Privacy policy

Verantwortlicher

Verantwortlicher nach Art. 4 Nr. 7 DSGVO für die auf diesen Seiten und im Studio verarbeiteten Daten ist:

Vitaly Litvinchuk

Grandkuhle 10D

30823 Garbsen

Deutschland

E-Mail: info@asksteps.co

Kontakt

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter datenschutz@asksteps.co oder postalisch unter der oben genannten Anschrift.

Ein Datenschutzbeauftragter ist nicht benannt. Die Voraussetzungen dafür liegen nicht vor: Es sind nicht ständig mindestens 20 Personen mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt (§ 38 Abs. 1 BDSG), und die Kerntätigkeit erfordert weder eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen noch eine umfangreiche Verarbeitung besonderer Datenkategorien (Art. 37 Abs. 1 DSGVO).

Unsere Rolle — und wann wir nicht Ihr Ansprechpartner sind

asksteps wird in zwei unterschiedlichen Rollen tätig. Welche davon greift, entscheidet darüber, an wen Sie sich mit Ihren Rechten wenden.

Als Verantwortlicher verarbeiten wir die Daten unserer eigenen Kunden: Registrierung, Anmeldung, Nutzung des Studios, Abrechnung, Schriftwechsel und die Reichweitenmessung auf diesen Seiten. Für diese Verarbeitungen gilt die vorliegende Erklärung.

Als Auftragsverarbeiter nach Art. 28 DSGVO verarbeiten wir die Daten, die unsere Kunden über die von ihnen erstellten Formulare und Funnels erheben — etwa Angaben von Bewerbern, Interessenten oder Anfragenden. Über Zwecke und Mittel dieser Verarbeitung entscheidet allein der jeweilige Kunde; wir handeln ausschließlich auf seine dokumentierte Weisung und nutzen diese Daten zu keinem eigenen Zweck.

Haben Sie ein Formular ausgefüllt, das mit asksteps erstellt wurde, ist deshalb nicht asksteps Ihr Ansprechpartner, sondern der Betreiber der Website, auf der das Formular eingebunden war. Seine Kontaktdaten finden Sie in dessen Impressum und Datenschutzerklärung.

Erreicht uns dennoch eine solche Anfrage, leiten wir sie unverzüglich an den betreffenden Kunden weiter oder verweisen Sie an ihn. Eigene Auskünfte über diese Daten dürfen wir Ihnen nicht erteilen — das wäre eine Verarbeitung ohne Weisung.

Eine Zwischenstellung gibt es bei Formularen, die ein Kunde unter einer Adresse auf unserer Domain veröffentlicht hat: Für den Rahmen einer solchen Seite sind wir der Anbieter, für das Formular darin der Kunde. Was das im Einzelnen bedeutet, steht im Abschnitt „Formularseiten auf unseren Adressen". Auf einer eigenen Domain des Kunden gilt diese Zwischenstellung nicht — dort ist er auch der Anbieter der Seite, und diese Erklärung wird dort nicht angezeigt.

Welche Pflichten uns in der Rolle des Auftragsverarbeiters treffen, steht vollständig im Vertrag zur Auftragsverarbeitung unter „Vertrag zur Auftragsverarbeitung". Dort stehen auch die eingesetzten Unterauftragnehmer und die technischen und organisatorischen Maßnahmen.

Zwecke und Rechtsgrundlagen

Konto und Anmeldung: Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, Ihr Passwort — ausschließlich als nicht rückrechenbaren Hashwert — und, soweit Sie sie angeben, Vor- und Nachname. Die E-Mail-Adresse bestätigen Sie über einen Link, den wir Ihnen zusenden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Passwort zurücksetzen: Fordern Sie einen Link zum Zurücksetzen Ihres Passworts an, speichern wir die E-Mail-Adresse, an die er gegangen ist, einen nicht rückrechenbaren Hashwert des Links, dessen Ablaufzeitpunkt sowie Zeitpunkt und Anzahl der Anforderungen. Die Adresse steht dort ein zweites Mal, damit ein späterer Wechsel Ihrer E-Mail-Adresse einen noch offenen Link entwertet; die Zählung begrenzt, wie oft ein solcher Link in einem Zeitraum angefordert werden kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Begrenzung Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Abwehr von Missbrauch.

Zwei-Faktor-Anmeldung: Diese Möglichkeit ist vorbereitet und zum Stand dieser Erklärung nicht freigegeben. Ist sie freigegeben und richten Sie sie ein, verarbeiten wir das Geheimnis Ihrer Authentifizierungs-App — verschlüsselt gespeichert —, den Zeitpunkt der Einrichtung, den zuletzt eingelösten Zeitschritt, damit derselbe Code nicht zweimal gilt, sowie Wiederherstellungscodes, die wir ausschließlich als nicht rückrechenbaren Hashwert speichern. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 32 DSGVO; das berechtigte Interesse ist die Sicherheit Ihres Kontos.

Einladungen in ein Team: Lädt ein Kunde eine weitere Person in seinen Mandanten ein, verarbeiten wir deren E-Mail-Adresse, die vorgesehene Rolle, eine Einladungskennung sowie Zeitpunkt und Stand der Einladung, um sie zuzustellen und einlösbar zu halten. Diese Adresse stammt nicht von der eingeladenen Person selbst, sondern von dem Kunden, der die Einladung ausspricht — das ist die Angabe zur Herkunft nach Art. 14 Abs. 2 lit. f DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt darin, dass ein Kunde sein Team ohne Umweg zusammenstellen kann. Die eingeladene Person kann der Verarbeitung nach Art. 21 DSGVO widersprechen; wir löschen die Einladung dann.

