Datenschutzerklärung

Für Datenschutzanliegen und Anfragen zu deinen Betroffenenrechten erreichst du uns unter support@thesismcp.com.

(1) Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung des Dienstes erforderlich ist, eine gesetzliche Grundlage es erlaubt oder du eingewilligt hast.

(2) ThesisMCP betreibt selbst keine künstliche Intelligenz. Deine Arbeitsinhalte verarbeiten wir für Speicherung, technische Textextraktion, regelbasierte Prüfungen und Export. Wir nutzen sie nicht zum Training von KI-Modellen, für Werbung oder zum Verkauf an Datenhändler. Die freiwillige Statistik auf öffentlichen Seiten ist in Abschnitt 12 beschrieben.

(3) Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

(1) Beim Aufruf der Website übermittelt dein Browser technisch bedingt Daten an den Server, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, die aufgerufene Adresse, die zuvor besuchte Seite, Statuscode sowie Angaben zu Browser und Betriebssystem.

(2) Für die Bereitstellung der Website setzen wir Dienstleister für Hosting und technische Infrastruktur ein. Sie verarbeiten die erforderlichen Verbindungsdaten zur Auslieferung der Website und zur Absicherung des Betriebs. Für die Aufbewahrung von Betriebsprotokollen sind die Erkennung und Untersuchung von Störungen und Sicherheitsvorfällen maßgeblich. Eine längere Aufbewahrung bedarf eines gesonderten Grundes, etwa der Sicherung von Nachweisen zu einem konkreten Vorfall.

(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der sicheren und fehlerfreien Bereitstellung der Website.

(1) Für ein Konto verarbeiten wir deinen Namen, deine E-Mail-Adresse und einen Hash deines Passworts. Das Passwort selbst wird nicht gespeichert. Für angemeldete Sitzungen speichern wir ein Sitzungstoken, den Zeitpunkt der Anmeldung, die IP-Adresse und die Browserkennung, damit du in den Einstellungen fremde Sitzungen erkennen und beenden kannst.

(2) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angaben sind für den Abschluss und die Durchführung des Nutzungsvertrags erforderlich. Ohne sie kann kein Konto angelegt werden.

(3) Zum Schutz vor Missbrauch begrenzen wir die Zahl der Anfragen an Anmeldung, Registrierung, Passwortfunktionen und die Autorisierungsschnittstelle für Assistenten. Dazu verarbeiten wir deine IP-Adresse zusammen mit einem Anfragezähler. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im Schutz der Konten vor unbefugtem Zugriff.

(4) Die Kontodaten speichern wir bis zur Löschung deines Kontos.

(1) Soweit dein Zugang über eine Einladung erfolgt, speichern wir deine E-Mail-Adresse, einen Hash des Einladungscodes, die Kennung des einladenden Administrators sowie Zeitpunkte von Erstellung, Ablauf und gegebenenfalls Widerruf oder Einlösung. Den Code selbst speichern wir nicht im Klartext.

(2) Administratoren sehen deinen Kontonamen, deine E-Mail-Adresse, deren Bestätigungsstatus, das Erstellungsdatum, deine Rolle und deinen Zugangsstatus. Sie können den Zugang erlauben oder sperren. Inhalte deiner Arbeiten sind in der Kontenverwaltung nicht einsehbar. Änderungen des Zugangs und die Einlösung einer Einladung werden protokolliert. Die Einladungsadresse stammt von der Person, die deine Einladung veranlasst hat, oder aus deiner eigenen Anfrage.

(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Verwaltung von Zugangsberechtigungen und der Verhinderung unberechtigter Zugriffe.

(4) Einladungsdaten werden nicht automatisch mit Ablauf des Codes gelöscht. Bei Löschung deines Kontos entfernen wir die Einladungen zu deiner aktuellen E-Mail-Adresse. Auch ohne Konto kannst du die Löschung einer Einladung unter der in Abschnitt 1 genannten Adresse verlangen.

(1) Wir speichern die Inhalte, die du oder dein Assistent anlegt: Metadaten der Arbeit (Art, Titel, Forschungsfrage, Studiengang, Kurs, Ausbildungsbetrieb, Betreuer, Matrikelnummer, Abgabedatum), die Gliederung, die Kapiteltexte einschließlich sämtlicher Versionen, die Literaturangaben mit hinterlegten Volltexten oder Exzerpten, das Regelwerk, den Arbeitsplan und die festgehaltenen Entscheidungen.

