Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:

2. Übersicht der Datenverarbeitung

idea q ist eine Plattform zur Verwaltung und Validierung von Ideen. Bei der Nutzung werden folgende Daten erhoben:

• E-Mail-Adresse (für Account und Login)
• Name (optional, für Anzeige)
• Passwort (verschlüsselt gespeichert, bcrypt)
• Von dir erstellte Ideen, Bewertungen und Kommentare
• Freundschaftsverbindungen und Projekt-Mitgliedschaften
• IP-Adresse und User-Agent (in der Session-Tabelle, für Sicherheit und Missbrauchserkennung, gelöscht nach Session-Ablauf)
• IP-Adresse im Arbeitsspeicher des Servers — eine Missbrauchsbremse zählt Anmeldeversuche je Adresse. Die Einträge liegen nicht in der Datenbank, werden längstens eine Stunde vorgehalten und verschwinden bei jedem Neustart des Servers.
• Nutzungsdaten (siehe Abschnitt 5)

3. Rechtsgrundlagen

Die Verarbeitung deiner Daten erfolgt auf Grundlage von:

• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung des Dienstes, E-Mail-Benachrichtigungen zu Aufgaben und Projekt-Einladungen)
• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (bei Registrierung erteilt)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse (Produktanalyse und -verbesserung)

4. Cookies & lokale Speicherung

idea q verwendet ausschließlich technisch notwendige Cookies:

Session-Cookies sind für den Betrieb der Website erforderlich und können nicht deaktiviert werden. Es werden keine Tracking- oder Werbe-Cookies verwendet.

5. Nutzungsanalyse

Wir verwenden Uptik, einen externen Analysedienst, um die Nutzung von idea q zu verstehen und das Produkt zu verbessern. Es werden dabei keine Tracking-Cookies gesetzt.

Die Erfassung erfolgt serverseitig und umfasst folgende Daten:

• Aufgerufene Seiten (Seitenaufrufe pro Pfad)
• Verwendete Login-Methode (z. B. E-Mail, Google, GitHub)
• Zeitpunkt des Seitenaufrufs

Die Zuordnung erfolgt über eine pseudonyme Nutzer-ID – E-Mail-Adresse oder Name werden nicht in die Analyse übertragen. Für nicht angemeldete Besucher wird ein anonymer Platzhalter verwendet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung unseres Produkts).

6. Authentifizierung & OAuth

Neben der Anmeldung per E-Mail und Passwort bieten wir OAuth-Login über Google und GitHub an. Dabei werden folgende Daten vom jeweiligen Anbieter abgerufen:

• Google: E-Mail-Adresse, Name, Profilbild (Scopes: openid, email, profile)
• GitHub: E-Mail-Adresse, Name, Profilbild (Scopes: read:user, user:email)

Wir speichern nur die für den Login notwendigen Daten (E-Mail, Name). Access-Tokens werden verschlüsselt gespeichert und nur zur Authentifizierung verwendet.

6b. Wenn du uns schreibst

Schreibst du an hello@ideaq.io, verarbeiten wir deine Nachricht samt Absenderadresse, um sie zu beantworten (Art. 6 Abs. 1 lit. b und f DSGVO). Es gibt dafür kein Formular auf dieser Seite — die Nachricht läuft über deinen eigenen Mail-Anbieter in das Postfach des Betreibers und liegt dort, bis sie von Hand gelöscht wird. Eine automatische Frist gibt es nicht. Betrifft die Nachricht ein Vertrags- oder Rechnungsverhältnis, greifen die gesetzlichen Aufbewahrungspflichten.

7. Hosting

Diese Website wird bei Railway (Railway Corporation, USA) gehostet. Beim Besuch der Website können automatisch Informationen in Server-Logfiles gespeichert werden:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• Aufgerufene Seite
• Browser und Betriebssystem

Die Datenübertragung in die USA erfolgt auf Grundlage des EU-US Data Privacy Framework.

8. Weitergabe an Dritte & Auftragsverarbeiter

Deine Daten werden nicht an Dritte verkauft oder zu Werbezwecken weitergegeben. Zur Bereitstellung des Dienstes setzen wir folgende Auftragsverarbeiter ein:

Eine Weitergabe an weitere Dritte erfolgt nur bei gesetzlicher Verpflichtung.

