Datenschutzerklärung

Interne Version: v2.0

Letzte Aktualisierung: 9. Mai 2026

Ersetzt: v1.x (6. Mai 2026)

>

Wesentliche Änderungen gegenüber v1.x: Beinhaltet die Verwendung von Google Tag Manager, Google Analytics 4 und Google Ads (einschließlich Enhanced Conversions mit SHA-256-Hash der E-Mail-Adresse und serverseitigem Upload von Offline-Konversionen vom Stripe-Webhook), alles unter vorheriger Einwilligung des Nutzers, verwaltet über Google Consent Mode v2 mit Standardwert denied. Schreibt die Absätze um, in denen behauptet wurde, keine Analytik oder Werbung zu verwenden, da diese Aussage nach der Aktivierung des GTM-Containers und der Werbeintegrationen nicht mehr zutreffend war.

---

Inhaltsverzeichnis

1. Verantwortlicher für die Verarbeitung und geografischer Geltungsbereich
2. Datenschutzbeauftragter
3. Welche Daten wir erfassen
4. Wofür wir deine Daten nutzen (Verarbeitungszwecke)
5. Rechtsgrundlage der Verarbeitung
6. Empfänger der Daten
7. Internationale Datenübertragungen
8. Datenaufbewahrungszeitraum
9. Deine Rechte
10. Daten von Minderjährigen
11. Besonders sensible Daten und spezielle Kategorien
12. Automatisierte Entscheidungsfindung, Profilbildung und künstliche Intelligenz
13. Werbung, Konversionsmessung und Web-Analytik
14. Verarbeitungsprinzipien und Datenschutz-Folgenabschätzung
15. Technische und organisatorische Sicherheitsmaßnahmen
16. Cookies-Richtlinie und lokaler Browserspeicher
17. Links zu Dritten
18. Jurisdiktionsspezifische Informationen
19. Änderungen dieser Richtlinie
20. Anwendbares Recht und Jurisdiktion
21. Kontakt

---

1. Verantwortlicher der Verarbeitung und territorialer Geltungsbereich

Der Verantwortliche der Verarbeitung deiner personenbezogenen Daten ist:

• Firmenname: Bilbao AI S.L.
• Steuernummer (CIF): B-13759758
• Geschäftssitz: Calle Diputación 8, planta 4.ª, Departamento 5, 48008 Bilbao (Bizkaia), Spanien
• E-Mail: info@afini.ai
• Websites: https://test.afini.ai · https://afini.ai

Bilbao AI S.L. (im Folgenden „Afini", „wir" oder „die Plattformen") ist Inhaber und Verantwortlicher der Dienste zur Persönlichkeitsbewertung und zum kognitiven Profil, die über diese Websites zugänglich sind.

Territorialer Geltungsbereich: Afini bietet seine Dienste Nutzern aus aller Welt an. Diese Datenschutzerklärung wurde so gestaltet, dass sie der in jeder Jurisdiktion geltenden Datenschutzgesetzgebung entspricht, in der wir tätig sind, einschließlich — ohne Einschränkung — der Europäischen Union, des Europäischen Wirtschaftsraums, des Vereinigten Königreichs, der Vereinigten Staaten von Amerika, Kanadas, Brasiliens, Australiens und Japans. Bei Konflikten zwischen Bestimmungen verschiedener Jurisdiktionen gilt die Norm, die dem Nutzer das höhere Schutzniveau bietet.

2. Datenschutzbeauftragter

Angesichts der Größe der Organisation und der Art der verarbeiteten Daten ist Afini gemäß Artikel 37 DSGVO nicht verpflichtet, einen Datenschutzbeauftragten (DSB/DPO) zu benennen. Du kannst jedoch jede Anfrage im Zusammenhang mit dem Schutz deiner personenbezogenen Daten richten an: info@afini.ai.

3. Welche Daten wir erfassen

Wir erfassen und verarbeiten je nach genutztem Dienst und Interaktionszeitpunkt die folgenden Kategorien personenbezogener Daten:

3.1. Daten, die beim Kauf oder Beginn eines Tests bereitgestellt werden (test.afini.ai)

• Name oder Pseudonym
• E-Mail-Adresse
• Alter (optional)
• Biologisches Geschlecht (optional, zur normativen Kalibrierung)
• Geschlecht (optional)
• Wohnsitzland (optional)
• Pronomenpräferenz (optional)

3.2. Daten, die bei der Registrierung bereitgestellt werden (afini.ai)

• E-Mail-Adresse (erforderlich, zur Authentifizierung über Magic Link)
• Name oder Pseudonym (erforderlich)
• Demografische Kalibrierungsdaten (Alter, biologisches Geschlecht, Land — optional, zur normativen Präzision)

3.3. Daten, die während der Durchführung von Bewertungen generiert werden

• Einzelne Antworten auf jedes Item der Fragebögen (Likert-Skala 1–5)
• Zeitstempel von Beginn und Abschluss jeder Bewertung
• Version und Typ der durchgeführten Bewertung

3.4. Ergebnisdaten und kognitives Profil

• Werte der fünf großen Persönlichkeitsmerkmale (Offenheit, Gewissenhaftigkeit, Extraversion, Verträglichkeit, emotionale Stabilität)
• Werte der dreißig Persönlichkeitsfacetten (in den Versionen Avanzado und Completo)
• Werte zusätzlicher Instrumente in afini.ai (Bindungsskalen, Humorstile, Werte und weitere Schichten je nach Entwicklung des Dienstes)
• Kompiliertes kognitives Profil (JSON-Struktur, die die Werte aller bewerteten Schichten integriert)
• Kompilierter System-Prompt (textuelle Version des Profils, die für die Injektion in das KI-Modell verwendet wird)
• Von KI generierter narrativer Persönlichkeitsbericht

3.5. Daten der KI-Interaktion (afini.ai)

• Inhalt der Gespräche mit dem KI-Modell (Nutzernachrichten und Systemantworten)
• Nutzungserfassung: Anzahl der pro Monat verbrauchten Output-Tokens (technische Angabe zur Kontingentkontrolle des Plans). Input-Tokens zählen nicht für das monatliche Limit
• Anzahl der täglichen Anfragen an den KI-Dienst

Wichtig: Afini speichert den Inhalt der KI-Gespräche nicht dauerhaft über das hinaus, was für die aktive Sitzung notwendig ist. Die Gespräche werden nicht zum Training von KI-Modellen verwendet und auch nicht zu Trainingszwecken mit dem Modellanbieter (Anthropic) geteilt.

3.6. Zahlungsdaten

Afini speichert, verarbeitet und hat keinen Zugriff auf deine Kredit- oder Debitkartendaten, Bankkontonummern oder andere finanzielle Daten.

Die Zahlungen werden vollständig von Stripe, Inc. abgewickelt, das als unabhängiger Zahlungsverarbeiter fungiert und für die Verarbeitung der Finanzdaten gemäß seiner eigenen Datenschutzerklärung und der PCI-DSS-Vorschriften verantwortlich ist.

Afini erhält von Stripe lediglich eine Bestätigung der erfolgreichen Zahlung (Transaktionsstatus, Stripe-Sitzungs-ID und gezahlter Betrag in Währung und Cents). Wir erhalten weder die Kartendaten noch die Daten des Zahlungsmittels.

3.7. Technische Daten und werbliche/analytische Messdaten (mit deiner Einwilligung)

Wenn du in unserem Cookie-Banner den Kategorien „Analytik" oder „Marketing" zustimmst, können die entsprechenden Tools zusätzlich Folgendes verarbeiten:

• Technische Cookie-Identifikatoren, die von Google generiert werden (_ga, _ga_<container_id>, _gcl_au, _gcl_aw, _gcl_dc) und Ereignisse mit deinem Browser verknüpfen.
• IP-Adresse, die von Google zum Zweck der ungefähren Geolokalisierung und Betrugsprävention erfasst und verarbeitet wird. Im Europäischen Wirtschaftsraum wendet Google standardmäßig vor der Speicherung eine IP-Anonymisierung an (Kürzung des letzten Oktetts bei IPv4 oder der letzten 80 Bits bei IPv6).
• User-Agent-String des Browsers.
• Quell- und Ziel-URL innerhalb der Plattform selbst (Navigationsereignisse).
• Werbekampagnen-Identifikatoren (GCLID, *Google Click Identifier*), wenn du über eine Anzeige auf die Plattform gelangt bist.
• SHA-256-Hash deiner E-Mail-Adresse, der für Enhanced Conversions an Google übertragen wird (Verbesserung der Zuordnung von Werbekonversionen). Der Hash ist ein abgeleiteter Identifikator und ermöglicht es nicht, deine E-Mail durch direkte Inversion im Klartext wiederherzustellen, gilt aber im Sinne der DSGVO als pseudonymisiertes personenbezogenes Datum.

