Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website ist:
Münch & Zamzow GbR
Werner-Friedmann-Bogen 32, 80993 München
E-Mail: kontakt@getgrowbase.com

2. Erhebung und Verarbeitung personenbezogener Daten

Wir erheben personenbezogene Daten, wenn Sie sich für unseren Dienst registrieren, unsere Website besuchen oder mit uns kommunizieren. Dies umfasst insbesondere: Name, E-Mail-Adresse, Nutzungsdaten und technische Daten (IP-Adresse, Browser-Typ, etc.).

Bei Abschluss eines kostenpflichtigen Abonnements kommen hinzu: Firmenname und Ihre Bestätigung, als Unternehmer zu handeln (mit Wortlaut und Zeitpunkt Ihrer Zustimmung zu unseren AGB), Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer (sofern Sie eine angeben), Vertragsdaten (gewählter Plan, Vertragsbeginn, Testphasen- und Laufzeitende, Kündigungstermin), Zahlungs- und Transaktionsdaten (Betrag, Rechnungsnummer, Zahlungszeitpunkt, Zahlungsstatus, Kartenmarke und die letzten vier Ziffern der Kartennummer) sowie Angaben zu Rückerstattungen und Zahlungsrückbelastungen.

Ihre vollständigen Zahlungsdaten erreichen unsere Systeme nicht. Die Zahlungsabwicklung findet auf einer von Stripe gehosteten Seite statt; Kartennummer, Ablaufdatum und Prüfziffer werden ausschließlich an Stripe übermittelt und dort verarbeitet (siehe Abschnitt 5). Wir erhalten von Stripe lediglich die oben genannten Metadaten zurück.

Bei der Nutzung der Analyse- und Inhaltsfunktionen kommen hinzu: die Adresse Ihrer Website, die von dort abgerufenen Seiteninhalte, Ihre Angaben zu Unternehmen, Zielmarkt und Tonalität sowie — sofern Sie die betreffenden Dienste selbst verbinden — die Daten aus Ihrer Google Search Console, Ihrem Google Analytics und Ihren Social-Media-Konten. Welche Daten das im Einzelnen sind und mit wem wir sie teilen, steht in Abschnitt 5 unter „Daten aus Ihrer Google Search Console und Ihrem Google Analytics“.

Die abgerufenen Seiteninhalte können personenbezogene Daten enthalten — etwa Namen, Funktionen und Kontaktdaten aus Impressum, Team- und Kontaktseiten. Wir werten diese Inhalte aus, um Ihre Sichtbarkeit zu bewerten und Textentwürfe zu erzeugen; sie werden dabei an die in Abschnitt 5 genannten Dienstleister für Website-Abruf, SEO-Daten und Sprachmodelle übermittelt. Ihre Inhalte werden nicht zum Training von KI-Modellen verwendet.

3. Zwecke der Datenverarbeitung

Wir verarbeiten Ihre Daten zu folgenden Zwecken:

Bereitstellung und Verbesserung unseres Dienstes
Verwaltung Ihres Benutzerkontos
Kommunikation bezüglich Ihres Kontos und unserer Dienste
Analyse und Verbesserung der Website-Performance
Analyse Ihrer Website sowie Ihrer Sichtbarkeit in Suchmaschinen und in Antworten von KI-Systemen
Erzeugung von Strategievorschlägen, Themenplänen und Textentwürfen mit Hilfe von Sprachmodellen
Messung des Erfolgs unserer Anzeigen — ausschließlich mit Ihrer Einwilligung (Abschnitt 6)
Abwicklung kostenpflichtiger Verträge: Zahlungsabwicklung, Rechnungsstellung, Ermittlung und Nachweis der Umsatzsteuer, Forderungsmanagement bei fehlgeschlagenen Zahlungen
Missbrauchsabwehr, insbesondere die Verhinderung mehrfacher Inanspruchnahme der kostenlosen Testphase
Erfüllung gesetzlicher Verpflichtungen

4. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. a (Einwilligung), lit. b (Vertragserfüllung), lit. c (rechtliche Verpflichtung) und lit. f (berechtigtes Interesse) DSGVO.

5. Empfänger und Drittlandübermittlung

Zur Bereitstellung unseres Angebots setzen wir sorgfältig ausgewählte Dienstleister als Auftragsverarbeiter (Art. 28 DSGVO) ein. Soweit dabei Daten in ein Drittland übermittelt werden, ist die dafür maßgebliche Garantie — EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss 2021/914) oder EU-US Data Privacy Framework (DPF) — beim jeweiligen Empfänger angegeben, sofern sie uns nachgewiesen wurde. Wo sie fehlt, benennen wir den Empfänger gleichwohl und weisen die Übermittlung aus; wir prüfen die Grundlage in diesen Fällen derzeit. Eine Kopie erhalten Sie über kontakt@getgrowbase.com.

