Datenschutzerklärung

Stand: August 2026

English version · Übersetzung, maßgeblich ist diese deutsche Fassung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Philip Müller
Bandelstraße 5, 10559 Berlin
E-Mail: info@agile-forge.com

Philip Müller ist Kleinunternehmer gem. § 19 UStG.

2. Zwei Rollen: Verantwortlicher und Auftragsverarbeiter

Bei deinen Account- und Abo-Daten (Name, E-Mail, Abo-Status, Zahlungsvorgänge) sind wir eigener Verantwortlicher – diese Datenschutzerklärung regelt diese Kategorie vollständig.

Bei deinen Projektinhalten (Entscheidungen, Risiken, Stakeholder-Angaben, Anforderungen, Änderungsanträge und sonstige Freitexteingaben in der Projektakte) bist du bzw. deine Organisation die verantwortliche Stelle, wir agieren als Auftragsverarbeiter gem. Art. 28 DSGVO. Das gilt insbesondere, wenn du personenbezogene Daten Dritter einträgst (z.B. Namen oder Kontaktdaten von Stakeholdern oder Teammitgliedern) – für die Rechtmäßigkeit dieser Eingaben (etwa Informationspflichten gegenüber den betroffenen Dritten) bist du selbst verantwortlich.

3. Welche Daten wir verarbeiten

Beim Besuch und der Nutzung von Anvio (app.agile-forge.com) verarbeiten wir folgende personenbezogene Daten:

Beim Erstellen eines Kontos: Name, E-Mail-Adresse, gewähltes Passwort (verschlüsselt)
Bei der Nutzung der Tools: Eingaben, die du in den Tools machst (z.B. Teamgröße, Methodik, Beschreibungen). Diese werden zur KI-gestützten Ausgabe-Generierung an Anthropic übermittelt.
Beim Kauf eines Abonnements: Zahlungsdaten (Kreditkarte, SEPA), Rechnungsadresse. Diese werden direkt von Stripe verarbeitet – wir erhalten und speichern keine vollständigen Zahlungsdaten.
Technische Daten: IP-Adresse, Browser-Typ, Gerät, aufgerufene Seiten, Verweildauer (über Vercel Analytics – cookielos und ohne geräteübergreifende Wiedererkennung, aber nur nach deiner Statistik-Einwilligung).

Name, E-Mail-Adresse und – beim Abschluss eines Abonnements – Zahlungsdaten sind für den Vertragsschluss erforderlich. Ohne sie können wir kein Konto und kein Abonnement bereitstellen. Alle übrigen Angaben, insbesondere die Inhalte deiner Projektakte, sind freiwillig.

4. Zweck der Verarbeitung

Wir verarbeiten deine Daten zur:

Bereitstellung und Verbesserung von Anvio
Authentifizierung und Kontoverwaltung
Abwicklung von Zahlungen und Abonnements
Verwaltung der Warteliste und Vergabe von Beta-Zugängen, inkl. Benachrichtigung bei Freischaltung
Analyse der Nutzung zur Produktverbesserung (anonymisiert)
Erfüllung rechtlicher Pflichten

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. vorvertragliche Maßnahmen auf deine Anfrage hin für die Warteliste, Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO) für steuer- und handelsrechtliche Aufbewahrung, Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für Analytics und alle Cookies, die nicht technisch notwendig sind, sowie berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für den technischen Betrieb und die Abwehr von Missbrauch (z.B. Server-Logs).

5. Speicherdauer

Kontodaten werden gespeichert, solange dein Konto aktiv ist. Über den Button „Daten löschen" in den Kontoeinstellungen kannst du deine Daten jederzeit selbst löschen; bei vollständiger Kontolöschung greift eine Löschkaskade, die deine Daten aus allen eingesetzten Systemen entfernt (Projektakte, Verlauf, Integrationsverbindungen, Eingang, Präferenzen), soweit keine gesetzlichen Aufbewahrungspflichten bestehen (z.B. Rechnungen: 10 Jahre).

Server-Logs: Beim Aufruf unserer Anwendung fallen bei unserem Hoster technische Protokolldaten an (IP-Adresse, Zeitpunkt, aufgerufener Pfad, Statuscode). Sie dienen dem Betrieb, der Fehlersuche und der Abwehr von Angriffen (Art. 6 Abs. 1 lit. f DSGVO) und werden nach einem Tag automatisch gelöscht. In unseren eigenen Anwendungsprotokollen verwenden wir keine Klarnamen oder E-Mail-Adressen, sondern ausschließlich pseudonyme Kennungen. Diese Protokolle sind technisch bedingt nicht Teil der Löschkaskade; wegen der kurzen Aufbewahrungsdauer entfallen sie ohnehin innerhalb eines Tages.

Eingang: E-Mails, die du an deine persönliche Anvio-Eingangsadresse weiterleitest, liegen bis zu 30 Tage in einer Warteschlange, bis du sie bestätigst oder verwirfst; danach werden sie automatisch gelöscht. Sie können Angaben zu Dritten enthalten (z.B. Absender oder im Text genannte Personen). Grundlage ist unser berechtigtes Interesse an der Projektdokumentation (Art. 6 Abs. 1 lit. f DSGVO); übernommen wird ein Inhalt erst, wenn du dies ausdrücklich bestätigst.