Nutzung des Studios: Beim Arbeiten mit der Anwendung verarbeiten wir die von Ihnen angelegten Funnels, Formulare, Vorlagen und Einstellungen sowie die Angaben zu Ihrem Mandanten und Ihrem Team. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Abrechnung: Buchen Sie einen kostenpflichtigen Tarif, verarbeiten wir Ihre Rechnungsangaben (Firma, Rechnungs-E-Mail-Adresse, Straße, Postleitzahl, Ort, Land sowie, sofern vorhanden, die Umsatzsteuer-Identifikationsnummer), den Zustand Ihres Abonnements und die Belege. Zahlungsdaten, insbesondere Kartendaten, erheben wir nicht; sie werden unmittelbar bei unserem Zahlungsdienstleister eingegeben. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO und, für die Aufbewahrung der Belege, Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den handels- und steuerrechtlichen Aufbewahrungspflichten.

Kündigungen: Erklären Sie eine Kündigung über die Kündigungsschaltfläche, speichern wir Ihre Angaben zusammen mit dem Zeitpunkt des Eingangs und einer Vorgangsnummer. Das ist der Beleg darüber, dass und wann Ihre Erklärung zugegangen ist. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO sowie unser berechtigtes Interesse an der Beweisbarkeit des Zugangs nach Art. 6 Abs. 1 lit. f DSGVO. Einen Kündigungsgrund speichern wir nicht, auch wenn Sie einen angeben.

Widerrufe: Erklären Sie einen Widerruf über die Schaltfläche „Vertrag widerrufen", speichern wir Ihre Angaben zusammen mit dem Zeitpunkt des Eingangs und einer Vorgangsnummer. Der Eingangszeitpunkt ist dabei die entscheidende Angabe: An ihm hängt, ob die Widerrufsfrist gewahrt wurde. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und lit. c DSGVO sowie unser berechtigtes Interesse an der Beweisbarkeit des Zugangs nach Art. 6 Abs. 1 lit. f DSGVO. Einen Widerrufsgrund fragen wir nicht ab und speichern keinen — ein Widerruf ist ohne Angabe von Gründen möglich.

Schriftwechsel: Wenden Sie sich an uns, verarbeiten wir Ihre Nachricht und die darin enthaltenen Angaben, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag oder dessen Anbahnung betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO.

Serverprotokolle: Bei jedem Abruf unserer Seiten und unserer Schnittstelle verarbeitet der Server technische Verbindungsdaten — IP-Adresse, Zeitpunkt, angefragte Adresse, Statuscode, übertragene Datenmenge sowie Angaben zu Browser und Betriebssystem. Sie sind erforderlich, um die Auslieferung zu ermöglichen, den Betrieb sicherzustellen sowie Angriffe und Missbrauch zu erkennen und abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse liegt in der Sicherheit und Stabilität der Plattform.

Abwehr nicht freigegebener Einbettungen: Ein Formular lässt sich nur auf den Adressen einbinden, die der jeweilige Kunde dafür freigegeben hat. Wird es von einer anderen Adresse aus abgerufen, lehnen wir die Auslieferung ab und halten den Vorgang fest — die aufrufende Herkunftsadresse, die verweisende Seite, die IP-Adresse des Abrufs, die Zahl der Versuche sowie den ersten und den letzten Zeitpunkt. Ohne diese Angaben ließe sich nicht unterscheiden, ob ein Kunde eine eigene Adresse nur vergessen hat oder ob sein Formular planmäßig auf einer fremden Seite betrieben wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist der Schutz unserer Kunden und der Plattform vor missbräuchlicher Einbindung.

Zugang für KI-Agenten: Verbinden Sie Ihr Konto mit einem KI-Client, verarbeiten wir die Angaben, die dieser Zugang erfordert. Einzelheiten stehen im Abschnitt „Zugang für KI-Agenten".

Zugriffe zur Verwaltung und Unterstützung: Greifen wir zu Zwecken der Unterstützung oder der Verwaltung auf ein Kundenkonto zu, wird das protokolliert — mit handelnder Person, Zeitpunkt und Vorgang. Ein Zugriff auf Inhalte von Formularen oder auf einzelne Eingänge ist nur über einen ausdrücklich protokollierten und zeitlich begrenzten Weg möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; das berechtigte Interesse ist die Nachvollziehbarkeit solcher Zugriffe.

Nachweis von Zustimmungen: Zu den Erklärungen, die Sie bei der Registrierung abgeben — der Zustimmung zu den Allgemeinen Geschäftsbedingungen und der Bestätigung des Vertrags zur Auftragsverarbeitung — sowie zu der Erklärung, mit der Sie beim Buchen den vorzeitigen Leistungsbeginn verlangen, speichern wir jeweils die Fassung, den Zeitpunkt der Erklärung und die IP-Adresse, von der sie abgegeben wurde. Ohne diesen Nachweis könnten wir nicht belegen, dass und in welcher Fassung der Vertrag nach Art. 28 DSGVO geschlossen wurde. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 5 Abs. 2 und Art. 28 Abs. 9 DSGVO; ergänzend Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an der Beweisbarkeit der Erklärung.

