Stand: 20. Juli 2026
Carve Studio GmbH
Cosimastr. 121
81925 München
Deutschland
E-Mail: [email protected]
Telefon: +49 171 8263725
Diese Datenschutzerklärung gilt für unsere Website unter replicato.app und die zugehörige Webanwendung unter use.replicato.app (zusammen „Replicato“). Sie beschreibt, wie wir personenbezogene Daten verarbeiten, wenn du unsere Seiten besuchst, ein Konto anlegst oder Replicato nutzt.
Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare Person beziehen. Wir verarbeiten solche Daten nur, soweit dies für die nachfolgend beschriebenen Zwecke erforderlich ist.
Je nach Verarbeitung stützen wir uns insbesondere auf:
Soweit Dienstleister Daten ausschließlich nach unserer Weisung verarbeiten, haben wir mit ihnen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO geschlossen. Innerhalb unseres Unternehmens erhalten nur Personen Zugriff, die ihn für die jeweiligen Aufgaben benötigen.
Beim Aufruf von Replicato werden technisch erforderliche Daten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit, aufgerufene URL, Referrer-URL, Browser- und Betriebssysteminformationen, übertragene Datenmenge sowie HTTP-Status gehören. Die Verarbeitung dient der Auslieferung, Stabilität, Fehleranalyse und Abwehr missbräuchlicher oder schädlicher Zugriffe.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse besteht im sicheren und zuverlässigen Betrieb von Replicato. Protokolldaten werden gelöscht, sobald sie für diese Zwecke nicht mehr benötigt werden. Bei einem konkreten Sicherheitsvorfall können sie bis zur abschließenden Klärung und Durchsetzung oder Abwehr von Ansprüchen länger gespeichert werden.
Unsere Systeme werden auf Servern der STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland, betrieben. STRATO verarbeitet die für Hosting, Netzwerkbetrieb und Datensicherung erforderlichen Daten als Auftragsverarbeiter.
Weitere Informationen: Datenschutzhinweise von STRATO
Wir nutzen Dienste von Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, für DNS, TLS-Verschlüsselung, Auslieferung und Schutz vor Angriffen. Verbindungen zu Replicato laufen dabei über Cloudflare. Neben den oben genannten Protokolldaten kann Cloudflare Sicherheitsmerkmale einer Anfrage verarbeiten und technisch notwendige Cookies oder vergleichbare Merkmale einsetzen, um automatisierte und schädliche Zugriffe zu erkennen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die sichere und performante Bereitstellung unseres Angebots. Für Übermittlungen in die USA stützt sich Cloudflare auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework und ergänzend auf die EU-Standardvertragsklauseln.
Weitere Informationen: Datenschutzhinweise von Cloudflare
Bei Registrierung und Anmeldung verarbeiten wir insbesondere Namen, E-Mail-Adresse, einen Passwort-Hash, interne Benutzer- und Kontokennungen, Anmeldezeitpunkte, Sitzungsdaten, IP-Adresse und User-Agent. Passwörter werden nicht im Klartext gespeichert. Die Daten sind erforderlich, um dein Konto bereitzustellen, Anmeldungen zu ermöglichen und Missbrauch zu verhindern.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsbezogene Protokoll- und Sitzungsdaten verarbeiten wir außerdem gemäß Art. 6 Abs. 1 lit. f DSGVO aufgrund unseres Interesses am Schutz von Konten und Systemen. Kontodaten speichern wir grundsätzlich für die Dauer des Nutzungsverhältnisses und danach nur, soweit gesetzliche Aufbewahrungspflichten oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen dies erfordern.
Wenn du die Anmeldung über Google oder Microsoft auswählst, wirst du zum jeweiligen Anbieter weitergeleitet. Dabei werden mindestens die für den Anmeldevorgang erforderlichen technischen Daten und die von dir beim Anbieter freigegebenen Kontodaten verarbeitet. Wir erhalten in der Regel eine Anbieterkennung, Namen und E-Mail-Adresse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Nutzung dieser Anmeldeoption ist freiwillig.
Google und Microsoft können Daten auch in Drittländern, insbesondere den USA, verarbeiten. Die Anbieter stützen entsprechende Übermittlungen insbesondere auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework und, soweit erforderlich, EU-Standardvertragsklauseln.
Wenn du uns kontaktierst, verarbeiten wir deine Kontaktdaten, den Inhalt deiner Nachricht, gegebenenfalls Anhänge sowie Zeit- und technische Versanddaten, um deine Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um ein Vertragsverhältnis oder vorvertragliche Fragen geht, ansonsten Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Beantwortung und Dokumentation von Anfragen.
Für Magic Links, Passwort-Zurücksetzungen und andere transaktionale E-Mails nutzen wir Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA). Dabei werden insbesondere E-Mail-Adresse, Nachrichteninhalt und technische Versanddaten übermittelt. Die Verarbeitung erfolgt zur Durchführung des Nutzungsvertrags nach Art. 6 Abs. 1 lit. b DSGVO. Resend ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich sind EU-Standardvertragsklauseln in die Vereinbarung zur Auftragsverarbeitung einbezogen.
