Datenschutzerklärung

Stand: 22. Oktober 2026

Diese Datenschutzerklärung informiert dich darüber, wie personenbezogene Daten bei der Nutzung von Pulse (der „Dienst") verarbeitet werden. Die Verarbeitung erfolgt im Einklang mit der Datenschutz-Grundverordnung (DSGVO).

1. Verantwortlicher

Sebastian Kistner
Schaafweide 1, 76467 Bietigheim, Deutschland
E-Mail: support@pulse-business.app

2. Welche Daten wir verarbeiten

• Kontodaten: Name, E-Mail-Adresse und Anmeldedaten (auch bei Anmeldung über Google, Apple oder Microsoft, sofern du dich dafür entscheidest).
• Von dir eingegebene Geschäftsdaten: Geschäftsprofil, Kunden, Rechnungen, Angebote, Verträge, Projekte, Zeiteinträge, Ausgaben, Termine, Dokumente, Aufgaben und ähnliche Datensätze, die du in der App anlegst. Soweit darin personenbezogene Daten deiner eigenen Kunden enthalten sind, bist du Verantwortlicher und wir verarbeiten sie als Auftragsverarbeiter — den Vertrag dazu (AVV nach Art. 28 DSGVO) findest du unter /avv.
• Zahlungsdaten: werden von unserem Zahlungsdienstleister Paddle verarbeitet. Wir erhalten und speichern keine vollständigen Kartendaten — nur den Abo-Status und Kennungen, die zur Verwaltung deines Tarifs nötig sind.
• Technische Daten / Log-Daten: Beim Aufruf des Dienstes verarbeiten unsere Hosting-Dienstleister (Vercel, Supabase) automatisch technische Zugriffsdaten, insbesondere IP-Adresse, Browsertyp und -version, Betriebssystem, Datum und Uhrzeit des Zugriffs, die aufgerufene Ressource sowie ggf. Fehlermeldungen. Diese Daten dienen dem sicheren und stabilen Betrieb.

3. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes und deines Kontos — Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Abwicklung von Abonnements und Zahlungen — Vertragserfüllung sowie rechtliche Verpflichtung (z. B. steuer-/handelsrechtliche Aufbewahrung).
• Absicherung, Betrieb und Verbesserung des Dienstes — berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).
• Dienstbezogene Kommunikation — Vertrag / berechtigtes Interesse.
• Anmeldung über Drittanbieter (Google, Apple, Microsoft): Wenn du dich für die Anmeldung mit einem dieser Dienste entscheidest, verarbeiten wir die von dort übermittelten Basis-Profildaten (Name, E-Mail) zur Bereitstellung des Kontos. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) sowie deine Einwilligung in die Nutzung des jeweiligen Anbieters (Art. 6 Abs. 1 lit. a DSGVO), die du durch die Wahl dieser Anmeldeart erteilst. Es gelten zusätzlich die Datenschutzhinweise des jeweiligen Anbieters.

4. Eingesetzte Dienste und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die Daten in unserem Auftrag auf Grundlage von Auftragsverarbeitungsverträgen verarbeiten. Die folgende Übersicht zeigt, welche Daten zu welchem Zweck an welchen Dienst fließen. Für die Daten, die du als Nutzer in deinem Auftrag bei uns verarbeiten lässt, bieten wir dir einen Auftragsverarbeitungsvertrag (AVV) an, der auch unsere technischen und organisatorischen Maßnahmen (Anlage 2) und die eingesetzten Unterauftragsverarbeiter (Anlage 3) beschreibt:

5. KI-Funktionen (Pulse AI)

Pulse bietet KI-Funktionen an (Assistent, Textentwürfe für Angebote, Verträge und Mahnungen, Analysen, Prognosen, Opportunity-Radar). Ob und wann dafür Daten an einen KI-Anbieter gehen, bestimmt der Inhaber bzw. Administrator der Organisation unter „Einstellungen → KI & Datenschutz“ mit drei Modi:

