Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Narveno
Inhaber: Thomas Iovine
c/o flexdienst – #20454
Kurt-Schumacher-Straße 76
67663 Kaiserslautern
Deutschland
E-Mail: privacy@memexa.ai

Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (§ 38 BDSG, Art. 37 DSGVO) nicht vorliegen. Datenschutzanfragen beantworten wir unter privacy@memexa.ai.

2. Grundsatz: Deine Daten gehören dir

Memexa ist ein gehostetes, modell-neutrales Gedächtnis für deine KI. Deine Notizen, Dokumente, E-Mails und das daraus entstehende Wissensnetz werden ausschließlich verarbeitet, um dir den Dienst bereitzustellen. Wir trainieren keine KI-Modelle mit deinen Inhalten, werten sie nicht für Werbung aus und geben sie nicht zu Werbe- oder Trainingszwecken an Dritte weiter. Eingesetzte KI-Dienste (siehe Abschnitt 9) verarbeiten Inhalte nur zur Erfüllung der jeweiligen Funktion (Texterkennung, Embeddings, Antwortgenerierung, Relevanz-Sortierung) und nicht zum Modelltraining.

Deine Inhalte (Speicherung, Suche, Graph, Dokumentverarbeitung) werden auf EU-Infrastruktur europäischer Anbieter verarbeitet. Welche KI-App sie liest, entscheidest du (Abschnitt 8).

3. Welche Daten wir verarbeiten

• Kontodaten: E-Mail-Adresse und Anmelde-/Session-Informationen (Anmeldung per E-Mail-Code, keine Passwörter).
• Inhaltsdaten: die von dir erstellten Notizen, hochgeladenen Dokumente, an dein Gedächtnis weitergeleiteten E-Mails samt Anhängen, die daraus extrahierten Texte, Embeddings und Verknüpfungen.
• Nutzungs- und Abrechnungsdaten: verbrauchte Seiten/Volumen zur Limit-Berechnung sowie (bei kostenpflichtigen Plänen) Bestell- und Abo-Status über unseren Zahlungsdienstleister Creem (Abschnitt 10). Wir speichern keine vollständigen Zahlungsdaten.
• Technische Daten: Server-Logs (IP-Adresse, Zeitpunkt, Endpunkt) zur Sicherstellung von Betrieb und Sicherheit. Tritt ein Fehler auf, verarbeiten wir Diagnosedaten (Fehlertyp, Meldung, Stacktrace) über einen selbst gehosteten Fehler-Reporting-Dienst auf unserer eigenen EU-Infrastruktur, ohne Notizinhalte und ohne IP-Adresse; personenbezogene Daten werden vor dem Versand entfernt. Zur Qualitätssicherung der KI-Funktionen betreiben wir außerdem eine selbst gehostete Auswertungsinstanz auf eigener EU-Infrastruktur; auch hier findet keine Weitergabe an Dritte statt.

4. Zwecke und Rechtsgrundlagen

Die Verarbeitung erfolgt zur Erfüllung des Nutzungsvertrags (Art. 6 Abs. 1 lit. b DSGVO), zur Erfüllung rechtlicher Pflichten (Art. 6 Abs. 1 lit. c DSGVO, z. B. Aufbewahrung von Abrechnungsunterlagen) sowie auf Grundlage unseres berechtigten Interesses an einem sicheren, funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO, etwa Server-Logs und Missbrauchsabwehr). Eine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) holen wir ein, wo sie erforderlich ist; du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen.

5. Cookies

Memexa setzt ausschließlich technisch notwendige Cookies (Session-Login). Details in der Cookie-Richtlinie. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO. Die Besucherstatistik dieser Website kommt ohne Cookies aus (Abschnitt 5a).

5a. Besucherstatistik dieser Website (Plausible)

Auf dieser Website (memexa.ai) zählen wir Besuche mit Plausible Analytics. Anbieter ist die Plausible Insights OÜ, Tallinn, Estland; die Daten werden in der EU verarbeitet. Plausible arbeitet für uns als Auftragsverarbeiter (Art. 28 DSGVO). Das gilt nur für diese Marketing-Website: In der Memexa-App (brain.memexa.ai) und im Web Clipper gibt es keine Besucherstatistik.

Zweck: Wir wollen wissen, welche Seiten gelesen werden und woher Besucher kommen, um die Website zu verbessern. Erfasst werden die aufgerufene Seite, die verweisende Seite (Referrer), das Land sowie grob Gerätetyp, Browser und Betriebssystem. Daraus entsteht eine zusammengefasste Statistik; Profile einzelner Personen bildet Plausible nicht.

