Datenschutzerklärung

Verantwortlicher

Verantwortlich für die Verarbeitung deiner Daten auf dieser Website und in der App ist:
Andrej Gluchow, Brahmsstr. 6, 57577 Hamm, Deutschland
E-Mail: info@certentis.com

Wo unten der Vertrag mit dir als Rechtsgrundlage steht (Art. 6 Abs. 1 lit. b DSGVO) und nicht du selbst, sondern dein Unternehmen unser Vertragspartner ist, stützen wir uns stattdessen auf unser berechtigtes Interesse, den Vertrag mit deinem Unternehmen zu erfüllen (Art. 6 Abs. 1 lit. f DSGVO).

Was wir verarbeiten und wozu

Aufruf der Website

Wenn du eine Seite aufrufst, speichert unser Hosting-Anbieter Vercel technische Daten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Wir brauchen sie, um die Website auszuliefern und Angriffe abzuwehren (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolle werden nach [Aufbewahrungsdauer der Vercel-Protokolle im gebuchten Tarif] gelöscht.

Konto und Anmeldung

Für dein Konto speichern wir deine E-Mail-Adresse, dein Passwort nur als Hash (also nie im Klartext) und deine Spracheinstellung. Meldest du dich mit Google an, übermittelt uns Google deinen Namen, deine E-Mail-Adresse und dein Profilbild (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Bestätigungs-E-Mails verschicken wir über Supabase. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO). Bei jeder Anmeldung protokolliert Supabase deine IP-Adresse und deinen Browser, um Missbrauch zu erkennen (Art. 6 Abs. 1 lit. f DSGVO). Diese Protokolle werden nach [Aufbewahrungsdauer der Supabase-Anmeldeprotokolle] gelöscht. Damit niemand Passwörter durchprobiert, zählen wir außerdem Anmeldeversuche je IP-Adresse und E-Mail-Adresse. Beide speichern wir dafür nur als Hash, und die Zähler verfallen nach 15 Minuten (Art. 6 Abs. 1 lit. f DSGVO).

Projekte und Artikel

Um den Dienst zu erbringen, speichern wir, was du in der App anlegst: Domains, Unternehmensbeschreibung, Zielgruppen, Konkurrenten, Keywords, Chats der Keyword-Recherche, Artikel, Antworten auf Expertenfragen, Angaben zum Autor und hochgeladene Bilder (Art. 6 Abs. 1 lit. b DSGVO). Datenbank und Dateien liegen bei Supabase in Frankfurt am Main. Bilder aus Artikeln und Stilvorlagen liegen unter einer öffentlichen, nicht erratbaren Adresse, damit du sie auf deiner Website einbinden kannst. Wer diese Adresse kennt, kann das Bild abrufen.

Während Citapult eine Recherche oder einen Artikel bearbeitet, speichert Vercel die Zwischenschritte, damit die Bearbeitung nach einer Unterbrechung weiterläuft (Art. 6 Abs. 1 lit. b DSGVO). Sie werden nach [Aufbewahrungsdauer der Vercel-Workflow-Daten] gelöscht.

Bezahlung

Startest du den Pro-Test oder buchst du Pro, legen wir dich bei Stripe als Kunden an und übermitteln dafür deine E-Mail-Adresse, deine Sprache und eine interne Kennung deines Kontos. Im Bezahlfenster von Stripe gibst du dann Name, Rechnungsanschrift, auf Wunsch deine USt-IdNr. und deine Zahlungsdaten ein (Art. 6 Abs. 1 lit. b und c DSGVO). Pro nach dem Test, „Jetzt Pro starten“ und Add-ons berechnet Stripe je Website über die dort hinterlegte Zahlungsart. Stripe erstellt die Rechnungen und zieht die Zahlungen ein. Wir speichern bei uns nur deine Kundennummer bei Stripe und was die Abos deiner Websites umfassen; deine Karten- oder Kontodaten sehen wir nicht. Von Stripe erfahren wir, ob eine Zahlung gelungen ist, damit wir eine Website pausieren können, solange ihre Zahlung fehlschlägt. Stripe verarbeitet Zahlungsdaten auch in eigener Verantwortung, etwa um Betrug zu verhindern.

Texte und Bilder mit KI

Für Profil-Vorschläge, die Bewertung von Keywords, Artikel, Umformulierungen und Bilder senden wir die nötigen Inhalte an OpenRouter, Inc. (USA). OpenRouter leitet sie an einen Anbieter weiter, der das gewählte Modell betreibt, etwa OpenAI (USA). Dazu gehören Texte deiner Website, deine Projektangaben, deine Antworten auf Expertenfragen und Bilder, die du als Stilvorlage hochlädst. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO). Gib personenbezogene Daten anderer Menschen nur ein, wenn der Artikel sie braucht.

