Datenschutzhinweise

1. Verantwortlicher und Kontakt

Verantwortlicher ist Benedikt Balint, Graftkit, Wasserstr. 4, 77652 Offenburg, Deutschland. Kontakt für Datenschutz und Betroffenenrechte: hello@graftkit.dev. Diese Hinweise beschreiben eigene Website-, Konto-, Kommunikations- und Vertragsverarbeitung. Soweit wir Kundendaten als Auftragsverarbeiter verarbeiten, entscheidet der jeweilige Kunde über Zwecke und Rechtsgrundlagen; hierfür gilt die gesonderte AVV.

Diese Fassung gilt für die Website und den kontrollierten Betrieb mit bestehenden und ausdrücklich freigeschalteten Testkonten. Die Veröffentlichung bestätigt keine noch nicht ausgeführten technischen Prüfungen. Ein Vertragsabschluss ist keine Einwilligung in optionale Analyse.

2. Websitebereitstellung und Sicherheit

Beim Abruf verarbeiten Hosting und Auslieferung technische Verbindungsdaten, insbesondere IP-Adresse, Zeitpunkt, angeforderte Ressource und Browserinformationen. Vercel stellt Website und App bereit. Zweck ist die Beantwortung Ihrer Anfrage, Stabilität, Fehleranalyse und Missbrauchsschutz; Grundlage ist Art. 6 Abs. 1 lit. f DSGVO mit unserem Interesse an einem sicheren Internetangebot.

Zur Absicherung entsprechender Formulare prüft Cloudflare Turnstile Verbindungs-, Browser- und Challenge-Signale wie IP-Adresse, TLS-Fingerabdruck und User-Agent. Zweck ist die Abwehr automatisierten Missbrauchs; als Grundlage ist Art. 6 Abs. 1 lit. f DSGVO mit dem Interesse an einem sicheren Dienst vorgesehen. Cloudflare ist für die Bot-Schutzleistung Auftragsverarbeiter, für die Verbesserung der Bot-Erkennung nach seinem Addendum eigener Verantwortlicher. Soweit Endgerätezugriffe unbedingt für den ausdrücklich gewünschten sicheren Dienst erforderlich sind, kommt § 25 Abs. 2 TDDDG in Betracht; darüber hinausgehende Zugriffe benötigen eine Einwilligung. Diese konkrete Einordnung ist vor Freigabe rechtlich abzuschließen. Anbieterinformation: https://www.cloudflare.com/turnstile-privacy-policy/.

3. Kontakt, Anfragen und E-Mail

Wenn Sie uns schreiben oder ein Kontakt-, Partner- oder Zugangsformular verwenden, verarbeiten wir Ihre angegebenen Kontakt- und Unternehmensdaten, den Inhalt und notwendige Bearbeitungsmetadaten. Grundlage ist Art. 6 Abs. 1 lit. b DSGVO für Anbahnung oder Durchführung eines Vertrags mit Ihnen, sonst lit. f für die sachgerechte Beantwortung geschäftlicher Anfragen.

Resend (Plus Five Five, Inc.) unterstützt Systemmailversand, Empfang und Weiterleitung auf Grundlage einer unterzeichneten DPA. Nachrichten und Zustell-/Empfangsdaten werden in den USA gespeichert; belegt sind 30 Tage Nachrichtenaufbewahrung und bis zu sieben weitere Tage Sicherungsaufbewahrung. Für den Start ist vorgesehen, Originalnachrichten und Anhänge bei Resend zu belassen und im geschäftlich genutzten Gmail-Postfach nur eine feste, inhaltsfreie Betreiberbenachrichtigung mit Link zur offiziellen Resend-Konsole zu empfangen. Diese Benachrichtigung soll weder Absender noch Betreff, Formularwerte, Nachrichtentext oder Anhänge der ursprünglichen Anfrage enthalten. Für Gmail besteht kein Workspace-Abonnement; eine passende Workspace-DPA wird nicht behauptet. Google erhält weiterhin Zustell-, Konto- und technische Daten der Betreiberbenachrichtigung. Die Umstellung ist in dieser Prüffassung als vorbereitet, noch nicht als produktiv umgesetzt und geprüft beschrieben; bis dahin leitet die bisherige Route Mailinhalte an Google weiter. Vor Startfreigabe muss sie abgelöst und kontrolliert werden. Nicht mehr benötigte Anfragen sollen nach Abschluss gelöscht werden, soweit kein fortbestehender Vorgang oder gesetzlicher Grund entgegensteht. Ohne eigene Zustimmung entsteht keine Newsletter-Anmeldung.

