Datenschutzerklärung

Diese Datenschutzerklärung informiert dich nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten die Cloo GmbH verarbeitet, wenn du unsere Website mirafive.io besuchst, MIRA FIVE unter app.mirafive.io nutzt oder uns schreibst. Abschnitt 15 erklärt, was gilt, wenn du die Website eines unserer Kunden besuchst, der MIRA FIVE einsetzt.

1. Verantwortlicher und Kontakt

Verantwortlicher für die Verarbeitung ist:

Cloo GmbH
Reumtengrüner Str. 32B
08209 Auerbach
Deutschland

Vertreten durch die Geschäftsführer Yannick Seeger und Paul Otto.

Telefon: +49 3744 3515904

Datenschutz: info@cloo-gmbh.de

Produkt und Support: hello@mirafive.io

Bitte richte Fragen zum Datenschutz und Anfragen zu deinen Rechten an info@cloo-gmbh.de, an hello@mirafive.io oder per Post an die oben genannte Adresse. Weitere Angaben findest du im Impressum.

2. Überblick: Verantwortlicher oder Auftragsverarbeiter

Wir sind Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für

• Besuche unserer Website mirafive.io,
• Konten, Organisationen, Zahlungen und Verbindungen in MIRA FIVE (Kontodaten),
• die Gespräche mit Mira, unserem Agenten in der App, und die Daten, die wir dazu speichern (Abschnitt 10),
• E-Mails, die du uns sendest, und
• die Protokolle, mit denen wir unsere Systeme schützen.

Die Daten, die die Websites, Apps und Server unserer Kunden an MIRA FIVE senden (Kundendaten), verarbeiten wir dagegen als Auftragsverarbeiter nach Art. 28 DSGVO. Verantwortlicher ist dann der Kunde, also der Betreiber der betroffenen Website oder App. Einzelheiten stehen in Abschnitt 15.

MIRA FIVE richtet sich an Unternehmen. Wenn diese Datenschutzerklärung Art. 6 Abs. 1 lit. b DSGVO nennt und du nicht selbst Vertragspartei bist, sondern für einen Kunden handelst, zum Beispiel als Mitarbeiter, stützen wir die Verarbeitung auf unser berechtigtes Interesse und das des Kunden an der Erfüllung des Vertrags mit dem Kunden (Art. 6 Abs. 1 lit. f DSGVO).

Wir betreiben den Dienst auf Servern der Hetzner Online GmbH in Deutschland: ein Cloud-Server in Nürnberg für die App, die API, den Collector, den Worker und die Datenbank sowie ein dedizierter Server in Falkenstein für unsere eigenen Werkzeuge (Abschnitt 13). Cloudflare sitzt vor unseren Hosts (Abschnitte 3 und 13). Die Antworten von Mira schreiben Claude-Modelle, die Amazon Web Services für uns in Rechenzentren in der EU betreibt (Abschnitt 10). Wir verkaufen keine personenbezogenen Daten.

3. Besuch unserer Website

Die Website mirafive.io läuft als statische Dateien auf Cloudflare Workers. Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA, liefert die Seiten aus und stellt unser DNS bereit. Cloudflare betreibt Server an vielen Standorten weltweit. Deine Anfrage beantwortet der Standort, der dir am nächsten ist. Cloudflare handelt als unser Auftragsverarbeiter nach dem Cloudflare Data Processing Addendum, das Teil der Bedingungen für unser Konto ist.

Um dir eine Seite auszuliefern, verarbeitet Cloudflare die Verbindungsdaten, die dein Browser bei jeder Anfrage übermittelt: deine IP-Adresse, die angeforderte Adresse, Datum und Uhrzeit, die verweisende Seite sowie Angaben zu deinem Browser und Betriebssystem. Cloudflare kann diese Daten in Protokolle schreiben. Zweck ist, die Seiten auszuliefern und sie vor Überlastung und Angriffen zu schützen. Rechtsgrundlage ist unser berechtigtes Interesse an einer schnellen, stabilen und sicheren Website (Art. 6 Abs. 1 lit. f DSGVO). Ohne diese Daten können wir dir die Seiten nicht ausliefern.

Die Website setzt keine Cookies und speichert nichts auf deinem Gerät. Wir liefern Schriftarten und alle anderen Dateien selbst aus. Die Website stellt keine Anfrage an Dritte. Sie enthält keine Inhalte oder Dienste anderer Anbieter.

4. Analyse auf unserer Website

Die Website mirafive.io verwendet keine Analyse. Sie lädt kein Messskript und speichert nichts auf deinem Gerät. Wir messen nicht, welche Seiten du auf unserer Website öffnest. Die einzige Verarbeitung ist die Auslieferung der Seiten durch Cloudflare, wie Abschnitt 3 sie beschreibt.

Wenn wir beginnen, Besuche dieser Website zu messen, holen wir vorher deine Einwilligung ein, soweit das Gesetz sie verlangt, und aktualisieren zuvor diese Datenschutzerklärung.

5. Registrierung und Konto

Für ein Konto bei MIRA FIVE unter app.mirafive.io verarbeiten wir:

• deinen Namen und deine E-Mail-Adresse,
• den Bestätigungsstatus deiner E-Mail-Adresse,
• wenn du dich mit Google anmeldest, die Bildadresse, die Google uns sendet,
• die Anmeldemethode, die du nutzt, und bei einem Passkey seinen öffentlichen Schlüssel, den Gerätetyp, ob er gesichert ist, seine Transportwege und seine Authenticator-Kennung (AAGUID),
• den Nachweis, dass ein Owner den Auftragsverarbeitungsvertrag für eine Organisation angenommen hat: Version, Person, Art des Aufrufers (App, Chat, API-Schlüssel oder OAuth-Verbindung) und Zeitpunkt.

