Datenschutzerklärung – denkmodell Companion

Stand: 3. September 2026

Präambel – Privacy-First KI-Prinzipien

Der denkmodell Companion wurde nach dem Prinzip „Privacy by Design“ entwickelt. Unsere Grundprinzipien:

• Keine Leistungsüberwachung: Die Plattform dient nicht der Leistungs- oder Verhaltenskontrolle.
• Keine Inhaltsweitergabe: Arbeitgeber erhalten keinen Zugriff auf Inhalte oder individuelle Reflexionen.
• Datensparsamkeit: Wir speichern nur Daten, die für den Betrieb der Plattform erforderlich sind.
• Löschbarkeit: Nutzende können Inhalte und Accounts jederzeit löschen.
• Keine Modelltrainingsnutzung: Übermittelte Inhalte werden nicht zum Training von KI-Modellen genutzt.
• Individuelle Reflexionsumgebung: Der denkmodell Companion ist ein persönlicher Reflexionsraum für Führungskräfte.
• Keine Persönlichkeitsprofile: Es werden keine automatischen Persönlichkeits- oder Kompetenzprofile erstellt.
• Transparenz: Wir legen offen: welche Daten verarbeitet werden, wofür sie genutzt werden, wie lange sie gespeichert werden.

1. Verantwortlicher

denkmodell GmbH
Pfuelstraße 5
10997 Berlin
Fon +49 30 690 488–0
Fax +49 30 690 488–99
berlin@denkmodell.de

2. Datenschutzkontakt

Bei Fragen zum Datenschutz sowie zur Ausübung Ihrer Betroffenenrechte erreichen Sie uns unter:
datenschutz@denkmodell.de

3. Überblick: Was ist denkmodell Companion?

Der denkmodell Companion ist eine KI-gestützte Chat-Plattform für Führungskräfte. Nutzerinnen und Nutzer können Gespräche mit KI-Assistenten führen, Dokumente hochladen (Wissensbasis / RAG) und mandantenspezifische KI-Skills nutzen. Die Plattform ist als Mehrmandanten-SaaS (Multi-Tenant) konzipiert; jede Organisation arbeitet in einem logisch vollständig isolierten Bereich. Vertragspartner des denkmodell Companion ist stets die einzelne Nutzerin bzw. der einzelne Nutzer als Privatperson. Sponsernde Unternehmen finanzieren lediglich den Zugang, sind aber nicht Vertragspartner hinsichtlich der Nutzungsdaten und erhalten keinen Einblick in die Inhalte. Einzelheiten regelt Abschnitt 3a.

3a. Verhältnis zu sponsernden Unternehmen

Der denkmodell Companion ist eine persönliche Lern- und Reflexionsplattform für einzelne Führungskräfte. Vertragspartner der denkmodell GmbH ist immer die einzelne Nutzerin bzw. der einzelne Nutzer. Unternehmen können den Zugang ihrer Führungskräfte zum denkmodell Companion finanzieren („Sponsoring“). Die rechtliche Einordnung dieses Sponsoring-Modells ist für das Vertrauen in die Plattform zentral:

• Keine Auftragsverarbeitung: Sponsoring-Verträge zwischen denkmodell und sponsernden Unternehmen sind reine Lizenz- bzw. Zugangsverträge. Sie begründen kein Auftragsverarbeitungsverhältnis nach Art. 28 DSGVO. Die denkmodell GmbH ist hinsichtlich aller Nutzungsdaten der Führungskräfte selbst Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO.
• Keine Weitergabe von Inhalten: Das sponsernde Unternehmen erhält zu keinem Zeitpunkt Zugriff auf Konversationen, Reflexionen, hochgeladene Dokumente, Nutzungsverläufe oder andere personenbezogene Daten der Führungskraft – weder während der Vertragslaufzeit noch bei deren Beendigung.
• Reporting an Sponsoren: An sponsernde Unternehmen übermitteln wir – sofern dies vertraglich vereinbart ist – ausschließlich anonyme, aggregierte Kennzahlen (z. B. Anzahl aktivierter Lizenzen, Gesamtnutzungsvolumen). Aus Datenschutzgründen erfolgen solche Reportings nur ab einer Mindestgruppengröße (k-Anonymität, mindestens 10 aktive Nutzer:innen je Sponsor). Bei kleineren Gruppen wird ausschließlich die Zahl der vergebenen Lizenzen ausgewiesen.
• Beendigung des Sponsorings: Endet das Sponsoring durch das Unternehmen (z. B. durch Kontingentkündigung oder Jobwechsel der Führungskraft), wird der Account der Nutzerin bzw. des Nutzers nicht automatisch gelöscht. Wir bieten die Möglichkeit, den Account in einen privat finanzierten Zugang zu überführen bzw. einen vollständigen Datenexport (Art. 20 DSGVO) durchzuführen, bevor eine Löschung stattfindet. Die Reflexionshistorie bleibt damit unter der Kontrolle der Nutzerin bzw. des Nutzers.
• Daten der sponsernden Unternehmen: Im Vertragsverhältnis zum Unternehmen verarbeiten wir lediglich Kontaktdaten der dortigen Ansprechpartner:innen (Name, E-Mail, ggf. Position) sowie Rechnungs- und Lizenzdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Diese Verarbeitung ist von den Nutzungsdaten der Führungskräfte vollständig getrennt.