(2) Arbeiten enthalten regelmäßig Unternehmensinterna. Projektarbeiten im dualen Studium tragen häufig einen Sperrvermerk und enthalten Daten des Ausbildungsbetriebs. Diese Inhalte werden in der für das Konto vorgesehenen Datenbank und im Dateispeicher verarbeitet. Sie werden nicht für andere Nutzer veröffentlicht. Die Verarbeitung durch Dienstleister und die Übermittlung an deinen Assistenten sind in den Abschnitten 9, 14 und 15 beschrieben. Ein Sperrvermerk ersetzt keine Berechtigung zur Übermittlung an diese Dienste.

(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten Dritter, die du in deine Arbeit aufnimmst, etwa von Interviewpartnern oder Beschäftigten deines Ausbildungsbetriebs, musst du die erforderliche Berechtigung sicherstellen. Daten Dritter erhalten wir in diesem Fall von dir oder deinem verbundenen Assistenten. Unsere eigenen datenschutzrechtlichen Pflichten bleiben bestehen. Übermittle nach Möglichkeit anonymisierte Inhalte und keine unnötigen personenbezogenen Daten.

(4) Die Inhalte speichern wir, bis du die jeweilige Arbeit oder dein Konto löschst.

(1) Merkblätter, Word-Vorlagen und Abbildungen, die du hochlädst, werden gespeichert. Aus PDF- und Word-Dateien gewinnen wir zusätzlich den reinen Text, damit dein Assistent daraus das Regelwerk erstellen kann. Diese Extraktion erfolgt rein technisch, ohne künstliche Intelligenz und ohne inhaltliche Auswertung durch uns.

(2) Dateien sind nicht öffentlich abrufbar. Der Abruf erfolgt nach Prüfung der jeweiligen Zugriffsberechtigung. Für die Speicherung setzen wir einen Dienstleister für geschützten Dateispeicher ein.

(3) Eine eigene Musterarbeit, die du hochlädst, wird wie jeder andere Upload behandelt. Sie ist nur deinem Konto zugeordnet, wird im Rahmen der für dein Konto freigegebenen Funktionen verarbeitet und ist für andere Nutzer nicht sichtbar.

(4) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Dateien werden zusammen mit der zugehörigen Arbeit oder deinem Konto gelöscht.

(1) ThesisMCP setzt einen Assistenten voraus, der Dateien auf deinem Rechner lesen und schreiben darf. Dein Fließtext entsteht dort als Markdown, Volltexte deiner Quellen und dein Merkblatt liegen dort als Dateien. Auf diesen Ordner haben wir keinen Zugriff und keine Sicht. Wir wissen weder, wo er liegt, noch was er enthält.

(2) Daten aus dem Ordner erreichen uns ausschließlich über Werkzeugaufrufe deines Assistenten, insbesondere der Kapiteltext, den er zum Speichern übermittelt und den wir mit jeder Fassung versionieren. ThesisMCP schreibt nicht selbst in deinen Ordner. Das tut dein Assistent in deinem Auftrag und mit den Rechten, die du ihm eingeräumt hast.

(3) Für Sicherung und Verschlüsselung des Ordners und den Zugang zu deinem Rechner bist du selbst verantwortlich. Bei einer Arbeit mit Sperrvermerk liegen dort Unternehmensinterna unverschlüsselt, solange du sie nicht selbst schützt.

(1) Verbindest du einen Assistenten, etwa Claude Code oder Codex, erhält dieser nach deiner ausdrücklichen Bestätigung Lese- oder Schreibrechte auf deine Arbeiten. Wir protokollieren jeden Werkzeugaufruf, auch jeden lesenden, mit Zeitpunkt, Name des Werkzeugs, Kennung des verbundenen Clients, Erfolg oder Fehler, Dauer und Anzahl gelieferter Datensätze.

(2) Über diese Aufrufe verlassen Daten den Dienst. Deshalb siehst du die zugehörigen Aufrufprotokolle unter Einstellungen, Protokoll und kannst jede Verbindung einzeln widerrufen.

(3) Der Anbieter deines Assistenten verarbeitet die Inhalte, die über seine Systeme laufen, nach dem Vertrag, den du mit ihm geschlossen hast. Seine datenschutzrechtliche Rolle hängt von diesem Vertrag ab. Prüfe dort insbesondere Speicherung, Trainingsnutzung und Verarbeitungsorte. Die Freigabe einer Verbindung ist keine pauschale datenschutzrechtliche Einwilligung in jede Verarbeitung durch den Drittanbieter. Ihr Widerruf verhindert weitere autorisierte Zugriffe, löscht aber keine bereits dort gespeicherten Kopien.

(4) Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Protokollierung Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Nachvollziehbarkeit jedes Datenabflusses.

