Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und Diensteanbieter nach § 5 DDG ist:
Bohdan Chechel
Josef-Wirth-Weg 21
80939 München
E-Mail: info@sozheim.de

2. Zweck der Verarbeitung

Sozheim+ erläutert Nutzerinnen und Nutzern, die die deutsche Sprache nicht ausreichend beherrschen, in verständlicher Sprache, was in einem behördlichen oder geschäftlichen Schreiben steht und was das Schreiben verlangt: worum es geht, ob eine Handlung nötig ist, bis wann, welche Unterlagen genannt sind und welche Folgen das Schreiben selbst nennt. Sozheim+ gibt keine Rechtsberatung, bewertet nicht, ob eine Entscheidung richtig oder rechtmäßig ist, und empfiehlt keine Rechtsmittel; es verweist auf zuständige Beratungsstellen. Zusätzlich bietet Sozheim+ Inhalte zu Beruhigungsübungen und Notfallinformationen. Die Erläuterungen werden von einem KI-System erstellt und sind in der Anwendung als solche gekennzeichnet (Art. 50 KI-VO).

3. Welche Daten verarbeiten wir?

a) Nutzung der Website (Server-Logdaten)

Beim Aufruf unserer Website werden durch den Hosting-Provider technisch erforderliche Daten verarbeitet (z. B. IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, User-Agent). Diese Verarbeitung dient der Bereitstellung der Website sowie der Gewährleistung von Sicherheit und Stabilität.

Diese Daten werden auf unserem Server bei der Hetzner Online GmbH verarbeitet (Ziffer 5 a). Die IP-Adresse wird dabei nur gekürzt gespeichert – das letzte Oktett wird durch Nullen ersetzt –, sodass sie keiner bestimmten Person mehr zugeordnet werden kann; die Dateien werden nach sieben Tagen automatisch gelöscht. Daneben führt der Webserver ein Fehlerprotokoll über technische Störungen; es enthält keine IP-Adressen der Besucherinnen und Besucher. Rechtsgrundlage: berechtigtes Interesse an der Bereitstellung und Sicherheit der Website (Art. 6 Abs. 1 lit. f DSGVO).

a2) Pseudonyme Nutzungsstatistik (Funktionsbereiche außer „Briefe bearbeiten“)

Für eine datensparsame, betriebliche Auswertung der Nutzung der Bereiche Beruhigungsübungen und Notfallinformationen sendet Ihr Browser ein Nutzungsereignis an unseren Server. In den tagesweisen Protokolldateien werden keine IP-Adressen, keine Inhalte Ihrer Eingaben und keine Zugangsdaten gespeichert; erfasst werden Zeitpunkt, Funktionsbereich, Aktion, Erfolg/Fehler, gegebenenfalls Dauer, App-Version, Plattform und Sprache sowie eine für die Dauer des Browser-Tabs gültige Sitzungskennung und ein serverseitig zugeordneter, alle 30 Tage wechselnder Pseudonym-Bezeichner. Für Ereignisse der Funktion „Briefe bearbeiten“ bleiben Sitzungskennung und Pseudonym-Bezeichner leer (siehe b). Die Dateien werden nach 90 Tagen automatisch gelöscht (Ziffer 7). Rechtsgrundlage: berechtigtes Interesse an einer minimalen Nutzungsmessung und Stabilität (Art. 6 Abs. 1 lit. f DSGVO).

a3) Sicherheitsprotokoll

Zum Schutz vor Missbrauch (z. B. Überschreiten von Nutzungslimits) führen wir ein tagesweises Sicherheitsprotokoll mit Zeitpunkt, Ereignistyp, aufgerufenem Endpunkt und Statuscode. Statt der IP-Adresse wird ein täglich wechselnder Hashwert gespeichert, der nach Ablauf des Tages keiner Adresse mehr zugeordnet werden kann. Diese Dateien werden nach 14 Tagen automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit).

a4) Anonyme Gesamtzahl bearbeiteter Briefe

Auf der Startseite zeigen wir die Anzahl erfolgreich bearbeiteter Briefe (pro Monat und gesamt). Gespeichert wird ausschließlich ein Zählwert; es werden keine IP-Adressen, keine Sitzungskennungen, keine Inhalte und keine sonstigen personenbezogenen Daten erfasst oder verknüpft. Es handelt sich nicht um eine Verarbeitung personenbezogener Daten; wir nennen die Zählung hier aus Gründen der Transparenz.