4. Konto, Workspace und Vertragsnachweise

Für Registrierung, Anmeldung, Wiederherstellung und Nutzung verarbeiten wir E-Mail-Adresse, Kontonamen, Authentifizierungsdaten, Rollen, Workspace-Zuordnung und notwendige technische Sicherheitsinformationen. Bei Unternehmensannahme kommen juristischer Name, Geschäftsanschrift, Vertretungsbestätigung sowie Version und serverseitiger Zeitpunkt des Vertragsnachweises hinzu. Convex stellt Backend, Authentifizierung und Datenhaltung bereit.

Grundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit Sie selbst Vertragspartner sind, andernfalls lit. f für die Durchführung des Unternehmensvertrags und sichere Zugriffsverwaltung. Gesetzliche Nachweise stützen sich auf lit. c; erforderliche Anspruchs- und Vertragsnachweise auf lit. f. Kontakt- und Vertragsangaben sind für Konto beziehungsweise Vertrag erforderlich; ohne sie können wir die jeweilige Leistung nicht anbieten.

Zur einmaligen Testberechtigung wird eine pseudonyme Wiedererkennungskennung vorgehalten. Sie bleibt personenbezogen einordenbar und wird derzeit nicht automatisch bereinigt. Grundlage ist unser berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO, Mehrfachtests und Missbrauch zu verhindern. Die Kennung wird während des Kontobestands und grundsätzlich zwölf Monate nach dokumentierter Kontoschließung für Missbrauchsschutz vorgehalten; danach erfolgt eine manuelle Löschprüfung, sofern kein konkret begründeter Fall fortbesteht. Notwendigkeit und Dauer sind regelmäßig und bei Lösch- oder Widerspruchsanträgen zu überprüfen; die Kennung ist nicht als anonym zu behandeln.

5. Bezahlung und Aufbewahrung

Für kostenpflichtige Tarife verarbeitet Stripe notwendige Rechnungs-, Zahlungs- und Abonnementdaten. Wir erhalten unter anderem Zahlungsstatus und Kunden-/Abonnementzuordnungen; vollständige Kartendaten liegen nicht in der Graftkit-Datenbank. Grundlage sind Art. 6 Abs. 1 lit. b DSGVO und für gesetzliche Rechnungs- und Buchführungspflichten lit. c. Stripe kann insbesondere für Zahlungsabwicklung und Betrugsprävention eigene Verantwortlichkeit haben. Die deutschen Standardbedingungen nennen Stripe Payments Europe, Limited; die konkrete Kontozuordnung bleibt vor einer späteren Freischaltung kostenpflichtiger Abschlüsse zu bestätigen. Anbieterinformationen: https://stripe.com/de/legal/ssa und https://stripe.com/legal/dpa.

Aktive Konto- und Konfigurationsdaten werden für die Nutzung vorgehalten. Ereignisdaten im Kundenbetrieb werden technisch nach 90 Tagen bereinigt, gewöhnliche Audit- und Betriebshistorie grundsätzlich nach 30 Tagen mit funktionsbedingten Ausnahmen. Diese Fristen gelten nicht pauschal für Rechnungen, Verträge, Backups oder Anbieterlogs. Vertragsnachweise bleiben während des Unternehmensvertrags getrennt erhalten. Für die Zeit nach Vertragsende ist eine manuelle Löschprüfung nach drei Jahren ab Ende des Kalenderjahres der Vertragsbeendigung bei einer jährlichen Januarprüfung verbindlich festgelegt. Eine automatische Löschung dieser Nachweise ist nicht eingerichtet. Konkrete gesetzliche Aufbewahrungspflichten oder ein dokumentierter Streitfall können die hierfür erforderlichen Nachweise länger erfordern; wir beschränken deren Nutzung und prüfen den Fortbestand mindestens jährlich. Dies ist keine einheitliche Frist für sämtliche Dokumentarten.

