Datenschutzerklärung
Der Schutz deiner Daten ist uns wichtig. Diese Erklärung beschreibt, welche personenbezogenen Daten wir bei der Nutzung von Peilo verarbeiten, zu welchen Zwecken und welche Rechte dir zustehen.
Verantwortlicher
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) für die Verarbeitung personenbezogener Daten ist:
[Vor- und Nachname]
Peilo (Einzelunternehmen)
[Straße und Hausnummer]
[PLZ und Ort], Deutschland
E-Mail: [email protected]
Einen Datenschutzbeauftragten haben wir nicht bestellt, da hierfür keine gesetzliche Pflicht besteht. Bei Fragen zum Datenschutz erreichst du uns jederzeit unter den oben genannten Kontaktdaten.
Geltungsbereich & Begriffe
Diese Erklärung gilt für die Website peilo.app, das Dashboard, die API sowie alle damit verbundenen digitalen Dienste von Peilo (zusammen „Dienst"). Sie richtet sich nach der DSGVO, dem Bundesdatenschutzgesetz (BDSG), dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) sowie dem Digitale-Dienste-Gesetz (DDG). Für verlinkte Angebote Dritter gelten deren eigene Datenschutzbestimmungen.
„Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (z. B. Name, E-Mail-Adresse, IP-Adresse).
Peilo befindet sich derzeit in einer geschlossenen Beta: Der Zugang ist auf eingeladene Testnutzer mit Zugangscode beschränkt. Öffentlich erreichbar sind nur die Startseite mit Code-Abfrage sowie die rechtlichen Pflichtseiten (Impressum, Datenschutzerklärung).
Welche Daten wir verarbeiten
Je nach Nutzung verarbeiten wir folgende Kategorien personenbezogener Daten:
- Konto- & Stammdaten – Name, E-Mail-Adresse, Passwort (ausschließlich als bcrypt-Hash, niemals im Klartext), bei Login über Google/LinkedIn/Apple ggf. Profilbild und Anbieter-Kennung, Status der E-Mail-Bestätigung.
- Projekt- & Inhaltsdaten – von dir angelegte Angaben: Markenname, Domain, Regionen, Themen/Keywords, Wettbewerber sowie die von dir konfigurierten Such-Prompts. Diese können von dir eingegebene Inhalte enthalten.
- Nutzungs- & Auswertungsdaten – aufgerufene Funktionen, eingerichtete Prompts/Engines, Zeitstempel, Mess- und Auswertungsergebnisse.
- Kommunikationsdaten – Angaben aus Kontaktformular (Name, E-Mail, Betreff, Nachricht) und Newsletter-Anmeldung (E-Mail).
- Technische Daten / Server-Logs – IP-Adresse, Datum/Uhrzeit der Anfrage, abgerufene Ressource, Browser-/Geräteangaben (User-Agent), Referrer.
- Cookies & lokale Speicherung – siehe Abschnitt „Cookies & lokale Speicherung".
Eine Zahlungsabwicklung findet derzeit nicht statt (die Beta ist kostenlos); es werden keine Zahlungs- oder Kreditkartendaten verarbeitet.
Zwecke & Rechtsgrundlagen
Wir verarbeiten personenbezogene Daten zu folgenden Zwecken auf den jeweils genannten Rechtsgrundlagen:
- Bereitstellung von Konto, Dashboard und Dienst – Erfüllung des Nutzungsvertrags, Art. 6 Abs. 1 lit. b DSGVO.
- Registrierung, Login & E-Mail-Bestätigung – Vertrag/vorvertragliche Maßnahmen, Art. 6 Abs. 1 lit. b DSGVO.
- Bereitstellung der Website, Server-Logs, IT-Sicherheit, Missbrauchs- und Angriffsabwehr – berechtigtes Interesse an sicherem, stabilem Betrieb, Art. 6 Abs. 1 lit. f DSGVO.
- Technisch notwendige Cookies (Login, Sicherheit, Beta-Zugang) – § 25 Abs. 2 TDDDG i. V. m. Art. 6 Abs. 1 lit. b/f DSGVO.
- Optionale Cookies/Funktionen (sofern künftig genutzt) – Einwilligung, § 25 Abs. 1 TDDDG i. V. m. Art. 6 Abs. 1 lit. a DSGVO.
- Bearbeitung von Kontaktanfragen – Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO.
- Newsletter – Einwilligung, Art. 6 Abs. 1 lit. a DSGVO (Widerruf jederzeit möglich).
- Erfüllung rechtlicher Pflichten – Art. 6 Abs. 1 lit. c DSGVO.
