Wichtig: Dies ist ein ungeprüfter Entwurf, nicht anwaltlich geprüft, der noch der rechtlichen Überprüfung bedarf.

Datenschutzerklärung

Stand: 02.10.2026

Verantwortlicher

Brain2 GmbH
Kaiser-Konrad-Str. 7
67105 Schifferstadt

Geschäftsführer: Dr. Steffen Adler und Katharina Osika
E-Mail: kontakt@brain2.de, Telefon: 0179 7719556

Datenschutzbeauftragter: [[ZU PRÜFEN: Ist ein Datenschutzbeauftragter benannt oder zu benennen (Art. 37 DSGVO, § 38 BDSG)? Falls ja: Name und Kontakt eintragen; falls nein: Satz „Ein Datenschutzbeauftragter ist nicht benannt“ einfügen]]

1. Umfang und Zweck der Datenverarbeitung

Bossboard by Brain2 richtet sich ausschließlich an Unternehmer. Personenbezogene Daten verarbeiten wir nur, soweit das für den Betrieb des Dienstes erforderlich ist. Wir setzen keine Werbe-, Tracking- oder Analysewerkzeuge ein.

1.1 Konto und Anmeldung

Zur Nutzung benötigst du ein Konto. Bei der Registrierung erheben wir deine E-Mail-Adresse. Die Anmeldung erfolgt per Magic Link (ein per E-Mail zugesandter Zugangslink, der 15 Minuten gültig ist); ein Passwort gibt es nicht. Die Adresse wird kleingeschrieben gespeichert, ebenso der Zeitpunkt der letzten Anmeldung.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag bzw. vorvertragliche Maßnahmen: Bereitstellung des Kontos und der kostenlosen Vorschau).

Speicherdauer: bis zur Löschung des Kontos. Ein Konto ohne Freischaltung (ohne Zahlung) wird 30 Tage nach seiner Anlage vollständig gelöscht; nach 7 Tagen erhältst du dazu eine Erinnerungs-E-Mail. Verwendete oder abgelaufene Anmeldelinks werden nur als Prüfwert (Hash) gespeichert und bei der Kontolöschung mit entfernt.

1.2 Sitzung und Cookies

Nach der Anmeldung setzen wir genau ein Cookie (bossboard_session; httpOnly, SameSite=Lax, im Produktivbetrieb Secure), das dich als angemeldet erkennt. Es läuft nach 30 Tagen ab. Es ist technisch erforderlich; eine Einwilligung ist dafür nicht nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Weitere Cookies setzen wir nicht. Im lokalen Speicher deines Browsers (localStorage) merkt sich die Anwendung lediglich Darstellungseinstellungen (sichtbare Dashboard-Abschnitte, gewähltes Hintergrund-Thema); diese Werte verlassen deinen Browser nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

1.3 Versand von E-Mails

Anmeldelinks und Hinweis-E-Mails (z. B. Erinnerung vor Löschung eines unbezahlten Kontos) versenden wir über den Mailserver von brain2.de. Der Mailserver wird beim Hoster „Zauberhand“ in Erfurt betrieben [[ZU PRÜFEN: genaue Firmierung und Anschrift des Hosters „Zauberhand“ in Erfurt, Abschluss eines AV-Vertrags; Rechenzentrumsbetreiber vermutlich IONOS — nach Rückfrage beim Hoster angeben oder streichen]].

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Eine Speicherung der Inhalte versendeter E-Mails über den Versand hinaus erfolgt durch die Anwendung nicht; [[ZU PRÜFEN: Aufbewahrung im Postausgang/Logs des Mailservers]].

1.4 Server-Logs und Schutz vor Missbrauch

Beim Aufruf der Seiten verarbeitet der Server deine IP-Adresse in technischen Protokollen (Anfrage-Logs) und zählt Anfragen je IP-Adresse und E-Mail-Adresse, um wiederholte Anmeldeversuche zu begrenzen (Rate Limiting). Die Zähler liegen nur im Arbeitsspeicher der Anwendung, werden nicht dauerhaft gespeichert und gelten jeweils für ein Zeitfenster von 60 Minuten. Zweck ist die Sicherheit und Stabilität des Dienstes.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Missbrauchsabwehr). Speicherdauer der Anfrage-Logs: [[ZU PRÜFEN: Aufbewahrungsdauer der Anwendungs-Logs bei Sliplane festlegen bzw. dort nachlesen]].

