Datenschutzerklärung

Stand: 06.11.2026

Hier steht, welche Daten wir verarbeiten, wenn du LAARS (Website und App) nutzt, wozu, wo sie liegen und welche Rechte du hast. Wir schreiben bewusst einfach. Wenn etwas unklar ist: info@contenthuette.de.

---

1. Wer verantwortlich ist

CONTENTHÜTTE, Inhaber Leif Dunkelmann Werderstraße 135, 19055 Schwerin E-Mail: info@contenthuette.de · Telefon: +49 173 4506873

„LAARS“ ist ein Produkt von CONTENTHÜTTE (Einzelunternehmen von Leif Dunkelmann).

Datenschutzbeauftragte(r): [Name und Kontakt – falls nicht benannt, Zeile streichen]

Zwei Rollen – wichtig zum Verständnis

• Wir sind verantwortlich für dein Nutzerkonto, die Anmeldung, die Abrechnung, den Aufruf der Website und den Support (Abschnitte 3–5, 10).
• Wir verarbeiten im Auftrag deines Betriebs alles, was der Betrieb in LAARS bearbeitet: Kunden, Anfragen, Mails, Termine, Dateien, Bewerbungen, Chats, WhatsApp-Nachrichten, Telefonnotizen (Abschnitte 6–9). Verantwortlich ist dann der Betrieb. Grundlage ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO (AVV ansehen); der Betrieb schließt ihn in LAARS per Klick ab. Fragen zu diesen Daten richtest du am besten direkt an den Betrieb; wir leiten Anfragen an ihn weiter.

---

2. Wo die Daten liegen – kurz

• Datenbank und Dateien: Rechenzentrum in Irland (EU), Anbieter Convex, Inc. (USA), bereitgestellt über die Plattform Macaly (LANGTAIL.COM s.r.o., Prag).
• Oberfläche: ausgeliefert aus Frankfurt (Vercel Inc., USA, über Macaly). Dort liegen keine Inhalte aus deinem LAARS-Konto.
• KI: standardmäßig Mistral AI (Frankreich, Server in Europa). KI-Modelle aus den USA nur, wenn dein Betrieb das ausdrücklich einschaltet und du es im Chat bestätigst (Abschnitt 7).
• Mehrere Dienstleister sind US-Unternehmen oder Töchter von US-Unternehmen. Auch bei Speicherung in der EU ist ein Zugriff nach US-Recht nicht völlig ausgeschlossen. Grundlage für Übermittlungen sind EU-Standardvertragsklauseln bzw. der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45, 46 DSGVO).

---

3. Aufruf der Website und der App

Server-Protokolle. Beim Aufruf verarbeitet unser Hosting (Macaly/Vercel) technisch nötige Daten: IP-Adresse, Datum/Uhrzeit, aufgerufene Adresse, Browser und Betriebssystem, Referrer. Zweck: Seite ausliefern, Sicherheit, Fehler finden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Betrieb). Speicherdauer: nach den Fristen des Hosters [bei Macaly erfragen und eintragen].

Statistik und Hinweisfeld der Plattform. Macaly fügt beim Veröffentlichen ein Statistik-Skript und ein Hinweisfeld in die Seite ein. Unsere Sicherheitsrichtlinie (Content-Security-Policy) verhindert, dass diese Skripte in deinem Browser geladen werden. Darüber werden keine Daten übertragen.

Speicher im Browser (kein Tracking). LAARS speichert in deinem Browser (localStorage) nur, was für die Funktion nötig ist:

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von dir gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO. Werbe- oder Analyse-Cookies setzen wir nicht. Schriften liefern wir selbst aus (kein Google Fonts).

---

4. Nutzerkonto und Anmeldung

• Daten: Name, E-Mail, Passwort (nur als Hash), Rolle (z. B. Chef, Büro), Betrieb, Darstellungswunsch, Zeitpunkte der Anmeldung.
• Einladung oder Registrierung: Ein Konto entsteht über eine Einladung oder über die Registrierung (Abschnitt 4a). Für eine Einladung speichern wir E-Mail, Name, Rolle und einen Einladungs-Code (gültig 14 Tage).
• Codes per E-Mail: Zur Bestätigung und beim Zurücksetzen des Passworts schicken wir einen 6-stelligen Code. Den Versand übernimmt der Mail-Dienst der Plattform Macaly (laut Macaly: Resend, USA).
• Zweck/Rechtsgrundlage: Bereitstellung von LAARS (Art. 6 Abs. 1 lit. b DSGVO), Sicherheit (lit. f).
• Zwei-Faktor-Anmeldung: Ist für alle Nutzer verfügbar. Gespeichert wird dafür nur ein verschlüsselter Schlüssel für die Authenticator-App.
• Speicherdauer: bis das Konto gelöscht wird; Sitzungen laufen spätestens nach 30 Tagen ab.