MIRA FIVE hat keine Passwörter. Du meldest dich auf einem von drei Wegen an:

• Google. Du meldest dich über das Anmeldeverfahren von Google an. Google erhält das Anmeldeereignis als eigenständiger Anbieter nach seinen eigenen Bedingungen. Wir erhalten deinen Namen, deine E-Mail-Adresse, deine Bildadresse und die Information, dass Google die Adresse verifiziert hat. Die Zugriffstoken von Google speichern wir verschlüsselt.
• E-Mail-Code. Wir senden einen sechsstelligen Code an deine Adresse. Er gilt fünf Minuten, und wir speichern ihn nur als Hash. Begrenzungen schützen vor Missbrauch: zum Beispiel ein Code pro Adresse und Minute und eine kleine Zahl pro Stunde und Tag. Die Zähler speichern wir als Hashes mit Schlüssel der Adresse oder der IP-Adresse (Abschnitt 13).
• Passkey. Du kannst in den Einstellungen einen Passkey hinzufügen. Dein Gerät bewahrt den privaten Schlüssel auf. Wir speichern den öffentlichen Schlüssel und die oben genannten Angaben.

Zweck ist, dein Konto und den Dienst bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertrag und vorvertragliche Maßnahmen; für Mitarbeiter eines Kunden siehe Abschnitt 2). Die Begrenzungen gegen Missbrauch stützen wir auf unser berechtigtes Interesse, Konten vor Übernahme und Missbrauch zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Name und E-Mail-Adresse sind für ein Konto erforderlich; ohne sie können wir keines einrichten.

Wir speichern deine Kontodaten, solange dein Konto besteht. Du kannst dein Konto in den Einstellungen löschen. Wir senden dir dann einen Link an deine E-Mail-Adresse, der eine Stunde gültig ist, und du bestätigst die Löschung damit. Die Löschung wird abgelehnt, solange du der einzige Owner einer Organisation bist, die weitere Mitglieder oder einen kostenpflichtigen Tarif hat. Bei der Löschung entfernen wir dein Konto, deine Anmeldemethoden und Sitzungen, deine persönliche Organisation und jede Organisation, in der du das einzige Mitglied bist, sowie die privaten Chats, die du in anderen Organisationen hattest. Analysedaten einer Organisation, die gelöscht wird, werden in Stapeln entfernt; Abschnitt 15 nennt die Fristen. Daten können für begrenzte Zeit in Backups verbleiben (Abschnitt 13). Wir löschen den Stripe-Kundendatensatz einer gelöschten Organisation nicht; Stripe bewahrt seine Aufzeichnungen auf, soweit das Gesetz es verlangt (Abschnitt 8). Gesetzliche Aufbewahrungspflichten (Abschnitt 8) bleiben unberührt.

6. Anmeldung, Sitzungen und Cookies der App

Solange du angemeldet bist, speichern wir deine Sitzung in unserer Datenbank: ein Token (das Cookie enthält es), den Zeitpunkt des Ablaufs, die Organisation, in der du arbeitest, sowie deine IP-Adresse und Browserkennung (User-Agent), so wie sie beim Start der Sitzung gesendet wurden. Die Sitzung dauert 30 Tage. Jeder Tag der Nutzung verlängert sie. Abgelaufene Sitzungen löschen wir täglich. Die IP-Adresse und die Browserkennung nutzen wir, um dir deine Sitzungen anzuzeigen und Missbrauch zu untersuchen.

Die App setzt die folgenden Cookies. Die Namen stammen von unserer Anmeldesoftware; in der Produktion beginnen sie mit __Secure-.

Cookie	Zweck	Speicherdauer
better-auth.session_token	verknüpft deinen Browser mit deiner Sitzung; wird nur über HTTPS gesendet und ist für Skripte nicht lesbar	30 Tage, durch Nutzung verlängert
better-auth.session_data	eine signierte Kopie der Sitzungsdaten für mehr Geschwindigkeit; das System liest deine Mitgliedschaft bei jeder Anfrage erneut aus der Datenbank	60 Sekunden
better-auth.otp_ticket	wird gesetzt, wenn du einen Anmeldecode anforderst, damit der Bildschirm dir sagen kann, wenn die E-Mail nicht ankam; enthält deine Adresse in Kleinbuchstaben	10 Minuten
kurzlebige Anmelde-Cookies	tragen den Zustand einer Google-Anmeldung oder die Challenge einer Passkey-Anmeldung	nur für das Anmeldeverfahren
mf-org	merkt sich das zuletzt geöffnete Projekt; enthält deine Nutzer-ID und Projekt-ID	ein Jahr
better-auth.last_used_login_method	merkt sich, wie du dich zuletzt angemeldet hast (zum Beispiel google oder email), damit die Anmeldeseite es vorschlagen kann; keine weiteren Daten	30 Tage

Die App speichert außerdem zwei Einstellungen im lokalen Speicher deines Browsers: mf-theme (helles oder dunkles Farbthema) und mf-motion (deine Wahl, Bewegung zu reduzieren). Sie enthalten keine personenbezogenen Daten und werden nie an uns gesendet.

Diese Cookies und Einträge sind unbedingt erforderlich, damit wir den von dir gewünschten Dienst bereitstellen können. Rechtsgrundlage für das Speichern und Auslesen ist § 25 Abs. 2 Nr. 2 TDDDG, für die weitere Verarbeitung Art. 6 Abs. 1 lit. b DSGVO (siehe Abschnitt 2). Die App setzt keine Cookies für Analyse oder Werbung. Die App hat kein Analyseskript. Sie lädt kein Skript, keine Schriftart und kein Bild von Dritten.

7. Organisationen, Mitglieder und Einladungen

Jedes Konto erhält eine persönliche Organisation. Du kannst weitere Organisationen anlegen und andere Personen einladen. Dafür verarbeiten wir den Namen der Organisation, die Mitgliedschaften und Rollen (Owner, Admin, Member) und bei Einladungen die E-Mail-Adresse der eingeladenen Person, die vorgesehene Rolle und wer die Einladung gesendet hat. Projekte, Websites, Apps und Server, die du hinzufügst, gehören zur Organisation.

Die eingeladene Person erhält eine E-Mail mit einem Link. Die Einladung ist sieben Tage gültig und wird danach gelöscht. Eine Einladung setzt eine bestätigte E-Mail-Adresse voraus. Wenn du eingeladen wirst, haben wir deine E-Mail-Adresse von der Person, die dich einlädt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Verwaltung der Organisation (siehe Abschnitt 2). Einladungen an Personen, die noch kein Konto haben, stützen wir auf unser berechtigtes Interesse und das des Kunden, Kollegen zu einer gemeinsamen Organisation hinzuzufügen (Art. 6 Abs. 1 lit. f DSGVO).

