Datenschutz

Stand: 19.08.2026. Verantwortlich im Sinne der DSGVO ist Domenic Moran (Moran Software), Heidelberger Straße 36, 12059 Berlin, erreichbar unter vesper@domenicmoran.de. Für Auskunft, Berichtigung und Löschung gibt es eine eigene Adresse: datenschutz@domenicmoran.de.

Post an diese Adressen wird an ein Postfach bei Google (Gmail, domenicmoran@gmail.com) weitergeleitet und dort gelesen. Das ist eine Verarbeitung bei einem Dritten, und sie ist der Adresse nicht anzusehen.

Das Wichtigste zuerst

• Bewerbungen, Vorhaben, Kontakte und deren Verlauf liegen ausschließlich auf Ihrem Gerät. Es gibt keinen Server, auf den sie kämen.
• Kein Konto, keine Anmeldung, keine Anmeldung mit fremden Diensten.
• Diese Webseite setzt keine Cookies und bindet nichts von fremden Servern ein.
• Daten verlassen das Gerät an genau vier Stellen: Werbung im kostenlosen Modus, der Pro-Kauf, die zuschaltbare Sicherung und eine E-Mail, die Sie uns selbst schreiben. Das lokale Sprachmodell zählt ausdrücklich nicht dazu — dazu unten mehr. Alle vier Ausnahmen stehen unten einzeln.

Teil 1 — Was die App verarbeitet

Bewerbungen, Vorhaben, Kontakte

Karten mit Titel, Notiz, Fristen, Verlauf und — bei Bewerbungen — Unternehmen, Stelle, Gehaltsspanne und Ansprechpartner werden vollständig auf dem Gerät verarbeitet und in einer lokalen, verschlüsselten Datenbank abgelegt. Es findet keine Übertragung statt. Diese Daten sind für uns technisch nicht erreichbar — auch nicht auf behördliche Anordnung, weil es nichts herauszugeben gibt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Verarbeitung ist die Leistung, die Sie angefordert haben. Löschung: Deinstallieren der App entfernt die Datenbank vollständig; einzelne Karten lassen sich in der App löschen.

Das lokale Sprachmodell

Für Anschreiben, Gesprächsvorbereitung und verdichtete Notizen kann die App einen Auftrag an ein Sprachmodell schicken, das Sie selbst auf Ihrem Rechner installiert haben — Ollama oder LM Studio. Die App sendet den Auftrag an die Adresse 127.0.0.1, den sogenannten Loopback: Das ist Ihr eigenes Gerät, das mit sich selbst spricht.

• Das ist keine Übermittlung an einen Dritten. Es verlässt kein Datenpaket das Gerät, es gibt keinen Empfänger im Sinne der DSGVO, und wir selbst sehen davon nichts.
• Das wird zu einer, sobald ein entfernter Endpunkt eingetragen wird. Trägt jemand statt 127.0.0.1 die Adresse eines Servers im eigenen Netzwerk oder im Internet ein, geht der Auftrag dorthin — und ab diesem Moment gilt Art. 6 Abs. 1 lit. b DSGVO für diese Übertragung, mit dem Betreiber jenes Servers als eigenem Verantwortlichen. Vesper selbst betreibt keinen solchen Dienst und schlägt keinen vor.
• Was an das Modell geht, entscheidet der jeweilige Modellauftrag: Titel und Notiz der Karte, ausdrücklich keine Angaben, die dort nicht stehen. Ohne installiertes Modell wird kein Auftrag gebaut und keine Verbindung versucht.

Rechtsgrundlage für das Bauen und Senden des Auftrags: Art. 6 Abs. 1 lit. b DSGVO — Sie fordern die Textvorschläge aktiv an. Die Antwort wird nicht gespeichert, außer Sie übernehmen sie in eine Karte.

Werbung im kostenlosen Modus (AdMob)

Der kostenlose Modus zeigt Werbung über Google AdMob. Empfänger ist die Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; eine Übermittlung an die Google LLC in den USA findet dabei statt.

