Rechtliches & Vertrauen
Datenschutzerklärung
Gültig ab 19. Oktober 2026 · Version 2.0
Dies ist eine Übersetzung des englischen Originaltextes. Bei Abweichungen zwischen den Sprachfassungen ist die englische Fassung maßgeblich.
1. Wer verantwortlich ist
Thalius AI AB (Organisationsnummer 559528-5635, USt-IdNr. SE559528563501), Slipgatan 5, 117 39 Stockholm, Schweden, ist der Verantwortliche für die in dieser Erklärung beschriebenen personenbezogenen Daten.
Datenschutzkontakt: [email protected]. Wir beantworten Datenschutzanfragen innerhalb eines Monats.
Diese Erklärung gilt für:
- Besucher dieser Website;
- Personen, die sich für den Dienst Hippocampus registrieren oder ihn nutzen, als Inhaber oder Mitglieder eines Workspace;
- Personen, die in einen Workspace eingeladen werden;
- Besucher eines öffentlichen Chats, den ein Workspace veröffentlicht;
- Personen, die dem Hippo Guide Fragen stellen;
- Personen, die sich in die Beta-Benachrichtigungsliste eintragen oder das Corporate-Formular senden;
- Partner in unserem Empfehlungsprogramm.
Sie gilt nicht für die Dokumente, die Kunden in den Dienst hochladen oder importieren. Für diese ist der Kunde der Verantwortliche und wir sind sein Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag.
2. Was wir erheben und warum
| Wer | Daten | Zweck | Rechtsgrundlage (Art. 6 DSGVO) |
|---|---|---|---|
| Jeder Website-Besucher | Seite, Datum, Kampagnen-Tags (UTM-Quelle und -Kampagne), Empfehlungslink und ein gesalzener Einweg-Hash der IP-Adresse | Besuche und Registrierungen je Seite und Kampagne zählen und Missbrauch bremsen, ohne jemanden zu identifizieren | Berechtigtes Interesse |
| Besucher der Website und der App, die Analyse oder Marketing erlauben | Analyse-Ereignisse und Kennungen, die die Tools in Abschnitt 3 setzen; das First-Touch-Cookie | Verstehen, welche Seiten und Kampagnen zu Registrierungen führen und wie die App genutzt wird | Einwilligung |
| Personen, die sich in die Beta-Benachrichtigungsliste eintragen | E-Mail; Name und Unternehmen, wenn das Formular danach fragt; der Wortlaut, dem Sie zugestimmt haben, und wann; woher Sie zuerst kamen (Kampagnen-Tags, Empfehlungslink, verweisende Website, Einstiegsseite) | Ihnen eine E-Mail senden, wenn die Beta startet | Einwilligung |
| Personen, die das Corporate-Formular senden | Geschäftliche E-Mail, Organisation, Unternehmensgröße, Nachricht, woher Sie zuerst kamen | Antworten und nachfassen | Berechtigtes Interesse; vorvertragliche Maßnahmen |
| Personen, die sich registrieren | E-Mail, Name, die von Ihnen gewählte Anmeldemethode, die Versionen der Nutzungsbedingungen und der Datenschutzerklärung, die Sie akzeptiert haben, und wann, der Kampagnen-Tag der Registrierung | Das Konto anlegen, die Annahme nachweisen, Registrierungen nach Quelle zählen | Vertrag; rechtliche Verpflichtung; berechtigtes Interesse |
| Kontoinhaber und Mitglieder | Name, E-Mail, Organisation, Workspace-Mitgliedschaften und Rollen, Anmeldeereignisse, Paket, Credit-Verbrauch | Den Dienst bereitstellen und abrechnen, Missbrauch verhindern | Vertrag |
| Personen, die in einen Workspace eingeladen werden | E-Mail, einladender Workspace, Status der Einladung | Die Einladung zustellen und nachverfolgen | Berechtigtes Interesse des Einladenden |