Wenn du die Kategorien „Analytik" und „Marketing" ablehnst oder nicht auf das Cookie-Banner reagierst, werden keine dieser Daten an Google übertragen: Der Google-Tag-Manager-Container arbeitet im Consent Mode v2 mit dem Standardwert denied (denied), und die Google-Dienste empfangen lediglich *cookieless pings* ohne Identifikatoren.

3.8. Technische Daten, die wir unter keinen Umständen erfassen

Afini erfasst —mit oder ohne Einwilligung— nicht:

• Browser-Fingerabdruck (Browser Fingerprint)
• Präzise Geolokalisierungsdaten (GPS, Bluetooth)
• Geräte-Identifikatoren (IDFA, AAID)
• Biometrische Daten
• Besondere Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO (außer denen, die sich aus den Ergebnissen der Persönlichkeitsbewertung selbst ergeben und gemäß Abschnitt 11 verarbeitet werden)

4. Wofür wir deine Daten nutzen (Verarbeitungszwecke)

Wir verarbeiten deine personenbezogenen Daten ausschließlich für die folgenden Zwecke:

Zweck	Verwendete Daten	Rechtsgrundlage

Erstellung deines Big-Five-Persönlichkeitsprofils

Antworten auf den Test, Testversion

Vertragserfüllung

Erstellung und Versand deines Ergebnisberichts

Name, E-Mail, Werte

Vertragserfüllung

Zugang zu deinen Ergebnissen über persönlichen Link

E-Mail, Sitzungs-Token

Vertragserfüllung

Abwicklung der Servicezahlung (über Stripe)

Zahlungsbestätigung, Betrag, Sitzungs-ID

Vertragserfüllung

Einlösung eines Einladungscodes (Voucher)

Voucher-Code, Name, E-Mail

Vertragserfüllung

Erstellung deines mehrschichtigen kognitiven Profils (afini.ai)

Werte aller durchgeführten Bewertungen

Vertragserfüllung

Injektion deines Profils in das KI-Modell zur Personalisierung der Interaktion (afini.ai)

Kompiliertes kognitives Profil

Vertragserfüllung + Einwilligung

Erfassung der Nutzung des KI-Dienstes zur Kontingentkontrolle (afini.ai)

Verbrauchte Tokens, tägliche Anfragen

Vertragserfüllung

Verwaltung deines Abonnements (afini.ai)

E-Mail, Plan, Abonnementstatus

Vertragserfüllung

Authentifizierung über Magic Link (afini.ai)

E-Mail

Vertragserfüllung

Beantwortung deiner Anfragen oder Anliegen

E-Mail, Name

Berechtigtes Interesse

Erfüllung gesetzlicher und steuerlicher Verpflichtungen

Rechnungsdaten

Gesetzliche Verpflichtung

Messung von Werbekonversionen und Zuordnung von Käufen zu Kampagnen (Google Ads, einschließlich Enhanced Conversions und Offline Conversions, die von unserem Backend gesendet werden)

SHA-256-Hash der E-Mail, Kampagnen-ID (GCLID), Betrag und Währung der Transaktion, Identifikator des Kaufs

Einwilligung

Aggregierte statistische Analyse der Servicenutzung (Plausible Analytics)

Besuchte Seiten, aggregiertes Land, aggregierter Browser — ohne Cookies oder Identifikatoren

Berechtigtes Interesse (cookie-freie Webanalytik gemäß EDPB-Leitlinien 03/2023)

Detaillierte Analyse des Navigationsverhaltens (Google Analytics 4)

Google-Cookie-Identifikatoren, anonymisierte IP, Navigationsereignisse

Einwilligung

Technische Verwaltung der Werbe- und Analyse-Tags (Google Tag Manager)

Technische Container-Identifikatoren; keine eigenen Nutzeridentifikatoren

Einwilligung (das Laden des Containers wird bis zur Einwilligung aufgeschoben oder läuft mit allen Consent Signals auf denied)

Was wir NICHT mit deinen Daten tun:

• Wir verkaufen deine Daten nicht an Dritte. Niemals. Unter keinen Umständen.
• Wir teilen dein Persönlichkeitsprofil, deine Antworten, deine Ergebnisse oder dein kognitives Profil nicht mit Dritten, einschließlich Google.
• Wir führen keine Werbesegmentierung auf Grundlage deiner Persönlichkeit, deiner Merkmale, deiner Facetten oder irgendeiner aus dem Test abgeleiteten Inferenz durch. Die von uns verwendeten Google-Ads-Audiences — einschließlich *Remarketing*-Audiences auf Basis von Besuchen auf der Plattform, *Customer Match* auf Basis kommerzieller E-Mail-Listen und *Similar Audiences*, die aus den vorgenannten abgeleitet werden — werden ausschließlich auf Konversionsereignissen, Besuchen bestimmter Seiten und Standard-Werbeattributen von Google (Keyword, Suchabsicht, allgemeiner geografischer Standort, Gerät) aufgebaut. Unter keinen Umständen werden deine Persönlichkeitswerte, dein kognitives Profil oder deine Antworten auf die Fragebögen zur Bildung dieser Audiences verwendet.
• Wir verwenden deine Daten nicht, um dir Newsletter oder unaufgeforderte kommerzielle Mitteilungen zu senden.
• Wir erstellen keine eigenen Verhaltens-Werbeprofile auf Basis deiner Navigation innerhalb oder außerhalb der Plattform.
• Wir geben deine Daten nicht an zusätzliche Werbenetzwerke über Google Ads hinaus, an *Datenhändler* oder an Marketingplattformen weiter.
• Wir nutzen deine Daten nicht, um Modelle künstlicher Intelligenz zu trainieren oder ohne deine ausdrückliche und unabhängige Einwilligung Forschung zu betreiben.
• Wir teilen den Inhalt deiner KI-Gespräche nicht mit dem Modellanbieter oder einem Dritten.
• Wir übertragen an Google (oder einen anderen Werbeanbieter) weder dein kognitives Profil, deine Werte, deine Antworten auf die Fragebögen noch den Inhalt deiner KI-Gespräche.

5. Rechtsgrundlage der Verarbeitung

Die Verarbeitung deiner Daten stützt sich auf die folgenden Rechtsgrundlagen gemäß Artikel 6.1 DSGVO:

a) Vertragserfüllung (Art. 6.1.b DSGVO): Die Verarbeitung ist erforderlich für die Erbringung des von dir beauftragten Dienstes: die Durchführung von Persönlichkeitsbewertungen, die Erstellung von Berichten, die Kompilierung des kognitiven Profils und die personalisierte Interaktion mit der KI. Der Kauf des Tests, die Einlösung eines Einladungscodes (Voucher) oder der Abschluss eines Abonnements stellen die Annahme des Dienstes dar. b) Einwilligung (Art. 6.1.a DSGVO): Für die optionalen demografischen Daten (Alter, Geschlecht, Land) ist die Rechtsgrundlage deine freie, spezifische, informierte und unmissverständliche Einwilligung, die du durch deren freiwillige Bereitstellung erteilst. Die Injektion des kognitiven Profils in das KI-Modell erfordert zusätzlich deine ausdrückliche Einwilligung, die separat bei der Aktivierung des KI-Interaktionsdienstes eingeholt wird. Die Nutzung von Analyse-Cookies (Google Analytics 4) und Werbe-Cookies (Google Ads, einschließlich Enhanced Conversions und Offline Conversions) erfordert ebenfalls deine vorherige Einwilligung, die über das Cookie-Banner erteilt wird. Du kannst jede dieser Einwilligungen jederzeit widerrufen, indem du entweder an info@afini.ai schreibst oder das Cookie-Banner über den Link „Cookies verwalten" in der Fußzeile erneut öffnest, ohne dass dies die Rechtmäßigkeit der vor dem Widerruf erfolgten einwilligungsbasierten Verarbeitung berührt. c) Berechtigtes Interesse (Art. 6.1.f DSGVO): Für die Bearbeitung von Anfragen und Anliegen, die du uns per E-Mail sendest, gestützt auf unser berechtigtes Interesse, eine angemessene Kommunikation mit den Nutzern unseres Dienstes aufrechtzuerhalten. Ebenso für die aggregierte und *cookie-freie* Nutzungsanalyse mit Plausible Analytics gemäß den EDPB-Leitlinien 03/2023 zum technischen Anwendungsbereich von Artikel 5.3 der ePrivacy-Richtlinie: Plausible speichert keine Informationen auf dem Endgerät des Nutzers, verwendet keine persistenten eindeutigen Identifikatoren und liefert nur aggregierte Metriken, weshalb seine Nutzung im Rahmen der Cookie-Regelung keine vorherige Einwilligung erfordert. d) Gesetzliche Verpflichtung (Art. 6.1.c DSGVO): Zur Erfüllung steuerlicher und buchhalterischer Verpflichtungen gemäß der geltenden spanischen Gesetzgebung (Allgemeines Steuergesetz, Handelsgesetzbuch).