Ohne Cookies, ohne gespeicherte IP-Adresse: Plausible setzt keine Cookies und speichert nichts auf deinem Gerät. IP-Adressen werden nicht gespeichert. Um Besuche zu zählen, verwendet Plausible einen Hashwert, der täglich wechselt; so wirst du über Tage hinweg nicht wiedererkannt. Das Skript und die Messdaten laufen über unsere eigene Domain (memexa.ai/js/…), dein Browser lädt also nichts direkt von einem Drittanbieter.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine datensparsame Reichweitenmessung, um die Website zu verbessern. § 25 Abs. 1 TDDDG greift nicht, weil auf deinem Endgerät nichts gespeichert wird; eine Einwilligung holen wir deshalb nicht ein.

Widerspruch: Du kannst der Verarbeitung jederzeit widersprechen (Art. 21 DSGVO), formlos an privacy@memexa.ai. Weil wir dich nicht wiedererkennen, kannst du die Zählung außerdem selbst verhindern, indem du Skripte von memexa.ai/js/ in deinem Browser blockierst, etwa mit einem Inhaltsblocker.

6. E-Mail-Capture: an dein Gedächtnis weitergeleitete E-Mails

Du kannst E-Mails an eine persönliche Capture-Adresse deines Kontos weiterleiten. Diese E-Mails samt Anhängen werden angenommen, verarbeitet und als Inhalte in deinem Gedächtnis gespeichert; zusammengehörige Nachrichten werden zu Konversationen zusammengeführt.

Dabei verarbeiten wir zwangsläufig auch personenbezogene Daten Dritter, etwa Name, E-Mail-Adresse und Nachrichteninhalte der Absender und weiterer Beteiligter des E-Mail-Verlaufs. Diese Verarbeitung erfolgt ausschließlich in deinem Auftrag und für deine private Wissensablage; die Inhalte sind nur für dich zugänglich. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (dir gegenüber) und Art. 6 Abs. 1 lit. f DSGVO (im Hinblick auf Dritte; unser und dein berechtigtes Interesse an der von dir veranlassten Ablage deiner Korrespondenz). Du bist dafür verantwortlich, nur E-Mails einzuspeisen, die du rechtmäßig erhalten hast und ablegen darfst. Löschst du eine Konversation oder dein Konto, werden die zugehörigen Daten gelöscht (Abschnitt 11).

Für die Annahme eingehender E-Mails setzen wir einen europäischen E-Mail-Dienstleister (EU, Frankreich) als Auftragsverarbeiter ein (Abschnitt 9).

7. E-Mails von uns an dich

Wir senden dir transaktionale E-Mails (Login-Codes, „Dokument verarbeitet“, Abrechnungsbelege) sowie (sofern aktiviert) zusammenfassende Digest-Benachrichtigungen zu deinem Gedächtnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Digest-Benachrichtigungen kannst du jederzeit in den Einstellungen abbestellen. Werbe-Newsletter versenden wir nur mit deiner Einwilligung.

Kündigungs- und Widerrufsformular: Über „Verträge hier kündigen“ (/kuendigen) und „Vertrag widerrufen“ (/widerruf) kannst du ohne Konto eine Kündigung oder einen Widerruf erklären. Wir verarbeiten dabei deinen Namen, die angegebene E-Mail-Adresse, optional die Vertrags- oder Bestellnummer, bei einer Kündigung deren Art, den Kündigungsgrund und den gewünschten Zeitpunkt, bei einem Widerruf den betroffenen Vertrag, optional das Datum des Vertragsschlusses und deine Mitteilung, außerdem den Eingangszeitpunkt und die Sprache. Zweck: Bearbeitung und Ausführung deiner Erklärung, die gesetzlich vorgeschriebene Eingangsbestätigung per E-Mail und der Nachweis des Zugangs. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und c DSGVO i. V. m. §§ 312k, 356a BGB. Bei einer Kündigung senden wir an die E-Mail-Adresse des zugehörigen Kontos einen Bestätigungslink, damit niemand fremde Verträge kündigt; von diesem Link speichern wir nur einen Hashwert. Empfänger sind unser E-Mail-Versanddienst Scaleway Transactional Email (Scaleway SAS, Paris, Frankreich; Abschnitt 9) und (zur Ausführung der Kündigung oder einer Erstattung) Creem (Abschnitt 10). Deine IP-Adresse verarbeiten wir nur flüchtig im Arbeitsspeicher, um Missbrauch zu begrenzen (höchstens eine Stunde), und speichern sie nicht. Ein Konto brauchst du dafür nicht. Die Erklärungen bewahren wir drei Jahre ab Eingang auf (regelmäßige Verjährungsfrist, § 195 BGB, zum Nachweis); danach löschen wir Name, E-Mail-Adresse, Freitexte und Nummern und behalten nur einen pseudonymen Hashwert der E-Mail-Adresse, den Eingangszeitpunkt, die Art der Erklärung und den Bearbeitungsstand (bei Kündigungen die betroffene Abo-Kennung bei Creem).

