Datenschutzerklärung

Stand: 26.10.2026

Verantwortlicher

Mylon Studios, Conrad von Stülpnagel, [PRÜFEN: Anschrift wie im Impressum], E-Mail: [PRÜFEN: Kontaktadresse].

Kontaktaufnahme

Wenn du uns per E-Mail oder Telefon kontaktierst, verarbeiten wir die dabei übermittelten Daten (Name, Kontaktdaten, Inhalt der Anfrage) zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Anbahnung eines Vertrags) beziehungsweise Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Die Daten werden gelöscht, sobald sie für den Zweck nicht mehr erforderlich sind und keine gesetzlichen Aufbewahrungspflichten bestehen.

Kontaktaufnahme durch uns

Wir schreiben vereinzelt Personen an, die zu einem Fachthema veröffentlicht haben, um ihnen eine fachliche Frage zu stellen. Dabei verarbeiten wir beruflich öffentlich zugängliche Daten (Name, berufliche E-Mail-Adresse, Fundstelle der Veröffentlichung) auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Die Herkunft der Adresse nennen wir in der Nachricht. Du kannst dieser Verarbeitung jederzeit widersprechen; wir löschen die Daten dann umgehend.

Die Anwendung app.mylon.studio

Dieser Abschnitt gilt für die Anwendung, in der Organisationen ihre Social-Media-Beiträge von Mylon erstellen lassen. Mylon handelt dabei als Auftragsverarbeiter der jeweiligen Organisation, mit der ein Auftragsverarbeitungsvertrag besteht. Verantwortlich im Sinne der DSGVO ist insoweit die Organisation; Betroffenenrechte machst du primär gegenüber ihr geltend, wir unterstützen sie dabei. Für die Protokolle (siehe unten) ist Mylon selbst verantwortlich.

Hosting und Speicherung

Die Anwendung läuft auf einem Server der netcup GmbH in Deutschland (Nürnberg). Dateien (zum Beispiel erzeugte Bilder) liegen getrennt nach Mandant in einem S3-kompatiblen Object Storage der Hetzner Online GmbH in Deutschland. [PRÜFEN: Auftragsverarbeitungsverträge mit netcup (Server) und mit Hetzner (Object Storage) abgeschlossen?]

Cookies

Wir setzen ausschließlich technisch notwendige Cookies: mylon_session (Anmeldung im Kundenbereich, 12 Stunden), mylon_op_session (Anmeldung im Betreiberbereich, 12 Stunden) und zwei Cookies für Zwischenschritte der Anmeldung, die nach 5 Minuten ablaufen: mylon_login_auswahl(Auswahl der Organisation, wenn eine E-Mail-Adresse zu mehreren gehört) und mylon_op_vorstufe(zweiter Faktor im Betreiberbereich). Es gibt kein Tracking und keine Analyse-Werkzeuge; ein Cookie-Banner ist deshalb nicht nötig. [PRÜFEN: Rechtsgrundlage der Cookies, § 25 Abs. 2 Nr. 2 TDDDG]

Modell-API (Anthropic)

Zur Erstellung der Beiträge senden wir Aufträge und Kontext an die Programmierschnittstelle von Anthropic (USA). Es gibt einen Auftragsverarbeitungsvertrag in den Commercial Terms von Anthropic; Zero Data Retention ist beantragt, und Prompts und Ausgaben werden nach Angaben von Anthropic standardmäßig nicht gespeichert. Die Verarbeitung findet nicht in der EU statt; es handelt sich um einen Drittstaatentransfer in die USA. [PRÜFEN: Rechtsgrundlage und Garantien des Drittstaatentransfers (Standardvertragsklauseln, Data Privacy Framework?) und ob die Zero-Data-Retention-Bewilligung inzwischen schriftlich vorliegt] Bitte gib nur ein, was auch veröffentlicht werden dürfte.

Bildgenerierung (fal.ai)

Für erzeugte Bilder senden wir ausschließlich Bildbeschreibungen an fal.ai (USA), nie Personendaten. [PRÜFEN: Rechtsgrundlage und Garantien des Drittstaatentransfers an fal.ai]

Rechtschreibprüfung (LanguageTool)

Texte werden mit LanguageTool geprüft. Die Instanz läuft auf unserem eigenen Server; es geht nichts an Dritte.

Protokolle

Das Sicherheitsprotokoll hält Anmeldungen und Handgriffe im Betreiberbereich fest, mit Kennungen (etwa der Nutzer-ID) und Aktion, ohne E-Mail-Adresse, Namen, IP-Adresse oder Beitragsinhalt; Aufbewahrung 12 Monate. Das Fehlerprotokoll hält technische Fehlermeldungen fest, ohne Drittanbieter; Aufbewahrung 30 Tage. [PRÜFEN: Rechtsgrundlage der Protokolle (Art. 6 Abs. 1 lit. f DSGVO?) und ob im Fehlerprotokoll Personendaten landen können]

Löschung

Endet die Zusammenarbeit mit einer Organisation, löschen wir ihre Daten und den Inhalt ihres Speicherbereichs. Geschäftsdaten wie Rechnungen und Verträge bleiben wegen gesetzlicher Aufbewahrungspflichten erhalten; die Verknüpfung zum Mandanten wird gelöst. [PRÜFEN: Fristen der Löschung nach Vertragsende, Aufbewahrungsdauer der Geschäftsdaten, Löschung aus Backups; das Konzept nennt nur 90 Tage für Browser-Kennungen, ein abschließendes Löschkonzept steht aus]

Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren; für Nordrhein-Westfalen ist das die LDI NRW.

[PRÜFEN: Entwurf, vor dem ersten Kundenlogin von Conrad zu prüfen]