Hosting & Server-Logfiles
Unser Dienst wird bei Render Services, Inc. betrieben (Server, Region Frankfurt); vorgelagert nutzen wir Cloudflare, Inc. als Content-Delivery-Network sowie für Sicherheit/DDoS-Schutz und TLS-Verschlüsselung. Beim Aufruf des Dienstes verarbeiten diese Anbieter in unserem Auftrag technische Verbindungsdaten – insbesondere die IP-Adresse –, um die Inhalte auszuliefern und den Betrieb abzusichern.
Eine personenbezogene Speicherung von IP-Adressen innerhalb der Anwendung erfolgt nur temporär im Arbeitsspeicher zum Schutz vor automatisierten Angriffen und Missbrauch (z. B. Brute-Force, Rate-Limiting) und wird nicht dauerhaft gespeichert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Mit den Anbietern bestehen Verträge zur Auftragsverarbeitung (Art. 28 DSGVO).
Nutzerkonto, Registrierung & Login
Für die Nutzung des Dashboards kannst du ein Konto anlegen. Bei der Registrierung verarbeiten wir Name, E-Mail-Adresse und Passwort (als bcrypt-Hash). Zur Bestätigung deiner E-Mail-Adresse senden wir dir einen Bestätigungslink bzw. -code; unbestätigte Registrierungen werden nach 24 Stunden gelöscht. Konto- und Stammdaten werden bei unserem Anbieter Supabase (Datenbank/Authentifizierung) gespeichert, die Tracking-/Auswertungsdaten in einer Datenbank auf unserer Hosting-Infrastruktur (Render).
Login über Drittanbieter (Single Sign-On): Optional kannst du dich über Google, LinkedIn oder Apple anmelden. Dabei erhalten wir vom gewählten Anbieter die zur Kontoerstellung erforderlichen Daten (in der Regel E-Mail-Adresse, Name und – sofern vorhanden – Profilbild bzw. eine Nutzerkennung). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; zusätzlich gelten die Datenschutzbestimmungen des jeweiligen Anbieters.
E-Mail-Versand
Für den Versand transaktionaler E-Mails (z. B. Bestätigungs-, Willkommens- und Passwort-Zurücksetzen-Mails) sowie für die interne Zustellung von Kontakt- und Newsletter-Benachrichtigungen nutzen wir den Dienst Resend (Resend, Inc.). An den Anbieter werden die E-Mail-Adresse, ggf. der Name sowie der Inhalt der jeweiligen Nachricht übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. lit. f DSGVO; es besteht ein Auftragsverarbeitungsvertrag.
KI-Engines (Sichtbarkeits-Tracking)
Kernfunktion von Peilo ist die Messung der Sichtbarkeit von Marken in KI-Suchsystemen. Dazu übermitteln wir die von dir konfigurierten Such-Anfragen (Prompts) an externe KI-Anbieter und werten deren Antworten aus. Aktuell genutzt werden: OpenAI (ChatGPT), Anthropic (Claude), Google (Gemini), Perplexity, xAI (Grok) und DeepSeek sowie Firecrawl (Abruf von Quell-Inhalten).
An diese Anbieter werden ausschließlich die jeweiligen Such-Prompts (bei Firecrawl die abzurufenden URLs) übermittelt – markenfreie Kategorie-Fragen, die konstruktionsbedingt keine personenbezogenen Daten benötigen. Bitte gib in Prompts keine personenbezogenen Daten ein; Prompts mit deinem Markennamen werden systemseitig abgelehnt. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) bzw. unser berechtigtes Interesse an der Bereitstellung der Kernfunktion (Art. 6 Abs. 1 lit. f DSGVO).
Hinweis zu DeepSeek: DeepSeek (Hangzhou, China) wird als eine der Engines aktiv eingesetzt; die Such-Prompts werden dabei in ein Drittland ohne Angemessenheitsbeschluss übermittelt (Art. 44 ff. DSGVO). Übermittelt werden nur die markenfreien Prompt-Texte – keine Konto-, Kontakt- oder Nutzungsdaten. Wenn du das nicht möchtest, kontaktiere uns; eine Abwahl einzelner Engines pro Workspace ist in Arbeit.
Eingebundene Inhalte Dritter
Zur Darstellung binden wir vereinzelt Inhalte von Drittanbietern ein. Dabei kann deine IP-Adresse an den jeweiligen Anbieter übermittelt werden, da sie technisch zur Auslieferung erforderlich ist:
- Schriften & Logos – Schriften (Instrument Sans), Anbieter-Logos und Länderflaggen werden lokal von unseren eigenen Servern ausgeliefert (Self-Hosting); dabei findet keine Übermittlung an Google Fonts, jsDelivr oder flagcdn mehr statt.
