner Persona-Beschreibungen. Lindoza fungiert insoweit als Auftragsverarbeiter (Art. 28 DSGVO) — wir verarbeiten diese Daten ausschließlich zur Bereitstellung der Übungs-Funktion gemäß deinen Eingaben.
• Bitte verwende keine Klarnamen oder eindeutig identifizierbaren Details Dritter — sie haben uns dazu nicht autorisiert. Pseudonyme, Initialen oder Spitznamen reichen für realistisches Üben.
• Wir analysieren Persona-Inhalte nicht zur Identifizierung Dritter, geben sie nicht an externe Empfänger weiter (über die in Punkt 7 genannten Sub-Processors hinaus) und nutzen sie nicht für eigene Zwecke.
• Eine Information aller potenziell betroffenen Dritten nach Art. 14 DSGVO ist uns mangels Kontaktdaten unmöglich; wir berufen uns insoweit auf Art. 14 Abs. 5 lit. b DSGVO (unverhältnismäßiger Aufwand) und dokumentieren diese Abwägung intern.

12.2 Kamera-Analyse auf deinem Gerät (freiwillig)

Vor jeder Runde kannst du „Nur Ton“ (Standard) oder „Mit Kamera“ wählen. Nur mit Kamera und nur nach deiner Einwilligung gilt Folgendes:

• Was gemessen wird: sichtbares Verhalten während deiner Antworten — Blick zur Kamera, Lächeln, Kopfbewegung und Mimik (Bewegung von Augenbrauen und Mund), dazu technisch Licht und Schärfe des Bildes. Nach der Runde kommen aus der Aufnahme Hände und Haltung dazu: ob eine Hand Gesicht, Haare oder Nacken berührt, ob die Arme verschränkt sind, ob der Oberkörper im Lauf der Runde absinkt, wie viel du beim Sprechen gestikulierst und ob die Hände im Bild sind. Wir schließen daraus nicht auf Gefühle, Persönlichkeit oder Gesundheit, sagen nichts über Aussehen, Körper oder Kleidung und identifizieren dich nicht anhand deines Gesichts.
• Wo: ausschließlich auf deinem Gerät, in deinem Browser. Dafür nutzen wir die Open-Source-Bibliothek MediaPipe (Face Landmarker während der Runde; Pose Landmarker und Hand Landmarker für die Nachanalyse nach der Runde). Programm und Modelle liefern wir selbst von lindoza.com aus, nicht von Google-Servern; die in der Bibliothek eingebauten Nutzungsmeldungen an Google sind technisch gesperrt. Kein Bild, kein Video und keine Gesichts- oder Körperpunkte verlassen dein Gerät (einzige Ausnahme, nur mit eigener Einwilligung: Einzelbilder wichtiger Stellen, Punkt 12.3). Dein KI-Gegenüber bekommt kein Kamerabild; das Bild geht auch nicht an LiveKit oder an unsere Analyse-Werkzeuge (Session-Replay blendet es aus).
• Aufnahme auf deinem Gerät: Mit Kamera nimmt dein Browser die Runde auf (nur das Bild; mit „Aufnahme zum Ansehen behalten“ Bild und Ton, einschließlich der Stimme deines KI-Gegenübers) und speichert sie nur lokal in seinem Speicher (IndexedDB) unter lindoza.com, denn die Nachanalyse von Händen und Haltung läuft nach der Runde über diese Aufnahme. Sie startet, sobald du die Auswertung der Runde auf diesem Gerät öffnest; schließt du die Seite vorher, holt sie das beim nächsten Öffnen nach. Die Aufnahme wird nicht an uns oder Dritte übertragen; wir