Datenschutzerklärung

Vaschido Studio · Stand: 21. September 2026

Vaschido Studio ist ein Werkzeug, mit dem Fachleute das Regelwerk eines Produktkonfigurators oder Produktfinders (Vaschido Scout) aufschreiben. Diese Erklärung sagt, welche Daten dabei anfallen, wozu sie verarbeitet werden und wie lange sie bleiben.

1 · Verantwortlicher

Verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO:

Vaschido, Einzelunternehmen
Inhaber: Ruben Bäurle
Mehlbichlstraße 11
87600 Kaufbeuren
Deutschland

Telefon: +49 174 8404874
E-Mail: [email protected]
Impressum

Ein Datenschutzbeauftragter ist nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: es sind nicht ständig mindestens zwanzig Personen mit der automatisierten Verarbeitung beschäftigt, es findet keine Verarbeitung statt, die eine Datenschutz-Folgenabschätzung erfordert, und es werden keine Daten geschäftsmäßig zur Übermittlung, zur anonymisierten Übermittlung oder für Zwecke der Markt- oder Meinungsforschung verarbeitet. Fragen zum Datenschutz richten Sie bitte an die oben genannte Adresse.

2 · Welche Daten verarbeitet werden

2.1 · Beim Anlegen eines Kontos

Studio ist ein kostenloses B2B-Werkzeug. Kostenpflichtige Scout-Leistungen werden separat vereinbart. Zusätzlich zu Name, E-Mail und Passwort-Hash speichern wir das Unternehmen, den Zeitpunkt der E-Mail-Bestätigung sowie die akzeptierte Version der Nutzungsbedingungen und den Annahmezeitpunkt. Dies dient der Kontobereitstellung und dem Nachweis der Nutzungsvereinbarung (Art. 6 Abs. 1 lit. b DSGVO; bei Mitarbeitern eines Kundenunternehmens Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Bereitstellung und Verwaltung des geschäftlichen Zugangs).

Bis zur E-Mail-Bestätigung werden die Registrierungsangaben einschließlich Passwort-Hash vorläufig gespeichert; ein nutzbares Konto entsteht erst nach der Bestätigung. Der Link gilt 24 Stunden. Passwort-Links gelten 30 Minuten, können nur einmal verwendet werden und setzen einen vorhandenen zweiten Faktor nicht außer Kraft. In der Datenbank speichern wir die Links nur als Hash. Nach Verwendung werden sie gelöscht; abgelaufene Einträge werden bei der nächsten Bereinigung entfernt. Die tägliche Wartung begrenzt diese Nachlaufzeit auf höchstens 24 Stunden.

Bestätigungen, Passwort-Links und Hinweise auf Sicherheitsänderungen werden an die angegebene E-Mail-Adresse versandt. Hierzu verarbeiten wir Empfängeradresse, Nachrichteninhalt und technische Zustellinformationen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO beziehungsweise bei der Missbrauchsabwehr Art. 6 Abs. 1 lit. f DSGVO. Der Versanddienst ist für diese neue Funktion noch nicht festgelegt; der produktive Versand ist bis zur Einrichtung deaktiviert. Vor Aktivierung werden der konkrete Dienstleister, Verarbeitungsort und erforderliche Datenschutzvereinbarungen geprüft und diese Informationen ergänzt.

Zum Schutz vor automatisierten Anmelde- und Versandversuchen verwenden wir zeitlich begrenzte Zähler, die aus IP-Adresse oder Kontokennung abgeleiteten Hash-Schlüsseln zugeordnet sind. Diese Kennungen sind pseudonym, nicht anonym. Die Zähler gelten je nach Vorgang 15 Minuten oder eine Stunde und werden anschließend bei der nächsten Anfrage beziehungsweise täglichen Wartung entfernt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an der Sicherheit des Dienstes.

Das berechtigte Interesse in den beiden mit lit. f bezeichneten Fällen ist der sichere Betrieb des Dienstes und die Abwehr von Angriffen auf Nutzerkonten.