- Profilbilder – bei SSO werden Profilbilder ggf. direkt vom jeweiligen Anbieter (z. B. Google, LinkedIn) geladen.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (funktionsfähige, ansprechende Darstellung).
Empfänger & Auftragsverarbeiter
Eine Weitergabe personenbezogener Daten erfolgt nur, soweit dies zur Vertragserfüllung erforderlich ist, du eingewilligt hast oder wir gesetzlich dazu verpflichtet sind. Mit Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eingesetzt werden insbesondere:
- Render Services, Inc. – Hosting/Server (Region Frankfurt; Anbieter mit Sitz in den USA).
- Cloudflare, Inc. – CDN, Sicherheit, TLS (USA).
- Supabase – Datenbank & Authentifizierung (Konto-/Projektdaten). [Region: bitte EU-Region konfigurieren/prüfen.]
- Resend, Inc. – Versand transaktionaler E-Mails.
- Google, LinkedIn, Apple – optionaler Login (Single Sign-On).
- OpenAI, Anthropic, Google, Perplexity, xAI, DeepSeek, Firecrawl – Verarbeitung der Such-Prompts für das Sichtbarkeits-Tracking (Details und Drittland-Hinweise im Abschnitt „KI-Engines").
Übermittlung in Drittländer
Einige der eingesetzten Anbieter verarbeiten Daten außerhalb der EU/des EWR, insbesondere in den USA. Soweit kein Angemessenheitsbeschluss der EU-Kommission greift bzw. der Anbieter nicht unter dem EU-US Data Privacy Framework zertifiziert ist, stützen wir die Übermittlung auf die Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen.
DeepSeek (China): Für das Sichtbarkeits-Tracking werden die markenfreien Such-Prompts auch an DeepSeek übermittelt – also in ein Drittland ohne Angemessenheitsbeschluss. Es werden dabei keine Konto-, Kontakt- oder Nutzungsdaten übermittelt, sondern ausschließlich die Prompt-Texte, die konstruktionsbedingt keine personenbezogenen Daten enthalten sollen. Bitte gib in Prompts keine personenbezogenen Daten ein.
Speicherdauer
- Kontodaten – bis zur Löschung des Kontos; danach Löschung innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Unbestätigte Registrierungen – Löschung nach 24 Stunden.
- Token (E-Mail-Bestätigung/Passwort-Reset) – kurze Gültigkeit (1–24 Stunden), danach Löschung.
- Sitzungsdaten – max. 30 Tage; abgelaufene Sitzungen werden regelmäßig (stündlich) entfernt.
- Projekt- & Tracking-Daten – für die Dauer der Nutzung; Löschung mit der Konto-Löschung.
- Server-/Sicherheits-Logdaten – nur temporär bzw. kurzfristig zu Sicherheitszwecken.
Deine Rechte
Dir stehen nach der DSGVO folgende Rechte zu:
- Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18) und Datenübertragbarkeit (Art. 20).
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO).
- Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
Dein Konto kannst du jederzeit selbst löschen; dabei werden die zugehörigen personenbezogenen Daten entfernt. Zur Ausübung deiner Rechte genügt eine Nachricht an [email protected].
Aufsichtsbehörde & Beschwerderecht
Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung deiner personenbezogenen Daten zu beschweren (Art. 77 DSGVO). Zuständig ist insbesondere die Aufsichtsbehörde deines Wohnsitzes oder unseres Unternehmenssitzes:
[Zuständige Landes-Datenschutzaufsichtsbehörde – wird mit dem Unternehmenssitz ergänzt, z. B. das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) bei Sitz in Bayern.]
Keine automatisierte Entscheidungsfindung
Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung dir gegenüber im Sinne des Art. 22 DSGVO findet nicht statt.
Minderjährige
Der Dienst richtet sich an Unternehmen und gewerbliche Nutzer und nicht an Kinder. Personen unter 16 Jahren sollten ohne Zustimmung der Sorgeberechtigten keine personenbezogenen Daten an uns übermitteln.
Datensicherheit
Wir treffen technische und organisatorische Maßnahmen zum Schutz deiner Daten, u. a. TLS-Verschlüsselung bei der Übertragung, Passwort-Hashing (bcrypt), Zugriffsbeschränkungen sowie Schutzmechanismen gegen automatisierten Missbrauch. Mehr dazu auf unserer Sicherheits-Seite.
Änderungen dieser Erklärung
Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitung ändert. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung. Bei Fragen schreib uns an [email protected].