Datenschutzerklärung / Privacy policy
Stand: 5. November 2026 · Last updated: 5 November 2026
Datenschutzerklärung
1. Verantwortlicher
Jhonatan Ferrer – MyceliumVorgebirgstr. 179, 50969 Köln
jsferrer@getmycelium.io · https://getmycelium.io/contact
Mycelium ist derzeit eine kostenlose Beta. Einen Datenschutzbeauftragten haben wir nicht bestellt, weil wir dazu nicht verpflichtet sind. Fragen zum Datenschutz richtest du an die oben genannte Adresse.
2. Welche Daten wir verarbeiten und warum
- Konto: E-Mail-Adresse, Name (falls angegeben), Profilbild-URL (nur bei Anmeldung mit Google), Passwort nur als bcrypt-Hash, Zeitpunkt der E-Mail-Bestätigung, deine Organisation und Projekte mit deiner Rolle. Zweck: Bereitstellung des Dienstes. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag). Außerdem deine Darstellungseinstellungen aus „Settings → Appearance" (Design hell, dunkel oder wie dein Gerät; bewegter Hintergrund an oder aus), damit Mycelium nach jeder Anmeldung so aussieht, wie du es gewählt hast. Du kannst sie dort jederzeit ändern.
- Deine Inhalte: Dateien, die du importierst oder in der Desktop-App hochlädst (Excel, CSV, PDF, Word, PowerPoint), ihre Inhalte und Revisionen sowie die daraus erzeugten Tabellen, Aufgaben, Personen, Gebäude und sonstigen Einträge, ihre Verknüpfungen und gespeicherte Ansichten. Sehen können sie die Personen, denen du oder deine Organisation in Mycelium Zugriff gebt. Enthalten deine Dateien personenbezogene Daten Dritter (z. B. Namen von Kolleginnen und Kollegen), verarbeiten wir sie in deinem Auftrag; du bist dafür verantwortlich, sie hochladen zu dürfen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
- Änderungsprotokoll: Zu jeder Änderung speichern wir, wer sie vorgenommen hat (auch ob eine KI oder ein angebundenes Programm im Auftrag einer Person gehandelt hat), über welchen Kanal, wann, sowie den Wert vorher und nachher. Das ist eine Kernfunktion von Mycelium (nachvollziehbare Daten) und dient der Sicherheit. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
- KI-Anbieter-Zugang: Wenn du einen eigenen API-Schlüssel eines KI-Anbieters hinterlegst, speichern wir ihn verschlüsselt (AES-GCM) mit Anbieter, Modell und Endpunkt. Zugriffstoken für KI-Agenten (MCP) speichern wir mit Name, Rechten, Projekt und Ablaufdatum. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
- Chats in „Ask“: Deine Fragen in „Ask“ und die Antworten der KI speichern wir als Chat, je Person und Projekt, damit du sie später wiederfindest. Zu jeder Antwort speichern wir, was sie damals gezeigt hat (den Text, die verwendeten Zeilen mit ihren Werten und das Diagramm), worauf du gezeigt hast, und wie Mycelium sie gefunden hat (welche Abfragen auf dem Projekt liefen und wie das Diagramm aufgebaut ist), damit eine Antwort später mit den aktuellen Daten neu berechnet werden kann. Was eine Antwort damals gezeigt hat, bleibt im Chat, auch wenn die Zeilen danach geändert oder gelöscht werden. Deine Chats siehst nur du, auch Admins des Projekts oder deiner Organisation sehen sie nicht. Verlierst du den Zugriff auf das Projekt, kannst du seine Chats nicht mehr öffnen. Umbenennen und löschen kannst du einen Chat jederzeit in „Ask“. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
- KI-Nutzungsprotokoll: Für jeden KI-Aufruf einer Mycelium-Funktion (nicht für den Verbindungstest eines Schlüssels) speichern wir nur Metadaten: wer, Organisation, Projekt, Funktion (z. B. KI-Ausfüllen), welcher Schlüssel genutzt wurde (eigener, der Organisation oder Mycelium AI), Anbieter, Modell, Zahl der KI-Aktionen, Zahl der Ein- und Ausgabe-Tokens, geschätzte Kosten, ob der Aufruf erfolgreich war, Zeitpunkt und bei Mycelium AI die Zeitzone, in der dein Tageskontingent zählt. Keine Eingaben, keine Zellwerte und keine Antworten der KI. Zweck: tägliche KI-Aktionen und das Beta-Budget einhalten, Missbrauch erkennen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO.