Weitere Informationen: Datenschutzhinweise von Resend
Wenn du Replicato nutzt, verarbeiten wir die von dir hochgeladenen PDF-Vorlagen und CSV-/XLSX-Daten, Dateinamen und Dateimetadaten, extrahierte Formularfelder, von dir erstellte Zuordnungen sowie Auftrags- und Ergebnisdaten. Diese Daten können personenbezogene Daten Dritter enthalten. Du bist dafür verantwortlich, dass du zur Verarbeitung und Übermittlung dieser Daten berechtigt bist und die betroffenen Personen erforderlichenfalls informiert hast.
Zweck ist ausschließlich die von dir angeforderte Erstellung, Zuordnung, Befüllung und Bereitstellung von PDF-Dokumenten sowie die Speicherung deiner Vorlagen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit du Daten im Auftrag einer anderen verantwortlichen Stelle verarbeitest, verarbeiten wir die Inhalte nach deren dokumentierten Weisungen.
Vorlagen und zugehörige Konfigurationen werden deinem Konto zugeordnet gespeichert, solange du sie für die Nutzung bereithältst oder wir sie zur Vertragserfüllung benötigen. Eingabedateien abgeschlossener oder abgebrochener Verarbeitungsaufträge werden nach Abschluss entfernt. Eingabedateien fehlgeschlagener Aufträge werden für eine mögliche Wiederholung höchstens sieben Tage aufbewahrt. Ergebnisarchive stehen höchstens 24 Stunden zum Download bereit. Metadaten abgeschlossener, fehlgeschlagener oder abgebrochener Aufträge werden grundsätzlich nach 30 Tagen gelöscht. Lokale Arbeitskopien im Verarbeitungsdienst werden nach dem jeweiligen Auftrag entfernt.
Bestimmte Tabellendaten und Dateimetadaten werden vorübergehend in der IndexedDB deines Browsers gespeichert, damit sie beim Wechsel zwischen Bearbeitung und Befüllung erhalten bleiben. Diese Einträge werden nach 24 Stunden bereinigt. Eine lokale Auftragskennung kann im Local Storage gespeichert werden, um einen Download dem richtigen Auftrag zuzuordnen; sie wird nach Verwendung entfernt. Diese Daten verbleiben grundsätzlich auf deinem Gerät.
Wenn du die KI-gestützte Zuordnung ausdrücklich startest, übermitteln wir die Spaltenüberschriften deiner Eingabedatei sowie Namen, Labels, Typ und Seitennummer der PDF-Formularfelder an die OpenAI API. Inhalte der PDF-Datei und Zeilenwerte aus deiner Tabelle werden für diese Funktion nicht übermittelt. Die Vorschläge dienen nur als Hilfe und werden nicht als rechtlich oder ähnlich erheblich wirkende automatisierte Entscheidung verwendet.
Anbieter ist OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117-126 Sheriff Street Upper, Dublin 1, D01 YC43, Irland. Zweck und Rechtsgrundlage sind die von dir angeforderte Funktion und damit Art. 6 Abs. 1 lit. b DSGVO. OpenAI verarbeitet API-Inhalte nach den geschäftlichen Vertragsbedingungen als Auftragsverarbeiter und nutzt sie nicht zum Training allgemeiner Modelle, sofern nicht ausdrücklich anders vereinbart. OpenAI kann Unterauftragsverarbeiter außerhalb des EWR einsetzen; Übermittlungen werden durch EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss abgesichert.
Weitere Informationen: Datenverarbeitungsbedingungen von OpenAI
In der Webanwendung nutzen wir Sentry von Functional Software, Inc., 45 Fremont Street, 8th Floor, San Francisco, CA 94105, USA, um technische Fehler zu erkennen, zu analysieren und zu beheben. Bei einem Fehler können unter anderem Zeitpunkt, aufgerufene Seite, Browser- und Geräteinformationen, IP-Adresse, technische Anfrageinformationen, Fehlerstapel und eine interne Benutzerkennung verarbeitet werden. Wir übermitteln nicht gezielt den Inhalt hochgeladener Dokumente oder Tabellen an Sentry.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Stabilität, Sicherheit und Fehlerfreiheit unseres Dienstes. Fehlerdaten werden gelöscht, wenn sie für Analyse und Behebung nicht mehr erforderlich sind und keine Sicherheits- oder Nachweiserfordernisse entgegenstehen. Sentry verarbeitet Daten als Auftragsverarbeiter. Übermittlungen in die USA werden auf das EU-US Data Privacy Framework und ergänzend auf EU-Standardvertragsklauseln gestützt.
Weitere Informationen: Datenschutzhinweise von Sentry
Wir betreiben Umami auf eigener, in Deutschland gehosteter Infrastruktur. Umami erfasst Seitenaufrufe und ausgewählte Bedienereignisse. Dabei können aufgerufene Seite, Referrer, Zeitpunkt, Browser, Betriebssystem, Gerätetyp und das aus der IP-Adresse abgeleitete Land verarbeitet werden. Die IP-Adresse wird zur Auswertung verwendet, aber nicht gespeichert. Wir setzen keine dauerhaften Nutzerkennungen ein und führen keine websiteübergreifenden Profile. Inhalte von Formularen, PDFs oder Tabellen werden nicht an Umami übertragen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die datensparsame, aggregierte Messung der Nutzung, damit wir Inhalte, Bedienbarkeit und Stabilität verbessern können. Du kannst dieser Verarbeitung jederzeit aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen.
Wir verwenden nur Speicherzugriffe, die für die von dir angeforderten Funktionen erforderlich sind. Rechtsgrundlage für das Speichern oder Auslesen auf deinem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; die anschließende Verarbeitung erfolgt auf den jeweils in dieser Erklärung genannten DSGVO-Rechtsgrundlagen.
| Speicher | Zweck | Dauer |
|---|---|---|
| better-auth.session_token bzw. __Secure-better-auth.session_token | Sichere Anmeldung und Sitzungszuordnung | Bis zu 7 Tage; bei aktiver Nutzung verlängerbar |
| Kurzlebige Authentifizierungs-Cookies | Schutz von OAuth-, Magic-Link- und Anmeldevorgängen | Bis zum Abschluss oder Ablauf des Vorgangs |
| Sprachpräferenz | Anzeige der gewählten Sprache | Gemäß der technisch hinterlegten Cookie-Laufzeit oder bis zur Löschung |
| IndexedDB / Local Storage | Lokale Tabellendaten und Zuordnung eines Verarbeitungsauftrags | Tabellendaten bis zu 24 Stunden; Auftragskennung bis zur Verwendung oder manuellen Löschung |
Replicato bindet Videos von YouTube im erweiterten Datenschutzmodus über youtube-nocookie.com ein. Beim Laden eines Players wird eine Verbindung zu Servern von YouTube bzw. Google hergestellt. Dabei werden insbesondere IP-Adresse, Browser- und Geräteinformationen, die aufgerufene Seite sowie gegebenenfalls Informationen aus deinem Google-Konto verarbeitet und Speicherzugriffe auf deinem Endgerät vorgenommen. Anbieter ist Google Ireland Limited; eine Verarbeitung durch Google LLC in den USA ist möglich.
Das Laden erfolgt auf Grundlage deiner Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Du kannst eine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Für Übermittlungen in die USA stützt sich Google insbesondere auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework und, soweit erforderlich, EU-Standardvertragsklauseln.
Weitere Informationen: Datenschutzhinweise von Google
Neben den ausdrücklich genannten Dienstleistern können IT-, Hosting-, Kommunikations- und Beratungsdienstleister Daten erhalten, soweit dies für Betrieb, Support oder die Erfüllung rechtlicher Pflichten erforderlich ist. Behörden, Gerichte oder sonstige Stellen erhalten Daten nur, wenn wir hierzu gesetzlich verpflichtet sind oder dies zur Rechtsverfolgung erforderlich ist.
Bei Übermittlungen außerhalb des Europäischen Wirtschaftsraums prüfen wir, ob ein Angemessenheitsbeschluss nach Art. 45 DSGVO besteht. Andernfalls verwenden wir insbesondere die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO und prüfen erforderliche zusätzliche Schutzmaßnahmen. Eine Kopie der maßgeblichen Garantien kannst du über die oben genannte Kontaktadresse anfordern.
Soweit in dieser Erklärung keine feste Frist genannt ist, speichern wir personenbezogene Daten nur, solange sie für den jeweiligen Zweck erforderlich sind. Anschließend löschen oder anonymisieren wir sie, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Handels- und steuerrechtlich relevante Unterlagen können insbesondere sechs, acht oder zehn Jahre aufzubewahren sein. Daten zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen können bis zum Ablauf der jeweiligen Verjährungsfristen gespeichert werden.
Du bist nicht gesetzlich verpflichtet, uns personenbezogene Daten bereitzustellen. Ohne die für Konto, Anmeldung und die jeweils ausgewählte Funktion erforderlichen Daten können wir Replicato oder einzelne Funktionen jedoch nicht anbieten. Die Nutzung von Google- oder Microsoft-Login, KI-Zuordnung und YouTube ist freiwillig.
Unter den gesetzlichen Voraussetzungen hast du das Recht auf:
Wenn eine Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung bis zum Widerruf bleibt unberührt.
Widerspruch gegen berechtigte Interessen: Du kannst aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit gegen eine Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO Widerspruch einlegen. Wir verarbeiten die betreffenden Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.
Zur Ausübung deiner Rechte genügt eine Nachricht an [email protected]. Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns ist grundsätzlich das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach, zuständig: www.lda.bayern.de.
Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung einschließlich Profiling beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO).
Wir aktualisieren diese Datenschutzerklärung, wenn sich unsere Verarbeitung, unsere Dienstleister oder die Rechtslage ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.