• Aus: Es werden keine Daten an Anthropic übertragen; die KI-Funktionen nutzen ausschließlich die lokale, regelbasierte Muster-KI in deinem Browser. Zusätzlich weist der Server KI-Anfragen in diesem Modus ab.
• Nur auf Knopfdruck (Standardeinstellung): Daten werden nur übertragen, wenn eine KI-Funktion aktiv ausgelöst wird — z. B. Assistent, Angebots-, Vertrags- oder Mahntext, Opportunity-Radar oder die Schaltfläche „Mit KI verbessern“.
• Automatisch: Zusätzlich rufen Dashboard, Business Health Score und Projekt-Prognose die KI beim Öffnen selbstständig auf. Dieser Modus muss ausdrücklich aktiviert werden.

Sofern die KI nicht ausgeschaltet ist, werden die für die jeweilige Funktion nötigen Daten über einen serverseitigen Proxy (Supabase Edge Function) an Anthropic (Claude API) übermittelt, um die angeforderte Ausgabe zu erzeugen.

• Welche Daten: je nach genutzter Funktion der Text deiner Anfrage und der Chatverlauf sowie die für die Funktion relevanten Geschäftsdaten. Das können neben Geschäftszahlen auch Name und Eckdaten des betroffenen Kunden, Projektangaben (einschließlich deiner Projektbeschreibung) sowie Inhalte von Rechnungen und Angeboten sein. Beim Opportunity-Radar werden – nur auf dein Auslösen – zusätzlich deine Suchbegriffe (Websuche-Funktion von Anthropic), der von dir eingefügte Text einer Anfrage bzw. der Inhalt eines von dir genannten Links sowie dein Kurzprofil (Beruf, Skills, Mindestsatz, Region, Sprachen, Verfügbarkeit) verarbeitet — keine Kunden- oder Rechnungsdaten aus Pulse.
• Zweck: ausschließlich die Erzeugung der von dir angeforderten KI-Ausgabe (z. B. Antwort, Analyse, Prognose oder Entwurf).
• Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), da die KI eine Funktion des Dienstes ist, die du aktiv auslöst bzw. in den Einstellungen aktivierst.
• Speicherung durch Pulse: Pulse speichert die an die KI gesendeten Anfragen und deren Antworten nicht auf eigenen Servern — der Proxy reicht sie nur durch. Serverseitig wird lediglich ein Tageszähler je Nutzer zur Kostenbegrenzung geführt (ohne Inhalte).
• Speicherdauer bei Anthropic: Nach Angaben von Anthropic (Stand Juli 2026) werden Eingaben und Ausgaben von API-Kunden automatisch innerhalb von höchstens 30 Tagen gelöscht. Länger werden sie nur gespeichert, wenn Anthropics automatische Sicherheitssysteme eine Anfrage als möglichen Verstoß gegen die Nutzungsrichtlinien markieren (Eingaben und Ausgaben bis zu 2 Jahre, Klassifizierungswerte bis zu 7 Jahre) oder eine gesetzliche Pflicht besteht. Quelle: privacy.claude.com.
• Freiwilligkeit: Die Nutzung der KI ist optional — in den Modi „Aus“ und „Nur auf Knopfdruck“ werden ohne Auslösen einer KI-Funktion keine dieser Daten an Anthropic übermittelt.
• Kein Modelltraining: Anthropic verwendet die über die API übermittelten Inhalte nach eigenen Angaben standardmäßig nicht zum Training seiner Modelle.

Opportunity-Radar: Der Radar sammelt Projekte, öffentliche Ausschreibungen und Stellen aus öffentlichen Quellen (TED – Amt für Veröffentlichungen der EU, We Work Remotely, Remotive sowie die von dir ausgewählten Karriereseiten bei Greenhouse und Lever), bewertet sie anhand deines Suchprofils und bereitet auf Wunsch eine Bewerbung oder ein Angebot vor.

