Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung der Navamu-Website und der Navamu-Anwendung verarbeitet werden, zu welchem Zweck und auf welcher Rechtsgrundlage.

Stand: 29. September 2026

Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Fabian Mürmann
Kurfürstenstr. 143
10785 Berlin
Deutschland
hi@nava.mu

Einen Datenschutzbeauftragten haben wir nicht bestellt; wir sind dazu gesetzlich nicht verpflichtet.

Das Wichtigste zuerst

• Board-Inhalte gehören Ihnen. Wir werten sie nicht aus, verkaufen sie nicht und verwenden sie nicht zum Training von Modellen.
• Die Reichweitenmessung arbeitet cookiefrei, bis Sie mehr erlauben. Wir setzen PostHog auf europäischen Servern ein. Ohne Ihre Einwilligung wird nichts auf Ihrem Gerät gespeichert oder von dort ausgelesen. Kein Profiling, keine Werbenetzwerke.
• Die Server stehen in Deutschland. Betrieben werden sie von einem Auftragsverarbeiter (siehe „Hosting").

Hosting und Server-Logfiles

Die Anwendung und die Website laufen auf einem Server, den wir bei der

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland

gemietet haben. Hetzner ist für uns Auftragsverarbeiter im Sinne von Art. 28 DSGVO; ein entsprechender Vertrag besteht. Der Serverstandort ist Deutschland.

Beim Abruf jeder Seite erhebt der Webserver automatisch Daten, die Ihr Browser übermittelt, und schreibt sie in Logfiles:

• IP-Adresse des anfragenden Geräts
• Datum und Uhrzeit der Anfrage
• angefragte Adresse und HTTP-Statuscode
• übertragene Datenmenge
• Referrer-URL
• Browsertyp und -version sowie Betriebssystem

Zweck ist der technische Betrieb, die Fehlersuche und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb des Dienstes. Eine Zusammenführung dieser Daten mit anderen Datenquellen findet nicht statt. Logfiles werden nach spätestens 30 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Sicherheitsvorfalls benötigt werden.

Cookies und vergleichbare Technologien

Wir setzen ausschließlich Cookies und Speichereinträge ein, die für den Betrieb des Dienstes erforderlich sind, eine von Ihnen angeforderte Funktion bereitstellen oder die Sie ausdrücklich erlaubt haben. Werbe-Cookies gibt es nicht; Analyse-Cookies nur mit Ihrer Einwilligung (siehe „Reichweitenmessung").

• better-auth.session_token — hält Sie angemeldet. Laufzeit: bis zum Ablauf der Sitzung bzw. bis zur Abmeldung.
• sc_guest — erkennt denselben anonymen Gast beim erneuten Betreten eines geteilten Boards wieder, damit ein einzelner Gast ausgeschlossen werden kann, ohne den Link für alle zu widerrufen. Laufzeit: befristet.
• NEXT_LOCALE — merkt die gewählte Sprache. Laufzeit: 1 Jahr.
• consent — merkt Ihre Entscheidung im Cookie-Hinweis. Laufzeit: 6 Monate. Sie können die Entscheidung jederzeit über „Cookie-Einstellungen" im Fußbereich ändern.
• ph_…_posthog — wird von unserem Analysedienst erst gesetzt, wenn Sie im Cookie-Hinweis auf „Erlauben" klicken, als Cookie und als entsprechender Local-Storage-Eintrag. Enthält eine zufällig vergebene Kennung. Laufzeit: 1 Jahr; wird beim Widerruf gelöscht.

Rechtsgrundlage für technisch erforderliche Cookies ist § 25 Abs. 2 Nr. 2 TDDDG in Verbindung mit Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO. Sie können Cookies in Ihrem Browser löschen oder blockieren; die Anmeldung und geteilte Boards funktionieren dann nicht mehr.

Reichweitenmessung

Um zu verstehen, wie Navamu genutzt wird und woran es hakt, setzen wir den Analysedienst PostHog ein — ausschließlich in der europäischen Ausführung mit Serverstandort in der EU (eu.i.posthog.com). PostHog ist für uns Auftragsverarbeiter nach Art. 28 DSGVO; ein entsprechender Vertrag besteht. Werbenetzwerke, Social-Media-Plugins und seitenübergreifendes Tracking setzen wir nicht ein.