Wir speichern Mitgliedschaften, solange sie bestehen. Wenn der Owner eine Organisation löscht, entfernen wir ihre Daten. Das ist nur möglich, wenn die Organisation im kostenlosen Tarif ist; ein laufender kostenpflichtiger Tarif muss also zuerst enden. Abschnitt 15 nennt die Fristen für Analysedaten.

8. Zahlungen

Der Owner einer Organisation bucht einen kostenpflichtigen Tarif über Stripe Managed Payments. In diesem Dienst ist Sold through Link, LLC, ein Unternehmen der Stripe-Gruppe, der Merchant of Record für die Zahlung. Es wickelt den Bezahlvorgang ab, belastet die Zahlungsmethode, berechnet, erhebt und führt Umsatzsteuer und andere Verkaufssteuern ab und stellt Belege und Rechnungen in eigenem Namen aus. Auf der Kartenabrechnung steht LINK.COM* gefolgt von unserer Bezeichnung. Du gibst deine Zahlungsdaten, etwa Kartendaten, direkt bei Stripe ein; wir erhalten sie nicht. Die Cloo GmbH bleibt Anbieter von MIRA FIVE. Für deinen Kauf gelten außerdem die Bedingungen von Sold through Link.

Für jede Organisation legen wir bei Stripe einen Kundendatensatz an. Wir übermitteln Stripe den Namen der Organisation, die E-Mail-Adresse eines Owners und die Kennung der Organisation. Für Nutzung über das Kontingent hinaus übermitteln wir Nutzungszahlen als Meter-Ereignisse (Ereignisse, importierte Zeilen und KI-Credits). Sie enthalten keine Daten über einzelne Besucher. Von Stripe erhalten wir den Status des Abonnements und der Zahlungen, Beträge und die eigenen Kennungen von Stripe. Wir speichern Tarif, Status, Nutzung und diese Kennungen. Belege und Rechnungen kommen von Stripe und Sold through Link per E-Mail und stehen im Stripe-Kundenportal bereit.

Stripe und Sold through Link verarbeiten die Zahlungsdaten, die sie erheben, als eigenständige Verantwortliche für ihre eigenen Zwecke, etwa Zahlungsabwicklung, Steuern, Betrugsprävention und ihre rechtlichen Pflichten. Sie sind nicht unsere Auftragsverarbeiter. Unser Vertragspartner bei Stripe ist Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irland. Einzelheiten stehen in der Datenschutzerklärung von Stripe. Zu Übermittlungen in die USA siehe Abschnitt 16.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Aufzeichnungen, die wir von Gesetzes wegen aufbewahren müssen, bewahren wir so lange auf, wie das Handels- und Steuerrecht es verlangt, bis zu zehn Jahre (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB). Die Nutzungsaufzeichnungen in der App löschen wir nach 400 Tagen. Ohne diese Daten können wir einen kostenpflichtigen Tarif nicht abrechnen.

9. E-Mails aus der App

MIRA FIVE sendet nur E-Mails, die zum Dienst gehören, keine Newsletter und keine Werbung:

• Anmeldecodes,
• Einladungen zu einer Organisation,
• den Link zur Bestätigung einer Kontolöschung,
• Hinweise zu Zahlungen und Tarifen, etwa eine fehlgeschlagene Verlängerung oder das Ende eines Tarifs, und Hinweise an Owner, wenn die Nutzung das Kontingent oder das Ausgabenlimit erreicht,
• eine wöchentliche Zusammenfassung der Analysedaten deiner Projekte, Warnungen bei Problemen mit dem Tracking und Warnungen bei großen Änderungen in deinem Traffic.

Du kannst die optionalen E-Mails (Zusammenfassung und Warnungen) mit dem Link in jeder Nachricht oder in den Einstellungen abschalten.

Wir senden sie von no-reply@mirafive.io über die Sinch Mailjet SAS, 43 rue de Dunkerque, 75010 Paris, Frankreich („Mailjet“), unseren Auftragsverarbeiter. Wir schalten die Öffnungs- und Klickverfolgung ab. Mailjet verarbeitet die Daten in der EU. Mailjet erhält deine E-Mail-Adresse, gegebenenfalls deinen Namen und den Inhalt der Nachricht. Die Zusammenfassung und die Warnungen enthalten Kundendaten in Form von Summen, etwa Besucher, Seitenaufrufe und Umsatz pro Woche, und kurze Sätze, die eine verweisende Website oder einen Seitenpfad nennen können (auf 48 Zeichen gekürzt). Mailjet ist für diese E-Mails daher ein Unterauftragsverarbeiter.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die E-Mails der Vertragserfüllung dienen (siehe Abschnitt 2), und sonst unser berechtigtes Interesse an einem sicheren und funktionierenden Dienst (Art. 6 Abs. 1 lit. f DSGVO).

10. Der KI-Chat (Mira)

In der App sprichst du mit Mira, einem KI-Agenten. Mira beantwortet deine Fragen zu deinen Analysedaten, kann Einstellungen ändern, nachdem du sie bestätigt hast, und schreibt den Text ihrer Antworten mit einem großen Sprachmodell. Das Modell schreibt nicht die Zahlen eines Diagramms oder einer Tabelle: Sie stammen aus den Daten, die wir speichern.

Wenn du eine Nachricht sendest, erreicht das Folgende das Modell:

• deine Nachrichten und die Anweisungen, die Mira sagen, wie sie arbeitet,
• eine kurze Notiz zu deinem Projekt: den Projektnamen, bis zu fünf Website-Domains, die Namen von Apps und Servern und das Datum,
• die Ergebnisse der Fragen, die Mira an unser System stellt. Sie sind kompakte Summen, Rangfolgen, IDs und Bezeichnungen, keine rohen Ereigniszeilen. Seitenpfade, Titel, verweisende Websites, Kampagnennamen, Ereignisnamen, Suchbegriffe und Kontonamen, die aus getrackten Daten stammen, sind als Daten markiert, damit das Modell sie nie als Anweisungen liest,
• wenn du nach Personen fragst, die Informationen über diese Personen, die deine Organisation gespeichert hat: Nutzer-IDs, Merkmale (E-Mail-Adressen und Telefonnummern standardmäßig als Hashes mit Schlüssel), erster und letzter Besuch, Umsatz und eine kurze Liste der letzten Besuche,
• die Namen und E-Mail-Adressen der Mitglieder deiner Organisation, wenn du danach fragst,
• Werbekennzahlen und Suchbegriffe aus verbundenen Plattformen (Abschnitt 11), wenn du danach fragst.