• Öffentliche Quellen: Unser Server (Supabase Edge Function) ruft diese Angebote ab. Übermittelt werden nur Suchbegriffe und Ländercodes aus deinem Suchprofil — keine Kunden-, Rechnungs- oder sonstigen Geschäftsdaten und keine Angaben zu dir. Die Antworten werden kurz (je nach Quelle zwischen 30 Minuten und 6 Stunden) zwischengespeichert, damit die Quellen nicht überlastet werden; dieser Zwischenspeicher enthält nur öffentliche Anzeigen. freelance.de wird nicht automatisch abgerufen: Dort werden ausschließlich Suchtreffer als Link über die KI-Websuche angezeigt.
• Suchprofil und Chancen: Dein Suchprofil (Skills, Mindestsatz, Regionen usw.) und die von dir gemerkten oder geprüften Chancen samt Notizen und Entwürfen speichern wir wie deine übrigen Geschäftsdaten in deinem Pulse-Konto (Abschnitt 4, Supabase). Nicht gemerkte Radar-Treffer werden nicht gespeichert.
• „Anfrage prüfen“: Einen von dir eingefügten Text, einen Link oder eine weitergeleitete Mail wertet Pulse auf Wunsch mit KI aus (Anthropic, siehe oben). Übertragen werden der Text — gegebenenfalls mit darin genannten Ansprechpartnern des Auftraggebers — und dein Kurzprofil. Bei einem reinen Link ruft die KI die Seite ab; freelance.de, Xing, LinkedIn und ähnliche Seiten sind davon ausgenommen. Mit „Ohne KI auswerten“ bleibt alles auf deinem Gerät.
• Persönliche Weiterleitungsadresse (optional): Ist für Pulse ein E-Mail-Eingang eingerichtet, erhältst du eine nur für dich bestimmte, nicht erratbare Adresse. Mails, die du dorthin weiterleitest, nimmt unser E-Mail-Dienstleister (Mailgun) entgegen und übergibt sie an unsere Datenbank; gespeichert werden Absender, Betreff und Text (keine Anhänge). Sie liegen in deinem Posteingang im Radar, bis du sie übernimmst oder verwirfst — spätestens 30 Tage. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Für die in weitergeleiteten Mails genannten Personen (z. B. Ansprechpartner) bist du Verantwortlicher; wir verarbeiten sie als Auftragsverarbeiter (siehe AVV).

6. E-Mail-Versand

Pulse versendet keine Werbe-/Newsletter-E-Mails. Wenn du aus der App heraus eine Rechnung, ein Angebot, einen Vertrag oder eine Mahnung „per E-Mail" versendest, öffnet Pulse lediglich dein eigenes Mailprogramm bzw. Gmail mit einem vorausgefüllten Entwurf — der Versand erfolgt über dein Mailkonto, nicht über unsere Server. Transaktions-E-Mails im Rahmen der Anmeldung (Bestätigung, Passwort-Zurücksetzen, Team-Einladungen) werden über Supabase Auth versendet.

7. Cookies und lokale Speicherung

Pulse setzt keine eigenen Tracking- oder Marketing-Cookies. Für den Betrieb speichert die App notwendige Daten (u. a. deine Sitzung und, im lokalen Modus, deine App-Daten) im lokalen Speicher (localStorage) deines Browsers — nicht in Cookies. Das Checkout von Paddle kann während der Zahlung eigene, technisch notwendige Cookies setzen.

GitHub-Anbindung (optional): Wenn du ein GitHub-Konto mit einem Projekt verknüpfst, speichert die App deinen Personal Access Token ausschließlich im lokalen Speicher dieses Browsers — nicht in deinem Pulse-Konto, nicht in der Cloud-Synchronisierung und nicht auf unseren Servern. Anfragen (Dateien laden, Commit & Push) gehen direkt von deinem Browser an die GitHub-API; GitHub ist dabei ein eigenständiger Dienst, für den dessen Datenschutzbestimmungen gelten. Mit „Trennen“ in der App entfernst du den Token von diesem Gerät. Gespeichert wird in deinem Pulse-Konto lediglich, welches Repository (Besitzer/Name/Branch/Ordner) mit einem Projekt verknüpft ist und der Pfad bzw. Versionsstand (SHA) verknüpfter Dateien. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), da du die Funktion aktiv nutzt.

