Datenschutzerklärung

Stand: Juli 2026 (aktualisiert: optionale Google-Dienste, argon2id-Hashing, Stripe-Vertragspartner, EU AI Act, Cloudflare-Zweck, AVV-Anlage 1)

1. Verantwortlicher

NeuronForge UG (haftungsbeschränkt)
Brillenburgsweg 7
21614 Buxtehude, Deutschland
E-Mail: hello@streamlain.de

2. Überblick über die Datenverarbeitung

StreamLain ist eine SaaS-Plattform für Docs, Canvas, Datenbanken, Automations und KI-Features. Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist oder Sie eingewilligt haben. Diese Datenschutzerklärung informiert Sie über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten.

3. Hosting und Infrastruktur

Unsere Server stehen in Deutschland bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen). Es findet keine Datenübermittlung in Drittländer für das Hosting statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und effizienten Bereitstellung).

4. Nutzerkonto und Accountdaten

Bei der Registrierung verarbeiten wir:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Speicherdauer: Bis zur Löschung des Accounts, dann innerhalb von 30 Tagen vollständig entfernt.

Automatische Löschung inaktiver Free-Konten (Art. 17 Abs. 1 lit. a DSGVO): Free-Konten, die 12 Monate lang nicht genutzt wurden (keine Anmeldung, kein Request), werden automatisch zur Löschung vorgemerkt. Der Kontoinhaber erhält eine E-Mail mit einem einmaligen Reaktivierungs-Link. Wird der Link innerhalb der 30-tägigen Karenzphase nicht genutzt, wird das Konto anonymisiert; gesetzlich verpflichtende Aufbewahrungsdaten (z.B. Rechnungen nach HGB §257, AO §147) bleiben in pseudonymisierter Form für die jeweilige Aufbewahrungsfrist erhalten. Konten mit aktiver bezahlter Subscription oder mit gemeinsam genutzten Workspaces (Mitglieder > 1) sind von der automatischen Löschung ausgenommen.

5. Zwei-Faktor-Authentifizierung

Zur Erhöhung der Kontosicherheit können Sie die Zwei-Faktor-Authentifizierung (2FA) aktivieren. Dabei verarbeiten wir:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit der Nutzerkonten).

6. Optionale Google-Dienste

6.1 Anmeldung mit Google

Nur wenn Sie die Anmeldung mit Google ausdrücklich auswählen, übermittelt Google folgende Kontodaten an uns:

Wir verwenden diese Daten, um Sie zu authentifizieren, Ihr StreamLain-Konto anzulegen oder zuzuordnen und Ihr lokales StreamLain-Profil zu vervollständigen. Das Profilbild wird in den StreamLain-Speicher kopiert; bei späteren Aufrufen wird Google nicht zur Darstellung des Bildes kontaktiert. Dieser Anmeldevorgang fordert keinen Zugriff auf Gmail, Google Drive oder andere Google-Workspace-Inhalte an und übermittelt keine StreamLain-Workspace-Inhalte an Google.

Die Anmeldung mit Google ist freiwillig. Registrierung und Anmeldung mit E-Mail und Passwort bleiben als Alternative verfügbar. Wenn Sie die Google-Anmeldung auswählen, verbindet sich Ihr Browser zur Authentifizierung mit Google.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können die Anmeldeverknüpfung in Ihren Kontoeinstellungen entfernen und den Drittanbieterzugriff in Ihrem Google-Konto verwalten.

Drittlandtransfer: USA. Die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework sowie ergänzender Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO.

6.2 Optionale Verbindung eines Gmail-Kontos

Die Verbindung eines Gmail- oder Google-Workspace-Postfachs ist eine getrennte, optionale Handlung. Sie erfolgt nur, wenn Sie Google in StreamLain Mail als Mailanbieter auswählen, „Weiter mit Google“ wählen und den Zugriff auf dem Einwilligungsbildschirm von Google freigeben. Die Anmeldung bei StreamLain mit Google verbindet Ihr Gmail-Konto niemals automatisch. Wenn Sie nach der Verbindung die automatische Synchronisierung aktivieren, kann StreamLain das ausdrücklich verbundene Postfach fortlaufend synchronisieren.

