# Datenschutzrichtlinie Wie Formstep personenbezogene Daten erhebt, verwendet und schützt ## Datenschutzrichtlinie Welche personenbezogenen Daten Formstep erhebt, warum wir sie erheben, wie wir sie verwenden und welche Wahlmöglichkeiten du in Bezug auf deine Daten hast. > ℹ️ **Zuletzt aktualisiert: 7. Oktober 2026** >
>

> Diese Datenschutzrichtlinie erklärt, wie Formstep personenbezogene Daten für alle verarbeitet, die unsere Website besuchen, das > Produkt nutzen oder eine Antwort auf ein mit Formstep erstelltes Formular einreichen. Bei Fragen kontaktiere uns unter{' '} > support@formstep.io. >

>

1. Einleitung

Formstep ist ein Formular-Builder. Nutzer verwenden ihn, um Umfragen, Bewerbungen, Registrierungen, Checkouts und andere interaktive Dokumente zu erstellen und Antworten von ihrem Publikum zu sammeln. Personenbezogene Daten fließen auf zwei unterschiedliche Weisen durch den Dienst: Daten, die Formstep über seine eigenen Nutzer erhebt (die Personen, die Formulare erstellen), und Daten, die Befragte über die von diesen Nutzern erstellten Formulare einreichen. Diese Datenschutzrichtlinie beschreibt beides. Wir haben versucht, sie kurz, verständlich und ehrlich zu halten. Wo ein Abschnitt nur für eine Gruppe gilt, weisen wir darauf hin. Großgeschriebene Begriffe, die hier nicht definiert sind, haben die Bedeutungen, die in unseren [Nutzungsbedingungen](/de/legal/terms-of-service) festgelegt sind. Für datenschutzrechtliche Rollen entsprechen Verweise auf „du" in dieser Richtlinie dem „Kunden" (und nach der DSGVO dem „Verantwortlichen") in unserem [Datenverarbeitungsvertrag](/de/legal/dpa). Durch die Nutzung von Formstep erkennst du an, dass wir personenbezogene Daten wie in dieser Richtlinie beschrieben verarbeiten. Wenn du damit nicht einverstanden bist, nutze den Dienst nicht.

2. Wer wir sind

Der Dienst wird von **Formbase AS** betrieben, einer norwegischen Gesellschaft mit beschränkter Haftung mit der Organisationsnummer 937 921 217 und eingetragenem Sitz in Oslo, Norwegen („Formstep", „wir", „uns", „unser"). Für die personenbezogenen Daten, die wir über Nutzer des Dienstes erheben – wie deine Konto-, Abrechnungs- und Produktnutzungsdaten – ist Formstep der Datenverantwortliche. Für die personenbezogenen Daten, die Befragte über deine Formulare einreichen, bist **du** (der Formstep-Nutzer, der das Formular erstellt hat) der Datenverantwortliche, und Formstep handelt als dein Datenverarbeiter. Die Bedingungen dieses Verarbeitungsverhältnisses sind im [Datenverarbeitungsvertrag](/de/legal/dpa) beschrieben, der automatisch für Kunden gilt, die der DSGVO oder gleichwertigen Regelungen unterliegen. Diese Datenschutzrichtlinie informiert Befragte dennoch darüber, was Formstep technisch in ihrem Namen mit ihren Daten tut, ersetzt jedoch nicht dein eigenes Datenschutzhinweis. Bei Fragen, Beschwerden oder Anfragen betroffener Personen kontaktiere uns unter support@formstep.io.

3. Anwendungsbereich

Diese Datenschutzrichtlinie gilt für personenbezogene Daten, die Formstep erhebt, verwendet oder weitergibt, wenn: - du **formstep.io** oder eine seiner Subdomains besuchst; - du dich für die **Formstep-Anwendung** unter app.formstep.io anmeldest, dort einloggst oder sie nutzt; - du **eine Antwort** auf ein Formular einreichst, das auf Formstep gehostet oder auf einer anderen Website eingebettet ist; - du **uns kontaktierst** für Support, Vertrieb, Partnerschaften oder sonstiges; - du unsere **Marketing-E-Mails, Social-Media-Kanäle oder Veranstaltungen** liest oder damit interagierst. Sie gilt nicht für Websites, Dienste oder Integrationen von Drittanbietern, auf die wir verlinken oder die du wählst zu verbinden, auch wenn sie von innerhalb von Formstep erreichbar sind. Diese Dienste haben ihre eigenen Datenschutzrichtlinien, die du prüfen solltest.

4. Personenbezogene Daten, die wir erheben

Wir versuchen, nur das zu erheben, was wir benötigen. Die folgenden Kategorien beschreiben die personenbezogenen Daten, die wir in verschiedenen Teilen des Dienstes verarbeiten können.

