Prompt Maker Studio

Datenschutzerklärung

Stand: 25. Oktober 2026 · English version below

1. Verantwortlicher

Christopher Julian Filsinger, Kulmbacher Str. 12, 10777 Berlin, Deutschland
E-Mail: contact@neadlab.com

2. Überblick

Prompt Maker Studio ist ein Arbeitsbereich zum Erstellen, Testen und Verwalten von Prompts für KI-Sprachmodelle. Personenbezogene Daten werden nur verarbeitet, soweit dies für den Betrieb der Website und die Bereitstellung der Funktionen erforderlich ist. Es werden keine Werbedienste oder Dienste zur Verfolgung einzelner Nutzer eingesetzt und keine werblichen Nutzungsprofile erstellt. Schriften und andere Seiteninhalte werden von unserer eigenen Website ausgeliefert. Technische Betriebsstatistiken sind in Abschnitt 4 beschrieben; die optionalen KI-Funktionen und die ChatGPT-Anbindung in den Abschnitten 8 und 8a.

3. Hosting

Die Anwendung wird auf Servern von Amazon Web Services betrieben (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg) und zwar in der Region Frankfurt am Main (eu-central-1). Die Anwendungsdatenbank wird dort gespeichert. Übermittlungen an weitere Empfänger sind in den folgenden Abschnitten beschrieben. Mit AWS besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Ein Zugriff der US-Muttergesellschaft Amazon.com, Inc. ist nicht auszuschließen; diese ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren und zuverlässigen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

4. Aufruf der Website und Server-Protokolle

Beim Aufruf der Website verarbeitet der Server technisch notwendige Verbindungsdaten, einschließlich Ihrer IP-Adresse, um die Seiten auszuliefern und Missbrauch abzuwehren. Die IP-Adresse wird insbesondere zur Begrenzung von Anmeldeversuchen und anderen Anfragen verwendet.

Die Backend-Protokolle enthalten technische Ereignisse, Zeitstempel, Anfragekennungen, HTTP-Methoden, Routenvorlagen, Statuscodes sowie Angaben zu Dauer und Ergebnis von Vorgängen. Sie enthalten keine IP-Adressen, vollständigen aufgerufenen URLs oder Anfrageinhalte wie Prompt-Texte, Passwörter und API-Schlüssel. Die Container-Protokolle sind auf jeweils drei Dateien mit bis zu 10 MB begrenzt; ältere Einträge werden bei der Rotation überschrieben. Die Aufbewahrungsdauer hängt daher vom Protokollaufkommen ab.

Wenn die optionale Betriebsüberwachung mit Prometheus und Grafana aktiviert ist, werden zusammengefasste Kennzahlen zu Anfragen, Fehlern, Antwortzeiten, Funktionsaufrufen und KI-Nutzung sowie Gesamtzahlen von Konten und Prompts erfasst. Diese Kennzahlen enthalten keine Nutzerkennungen, IP-Adressen oder Prompt-Inhalte und werden nicht einzelnen Konten zugeordnet. Prometheus bewahrt sie nach der vorgesehenen Konfiguration 30 Tage auf. Historische aggregierte Kennzahlen werden bei einer Kontolöschung nicht nachträglich vermindert.

Diese Verarbeitung dient dem sicheren und zuverlässigen Betrieb, der Fehleranalyse und der Missbrauchsabwehr. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

5. Cookies und lokaler Speicher

Die Anwendung verwendet ausschließlich technisch notwendige Cookies:

  • access_token: hält Sie nach der Anmeldung angemeldet. Das Cookie ist für Skripte nicht lesbar (httpOnly) und hat eine konfigurierte Laufzeit von standardmäßig 30 Minuten. Beim Abmelden wird es gelöscht. Das Schließen des Browsers ist nicht der von der Anwendung festgelegte Ablaufzeitpunkt.
  • csrf_token: schützt vor gefälschten Anfragen (Cross-Site Request Forgery) und hat dieselbe Laufzeit.