Supabase Pte. Ltd., Singapur (Datenbank & Authentifizierung) — Serverstandort Frankfurt (eu-central-1). Eine Übermittlung nach Singapur sowie durch Unterauftragsverarbeiter in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Modul 2 und 3).
Vercel Inc., USA (Hosting & Edge-Netzwerk) — Auslieferung über EU-Standorte; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.
SideGuide Technologies, Inc. (Firecrawl), USA (Abruf von Website-Inhalten) — ruft die von Ihnen angegebene Website ab und übergibt uns deren Textinhalt, damit wir die interne Verlinkung und die inhaltliche Abdeckung bewerten können. Dieser Inhalt kann personenbezogene Daten enthalten (siehe Abschnitt 2). Serverstandort USA.
Vercel Inc., USA (AI Gateway) — über diesen Dienst leiten wir sämtliche Anfragen an Sprachmodelle. Übermittelt werden dabei Ihre Angaben zum Unternehmen und die abgerufenen Seiteninhalte. Vercel leitet die Anfrage an einen der unten genannten Modellanbieter weiter und speichert die Inhalte nach eigenen Angaben nicht dauerhaft.
Anthropic PBC, USA, sowie Google LLC (Vertex AI), USA (Sprach- und Bildmodelle) — erzeugen die Analysen, Strategievorschläge, Textentwürfe und Bilder. Welcher Anbieter eine einzelne Anfrage bedient, entscheidet das Gateway innerhalb der von uns freigegebenen Liste; für Modelle von Anthropic kann dies auch über Amazon Web Services, Inc. (Bedrock), USA, erfolgen. Wir geben bei jeder Anfrage vor, dass Ihre Eingaben nicht zum Training von Modellen verwendet werden dürfen. Serverstandort USA.
Functional Software, Inc. (Sentry), USA (Fehler- und Performance-Überwachung) — EU-Region Frankfurt. Nutzerkonten und Organisationseinstellungen verbleiben unabhängig von der gewählten Region in den USA. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework sowie ergänzend der EU-Standardvertragsklauseln.
PostHog, Inc., USA (Reichweiten- und Produktanalyse) — EU Cloud Frankfurt. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und der EU-Standardvertragsklauseln. Rechtsgrundlage und Ausgestaltung: siehe Abschnitt 6.
DataForSEO OÜ, Vesivärava tn 50-201, 10152 Tallinn, Estland (Such-, Ranking- und KI-Sichtbarkeitsdaten) — liefert die Ranking- und Suchergebnisdaten, führt den technischen Crawl Ihrer Website durch und stellt die Fragen Ihrer KI-Sichtbarkeitsmessung an die Sprachmodelle. Übermittelt werden dabei Ihre Domain, die Adressen und Inhalte Ihrer eigenen Seiten, Suchbegriffe sowie die von Ihnen bestätigten Fragen. Personenbezogene Daten sind darin nur enthalten, soweit sie in Ihren eigenen Seiteninhalten stehen. DataForSEO hat seinen Sitz in der EU und setzt seinerseits Unterauftragsverarbeiter ein, darunter die Hetzner Online GmbH in Deutschland sowie die Google LLC und die Microsoft Corporation in den USA; die Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln.
Plus Five Five, Inc. (Resend), USA (Versand von Transaktions- und Report-E-Mails) — verarbeitet die E-Mail-Adresse der Empfängerinnen und Empfänger. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.
Cal.com, Inc., USA (Terminbuchung über cal.eu) — bei der Demo-Buchung werden IP-Adresse sowie die von Ihnen eingegebenen Termindaten (Name, E-Mail) übertragen. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln.
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (Erfolgsmessung unserer Anzeigen) — ausschließlich mit Ihrer Einwilligung. Kommt über eine unserer Anzeigen ein kostenpflichtiger Vertrag zustande, übermitteln wir Ihre E-Mail-Adresse als SHA-256-Hashwert, niemals im Klartext, damit Google den Abschluss der Anzeige zuordnen kann. Für diese Messung ist Google unsere Auftragsverarbeiterin auf Grundlage der Google Ads Data Processing Terms; soweit Sie zusätzlich in die Personalisierung von Werbung einwilligen, verarbeitet Google die Daten insoweit als eigenständig Verantwortliche. Eine Übermittlung an die Google LLC in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework, unter dem Google zertifiziert ist, sowie ergänzend der EU-Standardvertragsklauseln. Näheres in Abschnitt 6.
Google Ireland Limited, Anschrift wie vorstehend (Reichweitenmessung mit Google Analytics 4) — ausschließlich mit Ihrer Einwilligung in die Reichweitenmessung und getrennt von der Erfolgsmessung unserer Anzeigen. Verarbeitet werden Ihre gekürzte IP-Adresse, eine zufällig vergebene Kennung, die aufgerufenen Seiten sowie technische Angaben zu Browser und Gerät. Google ist insoweit unsere Auftragsverarbeiterin auf Grundlage der Google Ads Data Processing Terms. Eine Übermittlung an die Google LLC in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework, unter dem Google zertifiziert ist, sowie ergänzend der EU-Standardvertragsklauseln. Näheres in Abschnitt 6.
lemlist SAS, Frankreich (Erkennung des Unternehmens von Besucherinnen und Besuchern) — ausschließlich mit Ihrer Einwilligung und ausschließlich auf getgrowbase.com, nie im angemeldeten Bereich. Verarbeitet werden Ihre IP-Adresse, die aufgerufenen Seiten und die Verweildauer, um daraus das Unternehmen zu ermitteln, für das Sie arbeiten. Ihr Name wird dabei nicht ermittelt. lemlist setzt hierfür die Snitcher B.V., Niederlande, und die RB2B, Inc., USA, als Unterauftragsverarbeiter ein; eine Übermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln. Näheres in Abschnitt 6.
Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irland (Zahlungsabwicklung) — verarbeitet bei einem kostenpflichtigen Abonnement Ihren Namen, Ihre E-Mail-Adresse, die Rechnungsanschrift, eine angegebene Umsatzsteuer-Identifikationsnummer sowie die Zahlungsdaten. Eine Übermittlung an die Stripe, LLC in den USA erfolgt auf Grundlage des EU-US Data Privacy Framework, unter dem Stripe zertifiziert ist, sowie ergänzend der EU-Standardvertragsklauseln. Zur Rolle von Stripe siehe den folgenden Absatz.

