Datenschutzerklärung

Stand: 2026-10-02 — Version 1

Diese Datenschutzerklärung informiert über Art, Umfang und Zweck der Verarbeitung von personenbezogenen Daten (im Folgenden "Daten") im Rahmen der Nutzung von Draupnir. Für die Begrifflichkeiten wird auf die Definitionen in Art. 4 DSGVO verwiesen.

1. Verantwortliche Stelle

Verantwortlicher im Sinne der DSGVO ist der Betreiber von Draupnir. Die vollständigen Kontaktdaten finden Sie im Impressum. Datenschutzanfragen bitte an privacy@mithgard.ai.

2. Erhobene Daten

Wir verarbeiten folgende Kategorien personenbezogener Daten:

Konto- und Stammdaten: Name, E-Mail-Adresse, Profilbild (von OAuth-Providern), Passwort-Hash (sofern lokal erstellt, sonst via OAuth).
Startup-Profildaten: Firmenname, Branche, Gründungsjahr, Teamgröße, Standort, Finanzkennzahlen, Pitchdeck-Uploads.
Bewerbungsdaten: Von Ihnen eingereichte bzw. KI-generierte Bewerbungsinhalte, Bewerbungs-Status.
Kommunikationsdaten: E-Mails im Rahmen des Grant-Inbox-Features, Nachrichten zwischen Gründern und Investoren.
Abrechnungsdaten: Stripe-Customer-ID, Abonnementstatus, Rechnungen (Rechnungsdaten werden bei Stripe gespeichert, nicht bei uns).
Nutzungsdaten: Aufgerufene Seiten, Suchanfragen, Zeitstempel, Geräte-Informationen, IP-Adresse (nur anonymisiert oder für Sicherheitszwecke).
Log-Daten: Server-Logs mit IP-Adresse, User-Agent, angefragter URL — automatisch gelöscht nach 30 Tagen.

3. Zweck und Rechtsgrundlagen der Datenverarbeitung

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung): Bereitstellung der Plattform, Matching, Bewerbungs-Generierung, Abrechnung.
Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung): Aufbewahrungsfristen nach HGB/AO, Meldepflichten.
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Sicherheit, Missbrauchsprävention, anonymisierte Nutzungsstatistiken.
Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Optionale Cookies (Analytics, Session-Replay), Newsletter, Marketing — jederzeit widerrufbar unter Einstellungen > Privatsphäre.

4. Weitergabe an Dritte (Auftragsverarbeiter und Empfänger)

Die folgenden Angaben beschreiben die technischen Dienste und Datenwege. Auftragsverarbeitung erfordert einen verbindlichen Vertrag nach Art. 28 DSGVO. Für Drittlandübermittlungen müssen zusätzlich die Voraussetzungen nach Art. 44 ff. DSGVO erfüllt sein, etwa durch geeignete Garantien nach Art. 46 DSGVO. Die anbieterbezogenen Vertrags- und Übermittlungsnachweise sind noch nicht vollständig abgenommen; diese Übersicht bescheinigt keinen Vertragsschluss.

4.1 Stripe (Zahlungsabwicklung)

Stripe Payments Europe, Ltd., Dublin. Verarbeitet Zahlungsdaten für die Abrechnung von Abonnements. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz: stripe.com/privacy.

4.2 Resend (E-Mail-Versand)

Resend, Inc., San Francisco, USA. Verarbeitet Ihre E-Mail-Adresse und Inhalte der Transaktions-E-Mails (z. B. Benachrichtigungen, Bestätigungen). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz: resend.com/legal/privacy-policy.

4.3 Google Gemini (KI-Verarbeitung)

Google LLC (Gemini, USA). Verarbeitet Ihre Bewerbungstexte und Profil-Snippets zur Erzeugung von Antrags-Entwürfen sowie bei der Repository-Analyse Quelltext-Auszüge von bis zu 40.000 Zeichen je Analyse. Die tatsächlichen Anbietervereinbarungen und Bedingungen zur Datenverwendung müssen für den eingesetzten Dienst dokumentiert werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz: policies.google.com/privacy.

Je nach aktivierter Funktion und Anbieter-Konfiguration können Antrags-Entwürfe auch über OpenAI erzeugt werden. Der Förderchat übermittelt die letzten bis zu zehn Nachrichten mit jeweils höchstens 2.000 Zeichen an OpenAI oder Anthropic. Diese Datenwege sind von der standardmäßig deaktivierten KI-Verarbeitung im Posteingang getrennt. Anbieterinformationen: OpenAI und Anthropic.

4.4 Sentry (Fehler-Monitoring)

Functional Software, Inc. dba Sentry (USA). Erfasst Fehler-Stacktraces und optional Session-Replays (Text maskiert). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Fehlerbehebung); Session-Replay nur nach Einwilligung. Datenschutz: sentry.io/privacy.

