Datenschutzerklärung

Stand: 2. September 2026 · Version 2026-09-02.v11 · Social-Media-Auftritte und Blotato-Auswertung ergänzt

Diese Erklärung beschreibt die tatsächlichen Datenflüsse der CrisAssistant-Webanwendung sowie der von Vareon betriebenen Social-Media-Auftritte. Funktionen, die Sie nicht aktiv nutzen, lösen den jeweiligen Datenfluss nicht aus.

1. Verantwortlicher

Vareon GmbH
Kleinfeldweg 54
69190 Walldorf
Deutschland
Telefon: +49 170 3749203
E-Mail: info@vareon.info

Ein Datenschutzbeauftragter ist nicht benannt, da keine gesetzliche Pflicht besteht (§ 38 BDSG). Datenschutzanfragen richten Sie bitte an die oben genannte Kontaktadresse.

2. Local-First und Daten auf Ihrem Gerät

Gedächtnisnotizen, der vollständige lokale Chat-Verlauf, Fortschritt, bestätigte Interessen und Filter, Vorsorgedaten sowie Anzeigeeinstellungen bleiben standardmäßig im Browser auf diesem Gerät. Sie können einzelne Einträge oder alle lokalen Daten löschen. Die Einstellung "Aus" beendet die Nutzung des Gerätegedächtnisses.

Wenn Sie Cloud-KI verwenden, werden die aktuelle Eingabe, bewusst angehängte Inhalte, der erforderliche Situationskontext und ein begrenzter Ausschnitt der jüngsten Unterhaltung übertragen. Derzeit sind dies höchstens sieben vorangehende Nachrichten; bei einem ausdrücklich bestätigten Cloud-Rückfall können darin zuvor bewusst angehängte Bilder oder Sprachaufnahmen enthalten sein. Der vollständige lokal gespeicherte Verlauf wird nicht synchronisiert.

Das gesonderte Gerätegedächtnis ("Cris merkt sich"/Vault), lokale Interessen- und Vorsorgeprofile werden weder an Cloud-KI noch an Websuche oder Server-Vorlesen gesendet. Eine Antwort, die dieses Gerätegedächtnis verwendet hat, wird nicht zum Server-Vorlesen übertragen. CrisAssistant bietet derzeit keinen allgemeinen Cloud-Sync für das Gerätegedächtnis an.

Soweit Sie lokal Vorsorgeangaben speichern, die einen Gesundheitsbezug haben können (etwa Medikamente oder Unverträglichkeiten), verbleiben diese Angaben auf Ihrem Gerät und werden nicht an Cloud-KI, Websuche oder Server-Vorlesen übermittelt. Speichern Sie dort nur, was für Ihre persönliche Vorsorge erforderlich ist. CrisAssistant stellt keine Diagnose und keine Behandlung bereit.

Lokaler Browserspeicher ist nicht dasselbe wie verschlüsselte Datensicherung: Andere Personen mit Zugriff auf dasselbe Gerät und Browserprofil können lokale Inhalte möglicherweise sehen. Abmelden oder ein Konto löschen entfernt lokale Gerätedaten nicht automatisch; verwenden Sie dafür die Löschfunktion in CrisAssistant oder die Browserdaten-Löschung.

3. Verarbeitete Daten

• Konto- und Authentifizierungsdaten, insbesondere E-Mail, Anbieterkennung und Sitzungsdaten; die Altersangabe (Mindestalter) beruht auf Selbsterklärung;
• Ihre aktuelle Eingabe, bewusst angehängte Dateien/Bilder/Sprachaufnahmen, ein begrenzter Ausschnitt der jüngsten Unterhaltung und erforderlicher Situationskontext bei Cloud-KI;
• Suchbegriff bei Websuche und der vorzulesende Text bei Server-Sprachausgabe;
• gespeicherter oder eingegebener Ort sowie Koordinaten bei ortsbezogenen Wetter-, Warn- und Kartenfunktionen;
• optionale Push-Adresse und Geräteinformationen bei aktivierten Benachrichtigungen;
• Support- und Feedbackinhalt, den Sie bewusst übermitteln;
• Abonnement-, Zahlungs-, Rechnungs-, Einwilligungs- und Anspruchsdaten bei einem Kauf sowie Angaben in Kündigungs- oder Widerrufserklärungen;
• bei Verwaltung und Auswertung unserer Social-Media-Auftritte: Kennungen unserer Unternehmenskonten und veröffentlichten Beiträge, Veröffentlichungszeitpunkte sowie von den jeweiligen Plattformen bereitgestellte zusammengefasste Interaktionskennzahlen, etwa Aufrufe, Reaktionen, Teilungen, Kommentaranzahlen und „Link- oder Inhaltsklicks“. Blotato verarbeitet außerdem die für die Kontoverbindung erforderlichen Profil- und Kontokennungen sowie Zugangstokens. CrisAssistant erhält keine Liste der Personen, die einen Beitrag angesehen oder angeklickt haben oder anschließend crisa.io besucht haben;
• minimierte technische Protokolle, Fehler-, Sicherheits- und Missbrauchssignale.