Das Passwort wird niemals im Klartext gespeichert. Es wird mit dem Standardverfahren von PHP gehasht (password_hash).

2.2 · Inhalte, die Sie erfassen

Ihre Regelwerke (Produktnamen, Stücklisten, Spezifikationen, Regeln, Beispielfälle) werden als Ihr Arbeitsstand gespeichert und Ihrem Konto zugeordnet (Art. 6 Abs. 1 lit. b DSGVO). Sie sind für andere nur sichtbar, wenn Sie sie ausdrücklich freigeben oder zur Bearbeitung an Vaschido übergeben.

Bitte tragen Sie hier keine personenbezogenen Daten ein. Ein Regelwerk beschreibt Technik, nicht Menschen. Namen, Adressen oder Kundendaten gehören nicht in Teilebezeichnungen, Regelsätze oder Beispielfälle.

Vaschido Scout: Produkte, Anforderungen und Umsetzungsstände

Bei Scout speichern wir die von Ihnen eingegebenen Produkte, Artikelnummern, Lagerbestände, Produkteigenschaften mit Einheiten, Kundenfragen, Antwortmöglichkeiten und deren Verknüpfungen. Dazu kommen Projektname, Versionsnummer, Änderungszeitpunkt und die Zuordnung zu Ihrem Konto bzw. Ihren Freigaben. Zweck ist die Erstellung, Pflege und Prüfung Ihres Produktfinders (Art. 6 Abs. 1 lit. b DSGVO). Die Testantworten in „Übersicht & Test“ dienen der Vorschau im Browser und werden nicht als einzelne Kundenprofile an den Server übermittelt.

Im Abschluss speichern wir außerdem Ihre Wünsche zur Weiterleitung und zur Produktdarstellung sowie freiwillig beigefügte, einem Produkt zugeordnete Bilder. Die Bilder werden vor der Übertragung im Browser verkleinert und neu als JPEG erzeugt; ursprüngliche Bildmetadaten werden dabei nicht übernommen. Sie werden mit dem Entwurf gespeichert und bei „Anfordern“ zusammen mit dem Scout-Stand an Vaschido übergeben, etwa als Referenz für ein späteres 3D-Modell. Bitte verwenden Sie Produktaufnahmen ohne Personen oder vertrauliche Angaben. Zweck und Rechtsgrundlage entsprechen der Erstellung und Umsetzung Ihres Produktfinders.

Scout nutzt für diese Verarbeitung keine KI-Dienste. Die separat vorhandene KI-Unterstützung des Konfigurators ist in Abschnitt 4 beschrieben.

2.3 · Ohne Konto

Wer das Werkzeug ohne Konto ausprobiert, dessen Arbeitsstand bleibt im eigenen Browser (localStorage). Er wird nicht an den Server übertragen, solange Sie keine Übernahme ins Konto, Speicherung oder Anfrage mit Übermittlung des Regelwerks auslösen. Bei Scout wird der Browserentwurf beim bloßen Anmelden noch nicht übernommen. Ausnahme sind Anfragen an die separat angebotene KI-Unterstützung, siehe Abschnitt 4.

2.4 · Anfragen aus dem Studio

Am Ende der Erfassung können Sie ein Angebot anfragen, eine kostenlose Konfigurator-Demo anfragen oder eine Rückmeldung schicken oder die Einrichtung bzw. Änderung Ihres Scouts anfordern. Dabei werden die von Ihnen eingetragenen Kontaktdaten (Name, Firma, E-Mail-Adresse und, wenn Sie sie angeben, Telefonnummer) sowie Ihre Nachricht per E-Mail an [email protected] übermittelt und dort zur Bearbeitung gespeichert.

Dieselben Angaben werden zusätzlich in unserer Datenbank auf dem Server gespeichert, damit eine Anfrage nicht verlorengeht, wenn der Versand einmal scheitert. Löschen Sie Ihr Konto, werden Anfragen, die unter derselben E-Mail-Adresse eingingen, mit gelöscht.