8b. Was andere über die Schnittstelle abrufen können

idea q hat eine dokumentierte Schnittstelle (/api/v1) und einen MCP-Server. Wer einen API-Schlüssel für ein Projekt besitzt — das können du selbst, andere Mitglieder oder ein von euch eingerichteter Bot sein — kann damit lesend abrufen:

• Tickets samt Titel, Beschreibung, Status und Historie
• Kommentare an Tickets, mit Verfassernamen
• Mitgliederlisten mit Name und E-Mail-Adresse aller Mitglieder des Projekts
• Ideen, Bewertungen, Labels, Epics, Konzepte und verknüpfte Links
• angehängte Bilder — der MCP-Server gibt sie als Bildinhalt heraus, damit ein KI-Agent sie ansehen kann

Der Zugriff ist auf das jeweilige Projekt begrenzt: Ein Schlüssel kommt nur an Daten der Projekte, auf die sein Inhaber ohnehin Zugriff hat. Innerhalb eines Projekts gibt es aber keine weitere Abgrenzung — wer dort mitarbeitet, kann über die Schnittstelle dieselben Daten lesen wie in der Oberfläche, einschließlich der E-Mail-Adressen der anderen Mitglieder. Wer das nicht möchte, sollte kein gemeinsames Projekt mit dieser Person teilen.

Verbindung per Anmeldung statt Schlüssel: Der MCP-Server ist auch direkt unter https://ideaq.io/mcp erreichbar. KI-Clients wie claude.ai können sich dort ohne API-Schlüssel verbinden: Du meldest dich bei idea q an und bestätigst die Verbindung ausdrücklich (OAuth). Der Client erhält damit dieselben Rechte wie ein API-Schlüssel deines Kontos. Wir speichern dazu den Namen und die Rücksprungadressen, die der Client selbst angibt, und je Verbindung dein Konto, den Zeitpunkt der Verbindung und der letzten Nutzung sowie Prüfwerte (Hashes) der ausgegebenen Zugangsdaten, nicht die Zugangsdaten selbst. Unter Einstellungen → „Verbundene Anwendungen“ siehst du alle Verbindungen und kannst jede sofort trennen.

Wichtig zum MCP-Server: Er übergibt Ticketinhalte und Bilder an den KI-Client, den der Schlüsselinhaber benutzt. Welches Modell das ist und wo es betrieben wird, entscheidet dieser Mensch, nicht idea q. Siehe auch Abschnitt 8 zur KI-Einordnung.

9. E-Mail-Benachrichtigungen

idea q versendet folgende E-Mails:

• Transaktions-E-Mails: E-Mail-Verifizierung, Passwort-Reset (erforderlich für den Betrieb)
• Produkt-Benachrichtigungen: Task-Zuweisung, Kommentare, Projekt-Einladungen, geteilte Ideen, Fälligkeitserinnerungen (basierend auf deinen Aktionen innerhalb der Plattform)

Produkt-Benachrichtigungen können nicht einzeln deaktiviert werden, da sie direkt an deine Aktivitäten gebunden sind. Wenn du keine Benachrichtigungen mehr erhalten möchtest, kannst du deinen Account unter Einstellungen löschen.

10. Feedback Widget

idea q bietet ein einbettbares Feedback-Widget an, das auf externen Websites integriert werden kann. Bei der Nutzung des Widgets werden folgende Daten verarbeitet:

• Besucherkennung: Eine zufällige UUID wird im localStorage des Browsers gespeichert, um wiederkehrende Besucher zuordnen zu können. Diese ID ist nicht mit einem idea q-Account verknüpft.
• Feedback-Text: Der vom Besucher eingegebene Text und optionale Schmerzwertung
• Seiten-URL: Herkunft und Pfad der Seite, auf der das Feedback abgegeben wurde — ohne Suchparameter und ohne Anker (also ohne alles hinter ? und #)
• Technische Angaben: Browser-Kennung, Fenstergröße, Zeitpunkt sowie Fehlermeldungen aus der Browser-Konsole, gekürzt auf Fehlerart, erste Meldungszeile und Fundstelle. Objekte, die eine Anwendung in die Konsole schreibt, werden nicht übernommen.
• Screenshot: Nur wenn der Besucher ihn aktiv anhakt. Das Häkchen ist standardmäßig aus und mit dem Hinweis versehen, dass ein Screenshot Gesundheitsdaten zeigen kann. Die einbettende Website kann die Aufnahme nicht auslösen — wir nehmen nur auf, wenn das Häkchen von einem Menschen bedient wird; ein programmatischer Klick bleibt wirkungslos. Was eine App in ihrer eigenen Oberfläche anbietet, können wir nicht erzwingen: Zeigt sie dort ein zusätzliches Häkchen für Screenshots, steht dessen Wirkung in ihrer eigenen Datenschutzerklärung.
• E-Mail-Adresse: Nur bei expliziter Einwilligung des Besuchers, zur Benachrichtigung bei Statusänderungen

Es werden keine IP-Adressen vom Widget erfasst. Die Besucherkennung kann durch Löschen des localStorage im Browser entfernt werden. Das Widget lädt alle benötigten Dateien von idea q selbst — es werden keine fremden CDNs, Schriften oder Skripte aus dem Browser des Besuchers abgerufen.