4. Systeme und Empfänger

• Vercel, Inc. (USA): Auslieferung der Website und technische Edge-/Proxy-Funktionen; dabei fallen insbesondere IP-Adresse, Verbindungs-, Sicherheits- und Anfragedaten an. DPF-zertifiziert (EU-US Data Privacy Framework); ergänzend EU-Standardvertragsklauseln laut Anbieter-DPA.
• Cloudflare, Inc. (USA): Netzwerk-, DNS-, TLS-, Sicherheits- und Proxy-Dienste für einzelne CrisAssistant-Endpunkte, derzeit auch auf dem Transportweg zur privaten deutschen KI-Route. Je nach Proxy-Konfiguration können Verbindungsdaten und die durchgeleiteten Anfrageinhalte verarbeitet werden. DPF-zertifiziert (Teilnehmer-ID 5666); ergänzend EU-Standardvertragsklauseln laut Anbieter-DPA.
• Hetzner Online GmbH (Deutschland): CrisAssistant Feed-, Such-, Wiki- und Proxy-Dienste.
• Betreiber der von uns genutzten Social-Media-Plattformen: Wenn Sie unsere Auftritte besuchen oder mit einem Beitrag interagieren, verarbeitet der jeweilige Plattformbetreiber die dabei entstehenden Profil-, Geräte-, Verbindungs- und Interaktionsdaten nach seiner eigenen Datenschutzinformation. Die Plattformen können uns daraus zusammengefasste Statistiken bereitstellen. Soweit für Plattformstatistiken eine gemeinsame Verantwortlichkeit besteht, richtet sich diese nach den hierfür vom jeweiligen Plattformbetreiber bereitgestellten Vereinbarungen.
• Blotato Inc., 50 W Broadway Ste 333, PMB 617067, Salt Lake City, Utah 84101, USA: technischer Dienstleister für die Planung und Veröffentlichung unserer Social-Media-Beiträge sowie den Abruf der von den Plattformen bereitgestellten Beitragskennzahlen. Blotato verarbeitet hierfür insbesondere Kennungen unserer verbundenen Social-Media-Konten, Zugangstokens, veröffentlichte Inhalte und Engagement-Daten. Zugriffsprotokolle, Cookies, Gerätekennungen und Kontodaten von crisa.io werden nicht an Blotato übermittelt. Blotato-Kennzahlen werden nicht mit Vercel-Protokollen oder CrisAssistant-Konten zusammengeführt. Weitere Informationen enthält die Datenschutzinformation von Blotato.
• Supabase Pte. Ltd. (Singapur): Authentifizierung, Datenbank und Edge Functions für Konto, Support und Commerce; Supabase, Inc. (USA) ist im aktuellen Anbieter-DPA als Unterauftragsverarbeiter für Support aufgeführt. Das Datenbankprojekt liegt in der Region Frankfurt. Für Verarbeitungen außerhalb des EWR gelten die EU-Standardvertragsklauseln mit ergänzender Risikoprüfung nach dem Supabase-DPA vom 1. Juni 2026 (kein EU-US-DPF als behauptete Grundlage).
• Google Ireland Limited beziehungsweise Apple Distribution International Limited (für EWR-Nutzende; je nach Standort kann eine andere Konzerngesellschaft zuständig sein): nur wenn Sie den jeweiligen Social Login auswählen; der Anbieter erhält die für OAuth nötigen Konto-, Geräte- und Verbindungsdaten. Wenn Sie einen von CrisAssistant angezeigten Google-Such- oder Google-Maps-Link selbst öffnen, erhält Google außerdem die im Link enthaltene Suchanfrage beziehungsweise Zielkoordinaten sowie übliche Verbindungsdaten.
• Private DE-Cloud (Cloudworkon): von Vareon betriebener KI-Server in Deutschland. Zum Einsatz kommen offene KI-Modelle der Klasse Qwen 3.6 oder neuer, lokal bei Vareon betrieben. Auf dieser Standardroute wird die Anfrage nicht an einen externen Modell-API-Anbieter weitergegeben; der Netzwerk- und TLS-Transport kann jedoch wie vorstehend beschrieben Cloudflare einbeziehen.
• JINGSHENG HENGXING TECHNOLOGY PTE. LTD. (z.ai, Singapur): externe KI-Route bleibt technisch gesperrt, bis eine dokumentierte rechtliche Freigabe vorliegt. Moonshot AI/Kimi wird nicht angeboten und ist aus diesem Dokument gestrichen.
• SearXNG: selbst gehostete Metasuche. Die konfigurierten Suchanbieter erhalten den Suchbegriff und technische Verbindungsdaten des Servers.
• Supabase und Mistral AI SAS (Frankreich) für Sprachausgabe: der freigegebene Vorlesetext läuft vom Browser über Vercel und den Hetzner-Proxy zu einer Supabase Edge Function und von dort zu Mistral. CrisAssistant legt kein dauerhaftes Spracharchiv an. Browser und Feed-Server halten Ergebnisdaten nur flüchtig und begrenzt im Arbeitsspeicher; der Feed-Cache indexiert Texte ausschließlich als Hash und Antworten sind als nicht speicherbar gekennzeichnet. Unabhängige technische Protokolle der beteiligten Anbieter richten sich nach dem jeweils freigegebenen Vertrag.
• DWD, NINA und OpenMeteo GmbH (Schweiz): Warn-, Radar- und Wetterdaten. Der signierte Feed ruft Daten serverseitig ab; ein Browser-Fallback fragt Open-Meteo direkt ab. In diesem Fall erhält Open-Meteo Ihre IP-Adresse, den eingegebenen Ort beziehungsweise Koordinaten und technische Anfragedaten.
• OpenStreetMap-Kacheln, Nominatim und Overpass (overpass-api.de): Karten, Geocoding und Kartenobjekt-Abfragen; bei direkten Browserabfragen können IP-Adresse, Koordinaten, Suchort oder eine begrenzte Kartenausschnitt-Anfrage an diese Dienste gelangen.
• Stripe Payments Europe, Limited, Stripe Technology Company, Limited und verbundene Stripe-Unternehmen: Web-Zahlungen, Aboverwaltung, Rechnungen, Betrugsprävention und Rückerstattungen. CrisAssistant speichert keine vollständigen Kartendaten.
• Plus Five Five, Inc. (Resend, USA): transaktionale E-Mails, etwa Kauf-, Kündigungs- und Widerrufsbestätigungen; verarbeitet werden Empfängeradresse und Nachrichteninhalt. DPF-zertifiziert (Teilnehmer-ID 8907); ergänzend EU-Standardvertragsklauseln laut Anbieter-DPA.
• Amazon und Manufactum: erst beim Öffnen eines Händlerlinks; dann gelten Bedingungen und Datenschutz des Zielanbieters. Amazon-Links können provisionsvergütet und als „Anzeige“ gekennzeichnet sein; Manufactum-Links sind derzeit nicht provisionsvergütete Händlerlinks. Etsy-Angebote sind nicht aktiv. CrisAssistant erhält von den Händlern keine Bestell- oder Zahlungsdetails.
• Browser-Push-Dienst: nur nach Ihrer Aktivierung; der Browseranbieter verarbeitet die Push-Adresse.
• Nachrichtenquellen: Anzeige als Überschrift, Kurzauszug und Quelllink; Abruf grundsätzlich serverseitig. CrisAssistant behauptet keine übertriebenen Nutzungsrechte an Presseartikeln. KI-Antworten zu Nachrichten sind als Mehrquellen-Synthese mit Quellenangabe gedacht — keine Wiedergabe oder enge Zusammenfassung einzelner Presseartikel. Details zu Quellen, Lizenzlage und dem Melde-/Entfernungsprozess für Rechteinhaber: /legal/sources. Beim Öffnen eines Quelllinks verarbeitet die Zielseite Ihre Anfrage eigenverantwortlich.

