Datenschutz­erklärung.

magpie wird von einer Einzelperson betrieben. Ein Datenschutzbeauftragter ist nicht benannt, weil keine Pflicht dazu besteht (Art. 37 DSGVO, § 38 BDSG). Fragen zum Datenschutz gehen an die oben genannte Adresse.

magpie ist eine Web-App, in der du Projekte, Module und Bauteile verwaltest. Wir verarbeiten die Daten, die du eingibst, damit die App funktioniert, und nur dafür. Es gibt keine Werbung, kein Tracking, keine Analyse-Werkzeuge und keinen Verkauf von Daten. Deshalb gibt es auch kein Cookie-Banner: Wir setzen nur Cookies, ohne die die Anmeldung nicht funktioniert (Abschnitt 11).

Einige Funktionen brauchen Dienste anderer Anbieter: den Server (Hetzner, Deutschland), den Mailversand (Resend, USA), den Bot-Schutz der Demo (Cloudflare, USA) und die KI-Funktionen (Google, USA). Die Einzelheiten stehen unten, der wichtigste Punkt in Abschnitt 6.

Beim Aufruf jeder Seite verarbeitet der Server technisch zwangsläufig deine IP-Adresse, den angefragten Pfad und Angaben deines Browsers. Der vorgeschaltete Webserver schreibt kein Zugriffsprotokoll. Fehlermeldungen der Anwendung landen in einem Server-Protokoll und können in Einzelfällen eine E-Mail-Adresse enthalten (etwa wenn eine Mail nicht zugestellt werden konnte). Es dient nur der Fehlersuche.

Schriften und Bilder kommen von unserem eigenen Server. Beim Aufruf der Website wird nichts von Google Fonts, einem CDN oder einem anderen fremden Server geladen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, unser berechtigtes Interesse an einem sicheren, funktionierenden Betrieb.

Für ein Konto speichern wir Name, E-Mail-Adresse und ein Passwort. Das Passwort liegt nur als Argon2id-Hash vor, nie im Klartext. Zu jeder Anmeldung speichern wir eine Sitzung mit IP-Adresse, Browserkennung und Ablaufzeitpunkt, damit du unter Einstellungen › Sitzungen & Geräte siehst, wo du angemeldet bist, und fremde Sitzungen beenden kannst.

Um das Durchprobieren von Passwörtern zu bremsen, zählen wir Anfragen an Anmeldung, Registrierung und Passwort-Zurücksetzen je IP-Adresse für ein kurzes Zeitfenster in unserer Datenbank.

Bei der Wahl eines neuen Passworts prüfen wir, ob es in bekannten Datenlecks vorkommt. Dazu geht an den Dienst „Have I Been Pwned“ nur der Anfang einer Prüfsumme des Passworts (5 Zeichen eines SHA-1-Hashs). Daraus lässt sich weder das Passwort noch deine Person ableiten.

Meldest du dich mit Google an, erhalten wir von Google deinen Namen, deine E-Mail-Adresse und gegebenenfalls dein Profilbild; Google erfährt, dass du dich bei magpie anmeldest. Diese Anmeldung ist freiwillig.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag über die Nutzung von magpie); für Leak-Prüfung, Anfragebegrenzung und Sitzungsübersicht zusätzlich lit. f (Schutz deines Kontos).

Projekte, Module, Bauteile, Lagerorte, Bestelllisten, Boards, hochgeladene Bilder und PDF-Dateien und Chat-Verläufe mit dem KI-Assistenten: All das speichern wir in deinem Workspace, damit du damit arbeiten kannst (Art. 6 Abs. 1 lit. b DSGVO). Mitglieder desselben Workspace sehen dieselben Daten. Änderungen werden protokolliert (wer, was, wann, ohne Inhalt), damit ein Team nachvollziehen kann, wer etwas geändert hat (lit. f).

Teilst du ein Board über einen Link, sehen Personen mit diesem Link das Board nur lesend. Gäste geben dabei einen Namen ein, der den anderen Betrachtern angezeigt wird. Der Link lässt sich jederzeit widerrufen und läuft ohnehin ab.