haben keinen Zugriff darauf. Ist „Aufnahme zum Ansehen behalten“ aus, löscht Lindoza sie, sobald die Nachanalyse fertig ist (mit „Wichtige Stellen genauer auswerten“ erst, wenn auch die Einzelbilder geschickt sind, siehe 12.3), spätestens nach 24 Stunden beim nächsten Öffnen der App auf diesem Gerät. Ist der Schalter an, kannst du sie in der Auswertung der Runde ansehen, herunterladen und jederzeit löschen — aber nur auf dem Gerät, mit dem du geübt hast; Lindoza löscht sie nach 7 Tagen beim nächsten Öffnen der App auf diesem Gerät. In beiden Fällen löscht Lindoza sie sofort, wenn du dich auf diesem Gerät abmeldest, dein Konto löschst oder die Einwilligung widerrufst. Heruntergeladene Dateien liegen bei dir; die löscht Lindoza nicht. Dein Browser kann lokale Daten auch selbst löschen (etwa beim Leeren der Websitedaten oder bei Speichermangel).
• Was gespeichert wird: je Antwort eine Handvoll Zahlen (z. B. „82 % der Zeit in die Kamera geschaut“, mittleres Lächeln, Kopfbewegung in Grad pro Sekunde; aus der Nachanalyse z. B. Anteil der Zeit mit Hand am Gesicht, mit verschränkten Armen, mit Gesten beim Sprechen) bei der jeweiligen Antwort deiner Runde (Supabase, Frankfurt), dazu Zeitpunkt und Version deiner Einwilligung und deine zuletzt gewählte Einstellung.
• Bei Proben einer Präsentation: Dieselbe Kamera-Analyse gibt es beim Durchlauf, bei Teilproben und bei der Generalprobe. Die Zahlen gelten dort je Abschnitt deines Vortrags statt je Antwort und hängen an der Probe. Zusätzlich ermittelt dein Browser aus deiner Stimme die betonten Stellen und prüft in der Nachanalyse, ob eine Handbewegung darauf fällt („Geste zur Betonung“); die Zeitpunkte bleiben auf deinem Gerät, gespeichert wird nur die Zählung je Abschnitt (z. B. „bei 5 von 12 betonten Stellen eine Geste“). Mit „Aufnahme zum Ansehen behalten“ enthält die lokale Aufnahme den Ton deines eigenen Mikrofons. Die Tonaufnahme für die Spracherkennung geht wie bei jeder Probe an Deepgram (EU-Endpoint) und wird danach gelöscht; gespeichert wird sie nie.
• Empfänger: Zur Erstellung deiner Auswertung gehen diese Zahlen zusammen mit dem Transkript der Runde an Anthropic (USA); zur Übermittlung in die USA siehe Punkt 8. Bild, Video und Aufnahme gehen an niemanden (Ausnahme mit eigener Einwilligung: Punkt 12.3).
• Zweck: Rückmeldung zu deinem sichtbaren Auftreten in deiner Auswertung.
• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig; ohne sie läuft jede Runde mit „Nur Ton“, ohne Nachteil.
• Speicherdauer: Die Zahlen bleiben in deinen Auswertungen, bis du dein Konto löschst. Sie sind im Datenexport (Einstellungen) enthalten.
• Widerruf: jederzeit unter Einstellungen → Datenschutz, mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Danach startet jede Runde mit „Nur Ton“; in einer laufenden Runde werden ab sofort keine Zahlen mehr gespeichert, und die Kamera schaltet sich nach deiner nächsten Antwort ab, spätestens mit dem Ende der Runde.