Diese Speicherung ist seit dem 19. August 2026 eingerichtet; beschrieben war sie vorher. Eine Verarbeitung darf erst beginnen, nachdem sie beschrieben ist — dieselbe Reihenfolge halten wir für die Funktionen mit künstlicher Intelligenz, für die Zwei-Faktor-Anmeldung und für die Anmeldung über ein Konto bei einem anderen Anbieter ein.

Empfänger und Auftragsverarbeiter

Wir setzen Dienstleister ein, die personenbezogene Daten ausschließlich nach unserer Weisung verarbeiten. Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

Hosting: netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Die Server, auf denen asksteps läuft, betreibt dieser Dienstleister innerhalb der Europäischen Union.

Zahlungsabwicklung: Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland. Stripe verarbeitet die Zahlungsdaten teilweise auch in eigener Verantwortung; Einzelheiten dazu sind den Datenschutzhinweisen von Stripe zu entnehmen.

E-Mail-Versand: Brevo GmbH, Köpenicker Straße 126, 10179 Berlin, Deutschland. Über diesen Dienst versenden wir die E-Mails, die der Betrieb erfordert — insbesondere die Bestätigung der E-Mail-Adresse, Hinweise zum Abonnement und Kündigungsbestätigungen.

Reichweitenmessung: Die Analysesoftware Matomo läuft auf unserem eigenen Server; ein Analysedienst eines Dritten wird nicht eingebunden. Einzelheiten stehen im Abschnitt „Cookies und Reichweitenmessung".

Funktionen mit künstlicher Intelligenz, Texte: Requesty Ltd, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich (Vermittlung der Anfragen, Verarbeitung im Rechenzentrum Frankfurt am Main), und der Modellanbieter sference, Vereinigtes Königreich (Ausführung des Modells auf Anlagen in Finnland).

Funktionen mit künstlicher Intelligenz, Spracheingabe: Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich. Über einen eigenen, von der Textkette getrennten Zugang wird dort ausschließlich die Umwandlung einer Sprachaufnahme in Text ausgeführt.

Alle drei verarbeiten ausschließlich Inhalte, die unsere Kunden selbst erstellt, hochgeladen oder eingesprochen haben, speichern sie nicht und nutzen sie nicht zum Training. Einzelheiten stehen im Abschnitt „Funktionen mit künstlicher Intelligenz".

Anmeldung über ein Konto bei einem anderen Anbieter: Wir bereiten die Möglichkeit vor, sich statt mit E-Mail-Adresse und Passwort über ein bestehendes Konto bei Google, Microsoft oder GitHub anzumelden. Zum Stand dieser Erklärung ist diese Möglichkeit nicht eingeschaltet; es werden keine Daten an diese Anbieter übermittelt.

Ist sie eingeschaltet, findet eine Übermittlung nur statt, wenn Sie die entsprechende Schaltfläche betätigen — nicht schon beim Aufruf der Anmeldeseite. Übermittelt und von dort zurückgegeben werden dann die Angaben, die die Anmeldung erfordert: die Kennung Ihres dortigen Kontos, Ihr Name und Ihre E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Anmeldung Teil der von Ihnen gewünschten Vertragsdurchführung ist.

Auf unserer Seite entsteht dabei eine Verknüpfung zwischen Ihrem Konto bei uns und Ihrem Konto beim jeweiligen Anbieter. Gespeichert werden dazu der Name des Anbieters, die dortige Kennung Ihres Kontos, die vom Anbieter gemeldete E-Mail-Adresse sowie die Zeitpunkte der Verknüpfung und der letzten Anmeldung. Die gemeldete Adresse ist eine Momentaufnahme für die Anzeige und kein Entscheidungskriterium; die Verknüpfung besteht, bis Sie sie in Ihrem Konto trennen oder das Konto gelöscht wird.

Diese drei Anbieter sind dabei nicht unsere Auftragsverarbeiter, sondern eigene Verantwortliche: Sie entscheiden selbst über Zwecke und Mittel dessen, was sie mit den Angaben zu Ihrer Anmeldung tun, und wir können ihnen das nicht vorgeben. Sie stehen deshalb nicht in der Liste der Unterauftragnehmer im Vertrag zur Auftragsverarbeitung. Für ihre eigene Verarbeitung gelten ihre Datenschutzhinweise.

Daten aus den Formularen unserer Kunden erreichen diese Anbieter nicht. Die Anmeldung betrifft ausschließlich Konten in unserem Studio.

Darüber hinaus geben wir personenbezogene Daten nur weiter, wenn wir dazu gesetzlich verpflichtet sind oder Sie eingewilligt haben. Ein Verkauf von Daten und eine Weitergabe zu Werbezwecken finden nicht statt.

Übermittlung in Drittländer

Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums findet grundsätzlich nicht statt. Hosting, E-Mail-Versand und Reichweitenmessung liegen vollständig innerhalb der Europäischen Union.

Eine Ausnahme betrifft die Zahlungsabwicklung: Unser Vertragspartner Stripe Payments Europe, Limited hat seinen Sitz in Irland, kann Daten aber an die Stripe, Inc. in den Vereinigten Staaten von Amerika weitergeben. Grundlage dafür sind der Angemessenheitsbeschluss der Europäischen Kommission zum EU-U.S. Data Privacy Framework und ergänzend die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Gegen diesen Angemessenheitsbeschluss ist ein Rechtsmittel beim Gerichtshof der Europäischen Union anhängig. Sollte er aufgehoben werden, stützt sich die Übermittlung allein auf die Standardvertragsklauseln; wir prüfen dann erneut, ob zusätzliche Schutzmaßnahmen erforderlich sind, und passen diese Erklärung an.