8. Analyse-, Tracking-Tools und Fehler-Diagnose

Wir setzen keine Marketing-, Werbe- oder Profiling-Tracker ein — insbesondere kein Google Analytics, Matomo, Plausible, Umami, PostHog oder Sentry. Zu Analysezwecken werden keine Cookies gesetzt.

Reichweitenmessung (Vercel Web Analytics): Zur anonymen Messung von Seitenaufrufen nutzen wir Vercel Web Analytics unseres Hosting-Anbieters Vercel Inc. Der Dienst arbeitet ohne Cookies und ohne Wiedererkennung über verschiedene Websites hinweg: Besucher werden lediglich über einen aus der Anfrage gebildeten Hash unterschieden, der nach Angaben von Vercel nicht dauerhaft gespeichert und nach 24 Stunden verworfen wird. Pro Seitenaufruf können Zeitpunkt, aufgerufene URL, Referrer, grobe Geolokalisierung (z. B. Land, Region oder Stadt), Betriebssystem, Browser und Gerätetyp erfasst werden; ausgewertet wird ausschließlich aggregiert und anonym. Rechtsgrundlage ist unser berechtigtes Interesse an der Reichweitenmessung und Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO). Mit Vercel besteht ein Auftragsverarbeitungsvertrag (siehe Abschnitt 9). Weitere Informationen: vercel.com/docs/analytics/privacy-policy.

Zur Produktverbesserung erfassen wir jedoch anonyme, aggregierte Nutzungsstatistiken in unserer eigenen Infrastruktur (Supabase) — etwa welche Funktionen und Seiten genutzt werden und wie der Onboarding-Ablauf verläuft. Dabei werden keine personenbezogenen oder Geschäftsdaten und kein Nutzer- oder Sitzungskennzeichen gespeichert; eine Zuordnung zu einzelnen Personen ist nicht möglich. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung des Dienstes (Art. 6 Abs. 1 lit. f DSGVO).

Zur Fehlerbehebung erfasst die App jedoch bei einem technischen Fehler eine Absturz-Diagnose (Fehlermeldung, Stacktrace, aufgerufene Route und Browser-Kennung) und speichert sie in unserer eigenen Infrastruktur (Supabase) — nicht bei einem externen Dienst. Dabei werden keine Geschäfts- oder Kontodaten übermittelt. Diese Diagnosen dienen ausschließlich dem Erkennen und Beheben von Fehlern; Rechtsgrundlage ist unser berechtigtes Interesse an einem stabilen und fehlerfreien Dienst (Art. 6 Abs. 1 lit. f DSGVO).

9. Hosting, US-Datentransfer und internationale Übermittlungen

Unsere Web-App wird über Vercel Inc. (USA) gehostet und über dessen Content-Delivery-Network (CDN) ausgeliefert. Vercel verarbeitet dabei Daten auch in den USA, also außerhalb der EU/des EWR.

Von Vercel verarbeitete Daten: Beim Aufruf der Seiten fallen technische Verbindungs- und Server-Log-Daten an, insbesondere IP-Adresse, angefragte URL/Ressource, Datum und Uhrzeit des Zugriffs, Referrer, Browsertyp und -version, Betriebssystem sowie HTTP-Statuscodes. Diese Daten sind erforderlich, um die Anwendung auszuliefern und ihre Stabilität und Sicherheit zu gewährleisten. Rechtsgrundlage ist unser berechtigtes Interesse an einer sicheren und stabilen Bereitstellung (Art. 6 Abs. 1 lit. f DSGVO) sowie die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

Datenschutzoptionen von Vercel: Mit Vercel besteht ein Auftragsverarbeitungsvertrag (Data Processing Addendum). Die Datenübertragung erfolgt verschlüsselt über TLS/HTTPS; Vercel setzt Zugriffskontrollen ein und ermöglicht – je nach Konfiguration – die Auswahl von Server-/Funktionsregionen. Weitere Informationen enthält die Datenschutzerklärung von Vercel unter vercel.com/legal/privacy-policy.

