Datenschutzerklärung der CovaSyn

Gültig ab: 19. Mai 2026 · Letzte Änderung: 14. September 2026

English version: Privacy Policy.

1. Wer wir sind

Diese Datenschutzerklärung gilt für die Dienste von CovaSyn, einschliesslich der Website covasyn.com, der Workspace-Anwendung auf workspace.covasyn.com, unserer MCP-Server-Endpunkte sowie der CovaSyn-Anwendung im ChatGPT App Directory (gemeinsam "CovaSyn").

Verantwortlich im Sinne der DSGVO ist:

CovaSyn GmbH
Naunhofer Straße 67, 04299 Leipzig, Sachsen, Deutschland
Eingetragen im Handelsregister, Amtsgericht Leipzig, HRB 43655
Geschäftsführer: Dr. Oliver Kraft
E-Mail: info@covasyn.com
Web: https://covasyn.com

Bei Fragen zu dieser Erklärung oder zu Ihren Daten erreichen Sie uns unter info@covasyn.com.

2. Geltungsbereich

Diese Erklärung beschreibt die personenbezogenen Daten, die wir verarbeiten, wenn Sie mit CovaSyn interagieren, einschliesslich über unsere MCP-Server-Endpunkte und über die CovaSyn-Anwendung innerhalb von ChatGPT. Nicht erfasst ist die separate Verarbeitung Ihrer ChatGPT-Konversation durch OpenAI, die der eigenen Datenschutzerklärung von OpenAI unterliegt. Ebenso wenig erfasst sind Verarbeitungen durch andere MCP-Clients (z.B. Claude Desktop, Cursor, VS Code), die durch die jeweilige Datenschutzerklärung des Anbieters geregelt sind.

3. Welche Daten wir verarbeiten

Wenn Sie ein CovaSyn-Tool aufrufen, fliessen folgende Daten zu uns:

Wissenschaftliche Eingabedaten. Chemische Strukturen (SMILES, InChI, MOL, SDF), biologische Sequenzen (Protein, RNA, DNA), Spektren (NMR, IR, MS, UV-Vis), experimentelle Messungen sowie alle weiteren wissenschaftlichen Eingaben, die Sie einem Tool übergeben. Diese Daten können in seltenen Fällen personenbezogene Informationen enthalten oder implizieren (z.B. Patientenkennungen in klinischen Daten). Wir bitten Nutzerinnen und Nutzer, solche Daten nicht einzureichen.

Authentifizierungs- und Account-Daten. Wenn Sie sich registrieren (Zugang erfolgt ausschliesslich nach Einladung im Rahmen eines Erstgesprächs bzw. Demo-Calls, auch für den Free-Tier): API-Schlüssel (gehasht gespeichert), Account-E-Mail-Adresse, Tarifstufe, Spracheinstellung.

Technische Metadaten. Zeitstempel, Name des aufgerufenen Tools, Request-Grösse, Response-Status, IP-Adresse (nach 24 Stunden auf /24 gekürzt) sowie, bei Aufrufen über die ChatGPT-Integration, die von ChatGPT übermittelte Session-Kennung. Diese Daten benötigen wir für Rate-Limiting, Missbrauchsprävention, Abrechnung und Sicherheit.

Wir erheben NICHT: ChatGPT-Konversationen ausserhalb des konkreten Tool-Aufrufs, Ihre OpenAI-Account-Identität über das hinaus, was OpenAI uns übermittelt, oder Inhalte aus anderen ChatGPT-Apps. Wir erfassen keine biometrischen Daten, betreiben kein Advertising-Tracking auf den Anwendungsflächen und verkaufen keine personenbezogenen Daten.