- Problemberichte und Feedback aus der App: dein Text und deine Angabe, ob das Problem nur dein Konto oder alle betrifft; standardmäßig ein Bildschirmfoto der aktuellen Seite (eingetippte Felder sind geschwärzt; du kannst Teile ausblenden oder das Bild entfernen); die letzten 10 aufgerufenen Seiten (ohne Parameter) und die letzten 5 Fehlermeldungen; App-Version, Browser-Kennung (User-Agent), Fenstergröße, Design und Zeitzone. Du siehst alles vor dem Senden. Ein Bildschirmfoto kann Daten anderer Personen zeigen, die auf der Seite stehen; blende sie aus, wenn sie für den Bericht nicht nötig sind. Empfänger: das Mycelium-Team, das Berichte auch mit KI-Unterstützung auswertet (siehe Nr. 4), und die Admins deiner Organisation. Zweck: Fehler beheben, Produkt verbessern. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
- Warteliste: E-Mail-Adresse, Formular, über das du dich eingetragen hast, Zeitpunkt. Zweck: dich zu informieren, wenn Mycelium für weitere Personen öffnet, und für nichts anderes. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), jederzeit widerrufbar per E-Mail an uns.
- Einladungsliste: E-Mail-Adressen der Personen, die wir zur Beta einladen, mit Zeitpunkt und einer internen Notiz. Zweck: Nur eingeladene Adressen können ein Konto anlegen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser Interesse, die Beta auf eingeladene Personen zu beschränken).
- Kontaktformular und E-Mail: Name, E-Mail-Adresse, Nachricht, Zeitpunkt. Zweck: deine Anfrage beantworten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b bzw. f DSGVO.
- Server-Protokolle: Bei jeder Anfrage speichert unser Webserver IP-Adresse, Zeitpunkt, die vollständige aufgerufene Adresse (mit Parametern), die Kopfzeilen der Anfrage außer Cookies und Anmeldedaten (z. B. Browser-Kennung, Sprache, verweisende Seite) und den Statuscode. Zweck: Betrieb, Fehlersuche und Abwehr von Angriffen. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
- Begrenzung von Anfragen: Damit Formulare nicht missbraucht werden, hält die Anwendung IP-Adressen (bei IPv6 die ersten 64 Bit) für die Dauer des jeweiligen Zeitfensters im Arbeitsspeicher, höchstens etwa 11 Minuten. Bei der Anmeldung zählt sie stattdessen Versuche unter einem gekürzten Hashwert der E-Mail-Adresse, 15 Minuten lang. Nichts davon wird gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
Wir setzen keine Analyse- oder Werbewerkzeuge ein, laden keine Inhalte von Dritten (Schriften liegen auf unserem Server) und verkaufen keine Daten.
3. Cookies, lokaler Speicher und Sitzungsspeicher
Wir verwenden nur technisch notwendige Cookies (§ 25 Abs. 2 Nr. 2 TDDDG), deshalb gibt es kein Cookie-Banner. Über HTTPS tragen die Namen der Anmelde-Cookies (authjs.…) zusätzlich die Vorsilbe __Secure- bzw. __Host-:
authjs.session-token: hält dich angemeldet, läuft 30 Tage nach der letzten Nutzung ab oder beim Abmelden.authjs.csrf-tokenundauthjs.callback-url: schützen die Anmeldung und merken sich die Zielseite (Sitzungsdauer).- Nur bei Anmeldung mit Google:
authjs.state,authjs.pkce.code_verifierundauthjs.nonce, höchstens 15 Minuten. myc-tz: deine Zeitzone, wie dein Browser sie meldet (z. B. Europe/Berlin), damit Termine, Tage und Wochen in deiner Ortszeit erscheinen. Wird nur auf Seiten nach der Anmeldung gesetzt und von Mycelium selbst gelesen (Seite und Server). Läuft 30 Tage nach deinem letzten Besuch einer angemeldeten Seite ab und wird beim Abmelden gelöscht.
Im lokalen Speicher deines Browsers liegt myc-theme: deine Wahl zwischen hellem und dunklem Design, falls du eine getroffen hast (auch im Fenster der Desktop-App); zusätzlich zu der Einstellung in deinem Konto (Nr. 2). Dazu kommen drei kleine Merker, die nur auf deinem Gerät bleiben: myc-tip-hold-seen (ob du den einmaligen Hinweis zum langen Drücken oder Rechtsklick schon gesehen hast), myc-install (an welchen Tagen du Mycelium geöffnet hast und wann du „Not now“ beim Installationshinweis gewählt hast, damit er nicht zu früh oder zu oft erscheint) und myc-project-name (der Name deines Projekts für die Offline-Seite; wird beim Abmelden gelöscht).
