Stand: 2. September 2026
Nicolas Kaitinnis, Römerstraße 24, 79541 Lörrach, Deutschland. E-Mail: nico@mithgard.ai. Ein Datenschutzbeauftragter ist gesetzlich nicht erforderlich.
distraibute — ein Dienst der Dachmarke Mithgard — ist ein autonomer Distributions-Agent: Die öffentliche Startseite informiert über das Produkt und bietet eine Warteliste; die eigentliche App ist zugangsbeschränkt und erfordert ein Login. Nachfolgend beschreiben wir beide Bereiche getrennt.
Beim Aufruf der Seiten werden technisch erforderliche Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer, User-Agent. Betrieb und Datenhaltung liegen bei den folgenden Anbietern — dieselbe Liste, die auch der Vertrag zur Auftragsverarbeitung führt; sie wird an einer Stelle gepflegt, damit beide Texte nicht auseinanderlaufen:
Die Angaben zum EU-US Data Privacy Framework sind am 01.09.2026 gegen die amtliche Teilnehmerliste gehalten worden. Auch bei europäischem Verarbeitungsort ist ein Zugriff aus einem Drittland nicht ausgeschlossen.
Speicherdauer: Wir speichern diese Logdaten nicht selbst — es gibt in unserer Datenbank keine Spalte dafür. Sie entstehen beim Hosting-Anbieter und unterliegen dessen eigener Aufbewahrungsfrist. Eine eigene Frist zu nennen, die wir nicht durchsetzen, wäre eine unwahre Angabe. Die vollständige Übersicht steht unter 9a.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse am sicheren und stabilen Betrieb; für die Vertragsdurchführung zusätzlich Art. 6 Abs. 1 lit. b DSGVO. Für die Server-Logdaten sind wir selbst Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO — sie entstehen aus dem Betrieb unserer eigenen Anwendung, nicht im Auftrag eines Kunden. Siehe dazu die Abgrenzung unter 3a.
Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten, gilt der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dort sind auch alle eingesetzten Unterauftragsverarbeiter abschließend benannt.
Wo die Grenze verläuft. Dieselben Daten können nicht in beiden Rollen zugleich verarbeitet werden, deshalb hier ausdrücklich:
Wird derselbe Datensatz für beide Zwecke gebraucht — etwa ein Protokolleintrag, der zugleich einen Agentenlauf des Kunden belegt —, gilt für den Zugriff die jeweils strengere Regelung. Bei Widersprüchen zwischen dieser Erklärung und dem Vertrag zur Auftragsverarbeitung geht der Vertrag vor, soweit es um die Verarbeitung im Auftrag geht (§ 1 Abs. 3 dort).
Entwürfe entstehen mit Hilfe eines Sprachmodells. Es antwortet der erste Anbieter, für den ein Zugang eingerichtet ist — und zwar in dieser Reihenfolge: google → openai → anthropic. Diese Reihenfolge steht so im Programm; sie wird hier daraus gelesen, damit die beiden nicht auseinanderlaufen können.
Beteiligt sind: Google LLC (Gemini), OpenAI Ireland Ltd. und Anthropic PBC. Übermittelt werden die Eingaben und die zugehörigen Projektangaben. Anschriften und die Grundlage der Übermittlung stehen im Vertrag zur Auftragsverarbeitung.
Zwei Verarbeitungen laufen ausschließlich bei einem bestimmten Anbieter, ohne Ausweichmöglichkeit:
Wir setzen Sprachmodelle nur auf Zugangsstufen ein, deren Bedingungen eine Nutzung der Eingaben zum Training der Modelle ausschließen. Bei Google gilt das nur für die kostenpflichtige Stufe; die kostenlose nutzt die Eingaben ausdrücklich zur Weiterentwicklung und lässt menschliche Sichtung zu. Die Software prüft das vor jedem Aufruf und überspringt einen Anbieter, dessen Stufe die Zusage nicht trägt.
Gib keine personenbezogenen Daten in Freitextfelder ein, die dort nicht hingehören — sie würden mitübermittelt.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsdurchführung). Übermittlung in die USA auf Grundlage der Standardvertragsklauseln.
Wenn du dich über das Formular auf der Startseite auf die Warteliste setzt, speichern wir ausschließlich die von dir eingegebene Firmen-/Website-URL, die Herkunft der Anmeldung (Startseite) und den Zeitstempel in unserer Datenbank. Es werden dabei keine IP-Adresse und keine weiteren Daten gespeichert.
Zweck: Kontaktaufnahme und Freischaltung, sobald dein Zugang an der Reihe ist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme auf deine Anfrage). Sofern die angegebene URL personenbezogene Daten enthält (z. B. ein Personenname in der Domain), verarbeiten wir diese nur zu diesem Zweck. Du kannst die Löschung jederzeit per E-Mail an nico@mithgard.ai verlangen.