Das Folgende erreicht das Modell nie: Stripe-Schlüssel, Zugriffstoken verbundener Plattformen, den Download-Link eines Datenexports und die rohen Zeilen, die wir aus Plattformen importieren.

Die Antworten erzeugen Claude-Modelle von Anthropic, die Amazon Web Services EMEA SARL („AWS“) für uns in Amazon Bedrock in AWS-Rechenzentren in der EU betreibt. Wir nutzen die Region Europa (Frankfurt); AWS kann eine Anfrage zwischen seinen Regionen in der EU weiterleiten. AWS ist unser Auftragsverarbeiter und für Kundendaten unser Unterauftragsverarbeiter (Abschnitt 16). Die Verarbeitung für die KI bleibt in der EU, daher findet dafür keine Übermittlung in ein Drittland statt.

Wir konfigurieren Amazon Bedrock auf Zero Data Retention: AWS schreibt keinen Prompt und keine Antwort in dauerhaften Speicher. Anthropic, der Hersteller der Modelle, hat keinen Zugriff auf die Prompts und Antworten und erhält sie nicht, weil Amazon Bedrock die Modelle in Konten betreibt, die nur AWS betreibt. Die Daten werden nicht zum Training eines Modells verwendet.

Rechtsgrundlage für den Chat ist Art. 6 Abs. 1 lit. b DSGVO (siehe Abschnitt 2). Wir trainieren keine KI-Modelle mit deinen Daten und nutzen die personenbezogenen Daten eines Kunden nicht für einen anderen.

Wir speichern das Gespräch, die Ergebnisse, die das Modell gelesen hat, und die Nutzung jedes Aufrufs (Tokens, Kosten, Prompt-Version) in unserer Datenbank. Ein Gespräch bleibt bestehen, bis die Person, die es geschrieben hat, es löscht oder bis die Organisation oder das Projekt gelöscht wird. Private Chats werden auch gelöscht, wenn die Person die Organisation verlässt. Für Chatnachrichten gibt es keine feste Höchstfrist. Das System löscht den Stream eines Laufs 15 Minuten nach dem Lauf und beendete Läufe nach 30 Tagen. Geschlossene Bestätigungsanfragen löschen wir nach 30 Tagen. Die Nutzung addieren wir nach 90 Tagen zu Monatssummen.

Mira kann Daten nicht von sich aus ändern. Eine Änderung braucht deinen Klick auf eine Bestätigungskarte und läuft mit deiner Rolle. Wir treffen keine Entscheidung über dich ausschließlich auf automatisierte Weise (Abschnitt 19).

11. Verbindungen zu Google, Meta, Microsoft und Stripe (Search Console, Google Ads, Meta Ads, Microsoft Advertising, Bing Webmaster Tools, Umsatzimport)

Du kannst eine Organisation mit Google Search Console, Google Ads, Meta Ads, Microsoft Advertising und Bing Webmaster Tools verbinden. Nur Owner und Admins können Verbindungen herstellen. Du richtest jede Verbindung über das Anmeldeverfahren des Anbieters ein (OAuth; bei Meta Facebook Login for Business). MIRA FIVE liest nur Daten. Es ändert nichts in einem Werbekonto. Zum Abrufen der Daten fragen wir nur die folgenden Berechtigungen an:

Dienst	Berechtigung	Was wir abrufen
Google Search Console	webmasters.readonly (nur lesen)	Suchanalysedaten nach Datum, Suchanfrage, Seite, Land und Gerät; Websites und Sitemaps. Sie enthalten keine Angaben zu einzelnen suchenden Personen, aber die Suchbegriffe, die Personen eingegeben haben.
Google Ads	adwords (Google bietet keine reine Leseberechtigung an; wir lesen nur)	Kennzahlen nach Kampagne, Anzeigengruppe und Keyword und, bei Anzeigenklicks, die Klick-Kennung mit ihrer Kampagne. Die Zuordnung zu Besuchen geschieht auf unseren Servern.
Meta Ads	ads_read (nur lesen)	die Werbekonten, die der Login erreicht, mit Name und Status; für jede Kampagne, Anzeigengruppe und Anzeige ihren Namen, Status und ihr Ziel sowie ihre täglichen Impressionen, Reichweite, Klicks, Ausgaben, Conversions und Conversion-Werte. Sie enthalten keine Angaben zu einzelnen Personen.
Microsoft Advertising	msads.manage (Microsoft bietet keine reine Leseberechtigung an; wir lesen nur)	Berichte zu Kampagnen und Anzeigengruppen: Impressionen, Klicks, Ausgaben, Conversions und Umsatz. Sie enthalten keine Angaben zu einzelnen Personen.
Bing Webmaster Tools	webmaster.read (nur lesen)	die Websites des Bing-Webmaster-Tools-Kontos und ob sie verifiziert sind; für die gewählte Website Klicks, Impressionen und Positionen von Suchanfragen und Seiten sowie Crawl-Statistiken. Sie enthalten keine Angaben zu einzelnen suchenden Personen, aber Suchbegriffe. Die Codes, mit denen Bing eine Website verifiziert, speichern wir nicht.

Die Listen nennen die wichtigsten Felder. Eine Verbindung kann weitere Felder derselben Art abrufen. Verbindungen sind dort verfügbar, wo die App sie anbietet; einige warten auf die Prüfung durch die Plattform.

Für jede Verbindung speichern wir die Zugriffstoken des Anbieters, verschlüsselt mit AES-256-GCM, und den Namen des Kontos, mit dem sie eingerichtet wurde: bei Google den Namen und die E-Mail-Adresse des Google-Kontos, bei Meta den Namen, den Meta für das Token zurückgibt, meist den des Systemnutzers des Unternehmens, ohne E-Mail-Adresse. Bing Webmaster Tools teilt uns nichts über die Person mit, die sich anmeldet, daher benennen wir diese Verbindung nach den verifizierten Websites, die sie erreicht. Diese Angaben erhalten wir vom Anbieter. Wir senden keine Daten über Besucher an Google, Meta oder Microsoft.

