DSGVO

Datenschutzerklärung

Stand: 24.06.2026

Diese Datenschutzerklärung informiert Sie gemäß Art. 13 und Art. 14 DSGVO darüber, wie die Canvas AILabs GmbH personenbezogene Daten verarbeitet, bei denen sie Verantwortliche im Sinne des Datenschutzrechts ist – also Daten über Besucherinnen und Besucher unserer Website, Interessentinnen und Interessenten sowie die Nutzerinnen und Nutzer unserer Plattform (Organisations-Administratoren und Builder).

§ 1 Verantwortlicher und Kontakt

Verantwortlicher für die Datenverarbeitung ist:

Canvas AILabs GmbH
Knorrpromenade 8
10245 Berlin
Deutschland

Registergericht: Amtsgericht Charlottenburg, HRB 289368
Vertretungsberechtigte Geschäftsführer: Oleksii Fedorov, Felix Schulte
Website: https://canvas.software

Kontakt in Datenschutzangelegenheiten: support@canvas.software

Wir haben keinen Datenschutzbeauftragten benannt; eine Benennungspflicht besteht für uns derzeit nicht (vgl. § 38 BDSG). Für alle Anliegen zum Datenschutz erreichen Sie uns unter der vorstehenden Kontaktadresse.

§ 2 Geltungsbereich und Abgrenzung

Diese Datenschutzerklärung gilt für die Verarbeitung personenbezogener Daten, für die wir Verantwortliche sind: die Nutzung unserer Website sowie die Verwaltung und der Betrieb der Nutzerkonten auf unserer Plattform.

Nicht von dieser Erklärung erfasst sind:

• Inhalte und Arbeitsergebnisse auf der Plattform (z. B. Quellcode, Spezifikationen, Aufgabenbeschreibungen, Verläufe der AI-Assistenz). Hierbei handelt es sich um Inhalte und geistiges Eigentum unserer Kunden und in aller Regel nicht um personenbezogene Daten. Der Umgang mit diesen Inhalten richtet sich nach dem jeweiligen Vertrag (insbesondere den Allgemeinen Geschäftsbedingungen, den Regelungen zu Geheimhaltung und Rechteübertragung), nicht nach dieser Datenschutzerklärung.
• Personenbezogene Daten, die von den Anwendungen verarbeitet werden, die Kunden auf unserer Plattform erstellen und betreiben. Insoweit ist der jeweilige Kunde Verantwortlicher und die Canvas AILabs GmbH handelt als Auftragsverarbeiterin auf dokumentierte Weisung. Maßgeblich ist hierfür der gesondert geschlossene Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO, nicht diese Datenschutzerklärung.

§ 3 Kategorien betroffener Personen

Wir verarbeiten personenbezogene Daten folgender Personengruppen:

• Besucherinnen und Besucher unserer Website,
• Interessentinnen und Interessenten (potenzielle Kunden, Geschäftskontakte),
• Nutzerinnen und Nutzer unserer Plattform (Organisations-Administratoren und Builder).

§ 4 Kategorien personenbezogener Daten

Je nach Ihrer Beziehung zu uns verarbeiten wir folgende Kategorien personenbezogener Daten:

• Konto- und Identitätsdaten: Name, E-Mail-Adresse, Rolle, Zugehörigkeit zu einer Organisation,
• Anmelde- und Sitzungsdaten: Authentifizierungs- und Sitzungsinformationen,
• Nutzungs- und Aktivitätsdaten mit Personenbezug: Anmeldungen, Build- und Commit-Aktivität, Sitzungspräsenz, Verbrauchs-/Token-Messung, Audit-Ereignisse,
• Abrechnungs- und Kontaktdaten (auf Ebene der Organisation bzw. der Administratoren),
• Kommunikationsdaten aus dem Support und sonstigem Schriftverkehr,
• Server-Protokolldaten (insbesondere IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Ressource).

Die Inhalte und Arbeitsergebnisse auf der Plattform (insbesondere Quellcode, Spezifikationen, Aufgabenbeschreibungen und Verläufe der AI-Assistenz) sind keine personenbezogenen Daten, die wir zu eigenen Zwecken verarbeiten; sie unterliegen der Abgrenzung nach § 2.

Herkunft der Daten: Daten von Nutzerinnen und Nutzern erheben wir unmittelbar bei Ihnen. Daten von Interessenten erheben wir teils unmittelbar bei Ihnen, teils aus öffentlich zugänglichen Quellen (insbesondere Unternehmenswebsites und beruflichen Netzwerken) sowie aus Kontakten auf Veranstaltungen und Messen und über Empfehlungen Dritter (Art. 14 DSGVO).

§ 5 Zwecke und Rechtsgrundlagen der Verarbeitung

Wir verarbeiten personenbezogene Daten auf folgenden Rechtsgrundlagen (Art. 6 DSGVO):

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Bereitstellung und Verwaltung der Plattform und der Nutzerkonten, Abrechnung, Support.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Sicherheit und Stabilität unserer Systeme, Protokollierung, Verhinderung von Missbrauch und betrügerischer Nutzung sowie B2B-Vertrieb und die Ansprache von Interessenten (gegebenenfalls AI-gestützt; siehe § 8 und § 9). Unser berechtigtes Interesse besteht in der Sicherheit und Stabilität unserer Systeme sowie in der wirtschaftlichen Vermarktung unserer Produkte und der Gewinnung von Geschäftskunden.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO): Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten (insbesondere handels- und steuerrechtlich).
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): soweit wir Sie um eine gesonderte Einwilligung bitten; eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

§ 6 Cookies

Website: Unsere Website verwendet grundsätzlich keine Cookies und keine Tracking- oder Analysedienste. Eine Ausnahme bilden einzelne Kampagnenseiten (derzeit die Seite zum Co-Building Workshop unter /olpe/). Dort setzen wir Google Analytics 4 ein, jedoch ausschließlich nach Ihrer ausdrücklichen Einwilligung: Solange Sie nicht zugestimmt haben, wird kein Skript von Google geladen, es werden keine Cookies gesetzt und es werden keine Daten an Google übermittelt. Auf allen übrigen Seiten bleibt es dabei, dass nichts gespeichert und nichts gemessen wird; dort ist kein Cookie-Banner erforderlich.

Google Analytics 4 (nur auf Kampagnenseiten, nur mit Einwilligung): Anbieter ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Der Dienst speichert Cookies auf Ihrem Endgerät und verarbeitet insbesondere eine gekürzte IP-Adresse, Angaben zu Gerät und Browser, die aufgerufenen Seiten sowie die Herkunft Ihres Besuchs (Kampagnenparameter der aufgerufenen Adresse). Die zusätzlichen automatischen Messungen von Google Analytics (Scrollen, Klicks auf Links zu anderen Websites, Herunterladen von Dateien, Interaktionen mit Formularen) haben wir abgeschaltet; erfasst werden nur die Seitenaufrufe. Zweck ist ausschließlich die Auswertung, über welchen Werbekanal Besucher auf die jeweilige Kampagnenseite gelangen. Werbebezogene Funktionen sind abgeschaltet: über den Google Consent Mode bleiben "ad_storage", "ad_user_data" und "ad_personalization" dauerhaft abgelehnt, freigegeben wird allein "analytics_storage". Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, indem Sie im Seitenfuß der betreffenden Seite auf "Cookie-Einstellungen" klicken und dort ablehnen. Hat Ihr Browser die Einstellung "Do Not Track" gesetzt, fragen wir gar nicht erst und laden Google Analytics nicht. Zur Übermittlung in die USA siehe § 8 und § 9.

Eigene Besuchsmessung (ohne Einwilligung, ohne Cookies): Auf den Kampagnenseiten erfassen wir unabhängig davon, wie lange ein Besuch dauert, wie weit gescrollt wird und welche Abschnitte gesehen wurden. Diese Angaben bleiben bis zum Ende des Besuchs im Arbeitsspeicher Ihres Browsers und werden dann gesammelt an unseren eigenen Server übertragen. Es werden dabei keine Informationen auf Ihrem Endgerät gespeichert oder ausgelesen, weshalb § 25 TDDDG nicht einschlägig ist; Rechtsgrundlage ist unser berechtigtes Interesse an der Auswertung unserer eigenen Kampagnen (Art. 6 Abs. 1 lit. f DSGVO). Eine Weitergabe an Dritte findet nicht statt. Die Einstellung "Do Not Track" Ihres Browsers wird beachtet.

Plattform: Innerhalb der Plattform setzen wir ausschließlich technisch notwendige Cookies ein (Anmeldung, Sitzung, Sicherheit). Diese Cookies sind für den von Ihnen ausdrücklich angeforderten Dienst unbedingt erforderlich und daher gemäß § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Wir setzen keine Tracking-, Analyse- oder Marketing-Cookies ein.

Setzen wir künftig weitere Analyse- oder Marketingdienste ein, holen wir dafür, soweit erforderlich, vorab Ihre Einwilligung ein und passen diese Erklärung entsprechend an.

§ 7 Datenverarbeitung beim Besuch der Website

Server-Protokolldaten: Beim Aufruf unserer Website und der Plattform werden durch den Hosting-Betrieb automatisch Protokolldaten erfasst (insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, abgerufene Ressource, übertragene Datenmenge, technische Angaben zum anfragenden System). Diese Verarbeitung dient der technischen Bereitstellung, der Sicherheit und der Stabilität unserer Systeme; Rechtsgrundlage ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO). Die Speicherdauer richtet sich nach § 10.

Kontaktformular: Wenn Sie unser Kontaktformular nutzen, verarbeiten wir die von Ihnen angegebenen Daten (Name, Unternehmen, E-Mail-Adresse, Rolle, Nachricht), um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung Ihres Anliegens). Die Verarbeitung erfolgt ausschließlich auf unserer eigenen, in Deutschland gehosteten Infrastruktur (selbst betriebenes, quelloffenes CRM); einen externen Dienstleister für das Kontaktformular setzen wir nicht ein. Soweit aus Ihrer Anfrage ein Geschäftskontakt entsteht, verarbeiten wir Ihre Daten gegebenenfalls im Rahmen unseres Vertriebs (siehe § 5, § 8 und § 9). Die Speicherdauer richtet sich nach § 10.

Terminvereinbarung (Microsoft Bookings): Über die Schaltflächen „Demo anfragen" gelangen Sie zu unserem Terminbuchungstool, das wir über Microsoft Bookings (Teil von Microsoft 365) bereitstellen. Buchen Sie dort einen Termin, verarbeiten wir die von Ihnen angegebenen Daten (insbesondere Name, E-Mail-Adresse, gewünschter Termin sowie etwaige Anmerkungen), um den Gesprächstermin zu vereinbaren und durchzuführen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen) bzw. Art. 6 Abs. 1 lit. f DSGVO (Bearbeitung Ihres Anliegens). Die Daten werden in unserem Microsoft-365-Tenant gespeichert; Microsoft handelt insoweit als Auftragsverarbeiter (siehe § 8 und § 9). Erst mit dem Aufruf der Buchungsseite werden Daten an Microsoft übermittelt – auf unserer Website selbst werden keine Inhalte von Microsoft geladen. Näheres zur Verarbeitung durch Microsoft finden Sie in der Microsoft-Datenschutzerklärung. Die Speicherdauer richtet sich nach § 10.

Schriftarten (Web Fonts): Wir binden Schriftarten ausschließlich von unseren eigenen Servern ein (Self-Hosting). Beim Laden der Schriftarten werden keine personenbezogenen Daten an Dritte übermittelt; insbesondere erfolgt keine Verbindung zu Servern Dritter (etwa Google Fonts).

§ 8 Empfänger und Auftragsverarbeiter

Personenbezogene Daten, für die wir Verantwortliche sind, geben wir nur an sorgfältig ausgewählte Dienstleister weiter, mit denen wir – soweit erforderlich – Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO geschlossen haben.

In Deutschland bzw. der EU verarbeiten:

• Hetzner Online GmbH (Hosting, Deutschland),
• Heinlein Hosting GmbH (E-Mail-/SMTP-Versand, Deutschland).

In einem Drittland (USA) verarbeitet:

• Anthropic PBC (USA) – AI-gestützte Erstellung von Vertriebs-/Ansprachetexten im Rahmen unseres internen CRM; verarbeitet werden hierbei Daten von Interessenten. Die Übermittlung erfolgt unter den in § 9 beschriebenen Garantien.
• Microsoft Corporation (USA; Vertragspartner in der EU: Microsoft Ireland Operations Limited) – Bereitstellung des Terminbuchungstools Microsoft Bookings (Teil von Microsoft 365); verarbeitet werden die von Ihnen bei der Terminvereinbarung angegebenen Daten. Die Übermittlung erfolgt unter den in § 9 beschriebenen Garantien.
• Google Ireland Limited (Irland; Konzernmutter Google LLC, USA): Bereitstellung von Google Analytics 4 auf unseren Kampagnenseiten; verarbeitet werden die in § 6 genannten Nutzungsdaten. Die Verarbeitung erfolgt nur, wenn Sie eingewilligt haben. Eine Übermittlung in die USA ist dabei nicht ausgeschlossen und erfolgt unter den in § 9 beschriebenen Garantien.

Einen Zahlungsdienstleister setzen wir derzeit nicht ein; die Abrechnung erfolgt per Rechnung und SEPA-Überweisung. Sollten wir künftig einen Zahlungsdienstleister einsetzen, aktualisieren wir diese Erklärung entsprechend.

Nicht in dieser Aufstellung enthalten sind die AI-Dienste, die innerhalb der Plattform den AI-Programmierassistenten unterstützen: Diese verarbeiten ausschließlich Inhalte und Arbeitsergebnisse der Kunden (Quellcode usw.) und keine personenbezogenen Daten im Sinne dieser Erklärung; sie unterliegen der vertraglichen Abgrenzung nach § 2.

§ 9 Übermittlung in Drittländer

Grundsätzlich verarbeiten wir personenbezogene Daten in Deutschland bzw. innerhalb der EU/des EWR.

Eine Übermittlung in ein Drittland erfolgt bei der in § 8 genannten AI-gestützten Vertriebsansprache: Hierbei werden Daten von Interessenten an die Anthropic PBC in den USA übermittelt. Die Übermittlung wird durch geeignete Garantien abgesichert: Anthropic ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend hat Anthropic in der Vereinbarung zur Auftragsverarbeitung die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) einbezogen. Eine Kopie der Garantien stellen wir Ihnen auf Anfrage über die in § 1 genannte Kontaktadresse zur Verfügung.

Haben Sie auf einer Kampagnenseite in Google Analytics 4 eingewilligt, kann es auch dabei zu einer Übermittlung in die USA kommen. Vertragspartner ist die Google Ireland Limited in Irland; ein Zugriff durch die Google LLC in den USA ist nicht ausgeschlossen. Auch diese Übermittlung ist abgesichert: Google ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission nach den Google-Ads-Datenverarbeitungsbedingungen. Eine Kopie der Garantien stellen wir Ihnen auf Anfrage zur Verfügung. Ohne Ihre Einwilligung findet diese Übermittlung nicht statt.

Eine weitere Übermittlung in ein Drittland (USA) kann bei der Nutzung unseres Terminbuchungstools Microsoft Bookings erfolgen. Auch diese Übermittlung ist durch geeignete Garantien abgesichert: Microsoft ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission nach dem Microsoft-Datenschutznachtrag (Data Protection Addendum). Eine Kopie der Garantien stellen wir Ihnen auf Anfrage zur Verfügung.

§ 10 Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es vorschreiben:

• Konto- und Nutzungsdaten: für die Dauer des Vertragsverhältnisses; anschließend Löschung, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen,
• Buchungsbelege und Rechnungen: 8 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB, § 14b UStG),
• Handels- und Geschäftsbriefe sowie sonstige steuerrelevante Unterlagen: 6 Jahre (§ 147 Abs. 3 AO, § 257 Abs. 4 HGB),
• Server-Protokolldaten: Zugriffsprotokolle für 30 Tage; sicherheitsrelevante Protokolle (Audit-/Sicherheitslogs) für 90 Tage,
• Nutzungsdaten aus Google Analytics: 2 Monate ab Erhebung (kürzeste in Google Analytics 4 wählbare Aufbewahrungsdauer); Ihre Einwilligung selbst wird für 12 Monate in Ihrem Browser gespeichert und danach erneut abgefragt,
• Daten der eigenen Besuchsmessung: 6 Monate ab Ende der jeweiligen Kampagne,
• Support- und sonstige Kommunikation: für 24 Monate ab Abschluss des jeweiligen Vorgangs; unterliegt einzelne Kommunikation ausnahmsweise als steuerrelevanter Geschäftsbrief einer gesetzlichen Aufbewahrungsfrist, gilt diese vorrangig.

Die gesetzlichen Aufbewahrungsfristen sind feste Fristen für die jeweilige Unterlagenart. Nach Ablauf der für die jeweiligen Daten geltenden Frist werden diese gelöscht, sofern nicht ausnahmsweise eine andere Rechtsgrundlage die weitere Speicherung erfordert (z. B. ein laufendes Rechtsstreit- oder Prüfungsverfahren).

§ 11 Ihre Rechte als betroffene Person

Sie haben nach der DSGVO folgende Rechte:

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15 DSGVO),
• Berichtigung unrichtiger Daten (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO),
• Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21 DSGVO),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Ihre personenbezogenen Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) verarbeiten, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Verarbeiten wir Ihre Daten zum Zwecke der Direktansprache, können Sie der Verarbeitung jederzeit ohne Angabe von Gründen widersprechen; wir verarbeiten Ihre Daten dann nicht mehr zu diesem Zweck.

Zur Ausübung Ihrer Rechte wenden Sie sich an die in § 1 genannte Kontaktadresse.

Ihnen steht zudem ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO). Für uns zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59–61, 10555 Berlin.

§ 12 Erforderlichkeit der Bereitstellung; automatisierte Entscheidungsfindung

Die Bereitstellung bestimmter personenbezogener Daten ist für den Abschluss und die Durchführung des Vertrags sowie die Nutzung der Plattform erforderlich; ohne diese Daten können wir den Dienst nicht bereitstellen.

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung Ihnen gegenüber im Sinne des Art. 22 DSGVO findet nicht statt.

§ 13 Datensicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen, um Ihre Daten zu schützen (Art. 32 DSGVO). Dazu gehören insbesondere das Hosting in Deutschland, die Verschlüsselung der Datenübertragung und -speicherung sowie strenge Zugriffskontrollen. Weitere Einzelheiten zu unseren Sicherheitsmaßnahmen finden Sie in unserer gesonderten Sicherheits- und Vertrauensübersicht.

§ 14 Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die zugrunde liegende Verarbeitung oder die rechtlichen Rahmenbedingungen ändern. Es gilt jeweils die auf unserer Website veröffentlichte aktuelle Fassung; den Stand entnehmen Sie der Angabe zu Beginn dieses Dokuments.