1. Verantwortlicher
Samin Sabahudin Grahich (Apiboo), Traunaustraße 29/13, 4600 Wels, Österreichist Verantwortlicher für die von Apiboo verarbeiteten personenbezogenen Daten (siehe Impressum). Kontakt: hello@apiboo.com.
2. Local-First by Design
Die Apiboo-Desktop-App speichert Ihre Collections, Requests, Umgebungen und andere Arbeit standardmäßig lokal auf Ihrem Gerät. Cloud-Sync, Team-Workspaces und andere serverbasierte Funktionen sind optional und senden nur dann Daten an unsere Server, wenn Sie sie aktivieren.
3. Was wir erheben und warum
Kontodaten (E-Mail, Name, Authentifizierungs-IDs) — zur Erstellung und Absicherung Ihres Kontos (Vertragserfüllung). Daten, die Sie synchronisieren oder teilen — zur Bereitstellung der von Ihnen genutzten Funktionen (Vertragserfüllung). Abrechnungsdaten — verarbeitet durch Stripe; wir speichern Abo-Status und Rechnungen, keine vollständigen Kartennummern (Vertrags-/gesetzliche Pflicht). Transaktions-E-Mails (Verifizierung, Passwort-Reset, Einladungen) — versendet über Resend (Vertragserfüllung). Betriebslogs (Login-IP-Adresse und ungefährer Standort (Land/Region), Zeitstempel, Request-Metadaten an unsere eigene API) — für Kontosicherheit, Betrugs- und Missbrauchsprävention sowie Rate-Limiting (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Die Standortbestimmung erfolgt auf unseren eigenen Servern (keine Datenübermittlung außerhalb der EU). Sicherheitsprotokolle mit vollständiger IP-Adresse werden 90 Tage aufbewahrt und dann gelöscht; nur gekürzte / aggregierte Statistiken werden länger gespeichert. Missbrauchsschutz (die IP-Adresse, von der aus eine Newsletter-Anmeldung oder die Einlösung eines Aktionscodes erfolgt ist) — damit Anmeldeformulare, kostenlose Testphasen und Rabattcodes nicht wiederholt von derselben Quelle eingelöst werden können und wir automatisierten Missbrauch unterbinden können (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO; Erwägungsgrund 49 erkennt Netz- und Informationssicherheit ausdrücklich als solches Interesse an). Wir speichern die vollständige Adresse und keine gekürzte Fassung, weil eine gekürzte Fassung unbeteiligte Personen im selben Netz zusammenfassen und zu falschen Verdächtigungen führen würde. Diese Adressen werden 90 Tage nach ihrer Erfassung gelöscht und unterliegen wie alle übrigen Daten den unten genannten Auskunfts- und Löschrechten. Update-Prüfungen (App-Version, Betriebssystem und CPU-Architektur, die beim Update-Check der Desktop-App übermittelt werden, sowie das Land, aus dem Ihre Verbindung kommt) — damit wir sehen, wie viele Installationen aktiv sind, ungefähr wo sie sich befinden und welche Versionen noch im Einsatz sind, woraus sich ergibt, wie lange wir ältere Releases unterstützen und wo wir unsere Server betreiben (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Das Land wird auf unseren eigenen Servern im Arbeitsspeicher im Moment der Anfrage aus Ihrer IP-Adresse anhand einer lokalen Datenbank ermittelt; die Adresse selbst wird dafür nicht gespeichert und nicht weitergegeben. Diese Tageszählwerte enthalten keine Kennung, keine Verknüpfung mit Ihrem Konto und keine IP-Adresse — nur tagesweise aggregierte Zählwerte pro Land. Ab Version 1.0.6 trägt dieselbe Anfrage zusätzlich den Lizenzschlüssel der Installation, siehe nächster Punkt. Installationslizenz (ab Desktop-App 1.0.6) — beim ersten Start erzeugt die App eine zufällige Installations-ID (sie wird nicht aus Ihrem Gerät abgeleitet: keine Hardware-Seriennummer, Netzwerkadresse, kein Computer- oder Benutzername) und registriert sie einmalig; unser Server antwortet mit einem kostenlosen, signierten Lizenzschlüssel für diese Installation. Der Schlüssel wird mit der Update-Prüfung übermittelt und, wenn Sie sich anmelden, mit Ihrem Konto verknüpft. Wir speichern die Lizenz, einen Einweg-Hash der Installations-ID, den ersten und letzten Tag, an dem sie gesehen wurde, den Zeitpunkt ihrer letzten Update-Prüfung, die laufende App-Version, Betriebssystem, CPU-Architektur und das Land, aus dem Ihre Verbindung kam — niemals die IP-Adresse. Wir nutzen dies, um die Lizenz bereitzustellen und zu verwalten (später auch kostenpflichtige Stufen) und um eindeutige Installationen zu zählen, statt sie aus Tagessummen zu schätzen (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO, und berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Installationen, die 24 Monate nicht gesehen wurden, werden automatisch gelöscht. Der Schlüssel selbst enthält keine Nutzungsdaten. Newsletter (nur wenn du ihn möchtest — auf der Website oder durch Anhaken des Kästchens bei der Kontoerstellung) — deine E-Mail-Adresse, wann und wo du dich angemeldet hast und wann du eingewilligt hast, damit wir dir Produktneuigkeiten schicken können. Das Anhaken bei der Registrierung gilt als Bestätigung, sobald deine Adresse verifiziert ist; es kommt keine zweite Bestätigungsmail. Du kannst dich jederzeit über den Link in jedem Newsletter abmelden und damit deine Einwilligung widerrufen (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO). Zahlungen für eine Lizenz oder Unterstützung — wenn du eine Lizenz kaufst oder Apiboo unterstützt, verarbeitet Stripe die Zahlung und die Kartendaten; wir erhalten und speichern Betrag, Währung, Status, die Stripe-Zahlungs- und Abonnement-IDs und — beim Kauf in der App — die Installationslizenz, zu der der Kauf gehört, damit die Lizenz aktiviert und die Zahlung unseren Administratoren angezeigt werden kann. Kartendaten speichern wir nicht. Die beim Bezahlen angegebene E-Mail-Adresse wird einmal für den Versand deines Aktivierungsschlüssels verwendet (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO; Buchführung, Art. 6 Abs. 1 lit. c DSGVO). Funktionsnutzung (optional) — nur solange „Nutzungsdaten senden“ in den Einstellungen der App eingeschaltet ist (jederzeit abschaltbar): höchstens einmal täglich die Namen der App-Funktionen, die diese Installation an dem Tag genutzt hat (zum Beispiel „Terminal“, „PowerShell“, „Vault entsperrt“ oder welcher KI-Coding-Agent den MCP-Server der App aufgerufen hat), zusammen mit dem Lizenzschlüssel — damit wir wissen, wie viele Installationen welche Funktion nutzen und was wir verbessern sollten (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Niemals Inhalte: keine Requests, Dateien, Befehle, Hosts oder von Ihnen eingegebenen Namen. Die Daten werden zusammen mit dem Installationsdatensatz gelöscht. Website-Statistiken (die Seite, die Sie auf apiboo.com öffnen, ob es die erste Seite Ihres Besuchs ist, die Website, die Sie hierher verlinkt hat (nur deren Adresse, nie die konkrete Seite), welchen Download-Button Sie anklicken, sowie — wenn ein Link eine Kampagnenkennung wie ?ref= trägt — der Name dieser Kampagne) — damit wir sehen, wie viele Besuche die Website erhält, welche Seiten gelesen werden, woher die Besucher kommen und wie viele Besuche zu einem Download führen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Gezählt wird auf unseren eigenen Servern, ausschließlich als Tagessummen. Wir speichern dafür weder ein Cookie noch eine Kennung in Ihrem Browser: Einige Markierungen im Session Storage Ihres Browsers halten fest, dass Ihr Besuch, Ihr erster Klick auf einen Download-Button und — falls Sie über einen Kampagnenlink gekommen sind — diese Ankunft bereits gezählt wurden; sie verschwinden, sobald Sie den Tab schließen. Für diese Statistiken behalten wir keine IP-Adresse, keine Browser-Signatur und keinen Hash von beidem, sodass sich nichts darin auf eine Person zurückführen lässt; Ihre Adresse wird nur für die Dauer des Rate-Limit-Fensters im Arbeitsspeicher gehalten und danach verworfen — wie überall sonst in unserer API.
4. Was wir nicht tun
Wir verkaufen keine personenbezogenen Daten und geben sie — abgesehen von der in Abschnitt 8 beschriebenen, nur mit Ihrer Einwilligung aktiven Google-Ads-Messung — nicht für kanalübergreifende verhaltensbasierte Werbung weiter, auch nicht in den vergangenen zwölf Monaten. Wir schalten Anzeigen bei Google und lassen Google — nur wenn Sie im Cookie-Banner zustimmen — messen, ob diese Anzeigen zu einem Besuch geführt haben (siehe Abschnitt 8); Ihre Daten verkaufen wir weiterhin nicht, und wir trainieren keine KI-Modelle mit Ihren Inhalten. KI-Assistenzfunktionen senden nur die konkreten Inhalte, die Sie beim Aufruf übermitteln.
5. Auftragsverarbeiter und Datenübermittlungen
Wir setzen eine kleine Anzahl an Auftragsverarbeitern ein: unsere eigenen Anwendungsserver, gehostet bei EU-basierten Infrastrukturanbietern; Stripe (Zahlungen); Resend (Transaktions-E-Mails); sowie — nur nachdem Sie im Cookie-Banner zugestimmt haben — Google Ireland Ltd (Conversion-Messung und Anzeigenpersonalisierung für Google Ads), wobei sich Übermittlungen in die USA auf das EU-US Data Privacy Framework und Standardvertragsklauseln stützen. Web-Schriften hosten wir selbst. Die Google-Tag-Bibliothek (gtag.js) wird auf jeder Seite von Google geladen — Google erhält dabei, wie bei jedem Skript-Download, Ihre IP-Adresse und die Seiten-URL —, setzt aber keine Cookies und übermittelt keine Kennungen, solange Sie das Cookie-Banner nicht akzeptiert haben. Werden Daten von einem Auftragsverarbeiter außerhalb des EWR verarbeitet, stützen sich Übermittlungen auf Angemessenheitsbeschlüsse oder Standardvertragsklauseln. Der KI-Assistent gehört nicht in diese Liste: Er nutzt einen von Ihnen bereitgestellten API-Schlüssel, und Ihre Eingaben gehen direkt von Ihrem Gerät an den von Ihnen gewählten Anbieter (Anthropic, OpenAI oder Google) — auf Grundlage Ihrer eigenen Vereinbarung mit diesem Anbieter, an der wir nicht beteiligt sind und deren Datenverkehr wir nie sehen. Übermittelt werden Ihre Nachrichten sowie die Ergebnisse der Aktionen, die der Assistent für Sie ausführt (etwa eine Anfrage-URL mit Status, ein Datenbankschema oder die Ausgabe eines von Ihnen freigegebenen Befehls); die App reduziert diese Ergebnisse vor dem Senden. Als geheim markierte Werte werden zurückgehalten, und wir suchen zusätzlich nach Werten, die wie Zugangsdaten aussehen — API-Schlüssel, Tokens, Passwörter in einer Verbindungszeichenfolge — und ersetzen sie automatisch. Diese automatische Prüfung erkennt die gängigen Formate, aber nicht jedes denkbare. Markieren Sie sensible Werte daher bitte als geheim: Für diese Einstellung geben wir die Zusage.
6. Aufbewahrung und Löschung
Kontodaten werden aufbewahrt, solange Ihr Konto besteht. Löschen Sie Ihr Konto, werden synchronisierte Inhalte und personenbezogene Daten innerhalb von 30 Tagen gelöscht, außer bei Aufzeichnungen, die wir aus gesetzlichen Gründen aufbewahren müssen (z. B. Rechnungen). Lokale Daten auf Ihrem Gerät können Sie jederzeit selbst löschen.
7. Ihre Rechte
Nach der DSGVO (und vergleichbaren Gesetzen) können Sie Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit verlangen und der Verarbeitung aufgrund berechtigten Interesses widersprechen. Schreiben Sie an hello@apiboo.com. Sie haben zudem das Recht, sich bei der österreichischen Datenschutzbehörde ( www.dsb.gv.at) oder Ihrer örtlichen Aufsichtsbehörde zu beschweren.
8. Cookies
Die Website apiboo.com verwendet technisch notwendige Cookies/Local Storage, die für die Funktion der Website erforderlich sind (z. B. um Ihre Sitzung und Sprache zu merken, sowie Markierungen, die Ihren Besuch und Ihren ersten Download-Klick als bereits gezählt kennzeichnen — siehe Abschnitt 3). Darüber hinaus setzt Google Ads — nur wenn Sie im Cookie-Banner zustimmen — Cookies (_gcl_*) zur Conversion-Messung und Anzeigenpersonalisierung; vor Ihrer Zustimmung werden keine Google-Cookies gesetzt. Ihre Entscheidung wird 12 Monate lang im Local Storage Ihres Browsers gespeichert; Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile widerrufen oder ändern. Die Desktop-App verwendet keine Browser-Cookies; sie speichert jedoch Daten lokal auf Ihrem Gerät, um zu funktionieren (Ihre Einstellungen, zwischengespeicherte Daten sowie Ihre lokalen Collections, Requests und Umgebungen). Diese Daten bleiben auf Ihrem Gerät und werden nie für Tracking oder Werbung verwendet.
9. Änderungen
Wesentliche Änderungen dieser Erklärung kündigen wir per E-Mail oder in der App vor Inkrafttreten an. Die jeweils aktuelle Version finden Sie stets unter apiboo.com/privacy.