Wenn Sie es ankreuzen, wird Ihr Regelwerk als Datei angehängt. Ohne dieses Kreuz wird es bei diesen allgemeinen Anfragen nicht mitgeschickt. Für „Scout anfordern“ gilt: Nach Ihrer Bestätigung wird der vollständige, zuvor gespeicherte Scout-Stand mit Versionsnummer zusammen mit Ihren Kontaktdaten und Hinweisen übermittelt. Dieser Stand wird zusätzlich als unveränderte Kopie in der Studio-Datenbank aufbewahrt. Spätere Bearbeitungen ändern ihn nicht. Zweck ist die manuelle Prüfung und Umsetzung durch Vaschido sowie die Nachvollziehbarkeit der angeforderten Änderungen (Art. 6 Abs. 1 lit. b DSGVO). Berechtigte Personen mit Zugriff auf diesen Scout können dessen Anfrageverlauf und die übergebenen Regelwerkstände sehen; Ihre Kontaktformulare werden dort nicht als eigene Kontaktliste veröffentlicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Anbahnung eines Vertragsverhältnisses geht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO: unser berechtigtes Interesse an der Beantwortung von Anfragen. Die Angaben werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine gesetzlichen Aufbewahrungsfristen entgegenstehen.

2.5 · Zwei-Faktor-Anmeldung (optional)

Wenn Sie die Zwei-Faktor-Anmeldung aktivieren, speichern wir einen verschlüsselten Authenticator-Schlüssel, ausschließlich Prüfwerte Ihrer zufälligen Notfallcodes, den Aktivierungszustand, Einrichtungs- und Änderungszeitpunkte sowie technische Angaben zur Verhinderung einer mehrfachen Codeverwendung. Fehlversuchszähler und zeitlich begrenzte Sperren dienen der Abwehr von Rateversuchen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz Ihres Kontos und der darin gespeicherten Inhalte.

Die Authenticator-App erzeugt ihre zeitbasierten Codes selbst. Studio sendet den Einrichtungsschlüssel nicht an einen externen QR-Code- oder Authentifizierungsdienst. Für eine etwaige Sicherung oder Synchronisierung durch Ihre selbst gewählte App gelten deren eigene Datenschutzbedingungen. Einrichtungsdaten bleiben vorübergehend in Ihrer Serversitzung (höchstens zehn Minuten für die Bestätigung); eine noch nicht abgeschlossene Anmeldung mit zweitem Faktor läuft nach fünf Minuten ab.

Bei Deaktivierung werden der gespeicherte Authenticator-Schlüssel und die Prüfwerte der Notfallcodes entfernt. Der deaktivierte Sicherheitszustand mit Änderungszeitpunkt bleibt zur Ungültigmachung alter Sitzungen bis zur Kontolöschung gespeichert. Beim Löschen Ihres Kontos wird auch dieser Sicherheitsdatensatz gelöscht.

2.6 · Server-Protokolle

Der Hoster erstellt beim Abruf Protokolle mit IP-Adresse, Zeitpunkt, aufgerufener Adresse, übertragener Datenmenge, Referrer und Browserkennung. Sie dienen dem sicheren Betrieb und der Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO) und werden nach der Frist des Hosters gelöscht. Eine Zusammenführung mit anderen Daten findet nicht statt.

3 · Cookies und lokale Speicherung

Angemeldete Sitzungen enden nach 30 Minuten Inaktivität, spätestens nach zwölf Stunden. Nach einem Passwortwechsel müssen sich andere Sitzungen erneut anmelden; beim Zurücksetzen enden alle bisherigen Sitzungen.

Es wird ein einziges Cookie gesetzt: die Sitzungskennung für Anmeldung, Formularschutz und angemeldete Nutzung. Sie kann bereits vor der Anmeldung entstehen. Sie ist für den Betrieb unbedingt erforderlich, enthält keine Inhalte und wird beim Abmelden ungültig. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Zusätzlich liegt im Browser eine lokale Sicherungskopie Ihres Arbeitsstands, damit nichts verloren geht, wenn die Verbindung abreißt. Sie wird nicht als separate Sicherung an uns übertragen und lässt sich über die Einstellungen Ihres Browsers löschen. Das Speichern oder Anfordern eines Regelwerks übermittelt dessen Inhalt wie oben beschrieben.