6. Empfänger der Daten

Deine personenbezogenen Daten können den folgenden Empfängern mitgeteilt werden, ausschließlich in dem Maße, das für die beschriebenen Zwecke erforderlich ist:

Empfänger	Zweck	Standort	Garantien

Stripe, Inc.

Zahlungsabwicklung

USA / EU

Data Privacy Framework (DPF), Standardvertragsklauseln

Railway Corp.

Hosting der API und der PostgreSQL-Datenbank

USA / EU

Standardvertragsklauseln, ergänzende technische Maßnahmen

Cloudflare, Inc.

Hosting und Auslieferung des *Frontends* (Cloudflare Workers) und DDoS-Mitigation

USA / Globales Netzwerk

Data Privacy Framework (DPF), Standardvertragsklauseln

Anthropic PBC

Anbieter des KI-Modells (LLM) für die Berichtserstellung und die personalisierte Interaktion

USA

Data Privacy Framework (DPF), Standardvertragsklauseln, Richtlinie zum Nicht-Training auf Anfragen an die kommerzielle API

Resend, Inc.

Versand transaktionaler E-Mails

USA

Standardvertragsklauseln

Holded Technologies, S.L.

Ausstellung vereinfachter Rechnungen (TicketBAI/BATUZ) ohne personenbezogene Daten des Käufers

Europäische Union (Spanien)

Auftragsverarbeiter gemäß Artikel 28 DSGVO

Plausible Insights OÜ

Aggregierte und *cookie-freie* Webanalytik

Europäische Union (Estland)

Verarbeitung innerhalb des EWR; keine internationale Übermittlung

Google LLC

Tag-Verwaltung (Google Tag Manager), Webanalytik (Google Analytics 4), Messung von Werbekonversionen (Google Ads) einschließlich Enhanced Conversions und serverseitigem Upload von Offline Conversions vom Stripe-Webhook, *Remarketing*-, *Customer-Match*- und *Similar-Audiences*-Audiences

USA / Globales Netzwerk

Data Privacy Framework (DPF), Standardvertragsklauseln, IP-Anonymisierung im EWR, Consent Mode v2 mit Standardwert denied, Übermittlung abhängig von deiner Einwilligung

Sentry (Functional Software, Inc.)

Nachverfolgbarkeit technischer Fehler im Backend und Frontend

USA

Standardvertragsklauseln, automatisches *Scrubbing* von PII in Payloads

Verarbeitung durch Anthropic: Wenn das KI-Modell dein kognitives Profil verarbeitet oder einen Bericht erstellt, wird der Inhalt zur Echtzeit-Verarbeitung an die Server von Anthropic gesendet. Anthropic bewahrt den Inhalt der API-Anfragen nicht zum Training seiner Modelle auf, wenn die kommerzielle API verwendet wird (gemäß seiner Usage Policy). Das Profil wird mit jeder Anfrage gesendet und von Anthropic nach Erstellung der Antwort verworfen. Verarbeitung durch Google: Nur wenn du den Kategorien „Analytik" und/oder „Marketing" des Cookie-Banners zustimmst, erhält Google die in Abschnitt 3.7 beschriebenen Daten. Unter keinen Umständen übermitteln wir Google dein kognitives Profil, deine Persönlichkeitswerte, deine Antworten auf die Fragebögen oder den Inhalt der KI-Gespräche. Die Übermittlung von Enhanced Conversions und Offline Conversions vom Stripe-Webhook an Google erfolgt ausschließlich in Bezug auf den SHA-256-Hash deiner E-Mail-Adresse, den Transaktionsbetrag, die Währung und einen opaken Identifikator des Kaufs (ohne die interne Datenbank von Afini nicht auf deine Identität rückführbar), und zwar erst nach Überprüfung, dass der Kategorie „Marketing" zugestimmt wurde. Wir teilen deine Daten mit keinem anderen Dritten außerhalb der aufgeführten. Falls eine Verwaltungs- oder Justizbehörde uns gemäß geltendem Recht die Übermittlung von Daten auferlegt, werden wir ausschließlich im Rahmen des geltenden Rechts handeln.

7. Internationale Datenübermittlungen

Einige unserer Dienstleister können Daten außerhalb des Europäischen Wirtschaftsraums (EWR) verarbeiten. In allen Fällen stellen wir sicher, dass diese Übermittlungen mit geeigneten Garantien gemäß Kapitel V der DSGVO einhergehen:

• Stripe, Inc. (USA): Beigetreten zum EU-U.S. Data Privacy Framework (DPF), Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023. Zusätzlich wendet Stripe von der Europäischen Kommission genehmigte Standardvertragsklauseln (SCCs) an.
• Railway Corp. (USA): Übermittlungen abgedeckt durch Standardvertragsklauseln (SCCs) gemäß dem Durchführungsbeschluss 2021/914 der Europäischen Kommission, ergänzt durch zusätzliche technische Maßnahmen (Verschlüsselung in Transit und at Rest).
• Cloudflare, Inc. (USA / globales Netzwerk): Beigetreten zum EU-U.S. Data Privacy Framework (DPF). Zusätzlich wendet Cloudflare Standardvertragsklauseln (SCCs) und ergänzende technische Maßnahmen an.
• Anthropic PBC (USA): Beigetreten zum EU-U.S. Data Privacy Framework (DPF). An die kommerzielle API von Anthropic gesendete Daten werden in Echtzeit verarbeitet und nicht zum Training aufbewahrt. Zusätzliche Garantien: Verschlüsselung in Transit (TLS 1.3), Verarbeitung ohne Persistenz der Daten der API-Anfragen.
• Resend, Inc. (USA): Übermittlungen abgedeckt durch Standardvertragsklauseln (SCCs).
• Google LLC (USA / globales Netzwerk): Beigetreten zum EU-U.S. Data Privacy Framework (DPF). Zusätzlich wendet Google Standardvertragsklauseln (SCCs) an. Die Übermittlungen an Google erfolgen auf zwei Ebenen:

1. *Client-zu-Google*, ausgeführt vom Browser des Nutzers beim Laden des Google-Tag-Manager-Containers und der Pixel von Google Analytics 4 und Google Ads, abhängig von deiner Einwilligung über Google Consent Mode v2 mit Standardwert denied.

2. *Server-zu-Google*, ausgeführt von unserem Backend auf Railway beim Auslösen des Stripe-Webhooks checkout.session.completed: Wir senden an den Endpoint der Google-Ads-API (ConversionUploadService) die in Abschnitt 6 beschriebenen Daten, ausschließlich wenn der Kategorie „Marketing" des Banners zugestimmt wurde und das Ereignis einem abgeschlossenen Kauf entspricht.

3. *Server-zu-Google* zur Verwaltung von Werbe-Audience-Listen (Customer Match): periodischer Upload von E-Mail-Listen im SHA-256-Hash-Format an die Google-Ads-API (UserDataService), um unsere Werbe-Audiences am Leben zu halten. Dieser Upload umfasst nur E-Mail-Adressen von Nutzern, die der Kategorie „Marketing" zu irgendeinem Zeitpunkt zugestimmt haben und für die kein späterer Widerruf vorliegt.

• Sentry (Functional Software, Inc., USA): Übermittlungen abgedeckt durch Standardvertragsklauseln (SCCs). Die Fehler-*Payloads* werden vor dem Versand gefiltert, um PII zu entfernen.

Afini hat für jede der beschriebenen Übermittlungen eine Transfer Impact Assessment (TIA) gemäß der Rechtsprechung des Gerichtshofs der Europäischen Union (Rechtssache C-311/18, *Schrems II*) durchgeführt und ist zu dem Schluss gekommen, dass die implementierten vertraglichen und technischen Garantien ein im Wesentlichen gleichwertiges Schutzniveau wie das von der DSGVO garantierte gewährleisten. Diese Bewertungen werden regelmäßig überprüft und stehen der Aufsichtsbehörde auf Anfrage zur Verfügung.

Auf keinen Fall werden Daten in Länder übermittelt, die ohne die von der DSGVO geforderten Garantien kein angemessenes Schutzniveau aufweisen.

Für Nutzer im Vereinigten Königreich: Datenübermittlungen außerhalb des Vereinigten Königreichs werden durch das UK International Data Transfer Agreement (IDTA) und/oder das UK Addendum zu den EU-SCCs abgedeckt, gemäß den Vorgaben des Information Commissioner's Office (ICO). Das Vereinigte Königreich erkennt die EU-U.S. Data Privacy Framework Extension als Grundlage für Übermittlungen in die USA an. Für Nutzer in Kanada: Datenübermittlungen außerhalb Kanadas erfolgen gemäß den Grundsätzen von PIPEDA (Abschnitt 4.1.3) und stellen sicher, dass die Dienstleister durch bindende Verträge ein vergleichbares Schutzniveau bieten. Für Nutzer in Brasilien: Internationale Übermittlungen werden durch die Garantien des Artikels 33 LGPD abgedeckt, einschließlich spezifischer Vertragsklauseln und der Einhaltung angemessener, von der ANPD zertifizierter Schutzstandards.