Kontodaten

Wenn du ein Formstep-Konto erstellst, erheben wir: - Deine **E-Mail-Adresse**, die zur Anmeldung und zum Empfang von Systemnachrichten verwendet wird. - Einen **Anzeigenamen und Avatar**, wenn du diese festlegst, die zur Identifizierung gegenüber deinen Mitarbeitenden verwendet werden. - Authentifizierungsdaten, die mit den von dir gewählten **Anmeldemethoden** verknüpft sind, wie Magic-Link-Login, Google-Anmeldung oder anonyme Gast-Anmeldung für kurzlebige Gastsitzungen. - **Workspace-Einstellungen**, die du konfigurierst, einschließlich Workspace-Name, Zeitzone und der Liste der von dir eingeladenen Mitglieder. Deine E-Mail-Adresse ist eine vertragliche Voraussetzung für die Nutzung des Dienstes – sie ist das einzige Datum, das zur Registrierung erforderlich ist, und ohne sie können wir kein Konto für dich erstellen. Anzeigename, Avatar und Workspace-Einstellungen sind optional.

Abonnement- und Abrechnungsdaten

Formstep-Abonnements und KI-Guthabenkäufe werden über **Polar** (polar.sh) abgewickelt, unseren Zahlungsanbieter und Merchant of Record. Polar erhebt und speichert deine Zahlungsdaten direkt. Formstep erhält nur die begrenzten Informationen, die zur Bereitstellung deines Plans und deiner Credits benötigt werden, einschließlich: - Einer Polar-Kundenkennung, die dein Formstep-Konto mit deinem Polar-Kundendatensatz verknüpft; - Einer Polar-Abonnementkennung und dem gewählten Abrechnungsintervall (monatlich oder jährlich); - Zeitstempeln des Abonnementlebenszyklus, wie dem aktuellen Periodenende, Ablauf- und Nachfristmarkierungen, die zur Anwendung deiner Planrechte verwendet werden; - Bestell- und Credit-Aufladekennungen zur Bereitstellung von KI-Credits. Formstep sieht oder speichert keine Zahlungskartendaten, Steueridentifikationsnummern oder Rechnungsadressen – Polar hält diese Daten direkt, und du kannst über das Polar-Abrechnungsportal darauf zugreifen. Wenn du über das Zahlungsfeld Zahlungen von Befragten akzeptierst, erhebt Stripe alle Kartendaten direkt; Formstep erhält nur nicht sensible Referenzen wie die letzten vier Ziffern.

Von dir erstellte Formularinhalte

Die Formulare, die du auf Formstep erstellst – einschließlich Fragen, Texte, Medien, bedingter Logik und Gestaltung – werden auf unserer Infrastruktur gespeichert, damit wir sie Befragten anzeigen und dir die spätere Bearbeitung ermöglichen können. Formularkonfigurationen werden als dein Inhalt gemäß unseren [Nutzungsbedingungen](/de/legal/terms-of-service) behandelt.

Einreichungsdaten von Befragten

Wenn jemand eine Antwort auf eines deiner Formulare einreicht, speichern wir in deinem Auftrag: - Die **Antworten und Uploads**, die der Befragte bereitstellt, genau so, wie er sie eingegeben hat; - Einen **Einreichungszeitstempel**, die Browsersprache des Befragten, die Workspace-Zeitzone (zum Zeitpunkt der Einreichung erfasst) und Kennungen, die die Einreichung mit deinem Formular verknüpfen; - **Entwürfe und teilweise Einreichungen**, die serverseitig gespeichert werden, während der Befragte das Formular ausfüllt, sowie Zeitstempel zur Aktivierung von Erinnerungen bei abgebrochenen Antworten (wenn du diese aktivierst); - **Technische Analysesignale**, die für jedes veröffentlichte Formular erfasst werden, einschließlich des ungefähren Landes (abgeleitet aus der Zeitzone des Befragten oder dem Cloudflare-Edge-Header `CF-IPCountry`), Gerätetyp, Browser, Traffic-Quelle und Engagement-Dauer; - Einen **besucherseitigen Besucher-Identifier** zur Deduplizierung von Formularaufrufen und Engagement-Zählungen – siehe [Cookies und ähnliche Speicher](#cookies) für Details; - Wo du das Zahlungsfeld verwendest, eine Referenz auf die **Stripe-Zahlung**, die der Befragte abgeschlossen hat (die Kartendaten selbst werden von Stripe verarbeitet, nicht von Formstep). IP-Adressen von Befragten werden vorübergehend für Rate-Limiting, Cloudflare Turnstile Bot-Schutz und Missbrauchsprävention verarbeitet und werden nicht zusammen mit Einreichungen gespeichert. Du entscheidest, welche Felder du einbeziehst und welche dieser technischen Signale du erfasst. Du bist der Datenverantwortliche für Einreichungen – siehe [Abschnitt 2](#who-we-are) zu Datenschutzrollen. Formulareinreichungen können je nach den von dir gestellten Fragen besondere Kategorien personenbezogener Daten gemäß Artikel 9 DSGVO umfassen – wie Gesundheitsinformationen, politische Meinungen oder biometrische Daten. Als Verantwortlicher bist du dafür verantwortlich, vor der Erhebung solcher Daten eine gültige Rechtsgrundlage gemäß Artikel 9 Absatz 2 DSGVO zu etablieren und Befragten die erforderlichen Hinweise zu erteilen.

