Datenschutzerklärung

Stand: Oktober 2026

1. Überblick

Diese Datenschutzerklärung erläutert, welche personenbezogenen Daten wir bei der Nutzung unserer Website und der kanman-Anwendung erheben, wie wir sie verwenden und welche Rechte Sie in Bezug auf Ihre Daten haben. kanman ist ein KI-Teammitglied für Entwicklungsteams, das auf den Repositories und Issue-Trackern arbeitet, die ein Kunde verbindet. Soweit wir Daten in diesen Repositories und Trackern im Auftrag eines Kunden verarbeiten, handeln wir als Auftragsverarbeiter nach unserem Auftragsverarbeitungsvertrag; Verantwortlicher ist der Kunde.

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und für Kontodaten ist:

Marco Kerwitz
kerwitz.dev
Birkenweg 21
31226 Peine
Telefon: +49 5171 9078566
E-Mail: [email protected]

3. Übersicht der Datenverarbeitung

3.1 Kontodaten

Bei der Registrierung für kanman erheben wir:

• E-Mail-Adresse
• Name (falls angegeben)
• Firmenname und Unternehmensangaben (falls angegeben)
• Passwort (verschlüsselt gespeichert)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Vertragslaufzeit zuzüglich 3 Jahre (Verjährungsfrist)

3.2 Repository-, Tracker- und Run-Daten

Verbindet ein Kunde Repositories und Issue-Tracker, verarbeitet kanman im Auftrag des Kunden:

• Quellcode und Repository-Metadaten (Branches, Commits, Pull Requests, Autorennamen und E-Mail-Adressen in der Commit-Historie)
• Tracker-Inhalte (Issues, Stories, Kommentare, Zuständigkeiten)
• CI-Logs und Testergebnisse
• Run-Artefakte und Nachweise (Berichte von Akzeptanztests, Screenshots, Browser-Traces)
• Entscheidungen, Richtlinieneinstellungen und Audit-Log-Einträge (wer hat was getan, mit wessen Freigabe, zu welchen Kosten)

Diese Daten können personenbezogene Daten enthalten, zum Beispiel Namen in der Commit-Historie oder in Kommentaren. Der Kunde entscheidet, welche Repositories und Tracker verbunden werden, und kann die Verbindung jederzeit trennen.

Rechtsgrundlage: Verarbeitung im Auftrag des Kunden nach Art. 28 DSGVO; für die Rechtsgrundlage ist der Kunde verantwortlich. Für unsere eigenen Konto- und Abrechnungszwecke Art. 6 Abs. 1 lit. b DSGVO.

Speicherdauer: Siehe Abschnitt 7.

3.3 Nutzungsdaten

Bei der Nutzung von kanman verarbeiten wir:

• Nutzungsprotokolle (Aktionen, Zeitstempel)
• Technische Daten (IP-Adresse, Browsertyp, Geräteinformationen)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen: Sicherheit, Verbesserung des Dienstes)

Speicherdauer: 30-90 Tage.

3.4 Zahlungsdaten

Für die Zahlungsabwicklung nutzen wir Stripe (Stripe Payments Europe Ltd., Irland). Stripe verarbeitet:

• Angaben zum Zahlungsmittel
• Transaktionsdaten
• Rechnungsadresse

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Speicherdauer: Steuerrelevante Unterlagen: 10 Jahre (§ 147 AO)

Datenschutzerklärung von Stripe: https://stripe.com/privacy

4. Ort der Verarbeitung

Anwendungsdaten werden in der EU gehostet. Coding-Agenten laufen je Run in einer isolierten Sandbox, entweder in unserer Cloud-Umgebung in Frankfurt am Main oder auf einem Self-hosted-Runner, den der Kunde in seinem eigenen Netzwerk betreibt. Mit einem Self-hosted-Runner wird der Quellcode innerhalb des Kundennetzwerks ausgecheckt und ausgeführt; kanman erhält die Ergebnisse, Logs und Nachweise, die der Runner zurückmeldet.

Wir verwenden Inhalte von Kunden nicht zum Training von KI-Modellen.

5. Dienstleister und Empfänger

5.1 Supabase (Datenbank und Authentifizierung)

Wir nutzen Supabase (Supabase Inc., USA) für unsere Datenbankinfrastruktur und die Nutzerauthentifizierung. Verarbeitete Daten: Kontodaten, Anwendungsdaten, Nutzungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Datenübermittlung: Die Daten werden in der EU gehostet (Stockholm, Schweden; Supabase-Region eu-north-1). Eine Übermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Datenschutzerklärung: https://supabase.com/privacy

5.2 Fly.io (Cloud-Runner)

Wir nutzen Fly.io (Fly.io, Inc., USA), um die Sandbox zu betreiben, in der Coding-Agenten arbeiten, in der Region Frankfurt am Main. Verarbeitete Daten: für einen Run ausgecheckter Quellcode, Run-Logs und Artefakte. Nicht genutzt, wenn der Kunde einen Self-hosted-Runner betreibt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); Verarbeitung im Auftrag des Kunden nach Art. 28 DSGVO

Datenübermittlung: Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in die USA, soweit sie für Support oder Administration erfolgt, beruht auf EU-Standardvertragsklauseln.

Datenschutzerklärung: https://fly.io/legal/privacy-policy

5.3 Anbieter von KI-Modellen

Um Stories, Code und Reviews zu schreiben, sendet kanman die Prompts sowie den für einen Run nötigen Code- und Tracker-Kontext an den vom Kunden gewählten Modellanbieter. Je nach Wahl ist Empfänger Anthropic, OpenAI, Microsoft (Azure OpenAI Service) oder Amazon Web Services (Amazon Bedrock).

