Meteor-AI

Datenschutzerklärung

Stand: 14. Oktober 2026

1. Verantwortlicher

zuber-management, Inhaber Patrick Zuber
Eschelbacher Str. 46, 69242 Mühlhausen, Deutschland
E-Mail: info@meteor-ai.com

2. Welche Daten verarbeitet werden

2.1 Diese Website

  • Diese Website setzt keine Cookies, bindet keine Analyse- oder Werbedienste ein und lädt keine Schriften oder Icons von Dritten.
  • Beim Aufruf verarbeitet Vercel, das diese Website ausliefert (Abschnitt 4), technisch notwendige Verbindungsdaten (u. a. IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserkennung) in Server-Protokollen.
  • Schreibst du uns per E-Mail, verarbeiten wir Absender, Inhalt und Zeitpunkt, um deine Anfrage zu beantworten.

2.2 Die App

  • Kontodaten: Name, E-Mail-Adresse. Passwörter speichert die App nicht; die Anmeldung übernimmt Supabase Auth.
  • Inhalte: Chats, Anhänge, erzeugte Bilder, Einstellungen sowie Bibliothek (Prompts, Skills, Wissenselemente samt Dokumenten, Assistenten, Flows, HTML Apps).
  • Websuche: Ist die Websuche für ein Modell eingeschaltet, das nicht selbst sucht, geht der Anfang der letzten Eingabe (höchstens 400 Zeichen) als Suchanfrage an den Suchdienst Linkup (Abschnitt 4); die Treffer werden der Anfrage an das Modell beigefügt und als Quellen unter der Antwort gezeigt.
  • Nutzungsdaten: Zeitpunkt, Modell, benutzte Werkzeuge, Tokens und Kosten jeder Anfrage. Sie dienen der Abrechnung gegen Kontingent und Guthaben bzw. der Abrechnung des Verbrauchs im Plan Enterprise und enthalten keine Inhalte.
  • Abo und Zahlung: Plan, Abrechnungszeitraum, Status des Abos, Buchungen des Guthabens (Startguthaben, Kontingent, Aufladungen, Verrechnungen, Erstattungen) sowie die Kennungen von Kunde, Abo, Zahlungen und Rechnungen bei Stripe. Bei einer Anfrage auf den Plan Enterprise zusätzlich Zeitpunkt, Entscheidung und gegebenenfalls deren Begründung. Zahlungsdaten wie Karten- oder Kontonummer gibt man direkt bei Stripe ein; die App erhält und speichert sie nicht.
  • Technische Daten: Verbindungsdaten beim Laden der App (IP-Adresse, Zeitpunkt, abgerufene Datei) bei Vercel; Server-Protokolle bei Supabase; Fehlermeldungen, die die App bei Störungen an die Datenbank meldet.
  • Support: Anfragen über das Supportformular (Thema, Betreff, Beschreibung, Bearbeitungsstand). Auf Wunsch gehen Angaben zur Umgebung mit (App-Version, Seite, Fenstergröße, Sprache, Browserkennung), nie Chatinhalte.
  • Kündigung und Widerruf: Was über „Verträge hier kündigen“ oder „Vertrag widerrufen“ eingeht, auch ohne Anmeldung: Name, E-Mail-Adresse, Vertrag, Art und Zeitpunkt der Kündigung samt Grund bzw. Bestelldatum und Nachricht, dazu Datum und Uhrzeit des Eingangs. Gehört die Adresse zu einem Konto, wird die Erklärung ihm zugeordnet.
  • Herkunft bei der Registrierung: Konten entstehen nur im Europäischen Wirtschaftsraum und in der Schweiz. Dafür wird die IP-Adresse der Anfrage in der Datenbank gegen eine Liste von IP-Bereichen geprüft, ohne einen weiteren Dienst. Gelingt die Prüfung, wird die Adresse nicht gespeichert. Wird die Registrierung abgelehnt, werden Adresse, zugeordnetes Land, Zahl der Versuche und deren Zeitpunkte gespeichert und nach 180 Tagen gelöscht. Eine E-Mail-Adresse wird dabei nicht festgehalten.
  • E-Mails der App: Bestätigung der Registrierung, Passwort-Reset und Adresswechsel; dazu Mitteilungen zu Abo, Rechnungen, fehlgeschlagenen Zahlungen, Guthaben, einer Anfrage auf Enterprise und zur Löschung des Kontos sowie die Eingangsbestätigung einer Kündigung oder eines Widerrufs. Dafür werden Name, E-Mail-Adresse und der Inhalt der jeweiligen Mail – samt Bestätigungslink bzw. Betrag, Datum, Rechnungsnummer und Link zur Rechnung bei Stripe – an den Versanddienst übergeben (Abschnitt 4). Beim Wechsel der E-Mail-Adresse gehen Mails an die bisherige und an die neue Adresse: beide bestätigen den Wechsel, danach erhält die bisherige einen Hinweis auf die Änderung und die neue eine Bestätigung.