8. MCP-Zugriff durch deine KI-Apps

Du verbindest deine eigenen KI-Apps (KI-Clients wie Claude, ChatGPT oder lokale Modelle) über das Model-Context-Protocol (MCP) mit deinem Memexa-Konto. Der Zugriff erfolgt über ein pro Konto ausgestelltes OAuth-Token; eine KI-App liest und schreibt ausschließlich in dein eigenes Gedächtnis.

Wichtig: Ruft deine KI-App Inhalte ab, überträgt sie diese an den Anbieter des von dir gewählten Modells, je nach Anbieter auch außerhalb der EU. Was dieser Anbieter mit den Inhalten tut, richtet sich nach dessen Datenschutzerklärung und liegt außerhalb unseres Einflussbereichs. Die Wahl der KI-App ist deine Entscheidung; unser eigener Verarbeitungsbereich (Speicherung, Suche, Graph, Dokumentverarbeitung) bleibt davon unberührt in der EU.

Die Ask-/Chat-Funktion in der Web-Oberfläche nutzt das KI-Modell eines europäischen Anbieters (EU, Frankreich; Abschnitt 9): Deine Frage, relevante Auszüge aus deinen Inhalten und deine Profilangaben werden als Kontext an das Modell übergeben, um die Antwort zu erzeugen. Du interagierst dort also mit einem KI-System; Antworten können Fehler enthalten und sind keine verbindliche Auskunft.

8a. Browser-Erweiterung „Memexa Web Clipper“

Der Memexa Web Clipper ist eine optionale Erweiterung für Google Chrome. Ihr einziger Zweck ist es, Webseiten, Textauswahlen, Bilder und Videos, die du auswählst, in dein eigenes Memexa-Konto zu speichern und deinem Gedächtnis aus dem Browser heraus Fragen zu stellen. Sie funktioniert nur mit einem Memexa-Konto.

Was die Erweiterung verarbeitet, und wann:

• Aktuelle Seite (beim Öffnen der Erweiterung): Klickst du auf das Memexa-Symbol, liest die Erweiterung Adresse, Titel, deine Textauswahl und den Inhalt (HTML) des aktiven Tabs, um dir eine Vorschau anzuzeigen. Das geschieht lokal in deinem Browser; dabei wird noch nichts übertragen.
• Seite oder Auswahl speichern (nur bei Klick auf „Save to Memexa“ oder „Save selection“): Seitenadresse, Titel und entweder der Seiteninhalt (HTML, bis etwa 500.000 Zeichen) oder der markierte Text werden an Memexa übertragen. Unser Server extrahiert daraus den lesbaren Text und legt ihn als Dokument in deinem Gedächtnis ab.
• Video speichern (nur bei Klick auf „Save video“): Übertragen wird nur die Adresse des Videos. Unsere Server rufen das Video anschließend bei der Plattform ab und erstellen ein Transkript (KI-Dienste, Abschnitt 9).
• Bild speichern (nur per Rechtsklick „Save image to Memexa“): Die Erweiterung liest das angeklickte Bild aus der Seite und lädt es mit Dateiname und Dateityp über einen von Memexa ausgestellten, zeitlich begrenzten Upload-Link in unseren Objektspeicher in der EU hoch.
• Fragen (nur wenn du eine absendest): Die eingegebene Frage wird an Memexa übertragen und wie bei der Ask-/Chat-Funktion in Abschnitt 8 beschrieben beantwortet.
• Anmeldedaten (nur in deinem Browser gespeichert): Die Erweiterung meldet sich in einem Memexa-Anmeldefenster per OAuth 2.1 mit PKCE an deinem Memexa-Konto an. Die dabei ausgestellten Zugriffs- und Erneuerungs-Tokens, die Client-Registrierung der Erweiterung und deine Arbeitsbereich-Auswahl werden im lokalen Speicher der Erweiterung (chrome.storage.local) abgelegt. Auf dein Google-Konto greift die Erweiterung nicht zu.

Die Erweiterung zeichnet keinen Browserverlauf auf, hat keine Skripte, die von selbst auf Webseiten laufen, und enthält keinen Analyse-, Tracking- oder Werbecode. Sie kommuniziert ausschließlich per HTTPS mit Memexa (brain.memexa.ai) und, für Bild-Uploads, mit unserem Objektspeicher in der EU (Frankreich).

Zweck und Rechtsgrundlage: Die Daten werden ausschließlich verarbeitet, um die von dir ausgelöste Funktion zu erbringen: den Inhalt in dein Memexa-Konto zu speichern, ihn dort zu verarbeiten (Abschnitte 3 und 9) und deine Fragen zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gespeicherte Inhalte werden wie alle anderen Inhalte deines Gedächtnisses auf EU-Infrastruktur verarbeitet.