(1) Wir versenden ausschließlich transaktionale E-Mails: Bestätigung der E-Mail-Adresse, Zurücksetzen des Passworts, Bestätigung einer Freischaltung und Hinweis auf eine fertige Word-Datei. Einen Newsletter oder Werbe-E-Mails gibt es nicht. Für den Versand erhält ein E-Mail-Dienstleister die Empfängeradresse und den Nachrichteninhalt.

(2) Über jeden Versand führen wir ein Protokoll mit Zeitpunkt, Empfängeradresse, Betreff, Vorlage und Zustellstatus, um Zustellprobleme nachvollziehen zu können.

(3) Rechtsgrundlage für den Versand ist Art. 6 Abs. 1 lit. b DSGVO, für das Protokoll Art. 6 Abs. 1 lit. f DSGVO.

(1) Zahlungen wickelt ein im Bestellvorgang benannter Wiederverkäufer (Merchant of Record) ab. Dieser ist für den Kauf dein Vertragspartner, stellt die Rechnung aus, führt die Umsatzsteuer ab und verarbeitet die dafür erforderlichen Daten in eigener Verantwortung.

(2) Wir speichern keine vollständigen Zahlungsinstrumente, weder vollständige Kartennummern noch Bankverbindungen. Zur Zuordnung übermitteln wir Konto- und Bestellkennungen und die für den Checkout erforderlichen Kontaktdaten an den Wiederverkäufer. Wir verarbeiten Checkout- und Bestellstatus, Bestellkennungen und die Zuordnung zur freigeschalteten Arbeit. Der Wiederverkäufer kann weitere Rechnungs- und Zahlungsdaten direkt bei dir erheben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

(1) Für die Anmeldung setzt ThesisMCP ein technisch notwendiges Sitzungs-Cookie. Deine Entscheidung zur Statistik speichern wir im lokalen Speicher deines Browsers. Beides ist unbedingt erforderlich und bedarf nach § 25 Abs. 2 Nr. 2 TDDDG keiner Einwilligung.

(2) Auf den öffentlichen Seiten nutzen wir einen externen Statistikdienst, aber nur mit deiner Einwilligung. Der Dienst wird im Einwilligungsdialog benannt. Vor deiner Zustimmung laden wir dessen Statistikskript nicht. Er verarbeitet aufgerufene Seiten, die verweisende Seite, Browser, Gerät und ungefähre Region und verwendet Cookies zur Wiedererkennung. Eine Verarbeitung in den USA ist möglich. Die Einwilligung umfasst keine personalisierte Werbung.

(3) Im angemeldeten Bereich, bei Anmeldung und Registrierung sowie im Zustimmungsdialog für Assistenten ist die Statistik deaktiviert.

(4) Rechtsgrundlage ist deine Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie hier jederzeit widerrufen. Dabei werden die Statistik-Cookies entfernt und weitere Erfassungen unterbunden. Bereits beim Dienstleister gespeicherte Daten werden dadurch nicht automatisch gelöscht. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

(5) Für Statistikdaten sind der Auswertungszweck und die beim Statistikdienst festgelegte Aufbewahrung maßgeblich. Die Laufzeit eines Cookies ist von der Speicherung bereits erhobener Daten zu unterscheiden. Deine Statistikentscheidung bleibt im lokalen Speicher, bis du sie änderst oder die Browserdaten löschst.

(1) Neben dem Protokoll der Assistenzzugriffe (Abschnitt 9) und dem E-Mail-Protokoll (Abschnitt 10) führen wir ein Aktivitätsprotokoll (welche Änderung wann und auf welchem Weg erfolgte) und ein Protokoll der Exporte und Textextraktionen. Diese Protokolle enthalten Kennungen und Zahlen, aber keine Kapitelinhalte. Einzelne Protokolle können zudem Fehlermeldungen, technische Kennungen und Angaben zum jeweiligen Vorgang enthalten. Das E-Mail-Protokoll enthält auch Empfängeradressen und Betreffzeilen.

(2) Die Protokolle haben keine automatische Löschfrist. Bei Löschung deines Kontos wird der Bezug der Einträge zu deinem Konto über die Kontokennung entfernt. Dies ist keine Garantie vollständiger Anonymisierung, da weitere Angaben einen Personenbezug erlauben können. Die im E-Mail-Protokoll gespeicherte Empfängeradresse bleibt dabei erhalten. Ihre Löschung kannst du jederzeit unter der in Abschnitt 1 genannten Adresse verlangen.

(3) Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einem nachvollziehbaren und sicheren Betrieb.

(1) Je nach genutzter Funktion erhalten folgende Kategorien von Empfängern die dafür erforderlichen Daten:

• Hosting- und Infrastrukturdienstleister für Verbindungsdaten und die technische Bereitstellung der Anwendung,
• Datenbank- und Speicherdienstleister für Kontodaten, Arbeitsinhalte, Dateien und Protokolle,
• E-Mail-Dienstleister für Empfängeradressen und Nachrichten,
• Wiederverkäufer und Zahlungsdienstleister für Bestell-, Abrechnungs- und Zahlungsdaten,
• Statistikdienstleister für Nutzungsdaten öffentlicher Seiten, sofern du eingewilligt hast, sowie
• die von dir verbundenen Assistenten und deren Anbieter für die von dir freigegebenen Zugriffe.

Soweit Dienstleister in unserem Auftrag tätig werden, unterliegt dies den Anforderungen des Art. 28 DSGVO. Wiederverkäufer verarbeiten Daten zur Abwicklung ihres Kaufvertrags in eigener Verantwortung. Für verbundene Assistenten gilt Abschnitt 9.

(2) Weitere Empfänger können Behörden, Gerichte oder zur Rechtsverfolgung eingeschaltete Berater sein, soweit eine gesetzliche Verpflichtung besteht oder dies zur Wahrung berechtigter Interessen erforderlich ist. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. c beziehungsweise lit. f DSGVO. Eine Übermittlung auf deinen Wunsch richtet sich nach dem jeweiligen Auftrag und seiner Rechtsgrundlage.

Auch bei einer Datenbank oder Anwendungsregion in der EU können internationale Dienstleister Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, etwa durch Support oder Unterauftragnehmer. Dafür ist zusätzlich zur Rechtsgrundlage der Verarbeitung eine Grundlage nach Kapitel V DSGVO erforderlich. In Betracht kommen ein anwendbarer Angemessenheitsbeschluss nach Art. 45 DSGVO oder geeignete Garantien nach Art. 46 DSGVO. Die bloße Wahl einer EU-Region ersetzt diese Voraussetzungen nicht.

Informationen zu den tatsächlichen Empfängern und den für eine Übermittlung einschlägigen Garantien sowie eine Kopie dieser Garantien kannst du über den Kontakt in Abschnitt 1 anfordern.

(1) Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO) und Datenübertragbarkeit (Art. 20 DSGVO). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

(2) Für einen vollständigen Export aller Arbeiten genügt eine formlose E-Mail an support@thesismcp.com. Du erhältst alle Arbeiten als Markdown samt Metadaten als JSON.

(3) Die Löschung kannst du selbst unter Einstellungen auslösen. Die Kontolöschung entfernt alle Arbeiten, Kapitel, Versionen, Quellen, Regelwerke, Pläne und Entscheidungen sowie alle hochgeladenen Dateien und Exportdateien im Speicher, nicht nur die Einträge in der Datenbank. Für Protokolle gilt Abschnitt 13. Eine Kontolöschung bei uns löscht keine Daten bei eigenständig Verantwortlichen wie dem Wiederverkäufer oder deinem Assistentenanbieter. Sicherungskopien sind vom laufenden Datenbestand zu unterscheiden. Für ihre Aufbewahrung sind die zur Wiederherstellung erforderlichen Sicherungszyklen maßgeblich. Eine Löschung im laufenden Bestand bedeutet nicht, dass jede Sicherungskopie sofort überschrieben ist.

(4) Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthalts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Soweit wir personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten, hast du das Recht, aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Widerspruch ist formlos an die in Abschnitt 1 genannte Adresse zu richten.

Die Übertragung zwischen deinem Browser oder Assistenten und ThesisMCP erfolgt verschlüsselt über HTTPS. Passwörter und Einladungscodes speichern wir nur als Hash. Jeder Zugriff auf Arbeiten und Dateien wird serverseitig darauf geprüft, ob er zu deinem Konto gehört.

Wenn du uns kontaktierst, verarbeiten wir deine Kontaktdaten und den Inhalt deiner Nachricht zur Bearbeitung deines Anliegens. Bei Vertragsfragen beruht dies auf Art. 6 Abs. 1 lit. b DSGVO, bei der Erfüllung gesetzlicher Auskunftspflichten auf lit. c und bei sonstigen Anfragen auf unserem berechtigten Interesse an deren Beantwortung nach lit. f. Gib nur die für dein Anliegen erforderlichen Daten an.

Die Aufbewahrung richtet sich nach dem Bearbeitungszweck und gesetzlichen Aufbewahrungspflichten. Soweit die Korrespondenz zur Durchsetzung oder Abwehr konkreter Ansprüche erforderlich ist, kann sie für die Dauer der einschlägigen Verjährungsfrist aufbewahrt werden.

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.