Abhängig von den genutzten Mail-Funktionen verarbeitet StreamLain:

Wir verwenden diese Daten ausschließlich für die sichtbaren Funktionen von StreamLain Mail im verbundenen Konto: Ordner und Nachrichten synchronisieren und anzeigen, Mails durchsuchen und lesen, Anhänge öffnen, Nachrichten verfassen, senden, beantworten und weiterleiten sowie Mails verschieben, archivieren oder löschen. StreamLain greift nicht auf ein Postfach zu, bevor es ausdrücklich verbunden wurde. An Google werden nur die Daten und Aktionen übermittelt, die für eine von Ihnen ausdrücklich initiierte Gmail-Aktion erforderlich sind, zum Beispiel eine Mail zu senden, einen Anhang hinzuzufügen oder den Postfachstatus zu ändern. Andere Übermittlungen sind auf Sicherheitszwecke oder Rechtspflichten beschränkt. Wir verkaufen Google-Nutzerdaten nicht und verwenden sie nicht für Werbung, Kreditwürdigkeitsprüfung, Überwachung oder zum Trainieren oder Verbessern allgemeiner oder nicht personalisierter KI- oder Machine-Learning-Modelle. Menschlicher Zugriff ist untersagt, außer Sie stimmen dem Zugriff auf bestimmte Daten ausdrücklich zu oder der Zugriff ist aus Sicherheits- oder Rechtsgründen erforderlich.

Mailnachrichten und Anhangsreferenzen werden im StreamLain-Workspace gespeichert, solange dies zur Bereitstellung des verbundenen Postfachs erforderlich ist. Anhangsdateien werden im StreamLain-Objektspeicher abgelegt. OAuth-Zugangsdaten einschließlich Tokens werden als AES-256-GCM-verschlüsselter Credential-Datensatz gespeichert. Wenn Sie das Postfach trennen, beendet StreamLain die Synchronisierung und löscht das Postfachkonto, lokal gespeicherte Maildaten, Suchindexeinträge, nicht mehr referenzierte Anhangs-Blobs und den nicht mehr referenzierten Mail-Credential-Datensatz aus den aktiven Systemen. Restkopien können bis zu ihrer Rotation gemäß dem geltenden Aufbewahrungsplan in konfigurierten Backups verbleiben. Das Trennen in StreamLain widerruft nicht selbst die Google-Freigabe; den Drittanbieterzugriff können Sie zusätzlich in Ihrem Google-Konto widerrufen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung in die Google-Verbindung) und ergänzend Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung für die von Ihnen angeforderten Mail-Funktionen erforderlich ist.

Die Nutzung und Übertragung von Informationen aus Google Workspace APIs durch StreamLain entspricht der Google API Services User Data Policy einschließlich der Limited Use-Anforderungen.

Siehe außerdem Googles Hinweise zu Nutzerdaten bei OAuth-Apps.

7. Nutzungsdaten

Bei der Nutzung der Plattform verarbeiten wir technisch notwendige Daten: IP-Adresse (gekürzt), Browser-Typ, Zeitpunkt des Zugriffs, aufgerufene Seiten. Eine routinemäßige Zusammenführung mit anderen Datenquellen findet nicht statt. Ausgenommen sind anlassbezogene Sicherheitsuntersuchungen bei begründetem Verdacht auf Missbrauch oder Angriffe auf die Plattform.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit und Stabilität des Dienstes).

8. Datei-Upload

StreamLain ermöglicht den Upload von Dateien (Bilder, Dokumente, Anhänge) in Workspaces. Der Upload erfolgt über das tus-Protokoll (resumable uploads).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — Dateiverwaltung ist Kernfunktion der Plattform).

