Datenschutzerklärung

Stand: 29. Mai 2026

1. Verantwortlicher

Pascal Zagarolo
Bozenerstraße 26
42659 Solingen, Deutschland
E-Mail: hello@ctrlk.de

2. Allgemeine Hinweise

Diese Datenschutzerklärung klärt dich über Art, Umfang und Zweck der Verarbeitung personenbezogener Daten innerhalb der Website ctrlk.de auf. Ctrl K ist derzeit eine Vor-Launch-Landingpage. Die einzige aktive Datenverarbeitung ist die Anmeldung zur Waitlist und das technisch notwendige Server-Logging durch unseren Hosting-Anbieter.

3. Welche Daten verarbeiten wir?

3.1 Beim Besuch der Website (Hosting)

Beim Aufruf der Website erhebt unser Hosting-Anbieter, die Vercel Inc., 340 S Lemon Ave #4133, Walnut, CA 91789, USA, automatisch technische Informationen in Server-Logfiles, die dein Browser an uns übermittelt:

• IP-Adresse (gekürzt / anonymisiert)
• Datum und Uhrzeit des Zugriffs
• Aufgerufene Seite (URL)
• Browser-Typ und Browser-Version
• Betriebssystem
• Referrer-URL (vorher besuchte Seite)

Diese Daten dienen ausschließlich der technischen Sicherheit und der Bereitstellung der Website. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb).

Hinweis zur Übermittlung in Drittländer: Vercel verarbeitet Daten in den USA. Mit Vercel bestehen Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO als geeignete Garantie für das Schutzniveau.

3.2 Bei Anmeldung zur Waitlist

Wenn du dich für die Waitlist anmeldest, verarbeiten wir:

• deine E-Mail-Adresse
• den Zeitpunkt der Anmeldung und der Bestätigung
• einen kryptografischen Hash deiner IP-Adresse (SHA-256-Präfix, nicht zurückrechenbar) ausschließlich zur Spam-Abwehr
• deinen User-Agent (Browser-Kennung) zur Missbrauchsabwehr

Zweck: Information über den Launch von Ctrl K, Early Access, Meilensteine und ein Heads-up vor dem Start. Keine Newsletter, kein Tracking.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Die Einwilligung erfolgt aktiv durch das Anhaken der Checkbox im Formular und wird durch Klick auf den Bestätigungslink in einer separaten E-Mail verifiziert (Double Opt-In).

Speicherdauer: Bis zum Widerruf der Einwilligung. Unbestätigte Anmeldungen (kein Klick auf den Bestätigungslink innerhalb von 7 Tagen) werden ungültig und beim nächsten Anmeldeversuch überschrieben. Du kannst deine Einwilligung jederzeit per Nachricht an hello@ctrlk.de widerrufen — dann löschen wir deine Daten umgehend.

3.3 E-Mail-Versand

Den Versand der Bestätigungs-E-Mail und späterer Updates wickeln wir über die Resend Inc., 2261 Market Street #4936, San Francisco, CA 94114, USA, ab. Resend erhält dazu deine E-Mail-Adresse, Datum und Inhalt der Nachricht. Mit Resend besteht ein Auftragsverarbeitungsvertrag (AVV) sowie Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO.

3.4 Datenbank

Die Waitlist-Daten liegen in einer Neon Postgres-Datenbank (Neon Inc., 209 Havemeyer St #5, Brooklyn, NY 11211, USA), bezogen über den Vercel Marketplace. Datenverarbeitung erfolgt in der EU-Region Frankfurt (eu-central-1). Mit Neon bestehen die im Marketplace hinterlegten AVV und SCC.

3.5 Login mit Google (OAuth)

Wenn du dich für „Mit Google anmelden" entscheidest, leiten wir dich auf eine Seite der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland weiter. Dort authentifizierst du dich direkt bei Google. Nach erfolgreicher Anmeldung erhalten wir von Google nur die folgenden Daten zu deiner Person: stabile Google-Nutzer-ID (sogenannte „sub"), deine E-Mail-Adresse, Bestätigungsstatus deiner E-Mail-Adresse, deinen angezeigten Namen sowie deinen Profilbild-Link.

Diese Daten verwenden wir ausschließlich, um dein Konto zu erstellen oder ein bestehendes Konto mit gleicher E-Mail mit deiner Google-Identität zu verknüpfen. Beim reinen Login greifen wir nicht auf deine Gmail-Inhalte, Kontakte, Kalender oder andere Google-Dienste zu — der Berechtigungsumfang ist auf openid email profile beschränkt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-erfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer bequemen und sicheren Anmeldung). Mit Google bestehen Standardvertragsklauseln (SCC) gemäß Art. 46 DSGVO für die Übermittlung in die USA, sofern die Verarbeitung dort erfolgt.

Speicherdauer: Die Verknüpfung zu deiner Google-Identität bleibt bestehen, solange du dein Konto bei uns nutzt. Du kannst die Verknüpfung jederzeit per Nachricht an hello@ctrlk.de aufheben lassen.

3.6 Gmail-Verbindung (optional)

Wenn du in den Konto-Einstellungen aktiv „Mit Gmail verbinden" wählst, erweitern wir den Google-Berechtigungs­umfang um https://www.googleapis.com/auth/gmail.modify. Dieser Scope umfasst sowohl das Lesen als auch das Setzen und Entfernen von Labels (z. B. „INBOX", „UNREAD") für Nachrichten in deinem Postfach. Die Erweiterung ist nicht Teil des regulären Logins und passiert ausschließlich auf deine explizite Aktion hin. Du musst sie in einem separaten Google-Consent-Dialog bestätigen.

Was wir aus Gmail lesen (regelmäßig, alle ~5 Minuten + beim Öffnen des Foyers):

• Metadaten der letzten ungelesenen Nachrichten deines Posteingangs: Absender-Name und -E-Mail, Betreff, Empfangszeitpunkt, Gmail-Nachrichten-ID und Thread-ID, Lesestatus
• den von Google generierten Snippet (kurzer Vorschau-Text der ersten ~150 Zeichen der Nachricht), den Google selbst aus deinen Mails ableitet
• beim Öffnen einer einzelnen Nachricht zusätzlich den Plain-Text-Body live von Gmail; dieser Body wird ausschließlich im Browser angezeigt und nicht in unserer Datenbank gespeichert

Was wir in Gmail zurückschreiben (nur als Reaktion auf deine konkreten Klicks):

• Archivieren einer Nachricht entfernt das „INBOX"-Label in Gmail (gleiches Verhalten wie der „Archiv"-Button in Gmail selbst)
• Als gelesen markieren entfernt das „UNREAD"-Label

Wir löschen niemals Nachrichten, ändern keine Betreffe oder Inhalte, verfassen keine Antworten und greifen nicht auf Anhänge zu. Auch wenn der gewählte Google-Scope theoretisch mehr erlauben würde, beschränken wir unsere tatsächlichen API-Aufrufe auf die oben genannten Operationen.

Zweck: Universal-Inbox im Foyer — du siehst deine wichtigsten ungelesenen Mails neben Notizen, Kanälen und Erwähnungen ohne in Gmail wechseln zu müssen. Wir nutzen die Daten nicht zum Profiling, nicht für KI-Training, nicht zur Weitergabe an Dritte.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung durch den Google-Consent + die bewusste Aktivierung in den Konto-Einstellungen).

Speicherung: Die Gmail-OAuth-Tokens (Access- und Refresh-Token) liegen AES-256-GCM-verschlüsselt in der Datenbank; der Schlüssel liegt in einer separaten Umgebungsvariable und nicht in der DB. Die abgerufenen Metadaten werden in der `inbox_items`-Tabelle gespeichert und bleiben bestehen bis du sie archivierst oder die Verbindung trennst.

Widerruf: Du kannst die Verbindung jederzeit in den Konto-Einstellungen unter „Integrationen → Gmail" mit einem Klick trennen. Wir rufen dann sofort Google's Token-Revoke-Endpoint auf und löschen die Tokens lokal. Die bereits gespeicherten Metadaten werden zusätzlich auf Anfrage an hello@ctrlk.de entfernt. Unabhängig davon kannst du die Berechtigung auch direkt in den Google-Konto-Berechtigungen widerrufen.

3.7 Reichweitenmessung (Analytics)

Wir nutzen Vercel Analytics. Vercel Analytics funktioniert cookieless und verzichtet auf personenbezogene Identifikatoren. IP-Adressen werden vor der Auswertung gehasht und nicht gespeichert. Es findet kein geräteübergreifendes Tracking statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen statistischen Reichweitenmessung). Da keine zugriffsbedingte Speicherung im Endgerät (TTDSG § 25) erfolgt, ist keine Einwilligung erforderlich.

4. Cookies

Diese Website setzt keine Cookies — weder technisch notwendige (über das hinaus, was Vercel als Hosting-Plattform gegebenenfalls für Sicherheitszwecke setzt) noch Tracking- oder Marketing-Cookies. Aus diesem Grund verzichten wir auf einen Cookie-Banner.

5. Empfänger der Daten

Personenbezogene Daten werden an folgende Auftragsverarbeiter weitergegeben:

• Vercel Inc. — Hosting
• Neon Inc. — Datenbank
• Resend Inc. — E-Mail-Versand
• Google Ireland Limited — optional, nur wenn du dich für „Mit Google anmelden" oder „Mit Gmail verbinden" entscheidest

Eine Weitergabe an andere Dritte (Werbenetzwerke, Datenhändler, Behörden außerhalb gesetzlicher Pflichten) findet nicht statt.

6. Deine Rechte

Du hast jederzeit das Recht auf:

• Auskunft über deine gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung deiner Daten (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Widerruf deiner Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Zur Ausübung deiner Rechte reicht eine formlose E-Mail an hello@ctrlk.de.

Zuständige Aufsichtsbehörde: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, ldi.nrw.de.

7. Änderungen dieser Erklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, sobald sich die zugrundeliegende Verarbeitung ändert oder neue rechtliche Anforderungen entstehen. Die jeweils aktuelle Version findest du immer auf dieser Seite.