Eine zweite Ausnahme betrifft die Funktionen mit künstlicher Intelligenz, und zwar nur deren Textkette: Requesty Ltd und sference haben ihren Sitz im Vereinigten Königreich. Verarbeitet wird ausschließlich auf Anlagen innerhalb der Europäischen Union (Frankfurt am Main und Finnland); eine Übermittlung liegt gleichwohl vor, weil ein Unternehmen mit Sitz in einem Drittland auf die Daten zugreifen kann. Die Spracheingabe ist davon nicht betroffen — ihr Anbieter, die Mistral AI SAS, hat seinen Sitz in Frankreich, sodass insoweit keine Übermittlung in ein Drittland stattfindet.

Grundlage dieser Übermittlung ist der Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich: Die Kommission hat festgestellt, dass dort ein angemessenes Schutzniveau besteht, sodass es keiner weiteren Genehmigung bedarf. Ergänzend gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Läuft der Beschluss aus oder wird er aufgehoben, stützt sich die Übermittlung allein auf die Standardvertragsklauseln; wir prüfen dann erneut, ob zusätzliche Schutzmaßnahmen erforderlich sind, und passen diese Erklärung an.

Eine dritte Ausnahme betrifft die im Abschnitt „Empfänger und Auftragsverarbeiter" beschriebene Anmeldung über ein Konto bei Google, Microsoft oder GitHub. Sie ist zum Stand dieser Erklärung nicht eingeschaltet; es findet keine Übermittlung statt.

Wird sie eingeschaltet, gilt: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland, haben ihren Sitz in der Europäischen Union. GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, Vereinigte Staaten von Amerika, hat seinen Sitz in einem Drittland.

Eine Übermittlung an einen dieser Anbieter setzt eine Grundlage nach Kapitel V DSGVO voraus. In Betracht kommen der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework und die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Welche Grundlage im Einzelfall trägt, prüfen wir, bevor wir die Anmeldung über fremde Konten einschalten, und benennen sie an dieser Stelle. Vorher wird die Funktion nicht freigegeben.

Funktionen mit künstlicher Intelligenz

asksteps enthält drei Funktionen, die Modelle künstlicher Intelligenz nutzen: die Struktur-Erkennung beim Import von PDF-Formularen, den Assistenten im Builder und das Diktieren an diesen Assistenten. Sie sind eingeschaltet, soweit die jeweilige Funktion im Betreiber-Bereich freigegeben ist; ist der Hauptschalter aus, wird kein Modell aufgerufen.

Für Texte — die Struktur-Erkennung und den Assistenten — nutzen wir einen Vermittlungsdienst („Gateway") der Requesty Ltd, 71–75 Shelton Street, Covent Garden, London WC2H 9JQ, Vereinigtes Königreich. Er reicht die Anfrage an das eingestellte Sprachmodell weiter; ausgeführt wird sie beim Modellanbieter sference, ebenfalls mit Sitz im Vereinigten Königreich.

Für das Diktieren nutzen wir einen eigenen, getrennten Zugang bei der Mistral AI SAS, 15 rue des Halles, 75001 Paris, Frankreich. Eine Sprachaufnahme ist eine andere Datenart als ein Fragetext; sie läuft deshalb nicht über denselben Weg und nicht über dieselben Zugangsdaten.

Rechtsgrundlage ist in allen Fällen Art. 6 Abs. 1 lit. b DSGVO, soweit die Funktion Teil der von Ihnen gebuchten Leistung ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO mit unserem berechtigten Interesse an einer brauchbaren Unterstützung beim Erstellen von Formularen.

Die Verarbeitung findet in allen drei Fällen ausschließlich auf Anlagen innerhalb der Europäischen Union statt. Den Vermittlungsdienst rufen wir über seinen EU-Zugang an — Rechenzentrum Frankfurt am Main —, und wir haben die auswählbaren Modelle auf dessen EU-Region beschränkt; das Textmodell läuft auf Anlagen in Finnland. Ein Modell außerhalb dieser Region setzen wir nicht ein. Die Transkription läuft bei einem französischen Anbieter.

Davon zu unterscheiden ist der Sitz der beteiligten Unternehmen. Der Anbieter der Transkription hat seinen Sitz in Frankreich und damit in der Europäischen Union. Die beiden Unternehmen der Textkette haben ihren Sitz im Vereinigten Königreich: Die Anlagen, auf denen verarbeitet wird, liegen in der Union — die Unternehmen, denen sie gehören, nicht. Was daraus folgt, steht im Abschnitt „Übermittlung in Drittländer".

Keiner der drei Dienste speichert die durchgereichten Inhalte: Anfragen werden in Echtzeit weitergeleitet und nach der Auslieferung weder abgelegt noch protokolliert noch zwischengespeichert. Eine Nutzung Ihrer Inhalte zum Training von Modellen ist vertraglich ausgeschlossen.

Übermittelt werden ausschließlich Inhalte, die Sie selbst erstellt oder hochgeladen haben: der Text und die Feldliste einer hochgeladenen PDF-Vorlage, bei eingeschalteter Bildauswertung zusätzlich eine gerasterte Seite davon, die Fragetexte und Antwortbeschriftungen Ihres Formulars, Ihre Nachricht an den Assistenten und — beim Diktieren — Ihre Sprachaufnahme. Die Antworten, die Personen in Ihren Formularen abgeben, sind davon nicht berührt und erreichen keinen dieser Anbieter.