Ohne Einwilligung: Messung ohne Cookies

Solange Sie nicht eingewilligt haben — und auch dann, wenn Sie ablehnen — arbeitet PostHog cookiefrei: Auf Ihrem Gerät wird nichts gespeichert und nichts ausgelesen, weder Cookies noch Local Storage. Um Besuche trotzdem grob zählen zu können, bildet PostHog auf seinen Servern einen nicht umkehrbaren Hashwert aus Ihrer IP-Adresse, Ihrer Browserkennung (User-Agent), der aufgerufenen Domain und einem Zufallswert, der täglich wechselt und nach der Verarbeitung des Tages gelöscht wird. Eine Wiedererkennung über den Tag hinaus ist damit ausgeschlossen. Wir erhalten dabei keine IP-Adresse als Kennung, und eine Standortermittlung findet nicht statt.

Rechtsgrundlage ist unser berechtigtes Interesse an einer datensparsamen Reichweitenmessung nach Art. 6 Abs. 1 lit. f DSGVO. § 25 TDDDG greift nicht, weil in diesem Zustand keine Informationen auf Ihrem Endgerät gespeichert oder von diesem abgerufen werden. Sie können dieser Verarbeitung nach Art. 21 DSGVO jederzeit widersprechen — eine formlose Nachricht an die im Impressum genannte Adresse genügt. Signalisiert Ihr Browser „Do Not Track" oder „Global Privacy Control", behandeln wir das als Ablehnung.

Mit Ihrer Einwilligung: wiedererkennende Messung

Beim ersten Besuch fragen wir Sie in einem Hinweis, ob wir mehr dürfen. Erst wenn Sie ausdrücklich zustimmen, setzt PostHog Cookies und speichert eine zufällig vergebene Kennung in Ihrem Browser. Damit können wir Besuche derselben Person über mehrere Tage hinweg zusammenführen und — wenn Sie angemeldet sind — Ihrem Konto zuordnen.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen; dafür genügt der Link „Cookie-Einstellungen" im Seitenfuß. Nach einem Widerruf werden die von PostHog gesetzten Cookies gelöscht und die Messung fällt auf den cookiefreien Zustand zurück. Die bis dahin erfolgte Verarbeitung bleibt davon unberührt.

Mit Ihrer Einwilligung verarbeiten wir: die genannte Kennung, aufgerufene Seiten, die verwendete Browser- und Geräteart, die ungefähre Herkunftsregion sowie einzelne Ereignisse im Produkt — etwa dass ein Board angelegt, ein Freigabelink erzeugt oder ein Tarif gebucht wurde.

Ihre IP-Adresse gehört nicht dazu. PostHog benötigt sie, um die Anfrage überhaupt entgegenzunehmen, und leitet daraus die ungefähre Herkunftsregion ab; gespeichert wird sie neben diesen Ereignissen nicht, weil das Projekt so konfiguriert ist, dass Client-IP-Adressen verworfen werden.

Ereignisse aus Ihrem Konto

Unabhängig von dieser Auswahl protokollieren wir einige Vorgänge serverseitig unter Ihrer Nutzerkennung, wenn Sie angemeldet sind: Registrierung, Anlegen eines Boards, Abschluss eines Tarifs. Diese Protokollierung findet ausschließlich auf unseren Servern statt, greift nicht auf Ihr Endgerät zu und betrifft keine nicht angemeldeten Besucherinnen und Besucher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Durchführung des Nutzungsverhältnisses geht, im Übrigen Art. 6 Abs. 1 lit. f DSGVO.

Was nie übermittelt wird

Board-Inhalte sind ausgenommen. Was Sie zeichnen oder schreiben, wird nicht an PostHog übermittelt. Auch bei den KI-Einstellungen protokollieren wir nur, dass etwas geschehen ist — bei der Verwendung einer Anbieter-Vorlage etwa ausschließlich, welche Vorlage angeklickt wurde, nie der eingegebene Endpunkt oder Modellname.

Konto und Anmeldung

Für ein Konto verarbeiten wir:

• Name und E-Mail-Adresse, Bestätigungsstatus der E-Mail-Adresse
• optional ein Profilbild und einen Benutzernamen
• gewählte Sprache
• Zeitpunkte der Erstellung und der letzten Änderung
• bei Anmeldung mit Passwort: den Passwort-Hash (nie das Passwort selbst)
• bei Anmeldung über Google oder GitHub: die Kennung Ihres dortigen Kontos sowie die von diesem Anbieter ausgegebenen Zugriffs-Token
• bei aktivierter Zwei-Faktor-Authentisierung: den verschlüsselten TOTP-Schlüssel und die verschlüsselten Backup-Codes
• bei Nutzung eines Passkeys: den öffentlichen Schlüssel und die zugehörigen Metadaten des Authenticators

Zu jeder Anmeldesitzung speichern wir zusätzlich IP-Adresse, User-Agent und den Ablaufzeitpunkt, damit Sie Ihre aktiven Sitzungen sehen und beenden können.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) und, soweit es um die Sicherheit der Anmeldung geht, Art. 6 Abs. 1 lit. f DSGVO.