b) Funktion „Briefe bearbeiten“

Das Foto Ihres Briefes wird lokal in Ihrem Browser zu Text verarbeitet (OCR); das Bild selbst verlässt Ihr Gerät nicht. Nur der erkannte Text sowie die gewählte Sprache werden an unseren Server und von dort zur Erläuterung an den KI-Dienst Mistral AI übermittelt. Der übermittelte Text kann Inhalte Ihres Schreibens und damit auch Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) enthalten; diese werden ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung verarbeitet (Ziffer 4).

Weder das Bild noch der Text noch die Erläuterung werden von uns gespeichert: Der Text wird nur für die eine Anfrage verwendet und nach der Antwort aus dem Arbeitsspeicher des Servers entfernt; in unseren Protokolldateien erscheinen keine Inhalte. In Ihrem Browser verbleibt die Erläuterung nur im Arbeitsspeicher der geöffneten Seite – nicht im lokalen Speicher (localStorage); beim Schließen des Tabs, beim Neuladen oder über die Schaltfläche „Beenden“ ist sie weg.

Anonymisiertes technisches Protokoll. Damit wir im Beschwerdefall nachvollziehen können, ob und wie das System geantwortet hat, führen wir für diese Funktion ein tagesweises Protokoll ohne jeden Personenbezug. Es enthält ausschließlich: Zeitpunkt, Funktionsbereich, Aktion, technisches Ergebnis (Erfolg, Ablehnung, ungültige Antwort des KI-Dienstes, Dienst nicht erreichbar, unlesbare Eingabe, Limit erreicht), Sprache, Kategorie des Schreibens (z. B. Jobcenter, Wohnraum, Gericht), ob ein Eskalationsfall vorlag (ja/nein), Version der Verhaltensregeln, eingesetztes Modell, Schema-Version und Bearbeitungsdauer. Es enthält weder den Text des Schreibens noch die Antwort noch eine Sitzungskennung, IP-Adresse oder sonstige Zuordnung zu einer Person. Diese Dateien werden nach 90 Tagen automatisch gelöscht.

Version des Einwilligungstextes. Beim Start der Funktion wird zusätzlich die Version (Datum) des Einwilligungstextes, dem Sie zugestimmt haben, in das Nutzungsprotokoll geschrieben – ohne Zuordnung zu Ihrer Person. Dies dient dem Nachweis, welchem Wortlaut zugestimmt wurde (Art. 7 Abs. 1 DSGVO). Gespeichert werden ausschließlich Zeitpunkt, Funktionsbereich, Aktion, Ergebnis, Sprache und diese Versionsangabe; Sitzungskennung und Pseudonym-Bezeichner bleiben leer.

Daten Dritter in Schreiben. Behördliche Schreiben enthalten regelmäßig Angaben zu weiteren Personen – etwa Kindern, Ehepartnern, Ärztinnen und Ärzten oder Beschäftigten der Behörde. Eine Information dieser Personen nach Art. 14 DSGVO erfolgt nicht, weil sie sich als unmöglich bzw. unverhältnismäßig erweist (Art. 14 Abs. 5 lit. b DSGVO): Wir kennen diese Personen nicht und können sie nicht erreichen, ihre Daten werden nicht gespeichert und ausschließlich für die eine, unmittelbare Erläuterung des Schreibens verwendet. Gerade deshalb speichern wir den Text nicht.

Keine automatisierte Entscheidung. Die Erläuterung ist eine sprachliche Hilfe. Es findet keine automatisierte Entscheidungsfindung im Einzelfall und kein Profiling im Sinne des Art. 22 DSGVO statt; Sozheim+ trifft keine Entscheidung mit rechtlicher Wirkung für Sie.

c) Kontaktaufnahme per E-Mail

Wenn Sie uns per E-Mail schreiben, verarbeiten wir Ihre Nachricht und die darin enthaltenen Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist unser berechtigtes Interesse an der Beantwortung von Anfragen (Art. 6 Abs. 1 lit. f DSGVO). Nachrichten werden gelöscht, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten entgegenstehen.