8. Speicherdauer der Daten

Wir bewahren deine Daten für die folgenden Zeiträume auf:

Datentyp	Aufbewahrungsfrist	Grund

Einzelne Antworten auf den Test (test.afini.ai)

Werden nach Erstellung des Ergebnisberichts vom Server gelöscht. Keine dauerhafte Speicherung.

Datenminimierung

Antworten auf Bewertungen (afini.ai)

Aufbewahrung, solange das Nutzerkonto aktiv ist, um eine Neukalibrierung des Profils zu ermöglichen. Löschung auf Antrag.

Vertragserfüllung

Werte und aggregierte Ergebnisse

Solange du deinen Zugangslink aktiv hältst (test.afini.ai) oder dein Konto aktiv ist (afini.ai). Du kannst die Löschung jederzeit beantragen.

Vertragserfüllung

Kompiliertes kognitives Profil (afini.ai)

Solange das Nutzerkonto aktiv ist. Wird 90 Tage nach Kontokündigung gelöscht.

Vertragserfüllung

Kompilierter System-Prompt (afini.ai)

Identisch mit dem kognitiven Profil.

Vertragserfüllung

Inhalt der KI-Gespräche (afini.ai)

Nur während der aktiven Sitzung. Keine persistente Speicherung nach Sitzungsende.

Datenminimierung

Token-Erfassung (afini.ai)

12 Monate ab Registrierung, erneuerbar pro Abonnementzeitraum.

Vertragserfüllung

Persönlichkeitsbericht

Solange du deinen Zugangslink aktiv hältst oder dein Konto aktiv ist.

Vertragserfüllung

Name und E-Mail-Adresse

Maximal 12 Monate nach Durchführung des Tests (test.afini.ai) oder nach Kontokündigung (afini.ai), es sei denn, du beantragst die Löschung früher.

Vertragserfüllung

Rechnungsdaten / Zahlungsbestätigungsdaten

5 Jahre ab Transaktionsdatum.

Gesetzliche Verpflichtung (Art. 30 Handelsgesetzbuch; Art. 70 Allgemeines Steuergesetz)

Voucher- / Einladungsdaten

12 Monate ab Einlösung oder Ablauf.

Berechtigtes Interesse (Audit und Kontrolle)

Datensatz der Cookie-Einwilligung

13 Monate ab der letzten Einwilligungserklärung.

Gesetzliche Verpflichtung (Art. 22 LSSI-CE; AEPD-Leitlinien 2023)

Cookies und Daten von Google Analytics 4

Maximal 14 Monate ab dem letzten Ereignis des Nutzers (in GA4 *User and Event Data Retention* angewandte Konfiguration).

Vernünftige Mindestkonfiguration; die Daten werden bei Ablauf anonymisiert

Cookies und Daten von Google Ads (Enhanced Conversions und Attribution)

90 Tage für _gcl_*-Identifikatoren; 30 Tage als Standard-Attributionsfenster für Konversionen.

Standardkonfiguration von Google Ads; Fenster auf bis zu 90 Tage erweiterbar, wenn du Konversionsmodellierung aktivierst

*Remarketing*- und *Customer-Match*-Listen in Google Ads

Bis zu 540 Tage seit der letzten Aktivität oder seit dem Upload des Datensatzes (von Google maximal zulässig). Wir löschen jede Liste, sobald ein Nutzer seine Einwilligung widerruft oder das Recht auf Löschung ausübt.

Maximaler Zeitraum, der von der Google-Ads-Konfiguration zugelassen wird

Daten von Plausible Analytics

Es werden keine individuellen Identifikatoren gespeichert; die aggregierten Ereignisse werden bis zu 5 Jahre für historische Trendanalysen aufbewahrt.

Berechtigtes Interesse (aggregierte Analytik)

Fehler-Traces in Sentry

90 Tage.

Berechtigtes Interesse (Debugging)

Nach Ablauf der angegebenen Fristen werden die Daten sicher gelöscht oder unwiderruflich anonymisiert.

Grundsatz der Minimierung: Wir bewahren nur die für jeden Zweck unbedingt erforderlichen Daten und für die kürzestmögliche Zeit auf. Vorzeitige Löschung: Unabhängig von den oben genannten Fristen kannst du die Löschung deiner Daten jederzeit beantragen, indem du an info@afini.ai schreibst, ohne dass du den Ablauf der angegebenen Fristen abwarten musst. Wir bearbeiten deinen Antrag innerhalb von maximal einem Monat. Kontolöschung (afini.ai): Wenn du die Löschung deines Kontos beantragst, werden gelöscht: dein kognitives Profil, der kompilierte System-Prompt, die Werte aller Bewertungen und deine Identifikationsdaten. Die Rechnungsdaten werden für den gesetzlich vorgeschriebenen Zeitraum (5 Jahre) aufbewahrt.

9. Deine Rechte

Gemäß der DSGVO (Artikel 15 bis 22) und der LOPDGDD (Artikel 12 bis 18) hast du folgende Rechte:

a) Auskunftsrecht (Art. 15 DSGVO): Bestätigung darüber zu erhalten, ob wir deine Daten verarbeiten, und gegebenenfalls Zugang zu ihnen und zu den Informationen über die Verarbeitung. b) Recht auf Berichtigung (Art. 16 DSGVO): Berichtigung unrichtiger oder unvollständiger personenbezogener Daten zu verlangen. c) Recht auf Löschung („Recht auf Vergessenwerden") (Art. 17 DSGVO): Löschung deiner Daten zu verlangen, wenn sie unter anderem für die Zwecke, für die sie erhoben wurden, nicht mehr erforderlich sind, du deine Einwilligung widerrufst oder die Daten unrechtmäßig verarbeitet wurden. d) Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO): Verlangen, dass die Verarbeitung deiner Daten unter bestimmten Umständen eingeschränkt wird (z. B. während die Richtigkeit der Daten oder die Rechtmäßigkeit der Verarbeitung überprüft wird). e) Recht auf Datenübertragbarkeit (Art. 20 DSGVO): Deine personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format (JSON oder CSV) zu erhalten und sie an einen anderen Verantwortlichen zu übermitteln. Im Fall von afini.ai umfasst dieses Recht die Möglichkeit, dein kognitives Profil im portablen JSON-Format zu erhalten. f) Widerspruchsrecht (Art. 21 DSGVO): Aus Gründen, die sich aus deiner besonderen Situation ergeben, der Verarbeitung deiner Daten zu widersprechen, wenn diese auf berechtigtem Interesse beruht. Insbesondere kannst du der Verarbeitung deiner Daten zu Zwecken aggregierter Analytik mit Plausible widersprechen. g) Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22 DSGVO): Nicht einer ausschließlich auf einer automatisierten Verarbeitung — einschließlich Profiling — beruhenden Entscheidung unterworfen zu werden, die rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt. h) Recht auf Widerruf der Einwilligung zur Profilinjektion in die KI (spezifisch für afini.ai): Du kannst jederzeit verlangen, dass dein kognitives Profil nicht mehr in das KI-Modell injiziert wird, während du den Zugang zu den übrigen Funktionalitäten deines Kontos behältst. i) Recht auf Widerruf der Einwilligung in Analyse- und Werbe-Cookies: Du kannst deine Einwilligung in Google Analytics 4 und Google Ads jederzeit widerrufen, indem du das Cookie-Banner über den Link „Cookies verwalten" in der Fußzeile erneut öffnest. Deine neue Wahl ersetzt unverzüglich die vorherige, deaktiviert die entsprechenden Identifikatoren im Google Consent Mode und entfernt die zugehörigen Cookies im nächsten Ladezyklus. Wie du deine Rechte ausübst:

• Sende eine E-Mail an info@afini.ai und gib das Recht an, das du ausüben möchtest, zusammen mit einer Kopie deines Personalausweises, Reisepasses oder eines anderen Dokuments, das deine Identität nachweist.
• Wir beantworten deinen Antrag innerhalb von maximal einem Monat nach Eingang (verlängerbar auf zwei Monate in Fällen besonderer Komplexität gemäß Art. 12.3 DSGVO).
• Die Ausübung dieser Rechte ist kostenlos, es sei denn, die Anträge sind offenkundig unbegründet oder exzessiv (Art. 12.5 DSGVO).

Recht auf Beschwerde bei der Aufsichtsbehörde:

Wenn du der Ansicht bist, dass die Verarbeitung deiner Daten gegen die Datenschutzvorschriften verstößt, hast du das Recht, bei der zuständigen Aufsichtsbehörde deines Wohnsitzlandes Beschwerde einzulegen:

• Spanien — AEPD (Agencia Española de Protección de Datos): www.aepd.es · C/ Jorge Juan 6, 28001 Madrid · Tel: 901 100 099 / 912 663 517
• Vereinigtes Königreich — ICO (Information Commissioner's Office): ico.org.uk
• Europäische Union — andere DPAs: Konsultiere die Behörde deines Mitgliedstaats unter edpb.europa.eu
• Brasilien — ANPD: www.gov.br/anpd
• Kanada — OPC: www.priv.gc.ca
• Australien — OAIC: www.oaic.gov.au
• Vereinigte Staaten — FTC: www.ftc.gov
• Japan — PPC: www.ppc.go.jp

Für jede andere Jurisdiktion kontaktiere uns unter info@afini.ai und wir nennen dir die entsprechende zuständige Behörde.