Warteliste: Deine E-Mail-Adresse bleibt gespeichert, bis du freigeschaltet wirst oder dich austrägst, längstens jedoch bis zum Ende der Beta-Phase. Eine Austragung ist jederzeit formlos an info@agile-forge.com möglich.

Keine automatisierte Entscheidungsfindung: Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. KI-generierte Ausgaben sind Vorschläge und Arbeitshilfen; in deine Projektakte gelangt ein Inhalt ausschließlich dann, wenn du ihn ausdrücklich bestätigst.

6. Weitergabe an Dritte – Auftragsverarbeiter

Zur Erbringung unseres Dienstes setzen wir folgende Drittanbieter ein. Der jeweilige AVV-Status ist direkt bei jedem Anbieter vermerkt:

Anthropic PBC – KI-Verarbeitung (AVV abgeschlossen)

Verarbeitung von Tool-Eingaben zur Ausgabe-Generierung. Sitz: USA. Transfer: Standard Contractual Clauses (SCC) gemäß Art. 46 Abs. 2 lit. c DSGVO. Anthropic speichert Eingaben bis zu 30 Tage zu Sicherheitszwecken. Nach den derzeit geltenden Commercial Terms verwendet Anthropic diese Eingaben nicht zum Training seiner KI-Modelle; diese Zusicherung beruht auf der vertraglichen Vereinbarung und wird von uns nicht technisch erzwungen. anthropic.com/privacy

Vercel Inc. – Hosting, Infrastruktur & Analytics (AVV abgeschlossen)

Hosting und Performance-Analyse über Vercel Analytics & Speed Insights (cookielos, ohne geräteübergreifende Wiedererkennung; werden dennoch erst nach deiner Statistik-Einwilligung geladen). Sitz: USA. Region der Anwendung: Frankfurt (EU, fra1). Transfer: SCC. vercel.com/legal/privacy-policy

Clerk Inc. – Authentifizierung & Nutzerverwaltung (AVV abgeschlossen)

Sitz: USA. Transfer: SCC. clerk.com/privacy

Stripe Inc. – Zahlungsabwicklung (AVV abgeschlossen)

Sitz: USA. Transfer: SCC. stripe.com/privacy

Upstash Inc. – Datenhaltung (Verlauf, Sitzungen, Einstellungen) (AVV abgeschlossen)

Speicherung von Tool-Verlauf, Projektprofil, Sitzungsdaten (z.B. Planning Poker) und Einstellungen. Sitz: USA. Region der Datenhaltung: Frankfurt (EU). Transfer: EU-US Data Privacy Framework. upstash.com/trust/privacy.pdf

Neon Inc. – Datenbank für die Projektakte (AVV abgeschlossen)

Speicherung strukturierter Projektakte-Einträge (Entscheidungen, Risiken, Stakeholder, Anforderungen). Region: Frankfurt (EU). neon.com/dpa

Resend – E-Mail-Versand und -Empfang (AVV abgeschlossen)

Versand: Erinnerungs- und Zuruf-E-Mails, die du selbst auslöst. Empfang: E-Mails, die du an deine persönliche Anvio-Eingangsadresse weiterleitest, werden von Resend entgegengenommen und an uns übermittelt. Diese Mails können Angaben zu Dritten enthalten (Absender, im Text genannte Personen); sie liegen anschließend bis zu 30 Tage in unserer Warteschlange, bis du sie bestätigst oder verwirfst (siehe Abschnitt 5). Transfer: EU-US Data Privacy Framework. resend.com/legal/dpa

Pusher – Echtzeit-Kommunikation (AVV abgeschlossen)

Übertragung von Live-Session-Daten für Planning Poker (Teilnehmernamen, Schätzwerte – keine Projektinhalte). pusher.com/legal/data-protection

Slack Technologies – Team-Integration (nur relevant bei aktivierter Integration)

Versand KI-generierter Status-Updates in einen von dir verbundenen Slack-Kanal, eingehende Nachrichten über den /anvio-Slash-Befehl. Sitz: USA. Transfer: SCC. slack.com/terms-of-service/data-processing

Microsoft Corporation (Azure Bot Service) – Teams-Integration (nur relevant bei aktivierter Integration)

Versand KI-generierter Status-Updates und eingehende Nachrichten über einen Microsoft-Teams-Bot. Transfer gemäß Microsoft-Auftragsverarbeitungsvertrag. aka.ms/DPA

Atlassian Corporation (Jira) – Projekt-Integration (nur relevant bei aktivierter Integration)

Import von Jira-Boards/Issues in die Projektakte, Export von Anforderungen und Änderungsanträgen als Jira-Issues. Sitz: USA/Australien. atlassian.com/legal/data-processing-addendum

Google Ireland Ltd. – Google Analytics 4 (AVV abgeschlossen)