| Nutzer des Dienstes | Gestellte Fragen und gegebene Antworten, verknüpft mit dem angemeldeten Nutzer; Fragen an den Hippo Guide werden wie jede Unterhaltung in Ihrem eigenen Workspace protokolliert | Gesprächsverlauf, Support, Sicherheitsaudit | Vertrag; berechtigtes Interesse (Sicherheit) |
| Nutzer, die einen Dienst eines Dritten verbinden (zum Beispiel Google Drive oder Centuri sowie jeden später hinzugefügten Connector) | Die Dateien, Ordner, Kennungen und Metadaten, die Sie zum Import auswählen, über den Zugriff, den Sie diesem Dienst gewähren; das Verbindungstoken, bis Sie die Verbindung trennen | Import in Ihren Workspace | Vertrag |
| Nutzer, die eine App über den MCP-Server oder API-Schlüssel verbinden | Name und Host der App, Berechtigungsumfang, Zeitpunkt der Erteilung, Nutzung | Die App für Sie handeln lassen; Sicherheit | Vertrag; berechtigtes Interesse (Sicherheit) |
| Nutzer, die über eine verbundene KI-App fragen (zum Beispiel Claude oder ChatGPT) | Was die App für Sie nachgeschlagen hat (eine Suche oder ein geöffnetes Dokument), wann und welche App | Ihnen diese Aktivität unter Verlauf anzeigen | Vertrag |
| Besucher eines öffentlichen Chats | Frage, Antwort, eine gehashte Netzwerkadresse zur Ratenbegrenzung, Daumen-Feedback und ein Push-Abonnement, wenn Sie Benachrichtigungen erlauben | Antworten, Missbrauch verhindern, benachrichtigen | Berechtigtes Interesse des veröffentlichenden Workspace; Einwilligung für Push |
| Zahlende Kunden | Rechnungsadresse, USt-IdNr. und das Ergebnis ihrer VIES-Prüfung, Rechnungen, Zahlungsstatus; Kartendaten liegen ausschließlich bei Stripe | Abrechnung, Buchhaltung, Umsatzsteuer | Vertrag; rechtliche Verpflichtung |
| Empfehlungspartner | Name, E-Mail, Empfehlungslink, dem Link zugeordnete Registrierungen, Konto im Partnerportal | Das Empfehlungsprogramm betreiben | Vertrag |
Über den Google-Drive-Connector erhaltene Google-Daten werden ausschließlich für den Import verwendet, im Einklang mit der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).
Unsere Mitarbeiter dürfen Fragen und Antworten für Support, Missbrauchsverhinderung und Sicherheit lesen; jeder Zugriff wird protokolliert.
Wir erheben nicht absichtlich besondere Kategorien personenbezogener Daten, und wir verkaufen keine personenbezogenen Daten.
Müssen Sie uns Daten geben? Nein. Ohne E-Mail-Adresse können wir kein Konto anlegen, Sie nicht in die Beta-Liste aufnehmen und das Corporate-Formular nicht beantworten. Das Ablehnen von Cookies schränkt weder die Website noch die App ein.
Woher die Daten stammen. Die meisten Daten stammen von Ihnen. Der von Ihnen gewählte Anmeldeanbieter übermittelt uns Ihre E-Mail-Adresse und Ihren Namen. Der Kampagnen-Tag einer Registrierung wird von dieser Website an die Anwendung übergeben, und die Quelle einer Empfehlung ergibt sich aus dem Link, dem Sie gefolgt sind.
3. Cookies und ähnliche Technologien
Auf dieser Website ohne Ihre Einwilligung wird nur ein Cookie gesetzt: consent-v2, das Ihre Auswahl im Banner speichert (unbedingt erforderlich). Es wird von dieser Website und der App unter thalius.ai-Adressen gemeinsam genutzt, sodass eine Auswahl auf der einen nicht erneut auf der anderen abgefragt wird. Ist Cloudflare Web Analytics eingeschaltet, misst es Seitenaufrufe ohne Cookies und ohne Sie zu identifizieren (berechtigtes Interesse). Die Website speichert außerdem zwei Dinge im lokalen Speicher Ihres Browsers: Ihr helles oder dunkles Farbschema und woher dieser Besuch kam (Session Storage, gelöscht, wenn Sie den Tab schließen).