Außerdem speichert die Anwendung im lokalen Speicher Ihres Browsers (localStorage und sessionStorage) das gewählte Farbschema, nicht gespeicherte Entwürfe einschließlich noch nicht abgeschlossener Prompt-Importe, auf Wunsch Eingabewerte für Variablen, den Ablaufzeitpunkt der Sitzung sowie einzelne Oberflächenzustände (z. B. ausgeblendete Hinweise). Diese lokalen Einträge dienen der Darstellung und Wiederherstellung Ihrer Arbeit. Entwurfsinhalte werden an unseren Server übermittelt, wenn Sie sie speichern oder eine Funktion aufrufen, die sie benötigt. Bei KI-Funktionen werden die erforderlichen Inhalte außerdem gemäß Abschnitt 8 an den jeweiligen KI-Anbieter übermittelt. Wenn Sie Eingabewerte ausdrücklich als Beispiele speichern, werden sie Bestandteil der gespeicherten Variablenangaben.

Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, da diese Informationen für den von Ihnen gewünschten Dienst unbedingt erforderlich sind; für die anschließende Verarbeitung Art. 6 Abs. 1 lit. b DSGVO. Eine Einwilligung ist hierfür nicht erforderlich.

6. Registrierung und Nutzerkonto

Für die Nutzung des Arbeitsbereichs ist ein Konto erforderlich. Dabei verarbeiten wir Benutzername, E-Mail-Adresse, Passwort (ausschließlich als kryptografischer Hash gespeichert), eine interne Kontokennung, Registrierungszeitpunkt sowie Ihre Einstellungen, etwa die bevorzugte Bibliotheksansicht. Die E-Mail-Adresse wird für das Zurücksetzen des Passworts und für einen Sicherheitshinweis an die bisherige Adresse verwendet, wenn Sie Ihre Konto-E-Mail-Adresse ändern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Die Daten werden gespeichert, bis Sie Ihr Konto löschen. Das können Sie jederzeit unter Settings selbst tun; dabei werden das Konto und alle zugehörigen Inhalte aus der Anwendungsdatenbank entfernt. Zu Sicherungskopien siehe Abschnitt 11, zu bereits an ChatGPT übermittelten Daten Abschnitt 8a.

7. Inhalte in Ihrem Arbeitsbereich

Wir speichern die Inhalte, die Sie anlegen: benannte Prompt-Abschnitte und deren Versionen, Ordnerzuordnungen und Favoriten, Variablenbeschreibungen und ausdrücklich gespeicherte Beispielwerte, Testfälle, Bewertungsergebnisse und dazugehörige Modellausgaben sowie Nutzungsdaten zu KI-Aufrufen (Modell, Tokenanzahl, geschätzte Kosten, Zeitpunkt). Bereits vorhandene Eingaben und Ausgaben aus dem früheren Playground können weiterhin gespeichert sein. Diese Daten dienen der Bereitstellung der Funktionen und der Kostenbegrenzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gespeicherte Inhalte bleiben erhalten, bis Sie sie oder Ihr Konto löschen; zu Sicherungskopien siehe Abschnitt 11.

Bei der Funktion „Try once“ werden der eingegebene Text und die Modellausgabe nicht als Ausführung in unserer Datenbank gespeichert. Nutzungs- und Kostendaten zu diesem Aufruf werden gespeichert; für die Verarbeitung durch den KI-Anbieter gilt Abschnitt 8. Auch beim Einfügen oder Verfeinern eines Prompts ist eine erfolgreiche KI-Antwort nicht gleichbedeutend mit dem Speichern des Entwurfs in Ihrer Bibliothek.

Bitte geben Sie in Prompts keine personenbezogenen Daten Dritter ein, sofern Sie dazu nicht berechtigt sind.

