Datenschutzhinweise

1. Verantwortlicher und Kontakt

Verantwortlicher ist Benedikt Balint, Graftkit, Wasserstr. 4, 77652 Offenburg, Deutschland. Kontakt für Datenschutz und Betroffenenrechte: hello@graftkit.dev. Diese Hinweise beschreiben eigene Website-, Konto-, Kommunikations- und Vertragsverarbeitung. Soweit wir Kundendaten als Auftragsverarbeiter verarbeiten, entscheidet der jeweilige Kunde über Zwecke und Rechtsgrundlagen; hierfür gilt die gesonderte AVV.

Diese Fassung ist ein Entwurf zur Prüfung vor Veröffentlichung. Tatsächliche Anbieter-Konfigurationen und Freigaben müssen vor produktiver Nutzung mit diesen Angaben abgeglichen werden. Ein Vertragsabschluss ist keine Einwilligung in optionale Analyse.

2. Websitebereitstellung und Sicherheit

Beim Abruf verarbeiten Hosting und Auslieferung technische Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource und Browserinformationen. Vercel stellt Website und App bereit. Zweck ist die Beantwortung Ihrer Anfrage, Stabilität, Fehleranalyse und Missbrauchsschutz; Grundlage ist Art. 6 Abs. 1 lit. f DSGVO mit unserem Interesse an einem sicheren Internetangebot.

Zur Absicherung entsprechender Formulare kann Cloudflare Turnstile Verbindungs-, Browser- und Challenge-Daten prüfen. Das dient der Abwehr automatisierten Missbrauchs, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Soweit Speicherung oder Zugriff auf dem Endgerät für den ausdrücklich gewünschten sicheren Dienst unbedingt erforderlich ist, richtet sich dies nach § 25 Abs. 2 TDDDG; darüber hinausgehende Zugriffe benötigen eine Einwilligung. Die konkrete Integration ist vor Freigabe rechtlich zu bewerten.

3. Kontakt, Anfragen und E-Mail

Wenn Sie uns schreiben oder ein Kontakt-, Partner- oder Zugangsformular verwenden, verarbeiten wir Ihre angegebenen Kontakt- und Unternehmensdaten, den Inhalt und notwendige Bearbeitungsmetadaten. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO für Anbahnung oder Durchführung eines Vertrags mit Ihnen, sonst lit. f für die sachgerechte Beantwortung geschäftlicher Anfragen.

Resend unterstützt Versand von Systemmails und technischen Empfang beziehungsweise Weiterleitung. E-Mail-Inhalte und Zustellinformationen können dabei verarbeitet werden. Nicht mehr benötigte Anfragen werden gelöscht, soweit kein fortbestehender Vorgang oder gesetzlicher Aufbewahrungsgrund besteht. Ohne eigene Zustimmung erfolgt daraus keine Newsletter- oder Werbelistenanmeldung.

4. Konto, Workspace und Vertragsnachweise

Für Registrierung, Anmeldung, Wiederherstellung und Nutzung verarbeiten wir E-Mail-Adresse, Kontonamen, Authentifizierungsdaten, Rollen, Workspace-Zuordnung und notwendige technische Sicherheitsinformationen. Bei Unternehmensannahme kommen juristischer Name, Geschäftsanschrift, Vertretungsbestätigung sowie Version und serverseitiger Zeitpunkt des Vertragsnachweises hinzu. Convex stellt Backend, Authentifizierung und Datenhaltung bereit.

Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind, andernfalls lit. f für die Durchführung des Unternehmensvertrags und sichere Zugriffsverwaltung. Gesetzliche Nachweise stützen sich auf lit. c; erforderliche Anspruchs- und Vertragsnachweise auf lit. f. Kontakt- und Vertragsangaben sind für Konto beziehungsweise Vertrag erforderlich; ohne sie können wir die jeweilige Leistung nicht anbieten.

Zur einmaligen Testberechtigung wird eine pseudonyme Wiedererkennungskennung vorgehalten. Sie bleibt personenbezogen einordenbar und wird derzeit nicht automatisch bereinigt. Grundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, Mehrfachtests und Missbrauch zu verhindern. Notwendigkeit und Dauer sind regelmäßig und bei Lösch- oder Widerspruchsanträgen zu überprüfen; die Kennung ist nicht als anonym zu behandeln.

