Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO:
maximilion GmbH
Paradiesstr. 17
90459 Nürnberg
Deutschland
E-Mail: datenschutz@fakts.org

2. Erhebung und Verarbeitung personenbezogener Daten

Wir erheben und verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Dienste erforderlich ist. Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

3. Authentifizierung und Nutzerkonten

Für die Registrierung und Anmeldung verwenden wir die selbst betriebene Open-Source-Software Better Auth. Better Auth ist kein externer Empfänger Ihrer Daten. Die Konto- und Sitzungsdaten werden in einer Cloudflare-D1-Datenbank gespeichert.

• E-Mail-Adresse
• Kryptografischer Hash des Passworts
• Zeitstempel der Registrierung, E-Mail-Bestätigung und Anmeldung
• Sitzungs-, Verifizierungs- und Passwortzurücksetzungsdaten
• Version und Zeitstempel Ihrer Zustimmung zu AGB und Datenschutzerklärung als Nachweis gemäß Art. 7 Abs. 1 DSGVO

Die Authentifizierungsdatenbank ist auf Speicherung innerhalb der Europäischen Union beschränkt. Cloudflare, Inc. verarbeitet die Daten als unser Auftragsverarbeiter. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Verarbeitung sicherheitsrelevanter Sitzungs- und Protokolldaten erfolgt zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

4. Anmeldung über Google (OAuth)

Sie können sich alternativ mit Ihrem Google-Konto anmelden. Dabei werden folgende Daten von Google übermittelt:

• E-Mail-Adresse
• Name und Profilbild

Die Übermittlung erfolgt durch Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland). Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktives Anklicken des Google-Login-Buttons). Sie können diese Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Weitere Informationen: policies.google.com/privacy

5. KI-Verarbeitung

Zur Faktenprüfung werden die von Ihnen eingegebenen Texte serverseitig an folgende Drittanbieter übermittelt:

• Groq, Inc. (USA): Extraktion von Fakten und Erstellung von Bewertungen mittels Llama-Sprachmodellen
• Perplexity AI, Inc. (USA): Überprüfung der extrahierten Fakten anhand öffentlicher Quellen
• Google Fact Check Tools API: Abgleich mit bestehenden Faktenchecks von Drittanbietern

Alle API-Aufrufe erfolgen serverseitig — Ihr Browser kommuniziert nicht direkt mit diesen Diensten. Die übermittelten Texte werden ausschließlich zur Verarbeitung Ihrer Anfrage genutzt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Wir speichern Ergebnisse in einem Cache für bis zu 7 Tage, um wiederholte Anfragen effizienter zu beantworten. Bei URL-basierten Faktenchecks können Zusammenfassungen auf unserer Startseite als öffentliche Faktenchecks angezeigt werden — ohne Anzeige des Nutzers, intern bleibt die Zuordnung zur Nutzer-ID bis zur Kontolöschung bestehen (Pseudonymisierung).

6. Datenübermittlung in Drittländer

Einige der von uns eingesetzten Dienstleister haben ihren Sitz in den USA:

• Cloudflare, Inc. — CDN und DDoS-Schutz
• Groq, Inc. — KI-Textverarbeitung
• Perplexity AI, Inc. — KI-Faktenprüfung
• Google LLC — Fact Check API und OAuth
• PostHog Inc. — optionale Produktanalysen (nur bei Einwilligung; Daten liegen auf der EU-Cloud in Frankfurt, siehe § 10) sowie technisches Fehler-Monitoring (siehe § 13)

Die Datenübermittlung erfolgt auf Grundlage des EU-U.S. Data Privacy Framework (Art. 45 DSGVO) bzw. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Mit allen genannten Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist:

• Nutzerkonto: Bis zur Löschung durch den Nutzer
• Faktencheck-Cache: Bis zu 7 Tage
• Server-Logfiles: 14 Tage
• Öffentliche Faktenchecks: Unbefristet (pseudonymisiert, ohne öffentliche Anzeige des Nutzers)
• Fehlerdaten (PostHog Error Tracking): Bis zu 12 Monate (Standard-Aufbewahrung des Anbieters)

8. Kontolöschung

Sie können Ihr Nutzerkonto jederzeit selbst im Dashboard löschen. Alternativ können Sie eine E-Mail an datenschutz@fakts.org senden. Bei Löschung werden Ihre Kontodaten (E-Mail, Passwort, Credits) entfernt, private Faktenchecks gelöscht und öffentliche Faktenchecks von Ihrer Nutzer-ID getrennt.

9. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies:

• Authentifizierungs-Cookie: Speichert Ihre Sitzungsinformationen nach der Anmeldung
• Analytics-Einwilligung (localStorage): Speichert Ihre Entscheidung für oder gegen die optionalen Produktanalysen (siehe § 10)

Wir setzen keine Werbe-Cookies ein. Das Analyse-Skript kann vor Ihrer Banner-Entscheidung für anonyme, cookiefreie Nutzungsstatistiken geladen werden; PostHog-Cookies oder dauerhafte PostHog-localStorage-IDs werden erst nach Ihrer ausdrücklichen Einwilligung geschrieben. Angemeldete Nutzer können die Einwilligung jederzeit über den Schalter in ihrem Konto widerrufen (siehe § 10).

10. Optionale Produktanalysen (PostHog)

Vor einer Banner-Entscheidung nutzen wir PostHog auf der EU-Cloud in Frankfurt für anonyme, cookiefreie Nutzungsstatistiken (z. B. Anzahl gestarteter und abgeschlossener Faktenchecks, Konversionsraten). Dabei wird keine dauerhafte Geräte-ID gespeichert; geprüfte URLs und Claim-Texte entfernt unser Scrubber vor der Übermittlung. Mit „Akzeptieren" aktivieren Sie die einwilligungsbasierte Stufe mit persistenter Geräte-ID, Sitzungsaufzeichnungen und Feedback-Erfassung. Wenn Sie ablehnen oder den Geräte-Opt-out nutzen, wird PostHog gar nicht geladen bzw. sofort abgeschaltet.