Keyword- und Suchdaten

Für Suchvolumen, Schwierigkeit und Google-Ergebnisse senden wir Keywords, Domains und die gewählte Sprache an DataForSEO und Serper. Angaben zu deinem Konto senden wir nicht mit. Um Inhalte zu lesen, ruft unser Server öffentliche Seiten deiner Domain und der Suchergebnisse ab. Kann er eine Seite nicht selbst lesen, schickt er ihre Adresse an Serper, das sie für uns abruft. Ist „YouTube-Video einbetten“ an, sucht er auf YouTube nach einem passenden Video.

Sichtbarkeit in Google und KI-Antworten

Nutzt du die Sichtbarkeitsmessung, fragen wir regelmäßig die Keywords und Fragen ab, die du für deine Website verfolgst: Google-Rankings über Serper und DataForSEO, Antworten von ChatGPT, Google AI Overview und Google AI Mode über DataForSEO und Antworten von Gemini über OpenRouter. Diese Dienste erhalten den Text der Abfrage, Sprache und Land. Um die Antworten auszuwerten, schicken wir sie zusammen mit dem Namen deiner Marke und den Domains deiner Konkurrenten an ein Sprachmodell bei OpenRouter. Trägst du Empfänger für den Wochenbericht ein, speichern wir ihre E-Mail-Adressen. Verschickt wird der Bericht derzeit noch nicht. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Google Search Console

Verbindest du ein Projekt mit der Google Search Console, gibst du uns bei Google nur Lesezugriff. Dafür speichern wir einen Zugangsschlüssel von Google, verschlüsselt. Mit ihm holen wir täglich die Klicks, Impressionen und Positionen der gewählten Property, je Tag, Seite und Suchanfrage (die Suchanfragen getrennt nach den Ländern deiner Sprachen), und speichern sie zum Projekt. Die Zahlen bleiben bei uns: Überarbeitet der Agent einen fallenden Artikel, erfährt das Sprachmodell nur, dass er gefallen ist. In deiner Search Console ändern wir nichts. Trennst du die Verbindung, löschen wir den Schlüssel und die Zahlen; nur eine Verbesserung behält die Zahlen ihres Artikels, die sie ausgelöst haben. Den Zugriff selbst entziehst du in deinem Google-Konto unter „Drittanbieter-Apps und -Dienste“. Rechtsgrundlage ist der Vertrag mit dir (Art. 6 Abs. 1 lit. b DSGVO).

Veröffentlichen auf deiner Website

Verbindest du ein Projekt mit WordPress, Webflow, einem Webhook oder deiner Next.js-Website, speichern wir die dafür nötigen Schlüssel verschlüsselt. Citapult überträgt Artikel und Bilder dann an deine Website oder an Webflow oder hält sie für deine Website zum Abruf bereit (Art. 6 Abs. 1 lit. b DSGVO). Was dort mit den Inhalten geschieht, verantwortest du oder der Anbieter deiner Website.

Reichweitenmessung und Werbung

Wir nutzen Google Analytics, um zu sehen, wie Website und App genutzt werden, und Google Ads, um zu messen, welche unserer Anzeigen zu Registrierungen und Käufen führen. Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Beides ist eingeschaltet, bis du es ausschaltest. Beim ersten Besuch erscheint unten auf der Seite ein Hinweis, in dem du Analyse und Werbung einzeln oder zusammen ausschalten kannst. Später geht das jederzeit über „Cookie-Einstellungen“ in der Fußzeile der Website, auf den Anmeldeseiten und in der App (Fußzeile und Kontomenü).

Solange Analyse eingeschaltet ist, erhält Google Analytics Seitenaufrufe und diese Ereignisse: Registrierung und Anmeldung (per E-Mail oder Google), Beginn eines Kaufs und Kauf mit Betrag und Währung, die Schritte der Einrichtung, neu angelegte Websites, erstellte und veröffentlichte Artikel und die Verbindung mit der Search Console. Seitenadressen kürzen wir vorher, sodass Kennungen von Projekten und Artikeln, Suchparameter und Seitentitel nicht an Google gehen. Die Ereignisse enthalten nur interne Kennungen, Beträge und feste Werte, keine Namen, E-Mail-Adressen oder Domains. Bist du angemeldet, senden wir die interne Kennung deines Kontos als Nutzer-ID mit. Google setzt dafür die Cookies _ga und _ga_…. Die Kennung aus _ga speichern wir zu deinem Konto, damit unser Server Käufe sowie erstellte und veröffentlichte Artikel auch dann an Google Analytics melden kann, wenn gerade keine Seite offen ist.