Kein Verkauf, keine Werbung: Wir verkaufen Daten aus der Erweiterung nicht und geben sie nicht an Dritte weiter, außer an die in Abschnitt 9 genannten Auftragsverarbeiter, soweit das für die Funktion nötig ist, oder wenn das Gesetz es verlangt. Wir nutzen sie nicht für Werbung (auch nicht für personalisierte Werbung), nicht zur Bewertung der Kreditwürdigkeit oder für Kreditzwecke und nicht zum Training von KI-Modellen. Die Nutzung und Weitergabe von Informationen, die wir über die Erweiterung erhalten, entspricht der Chrome Web Store User Data Policy einschließlich der Limited-Use-Anforderungen.

Speicherdauer und Löschung: Gespeicherte Seiten, Bilder, Videos und die daraus entstandenen Notizen bleiben in deinem Gedächtnis, bis du sie oder dein Konto löschst (Abschnitt 11). „Disconnect“ in der Erweiterung widerruft ihren Zugriff bei Memexa und entfernt die Tokens aus deinem Browser; beim Entfernen der Erweiterung (chrome://extensions → „Entfernen“) werden alle lokal gespeicherten Daten gelöscht.

Fragen zur Erweiterung: privacy@memexa.ai.

9. Auftragsverarbeiter und Sub-Prozessoren

Wir setzen sorgfältig ausgewählte Dienstleister mit Verträgen zur Auftragsverarbeitung (Art. 28 DSGVO) ein und hosten und verarbeiten vorrangig in der EU bei europäischen Anbietern. Die folgende Übersicht nennt die Kategorien der Empfänger (Art. 13 Abs. 1 lit. e DSGVO). Soweit ein Dienstleister oder dessen Subunternehmer Daten außerhalb der EU verarbeitet (z. B. Edge-/Log-Daten unseres CDN-Anbieters oder Subunternehmer unseres Zahlungsdienstleisters), ist dies durch geeignete Garantien nach Kapitel V DSGVO abgesichert, insbesondere durch Standardvertragsklauseln (SCC).

Eine namentliche Liste der aktuell eingesetzten Auftragsverarbeiter stellen wir dir auf Anfrage unter privacy@memexa.ai zur Verfügung.

10. Zahlungsabwicklung über Creem

Kostenpflichtige Pläne werden über Creem als Merchant of Record abgewickelt. Anbieter ist die Armitage Labs OÜ, Rotermanni tn 14, 10111 Tallinn, Estland (Registercode 16977866). Creem tritt beim Kauf als dein Vertragspartner für die Zahlung auf, verarbeitet deine Zahlungsdaten in eigener datenschutzrechtlicher Verantwortung und stellt die Rechnung. Creem setzt Unterauftragsverarbeiter auch in den USA ein; diese Übermittlungen sind durch EU-Standardvertragsklauseln (SCC) abgesichert. Details und die aktuelle Liste unter creem.io/dpa. Wir erhalten von Creem keine vollständigen Zahlungsdaten, sondern nur die für die Freischaltung nötigen Bestell- und Abo-Statusinformationen. Es gilt ergänzend die Datenschutzerklärung von Creem.

11. Speicherdauer

Inhalts- und Kontodaten speichern wir, solange dein Konto besteht. Nach Löschung deines Kontos werden deine Inhalte gelöscht; gesetzliche Aufbewahrungsfristen (z. B. für Abrechnungsunterlagen, § 147 AO, § 257 HGB) bleiben unberührt. Einzelne Notizen, Dokumente und E-Mail-Konversationen kannst du jederzeit selbst löschen. Du kannst alle Inhalte und Kontodaten jederzeit selbst als ZIP-Archiv (Markdown und JSON) exportieren („Einstellungen“ → „Export“). Das deckt auch dein Recht auf Datenübertragbarkeit (Art. 20 DSGVO) ab.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Wende dich dazu an privacy@memexa.ai.

Zudem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz, Hintere Bleiche 34, 55116 Mainz.

13. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen nach Art. 32 DSGVO ein, u. a. Transportverschlüsselung (TLS), mandantengetrennte Datenhaltung mit Zugriffskontrollen auf Datenbankebene (Row-Level-Security), ein pro Konto ausgestelltes Token-Modell für den MCP-Zugriff, signaturgeprüfte Webhooks für die Zahlungsabwicklung sowie Zugriffsschlüssel nach dem Least-Privilege-Prinzip (Automatisierungen erhalten nur eng begrenzte Tokens; zentrale Schlüssel liegen in einem gemanagten Secret-Speicher).

14. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt jeweils die hier veröffentlichte Fassung. Über wesentliche Änderungen (etwa neue Sub-Prozessoren für Inhaltsdaten) informieren wir dich per E-Mail oder in der Web-Oberfläche.