Datenschutzerklärung

Stand: 31. Oktober 2026. Diese deutsche Fassung ist maßgeblich; die englische Fassung ist eine unverbindliche Übersetzung.

1. Überblick

Diese Datenschutzerklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn Sie diese Website (kanman.ai), die Dokumentation (docs.kanman.ai) oder die Anwendung kanman (app.kanman.ai) nutzen, wozu wir sie verarbeiten und welche Rechte Sie haben. kanman ist ein KI-Teammitglied für Entwicklungsteams, das auf den Repositories und Issue-Trackern arbeitet, die ein Kunde verbindet. Soweit wir Daten in diesen Repositories, Trackern und Runs im Auftrag eines Kunden verarbeiten, sind wir Auftragsverarbeiter nach unserem Auftragsverarbeitungsvertrag; verantwortlich ist dann der Kunde. Für die Website, die Kontodaten, die Abrechnung und den Support sind wir selbst verantwortlich.

2. Verantwortlicher

Marco Kerwitz
kerwitz.dev
Birkenweg 21
31226 Peine
Telefon: +49 5171 9078566
E-Mail: [email protected]

Einen Datenschutzbeauftragten haben wir nicht benannt, weil keine gesetzliche Pflicht dazu besteht. Bei Fragen zum Datenschutz wenden Sie sich an die oben genannte Adresse.

3. Website und Dokumentation

3.1 Bereitstellung und Server-Logs

Website und Dokumentation werden über Cloudflare (Cloudflare, Inc., USA) ausgeliefert. Beim Aufruf einer Seite verarbeitet Cloudflare technisch notwendige Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser und Betriebssystem. Cloudflare schützt die Seiten außerdem vor Angriffen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren und schnellen Auslieferung der Website).

Speicherdauer: nach den Log-Fristen von Cloudflare; wir werten diese Logs nicht personenbezogen aus.

3.2 Reichweitenmessung

Auf der Website und in der Anwendung nutzen wir Cloudflare Web Analytics. Dabei werden aufgerufene Seite, Referrer, Browser, Gerätetyp, ungefähres Land und Ladezeiten erfasst. Cloudflare Web Analytics setzt keine Cookies, nutzt keinen lokalen Speicher und erstellt keine seitenübergreifenden Profile. Auf der Website wird das Messskript über kanman.ai ausgeliefert und die Messwerte über kanman.ai an Cloudflare weitergeleitet. Wenn Ihr Browser einen Tracking-Schutz nutzt, der das Skript blockiert, findet keine Messung statt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, zu verstehen, welche Seiten genutzt werden und wie schnell sie laden). Sie können der Messung jederzeit widersprechen, zum Beispiel per E-Mail an [email protected].

3.3 Bilder von Unsplash

Einige Bilder in unseren Blogbeiträgen und die Hintergrundbilder, die Sie in der Anwendung für ein Team wählen können, werden direkt von den Servern von Unsplash (Unsplash Inc.) geladen. Dabei überträgt Ihr Browser Ihre IP-Adresse und technische Daten an Unsplash. Die Bildsuche in der Anwendung läuft über unseren Server; Ihre Suchbegriffe gehen ohne Ihre Kontodaten an Unsplash. Datenschutzerklärung von Unsplash: unsplash.com/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer ansprechenden Darstellung).

3.4 Statusanzeige

Im Fuß der Website fragt Ihr Browser den aktuellen Status des Dienstes bei status.kanman.de ab. Dabei werden Ihre IP-Adresse und technische Verbindungsdaten übertragen. Die Abfrage enthält keine Kontodaten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, über Störungen zu informieren).

3.5 Anfrage zum Onboarding und Terminbuchung

Das Formular auf der Onboarding-Seite sendet nichts an unsere Server: Es öffnet Ihr E-Mail-Programm mit einer vorbereiteten E-Mail an [email protected]. Für die E-Mail gilt Abschnitt 3.6. Wenn Sie stattdessen den Link zur Terminbuchung nutzen, wechseln Sie zu Cal.com (Cal.com, Inc., USA); dort gelten die Datenschutzbestimmungen von Cal.com.