Wir bewahren die Zeilen genau so auf, wie die Plattform sie gesendet hat, und die Zahlen, die wir daraus berechnen, damit wir sie neu berechnen können, wenn wir eine Berechnung verbessern. Beides bewahren wir 25 Monate auf.

Du kannst außerdem dein eigenes Stripe-Konto verbinden, um verifizierten Umsatz zu importieren. Dazu gibst du MIRA FIVE einen eingeschränkten Stripe-Schlüssel, der nur lesen kann. Wir speichern ihn verschlüsselt mit AES-256-GCM. MIRA FIVE legt einen Webhook in deinem Stripe-Konto an und importiert die Zahlungen der letzten 90 Tage, danach aktualisiert es laufend. Für jede Zahlung speichern wir ihre Kennungen, Zeitpunkt, Währung, Betrag, erstattete und bestrittene Beträge und wie wir sie mit einem Besuch verknüpft haben. Wir speichern keine Namen, Adressen oder Kartendaten. Wir verknüpfen eine Zahlung mit einem Besuch über eine Referenz, die deine Website an Stripe übergibt (nur mit Einwilligung des Besuchers), oder über einen Hash mit Schlüssel der E-Mail-Adresse des Zahlenden, wenn deine Website uns diese Adresse sendet. Die E-Mail-Adresse des Zahlenden selbst speichern wir nie. Wir bewahren die Daten 25 Monate auf.

Zweck ist, Daten dieser Dienste in MIRA FIVE zu analysieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die Erfüllung des Vertrags mit dem Kunden; wenn du die Verbindung als Mitarbeiter eines Kunden einrichtest, ist es unser berechtigtes Interesse und das des Kunden an der Vertragserfüllung (Art. 6 Abs. 1 lit. f DSGVO). Die importierten Daten sind Kundendaten; dafür handeln wir als Auftragsverarbeiter (Abschnitt 15).

Wenn du die Verbindung trennst, löschen wir die Token, die Konten und die importierten Daten der Verbindung und widerrufen den Zugriff bei Google und Meta. Microsoft und Bing Webmaster Tools bieten uns keine Möglichkeit, den Zugriff zu widerrufen; dort beendet das Löschen der Token unseren Zugriff. Wenn ein Projekt gelöscht wird, löschen wir die Token, können aber die Freigaben bei den Anbietern nicht widerrufen. Du kannst den Zugriff auch jederzeit selbst entziehen: bei Google in deinem Google-Konto unter myaccount.google.com/permissions, bei Meta in den Einstellungen deines Unternehmensportfolios.

Umgang mit Daten aus Google-APIs

Die Verwendung von Informationen, die MIRA FIVE aus Google-APIs erhält, hält die Google API Services User Data Policy ein, einschließlich der Limited-Use-Anforderungen. Das gilt für die Daten, die wir von Google Ads und Google Search Console erhalten. Insbesondere:

• Wir verwenden Daten aus Google-APIs nur, um dir deine eigenen Berichte zu zeigen und deine Fragen im Chat zu beantworten.
• Wir verwenden sie nicht für Werbung, einschließlich Retargeting, personalisierter oder interessenbasierter Werbung, und wir verkaufen sie nicht.
• Wir verwenden sie nie, um ein Modell der künstlichen Intelligenz oder des maschinellen Lernens zu erstellen, zu trainieren oder zu verbessern. Wenn du Mira eine Frage zu diesen Daten stellst, erreichen sie den KI-Anbieter von Mira, Amazon Web Services in der EU (Abschnitt 10), nur, um diese Frage zu beantworten. Es gilt Zero Data Retention, und die Daten werden bei keinem Modell gespeichert.
• Wir geben sie nur weiter, wo es nötig ist, um die Funktionen bereitzustellen, die du nutzt: an unsere Hosting- und Backup-Anbieter (Abschnitt 16) und an den KI-Anbieter von Mira, wie eben beschrieben. Wir geben sie außerdem weiter, wenn du sie selbst über die API oder MCP abrufst oder wenn das Gesetz es verlangt.
• Menschen lesen sie nur mit deiner Einwilligung, wo es für die Sicherheit oder die Untersuchung von Missbrauch nötig ist, oder wenn das Gesetz es verlangt.

12. API und KI-Agenten (MCP)

Über die REST-API und den MCP-Server können du und Programme, die du auswählst, etwa ein KI-Assistent, Daten aus MIRA FIVE abrufen.

• API-Schlüssel gehören zur Organisation. Nur Owner und Admins können sie in der App erstellen. Wir speichern sie nur als Hash oder Fingerabdruck, bis du sie löschst oder die Organisation gelöscht wird. Ein Schlüssel kann ein Ablaufdatum haben. Abgelaufene Schlüssel löschen wir. Ein Schlüssel für MCP hat entweder Lesezugriff (Standard) oder Schreibzugriff.
• KI-Clients verbindest du über OAuth. Zugriffstoken sind eine Stunde gültig, Refresh-Token 30 Tage, und ein Refresh-Token wird bei jeder Nutzung ersetzt. Abgelaufene Token löschen wir täglich, ebenso Freigaben und Clients, die 30 Tage lang niemand genutzt hat.
• Wir zeichnen jeden Aufruf über die API oder MCP im Audit-Protokoll auf (Abschnitt 13): wer aufgerufen hat, welche Funktion, den Namen des Schlüssels oder der Verbindung, das Ergebnis und die Dauer. Den Inhalt von Anfragen oder Ergebnissen protokollieren wir nicht.
• Anfragelimits gelten pro Person und pro Schlüssel.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (siehe Abschnitt 2) und, für das Audit-Protokoll, unser berechtigtes Interesse an der Sicherheit des Dienstes und am Nachweis von Zugriffen (Art. 6 Abs. 1 lit. f DSGVO).

Daten, die du über die API oder MCP abrufst, verlassen MIRA FIVE auf deine Anweisung. Sie bestehen aus Analysedaten, die MIRA FIVE berechnet hat, nicht aus Rohdaten der Plattformen von Google oder Meta. Wenn du einen KI-Client nutzt, gehen die Daten an den Anbieter dieses Clients. Du oder der Kunde wählt diesen Anbieter; er ist nicht unser Dienstleister, und die Verantwortung für diese Offenlegung liegt beim Kunden. Wir trainieren keine KI-Modelle mit deinen Daten.