10. Daten von Minderjährigen

Der Dienst von Afini richtet sich nicht an Minderjährige unter 16 Jahren. Wir erfassen nicht wissentlich Daten von Minderjährigen unter 16 Jahren. Wenn du unter 16 Jahre alt bist, nutze diesen Dienst nicht und stelle uns keine personenbezogenen Daten zur Verfügung.

Wenn du Vater, Mutter oder gesetzlicher Vormund bist und Kenntnis davon hast, dass ein in deiner Verantwortung stehender Minderjähriger unter 16 Jahren Afini personenbezogene Daten zur Verfügung gestellt hat, kontaktiere uns unter info@afini.ai und wir werden diese Daten umgehend löschen.

Die Altersgrenze von 16 Jahren wird gemäß Artikel 7 LOPDGDD festgelegt, der in Spanien das Mindestalter für die Erteilung der Einwilligung auf 14 Jahre festlegt. Angesichts der besonders sensiblen Natur der Persönlichkeitsdaten wendet Afini jedoch eine verstärkte Schutzschwelle von 16 Jahren an.

Hinweis zu internationalen Schwellen: Verschiedene Jurisdiktionen legen unterschiedliche Mindestalter für die digitale Einwilligung fest (13 Jahre in den USA nach COPPA, 13 Jahre in Kanada nach PIPEDA, 16 Jahre in den Niederlanden und Deutschland, 15 Jahre in Frankreich, 14 Jahre in Österreich und Italien usw.). Afini wendet einheitlich die Schwelle von 16 Jahren für alle Jurisdiktionen an und gewährleistet so unabhängig vom Standort des Nutzers das höchste Schutzniveau.

11. Besonders sensible Daten und besondere Kategorien

Die aus den Persönlichkeitsbewertungen und dem kognitiven Profil abgeleiteten Daten könnten je nach Auslegung und Kontext der Kategorie der Daten zur psychischen Gesundheit oder zum psychologischen Profil nahekommen — Kategorien, die nach Artikel 9 DSGVO einen verstärkten Schutz genießen.

Afini verfolgt einen Ansatz maximaler Vorsicht:

• Wir behandeln die Ergebnisse der Persönlichkeitsbewertungen und das kompilierte kognitive Profil mit einem Schutzniveau, das dem der besonderen Datenkategorien entspricht, unabhängig davon, ob sie technisch als solche eingestuft werden.
• Die Ergebnisse deiner Bewertungen und dein kognitives Profil sind streng privat: Nur du hast über deinen persönlichen Link oder dein Nutzerkonto Zugriff darauf.
• Wir teilen, verkaufen, übertragen oder stellen deine Persönlichkeitsergebnisse oder dein kognitives Profil unter keinen Umständen Dritten zur Verfügung. Dies schließt ausdrücklich Google ein: Weder Google Analytics, noch Google Ads, noch Google Tag Manager, noch eine andere Werbeplattform erhalten zu irgendeinem Zeitpunkt dein kognitives Profil, deine Persönlichkeitswerte oder deine Antworten auf die Fragebögen.
• Wir verwenden die Ergebnisse oder das Profil nicht, um Entscheidungen zu treffen, die dich betreffen (im Beruf, bei Versicherungen, bei Krediten oder anderer Art).
• Wir aggregieren oder anonymisieren keine Persönlichkeitsdaten, um daraus Studien, Statistiken oder abgeleitete Produkte zu erstellen, ohne ausdrückliche und unabhängige Einwilligung des Nutzers.
• Das in das KI-Modell injizierte kognitive Profil wird ausschließlich zur Personalisierung der Interaktion des Nutzers selbst verwendet, niemals zu seiner Klassifizierung, Segmentierung oder zur Treffung automatisierter, ihn betreffender Entscheidungen.
• Wir betreiben keine personalisierte Werbung auf Basis von Persönlichkeit. Die Google-Ads-Kampagnen, die wir durchführen, können *Remarketing*-Audiences (Nutzer, die die Plattform bereits besucht haben), *Customer-Match*-Audiences (gebildet aus kommerziellen E-Mail-Listen) und aus den vorgenannten abgeleitete *Similar Audiences* umfassen. Unter keinen Umständen werden diese Audiences mit deinen Persönlichkeitswerten, deinem kognitiven Profil, deinen Facetten, deinen Antworten auf die Fragebögen oder einer anderen aus den psychometrischen Bewertungen abgeleiteten Inferenz aufgebaut oder angereichert. Die Linie ist absolut: Daten gemäß Artikel 9 DSGVO verlassen Afini nicht, auch nicht in aggregierter oder pseudonymisierter Form, in Richtung einer Werbeplattform.

12. Automatisierte Entscheidungen, Profiling und künstliche Intelligenz

12.1. Erstellung des Persönlichkeitsprofils

Der Dienst von Afini generiert Persönlichkeitsprofile automatisch auf der Grundlage deiner Antworten auf psychometrische Fragebögen. Diese Profile basieren auf validierten wissenschaftlichen Modellen (Big Five, Bindungstheorie, Humorstile, Werte etc.) und werden mit standardisierten und öffentlich dokumentierten statistischen Punktwertalgorithmen berechnet.

12.2. Kompiliertes kognitives Profil und KI-Injektion (afini.ai)

Auf der Plattform afini.ai werden die Ergebnisse aller Bewertungen zu einem strukturierten kognitiven Profil (JSON-Format) kompiliert. Dieses Profil wird in einen *System-Prompt* (Kontextanweisungen) umgewandelt, der bei jedem Gespräch mit dem KI-Modell injiziert wird, um die Interaktion zu personalisieren.

Transparenz über die Funktionsweise:

• Du weißt jederzeit, welche Dimensionen dein Profil bilden (Merkmale, Facetten, Bindungsskalen, Humorstile, Werte etc.) und wie vollständig es ist.
• Das Profil wird als Systemkontext in das KI-Modell injiziert, mit aktivierten Caching-Techniken (*Prompt Caching*), um die Nutzung von Tokens zu optimieren und die Interaktionskosten zu senken.
• Das KI-Modell erhält die Personalisierungsanweisungen, bewahrt das Profil aber nicht zwischen den Sitzungen auf.
• Der Nutzer kann sein Profil jederzeit einsehen, herunterladen und die Löschung beantragen.

12.3. Reichweite der automatisierten Entscheidung

• Die generierten Profile dienen ausschließlich der Information und Selbsterkenntnis. Sie werden nicht verwendet, um Entscheidungen zu treffen, die rechtliche Wirkung auf dich entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen.
• Die Profile werden nicht verwendet für: Personalauswahl, Kreditbewertung, Festlegung von Versicherungsprämien, Zugang zu Dienstleistungen oder einen anderen Entscheidungsprozess, der deine Rechte oder Interessen berühren könnte.
• Es gibt kein System des *Scorings*, der Klassifizierung, des *Rankings* oder der Kategorisierung von Nutzern jenseits der Erstellung des individuellen Profils zur Selbsterkenntnis.

12.4. Deine Rechte in Bezug auf automatisierte Entscheidungen und den Einsatz von KI

Gemäß Artikel 22 DSGVO hast du das Recht:

• Menschliches Eingreifen zur Überprüfung deines Profils zu erlangen.
• Deinen Standpunkt zu den Ergebnissen darzulegen.
• Die Ergebnisse des generierten Profils anzufechten.
• Zu verlangen, dass dein Profil nicht in das KI-Modell injiziert wird (während du den Zugriff auf die übrigen Funktionalitäten behältst).
• Eine Erklärung der Bedeutung jeder Dimension deines Profils und ihres Einflusses auf die KI-Interaktion zu erhalten.

Das Ergebnis, das du erhältst, hat ausschließlich informativen Charakter und keinen verbindlichen, diagnostischen oder klinischen Wert. Es steht dir frei, es zu nutzen, zu ignorieren oder so zu interpretieren, wie du es für angemessen hältst.

Zur Ausübung dieser Rechte kontaktiere uns unter info@afini.ai.

13. Werbung, Konversionsmessung und Webanalytik

Dieser Abschnitt erläutert, wie die Werbe- und Analyseintegrationen funktionieren, die wir ausschließlich mit deiner Einwilligung aktivieren.