Eine Sprachaufnahme wird ausschließlich zu Text umgewandelt, dabei nur durchgereicht und weder bei uns noch über die Dauer der Umwandlung hinaus gespeichert. Eine Auswertung auf Stimmung, Gesundheit oder die Wiedererkennung sprechender Personen findet nicht statt.

Wir nutzen weder Ihre Kontodaten noch die Inhalte Ihrer Formulare und Antworten, um Modelle künstlicher Intelligenz zu trainieren, und geben sie zu diesem Zweck auch nicht weiter. Wo ein Anbieter eingesetzt wird, wird er vertraglich auf denselben Zweck festgelegt.

Die Texterkennung in eingescannten PDF-Vorlagen ist keine solche Funktion: Sie läuft auf unserer eigenen Infrastruktur, ein Dritter ist daran nicht beteiligt.

Eine Entscheidung über Sie trifft keine dieser Funktionen. Sie richten sich ausschließlich an Sie als Bearbeiter im Studio, nicht an die Personen, die Ihre Formulare ausfüllen, und ihre Vorschläge werden erst wirksam, wenn ein Mensch sie übernimmt.

Die Anwendung weist an der Stelle, an der eine solche Funktion gewirkt hat, darauf hin, dass ein Modell beteiligt war.

Wechseln wir einen dieser Anbieter, ein Modell oder die Region, in der verarbeitet wird, ergänzen wir diese Erklärung vorher — mit dem neuen Anbieter, dem Zweck, der Rechtsgrundlage und, bei einer Verarbeitung außerhalb der Europäischen Union, der Grundlage der Übermittlung. Dieselbe Reihenfolge gilt für eine neue Funktion mit künstlicher Intelligenz: erst beschreiben, dann einschalten.

Zugang für KI-Agenten

asksteps stellt einen Werkzeug-Server bereit, über den ein KI-Client — etwa ChatGPT, Claude oder ein selbst gebauter Agent — mit der Plattform arbeiten kann. Er hat drei Stufen, und sie unterscheiden sich datenschutzrechtlich grundlegend.

Ohne Konto sind nur Werkzeuge erreichbar, die ausgeben, was ohnehin öffentlich im Netz steht: die Produkt- und Tarifauskunft, die Suche in unseren öffentlichen Seiten sowie die Liste der verfügbaren Designs und der mitgelieferten Formularvorlagen. Daten unserer Kunden sind auf dieser Stufe nicht erreichbar. Zwei dieser Werkzeuge nehmen etwas entgegen: die Prüfung eines übergebenen PDF-Formulars auf seine Felder und die Ablage eines besprochenen Formularentwurfs.

Das geprüfte PDF wird nicht gespeichert, nicht in Bilder umgewandelt und nicht an einen Anbieter künstlicher Intelligenz übermittelt; ausgewertet wird allein, welche ausfüllbaren Felder es enthält. Ein abgelegter Entwurf enthält Fragetexte und Antwortbeschriftungen, keine Angaben aus ausgefüllten Formularen, und wird nach sieben Tagen selbsttätig gelöscht. Enthält ein von dritter Seite übergebenes Dokument personenbezogene Daten, können wir die betroffenen Personen nicht unterrichten, weil weder das Dokument noch ein Hinweis auf sie zurückbleibt (Art. 14 Abs. 5 lit. b DSGVO).

Mit Konto kann ein KI-Client auf Ihre eigenen Daten zugreifen: auf Ihre Formulare und Funnels, deren Auswertung und die dort eingegangenen Antworten, auf Ihren Tarif und Ihren Verbrauch. Er kann Formulare und Funnels anlegen und ändern, eines aus einer Vorlage erzeugen und eine PDF-Vorlage in Ihr Konto übernehmen. Veröffentlichen, löschen oder Ihren Tarif wechseln kann er auf dieser Stufe nicht — dafür gibt er jeweils einen Link zurück, unter dem ein Mensch bestätigt.

Diese Stufe setzt zweierlei voraus: Sie muss in Ihrem Konto eingeschaltet sein, und Sie müssen den einzelnen Zugang im Studio ausdrücklich bestätigen — mit dem Umfang, den der Client anfragt. Ein Zugangsschlüssel genügt dafür nicht. Gespeichert werden dazu die Angaben des Clients, die von Ihnen bestätigten Umfänge, Ihre Kennung als erteilende Person, die ausgestellten Zugangs- und Erneuerungsausweise sowie die zugehörigen Zeitpunkte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Auf einer dritten Stufe kann ein KI-Client in Ihrem Namen handeln: ein Formular veröffentlichen oder wieder vom Netz nehmen und Ihren Tarif wechseln. Das setzt eine gesonderte Vollmacht voraus, die nur der Kontoinhaber erteilt — mit einer Frist und, beim Tarif, mit einem Höchsttarif und einem Höchstbetrag je Monat. Ohne diese Vollmacht verhalten sich die Werkzeuge wie auf der Stufe davor und geben nur einen Bestätigungslink zurück. Jedes Mitglied kann die Vollmacht jederzeit widerrufen; ein Widerruf wirkt sofort.

Was ein solcher Client abruft, erreicht damit den Anbieter dieses Clients. Das ist der Zweck der Verbindung und keine Nebenwirkung — ein Agent kann nur verarbeiten, was er lesen darf. Über diese Übermittlung entscheiden Sie mit Ihrer Bestätigung: Der Anbieter des Clients ist weder von uns ausgewählt noch unser Auftragsverarbeiter, und er steht deshalb nicht in der Liste der Unterauftragnehmer im Vertrag zur Auftragsverarbeitung.