4. Zwecke und Rechtsgrundlagen (Art. 6 DSGVO)

4a. Buchungsformular und Terminbuchung (Erstgespräch und Demo-Call)

Qualifizierungsformular. Vor der Buchung eines Erstgesprächs bzw. Demo-Calls über /kennenlernen fragen wir ab: Vor- und Nachname, geschäftliche E-Mail-Adresse, Firma, Rolle, Bereich (beim Erstgespräch), Ihr Interesse, eine kurze Beschreibung Ihres Anliegens (beim Demo-Call freiwillig), freiwillig die Teamgröße sowie Ihre Datenschutz-Zustimmung. Wir prüfen technisch, ob die Domain Ihrer E-Mail-Adresse E-Mails empfangen kann, und vermerken, ob es sich um ein privates Postfach handelt. Zweck ist die Vorbereitung des Termins und die Anbahnung eines Vertrags; Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Angaben speichern wir an Ihrer Anfrage und an Ihrem Kontakt in unserem CRM auf unserer Infrastruktur in Deutschland. Zum Schutz des Formulars setzen wir Cloudflare Turnstile ein (siehe Abschnitt zu Cloudflare Turnstile). Für Speicherdauer, E-Mail-Versand und Videotermine gelten die folgenden Absätze.

Wenn Sie über /kennenlernen einen Termin anfragen, verarbeiten wir die von Ihnen angegebenen Daten: Vor- und Nachname, geschäftliche E-Mail-Adresse, Firma, Rolle, Land, Branche, Angaben zur Team- und Unternehmensgrösse, Ihren Starthorizont, Ihre optionale Beschreibung des Anwendungsfalls und, sofern Sie einen Telefontermin im deutschsprachigen Raum wählen, Ihre Telefonnummer. Zusätzlich speichern wir technische Begleitdaten der Anfrage: Zeitpunkt, Sprache, Zeitzone Ihres Browsers, Herkunft des Aufrufs (Kampagnen- und Verweisparameter) sowie den Zeitpunkt Ihrer Datenschutz-Zustimmung.

Diese Angaben dienen der Vorbereitung und Durchführung des Gesprächs sowie dem Versand von Terminbestätigung, Kalendereintrag und Erinnerungen. Aus den Angaben leiten wir automatisiert ab, ob ein Gespräch oder der direkte kostenlose Zugang der sinnvollere Weg ist. Diese Einordnung entfaltet keine rechtliche Wirkung Ihnen gegenüber und stellt keine automatisierte Entscheidung im Einzelfall nach Art. 22 DSGVO dar; sie steuert lediglich, welche Inhalte wir Ihnen anzeigen. Zur Terminvorbereitung rufen wir zusätzlich öffentlich zugängliche Angaben der Website Ihres Unternehmens ab (Art. 6 Abs. 1 lit. f DSGVO).

Verarbeitung und Speicherung erfolgen auf unserer eigenen Infrastruktur in Deutschland (Hetzner, Standort Nürnberg). Für Terminbestätigungen und Erinnerungen versenden wir E-Mails über Microsoft 365. Für Videotermine nutzen wir Microsoft Teams; dabei wird ein Besprechungslink erzeugt (Microsoft Ireland Operations Limited als Auftragsverarbeiter). Ein Kalendereintrag für den Termin wird in unserem Microsoft-365-Kalender angelegt.

Speicherdauer: Terminbezogene Daten bewahren wir bis zu 24 Monate nach dem letzten Kontakt auf, danach werden sie gelöscht. Kommt ein Vertrag zustande, gelten die handels- und steuerrechtlichen Aufbewahrungsfristen (§ 147 AO). Ihre Einwilligung in fachliche Informations-E-Mails können Sie jederzeit über den Abmeldelink in jeder solchen E-Mail oder per Nachricht an info@covasyn.com widerrufen. Der Widerruf berührt die Zulässigkeit der bis dahin erfolgten Verarbeitung nicht und hat keinen Einfluss auf die Terminmails.

5. Wir trainieren keine Modelle auf Ihren Daten

Wissenschaftliche Eingaben, die Sie übermitteln, werden ausschliesslich zur Berechnung des angeforderten Ergebnisses verwendet. Wir nutzen Kundendaten weder zum Training noch zum Fine-Tuning oder zur sonstigen Verbesserung unserer Modelle.