Gesetzliche Aufbewahrung wird nach Dokumentart und anwendbarer Pflicht bestimmt; gesperrte Daten werden nur hierfür genutzt. Nach Wegfall von Zweck, Pflicht oder berechtigtem Nachweisbedarf werden Daten gelöscht. Rückgabe und Löschung von Auftragsdaten sind über den manuellen Supportprozess der AVV erreichbar. Providerfristen, insbesondere Resend und technische Gateway-Metadaten, unterscheiden sich von diesen Anwendungsfristen; für Betreiber-Sicherungen sind höchstens zwei rollierende Convex-Snapshots mit höchstens sieben Tagen Einzelaufbewahrung festgelegt. Nicht mehr benötigte abgeschlossene Supportanfragen und reine Betreiberbenachrichtigungen werden monatlich geprüft und spätestens nach 30 Tagen bereinigt; konkret erforderliche Pflichtnachweise und offene Fälle bleiben zweckgebunden ausgenommen. Es gibt keine pauschale sofortige Komplettlöschzusage.

6. Optionale Analyse auf Website und App

Für die optionale Analyse ist Google Analytics 4 von Google Ireland Limited eingerichtet, eingebunden ausschließlich über Google Tag Manager, um Nutzung und erfolgreiche Produktaktionen statistisch zu verstehen. Tag Manager und Analytics werden erst nach Ihrer ausdrücklichen Analyse-Einwilligung geladen. Bei Ablehnung werden keine Analyseaufrufe oder Consent-Pings gesendet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Ablehnung beeinträchtigt die vertraglichen Kernfunktionen nicht.

Die Wahl wird getrennt für Website und App für höchstens 180 Tage pro Browser und Host mit Fassung und Zeitpunkt gespeichert. Dafür dient technisch notwendiger lokaler Speicher. Ablehnung und Zustimmung sind gleichwertig; Schließen oder Escape ist keine Zustimmung. Ohne gültig speicherbare Wahl bleibt Analyse aus. Über die Datenschutzeinstellungen im Footer beziehungsweise in der App können Sie Ihre Wahl jederzeit ändern.

Bei aktivierter Analyse werden ausgewählte Kategorien gemessen: bereinigte Seitenaufrufe, CTA- und Formularerfolge auf der Website; Registrierungsschritte, erfolgreiche Kontoregistrierung, Workspace-Erstellung, Website-Verbindung sowie Kampagnenerstellung und -veröffentlichung in der App. Es sollen keine Namen, E-Mails, Kunden- oder Workspace-IDs, Eingabeinhalte, rohen URLs, Querys, Fragmente oder Referrer als eigene Ereignisparameter übermittelt werden. Beim technischen Verbindungsaufbau fällt eine IP-Adresse an; vollständige Anonymität wird nicht behauptet.

Belegt sind getrennte Google-Properties, Container und hostgebundene Analyse-Cookies mit maximal 180 Tagen ohne laufende Fristverlängerung. Eine Verknüpfung zwischen Website- und App-Besuchern, User-ID, Werbefunktionen, Remarketing, Google Signals und automatische Formularmessung sind deaktiviert. Die GA4-Aufbewahrung für Detaildaten ist auf zwei Monate ohne Zurücksetzen bei Aktivität eingestellt; aggregierte Berichte können abweichenden Produktregeln unterliegen. Die Analytics-Datenverarbeitungsbedingungen wurden am 3. April 2024 angenommen. Diese Annahme ist getrennt vom Google-Mailvertrag. Nach den Datenverarbeitungsbedingungen können anwendbare Löschungen nach unwiderruflichem Löschen oder Vertragsende bis zu 180 Tage benötigen; dies ist nicht dieselbe Frist wie die zweimonatige Ereignisaufbewahrung. Anbieterinformationen: https://policies.google.com/privacy und https://marketingplatform.google.com/about/analytics/terms/de/.

Ein Widerruf beendet die künftige Analyse; bekannte eigene Analyse-Cookies werden entfernt und gegebenenfalls wird die Seite nach Speicherung neu geladen. Bereits rechtmäßig gesendete Daten werden durch den Widerruf nicht zurückgeholt. Vergangene gesperrte Ereignisse werden nicht nachgesendet. Die belegten Einstellungen ersetzen weder die rechtliche Veröffentlichungskontrolle noch die Prüfung tatsächlich ausgelöster Analyseaufrufe.