• Anbieter: PostHog Inc., 2261 Market Street #4008, San Francisco, CA 94114, USA — betrieben über die EU-Cloud (eu.i.posthog.com, Datenstandort EU/Frankfurt).
• Erfasste Daten: pseudonyme Geräte-ID, pseudonyme Nutzer-ID (HMAC-SHA256 der Better-Auth-Nutzer-ID mit serverseitigem Schlüssel), aggregierte Funnel-Ereignisse wie fact_check_started, fact_check_completed und Bucket-Werte (z. B. Anzahl Fakten in Bereichen wie „2–5"). Keine Inhalte Ihrer Texte oder Faktenchecks.
• Session-Aufzeichnungen und Feedback: Bei erteilter Einwilligung können anonymisierte Sitzungsaufzeichnungen zur Fehleranalyse erstellt werden. Sämtliche Eingabefelder sowie geprüfte Inhalte werden dabei clientseitig maskiert und verlassen Ihren Browser nicht. Freiwillige Rückmeldungen über den Feedback-Button werden ebenfalls über PostHog erfasst.
• Rechtsgrundlage: Für die anonyme, cookiefreie Verarbeitung vor Ihrer Banner-Entscheidung gilt Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Produkts). Für die einwilligungsbasierte Stufe nach „Akzeptieren" (persistente ID, Sitzungsaufzeichnungen, Feedback) gilt Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können die Einwilligung jederzeit und ebenso einfach wie deren Erteilung widerrufen: Angemeldete Nutzer schalten die Produktanalysen über den Schalter „Optionale Analysen auf diesem Gerät" in ihrem Konto aus (die Erfassung stoppt sofort). Auf abgemeldeten Geräten setzen Sie stattdessen den localStorage-Eintrag analytics_consent auf denied. Ablehnung oder Geräte-Opt-out deaktiviert alle Analytics, anonym und identifiziert. Bei Kontolöschung werden die PostHog-Daten zusätzlich serverseitig über die PostHog-Deletion-API entfernt. Der Schalter wirkt jeweils nur für das Gerät und den Browser, in dem Sie ihn betätigen.
• Speicherdauer: standardmäßige PostHog-Aufbewahrungsfrist; spätestens bei Kontolöschung Löschanforderung an PostHog.
• Weitere Informationen: posthog.com/privacy

Außer PostHog setzen wir keine weiteren Analyse- oder Tracking-Dienste ein. Insbesondere verwenden wir kein Google Analytics, kein Matomo und keine Social-Media-Plugins.

11. Hosting

Website und Anwendung werden über Dienste von Cloudflare, Inc. bereitgestellt. Cloudflare verarbeitet dabei insbesondere technische Verbindungsdaten, IP-Adressen und Protokolldaten, soweit dies für die sichere Bereitstellung des Dienstes erforderlich ist.

Nutzerkonten, Sitzungen und Einwilligungsnachweise werden in Cloudflare D1 gespeichert. Öffentliche Faktenchecks, Guthaben- und Transaktionsdaten sowie technische Ablaufzustände werden in Cloudflare Durable Objects verarbeitet. Private Faktenchecks werden dort verschlüsselt gespeichert.

Eine separate PostgreSQL-Datenbank auf unserer Infrastruktur bei der Hetzner Online GmbH enthält ausschließlich eine pseudonymisierte Analysereplik. Private Faktencheck-Inhalte werden nicht in diese Datenbank übertragen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

12. Content Delivery Network (Cloudflare)

Wir nutzen Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) als Content Delivery Network. Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und schnellen Auslieferung der Website).

13. Fehler-Monitoring (PostHog Error Tracking)

Zur frühzeitigen Erkennung von Fehlern und zur Stabilitätsüberwachung nutzen wir das Error-Tracking von PostHog (PostHog Inc.; Datenverarbeitung auf der EU-Cloud in Frankfurt, siehe § 10). Erfasst werden technische Fehlerdaten (Stacktraces, Browser- und Geräteinformationen, aufgerufene Pfade). Sensible Inhalte — insbesondere die zu prüfende URL bei URL-basierten Faktenchecks sowie geprüfte Textinhalte — werden vor Übermittlung automatisch durch Platzhalter ersetzt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem stabilen, sicheren Dienst). Weitere Informationen: posthog.com/privacy

14. Keine automatisierte Entscheidungsfindung

Die KI-gestützten Bewertungen auf fakts.org dienen ausschließlich der Information. Es findet keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO statt — die Ergebnisse sind Hinweise und entfalten keine rechtliche oder vergleichbare Wirkung gegenüber dem Nutzer.

15. Pflicht zur Bereitstellung

Die Angabe einer E-Mail-Adresse ist für die Registrierung erforderlich. Ohne Registrierung ist eine Nutzung des Dienstes nicht möglich. Eine gesetzliche oder vertragliche Pflicht zur Bereitstellung besteht nicht; die Folge der Nichtbereitstellung ist die Nichtverfügbarkeit unserer Dienste.

16. Ihre Rechte

Sie haben jederzeit das Recht auf:

• Auskunft über Ihre gespeicherten personenbezogenen Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung Ihrer Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte wenden Sie sich an datenschutz@fakts.org.

17. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Zuständige Aufsichtsbehörde:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
www.lda.bayern.de