SPELLWEAVE verarbeitet Quellcode, Chatinhalte und — bei Nutzung der Sprachfunktion — Audioaufnahmen. Diese Erklärung beschreibt die Datenflüsse, wie sie im Quellcode dieser Anwendung tatsächlich vorhanden sind.
Alle Stellen, die eine Geschäftsentscheidung oder juristische Prüfung brauchen, sind als TODO markiert und nicht mit Annahmen gefüllt.
UV Service GmbH, Alexanderstraße 81, 70182 Stuttgart, Deutschland, vertreten durch den Geschäftsführer Timo Pohland, contact@unitvalue.io (Angaben aus dem Impressum).
TODO (juristische Prüfung): Ob die UV Service GmbH für alle hier beschriebenen Verarbeitungen Verantwortlicher ist oder für Kundendaten als Auftragsverarbeiter handelt, muss vertraglich festgelegt werden. Diese Erklärung nimmt an: Konto-, Warteliste- und Analysedaten = Verantwortlicher; Inhalte, die Kunden in die Plattform geben (Quellcode, Chat, Sprache) = Auftragsverarbeitung nach dem AV-Vertrag.
TODO (juristische Prüfung): Benennung und Kontaktdaten eines Datenschutzbeauftragten bzw. Feststellung, dass keine Pflicht besteht.
SPELLWEAVE ist eine Entwicklungsplattform, in der KI-Agenten Quellcode lesen und schreiben. Die folgenden Datenarten fallen dabei technisch nachweisbar an:
TODO (juristische Prüfung): Vollständige Liste der Felder des Wartelisten-Formulars und der Kontodaten gegen die Datenbankmigrationen abgleichen und hier verbindlich festschreiben.
Die Verarbeitung dient der Bereitstellung der Plattform: Anmeldung, Ausführung von Agentenläufen, Speichern von Verläufen und Ergebnissen, Sprachein- und -ausgabe, Fehlersuche und Missbrauchsvermeidung (Ratenbegrenzung).
TODO (juristische Prüfung): Zuordnung der Rechtsgrundlagen je Zweck (Art. 6 Abs. 1 DSGVO) — insbesondere Vertragserfüllung für Konto und Plattformnutzung, Einwilligung für Analyse/Session-Replay und Warteliste-Kommunikation, berechtigtes Interesse für Protokollierung und Missbrauchsabwehr. Die Zuordnung ist eine juristische Wertung und wird hier bewusst nicht behauptet.
Wir setzen 12 Dienstleister ein. Die vollständige Liste mit Zweck, Datenkategorie, Region und Zero-Data-Retention-Status steht auf der Seite /subprozessoren und ist Anlage des Auftragsverarbeitungsvertrags.
Zwei Punkte sind für die Bewertung wesentlich: Erstens laufen alle Sprachmodell-Aufrufe und Embeddings über den Vercel AI Gateway, für den Zero Data Retention konfiguriert ist. Zweitens läuft die Sprachverarbeitung bei ElevenLabs (TTS und STT) NICHT über diesen Gateway; Sprachaufnahmen und vorgelesene Texte gehen direkt an api.elevenlabs.io, die ZDR-Konfiguration des Gateways greift dort nicht.
Drittens ist das Fehler-Monitoring bei Sentry ein Empfänger, der nur existiert, wenn ein Zugangsschlüssel (DSN) konfiguriert ist. Ohne DSN verlassen keine Fehlerdaten das System, die Berichte bleiben ausschließlich in der eigenen Datenbank. Mit DSN übertragen werden Fehlermeldung, Stacktrace, Fehlerklasse, Route ohne Query-String und Organisationskennung — ohne IP-Adresse, ohne Nutzerkennung, ohne Request-Inhalte und ohne Sitzungsaufzeichnung.
TODO (juristische Prüfung): Für ElevenLabs klären und hier eintragen, welche Aufbewahrungs- und Trainingsbedingungen vertraglich gelten (aus dem Code nicht ableitbar).
TODO (juristische Prüfung): Vor der Aktivierung von Sentry: Auftragsverarbeitungsvertrag abschließen, Verarbeitungsregion (EU/US) festlegen und die Aufbewahrungsdauer im Sentry-Projekt konfigurieren.
Ein Teil der eingesetzten Dienste hat Sitz oder Verarbeitungsstandorte außerhalb der EU/des EWR. Der Code legt die konkrete Verarbeitungsregion nicht fest.
TODO (juristische Prüfung): Je Subprozessor Verarbeitungsregion, Transfermechanismus (Angemessenheitsbeschluss, Standardvertragsklauseln) und ggf. Transfer-Impact-Assessment feststellen und dokumentieren. Ohne diese Prüfung wird hier keine Aussage zur Zulässigkeit der Übermittlung getroffen.
Technisch belegbar ist bisher nur eine Frist: das kurzlebige Session-Gedächtnis (Working Memory) verfällt nach 4 Stunden (Standard-TTL in lib/memory/working-memory.ts); der Datenbank-Fallback wird durch einen Aufräum-Cron geleert.
TODO (juristische Prüfung): Für Fehlerprotokolle gibt es eine Aufräumfunktion in der Datenbank (cleanup_runtime_logs, Standardwert 14 Tage); sie ist derzeit nicht automatisch eingeplant. Löschfristen für Konten, Chatverläufe, Task-Pläne, Agentenprotokolle, Sprachaufnahmen, Verifikations-Screenshots und Wartelisten-Einträge festlegen (Geschäftsentscheidung) und anschließend technisch umsetzen. Es werden hier absichtlich keine Fristen behauptet, die im System nicht implementiert sind.
Für die Anmeldung setzt Supabase Auth Sitzungs-Cookies, die für den Betrieb erforderlich sind. Microsoft Clarity wird nur geladen, wenn eine Projektkennung konfiguriert ist; die Einwilligung wird über das Banner eingeholt und die Entscheidung im lokalen Speicher des Browsers unter dem Schlüssel clarity_consent gespeichert.
TODO (juristische Prüfung): Prüfen, ob das bestehende Banner den Anforderungen an Einwilligung nach § 25 TDDDG genügt (Zeitpunkt des Skriptladens, Widerrufsmöglichkeit, Gleichwertigkeit der Schaltflächen). Diese Erklärung beschreibt nur den Ist-Zustand.
Betroffene haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine erteilte Einwilligung kann jederzeit widerrufen werden (Art. 7 Abs. 3). Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde (Art. 77).
Anfragen richten Sie an contact@unitvalue.io.
TODO (juristische Prüfung): Zuständige Aufsichtsbehörde benennen und internen Prozess (Fristen, Zuständigkeit, Nachweis) für Betroffenenanfragen festlegen.
Die Plattform trifft keine automatisierten Entscheidungen mit rechtlicher Wirkung gegenüber Personen. KI-Agenten erzeugen Code- und Textvorschläge; die Freigabe erfolgt durch Nutzer über die Gate-Freigaben.
Entwurfsstand: 29. Juli 2026. Diese Erklärung ist ein technisch geprüfter Entwurf und ersetzt keine Rechtsberatung. Sie wird angepasst, wenn sich die eingesetzten Dienste oder Datenflüsse ändern.