4a. Registrierung und Zahlung

Bei der Registrierung verarbeiten wir Firmenname, Name, E-Mail-Adresse und optional die Branche zur Vertragsanbahnung (Art. 6 Abs. 1 lit. b DSGVO). Zum Schutz vor Missbrauch speichern wir für höchstens eine Stunde einen nicht rückrechenbaren Hashwert der IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Unbestätigte Registrierungen löschen wir nach 7 Tagen. Die Zahlungsabwicklung erfolgt über Stripe (Stripe Payments Europe Ltd., Irland).

---

5. Abrechnung, Credits und Support

• KI-Funktionen werden über Credits je Betrieb abgerechnet. Wir speichern je KI-Aufruf Funktion, Modell, Menge (Tokens/Sekunden) und Kosten – keine Inhalte. Nach 13 Monaten fassen wir das zu Monatssummen zusammen.
• Anfragen zum Aufladen, Rechnungen und Support-Kontakte verarbeiten wir zur Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) und wegen gesetzlicher Aufbewahrungspflichten (lit. c; Handels- und Steuerrecht, bis zu 10 Jahre).

---

6. Was in LAARS verarbeitet wird (im Auftrag deines Betriebs)

Je nach gebuchten Modulen und Verbindungen:

• Postfach und Kalender (Gmail, Outlook/Microsoft 365): LAARS liest neue Mails, speichert Kopfzeilen und einen kurzen Auszug (30 Tage), holt Mailtexte beim Ansehen live, lädt Anhänge nur auf Abruf (90 Tage), schreibt Entwürfe und sendet erst nach Freigabe (oder an bekannte Kontakte, wenn der Betrieb das selbst erlaubt). Liest der Assistent im Chat eine Mail oder einen Anhang, steht das Ergebnis 30 Tage beim Gespräch; danach entfernt LAARS den Mail-Inhalt automatisch und lässt nur einen Platzhalter stehen (Abschnitt 9).
• Kalender: Termine der nächsten 30 Tage werden gespiegelt (bis 90 Tage nach Terminende).
• Dateien: Hochgeladene und erstellte Dateien, Fotos, Pläne, Vorlagen; Texterkennung bei Scans.
• Buchhaltung (sevDesk, Lexware Office), HERO, OneDrive/Google Drive: lesen und – nur nach Freigabe – Entwürfe, Belege, Projekte anlegen. Gebucht, versendet oder gelöscht wird dort nichts. An DATEV schickt LAARS Belege nach deinem Ja per Mail an deine Upload-Adresse.
• Telefonie (sipgate, placetel): Anrufliste und Mailbox werden alle 5 Minuten gelesen. Mailbox-Nachrichten werden zum Verschriftlichen an Mistral (EU) gegeben; das Audio speichern wir nicht. Den Text speichern wir 90 Tage; nach derselben Frist wird er auch aus der daraus entstandenen Aufgabe, Karte oder Anfrage entfernt (der Eintrag selbst bleibt).
• Anfragen (auch über das Website-Formular des Betriebs und Anfrage-Portale wie MyHammer), Angebote, Rechnungen, Bewerbungen, Firmenwissen, Preise.
• Weitere Apps über Composio (nur wenn dein Betrieb „Dienste außerhalb der EU“ erlaubt und eine App aus den USA verbindet): Die Verbindung (Anmeldung per OAuth) und die Werkzeug-Aufrufe an diese App laufen über Sampark Inc. d/b/a Composio, San Francisco (USA). Grundlage der Übermittlung: EU-Standardvertragsklauseln (Art. 46 DSGVO), nur nach Einwilligung des Kunden. Den App-Katalog zeigt LAARS ohne Datenübermittlung an Composio an.
• Social Media durch CONTENTHÜTTE-Mitarbeiter, wenn gebucht.

Für Google-Daten gilt: Die Nutzung und Weitergabe von Informationen, die LAARS von Google-APIs erhält, hält sich an die Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung („Limited Use“). Wir nutzen diese Daten nicht für Werbung und nicht zum Training von KI-Modellen.