4. Welche personenbezogenen Daten wir verarbeiten

4.1 Registrierung & Authentifizierung

Die Nutzung der Plattform erfordert eine bestätigte E-Mail-Adresse. Ohne Verifizierung sind keine API-Funktionen verfügbar.

4.2 Chat-Daten & Konversationsinhalte

Verschlüsselung: Chat-Inhalte werden im Ruhezustand mit AES-256-GCM auf Anwendungsebene verschlüsselt. Der Schlüssel wird per Envelope-Encryption über Google Cloud KMS verwaltet. Die Integrität jedes Chat-Requests wird zusätzlich mit HMAC-SHA-256 gesichert.

Automatische Löschung: Technische Chat-Audit-Logs werden nach standardmäßig 14 Tagen automatisch gelöscht (konfigurierbar zwischen 1 und 90 Tagen je Mandant).

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Soweit wir Daten auf Basis eines berechtigten Interesses verarbeiten (z. B. Login-Zeitstempel, Konversations-Metadaten, Chat-Audit-Logs), überwiegt dieses, da die Daten minimal sind, ausschließlich für Sicherheitszwecke genutzt werden und für Nutzer:innen keine unzumutbare Einschränkung bedeuten.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Leadership-Konversationen können besondere Kategorien personenbezogener Daten im Sinne von Art. 9 Abs. 1 DSGVO enthalten (z. B. Angaben zu Gesundheit, religiösen oder politischen Überzeugungen, sexueller Orientierung). Da der denkmodell Companion eine persönliche Reflexionsplattform ist und Vertragspartner ausschließlich die einzelne Nutzerin bzw. der einzelne Nutzer ist, holen wir hierfür bei der Registrierung eine gesonderte, ausdrückliche Einwilligung im Sinne von Art. 9 Abs. 2 lit. a DSGVO ein. Diese Einwilligung ist freiwillig und kann jederzeit mit Wirkung für die Zukunft über die Einstellungen in der App widerrufen werden. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Nach einem Widerruf deaktivieren wir die aktive Nutzung deines gespeicherten Reflexionsprofils („Über mich") sowie neue Speichervorschläge dafür, und du erhältst im Chat einen Hinweis, keine besonderen Datenkategorien mehr einzugeben. Eine automatisierte inhaltliche Erkennung und Blockierung einzelner Chat-Nachrichten ist technisch nicht möglich; solltest du dennoch weiterhin entsprechende Angaben machen, kannst du diese jederzeit über die Chat- oder Account-Löschung entfernen. Wir empfehlen darüber hinaus, sensible Informationen nur in dem Umfang einzugeben, wie es für das persönliche Reflexionsanliegen wirklich erforderlich ist.

4.3 Hochgeladene Dokumente (Wissensbasis / RAG)

Nutzer:innen und Administrator:innen können Dokumente (PDF und weitere Formate) hochladen, die als Kontextwissen für KI-Antworten dienen. Hochgeladene Dateien und die daraus extrahierten Textfragmente (Chunks) werden mandantenspezifisch in der Cloud-Datenbank gespeichert.

Enthält ein hochgeladenes Dokument personenbezogene Daten Dritter, liegt die datenschutzrechtliche Verantwortung dafür beim hochladenden Mandanten. Wir empfehlen, nur Dokumente hochzuladen, deren Verarbeitung durch einen geeigneten Erlaubnisgrund gedeckt ist.