9. Cookies

Die StreamLain-Plattform verwendet ausschließlich technisch notwendige Session-Cookies zur Authentifizierung. Eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking-Cookies oder Cookies zu Analysezwecken werden nicht eingesetzt.

10. KI-Funktionen und Drittanbieter

StreamLain bietet KI-gestützte Funktionen (Copilot, Automations mit AI-Nodes). Dabei werden Daten an folgende Drittanbieter über deren API-Schnittstellen übermittelt:

10.1 Eingesetzte KI-Anbieter

StreamLain nutzt ausschließlich EU-basierte Endpoints für die KI-Verarbeitung (EU Data Residency). Alle KI-Anfragen werden in EU-Rechenzentren (Frankfurt, Deutschland) verarbeitet:

10.2 Welche Daten werden übermittelt?

Je nach KI-Funktion werden übermittelt: Nutzer-Eingaben (Prompts), ausgewählte Dokumenteninhalte, Datenbank-Einträge, Bilder zur Analyse. Die Übermittlung erfolgt ausschließlich zur Verarbeitung der jeweiligen Anfrage.

10.3 Kein Training mit Ihren Daten (Zero Data Retention)

Ihre Daten werden NICHT zum Training von KI-Modellen verwendet. Wir nutzen ausschließlich die API-Schnittstellen der Anbieter, die vertraglich zusichern, dass API-Daten nicht zum Modelltraining herangezogen werden.

Zusätzlich gilt für unsere EU-Endpoints Zero Data Retention (ZDR):

10.4 EU Data Residency

Alle KI-Anfragen werden ausschließlich in EU-Rechenzentren verarbeitet:

Es findet kein Drittlandtransfer der KI-Anfragedaten statt. Die Auftragsverarbeiter (AWS EMEA, Google Cloud EMEA) unterliegen dem europäischen Datenschutzrecht. Zusätzlich sind SCCs (Standardvertragsklauseln) als Fallback inkludiert.

10.5 Speicherdauer bei KI-Anbietern

Durch Zero Data Retention werden API-Anfragen nach der Verarbeitung nicht persistent gespeichert. Die In-Memory-Verarbeitung bei Vertex AI ist auf maximal 24 Stunden begrenzt und projektgebunden isoliert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung — KI-Funktionen sind Bestandteil des Dienstes).

11. Zahlungsabwicklung (Stripe)

Für die Abrechnung kostenpflichtiger Pläne nutzen wir den Zahlungsdienstleister Stripe Ireland Limited (1 Grand Canal Street Lower, Dublin 2, Irland) als Vertragspartner für EU-Kunden. Stripe Ireland setzt die Konzernmuttergesellschaft Stripe, Inc. (San Francisco, USA) als Sub-Auftragsverarbeiter ein. Dabei werden folgende Daten direkt an Stripe übermittelt:

StreamLain speichert keine vollständigen Kreditkartendaten. Die Eingabe der Zahlungsdaten erfolgt über Stripe Elements direkt in der Stripe-Infrastruktur. Stripe ist PCI DSS Level 1 zertifiziert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Drittlandtransfer: USA, auf Grundlage des EU-US Data Privacy Framework und SCCs.

12. Kostenlose Testphase (Free Trial)

12.1 Zweck der Verarbeitung

Wir bieten registrierten Nutzern eine einmalige kostenlose 14-tägige Testphase des Pro-Plans an. Um Missbrauch dieses Angebots zu verhindern (z.B. wiederholte Registrierung zur mehrfachen Nutzung), speichern wir einen pseudonymisierten Hash-Wert Ihrer E-Mail-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verhinderung von Trial-Missbrauch). Die Interessenabwägung ist in unserer internen Legitimate Interest Assessment (LIA) dokumentiert.