Im Sitzungsspeicher (nur für diesen Tab; gelöscht, wenn du den Tab schließt) liegen:
myc-panel-pinned: ob das Detail-Panel geöffnet bleibt.myc-back: die Seiten, die du in Mycelium aufgerufen hast, damit „Zurück zu …" funktioniert.myc-report-trail: die letzten 10 aufgerufenen Seiten (ohne Parameter) und die letzten 5 Fehlermeldungen für „Was angehängt wird" in einem Problembericht. Sie verlassen dein Gerät nur, wenn du einen Bericht sendest; vorher siehst du sie in der Vorschau.myc-import-toast: der Hinweis mit „Rückgängig“ nach einem Import. Wird auch beim Abmelden gelöscht.
Diese Einträge sind für die jeweilige Funktion technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG). Sie dienen weder der Analyse noch der Werbung.
4. Empfänger und Auftragsverarbeiter
- Hosting: Hetzner Online GmbH, Deutschland (Rechenzentrum Falkenstein). Alle oben genannten Daten liegen auf diesem Server.
- E-Mail-Versand: Resend (Resend, Inc., USA), Versand über Amazon SES, Region eu-west-1 (Irland). Empfängt deine E-Mail-Adresse und den Inhalt der Mails, die wir dir senden (Anmeldelinks, Bestätigungen, Passwort-Zurücksetzen) und die Benachrichtigungen über Feedback und Kontaktanfragen an uns. Dabei werden Daten in die USA übermittelt. Resend ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich sind die EU-Standardvertragsklauseln Teil seines Auftragsverarbeitungsvertrags.
- E-Mails an uns: Kontaktanfragen und E-Mails an jsferrer@getmycelium.io leitet Cloudflare Email Routing (Cloudflare, Inc., USA) als unser Auftragsverarbeiter weiter. Sie landen in einem Postfach bei Google (Google Ireland Limited; Übermittlung an Google LLC, USA, nach dem EU-US Data Privacy Framework). Für Cloudflare stützt sich die Übermittlung in die USA auf das Data Privacy Framework und die EU-Standardvertragsklauseln in seinem Auftragsverarbeitungsvertrag.
- Google (nur wenn du „Continue with Google“ wählst): Google Ireland Limited bzw. Google LLC erfährt, dass du dich bei Mycelium anmeldest, und übermittelt uns deine E-Mail-Adresse, deinen Namen und dein Profilbild. Dafür gelten zusätzlich die Datenschutzhinweise von Google.
- KI-Anbieter: Wenn du eine KI-Funktion nutzt, senden wir Inhalte an einen KI-Anbieter:
- wenn du eine KI-Funktion nutzt: die dafür nötigen Inhalte, z. B. Spaltennamen und Zellwerte.
- wenn du eine Datei importierst: Datei- und Blattnamen, die Beschreibung, die du dazu eingibst (höchstens 2.000 Zeichen), die Spaltenüberschriften und je Spalte eine kurze Statistik (Anzahl gefüllter Zellen, Anteil Zahlen/Daten/Ja-Nein, kleinster und größter Wert, Anzahl verschiedener Werte und – bei höchstens 12 verschiedenen Werten – diese Werte). Ist das gelesene Blatt höchstens 30.000 Zeichen lang, bekommt die KI außerdem das ganze Blatt, jede Zeile mit ihrer Zeilennummer (Zellen über 200 Zeichen werden gekürzt). Bei einem längeren Blatt bekommt sie die Zeilenanzahl und bis zu 40 Beispielzeilen mit ihren Zeilennummern (die ersten 25 und 15 aus dem Rest; jede Zelle auf 40 Zeichen gekürzt; Statistik und Beispielzeilen zusammen höchstens 12.000 Zeichen) und kann danach bis zu 4 weitere Teile anfordern: einen Bereich von Zeilen, die Zellen, die nicht zum Typ ihrer Spalte passen, oder die verschiedenen Werte einer Spalte, jeweils höchstens 3.000 Zeichen. In beiden Fällen kommt dazu, wie die Zahlenspalten zusammenhängen: für bis zu 6 Zahlenspalten je bis zu 6 Kennzahlen (wie eng sie mit anderen Zahlen- oder Datumsspalten zusammenhängen, wie stark eine Kategorie sie erklärt und, für bis zu 12 Gruppen, wie eng innerhalb jeder Gruppe), mit den Spaltennamen und den Gruppennamen (Werte der Kategoriespalte, je auf 40 Zeichen gekürzt), höchstens 3.000 Zeichen. Diese Kennzahlen rechnet Mycelium aus allen Zeilen. Daraus schlägt die KI vor, was die Zeilen sind, wie die Spalten zu lesen sind, welche Prüfungen und Darstellungen passen. Alle Zahlen, die du danach siehst, rechnet Mycelium selbst aus deinen Zeilen; die KI schreibt keine davon. Beim Lesen zeigt dir die Seite, was gesendet wird.