13. Sicherheit, Protokolle und Fehlerüberwachung

Zugriffsprotokoll und Cloudflare

Der Tunnel und die Sicherheitsregeln von Cloudflare sitzen vor app.mirafive.io, api.mirafive.io, collect.mirafive.io und cdn.mirafive.io. Cloudflare beendet die verschlüsselte Verbindung und sieht deshalb alle Anfragen an diese Hosts, einschließlich IP-Adressen, Cookies, API-Schlüsseln und des Inhalts von Chatnachrichten. Regeln von Cloudflare blockieren Absender, die viele abgelehnte Anfragen oder Anfragen einer Art senden, die diese Hosts nicht annehmen. Cloudflare handelt als unser Auftragsverarbeiter nach dem Cloudflare Data Processing Addendum (Abschnitt 16).

Die Programme von MIRA FIVE schreiben kein Zugriffsprotokoll und schreiben nie eine IP-Adresse in ein Protokoll. Die Protokollzeile der API enthält nur eine Anfrage-ID, die Methode, die Route, den Statuscode und die Dauer. Der Reverse-Proxy auf unserem Server kann Zugriffsprotokolle schreiben (IP-Adresse, Zeit, Anfrage, Statuscode). Sie bleiben in den Container-Protokollen, die nach Größe rotiert und höchstens wenige Tage aufbewahrt werden. Systemprotokolle, die IP-Adressen enthalten, etwa SSH-Anmeldungen und blockierte Firewall-Pakete, werden bis zu fünf Wochen aufbewahrt. Wir nutzen solche Protokolle nur, um Angriffe zu erkennen und abzuwehren. Better Auth speichert die IP-Adresse und die Browserkennung einer Sitzung in der Sitzungszeile, bis die Sitzung abläuft (Abschnitt 6).

Serversicherheit

Daten im Ruhezustand auf den Servern sind durch die physischen Kontrollen und Zugangskontrollen des Rechenzentrums geschützt; Backups werden verschlüsselt, bevor sie den Server verlassen. Wir verschlüsseln die Festplatten der Server nicht auf Betriebssystemebene. Die Server akzeptieren SSH nur mit Schlüsseln, auf einem nicht standardmäßigen Port, ohne Passwort-Anmeldung und ohne direkte Root-Anmeldung aus dem Internet. Eine Firewall verweigert allen eingehenden Verkehr außer den Web-Ports und SSH, und ein Intrusion-Prevention-System (CrowdSec) blockiert angreifende IP-Adressen. Sicherheitsupdates des Betriebssystems werden jeden Tag automatisch installiert. Container-Images sind an Versionen gebunden und werden jede Woche auf bekannte Schwachstellen geprüft. Administrationsoberflächen liegen hinter Cloudflare Access, wo sich nur die Geschäftsführer anmelden können.

Anfragelimits

Um Missbrauch zu begrenzen, zählen wir Anfragen pro Absender. Für die Anmeldung speichern wir Zähler als Hashes mit Schlüssel der IP-Adresse oder E-Mail-Adresse. Wir bewahren einen Zähler nur bis zum Ende seines Zeitfensters auf, höchstens etwa einen Tag, und löschen die Zähler von Better Auth nach zwei Tagen. Auf dem Erfassungs-Host zählen wir Ereignisse pro Besucher und Stunde aus dem täglichen Besucherwert (Abschnitt 15) und bewahren diesen Zähler zwei Stunden auf.

Audit-Protokoll

Wir zeichnen sicherheitsrelevante Ereignisse in einem Audit-Protokoll auf: jeden Aufruf über die App, die API und MCP, mit der Person, der Funktion, dem Ergebnis und der Dauer, und bei KI-Clients mit dem Namen des Clients. Die Eingabe oder das Ergebnis zeichnen wir nie auf. Diese Einträge bewahren wir 90 Tage auf. Jeden Zugriff unserer Mitarbeiter zeichnen wir gesondert auf und bewahren ihn 365 Tage auf. Meldungen über Probleme, die uns Agenten oder Mira senden, bewahren wir, nachdem personenbezogen aussehender Text entfernt wurde, 365 Tage auf.

Zugriff durch unsere Mitarbeiter

Unsere Mitarbeiter können sich nicht als Nutzer anmelden. Zwei Gründer nutzen einen internen Bereich, um Kunden zu unterstützen und Missbrauch abzuwehren. Er liest Daten über Organisationen hinweg, etwa Name, E-Mail-Adresse, Organisationen, Tarif und Anzahl der Ereignisse. Jeder Lesezugriff und jede Änderung wird im Audit-Protokoll mit der Person aufgezeichnet, die sie vorgenommen hat. Nur die Geschäftsführer haben persönlichen administrativen Zugriff auf die Produktivsysteme. Automatisierte Systeme, etwa Deployment und Datenbankmigrationen, nutzen eigene Schlüssel mit eingeschränkten Rechten. Die Geschäftsführer erteilen und entziehen Zugriff über unsere Konfigurationsverwaltung.

Fehlerüberwachung und Monitoring

Wir erfassen Fehler in den Programmen von MIRA FIVE mit Sentry. Sentry ist unsere eigene Software auf unserem eigenen Server, einem dedizierten Server der Hetzner Online GmbH in Falkenstein, Deutschland. Es ist kein Dienstleister. Die Programme entfernen Nutzerdaten, Cookies, Header, Anfragekörper und Query-Strings, bevor sie einen Bericht senden. Fehlermeldungen können trotzdem Freitext enthalten. Fehlerberichte bewahren wir 14 Tage auf.

Wir überwachen den Zustand unserer Systeme mit Prometheus, Alertmanager und Grafana auf unserem eigenen Server in Deutschland. Die Metriken enthalten Zähler und Routennamen, keine Besucherdaten. Warnungen erreichen die Geschäftsführer als Push-Benachrichtigung und per E-Mail.