12.3 Einzelbilder wichtiger Stellen (freiwillig, eigene Einwilligung)

Nur wenn du unter „Mit Kamera“ zusätzlich „Wichtige Stellen genauer auswerten“ einschaltest und dafür gesondert einwilligst, verlassen einzelne Bilder dein Gerät. Dann gilt:

• Was: Nach der Runde bestimmt Lindoza aus deiner Auswertung und den Kamera-Zahlen höchstens 12 Stellen (etwa Einstieg, Abschluss, stärkster Moment, Wendepunkt, Wegschauen, Hand am Gesicht oder verschränkte Arme, absinkende Haltung). Dein Browser schneidet an jeder Stelle drei Einzelbilder aus der Aufnahme auf deinem Gerät (kurz davor, währenddessen, kurz danach; höchstens 36 Bilder, lange Seite höchstens 768 Pixel) und schickt sie mit dem Text deiner Antwort an dieser Stelle und der Frage davor an Lindoza — nur von dem Gerät, mit dem du geübt hast, und nur, solange die Aufnahme dort liegt. Ohne „Aufnahme zum Ansehen behalten“ bleibt die Aufnahme dafür nach der Nachanalyse noch auf deinem Gerät liegen, bis die Bilder geschickt sind, höchstens 24 Stunden.
• Hintergrund unscharf: Den Hintergrund macht dein Gerät unscharf, bevor ein Bild es verlässt: Lindoza lässt nur dich scharf und zeichnet weitere Personen, Fotos, Poster, Bildschirme und Schrift im Raum weich. Gelingt das nicht sicher, verlässt das Bild dein Gerät nicht. Ganz ausschließen lässt sich nicht, dass mehr scharf bleibt: Was du selbst trägst oder in der Hand hältst, bleibt sichtbar; direkt neben dir können Teile des Raums scharf bleiben, vor allem unruhige Muster und Schrift (etwa eine Logo-Wand); und eine Person direkt neben oder hinter dir kann scharf bleiben, wenn ihr Gesicht nicht erkannt wird oder deines gerade nicht. Ist noch jemand im Bild, lass den Schalter für diese Runde besser aus. Das geschieht vollständig in deinem Browser mit einem Modell, das Lindoza selbst ausliefert; dafür geht keine Anfrage an Dritte.
• Empfänger: Lindoza reicht Bilder und Text sofort an das KI-Modell von Anthropic (USA) weiter. Das ist eine Übermittlung in die USA (siehe Punkt 8). Der Anbieter verarbeitet sie, um die Beobachtungen zu schreiben. Anthropic kann sie nach seinen Bedingungen für begrenzte Zeit aufbewahren, etwa zur Erkennung von Missbrauch; eine Zusage, dass es sie gar nicht aufbewahrt, haben wir derzeit nicht.
• Was gespeichert wird: nur der Text der Beobachtungen (höchstens eine je Stelle, mit Stelle und Zeitpunkt in deiner Aufnahme) bei deiner Runde (Supabase, Frankfurt), dazu Anzahl der Bilder, Modell, Kosten sowie Zeitpunkt und Version deiner Einwilligung. Die Bilder speichert Lindoza nicht — nicht in der Datenbank, nicht in Protokollen, nicht in Analyse- oder Fehlerwerkzeugen.
• Inhalt: Lindoza weist das KI-Modell an, nur Verhalten (Blick, Gesten, Haltung, Bewegung im Gesicht) und Technik (Licht, Bildausschnitt) zu beschreiben, und verwirft vor dem Speichern jede Beobachtung, in der es Aussagen über Gefühle, Aussehen, Kleidung, Körper, Gesundheit, Alter, Geschlecht, sexuelle Identität, Herkunft, Religion oder Weltanschauung, Behinderung oder andere Personen erkennt. Einzelne Fehlgriffe sind trotzdem möglich; markiere sie mit „Stimmt nicht“. Die Beobachtungen gehen in keinen Fortschritt und kein Profil ein.
• Zweck: genauere Rückmeldung zu deinem sichtbaren Auftreten an einzelnen Stellen.
• Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Sie ist freiwillig; ohne sie bleibt jedes Bild auf deinem Gerät, ohne Nachteil.
• Speicherdauer: Die Texte bleiben bei deiner Runde, bis du sie oder dein Konto löschst. Sie sind im Datenexport enthalten.
• Widerruf: jederzeit unter Einstellungen → Datenschutz, auch einzeln; danach verlässt kein Bild mehr dein Gerät, auch nicht aus schon aufgenommenen Runden. Der Widerruf der Kamera-Einwilligung beendet auch diese Einwilligung.

13. Sicherheit

Wir verschlüsseln deine Daten in Transit (TLS 1.2+, DTLS-SRTP für Voice) und at rest (AES-256 in unseren EU-Datenbanken). Zugriffe auf das System sind durch Multi-Faktor-Authentifizierung, rollen-basierte Zugriffskontrolle und Audit-Logs abgesichert.

14. Datenschutz-Folgenabschätzung (DSFA, Art. 35 DSGVO)

Aufgrund der systematischen Verarbeitung biometrischer Daten (Voice-Audio), des Einsatzes neuer KI-Technologien (LLM, TTS, STT) und der Sensibilität der typischen Gesprächs- Kontexte (Konflikt, Beziehung, Mental Health) führt Lindoza nach Art. 35 DSGVO eine Datenschutz-Folgenabschätzung durch und schreibt sie regelmäßig fort. Ergebnis: die identifizierten Risiken sind durch die in Punkt 7 (DPA + SCC), Punkt 12 (Persona-Hinweise) und Punkt 13 (Verschlüsselung) genannten Maßnahmen beherrschbar. Eine Zusammenfassung der DSFA stellen wir bei berechtigtem Interesse auf Anfrage unter software@lindoza.com zur Verfügung.

15. KI-Transparenz nach EU AI Act (Art. 50)

Lindoza setzt generative KI ein (Anthropic Claude für Roleplay-Antworten; ElevenLabs für Sprachsynthese; Deepgram für Spracherkennung). In jeder Übungs-Session sprichst du mit einer KI, niemals mit einem Menschen. Die Antworten deiner Persona sind algorithmisch generiert.

Diese Transparenzpflicht ergibt sich aus Art. 50 der Verordnung (EU) 2024/1689 (EU AI Act), die für betroffene KI-Anbieter ab 02.08.2026 voll anwendbar ist. Wir kennzeichnen alle KI-Outputs entsprechend und stellen sicher, dass synthetische Audios als solche erkennbar bleiben.

16. Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich an unserer Datenverarbeitung etwas ändert (neuer Sub-Processor, neue Funktion). Substanzielle Änderungen kommunizieren wir per E-Mail an alle Nutzer. Die jeweils gültige Version siehst du immer hier mit dem Stand-Datum oben.

Stand: 04.10.2026. Bei Fragen schreib uns an software@lindoza.com.