Datenschutzerklärung

Stand: 11. November 2026

Diese Erklärung beschreibt, welche personenbezogenen Daten Bringup verarbeitet, wozu, auf welcher Rechtsgrundlage und wie lange, und welche Rechte du hast. Sie beschreibt den Dienst so, wie er tatsächlich gebaut ist: was auf dem Server gespeichert wird, was in deinem Browser bleibt und was öffentlich ist.

Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO:

Marvin Kicha
Hueskenboerde 34
45136 Essen
Deutschland

E-Mail: hello@deckle.io

Ein Datenschutzbeauftragter ist nicht benannt, da hierzu keine gesetzliche Pflicht besteht.

Kurz gesagt

Der Editor läuft in deinem Browser. Ohne Konto kannst du Beispiele und geteilte Projekte öffnen und simulieren; auf dem Server wird dabei nichts gespeichert. Zum Erstellen und Bearbeiten brauchst du ein Konto.
Mit Konto speichern wir deine E-Mail-Adresse, einen optionalen Namen, einen Hash deines Passworts sowie die Projekte, Bauteile und API-Schlüssel, die du anlegst.
Projekte im kostenlosen Tarif sind öffentlich: Jeder kann sie ansehen und kopieren, und sie erscheinen in der Community-Galerie zusammen mit dem Namen deines Kontos.
Keine Tracking-, Analyse- oder Werbe-Cookies, keine Inhalte Dritter auf unseren Seiten; Schriften liefern wir vom eigenen Server aus.
Wir setzen selbst keine KI-Dienste ein. Wenn du einen KI-Agenten anbindest, wählst du dessen Anbieter.
Kostenpflichtige Tarife verkauft Stripes Wiederverkäufer Link, der die Zahlungsdaten in eigener Verantwortung verarbeitet.
Server in Westeuropa. Wir verkaufen keine Daten und nutzen sie nicht für Werbung.

Hosting und Server-Logfiles

Bringup wird bei der OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich (OVHcloud), gehostet. Der Server steht in einem Rechenzentrum von OVHcloud in Westeuropa. Mit OVHcloud besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Beim Aufruf einer Seite übermittelt dein Browser zwangsläufig technische Daten, darunter seine IP-Adresse. Der der Anwendung vorgeschaltete Webserver (Reverse Proxy) speichert in seinem Zugriffsprotokoll: eine gekürzte IP-Adresse (bei IPv4 nur die ersten beiden von vier Blöcken), Datum und Uhrzeit, Methode und aufgerufene Adresse (ohne Zugangs-Tokens), HTTP-Status, übertragene Datenmenge und Dauer. Anfrage-Header wie Cookies, Referrer und Browserkennung werden nicht protokolliert. Die Anwendung selbst protokolliert je Anfrage eine Zeile mit Methode, Pfad ohne Parameter, Status, Dauer und einer zufälligen Anfrage-ID, aber keine IP-Adresse, E-Mail-Adresse oder Inhalte.

Zweck: Bereitstellung des Dienstes, Sicherheit und Stabilität sowie Erkennen von Missbrauch. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in diesen Zwecken. Logdateien werden spätestens nach 14 Tagen gelöscht, sofern nicht ein Sicherheitsvorfall eine längere Aufbewahrung zu Beweiszwecken erfordert.

Zum Schutz vor dem Erraten von Passwörtern und massenhaften Registrierungen werden IP-Adressen und die eingegebene E-Mail-Adresse kurzzeitig nur im Arbeitsspeicher des Servers gehalten (höchstens einige Stunden); sie werden nicht in die Datenbank geschrieben.

Cookies und Speicher im Browser

Wir setzen höchstens zwei Cookies. cl_session entsteht bei Anmeldung oder Registrierung, enthält ein zufälliges Token, ist für Skripte nicht lesbar (HttpOnly), wird nur an unseren eigenen Server gesendet und läuft nach 30 Tagen oder beim Abmelden ab. Auf dem Server wird nur ein Hash des Tokens gespeichert, zusammen mit Ablaufzeit und Browserkennung. cl_oauth gibt es nur während einer Anmeldung mit Google oder Apple: Es enthält Zufallswerte, die die Antwort des Anbieters deinem Browser zuordnen, ist für Skripte nicht lesbar, wird nur an unsere Anmeldeadresse gesendet und bei deiner Rückkehr gelöscht, spätestens nach 10 Minuten.