- wenn du über „Ask“ eine Frage stellst: deine Frage, die letzten bis zu 6 Nachrichten dieses Chats, den Namen des Projekts und der Seite, eine Übersicht des Projekts (sein Ziel, falls du eines angegeben hast, die Arten mit ihren Beschreibungen, Spalten, Einheiten, Anzahlen, den Zeitraum der Aufgaben und die Namen gespeicherter Ansichten), was du dazu angezeigt hast, und die Ergebnisse der Abfragen, die die KI dafür auf den Zeilen dieses Projekts ausführen lässt (höchstens 16.000 Zeichen). Die KI liest nur; sie ändert nichts an deinen Daten. Frage und Antwort speichert Mycelium als deinen Chat (siehe Abschnitt 2).
- wenn du „Arrange this Home“ wählst oder zum ersten Mal Daten in ein leeres Projekt importierst: bis zu 8 Arten des Projekts mit Spaltennamen, Einheiten, Lesart (Zahl, Text, Datum …) und Anzahlen, bis zu 20 Beispielzeilen je Art (jede Zelle auf 40 Zeichen gekürzt), die gespeicherten Ansichten (Titel, Darstellung, Regel), das Ziel des Projekts mit deiner Notiz und die Zusammenfassung des letzten Imports (was die Zeilen sind und welche Prüfungen liefen), höchstens 12.000 Zeichen. Dateinamen und deine Personenliste gehen nicht mit; die Beispielzeilen enthalten, was in ihren Zellen steht. Die KI schlägt nur eine Reihenfolge und bis zu 2 Ansichten vor; Mycelium prüft beides, bevor etwas gespeichert wird.
- während der Einrichtung, nur mit einem Schlüssel nach 1 oder 2 unten: Spaltenüberschriften, erkannte Datentypen, Anzahlen und Dateiname deiner Daten. Daraus schlägt die KI einen Zweck vor.
Welchen Anbieter wir dafür nutzen, hängt vom Schlüssel ab:
- ein Schlüssel, den du nur für dich hinterlegt hast;
- sonst ein Schlüssel, den jemand für deine Organisation hinterlegt hat;
- sonst Mycelium AI: ein eigener Schlüssel von Mycelium bei Anthropic PBC, USA, mit einem täglichen Kontingent. Anthropic erhält die Inhalte dann als unser Auftragsverarbeiter.
Bei 1 und 2 gehen die Inhalte an den Anbieter, der dort gewählt ist (z. B. Anthropic, OpenAI, xAI, Google, Moonshot oder ein eigener Endpunkt), und es gilt der Vertrag des Schlüsselinhabers mit diesem Anbieter. KI-Anbieter können außerhalb der EU sitzen.
Bei 3 stützt sich die Übermittlung an Anthropic in die USA auf die EU-Standardvertragsklauseln; sie sind Teil des Auftragsverarbeitungsvertrags in den Geschäftsbedingungen von Anthropic. Anthropic löscht Eingaben und Ausgaben über seine Schnittstelle innerhalb von 30 Tagen, länger nur, wenn das zur Durchsetzung seiner Nutzungsrichtlinie oder gesetzlich nötig ist, und verwendet sie nicht zum Training seiner Modelle.
- Auswertung von Problemberichten: Damit wir Fehler schneller finden, lässt das Mycelium-Team Problemberichte (Text, Bildschirmfoto und die angehängten Angaben) von einer KI vorsortieren und zusammenfassen. Dafür nutzen wir die Schnittstelle von Anthropic PBC, USA, als unseren Auftragsverarbeiter, mit denselben Garantien wie bei Mycelium AI: EU-Standardvertragsklauseln, Löschung innerhalb von 30 Tagen, kein Training. Die KI trifft keine Entscheidungen über dich; ein Mensch prüft das Ergebnis. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.
5. Desktop-App
Die Desktop-App verbindet Ordner auf deinem Computer mit Mycelium. Für jeden Ordner wählst du selbst; es gibt keine Voreinstellung:
- Work in Mycelium: Dateien aus diesem Ordner (Excel, CSV, PDF, Word, PowerPoint) und ihre Inhalte werden hochgeladen, aber erst, nachdem du sie in der Vorschau gesehen und „Upload these" gewählt hast. Danach gelten sie als deine Inhalte (Nr. 2) und liegen auf unserem Server bei Hetzner in Deutschland.