3.6 Kontakt per E-Mail

E-Mails an Adressen unter kanman.ai (zum Beispiel [email protected]) nimmt Cloudflare Email Routing an und leitet sie an unser Postfach bei Google (Google Ireland Limited, Irland) weiter. Wir verarbeiten Ihre Angaben, um Ihre Anfrage zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft oder anbahnt; sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung).

Speicherdauer: bis die Anfrage erledigt ist; länger nur, soweit gesetzliche Aufbewahrungspflichten bestehen (zum Beispiel für Handelsbriefe).

4. Die Anwendung kanman

4.1 Konto und Workspace

Bei der Registrierung und Nutzung verarbeiten wir:

• E-Mail-Adresse und Passwort (nur als Hash gespeichert)
• Name und Profilangaben, soweit Sie diese angeben
• Workspaces, Teams, Rollen und Einladungen
• Einstellungen, zum Beispiel Sprache, Benachrichtigungen und Darstellung
• IP-Adresse bei der Registrierung, um Missbrauch zu begrenzen (Registrierungen je IP-Adresse und Stunde)

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für die Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: bis Sie Ihr Konto löschen oder der Workspace gelöscht wird; gelöschte Workspaces werden nach 30 Tagen endgültig gelöscht.

4.2 Inhalte im Auftrag des Kunden

Wenn ein Kunde Repositories, Tracker und Kanäle verbindet, verarbeitet kanman in seinem Auftrag:

• Quellcode und Repository-Metadaten (Branches, Commits, Pull oder Merge Requests, Autorennamen und E-Mail-Adressen in der Commit-Historie)
• Tracker-Inhalte (Issues, Stories, Kommentare, Zuständige)
• Nachrichten an und von kanman, in der Anwendung, in Slack, Microsoft Teams oder per E-Mail
• CI-Logs, Testergebnisse und Run-Artefakte (Berichte, Screenshots, Browser-Traces)
• Entscheidungen, Richtlinien und Audit-Log-Einträge (wer was mit wessen Freigabe zu welchen Kosten getan hat)

Diese Daten können personenbezogene Daten enthalten, zum Beispiel Namen in der Commit-Historie oder in Kommentaren. Der Kunde entscheidet, was verbunden wird, und kann Verbindungen jederzeit trennen.

Rechtsgrundlage: Verarbeitung im Auftrag des Kunden nach Art. 28 DSGVO; für die Rechtsgrundlage ist der Kunde verantwortlich.

Speicherdauer: siehe Abschnitt 7.

4.3 Nutzungs- und Protokolldaten

Beim Nutzen der Anwendung entstehen technische Daten: IP-Adresse, Zeitpunkte, Browser und Gerät sowie Ihre Aktionen in der Anwendung, soweit sie im Aktivitätsprotokoll oder im Audit-Log des Workspaces festgehalten werden. Wir nutzen diese Daten, um den Dienst bereitzustellen, Fehler zu finden und Missbrauch abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Fehlerbehebung).

Speicherdauer: technische Logs nach den Log-Fristen unserer Hosting-Anbieter; Aktivitätsprotokoll und Audit-Log siehe Abschnitt 7.

4.4 E-Mails

Wir versenden E-Mails über Resend (Plus Five Five, Inc., USA; Versand aus der EU-Region in Irland):

• Notwendige E-Mails: Bestätigung der Registrierung, Anmeldelinks, Passwort-Zurücksetzen, Einladungen und Hinweise zu Konto und Abrechnung.
• Zusammenfassungen: eine E-Mail-Zusammenfassung dessen, was kanman für Sie in der Anwendung hinterlassen hat (ungelesene Nachrichten, offene Vorschläge), sowie Team-Berichte. Jede dieser E-Mails enthält einen Link, mit dem Sie sie mit einem Klick abbestellen können, ohne sich anzumelden; Häufigkeit und Uhrzeit stellen Sie in den Benachrichtigungseinstellungen ein. Wir erfassen, ob eine Zusammenfassung zugestellt wurde und ob Sie die Anwendung danach innerhalb von 24 Stunden geöffnet haben.
• Antworten per E-Mail: Antworten Sie auf eine solche E-Mail, nimmt Cloudflare Email Routing die Antwort an, und sie erscheint als Nachricht im Gespräch des betreffenden Teams.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für notwendige E-Mails und Antworten; Art. 6 Abs. 1 lit. f DSGVO für Zusammenfassungen (berechtigtes Interesse, Sie über offene Punkte in Ihrem Team zu informieren). Sie können Zusammenfassungen jederzeit abbestellen.

4.5 Push-Benachrichtigungen

Push-Benachrichtigungen erhalten Sie nur, wenn Sie sie in der Anwendung und in Ihrem Browser erlauben. Wir speichern dafür die Push-Adresse und die Schlüssel, die Ihr Browser uns gibt. Zugestellt werden die Benachrichtigungen über den Push-Dienst Ihres Browsers (zum Beispiel von Google, Apple, Mozilla oder Microsoft); der Inhalt ist Ende-zu-Ende verschlüsselt.

Rechtsgrundlage: Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können sie jederzeit in der Anwendung oder in den Einstellungen Ihres Browsers widerrufen.

4.6 Cookies und lokaler Speicher

Die Anwendung setzt keine Cookies für Werbung oder Tracking und nutzt kein Werbe- oder Tracking-Tool. Sie speichert im lokalen Speicher Ihres Browsers (localStorage und sessionStorage) nur, was für die Nutzung nötig ist oder was Sie selbst einstellen: Ihre Anmeldesitzung, Darstellung und Barrierefreiheit, den zuletzt geöffneten Workspace, zuletzt genutzte Repositories und Entwürfe beim Einrichten eines Teams. Cloudflare kann aus Sicherheitsgründen technisch notwendige Cookies setzen. Ein Cookie-Banner ist deshalb nicht nötig.

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (unbedingt erforderlich für den von Ihnen gewünschten Dienst) und Art. 6 Abs. 1 lit. b DSGVO.

4.7 Zahlungen

Bezahlte Tarife wickeln wir über Stripe (Stripe Payments Europe, Limited, Irland) ab. Stripe verarbeitet Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsdaten und Transaktionsdaten. Vollständige Kartendaten erhalten wir nicht. Datenschutzerklärung von Stripe: stripe.com/de/privacy.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag) und Art. 6 Abs. 1 lit. c DSGVO (steuerliche Aufbewahrungspflichten).

Speicherdauer: Rechnungen und Buchungsbelege bis zu 10 Jahre (§ 147 AO, § 14b UStG).

4.8 Schutz vor automatisierten Registrierungen

Sofern wir auf den Anmeldeseiten eine Prüfung gegen automatisierte Zugriffe einschalten, nutzen wir Cloudflare Turnstile. Turnstile verarbeitet dazu technische Daten Ihres Browsers und Ihre IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Schutz vor Missbrauch).

4.9 KI-Modelle

Um Stories, Code und Antworten zu schreiben, sendet kanman Prompts sowie den dafür nötigen Code-, Tracker- und Gesprächskontext an einen KI-Modellanbieter.

• Eigener Schlüssel (BYOK), AI-Gateway oder eigene Runner: Der Kunde nutzt seinen eigenen Vertrag, zum Beispiel mit Anthropic, OpenAI, Microsoft (Azure OpenAI) oder Amazon Web Services (Amazon Bedrock). Der Anbieter verarbeitet die Daten unter dem Vertrag des Kunden; der Kunde ist dafür verantwortlich.
• Modellzugang über kanman: Nutzt ein Team stattdessen unseren Modellzugang, beauftragen wir Anthropic oder OpenAI als Unterauftragsverarbeiter.

Wir nutzen Ihre Inhalte nicht zum Training von KI-Modellen.

4.10 Verbundene Dienste

Wenn ein Kunde Dienste wie GitHub, GitLab, Jira, Slack oder Microsoft Teams verbindet, liest und schreibt kanman dort im Auftrag des Kunden. Diese Dienste beauftragt der Kunde selbst; es gelten deren Datenschutzbestimmungen.

4.11 Betrieb und Support

Beim Betrieb, bei der Fehlersuche und im Support nutzt der Inhaber KI-Assistenz von Anthropic (Anthropic, PBC, USA). Dabei können im Einzelfall Daten aus der Anwendung verarbeitet werden, soweit die jeweilige Aufgabe das erfordert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; für Kundeninhalte Art. 28 DSGVO.

5. Empfänger

Alle Dienstleister, die in unserem Auftrag Daten verarbeiten, mit Zweck, Datenkategorien, Ort und Übermittlungsgrundlage, stehen in der Liste der Unterauftragsverarbeiter. Kurz: Supabase (Datenbank, Anmeldung, Dateien, Serverfunktionen; Daten gespeichert in Stockholm, Schweden), Fly.io (Cloud-Runner in Frankfurt am Main), Cloudflare (Auslieferung, DNS, Schutz, E-Mail-Weiterleitung, Reichweitenmessung), Resend (E-Mail-Versand aus Irland), Stripe (Zahlungen), Google (Support-Postfach) und Anthropic (KI-Assistenz im Betrieb; Modellzugang über kanman), dazu OpenAI beim Modellzugang über kanman. Wir verkaufen keine personenbezogenen Daten.

6. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Für Empfänger, die nach dem EU-US Data Privacy Framework zertifiziert sind, gilt der Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023. Zusätzlich oder sonst stützen wir Übermittlungen auf EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Welche Grundlage für wen gilt, steht in der Liste der Unterauftragsverarbeiter. Eine Kopie der Garantien erhalten Sie auf Anfrage.

7. Speicherdauer

8. Ihre Rechte

Sie haben nach der DSGVO die folgenden Rechte. Verarbeiten wir Daten im Auftrag eines Kunden, wenden Sie sich bitte an diesen Kunden; wir unterstützen ihn bei der Beantwortung.

• Auskunft über die zu Ihnen gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO). Ihr Konto können Sie selbst in der Anwendung löschen.
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO). Ihre persönlichen Daten und das Audit-Log können Sie in der Anwendung exportieren.
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres Aufenthaltsorts, Ihres Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist: Die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover, lfd.niedersachsen.de.

Wir beantworten Anfragen innerhalb eines Monats. Bei komplexen Anfragen kann sich die Frist um zwei Monate verlängern; darüber informieren wir Sie.

9. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Für ein Konto brauchen wir Ihre E-Mail-Adresse und ein Passwort oder einen Anmeldelink; ohne sie können wir kein Konto anlegen. Weitere Angaben sind freiwillig. Wir treffen keine automatisierten Entscheidungen über Personen im Sinne von Art. 22 DSGVO. kanman entscheidet über Arbeit an Code und Stories nach den Richtlinien, die der Kunde festlegt.

10. Datensicherheit

Alle Verbindungen sind mit TLS verschlüsselt, gespeicherte Daten werden von den Hosting-Anbietern verschlüsselt. Kundendaten sind in der Datenbank durch Row Level Security nach Workspaces getrennt. Jeder Run in der Cloud läuft auf einer eigenen Maschine, die danach entfernt wird. Modellschlüssel werden verschlüsselt gespeichert, und Zugangsdaten werden vor dem Speichern aus Logs entfernt. Die Maßnahmen im Einzelnen stehen in Anlage 1 des Auftragsverarbeitungsvertrags.

11. Kontakt

Für Fragen zum Datenschutz und zur Ausübung Ihrer Rechte: [email protected]

12. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unser Angebot oder die eingesetzten Dienstleister ändern. Es gilt die jeweils hier veröffentlichte Fassung; das Datum steht oben.