Zusätzlich speichert der Editor Einstellungen und Arbeitsstände im lokalen Speicher deines Browsers (localStorage und IndexedDB): Sprache, Farbschema, Anordnung der Bereiche, Lernfortschritt, die gerade geöffnete Schaltung samt ihrer Platinen sowie einen Zwischenspeicher für Syntheseergebnisse. Das gilt auch ohne Konto. Diese Daten bleiben auf deinem Gerät und werden nur übertragen, wenn du ein Projekt in deinem Konto speicherst.

Das Speichern und Auslesen dieser Informationen ist unbedingt erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist dafür nicht nötig. Die anschließende Verarbeitung der Sitzung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Du kannst die gespeicherten Daten jederzeit in deinen Browsereinstellungen löschen; der Editor startet dann leer und du bist abgemeldet.

Nutzerkonto

Für ein Konto verarbeiten wir: deine E-Mail-Adresse, einen optionalen Anzeigenamen, dein Passwort, falls du eins festlegst (nur als gesalzener scrypt-Hash, nie im Klartext), den Zeitpunkt der Registrierung und der E-Mail-Bestätigung sowie die oben beschriebenen Sitzungen. Einmal-Links zum Bestätigen der E-Mail-Adresse oder zum Zurücksetzen des Passworts werden nur als Hash gespeichert; sie verfallen nach 24 Stunden bzw. 60 Minuten und werden spätestens 7 Tage nach Ablauf gelöscht.

Zweck: Bereitstellung des Kontos und Erfüllung des Nutzungsvertrags. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Für ein Konto ist deine E-Mail-Adresse erforderlich und entweder ein Passwort oder die Anmeldung mit Google oder Apple; Beispiele und geteilte Projekte kannst du auch ohne Konto ansehen und simulieren.

Speicherdauer: bis zur Löschung deines Kontos. Du kannst es jederzeit in den Kontoeinstellungen oder per E-Mail an hello@deckle.io löschen. Mit dem Konto werden deine Projekte, Bauteile, API-Schlüssel, Sitzungen und offenen E-Mail-Links gelöscht; Nutzungszähler werden nach 40 Tagen gelöscht. Abgelaufene Sitzungen werden 30 Tage nach ihrem Ablauf gelöscht. Daten, die wir aus steuer- oder handelsrechtlichen Gründen aufbewahren müssen, bleiben für die gesetzlichen Fristen gespeichert und werden für jede andere Verwendung gesperrt.

E-Mail-Versand

Wir senden E-Mails, die für das Konto nötig sind: Bestätigung deiner E-Mail-Adresse, Zurücksetzen des Passworts und wichtige Hinweise zu deinem Vertrag. Keine Newsletter, keine Werbung.

Der Versand erfolgt über Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA), das als unser Auftragsverarbeiter auf Grundlage eines Vertrags nach Art. 28 DSGVO tätig ist. Resend verarbeitet deine E-Mail-Adresse, den Inhalt der Nachricht und technische Zustelldaten (Zeitpunkt, Zustellstatus) und speichert diese Daten in den USA; die Übermittlung stützt sich auf das EU-U.S. Data Privacy Framework, unter dem Resend zertifiziert ist, und auf die EU-Standardvertragsklauseln. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Projekte und eigene Bauteile

Projekte, die du in deinem Konto speicherst, liegen in unserer Datenbank: das Schaltungsdokument (Schaltplan, Platinen, Firmware-Quelltext, Beschreibung und Einstellungen, bis zu 12 MB je Projekt), sein Name, die Revision, Zeitpunkte von Anlage und letzter Änderung sowie die Angabe, ob die letzte Änderung aus dem Editor oder von einem KI-Agenten kam (mit dem Namen des verwendeten API-Schlüssels). Bauteile, die du in deiner Bibliothek speicherst, werden ebenso gespeichert.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: bis du das Projekt, das Bauteil oder dein Konto löschst. Datensicherungen der Datenbank werden täglich für 7 Tage und wöchentlich für 4 Wochen aufbewahrt; gelöschte Daten verschwinden daher spätestens nach etwa fünf Wochen auch aus den Sicherungen.