8. KI-Funktionen und Anbieterverbindungen

Die KI-Funktionen umfassen insbesondere das Umwandeln eingefügter Texte in Prompt-Vorlagen, das Verfeinern von Prompts, „Try once“ sowie das Erstellen und Ausführen von Bewertungen. Sie können dafür einen eigenen Anbieter einrichten, etwa OpenAI, Anthropic, Google oder einen eigenen kompatiblen Endpunkt. Wir speichern Anbieter, Endpunkt-Adresse, Modell und gegebenenfalls Ihren API-Schlüssel. Der API-Schlüssel wird verschlüsselt gespeichert; an Ihren Browser wird nur ein gekürzter Hinweis zur Wiedererkennung übermittelt, nie der Schlüssel selbst. Wenn Sie für Anthropic eine optionale Workspace-ID hinterlegen, speichern wir diese und übermitteln sie bei Anfragen an den offiziellen Anthropic-Endpunkt zur Auswahl Ihres Workspaces. Beim Trennen Ihrer KI-Verbindung werden die gespeicherten Verbindungsdaten einschließlich API-Schlüssel und Workspace-ID entfernt.

Die Anwendung unterstützt außerdem eine vom Betreiber bereitgestellte Standardverbindung. Wenn diese auf der Instanz eingerichtet ist und Sie keine nutzbare eigene Verbindung haben, werden KI-Aufrufe über diese Standardverbindung ausgeführt. Die Einstellungen zur KI-Verbindung zeigen den Anbieter und das Modell einer eingerichteten Standardverbindung an. Bei einer eigenen Verbindung richtet sich die weitere Verarbeitung nach Ihrem Vertrag mit dem Anbieter und dessen Datenschutzbestimmungen. Bei einer vom Betreiber bereitgestellten Verbindung erfolgt die Nutzung über die vom Betreiber eingerichtete Verbindung; ein eigener Vertrag Ihrerseits mit diesem Anbieter wird dafür nicht vorausgesetzt.

Wenn Sie eine KI-Funktion oder einen Verbindungstest ausführen, übermittelt unser Server die dafür nötigen Inhalte an den verwendeten Endpunkt. Dazu gehören je nach Funktion Prompt-Text, eingefügter Ausgangstext, Eingabevariablen, Antworten auf Rückfragen, Testeingaben, Bewertungskriterien und zu bewertende Modellausgaben. Ein Verbindungstest verwendet einen kurzen technischen Testtext. Die Verarbeitung erfolgt auf Ihre Veranlassung zur Bereitstellung der gewünschten Funktion (Art. 6 Abs. 1 lit. b DSGVO). Empfänger ist der jeweils verwendete KI-Anbieter bzw. der Betreiber des eingerichteten Endpunkts. Je nach Anbieter kann eine Verarbeitung außerhalb der EU, insbesondere in den USA, stattfinden. Die Prompt-Bibliothek kann auch ohne KI-Verbindung genutzt werden.

8a. Optionale Verbindung mit ChatGPT

Sie können Ihr Konto über OAuth mit ChatGPT verbinden. Die Verknüpfung wird erst nach Ihrer Freigabe eingerichtet. Wir speichern Registrierungsdaten des verbundenen Clients, darunter seine Kennung und Rückleitungsadressen, sowie die Zuordnung der Zugriffsberechtigung zu Ihrem Konto. Autorisierungscodes und Refresh-Tokens werden bei uns nur als kryptografische Prüfwerte gespeichert; außerdem werden technische Angaben wie Berechtigungsumfang und Ablaufzeitpunkte verarbeitet. Zugriffstokens sind eine Stunde gültig, Autorisierungscodes fünf Minuten und Refresh-Tokens 30 Tage; Refresh-Tokens werden bei Verwendung ersetzt. Diese Gültigkeitsfristen bedeuten nicht, dass sämtliche zugehörigen Datenbankeinträge zu diesem Zeitpunkt automatisch gelöscht werden. Ihrem Konto zugeordnete Verknüpfungsdaten werden bei der Kontolöschung entfernt.