Backups

Wir sichern unsere Datenbank laufend und mit einem vollständigen Backup pro Woche und einem Differenz-Backup pro Tag. Die Backups werden auf unserem Server vor der Übertragung mit AES-256 verschlüsselt, mit einem Schlüssel, den Amazon nicht besitzt, und bei Amazon Web Services EMEA SARL (AWS) in der Region Europa (Frankfurt), eu-central-1, gespeichert. AWS verschlüsselt die gespeicherten Dateien zusätzlich, die Übertragung erfolgt über TLS, und die Backup-Dateien sind versioniert und schreibgeschützt. Wir können die Datenbank auf jeden Zeitpunkt der letzten 7 bis 14 Tage wiederherstellen. Nachdem die Backups ablaufen, werden ältere Versionen der Backup-Dateien nach weiteren 21 Tagen entfernt. Gelöschte Daten können daher bis zu 35 Tage in Backups verbleiben. Dort sind sie geschützt und werden nicht verwendet, bis das Backup entfernt wird.

Rechtsgrundlage

Rechtsgrundlage für die Verarbeitung in diesem Abschnitt ist unser berechtigtes Interesse, unsere Systeme und die Daten unserer Nutzer und Kunden vor Angriffen, Missbrauch, Fehlern und Verlust zu schützen (Art. 6 Abs. 1 lit. f DSGVO), und unsere Pflicht, die Sicherheit der Verarbeitung zu gewährleisten (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 32 DSGVO).

14. Kontakt und Support per E-Mail

Wenn du uns an hello@mirafive.io oder info@cloo-gmbh.de schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen, falls angegeben, und den Inhalt deiner Nachricht, um sie zu beantworten.

Unsere Postfächer betreibt Google Workspace der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, als unser Auftragsverarbeiter. Dabei kann Google LLC in den USA Daten verarbeiten. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert; außerdem gelten die Standardvertragsklauseln der Europäischen Kommission (Abschnitt 16). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn deine Nachricht einen Vertrag oder dessen Abschluss betrifft, und sonst unser berechtigtes Interesse, Anfragen zu beantworten (Art. 6 Abs. 1 lit. f DSGVO). Wir bewahren die Korrespondenz so lange auf, wie die Angelegenheit offen ist und gesetzliche Aufbewahrungspflichten für Handels- und Geschäftsbriefe es verlangen (§ 257 HGB, § 147 AO).

Wenn du uns als Kunde in einer Support-Anfrage personenbezogene Daten deiner Besucher sendest, verarbeiten wir sie als Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag.

15. Daten von Besuchern der Websites unserer Kunden

Rollen und Ansprechpartner

Wenn du eine Website oder App besuchst, die MIRA FIVE nutzt, verarbeiten wir Daten über deinen Besuch im Auftrag ihres Betreibers. Der Betreiber ist der Verantwortliche; wir sind sein Auftragsverarbeiter nach Art. 28 DSGVO. Wir handeln nur auf seine Weisung und auf Grundlage unseres Auftragsverarbeitungsvertrags. Die Unterauftragsverarbeiter, die wir einsetzen, sind auf der Seite Unterauftragsverarbeiter aufgeführt. Wenn eine Agentur MIRA FIVE für ihre Kunden nutzt, sind wir ein weiterer Auftragsverarbeiter.

Der Betreiber entscheidet, welche Daten erhoben werden und auf welcher Rechtsgrundlage. Er informiert dich darüber in seiner Datenschutzerklärung und beantwortet deine Anfragen. Bitte wende dich deshalb zuerst an den Betreiber. Wir unterstützen ihn dabei; MIRA FIVE gibt ihm Werkzeuge für Auskunft, Löschung und Widerspruch für einzelne Personen.

Was erhoben werden kann

Dein Browser lädt das Skript von cdn.mirafive.io, und collect.mirafive.io empfängt die Daten. Betreiber können Daten auch aus ihren Apps oder von ihren Servern über die Ereignisschnittstelle von MIRA FIVE senden. Dort gelten dieselben Einwilligungsregeln. Der Betreiber wählt für jedes Projekt einen von drei Tracking-Modi:

• Hybrid (Standard): ohne deine Einwilligung speichert das Skript nichts auf deinem Gerät. Mit deiner Einwilligung für Statistik speichert es eine anonyme ID auf deinem Gerät.
• Cookieless: das Skript speichert nie etwas auf deinem Gerät und behält nie eine ID.
• Persistent: das Skript speichert vom ersten Besuch an eine anonyme ID, es sei denn, du lehnst ab oder dein Browser sendet ein Global-Privacy-Control-Signal.

Der Betreiber ist für die Rechtsgrundlage des Modus verantwortlich, den er wählt.

Ohne Einwilligung: kein Cookie, nichts im lokalen Speicher, keine ID. Der Collector leitet einen Besucherwert aus deiner IP-Adresse und deiner Browserkennung ab: ein Hash mit Schlüssel aus beiden, kombiniert mit einem zufälligen Salt, der für jedes Projekt und jeden Tag neu ist. Der Salt wird am Ende des Tages gelöscht. Dieselbe Person ist damit an diesem Tag innerhalb des Projekts ein Besucher und kann an einem anderen Tag nicht wiedererkannt werden. Alle Seitenaufrufe eines Tages aus demselben Browser werden für diesen Tag miteinander verknüpft. Das System verbindet solche Daten nie mit einer namentlich bekannten Person.

Mit Einwilligung: eine zufällige ID im lokalen Speicher deines Browsers auf der Domain des Betreibers, keine Cookies. Sie wird etwa 13 Monate (395 Tage) nach ihrer Erstellung erneuert. MIRA FIVE setzt keine Sitzungskennung; es baut Besuche auf dem Server auf. Vor deiner Einwilligung wird nichts gespeichert. Der Betreiber kann Besuche mit seiner eigenen Nutzerkennung verknüpfen und damit Angaben wie einen Namen oder eine E-Mail-Adresse übermitteln. Wir speichern die Merkmale einer Person, die ein Betreiber sendet. E-Mail-Adressen und Telefonnummern werden nur als Hash mit Schlüssel gespeichert, es sei denn, der Betreiber schaltet das ab.