Einige Empfänger handeln als Auftragsverarbeiter, andere - insbesondere Zahlungs-, Login- und Händlerdienste - für ihren abgegrenzten Dienst eigenverantwortlich. Wir übermitteln nur die für die gewählte Funktion erforderlichen Daten. Aktuelle Anbieter- oder Unterauftragsverarbeiterangaben erhalten Sie über info@vareon.info.

5. Zwecke und Rechtsgrundlagen

• Konto, vertragliche Leistung, Support zum Vertrag, Abonnement sowie Abrechnung, Kündigung, Widerruf und gesetzliche Nachweise: Art. 6 Abs. 1 lit. b und - soweit einschlägig - lit. c DSGVO;
• separat gewählte minimierte Produktstatistik, minimierte Affiliate-Statistik und, soweit eine Einwilligung erforderlich ist, Push: Art. 6 Abs. 1 lit. a DSGVO; jede optionale Verwendung ist standardmäßig aus und kann unabhängig widerrufen werden;
• bewusst angeforderte, aber nicht vertraglich geschuldete Online-Funktionen der Free-Nutzung (etwa Cloud-KI, Websuche oder Server-Vorlesen), Sicherheit, Betrugs-/Missbrauchsschutz, Fehleranalyse und zuverlässiger Betrieb: Art. 6 Abs. 1 lit. f DSGVO. Unsere Interessen sind die Bereitstellung der von Ihnen angeforderten Funktion, der Schutz von Nutzern und Systemen, die Abwehr missbräuchlicher Nutzung und die Fehlerbehebung; dem stehen Datenminimierung, kurze Fristen, getrennte Routenwahl und Widerspruchsrechte gegenüber. Soweit für den Zugriff auf Endgeräte-Speicher eine Einwilligung nach § 25 TDDDG nötig ist, holen wir diese gesondert ein.
• Planung, Veröffentlichung und Verwaltung unserer Social-Media-Beiträge sowie Auswertung ihrer zusammengefassten Reichweite und Interaktion: Art. 6 Abs. 1 lit. f DSGVO. Unsere berechtigten Interessen sind eine effiziente Öffentlichkeitsarbeit, die Beurteilung der allgemeinen Reichweite unserer Inhalte und deren inhaltliche Verbesserung. Dem stehen die Beschränkung auf Plattformkennzahlen, der Verzicht auf eigene Kampagnenkennungen und die fehlende Verknüpfung mit einzelnen Websitebesuchern gegenüber.

Einwilligungen können jederzeit mit Wirkung für die Zukunft widerrufen werden. Vertrags- oder gesetzlich erforderliche Verarbeitung bleibt davon unberührt.

Besondere Kategorien (Art. 9 DSGVO): Soweit Freitexteingaben an die Cloud-KI besondere Kategorien personenbezogener Daten enthalten können (insbesondere Gesundheitsangaben), holt CrisAssistant eine gesonderte ausdrückliche Einwilligung ein — getrennt von Registrierung, AGB und Speicher-Einwilligung. Ohne diese Einwilligung findet kein Cloud-Send statt; lokale Routen bleiben nutzbar. Nach Widerruf sind weitere Cloud-Sends blockiert, bis erneut eingewilligt wird. Lokale Vorsorge-/Gedächtnisdaten gehen nicht automatisch mit. Gast-Nachweise speichert das Gerät lokal (Nachweisbarkeit eingeschränkt).