4.5 PostHog (Produkt-Analytics)

PostHog, Inc. (EU-Region: Frankfurt). Erfasst pseudonymisierte Nutzungsmuster. Wird nur nach Einwilligung aktiviert (siehe Cookie-Banner). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO. Datenschutz: posthog.com/privacy.

4.6 Google OAuth / GitHub OAuth

Google Ireland Ltd. bzw. GitHub, Inc. stellen OAuth-Login-Dienste bereit. Übermittelt werden Name, E-Mail-Adresse, Profilbild (Google) bzw. zusätzlich öffentliche Repository-Daten (GitHub, nur nach separater Einwilligung). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz: policies.google.com/privacy und GitHub Privacy Statement.

4.7 Hosting und Backups

Web-Anwendung, Agent, Worker, PostgreSQL und Redis werden über Railway betrieben. Backups verwenden den S3-kompatiblen Objektspeicher von Railway. Vercel wird für die DNS-Verwaltung der aktuellen Produkt-Subdomains genutzt. Ein konkreter Datenbank- oder Backupstandort ist in diesem Betriebshinweis noch nicht bestätigt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.

5. Cookies

Wir setzen nur die technisch erforderlichen Cookies ohne Einwilligung (§ 25 Abs. 2 TTDSG): Session-Cookie für Login und CSRF-Schutz. Optionale Cookies (Analytics, Session-Replay) werden nur nach aktiver Einwilligung über unseren Cookie-Banner aktiviert. Die Einwilligung kann jederzeit über Einstellungen > Privatsphäre geändert oder widerrufen werden.

6. Rechte der Betroffenen

Ihnen stehen nach DSGVO folgende Rechte zu — Sie können sie unter Einstellungen > Privatsphäre selbst ausüben oder per E-Mail an privacy@mithgard.ai:

Auskunft (Art. 15 DSGVO): Exportieren Sie alle zu Ihnen gespeicherten Daten im JSON-Format.
Berichtigung (Art. 16 DSGVO): Korrektur unrichtiger Daten.
Löschung / Recht auf Vergessenwerden (Art. 17 DSGVO): Löschung Ihrer Daten innerhalb einer 30-tägigen Reue-Frist.
Einschränkung (Art. 18 DSGVO): Temporäre Sperre der Verarbeitung.
Datenübertragbarkeit (Art. 20 DSGVO): Maschinenlesbarer Export.
Widerspruch (Art. 21 DSGVO): Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen.
Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): Jederzeit möglich, wirkt für die Zukunft.
Beschwerde bei der Aufsichtsbehörde (Art. 77 DSGVO): Zuständig ist die Datenschutzbehörde Ihres Bundeslandes.

7. Server-Logs und Speicherdauer

Beim Aufruf unserer Seiten werden automatisch Logdaten (IP-Adresse, User-Agent, Referrer, URL, Zeitstempel) erhoben. Diese werden zur Sicherheit und Fehlerdiagnose verarbeitet (Art. 6 Abs. 1 lit. f DSGVO) und nach 30 Tagen automatisch gelöscht.

Weitere Aufbewahrungsfristen:

Aktive Konten: solange das Konto besteht.
Gelöschte Konten: 30 Tage Reue-Frist, danach unwiderrufliche Löschung.
Bewerbungshistorie: bis zu 2 Jahre nach letzter Aktivität.
Abrechnungsdaten: 10 Jahre nach § 147 AO (Pflicht).

8. Rechtsgrundlagen pro Datenkategorie (Übersicht)

Kategorie	Rechtsgrundlage	Zweck
Kontodaten	Art. 6 Abs. 1 lit. b DSGVO	Vertragserfüllung
Profildaten	Art. 6 Abs. 1 lit. b DSGVO	Matching, Bewerbungen
Abrechnungsdaten	Art. 6 Abs. 1 lit. b + c DSGVO	Zahlung, Aufbewahrung
Log-Daten	Art. 6 Abs. 1 lit. f DSGVO	Sicherheit, Diagnose
Analytics	Art. 6 Abs. 1 lit. a DSGVO	Produktverbesserung
Session-Replay	Art. 6 Abs. 1 lit. a DSGVO	Fehler-Replay

9. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich Verarbeitungsvorgänge oder rechtliche Rahmenbedingungen ändern. Die aktuelle Fassung ist jederzeit auf dieser Seite abrufbar. Wesentliche Änderungen teilen wir per E-Mail mit.

Hinweis: Diese Datenschutzerklärung basiert auf den Standard-Anforderungen der DSGVO. Für den produktiven Einsatz empfiehlt sich eine finale Prüfung durch eine Datenschutz-Anwältin oder den DSB.