- Local only: Mycelium zeigt die Dateien nur auf deinem Computer an; nichts davon verlässt deinen Computer.
- Protected: Die App liest diese Ordner nur auf deinem Computer, für die lokale Suche; nichts davon verlässt deinen Computer, auch nicht innerhalb eines Ordners mit „Work in Mycelium".
Das Verzeichnis, das die App über deine Ordner anlegt, bleibt auf deinem Computer.
Die App verbindet sich mit deinem Konto über ein Geräte-Token. Es liegt im Schlüsselbund deines Betriebssystems; unter Linux ohne Schlüsselbund auf deinen Wunsch in einer Datei, die nur dein Benutzerkonto lesen kann.
Updates: Die App fragt regelmäßig bei uns nach einer neuen Version und meldet sich dabei mit dem Geräte-Token. Wir erhalten dabei App-Version, Betriebssystem, Prozessortyp, Zeitpunkt und IP-Adresse (siehe Server-Protokolle). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Absturzberichte: nur, wenn du sie einschaltest (aus, solange du nicht zustimmst). Ein Bericht enthält App-Version, Betriebssystem, Prozessortyp, die Fehlermeldung ohne Dateinamen, Pfade und Inhalte sowie die Programmstelle des Fehlers. Wir speichern ihn 90 Tage. Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), jederzeit in der App widerrufbar.
6. Speicherdauer
- Konto, Inhalte, Änderungsprotokoll und KI-Zugänge: solange dein Konto besteht. Wenn du dein Konto löschen lässt, löschen wir diese Daten innerhalb eines Monats, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Was du in Projekten anderer Personen geändert hast, bleibt in deren Projekt; dort entfernen wir deinen Namen und deine E-Mail-Adresse aus dem Änderungsprotokoll.
- KI-Nutzungsprotokoll: 90 Tage.
- Chats in „Ask“: bis du sie löschst; spätestens, wenn das Projekt gelöscht wird oder wir dein Konto löschen. Nach dem Löschen kannst du einen Chat bis zu 50 Sekunden lang wiederherstellen; danach entfernen wir ihn innerhalb weniger Minuten endgültig. In den Datensicherungen bleibt er höchstens 14 Tage.
- Problemberichte: der Text und seine KI-Zusammenfassung, solange dein Konto besteht; Bildschirmfotos 90 Tage, nachdem der Bericht abgeschlossen ist.
- Desktop-App: Gerätezuordnung, bis du das Gerät entfernst oder dein Konto löschst; Absturzberichte 90 Tage.
- Hochgeladene Dateien und ihre Revisionen: bis du sie aus Mycelium entfernst oder dein Konto löschst; dann löschen wir sie innerhalb eines Monats; in den Datensicherungen bleiben sie höchstens 14 Tage.
- Warteliste: bis Mycelium öffnet oder du widerrufst.
- Einladungsliste: bis die Beta endet oder du uns bittest, deine Adresse zu entfernen.
- Kontaktanfragen: bis die Anfrage erledigt ist, höchstens 12 Monate.
- Links in unseren E-Mails (Anmeldung, Bestätigung, neues Passwort): höchstens 24 Stunden gültig.
- Datensicherungen der Datenbank: tägliche Sicherungen 14 Tage; zusätzlich je eine Sicherung vor jedem Software-Update, davon höchstens die letzten zehn und keine älter als 14 Tage.
- Server- und Anwendungsprotokolle: 14 Tage.
7. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Schreib uns dazu an jsferrer@getmycelium.io oder über das Kontaktformular. Deine Tabellen kannst du jederzeit selbst als Excel-Datei exportieren.
Du kannst dich außerdem bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), zum Beispiel bei der für uns zuständigen Landesbeauftragten für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
8. Pflicht zur Bereitstellung
Ohne E-Mail-Adresse können wir kein Konto anlegen. Alle anderen Angaben sind freiwillig. Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.
Privacy policy
1. Controller
Jhonatan Ferrer – MyceliumVorgebirgstr. 179, 50969 Köln
jsferrer@getmycelium.io · https://getmycelium.io/contact
Mycelium is currently a free beta. We have not appointed a data protection officer because we are not required to. Send privacy questions to the address above.