12.2 Verarbeitete Daten

12.3 Speicherdauer und Account-Löschung

Der Hash-Record wird automatisch 24 Monate nach der Trial-Nutzung gelöscht. Nach Ablauf dieser Frist sind Sie erneut für eine kostenlose Testphase berechtigt.

Bei Löschung Ihres Accounts wird der Hash-Record beibehalten, da: der gesalzene Hash ohne Kenntnis des geheimen Schlüssels und Ihrer E-Mail-Adresse keiner Person zugeordnet werden kann, die Löschung den Schutzzweck vereiteln würde, und der Record automatisch nach 24 Monaten gelöscht wird.

12.4 Widerspruchsrecht

Sie können der Verarbeitung gemäß Art. 21 DSGVO widersprechen. Wenden Sie sich dazu an hello@streamlain.de. Nach Löschung des Hash-Records ist keine erneute Berechtigungsprüfung möglich.

12.5 Stripe-Verarbeitung

Die Testphase wird über Stripe verwaltet. Stripe verarbeitet dabei Ihre E-Mail-Adresse zur Erstellung eines Stripe-Customer-Objekts. Für die Testphase wird keine Zahlungsmethode benötigt. Nach Ablauf wird das Abonnement automatisch beendet, wenn keine Zahlungsmethode hinterlegt wurde.

12.6 E-Mail-Benachrichtigungen

Im Zusammenhang mit der Testphase senden wir Ihnen:

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung).

13. KI-Nutzungstracking und Transparenzpflichten

StreamLain protokolliert die Nutzung von KI-Funktionen: Zeitpunkt, verwendetes Modell und verbrauchte Credits. Dies dient der Transparenz gegenüber dem Workspace-Admin (Credit-Verbrauchsübersicht) und der Nachvollziehbarkeit der Datenverarbeitung gemäß Art. 5 Abs. 2 DSGVO (Rechenschaftspflicht).

Soweit StreamLain KI-generierte Inhalte ausliefert, kennzeichnen wir diese gegenüber Nutzern als KI-Output. Damit setzen wir die Transparenzpflichten gemäß Art. 50 der Verordnung (EU) 2024/1689 (KI-Verordnung / EU AI Act) in unserer Rolle als Anbieter (für eigene KI-Funktionen) bzw. Betreiber (für die Nutzung der KI-Modelle von Anthropic und Google) um. Die Vorschriften des Art. 50 sind ab dem 02.08.2026 anwendbar.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kostentransparenz und Nachvollziehbarkeit der KI-Nutzung) sowie Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung aus Art. 50 EU AI Act).

14. Auftragsverarbeitung

Wir haben mit allen relevanten Dienstleistern Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen. Aktuelle Unterauftragsverarbeiter:

15. Datensicherheit

Wir setzen umfangreiche technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO ein, um Ihre Daten zu schützen. Dazu gehören unter anderem Verschlüsselung bei der Übertragung und im Ruhezustand, sicheres Passwort-Hashing, mehrstufige Zugriffskontrolle mit Mandantentrennung, redundante Infrastruktur mit automatisierten Backups sowie Protokollierung sicherheitsrelevanter Vorgänge.

16. Datenschutzbeauftragter

Gemäß § 38 BDSG ist die Benennung eines Datenschutzbeauftragten erst ab 20 Personen erforderlich, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Da diese Schwelle bei der NeuronForge UG derzeit nicht erreicht wird, ist kein Datenschutzbeauftragter benannt.

Für Datenschutzanfragen wenden Sie sich bitte an: hello@streamlain.de

17. Automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

Die in StreamLain integrierten KI-Funktionen erzeugen Vorschläge und Entwürfe. Diese stellen keine automatisierten Einzelentscheidungen dar — die endgültige Entscheidung über die Verwendung von KI-Ausgaben liegt stets beim Nutzer.

18. Ihre Rechte

Sie haben gemäß DSGVO folgende Rechte:

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter hello@streamlain.de.

19. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5, 30159 Hannover
www.lfd.niedersachsen.de

20. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite.