Datenschutzerklärung

1. Überblick

Diese Datenschutzerklärung erklärt, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website branddad.io besuchst, mit uns Kontakt aufnimmst oder die Plattform Brand Dad nutzt, zu welchen Zwecken das geschieht und welche Rechte du hast. Personenbezogene Daten sind alle Daten, mit denen du persönlich identifiziert werden kannst.

2. Verantwortlicher

Verantwortlich für die Datenverarbeitung ist SVIX Media, Inhaber Konstantin Botschmanowski, Schulstraße 72, 41372 Niederkrüchten, Deutschland. E-Mail: support@branddad.io. SVIX Media ist zugleich Anbieter und Vertragspartner für die Nutzung von Brand Dad.

3. Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten auf Grundlage der Datenschutz-Grundverordnung (DSGVO), insbesondere:

• Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung,
• Art. 6 Abs. 1 lit. b DSGVO – Erfüllung eines Vertrags oder vorvertragliche Maßnahmen,
• Art. 6 Abs. 1 lit. c DSGVO – rechtliche Pflichten (z. B. handels- und steuerrechtliche Aufbewahrung),
• Art. 6 Abs. 1 lit. f DSGVO – berechtigte Interessen, etwa am sicheren und wirtschaftlichen Betrieb der Website.

Für das Speichern von Informationen auf deinem Gerät oder den Zugriff darauf gilt zusätzlich § 25 TDDDG.

4. Hosting und Server-Logfiles

Website, Plattform, Datenbank und die mit Brand Dad erstellten Kunden-Websites laufen auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in Deutschland. Auch verschlüsselte Backups liegen bei Hetzner in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung.

Beim Aufruf unserer Seiten verarbeitet der Server automatisch technische Daten, die dein Browser übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browsertyp und -version sowie Betriebssystem. Das ist nötig, um die Website auszuliefern und ihre Sicherheit zu gewährleisten (Art. 6 Abs. 1 lit. f DSGVO). Diese Daten führen wir nicht mit anderen Datenquellen zusammen.

5. Cookies und lokale Speicherung

Auf unserer Website setzen wir keine Tracking- oder Werbe-Cookies und binden keine Analyse- oder Werbedienste Dritter ein. Wir verwenden nur technisch notwendige Speicherungen (§ 25 Abs. 2 Nr. 2 TDDDG):

• bd_lang – speichert die Sprache, die du über den Sprachumschalter bewusst gewählt hast, damit wir dich beim nächsten Besuch nicht in eine andere Sprachversion weiterleiten. Inhalt: nur der Sprachcode (z. B. „de“). Speicherdauer: 1 Jahr. Das Cookie wird erst gesetzt, wenn du die Sprache wechselst.
• Anmelde- und Sicherheits-Cookies – nach dem Login hält ein Sitzungs-Cookie deine Anmeldung aufrecht und schützt Formulare vor Missbrauch. Diese Cookies entstehen nur in der Plattform.
• Anzeige-Einstellungen in der Plattform (z. B. ob die Seitenleiste eingeklappt ist).

Du kannst Cookies in deinem Browser jederzeit löschen. Ohne die Anmelde-Cookies ist ein Login nicht möglich.

6. Kontaktformular und E-Mail

Wenn du uns über das Kontaktformular oder per E-Mail schreibst, verarbeiten wir deinen Namen, deine E-Mail-Adresse, den Betreff, deine Nachricht und zur Missbrauchsabwehr die IP-Adresse. Die Anfrage wird in unserer Datenbank gespeichert und per E-Mail an unser Postfach weitergeleitet. Wir nutzen die Daten nur, um deine Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO). Kontaktanfragen einschließlich der IP-Adresse speichern wir 12 Monate und löschen sie danach, sofern keine gesetzlichen Aufbewahrungspflichten bestehen oder die Anfrage zu einem Vertrag geführt hat.

7. Kundenkonto und Nutzung der Plattform

Für ein Konto verarbeiten wir Name, E-Mail-Adresse und Passwort (nur als gesalzener Hash gespeichert) oder, bei Anmeldung mit Google, die von Google übermittelten Basisdaten (Name, E-Mail-Adresse, Profilbild). Außerdem speichern wir die Daten, die du in Brand Dad eingibst oder erzeugst, etwa Unternehmensangaben, Website-Inhalte, Keywords, Beiträge, Bilder und Einstellungen, sowie Nutzungs- und Abrechnungsinformationen (Paket, Testphase, Kontingente).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für Sicherheit, Fehleranalyse und Missbrauchsabwehr verarbeiten wir technische Protokolle auf unseren eigenen Servern auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

8. Zahlungsabwicklung

Derzeit ist keine Bezahlung freigeschaltet: Brand Dad kann nur kostenlos getestet werden, ein gewähltes Paket wird lediglich gespeichert. Zahlungsdaten verarbeiten wir daher zurzeit nicht.

Sobald die Bezahlung freigeschaltet ist, gilt: Brand Dad richtet sich ausschließlich an Unternehmer; alle Preise verstehen sich zuzüglich der gesetzlichen Umsatzsteuer. Anbieter des Dienstes und Vertragspartner für die Nutzung von Brand Dad ist SVIX Media. Den Kauf des Abonnements wickelt Paddle als Wiederverkäufer (Reseller) und Merchant of Record ab (Paddle.com Market Ltd, Judson House, 5th Floor, 250 City Road, London EC1V 2PU, Vereinigtes Königreich). Paddle verarbeitet deine Zahlungs- und Rechnungsdaten (z. B. Kreditkarte, PayPal, Rechnungsadresse) in eigener Verantwortung und stellt die Rechnung aus. Wir erhalten von Paddle nur die für die Vertragsabwicklung nötigen Informationen, etwa Zahlungsstatus, Abo-Status und Rechnungsadresse.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission. Weitere Informationen: https://www.paddle.com/legal/privacy.

9. KI-Funktionen – kein Training mit deinen Daten

Für KI-Texte, KI-Bilder, Antwortentwürfe und Recherchen übermitteln wir nur die Inhalte, die für die jeweilige Aufgabe nötig sind (z. B. Unternehmensangaben, Stichwörter, Entwürfe, Bewertungstexte), an KI-Anbieter. Das geschieht über den Vermittler OpenRouter (OpenRouter, Inc., USA) an Modelle von Anbietern wie OpenAI, Anthropic oder Google sowie teilweise direkt an OpenAI (OpenAI, L.L.C., USA) und Anthropic (Anthropic PBC, USA). Für die Recherche von Quellen für Artikel übermitteln wir ausschließlich Suchanfragen an Tavily (AlphaAI Technologies Inc., USA).

Deine Inhalte werden nicht zum Training von KI-Modellen verwendet – weder von uns noch zu unseren Gunsten. Bei der Auswahl und Einstellung der KI-Anbieter achten wir darauf, dass Eingaben nach deren Bedingungen nicht für das Training verwendet werden. Bitte gib in KI-Funktionen keine sensiblen Daten Dritter ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Zur Übermittlung in die USA siehe Abschnitt 16.

10. Verbundene Konten (Google, Meta, TikTok)

Du entscheidest, welche Konten du mit Brand Dad verbindest. Wir fordern dafür Berechtigungen per OAuth an, speichern die Zugangstokens verschlüsselt und verwenden sie nur für die Funktionen, die du nutzt.

• Google-Unternehmensprofil: Lesen und Verwalten von Profildaten, Beiträgen und Bewertungen. Antworten auf Bewertungen werden als Entwurf erstellt und erst nach deiner Freigabe veröffentlicht (oder automatisch, wenn du das ausdrücklich einschaltest).
• Google Search Console (optional, Scope auth/webmasters): Lesen von Suchanfragen mit Klicks, Impressionen und Position, um Rankings anzuzeigen und Themen vorzuschlagen; erneutes Einreichen bereits hinterlegter Sitemaps nach einer Veröffentlichung; URL-Prüfung, ob veröffentlichte Artikel indexiert sind. Wir ändern keine Properties, Nutzer oder Einstellungen. Suchanfragen können zur Themenfindung an die KI-Anbieter aus Abschnitt 9 gehen; sie werden nicht zum Training verwendet.
• YouTube API Services: Hochladen der von dir geplanten Videos, Lesen von Kanalname und Avatar und, wenn du es einschaltest, ein Kommentar unter deinem eigenen Video. Es gelten die YouTube-Nutzungsbedingungen (https://www.youtube.com/t/terms) und die Google-Datenschutzerklärung (https://policies.google.com/privacy). Daten anderer YouTube-Nutzer rufen wir nicht ab.
• Meta (Facebook, Instagram): Veröffentlichung deiner geplanten Beiträge über die Graph API und Abruf von Kennzahlen. Auf private Nachrichten greifen wir nicht zu.
• TikTok (nach Freischaltung durch TikTok; die App-Prüfung läuft): Veröffentlichung deiner Videos über die Content Posting API.

Google API Services User Data Policy: Die Nutzung und Übertragung von Informationen, die Brand Dad über Google-APIs erhält, an andere Apps erfolgt gemäß der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy) einschließlich der Limited-Use-Anforderungen. Wir verkaufen diese Daten nicht, nutzen sie nicht für Werbung und geben sie nur an die in dieser Erklärung genannten, für die Funktion nötigen Auftragsverarbeiter weiter.

Widerruf: Du kannst jede Verbindung jederzeit im Dashboard oder in den Sicherheitseinstellungen des jeweiligen Dienstes trennen, Google-Verbindungen auch unter https://myaccount.google.com/permissions. Beim Trennen in Brand Dad widerrufen wir das Token beim Anbieter und löschen es aus unserer Datenbank. Daten aus Google-APIs löschen wir mit dem Projekt bzw. Konto; verschlüsselte Backups werden nach 14 Tagen überschrieben. Mehr dazu unter Datenlöschung.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Datensicherheit

• Alle Verbindungen sind per TLS (HTTPS) verschlüsselt; HSTS erzwingt verschlüsselte Verbindungen.
• OAuth-Tokens, API-Schlüssel und Zugangsdaten verbundener Plattformen speichern wir mit AES-256-GCM verschlüsselt; der Schlüssel liegt getrennt von der Datenbank. Passwörter speichern wir nur als gesalzenen bcrypt-Hash.
• Backups werden vor dem Verlassen des Servers mit AES-256 verschlüsselt, in Deutschland gespeichert und nach 14 Tagen überschrieben.
• Datenbank- und Anwendungsserver sind nicht direkt aus dem Internet erreichbar. Jede Anfrage wird authentifiziert; Nutzer sehen nur Daten ihrer eigenen Projekte. Tokens werden nur im Serverspeicher entschlüsselt und nie an den Browser gesendet.
• Bei einer Verletzung des Schutzes personenbezogener Daten informieren wir die Aufsichtsbehörde und Betroffene nach Art. 33 und 34 DSGVO.

12. SEO-, Karten- und Recherchedienste

Für Keyword-Recherche, Ranking-Scans, Backlink- und SERP-Analysen übermitteln wir Suchbegriffe, Standorte bzw. Koordinaten und öffentliche URLs an DataForSEO (DataForSEO OÜ, Estland, EU) und ScrapingRobot. DataForSEO erhält dabei Keywords, Domains, Unternehmensnamen und die Standorte der Rasterpunkte; personenbezogene Daten von Endkunden sind dafür nicht vorgesehen. Für Website-Analysen nutzen wir Google PageSpeed Insights, für Unternehmenssuchen die Google Places API (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Dabei werden keine personenbezogenen Daten unserer Nutzer übermittelt, sondern geschäftsbezogene Suchbegriffe und öffentliche Unternehmensdaten.

Kartenkacheln (OpenStreetMap) laden wir über unseren eigenen Server; deine IP-Adresse wird dabei nicht an OpenStreetMap übermittelt.

13. Domains und E-Mail

Wenn du über Brand Dad eine Domain bestellst, übermitteln wir die für die Registrierung nötigen Inhaberdaten (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer) an unseren Registrar Dynadot (Dynadot Inc., USA) und die zuständige Registrierungsstelle (z. B. DENIC eG für .de). Je nach Domain-Endung können Registrierungsstellen bestimmte Daten nach ihren Richtlinien in Abfragediensten (WHOIS/RDAP) veröffentlichen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

E-Mails (z. B. Kontaktanfragen, Benachrichtigungen, Formular-Weiterleitungen) versenden wir über einen eigenen Mailserver bei Hetzner in Deutschland und für bestimmte System-Benachrichtigungen über Resend (Resend, Inc., USA).

14. Kostenloser Google-Profil-Check

Auf unserer Website bieten wir ohne Konto einen kostenlosen Check eines Google-Unternehmensprofils und seiner lokalen Sichtbarkeit in Google Maps an („Gratis-Check“).

• Zweck: Du suchst ein Unternehmen, wählst einen Suchbegriff und startest den Check. Wir zeigen dir eine Profil-Bewertung mit Tipps, die Position des Unternehmens in Google Maps an 25 Punkten eines Kartenrasters um die Adresse und die drei sichtbarsten Wettbewerber. Gespeicherte Checks nutzen wir außerdem, um die Nutzung des Tools zu messen, Missbrauch zu verhindern und zu verstehen, ob ein Check zu einer Testphase führt.
• Verarbeitete Daten: das gewählte Unternehmen (Google-Place-ID, Name, Adresse, Kategorie und die öffentlichen Profildaten von Google), dein Suchbegriff, das Ergebnis, die Sprache der Seite, Zeitpunkt und Version deiner Einwilligung, ein Hash deiner IP-Adresse (SHA-256 mit täglich wechselndem geheimem Salt – die IP-Adresse selbst speichern wir nie), eine gekürzte Browserkennung (max. 160 Zeichen), die verweisende Seite ohne Parameter und ggf. UTM-Kampagnenparameter. Startest du später aus dem Ergebnis eine Testphase, verknüpfen wir den Check mit deinem neuen Konto.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO – deine Einwilligung durch aktives Anhaken der Checkbox vor dem Start (nicht vorausgewählt). Missbrauchsschutz und Tageslimits (Rate-Limits, optional Bot-Schutz) beruhen auf unserem berechtigten Interesse am sicheren und kostenkontrollierten Betrieb (Art. 6 Abs. 1 lit. f DSGVO). Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft per E-Mail an support@branddad.io widerrufen; die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.
• Empfänger: Für Suche und Abruf des Unternehmens gehen dein Suchtext und die Place-ID an Google (Google Places API; Google Ireland Limited und Google LLC, USA – https://policies.google.com/privacy). Für das Kartenraster gehen Suchbegriff und Koordinaten der 25 Rasterpunkte an DataForSEO. Deine IP-Adresse geben wir nicht an diese Anbieter weiter. Ist Cloudflare Turnstile als Bot-Schutz aktiv, verarbeitet Cloudflare, Inc. (USA) technische Browserdaten, um Menschen von Bots zu unterscheiden (https://www.cloudflare.com/privacypolicy/) – ebenfalls erst, nachdem du das Formular gestartet hast.
• Speicherdauer: IP-Hash, Browserkennung, Referrer und eine optional angegebene E-Mail-Adresse werden nach 90 Tagen anonymisiert. Checks einschließlich Ergebnis löschen wir nach 12 Monaten, sofern sie nicht Teil eines Kundenkontos geworden sind. Ergebnisse für dasselbe Unternehmen und denselben Suchbegriff verwenden wir 7 Tage lang wieder.
• Keine automatisierte Entscheidung: Bewertung und Tipps entstehen automatisch aus öffentlichen Profildaten und haben keine rechtliche Wirkung für dich.

15. Daten von Besuchern der Kunden-Websites

Websites, die unsere Kunden mit Brand Dad erstellen, können Kontakt-, Buchungs- und Bestellformulare sowie Online-Zahlungen enthalten. Für die dort erhobenen Daten (z. B. Name, Kontaktdaten, Terminwunsch, Nachricht, Bestellung) ist der jeweilige Kunde als Betreiber der Website Verantwortlicher. Brand Dad verarbeitet diese Daten nur in seinem Auftrag als Auftragsverarbeiter (Art. 28 DSGVO). Informationen dazu findest du in der Datenschutzerklärung der jeweiligen Website; deine Rechte machst du am besten direkt beim Website-Betreiber geltend.