6. KI, Suche und Datennutzung

Cris ist ein KI-System und wird in der Oberfläche als solches kenntlich gemacht. KI-Ausgaben können fehlerhaft sein und ersetzen keine amtliche oder fachliche Entscheidung. Von CrisAssistant veröffentlichte KI-unterstützte Texte und Symbolbilder sind sichtbar gekennzeichnet; für erste-Partei-Symbolbilder setzt CrisAssistant zusätzlich eine maschinenlesbare IPTC-Kennzeichnung als algorithmisch erzeugte Medienquelle. Maschinell lesbare Kennzeichnung synthetischer Sprachausgaben richtet sich nach dem jeweiligen Sprachdienst-Anbieter; CrisAssistant kennzeichnet Server-Vorlesen zusätzlich sichtbar als KI-Stimme. Vareon nutzt Ihre Eingaben nicht, um ein eigenes allgemeines KI-Modell zu trainieren. Die weitere Verarbeitung durch einen gewählten Provider richtet sich nach dessen freigegebenem Vertrag und Datenschutzhinweisen; deshalb zeigt CrisAssistant externe Routen gesondert an und hält sie ohne dokumentierte Drittlandgrundlage technisch gesperrt.

Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt.

Übermitteln Sie in freien KI-, Such-, Sprach- oder Supporteingaben keine Passwörter, vollständigen Zahlungsdaten oder besonderen Kategorien personenbezogener Daten wie Gesundheits-, Religions- oder biometrische Daten, sofern eine konkrete Funktion dies nicht ausdrücklich mit eigener Information und geeigneter Rechtsgrundlage anfordert. Lokale Vorsorgeangaben bleiben nach Abschnitt 2 auf dem Gerät.

7. Daumen-Feedback, Statistik und Social-Media-Auswertung

Daumen-Rückmeldungen und daraus bestätigte Filter bleiben lokal. Nur mit der separaten Einwilligung „Produktstatistik“ sendet CrisAssistant geschlossene Aggregate aus Fläche, Kategorie, Daumen, Aktion, Ansichtstiefe und KI-Modus. Nicht enthalten sind Texte, Inhalts-IDs, Chat-Inhalte, Standort, Gedächtnis, Konto- oder Sitzungs-ID. Lokale Anzeige- und Bedienpräferenzen gehören zur ausdrücklich angeforderten App-Funktion und geben keine Statistik frei. Es gibt keine Marketing- oder websiteübergreifenden Tracking-Cookies.

Nur mit der separaten Einwilligung „Affiliate-Statistik“ kennt die Händlertelemetrie genau vier Ereignisarten: (1) ein berechtigtes Angebot ist mindestens eine Sekunde zu mindestens 50 Prozent sichtbar, (2) die Produktdetailansicht wird geöffnet, (3) der zugehörige Gegenstand wird zur lokalen Einkaufsliste hinzugefügt und (4) ein Händlerlink wird geöffnet. Erfasst werden Angebots- und gegebenenfalls Bedarfsreferenz, Oberfläche, Platzierung, Sprache, Ereignisart, die Einwilligungsversion sowie eine im Browser zufällig erzeugte Kennung, die nur für den aktuellen App-Start im Arbeitsspeicher besteht.

Diese Händlerereignisse werden nur gesendet, wenn die Commerce-Auswertung serverseitig aktiviert ist und die aktuelle Version der Affiliate-Statistik-Einwilligung aktiv ist. Konto, dauerhafte Gerätekennung, Chat, Standort und Inhalte des lokalen Gedächtnisses werden nicht beigefügt. CrisAssistant erfasst kein Kauf-, Bestell- oder Erstattungsereignis und erhält von Amazon oder Manufactum keine auf diese Startkennung beziehbaren Bestell- oder Zahlungsdaten. Aggregierte Abrechnungsberichte eines Partnerprogramms sind davon getrennt und werden nicht mit der Startkennung verknüpft. Händlerereignisse werden spätestens nach 90 Tagen gelöscht; ein Widerruf stoppt weitere Erfassung mit Wirkung für die Zukunft.

Für unsere Social-Media-Auswertung übernimmt CrisAssistant ausschließlich zusammengefasste, von der jeweiligen Plattform über Blotato bereitgestellte Beitragskennzahlen. Die Kennzahl „clicksCount“ kann nach der Anbieterbeschreibung Link- oder Inhaltsklicks umfassen. Sie belegt daher weder einen tatsächlichen Besuch auf crisa.io noch eine eindeutige Person.

Social-Media-Links führen unmittelbar zu einer kanonischen Seite von crisa.io. Wir verwenden dafür keine Kampagnen-Kurzlinks, UTM-Parameter, Pixel oder Social-Media-Cookies auf crisa.io. Die Plattformkennzahlen werden nicht mit technischen Zugriffsprotokollen, CrisAssistant-Konten oder anderen Daten einzelner Websitebesucher verbunden.

8. Cookies und Browserspeicher

Notwendiger Browser-Speicher dient Einstellungen, Sicherheit, Authentifizierung und den von Ihnen ausdrücklich angeforderten lokalen Funktionen (§ 25 Abs. 2 TDDDG). Die flüchtige Händlertelemetrie-Kennung wird nicht dauerhaft auf Ihrem Gerät gespeichert. Produktstatistik und Affiliate-Statistik sind getrennt, optional und standardmäßig aus. Frühere pauschale oder anders versionierte Auswahlen werden auf „nur notwendig“ zurückgesetzt; jeder optionale Zweck setzt eine neue aktive Auswahl voraus.