5. Bezahlung und Aufbewahrung

Für kostenpflichtige Tarife verarbeitet Stripe notwendige Rechnungs-, Zahlungs- und Abonnementdaten. Wir erhalten unter anderem Zahlungsstatus und Kunden-/Abonnementzuordnungen; vollständige Kartendaten liegen nicht in der Graftkit-Datenbank. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO und für gesetzliche Rechnungs- und Buchführungspflichten lit. c. Stripe kann insbesondere für Zahlungsabwicklung und Betrugsprävention eigene Verantwortlichkeit haben.

Aktive Konto- und Konfigurationsdaten werden für die Nutzung vorgehalten. Ereignisdaten im Kundenbetrieb werden technisch nach 90 Tagen bereinigt, gewöhnliche Audit- und Betriebshistorie grundsätzlich nach 30 Tagen mit funktionsbedingten Ausnahmen. Diese Fristen gelten nicht pauschal für Rechnungen, Verträge, Backups oder Anbieterlogs. Vertragsnachweise bleiben während des Unternehmensvertrags getrennt erhalten. Danach prüfen wir sie grundsätzlich nach drei Jahren ab Ende des Kalenderjahres der Vertragsbeendigung bei der folgenden jährlichen Januarprüfung zur Löschung. Konkrete gesetzliche Aufbewahrungspflichten oder ein dokumentierter Streitfall können die hierfür erforderlichen Nachweise länger erfordern; wir beschränken deren Nutzung und prüfen den Fortbestand mindestens jährlich. Dies ist keine einheitliche Frist für sämtliche Dokumentarten.

Gesetzliche Aufbewahrung wird nach Dokumentart und anwendbarer Pflicht bestimmt; gesperrte Daten werden nur hierfür genutzt. Nach Wegfall von Zweck, Pflicht oder berechtigtem Nachweisbedarf werden Daten gelöscht. Rückgabe und Löschung von Auftragsdaten sind über den manuellen Supportprozess der AVV erreichbar. Konkrete Provider- und Backupfristen müssen vor Freigabe belegt werden; es gibt keine pauschale sofortige Komplettlöschzusage.

6. Optionale Analyse auf Website und App

Vorgesehen ist Google Analytics 4 von Google Ireland Limited, eingebunden ausschließlich über Google Tag Manager, um Nutzung und erfolgreiche Produktaktionen statistisch zu verstehen. Tag Manager und Analytics werden erst nach Ihrer ausdrücklichen Analyse-Einwilligung geladen. Bei Ablehnung sollen keine Analyseaufrufe oder Consent-Pings gesendet werden. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Ablehnung beeinträchtigt die vertraglichen Kernfunktionen nicht.

Die Wahl wird getrennt für Website und App für höchstens 180 Tage pro Browser und Host mit Fassung und Zeitpunkt gespeichert. Dafür dient technisch notwendiger lokaler Speicher. Ablehnung und Zustimmung sind gleichwertig; Schließen oder Escape ist keine Zustimmung. Ohne gültig speicherbare Wahl bleibt Analyse aus. Über die Datenschutzeinstellungen im Footer beziehungsweise in der App können Sie Ihre Wahl jederzeit ändern.

Bei aktivierter Analyse werden ausgewählte Kategorien gemessen: bereinigte Seitenaufrufe, CTA- und Formularerfolge auf der Website; Registrierungsschritte, erfolgreiche Kontoregistrierung, Workspace-Erstellung, Website-Verbindung sowie Kampagnenerstellung und -veröffentlichung in der App. Es sollen keine Namen, E-Mails, Kunden- oder Workspace-IDs, Eingabeinhalte, rohen URLs, Querys, Fragmente oder Referrer als eigene Ereignisparameter übermittelt werden. Beim technischen Verbindungsaufbau fällt eine IP-Adresse an; vollständige Anonymität wird nicht behauptet.