Dafür gilt unser Auftragsverarbeitungsvertrag (AVV), der mit der Annahme der AGB Bestandteil des Vertrags mit unseren Kunden wird.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), insbesondere Gesundheitsdaten, sind für die Formulare nicht vorgesehen. Kunden, etwa Arztpraxen, Therapeuten oder Pflegedienste, dürfen über Buchungs- und Kontaktformulare keine Gesundheitsdaten abfragen, es sei denn, sie haben die rechtlichen Voraussetzungen dafür selbst geprüft und geschaffen. Besucher solcher Websites bitten wir, in freie Textfelder keine Gesundheitsangaben einzutragen.

Die eingebaute Besucherstatistik der Kunden-Websites arbeitet ohne Cookies und ohne Speicherung von IP-Adressen.

16. Empfänger, Auftragsverarbeiter und Drittlandübermittlung

Wir geben personenbezogene Daten nur weiter, soweit das für die genannten Zwecke nötig ist. Folgende Dienstleister setzen wir ein:

• Hetzner Online GmbH, Deutschland – Hosting, Datenbank, Backups, eigener Mailserver
• OpenRouter, Inc., USA, sowie die darüber angebundenen KI-Anbieter (z. B. OpenAI, Anthropic, Google); OpenAI, L.L.C., USA; Anthropic PBC, USA – KI-Funktionen
• Tavily (AlphaAI Technologies Inc.), USA – Web-Recherche für Quellen von Artikeln, erhält nur Suchanfragen
• Paddle.com Market Ltd, Vereinigtes Königreich – Kauf des Abonnements als Reseller/Merchant of Record in eigener Verantwortung, sobald die Bezahlung freigeschaltet ist
• Resend, Inc., USA – Versand von System-E-Mails
• DataForSEO OÜ, Estland (EU), Reg.-Nr. 14502291 – Such-, Ranking- und Keyword-Daten
• ScrapingRobot – Abruf öffentlicher Suchergebnisse und Webseiten für Recherchen
• Google Ireland Limited / Google LLC, USA – Places API und PageSpeed Insights; Unternehmensprofil-API, Search Console-API, YouTube und Anmeldung mit Google nur, wenn du sie verbindest bzw. nutzt
• Dynadot Inc., USA – Domain-Registrierung
• Cloudflare, Inc., USA – Bot-Schutz (Turnstile) beim Gratis-Check, soweit aktiviert
• Meta Platforms Ireland Ltd. (Facebook, Instagram) und TikTok (nach Freischaltung) – nur, wenn du die Konten verbindest und Inhalte veröffentlichst

Werden Daten in Länder außerhalb der EU bzw. des EWR übermittelt, insbesondere in die USA, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss der EU-Kommission – für die USA das EU-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist – oder auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), etwa bei Tavily. Eine Kopie der Garantien erhältst du auf Anfrage.

17. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck nötig ist. Kontodaten löschen wir, wenn du dein Konto löschst oder der Vertrag endet und keine Aufbewahrungspflichten bestehen. Rechnungs- und Buchungsbelege bewahren wir nach den handels- und steuerrechtlichen Vorschriften bis zu zehn Jahre auf. Besondere Fristen sind in den einzelnen Abschnitten genannt.

18. Deine Rechte

Du hast gegenüber uns folgende Rechte bezüglich deiner personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO) – du kannst die Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format erhalten oder an einen anderen Verantwortlichen übermitteln lassen
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, jederzeit widersprechen.

Beschwerderecht (Art. 77 DSGVO): Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem Mitgliedstaat deines Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

Für alle Anfragen genügt eine E-Mail an support@branddad.io.

19. Pflicht zur Bereitstellung und automatisierte Entscheidungen

Die Angaben für ein Konto und eine Buchung brauchen wir, um den Vertrag zu schließen und zu erfüllen; ohne sie ist die Nutzung nicht möglich. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt.

20. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich unsere Leistungen oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung. Ergänzend gelten unsere AGB.