9. Speicherdauer

• lokale Daten: bis zur Löschung durch Sie oder den Browser;
• Konto- und Profildaten: bis zur Kontolöschung; technisch notwendige Sicherungskopien werden im regulären Überschreibungszyklus entfernt, soweit kein Vorfall oder Anspruch eine begrenzte Sperrung verlangt;
• Abrechnungs-, Buchungs- und Vertragsnachweise: abhängig von der Dokumentart regelmäßig sechs, acht oder zehn Jahre nach HGB/AO; nicht erforderliche Zahlungsdaten werden früher gelöscht;
• Bestell-, AGB- und Altersnachweise sowie Kündigungs- und Widerrufsdaten: bis zum Abschluss des Vorgangs und regelmäßig bis zum Ende des dritten Kalenderjahres danach; eine dokumentierte Rechtsstreit- oder Aufbewahrungssperre kann die Löschung begrenzt verlängern;
• Empfängeradressen aus Bestellbestätigungs-Warteschlangen: grundsätzlich 30 Tage; der pseudonyme Zustell- und Vertragsbeleg bleibt nur für die vorstehende Nachweisfrist;
• Support-Fallinhalte: bis 30 Tage nach Abschluss; nicht identifizierende Ergebniskennzahlen bis 180 Tage;
• minimierte Händlerereignisse: höchstens 90 Tage;
• Blotato-Kontoverbindungen und dort verarbeitete Social-Media-Daten: nur für die zeitlich begrenzte Auswertung nach dem Marktstart. Nach deren Abschluss werden die verbundenen Kontoberechtigungen widerrufen und die Löschung der bei Blotato gespeicherten Konto-, Token-, Beitrags- und Analysedaten angefordert. Blotato veröffentlicht selbst keine feste allgemeine Löschfrist, sondern beschreibt eine Speicherung entsprechend seinen Geschäftszwecken;
• Sprachausgabe bei CrisAssistant: kein dauerhaftes Audio- oder Textarchiv; begrenzte Arbeitsspeicher-Caches bis zur Verdrängung oder zum Prozess-/Seitenende. Aufbewahrung technischer Anbieterprotokolle folgt dem jeweils freigegebenen Auftragsverarbeitungs- und Anbieterstatus;
• technische Protokolle und rohe Providerereignisse: zweckgebunden und zugriffsbeschränkt bis Fehler-, Sicherheits- oder Missbrauchsklärung; anschließend Löschung oder Redaktion nach der für das jeweilige System festgelegten Kurzfrist.

10. Drittlandübermittlungen

Die deutsche KI-Route und deutsche/EU-Infrastruktur werden standardmäßig bevorzugt. Wo ein Empfänger Daten außerhalb des EWR verarbeitet, gilt für die derzeit freigegebenen Wege die folgende Empfänger-bezogene Grundlage (Art. 13 Abs. 1 lit. f DSGVO). Eine Kopie oder Auskunft zur einschlägigen Garantie können Sie über info@vareon.info anfordern.

Die Auswahl einer externen KI-Route ersetzt für sich allein keine nach Art. 44 ff. DSGVO erforderliche Übermittlungsgrundlage. Eine solche Route darf nur aktiviert bleiben, wenn die für Anbieter, Land und Verarbeitung erforderliche Garantie dokumentiert ist.

11. Sicherheit

Wir setzen risikogerechte technische und organisatorische Maßnahmen ein, darunter TLS, Zugriffskontrollen, Row-Level Security, signierte Inhalte, serverseitige Geheimnisse, Webhook-Signaturprüfung, Rate Limits, Datenminimierung und protokollierte Commerce-Ereignisse.

Trotz angemessener Schutzmaßnahmen kann kein internetverbundenes System absolute Sicherheit gewährleisten. Übertragungs-, Software-, Anbieter- und Betriebsrisiken lassen sich reduzieren, aber nicht vollständig ausschließen. Wir bewerten Sicherheitsvorfälle und informieren Betroffene und Behörden, soweit dies gesetzlich erforderlich ist.

12. Ihre Rechte

Sie haben insbesondere Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie auf Widerruf einer Einwilligung. Bei Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; Direktwerbung findet nicht statt. Lokale Daten können Sie in CrisAssistant exportieren und löschen. Die Löschung eines Online-Kontos wird derzeit über info@vareon.info angestoßen und nach Identitätsprüfung manuell bearbeitet; gesetzlich aufzubewahrende oder zur Rechtsverteidigung gesperrte Nachweise werden nicht vorzeitig entfernt. Sie können sich außerdem bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart, E-Mail poststelle@lfdi.bwl.de.

13. Herkunft und Pflicht zur Bereitstellung

Daten stammen von Ihnen, Ihrem Browser/Gerät, den von Ihnen gewählten Login- oder Zahlungsanbietern, den Betreibern unserer Social-Media-Plattformen, Blotato und aus den genannten öffentlichen Inhaltsquellen. Pflichtangaben sind nur dort erforderlich, wo sie für Konto, Vertrag, Zahlung, Kündigung, Widerruf oder Missbrauchsschutz benötigt werden. Ohne diese Angaben kann die jeweilige Funktion oder der Vertrag nicht bereitgestellt werden; alle als optional gekennzeichneten Funktionen können ohne die betreffende Angabe ungenutzt bleiben.