CovaSyn-Tools sind deterministische Rechenfunktionen, die auf unseren eigenen Chemie-, Spektroskopie- und Struktur-Engines aufsetzen. In der Tool-Ausführung sind weder externe Large Language Models noch Foundation-Models noch andere Modellanbieter im Datenpfad eingebunden. Ihre Eingaben werden ausschliesslich von CovaSyn-eigenen, deterministischen Engines verarbeitet.

Soweit wir intern eigene Vorhersagemodelle entwickeln, verwenden wir dafür ausschliesslich öffentliche Datensätze (z.B. USPTO, PubChem, ChEMBL) sowie Daten, die wir hierfür ausdrücklich lizenziert haben.

6. Aufbewahrungsfristen

• Wissenschaftliche Eingaben und Ausgaben: Verarbeitung im Arbeitsspeicher, keine langfristige Persistierung. Kurzfristige operative Logs, die ggf. Payload enthalten, werden innerhalb von 30 Tagen verworfen.
• Technische Metadaten (gekürzte IP, Toolname, Zeitstempel, Kontingentverbrauch): 90 Tage zu Sicherheits- und Missbrauchspräventionszwecken.
• Account-Daten: Gespeichert, solange der Account aktiv ist, gelöscht bei Account-Löschung, soweit nicht gesetzliche Aufbewahrungsfristen entgegenstehen.
• Abrechnungsunterlagen (kostenpflichtige Tarife): 10 Jahre gemäss § 147 AO.
• Free-Tier-Interaktionen: Über das 90-Tage-Metadaten-Fenster hinaus keine payload-bezogene Speicherung.

7. Empfänger und Auftragsverarbeiter

Wir geben Daten ausschliesslich an die nachfolgenden Kategorien von Empfängern weiter, die als Auftragsverarbeiter im Sinne von Art. 28 DSGVO handeln. Auftragsverarbeitungsverträge (AVV / DPA) liegen mit jedem Auftragsverarbeiter vor und sind auf Anfrage unter info@covasyn.com einsehbar.

• Hetzner Online GmbH (Industriestraße 25, 91710 Gunzenhausen, Deutschland) – primäres Hosting in Nürnberg für covasyn.com, workspace.covasyn.com, das MCP-Gateway, das Application-Backend, die Datenbankserver und interne Systeme. Verarbeitung in der EU.
• Cloudflare, Inc. (USA, EU-Präsenz) – autoritativer DNS für covasyn.com. Kein Reverse-Proxy und keine Web-Application-Firewall im Verkehrspfad; Anfragen werden direkt zu unserem Hetzner-Origin aufgelöst. Außerdem Sicherheitsdienst Turnstile für den Schutz unserer Formulare vor automatisierten Einsendungen (siehe Abschnitt 7a). Grundlage für Übermittlungen in die USA sind das EU–U.S. Data Privacy Framework und Standardvertragsklauseln (SCC).
• Supabase Inc. (USA, EU-Region für unser Projekt) – Authentifizierung und Datenbank für den Workspace. Verarbeitete Daten: E-Mail, Passwort-Hash, Profil, Tool-Aufruf-Metadaten, API-Schlüssel-Hashes. SCC abgeschlossen, EU-Datenresidenz.
• Stripe Payments Europe Ltd. (Irland) – Zahlungsabwicklung, Rechnungserstellung, Stripe Tax. Verarbeitete Daten: E-Mail, Rechnungsadresse, USt-ID (sofern angegeben), Kartendaten (ausschliesslich Stripe-seitig).
• Resend Inc. (USA, Versand über AWS-Infrastruktur in Europa) – transaktionale E-Mails (Account-Bestätigung, Zahlungsbestätigung, Passwort-Reset). Verarbeitete Daten: E-Mail-Adresse, Mail-Inhalt. SCC abgeschlossen.
• Microsoft 365 (Microsoft Ireland Operations Ltd., Dublin) – unternehmensinterne E-Mail und Zusammenarbeit. Wird ausschliesslich für unsere eigene Geschäftskommunikation eingesetzt, nicht zur Verarbeitung von Nutzer-Payloads.
• Anthropic PBC (USA) – Sprachmodell für den Chat-Assistenten im Struktureditor und für die Auswertungsfunktion der Kampagnenanalyse. Übermittelt werden dabei die bearbeitete Struktur, der Gesprächsverlauf und Werkzeugergebnisse beziehungsweise statistische Auswertungen. Standardvertragsklauseln (SCC) abgeschlossen.
• Twilio SendGrid (USA) – Ausweichweg für den Versand von Systemnachrichten, falls Resend nicht erreichbar ist. Verarbeitete Daten: E-Mail-Adresse, Mail-Inhalt. SCC abgeschlossen.
• Trustpilot A/S (Dänemark) – Einholung und Anzeige von Kundenbewertungen. Verarbeitung in der EU.
• Google Ireland Limited (Dublin; Weiterverarbeitung durch Google LLC, USA) – Google Analytics 4 zur Reichweitenmessung. Werbedienste setzen wir nicht ein. Verarbeitete Daten: gekürzte IP-Adresse, Geräte- und Browserangaben, aufgerufene Seite in bereinigter Form sowie, nach Ihrer Einwilligung, eine in einem Cookie gespeicherte Kennung. Standardvertragsklauseln (SCC) abgeschlossen; Google LLC ist unter dem EU–U.S. Data Privacy Framework selbstzertifiziert. Näheres in Abschnitt 7a.