Eigenständig Verantwortliche. Bei der Anbindung der Google Search Console — ausschließlich nach Ihrer ausdrücklichen Autorisierung zur Analyse Ihrer SEO-Daten — ist die Google Ireland Limited datenschutzrechtlich eigenständig Verantwortliche und nicht unsere Auftragsverarbeiterin. Grundlage sind die Google Controller Terms. Dasselbe gilt für eine von Ihnen verbundene Google-Analytics-Property. Dass wir die Daten beider Dienste in Ihrem Auftrag abrufen, beruht auf Art. 6 Abs. 1 lit. b DSGVO — sie sind Teil der Leistung, die Sie bei uns beauftragt haben.

Daten aus Ihrer Google Search Console und Ihrem Google Analytics: mit wem wir sie teilen

Wenn Sie eines dieser beiden Google-Konten mit Growbase verbinden, rufen wir mit Ihrer Autorisierung Daten über Googles Schnittstellen ab. Dieser Abschnitt sagt, welche das sind, wer sie außer Ihnen noch zu sehen bekommt und wer nicht. Er betrifft ausschließlich die von Ihnen verbundenen Konten — nicht unsere eigene Reichweitenmessung mit Google Analytics auf getgrowbase.com, die in Abschnitt 6 beschrieben ist. Beides heißt „Google Analytics“ und hat nichts miteinander zu tun.

Was wir aus der Search Console abrufen und speichern: die Suchanfragen, mit denen Besucher Ihre Website bei Google gefunden haben, die dabei aufgerufenen Seitenadressen, die Zahl der Klicks und Einblendungen sowie die durchschnittliche Position. Diese Werte legen wir als Zeitreihe je Tag ab, dazu je Artikel Klicks, Einblendungen, Durchschnittsposition und eine daraus berechnete Kennzahl. Außerdem speichern wir Ihre Zugangsdaten (verschlüsselt) und die von Ihnen gewählte Property. Beim Verbinden fragen wir die Liste der Properties ab, auf die Ihr Google-Konto Zugriff hat, damit Sie eine auswählen können; gespeichert wird daraus nur Ihre Auswahl. Dazu halten wir fest, wie weit wir Ihre Historie schon abgeholt haben und woran ein Abruf zuletzt gescheitert ist. Die Klickrate speichern wir nicht; sie ergibt sich aus Klicks und Einblendungen. Im Live-Abruf bei Google ist sie enthalten und geht dort an die unten genannten Empfänger mit.

Fragen Sie Alto nach diesen Zahlen, bleiben sie zusätzlich in seinem Gedächtnis: in der Zusammenfassung des Gesprächs und in Notizen, die er sich selbst anlegt. Das gilt für jeden Chatinhalt, nicht nur für Google-Daten; Abschnitt 7 beschreibt es.

Was wir aus Google Analytics 4 abrufen: Sitzungen, Nutzerzahlen, Conversions und deren Rate, Interaktionsrate und durchschnittliche Sitzungsdauer, aufgeschlüsselt nach den Verweisquellen, die wir KI-Assistenten zuordnen, sowie Name und Kennung Ihrer Property und den Namen Ihres Analytics-Kontos. Wir rufen dieselben Zahlen zusätzlich für Ihre gesamte Website im selben Zeitraum ab — als Vergleichswert, ohne den der KI-Anteil keine Aussage hätte. Daraus führen wir keinen Verlauf: wir speichern je Arbeitsbereich genau einen Bericht — den zuletzt abgerufenen —, und jeder neue Abruf überschreibt ihn. Er enthält den Zeitraum, die Property, beide Zahlenreihen und die von Google gelieferten Verweis-Hostnamen. Dauerhaft gespeichert sind außerdem Ihre Zugangsdaten (verschlüsselt), Kennung und Name der Property, der Name Ihres Analytics-Kontos und die letzte Fehlermeldung, die Google uns geschickt hat. Getrennt davon protokollieren wir, wann wir welche Property abgerufen haben, mit welchem Ergebnis und wie viele Abrufe auf sie entfielen — das brauchen wir, um Googles Abrufgrenzen einzuhalten. In diesen Protokollen stehen keine Besucherzahlen.