13.1. Google Tag Manager (GTM)

Google Tag Manager ist ein *Container* (kein Messwerkzeug an sich), der es uns erlaubt, Mess- und Werbe-Tags hinzuzufügen, zu bearbeiten und zu deaktivieren, ohne den Quellcode der Website zu ändern. Der Container wird mit allen Consent-Signalen (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) im Standardwert denied über Google Consent Mode v2 geladen. Kein Tag innerhalb des Containers wird mit Identifikatoren ausgelöst, bis dein Browser ein Consent-Update überträgt.

13.2. Google Analytics 4 (GA4)

Wenn du der Kategorie „Analytik" zustimmst, werden die Cookies _ga und _ga_<container_id> aktiviert, um deinen Browser zwischen Seiten und Sitzungen zu identifizieren. GA4 ermöglicht uns die aggregierte Analyse des Navigationsverhaltens innerhalb der Plattform. Deine IP-Adresse wird im EWR vor der Speicherung durch Google standardmäßig anonymisiert (IPv4/IPv6-Trunkierung). Die Aufbewahrung von Nutzer- und Ereignisdaten in GA4 ist auf 14 Monate konfiguriert.

13.3. Google Ads — Conversion Tracking

Wenn du der Kategorie „Marketing" zustimmst, werden die Identifikatoren _gcl_au, _gcl_aw und _gcl_dc aktiviert, um den Kauf der Werbekampagne zuzuordnen, die dich gebracht hat. Die Konversion wird gemessen, wenn die Zahlung in Stripe abgeschlossen wird.

13.4. Google Ads — Enhanced Conversions

Zusätzlich übermitteln wir Google bei Einwilligung in die Kategorie „Marketing" einen SHA-256-Hash deiner E-Mail-Adresse (im Browser berechnet, in Kleinbuchstaben normalisiert und ohne Leerzeichen) zusammen mit den Transaktionsdaten. Der Hash ist ein abgeleiteter Identifikator: Er erlaubt es nicht, deine E-Mail im Klartext wiederherzustellen, gilt aber technisch weiterhin als pseudonymisiertes personenbezogenes Datum im Sinne der DSGVO. Sein einziger Zweck ist die Verbesserung der Konversionszuordnung, wenn der Nutzer mit derselben E-Mail in seinem Google-Konto angemeldet ist.

13.5. Google Ads — Offline Conversions (Stripe → Google Ads, Server-zu-Server)

Um Fälle abzudecken, in denen der Browser des Nutzers den Konversions-Pixel nicht auslöst (weil er den Tab nach der Zahlung schließt, weil sein Browser den Pixel blockiert etc.), löst unser Backend aus dem Handler des Stripe-Webhooks checkout.session.completed einen Server-zu-Server-Aufruf an die Google-Ads-API (ConversionUploadService) aus. Dieser Aufruf enthält dieselben Felder wie im vorherigen Abschnitt beschrieben (SHA-256-Hash der E-Mail + GCLID + Betrag + Währung + opaker Identifikator des Kaufs). Es handelt sich um eine Übermittlung, die ausschließlich erfolgt, wenn der Kategorie „Marketing" des Banners zugestimmt wurde und das Ereignis einem abgeschlossenen Kauf entspricht. Ein opaker Identifikator (order_id) wird verwendet, um gegen das vom Browser ausgelöste Ereignis zu deduplizieren und doppelt gezählte Konversionen zu vermeiden.

13.6. Plausible Analytics (ohne Einwilligung, *cookie-free*)

Plausible Analytics ist ein in der Europäischen Union (Estland) gehosteter Web-Analytics-Dienst, der keine Cookies verwendet, keine persistenten eindeutigen Identifikatoren speichert und keine Nachverfolgung einzelner Nutzer zwischen Sitzungen erlaubt. Er liefert nur aggregierte Metriken (Seitenaufrufe, Länder, Browser, Traffic-Quellen) und erfordert daher gemäß den EDPB-Leitlinien 03/2023 zum technischen Anwendungsbereich von Artikel 5.3 der ePrivacy-Richtlinie keine vorherige Einwilligung. Wenn du auch in diesen aggregierten Metriken nicht erscheinen möchtest, kannst du die „Do Not Track"-Option deines Browsers aktivieren (Plausible respektiert das DNT-Signal) oder Erweiterungen wie uBlock Origin verwenden, die plausible.io blockieren.

13.7. Werbe-Audiences und *Remarketing*

Afini kann die folgenden Werbe-Audience-Funktionen von Google Ads nutzen, stets unter deiner vorherigen Einwilligung in die Kategorie „Marketing":

• *Remarketing*-Audiences (Remarketing Lists for Search Ads): Listen von Nutzern, die unsere Plattformen zuvor besucht haben, gebildet mit den _gcl_*-Cookies und anderen Standard-Identifikatoren von Google Ads. Sie dienen dazu, dir relevante Anzeigen einzublenden, wenn du erneut nach Begriffen suchst, die mit unserem Dienst zusammenhängen.
• Customer Match: Listen von E-Mail-Adressen, an Google im SHA-256-Hash-Format übermittelt, mit denen wir Kampagnen auf Personen ausrichten können, die bereits in unserer kommerziellen Datenbank stehen (z. B. ehemalige Kunden, denen wir ein neues Produkt anbieten möchten). Die Nutzung von Customer Match erfordert, dass wir Google gegenüber nachweisen, dass wir eine Rechtsgrundlage dafür haben, was in unserem Fall deine ausdrückliche Einwilligung in die Kategorie „Marketing" des Cookie-Banners ist oder, falls du uns deine E-Mail in einem anderen kommerziellen Kontext überlassen hast, deine separate Einwilligung in die werbliche Nutzung.
• *Similar Audiences* (ähnliche Audiences): von Google automatisch aus den vorgenannten Audiences generiert, um die Reichweite auf statistisch ähnliche Werbeprofile auszudehnen. Die Generierung erfolgt durch Google in seinen Systemen; wir übermitteln zu diesem Zweck keine zusätzlichen Daten.

Rote Linie. Deine Persönlichkeitswerte, dein kognitives Profil, deine Merkmale, deine Facetten, deine Antworten auf die Fragebögen und der Inhalt deiner KI-Gespräche werden niemals, weder direkt noch indirekt, zur Bildung, Segmentierung oder Anreicherung dieser Audiences verwendet. Die Listen, die wir Google übermitteln, enthalten ausschließlich Standard-Werbeidentifikatoren (gehashte E-Mail, opaker Identifikator des Kaufs, GCLID) oder werden in den Systemen von Google automatisch aus Navigations- und Konversionsereignissen ohne psychometrische Metadaten generiert.

Wenn wir zusätzliche Werbeformate aktivieren, die neue Cookie-Typen oder neue Übermittlungen erfordern (z. B. Display-Kampagnen, YouTube oder weiteres Inventar des Google-Netzwerks), werden wir diese Richtlinie aktualisieren und das Consent-Banner für die betroffenen Nutzer erneut anzeigen.

13.8. Unterbindung und Widerruf

Du kannst:

• An der Quelle unterbinden: die Kategorien „Analytik" und „Marketing" beim ersten Erscheinen des Cookie-Banners ablehnen.
• Jederzeit widerrufen: das Banner über den Link „Cookies verwalten" in der Fußzeile erneut öffnen und die Kategorien deaktivieren. Deine neue Wahl tritt im nächsten Ladezyklus der Seite in Kraft.
• Auf Browser-Ebene blockieren: einen Tag-Blocker installieren (uBlock Origin, Privacy Badger) oder JavaScript für googletagmanager.com, google-analytics.com und googleadservices.com deaktivieren.
• Personalisierte Werbung in deinem Google-Konto deaktivieren: unter https://adssettings.google.com/ die entsprechende Option deaktivieren.

14. Verarbeitungsprinzipien und Datenschutz-Folgenabschätzung

14.1. Leitende Prinzipien (Art. 5 DSGVO)

Die Verarbeitung deiner Daten unterliegt jederzeit den folgenden Prinzipien:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz: Wir verarbeiten deine Daten rechtmäßig, fair und transparent und informieren dich jederzeit darüber, wie und wofür wir sie nutzen.
• Zweckbindung: Deine Daten werden nur zu festgelegten, eindeutigen und legitimen Zwecken erhoben und nicht in einer mit diesen Zwecken unvereinbaren Weise weiterverarbeitet.
• Datenminimierung: Wir erheben nur die Daten, die für die Verarbeitungszwecke angemessen, erheblich und unbedingt erforderlich sind.
• Richtigkeit: Wir halten deine Daten aktuell und treffen angemessene Maßnahmen, um unrichtige Daten unverzüglich zu löschen oder zu berichtigen.
• Speicherbegrenzung: Wir bewahren deine Daten nur so lange auf, wie es für die Verarbeitungszwecke erforderlich ist.
• Integrität und Vertraulichkeit: Wir verarbeiten deine Daten unter Gewährleistung angemessener Sicherheit, einschließlich des Schutzes vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung.