2. What we process and why
- Account: email address, name (if you give one), profile picture URL (only with Google sign-in), your password only as a bcrypt hash, when you confirmed your email, your organisation and projects with your role. Purpose: providing the service. Legal basis: Art. 6(1)(b) GDPR (contract). Also your display settings from Settings → Appearance (light, dark or device theme; moving background on or off), so Mycelium looks the way you chose whenever you sign in. You can change them there at any time.
- Your content: files you import or upload with the desktop app (Excel, CSV, PDF, Word, PowerPoint), their contents and revisions, and the sheets, tasks, people, buildings and other records made from them, their links and saved views. They are visible to the people you or your organisation give access in Mycelium. If your files contain personal data of others (e.g. colleagues' names), we process it on your behalf; you are responsible for being allowed to upload it. Legal basis: Art. 6(1)(b) GDPR.
- Change history: for every change we store who made it (including whether an AI or a connected program acted on someone's behalf), through which channel, when, and the value before and after. Traceable data is a core feature of Mycelium and protects its security. Legal basis: Art. 6(1)(b) and (f) GDPR.
- AI provider access: if you add your own API key for an AI provider, we store it encrypted (AES-GCM) with the provider, model and endpoint. Access tokens for AI agents (MCP) are stored with their name, permissions, project and expiry date. Legal basis: Art. 6(1)(b) GDPR.
- Chats in "Ask": We save your questions in "Ask" and the AI's answers as a chat, per person and project, so you can find them again later. For each answer we save what it showed at the time (the text, the rows it used with their values, and the chart), what you pointed at, and how Mycelium found it (which lookups ran on the project and how the chart is built), so an answer can later be recalculated on current data. What an answer showed stays in the chat even if those rows are changed or deleted afterwards. Only you see your chats; the project's or your organisation's admins do not. If you lose access to the project, you can no longer open its chats. You can rename or delete a chat at any time in "Ask". Legal basis: Art. 6(1)(b) GDPR.
- AI usage log: for every AI call a Mycelium feature makes (not a key's connection test) we store metadata only: who, organisation, project, feature (e.g. AI fill), which key was used (your own, your organisation's or Mycelium AI), provider, model, number of AI actions, number of input and output tokens, an estimated cost, whether the call succeeded, the time and, for Mycelium AI, the time zone your daily allowance counts in. No prompts, no cell values and no AI answers. Purpose: keeping the daily AI actions and the beta budget, spotting misuse. Legal basis: Art. 6(1)(b) and (f) GDPR.
- Problem reports and in-app feedback: your text and whether the problem affects only your account or everyone; by default a screenshot of the current page (typed fields are blacked out; you can hide parts or remove the image); the last 10 pages you opened (without parameters) and the last 5 error messages; app version, browser identifier (user agent), window size, theme and time zone. You see everything before you send it. A screenshot can show other people's data that is on the page; hide it if the report does not need it. Recipients: the Mycelium team, which also uses AI to review reports (see section 4), and your organisation's admins. Purpose: fixing bugs and improving the product. Legal basis: Art. 6(1)(f) GDPR.
- Waitlist: email address, the form you used and the time. Purpose: telling you when Mycelium opens to more people, and nothing else. Legal basis: Art. 6(1)(a) GDPR (consent), which you can withdraw at any time by emailing us.
- Invitation list: email addresses of the people we invite to the beta, with the time and an internal note. Purpose: only invited addresses can create an account. Legal basis: Art. 6(1)(f) GDPR (our interest in limiting the beta to invited people).
- Contact form and email: name, email address, message, time. Purpose: answering you. Legal basis: Art. 6(1)(b) or (f) GDPR.
- Server logs: for every request our web server records the IP address, time, the full requested address (with parameters), the request headers except cookies and credentials (e.g. browser identifier, language, referring page) and the status code. Purpose: operation, debugging and defending against attacks. Legal basis: Art. 6(1)(f) GDPR.
- Request limits: to keep forms from being abused, the application keeps IP addresses (for IPv6 the first 64 bits) in memory for the length of each limit window, at most about 11 minutes. For sign-in it counts attempts under a shortened hash of the email address instead, for 15 minutes. None of this is stored. Legal basis: Art. 6(1)(f) GDPR.
We use no analytics or advertising tools, load no third-party content (fonts are served from our own server) and sell no data.