Organisationen und Einladungen

Legen Sie eine Organisation an, verarbeiten wir deren Namen, ein optionales Logo und die Zuordnung der Mitglieder mit ihrer Rolle. Laden Sie jemanden ein, speichern wir die eingegebene E-Mail-Adresse, die vorgesehene Rolle und den Status der Einladung, bis diese angenommen, abgelehnt oder abgelaufen ist. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Board-Inhalte

Was Sie auf einem Board zeichnen, schreiben oder hochladen, speichern wir, damit es beim nächsten Öffnen wieder da ist und damit mehrere Personen gleichzeitig daran arbeiten können. Technisch liegt der Zustand eines Boards als Dokument in unserer Datenbank, hochgeladene Bilder liegen als Dateien auf demselben Server.

Diese Inhalte sind Ihre Daten. Wir sehen sie nicht durch, werten sie nicht statistisch aus, geben sie nicht weiter und verwenden sie nicht zum Training von KI-Modellen. Zugriff durch uns erfolgt nur, wenn es für den Betrieb unumgänglich ist — etwa zur Behebung eines konkreten, von Ihnen gemeldeten Fehlers — oder wenn wir rechtlich dazu verpflichtet sind.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Legen Sie personenbezogene Daten Dritter auf einem Board ab, sind Sie für diese Verarbeitung verantwortlich; wir handeln dann insoweit als Auftragsverarbeiter für Sie.

Geteilte Boards und Gäste

Ein Board kann über einen Freigabelink geteilt werden. Der Link besteht aus einer öffentlichen Kennung und einem Geheimnis. Das Geheimnis steht im Fragment der URL (hinter dem #) und wird von Ihrem Browser nie an einen Server gesendet; wir speichern davon nur einen SHA-256-Hash, mit dem eine Anfrage geprüft werden kann. Aus unserer Datenbank lässt sich ein funktionierender Link daher nicht rekonstruieren.

Wer ein geteiltes Board über einen Link öffnet, braucht kein Konto. Für solche Gäste verarbeiten wir nur das sc_guest-Cookie (siehe oben) sowie den frei gewählten Anzeigenamen, den der Gast selbst eingibt, und — solange er verbunden ist — die Position seines Zeigers. Wird ein Gast von einem Board ausgeschlossen, speichern wir dazu seine Gast-Kennung und den Zeitpunkt.

E-Mails

Transaktions-E-Mails (Bestätigung der E-Mail-Adresse, Passwort zurücksetzen, Anmeldelink, Einladung in eine Organisation, Benachrichtigungen) versenden wir über

Resend, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA

als Auftragsverarbeiter. Dabei werden Ihre E-Mail-Adresse und der Inhalt der jeweiligen Nachricht in die USA übermittelt. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Rechtsgrundlage der Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Welche Benachrichtigungen Sie per E-Mail erhalten, können Sie in den Einstellungen Ihres Kontos festlegen.

Kostenpflichtige Tarife und Zahlungen

Buchen Sie einen kostenpflichtigen Tarif, wird die Zahlung über

Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland

abgewickelt. Ihre Zahlungsdaten geben Sie direkt bei Stripe ein; wir sehen keine vollständigen Kartendaten. Stripe ist für die Zahlungsabwicklung eigener Verantwortlicher und verarbeitet Ihre Daten nach der eigenen Datenschutzerklärung. Von Stripe erhalten und speichern wir die Kundenkennung, die Abonnementkennung, den gebuchten Preis und den Status des Abonnements, um Ihren Tarif freizuschalten und abzurechnen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für die handels- und steuerrechtliche Aufbewahrung der Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.

KI-Funktionen

Navamu betreibt keine eigenen KI-Modelle und übermittelt standardmäßig keine Board-Inhalte an Dritte zu diesem Zweck.

Organisationen können optional einen eigenen KI-Anbieter konfigurieren: Endpunkt, Modellbezeichnung und API-Schlüssel werden von der Organisation hinterlegt. Erst wenn eine dazu berechtigte Person diese Funktion zusätzlich aktiviert, werden bei Nutzung einer KI-Funktion die dafür erforderlichen Board-Inhalte an den von der Organisation gewählten Anbieter übermittelt. Verantwortlich für diese Übermittlung und für die Rechtsgrundlage gegenüber dem Anbieter ist die konfigurierende Organisation; wir empfehlen den Abschluss eines Auftragsverarbeitungsvertrags mit dem gewählten Anbieter.