Absicherung des Datentransfers: Der Transfer in die USA wird über die im Auftragsverarbeitungsvertrag enthaltenen EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert. Soweit Vercel unter dem EU-U.S. Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Trotz dieser Garantien kann in Drittländern kein mit der EU vollständig identisches Datenschutzniveau gewährleistet werden.

Weitere Übermittlungen: Auch andere eingesetzte Dienste (siehe Abschnitt 4, u. a. Supabase, Paddle, Anthropic) können Daten außerhalb der EU/des EWR verarbeiten. Soweit dies geschieht, bestehen geeignete Garantien, etwa auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln – sofern erforderlich.

10. Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Bei Löschung deines Kontos löschen wir die zugehörigen Geschäftsdaten; gesetzliche Aufbewahrungspflichten können längere Speicherfristen erfordern (z. B. für Rechnungs-/Steuerunterlagen).

Sicherungskopien: Zum Schutz vor Datenverlust legt Pulse automatisch Sicherungskopien deiner Geschäftsdaten an (in der Regel einmal pro Tag mit Änderungen sowie vor größeren Löschungen) und bewahrt sie bis zu 30 Tage auf; danach werden sie automatisch gelöscht. Beim Löschen deines Kontos werden auch diese Sicherungskopien gelöscht. Datenbank-Sicherungen unseres Infrastrukturanbieters können gelöschte Daten noch bis zum Ablauf ihrer jeweiligen Aufbewahrungsfrist enthalten.

Opportunity-Radar: Unbearbeitete Mails im Posteingang des Radars werden spätestens nach 30 Tagen gelöscht; übernimmst oder verwirfst du sie, werden sie sofort aus dem Posteingang entfernt. Gemerkte Chancen bleiben, bis du sie löschst bzw. dein Konto löschst.

11. Deine Rechte und Datenexport

Nach der DSGVO hast du das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit sowie das Recht, bestimmten Verarbeitungen zu widersprechen. Du kannst deine Daten jederzeit selbst über die Einstellungen in der App exportieren und dein Konto dort auch löschen. Zur Ausübung weiterer Rechte erreichst du uns unter support@pulse-business.app. Zudem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

12. Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz deiner Daten, insbesondere:

• Verschlüsselung der Datenübertragung (TLS/HTTPS) mit HSTS und strengen Sicherheits-Headern.
• Zugriffskontrollen: Auf die Daten einer Organisation haben nur deren Mitglieder Zugriff — durch Datenbank-Regeln (Row-Level-Security) erzwungen, nicht nur in der Oberfläche. Innerhalb der Organisation gelten rollenbasierte Rechte (Inhaber, Administrator, Buchhaltung, Mitarbeiter, Betrachter).
• Sicherungskopien mit Wiederherstellung: tägliche Sicherungen mit Prüfsummen, die Inhaber und Administratoren in den Einstellungen wiederherstellen können (siehe Abschnitt 10); die Wiederherstellungsfunktion wird mit automatisierten Tests geprüft.
• Missbrauchsschutz bei den KI-Funktionen (Anmeldung erforderlich, serverseitiges Tageslimit je Nutzer).

Eine ausführliche Beschreibung der Maßnahmen enthält Anlage 2 des Auftragsverarbeitungsvertrags. Kein Übertragungs- oder Speicherverfahren ist vollständig sicher, wir bemühen uns jedoch fortlaufend um den Schutz deiner Informationen.

13. Minderjährige

Der Dienst richtet sich nicht an Personen unter 18 Jahren; wir erheben wissentlich keine Daten von ihnen.

14. Änderungen

Wir können diese Erklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir in angemessener Weise. Das oben genannte Datum kennzeichnet die aktuelle Fassung.