Nach der Verknüpfung kann ChatGPT Ihre Prompt-Bibliothek auflisten, einzelne Prompts samt Abschnitten, Variablenangaben und Metadaten abrufen, Prompts speichern und ändern sowie frühere Versionen abrufen. Dabei werden je nach aufgerufener Funktion Prompt-Namen und -Kennungen, Abschnitte und gerenderte Prompt-Texte, Ordnerzuordnungen, Favoritenstatus, Variablenbeschreibungen und gespeicherte Beispielwerte sowie frühere Versionen, Versionsnummern, Benutzernamen der Versionsautoren, Änderungsnotizen und zugehörige Zeitstempel ausgetauscht. Kennungen dienen der Auswahl des Prompts, Zeitstempel unter anderem dem Schutz vor dem Überschreiben zwischenzeitlicher Änderungen. Abgerufene Daten werden an OpenAI als Anbieter von ChatGPT übermittelt; von ChatGPT zum Speichern oder Ändern übermittelte Inhalte werden in Ihrer Bibliothek verarbeitet. Unser MCP-Endpunkt verarbeitet die Argumente des jeweiligen Werkzeugaufrufs und ruft nicht selbst den vollständigen Chatverlauf ab. Die Bibliotheksfunktionen selbst führen keine zusätzlichen KI-Aufrufe unseres Servers aus und benötigen keine eigene KI-Anbieterverbindung.

Die Verarbeitung zur Einrichtung und Nutzung dieser von Ihnen angeforderten Verbindung erfolgt zur Bereitstellung der Funktion (Art. 6 Abs. 1 lit. b DSGVO). Für die ChatGPT-Anbindung wird keine ausschließliche Speicherung oder Verarbeitung innerhalb der EU bzw. des EWR zugesichert. OpenAI kann die übermittelten Daten auch in den USA und anderen Ländern verarbeiten und speichern. Dies ändert nicht den in Abschnitt 3 beschriebenen Standort unserer Anwendungsdatenbank. Die weitere Verarbeitung bei OpenAI, einschließlich Aufbewahrung, Löschung und einer möglichen Nutzung zur Verbesserung von Modellen, richtet sich nach den für Ihr ChatGPT-Konto geltenden Bedingungen, Einstellungen und Datenschutzhinweisen von OpenAI. Die dort beschriebenen Regelungen zu internationalen Datenübermittlungen gelten für die Verarbeitung durch OpenAI; wir geben hierfür keine eigene Zusage einer bestimmten Speicherregion oder Aufbewahrungsfrist ab.

Sie können die Verbindung in ChatGPT entfernen. Serverseitig widerrufen Sie den Zugriff aller verbundenen Clients mit „Sign out everywhere“ in Settings oder durch Ändern bzw. Zurücksetzen Ihres Passworts. Dadurch werden künftige Zugriffe mit den bisherigen Zugangsdaten verhindert. Das Entfernen der Verbindung löscht Ihre gespeicherten Prompts nicht. Sie können Prompts in unserer Webanwendung verwalten und löschen oder Ihr Konto samt zugehörigen Inhalten unter Settings löschen. Bereits an ChatGPT übermittelte Inhalte werden dadurch nicht aus dortigen Unterhaltungen gelöscht; deren Verwaltung und Löschung erfolgt über ChatGPT.

8b. Kostenloser Prompt-Verbesserer ohne Anmeldung

Unter „Tools“ können Sie einen Prompt ohne Konto verbessern lassen. Dazu werden der von Ihnen eingefügte Text und gegebenenfalls Ihre Antworten auf Rückfragen an unseren Server übermittelt und von dort über unsere eigene Verbindung an unseren KI-Anbieter OpenAI weitergeleitet, der daraus Rückfragen bzw. einen überarbeiteten Entwurf erzeugt. Für diese Übermittlung an OpenAI gelten die Angaben in Abschnitt 8 zur Standardverbindung entsprechend, einschließlich der Hinweise zu Drittlandübermittlungen. Bitte fügen Sie keine personenbezogenen oder vertraulichen Daten ein.