Das ist besonders zu bedenken, wenn die Antworten in Ihren Formularen personenbezogene Daten anderer Personen enthalten. Für diese Daten sind Sie der Verantwortliche. Ob Sie sie an den Anbieter eines KI-Clients übermitteln dürfen, richtet sich nach Ihrer eigenen Rechtsgrundlage, Ihrem Verzeichnis von Verarbeitungstätigkeiten und Ihren Verträgen — nicht nach unseren.

Zu einer solchen Vollmacht speichern wir ihre Art, ihre Grenzen, ihre Frist, Ihre Kennung als erteilende Person und die Zeitpunkte der Erteilung und des Widerrufs. Ein Widerruf löscht die Vollmacht nicht, sondern beendet sie: Andernfalls ließe sich später nicht mehr belegen, dass es sie gab und wann sie endete. Jede Handlung, die ein Agent auf dieser Grundlage ausführt, halten wir im Prüfprotokoll fest und melden sie dem Kontoinhaber per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Sie sehen erteilte Zugänge jederzeit in Ihrem Konto und können jeden einzelnen entziehen. Ein Entzug wirkt sofort. Daten, die ein Client bis dahin abgerufen hat, liegen bei dessen Anbieter; ihre Löschung richtet sich nach dessen Bedingungen.

Aufrufe des Werkzeug-Servers unterliegen einer Ratenbegrenzung je aufrufender IP-Adresse. Sie wird nur für die Dauer des jeweiligen Zeitfensters im Arbeitsspeicher gehalten und nicht gespeichert.

Formularseiten auf unseren Adressen

Kunden können ihre Formulare unter einer Adresse auf unserer Domain veröffentlichen. Für den Rahmen einer solchen Seite — Auslieferung, Layout, Kopf- und Fußbereich — sind wir der Anbieter; deshalb steht diese Erklärung dort im Fußbereich. Für den Inhalt des Formulars und für die Angaben, die Sie darin machen, ist der jeweilige Kunde verantwortlich (siehe „Unsere Rolle — und wann wir nicht Ihr Ansprechpartner sind").

Auf diesen Seiten findet keine Reichweitenmessung statt. Die im Abschnitt „Cookies und Reichweitenmessung" beschriebene Analysesoftware wird dort nicht geladen, und aus demselben Grund erscheint dort keine Einwilligungsabfrage.

Gesetzt werden nur zwei Cookies, und beide nur, wenn der Anlass eintritt: ein Cookie, das eine mit einem Passwort geschützte Seite nach der richtigen Eingabe für die laufende Browsersitzung freischaltet, und ein Cookie, das das Passwortformular gegen Absendungen von fremden Seiten sichert. Beide enden mit dem Schließen des Browsers und sind für den von Ihnen angeforderten Dienst unbedingt erforderlich; sie werden nach § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung gesetzt.

Zu jeder veröffentlichten Seite zählen wir tagesweise, wie oft sie aufgerufen und wie oft das Formular begonnen wurde und welche Schritte dabei erreicht wurden. Gespeichert wird dabei ausschließlich ein Zählerstand je Tag und Seite — kein einzelnes Ereignis, keine IP-Adresse, keine Kennung Ihres Geräts oder Ihrer Sitzung, kein Verweis auf die zuvor besuchte Seite. Es wird nichts auf Ihrem Endgerät gespeichert und nichts von dort ausgelesen. Ein Bezug zu einer Person entsteht daraus nicht; die Zahlen zeigen dem Kunden, wo Besucher abbrechen. Diese Tagessummen bewahren wir 26 Monate auf.

Der Abruf der Seite selbst wird wie jeder andere Abruf im Serverprotokoll festgehalten — siehe „Zwecke und Rechtsgrundlagen".

Speicherdauer

Kontodaten speichern wir, solange das Konto besteht. Nach dem Vertragsende oder auf Ihr Verlangen wird das Konto zunächst gesperrt und nach 30 Tagen endgültig gelöscht. Diese Frist gibt Ihnen Gelegenheit, eine versehentliche Löschung rückgängig zu machen und Ihre Daten zu exportieren.

Rechnungen und die zugehörigen Buchungsbelege bewahren wir zehn Jahre auf. Das verlangen § 147 Abs. 1 AO und § 257 Abs. 1 HGB; einer früheren Löschung stehen diese Pflichten entgegen. Die Daten werden für die Dauer der Aufbewahrung in der Verarbeitung eingeschränkt.

Kündigungserklärungen bewahren wir als Nachweis über den Zugang bis zum Ablauf der regelmäßigen Verjährungsfrist auf — drei Jahre, gerechnet ab dem Schluss des Jahres, in dem die Erklärung zugegangen ist — und löschen sie anschließend.

Angaben zur Anmeldesicherheit löschen wir mit ihrem Anlass: das Geheimnis der Zwei-Faktor-Anmeldung und die Wiederherstellungscodes, sobald Sie die Zwei-Faktor-Anmeldung abschalten; einen offenen Vorgang „Passwort vergessen", sobald der Link eingelöst ist oder abläuft; eine Verknüpfung mit einem Konto bei einem anderen Anbieter, sobald Sie sie trennen. Spätestens enden alle drei mit dem Konto.

Eine Einladung in ein Team löschen wir, sobald sie angenommen, zurückgezogen oder abgelaufen ist.