Vorgesehen sind getrennte Google-Properties, Container und hostgebundene Analyse-Cookies mit maximal 180 Tagen ohne laufende Fristverlängerung. Eine Verknüpfung zwischen Website- und App-Besuchern, User-ID, Werbefunktionen, Remarketing, Google Signals und automatische Formularmessung sind nicht vorgesehen. Detaildaten sollen in GA4 zwei Monate ohne Zurücksetzen bei Aktivität vorgehalten werden; aggregierte Berichte können abweichenden Produktregeln unterliegen. Die konkrete Google-Konfiguration ist vor Veröffentlichung nachzuweisen. Anbieterinformationen: https://policies.google.com/privacy und https://marketingplatform.google.com/about/analytics/terms/de/.

Ein Widerruf beendet die künftige Analyse; bekannte eigene Analyse-Cookies werden entfernt und gegebenenfalls wird die Seite nach Speicherung neu geladen. Bereits rechtmäßig gesendete Daten werden durch den Widerruf nicht zurückgeholt. Vergangene gesperrte Ereignisse werden nicht nachgesendet. Anbieterbedingungen und Empfänger-/Transferkonfiguration sind vor Veröffentlichung verbindlich zu prüfen; die Existenz einer Property allein belegt diese Einstellungen nicht.

7. KI und Kundenseiten

KI-Unterstützung wird über Vercel AI Gateway an konfigurierte Modelle geleitet. Der Code sieht Google-, OpenAI- und Anthropic-Modelle vor. Prompts, bereinigte Website-Ausschnitte und Zuordnungsmetadaten können personenbezogene Restinformationen enthalten. Die tatsächlichen Anbieter, Länder, Trainings-, Aufbewahrungs- und Loggingbedingungen hängen von Verträgen und Konfiguration ab und müssen vor personenbezogener Produktivnutzung konkret freigegeben werden. Eine EU-only- oder pauschale No-Training-Zusage wird nicht abgegeben.

Soweit Sie eine Kundenseite besuchen, informiert deren Verantwortlicher über seine Graftkit-Einbindung, Kampagnenereignisse und erforderliche Einwilligungen. Unsere eigene optionale Website-/App-Analyse ist von der kundenseitig beauftragten Ereignisverarbeitung getrennt. Die AVV beschreibt die unterstützten Datenkategorien und Weisungsbeziehung.

8. Empfänger und internationale Verarbeitung

Je nach Vorgang können Convex, Vercel, Resend, Cloudflare, Stripe und bei gesonderter Einwilligung Google technische beziehungsweise vertraglich erforderliche Daten erhalten. Rollen und Zwecke sind oben beschrieben. Die Unterauftragnehmeranlage betrifft nur Verarbeitung im Kundenauftrag; sie ersetzt nicht diese Information über eigene Empfänger. Behörden und Berater erhalten Daten nur bei entsprechender Rechtsgrundlage.

Dienste können außerhalb des EWR einschließlich der USA verarbeiten oder Zugriffe ermöglichen. Vor einer freizugebenden Übermittlung sind Empfänger und Rechtsgrundlage nach Art. 44 ff. DSGVO zu bestimmen, etwa ein einschlägiger Angemessenheitsbeschluss oder Standardvertragsklauseln mit notwendiger Bewertung und ergänzenden Maßnahmen. Eine allgemeine Anbieter-DPA-Webseite belegt weder unseren Vertragsabschluss noch eine konkrete Transfergarantie. Informationen und Kopien anwendbarer Garantien können bei hello@graftkit.dev angefragt werden.

9. Ihre Rechte und Beschwerde

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt bestehen. Bei Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung jederzeit.

Kontaktieren Sie hello@graftkit.dev. Wir prüfen die Identität verhältnismäßig und bearbeiten die Anfrage innerhalb der gesetzlichen Fristen. Für Auftragsdaten leiten wir an den zuständigen Kunden weiter. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für unseren Sitz ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg: https://www.baden-wuerttemberg.datenschutz.de/beschwerde-online-einreichen/.

Es findet nach der vorgesehenen Leistung keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. KI-Vorschläge unterstützen Konfigurationen und bedürfen menschlicher Kontrolle. Änderungen dieser Hinweise erhalten eine neue datierte Fassung; wesentliche Änderungen werden angemessen kenntlich gemacht.