Wir speichern weder den eingefügten Text noch die erzeugten Ergebnisse noch Angaben zu Ihrer Person. Für die Abrechnung und tägliche Obergrenzen speichern wir je Aufruf nur Art des Aufrufs, Modell, Tokenanzahl, Kosten und Zeitpunkt, ohne Bezug zu Ihnen. Zum Schutz vor Missbrauch wird Ihre IP-Adresse ausschließlich im Arbeitsspeicher des Servers zur Begrenzung der Aufrufzahl verarbeitet und nach Ablauf des jeweiligen Zeitfensters (höchstens einen Tag) bzw. bei einem Neustart verworfen; sie wird nicht in Protokolle oder die Datenbank geschrieben. Ihr Browser kann den eingefügten Text für die Dauer der Sitzung lokal zwischenspeichern (Session Storage), etwa wenn Sie ihn aus einem anderen Werkzeug übernehmen oder in den Editor übertragen.

Rechtsgrundlage ist unser berechtigtes Interesse, eine kostenlose Funktion anzubieten und sie vor Missbrauch und übermäßigen Kosten zu schützen (Art. 6 Abs. 1 lit. f DSGVO), bzw. die Durchführung der von Ihnen angeforderten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

9. E-Mail-Versand

Für den Versand von Passwort-Zurücksetzungslinks und Sicherheitshinweisen an die bisherige Adresse bei einer Änderung Ihrer Konto-E-Mail-Adresse nutzen wir Brevo (Brevo SAS, 106 boulevard Haussmann, 75008 Paris, Frankreich). Dabei werden die Empfängeradresse, der Inhalt der Nachricht und technische Versanddaten verarbeitet. Der Sicherheitshinweis enthält einen teilweise unkenntlich gemachten Hinweis auf die neue Konto-E-Mail-Adresse. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Wochenübersichten und Benachrichtigungen zu Testläufen werden nicht versendet.

10. Kontakt per E-Mail

Wenn Sie uns per E-Mail kontaktieren, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO, sonst Art. 6 Abs. 1 lit. f DSGVO). Für das Kontaktpostfach contact@neadlab.com nutzen wir Gmail von Google. Dabei verarbeitet Google die Absender- und Empfängeradresse, gegebenenfalls Ihren Namen, Betreff, Nachrichteninhalt, Anhänge und technische Zustellinformationen, soweit diese bei der Kommunikation anfallen. Eine Verarbeitung durch Google und verbundene Unternehmen kann auch außerhalb der EU bzw. des EWR, insbesondere in den USA, stattfinden; eine ausschließliche Speicherung in der EU wird für dieses Postfach nicht zugesichert. Für die Verarbeitung durch Google gelten die auf das verwendete Konto anwendbaren Vertragsbedingungen und Datenschutzhinweise. Google erläutert die verwendeten Übermittlungsmechanismen, darunter das EU-U.S. Data Privacy Framework und Standardvertragsklauseln, in seinen Informationen zu internationalen Datenübermittlungen. Wir löschen Anfragen, sobald sie erledigt sind und keine Aufbewahrungspflichten entgegenstehen.

11. Datensicherung

Zum Schutz vor Datenverlust wird die Datenbank täglich gesichert. Die Sicherungen liegen auf demselben Server in Frankfurt und werden nach 14 Tagen automatisch gelöscht. Gelöschte Daten können daher bis zu 14 Tage lang noch in Sicherungen enthalten sein. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

12. Ihre Rechte

Sie haben das Recht auf

  • Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO),
  • Berichtigung (Art. 16 DSGVO) und Löschung (Art. 17 DSGVO),
  • Einschränkung der Verarbeitung (Art. 18 DSGVO),
  • Datenübertragbarkeit (Art. 20 DSGVO),
  • Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus Ihrer besonderen Situation ergeben (Art. 21 DSGVO).