14. Minderjährige und Änderungen

Ein eigenes CrisAssistant-Konto ist ab 16 Jahren vorgesehen. Personen unter 18 Jahren dürfen ein Konto nur nutzen, soweit sie die nach dem BGB erforderliche Zustimmung ihrer gesetzlichen Vertreter haben oder die Nutzung nach den §§ 106 ff. BGB zulässig ist. Ein kostenpflichtiges Web-Abonnement darf nur von volljährigen Personen abgeschlossen werden. Wesentliche Änderungen dieser Erklärung werden mit neuem Stand veröffentlicht und, wenn die Verarbeitung dies erfordert, vorab mitgeteilt oder erneut zur Einwilligung gestellt.

Privacy Policy

Last updated: September 2, 2026 · Version 2026-09-02.v11 · social media presences and Blotato analytics added

This notice describes the actual data flows of the CrisAssistant web application and the social media presences operated by Vareon. A function-specific data flow starts only when you use or interact with that function or presence.

1. Controller

Vareon GmbH
Kleinfeldweg 54
69190 Walldorf
Germany
Phone: +49 170 3749203
Email: info@vareon.info

A data protection officer is not appointed because there is no legal obligation to do so (Section 38 BDSG). Please send privacy requests to the contact above.

2. Local-first device data

Memory notes, the complete local chat history, progress, confirmed interests and filters, preparedness data and display settings remain in this browser by default. You can delete individual entries or all local data. Selecting "Off" stops device-memory use.

When you use cloud AI, CrisAssistant transmits the current input, deliberate attachments, necessary situational context and a bounded excerpt of the recent conversation. This is currently no more than seven preceding messages; an expressly confirmed cloud fallback may include images or voice recordings deliberately attached to those recent turns. The complete locally stored history is not synced.

The separate device-memory vault ("Cris remembers"), local interests and preparedness profiles are not sent to cloud AI, web search or server speech. An answer that used device memory is not sent to server speech. CrisAssistant currently offers no general cloud sync for device memory.

Where you store local preparedness information that may relate to health (for example medicines or intolerances), that information remains on your device and is not sent to cloud AI, web search or server speech. Store only what your personal preparedness needs. CrisAssistant does not provide diagnosis or treatment.

Local browser storage is not encrypted backup. Anyone with access to the same device and browser profile may be able to see local content. Signing out or deleting an account does not automatically remove device data; use the CrisAssistant deletion control or clear browser data.

3. Data we process

• account and authentication data, including email, provider identifier and session data; the age statement (minimum age) is based on self-declaration;
• your current input, deliberately attached files/images/voice recordings, a bounded recent-conversation excerpt and necessary situational context for cloud AI;
• the search term for web search and approved text for server speech;
• saved or entered place and coordinates for location-based weather, alerts and maps;
• optional push endpoint and device information when notifications are enabled;
• support and feedback content you deliberately submit;
• subscription, payment, invoice, consent and entitlement data for purchases, plus information submitted in cancellation or withdrawal declarations;
• when managing and evaluating our social media presences: identifiers of our business accounts and published posts, publication times, and aggregated interaction metrics provided by the respective platforms, such as views, reactions, shares, comment counts, and “link or content clicks”. Blotato also processes the profile and account identifiers and access tokens required to connect the accounts. CrisAssistant does not receive a list of people who viewed or clicked a post or subsequently visited crisa.io;
• minimised technical logs, error, security and abuse signals.