Solange Werbung eingeschaltet ist und du über eine Anzeige kommst, merken wir uns die Klick-Kennung aus der Adresse (gclid, gbraid oder wbraid) und die Kampagnenangaben utm_source, utm_medium und utm_campaign 90 Tage lang in einem Cookie. Registrierst du dich oder buchst du, speichern wir sie zu deinem Konto und zur Buchung. Nach deiner ersten Zahlung und nach jeder Verlängerung eines Abos melden wir Google Ads die Klick-Kennung, Zeitpunkt, Betrag und Währung der Zahlung und die Rechnungsnummer von Stripe. Name, E-Mail-Adresse oder Telefonnummer gehen dabei nicht an Google. Das Google-Ads-Tag im Browser setzt Cookies, deren Name mit _gcl_ beginnt.

Rechtsgrundlage ist unser berechtigtes Interesse, die Nutzung unseres Angebots zu messen und unsere Werbung gezielt einzusetzen (Art. 6 Abs. 1 lit. f DSGVO). [Opt-out-Lösung nach § 25 TDDDG anwaltlich prüfen] Google kann die Daten auch in den USA verarbeiten und stützt sich dafür auf den EU-US-Datenschutzrahmen.

Schaltest du Analyse oder Werbung aus, gilt das sofort: Wir löschen die zugehörigen Cookies, senden keine Ereignisse mehr und streichen Meldungen an Google, die noch ausstehen. Bist du angemeldet, speichern wir deine Wahl auch in deinem Konto, löschen die dort hinterlegte Analytics-Kennung bzw. Klick-Kennung und Kampagnenangaben und melden nichts mehr an Google, solange es ausgeschaltet bleibt. Die Angaben, die wir bei deiner Registrierung und bei Buchungen mit festgehalten haben, bleiben bis zur Löschung deines Kontos gespeichert. Das Google-Tag lädt dein Browser trotzdem von Google. Google erhält dabei deine IP-Adresse und Angaben zu deinem Browser, das Tag setzt aber keine Analyse- oder Werbe-Cookies mehr. Was Google bereits erhalten hat, löscht Google nach [Aufbewahrungsdauer in Google Analytics und Google Ads].

Bilder von anderen Servern

Beim Einrichten zeigt dir die App Bilder von deiner Website, in den Einstellungen Bilder unter Adressen, die du als Beispiel einträgst. Diese Bilder lädt dein Browser direkt von dem Server, auf dem sie liegen. Dieser Server erhält dabei deine IP-Adresse und Angaben zu deinem Browser, aber nicht die Adresse der Seite, von der die Anfrage kommt (Art. 6 Abs. 1 lit. b DSGVO).

Eingebettete YouTube-Videos

Enthält ein Artikel ein YouTube-Video, zeigt der Editor zunächst nur einen Platzhalter. Erst wenn du darauf klickst, lädt er das Video von youtube-nocookie.com, einem Dienst der Google Ireland Limited. Dabei erhält Google deine IP-Adresse und Angaben zu deinem Browser, und YouTube kann Cookies oder ähnliche Speicher auf deinem Gerät nutzen. Google kann diese Daten auch in den USA verarbeiten und stützt sich dafür auf den EU-US-Datenschutzrahmen. Mit dem Klick willigst du für dieses eine Video ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Schließt du die Seite oder lädst sie neu, lädt der Editor kein Video mehr, bis du wieder klickst. Cookies, die YouTube schon gesetzt hat, löschst du in deinem Browser.

Cookies und lokaler Speicher

Diese Cookies und Einträge im Browser-Speicher gibt es bei Citapult:

• Anmeldung: Supabase hält deine Sitzung in Cookies, solange du angemeldet bist.
• rq_consent: deine Auswahl in den Cookie-Einstellungen, ein Jahr lang.
• rq_ads_click: Klick-Kennung und Kampagnenangaben einer Anzeige, 90 Tage, nur solange Werbung eingeschaltet ist.
• rq_events: reicht nach einer Weiterleitung ein Ereignis wie die Anmeldung an die nächste Seite weiter, höchstens fünf Minuten, nur solange Analyse eingeschaltet ist.
• _ga und _ga_… von Google Analytics, solange Analyse eingeschaltet ist, und _gcl_… von Google Ads, solange Werbung eingeschaltet ist. Wie lange sie gelten, legt Google fest.
• Im Speicher deines Browsers: ob du das helle oder dunkle Design gewählt hast, die Liste deiner Chats in der Keyword-Recherche und, bis du den Tab schließt, kurze Merker, etwa dass gerade ein Artikel entsteht oder ein Ereignis schon gemeldet ist. Diese Einträge verlassen dein Gerät nicht.