Wenden Sie sich dazu an contact@neadlab.com. Sie haben außerdem das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, zum Beispiel bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin.

Privacy policy

Last updated: 25 October 2026. This English translation is provided for convenience. The German version above is legally binding.

1. Controller

Christopher Julian Filsinger, Kulmbacher Str. 12, 10777 Berlin, Germany
Email: contact@neadlab.com

2. Overview

Prompt Maker Studio is a workspace for creating, testing and managing prompts for AI language models. Personal data is processed only as far as needed to run the website and provide its features. We use no advertising services or services that track individual users and create no advertising profiles. Fonts and other page content are served from our own website. Technical operational statistics are described in section 4; optional AI features and the ChatGPT connection are described in sections 8 and 8a.

3. Hosting

The application runs on Amazon Web Services servers (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxembourg) in the Frankfurt am Main region (eu-central-1), where the application database is stored. Transfers to other recipients are described in the following sections. A data processing agreement under Art. 28 GDPR is in place with AWS. Access by the US parent company Amazon.com, Inc. cannot be ruled out; it is certified under the EU-U.S. Data Privacy Framework (Art. 45 GDPR). The legal basis is our legitimate interest in secure and reliable operation (Art. 6(1)(f) GDPR).

4. Website access and server logs

When you access the website, the server processes technically necessary connection data, including your IP address, to deliver pages and prevent abuse. In particular, the IP address is used to limit sign-in attempts and other requests.

Backend logs contain technical events, timestamps, request identifiers, HTTP methods, route templates, status codes, and operation durations and outcomes. They do not contain IP addresses, full requested URLs or request content such as prompt text, passwords and API keys. Container logs are limited to three files of up to 10 MB each; older entries are overwritten during rotation. Retention therefore depends on the volume of logs.

If optional operational monitoring with Prometheus and Grafana is enabled, it collects aggregate metrics for requests, errors, response times, feature calls and AI usage, as well as total account and prompt counts. These metrics contain no user identifiers, IP addresses or prompt content and are not attributed to individual accounts. The intended Prometheus configuration retains them for 30 days. Historical aggregate metrics are not reduced retrospectively when an account is deleted.

This processing supports secure and reliable operation, error diagnosis and abuse prevention. The legal basis is Art. 6(1)(f) GDPR.

5. Cookies and local storage

The application uses only strictly necessary cookies:

  • access_token: keeps you signed in. Scripts cannot read it (httpOnly). It has a configured lifetime of 30 minutes by default and is removed when you sign out. Closing the browser is not the expiry mechanism set by the application.
  • csrf_token: protects against cross-site request forgery and has the same lifetime.

The application also uses your browser's local storage (localStorage and sessionStorage) for your colour-scheme preference, unsaved drafts including unfinished prompt imports, variable input values if you choose to remember them, the session expiry time and some interface state (e.g. dismissed notices). These local entries support presentation and recovery of your work. Draft content is sent to our server when you save it or invoke a feature that needs it. For AI features, the necessary content is also sent to the relevant AI provider as described in section 8. If you explicitly save input values as examples, they become part of the stored variable information.

Storing and reading this information is based on Section 25(2) no. 2 TDDDG because it is strictly necessary for the service you requested; subsequent processing is based on Art. 6(1)(b) GDPR. No consent is required.

6. Registration and user account

You need an account to use the workspace. We process your username, email address, password (stored only as a cryptographic hash), an internal account identifier, registration time and your settings, such as your preferred library view. Your email address is used for password resets and for a security notice to the previous address when you change your account email address. The legal basis is Art. 6(1)(b) GDPR.