1.5 Stammdaten und Firmendaten

Im Onboarding fragen wir nach:

Diese Daten dienen der Personalisierung deines Dashboards und dem Branchenvergleich. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Kontolöschung.

1.6 Website-Abruf beim Onboarding

Wenn du im Onboarding die Adresse deiner Website oder deines Impressums angibst, ruft unser Server diese Seite (und, falls vorhanden, die verlinkte Impressumsseite) einmalig ab. Aus dem Seitentext schlägt eine KI Firmenname, Rechtsform, Ort, Postleitzahl, Branche und eine Kurzbeschreibung des Angebots vor; Logo-Kandidaten werden aus der Seite gelesen. Die abgerufene Seite wird nicht gespeichert; gespeichert wird nur, was du im Formular bestätigst. Der Seitentext wird zur Auswertung an DeutschlandGPT übermittelt (siehe 1.8).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Komfortfunktion auf deine Veranlassung).

1.7 Finanzdaten aus der BWA

Du lädst eine betriebswirtschaftliche Auswertung (BWA) als PDF, XLSX oder CSV hoch. Die Datei selbst wird nicht an unseren Server übertragen und nicht gespeichert. Die Auswertung läuft in deinem Browser. An den Server gehen die ermittelten Kennzahlen und die klassifizierten Rohpositionen, die in deinem Mandantenbereich der Datenbank gespeichert werden:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis zur Löschung des Kontos oder einzelner Monate durch dich. In der kostenlosen Vorschau werden höchstens 24 Monate gespeichert.

1.8 KI-Auswertung (DeutschlandGPT)

Für die KI-gestützten Funktionen (Website-Auswertung im Onboarding, Einordnung als Bosstype und Handlungsempfehlungen, Schritte zu einem gewählten Ziel, Beantwortung freier Fragen im Planspiel und die Texterkennung gescannter PDFs, siehe 1.9) nutzen wir die Plattform der DeutschlandGPT GmbH, Gabriele-Münter-Straße 3, 82110 Germering (Quelle: deutschlandgpt.de/impressum, abgerufen am 02.10.2026).

An den Anbieter gehen bei der Analyse Kennzahlen (bis zu zwölf Monate mit Umsatz, Ergebnis, Marge, Kostenarten, ggf. Kontostand), Branche (Zweisteller), Mitarbeiterzahl, Buchhaltungsart und die von dir bestätigte Kurzbeschreibung des Angebots. Nicht übermittelt werden Firmenname, Ort, E-Mail-Adresse, Kennungen, Logo und die Rohpositionen der BWA. Eine im Planspiel getippte Frage wird nicht gespeichert; E-Mail-Adressen und Webadressen werden daraus vor dem Versand entfernt. Du solltest in freien Fragen dennoch keine personenbezogenen Daten Dritter eingeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Der Anbieter verarbeitet als Auftragsverarbeiter nach Art. 28 DSGVO. Laut seiner Datenschutzerklärung (deutschlandgpt.de/datenschutz, abgerufen am 02.10.2026) werden Eingaben nicht zum Training von KI-Modellen verwendet; dort sind auch weitere Dienstleister genannt (u. a. Rechenzentren in Deutschland sowie Modellanbieter in der EU). [[ZU PRÜFEN: AV-Vertrag mit DeutschlandGPT abgeschlossen? Welche Modelle/Rechenzentren bei unserem Zugang tatsächlich genutzt werden (Region, Unterauftragnehmer), Speicherdauer der Anfragen beim Anbieter]]

1.9 Ausnahme: gescannte PDFs ohne Textebene

Enthält ein hochgeladenes PDF keine durchsuchbare Textebene, werden einzelne Seitenbilder an unseren Server übermittelt und dort für einen Aufruf der KI-Texterkennung (OCR) an DeutschlandGPT weitergegeben. Diese Seitenbilder werden von uns nicht dauerhaft gespeichert; sie werden nur für diesen Aufruf verarbeitet. [[ZU PRÜFEN: Aufbewahrung der Seitenbilder beim Anbieter DeutschlandGPT]]