Bitte senden Sie uns keine Briefe oder persönlichen Unterlagen per E-Mail. Für die Erläuterung eines Schreibens nutzen Sie bitte die Funktion in der Anwendung – dort bleibt das Foto auf Ihrem Gerät und es wird nichts gespeichert.

d) Chat

Im Chat können Sie in eigenen Worten schildern, was Sie beschäftigt. Verarbeitet werden ausschließlich der Text, den Sie selbst eingeben, und die gewählte Sprache. Das Hochladen von Dateien oder Fotos ist im Chat nicht möglich.

Einwilligung vor Gesprächsbeginn. Vor der ersten Nachricht werden Sie um Ihre Einwilligung gebeten. Ohne diese Einwilligung wird keine Nachricht an den KI-Dienst übermittelt. Die Version des Einwilligungstextes wird – wie bei der Funktion „Briefe bearbeiten“ – ohne Zuordnung zu Ihrer Person protokolliert (Art. 7 Abs. 1 DSGVO).

Ihre Nachricht und die letzten Nachrichten des laufenden Gesprächs werden an unseren Server und von dort zur Beantwortung an den KI-Dienst Mistral AI übermittelt (Ziffer 5 b).

Besondere Kategorien personenbezogener Daten. Da Sie im Chat frei schreiben, können Ihre Nachrichten auch Gesundheitsdaten oder andere besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) enthalten. Diese werden ausschließlich auf Grundlage Ihrer ausdrücklichen Einwilligung verarbeitet (Ziffer 4). Der Chat fragt nicht nach Namen, Anschriften, Aktenzeichen oder Geburtsdaten und weist Sie darauf hin, dass solche Angaben hier nicht erforderlich sind.

Keine Speicherung. Weder Ihre Nachrichten noch die Antworten werden von uns gespeichert. Das Gespräch besteht nur im Arbeitsspeicher der geöffneten Seite; beim Schließen oder Neuladen der Seite ist es gelöscht. Im Speicher Ihres Browsers wird vom Chat nichts abgelegt (Ziffer 9).

Automatisierte Schutzprüfungen. Ihre Nachricht wird vor der Übermittlung daraufhin geprüft, ob sie auf einen besonders dringlichen Fall (etwa Gericht, Kündigung der Wohnung, Aufenthalt, Strafsachen) oder auf eine Krisensituation hindeutet. In diesen Fällen wird die Nachricht nicht an den KI-Dienst übermittelt; Sie erhalten stattdessen einen festen Hinweistext mit dem Verweis an eine Fachstelle. Antworten des KI-Dienstes werden vor der Anzeige automatisiert auf Einhaltung der Verhaltensregeln der Anwendung geprüft und andernfalls nicht angezeigt.

Anonymisiertes technisches Protokoll. Für den Chat führen wir ein tagesweises Protokoll ohne jeden Personenbezug. Es enthält ausschließlich Zeitpunkt, Funktionsbereich, Aktion, technisches Ergebnis, Sprache und die Version des Einwilligungstextes. Inhalte des Gesprächs, Sitzungskennung, Pseudonym-Bezeichner und IP-Adresse werden nicht erfasst. Die Dateien werden nach 90 Tagen automatisch gelöscht (Ziffer 7).

Keine automatisierte Entscheidung. Der Chat ist eine sprachliche Orientierungshilfe. Eine automatisierte Entscheidungsfindung im Einzelfall und ein Profiling im Sinne des Art. 22 DSGVO finden nicht statt.

[Der Chat ist derzeit nicht freigeschaltet. Vor der Freischaltung werden die Krisen- und Verweistexte durch eine Fachstelle für Krisenintervention geprüft.]

4. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf folgenden Rechtsgrundlagen:

• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für die Verarbeitung des erkannten Brieftexts und Ihrer Chatnachrichten; für besondere Kategorien personenbezogener Daten, die in Schreiben oder in Chatnachrichten enthalten sein können, Ihre ausdrückliche Einwilligung (Art. 9 Abs. 2 lit. a DSGVO).
• berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) an der technischen Bereitstellung, IT-Sicherheit, Missbrauchsprävention, einer minimalen, pseudonymen Nutzungsmessung sowie an der Beantwortung von Anfragen, die Sie uns per E-Mail senden (Ziffer 3 c).

Sozheim+ wird unentgeltlich angeboten; ein Vertrag kommt nicht zustande, Art. 6 Abs. 1 lit. b DSGVO ist daher keine Rechtsgrundlage.