Die Anmeldung in der App erfolgt per OAuth über Google, GitHub oder — sofern freigeschaltet — Apple/iCloud. Dabei erhalten wir vom jeweiligen Anbieter deine E-Mail-Adresse, deinen Anzeigenamen und ggf. ein Profilbild und speichern diese zusammen mit dem genutzten Anbieter und dem Zeitpunkt deines letzten Logins.
Zur Sitzungsverwaltung setzen wir technisch notwendige Session-Cookies (Auth.js/next-auth) ein. Diese sind für den Betrieb erforderlich und benötigen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage der Kontodaten-Verarbeitung: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
Zur Abrechnung und Kontingent-Steuerung protokollieren wir Nutzungsereignisse deines Workspaces (Aktion, Token-Verbrauch, Anzahl Anfragen, Kosten, Zeitstempel). Diese Daten sind dem Workspace zugeordnet, nicht deinem persönlichen Verhalten außerhalb der App. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/Abrechnung).
Wenn du Veröffentlichungs-Kanäle (z. B. Social-Media- oder Publishing-Konten) mit distraibute verbindest, speichern wir die dafür nötigen Zugangsdaten verschlüsselt (AES-256-GCM mit serverseitigem Schlüssel). Zweck: Ausspielen von Inhalten in deinem Auftrag über die verbundenen Kanäle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Du kannst verbundene Kanäle jederzeit in den Einstellungen trennen; die Zugangsdaten werden dann gelöscht.
Wir versenden E-Mail über Resend, Inc. — Einladungen in einen Arbeitsbereich und Zusammenfassungen. Übermittelt werden die Empfängeradresse, der Name der einladenden Person und der Inhalt der Nachricht.
Wenn du eingeladen wurdest und uns noch nicht kennst: Deine E-Mail-Adresse haben wir nicht von dir, sondern von der Person, die dich eingeladen hat (Art. 14 DSGVO). Verantwortlich für die Einladung ist ihr Betrieb; wir verarbeiten sie in dessen Auftrag. Rechtsgrundlage ist das berechtigte Interesse an der Einrichtung des Zugangs (Art. 6 Abs. 1 lit. f DSGVO). Du kannst der weiteren Verarbeitung jederzeit widersprechen — nico@mithgard.ai; wir löschen die Einladung dann unverzüglich.
Zur Erzeugung von Bild- und Videomaterial übermitteln wir die Vorgaben des Kunden an OpenAI und — sobald der Zugang eingerichtet ist — an Higgsfield, Inc. Enthalten die Vorgaben personenbezogene Daten, gehen sie mit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Anschriften und Übermittlungsgrundlagen stehen im Vertrag zur Auftragsverarbeitung.
Lädt der Kunde ein Video hoch, übermitteln wir die Tonspur an OpenAI, um daraus ein Transkript zu erzeugen. Enthält die Aufnahme gesprochene Sprache identifizierbarer Personen, sind das personenbezogene Daten — und in ihr steckt mehr, als ein Text vermuten lässt: Stimme, Sprechweise, Nebengeräusche.
Der Kunde lädt nur Aufnahmen hoch, für die er zu dieser Verarbeitung berechtigt ist, und holt die dafür nötigen Einwilligungen selbst ein. Rechtsgrundlage im Verhältnis zu ihm: Art. 6 Abs. 1 lit. b DSGVO.
distraibute setzt keine Tracking- oder Werbedienste ein — kein Google Analytics, kein Meta-Pixel, kein PostHog, Plausible, Hotjar oder vergleichbares. Es werden keine Werbe-Cookies gesetzt und kein Fingerprinting betrieben. Die einzigen Cookies sind die technisch notwendigen Session-Cookies aus Punkt 5.
Du hast jederzeit das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wende dich dazu an nico@mithgard.ai. Eine Beschwerde kannst du bei der Datenschutzaufsichtsbehörde einreichen — zuständig für uns: Landesbeauftragter für Datenschutz und Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
Art. 13 Abs. 2 lit. a DSGVO verlangt die Dauer oder die Kriterien für ihre Festlegung. Die Spalte rechts sagt zusätzlich, wer die Frist durchsetzt — denn eine Frist, die niemand ausführt, ist keine.
Ehrlich gesagt: Es läuft derzeit kein automatischer Löschauftrag. Die Löschungen erfolgen auf Verlangen — über die Selbstbedienung im Konto unter Einstellungen → Daten oder auf eine Nachricht an uns — sowie zum Vertragsende nach § 9a der Allgemeinen Geschäftsbedingungen. Wir nennen das hier, weil eine Erklärung, die eine automatische Löschung behauptet, ohne dass ein Auftrag läuft, schlechter wäre als eine, die die Lage benennt.
Wir passen diese Erklärung an, wenn sich Technik oder Rechtslage ändert — insbesondere bei Aufnahme neuer Auftragsverarbeiter und beim Wechsel des Betriebsorts. Letzte Änderung: 2. September 2026.