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

1.10 Zahlung (Stripe)

Die Freischaltung kostet einmalig 120 € netto zzgl. Umsatzsteuer. Die Zahlung wickelt Stripe Payments Europe Limited, Irland, ab [[ZU PRÜFEN: Anschrift der Stripe Payments Europe Limited aus stripe.com/de/legal/privacy-center oder Stripe-Vertrag entnehmen; Stripe nennt in der Datenschutzerklärung (Stand 16.01.2026) außerdem die Stripe Technology Europe Ltd. als Verantwortliche für Verarbeitungen außerhalb Amerikas]]. Wir übergeben deine E-Mail-Adresse und eine Kennung deines Mandanten; Stripe erhebt im Bezahlformular die Rechnungsadresse und die Zahlungsdaten (Stripe Tax berechnet die Umsatzsteuer) und ist für diese Verarbeitung eigenständig verantwortlich. Informationen: stripe.com/de/privacy.

Bei uns gespeichert werden nur Betrag, Währung, Status, Zeitpunkt und die Stripe-Kennungen der Zahlung. Bei Löschung deines Kontos wird der Bezug zu deinem Konto entfernt; der Zahlungsbeleg bleibt anonymisiert erhalten. [[ZU PRÜFEN: Aufbewahrungsfrist für Zahlungs- und Rechnungsbelege (handels- und steuerrechtliche Fristen, §§ 147 AO, 257 HGB) und Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO bestätigen]]

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zahlungsabwicklung), Art. 6 Abs. 1 lit. c DSGVO (Aufbewahrung von Belegen).

1.11 Hosting

Bossboard wird auf der Plattform Sliplane betrieben; die Server stehen bei der Hetzner Online GmbH in Deutschland. Dort liegen Anwendung und Datenbank. Die Plattform sichert die Datenbank-Volumes täglich. [[ZU PRÜFEN: Firmierung und Anschrift von Sliplane, AV-Vertrag, Aufbewahrungsdauer der Backups]]

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO in Verbindung mit Auftragsverarbeitung nach Art. 28 DSGVO.

1.12 Externe Inhalte

Skripte und Diagrammbibliotheken werden von unserem eigenen Server ausgeliefert. Beim Aufruf der Seiten werden keine Inhalte von Drittservern geladen.

2. Deine Rechte

Du hast gegenüber uns das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO), soweit die Verarbeitung auf Art. 6 Abs. 1 lit. f beruht. Eine erteilte Einwilligung kannst du jederzeit widerrufen. Wende dich dafür an kontakt@brain2.de.

2.1 Datenexport

Aus deinem Konto kannst du deine Daten in einem maschinenlesbaren Format (JSON) exportieren.

2.2 Löschung

Du kannst dein Konto jederzeit in den Kontoeinstellungen löschen. Dabei werden alle mit dem Konto verknüpften Daten gelöscht (E-Mail-Adresse, Stammdaten, Kennzahlen, Rohpositionen, Analysen, Ziele, Szenarien, Anmeldelinks und Sitzungen). Zahlungsbelege bleiben ohne Bezug zu deinem Konto erhalten (siehe 1.10). In Datensicherungen kann der Datensatz bis zum Ablauf der Sicherungsfrist verbleiben. [[ZU PRÜFEN: Sicherungsfrist bei Sliplane]]

3. Sicherheit

Die Übertragung erfolgt verschlüsselt (HTTPS). Jeder Datensatz ist einem Mandanten zugeordnet und wird in der Datenbank mandantengetrennt gespeichert (Row-Level-Security). Anmeldelinks und Sitzungskennungen speichern wir nur als Hash.

4. Beschwerderecht und Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns zuständig ist:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz
Hintere Bleiche 34, 55116 Mainz (Postfach 30 40, 55020 Mainz)
Telefon: +49 (0) 6131 8920-0, E-Mail: poststelle@datenschutz.rlp.de
Quelle: datenschutz.rlp.de/service/kontakt, abgerufen am 02.10.2026.