Diese Empfänger bekommen Daten aus der Search Console. Hier steht, was jeder von ihnen erhält. Sitz und Übermittlungsgrundlage finden Sie oben in der Liste dieses Abschnitts; für Slack und Ihre eigenen Zielsysteme fehlen sie dort noch — insoweit gilt der einleitende Absatz: wir benennen die Übermittlung und holen die Angabe der Grundlage nach. Nicht erneut aufgeführt sind die Dienstleister, die unseren Betrieb tragen und damit zwangsläufig alle Daten dieses Abschnitts speichern oder ausliefern: die Supabase Pte. Ltd. (Datenbank, Serverstandort Frankfurt) und die Vercel Inc. (Hosting); beide stehen mit Sitz und Grundlage oben.

Anthropic PBC, Google LLC und Amazon Web Services, Inc. (Sprachmodelle, über den AI Gateway der Vercel Inc.) — damit unser Assistent Alto Ihre Fragen beantworten und wir Strategievorschläge und Textentwürfe erzeugen können. Übermittelt werden dabei Suchanfragen, Seitenadressen, Klicks, Einblendungen, die Klickrate und Positionen. Die Adresse Ihrer Search-Console-Property geht bei jeder Anfrage an Alto mit, weil sie Teil seiner Lagebeschreibung ist — auch wenn Sie ihn nicht nach Suchdaten fragen. Welcher Anbieter eine einzelne Anfrage bedient, entscheidet das Gateway innerhalb der von uns freigegebenen Liste; für Modelle von Anthropic kann das auch über Amazon Web Services (Bedrock) oder über Google (Vertex AI) erfolgen, und die genannten Daten gehen dann dorthin mit. Grundlage ist die Erfüllung unseres Vertrags mit Ihnen (Art. 6 Abs. 1 lit. b DSGVO); die Anbieter handeln als unsere Auftragsverarbeiter, und wir geben bei jeder Anfrage vor, dass Ihre Eingaben nicht zum Training von Modellen verwendet werden dürfen.
Functional Software, Inc. (Sentry) — in Fehlermeldungen. Scheitert ein Abruf oder ein Speichervorgang, enthält die Meldung die Adresse Ihrer Property, die Kennung Ihres Arbeitsbereichs, gegebenenfalls eine Seitenadresse Ihrer Website und die unveränderte Fehlerantwort von Google. Bitten Sie Alto um ein Diagramm und erzeugt er keines, gehen zusätzlich die ersten 200 Zeichen Ihrer Frage und die ersten 300 Zeichen seiner Antwort mit; haben Sie ihn zuvor nach Suchanfragen gefragt, können darin Suchanfragen stehen. Grundlage ist unser berechtigtes Interesse an einem funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO).
PostHog, Inc. und Vercel Inc. (Reichweiten- und Produktanalyse) — um zu erkennen, ob eine Funktion benutzt wird und arbeitet. Übermittelt wird die Adresse Ihrer Search-Console-Property, ansonsten ausschließlich Zählwerte und Statusangaben: wie viele Zeilen ein Abgleich geschrieben hat, wie weit die abgerufene Historie zurückreicht, ob ein Lauf fehlgeschlagen ist. Suchanfragen, Seitenadressen, Klick-, Einblendungs- und Positionswerte gehen nicht als Ereignis an diese beiden Dienste. Haben Sie der Reichweitenmessung zugestimmt, kann PostHogs Sitzungsaufzeichnung allerdings mitschneiden, was auf Ihrem Bildschirm steht — und damit auch diese Werte. An die Reichweitenmessung der Vercel Inc. geht zusätzlich die vollständige Adresse der Seite, die Sie gerade aufgerufen haben, einschließlich ihrer Parameter. Grundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO); zur Ausgestaltung bei PostHog siehe Abschnitt 6.
DataForSEO OÜ — für die Messung Ihrer Sichtbarkeit in Antworten von KI-Systemen. Übermittelt wird die Domain, die wir aus Ihrer Search-Console-Property ableiten. Hinzu kommen können einzelne Suchanfragen daraus — bis zu fünfzig je Abruf —, wenn Alto sie für Sie weiter recherchiert, etwa um Suchvolumen oder Wettbewerb dazu zu ermitteln. Die Zeitreihe Ihrer Suchdaten mit Klicks, Einblendungen und Positionen geht nicht dorthin.
Plus Five Five, Inc. (Resend) — nur wenn Sie einen Alto-Bericht per E-Mail eingerichtet haben. Dieser Bericht enthält die Kennzahlen, die Sie darin angefordert haben, also in der Regel Klicks, Einblendungen, Position und Ihre stärksten Suchanfragen. Richten Sie keinen Bericht ein, geht an Resend kein Search-Console-Wert.
Google — beim Trennen der Verbindung übermitteln wir Ihr Aktualisierungs-Token, und falls es fehlt Ihr Zugriffstoken, an Googles Widerrufs-Endpunkt, damit die Freigabe auch auf Googles Seite endet. Das geschieht nur, wenn es Ihre letzte Google-Verbindung in diesem Arbeitsbereich ist: der Widerruf gilt bei Google für unsere gesamte Anwendung, nicht für eine einzelne Verbindung.
Slack — nur wenn Sie Slack verbunden haben. Fragen Sie Alto dort nach Ihren Suchdaten, oder haben Sie einen Alto-Bericht für einen Slack-Kanal eingerichtet, steht seine Antwort samt der genannten Zahlen im Kanal — und damit auch für die übrigen Mitglieder dieses Kanals.
Ihre eigenen Zielsysteme — Ihre WordPress-Website und, über unseren Dienstleister für die Veröffentlichung in sozialen Netzwerken, Ihre Social-Media-Konten. Bitten Sie Alto, aus Ihren Suchdaten einen Beitrag zu schreiben, kann der Text einzelne dieser Werte enthalten — jedenfalls die, die Sie ihm vorher abgefragt haben. Vor dem Veröffentlichen eines neuen Beitrags legt Alto Ihnen einen Auszug des Textes zur Bestätigung vor: die ersten 200 Zeichen, nicht den ganzen Beitrag. Drei Fälle laufen ohne diese Rückfrage: das Ändern eines bestehenden Beitrags (auch das kann ihn veröffentlichen), das Terminieren eines Beitrags auf ein späteres Datum, und ein wiederkehrender Auftrag, den Sie eingerichtet haben — dort haben Sie den Zeitplan bestätigt, nicht den einzelnen Beitrag.