3. Zwecke und Rechtsgrundlagen

  • Konto, Chat, Bibliothek, Bilder, Support: Bereitstellung der vertraglichen Leistung, Art. 6 Abs. 1 lit. b DSGVO.
  • Nutzungsdaten und Abrechnung: Vertragserfüllung (lit. b) und berechtigtes Interesse an einer nachvollziehbaren Kostenkontrolle (lit. f).
  • Abo, Zahlung, Guthaben und Erstattung: Vertragserfüllung (lit. b). Dass Stripe schon mit der Bestätigung der E-Mail-Adresse einen Kundendatensatz anlegt, stützt sich auf das berechtigte Interesse, einen späteren Abschluss ohne Verzögerung abwickeln zu können (lit. f).
  • Betriebssicherheit, Fehlerprotokoll, Registrierungsprüfung, Server-Protokolle: berechtigtes Interesse an sicherem, stabilem Betrieb und an der Begrenzung der Registrierung auf den EWR und die Schweiz (lit. f).
  • E-Mail-Kontakt: Vertragsanbahnung bzw. -erfüllung (lit. b) oder berechtigtes Interesse an der Beantwortung von Anfragen (lit. f).
  • Kündigung und Widerruf: Vertragserfüllung (lit. b) und rechtliche Verpflichtung, Kündigungen und Widerrufe elektronisch anzunehmen und ihren Eingang zu bestätigen (§§ 312k, 356a BGB; lit. c).
  • Handels- und steuerrechtliche Aufbewahrung: rechtliche Verpflichtung, Art. 6 Abs. 1 lit. c DSGVO.

4. Empfänger und Auftragsverarbeiter

Eingaben verlassen die App: Sie gehen über eine Serverfunktion an den EU-Endpunkt von Eden AI und von dort an die europäische Infrastruktur des jeweils gewählten Modellanbieters. Über diesen Endpunkt sind nur Modelle erreichbar, die in der EU rechnen; alle anderen sind gesperrt. Für die Modellverarbeitung gilt Zero Data Retention: Eingaben und Antworten werden dort weder gespeichert noch zum Training genutzt. Konten, Inhalte und Dateien liegen bei Supabase.

  • Supabase (Supabase Pte. Ltd., 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513) – Datenbank, Anmeldung, Dateispeicher, Serverfunktionen. Projektregion Frankfurt am Main (eu-central-1). Grundlage ist das Data Processing Addendum von Supabase nach Art. 28 DSGVO; es ist Teil der Nutzungsbedingungen von Supabase.
  • Eden AI (Eden AI SAS, 19 rue Louis Guérin, 69100 Villeurbanne, Frankreich) – Vermittler zu Sprach- und Bildmodellen. Verarbeitung ausschließlich in der EU über den EU-Endpunkt; Auftragsverarbeitungsvertrag mit Regelung zu Zero Data Retention.
  • Modellanbieter – verarbeiten die Anfrage im gewählten Modell, ausschließlich auf ihrer Infrastruktur in der EU; Eingaben und Antworten werden nicht gespeichert. Welche Modelle verfügbar sind, zeigt die Modellauswahl in der App.
  • Linkup (über Eden AI) – Websuche, wenn sie für ein Modell eingeschaltet ist, das nicht selbst sucht. Erhält nur die Suchanfrage (Anfang der letzten Eingabe, höchstens 400 Zeichen), keine Konto- oder sonstigen Inhalte. Die Anfrage läuft über den EU-Endpunkt von Eden AI; Grundlage ist der Auftragsverarbeitungsvertrag mit Eden AI.
  • Plunk (Coenraetsstraat 72, 1060 Brüssel, Belgien) – Versand der E-Mails der App (Bestätigung, Passwort-Reset, Adresswechsel; Abo, Rechnungen, Guthaben, Kontolöschung). Speicherung in der EU (Hetzner, Deutschland), Zustellung über Amazon Web Services in der Region eu-north-1 (Stockholm). Grundlage ist der Auftragsverarbeitungsvertrag von Plunk nach Art. 28 DSGVO.
  • Vercel (Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA) – liefert die Dateien der App unter app.meteor-ai.com und diese Website unter meteor-ai.com aus. Projektregion Frankfurt am Main (fra1); die Dateien selbst kommen über das Netz von Vercel vom jeweils nächstgelegenen Standort. Dabei werden Verbindungsdaten verarbeitet (IP-Adresse, Zeitpunkt, abgerufene Datei, Browserkennung), keine Konten und keine Inhalte. Grundlage ist das Data Processing Addendum von Vercel nach Art. 28 DSGVO, das für unseren Tarif Teil des Vertrags ist.
  • Stripe (Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland) – Zahlungsabwicklung: Abschluss und Kündigung des Abos, Aufladen und Erstatten von Guthaben, Rechnungen und Kundenportal. Sobald die E-Mail-Adresse bestätigt ist, erhält Stripe Name, E-Mail-Adresse und die Kennung des Kontos. Wird die E-Mail-Adresse später gewechselt, erhält Stripe nach Abschluss des Wechsels die neue Adresse, damit Rechnungen und Kundenportal sie zeigen. Zahlungsdaten und Rechnungsadresse gibt man direkt bei Stripe ein. Soweit Stripe Zahlungen in unserem Auftrag abwickelt, ist Stripe Auftragsverarbeiter; Grundlage ist die Datenverarbeitungsvereinbarung von Stripe, die Teil des Vertrags mit Stripe ist. Für eigene Zwecke – etwa Betrugsprävention, Prüfungen nach dem Geldwäschegesetz und andere gesetzliche Pflichten – ist Stripe selbst Verantwortlicher; dafür gilt die Datenschutzerklärung von Stripe.
  • Microsoft (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland) – E-Mail-Postfächer von meteor-ai.com (Exchange Online in Microsoft 365). Über sie gehen Mails an info@meteor-ai.com und support@meteor-ai.com ein und werden beantwortet; verarbeitet werden Absender, Inhalt, Anhänge und Zeitpunkt. Die Postfächer liegen in Rechenzentren in Deutschland; die Speicherung in der EU sichert Microsoft vertraglich zu (EU-Datengrenze). Grundlage ist das Data Protection Addendum von Microsoft nach Art. 28 DSGVO, das Teil der Produktbedingungen ist.
  • Europäische Zentralbank – die App ruft täglich den öffentlichen Referenzkurs ab; dabei werden keine Nutzerdaten übermittelt.

Sicherheit. Alle Verbindungen sind per TLS verschlüsselt. Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt. Jedes Konto sieht und ändert nur die eigenen Daten; die Regel gilt in der Datenbank selbst.

Drittlandübermittlung. Gespeichert und verarbeitet werden Konten, Inhalte, Modellanfragen und E-Mails ausschließlich in der EU. Zwei Dienstleister haben ihren Sitz außerhalb der EU, zwei weitere gehören zu Konzernen mit Sitz in den USA:

  • Supabase Pte. Ltd. (Singapur): Die Daten liegen in Frankfurt am Main. Soweit Supabase aus Singapur darauf zugreift, etwa für Betrieb und Support, ist das durch die Standardvertragsklauseln der EU-Kommission abgesichert, die Teil des Data Processing Addendum sind (Art. 46 Abs. 2 lit. c DSGVO).
  • Vercel Inc. (USA): Vercel ist nach dem EU-US Data Privacy Framework zertifiziert. Die Übermittlung der Verbindungsdaten stützt sich auf den Angemessenheitsbeschluss der EU-Kommission dazu (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln aus dem Data Processing Addendum von Vercel (Art. 46 Abs. 2 lit. c DSGVO).
  • Stripe: Vertragspartner ist die irische Gesellschaft; Daten können an die Stripe, LLC (vormals Stripe, Inc.) in den USA gehen. Stripe, LLC ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der Datenverarbeitungsvereinbarung von Stripe (Art. 46 Abs. 2 lit. c DSGVO).
  • Microsoft: Vertragspartner ist die irische Gesellschaft, die Postfächer liegen in Deutschland. Soweit die Microsoft Corporation in den USA darauf zugreift, etwa für Betrieb und Support: Sie ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln aus dem Data Protection Addendum von Microsoft (Art. 46 Abs. 2 lit. c DSGVO).