Einen Zugang für einen KI-Client und die dazu ausgestellten Ausweise löschen wir, sobald Sie ihn entziehen oder er abläuft, spätestens mit dem Konto. Eine erteilte Vollmacht für einen Agenten bewahren wir als Nachweis über ihren Umfang und ihr Ende bis zum Ablauf der regelmäßigen Verjährungsfrist auf — drei Jahre, gerechnet ab dem Schluss des Jahres, in dem sie geendet hat — und löschen sie anschließend, spätestens mit dem Konto. Ein ohne Konto abgelegter Formularentwurf wird sieben Tage nach seiner Ablage selbsttätig gelöscht.

Einen Eintrag über eine nicht freigegebene Einbettung löschen wir 90 Tage nach dem letzten Vorkommen. Solange sie andauert, bleibt der Eintrag bestehen — er ist derselbe, und nur sein Zähler und der letzte Zeitpunkt wachsen.

Widerrufserklärungen bewahren wir als Nachweis über den Zugang ebenso lange auf — drei Jahre, gerechnet ab dem Schluss des Jahres, in dem die Erklärung zugegangen ist — und löschen sie anschließend. Sie belegen zugleich, dass die Widerrufsfrist gewahrt war.

Serverprotokolle speichern wir nur so lange, wie es für den Betrieb und die Sicherheit der Plattform erforderlich ist, und löschen sie danach.

Den Nachweis einer Zustimmung — Fassung, Zeitpunkt und IP-Adresse — bewahren wir auf, solange das Vertragsverhältnis besteht, und darüber hinaus bis zum Ablauf der regelmäßigen Verjährungsfrist: drei Jahre, gerechnet ab dem Schluss des Jahres, in dem das Vertragsverhältnis geendet hat. Er belegt, in welcher Fassung der Vertrag zur Auftragsverarbeitung geschlossen wurde; ohne ihn ließe sich die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nicht erfüllen.

Die Daten, die unsere Kunden über ihre Formulare erheben, löschen wir nach den Weisungen des jeweiligen Kunden, spätestens jedoch mit dem Ende seines Vertrags und dem Ablauf der oben genannten 30 Tage.

Erforderlichkeit der Angaben

Für die Registrierung ist die Angabe Ihrer E-Mail-Adresse erforderlich, für einen kostenpflichtigen Tarif zusätzlich die Rechnungsangaben. Ohne diese Angaben können wir den Vertrag nicht schließen und die Leistung nicht erbringen.

Alle übrigen Angaben sind freiwillig. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

Sicherheit der Verarbeitung

Die Übertragung erfolgt ausschließlich verschlüsselt über HTTPS; unverschlüsselte Aufrufe werden umgeleitet. Passwörter speichern wir allein als nicht rückrechenbaren Hashwert.

Der Zugriff auf Daten ist nach Mandanten getrennt: Jeder Kunde sieht ausschließlich die Daten seines eigenen Mandanten. Zugriffe von Verwaltungskonten sind zusätzlich protokolliert.

Geheimnisse, die wir zum Betrieb brauchen — der Zugangsschlüssel zu einem Anbieter künstlicher Intelligenz, die Zugangsdaten für eine Anmeldung über ein Konto bei einem anderen Anbieter und, sofern eingerichtet, das Geheimnis Ihrer Zwei-Faktor-Anmeldung — speichern wir verschlüsselt. Wiederherstellungscodes und die Kennungen von Einmal-Links speichern wir ausschließlich als Hashwert.

Für Anmeldung, Passwortanforderung, Formularabgabe, PDF-Import und den Zugang für KI-Agenten gelten Begrenzungen der Aufrufhäufigkeit. Sie verhindern das massenhafte Ausprobieren von Zugangsdaten und die missbräuchliche Nutzung offener Schnittstellen.

Hochgeladene Dateien und gezeichnete Unterschriften liegen außerhalb des öffentlich ausgelieferten Bereichs und sind nur über einen angemeldeten, mandantengeprüften Abruf erreichbar.

Wir überprüfen unsere technischen und organisatorischen Maßnahmen fortlaufend und passen sie an den Stand der Technik an. Eine ausführliche Beschreibung der Maßnahmen steht in Anlage 1 des Vertrags zur Auftragsverarbeitung; sie nennt auch, was noch nicht umgesetzt ist.

Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt.

Minderjährige

asksteps ist ein Werkzeug für die berufliche Nutzung und richtet sich nicht an Kinder. Ein Konto setzt die Geschäftsfähigkeit voraus, die für den Abschluss des Vertrags erforderlich ist; wir erheben wissentlich keine Daten von Kindern und werben nicht bei ihnen.

Erfahren wir, dass ein Konto entgegen dieser Vorgabe von einem Kind angelegt wurde, sperren wir es und löschen die dazu gespeicherten Daten. Einen entsprechenden Hinweis richten Sie bitte an datenschutz@asksteps.co.

Wer ein Formular ausfüllt, das ein Kunde mit asksteps erstellt hat, wendet sich mit einer solchen Frage an diesen Kunden: Über die Fragen, die dort gestellt werden, und über den Kreis der Angesprochenen entscheidet er allein.

Rechte der betroffenen Personen

Sie haben nach der Datenschutz-Grundverordnung das Recht auf Auskunft über die zu Ihnen gespeicherten Daten (Art. 15), auf Berichtigung unrichtiger Daten (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Datenübertragbarkeit (Art. 20).