Ihre Google-Analytics-Daten geben wir an keinen dieser Dienstleister weiter, mit einer Ausnahme: an PostHog und Vercel gehen bei jedem Abruf die Zahl der Sitzungen aus KI-Verweisen, die Anzahl der erkannten KI-Quellen und die Angabe, welchen Kennzahlensatz Ihre Property akzeptiert; liegt kein Vergleichswert vor, auch die Gesamtzahl der Sitzungen des Zeitraums. Das brauchen wir, um zu sehen, ob die Funktion arbeitet. Name und Kennung Ihrer Property gehen auch dorthin nicht. An ein Sprachmodell gelangen Ihre Analytics-Daten nicht — unser Assistent hat kein Werkzeug, das sie lesen kann. Was Sie ihm im Gespräch selbst schreiben, wird wie jede andere Nachricht verarbeitet (Abschnitt 7), auch Zahlen, die Sie aus dem Bericht übernehmen.

Wer nichts bekommt. An unseren Dienstleister für den Website-Abruf, an die Zahlungsabwicklung, an Google Ads und den Google Data Manager, an die Unternehmenserkennung auf unserer Website, an die Suchmaschinen-Benachrichtigung (IndexNow) übermitteln wir keine Daten aus Ihrer Search Console und keine aus Ihrem Analytics-Konto. Auch unsere Schnittstelle für externe KI-Assistenten (MCP) gibt sie nicht heraus. Wir verkaufen diese Daten nicht, geben sie nicht an Dritte zu deren eigenen Zwecken weiter und verwenden sie nicht für Werbung.

Limited Use. Für Daten, die wir über Googles Schnittstellen erhalten, gilt zusätzlich Googles „Limited Use“-Anforderung aus der API Services User Data Policy, und wir halten sie ein: Wir verwenden diese Daten ausschließlich, um Ihnen die Funktionen bereitzustellen und zu verbessern, für die Sie die Verbindung hergestellt haben. Wir geben sie nur an die oben benannten Empfänger weiter, und zwar nur, soweit es für diese Funktionen, zur Erfüllung einer gesetzlichen Pflicht oder zur Abwehr von Missbrauch und Sicherheitsvorfällen erforderlich ist. Verlangt eine Behörde oder ein Gericht die Offenlegung, folgen wir dem nur im rechtlich gebotenen Umfang. Übernimmt ein Dritter unseren Geschäftsbetrieb, geben wir diese Daten nur unter denselben Bedingungen weiter, die hier beschrieben sind. Wir verwenden sie nicht für Werbung, verkaufen sie nicht und übermitteln sie nicht an Datenhändler, Werbenetzwerke oder Anbieter von Kreditauskünften. Menschen auf unserer Seite lesen diese Daten nicht, um sie auszuwerten. Es gibt zwei Ausnahmen, und beide dienen der Störungsbeseitigung: Wenden Sie sich mit einem Problem an uns, können unsere Administratoren sich vorübergehend Zugang zu Ihrem Arbeitsbereich verschaffen und sehen dann dieselben Zahlen wie Sie — jede solche Übernahme wird protokolliert. Und unsere Entwickler sehen die oben genannten Angaben in Fehlermeldungen, beschränkt auf die Meldung selbst; diese Einsicht dient der Behebung des Fehlers, nicht der Auswertung, und wird nicht einzeln protokolliert.

Wie lange diese Daten bleiben — und was das Trennen nicht tut. Die Search-Console-Zeitreihe ist auf zwei Jahre Rückschau angelegt. Einen automatischen Löschlauf, der ältere Zeilen entfernt, gibt es derzeit nicht; ebenso löscht das Trennen der Verbindung in Growbase diese Zeitreihe nicht, sondern nur Ihre Zugangsdaten und die gewählte Property — die Adresse Ihrer Property steht danach weiter in jeder Zeile der Zeitreihe und im Abholstand. Die Zeitreihe endet mit der Löschung Ihres Arbeitsbereichs. Von den Abrufprotokollen bleibt dabei die Abrechnungszeile bestehen; den Nutzerbezug und die Seitenadressen entfernen wir daraus, die Kennung Ihrer Analytics-Property bleibt darin stehen. Den Analytics-Bericht löschen wir, sobald Sie die Property wechseln oder die Verbindung trennen. Möchten Sie die Zeitreihe vorher gelöscht haben, genügt eine E-Mail an kontakt@getgrowbase.com. Unabhängig davon können Sie unseren Zugriff jederzeit in Ihrem Google-Konto entziehen; Daten, die wir bis dahin abgerufen haben, bleiben davon unberührt.