7. KI und Kundenseiten

KI-Unterstützung verarbeitet auf Ihren Auftrag Texte, begrenzte Website-Ausschnitte, URLs und gegebenenfalls Screenshots, die personenbezogene Restinformationen enthalten können. Für den Start vorbereitet sind Gemini 3.5 Flash Lite über Google Vertex AI für Farben/HTML und GPT 5.6 Luna über OpenAI für Zuordnungen, vermittelt durch Vercel AI Gateway. Jede vorbereitete Anfrage verlangt dort ZDR- und No-Training-Routing nach den Anbietervereinbarungen, mit fest begrenzter Route ohne automatische Alternativmodelle. Fehlt eine geeignete Route, wird eine verständliche Fehlermeldung mit manueller Bearbeitungsmöglichkeit vorgesehen. Gesonderte Nutzer-/Workspace-IDs zur Gateway-Zuordnung werden nicht mitgesendet; Aufgaben-, Umgebungs- und technische Nutzungsmetadaten bleiben. Eine EU-Inferenzregion ist nicht gewählt; Verarbeitung einschließlich USA ist möglich. Anbieter können Cache- und Sicherheitsausnahmen vorsehen. Dies ist keine Zusage, dass sämtliche Inhalte und technischen Kopien überall unmittelbar gelöscht oder keinerlei Logs erstellt werden. Tatsächliche Produktionsroute und Betreiberfreigabe sind noch zu prüfen; Einzelheiten und Primärquellen stehen in der Unterauftragnehmeranlage.

Soweit Sie eine Kundenseite besuchen, informiert deren Verantwortlicher über seine Graftkit-Einbindung, Kampagnenereignisse und erforderliche Einwilligungen. Unsere eigene optionale Website-/App-Analyse ist von der kundenseitig beauftragten Ereignisverarbeitung getrennt. Die AVV beschreibt die unterstützten Datenkategorien und Weisungsbeziehung.

8. Empfänger und internationale Verarbeitung

Je nach Vorgang erhalten Convex, Vercel, Resend, Cloudflare, Stripe sowie Google technische, kommunikative oder vertraglich erforderliche Daten. Google erhält gesondert eingewilligte Analyse und nach der für den Start vorgesehenen Mailumstellung nur inhaltsfreie Betreiberbenachrichtigungen; bis zu deren bestätigter Umsetzung besteht die bisherige Inhaltsweiterleitung. Rollen und Zwecke sind oben beschrieben. Die Unterauftragnehmeranlage unterscheidet Verarbeitung im Kundenauftrag von eigener Verantwortlichkeit. Behörden und Berater erhalten Daten nur bei entsprechender Rechtsgrundlage.

Dienste können außerhalb des EWR einschließlich USA verarbeiten oder Zugriffe ermöglichen. Convex verwendet für das belegte Produktionsbackend Irland; dies bedeutet keine ausschließlich europäische Verarbeitung des gesamten Dienstes. Die belegten Standard-DPA von Convex und Vercel, die unterzeichnete Resend-DPA und die angenommenen Google-Analytics-Verarbeitungsbedingungen enthalten jeweilige Übermittlungsregelungen. Für freizugebende Übermittlungen müssen die konkret einschlägigen Garantien nach Art. 44 ff. DSGVO und nötige ergänzende Maßnahmen bewertet werden. Für das Gmail-Postfach besteht kein Workspace-Abonnement; Kundenmailinhalte dürfen für den freizugebenden Start nicht auf eine unbelegte Workspace-Auftragsgrundlage gestützt werden. Die vorgesehene inhaltsfreie Benachrichtigungsroute ist noch technisch abzunehmen. Die tatsächliche Stripe-Kontoeinheit bleibt zu bestätigen. Informationen und Kopien anwendbarer Garantien können bei hello@graftkit.dev angefragt werden.

9. Ihre Rechte und Beschwerde

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Einwilligungen können Sie jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt bestehen. Bei Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation widersprechen; gegen Direktwerbung jederzeit.

Kontaktieren Sie hello@graftkit.dev. Wir prüfen die Identität verhältnismäßig und bearbeiten die Anfrage innerhalb der gesetzlichen Fristen. Für Auftragsdaten leiten wir an den zuständigen Kunden weiter. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am Aufenthaltsort, Arbeitsplatz oder Ort des vermuteten Verstoßes. Für unseren Sitz ist dies der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg: https://www.baden-wuerttemberg.datenschutz.de/beschwerde-online-einreichen/.

Es findet nach der vorgesehenen Leistung keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung im Sinne von Art. 22 DSGVO statt. KI-Vorschläge unterstützen Konfigurationen und bedürfen menschlicher Kontrolle. Änderungen dieser Hinweise erhalten eine neue datierte Fassung; wesentliche Änderungen werden angemessen kenntlich gemacht.