Schickst du über den Feedback-Knopf eine Rückmeldung, speichern wir deinen Text zusammen mit deinem Konto, dem Workspace, dessen Tarif und deiner Rolle darin. Solange du es vor dem Abschicken nicht abwählst, speichern wir außerdem die Seite, von der aus du schreibst, sowie Browserkennung, Fenstergröße und Sprache. Was mitgeht, steht vor dem Abschicken sichtbar im Fenster. Rückmeldungen liest nur der Betreiber, um die App zu verbessern (lit. f); Mitglieder deines Workspace sehen sie nicht. Sie werden mit deinem Konto gelöscht.

Der Bauteil-Scan, der Warenkorb-Import, das Ausfüllen per KI und der Chat-Assistent arbeiten mit dem Sprachmodell Gemini von Google (Google LLC, USA, für Nutzer im EWR Google Ireland Ltd.). Nur wenn du eine dieser Funktionen ausdrücklich auslöst, senden wir an Google:

• beim Scan: das Foto, das du aufnimmst oder hochlädst,
• beim Warenkorb-Import: den eingefügten Text oder die Bildschirmfotos,
• beim Chat: deine Nachricht samt angehängter Bilder, den bisherigen Verlauf und die Daten aus deinem Workspace, die der Assistent zur Antwort nachschlägt (etwa Projekt- oder Bauteilnamen),
• bei der Preisrecherche: nur den Namen oder die Typbezeichnung des Bauteils,
• beim Bestell-Postfach: den bereinigten Text einer weitergeleiteten oder eingefügten Bestellmail oder die eingefügten Bildschirmfotos (Abschnitt 9).

Achte beim Fotografieren darauf, dass nichts Persönliches im Bild ist: Gesichter, Adressaufkleber, Dokumente. Bildschirmfotos eines Warenkorbs oder einer Bestellmail und Fotos eines Paketscheins zeigen oft Lieferadresse und Bestellnummer. Diese Bilder speichern wir nicht, sie gehen aber zur Auswertung an Google. Im Chat bleiben von einem Bild nur Dateiname, Größe und eine kurze Notiz der KI, was darauf zu sehen war (ohne Namen und Adressen).

Was Google damit macht: Wir nutzen die kostenpflichtige Gemini-API. Nach den Bedingungen von Google werden Anfragen und Antworten dort nicht zum Training oder zur Verbesserung von Google-Produkten verwendet. Google speichert sie 55 Tage, um Missbrauch zu erkennen. Bei der Preisrecherche nutzt Gemini die Google-Suche; diese Anfragen speichert Google 30 Tage.

Übermittlung in die USA: Google ist unter dem EU-US Data Privacy Framework zertifiziert; die Übermittlung stützt sich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die KI-Funktionen sind Teil der Leistung, die du nutzt, und laufen nur auf deinen ausdrücklichen Klick. Du kannst magpie vollständig ohne sie verwenden.

Eigener Schlüssel: Hinterlegt dein Workspace einen eigenen Gemini-Schlüssel, laufen die Anfragen über dein eigenes Google-Konto und dessen Bedingungen. Der Schlüssel liegt bei uns verschlüsselt (AES-256-GCM).

Zu jeder KI-Anfrage speichern wir einen Verbrauchseintrag (Art, Modell, Anzahl Token, Dauer, Erfolg) ohne Inhalt, um das Kontingent zu berechnen und die Kosten im Blick zu behalten (lit. b und f).

Um ein gescanntes Bauteil zu erkennen und Preise zu finden, fragen wir die Kataloge von Elektronik-Distributoren ab (je nach Einrichtung Mouser, DigiKey, oemsecrets). Dorthin geht nur der Suchbegriff (z. B. „ESP32-WROOM-32“), nie das Foto und nichts, was auf dich verweist. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Für Bestätigungs-, Passwort- und Einladungsmails nutzen wir Resend (Resend, Inc., USA). Resend erhält Empfängeradresse und Inhalt der Mail. Die Übermittlung stützt sich auf Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Meldet Resend, dass eine Mail dauerhaft nicht zustellbar war oder als Spam markiert wurde, vermerken wir die Adresse und senden nicht erneut dorthin. Außerdem zählen wir versendete und empfangene Mails, um das Tageslimit des Anbieters einzuhalten; die Adresse steht dort nur als Prüfsumme.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Mails, die zur Nutzung gehören) und lit. f (Zustellbarkeit).