Maximale Dateigröße: 20 MB. Ausführbare Dateien werden serverseitig blockiert.

4.4 Nutzungs- und Protokolldaten

Cloud Functions erzeugen Ausführungslogs; Firebase Auth protokolliert Authentifizierungsereignisse. Diese Daten werden über Google Cloud Logging gespeichert und sind über IAM rollenbasiert zugriffsgeschützt. Cloud Functions-Logs werden standardmäßig für 30 Tage aufbewahrt, Firebase Auth-Ereignislogs für 90 Tage. Details zur Google Cloud-Retention sind im Data Processing Addendum von Google dokumentiert.

4.5 Interne Nutzungsanalyse & Statistiken

Zur bedarfsgerechten Gestaltung und Optimierung der Plattform sowie zur Analyse der Akzeptanz (Adoption) der bereitgestellten KI-Instrumente erstellen wir Nutzungsstatistiken.

• Keine Drittanbieter: Wir nutzen für diese Analyse keine externen Tracking-Dienste (wie Google Analytics, Mixpanel o.ä.). Alle Statistiken werden ausschließlich intern durch unsere eigene Infrastruktur auf Basis der vorhandenen Datenbank-Events generiert.
• Aggregierte Statistiken: Wir erfassen die Anzahl der App-Nutzungen und die Häufigkeit der Skill-Nutzung pro Mandant in zusammengefasster Form. Diese Daten enthalten keinen Personenbezug.
• Pseudonymisierte Nutzungsintensität: Um die Verteilung der Nutzung innerhalb eines Mandanten zu verstehen (z. B. "Wie viele Nutzer:innen nutzen die App intensiv?"), verwenden wir eine technisch anonymisierte Kennung (anon_user_id). Diese Kennung wird über ein kryptografisches Einweg-Verfahren (Hash) aus Ihrer internen Nutzer-ID erzeugt. Eine Rückführung auf Ihre E-Mail-Adresse oder Ihren Namen ist für Administratoren des Mandanten nicht möglich.

Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der statistischen Auswertung und Sicherstellung der Systemstabilität gemäß Art. 6 Abs. 1 lit. f DSGVO.

4.6 Bot-Schutz mit ALTCHA (selbst gehostet)

Um unsere Login- und Registrierungsformulare vor Spam und automatisierten Angriffen (Bots) zu schützen, setzen wir ALTCHA ein, ein quelloffenes (Open-Source) Verfahren, das wir – anders als klassische CAPTCHA-Dienste – vollständig auf unserer eigenen Infrastruktur betreiben. ALTCHA basiert auf einem sogenannten Proof-of-Work-Verfahren: Beim Laden des Formulars löst Ihr Browser eine kryptografische Rechenaufgabe, deren Ergebnis anschließend von unserem eigenen Server geprüft wird.

Da ALTCHA same-origin auf unserer eigenen Infrastruktur läuft, findet keine Übermittlung von Daten an einen Drittanbieter statt – insbesondere keine Übertragung Ihrer IP-Adresse, Geräteinformationen oder Ihres Nutzungsverhaltens (Mausbewegungen, Tippverhalten o. ä.) an einen externen CAPTCHA-Anbieter. Es werden zu diesem Zweck auch keine Cookies oder vergleichbaren Tracking-Mechanismen gesetzt. Verarbeitet werden ausschließlich die für die Rechenaufgabe selbst notwendigen technischen Werte (Challenge, Signatur, Lösung); diese lassen keinen Rückschluss auf Ihre Identität zu und dienen einzig der Unterscheidung zwischen menschlicher und automatisierter Nutzung.

Rechtsgrundlage: Die Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an der Sicherheit unserer IT-Systeme und der Abwehr von Missbrauch gemäß Art. 6 Abs. 1 lit. f DSGVO. Da ALTCHA auf unserer eigenen, in der EU betriebenen Infrastruktur läuft (siehe Abschnitt 5), ist hierfür – anders als zuvor bei unserem vorherigen Bot-Schutz-Anbieter – keine Drittlandübermittlung erforderlich.