Widerruf der Einwilligung. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen – am einfachsten, indem Sie die Funktion nicht weiter nutzen oder den Tab schließen. Da wir weder den Text Ihres Schreibens noch die Erläuterung speichern, ist die Verarbeitung mit der Anzeige der Antwort abgeschlossen; nach dem Widerruf liegen bei uns keine Daten mehr vor, die gelöscht werden könnten. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

5. Auftragsverarbeiter

a) Hosting-Provider

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, für den Betrieb des Servers. Grundlage ist ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Fassung 1.1 vom 10. Februar 2025, abgeschlossen am 30. Januar 2026). Die Verarbeitung erfolgt im Rechenzentrum Nürnberg. Die technischen und organisatorischen Maßnahmen der Rechenzentren wurden durch die TÜV Rheinland i-sec GmbH geprüft (Bericht Nr. 63017020-01 vom 11. Februar 2025); Abweichungen wurden nicht festgestellt.

b) KI-Dienstleister

Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich, zur Erläuterung des übermittelten Brieftexts. Die Übermittlung erfolgt an den EU-Endpunkt des Dienstes. Grundlage ist das Data Processing Addendum von Mistral AI vom 28.11.2025, das mit der Nutzungsvereinbarung nach Art. 28 DSGVO einbezogen wird.

Für unsere Organisation sind folgende Einstellungen aktiviert; sie wurden am 20.09.2026 bestätigt:

• Die übermittelten Inhalte werden nicht zum Training der Modelle verwendet (Opt-out aktiviert).
• Es ist Zero Data Retention aktiviert: Inhalte von Anfragen und Antworten werden nicht länger gespeichert oder protokolliert, als es zur Erzeugung der Antwort technisch erforderlich ist. Eine Speicherung zu Zwecken der Fehleranalyse oder Auswertung findet nicht statt.

Die Nachweise dieser Einstellungen liegen als gesonderte Anlage vor (Bestätigung des Anbieters und Bildschirmaufnahme der Administrationskonsole, jeweils vom 20.09.2026).

Aufgrund dieser Einstellungen verarbeitet Mistral AI die Inhalte nicht als eigener Verantwortlicher – weder zum Training der Modelle noch zur automatisierten Missbrauchsüberwachung (Ziffer 2.3 des Data Processing Addendum).

Mistral AI hat diese Einstellungen am 22.09.2026 auf Nachfrage schriftlich bestätigt (Ticket-Nr. 36342827): Anfragen werden weder zu Trainingszwecken noch zur Observability gespeichert.

c) E-Mail-Provider

united-domains GmbH, Gautinger Straße 10, 82319 Starnberg (Domain sozheim.de und Postfach info@sozheim.de). Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO vom 20.09.2026. Die Verarbeitung findet ausschließlich innerhalb der Europäischen Union statt. Als Unterauftragnehmer sind benannt: NorthC Deutschland GmbH (Nürnberg, München), IONOS SE (Montabaur), Open-Xchange GmbH (Olpe) und Akamai Technologies GmbH (Garching).

6. Verarbeitungsort und Drittlandübermittlung

Der KI-Dienst Mistral AI wird über seinen EU-Endpunkt angesprochen; die Verarbeitung erfolgt in der Europäischen Union. Soweit Mistral AI Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums einsetzt, erfolgt eine Übermittlung nur auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission oder der EU-Standardvertragsklauseln (Ziffer 8 des Data Processing Addendum). Die aktuelle Liste der Unterauftragsverarbeiter ist unter trust.mistral.ai abrufbar.

Die Verarbeitung durch den E-Mail-Provider findet ausschließlich innerhalb der Europäischen Union statt (Ziffer 5 c).

Der Server wird im Rechenzentrum der Hetzner Online GmbH in Nürnberg betrieben; diese Verarbeitung findet ausschließlich in Deutschland statt (Ziffer 5 a).