Jeder Workspace kann ein Bestell-Postfach nutzen: eine eigene Adresse, an die du Bestell- und Versandmails von Shops und Paketdiensten weiterleitest, einzeln von Hand oder per Filter in deinem Mailprogramm. magpie macht daraus Vorschläge für Bestellungen und Pakete. Statt weiterzuleiten, kannst du eine Mail auch als Text oder Bildschirmfoto einfügen; dann gilt dasselbe.

Wer die Mail empfängt: Weitergeleitete Mails nimmt Resend (Abschnitt 8) für uns entgegen; wir rufen Betreff, Absender, Text und HTML dort ab. Anhänge rufen wir nicht ab: Rechnungen tragen Anschrift und Kundennummer, ausgewertet wird nur der Text. Links in der Mail öffnen wir nie; sie werden höchstens gelesen, etwa um eine Sendungsnummer aus einem Verfolgungslink zu erkennen.

Was wir speichern und wie lange: Betreff, Absenderadresse und Inhalt der Mail speichern wir höchstens 7 Tage, damit du einen Vorschlag prüfen und eine Auswertung wiederholen kannst; danach löschen wir sie. Ist die Mail keine Bestellmail (Werbung, Newsletter, Kontomails), löschen wir den Inhalt sofort nach der Auswertung. Abgelehnte Mails (Postfach pausiert, alte Adresse, zu groß) speichern wir von vornherein ohne Inhalt. Dauerhaft bleibt nur, was daraus entsteht und was du in der App bestätigst: Shop, Bestell- und Sendungsnummer, Positionen, Preise, Status und bei abholbereiten Paketen die Abholstelle mit ihrer Nummer (etwa „Packstation 112“) und die Abholfrist. Keine Anschrift, keine Telefonnummer, kein Abholcode. Dazu kommt ein Protokolleintrag je Mail (Zeitpunkt, Absender-Domain, Ergebnis).

Schutz vor zu viel: Kommen in kurzer Zeit viele Mails von Absendern, die nicht nach Shop oder Paketdienst aussehen (etwa weil versehentlich das ganze Postfach weitergeleitet wird), pausiert magpie das Bestell-Postfach und löscht diese Mails sofort. Mails an eine unbekannte Adresse verwerfen wir, ohne ihren Inhalt abzurufen.

Auswertung durch KI: Viele Mails erkennen wir ohne KI (strukturierte Angaben der Shops, Mails von Paketdiensten, bekannte Sendungsnummern). Für die übrigen geht der Text an Gemini (Abschnitt 6); vorher schwärzen wir Adressblöcke, Telefonnummern und E-Mail-Adressen. Ganz fehlerfrei ist das nicht, und eine Anrede mit deinem Namen („Hallo Kim“) bleibt im Text stehen. Eingefügte Bildschirmfotos gehen zum Abschreiben ungeschwärzt an Gemini; wir speichern sie nicht. Beim Ergebnis prüfen wir zusätzlich, dass nichts nach Anschrift oder Telefonnummer aussieht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Das Bestell-Postfach ist eine Funktion, die du selbst einrichtest und mit jeder Weiterleitung auslöst. Enthält eine Mail Angaben über andere Personen (etwa einen Ansprechpartner im Shop), stützen wir uns auf lit. f: Unser berechtigtes Interesse ist, dir die Mail auswerten zu können; die kurze Frist und das Schwärzen begrenzen den Eingriff. Leite bitte nur Mails weiter, die deine eigenen Bestellungen betreffen.

Trägst du dich am Ende der Startseite in die Warteliste ein, speichern wir deine E-Mail-Adresse, die Sprache der Seite, über welchen Link du gekommen bist und die Zeitpunkte von Eintragung und Bestätigung. Deine IP-Adresse speichern wir nicht; sie wird nur kurz im Arbeitsspeicher gezählt, um massenhafte Eintragungen zu bremsen.

Die Eintragung wird erst wirksam, wenn du sie über den Link in der Bestätigungsmail bestätigst (Double-Opt-in). Unbestätigte Eintragungen löschen wir nach 30 Tagen. Wir schreiben dir nur, wenn du mit dem Zugang an der Reihe bist. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO); du kannst sie jederzeit über den Abmeldelink in jeder Mail oder per Mail an uns widerrufen. Abmelden löscht den Eintrag vollständig.