Produktnutzungs- und Gerätedaten

Wenn du die Formstep-Anwendung nutzt, erheben wir automatisch: - **Aktivitätsprotokolle**, z. B. welche Seiten du aufrufst, welche Funktionen du nutzt und wann, die zur Betreibung des Produkts, Fehlersuche und zum Verständnis verwendet werden, welche Funktionen wichtig sind. - **Geräte- und Browserdaten**, wie User-Agent, Bildschirmgröße, Betriebssystem, Sprache und ungefähren Standort abgeleitet aus der IP. - **IP-Adresse**, die zur Bereitstellung des Dienstes, Erkennung von Missbrauch, Rate-Limiting und zur Erfüllung von Sicherheitspflichten verwendet wird. - **Diagnosedaten**, wie Fehlerberichte und Leistungs-Traces, wenn die Anwendung auf ein Problem stößt, die zur Diagnose und Behebung des Problems verwendet werden.

Cookies und ähnliche Technologien

Wir verwenden Cookies und ähnliche Speichermechanismen, um dich angemeldet zu halten, deinen Workspace und deine Einstellungen zu speichern und die Anwendung zu sichern. Auf unserer Website werden Analyse-Cookies nur gesetzt, wenn du zustimmst. Siehe [Cookies und ähnliche Speicher](#cookies) für Details und deine Wahlmöglichkeiten.

KI-Funktionsdaten

Wenn du KI-Funktionen verwendest – wie KI-gestützte Formularerstellung, die KI-Skill-Auswahl oder KI-Chat zur Analyse von Einreichungen – verarbeiten wir: - Die **Eingaben**, die du an die KI sendest; - Den **Kontext**, den die Funktion zusammen mit der Eingabe übermittelt, wie die Struktur des von dir bearbeiteten Formulars oder Einreichungsdaten, die du explizit teilst; - Die **Ausgaben**, die die KI zurückgibt; - **Metadaten zum Credit-Verbrauch**, damit wir dir dein verbleibendes Guthaben anzeigen und die Nutzung korrekt abziehen können. Diese Eingaben und Ausgaben werden an Amazon Bedrock gesendet, um die Antwort zu generieren. Wir können im Laufe der Zeit Anbieter hinzufügen oder wechseln und werden diese Datenschutzrichtlinie und die Unterverarbeiterliste im [Datenverarbeitungsvertrag](/de/legal/dpa) entsprechend aktualisieren. Siehe [KI-Funktionen](#ai) unten für die vertraglichen Schutzmaßnahmen, die wir eingerichtet haben.

Support- und Kommunikationsdaten

Wenn du uns eine E-Mail sendest, ein Kontaktformular ausfüllst oder mit uns chattest, speichern wir den Inhalt der Konversation, die von dir angegebenen Kontaktdaten und den Kontext, der zur Unterstützung benötigt wird. Aufzeichnungen und Transkripte von Demo-Calls werden, falls zutreffend, nur mit deiner vorherigen Zustimmung gespeichert.

Woher diese Daten stammen

Die meisten personenbezogenen Daten kommen direkt von dir. Einige werden von Google (Anmeldeprofil), Polar (Abrechnungsmetadaten), Stripe (Transaktionsreferenzen, keine Kartendaten) erhalten oder aus deiner IP-Adresse abgeleitet (ungefähres Land für Analysen).

5. Wie wir personenbezogene Daten verwenden

Wir verwenden personenbezogene Daten für die folgenden Zwecke und nur dann, wenn eine der Rechtsgrundlagen in [Abschnitt 6](#legal-bases) gilt. Wir **verkaufen** keine personenbezogenen Daten und geben keine personenbezogenen Daten für Werbezwecke an Werbetreibende oder Datenmakler weiter. Für den Umgang mit KI-Daten und Zusagen zur Nicht-Nutzung für Training siehe [Abschnitt 13](#ai). Wenn du dich im Europäischen Wirtschaftsraum, im Vereinigten Königreich, in der Schweiz oder in einer anderen Jurisdiktion mit ähnlichen Regelungen befindest, verarbeiten wir personenbezogene Daten nur, wenn eine der folgenden Rechtsgrundlagen gemäß der DSGVO gilt: - **Vertrag** (Artikel 6 Absatz 1 Buchstabe b) — Bereitstellung des Dienstes, Verwaltung deines Kontos, Zahlungsverarbeitung, Betrieb von KI-Funktionen und Support. - **Berechtigte Interessen** (Artikel 6 Absatz 1 Buchstabe f) — wenn unser Interesse deine Rechte nicht überwiegt. Konkret: - _Sicherung des Dienstes_ — unser Interesse daran, Formstep und seine Nutzer vor Missbrauch, Betrug und Angriffen zu schützen. - _Produktverbesserung_ — unser Interesse daran, zu verstehen, wie Formstep genutzt wird, damit wir es verbessern können, wobei wir uns wo möglich auf aggregierte und anonymisierte Daten stützen. - _Dienstkommunikation_ — unser Interesse daran, dich über Änderungen an Funktionen zu informieren, die du bereits nutzt. - _Zählen von Website-Besuchen_ — unser Interesse daran, zu wissen, wie viele Menschen unsere Website besuchen und welche Seiten sie aufrufen, gemessen ohne Cookies wie unter [Cookies und ähnliche Speicher](#cookies) beschrieben. - **Einwilligung** (Artikel 6 Absatz 1 Buchstabe a) — Analyse-Cookies und Sitzungsaufzeichnungen auf unserer Website sowie optionale Produktdatenfreigabe. Du kannst die Einwilligung jederzeit widerrufen, zum Beispiel über die Cookie-Einstellungen in der Fußzeile der Website. - **Rechtliche Verpflichtung** (Artikel 6 Absatz 1 Buchstabe c) — Steuer-, Buchhaltungs-, Sanktions- und andere gesetzliche Verpflichtungen. - **Lebenswichtige Interessen** (Artikel 6 Absatz 1 Buchstabe d) — nur in seltenen Fällen zum Schutz des Lebens oder der körperlichen Sicherheit einer Person. Wo wir uns auf berechtigte Interessen stützen, hast du das Recht zu widersprechen, und wir werden auf der Grundlage deiner spezifischen Situation neu abwägen.