7. Speicherdauer

• Brieftext, Bild und Erläuterung: keine Speicherung bei uns (nur Verarbeitung im Arbeitsspeicher für die Dauer der Anfrage) und keine Speicherung beim KI-Dienstleister über die Erzeugung der Antwort hinaus (Zero Data Retention, Ziffer 5 b).
• Anonymisiertes technisches Protokoll der Funktion „Briefe bearbeiten“ (Ziffer 3 b): 90 Tage, danach automatische Löschung der Tagesdatei.
• Pseudonyme Nutzungsstatistik (Ziffer 3 a2): 90 Tage, danach automatische Löschung der Tagesdatei.
• Sicherheitsprotokoll (Ziffer 3 a3): 14 Tage, danach automatische Löschung.
• Prüfsummen der Protokolldateien (Integritätsnachweis, enthält nur Hashwerte): 90 Tage.
• Anonymer Zähler bearbeiteter Briefe (Ziffer 3 a4): unbefristet, da keine personenbezogenen Daten.
• Chatnachrichten und Antworten: keine Speicherung (nur Verarbeitung im Arbeitsspeicher für die Dauer der Anfrage).
• Anonymisiertes technisches Protokoll des Chats (Ziffer 3 d): 90 Tage, danach automatische Löschung der Tagesdatei.
• Server-Logdaten (Ziffer 3 a): 7 Tage, danach automatische Löschung; IP-Adresse nur gekürzt gespeichert.
• E-Mail-Korrespondenz (Ziffer 3 c): bis zur Erledigung der Anfrage. Server-Logs beim E-Mail-Provider werden gekürzt oder nach sieben Tagen gelöscht; nach Beendigung des Vertrags werden die Daten automatisiert gelöscht, Sicherungskopien binnen vierzehn Tagen.

Für die Verarbeitung durch den KI-Dienstleister gelten zusätzlich dessen Datenschutzbestimmungen und der Auftragsverarbeitungsvertrag (Ziffer 5 b).

8. Sicherheit

Die Übertragung von Daten erfolgt ausschließlich über verschlüsselte TLS-Verbindungen (HTTPS). Darüber hinaus setzen wir Maßnahmen zur Datenminimierung und Zugriffsbeschränkung ein, insbesondere einen restriktiven Umgang mit API-Schlüsseln sowie – soweit möglich – eine pseudonymisierte Verarbeitung.

9. Cookies und lokale Speicherung

Wir setzen keine Tracking-, Analyse- oder Marketing-Cookies und keine Dienste Dritter zu diesem Zweck ein (z. B. kein Google Analytics, keine Werbung). Für den Betrieb der Anwendung wird ausschließlich technisch notwendige lokale Speicherung in Ihrem Browser verwendet:

• Ihre Spracheinstellung (localStorage; bleibt bis zum Löschen der Browserdaten).
• Der Fortschritt der Übung „Warmes Fenster“ – ein Zahlenwert zwischen 0 und 1 (localStorage; bleibt bis zum Löschen der Browserdaten). Er enthält keine personenbezogenen Angaben.
• Eine zufällige Sitzungskennung für die pseudonyme Nutzungsstatistik der Bereiche Beruhigungsübungen und Notfallinformationen (sessionStorage; wird beim Schließen des Tabs gelöscht, siehe Ziffer 3 a2).

Cookies werden nicht gesetzt.

Weitere Daten werden nicht im Browser gespeichert – weder der Text Ihres Schreibens noch die Erläuterung, noch ein Vermerk über Ihre Einwilligung. Die Einwilligung wird bei jedem Aufruf der Funktion erneut erfragt.

Diese Speicherung ist für die von Ihnen angeforderte Funktion unbedingt erforderlich und bedarf daher keiner gesonderten Einwilligung (§ 25 Abs. 2 TDDDG); ein Cookie-Banner ist nicht erforderlich. Es wird kein dauerhafter Geräte-Identifikator gesetzt.

10. Ihre Rechte

Sie haben – soweit die gesetzlichen Voraussetzungen vorliegen – das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Ziffer 4). Bitte beachten Sie: Da wir Inhalte nicht speichern und keine Benutzerkonten führen, können wir Ihre Anfrage in der Regel keiner Person zuordnen (Art. 11 DSGVO); Auskunfts- oder Löschansprüche zu Brieftexten laufen daher ins Leere, weil keine Daten vorhanden sind.

Zudem besteht ein Beschwerderecht bei einer Datenschutzaufsichtsbehörde. Für uns zuständig ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach, www.lda.bayern.de. Sie können sich auch an die Aufsichtsbehörde Ihres Wohnorts wenden.