Auf der Startseite kannst du außerdem ohne Konto für geplante Funktionen stimmen. Deine erste Stimme setzt ein Cookie mit einem Zufallswert, das ein Jahr gilt, damit jeder Browser je Funktion einmal zählt und du deine Stimme zurücknehmen kannst. Wir speichern nur eine Prüfsumme dieses Werts, die Funktion und den Zeitpunkt der Stimme, aber nichts, das die Stimme mit dir verbindet. Deine IP-Adresse wird nur kurz im Arbeitsspeicher gezählt, um massenhafte Stimmen zu bremsen. Rechtsgrundlage ist unser berechtigtes Interesse daran, zu wissen, welche Funktionen gewünscht sind (Art. 6 Abs. 1 lit. f DSGVO). Für die Stimmen gibt es keine feste Löschfrist; wir löschen sie, wenn wir die Abstimmung nicht mehr brauchen.

Wir setzen nur technisch notwendige Cookies: ein Sitzungs-Cookie nach der Anmeldung, während einer Demo ein Sitzungs-Cookie für die Demo und, wenn du ein geteiltes Board als Gast öffnest, ein Gast-Cookie für diesen Link. Stimmst du auf der Startseite für eine geplante Funktion, merkt sich ein Cookie mit einem Zufallswert deine Stimme (siehe Abschnitt Warteliste). Außerdem merkt sich dein Browser einige Anzeige-Einstellungen im lokalen Speicher (etwa die zuletzt gewählte Ansicht). Nichts davon dient der Wiedererkennung über magpie hinaus. Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO.

Website, App und Datenbank laufen auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) im Rechenzentrum Nürnberg. Hochgeladene Dateien liegen ebenfalls dort.

Solange dein Konto besteht. Du kannst es unter Einstellungen › Deine Daten jederzeit selbst löschen; dann entfernen wir Konto, Sitzungen und alle Workspaces, in denen du allein bist, samt hochgeladener Dateien sofort. In Workspaces mit weiteren Mitgliedern bleiben die gemeinsamen Inhalte für das Team bestehen; Protokolleinträge zeigen dann „gelöschter Nutzer“. Einen Workspace kann sein Owner jederzeit leeren oder löschen. Die Liste der zuletzt gescannten, noch nicht gespeicherten Bauteile ist auf wenige Einträge begrenzt; den Inhalt weitergeleiteter Mails löschen wir nach spätestens 7 Tagen (Abschnitt 9). Gesetzliche Aufbewahrungspflichten (etwa für Rechnungen) bleiben unberührt.

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3).

Vieles davon geht ohne uns: Unter Einstellungen › Deine Daten lädst du alle Daten des aktiven Workspace als ZIP herunter und löschst dein Konto selbst. Für alles andere genügt eine Mail an info@magpie.parts.

Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), etwa bei der Behörde deines Wohnorts.

Die KI macht Vorschläge (Bauteilname, Preis, technische Daten), die du prüfst, bevor etwas gespeichert wird. Entscheidungen mit rechtlicher Wirkung für dich trifft sie nicht (Art. 22 DSGVO).

Die Demo startest du ohne Konto, E-Mail-Adresse und Passwort. Wir legen dafür ein Wegwerf-Konto mit einem eigenen Beispiel-Workspace an. Es enthält nur erfundene Beispieldaten und das, was du in den 15 Minuten selbst eingibst. Nach Ablauf der Zeit löschen wir Konto, Workspace und hochgeladene Dateien automatisch. Während der Demo setzen wir ein technisch notwendiges Sitzungs-Cookie. Nutzt du in der Demo die KI-Funktionen, gilt Abschnitt 6.

Vor dem Start prüft Cloudflare Turnstile (Cloudflare, Inc., USA), ob du ein Mensch bist. Dabei verarbeitet Cloudflare deine IP-Adresse und Merkmale deines Browsers. Ohne diese Prüfung könnten Automaten die Demo massenhaft starten und unsere Kosten in die Höhe treiben. Zusätzlich zählt die App die Starts je IP-Adresse in der Datenbank, um ihre Zahl zu begrenzen (Abschnitt 4). Rechtsgrundlage ist unser berechtigtes Interesse am Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Grundlage der Übermittlung an Cloudflare (DPF oder SCC) noch prüfen