Der API-Schlüssel wird ausschließlich verschlüsselt gespeichert (AES-256-GCM) und nach der Eingabe nicht wieder angezeigt oder herausgegeben.

Zu jedem KI-Aufruf protokollieren wir ausschließlich Metadaten: Organisation, nutzende Person, aufrufende Funktion, Host des Anbieters, Modellbezeichnung, Anzahl der Tokens, Status und Zeitpunkt. Inhalte von Anfragen oder Antworten werden nicht gespeichert. Diese Protokolle dienen der Abrechnungs- und Missbrauchskontrolle.

Ist keine KI-Konfiguration hinterlegt, findet keine Übermittlung statt und die Funktionen werden nicht angeboten.

Zugriff durch eigene Programme (MCP)

Sie können ein Zugriffstoken erzeugen, mit dem ein von Ihnen betriebenes Programm — etwa ein KI-Assistent auf Ihrem Rechner — Ihre Boards lesen darf. Von dem Token speichern wir nur einen SHA-256-Hash und ein kurzes Namenspräfix zur Unterscheidung, nie das Token selbst. Zu jedem Aufruf protokollieren wir Metadaten: Token, Person, Organisation, aufgerufenes Werkzeug, betroffene Board-Kennung, Status, Fehlerklasse, Dauer und Zeitpunkt. Board-Inhalte werden dabei nicht protokolliert. Zweck ist die Nachvollziehbarkeit der Zugriffe; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO.

Kontaktaufnahme

Schreiben Sie uns eine E-Mail, verarbeiten wir die darin enthaltenen Angaben, um Ihre Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Wir löschen diese Nachrichten, wenn sie nicht mehr benötigt werden und keine Aufbewahrungspflicht entgegensteht.

Über das Kontaktformular auf dieser Website gilt dasselbe. Wir verarbeiten die Angaben, die Sie dort eintragen — Name, E-Mail-Adresse und Ihre Nachricht —, um Ihnen zu antworten. Die Nachricht wird nicht in einer Datenbank gespeichert, sondern ausschließlich als E-Mail an unser Postfach zugestellt und anschließend wie jede andere E-Mail behandelt. Der Versand erfolgt über den unter „E-Mails" genannten Auftragsverarbeiter.

Zum Schutz vor automatisierten Massenzusendungen begrenzen wir die Zahl der Absendungen je IP-Adresse. Dafür halten wir die IP-Adresse für zehn Minuten im Arbeitsspeicher vor; sie wird nicht gespeichert, nicht protokolliert und nicht zusammen mit Ihrer Nachricht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Abwehr von Missbrauch. Das Formular bindet keine Dienste Dritter ein — kein Captcha, kein Spamfilter-Dienst.

Speicherdauer und Löschung

Kontodaten, Boards und Board-Inhalte speichern wir, solange Ihr Konto besteht. Löschen Sie Ihr Konto, werden die zugehörigen Daten gelöscht; davon ausgenommen sind Daten, die wir aus handels- oder steuerrechtlichen Gründen aufbewahren müssen (Rechnungsdaten: zehn Jahre), und Protokolleinträge ohne Inhaltsbezug, die zur Nachvollziehbarkeit von Abrechnung und Zugriffen dienen und in denen Ihre Nutzerkennung entfernt wird.

Empfänger

Außer den oben genannten Auftragsverarbeitern (Hetzner, Resend, PostHog) und Stripe geben wir Ihre Daten nicht an Dritte weiter. Eine Weitergabe erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie Widerspruch gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen (Art. 21 DSGVO). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Wenden Sie sich dafür an hi@nava.mu.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren. Für uns zuständig ist:

Berliner Beauftragte für Datenschutz und Informationsfreiheit
Alt-Moabit 59–61, 10555 Berlin
https://www.datenschutz-berlin.de

Sicherheit

Die Verbindung zu Website und Anwendung ist durchgehend mit TLS verschlüsselt. Passwörter werden nur als Hash gespeichert, Freigabe- und Zugriffstoken nur als SHA-256-Hash, hinterlegte KI-Schlüssel nur AES-256-GCM-verschlüsselt.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt jeweils die hier veröffentlichte Fassung; das Datum oben nennt den Stand.