Datenschutzerklärung

// PRIMAMCP ist eine API für Unternehmen und Verbraucher, die deutsche und europäische Rechtsdokumente über das Model Context Protocol (MCP) durchsuchbar macht.

Für die Verarbeitung von Vertrags-, Konto-, Abrechnungs- und Sicherheitsdaten sind wir eigenständig Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. // PRIMAMCP durchsucht allgemein zugängliche Rechtsdokumente und ist bestimmungsgemäß so ausgestaltet, dass für die Nutzung keine personenbezogenen Daten Dritter eingegeben werden müssen; Suchanfragen bestehen aus rechtlichen Suchbegriffen. Auch soweit Kunden im Einzelfall personenbezogene Daten in Suchanfragen eingeben, verarbeiten wir diese in der Regel ebenfalls in eigener Verantwortlichkeit zu den in dieser Erklärung beschriebenen Zwecken (insbesondere Abschnitt 8); eine Auftragsverarbeitung im Auftrag des Kunden gemäß Art. 28 DSGVO findet regelmäßig nicht statt. Kommt eine Auftragsverarbeitung im Ausnahmefall dennoch in Betracht, stellen wir den hierfür nach Art. 28 Abs. 3 DSGVO erforderlichen Auftragsverarbeitungsvertrag bereit (Anlage 1 unserer Nutzungsbedingungen).

Alle Daten werden ausschließlich auf Servern in Deutschland (Hetzner Online GmbH) verarbeitet und gespeichert, mit Ausnahme der Zahlungsabwicklung über Stripe (siehe Abschnitt 14).

Verarbeitete Daten: Name, E-Mail-Adresse, Benutzerkennung (Subject-ID), Client-ID, Zeitpunkt der Registrierung und letzten Nutzung, E-Mail-Verifizierungsstatus.

Zweck: Bereitstellung und Verwaltung des Nutzerkontos, Authentifizierung bei API-Zugriffen mittels OAuth 2.1 (JWT) oder API-Schlüssel.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Für die Dauer des Vertragsverhältnisses. Abrechnungsrelevante Daten werden nach Vertragsende gemäß steuer- und handelsrechtlicher Aufbewahrungsfristen aufbewahrt (§§ 147 AO, 257 HGB; i.d.R. 6 bzw. 10 Jahre). Reine Authentifizierungsdaten werden nach Kontolöschung unverzüglich gelöscht.

Erforderlichkeit der Bereitstellung: Die Bereitstellung der Kontodaten ist für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich. Ohne diese Daten können wir das Nutzerkonto nicht einrichten und den Dienst nicht bereitstellen (Art. 13 Abs. 2 lit. e DSGVO).

Verarbeitete Daten: SHA-256-Hash des API-Schlüssels (der Klartext wird nicht gespeichert), vom Nutzer vergebener Name und Beschreibung, nicht-umkehrbarer Hinweis (z. B. sk-legal-...xxxx), Erstellungs- und Nutzungszeitpunkte.

Zweck: Authentifizierung von API-Anfragen, Verwaltung des Schlüssel-Lebenszyklus.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Verarbeitete Daten: E-Mail-Adressen eingeladener Teammitglieder (normalisiert), Einladungs-, Annahme- und ggf. Entfernungszeitpunkt; Lizenzzuweisungen (welcher Zugang seit wann eine der gebuchten Lizenzen hält) sowie Protokolleinträge über Änderungen daran, die die betroffene E-Mail-Adresse enthalten können.

Datenquelle: Wir erhalten diese Daten vom einladenden Team-Administrator bzw. unserem Kunden, nicht von der betroffenen Person selbst (Art. 14 DSGVO). Die betroffene Person wird bei Einladung über die Datenverarbeitung informiert.

Zweck: Verwaltung von Teamzugängen und Zuordnung der gebuchten Lizenzen im Rahmen des Abonnements.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Zuweisungen bis zur Entfernung des Teammitglieds oder Beendigung des Vertragsverhältnisses; Protokolleinträge bis zum Ablauf der Protokoll-Aufbewahrungsfrist.

Verarbeitete Daten: Name, E-Mail-Adresse, Stripe-Kundennummer, Abonnementdaten (Tarif, Anzahl gebuchter Sitze, Status, Laufzeiten).

Zweck: Abwicklung von Zahlungen, Abonnementverwaltung, Rechnungsstellung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Hinweis: Für die Zahlungsabwicklung nutzen wir Stripe (siehe Abschnitt 14). Stripe verarbeitet Zahlungsdaten teils in unserem Auftrag (Art. 28 DSGVO) und teils als eigenständig Verantwortlicher, soweit dies für Betrugsprävention und die Erfüllung gesetzlicher Pflichten (PSD2) erforderlich ist. Zahlungsmittelinformationen (Kreditkartendaten etc.) werden ausschließlich bei Stripe verarbeitet und nicht auf unseren Servern gespeichert.