Zweck: Reichweitenmessung für die SEO- und Marketingauswertung. Rechtsgrundlage: ausschließlich deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Ohne Einwilligung wird Google Analytics technisch gar nicht erst geladen – es werden weder Cookies gesetzt noch Daten an Google übermittelt. Widerruf: jederzeit über „Cookie-Einstellungen" im Footer; die Messung stoppt sofort, ohne dass du die Seite neu laden musst. Empfänger: Google Ireland Ltd. (Vertragspartner, Irland) sowie Google LLC (USA). Drittlandtransfer: Eine Übermittlung in die USA findet statt. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 (Art. 45 DSGVO). Speicherdauer: Die Aufbewahrung der Nutzer- und Ereignisdaten in Google Analytics ist auf 2 Monate begrenzt. IP-Anonymisierung ist bei GA4 serverseitig standardmäßig aktiv; IP-Adressen werden nicht dauerhaft gespeichert. Gerätübergreifendes Tracking („Google Signals") ist deaktiviert, ebenso die Erfassung von Standortdaten auf Stadt-Ebene und die Datenweitergabe an Google zu eigenen Zwecken. business.safety.google/privacy

Google Ireland Ltd. – Google Ads (AVV abgeschlossen)

Zweck: Messung des Erfolgs unserer Werbeanzeigen und – bei entsprechender Einwilligung – personalisierte Werbung. Unser Analytics-Konto ist mit einem Google-Ads-Konto verknüpft. Rechtsgrundlage: ausschließlich deine Einwilligung in die Kategorie „Marketing" (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Diese Einwilligung ist von der Statistik-Einwilligung getrennt: Wer nur „Statistik" erlaubt, für den werden keine Werbe-Signale übermittelt. Umsetzung: Wir setzen den Google Consent Mode v2 ein. Ohne Marketing-Einwilligung bleiben die Signale ad_storage, ad_user_data und ad_personalization dauerhaft auf „denied"; ohne jede Einwilligung wird überhaupt kein Google-Skript geladen. Widerruf: jederzeit über „Cookie-Einstellungen" im Footer, einzeln je Kategorie. Drittlandtransfer: Google LLC (USA), gestützt auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO). business.safety.google/privacy

7. Deine Rechte

Du hast das Recht auf:

Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung deiner Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO). Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.
Beschwerde bei einer Aufsichtsbehörde – zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit

Hinweis auf dein Widerspruchsrecht: Soweit wir Daten auf Grundlage eines berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO – bei uns die Server-Logs und die Warteschlange des Eingangs), kannst du dieser Verarbeitung aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen. Eine Nachricht an info@agile-forge.com genügt; eine Form ist nicht vorgeschrieben.

Einen Großteil deiner Daten kannst du jederzeit selbst abrufen: In den Einstellungen findest du unter „Daten exportieren" einen vollständigen Download deiner Projektakte, deines Verlaufs, deiner offenen Punkte und deiner Stammdaten (Art. 15 und Art. 20 DSGVO).

Für alle weiteren Anfragen zu deinen Rechten wende dich an: info@agile-forge.com. Wir beantworten Anfragen innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO).

8. Cookies

Wir unterscheiden drei Kategorien:

Notwendig – immer aktiv, ohne Einwilligung zulässig (§ 25 Abs. 2 TDDDG): Session-Cookie für den Login via Clerk, deine Spracheinstellung, die Speicherung deiner Cookie-Entscheidung selbst sowie angefangene Tool-Eingaben, damit ein unterbrochener Dialog fortgesetzt werden kann. Diese Entwürfe liegen ausschließlich lokal in deinem Browser, werden nicht an uns übertragen und nach 24 Stunden automatisch verworfen.
Statistik – nur nach deiner Einwilligung: Google Analytics 4 sowie Vercel Analytics und Speed Insights zur Reichweiten- und Performance-Messung.
Marketing – nur nach deiner Einwilligung: Messung des Werbeerfolgs und personalisierte Anzeigen über die Verknüpfung mit Google Ads.

Beim ersten Besuch zeigen wir dir ein Cookie-Banner, in dem du „Statistik" und „Marketing" einzeln an- oder abwählen kannst. Eine Zustimmung zur einen Kategorie ist keine Zustimmung zur anderen. Du kannst deine Wahl jederzeit über den Link „Cookie-Einstellungen" im Footer ändern oder vollständig widerrufen; deine bisherige Auswahl ist dort vorbelegt, damit du einzelne Zwecke zurücknehmen kannst, ohne die übrigen zu verlieren.

Lehnst du beide Kategorien ab, wird kein Google-Skript geladen – es entsteht in diesem Fall keinerlei Verbindung zu Google. Erlaubst du nur „Statistik", übermitteln wir über den Google Consent Mode v2 ausdrücklich, dass keine Werbe-Einwilligung vorliegt. Ein Widerruf wirkt sofort, ohne dass du die Seite neu laden musst.

9. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf zu aktualisieren. Die aktuelle Version ist stets unter app.agile-forge.com/datenschutz abrufbar.