Datenschutzerklärung

1. Verantwortlicher

Remo Liebetrau, Birkenweg 4, 38527 Meine, Deutschland
E-Mail: info@rascue.de

Rascue ist eine Plattform zur Vermittlung von Hilfsangeboten (rascue.de). Die Plattform befindet sich in der Beta-Phase.

2. Grundsätze

Wir verarbeiten personenbezogene Daten nur soweit erforderlich. Wir erheben keine Daten zu Werbezwecken und verkaufen keine Daten an Dritte.

Da der Chat sensible Themen berühren kann: Bitte gib keine Namen, Adressen oder andere direkt identifizierende Informationen ein. Unsere KI entfernt erkannte Identifikatoren automatisch, bevor Nachrichten an KI-Anbieter weitergegeben werden.

3. Erhobene Daten

3.1 Websitebesuch

Technische Zugriffsdaten (IP-Adresse, Datum/Uhrzeit, URL, Browser) durch den Webserver. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

3.2 Anonyme Chat-Nutzung

Anonyme Sitzungs-ID (UUID) im Browser-Speicher (localStorage), Chat-Nachrichten, automatisch extrahierte Strukturdaten (Problemart, Region, Sprache, Dringlichkeit) — ohne direkte Personenzuordnung.

KI-Verarbeitung & Einwilligung: Chat-Nachrichten werden vor der Übermittlung an KI-Anbieter automatisch von Identifikatoren bereinigt: Namen, Telefonnummern, E-Mail-Adressen und Adressen werden durch neutrale Platzhalter ersetzt. Durch die Nutzung des Chats erteilst du deine Einwilligung zur KI-Verarbeitung (Art. 6 Abs. 1 lit. a, Art. 9 Abs. 2 lit. a DSGVO).

Anbieter-Vermittlung: Sobald Ort und Hilfsart erkennbar sind, erscheint ein Button „Passende Anbieter anzeigen”. Du entscheidest selbst, ob du ihn klickst. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.3 Registrierung Hilfesuchende

E-Mail-Adresse, bcrypt-Hash Passwort, Verknüpfung bisheriger Sitzungen. Freiwillig.
Altersanforderung: Die Registrierung ist ausschließlich Personen ab 18 Jahren gestattet.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

3.4 Standortangaben (optional)

Standortdaten können freiwillig angegeben werden:

• Manuelle Eingabe: PLZ und Stadtname für die Anbietersuche. Geocodierung über Nominatim (OpenStreetMap Foundation) — weltweit.
• GPS-Standortfreigabe (optional): Bei Zustimmung werden geografische Koordinaten ermittelt. Widerruf jederzeit in den Browsereinstellungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

3.5 Registrierung Anbieter

Name der Organisation, E-Mail, Ansprechperson, Stadt, PLZ, Beschreibung, Verfügbarkeit, Hilfstypen, Sprachen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.6 Hochgeladene Dokumente

Freiwillig hochgeladene Dokumente werden verschlüsselt gespeichert. Anbieter haben keinen Zugriff. Jederzeit vom Nutzer löschbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO.

3.7 Weitergabe von Zusammenfassungen an Anbieter

Im Vermittlungsprozess erhalten verifizierte Anbieter eine anonymisierte Zusammenfassung in der dritten Person — kein Name, keine Kontaktdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

3.8 Minderschutz-Erkennung

Das System erkennt automatisch Hinweise auf minderjährige Nutzer und leitet diese an altersgerechte Beratungsangebote weiter (Nummer gegen Kummer: 116 111, bke-jugendberatung.de). Keine dauerhaft gespeicherten Altersdaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

4. Einsatz von KI — OpenAI und Anthropic

Für Chat und Spracheingabe nutzen wir zwei KI-Anbieter. Vor jeder Übermittlung werden Nachrichten automatisch von Identifikatoren bereinigt (PII-Stripping): E-Mail-Adressen, Telefonnummern, IBAN, Adressen und Namen werden entfernt. Keiner der Anbieter erhält Nutzer-IDs, IP-Adressen oder sonstige direkte Identifikatoren.