4. Systems and recipients

• Vercel, Inc. (United States): website delivery and technical edge/proxy functions, involving in particular IP address, connection, security and request data. DPF-certified; plus EU Standard Contractual Clauses under the provider DPA.
• Cloudflare, Inc. (United States): network, DNS, TLS, security and proxy services for individual CrisAssistant endpoints, currently including the transport path to the private German AI route. Depending on proxy configuration, connection data and routed request content may be processed. DPF-certified (participant ID 5666); plus EU Standard Contractual Clauses under the provider DPA.
• Hetzner Online GmbH (Germany): CrisAssistant feed, search, wiki and proxy services.
• Operators of the social media platforms used by us: When you visit one of our presences or interact with a post, the respective platform operator processes the resulting profile, device, connection, and interaction data under its own privacy notice. The platforms may provide us with aggregated statistics derived from this data. Where joint controllership applies to platform statistics, it is governed by the arrangements provided by the respective platform operator.
• Blotato Inc., 50 W Broadway Ste 333, PMB 617067, Salt Lake City, Utah 84101, United States: technical service provider used to schedule and publish our social media posts and retrieve post metrics provided by the platforms. For this purpose, Blotato processes in particular identifiers of our connected social media accounts, access tokens, published content, and engagement data. Access logs, cookies, device identifiers, and account data from crisa.io are not transmitted to Blotato. Blotato metrics are not combined with Vercel logs or CrisAssistant accounts. Further information is available in the Blotato Privacy Policy.
• Supabase Pte. Ltd. (Singapore): authentication, database and Edge Functions for accounts, support and commerce; the current provider DPA lists Supabase, Inc. (United States) as a support subprocessor. The database project is in the Frankfurt region. Processing outside the EEA relies on the EU Standard Contractual Clauses with supplementary assessment under the Supabase DPA dated June 1, 2026 (without claiming EU-US DPF as the basis).
• Google Ireland Limited or Apple Distribution International Limited (for EEA users; another group entity may apply by location): only when selected for social login; necessary account, device and connection data is exchanged. If you open a Google Search or Google Maps link shown by CrisAssistant, Google also receives the query or destination coordinates contained in the link and ordinary connection data.
• Private German cloud (Cloudworkon): an AI server operated by Vareon in Germany, running open AI models of the Qwen 3.6 class or newer, hosted locally by Vareon. Requests on this default route are not forwarded to an external model-API provider, although network and TLS delivery may involve Cloudflare as described above.
• JINGSHENG HENGXING TECHNOLOGY PTE. LTD. (z.ai, Singapore): external AI route remains technically blocked until documented legal approval. Moonshot AI/Kimi is not offered and has been removed from this notice.
• SearXNG: self-hosted metasearch; configured engines receive the query and server connection data.
• Supabase and Mistral AI SAS (France) for speech: approved speech text travels from the browser through Vercel and the Hetzner proxy to a Supabase Edge Function and then Mistral. CrisAssistant creates no persistent speech archive. Browser and feed server retain result data only in bounded process memory; the feed cache indexes text solely by hash and marks responses as non-storable. Independent technical logs of participating providers follow the approved contract for that provider.
• DWD, NINA and OpenMeteo GmbH (Switzerland): alert, radar and weather data. The signed feed retrieves data server-side; a browser fallback requests Open-Meteo directly, which then receives your IP address, entered place or coordinates and technical request data.
• OpenStreetMap tiles, Nominatim and Overpass (overpass-api.de): maps, geocoding and map-object queries; direct browser requests may expose IP, coordinates, place query or a bounded map-bbox request.
• Stripe Payments Europe, Limited, Stripe Technology Company, Limited and affiliated Stripe entities: web payments, subscription management, invoices, fraud prevention and refunds. CrisAssistant does not store complete card data.
• Plus Five Five, Inc. (Resend, United States): transactional email such as purchase, cancellation and withdrawal confirmation; recipient address and message content are transmitted. DPF-certified (participant ID 8907); plus EU Standard Contractual Clauses under the provider DPA.
• Amazon and Manufactum: only after a merchant link is opened; the target provider's terms and privacy then apply. Amazon links may earn commission and are labelled “Ad”; Manufactum links are currently non-commissioned merchant links. Etsy offers are not active. CrisAssistant receives no order or payment details from merchants.
• Browser push service: only after activation; the browser provider processes the push endpoint.
• News sources: shown as headline, short excerpt and source link; retrieval is generally server-side. CrisAssistant does not claim excessive usage rights in press articles. AI answers about the news are designed as multi-source synthesis with source attribution — not a reproduction or close summary of individual press articles. Details on sources, licensing posture and the rights-holder report/takedown process: /legal/sources. When you open a source link, the target site processes your request under its own responsibility.

Some recipients act as processors; others, particularly payment, login and merchant services, are independent controllers for their defined service. We disclose only data required for the selected function. Current provider or subprocessor information is available from info@vareon.info.

5. Purposes and legal bases

• account, contractual service, contract support, subscription, and billing, cancellation, withdrawal and statutory evidence: GDPR Art. 6(1)(b) and, where applicable, (c);
• separately selected minimised product statistics, minimised affiliate statistics and push where consent is required: Art. 6(1)(a); every optional purpose is off by default and can be withdrawn independently;
• deliberately requested but not contractually owed free-tier online functions (such as cloud AI, web search or server speech), security, fraud/abuse prevention, debugging and reliable operation: Art. 6(1)(f). Our interests are providing the function you requested, protecting users and systems, preventing abuse and fixing faults, balanced by minimisation, short retention, separate route choice and objection rights. Where access to terminal equipment storage requires consent under section 25 TDDDG, we obtain that consent separately.
• scheduling, publishing, and managing our social media posts and evaluating their aggregated reach and interaction: Art. 6(1)(f) GDPR. Our legitimate interests are efficient public communication, assessing the general reach of our content, and improving that content. These interests are balanced by limiting the evaluation to platform metrics, not using our own campaign identifiers, and not linking the metrics to individual website visitors.

Consent can be withdrawn prospectively at any time. Contractual or legally required processing remains unaffected.

6. AI, search and use of data

Cris is an AI system and is identified as such in the interface. AI output may be wrong and does not replace an official or professional decision. AI-assisted text and symbol images published by CrisAssistant are visibly labelled; first-party symbol images additionally carry machine-readable IPTC digital-source-type metadata for algorithmic media. Machine-readable marking of synthetic speech follows the speech provider; CrisAssistant also visibly labels server speech as AI voice. Vareon does not use your input to train its own general-purpose AI model. A selected provider's further handling follows its approved contract and privacy notice, which is why external routes are shown separately and remain technically blocked without a documented international-transfer basis.

No solely automated decision with legal or similarly significant effect under GDPR Art. 22 takes place.

Do not submit passwords, complete payment data or special-category data such as health, religious or biometric data in free-form AI, search, speech or support input unless a specific feature expressly requests it with its own information and suitable legal basis. Local preparedness data remains on-device as described in section 2.

Special categories (Art. 9 GDPR): Where free-text input to cloud AI may contain special categories of personal data (in particular health information), CrisAssistant obtains a separate, explicit consent — separate from registration, terms acceptance and storage consent. Without this consent no cloud send takes place; local routes remain usable. After withdrawal, further cloud sends are blocked until consent is given again. Local preparedness/memory data is never sent automatically. For guests, the consent record is stored locally on the device (limited demonstrability).