Auch Stripe ist für die eigentliche Zahlungsabwicklung eigenständig Verantwortliche und nicht unsere Auftragsverarbeiterin: Stripe bestimmt Zweck und Mittel der Verarbeitung insoweit selbst und unterliegt als Zahlungsinstitut eigenen aufsichtsrechtlichen Pflichten, insbesondere zur Erkennung und Verhinderung von Betrug sowie zur Geldwäscheprävention und Identitätsprüfung. Rechtsgrundlage für die Übermittlung Ihrer Daten an Stripe ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des mit Ihnen geschlossenen Vertrags); für die genannten Prüfpflichten verarbeitet Stripe Ihre Daten auf Grundlage von Art. 6 Abs. 1 lit. c und lit. f DSGVO. Es gilt insoweit die Datenschutzerklärung von Stripe (stripe.com/privacy). Soweit Stripe Daten in unserem Auftrag verarbeitet, haben wir mit Stripe einen Vertrag zur Auftragsverarbeitung geschlossen.

6. Cookies, Reichweitenmessung und Werbung

Technisch notwendige Cookies verwenden wir ausschließlich für die Authentifizierung angemeldeter Nutzer sowie zur Speicherung Ihrer Cookie-Entscheidung (§ 25 Abs. 2 Nr. 2 TDDDG).

Ohne Ihre Einwilligung messen wir die Nutzung unseres Angebots mit PostHog (EU-Hosting) in einer cookielosen Konfiguration: Es werden weder Cookies gesetzt noch Informationen im Speicher Ihres Endgeräts abgelegt oder ausgelesen; Besucher werden nicht über mehrere Besuche hinweg wiedererkannt, und Session-Aufzeichnungen finden nicht statt. Ebenso wird kein Google-Dienst geladen und keine Verbindung zu Google hergestellt. Rechtsgrundlage ist unser berechtigtes Interesse an der Analyse und Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO). Ein aktiviertes „Do Not Track“-Signal Ihres Browsers respektieren wir.

Ihre Entscheidung im Cookie-Hinweis umfasst fünf voneinander unabhängige Zwecke (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Sie können jedem einzeln zustimmen und jeden einzeln ablehnen; ohne Ihre Zustimmung ist jeder von ihnen aus, und keiner setzt einen anderen voraus:

Reichweitenmessung. PostHog speichert zusätzlich Informationen im lokalen Speicher und in Cookies, um Sie über mehrere Besuche hinweg wiederzuerkennen, und zeichnet Sitzungen auf (Session-Recordings; Eingaben in Formularfelder werden dabei maskiert), um Nutzungsprobleme zu erkennen und Growbase zu verbessern. Mit derselben Einwilligung laden wir außerdem Google Analytics 4 und setzen dessen Cookies (_ga und _ga_*, Laufzeit bis zu 24 Monate), um zu erkennen, über welchen Kanal Besucher zu uns finden. Da unsere Website und die Anwendung unter zwei Adressen erreichbar sind, wird Ihre Sitzung beim Wechsel zwischen getgrowbase.com und app.getgrowbase.com als dieselbe erkannt; dazu hängt Google beim Klick eine Kennung an die Ziel-Adresse an. Wir haben die Aufbewahrung bei Google auf 14 Monate begrenzt, die automatische Erfassung von E-Mail-Adressen, Telefonnummern und Namen abgeschaltet und die Weitergabe Ihrer Daten an Google für eigene Zwecke des Anbieters deaktiviert.
Werbemessung. Wir dürfen speichern, über welche Anzeige Sie zu uns gefunden haben, und einen späteren Vertragsabschluss dieser Anzeige zuordnen. Grundlage ist eine Kennung, die Google beim Klick an die Ziel-Adresse anhängt; wir bewahren sie zusammen mit dem Zeitpunkt und der aufgerufenen Seite auf.
Übermittlung an Google. Kommt ein kostenpflichtiger Vertrag zustande, dürfen wir Ihre E-Mail-Adresse als SHA-256-Hashwert an die Google Ireland Limited übermitteln — niemals im Klartext —, damit Google den Abschluss der Anzeige zuordnen kann („Enhanced Conversions“, siehe Abschnitt 5).
Personalisierte Werbung. Google darf die übermittelten Daten verwenden, um Ihnen auf Sie zugeschnittene Anzeigen auszuspielen.
Erkennung Ihres Unternehmens. Wir dürfen ein Skript der lemlist SAS laden. Es übermittelt an lemlist: Ihre IP-Adresse, die Adresse der aufgerufenen Seite, Ihre Verweildauer auf ihr, die Anzahl Ihrer Klicks und die Kennung Ihres Browsers (User-Agent). Daraus ermittelt lemlist das Unternehmen, für das Sie arbeiten — damit wir es ansprechen können. Ihr Name wird dabei nicht ermittelt. Das Skript speichert nichts auf Ihrem Gerät und lädt keine weiteren Dienste nach. Es läuft ausschließlich auf getgrowbase.com und niemals im angemeldeten Bereich (app.getgrowbase.com); auf Seiten, deren Adresse einen persönlichen Zugangslink enthält, wird es ebenfalls nicht geladen. Zu den Unterauftragsverarbeitern, die lemlist für die Ermittlung einsetzt, siehe Abschnitt 5.