---

7. Künstliche Intelligenz

• Kennzeichnung: Dateien und Bilder, die die KI erzeugt oder bearbeitet, tragen einen maschinenlesbaren Vermerk („KI-generiert“, KI-Verordnung Art. 50) und im Chat den Hinweis „Mit KI erstellt“.
• Wofür: Antworten im Chat, Einordnen von Mails, Entwürfe für Antworten, Angebote und Erinnerungen, Auslesen von Belegen und Dokumenten, Verschriftlichen von Sprache, Websuche, Sicherheitsprüfung gegen Betrugsversuche.
• Standard – EU: Mistral AI SAS, Paris (Server in Europa). Mistral erhält pro Aufruf nur die Daten, die für die Aufgabe nötig sind, und speichert sie laut eigener Angabe bis zu 30 Tage zur Missbrauchskontrolle. Die Nutzung zum Training haben wir in unserem Mistral-Konto abgeschaltet. Für die Websuche geht nur die gefilterte Suchfrage an Mistral, ohne Speicherung im Gesprächsverlauf von Mistral (store: false).
• US-Modelle nur auf ausdrücklichen Wunsch: Wenn dein Betrieb in den Einstellungen „US-Modelle im Chat“ einschaltet und du im Chat ein solches Modell wählst und bestätigst, gehen die Inhalte dieses Chats (Nachrichten, angehängte Dateien und die für die Antwort abgerufenen Daten aus LAARS) an OpenAI, L.L.C. bzw. Anthropic, PBC (USA). Grundlage: deren Auftragsverarbeitungs-Verträge mit EU-Standardvertragsklauseln. Laut Anbieter werden die Daten nicht zum Training genutzt und bis zu 30 Tage gespeichert (bei Verstößen gegen Nutzungsregeln länger). Ebenso auf diesem Weg wählbar: Venice.ai, Inc. (USA) – Verarbeitung ohne Speicherung laut Anbieter; den Auftragsverarbeitungsvertrag (DPA) haben wir am 02.11.2026 angefragt; nur nach ausdrücklicher Aktivierung durch den Betrieb und Bestätigung je Gespräch. Hintergrund-Abläufe, Sprachnachrichten, WhatsApp und der Haupt-Agent laufen immer über EU-Anbieter.
• Keine automatischen Entscheidungen im Sinne von Art. 22 DSGVO: Die KI macht Vorschläge. Was nach außen geht, gibt ein Mensch frei – oder der Betrieb hat es für klar begrenzte Fälle selbst erlaubt.
• Kein Austausch zwischen Betrieben: Jede KI-Anfrage enthält nur Daten des Betriebs, aus dem sie kommt. Wir trainieren keine Modelle mit Daten aus LAARS.

---

8. WhatsApp

Wenn dein Betrieb den WhatsApp-Kanal nutzt, schreibt LAARS über eine zentrale WhatsApp-Business-Nummer von CONTENTHÜTTE (Briefing, Freigaben, Sprachaufträge; beim Baustellen-Team siehe 8a). Technisch läuft das über 360dialog GmbH, Berlin (Business Solution Provider) als Auftragsverarbeiter; 360dialog nutzt als Unterauftragnehmer Meta Platforms Ireland Ltd. als Anbieter der WhatsApp Cloud API. Verarbeitet werden Telefonnummer, Nachrichten, Fotos und Sprachnachrichten. Eine Nummer wird erst nach Eingabe eines 6-stelligen Codes freigeschaltet. Meta speichert Nachrichten bis zu 30 Tage; [ruhende Daten werden in der EU (Deutschland) gespeichert – erst eintragen, wenn „Local Storage“ eingerichtet ist]. Dein Betrieb kann einstellen, dass über WhatsApp nur Hinweise ohne Kundendaten gehen (Standard für neue Betriebe). In LAARS speichern wir WhatsApp-Nachrichten 90 Tage, Sprachnachrichten (Audio) 30 Tage. Abmelden jederzeit mit „STOP“. Grundlage für Übermittlungen durch Meta: WhatsApp Business Data Transfer Addendum (Standardvertragsklauseln).

8a. Beschäftigtendaten (Baustellen-Team per WhatsApp)

Lädt dein Arbeitgeber dich als Geselle, Helfer, Polier oder Azubi in LAARS ein, ist dein Arbeitgeber verantwortlich; wir verarbeiten im Auftrag. Du bekommst einen Code per WhatsApp und stimmst einmal zu; der Text deiner Zustimmung wird mit Zeitpunkt gespeichert.