Widerspruchsrecht: Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender Daten Widerspruch einzulegen, die auf Art. 6 Abs. 1 lit. f DSGVO beruht (Art. 21 DSGVO). Wir verarbeiten diese Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Haben Sie in eine Verarbeitung eingewilligt, können Sie die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Sie üben diese Rechte formlos unter datenschutz@asksteps.co aus. Wir antworten unverzüglich, spätestens innerhalb eines Monats nach Eingang. Können wir diese Frist wegen der Komplexität oder der Zahl der Anfragen nicht einhalten, teilen wir Ihnen das innerhalb des Monats unter Angabe der Gründe mit.

Zur Beantwortung müssen wir Ihre Identität feststellen. Bestehen begründete Zweifel, fragen wir zusätzliche Angaben ab; weitergehende Nachweise als erforderlich verlangen wir nicht. Die Bearbeitung ist für Sie unentgeltlich.

Betrifft Ihre Anfrage Daten, die ein Kunde von uns über ein Formular erhoben hat, wenden Sie sich bitte an diesen Kunden — siehe den Abschnitt „Unsere Rolle — und wann wir nicht Ihr Ansprechpartner sind".

Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde für den Datenschutz zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die Datenschutz-Grundverordnung verstößt (Art. 77 DSGVO).

Für uns zuständig ist: Der Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover (Postanschrift: Postfach 221, 30002 Hannover), Telefon 0511 120-4500, E-Mail poststelle@lfd.niedersachsen.de.

Sie können sich stattdessen auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

Cookies und Reichweitenmessung

Technisch notwendige Speicherung: Für die Anmeldung und die laufende Sitzung werden Angaben im Browser gespeichert (unter anderem Zugangs- und Erneuerungstoken sowie die gewählte Oberflächensprache). Ebenfalls gespeichert wird Ihre Entscheidung über die unten beschriebene Reichweitenmessung — gerade damit wir Sie nicht bei jedem Aufruf erneut fragen müssen. Diese Speicherung ist für den von Ihnen ausdrücklich gewünschten Dienst unbedingt erforderlich und erfolgt ohne Einwilligung nach § 25 Abs. 2 Nr. 2 TDDDG.

Reichweitenmessung mit Matomo: Um zu erkennen, welche Seiten aufgerufen werden und wo Besucher nicht weiterkommen, setzen wir die Analysesoftware Matomo ein. Sie läuft auf unserem eigenen Server unter analytic.xmdigital.de; es wird kein Analysedienst eines Dritten eingebunden. Die Messung findet ausschließlich auf diesem Auftritt statt — die Formulare und Funnels, die unsere Kunden mit asksteps auf ihren eigenen Websites einbinden, werden von uns nicht gemessen.

Die Reichweitenmessung setzt ein Cookie in Ihrem Browser und wird erst nach Ihrer Einwilligung aktiv. Rechtsgrundlage sind § 25 Abs. 1 TDDDG für die Speicherung im Endgerät und Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung. Solange Sie nicht eingewilligt haben, wird die Analysesoftware nicht geladen und es werden keine Daten an den Analyseserver übertragen.

Nach Ihrer Einwilligung werden verarbeitet: Ihre gekürzte IP-Adresse, die aufgerufenen Seiten mit ihren Titeln, die zuvor besuchte Seite, Zeitpunkt und Dauer des Aufrufs, ein aus der gekürzten IP-Adresse abgeleiteter ungefährer Standort sowie Angaben zu Browser, Betriebssystem und Bildschirmgröße.

Die dabei erhobenen Daten werden nicht an Dritte weitergegeben und nicht in ein Drittland außerhalb der Europäischen Union übermittelt.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Der Link „Cookie-Einstellungen“ im Fußbereich dieser und der übrigen Seiten stellt die Frage erneut; wählen Sie dort „Nicht einverstanden“, wird nicht weiter gemessen und die von Matomo gesetzten Cookies werden gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Sendet Ihr Browser das Signal „Do Not Track“ oder ein Global Privacy Control, werten wir das als Ablehnung: Die Reichweitenmessung bleibt aus, und die Frage wird Ihnen gar nicht erst gestellt.

Stand

Stand dieser Datenschutzerklärung: 30. August 2026.

Die wichtigste Änderung gegenüber der Fassung vom 18. August 2026: Die Funktionen mit künstlicher Intelligenz sind eingeschaltet. Der Abschnitt „Funktionen mit künstlicher Intelligenz" nennt seither die eingesetzten Anbieter, den Ort der Verarbeitung und die Rechtsgrundlage; die Abschnitte „Empfänger und Auftragsverarbeiter" und „Übermittlung in Drittländer" sind entsprechend ergänzt.

Ebenfalls hinzugekommen sind: die Beschreibung der Anmeldesicherheit (Zurücksetzen des Passworts, Zwei-Faktor-Anmeldung), der Einladungen in ein Team, der Abwehr nicht freigegebener Einbettungen, des Zugangs für KI-Agenten und der Formularseiten auf unseren Adressen sowie ein Abschnitt zu Minderjährigen. Die Abschnitte zur Speicherdauer und zur Sicherheit der Verarbeitung sind ergänzt.

Wir passen sie an, sobald sich die beschriebenen Verarbeitungen ändern — etwa wenn ein weiterer Dienstleister hinzukommt, eine Funktion mit künstlicher Intelligenz eingeschaltet wird, die Anmeldung über ein Konto bei einem anderen Anbieter freigegeben wird oder der Zugang für KI-Agenten einen weiteren Umfang erhält.