• Eigener Schlüssel (BYOK): Der Kunde nutzt seinen eigenen Vertrag und API-Schlüssel. Der Modellanbieter verarbeitet die Daten auf Grundlage des Vertrags des Kunden mit diesem Anbieter.
• Modellzugang über uns: Wir beauftragen den Modellanbieter als Unterauftragsverarbeiter. Die Anbieter sind vertraglich verpflichtet, die Daten nicht zum Training ihrer Modelle zu verwenden.

Rechtsgrundlage: Verarbeitung im Auftrag des Kunden nach Art. 28 DSGVO

Datenübermittlung: Einige Modellanbieter haben ihren Sitz in den USA. Übermittlungen beruhen auf dem EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, sowie auf EU-Standardvertragsklauseln. Bietet ein Anbieter eine Verarbeitung in der EU an, kann sie gewählt werden.

5.4 Vom Kunden gewählte Integrationen

Verbindet der Kunde Dienste wie GitHub, GitLab, Jira oder Slack, liest und schreibt kanman in diesen Diensten im Auftrag des Kunden. Diese Dienste beauftragt der Kunde direkt; es gelten deren eigene Datenschutzbestimmungen.

5.5 Cloudflare (CDN und Sicherheit)

Wir nutzen Cloudflare (Cloudflare Inc., USA) als Content Delivery Network und für Sicherheitsmaßnahmen. Verarbeitete Daten: IP-Adressen, technische Verbindungsdaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen: IT-Sicherheit, Performance)

Datenübermittlung: Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert. Zusätzlich gelten EU-Standardvertragsklauseln.

Datenschutzerklärung: https://www.cloudflare.com/privacypolicy/

5.6 Stripe (Zahlungsabwicklung)

Die Zahlungsabwicklung erfolgt über Stripe Payments Europe Ltd., Irland. Stripe verarbeitet Zahlungsdaten, Transaktionsdaten, Name, E-Mail-Adresse und Rechnungsadresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

Datenschutzerklärung: https://stripe.com/privacy

6. Datenübermittlung in Drittländer

Einige unserer Dienstleister haben ihren Sitz in den USA. Für Übermittlungen an Unternehmen, die unter dem EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Zusätzlich oder alternativ haben wir mit unseren Dienstleistern EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO abgeschlossen. Kopien stellen wir auf Anfrage zur Verfügung.

7. Speicherdauer

8. Cookies

8.1 Notwendige Cookies

Wir verwenden notwendige Cookies, die für den Betrieb unseres Dienstes erforderlich sind:

• Authentifizierungs-Cookies (Supabase-Session)
• Sicherheits-Cookies (Cloudflare)
• Speicherung der Cookie-Einwilligung

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen: für den Betrieb des Dienstes erforderlich)

8.2 Analyse

Wir nutzen Cloudflare Web Analytics für eine datenschutzfreundliche, cookielose Analyse, die keine einzelnen Nutzer verfolgt und keine personenbezogenen Daten speichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen: Verbesserung des Dienstes)

9. Ihre Rechte

Nach der DSGVO stehen Ihnen die folgenden Rechte zu. Soweit wir Daten im Auftrag eines Kunden verarbeiten, richten Sie Ihre Anfrage bitte an diesen Kunden; wir unterstützen den Kunden bei der Beantwortung.

9.1 Auskunftsrecht (Art. 15 DSGVO)

Sie haben das Recht, eine Bestätigung darüber zu verlangen, ob Sie betreffende personenbezogene Daten verarbeitet werden, und Auskunft über diese Daten zu erhalten.

9.2 Recht auf Berichtigung (Art. 16 DSGVO)

Sie haben das Recht, die Berichtigung Sie betreffender unrichtiger personenbezogener Daten zu verlangen.

9.3 Recht auf Löschung (Art. 17 DSGVO)

Sie haben das Recht, unter bestimmten Voraussetzungen die Löschung Sie betreffender personenbezogener Daten zu verlangen.

9.4 Recht auf Einschränkung (Art. 18 DSGVO)

Sie haben das Recht, unter bestimmten Voraussetzungen die Einschränkung der Verarbeitung zu verlangen.

9.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Sie haben das Recht, Ihre personenbezogenen Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Kunden können ihre Daten einschließlich des Audit-Logs über die kanman-Anwendung exportieren.

9.6 Widerspruchsrecht (Art. 21 DSGVO)

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Ihrer personenbezogenen Daten auf Grundlage berechtigter Interessen Widerspruch einzulegen.

9.7 Recht auf Widerruf der Einwilligung (Art. 7 DSGVO)

Soweit die Verarbeitung auf einer Einwilligung beruht, haben Sie das Recht, diese jederzeit zu widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

9.8 Beschwerderecht

Sie haben das Recht, sich bei einer Aufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

10. Datensicherheit

Wir verwenden TLS-Verschlüsselung für alle Datenübertragungen und verschlüsseln gespeicherte Daten. Jeder Run läuft in einer eigenen isolierten Sandbox, die nach dem Run entfernt wird. Geheimnisse wie API-Schlüssel und Tokens werden verschlüsselt gespeichert und nur dem Run bereitgestellt, der sie benötigt. Unsere Dienstleister setzen angemessene technische und organisatorische Maßnahmen zum Schutz Ihrer Daten um.

11. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte wenden Sie sich bitte an:

E-Mail: [email protected]

Wir beantworten Ihre Anfrage innerhalb eines Monats. Bei komplexen Anfragen kann diese Frist um zwei Monate verlängert werden.