In der App hält ein Sitzungscookie Sie angemeldet (unbedingt erforderlich), und der Speicher Ihres Browsers enthält Ihren Anmeldestatus, Ihr Farbschema, Ihren Fortschritt in der Produkttour und Ihren Chatverlauf. Ohne Einwilligung lädt die App kein Analyse-Tool und misst nichts. Mit Ihrer Einwilligung, die Sie im Cookie-Banner der App geben und in den Einstellungen ändern können, laufen die unten genannten Tools mit Cookies.
Mit Ihrer Einwilligung, die Sie im Banner geben und jederzeit über „Cookie-Einstellungen“ ändern können, dürfen wir die folgenden Tools einsetzen. Das Banner erscheint nur, solange mindestens eines davon eingeschaltet ist.
| Tool | Kategorie | Was es tut |
|---|---|---|
First-Party-Cookie th_ft |
Analyse oder Marketing | Merkt sich 90 Tage lang die Kampagne oder den Empfehlungslink, der Sie zuerst hierher gebracht hat, damit eine spätere Registrierung ihm zugeordnet werden kann. Es enthält weder Name noch E-Mail und wird entfernt, wenn Sie die Einwilligung widerrufen. |
| PostHog (EU-Cloud) | Analyse | Seitenaufrufe, Ereignisse, der Weg vom Besuch zur Registrierung und, wo aktiviert, Heatmaps. Auf dieser Website läuft es vor der Einwilligung nur im Arbeitsspeicher, ohne Cookie; in der App lädt es erst nach der Einwilligung. |
| Google Analytics 4 | Analyse | Besuchs- und Kampagnenmessung mit IP-Anonymisierung und Google Consent Mode. In der App beim Anlegen eines Kontos außerdem Name und Paket Ihres neuen Workspace. Cookies erst nach der Einwilligung. |
| Google Tag Manager | Analyse oder Marketing | Lädt Mess- oder Werbe-Tags nur für die Kategorien, die Sie erlaubt haben, mit Google Consent Mode. |
| Google-Ads-Conversion-Messung (über Google Tag Manager) | Marketing | Erfasst, dass ein Besuch über eine unserer Google-Anzeigen zu einem Konto geführt hat, damit wir sehen, welche Anzeigen wirken. Wenn Sie in der App ein Konto anlegen, wird außerdem Ihre E-Mail-Adresse gesendet, in Ihrem Browser gehasht (erweiterte Conversions). Setzt _gcl_au und _gcl_aw erst, nachdem Sie Marketing erlaubt haben. |
Google Ads. Wenn Sie Marketing erlauben, messen wir auf dieser Website und in der App, ob ein Besuch über eine unserer Google-Anzeigen zu einem Konto führt. Google erhält den Besuch, den Anzeigenklick und die Tatsache einer Registrierung. Wenn Sie in der App ein Konto anlegen, erhält Google außerdem Ihre E-Mail-Adresse, vor dem Senden in Ihrem Browser gehasht (SHA-256), damit die Registrierung dem Anzeigenklick zugeordnet werden kann (erweiterte Conversions). Wir senden sie nur, wenn Sie Marketing erlaubt haben. Mit der Erlaubnis für Marketing werden die Google-Signale ad_storage, ad_user_data und ad_personalization gewährt. Wir nutzen sie nicht, um Werbezielgruppen aufzubauen. Für diese Messung handelt Google als eigenständiger Verantwortlicher nach den Google Ads Controller-Controller Data Protection Terms. Google hat seinen Sitz in den Vereinigten Staaten; siehe Abschnitt 5.