Wir verkaufen keine personenbezogenen Daten. Wir geben keine Daten an Werbetreibende weiter. Die Liste wird bei Änderungen aktualisiert; die obige Fassung entspricht dem Stand des oben angegebenen Aktualisierungs-Datums.

7a. Cookies, Analyse und Reichweitenmessung

Beim Aufruf von covasyn.com setzen wir zunächst nur technisch notwendige Cookies ein (Art. 6 Abs. 1 lit. f DSGVO bzw. § 25 Abs. 2 TTDSG), etwa für Ihre Spracheinstellung und Ihre Cookie-Auswahl selbst. Beim ersten Besuch zeigen wir Ihnen einen Cookie-Hinweis mit der Wahl zwischen "Ablehnen" und "Zustimmen".

Wir setzen Google Analytics 4 der Google Ireland Limited ein, um die Nutzung dieser Website zu messen. Es war zwischen dem 7. und dem 11. September 2026 vorübergehend abgeschaltet und ist seitdem wieder aktiv. Werbedienste setzen wir nicht ein:Google Ads wurde am 7. September 2026 entfernt und ist nicht wieder eingebunden; ein Meta-Pixel wurde am 31. Juli 2026 entfernt und kommt nicht zurück.

Wir verwenden dabei den Consent Mode v2 von Google. Bis zu Ihrer Einwilligung stehen alle Einwilligungssignale auf "abgelehnt". Das Skript des Google-Tags (gtag.js) wird zwar von Google geladen, führt aber vor Ihrer Einwilligung keine Messung aus: Es werden keine Cookies gesetzt, keine Seitenaufrufe oder Ereignisse gemeldet und keine Messdaten an Google gesendet. Beim Laden des Skripts erhält Google, wie bei jedem Abruf einer Datei von einem fremden Server, technisch die IP-Adresse Ihres Geräts. Rechtsgrundlage für dieses Laden ist unser berechtigtes Interesse an der technischen Bereitstellung der Einwilligungssteuerung (Art. 6 Abs. 1 lit. f DSGVO); es findet keine Messung statt und es werden keine Cookies gesetzt. Soweit dabei nichts auf Ihrem Endgerät gespeichert oder ausgelesen wird, stützen wir uns zusätzlich auf § 25 Abs. 2 TTDSG.