Im Browser wird außerdem gespeichert, ob Sie die Scout-Kurzanleitung bereits geschlossen haben, damit sie nicht bei jedem Besuch erneut erscheint. Über „Anleitung“ können Sie sie jederzeit wieder öffnen.

Ihr Verhalten auf dieser Seite wird nicht ausgewertet. Es sind keine Dienste Dritter eingebunden, die beim Aufruf Daten erhalten. Ein Cookie-Banner gibt es nicht, weil es nichts einzuwilligen gibt.

4 · KI-Unterstützung (Anthropic)

Vasco, die Unterstützung beim Formulieren von Regeln, nutzt ein Sprachmodell von Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA.

Was übermittelt wird:

• der Satz oder Text, den Sie Vasco zum Auswerten geben,
• die Namen Ihrer Teile und Spezifikationen als Zusammenhang,
• der Produktname,
• bei der Stücklisten-Übernahme aus PDF: die hochgeladene Datei.

Nicht übermittelt werden: Ihr Name, Ihre E-Mail-Adresse, Ihre Kontokennung oder Ihre IP-Adresse. Der Server stellt die Anfrage in eigenem Namen.

Rechtsgrundlage der Verarbeitung ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Sie erteilen sie in Ihrem Konto in einem eigenen, freiwilligen Feld und können sie jederzeit im Konto mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO). Ohne diese Einwilligung lässt sich das Werkzeug vollständig nutzen. Vasco wertet dann keine freien Texte aus; Sie tragen Regeln über die Formulare ein. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Übermittlung in ein Drittland. Anthropic verarbeitet die Anfragen in den Vereinigten Staaten. Der Angemessenheitsbeschluss zum EU-US Data Privacy Framework gilt nur für entsprechend zertifizierte Empfänger und die davon erfassten Verarbeitungen, nicht pauschal für jeden US-Anbieter. Grundlage der Übermittlung sind die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil des mit Anthropic geschlossenen Vertrags zur Auftragsverarbeitung sind.

Trotz dieser Garantien lässt sich nicht ausschließen, dass US-Behörden nach dortigem Recht auf die übermittelten Daten zugreifen und dass Ihnen dagegen keine mit dem europäischen Rechtsschutz vergleichbaren Rechtsbehelfe zur Verfügung stehen. Auch aus diesem Grund holen wir eine Einwilligung ein und bitten darum, keine personenbezogenen Daten in Regelwerke einzutragen.

Nach den Angaben von Anthropic werden Ein- und Ausgaben der Programmierschnittstelle nicht zum Training der Modelle verwendet. Weitere Angaben: anthropic.com/legal/privacy.

Wer das Werkzeug ohne Konto ausprobiert und Vasco eine Frage stellt, übermittelt denselben Umfang. Darauf wird an der Stelle hingewiesen, an der es zum ersten Mal geschieht.

5 · Hosting

Die Anwendung läuft bei IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, auf Servern in Deutschland. IONOS verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO.

6 · Empfänger

Über die genannten Auftragsverarbeiter (IONOS für das Hosting, Anthropic für die KI-Unterstützung) hinaus werden keine Daten weitergegeben. Es findet kein Verkauf und keine Weitergabe zu Werbezwecken statt.

Laden Sie ein Teammitglied zu einem Regelwerk ein, sieht dieses Ihren Namen und Ihre E-Mail-Adresse sowie den freigegebenen Inhalt. Das geschieht nur auf Ihre Veranlassung.

7 · Speicherdauer

• Konto und Inhalte: bis Sie das Konto löschen.
• Scout-Anfragestände in Studio: zur Bearbeitung und Nachvollziehbarkeit Ihrer Anforderungen. Sie werden nicht durch spätere Entwürfe überschrieben. Anfragen unter Ihrer bestätigten Konto-E-Mail-Adresse werden bei Kontolöschung aus der Studio-Datenbank gelöscht. Bei älteren Konten ohne dokumentierte E-Mail-Bestätigung ist hierfür eine gesonderte Prüfung über unsere Kontaktadresse erforderlich. Für Anfragen unter einer abweichenden Kontaktadresse können Sie die Löschung über die oben genannte Kontaktadresse veranlassen; gesetzliche Aufbewahrungspflichten bleiben vorbehalten. E-Mail-Kopien werden getrennt bearbeitet.
• Arbeitsstände ohne Konto: in Ihrem Browser, bis Sie ihn leeren.
• Einladungslinks: laufen nach der eingestellten Frist ab und werden danach entwertet.
• Anfragen per E-Mail: bis die Anfrage abschließend bearbeitet ist; danach gelöscht, soweit keine handels- oder steuerrechtliche Aufbewahrungspflicht besteht.
• Server-Protokolle: nach der Frist des Hosters.

Beim Löschen des Kontos werden Ihre Regelwerke, Zugriffsrechte und ausgestellten Einladungen mitgelöscht. Der Vorgang ist nicht umkehrbar. In einer Sicherungskopie, die vor der Löschung entstanden ist, können die Daten bis zum turnusmäßigen Überschreiben der Sicherung noch enthalten sein; sie werden dort nicht weiter genutzt.

8 · Ihre Rechte

Ihnen stehen zu:

• Auskunft (Art. 15 DSGVO): Kontodaten und zugeordnete Regelwerke können Sie unter „Meine Daten herunterladen" abrufen. Ergänzende Auskunft, etwa über Kontaktanfragen und E-Mail-Korrespondenz, erhalten Sie über unsere oben genannte Kontaktadresse.
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO): im Konto unter „Konto löschen".
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): der Download ist maschinenlesbares JSON.
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf einer Einwilligung (Art. 7 Abs. 3 DSGVO): im Konto, mit Wirkung für die Zukunft.

Außerdem haben Sie das Recht, sich bei einer Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Telefon: +49 981 180093-0
https://www.lda.bayern.de

Sie können sich stattdessen auch an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts oder Ihres Arbeitsplatzes wenden.

9 · Pflicht zur Bereitstellung

Die Angabe von Name, Unternehmen, E-Mail-Adresse und Passwort ist für ein Konto erforderlich; ohne sie kann kein Konto angelegt werden. Es besteht keine gesetzliche Pflicht, ein Konto anzulegen; das Werkzeug lässt sich ohne Konto ausprobieren. Die Einwilligung in die KI-Unterstützung ist freiwillig; ihre Verweigerung hat keine Nachteile außer dem Verzicht auf diese eine Funktion.

10 · Keine automatisierte Entscheidung im Einzelfall

Eine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 DSGVO findet nicht statt. Die Auswertung von Texten durch das Sprachmodell dient allein dazu, Ihre eigenen Eingaben in eine Struktur zu bringen; sie hat keine rechtliche Wirkung Ihnen gegenüber.

11 · Sicherheit

• Übertragung ausschließlich verschlüsselt (HTTPS).
• Passwörter nur als Hash, nach dem Standardverfahren von PHP.
• Optional aktivierbare Zwei-Faktor-Anmeldung mit verschlüsseltem Authenticator-Schlüssel, einmal verwendbaren Codes und begrenzten Fehlversuchen.
• Sitzungscookie mit HttpOnly, Secure und SameSite=Lax.
• Sperre nach mehreren Fehlversuchen bei der Anmeldung.
• Schutz vor Cross-Site-Request-Forgery bei jedem schreibenden Aufruf.
• Rollen werden auf dem Server geprüft, nicht in der Oberfläche.

12 · Änderungen

Ändert sich, was hier steht, wird diese Erklärung angepasst. Der Stand oben sagt, wann das zuletzt geschah.