14.2. Datenschutz-Folgenabschätzung (DPIA)

Da die Verarbeitung von Persönlichkeits- und kognitiven Profildaten ein erhöhtes Risiko für die Rechte und Freiheiten der Betroffenen bergen kann, hat Afini eine Datenschutz-Folgenabschätzung (DPIA) gemäß Artikel 35 DSGVO durchgeführt. Diese Bewertung deckt sowohl den Dienst test.afini.ai als auch den KI-gestützten kognitiven Profildienst von afini.ai ab und enthält eine spezifische Analyse der in Abschnitt 13 beschriebenen Werbeintegrationen.

Die Bewertung kommt zu dem Schluss, dass das Restrisiko der Verarbeitung moderat-niedrig ist, dank folgender risikomindernder Maßnahmen: Löschung der einzelnen Antworten nach Erstellung des Berichts (test.afini.ai), ausschließlicher Zugriff des Nutzers auf seine Ergebnisse und sein Profil, keine Weitergabe des Profils an Dritte (einschließlich Google), umfassende Verschlüsselung der Daten, keine Persistenz der KI-Gespräche, Nicht-Trainings-Richtlinie des KI-Anbieters (kommerzielle API von Anthropic), Google Consent Mode v2 mit Standardwert denied, Werbesegmentierung ohne Verwendung von Persönlichkeitsinferenzen sowie Transparenz über die Zusammensetzung und Injektion des Profils.

Die DPIA steht unter https://afini.ai/legal/dpia zur Einsicht zur Verfügung.

15. Technische und organisatorische Sicherheitsmaßnahmen

Afini setzt geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO um, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten:

Technische Maßnahmen:

• Verschlüsselung aller Kommunikationen über HTTPS/TLS 1.2+ (Verschlüsselung in Transit).
• Verschlüsselung der Datenbank im Ruhezustand (AES-256).
• Datenbankzugriff beschränkt durch sichere Anmeldedaten und verschlüsselte Verbindungen.
• Logische Trennung der Daten jedes Nutzers (Sitzungsisolation).
• Eindeutige und nicht vorhersagbare Zugangs-Tokens für den Zugriff auf die Ergebnisse.
• Keine Speicherung von Finanzdaten (vollständig an Stripe delegiert).
• Audit der Zugriffe auf die Administrations-Endpoints.
• Authentifizierung über Magic Link mit *Rate Limiting* (afini.ai) — keine gespeicherten Passwörter.
• Ende-zu-Ende-verschlüsselte Kommunikation mit der Anthropic-API (TLS 1.3).
• Ende-zu-Ende-verschlüsselte Kommunikation mit der Google-Ads-API (TLS 1.3) und Authentifizierung via OAuth 2.0 mit rotiertem *Refresh Token*.
• Token-Erfassung über atomare Datenbankoperationen (Vermeidung von Race Conditions).
• Restriktive Content Security Policy (CSP) mit ausdrücklicher *Whitelist* erlaubter Ursprünge.

Organisatorische Maßnahmen:

• Zugriff auf die Administrationssysteme ausschließlich für autorisiertes Personal.
• Grundsatz der Datenminimierung: Es werden nur die unbedingt erforderlichen Daten erhoben und aufbewahrt.
• Grundsatz der Zweckbindung: Die Daten werden nur für die in dieser Richtlinie angegebenen Zwecke verwendet.
• Regelmäßige Überprüfung der Sicherheitsmaßnahmen.
• Protokoll zur Meldung von Sicherheitsverletzungen gemäß Artikel 33 und 34 DSGVO: Im Falle einer Verletzung benachrichtigen wir die AEPD innerhalb von höchstens 72 Stunden und gegebenenfalls die betroffenen Nutzer ohne unangemessene Verzögerung.

16. Cookie-Richtlinie und lokaler Speicher

Für detaillierte Informationen zur Verwendung von Cookies konsultiere unsere Cookie-Richtlinie.

Zusammenfassung: Die Plattformen verwenden:

• Notwendige Cookies für den Betrieb des Dienstes (Sitzung, Sprache, Einwilligungs-Datensatz, Betrugsprävention über Stripe und Cloudflare).
• Analyse- und Werbe-Cookies (Google Analytics 4, Google Ads) ausschließlich mit deiner vorherigen Einwilligung, verwaltet über Google Consent Mode v2 mit Standardwert denied.
• Aggregierte cookie-freie Analytik über Plausible Analytics, die keine Einwilligung erfordert, da keine Identifikatoren auf deinem Gerät installiert werden.
• Browser-localStorage zur technischen Speicherung von: Sitzungs-Token, Sprachpräferenz, aktivem Profil in afini.ai und lokalem Einwilligungs-Datensatz.

Du kannst die Einwilligung in Analyse- und Werbe-Cookies jederzeit widerrufen, indem du das Banner über den Link „Cookies verwalten" in der Fußzeile erneut öffnest.

Do Not Track (DNT): Plausible Analytics respektiert das DNT-Signal des Browsers. Google Tag Manager und die Google-Dienste respektieren DNT nicht von sich aus, aber unsere Integration mit Consent Mode v2 stellt sicher, dass kein Google-Identifikator gesetzt wird, bevor du deine Einwilligung bestätigst.

17. Links zu Dritten

Die Plattformen können Links zu Drittanbieter-Websites enthalten (z. B. Stripe für die Zahlungsabwicklung, Anthropic als Anbieter der KI-Technologie, Google für seine werblichen Nutzungsbedingungen). Afini ist nicht verantwortlich für die Datenschutzpraktiken oder die Inhalte dieser externen Websites. Wir empfehlen dir, die Datenschutzerklärungen aller von dir besuchten Drittanbieter-Websites zu konsultieren.

18. Jurisdiktionsspezifische Informationen

Dieser Abschnitt enthält zusätzliche Informationen, die von der Gesetzgebung bestimmter Jurisdiktionen gefordert werden. Wenn du in einem der unten angegebenen Länder oder Regionen wohnst, gelten die Bestimmungen dieses Abschnitts zusätzlich zu (und nicht anstelle der) allgemeinen Bestimmungen dieser Datenschutzerklärung.

18.1. Vereinigtes Königreich (UK GDPR + Data Protection Act 2018)

Nach der Gesetzgebung des Vereinigten Königreichs (UK GDPR und Data Protection Act 2018) entsprechen deine Datenschutzrechte denen der DSGVO. Rechtsgrundlage, Aufbewahrung der Daten und Zugriffsrechte gelten nach britischem Recht. Du kannst Beschwerden beim ICO (Information Commissioner's Office) einreichen.

18.2. Vereinigte Staaten von Amerika

Für Nutzer in den Vereinigten Staaten gelten zusätzlich zu dieser Datenschutzerklärung der Children's Online Privacy Protection Act (COPPA) für Minderjährige unter 13 Jahren sowie die staatlichen Datenschutzgesetze von Kalifornien (CCPA/CPRA), Virginia (VCDPA), Colorado (CPA) und Connecticut (CTDPA), unter anderem. Du hast das Recht, auf deine Daten zuzugreifen, sie zu berichtigen und zu löschen sowie der Verarbeitung zu widersprechen. Afini verkauft keine personenbezogenen Informationen im Sinne der CCPA/CPRA-Definition und teilt keine Informationen für *kontextbezogene* oder verhaltensbasierte Cross-Werbung ohne deine Einwilligung. Die Übermittlung des E-Mail-Hashes an Google Ads für Enhanced Conversions, abhängig von deinem Opt-in im Banner, könnte unter der CPRA als „Sharing" gelten — du kannst dem widersprechen, indem du dein Recht ausübst, die Kategorie „Marketing" des Cookie-Banners abzulehnen.

18.3. Kanada (PIPEDA und Provinzgesetzgebung)

Für Nutzer in Kanada werden deine Daten gemäß PIPEDA (Personal Information Protection and Electronic Documents Act) und der geltenden Provinzgesetzgebung (einschließlich des Loi 25 von Quebec) verarbeitet. Du hast das Recht, auf deine Daten zuzugreifen, ihre Berichtigung zu verlangen und zu erfahren, wie sie verwendet werden.

18.4. Brasilien (LGPD — Lei Geral de Proteção de Dados)

Für Nutzer in Brasilien werden deine Daten gemäß LGPD (Lei Geral de Proteção de Dados — Lei nº 13.709/2018) verarbeitet. Du hast das Recht, auf deine Daten zuzugreifen, ihre Berichtigung, Übertragbarkeit und Löschung zu verlangen. Du kannst Beschwerden bei der ANPD (Autoridade Nacional de Proteção de Dados) einreichen.

18.5. Australien (Privacy Act 1988 + APPs)

Für Nutzer in Australien werden deine Daten gemäß dem Privacy Act 1988 (Cth) und den Australian Privacy Principles (APPs) verarbeitet. Du hast das Recht, auf deine Daten zuzugreifen, ihre Berichtigung zu verlangen und Beschwerden beim OAIC (Office of the Australian Information Commissioner) einzureichen.