4.1 OpenAI Ireland Ltd. (primärer Anbieter) — Modell: GPT-4o-mini
One Microsoft Place, Dublin, Irland.

• Chat-Nachrichten werden vor Übermittlung automatisch bereinigt (PII-Stripping).
• Bei Sprachnachrichten wird die Audioaufnahme an OpenAI Whisper übertragen und nach Transkription sofort gelöscht — nur der Text wird gespeichert.
• Auftragsverarbeitungsvertrag (DPA) mit EU-Standardvertragsklauseln (SCCs): openai.com/policies/data-processing-addendum
• OpenAI verwendet API-Daten nicht zum Training von Modellen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie Art. 49 Abs. 1 lit. b DSGVO für die Drittlandübermittlung (USA).

4.2 Anthropic PBC (automatischer Ausfall-Dienst) — Modell: Claude Haiku
548 Market St PMB 90375, San Francisco, CA 94104, USA.

• Anthropic wird ausschließlich eingesetzt, wenn OpenAI technisch nicht verfügbar ist (automatisches Failover).
• Dieselbe PII-Bereinigung wird vor der Übermittlung angewendet.
• Datenschutz: anthropic.com/privacy

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie Art. 49 Abs. 1 lit. b DSGVO für die Drittlandübermittlung (USA).

5. Notfallerkennung

6. Externe Dienste — Geocodierung

6.1 Nominatim (OpenStreetMap Foundation)

Bei PLZ-Eingabe oder GPS-Freigabe nutzen wir Nominatim zur weltweiten Geocodierung. IP-Adresse wird kurzzeitig übermittelt, nicht dauerhaft gespeichert.

Datenschutz: osmfoundation.org/wiki/Privacy_Policy · Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

6.2 Google Fonts

Schriftarten können von Google-Servern (USA) geladen werden. IP-Adresse wird kurzzeitig übermittelt. Datenschutz: policies.google.com/privacy · Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

7. Cookies und lokaler Speicher

Technisch notwendig (keine Einwilligung erforderlich, § 25 TTDSG):

• case_uuid (localStorage): Anonyme Sitzungs-ID für den Chat.
• Authentifizierungstoken (localStorage): Anmeldestatus nach Registrierung, 30 Tage gültig.
• rascue_seeker_plz / rascue_seeker_city (localStorage): Freiwillig gespeicherter Standort.
• rascue_ai_consent_shown (localStorage): Einmalige Anzeige des KI-Hinweises.
• rascue_is_minor (sessionStorage): Sitzungsweiser Schutz minderjähriger Nutzer.
• WordPress-Session-Cookies: Technisch notwendig für den Betrieb.

Wir verwenden keine Werbe- oder Tracking-Cookies.

8. Hosting

Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Zypern.
Serverstandort: Deutschland (primär) · Frankreich (Backup) — alle Daten innerhalb der EU.
DPA gemäß Art. 28 DSGVO: hostinger.com/legal/dpa

9. Sicherheitsmaßnahmen

• Passwörter mit bcrypt-Hashing gespeichert.
• Authentifizierungs-Tokens als SHA-256-Hash gespeichert — Klartext verbleibt im Client.
• Alle Verbindungen verschlüsselt (HTTPS/TLS) mit HSTS.
• HTTP-Sicherheits-Header: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
• Dateiuploads durch Magic-Bytes-Validierung geprüft.
• Login-Versuche: max. 10 pro 15 Minuten pro IP.
• Chat-Nachrichten: max. 30 pro 10 Minuten pro IP.
• Passwort-Reset: max. 3 Anfragen pro Stunde pro IP.

10. Speicherdauer

11. Deine Rechte (DSGVO)

• Auskunft (Art. 15): Registrierte Nutzer können Daten unter „Meine Hilfe → Meine Daten herunterladen” exportieren.
• Berichtigung (Art. 16): Profildaten direkt im Konto änderbar.
• Löschung (Art. 17): Konto unter „Meine Hilfe → Konto löschen”. Einzelne Gespräche ebenfalls löschbar.
• Widerruf der Standorteinwilligung: Jederzeit in den Browsereinstellungen.
• Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21): Anfragen an info@rascue.de

12. Beschwerderecht

Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5 · 30159 Hannover
www.lfd.niedersachsen.de

13. Änderungen

Wir behalten uns vor, diese Erklärung bei Bedarf anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar.