Stand / Last updated: Juli / July 2026 · DSGVO / GDPR compliant
Name
Martin Philipp Hesse
Adresse
An der Steinkaute 5a
64367 Mühltal, Deutschland
Steuernummer
Wird nach Bekanntgabe ergänzt
Verantwortlicher im Sinne der DSGVO und anderer nationaler Datenschutzgesetze ist die oben genannte natürliche Person.
Wir erheben ausschließlich Daten, die zur Erbringung unseres Dienstes erforderlich sind:
| Datenkategorie | Details | Zeitpunkt |
|---|---|---|
| Kontodaten | E-Mail-Adresse, verschlüsseltes Passwort (Firebase Auth) | Registrierung |
| Dokumente | Hochgeladene Bilder/PDFs – temporär im EU-Speicher | Jeder Scan |
| Briefinhalt (verschlüsselt übertragen) | Brieftext wird TLS-verschlüsselt zur KI-Analyse in die EU-Region Frankfurt übertragen | Bei Analyse |
| Analyseergebnis | KI-generierte Zusammenfassung, Aktionspunkte, Metadaten (Betrag, Frist, Kategorie) | Nach Analyse |
| Nutzungsdaten | Anzahl Scans, Antworten, Chat-Nachrichten pro Monat (für Plan-Limits) | Laufend |
| Einstellungen | Sprache, Archivierungseinstellungen, Benachrichtigungspräferenzen | Bei Änderung |
| Zahlungsdaten | Ausschließlich durch Stripe verarbeitet – wir speichern keine Kartendaten | Upgrade (optional) |
| Zweck | Rechtsgrundlage (DSGVO) |
|---|---|
| Bereitstellung des Dienstes (Scan, Analyse, Zusammenfassung) | Art. 6 Abs. 1 lit. b – Vertragserfüllung |
| Authentifizierung & Kontosicherheit | Art. 6 Abs. 1 lit. b – Vertragserfüllung |
| Nutzungslimits & Plan-Verwaltung | Art. 6 Abs. 1 lit. b – Vertragserfüllung |
| Zahlungsabwicklung | Art. 6 Abs. 1 lit. b – Vertragserfüllung |
| Datenschutz-Einwilligung bei Registrierung | Art. 6 Abs. 1 lit. a – Einwilligung |
| Erfüllung gesetzlicher Aufbewahrungspflichten | Art. 6 Abs. 1 lit. c – Rechtliche Verpflichtung |
| Betrugsprävention & Sicherheit | Art. 6 Abs. 1 lit. f – Berechtigtes Interesse |
Mit allen Anbietern bestehen Auftragsverarbeitungsverträge (AVV) bzw. geeignete Garantien nach Art. 46 DSGVO:
| Anbieter | Zweck | Standort | Garantie |
|---|---|---|---|
| Google FirebaseGoogle Ireland Ltd. | Hosting, Datenbank, Speicher, Auth | EU (Frankfurt) | AVV mit Google |
| Google Analytics / Google AdsGoogle Ireland Ltd. | Reichweitenmessung & Werbung (nur nach Einwilligung) – niemals Briefinhalte | EU / USA | AVV + SCCs, EU-US Data Privacy Framework |
| Amazon Web Services (Bedrock)Amazon Web Services EMEA SARL | KI-Analyse des Briefinhalts mit Claude (Anthropic) – Verarbeitung in der EU | EU (Frankfurt, eu-central-1) | AVV mit AWS (inkl. SCCs) |
| StripeStripe Payments Europe Ltd. | Zahlungsabwicklung (nur kostenpflichtige Pläne) | EU / USA | AVV + SCCs |
| RevenueCatRevenueCat, Inc. (USA) | Abwicklung & Verwaltung von In-App-Käufen (nur iOS-App); erhält Nutzer-ID und Kaufstatus – niemals Briefinhalte | USA | AVV + SCCs (Art. 46 DSGVO) |
Eine Weitergabe an weitere Dritte findet nicht statt, sofern keine gesetzliche Verpflichtung besteht.
| Datenart | Standardspeicherdauer | Deine Kontrolle |
|---|---|---|
| Originaldokumente (Bilder/PDFs) | Bis zur manuellen Löschung | Einzeln oder alle auf einmal löschbar |
| Analyseergebnisse | Bis zur manuellen Löschung | Einzeln oder alle auf einmal löschbar |
| Kontodaten | Bis zur Kontoauflösung | Konto jederzeit in den Einstellungen löschbar |
| Nutzungsstatistiken | Monatlich; ältere Daten automatisch gelöscht | Entfällt bei Kontoauflösung |
Bei Löschung deines Kontos werden sämtliche Daten – inkl. aller Dokumente im Firebase Storage – unwiderruflich gelöscht.
Als betroffene Person stehen dir nach DSGVO folgende Rechte zu – kostenlos und ohne Begründungspflicht:
Zur Ausübung deiner Rechte: support@xplainly.app – Antwort innerhalb von 30 Tagen.
Zuständige Aufsichtsbehörde: Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), Postfach 3163, 65021 Wiesbaden – datenschutz.hessen.de
Einwilligung. Nicht notwendige Dienste – insbesondere Google Analytics und Google Ads – werden erst nach Deiner ausdrücklichen Einwilligung geladen. Beim ersten Besuch erscheint ein Einwilligungsbanner, über das Du diese Dienste akzeptieren oder ablehnen kannst. Wir setzen dabei den Google Consent Mode ein: Ohne Deine Einwilligung werden keine Analyse- oder Werbe-Cookies gesetzt und keine personenbezogenen Daten zu diesen Zwecken an Google übermittelt. Rechtsgrundlage ist Deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen – über die Schaltfläche Cookie-Einstellungen weiter unten. Der Widerruf berührt nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung.
Technisch notwendige Speicherung – für den Betrieb zwingend erforderlich und ohne Einwilligung zulässig (§ 25 Abs. 2 TDDDG):
Google Analytics 4. Nach Deiner Einwilligung nutzen wir Google Analytics 4 (Google Ireland Ltd., Dublin) zur Reichweiten- und Performance-Messung – auf unserer Website und in der App. Erfasst werden pseudonymisierte Nutzungsdaten (z. B. Seitenaufrufe, App-Start, „Scan abgeschlossen", ungefährer Standort, Geräte- und Browserdaten); die IP-Adresse wird gekürzt. Niemals werden dabei Briefinhalte erfasst. Google verarbeitet diese Daten in unserem Auftrag (AVV); eine Übermittlung an die Google LLC in den USA ist möglich, abgesichert über das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln (Art. 46 DSGVO). Die nutzerbezogene Datenaufbewahrung ist auf max. 14 Monate begrenzt.
Google Ads – Conversion-Tracking & Remarketing. Nach Deiner Einwilligung setzen wir Google Ads (Google Ireland Ltd.) ein, um den Erfolg unserer Anzeigen zu messen und interessenbezogene Werbung auszuspielen. Klickst Du auf eine unserer Anzeigen, wird eine Klick-Kennung (z. B. gclid) verarbeitet; führst Du anschließend eine bestimmte Aktion aus (z. B. einen Brief analysieren), kann Google diese der Anzeige zuordnen. Wir erhalten dabei keine Daten, die Dich persönlich identifizieren. Rechtsgrundlage, Auftragsverarbeitung und USA-Transfer entsprechen den Angaben zu Google Analytics. Mehr: policies.google.com/technologies/ads.
Wir behalten uns vor, diese Datenschutzerklärung bei rechtlichen oder technischen Änderungen anzupassen. Über wesentliche Änderungen informieren wir registrierte Nutzer per E-Mail mindestens 14 Tage im Voraus.
Das Datum der letzten Aktualisierung ist stets oben auf dieser Seite angegeben.
Datenschutzanfragen
Verantwortlicher
Martin Philipp Hesse
An der Steinkaute 5a
64367 Mühltal
Aufsichtsbehörde Hessen
Name
Martin Philipp Hesse
Address
An der Steinkaute 5a
64367 Mühltal, Germany
Tax Number
To be added upon receipt
The data controller within the meaning of the GDPR and other applicable data protection laws is the natural person identified above.
We only collect data strictly necessary to provide our service:
| Category | Details | When |
|---|---|---|
| Account data | Email address, encrypted password (Firebase Auth) | Registration |
| Documents | Uploaded letter images/PDFs – stored temporarily in EU | Each scan |
| Letter content (encrypted transfer) | Letter text transmitted via TLS-encrypted connection to AI processing in the EU region Frankfurt | On analysis |
| Analysis results | AI-generated summary, action items, metadata (amount, deadline, category) | After analysis |
| Usage data | Number of scans, replies, chat messages per month (for plan limits) | Ongoing |
| Preferences | Language, archiving settings, notification preferences | On change |
| Payment data | Processed exclusively by Stripe – we never store card details | Upgrade (optional) |
| Purpose | Legal Basis (GDPR) |
|---|---|
| Provision of the service (scan, analysis, summary) | Art. 6(1)(b) – Contract performance |
| Authentication & account security | Art. 6(1)(b) – Contract performance |
| Usage limits & plan management | Art. 6(1)(b) – Contract performance |
| Payment processing | Art. 6(1)(b) – Contract performance |
| Privacy consent at sign-up | Art. 6(1)(a) – Consent |
| Compliance with legal retention obligations | Art. 6(1)(c) – Legal obligation |
| Fraud prevention & security | Art. 6(1)(f) – Legitimate interest |
Data processing agreements (DPA) and appropriate GDPR safeguards (Art. 46) are in place with each provider:
| Provider | Purpose | Location | Safeguard |
|---|---|---|---|
| Google FirebaseGoogle Ireland Ltd. | Hosting, database, storage, authentication | EU (Frankfurt) | DPA with Google |
| Google Analytics / Google AdsGoogle Ireland Ltd. | Reach measurement & advertising (consent-based) – never letter content | EU / USA | DPA + SCCs, EU-US Data Privacy Framework |
| Amazon Web Services (Bedrock)Amazon Web Services EMEA SARL | AI analysis of letter content with Claude (Anthropic) – processed in the EU | EU (Frankfurt, eu-central-1) | DPA with AWS (incl. SCCs) |
| StripeStripe Payments Europe Ltd. | Payment processing (paid plans only) | EU / USA | DPA + SCCs |
| RevenueCatRevenueCat, Inc. (USA) | Processing & management of in-app purchases (iOS app only); receives user ID and purchase status – never letter content | USA | DPA + SCCs (Art. 46 GDPR) |
We do not share your data with any other third parties unless required by law.
| Data type | Default retention | Your control |
|---|---|---|
| Original documents (images/PDFs) | Until manually deleted | Delete individually or all at once |
| Analysis results | Until manually deleted | Delete individually or all at once |
| Account data | Until account deletion | Delete account in Settings at any time |
| Usage statistics | Monthly; older records auto-deleted | Removed upon account deletion |
When you delete your account, all stored data – including every document in Firebase Storage – is permanently and irreversibly erased.
Under the GDPR you have the following rights – free of charge and without having to provide reasons:
To exercise your rights: support@xplainly.app – we respond within 30 days.
The supervisory authority for our registered address is the Hessian Commissioner for Data Protection and Freedom of Information (HBDI), P.O. Box 3163, 65021 Wiesbaden – datenschutz.hessen.de
Consent. Non-essential services – in particular Google Analytics and Google Ads – are only loaded after your explicit consent. On your first visit a consent banner appears where you can accept or decline these services. We use Google Consent Mode: without your consent, no analytics or advertising cookies are set and no personal data is sent to Google for these purposes. The legal basis is your consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG). You can withdraw it at any time with effect for the future – via the Cookie settings button below. Withdrawal does not affect the lawfulness of processing carried out beforehand.
Strictly necessary storage – required for operation and permitted without consent (§ 25(2) TDDDG):
Google Analytics 4. With your consent we use Google Analytics 4 (Google Ireland Ltd., Dublin) for reach and performance measurement – on our website and in the app. It records pseudonymised usage data (e.g. page views, app start, "scan completed", approximate location, device and browser data); the IP address is truncated. It never records letter content. Google processes this data on our behalf (DPA); a transfer to Google LLC in the USA is possible, safeguarded by the EU-US Data Privacy Framework and the EU Standard Contractual Clauses (Art. 46 GDPR). User-level data retention is limited to a maximum of 14 months.
Google Ads – conversion tracking & remarketing. With your consent we use Google Ads (Google Ireland Ltd.) to measure the success of our ads and to show interest-based advertising. When you click one of our ads, a click identifier (e.g. gclid) is processed; if you then perform a certain action (e.g. analysing a letter), Google can attribute it to the ad. We receive no data that personally identifies you. Legal basis, data processing and US transfer are as described for Google Analytics. More: policies.google.com/technologies/ads.
We reserve the right to update this Privacy Policy to reflect legal or technical changes. We will notify registered users of material changes by email at least 14 days in advance.
The date of the last update is always shown at the top of this page.
Privacy enquiries
Data controller
Martin Philipp Hesse
An der Steinkaute 5a
64367 Mühltal, Germany
Supervisory authority (Hesse)