Bitte lege keine personenbezogenen Daten anderer Personen, Geheimnisse oder vertraulichen Informationen in Projekten ab – insbesondere nicht in öffentlichen.

Öffentliche Projekte und Community-Galerie

Im kostenlosen Tarif ist jedes Cloud-Projekt öffentlich; private Projekte sind Teil der kostenpflichtigen Tarife. In den kostenpflichtigen Tarifen sind neue Projekte privat, und du kannst jedes Projekt selbst öffentlich machen.

Öffentlich bedeutet: Jeder kann das Projekt, auch ohne Konto, schreibgeschützt öffnen, und angemeldete Nutzer können es in ihr eigenes Konto kopieren. Projekte mit mindestens einem Bauteil erscheinen in der Community-Galerie mit Name, dem Anfang der Beschreibung (bis zu 400 Zeichen), der Anzahl der Bauteile, dem Datum der letzten Änderung und als Autor dem Anzeigenamen deines Kontos. Lässt du den Namen leer, wird kein Autor angezeigt. Die E-Mail-Adresse wird nie angezeigt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO – die Veröffentlichung ist Bestandteil des kostenlosen Tarifs, wie in den Nutzungsbedingungen beschrieben. Löschst du ein Projekt oder machst es privat, verschwindet es sofort aus der Galerie. Kopien, die andere Nutzer bereits angelegt haben, bleiben in deren Konten; diese können wir nicht zurückholen.

Firmware-Builds und Exporte

Wenn du Firmware übersetzt, werden ihr Quelltext und das gewählte Ziel an unseren Server gesendet und in getrennten Build-Containern kompiliert (Arduino- und Bare-Metal-Builds in einem Runner-Container, Zephyr-Projekte in einem Zephyr-Build-Container). Die Container laufen auf unserer eigenen Infrastruktur, haben keinen Internetzugang und halten die Dateien nur in einem temporären Speicher, der nach dem Build geleert wird. Fertigungs- und KiCad-Exporte sowie von KI-Agenten gestartete Simulationen laufen auf dieselbe isolierte Weise.

Erfolgreiche Build-Ergebnisse werden, identifiziert über einen Hash des Quelltexts, begrenzt im Arbeitsspeicher des Servers gehalten, damit ein identischer Build sofort beantwortet werden kann. Dieser Zwischenspeicher wird nicht dauerhaft gespeichert und geht bei einem Neustart verloren.

Um die täglichen Kontingente der Tarife durchzusetzen, zählen wir Builds und Serverzeit pro Tag: je Konto und je Netzwerk über die IP-Adresse. Builds setzen ein Konto voraus; Besucher ohne Konto werden nicht gezählt. Die IP-Adresse wird dabei nur als gesalzener, gekürzter Hash gespeichert. Die Zähler werden nach 40 Tagen gelöscht. Eine kurzfristige Begrenzung je IP-Adresse wird nur im Arbeitsspeicher gehalten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Kontoinhaber; Art. 6 Abs. 1 lit. f DSGVO für den Schutz vor Missbrauch, gestützt auf unser berechtigtes Interesse an einer fairen Verteilung der begrenzten Build-Kapazität.

KI-Agenten, API-Schlüssel und MCP

In Tarifen, die das enthalten, kannst du KI-Agenten über die MCP-Schnittstelle mit API-Schlüsseln anbinden. Je Schlüssel speichern wir: seinen Namen, die ersten 12 Zeichen, einen Hash des Schlüssels (nie den Schlüssel selbst) sowie die Zeitpunkte von Anlage, letzter Nutzung und Widerruf. Anfragen von Agenten werden wie Anfragen aus dem Editor verarbeitet; Änderungen werden mit dem Namen des Schlüssels gekennzeichnet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Schlüssel werden mit deinem Konto gelöscht; widerrufene Schlüssel bleiben bis dahin gespeichert, damit die Änderungshistorie nachvollziehbar bleibt.