4.7 Darstellung mit Google Fonts

Wir nutzen zur einheitlichen Darstellung von Schriftarten sogenannte Google Fonts. Diese Schriftarten sind jedoch lokal auf unseren eigenen Servern eingebunden. Eine Datenübertragung (wie etwa die Übermittlung Ihrer IP-Adresse) an Server von Google findet dabei nicht statt.

4.8 Journaling und Erinnerungsfunktionen

Wenn Sie das Journaling-Feature aktivieren, verarbeiten wir die von Ihnen formulierten Selbstverpflichtungen sowie die gewählten Erinnerungstermine, um Ihnen zu den vereinbarten Zeitpunkten Erinnerungs-E-Mails an Ihre hinterlegte E-Mail-Adresse zu senden. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) für die von Ihnen aktivierte Funktion. Sie können das Nudging jederzeit in den Einstellungen deaktivieren; bereits abgesendete E-Mails können wir naturgemäß nicht zurückrufen. Die Inhalte der Selbstverpflichtungen werden mit derselben Verschlüsselung gespeichert wie Ihre Konversationen (siehe Abschnitt 4.2).

5. Auftragsverarbeiter (Subprozessoren)

Wir setzen die folgenden Auftragsverarbeiter ein, mit denen Auftragsverarbeitungsverträge (AVV) gemäß Art. 28 DSGVO abgeschlossen wurden:

Hinweis zu Microsoft Foundry: Die Bereitstellung der KI-Modelle erfolgt ausschließlich über Microsoft Foundry (Microsoft Azure AI Foundry). Darüber werden die für Chat-Antworten, Embeddings und Transkription eingesetzten Modelle bereitgestellt – darunter GPT-Modelle der OpenAI-Familie (u. a. GPT-4.1), das Embedding-Modell text-embedding-3-small und das Spracherkennungsmodell Whisper –, technisch über die Microsoft-Cloud-Infrastruktur statt über Server von OpenAI. Die genutzte Azure-Ressource ist in der Region „West Europe" (Niederlande) angesiedelt. Die Transkription ist fest auf diese Region beschränkt; die Chat- und Embedding-Modelle werden als „Data Zone"-Bereitstellungen betrieben, sodass Verarbeitung und Speicherung ausschließlich innerhalb der EU-Datenzone von Microsoft Azure erfolgen. Eine Drittlandübermittlung im Sinne von Kapitel V DSGVO findet nicht statt. Vertraglich ist mit Microsoft vereinbart, dass übermittelte Inhalte nicht zu Trainingszwecken der Modelle genutzt werden.

Hinweis zum Bot-Schutz (ALTCHA): Der in Abschnitt 4.6 beschriebene Bot-Schutz unserer Login- und Registrierungsformulare wird vollständig selbst gehostet und läuft auf derselben Infrastruktur wie unsere Kernanwendung (Google Cloud / Firebase, EU, siehe obige Tabellenzeile). Es handelt sich dabei um keinen separaten Auftragsverarbeiter und um keine Drittlandübermittlung.

6. Datenspeicherung & Löschkonzept

1. Ziel: Personenbezogene Daten werden nur so lange gespeichert, wie dies erforderlich ist.
2. Automatische Löschung: Nicht mehr erforderliche Daten werden automatisiert gelöscht.
3. Backup-Löschung: Gelöschte Daten verschwinden spätestens nach Ablauf der Backup-Rotation endgültig aus den Systemen.

Löschfristen & Aufbewahrungsdauer:

*) Details zur Google Cloud-Retention sind in den https://cloud.google.com/terms/data-processing-addendum dokumentiert.

Löschung durch Nutzer:innen: Nutzende können in der App jederzeit:

• einzelne Chats löschen
• sämtliche Chats löschen
• ihren Account vollständig löschen

Nach Beendigung eines Mandantenvertrags werden alle mandantenspezifischen Daten aus Firestore und Storage gelöscht. Auf Anfrage stellen wir einen Löschnachweis bereit.