3. Cookies, local storage and session storage
We only use cookies that are strictly necessary (§ 25(2) no. 2 TDDDG), so there is no cookie banner. Over HTTPS the names of the sign-in cookies (authjs.…) also carry the prefix __Secure- or __Host-:
authjs.session-token: keeps you signed in; expires 30 days after your last visit or when you sign out.authjs.csrf-tokenandauthjs.callback-url: protect sign-in and remember where to return (browser session).- Only with Google sign-in:
authjs.state,authjs.pkce.code_verifierandauthjs.nonce, for at most 15 minutes. myc-tz: your time zone as your browser reports it (e.g. Europe/Berlin), so dates, days and weeks appear in your local time. Set only on pages after sign-in and read only by Mycelium itself (page and server). Expires 30 days after your last visit to a signed-in page and is deleted when you sign out.
Your browser's local storage holds myc-theme: your choice of light or dark, if you made one (also in the desktop app's window); in addition to the setting in your account (section 2). It also holds three small markers that stay on your device: myc-tip-hold-seen (whether you have seen the one-time tip about press and hold or right-click), myc-install (on which days you opened Mycelium and when you chose "Not now" on the install hint, so it does not appear too early or too often) and myc-project-name (your project's name for the offline page; removed when you sign out).
Session storage (this tab only; cleared when you close the tab) holds:
myc-panel-pinned: whether the details panel stays open.myc-back: the pages you opened in Mycelium, so "Back to …" works.myc-report-trail: the last 10 pages you opened (without parameters) and the last 5 error messages, for "What's attached" in a problem report. They only leave your device if you send a report, and you see them in the preview first.myc-import-toast: the note with "Undo" after an import. Also removed when you sign out.
These entries are technically necessary for the function they serve (§ 25(2) no. 2 TDDDG). They are not used for analytics or advertising.
4. Recipients and processors
- Hosting: Hetzner Online GmbH, Germany (data centre Falkenstein). All data listed above is stored on this server.
- Email delivery: Resend (Resend, Inc., USA), sending through Amazon SES, region eu-west-1 (Ireland). It receives your email address and the content of the emails we send you (sign-in links, confirmations, password resets) and our notifications about feedback and contact requests. This involves a transfer of data to the USA. Resend is certified under the EU-U.S. Data Privacy Framework; in addition, the EU standard contractual clauses are part of its data processing agreement.
- Emails to us: contact requests and emails to jsferrer@getmycelium.io are forwarded by Cloudflare Email Routing (Cloudflare, Inc., USA), as our processor. They arrive in a Google mailbox (Google Ireland Limited; transfers to Google LLC, USA, under the EU-U.S. Data Privacy Framework). For Cloudflare, the transfer to the USA relies on the Data Privacy Framework and the EU standard contractual clauses in its data processing agreement.
- Google (only if you choose "Continue with Google"): Google Ireland Limited or Google LLC learns that you sign in to Mycelium and sends us your email address, name and profile picture. Google's privacy policy applies as well.
- AI providers: When you use an AI feature, we send content to an AI provider:
- when you use an AI feature: the content it needs, e.g. column names and cell values.
- when you import a file: the file and sheet names, the description you type for it (at most 2,000 characters), the column headings and a short summary per column (how many cells are filled, the share of numbers, dates and yes/no values, the smallest and largest number, how many different values there are and – when there are 12 or fewer – those values). If the sheet we read is at most 30,000 characters long, the AI also gets the whole sheet, every row with its row number (cells over 200 characters are cut). For a longer sheet it gets the row count and up to 40 sample rows with their row numbers (the first 25 and 15 from the rest; each cell cut to 40 characters; summary and sample together at most 12,000 characters), and it may then ask for up to 4 more pieces before it answers: a range of rows, the cells that don't read as their column's type, or the different values of one column, each at most 3,000 characters. In both cases it also gets how the number columns relate: for up to 6 number columns, up to 6 figures each (how closely they move with other number or date columns, how much a category explains them and, for up to 12 groups, how closely within each group), with the column names and the group names (values of the category column, each cut to 40 characters), at most 3,000 characters. Mycelium computes these figures from all rows. From this the AI suggests what the rows are, how to read the columns and which checks and views fit. Every number you then see is calculated by Mycelium from your rows; the AI writes none of them. While reading, the page shows you what is sent.
- when you ask a question with "Ask": your question, up to the last 6 messages of the chat, the project and page name, an outline of the project (its goal, if you gave one, the kinds with their descriptions, columns, units, counts, the date range of its tasks and the names of saved views), anything you pointed at, and the results of the lookups the AI has run on this project's rows to answer (at most 16,000 characters). The AI only reads; it changes nothing in your data. Mycelium saves the question and the answer as your chat (see section 2).