This data is kept until you delete your account, which you can do at any time under Settings. Deleting the account removes it together with all associated content from the application database. For backups, see section 11; for data already sent to ChatGPT, see section 8a.

7. Content in your workspace

We store the content you create: named prompt sections and their versions, folder assignments and favourites, variable descriptions and explicitly saved example values, test cases, evaluation results and associated model outputs, and usage data for AI calls (model, token counts, estimated cost, time). Existing inputs and outputs from the former Playground may still be stored. This data is needed to provide the features and enforce spending limits. The legal basis is Art. 6(1)(b) GDPR. Stored content is kept until you delete it or your account; for backups, see section 11.

For Try once, the submitted text and model output are not saved as a run in our database. Usage and cost records for that call are stored; processing by the AI provider is described in section 8. Likewise, a successful AI response when pasting or refining a prompt does not itself save the draft to your library.

Please do not enter personal data of other people into prompts unless you are entitled to do so.

8. AI features and provider connections

AI features include converting pasted text into prompt templates, refining prompts, Try once, and creating and running evaluations. You can configure your own provider, such as OpenAI, Anthropic, Google or a compatible endpoint of your own. We store the provider, endpoint address, model and, where applicable, your API key. Your API key is stored encrypted; only a shortened hint for recognising it is sent to your browser, never the key itself. If you supply an optional Anthropic workspace ID, we store it and send it with requests to the official Anthropic endpoint to select your workspace. Disconnecting your AI connection removes the stored connection settings, including the API key and workspace ID.

The application also supports an operator-provided default connection. If one is configured on the instance and you have no usable connection of your own, AI calls use that default connection. The AI connection settings show the provider and model of a configured default connection. When you use your own connection, further processing is governed by your agreement with that provider and its privacy policy. An operator-provided connection uses the connection configured by the operator; it does not require you to have your own agreement with that provider.

When you invoke an AI feature or a connection test, our server sends the necessary content to the endpoint being used. Depending on the feature, this includes prompt text, pasted source text, input variables, answers to clarification questions, test inputs, evaluation criteria and model outputs to be graded. A connection test uses a short technical test message. This processing happens at your request to provide the requested feature (Art. 6(1)(b) GDPR). The recipient is the AI provider or operator of the configured endpoint. Depending on the provider, processing may take place outside the EU, in particular in the USA. The prompt library can also be used without an AI connection.

8a. Optional connection to ChatGPT

You can link your account to ChatGPT using OAuth. Linking is established only after you approve it. We store registration data for the connected client, including its identifier and redirect addresses, and the association between its access permission and your account. Authorisation codes and refresh tokens are stored by us only as cryptographic digests; technical information such as scopes and expiry times is also processed. Access tokens are valid for one hour, authorisation codes for five minutes and refresh tokens for 30 days; refresh tokens are replaced when used. These validity periods do not mean that all associated database records are automatically deleted at that time. Linking records associated with your account are removed when you delete the account.

Once linked, ChatGPT can list your prompt library, retrieve individual prompts with their sections, variable information and metadata, save and update prompts, and retrieve earlier versions. Depending on the function invoked, the exchanged data includes prompt names and identifiers, sections and rendered prompt text, folder assignments, favourite status, variable descriptions and saved example values, earlier versions, version numbers, version authors' usernames, change notes and associated timestamps. Identifiers select the prompt; timestamps help prevent overwriting intervening changes. Retrieved data is sent to OpenAI, the provider of ChatGPT; content sent by ChatGPT for saving or updating is processed in your library. Our MCP endpoint processes the arguments of each tool call and does not itself retrieve the full chat history. The library functions themselves make no additional AI calls from our server and require no separate AI-provider connection.