4. Wer Daten erhält
- Dienstleister, die Daten für uns auf Grundlage von Auftragsverarbeitungsverträgen verarbeiten: Stripe (Zahlungen und Rechnungen); Google (Anmeldung über Identity Platform sowie die Drive-API, wenn Sie Google Drive verbinden); der von Ihnen gewählte Anmeldeanbieter, also Google, Microsoft, Apple oder GitHub (Ihre Identität bei diesem Anbieter); Google Workspace (Service-E-Mails von [email protected]); Cloudflare (diese Website und der Edge der Anwendung; dort werden keine Chatprotokolle gespeichert); Google Cloud in der EU (der Dienst, einschließlich Gesprächsprotokollen, Protokollen öffentlicher Chats und Push-Abonnements); die Browser-Push-Dienste von Apple, Google und Mozilla (eine verschlüsselte Nutzlast und ein Geräte-Token, nur wenn Sie Benachrichtigungen erlauben); die Analyse-Tools in Abschnitt 3; sowie die auf der Seite der Unterauftragsverarbeiter genannten Anbieter für den Dienst selbst.
- Behörden, wenn das Gesetz es verlangt.
- Ein Erwerber oder Rechtsnachfolger, falls das Unternehmen übertragen wird, unter denselben Schutzvorkehrungen.
Empfehlungspartner sehen nur die Anzahl der ihrem Link zugeordneten Registrierungen, nie, wer sich registriert hat.
5. Übermittlungen außerhalb der EU/des EWR
Dokumente und die Wissensstruktur des Dienstes werden in der EU (Finnland) gespeichert. Einige Anbieter, darunter Google, Microsoft, Apple, GitHub, Stripe, Cloudflare und die standardmäßig genutzten KI-Modellanbieter, haben ihren Sitz in den Vereinigten Staaten. Übermittlungen stützen sich auf das EU-US Data Privacy Framework, wo der Anbieter zertifiziert ist, und andernfalls auf Standardvertragsklauseln mit einer Transfer-Risikobewertung. Corporate-Kunden können EU-gehostete oder kundengehostete Inferenz wählen. Sie können bei uns eine Kopie der Garantien anfordern.
6. Wie lange wir Daten aufbewahren
| Daten | Aufbewahrung |
|---|---|
| Besuchszählungen mit gehashter IP | 26 Monate |
| Daten der Analyse-Tools | 26 Monate oder die kürzere Einstellung des Tools |
Cookie consent-v2 (Ihre Cookie-Auswahl) |
13 Monate in Ihrem Browser |
Cookie th_ft |
90 Tage in Ihrem Browser |
Google-Ads-Cookies _gcl_au, _gcl_aw |
90 Tage in Ihrem Browser |
| Beta-Benachrichtigungsliste | Bis die Beta startet und wir Sie informiert haben, oder bis Sie die Einwilligung widerrufen, je nachdem, was zuerst eintritt |
| Corporate-Anfragen | 2 Jahre ab dem letzten Kontakt |
| Einladungsdaten | Bis zur Annahme oder 90 Tage |
| Kontodaten, Nachweise der Annahme und Gesprächsprotokolle | Solange das Konto besteht; gelöscht innerhalb von 30 Tagen nach Kontolöschung und aus Backups innerhalb von 90 Tagen |
| Ein Free-Workspace, der 3 Monate nicht genutzt wurde | Gelöscht nach Ankündigung per E-Mail mit einer Frist von 30 Tagen |
| Berechtigungen verbundener Apps | Bis Sie sie widerrufen |
| Connector-Tokens | Bis Sie die Verbindung zum Dienst trennen |
| Protokolle öffentlicher Chats und Push-Abonnements | 30 Tage |
| Aktivität von KI-Connectoren (was eine verbundene KI-App für Sie nachgeschlagen hat) | 90 Tage; nur Sie können sie lesen, und Sie können sie unter Verlauf löschen |
| Rechnungen, Umsatzsteuerunterlagen und Zahlungsbelege | 7 Jahre (schwedisches Buchführungsgesetz) |
| Daten der Empfehlungspartner | Für die Dauer der Partnerschaft plus 3 Jahre |
Danach werden die Daten gelöscht oder anonymisiert. Eine Corporate-Vereinbarung kann andere Fristen festlegen.