Erst wenn Sie "Zustimmen" wählen, darf Google Cookies setzen und Ihre Besuche geräteübergreifend einer Kennung zuordnen. Rechtsgrundlage ist dann Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Wählen Sie "Ablehnen", wird die Ablehnung ausdrücklich im Google-Tag vermerkt, und es werden weiterhin keine Messdaten an Google gesendet. Bei einem späteren Widerruf beenden wir die Messung und löschen die Google-Analytics-Cookies (_ga, _ga_*) auf diesem Gerät.

Wir haben die an Google übermittelten Angaben technisch begrenzt: Die automatische Erfassung der vollständigen Adresse, des Verweises von der vorherigen Seite und des Seitentitels ist abgeschaltet und durch bereinigte Werte ersetzt. Übermittelt werden Herkunft und Pfad der aufgerufenen Seite ohne Abfrageparameter. Inhalte, die Sie eingeben – etwa Strukturen im Struktureditor, Dateinamen oder Formulartexte – erreichen Google dadurch nicht. Die IP-Adresse wird gekürzt.

Wenn Sie "Zustimmen" wählen, zählen wir zusätzlich Seitenaufrufe auf unserem eigenen Server (dashboard.covasyn.com), um nachvollziehen zu können, über welchen Weg Besucher zu uns finden. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TTDSG). Die Daten verlassen unsere eigene Infrastruktur nicht.

Zusätzlich betreiben wir eine selbst gehostete, cookielose Messung (Umami) auf eigener Infrastruktur in Deutschland. Diese verwendet weder Cookies noch andere auf Ihrem Gerät gespeicherte Kennungen und übermittelt keine Daten an Dritte; sie läuft unabhängig von Ihrer Cookie-Auswahl auf Grundlage unseres berechtigten Interesses an aggregierter, nicht personenbezogener Nutzungsstatistik (Art. 6 Abs. 1 lit. f DSGVO).

Cloudflare Turnstile. Zum Schutz unserer Formulare (Registrierung, Passwort zurücksetzen, AVV-Anfrage, Kontaktformular, Newsletter) vor automatisierten Einsendungen setzen wir den Sicherheitsdienst Turnstile der Cloudflare, Inc. ein. Das Skript wird erst geladen, wenn Sie mit einem dieser Formulare interagieren, und dabei von Cloudflare abgerufen. Beim Absenden prüft unser Server das von Turnstile ausgestellte Prüfzeichen bei Cloudflare und übermittelt dafür das Prüfzeichen und die IP-Adresse der Anfrage. Zweck ist ausschließlich die Abwehr von Bots und Missbrauch. Rechtsgrundlage ist unser berechtigtes Interesse an Bot-Abwehr und Missbrauchsschutz (Art. 6 Abs. 1 lit. f DSGVO).

Übersicht der Cookies und Speichereinträge

Stand 13. September 2026. Einträge mit "Ja" in der letzten Spalte werden erst gesetzt, nachdem Sie "Zustimmen" gewählt haben, und bei "Ablehnen" oder einem Widerruf wieder entfernt.

Sie können Ihre Cookie-Auswahl jederzeit über "Cookie-Einstellungen" im Footer dieser Seite ändern oder widerrufen (Widerspruchsrecht nach Art. 21 DSGVO bzw. Widerruf nach Art. 7 Abs. 3 DSGVO). Der Widerruf wirkt für die Zukunft und beendet die Zählung der Seitenaufrufe auf diesem Gerät.

8. Internationale Datentransfers

Wenn Sie CovaSyn über die ChatGPT-Integration nutzen, empfängt OpenAI (USA) Ihren Tool-Aufruf als Bestandteil des ChatGPT-Flows. Dieser Transfer wird durch die Vereinbarungen geregelt, die OpenAI mit Ihnen selbst getroffen hat, sowie durch den EU–U.S. Data Privacy Framework, unter dem OpenAI selbstzertifiziert ist.