7. Datensicherheit

Wir setzen folgende technische und organisatorische Maßnahmen (TOMs) ein:

• Verschlüsselung in Transit: TLS für alle Verbindungen (Browser ↔ Frontend, Frontend ↔ Cloud Functions, Cloud Functions ↔ LLM-API)
• Verschlüsselung at Rest: AES-256-GCM auf Anwendungsebene für Chat-Inhalte; Google-native Verschlüsselung für Firestore und Storage
• Schlüsselmanagement: Google Cloud KMS (Hardware Security Module-backed) in Frankfurt
• Zugriffskontrolle: RBAC mit den Rollen member, admin, superadmin; mandantenübergreifende Isolation auf Datenbank-, Storage- und Funktionsebene
• Minimalprinzip: Separate Service-Accounts mit geringstmöglichen Berechtigungen; sensible Schreibvorgänge (Nachrichten, Konversationen) nur serverseitig möglich
• Ratenbegrenzung: Token-basierte Rate-Limits und Chat-Token-Budgets pro Nutzer:in
• Missbrauchsprävention: Dateityp-Whitelist, MIME-Prüfung, Größenbegrenzung

8. Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte, soweit die gesetzlichen Voraussetzungen erfüllt sind:

Anfragen richten Sie bitte an: datenschutz@denkmodell.de

Self-Service in der App: Wichtige Rechte können Sie direkt über die Plattform ausüben. Unter „Einstellungen → Datenschutz“ stehen folgende Funktionen zur Verfügung: Datenexport (Art. 20 DSGVO) in einem maschinenlesbaren Format (JSON), Löschung einzelner Chats, Löschung aller Chats sowie vollständige Kontolöschung. Erteilte Einwilligungen (insbesondere zu Art. 9 DSGVO und zu Marketing-Kommunikation) können Sie dort ebenfalls jederzeit widerrufen.

Zuständige Aufsichtsbehörde (Deutschland): Berliner Beauftragte für Datenschutz und Informationsfreiheit oder die Behörde am Sitz des Verantwortlichen.

9. Datenpannen

Im Fall einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich ein hohes Risiko für Ihre Rechte und Freiheiten zur Folge hat, werden wir Sie gemäß Art. 34 DSGVO unverzüglich benachrichtigen. Die Meldung an die zuständige Aufsichtsbehörde erfolgt gem. Art. 33 DSGVO innerhalb von 72 Stunden nach Bekanntwerden.

Meldewege für Nutzer:innen: Sollten Sie selbst eine Sicherheitslücke oder eine mögliche Datenpanne bemerken, können Sie sich jederzeit vertraulich an datenschutz@denkmodell.de wenden. Wir bearbeiten solche Hinweise prioritär und melden uns innerhalb von 72 Stunden mit einer ersten Einschätzung zurück.

10. Cookies & lokaler Speicher

Der denkmodell Companion verwendet keine Tracking- oder Werbe-Cookies. Das Firebase SDK nutzt localStorage und IndexedDB ausschließlich zur Verwaltung der Authentifizierungs-Session (Firebase Auth-Token). Diese Speicherung ist technisch zwingend erforderlich, um den von Ihnen angeforderten Dienst (Login-Session) bereitzustellen, und bedarf daher gemäß § 25 Abs. 2 Nr. 2 TTDSG keiner gesonderten Einwilligung. Diese Daten werden gelöscht, wenn Sie sich abmelden oder den Browser-Cache leeren.

11. Automatisierte Entscheidungsfindung und Profiling

Der denkmodell Companion trifft keine automatisierten Entscheidungen, die rechtliche Wirkung entfalten oder Nutzer:innen in ähnlich erheblicher Weise beeinträchtigen (Art. 22 DSGVO). Das KI-Modell generiert Antwortvorschläge auf Basis des eingegebenen Kontexts; die inhaltliche Verantwortung verbleibt stets bei der Nutzerin bzw. dem Nutzer. Eine systematische Profilbildung zu Marketingzwecken findet nicht statt. Technische Rate-Limits (Token-Budgets) werden automatisch durchgesetzt, stellen jedoch keine Entscheidung im Sinne von Art. 22 DSGVO dar.

12. Minderjährige

Der Dienst richtet sich an Unternehmen und deren Mitarbeiterinnen und Mitarbeiter. Er ist nicht für Personen unter 18 Jahren bestimmt. Wir erheben wissentlich keine Daten von Minderjährigen.

13. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei technischen oder rechtlichen Änderungen zu aktualisieren. Die jeweils aktuelle Version ist in der App und auf unserer Website abrufbar. Wesentliche Änderungen teilen wir per E-Mail mit.

14. Kontakt

Bei Fragen zum Datenschutz wenden Sie sich an:

denkmodell GmbH
Pfuelstraße 5
10997 Berlin
datenschutz@denkmodell.de