Wir übermitteln deine Daten nicht an KI-Anbieter. Der Agent selbst läuft bei dem Anbieter, den du wählst. Alles, was der Agent über die Schnittstelle liest (etwa Projekte oder Simulationsergebnisse), wird in deinem Auftrag an diesen Anbieter übertragen und unterliegt dessen Datenschutzbestimmungen.

Tarife und Abonnements

Für jedes Konto speichern wir den Tarif, den Status und das Ende des laufenden Abrechnungszeitraums sowie – sobald kostenpflichtige Tarife angeboten werden – Kennungen von Kunde und Abonnement bei Stripe. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und für gesetzliche Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO. Unsere eigenen Buchungsbelege (insbesondere die Abrechnungen mit Stripe) bewahren wir für die gesetzlichen Fristen auf (bis zu zehn Jahre, § 147 AO, § 257 HGB).

Kauf kostenpflichtiger Tarife über Stripe (gilt ab Start der kostenpflichtigen Tarife)

Dieser Abschnitt gilt erst, sobald kostenpflichtige Tarife gebucht werden können. Während der Beta werden keine Zahlungen verarbeitet.

Kostenpflichtige Tarife werden über Stripe Managed Payments verkauft. Verkäufer (Merchant of Record) ist die Stripe-Tochtergesellschaft Sold through Link, LLC („Link“). Im Bestellvorgang gibst du deine Daten direkt bei Stripe/Link ein; Karten- oder Kontonummern erhalten wir nicht. Für Kauf, Zahlung, Rechnungsstellung, Steuern, Betrugsprävention, Rückbuchungen und Transaktionssupport verarbeiten Link und die beteiligten Stripe-Gesellschaften deine Daten als eigenständige Verantwortliche nach ihren eigenen Datenschutzhinweisen (https://link.com/privacy und https://stripe.com/privacy). Dabei können Daten in den USA verarbeitet werden; die Übermittlung verantworten Stripe/Link.

Um den Kauf deinem Konto zuzuordnen, übermitteln wir beim Start des Bestellvorgangs deine E-Mail-Adresse und eine interne Kontokennung an Stripe. Von Stripe erhalten wir den gekauften Tarif, Status und Laufzeit des Abonnements, Kennungen von Kunde und Abonnement, das Land und die Beträge sowie Informationen zu Erstattungen und Rückbuchungen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für Aufzeichnungen, die wir aufbewahren müssen, Art. 6 Abs. 1 lit. c DSGVO.

Kontakt per E-Mail

Wenn du uns schreibst, verarbeiten wir deine E-Mail-Adresse, deine Nachricht und die darin gemachten Angaben, um zu antworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO – unser berechtigtes Interesse ist die Beantwortung deiner Anfrage; betrifft sie einen Vertrag, Art. 6 Abs. 1 lit. b DSGVO. Wir löschen die Korrespondenz spätestens 12 Monate nach Erledigung, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

Empfänger und Übermittlung in Drittländer

Empfänger personenbezogener Daten sind ausschließlich: unser Hoster OVHcloud und der E-Mail-Dienstleister Resend als Auftragsverarbeiter, Google oder Apple, wenn du dich damit anmeldest (siehe „Anmeldung mit Google oder Apple“), sowie, ab Start der kostenpflichtigen Tarife, Stripe/Link als eigenständige Verantwortliche. An andere Dritte geben wir Daten nicht weiter, es sei denn, wir sind gesetzlich dazu verpflichtet. Außerhalb der EU/des EWR werden Daten nur durch Resend, durch Google oder Apple und durch Stripe/Link verarbeitet, wie in den jeweiligen Abschnitten beschrieben. Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt.

Deine Rechte

Du hast hinsichtlich deiner personenbezogenen Daten folgende Rechte:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO) – Projekte kannst du im Editor jederzeit auch als Datei herunterladen
Widerspruch (Art. 21 DSGVO) gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben

Eine E-Mail an hello@deckle.io genügt.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist: Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, https://www.ldi.nrw.de.

Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die hier veröffentlichte Fassung.