- when you choose "Arrange this Home" or import data into an empty project for the first time: up to 8 of the project's kinds with their column names, units, how each column is read (number, text, date …) and counts, up to 20 sample rows per kind (each cell cut to 40 characters), the saved views (title, chart, rule), the project's goal with your note and the summary of the latest import (what the rows are and which checks ran), at most 12,000 characters. File names and your people list are not sent; the sample rows contain whatever their cells hold. The AI only suggests an order and up to 2 views; Mycelium checks both before anything is saved.
- during setup, only with a key under 1 or 2 below: column headings, detected data types, counts and the file name of your data. From these the AI suggests what the data is for.
Which provider we use depends on the key:
- a key you added for yourself only;
- otherwise a key someone added for your organisation;
- otherwise Mycelium AI: Mycelium's own key with Anthropic PBC, USA, with a daily allowance. Anthropic then receives the content as our processor.
With 1 and 2 the content goes to the provider chosen there (e.g. Anthropic, OpenAI, xAI, Google, Moonshot or your own endpoint), and the key holder's contract with that provider applies. AI providers may be located outside the EU.
With 3, the transfer to Anthropic in the USA relies on the EU standard contractual clauses, which are part of the data processing agreement in Anthropic's commercial terms. Anthropic deletes inputs and outputs sent through its API within 30 days, keeps them longer only where needed to enforce its usage policy or required by law, and does not use them to train its models.
- Problem-report triage: to find bugs faster, the Mycelium team has an AI sort and summarise problem reports (text, screenshot and the attached details). We use the API of Anthropic PBC, USA, as our processor, with the same safeguards as Mycelium AI: EU standard contractual clauses, deletion within 30 days, no training. The AI makes no decisions about you; a person reviews the result. Legal basis: Art. 6(1)(f) GDPR.
5. Desktop app
The desktop app connects folders on your computer to Mycelium. You choose for each folder; nothing is preselected:
- Work in Mycelium: files from this folder (Excel, CSV, PDF, Word, PowerPoint) and their contents are uploaded, but only after you have seen them in the preview and chosen "Upload these". From then on they are your content (section 2) and are stored on our server at Hetzner in Germany.
- Local only: Mycelium shows the files only on your computer; none of it leaves your computer.
- Protected: the app reads these folders only on your computer, for local search; none of it leaves your computer, not even inside a folder set to "Work in Mycelium".
The index the app builds of your folders stays on your computer.
The app connects to your account with a device token. It is kept in your operating system's keychain; on Linux without a keyring, at your choice, in a file only your user account can read.
Updates: the app regularly asks us for a new version and identifies itself with the device token. We receive the app version, operating system, processor type, time and IP address (see server logs). Legal basis: Art. 6(1)(b) GDPR.
Crash reports: only if you switch them on (off unless you agree). A report contains the app version, operating system, processor type, the error message without file names, paths or contents, and the place in the program where the error happened. We keep it for 90 days. Legal basis: your consent (Art. 6(1)(a) GDPR, § 25(1) TDDDG), which you can withdraw in the app at any time.
6. How long we keep data
- Account, content, change history and AI access: as long as your account exists. When you ask us to delete your account, we delete this data within one month unless the law requires us to keep it. Changes you made in other people's projects stay in their project; we remove your name and email address from that change history.
- AI usage log: 90 days.
- Chats in "Ask": until you delete them, at the latest when the project is deleted or we delete your account. After you delete a chat you can restore it for up to 50 seconds; we then remove it for good within a few minutes. It stays in backups for at most 14 days.
- Problem reports: the text and its AI summary as long as your account exists; screenshots 90 days after the report is closed.
- Desktop app: device link until you remove the device or delete your account; crash reports 90 days.
- Uploaded files and their revisions: until you remove them from Mycelium or delete your account; we then delete them within one month; they stay in backups for at most 14 days.
- Waitlist: until Mycelium opens or you withdraw consent.
- Invitation list: until the beta ends or you ask us to remove your address.
- Contact requests: until the request is settled, at most 12 months.
- Links in our emails (sign-in, confirmation, new password): valid for at most 24 hours.
- Database backups: daily backups for 14 days; in addition one backup before each software update, of which at most the last ten are kept and none older than 14 days.
- Server and application logs: 14 days.
7. Your rights
You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20) and to object to processing based on legitimate interests (Art. 21). You can withdraw consent at any time with effect for the future (Art. 7(3)). Write to jsferrer@getmycelium.io or use the contact form. You can export your sheets as Excel files yourself at any time.
You can also lodge a complaint with a data protection supervisory authority (Art. 77 GDPR), for example the one responsible for us: the Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen.
8. Whether you must provide data
We cannot create an account without an email address. Everything else is optional. We make no automated decisions within the meaning of Art. 22 GDPR.