7. Wie wir personenbezogene Daten weitergeben

Wir geben personenbezogene Daten nur weiter, wenn einer der folgenden Fälle zutrifft.

An Unterverarbeiter, die uns beim Betrieb von Formstep helfen

Wir sind auf eine kleine Anzahl vertrauenswürdiger Drittanbieter angewiesen, um den Dienst zu erbringen. Sie verarbeiten personenbezogene Daten nur soweit erforderlich, um ihren Teil des Dienstes zu erbringen, unter Verträgen, die angemessene Vertraulichkeits- und Sicherheitsmaßnahmen vorschreiben. Die wichtigsten Unterverarbeiter sind: - **Convex** — Anwendungsdatenbank und Backend. - **Cloudflare R2** — Objektspeicher für Datei-Uploads und Signaturen. - **Cloudflare** — CDN, DNS, Edge-Sicherheit, benutzerdefinierte Hostnamen und Turnstile Bot-Schutz. - **Polar** — Abonnementabrechnung und KI-Credit-Käufe (Merchant of Record; unabhängiger Verantwortlicher für Käufer-Abrechnungsdaten). - **Stripe** — Zahlungsverarbeitung für Befragte über Stripe Connect (unabhängiger Verantwortlicher für Zahlungsdaten). - **Amazon Web Services (AWS)** — Amazon Bedrock für KI-Funktionen; Amazon SES für Transaktions- und System-E-Mails, einschließlich Erinnerungen bei abgebrochenen Antworten in Pro-Workspaces. - **Axiom** — Betriebsprotokolle und Überwachung. - **PostHog** — Analysen unserer Website und der Kontoregistrierungen. - **Unsplash** — Bildsuche-API; ausgewählte Bilder werden in Cloudflare R2 gespeichert und von dort bereitgestellt. Die maßgebliche, aktuelle Liste der Unterverarbeiter, zusammen mit den Kategorien der von jedem verarbeiteten Daten und den Regionen, in denen sie tätig sind, ist in unserem [Datenverarbeitungsvertrag](/de/legal/dpa) dokumentiert.

Mit Integrationen, die du verbindest

Wenn du einen Drittanbieter-Dienst mit Formstep verbindest – wie einen Webhook-Endpunkt, eine Automatisierungsplattform, eine Tabellenkalkulation, ein Kommunikationstool oder ein CRM – autorisierst du uns, die relevanten Daten in deinem Auftrag an diesen Dienst zu senden. Wir geben nur weiter, was für die Integration erforderlich ist, und der Dritte wird nach Erhalt der Daten gemäß seinen eigenen Bedingungen und seiner eigenen Datenschutzrichtlinie dafür verantwortlich.

Mit deinen Mitarbeitenden

Wenn du Personen zu deinem Workspace einlädst, sehen sie deinen Namen, deine E-Mail, deine Rolle und die Formulare und Einreichungen, auf die sie Zugriff haben. Workspace-Besitzer können den Mitgliedszugang ändern und über den Support eine Eigentumsübertragung beantragen; die verfügbaren Workspace-Rollen sind in [Abschnitt 5 der Nutzungsbedingungen](/de/legal/terms-of-service#workspaces) beschrieben. Wir können personenbezogene Daten offenlegen, wenn wir in gutem Glauben der Überzeugung sind, dass die Offenlegung notwendig ist, um (a) geltendem Recht oder einer verbindlichen Anordnung einer zuständigen Behörde zu entsprechen, (b) unsere [Nutzungsbedingungen](/de/legal/terms-of-service) durchzusetzen, (c) Betrug, Sicherheits- oder technische Probleme zu erkennen, zu verhindern oder zu beheben, oder (d) die Rechte, das Eigentum oder die Sicherheit von Formstep, unseren Nutzern, Befragten oder der Öffentlichkeit zu schützen.

Bei einer Unternehmensübertragung

Wenn Formstep an einer Fusion, Übernahme, Umstrukturierung, einem Verkauf von Vermögenswerten oder einer Insolvenz beteiligt ist, können personenbezogene Daten als Teil dieser Transaktion an die relevanten Gegenparteien übertragen werden. Jede solche Übertragung unterliegt dem geltenden Datenschutzrecht.