Die Sitzung, deine Auswahl und die Einträge im Browser-Speicher sind nötig, damit der Dienst und deine Einstellungen funktionieren, und brauchen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG). Analyse und Werbung kannst du jederzeit ausschalten, siehe „Reichweitenmessung und Werbung“. Zu eingebetteten YouTube-Videos siehe oben. Schriften laden wir von unserem eigenen Server.

Empfänger und Übermittlung in Drittländer

Diese Dienstleister verarbeiten Daten in unserem Auftrag:

• Vercel Inc., USA: Hosting und Zwischenschritte laufender Bearbeitungen, Serverregion [Vercel-Funktionsregion]
• Supabase Inc., USA: Datenbank, Anmeldung und Dateien, Server in Frankfurt am Main
• Stripe Payments Europe, Limited, Irland: Zahlungen, Abos und Rechnungen (teils in eigener Verantwortung, siehe „Bezahlung“)
• OpenRouter, Inc., USA: KI-Modelle, leitet Anfragen an den Anbieter des Modells weiter
• [DataForSEO: Firma und Land]: Suchvolumen und Keyword-Daten
• [Serper: Firma und Land]: Google-Ergebnisse und Abruf von Seiten
• Google Ireland Limited, Irland: Google Analytics und Google Ads, solange du sie nicht ausschaltest; Google kann Daten auch in den USA verarbeiten

Übermittlungen in die USA stützen wir auf den EU-US-Datenschutzrahmen (Data Privacy Framework, Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und sonst auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Speicherdauer

Wir speichern deine Daten, solange dein Konto besteht. Endet Pro für eine Website, bleiben ihre Daten in deinem Konto. Dein Konto löschen wir, wenn du uns per E-Mail darum bittest, innerhalb von [Frist, z. B. 30 Tagen]. Dabei trennen wir verbundene Websites, beenden laufende Abos sofort und löschen deinen Zugang, Projekte, Artikel, Bilder, Search-Console-Daten und die Empfänger des Wochenberichts. Teilst du das Konto mit anderen, entfernen wir nur dich daraus. Laufende Bearbeitungen brechen wir ab; ihre Zwischenschritte löscht Vercel nach [Aufbewahrungsdauer der Vercel-Workflow-Daten].

Was bleibt: Rechnungsdaten bei Stripe, so lange Handels- und Steuerrecht es vorschreiben, höchstens zehn Jahre (§ 257 HGB, § 147 AO), und unsere Kostenbuchhaltung, aus der wir jeden Bezug zu deinem Konto entfernen. In den Meldungen an Google löschen wir Klick- und Analytics-Kennungen nach 90 Tagen. Die zu deinem Konto gespeicherten löschen wir, wenn du Werbung bzw. Analyse ausschaltest; die Angaben aus Registrierung und Buchungen bleiben bis zur Löschung des Kontos (siehe „Reichweitenmessung und Werbung“).

Deine Rechte

Du kannst Auskunft über deine Daten verlangen (Art. 15 DSGVO), ihre Berichtigung (Art. 16), ihre Löschung (Art. 17), die Einschränkung der Verarbeitung (Art. 18) und eine Kopie in einem gängigen Format (Art. 20). Eine Einwilligung kannst du jederzeit für die Zukunft widerrufen (Art. 7 Abs. 3). Eine E-Mail an info@certentis.com genügt. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77), zum Beispiel bei der für uns zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz.

Die Angaben für dein Konto brauchen wir, um den Vertrag zu erfüllen. Ohne sie kannst du Citapult nicht nutzen. Gesetzlich verpflichtet bist du dazu nicht.

Widerspruchsrecht

Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du jederzeit widersprechen, wenn sich die Gründe dafür aus deiner besonderen Situation ergeben (Art. 21 DSGVO). Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die deine Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Google Analytics und Google Ads kannst du jederzeit ohne Angabe von Gründen selbst ausschalten, unter „Cookie-Einstellungen“.