Soweit wir US-basierte Auftragsverarbeiter einsetzen (z.B. Stripe, Supabase, Resend, Cloudflare, Anthropic, Twilio SendGrid), beruhen Transfers auf Standardvertragsklauseln (SCC) gemäss Art. 46 Abs. 2 lit. c DSGVO und, sofern anwendbar, auf dem EU–U.S. Data Privacy Framework. Aus der Reichweitenmessung dieser Website findet eine Übermittlung in die USA statt, soweit Google Ireland Limited Daten an Google LLC weitergibt; Grundlage sind Standardvertragsklauseln und das EU–U.S. Data Privacy Framework. Vor Ihrer Einwilligung gehen keine Messdaten an Google; technisch bedingt erhält Google dann nur die IP-Adresse beim Abruf des Skripts. Die selbst gehostete Messung (Umami) und der eigene Aufruf-Zähler sind davon nicht betroffen: sie laufen ausschliesslich auf eigener Infrastruktur (siehe Abschnitt 7a).

9. Ihre Rechte (Art. 15–22 DSGVO)

Sie haben das Recht auf:

• Auskunft über die zu Ihrer Person gespeicherten Daten (Art. 15)
• Berichtigung unrichtiger Daten (Art. 16)
• Löschung (Art. 17), vorbehaltlich gesetzlicher Aufbewahrungspflichten
• Einschränkung der Verarbeitung (Art. 18)
• Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21)
• Widerruf einer Einwilligung jederzeit, ohne dass die Rechtmässigkeit der bisherigen Verarbeitung berührt wird
• Beschwerde bei einer Aufsichtsbehörde. Zuständig für die CovaSyn GmbH ist der Sächsische Datenschutzbeauftragte, Bernhard-von-Lindenau-Platz 1, 01067 Dresden.

Anfragen richten Sie bitte an info@covasyn.com. Wir antworten innerhalb eines Monats gemäss Art. 12 Abs. 3 DSGVO.

10. Sicherheit

Wir setzen TLS 1.3 für sämtliche Daten in Übertragung ein. Die Authentifizierung erfolgt über Bearer-Token via HTTPS; API-Schlüssel werden als Argon2id-Hashes gespeichert. Interne Systeme arbeiten nach dem Prinzip der minimalen Berechtigung, alle Storage-Volumes nutzen Full-Disk-Verschlüsselung, und wir führen regelmässig Sicherheits-Reviews durch. Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigen wir betroffene Nutzerinnen und Nutzer sowie die zuständige Aufsichtsbehörde innerhalb von 72 Stunden ab Kenntniserlangung (Art. 33–34 DSGVO).

Weitere Details zur Sicherheitsarchitektur finden Sie auf der Security-Seite.

11. Kinder

CovaSyn richtet sich an den professionellen Einsatz in Chemie und pharmazeutischer Forschung & Entwicklung. Es richtet sich nicht an Kinder unter 16 Jahren, und wir verarbeiten wissentlich keine Daten von Kindern.

12. Änderungen

Wesentliche Änderungen dieser Erklärung veröffentlichen wir mindestens 30 Tage vor ihrem Wirksamwerden auf dieser Seite. Die weitere Nutzung nach dem Geltungsbeginn gilt als Zustimmung.

13. Datenschutzbeauftragter

Die CovaSyn GmbH liegt derzeit unter den gesetzlichen Schwellenwerten für die verpflichtende Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO in Verbindung mit § 38 BDSG. Wir haben daher derzeit keinen Datenschutzbeauftragten bestellt. Alle Datenschutz-Anfragen und Betroffenenrechte werden durch die Geschäftsführung unter info@covasyn.com bearbeitet. Sollten wir den Schwellenwert überschreiten oder Verarbeitungstätigkeiten aufnehmen, die einen Datenschutzbeauftragten erfordern, werden wir einen bestellen und diesen Abschnitt entsprechend aktualisieren.