• Vor der Einwilligung wird kein Werbemodul geladen. Beim ersten Start erscheint der Einwilligungsdialog von Google (User Messaging Platform, UMP). Erst danach wird überhaupt eine Verbindung zu einem Werbenetz aufgebaut.
• Der Zugriff auf die Werbekennung des Geräts (Android Advertising ID, iOS IDFA) und das Ablegen von Informationen auf dem Gerät setzen Ihre Einwilligung nach § 25 Abs. 1 TDDDG voraus; die anschließende Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. a DSGVO.
• Sie können statt personalisierter Werbung nicht-personalisierte wählen und die Entscheidung jederzeit in den Einstellungen der App ändern. Der Widerruf wirkt für die Zukunft.
• Bewerbungs- und Kontaktdaten werden dabei nicht übertragen. Das Werbemodul bekommt keinen Zugriff auf das Brett; es sieht, was ein Werbenetz üblicherweise sieht — Gerätetyp, grobe Region, Werbekennung.
• Für die Übermittlung in die USA stützt sich Google auf das EU-US Data Privacy Framework, ergänzend auf Standardvertragsklauseln.
• Mit Vesper Pro ist kein Werbemodul aktiv.

Kauf von Vesper Pro

Beim Kauf über die Webseite oder die Desktop-Fassung wickelt die Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland, die Zahlung ab. Stripe erhebt die für die Zahlung nötigen Daten (Name, E-Mail-Adresse, Zahlungsmittel, Betrag, Land) selbst. Stripe handelt dabei überwiegend als eigener Verantwortlicher, in Teilen — etwa bei der Zuordnung einer Zahlung zu einer Bestellung — in unserem Auftrag. Wir sehen keine Kartendaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Vertragserfüllung und Art. 6 Abs. 1 lit. c DSGVO für die steuerliche Aufbewahrung des Belegs. Die Rechnungsdaten bewahren wir acht Jahre auf (§ 14b Abs. 1 UStG) und löschen sie danach; für die Übermittlung in die USA stützt sich Stripe auf Standardvertragsklauseln.

Beim Kauf in den mobilen Apps läuft die Zahlung über die Kasse des jeweiligen Ladens (Apple Distribution International Ltd. bzw. Google Ireland Limited). Wir erhalten von dort eine Abrechnung, aber keine Kundendaten einzelner Käufe.

Zuschaltbare Sicherung — nicht aktiv

Vorgesehen ist eine freiwillige Sicherung, bei der die Datenbank auf dem Gerät verschlüsselt und als unlesbarer Block bei der Supabase, Inc. (Sitz in den USA, Server in der EU; Standardvertragsklauseln für die Übermittlung) abgelegt wird. Zwei Punkte gehören dazu, und sie stehen hier, weil sie im Streitfall zählen:

• Sie läuft nur auf aktive Zuschaltung. Nichts wird gesichert, bevor Sie die Funktion selbst einschalten. Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. b DSGVO — die Sicherung ist die Leistung, die Sie mit dem Einschalten anfordern —, und Sie können sie jederzeit wieder abschalten.
• Bei verlorenem Schlüssel können wir nichts wiederherstellen. Der Schlüssel bleibt auf Ihrem Gerät und wird nicht mitgesichert. Ist er weg, ist der Block bei Supabase für alle Beteiligten ein Haufen Zufallszahlen — für uns genauso wie für Supabase und für jeden, der dort einbräche.

Die Funktion ist im Auslieferzustand ausgeschaltet und ohne hinterlegte Zugangsdaten gar nicht im Paket. Wird sie eingeschaltet, steht sie vorher hier.

Anfragen per E-Mail

Schreiben Sie uns, verarbeiten wir Ihre Adresse und den Inhalt der Nachricht, um sie zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn es um einen Vertrag geht, sonst lit. f — das berechtigte Interesse daran, auf Anfragen zu antworten. Wir löschen den Vorgang, sobald er erledigt ist und keine Aufbewahrungspflicht entgegensteht.