5. Speicherdauer

  • Konto und Inhalte: bis zur Löschung durch die Nutzenden. „Alle Daten löschen“ entfernt Chats, Bild-Gespräche, Bibliothek und Einstellungen sowie alle Dateien; „Konto löschen“ beendet ein laufendes Abo, erstattet den Rest des aufgeladenen Guthabens und entfernt dann die Dateien und das Konto.
  • Abrechnungszeilen und Buchungen des Guthabens: bleiben nach der Löschung erhalten, ohne Namen und E-Mail-Adresse, nur mit Kennung, als Beleg des Betreibers. Sie werden nach Ablauf der handels- und steuerrechtlichen Aufbewahrungsfrist gelöscht; für Buchungsbelege beträgt sie derzeit acht Jahre (§ 147 AO, § 257 HGB).
  • Bei Stripe: Kundendatensatz, Zahlungen und Rechnungen bleiben nach dem Löschen des Kontos bei Stripe bestehen: Rechnungen und Zahlungsbelege müssen aufbewahrt werden, und bei Enterprise folgt die Schlussrechnung erst nach dem Löschen. Stripe bewahrt sie nach seinen eigenen Fristen und den handels- und steuerrechtlichen Pflichten auf.
  • Support-Anfragen: bis der Support sie löscht, spätestens mit dem Löschen des Kontos.
  • Fehlerprotokoll: rund 90 Tage; wird ein Konto gelöscht, verlieren seine Einträge sofort den Bezug zum Konto.
  • E-Mails an info@ und support@: Anfragen ohne Vertragsbezug zwölf Monate nach Erledigung; Handels- und Geschäftsbriefe sechs Jahre (§ 257 HGB, § 147 AO); eine für eine Auszahlung mitgeteilte Bankverbindung so lange wie der Buchungsbeleg dazu.
  • Auszahlungen von Hand: Name, E-Mail-Adresse und Betrag acht Jahre ab dem Ende des Jahres der Auszahlung, als Buchungsbeleg (§ 147 AO), danach gelöscht.
  • Abgelehnte Registrierungen: 180 Tage.
  • Kündigungen und Widerrufe: drei Jahre ab dem Ende des Jahres, in dem sie eingingen (regelmäßige Verjährung, §§ 195, 199 BGB), danach gelöscht.
  • Anbieterwechsel nach dem Data Act: Name, E-Mail-Adresse, Fristen und Abschluss bleiben als Nachweis über das Konto hinaus erhalten, drei Jahre ab dem Ende des Jahres des Abschlusses, danach gelöscht.
  • Server-Protokolle: bei Supabase 7 Tage, bei Vercel höchstens einen Tag.
  • E-Mail-Versand: Plunk löscht Protokolle der Versandanfragen nach 30 Tagen. Zu jeder Empfängeradresse legt Plunk einen Kontakt an (E-Mail-Adresse, nicht für Newsletter angemeldet). Nach dem Löschen des Kontos entfernen wir diesen Kontakt, sobald die letzte Mail dazu verschickt ist – die Bestätigung der Löschung, bei Enterprise die zur Schlussrechnung.

6. Rechte der betroffenen Personen

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Wo die Verarbeitung auf einer Einwilligung beruht, kannst du sie jederzeit widerrufen. Wende dich dazu an info@meteor-ai.com. Vieles lässt sich in der App selbst erledigen, etwa Löschen und Ändern der Kontodaten.

Du kannst dich bei einer Aufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, poststelle@lfdi.bwl.de.

7. Speicherung im Browser

Die App legt im lokalen Speicher des Browsers ab: das Sitzungstoken, einen Spiegel der Einstellungen (damit das Design sofort stimmt), einen Spiegel der Berechtigungen (damit die Seitenleiste sofort stimmt) und einen Zwischenspeicher des Modellkataloges. Das dient allein dem Betrieb. Es findet kein Tracking statt, und es werden keine Daten für Werbung ausgewertet. Diese Website legt nur dann etwas im Browser ab, wenn der Umschalter für helles oder dunkles Design benutzt wird: die gewählte Fassung, damit sie auf allen Seiten gilt. Sie wird nicht übertragen und lässt sich mit den Browserdaten löschen.

8. Automatisierte Entscheidungen

Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO statt.

9. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung. Frühere Fassungen schicken wir auf Anfrage.

  • Fassung vom 14. Oktober 2026: Der Plan mit Abrechnung nach Verbrauch heißt jetzt Enterprise statt Ultimate (Abschnitte 2.2 und 5); an der Verarbeitung ändert sich nichts.
  • Fassung vom 13. Oktober 2026: Websuche über Linkup ergänzt (Abschnitte 2.2 und 4); Weitergabe der neuen E-Mail-Adresse an Stripe nach einem Adresswechsel und Mails an bisherige und neue Adresse; Microsoft als Anbieter der E-Mail-Postfächer (Abschnitt 4); Speicherdauer von Support-Anfragen, Fehlerprotokoll, E-Mails, Auszahlungen von Hand und Anbieterwechseln (Abschnitt 5).
  • Fassung vom 11. Oktober 2026: erste Fassung.