18.6. Japan (APPI — Act on the Protection of Personal Information)

Für Nutzer in Japan werden deine Daten gemäß APPI (Act on the Protection of Personal Information) verarbeitet. Du hast das Recht, auf deine Daten zuzugreifen, sie zu berichtigen, zu löschen und ihre Verarbeitung einschränken zu lassen. Du kannst Beschwerden bei der PPC (Personal Information Protection Commission) einreichen.

19. Änderungen dieser Richtlinie

Afini behält sich das Recht vor, diese Datenschutzerklärung jederzeit zu ändern, um sie an gesetzliche oder rechtsprechungsbedingte Neuerungen oder an die eigene Unternehmenspraxis anzupassen.

Wesentliche Änderungen werden über die Plattformen selbst (durch einen sichtbaren Hinweis auf der Website) sowie, falls wir über deine E-Mail-Adresse verfügen, per informativer E-Mail bekannt gegeben.

Das Datum der letzten Aktualisierung ist stets am Anfang dieses Dokuments angegeben. Wir empfehlen dir, diese Richtlinie regelmäßig zu konsultieren.

20. Anwendbares Recht und Jurisdiktion

Diese Datenschutzerklärung unterliegt als primärer Rahmen der spanischen und europäischen Gesetzgebung sowie zusätzlich der in der Jurisdiktion deines Wohnsitzes anwendbaren Datenschutzgesetzgebung:

Primäre Normgebung (Sitz des Verantwortlichen):

• Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 (Datenschutz-Grundverordnung — DSGVO).
• Gesetz 3/2018 vom 5. Dezember über den Schutz personenbezogener Daten und die Garantie digitaler Rechte (LOPDGDD).
• Gesetz 34/2002 vom 11. Juli über Dienste der Informationsgesellschaft und elektronischen Handel (LSSI-CE).
• Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates (KI-Verordnung — AI Act).
• Richtlinie 2002/58/EG (ePrivacy-Richtlinie), wie durch Artikel 22.2 LSSI-CE in das spanische Recht umgesetzt.

Zusätzlich anwendbare Normgebung je nach Jurisdiktion des Nutzers:

• Vereinigtes Königreich: UK General Data Protection Regulation (UK GDPR) und Data Protection Act 2018.
• Vereinigte Staaten: California Consumer Privacy Act / California Privacy Rights Act (CCPA/CPRA); Virginia Consumer Data Protection Act (VCDPA); Colorado Privacy Act (CPA); Connecticut Data Privacy Act (CTDPA); sowie weitere anwendbare staatliche Datenschutzgesetze. Children's Online Privacy Protection Act (COPPA) in Bezug auf Minderjährige.
• Kanada: Personal Information Protection and Electronic Documents Act (PIPEDA); Loi 25 (Quebec); und anwendbare Provinzgesetzgebung.
• Brasilien: Lei Geral de Proteção de Dados (LGPD — Lei nº 13.709/2018).
• Australien: Privacy Act 1988 (Cth) und Australian Privacy Principles (APPs).
• Japan: Act on the Protection of Personal Information (APPI).

Bei Konflikten zwischen Bestimmungen verschiedener Jurisdiktionen gilt die Norm, die dem Nutzer das höhere Schutzniveau bietet.

Für jede Streitigkeit, die sich aus dieser Richtlinie ergibt, sind die Gerichte und Tribunale von Bilbao zuständig, unter ausdrücklichem Verzicht auf jeden anderen Gerichtsstand, der einschlägig sein könnte, unbeschadet der Rechte, die die geltende Gesetzgebung Verbrauchern und Nutzern in ihren jeweiligen Jurisdiktionen des Wohnsitzes zuerkennt, einschließlich des unverzichtbaren Rechts, die Gerichte ihres Wohnsitzes anzurufen, wo das Gesetz dies vorsieht.

21. Kontakt

Für jede Anfrage, jeden Antrag auf Ausübung von Rechten oder jede Beschwerde im Zusammenhang mit dem Schutz deiner personenbezogenen Daten:

• E-Mail: info@afini.ai
• Postadresse: Bilbao AI S.L. — Calle Diputación 8, planta 4.ª, Departamento 5, 48008 Bilbao (Bizkaia), Spanien

---

*Letzte Aktualisierung: 9. Mai 2026*

13. Wie Afini lernt

Ab Mai 2026 integriert Afini ein System deklarierter Schichten, das von drei möglichen Wegen gespeist wird:

1. Manuelle Formulare: du tippst direkt im Dashboard.
2. Gesprächsmodule: geführte Chats mit der KI, in denen Afini relevante Stücke extrahiert.
3. Passive Extraktion: während eines freien Gesprächs erkennt Afini Erwähnungen, die für dein Profil relevant sein können.

Erkannte Hinweise durchlaufen ein Zwei-Achsen-System — Vertrauen (wie sicher wir sind) und Sensibilität (wie heikel die Kategorie) — das ihr Ziel bestimmt: Auto-Injektion, passive Benachrichtigung oder Entdeckungs-Liste. Hinweise mit hoher Sensibilität oder mittlerem Vertrauen gehen immer in die Liste, damit du entscheidest.

14. Die deklarierten Schichten

Dein erweitertes kognitives Profil hat 8 deklarierte Schichten: Kanon, Negativraum, Meta-Präferenzen, Mentaler Rahmen, Operativausrüstung, Rhythmen und Geografie, Vitalkontext, Intellektuelle Trajektorie. Jede Schicht hat ihre Tabelle, Verfallspolitik und Sensibilitätsstufe. Du kannst jeden Eintrag im Dashboard ansehen, bearbeiten und löschen.

15. Dein Recht auf Überprüfung und Löschung (DSGVO Art. 22 / EU AI Act Art. 50)

• Entdeckungs-Liste: Alle passiv erkannten Hinweise warten auf dein Okay, bevor sie ins Profil injiziert werden. Nichts geht rein, ohne dass du es siehst, wenn die Sensibilität hoch ist.
• DSGVO Art. 22: Wir treffen keine automatisierten Entscheidungen mit Rechtswirkung über dich. Das System injiziert Kontext in ein LLM als Prompt — die eigentliche Entscheidung bleibt deine und die der KI.
• EU AI Act Art. 50.2: Schicht-Items aus passiver Extraktion sind in deinem portablen JSON mit aiGenerated=true markiert.
• Recht auf Löschung: DELETE /v1/account/data löscht ALLE deine Tabellen — inklusive deklarierte Schichten, Listen-Kandidaten, Zeitschriften, Extraktions-Runs und Einstellungen.
• Methodischer Anhang: unter /dashboard/methodology veröffentlichen wir die exakte Betriebsregel mit numerischen Schwellen.

16. Daten, die wir nie erfassen

Konkrete Namen Dritter (Kinder, Partner, Chefs etc.) in vital_context. Ein serverseitiger Anti-PII-Validator weist jeden Versuch mit HTTP 422 ab. Kreditkartennummern. Exakte GPS-Position. Daten von Personen unter 16.

14. Lernen im Chat (Phase 6, Mai 2026)

Ab Mai 2026 können Nutzer des Professional-Plans zwei zusätzliche automatische Lernmechaniken im freien Chat aktivieren:

Inline-Microbuttons. Während du chattest, kann die KI dir diskrete Microbuttons (✓ akzeptieren / ✗ verwerfen) anbieten, um Aussagen, die sie als stabil und klar erkennt, zu deinem Profil hinzuzufügen. Sie werden nur für drei konkrete Schichten angeboten: dein ästhetischer Kanon, dein negativer Raum (Ablehnungen) und deine Meta-Präferenzen (wie du behandelt werden möchtest). Die fünf sensibelsten Schichten (mentaler Rahmen, operative Ausrüstung, Lebenskontext, Rhythmen, Werdegang) musst du immer selbst erklären — sie werden niemals automatisch vorgeschlagen. Erweiterte passive Extraktion. Alle fünf Chatrunden überprüft ein leichtes Modell (Haiku) deine Nachrichten, um (a) Lebensfakten zu identifizieren, die direkt in dein Gedächtnis gehen können, und (b) Annahmen über die drei zugelassenen Schichten, die in deinen Entdeckungs-Tray gelangen, damit du sie akzeptierst oder verwirfst. Jede Annahme mit hoher Sensibilität wird stillschweigend verworfen. Deine Kontrolle. Du kannst beide Mechaniken jederzeit unter Einstellungen → Automatische Extraktion deaktivieren. Wenn du sie deaktivierst, bleiben bereits gespeicherte Daten in deinem Profil und du verwaltest sie normal über Gedächtnis und Entdeckungen. Immer menschliche Bestätigung. Kein Microbutton speichert etwas, bevor du es akzeptierst. Keine passiv extrahierte Annahme wird in dein Profil injiziert, ohne zuerst deinen Entdeckungs-Tray zu durchlaufen. Die Autonomie des Nutzers über das, was die KI lernt, ist absolut: DSGVO Art. 22 und AI Act Art. 50 werden by design respektiert.