• Was: Name, Handynummer, Rolle; Zuteilung zu Baustellen; Arbeitszeiten (Beginn, Ende, Pause, Baustelle); Krank- und Urlaubsmeldungen nur als Status mit Zeitraum – nach einem Grund wird nie gefragt, genannte Gründe werden nicht gespeichert (auch nicht im Nachrichtenverlauf); Tagesberichte, Fotos, Material- und Werkzeugbuchungen.
• Wozu: nur Zeiterfassung und Lohn, Organisation der Baustellen, Material und Werkzeug. Keine Bewertung deiner Person durch uns, keine Werbung, kein KI-Training. Sprachnachrichten werden aufgeschrieben (Mistral, EU) und die Aufnahme danach sofort gelöscht.
• Wer sieht was: Chef und Büro deines Betriebs. Du selbst bekommst nur deine eigenen Zeiten und Unterlagen der Baustellen, auf denen du eingeteilt bist – keine Preise (außer dein Chef schaltet das ein), keine Kundenliste, keine Mails, keine Daten anderer.
• Rechtsgrundlage (beim Arbeitgeber): § 26 BDSG bzw. Art. 88 DSGVO (Durchführung des Arbeitsverhältnisses), für Arbeitszeitnachweise Art. 6 Abs. 1 lit. c DSGVO (MiLoG § 17, ArbZG § 16). Für den WhatsApp-Kanal selbst deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar mit „STOP“ – Zeiten kannst du dann weiter im Büro melden.
• Wie lange: Arbeitszeiten 2 Jahre, Abwesenheiten 3 Jahre, Tagesberichte 5 Jahre nach Projektende, Werkzeug- und Lagerbuchungen 2 Jahre.

---

9. Wie lange wir speichern

Gesetzliche Aufbewahrungspflichten (z. B. für Rechnungen) erfüllt der Betrieb in seiner Buchhaltung; LAARS ist kein revisionssicheres Archiv.

---

10. Empfänger und Dienstleister

Dienste, die dein Betrieb selbst verbindet (Google, Microsoft, sevDesk, Lexware Office, DATEV, HERO, sipgate, placetel), sind Vertragspartner des Betriebs. Daten gehen dorthin nur über die Verbindung des Betriebs und – wo es nach außen wirkt – nach Freigabe.

Mitarbeiter von CONTENTHÜTTE (LAARS-Support) sehen Stammdaten der Betriebe (z. B. Anfragen, Bewerber, Anrufe, Vorgänge, Termine), soweit das für Einrichtung und Support nötig ist. Postfach, Dateien, Firmenwissen, Preise, Freigaben, WhatsApp-Verläufe und den Assistenten im Betrieb sehen sie nur in einer Support-Sitzung, die mit Grund geöffnet wird, höchstens 2 Stunden dauert und für den Betrieb unter Einstellungen sichtbar ist; der Betrieb kann den Support-Zugriff ganz ausschalten. Einen Datenexport für den Betrieb erstellt der Support nur in einer solchen Sitzung; er wird protokolliert und enthält keine Gespräche mit dem Assistenten. Die Mitarbeiter sind auf Vertraulichkeit verpflichtet. Deine Gespräche mit dem Assistenten im Web sehen sie nicht; exportieren kann sie nur der Chef deines Betriebs.

---

11. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Den vollständigen Export aller Daten deines Betriebs (ZIP) kann der Chef selbst unter Einstellungen → Daten herunterladen; dort kann er auch die Löschung des Betriebs beantragen. Sonst schreib an info@contenthuette.de. Geht es um Daten, die ein Betrieb in LAARS verarbeitet (z. B. du bist Kunde eines Handwerksbetriebs), wende dich an den Betrieb – wir leiten deine Anfrage auch weiter.

Beschwerde: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig: Der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern, Schloss Schwerin, Lennéstraße 1, 19053 Schwerin, info@datenschutz-mv.de, https://www.datenschutz-mv.de.

---

12. Sicherheit

Verbindungen nur verschlüsselt (HTTPS). Zugänge zu verbundenen Diensten speichern wir zusätzlich verschlüsselt. Erkannte Geheimnisse (Passwörter, API-Schlüssel) in Mails und Dateien werden verdeckt. Was nach außen wirkt, passiert nach Freigabe – oder in Fällen, die der Betrieb selbst erlaubt hat. Details stehen in Anlage 1 des Vertrags zur Auftragsverarbeitung (/avv).

13. Pflicht zur Bereitstellung

Ohne Name und E-Mail können wir kein Konto anlegen. Alle Verbindungen (Postfach, Buchhaltung, WhatsApp, Telefonie) sind freiwillig.

14. Änderungen

Wir passen diese Erklärung an, wenn sich LAARS oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.