7. Sicherheit
Daten werden bei der Übertragung und im Ruhezustand verschlüsselt. Dokumente im Dienst werden mit dokumentbezogenen Schlüsseln verschlüsselt, die an den Workspace gebunden sind. Der Zugriff auf personenbezogene Daten ist auf die Personen beschränkt, die ihn benötigen, und sicherheitsrelevante Vorgänge werden protokolliert. Einzelheiten stehen auf der Sicherheitsseite.
Wenn eine Verletzung des Schutzes personenbezogener Daten voraussichtlich ein Risiko für Ihre Rechte birgt, melden wir sie der schwedischen Datenschutzbehörde (IMY) innerhalb von 72 Stunden und informieren Sie unverzüglich.
8. Ihre Rechte
Sie haben das Recht:
- auf Auskunft über Ihre personenbezogenen Daten und auf eine Kopie;
- auf Berichtigung;
- auf Löschung;
- auf Einschränkung der Verarbeitung;
- auf Datenübertragbarkeit, d. h. Erhalt in einem übertragbaren Format;
- jederzeit Widerspruch gegen eine Verarbeitung auf Grundlage berechtigten Interesses und gegen Direktwerbung einzulegen;
- die Einwilligung jederzeit zu widerrufen, ohne dass die Verarbeitung vor dem Widerruf berührt wird.
In der App können Sie Ihr Konto löschen, einen vollständigen Export eines Workspace herunterladen, dessen Inhaber Sie sind, einen solchen Workspace in den Abrechnungseinstellungen löschen sowie Apps und verbundene Dienste trennen. Ist Ihnen das nicht möglich, schreiben Sie an [email protected]; wir erledigen das innerhalb von 30 Tagen. Für andere Anfragen schreiben Sie an [email protected]. Wir erheben keine Gebühr, es sei denn, eine Anfrage ist offenkundig unbegründet oder exzessiv. Liegen Ihre Daten im Workspace eines Kunden, leiten wir Ihre Anfrage an diesen Kunden weiter.
Sie können sich auch bei der schwedischen Datenschutzbehörde (IMY), Box 8114, 104 20 Stockholm, [email protected], www.imy.se, oder bei der Behörde an Ihrem Wohn- oder Arbeitsort beschweren.
9. E-Mails und Benachrichtigungen
Service-Benachrichtigungen senden wir ohne Nachfrage, weil der Dienst sie benötigt: Aktivierungs- und Anmeldelinks, Einladungen, Hinweise zu Zahlungen und Paketen, Hinweise auf Inaktivität sowie Änderungen dieser Texte. Als Kunde erhalten Sie möglicherweise auch Produktneuigkeiten zu Hippocampus; diese können Sie jederzeit über den Link in jeder solchen E-Mail oder, sobald verfügbar, in den Benachrichtigungseinstellungen abbestellen.
10. Automatisierte Entscheidungen
Wir treffen keine Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung Ihnen gegenüber, die ausschließlich auf automatisierter Verarbeitung beruhen. Die KI-Funktionen des Dienstes sind im Hinweis zur KI-Verordnung beschrieben.
11. Alter
Die Website und der Dienst richten sich an Personen ab 18 Jahren.
12. Änderungen
Wenn wir diese Erklärung ändern, aktualisieren wir die Version und das Gültigkeitsdatum oben. Wesentliche Änderungen werden auf dieser Website mindestens 30 Tage vor ihrem Inkrafttreten angekündigt und Kontoinhabern per E-Mail mitgeteilt.