7. Thumbs feedback, statistics and social media analytics

Thumbs and resulting confirmed filters stay local. Only with the separate Product Statistics consent does CrisAssistant send closed aggregates of surface, category, thumb, action, view depth and AI mode. They contain no text, content IDs, chat, location, memory, account or session ID. Local display and interaction preferences belong to the expressly requested app function and do not authorise statistics. We do not use marketing or cross-site tracking cookies.

Only with the separate Affiliate Statistics consent does merchant telemetry use exactly four event types: (1) an eligible offer remains at least 50 percent visible for at least one second, (2) its detail view is opened, (3) the associated item is added to the local shopping list and (4) a merchant link is opened. The event contains the offer and, where applicable, need reference, surface, placement, language, event type, consent version and a browser-generated random token held only in memory for the current app launch.

These events are sent only when commerce measurement is enabled server-side and the current Affiliate Statistics consent version is active. Account, persistent device identifier, chat, location and local-memory content are excluded. CrisAssistant records no purchase, order or refund event and receives no Amazon or Manufactum order or payment data that can be linked to the launch token. Aggregate affiliate-program reports remain separate and are not joined to that token. Merchant events are deleted within 90 days; withdrawing consent stops future collection.

For our social media evaluation, CrisAssistant uses only aggregated post metrics provided by the respective platform through Blotato. According to the provider description, the “clicksCount” metric may include link or content clicks. It therefore does not establish an actual visit to crisa.io or identify a unique person.

Social media links lead directly to a canonical page on crisa.io. We do not use campaign short links, UTM parameters, pixels, or social media cookies on crisa.io for this purpose. Platform metrics are not combined with technical access logs, CrisAssistant accounts, or other data relating to individual website visitors.

8. Cookies and browser storage

Necessary browser storage supports settings, security, authentication and expressly requested local functions under section 25(2) TDDDG. The transient affiliate identifier is not stored persistently on the device. Product Statistics and Affiliate Statistics are separate, optional and off by default. Former bundled or differently versioned choices are reset to necessary storage only; each optional purpose requires a fresh affirmative choice.

9. Retention

• local data: until you or the browser clears it;
• account and profile data: until account deletion; necessary backups disappear through the regular overwrite cycle unless an incident or claim requires a limited hold;
• billing, booking and contract evidence: depending on document type, generally six, eight or ten years under German accounting/tax law; unnecessary payment data is deleted sooner;
• order, terms and age evidence plus cancellation and withdrawal data: until the action is resolved and generally through the end of the third calendar year afterward; a documented legal hold may extend this period;
• confirmation-queue recipient addresses: generally 30 days; only pseudonymous delivery and contract evidence remains for the preceding evidence period;
• support case content: 30 days after closure; non-identifying outcome metrics up to 180 days;
• minimised merchant events: no more than 90 days;
• Blotato account connections and social media data processed there: only for the time-limited evaluation following the product launch. After that evaluation ends, the connected account permissions are revoked and deletion of account, token, post, and analytics data stored by Blotato is requested. Blotato does not publish a fixed general deletion period and instead describes retention consistent with its business purposes;
• CrisAssistant speech: no persistent audio or text archive; bounded in-memory caches remain only until eviction or process/page end. Technical provider-log retention follows the approved processor and provider status;
• technical logs and raw provider events: purpose-limited and access-restricted until the fault, security or abuse matter is resolved, then deleted or redacted under the short period set for that system.

10. International transfers

German/EU infrastructure and the German AI route are preferred by default. Where a recipient processes outside the EEA, the currently released routes rely on the recipient-specific basis below (GDPR Art. 13(1)(f)). You may request a copy or information about the applicable safeguard from info@vareon.info.

Selecting an external AI route does not by itself replace a transfer basis required by GDPR Articles 44 et seq. Such a route may remain enabled only where the required safeguard is documented for the provider, country and processing.

11. Security

We use risk-appropriate technical and organisational measures including TLS, access controls, Row Level Security, signed content, server-side secrets, webhook signature checks, rate limits, minimisation and recorded commerce events.

No internet-connected system can guarantee absolute security despite appropriate safeguards. Transmission, software, provider and operational risks can be reduced but not eliminated. We assess incidents and notify people and authorities where legally required.

12. Your rights

Your rights include access, rectification, erasure, restriction, portability, objection and withdrawal of consent. For legitimate-interest processing you may object on grounds relating to your particular situation; we do not conduct direct marketing. Local data can be exported and erased in CrisAssistant. Online-account deletion is currently initiated through info@vareon.info and handled manually after identity verification; records subject to statutory retention or a documented legal hold are not erased early. You may also complain to a competent supervisory authority, in particular the Baden-Württemberg data protection authority, Heilbronner Straße 35, 70191 Stuttgart, Germany, email poststelle@lfdi.bwl.de.

13. Sources and required information

Data comes from you, your browser/device, selected login or payment providers, the operators of our social media platforms, Blotato, and the stated public content sources. Required fields are limited to what account, contract, payment, cancellation, withdrawal or abuse prevention needs. Without them, that function or contract cannot be supplied. Optional functions can remain unused without providing their data.

14. Children and changes

A personal CrisAssistant account is intended for people aged 16 or older. People under 18 may use an account only where they have any parental or guardian consent required by German civil-capacity rules or where those rules otherwise permit the use. Only adults may conclude a paid web subscription. Material changes are published with a new date and, where processing requires it, notified in advance or presented for renewed consent.