Verarbeitete Daten: Monatliche und tägliche Anfragezähler je Person und je Kundenkonto, Kontingent-Warnungen.

Zweck: Durchsetzung der vertraglichen Nutzungskontingente, Anzeige der Nutzungsstatistiken im Kundenportal.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Speicherdauer: Aggregierte Nutzungsdaten werden für die Dauer des Vertragsverhältnisses und anschließend für Abrechnungszwecke gemäß den gesetzlichen Aufbewahrungsfristen gespeichert.

Art der Daten: // PRIMAMCP ist ein Recherchewerkzeug für allgemein zugängliche Rechtsdokumente. Suchanfragen bestehen bestimmungsgemäß aus rechtlichen Suchbegriffen (Normen, Aktenzeichen, juristische Stichworte) und sind nicht dazu bestimmt, personenbezogene Daten zu enthalten. Geben Nutzer gleichwohl personenbezogene Daten in einer Suchanfrage ein, werden diese im Rahmen der nachfolgend beschriebenen Protokollierung mitverarbeitet.

Verarbeitete Daten: Klartext der Suchanfrage (für 30 Tage), explizit gesetzte Suchfilter wie Rechtsgebiet, Quelle bzw. Gesetzeskürzel, Gericht, Entscheidungsart und Zeitraum (für 30 Tage), SHA-256-Hash der Suchanfrage, aufgerufenes Tool, Ergebnistyp, Relevanz-Score, Ergebnisanzahl, Antwortgröße, Verarbeitungsdauer, Client-Kennung (User-Agent des anfragenden Programms) sowie Fehlerdetails. Fehlerdetails können Fragmente der ursprünglichen Anfrage enthalten und werden wie der Klartext der Suchanfrage nach 30 Tagen gelöscht.

Zweck: Qualitätssicherung und Verbesserung der Suchergebnisse, Fehlerdiagnose, Missbrauchserkennung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse). Unser berechtigtes Interesse liegt in der kontinuierlichen Verbesserung der Suchqualität und der Sicherstellung eines zuverlässigen Dienstbetriebs. IP-Adressen werden in diesem Zusammenhang nicht gespeichert.

Speicherdauer: Der Klartext der Suchanfrage, die explizit gesetzten Suchfilter und die Fehlerdetails werden nach 30 Tagen automatisch gelöscht (auf NULL gesetzt). Der SHA-256-Hash, die Client-Kennung und die übrigen technischen Metadaten werden für die Dauer des Vertragsverhältnisses und anschließend für bis zu 12 Monate zur Missbrauchserkennung und Qualitätssicherung gespeichert, danach gelöscht.

Soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (siehe Abschnitt 16).

Verarbeitete Daten: Empfänger-E-Mail-Adresse, Name, Tarif- und Nutzungsinformationen.

Zweck: Versand von Willkommensnachrichten, Zahlungserinnerungen, Kontingent-Warnungen und Zugangssperrungen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Hinweis: API-Schlüssel werden in E-Mails nicht übermittelt.

Verarbeitete Daten: Technische Fehlermeldungen und Stack-Traces. Wir konfigurieren Sentry so, dass personenbezogene Daten grundsätzlich nicht verarbeitet werden (PII-Scrubbing ist standardmäßig aktiviert). Eine vollständige Ausschließbarkeit im Einzelfall kann bei technischen Fehlermeldungen jedoch nicht garantiert werden.

Zweck: Erkennung und Behebung technischer Fehler, Sicherstellung der Dienstverfügbarkeit.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien Betrieb).

Hinweis: Sentry wird auf unserer eigenen Infrastruktur in Deutschland (Hetzner) betrieben. Es findet keine Datenübermittlung an Dritte statt.

Bei jedem Zugriff auf unseren Dienst werden durch den Webserver automatisch Informationen erfasst.

Verarbeitete Daten: IP-Adresse, Zeitpunkt des Zugriffs, angeforderte Ressource, HTTP-Statuscode, User-Agent-String. Aus der IP-Adresse leiten wir zu Sicherheits- und Auswertungszwecken die ungefähre geografische Herkunft (GeoIP) und den zugehörigen Netzbetreiber (ASN) ab.

Zweck: Sicherstellung des technischen Betriebs, Erkennung und Abwehr von Angriffen, Rate-Limiting sowie Auswertung der Zugriffe zur Gewährleistung eines stabilen Betriebs.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität des Dienstes).

Zentrale Protokollierung: Die Zugriffsprotokolle werden zusätzlich an eine auf unserer eigenen Infrastruktur in Deutschland betriebene zentrale Protokoll- und Auswertungslösung (Grafana Loki/Grafana) übermittelt; eine Übermittlung an Dritte findet nicht statt.