8. Internationale Datenübermittlungen

Formstep hat seinen Sitz in Norwegen, und wir bestreben es, Übermittlungen außerhalb des Europäischen Wirtschaftsraums zu minimieren. Einige unserer Unterverarbeiter befinden sich in oder übermitteln Daten in Jurisdiktionen außerhalb des EWR, einschließlich der USA und des Vereinigten Königreichs. Wenn personenbezogene Daten den EWR verlassen, stützen wir uns auf Standardvertragsklauseln (SCCs) gemäß Beschluss (EU) 2021/914, den UK International Data Transfer Addendum, den Schweizer FDPIC-Nachtrag, Angemessenheitsbeschlüsse oder das EU-US Data Privacy Framework (DPF), je nach Anwendbarkeit. Wir wenden auch Verschlüsselung während der Übertragung und im Ruhezustand, eingeschränkten Zugriff und vertragliche Datensparsamkeit an. Der anwendbare Übermittlungsmechanismus für jeden Unterverarbeiter ist in unserem [Datenverarbeitungsvertrag](/de/legal/dpa#international-transfers) detailliert beschrieben.

9. Datenspeicherung

Wir speichern personenbezogene Daten nur so lange, wie wir sie für die in dieser Richtlinie beschriebenen Zwecke benötigen und wie es das Gesetz vorschreibt. - **Kontodaten** werden gespeichert, solange dein Konto aktiv ist. Wenn du uns bittest, dein Konto zu löschen, werden Kontodatensätze kurz nach der Bearbeitung der Anfrage aus den aktiven Systemen entfernt und verbleiben nur in Backups, bis das entsprechende Backup-Fenster abläuft. - **Formularkonfiguration und Einreichungen** werden gespeichert, solange dein Workspace existiert und du sie nicht gelöscht hast. Das Kündigen eines Pro-Abonnements versetzt dich in den kostenlosen Tarif; nur das **Schließen deines Kontos** löst eine Löschung aus. Du kannst auch einen formularbezogenen Aufbewahrungszeitraum für Einreichungen konfigurieren; Einreichungen werden automatisch durch einen geplanten Bereinigungsjob entfernt, wenn dieser Zeitraum abläuft. - **Entwurfseinreichungen**, die ein Befragter beginnt, aber nicht einreicht, werden für einen begrenzten Zeitraum aufbewahrt und dann gelöscht, es sei denn, du hast eine andere Aufbewahrung konfiguriert. - **Gelöschte Formulare**, die du in den Papierkorb verschoben hast, werden nach einer kurzen Schonfrist dauerhaft gelöscht. - **Anonyme (Gast-)Sitzungen**, die entstehen, wenn du Formstep ohne Konto ausprobierst, werden automatisch nach kurzer Zeit gelöscht. - **Abrechnungsunterlagen** werden für den Zeitraum aufbewahrt, der durch geltendes Buchhaltungs- und Steuerrecht vorgeschrieben ist. Polar, als Merchant of Record, speichert seine eigenen Abrechnungsunterlagen gemäß seiner eigenen Aufbewahrungsrichtlinie. - **Support-Kommunikation**, die an oder von dem Formstep-Support-Postfach gesendet wurde, wird so lange aufbewahrt, wie es zur Lösung deiner Anfrage und zur Bearbeitung etwaiger damit verbundener Rechtsansprüche erforderlich ist. - **Produktnutzungs- und Gerätedaten** — Aktivitätsprotokolle, Gerätemetadaten und Diagnosedaten werden für einen begrenzten Zeitraum in identifizierbarer Form aufbewahrt und dann gelöscht oder aggregiert, sodass einzelne Nutzer nicht mehr identifiziert werden können. - **Betriebs- und Sicherheitsprotokolle**, die vom Dienst generiert werden, werden für den Zeitraum aufbewahrt, der zum Betrieb, zur Fehlersuche und zur Sicherung des Dienstes benötigt wird. Wo ein spezifischer Vorfall einen längeren Zeitraum erfordert, beschränken wir den Zugriff und löschen die Protokolle, sobald die Verpflichtung abläuft. - **Backups** werden nach einem regelmäßigen Plan mit einem kurzen Aufbewahrungsfenster erstellt. In Cloudflare R2 gespeicherte Datei-Uploads werden nicht durch Objektversionierung abgedeckt; Löschungen von Datei-Uploads sind sofort unwiederbringlich. Aus der Produktion gelöschte personenbezogene Daten werden unwiederbringlich, sobald das entsprechende Backup-Fenster abläuft. - **KI-Eingaben und -Ausgaben**, die an Amazon Bedrock gesendet werden, werden von AWS nach der Verarbeitung der Anfrage nicht gespeichert und nicht zum Training irgendwelcher Modelle verwendet, wie in den [AWS-Servicebedingungen](https://aws.amazon.com/service-terms/) beschrieben. Wenn das Gesetz uns verpflichtet, einen Datensatz länger aufzubewahren – zum Beispiel um einer Steuer-, Geldwäschebekämpfungs- oder Gerichtsanordnungspflicht nachzukommen – beschränken wir den Zugriff auf diesen Datensatz und löschen ihn, sobald die Verpflichtung abläuft.

10. Sicherheit

Wir wenden technische und organisatorische Maßnahmen an, die darauf ausgelegt sind, personenbezogene Daten vor zufälliger oder rechtswidriger Vernichtung, Verlust, Veränderung, unbefugter Offenlegung und unbefugtem Zugriff zu schützen. Diese Maßnahmen umfassen: - Verschlüsselung personenbezogener Daten **während der Übertragung** mit TLS 1.2 oder höher und **im Ruhezustand** mit branchenüblichen Algorithmen; - **Zugriffskontrollen** nach dem Prinzip der geringsten Privilegien, wobei der interne Zugriff auf Produktionssysteme auf einer Need-to-know-Basis eingeschränkt ist; - **Protokollierung und Überwachung** von Verwaltungsmaßnahmen in Produktionssystemen; - **Netzwerksegmentierung** und Trennung der Produktion von Entwicklungsumgebungen; - **Schwachstellenmanagement**, einschließlich zeitnaher Anwendung von Sicherheitsupdates und einem Kanal zur verantwortungsvollen Offenlegung unter support@formstep.io; - **Zugriffskontrollen**, die den Produktionszugang auf autorisiertes Personal beschränken. Kein System ist perfekt sicher. Wenn du eine Schwachstelle oder möglichen Angriff entdeckst, melde es an support@formstep.io.

11. Deine Rechte

Je nachdem, wo du wohnst, hast du möglicherweise die folgenden Rechte bezüglich der personenbezogenen Daten, die wir über dich haben. Viele dieser Rechte sind durch die DSGVO, die UK GDPR und gleichwertige Gesetze in anderen Jurisdiktionen garantiert. - **Recht auf Auskunft** — frage nach einer Kopie der personenbezogenen Daten, die wir über dich haben, und Informationen darüber, wie sie verarbeitet werden. - **Recht auf Berichtigung** — bitte uns, ungenaue oder unvollständige Daten zu korrigieren. - **Recht auf Löschung** — bitte uns, personenbezogene Daten zu löschen, wenn kein überwiegender Grund besteht, sie aufzubewahren. Du kannst dein Konto auch schließen und die meisten deiner Daten selbst aus dem Produkt löschen. - **Recht auf Einschränkung** — bitte uns, die Verarbeitung in bestimmten Situationen zu pausieren, zum Beispiel während wir eine Korrektur oder einen Widerspruch prüfen. - **Recht auf Datenübertragbarkeit** — erhalte deine personenbezogenen Daten in einem strukturierten, gängigen, maschinenlesbaren Format oder lass sie an einen anderen Verantwortlichen senden. Die Exportfunktion in der Anwendung deckt das meiste davon für Formulare und Einreichungen ab, mit CSV- und Excel-Ausgabe (XLSX). - **Widerspruchsrecht** — widerspreche der Verarbeitung auf der Grundlage berechtigter Interessen, einschließlich Profiling, und der Direktwerbung jederzeit. - **Recht auf Widerruf der Einwilligung** — wo wir uns auf deine Einwilligung stützen, kannst du diese jederzeit widerrufen. Das Widerrufen der Einwilligung berührt nicht die Rechtmäßigkeit der Verarbeitung vor dem Widerruf. - **Recht, nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen zu werden** (Artikel 22 DSGVO) — wir treffen keine Entscheidungen über dich, die durch ausschließlich automatisierte Verarbeitung, einschließlich Profiling, rechtliche oder ähnlich bedeutsame Auswirkungen haben. Um eines dieser Rechte auszuüben, sende eine E-Mail an support@formstep.io oder nutze die Self-Service-Optionen in der Anwendung, wo verfügbar. Wir werden innerhalb eines Monats antworten oder dir erklären, warum wir mehr Zeit benötigen. Wir können Informationen zur Überprüfung deiner Identität anfordern, bevor wir auf eine Anfrage eingehen, insbesondere bei Auskunfts- oder Löschanfragen. Wenn du mit der Handhabung deiner Daten nicht zufrieden bist, kannst du eine Beschwerde bei einer Aufsichtsbehörde einreichen – für Nutzer in Norwegen die **Norwegische Datenschutzbehörde** (Datatilsynet, datatilsynet.no). Du kannst dich auch an die Behörde im EWR-Land wenden, in dem du lebst oder arbeitest.

Rechte von Befragten

Wenn du ein Befragter bist, der ein auf Formstep erstelltes Formular eingereicht hat, richten sich deine Rechte als betroffene Person in erster Linie gegen den Formstep-Nutzer, der das Formular erstellt hat – er ist der Datenverantwortliche. Wir können dir helfen, ihn zu erreichen, und wir werden ihn bei der Beantwortung deiner Anfrage unterstützen. Wo wir die zugrunde liegenden Daten als Verarbeiter in seinem Auftrag halten, handeln wir gemäß seinen dokumentierten Anweisungen. Um uns zu kontaktieren, schreibe an support@formstep.io und teile uns mit, welches Formular du eingereicht hast (die URL ist in der Regel ausreichend).

12. Cookies und ähnliche Speicher

Wir verwenden eine kleine Anzahl von Cookies, `localStorage`- und `sessionStorage`-Einträge, damit Formstep funktioniert und um Analysen auf deinen Formularen zu deduplizieren. Wir versuchen, die Liste kurz zu halten. - **Unbedingt erforderlich** — halten dich angemeldet, speichern den zuletzt verwendeten Workspace, sichern die Anwendung gegen Cross-Site-Request-Forgery und speichern wesentliche Einstellungen. Diese können nicht deaktiviert werden, ohne das Produkt zu beeinträchtigen. - **Funktional** — speichern UI-Einstellungen wie Theme, Sidebar-Status und Sprache. Du kannst sie über deinen Browser löschen. - **Analysen auf unserer Website (formstep.io)** — PostHog, unser Analyseanbieter, zählt jeden Besuch, ohne etwas auf deinem Gerät zu speichern. Die Server von PostHog verbinden deine IP-Adresse und den User-Agent deines Browsers mit einem Zufallswert, der sich täglich ändert und danach gelöscht wird, sodass sich ein Besuch nicht mit deinen Besuchen an anderen Tagen verknüpfen lässt. Nur wenn du im Cookie-Banner zustimmst, setzt PostHog zusätzlich ein Cookie (`ph_*_posthog`) und Einträge in `localStorage`, die deinen Browser wiedererkennen, und zeichnet deine Besuche als Sitzungsaufzeichnungen auf. Deine Wahl wird in `localStorage` (`fb_analytics_consent`) gespeichert, damit wir nicht auf jeder Seite fragen. Du kannst sie jederzeit über die **Cookie-Einstellungen** in der Fußzeile der Website ändern; ein Widerruf löscht, was PostHog gespeichert hat. - **Analysen auf gehosteten Formularseiten** — ein zufälliger Besucher-Identifier (`fb_visitor_id`) in `localStorage`, plus kurzlebige `sessionStorage`-Flags (`fb_viewed`, `fb_engaged`), die zur Deduplizierung von Aufrufen und Engagement-Zählungen verwendet werden. Dieser Speicher ist für die Funktion des Formulars nicht erforderlich und ermöglicht keine Werbung, Cross-Site-Tracking oder Profiling. Formstep platziert diesen Speicher als Datenverarbeiter auf deine Anweisungen als Verantwortlicher hin. Wenn deine Befragten sich in Jurisdiktionen befinden, wo eine vorherige Einwilligung für nicht wesentlichen Speicher erforderlich ist (z. B. im EWR nach der ePrivacy-Richtlinie oder in Norwegen gemäß Ekomloven § 3-15), bist du dafür verantwortlich, diese Einwilligung einzuholen, bevor die Formularseite geladen wird. Wir verwenden keine Cookies oder ähnlichen Speicher, um Befragte auf anderen Websites für Werbung zu verfolgen, und wir platzieren keine Werbe-Cookies auf gehosteten Formularseiten. Du kannst Cookies, `localStorage` und `sessionStorage` über deine Browser-Einstellungen löschen. Das Blockieren unbedingt erforderlicher Cookies oder Speicher kann verhindern, dass Teile des Dienstes funktionieren. Wenn du Formulare auf Formstep erstellst, setzen deine gehosteten Formulare `fb_visitor_id` in `localStorage` auf den Geräten der Befragten, wie oben beschrieben. Du solltest dies in deinem eigenen Datenschutzhinweis an Befragte offenlegen.

13. KI-Funktionen

Eingaben und Kontext, die du über Formstep KI-Funktionen einreichst, werden an Amazon Bedrock gesendet. Der Kontext umfasst gegebenenfalls die Struktur des von dir bearbeiteten Formulars und Einreichungsproben, die du explizit zur Analyse oder Zusammenfassung teilst. Wir konfigurieren es so, dass gemäß den AWS-Servicebedingungen Eingaben und Ausgaben nicht zum Training irgendwelcher Modelle verwendet und von AWS nach der Verarbeitung der Anfrage nicht gespeichert werden. Die Verarbeitung entspricht den Sicherheits- und Datenschutzverpflichtungen in dieser Datenschutzrichtlinie und dem [Datenverarbeitungsvertrag](/de/legal/dpa). KI-Ausgaben werden probabilistisch generiert und können ungenau, unvollständig oder veraltet sein. Du bist dafür verantwortlich, jede KI-generierte Ausgabe zu prüfen, bevor du dich darauf verlässt, sie veröffentlichst oder sie an Befragte sendest. Du solltest keine personenbezogenen Daten, Geheimnisse oder andere sensible Informationen durch KI-Funktionen einreichen, es sei denn, du hast eine rechtmäßige Grundlage, diese Informationen mit unseren Unterverarbeitern zu teilen, und hast die Risiken abgewogen. Wir kontrollieren nicht, wie Anbieter auf an sie gerichtete rechtmäßige Behördenanfragen reagieren.