Screenshots und andere Bilder liegen in einem nicht öffentlichen Objektspeicher. Sie sind nur über eine Anmeldung erreichbar und nur für Mitglieder des Projekts, zu dem das Ticket gehört; der Abruf läuft über kurzlebige, signierte Links.

Wenn du über ein solches Widget etwas gemeldet hast: Du hast bei idea q kein Konto, mit dem du deine Meldung selbst löschen könntest. Löschen kann sie der Inhaber des Projekts, in dem sie gelandet ist — also der Betreiber der Website, auf der du das Widget benutzt hast. Du kannst dich auch an uns wenden (hello@ideaq.io); wir leiten die Anfrage weiter oder löschen selbst, wenn wir die Meldung zuordnen können. Eine automatische Frist gibt es nicht.

11. Speicherdauer

Deine Daten werden gespeichert, solange dein Account besteht. Konkrete Fristen:

• Sessions: Ablauf 30 Tage nach der letzten Nutzung, danach automatisch ungültig
• Verifizierungs-Links: 24 Stunden gültig
• Passwort-Reset-Links: 1 Stunde gültig
• Account-Daten: Bis zur Löschung durch den Nutzer
• Missbrauchsbremse (IP im Arbeitsspeicher): längstens 1 Stunde, spätestens mit dem nächsten Serverneustart
• Verbindungen von KI-Clients (MCP): Zugangstoken gelten 1 Stunde, eine Verbindung 30 Tage ab ihrer letzten Erneuerung, insgesamt höchstens 90 Tage. Einmal-Codes aus der Anmeldung gelten 10 Minuten. Getrennte Verbindungen löschen wir sofort, abgelaufene, sobald das nächste Mal ein Client eine Verbindung aufbaut. Mit deinem Account werden alle deine Verbindungen gelöscht.
• E-Mails an uns: im Postfach des Betreibers, bis sie von Hand gelöscht werden — keine automatische Frist
• Feedback-Tickets und Screenshots: Bis zur Löschung durch den Projektinhaber. Eine automatische Löschfrist gibt es nicht. Entfernt er ein Bild aus einem Ticket, wird es auch im Objektspeicher gelöscht. Löscht er seinen Account, werden das Ticket und der Verweis auf den Screenshot entfernt — die Bilddatei im Objektspeicher wird dabei nicht automatisch mitgelöscht. Sie ist danach über die Anwendung nicht mehr abrufbar, weil die Zugriffsprüfung an dem Projekt hängt, das mit dem Account gelöscht wird.

Du kannst deinen Account jederzeit selbst löschen unter Einstellungen. Bei der Löschung werden alle personenbezogenen Daten in der Datenbank unwiderruflich entfernt, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Von dir hochgeladene Bilddateien im Objektspeicher werden dabei nicht automatisch mitgelöscht; sie sind danach über die Anwendung nicht mehr abrufbar. Wenn du auch sie gelöscht haben möchtest, schreib uns vor der Account-Löschung an die oben genannte Adresse.

12. Deine Rechte

Du hast folgende Rechte bezüglich deiner Daten:

• Auskunft (Art. 15) – Welche Daten über dich gespeichert sind
• Berichtigung (Art. 16) – Korrektur falscher Daten (in den Einstellungen)
• Löschung (Art. 17) – Self-Service Account-Löschung in den Einstellungen
• Einschränkung (Art. 18) – Begrenzung der Verarbeitung
• Datenübertragbarkeit (Art. 20) – JSON-Export in den Einstellungen. Er enthält dein Profil, deine Ideen, Bewertungen, Ideen-Kommentare, die Namen deiner Feedback-Projekte und deiner API-Schlüssel sowie dein Abonnement. Nicht enthalten sind Tasks, Task-Kommentare, Boards, Projekte und hochgeladene Bilder; Freundschaften, Freigaben und Projekt-Mitgliedschaften nur als Anzahl. Willst du auch diese Daten, schreib uns an die oben genannte Adresse — wir stellen sie von Hand zusammen.
• Widerspruch (Art. 21) – Gegen bestimmte Verarbeitungen

Die Rechte auf Löschung und Datenübertragbarkeit kannst du direkt in den Einstellungen ausüben. Für alle weiteren Anfragen kontaktiere uns unter: hello@ideaq.io

13. Beschwerderecht

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Die zuständige Behörde ist:

14. Änderungen

Diese Datenschutzerklärung kann gelegentlich aktualisiert werden. Die aktuelle Version findest du immer auf dieser Seite.

Stand: Oktober 2026