Wenn Sie Kontaktkarten mit Daten anderer anlegen

Legen Sie Kontaktkarten mit Namen, E-Mail-Adresse oder Telefonnummer einer anderen Person an — etwa eines Ansprechpartners bei einem Unternehmen —, sind Sie für diese Daten selbst der Verantwortliche im Sinne der DSGVO. Das ist keine Formalie, die wir weiterreichen: Da die Daten Ihr Gerät nicht verlassen, gibt es hier auch keine Auftragsverarbeitung und entsprechend keinen Vertrag, den Sie mit uns bräuchten.

Keine Analyse, kein Absturzbericht mit Inhalt

Die App enthält kein Analysewerkzeug, keine Nutzungsstatistik und keinen Dienst, der Bildschirminhalte überträgt. Sie sendet keine Absturzberichte mit Karten- oder Kontaktdaten.

Teil 2 — Was diese Webseite verarbeitet

Server-Protokolle

Die Seite läuft bei der Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, als Auftragsverarbeiter, ausgeliefert von Servern in der EU. Beim Aufruf verarbeitet der Server technisch notwendige Daten: IP-Adresse, Zeitpunkt, angeforderte Adresse, übermittelte Browserkennung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse am sicheren und störungsfreien Betrieb. Diese Protokolle werden nicht zur Profilbildung verwendet. Für die Übermittlung in die USA bestehen Standardvertragsklauseln; ein Auftragsverarbeitungsvertrag mit Vercel liegt vor.

Die Demoseite

Auf /demo geben Sie den Text einer Stellenanzeige ein. Dieser Text wird nicht übertragen. Die Auswertung läuft als JavaScript in Ihrem Browser; es gibt keinen Endpunkt, der den Text entgegennähme. Er wird auch nicht im Browser gespeichert und ist beim Neuladen der Seite weg. Die zwölf Beispiel-Bewerbungen im Trichter darunter sind erfundene, fest im Quelltext stehende Beispieldaten — keine Eingabe.

Was diese Seite nicht tut

• Keine Cookies. Auch keine „technisch notwendigen“ — es gibt keine zu setzen.
• Keine Analyse, kein Zählpixel, kein Einwilligungsbanner (weil es nichts einzuwilligen gibt).
• Keine Schriftart, kein Skript, kein Bild und keine Karte von einem fremden Server. Die Inhaltssicherheitsrichtlinie der Seite verbietet fremde Quellen technisch — ein nachträglich eingebautes Fremdskript würde nicht laden, sondern auffallen.
• Keine Schaltflächen sozialer Netzwerke, keine eingebetteten Videos.

Kommt später etwas hinzu, steht es hier, bevor es eingebaut wird — nicht danach.

Teil 3 — Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21 DSGVO). Eine erteilte Einwilligung — etwa in Werbung — können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO), ohne dass die bis dahin erfolgte Verarbeitung dadurch rechtswidrig wird. Anfragen an datenschutz@domenicmoran.de.

In der Praxis liegt uns über Sie in der Regel nichts vor, was auskunftsfähig oder zu löschen wäre. Das ist keine Ausrede, sondern die Folge der Bauweise: Ihr Brett war nie bei uns. Ausgenommen sind Kaufvorgänge — dazu liegen die steuerlich aufzubewahrenden Rechnungsdaten vor.

Ihre Daten übertragen möchten Sie ohnehin nicht bei uns anfordern, sondern in der App exportieren: Sie liefert alle Bewerbungen als CSV und alle Karten als Markdown, vollständig und ohne Pro.

Beschwerderecht

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Zuständig ist wegen des Sitzes des Verantwortlichen:

Keine automatisierte Entscheidung im Einzelfall

Vesper schlägt Texte vor und rechnet Quoten. Beides ist eine Rechenhilfe, keine Entscheidung über eine Person im Sinne des Art. 22 DSGVO; jeder Vorschlag muss der Nutzer lesen, ändern und selbst absenden.

Kinder

Vesper richtet sich an Erwachsene, die eine Bewerbungs- oder Projektübersicht führen. Wir erheben wissentlich keine Daten von Kindern — und da wir überhaupt keine erheben, kann das auch nicht versehentlich geschehen.