14. Kinder

Formstep ist nicht für Kinder konzipiert. Du musst mindestens sechzehn (16) Jahre alt sein, um ein Formstep-Konto zu erstellen, wie in unseren [Nutzungsbedingungen](/de/legal/terms-of-service) beschrieben. Formstep-Nutzer können Formulare erstellen, die für jüngere Zielgruppen bestimmt sind. Wenn du über Formstep personenbezogene Daten von Kindern erhebst, bist du verantwortlich dafür, die erforderliche Einwilligung der Eltern oder Erziehungsberechtigten einzuholen und diese Daten in Übereinstimmung mit dem geltenden Recht zu verarbeiten, einschließlich COPPA, wo relevant. [Abschnitt 6 der Nutzungsbedingungen](/de/legal/terms-of-service#acceptable-use) listet sensitive Datenkategorien auf, für die der Dienst nicht konzipiert ist, und [Abschnitt 7](/de/legal/terms-of-service#prohibited-uses) enthält verbotene Nutzungen, einschließlich Inhalte, die Minderjährige ausbeuten oder gefährden. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter sechzehn (16) Jahren (oder unter dreizehn (13) Jahren, wo COPPA eine niedrigere Schwelle setzt). Wenn du der Meinung bist, dass wir versehentlich personenbezogene Daten eines Kindes unterhalb der geltenden Altersschwelle ohne die erforderliche Einwilligung erhoben haben, kontaktiere uns unter support@formstep.io, und wir werden diese unverzüglich löschen.

15. Kommunikation

Wir senden zwei Arten von E-Mails: - **System-E-Mails** über dein Konto, Sicherheit, Abrechnung und die von dir erstellten Formulare. Diese sind Teil des Dienstes und können nicht abgemeldet werden, solange dein Konto aktiv ist. - **Dienstankündigungen** über Änderungen am Produkt, den Richtlinien oder Funktionen, auf die du dich verlässt. Wir halten diese auf das Minimum beschränkt, das notwendig ist, um dich informiert zu halten.

16. Hinweis für Einwohner Kaliforniens

Wenn du ein Einwohner Kaliforniens bist, hast du zusätzliche Rechte gemäß dem California Consumer Privacy Act (CCPA), geändert durch den California Privacy Rights Act (CPRA), einschließlich des Rechts zu wissen, welche personenbezogenen Informationen wir erheben, des Rechts, sie zu löschen, des Rechts, Ungenauigkeiten zu korrigieren, und des Rechts, dem „Verkauf" oder „Teilen" personenbezogener Informationen zu widersprechen. Formstep verkauft keine personenbezogenen Informationen und teilt keine personenbezogenen Informationen für kontextübergreifende Verhaltenswerbung. Da kein Verkauf oder Teilen stattfindet, ist kein Link „Meine personenbezogenen Informationen nicht verkaufen oder teilen" erforderlich oder vorgesehen. Die Kategorien der personenbezogenen Informationen, die wir erheben, die Zwecke und die Aufbewahrungsfristen sind in [Abschnitt 4](#data-we-collect), [Abschnitt 5](#how-we-use) und [Abschnitt 9](#retention) beschrieben. Wir erstellen keine Verhaltensprofile für Werbung und verwenden keine sensiblen personenbezogenen Informationen für Schlussfolgerungen oder Profiling. Um deine Rechte auszuüben – einschließlich des Rechts auf Auskunft, Löschung, Berichtigung, Widerspruch oder Einschränkung sensibler personenbezogener Informationen – schreibe an support@formstep.io. Wir werden dich für die Ausübung dieser Rechte nicht diskriminieren.

17. Änderungen an dieser Datenschutzrichtlinie

Wir können diese Datenschutzrichtlinie von Zeit zu Zeit aktualisieren, um Änderungen am Dienst, unseren Unterverarbeitern, geltendem Recht oder Geschäftspraktiken widerzuspiegeln. Das Datum „Zuletzt aktualisiert" am Anfang dieser Richtlinie gibt an, wann sie zuletzt überarbeitet wurde. Wenn du den Dienst nach dem Inkrafttreten einer Änderung weiterhin nutzt, akzeptierst du die aktualisierte Datenschutzrichtlinie. Wenn du einer Änderung nicht zustimmst, kannst du dein Konto vor ihrem Inkrafttreten schließen.

18. Kontakt

Bei Datenschutzfragen, Anfragen betroffener Personen oder anderen Anliegen im Zusammenhang mit dieser Richtlinie kontaktiere uns unter: - **Datenschutzfragen, Anfragen betroffener Personen und Sicherheitsberichte** — support@formstep.io Formstep hat keinen Datenschutzbeauftragten ernannt. Unser Datenschutzteam überwacht das Postfach support@formstep.io und leitet deine Anfrage entsprechend weiter.
- [Nutzungsbedingungen](/de/legal/terms-of-service) — Die Regeln, die deine Nutzung von Formstep regeln. - [Datenverarbeitungsvertrag](/de/legal/dpa) — Bedingungen für die Verarbeitung personenbezogener Daten in deinem Auftrag. - [Rechtliche Übersicht](/de/legal/overview) — Index der rechtlichen Dokumente von Formstep.