Speicherdauer: Die Server-Logdateien und die zentral gespeicherten Zugriffsprotokolle werden nach 30 Tagen automatisch gelöscht.

Unser Kundenportal setzt einen einzigen funktionalen Cookie:

• „locale“ — speichert die gewählte Spracheinstellung (Deutsch/Englisch). Technisch erforderlich für die korrekte Darstellung.

Es werden keine Tracking-, Analyse- oder Werbe-Cookies durch unser Portal eingesetzt.

Zur Sitzungsaufrechterhaltung werden technisch erforderliche Authentifizierungsinformationen im Browser gespeichert. Diese werden beim Abmelden gelöscht.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderliche Speicherung).

Hinweis: Sofern Sie die Hauptwebsite planitprima.com besucht haben, können Cookies dieser Website auf der übergeordneten Domain gesetzt worden sein, die auch auf dieser Subdomain sichtbar sind. Für diese Cookies gilt die Datenschutzerklärung der Hauptwebsite planitprima.com.

Verarbeitete Daten: Name, E-Mail-Adresse, Vertragsbezeichnung, Art der Erklärung (Widerruf nach § 355 BGB bzw. ordentliche oder außerordentliche Kündigung nach § 314 BGB), ein freiwillig angegebener Grund, ein freiwillig angegebener Wunschtermin, IP-Adresse sowie Eingangszeitpunkt.

Datenquelle: Die Angaben stammen aus dem Formular der Widerrufs- bzw. Kündigungsfunktion. Beide Formulare sind ohne Anmeldung erreichbar, weil § 356a BGB und § 312k Abs. 2 BGB das ausdrücklich verlangen — Sie müssen für die Erklärung also kein Konto haben und keines besitzen, um sie abzugeben.

Zweck: Entgegennahme, Bestätigung und Umsetzung der Erklärung sowie deren Nachweis. Die gesetzlich vorgeschriebene Empfangsbestätigung (§ 356a Abs. 2 bzw. § 312k Abs. 4 BGB) geht an die angegebene E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO (Erfüllung der gesetzlichen Pflichten aus § 356a und § 312k BGB) sowie Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Vertrags). Die IP-Adresse verarbeiten wir zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsabwehr auf einem offenen Formular).

Speicherdauer: Die Erklärung bleibt als Nachweis vier Jahre gespeichert — die Verjährungsfrist des § 195 BGB beträgt drei Jahre ab Schluss des Jahres, und ohne den Nachweis könnten wir in einem Streit nicht belegen, dass und wann Ihre Erklärung eingegangen ist (Art. 17 Abs. 3 lit. e DSGVO). Danach werden Name, E-Mail-Adresse, Vertragsbezeichnung und IP-Adresse gelöscht; zurück bleibt ein anonymer Datensatz ohne Personenbezug.

Wichtig: Diese Zeilen überdauern eine Kontolöschung bewusst. Löschen Sie Ihr Konto, wird die Verknüpfung zu Ihrem Kundenkonto entfernt, die Erklärung selbst bleibt bis zum Ablauf der genannten Frist als Nachweis bestehen.

Hosting: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Alle Server befinden sich in Deutschland. Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO liegt vor.

Zahlungsabwicklung: Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA. Stripe verarbeitet Zahlungsdaten teils in unserem Auftrag (Art. 28 DSGVO) und teils als eigenständig Verantwortlicher für Betrugsprävention und regulatorische Pflichten. Datenschutzerklärung: stripe.com/de/privacy

Authentifizierung und Fehlerüberwachung werden auf unserer eigenen Infrastruktur in Deutschland betrieben (Keycloak, Sentry). Es findet keine Übermittlung an Dritte statt.

Eine Übermittlung personenbezogener Daten in Drittländer erfolgt ausschließlich an Stripe, Inc. (USA) im Rahmen der Zahlungsabwicklung. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss gemäß Art. 45 DSGVO). Soweit Stripe als eigenständig Verantwortlicher handelt, erfolgt die Verarbeitung auf Grundlage von Stripes eigener Datenschutzerklärung.

Alle übrigen Datenverarbeitungen finden ausschließlich auf Servern in Deutschland statt.

Nach der DSGVO stehen Ihnen folgende Rechte zu:

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruchsrecht (Art. 21 DSGVO) — soweit wir Daten auf Grundlage berechtigter Interessen verarbeiten, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch einlegen (betrifft Abschnitte 8, 10, 11)
• Beschwerderecht bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Die für uns zuständige Aufsichtsbehörde ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI), Ludwig-Erhard-Straße 22, 20459 Hamburg.

Kontakt: datenschutz@planitprima.com

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt. Die in der Suchpipeline eingesetzten KI-Modelle (Embedding, Reranking) dienen ausschließlich der semantischen Suche in Rechtsdokumenten und treffen keine Entscheidungen über betroffene Personen.

Wir behalten uns vor, diese Datenschutzerklärung an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite.