Diese Erklärung beschreibt, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website besuchst oder die Authorial Suite nutzt — und warum. Sie ist nach den Bereichen des Produkts gegliedert: Website, Nutzerkonto, deine Inhalte, Bezahlung, E-Mail-Versand, Newsletter-Modul, KI-Funktionen und die Module, die Verbindungen zu Drittanbietern herstellen.
Zwei Rollen sind dabei zu unterscheiden. Für dein Nutzerkonto und deine Inhalte sind wir verantwortlich. Für die Daten, die du selbst in Authorial verarbeitest — etwa die Abonnentinnen und Abonnenten deines Newsletters oder deine Blogger-Kontakte — bist du verantwortlich, und wir handeln in deinem Auftrag (siehe Abschnitt 9).
Stefan Achter
Weichselbaum 8, 82234 Weßling
E-Mail: mail@authorial.eu
Für datenschutzrechtliche Anliegen erreichst du uns unter legal@authorial.eu. Ein Datenschutzbeauftragter ist nicht bestellt; die Voraussetzungen des § 38 BDSG liegen derzeit nicht vor.
Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags), lit. c DSGVO (rechtliche Verpflichtungen, etwa steuerliche Aufbewahrung), lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionierenden und wirtschaftlich betriebenen Dienst) sowie lit. a DSGVO (Einwilligung, insbesondere bei Reichweitenmessung). Wo eine Einwilligung die Grundlage ist, sagen wir das an der jeweiligen Stelle ausdrücklich.
Wir speichern personenbezogene Daten, solange dein Konto besteht und der jeweilige Zweck fortbesteht. Danach löschen wir sie, soweit keine gesetzliche Aufbewahrungsfrist entgegensteht (insbesondere sechs bzw. zehn Jahre nach § 257 HGB und § 147 AO für Rechnungs- und Buchungsunterlagen). Einzelne abweichende Fristen nennen wir bei den jeweiligen Verarbeitungen.
Die Website und die Suite werden ausschließlich über HTTPS ausgeliefert. Passwörter speichern wir nie im Klartext, sondern als bcrypt-Hash. Zugangstoken zu verbundenen Werbekonten legen wir verschlüsselt ab (AES-256-GCM).
Einige der eingesetzten Dienstleister haben ihren Sitz in den USA. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der jeweilige Anbieter zertifiziert ist, das EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). Welche Dienste betroffen sind, steht in Abschnitt 13.
Beim Aufruf unserer Seiten erhebt der Hosting-Anbieter automatisch Informationen, die dein Browser übermittelt: Browsertyp und -version, Betriebssystem, Referrer-URL, Hostname, Zeitpunkt der Anfrage und IP-Adresse. Diese Daten sind für die Auslieferung und die Abwehr von Angriffen erforderlich (Art. 6 Abs. 1 lit. f DSGVO). Eine Zusammenführung mit anderen Datenquellen findet nicht statt.
Ohne deine Einwilligung setzen wir nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG):
authorial_consent — speichert deine Cookie-Entscheidung, Laufzeit 180 Tage, damit wir dich nicht bei jedem Besuch erneut fragen.auth_token — dein Anmelde-Token im eingeloggten Bereich, Laufzeit 7 Tage, ausschließlich per HTTPS und nicht durch JavaScript auslesbar.Optionale Cookies (Reichweitenmessung) setzen wir nur mit deiner Einwilligung nach § 25 Abs. 1 TDDDG. Du kannst sie jederzeit über den Link Cookie-Einstellungen im Seitenfuß widerrufen.
Alle Schriftarten liefern wir von unseren eigenen Servern aus — auf der Website ebenso wie im eingeloggten Bereich. Dein Browser baut dafür keine Verbindung zu Google Fonts oder einem anderen Drittanbieter auf, und es wird keine IP-Adresse an Dritte übermittelt.
Wenn du uns per E-Mail oder Formular schreibst, dich auf die Warteliste setzt oder uns über die eingebaute Rückmeldefunktion Feedback schickst, verarbeiten wir deine Angaben zur Bearbeitung des Anliegens (Art. 6 Abs. 1 lit. b bzw. f DSGVO). Bei der Warteliste speichern wir zusätzlich IP-Adresse und User-Agent des Eintrags, um Missbrauch nachvollziehen zu können; diese Angaben löschen wir spätestens mit dem Eintrag selbst.
Auf der Website nutzen wir Google Analytics 4 (Google Ireland Limited) — aber erst, nachdem du eingewilligt hast (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Vorher wird kein Google-Skript geladen und es geht keine Anfrage an Google. Nach der Einwilligung setzt Google Analytics Cookies (u. a. _ga, _ga_<ID>) und verarbeitet aufgerufene Seiten, Verweildauer, ungefähren Standort, Gerätetyp und die gekürzte IP-Adresse.
Wir setzen den Google Consent Mode v2 mit der Voreinstellung „abgelehnt" ein; Werbefunktionen (Google Signals, Remarketing) sind dauerhaft deaktiviert. Eine Übermittlung an Google LLC in den USA lässt sich nicht ausschließen; Grundlage sind die Standardvertragsklauseln und die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework. Beim Widerruf über die Cookie-Einstellungen löschen wir die bereits gesetzten Analytics-Cookies. Weitere Informationen findest du in der Datenschutzerklärung von Google.
Im eingeloggten Bereich messen wir auf derselben Grundlage, fragen dort aber nicht erneut nach: Die Einwilligung erteilst du mit der Zustimmung zu dieser Datenschutzerklärung bei der Registrierung. Hast du auf der Website ausdrücklich „Nur notwendige" gewählt, gilt dieser Widerspruch auch in der Suite. Du kannst der Messung jederzeit über die Cookie-Einstellungen im Seitenfuß widersprechen.
Für dein Konto verarbeiten wir: Vor- und Nachname, E-Mail-Adresse, Passwort-Hash, Kontotyp (Autor:in oder Blogger:in), gebuchtes Paket, Rolle, Zeitpunkt der Registrierung und des letzten Logins sowie — soweit du sie angibst — Pseudonym, Telefonnummer, Website und Social-Media-Profile. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Zum Nachweis deiner Zustimmung zu AGB und Datenschutzerklärung speichern wir den Zeitpunkt und die Fassung der Rechtstexte (Art. 5 Abs. 2, Art. 7 Abs. 1 DSGVO).
Aktivierst du die Zwei-Faktor-Anmeldung, speichern wir das dafür nötige Geheimnis in deinem Kontodatensatz. Für den Schutz vor automatisiertem Passwort-Raten speichern wir vorübergehend die Anzahl fehlgeschlagener Anmeldeversuche je Konto und je IP-Adresse; diese Zähler laufen nach 15 Minuten ab (Art. 6 Abs. 1 lit. f DSGVO, Art. 32 DSGVO).
Solange du kein eigenes Profilbild hochlädst, zeigen wir ein automatisch erzeugtes Standard-Avatar des Dienstes DiceBear an. Dein Browser ruft es direkt bei dicebear.com ab und übermittelt dabei deine IP-Adresse. Als Merkmal für ein immer gleiches Bild geben wir dabei nur einen Hashwert weiter, aus dem sich deine E-Mail-Adresse nicht ablesen lässt. Wenn du auch die Verbindung vermeiden möchtest, lade ein eigenes Profilbild hoch.
Was du in Authorial anlegst, verarbeiten wir zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO): Buchprojekte, Kapitel und Manuskripttexte, Notizen, Figuren, Anmerkungen und eingefrorene Fassungen; Storyboard-Inhalte; Buchlisten und Ranking-Verläufe; Beiträge im Community-Forum und Kommentare; Social-Media-Entwürfe und -Planungen; Blogger- und Kontaktlisten.
Manuskripttexte verlassen unsere Infrastruktur nicht automatisch. Die integrierte Textprüfung im Schreiben-Modul läuft vollständig auf unseren eigenen Servern; es findet keine Übertragung an einen KI-Anbieter statt. Zu den KI-Funktionen, die es gibt, siehe Abschnitt 10.
Teilst du ein Kapitel über einen Leselink, kann jede Person mit diesem Link den freigegebenen Text lesen, ohne sich anzumelden. Du kannst Leselinks jederzeit widerrufen.
Beiträge im Community-Forum sind für andere angemeldete Nutzerinnen und Nutzer sichtbar und mit deinem Namen bzw. Pseudonym verknüpft. Löschst du dein Konto, bleiben die Beiträge erhalten, werden aber anonymisiert.
Damit du gegenüber Verlagen, Agenturen oder Plattformen belegen kannst, wie dein Manuskript entstanden ist, führt Authorial im Manuskript-Editor ein Protokoll deines Schreibprozesses. Erfasst werden nur Kennzahlen, nie dein Text: wie viele Zeichen du getippt, gelöscht oder korrigiert hast, die Anzahl und Länge von Einfügungen (unterschieden nach „aus dem eigenen Manuskript“ und „von außen“), Anschläge pro Minute, die aktive Schreibzeit sowie Zeitpunkte. Für die Natürlichkeitsprüfung kommen Merkmale des Tippverhaltens hinzu, ebenfalls nur als Zählwerte: die Zeitabstände zwischen Tastenanschlägen (zusammengefasst als Verteilung, nicht welche Taste gedrückt wurde), Denkpausen, sofort korrigierte Tippfehler, Sprünge an andere Textstellen, Wechsel in ein anderes Fenster während des Schreibens, Zeichen ohne vorausgehenden Tastenanschlag und vom Browser als nicht echt gekennzeichnete Tastaturereignisse. Serverseitig vermerken wir außerdem Importe, Projektkopien, Abgaben an das Korrektorat und Lektorat (per KI oder an Dienstleister:innen), übernommene Vorschläge mit ihrer Herkunft und KI-Übersetzungen. Die Einträge werden mit Prüfsummen verkettet und können nachträglich weder von dir noch von uns verändert werden.
Stellst du ein Zertifikat aus, frieren wir zusätzlich die aktuelle Fassung deines Manuskripts ein und speichern Prüfsummen ihrer Absätze. Das Zertifikat erhält einen nicht erratbaren Prüfcode und ist durch Zugangsdaten geschützt, die du beim Ausstellen vergibst: die E-Mail-Adresse der Empfängerin (z. B. des Verlags) und ein Passwort. Wir speichern diese E-Mail-Adresse und das Passwort nur als Hash, ausschließlich zur Zugangsprüfung. Wer sich unter authorial.eu/nachweis/<Prüfcode> mit diesen Zugangsdaten anmeldet, sieht das Zertifikat mit Titel, deinem Namen bzw. Pseudonym und der Auswertung des Schreibprozesses und kann – solange du den Download nicht abschaltest – das eingefrorene Manuskript laden. Nach der Anmeldung setzen wir ein technisch notwendiges Cookie (zertifikat_…, Gültigkeit 7 Tage), das nur diesen Zugang speichert. Wer eine Manuskriptdatei hochlädt, um sie mit dem Zertifikat abzugleichen, übermittelt sie nur zur einmaligen Prüfung; wir speichern sie nicht. Den Manuskript-Download kannst du je Zertifikat jederzeit abschalten.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; das Protokoll ist Teil der Funktion „Zertifikat“, die du im Schreiben-Modul nutzt. Wir verwenden die Daten ausschließlich für diesen Nachweis, nicht zur Leistungs- oder Verhaltenskontrolle und nicht für Werbung. Protokolle und Zertifikate werden gespeichert, solange dein Konto besteht, damit bereits weitergegebene Zertifikate prüfbar bleiben; mit der Löschung deines Kontos werden sie vollständig gelöscht, und ausgegebene Prüflinks funktionieren danach nicht mehr. Das Zertifikat ist ein Indiz für einen Arbeitsprozess in Authorial, kein Beweis der Urheberschaft.
Hochgeladene Dateien (Profilbilder, Cover, Anhänge) speichern wir im Objektspeicher unseres Hosting-Anbieters. Sie sind über eine nicht erratbare Adresse abrufbar; wer diese Adresse kennt, kann die Datei aufrufen. Lade dort deshalb keine Inhalte hoch, die auf keinen Fall in fremde Hände geraten dürfen.
Kostenpflichtige Pakete rechnen wir über Stripe ab (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, für Nutzer im EWR; Muttergesellschaft Stripe, Inc., USA). Deine Zahlungsdaten — etwa Kartendaten — gibst du unmittelbar bei Stripe ein; wir sehen und speichern sie nicht. Bei uns liegen lediglich deine Stripe-Kunden- und Abonnement-Kennung, das gebuchte Paket und dessen Laufzeit.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. c DSGVO für die steuerlichen Aufbewahrungspflichten. Rechnungs- und Zahlungsdaten bleiben deshalb auch nach einer Kontolöschung für die gesetzlichen Fristen erhalten. Weitere Informationen findest du im Datenschutzhinweis von Stripe.
Für Nachrichten rund um dein Konto — Registrierung, Passwort-Zurücksetzen, Hinweise zu Modulen — nutzen wir Resend (Resend, Inc., USA). Übermittelt werden dabei deine E-Mail-Adresse und der Inhalt der jeweiligen Nachricht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Für den Newsletter-Versand aus dem Newsletter-Modul setzen wir je nach Konfiguration Scaleway Transactional Email (Scaleway SAS, Frankreich), Resend oder einen von dir hinterlegten eigenen SMTP-Zugang ein.
Nutzt du das Newsletter-Modul, bleibst du für die Daten deiner Empfängerinnen und Empfänger die verantwortliche Stelle. Wir verarbeiten diese Daten ausschließlich nach deinen Weisungen als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Einen Vertrag zur Auftragsverarbeitung stellen wir dir auf Anfrage unter legal@authorial.eu zur Verfügung.
In deinem Auftrag verarbeiten wir dabei: E-Mail-Adressen und Namen deiner Abonnentinnen und Abonnenten, selbst definierte Zusatzfelder, Anmeldestatus und Zeitpunkt der Bestätigung des Double-Opt-in, Abmeldungen sowie Öffnungs- und Klickstatistiken deiner Kampagnen. Die Abmelde-, Bestätigungs- und Statistiklinks in deinen Mails sind kryptografisch signiert, damit sie nicht von Dritten gefälscht werden können.
Importierst du eine bestehende Empfängerliste, holen wir sie auf deine Anweisung bei dem von dir gewählten Anbieter ab — möglich sind derzeit Mailchimp, Brevo, CleverReach, MailerLite, GetResponse, KlickTipp, Mailjet, rapidmail/emailsys und HubSpot. Für die Rechtmäßigkeit des Imports und für eine wirksame Einwilligung der importierten Personen bist du verantwortlich.
An zwei Stellen unterstützt dich ein KI-Sprachmodell von Anthropic (Anthropic PBC, San Francisco, USA):
Übermittelt wird jeweils nur der Inhalt der Anfrage, nicht dein Name, deine E-Mail-Adresse oder deine Manuskripte. Die Länge der übertragenen Nachrichten ist technisch begrenzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die von dir ausgelöste Funktion. Anthropic hat seinen Sitz in den USA; Grundlage der Übermittlung sind die Standardvertragsklauseln. Bitte gib in Hilfe-Chat und Textvorschlägen keine besonders schützenswerten Angaben ein.
Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Vorschläge der KI sind Vorschläge — die Entscheidung bleibt bei dir.
Mehrere Module rufen auf deine Veranlassung Daten bei Dritten ab oder übertragen Daten dorthin. Diese Verbindungen bestehen nur, wenn du das jeweilige Modul nutzt bzw. ein Konto verbindest.
Während du im Manuskript-Editor schreibst, prüft Authorial deinen Text auf Rechtschreibung, Grammatik, Zeichensetzung und Stil. Dafür werden die Absätze des gerade geöffneten Kapitels nach einer kurzen Tipppause an einen von uns selbst betriebenen LanguageTool-Server übertragen, der auf einer Instanz von Scaleway SAS in der Europäischen Union läuft. Der Server verarbeitet den Text ausschließlich im Arbeitsspeicher, um Hinweise und Korrekturvorschläge zu erzeugen; er speichert und protokolliert keine Inhalte. Übermittelt wird nur der Text selbst, nicht dein Name, deine E-Mail-Adresse oder Angaben zu deinem Konto. Die Übertragung ist verschlüsselt und durch ein Zugriffsgeheimnis geschützt. Ist der Server nicht erreichbar oder hast du die Prüfung in den Editor-Einstellungen ausgeschaltet, findet die Rechtschreibprüfung vollständig in deinem Browser statt, ohne dass Text übertragen wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; die Prüfung ist Teil der von dir genutzten Schreibfunktion.
Buchst du eine Prüfung durch eine Person statt durch die eingebaute Textprüfung, erhält die bearbeitende Fachkraft Zugriff auf die von dir eingereichte Fassung deines Manuskripts — beschränkt auf den von dir gewählten Umfang und für die Dauer der Bearbeitung. Diese Personen sind vertraglich zur Vertraulichkeit und zur Einhaltung des Datenschutzes verpflichtet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.
Wir setzen die folgenden Dienstleister ein. Mit ihnen bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO, soweit sie personenbezogene Daten in unserem Auftrag verarbeiten:
eu-central-1). Da es sich um ein US-Unternehmen handelt, ist ein Zugriff aus den USA nicht ausgeschlossen; Grundlage sind die Standardvertragsklauseln.Darüber hinaus erhalten die in Abschnitt 11 genannten Plattformen Daten, wenn du die jeweiligen Module nutzt; insoweit handelt es sich um eigenverantwortliche Verarbeitungen dieser Anbieter. Eine Weitergabe deiner Daten zu Werbezwecken findet nicht statt, und wir verkaufen keine Daten.
In den Einstellungen deines Kontos findest du unter „Daten & Konto" zwei Funktionen, die du jederzeit selbst nutzen kannst:
Du kannst dich mit deinem Anliegen auch formlos an legal@authorial.eu wenden.
Dir stehen jederzeit zu:
Zur Ausübung genügt eine formlose Nachricht an legal@authorial.eu.
Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu gehören unter anderem: durchgehende Transportverschlüsselung, Passwort-Hashing nach anerkanntem Verfahren, optionale Zwei-Faktor-Anmeldung, Verschlüsselung sensibler Zugangstoken, strikte Trennung der Daten verschiedener Konten, Schutz vor automatisiertem Passwort-Raten, serverseitige Bereinigung von Inhalten gegen Schadcode sowie Protokollierung sicherheitsrelevanter Vorgänge. Wir überprüfen diese Maßnahmen regelmäßig und passen sie an.
Wir passen diese Datenschutzerklärung an, wenn sich das Produkt oder die Rechtslage ändert. Maßgeblich ist die jeweils auf dieser Seite veröffentlichte Fassung; das Datum oben zeigt den Stand.