Processing to establish and use this connection you request is necessary to provide the feature (Art. 6(1)(b) GDPR). The ChatGPT connection does not come with a commitment to storage or processing exclusively within the EU or EEA. OpenAI may process and store the transferred data in the USA and other countries. This does not change the location of our application database described in section 3. Further processing by OpenAI, including retention, deletion and possible use to improve models, is subject to the terms, settings and OpenAI privacy information applicable to your ChatGPT account. The international-transfer arrangements described there apply to processing by OpenAI; we make no separate commitment to a particular storage region or retention period for that processing.

You can remove the connection in ChatGPT. To revoke access for all connected clients on our server, use Sign out everywhere in Settings or change or reset your password. This prevents future access using the previous credentials. Removing the connection does not delete your saved prompts. You can manage and delete prompts in our web application or delete your account and associated content under Settings. These actions do not delete content already transferred to ChatGPT from conversations there; that content is managed and deleted through ChatGPT.

8b. Free prompt refiner without an account

Under "Tools" you can have a prompt refined without an account. The text you paste and, where applicable, your answers to follow-up questions are sent to our server and forwarded from there, over our own connection, to our AI provider OpenAI, which generates follow-up questions or a revised draft. The information on the default connection in section 8 applies accordingly to this transfer to OpenAI, including the notes on transfers to third countries. Please do not paste personal or confidential data.

We store neither the pasted text nor the generated results nor any information about you. For cost accounting and daily limits we store, per call, only the type of call, model, token counts, cost and time, with no link to you. To prevent abuse, your IP address is processed solely in the server's memory to limit the number of calls and is discarded when the relevant time window ends (at most one day) or when the server restarts; it is not written to logs or the database. Your browser may keep the pasted text locally for the session (session storage), for example when you take it over from another tool or move it into the editor.

The legal basis is our legitimate interest in offering a free feature and protecting it against abuse and excessive costs (Art. 6(1)(f) GDPR), or the performance of the feature you request (Art. 6(1)(b) GDPR).

9. Sending emails

We use Brevo (Brevo SAS, 106 boulevard Haussmann, 75008 Paris, France) to send password reset links and security notices to the previous address when you change your account email address. This involves the recipient address, message content and technical delivery data. The security notice also contains a partially masked hint of the new account email address. A data processing agreement under Art. 28 GDPR is in place with Brevo. The legal basis is Art. 6(1)(b) GDPR. Weekly summaries and test-run notifications are not sent.

10. Contact by email

If you contact us by email, we process your details to handle your request (Art. 6(1)(b) GDPR, otherwise Art. 6(1)(f) GDPR). We use Google Gmail for the contact mailbox contact@neadlab.com. Google processes the sender and recipient addresses, your name where provided, subject, message content, attachments and technical delivery information to the extent they arise in the correspondence. Processing by Google and its affiliates may take place outside the EU or EEA, particularly in the USA; we make no commitment to exclusive EU storage for this mailbox. Processing by Google is subject to the contractual terms and privacy information applicable to the account used. Google explains its transfer mechanisms, including the EU-U.S. Data Privacy Framework and standard contractual clauses, in its international data-transfer information. We delete requests once they are resolved, unless retention obligations apply.

11. Backups

The database is backed up daily to protect against data loss. Backups are kept on the same server in Frankfurt and deleted automatically after 14 days, so deleted data may remain in backups for up to 14 days. The legal basis is Art. 6(1)(f) GDPR.

12. Your rights

You have the right to

  • access the data stored about you (Art. 15 GDPR),
  • rectification (Art. 16 GDPR) and erasure (Art. 17 GDPR),
  • restriction of processing (Art. 18 GDPR),
  • data portability (Art. 20 GDPR),
  • object, on grounds relating to your particular situation, to processing based on Art. 6(1)(f) GDPR (Art. 21 GDPR).

To exercise these rights, contact contact@neadlab.com. You also have the right to lodge a complaint with a data protection supervisory authority, for example the Berlin Commissioner for Data Protection and Freedom of Information (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Germany.