Wo Ihre Entscheidung liegt. Wir speichern sie in einem Cookie namens growbase_consent, das für getgrowbase.com einschließlich der Unterdomains gilt — also auch für app.getgrowbase.com. Das ist der Grund, warum Sie den Cookie-Hinweis nur einmal beantworten müssen und nicht erneut, sobald Sie sich anmelden. Das Cookie enthält, welchen der fünf Zwecke Sie zugestimmt haben, den Zeitpunkt und die Fassung dieses Textes, und es gilt 180 Tage; danach fragen wir erneut. Ändern sich die Zwecke, fragen wir ebenfalls erneut, auch wenn die 180 Tage noch nicht abgelaufen sind.

Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ im Seitenfuß widerrufen — einzeln je Zweck oder insgesamt. Widerrufen Sie die Reichweitenmessung, werden die von PostHog gespeicherten Kennungen dabei entfernt, und die Messung durch Google Analytics wird ab diesem Zeitpunkt ausgesetzt; bereits gesetzte Google-Cookies verbleiben bis zu ihrem Ablauf auf Ihrem Gerät und können von Ihnen jederzeit im Browser gelöscht werden. Widerrufen Sie die Werbezwecke, findet ab diesem Zeitpunkt keine Übermittlung an Google mehr statt. Widerrufen Sie die Erkennung Ihres Unternehmens, entfernen wir das Skript und laden die Seite neu — das ist nötig, weil bereits ausgeführter Code eines Anbieters sich nicht zurückrufen lässt und erst mit dem Neuladen endet. Dabei sendet das Skript ein letztes Mal die oben genannten Angaben zu der Seite, auf der Sie sich gerade befinden; das lässt sich technisch nicht verhindern, weil dasselbe auch geschähe, wenn Sie die Seite einfach verließen. Danach findet keine Übermittlung mehr statt.

7. Verarbeitung durch Künstliche Intelligenz

Growbase setzt an zwei Stellen Sprachmodelle ein. Die beiden Wege sind technisch und rechtlich getrennt, und es sind unterschiedliche Dienstleister daran beteiligt.

Erstens: Ihr Assistent Alto. Alto erstellt und überarbeitet Ihre Inhalte, wertet Ihre Website- und Strategiedaten aus und beantwortet Ihre Fragen im Chat. Dafür werden die jeweils benötigten Inhalte über den AI Gateway der Vercel Inc. an die Sprachmodelle der Anthropic PBC und der Google LLC übermittelt und dort verarbeitet; für Modelle von Anthropic kann das auch über die Amazon Web Services, Inc. (Bedrock) erfolgen. Die Verarbeitung findet in den USA statt; Grundlage sind die EU-Standardvertragsklauseln. Personenbezogene Daten sind darin enthalten, soweit sie in Ihren Eingaben oder Ihren eigenen Seiteninhalten vorkommen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO: die Verarbeitung durch Alto ist die vertraglich geschuldete Leistung. Einzelheiten zur Anbieterin und zu ihren Unterauftragsverarbeitern finden Sie in Abschnitt 5.

Zweitens: die Messung Ihrer KI-Sichtbarkeit. Hier fragen wir öffentliche Sprachmodelle danach, welche Anbieter sie auf bestimmte Fragen nennen. Diese Abfragen laufen nicht über Alto und nicht über die oben genannte Infrastruktur, sondern über die DataForSEO OÜ (Estland, EU), die die Fragen an die Modelle stellt und uns die Antworten zurückliefert. Übermittelt werden dabei Ihre Domain und die von Ihnen bestätigten Fragen — nicht Ihre Kundendaten und nicht die Inhalte, die Sie mit Alto erstellen. Rechtsgrundlage ist ebenfalls Art. 6 Abs. 1 lit. b DSGVO. Auch hierzu finden Sie die Einzelheiten in Abschnitt 5.

Kein Training mit Ihren Daten. Weder Ihre Eingaben noch Ihre Inhalte werden zum Training von KI-Modellen verwendet — weder durch uns noch durch die eingesetzten Dienstleister oder deren Modellanbieter. Das ist vertraglich zugesichert.

Keine automatisierte Entscheidung im Sinne des Art. 22 DSGVO. Alto macht Vorschläge, bewertet Inhalte und erstellt Entwürfe. Ob ein Vorschlag umgesetzt oder ein Text veröffentlicht wird, entscheiden Sie. Eine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung trifft das System nicht.

Was Sprachmodelle können und was nicht. Von Sprachmodellen erzeugte Texte und Auswertungen können sachlich falsch sein. Prüfen Sie Inhalte, bevor Sie sie veröffentlichen. Die Ergebnisse der KI-Sichtbarkeitsmessung sind Momentaufnahmen: Modelle antworten auf dieselbe Frage nicht immer gleich.

8. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten es verlangen:

Konto- und Nutzungsdaten: für die Dauer Ihres Kontos. Nach einem Löschverlangen werden die Inhalte Ihres Arbeitsbereichs nach 30 Tagen endgültig gelöscht; die Frist gibt Ihnen Gelegenheit, eine versehentliche Löschung zu widerrufen.
Vertrags- und Abrechnungsdaten: bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen von bis zu zehn Jahren (§ 147 AO, § 257 HGB). Diese Daten sind vom Löschanspruch ausgenommen, solange die Aufbewahrungspflicht besteht (Art. 17 Abs. 3 lit. b DSGVO); wir schränken die Verarbeitung dann auf die Aufbewahrung ein.
Zahlungsbezogene Ereignisdaten, die wir von Stripe erhalten: Die darin enthaltenen personenbezogenen Angaben werden nach 30 Tagen entfernt, der verbleibende technische Datensatz nach 180 Tagen gelöscht.
Angabe, dass die kostenlose Testphase genutzt wurde: für die Dauer Ihres Nutzerkontos. Wir speichern sie zur Missbrauchsabwehr, damit die einmalige Testphase nicht durch wiederholte Anmeldung umgangen wird (Art. 6 Abs. 1 lit. f DSGVO). Löschen Sie Ihr Nutzerkonto, wird diese Angabe gelöscht — wir bewahren sie nicht darüber hinaus auf. Unabhängig davon ergibt sich aus den Vertragsdaten Ihres Arbeitsbereichs, ob dort bereits eine Testphase lief; diese Angabe entfällt erst mit der Löschung des Arbeitsbereichs und unterliegt den unten genannten Aufbewahrungsfristen für Vertragsdaten.
Bestehen eines laufenden kostenpflichtigen Zugangs: Solange ein kostenpflichtiger Vertrag den Zugang noch gewährt — also während der Testphase, bei laufender Zahlung und während einer Zahlungsstörung, in der der Zugang noch besteht —, verschieben wir die endgültige Löschung bis zum Vertragsende (Art. 17 Abs. 3 lit. b DSGVO). Ist der Zugang endgültig beendet oder gesperrt, löschen wir zu der oben genannten 30-Tage-Frist, auch wenn eine Mindestvertragslaufzeit rechnerisch noch liefe. Die Abrechnung endet unabhängig davon zum vereinbarten Vertragsende.
Im Arbeitsbereich erzeugte Inhalte (Artikel, Entwürfe, geplante Beiträge, Analysen): für die Dauer des Vertrags und danach längstens 30 Tage. Nach Ablauf dieser Frist löschen wir sie, auch wenn der Arbeitsbereich selbst noch besteht.
Daten aus Ihrer Google Search Console und Ihrem Google Analytics: abweichend vom vorstehenden Punkt. Die Search-Console-Zeitreihe bleibt bis zur Löschung Ihres Arbeitsbereichs; einen automatischen Löschlauf gibt es derzeit nicht, und das Trennen der Verbindung löscht sie nicht. Die Messwerte je Artikel gehen mit dem Artikel. Vom Analytics-Konto bleibt nur der zuletzt abgerufene Bericht, und den löschen wir beim Wechsel der Property oder beim Trennen. Die Einzelheiten stehen in Abschnitt 5 unter „Daten aus Ihrer Google Search Console und Ihrem Google Analytics“.
Zugangsdaten zu Systemen, die Sie verbunden haben (etwa WordPress oder Social-Media-Konten): bis zur Löschung des Arbeitsbereichs. Wir verwenden sie nach Vertragsende nicht mehr, bewahren sie aber auf, damit eine Wiederaufnahme ohne erneute Einrichtung möglich bleibt (Art. 6 Abs. 1 lit. f DSGVO). Sie können den Zugriff jederzeit im jeweiligen System entziehen oder die vorzeitige Löschung verlangen.
Nachweis der Unternehmereigenschaft (Firmenname, Umsatzsteuer-Identifikationsnummer, Wortlaut und Zeitpunkt Ihrer Bestätigung nach § 1 der AGB): bis zum Ablauf der handels- und steuerrechtlichen Aufbewahrungsfristen. Wir erheben ihn, weil sich unser Angebot ausschließlich an Unternehmer richtet und wir dies im Streitfall belegen können müssen (Art. 6 Abs. 1 lit. b und lit. c DSGVO).
Ihre Cookie-Entscheidung: für die in Abschnitt 6 genannte Dauer. Wir speichern sie, weil wir sie einhalten müssen (§ 25 Abs. 2 Nr. 2 TDDDG); ohne diese Angabe müssten wir Sie auf jeder Seite erneut fragen.
Kontakt- und Supportkorrespondenz: bis zu sechs Monate nach Abschluss des Vorgangs, sofern keine längere Aufbewahrung gesetzlich geboten ist.

9. Ihre Rechte

Sie haben das Recht auf:

Auskunft über Ihre gespeicherten Daten (Art. 15 DSGVO)
Berichtigung unrichtiger Daten (Art. 16 DSGVO)
Löschung Ihrer Daten (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Die für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

10. Datensicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um Ihre Daten zu schützen. Die Übertragung erfolgt verschlüsselt über TLS. Der Zugriff auf Datenbanken ist durch Row Level Security (RLS) geschützt.

11. Kontakt

Bei Fragen zum Datenschutz erreichen Sie uns unter:
kontakt@getgrowbase.com