Je nach Einstellungen und deiner Einwilligung wird Folgendes erhoben: geöffnete Seiten (ohne Parameter und Fragment, mit ersetzten IDs im Pfad) und ihre Titel, der Host der verweisenden Seite, Kampagnenparameter (UTM), Sprache, Zeitzone und Bildschirmgrößenklasse, Gerätetyp, Browser und Betriebssystem, Land, Region und Stadt, Verweildauer, Scrolltiefe und Web-Performance-Werte, Links zu anderen Websites (nur Host), Downloads (Host und Pfad), gesendete Formulare (ID oder Name des Formulars), nicht gefundene Seiten, vom Betreiber definierte Ereignisse und Umsätze sowie Suchbegriffe auf der Website, bei denen personenbezogen aussehende Begriffe ausgeblendet werden. Eigenschaften, die ein Betreiber mit Ereignissen sendet, werden so gespeichert, wie sie gesendet wurden, bis zu den Grenzen des Systems. Passwörter und Formularfelder werden nie gelesen. Klick-Kennungen aus der Werbung werden nur mit Marketing-Einwilligung als Werte gespeichert; sonst wird nur ihr Vorhandensein aufgezeichnet. Wir verwerfen Anfragen von Bots. Die Browserkennung selbst speichern wir nicht.

Die IP-Adresse. Wir speichern deine IP-Adresse nie in der Analysedatenbank und schreiben sie nie in ein Protokoll. Wir nutzen sie im Arbeitsspeicher für den Besucherwert und zur Bestimmung deines Standorts, und Cloudflare sieht sie, wie in Abschnitt 13 beschrieben. Das Land bestimmen wir aus dem Netz der IP-Adresse (die ersten drei Teile einer IPv4-Adresse oder die ersten 48 Bit einer IPv6-Adresse) mit der kostenlosen IP-Datenbank von DB-IP (DB-IP Lite, Lizenz CC BY 4.0, IP Geolocation by DB-IP). Region und Stadt stammen, wo verfügbar, aus den Standort-Headern von Cloudflare oder vom eigenen Proxy des Betreibers. Für die Sicherheitsprotokolle in Abschnitt 13 sind wir selbst Verantwortlicher.

Global Privacy Control und Do Not Track. Wenn dein Browser ein Global-Privacy-Control-Signal sendet, sendet das Skript weiterhin einen Seitenaufruf, und MIRA FIVE behält dann keine ID und keinen Marketing-Wert, es sei denn, die Website des Betreibers meldet, dass du ausdrücklich eingewilligt hast. Do Not Track wird nicht gelesen.

Speicherdauer. Wie lange die Daten gespeichert werden, hängt von der Art der Daten und vom Tarif des Betreibers ab:

Daten	Speicherdauer
Einzelne Ereignisse	30 Tage (kostenloser Tarif), 90 Tage (Pro-Tarif), laut Vertrag für Enterprise (bis zur Festlegung 90 Tage); ein Ereignis wird gelöscht, wenn sein Tag aufsummiert wurde
Besuche	180 Tage
Tagessummen ohne Personenbezug	25 Monate
Personen (eine Zeile pro Nutzer-ID des Betreibers), Verknüpfungen zwischen Browsern und Personen, Ziel-Conversions, Attributionsergebnisse und importierte Zahlungen	25 Monate nach dem letzten Ereignis
Täglicher Salt	bis zum Ende seines Tages

Nach diesen Fristen werden die Daten in Stapeln gelöscht. Daten, die ein Kunde oder eine Person löscht, werden innerhalb von 7 Tagen aus der Live-Datenbank entfernt; die Löschaufträge sind meist innerhalb von Minuten abgeschlossen. Für Backups gilt Abschnitt 13. Wir nutzen diese Daten nicht für eigene Zwecke, verkaufen sie nicht und trainieren keine KI-Modelle damit. Für Abrechnung und Betrieb nutzen wir nur aggregierte Zahlen ohne Personenbezug, etwa die Anzahl der Ereignisse pro Organisation. Betreiber können Mira zu ihren Daten befragen; Abschnitt 10 erklärt, was dann das Modell erreicht.

So widersprichst du der Erhebung

• Lehne die Einwilligung auf der betroffenen Website ab oder widerrufe sie dort.
• Schalte Global Privacy Control in deinem Browser ein. MIRA FIVE behält dann keine ID für dich.
• Bitte den Betreiber, dich in seine Widerspruchsliste aufzunehmen. MIRA FIVE verknüpft deine ID dann innerhalb von Sekunden nicht mehr, und der Betreiber kann auch deine gespeicherten Ereignisse löschen lassen.

16. Empfänger und Übermittlungen in Drittländer

Personenbezogene Daten erhalten nur die folgenden Stellen, jede nur in dem Umfang, der für den genannten Zweck nötig ist:

Empfänger	Aufgabe	Rolle	Ort der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Cloud-Server in Nürnberg für den gesamten Dienst; dedizierter Server in Falkenstein für unsere eigenen Werkzeuge (Fehlerüberwachung, Monitoring, Git-Server, Deploy-Steuerung)	Auftragsverarbeiter	Deutschland
Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA	DNS, Tunnel und Sicherheitsregeln für alle Hosts; Auslieferung von mirafive.io; Speicherung der öffentlichen Tracking-Skripte unter cdn.mirafive.io (R2); Standort-Header	Auftragsverarbeiter	weltweites Edge-Netzwerk; Übermittlung in die USA möglich
Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg	verschlüsselte Datenbank-Backups; Dateien wie Datenexporte und Logos; KI-Modelle (Amazon Bedrock), die die Anfragen des KI-Chats beantworten	Auftragsverarbeiter	EU (Frankfurt, eu-central-1; KI-Anfragen können zwischen AWS-Regionen in der EU weitergeleitet werden); Zugriff aus den USA für Support und Betrieb ist nicht auszuschließen
Sinch Mailjet SAS, 43 rue de Dunkerque, 75010 Paris, Frankreich	Versand der E-Mails der App	Auftragsverarbeiter	EU
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	E-Mail-Postfächer (Google Workspace) für E-Mails an den Support	Auftragsverarbeiter	EU; Übermittlung in die USA möglich
Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, Irland, und Sold through Link, LLC	Zahlungsabwicklung und Verkauf kostenpflichtiger Tarife als Merchant of Record	eigenständige Verantwortliche	Irland und USA
Google, Anbieter von Google-Anmeldung, Google Search Console und Google Ads	Anmeldung mit Google; wenn du eine Verbindung einrichtest: Abruf von Daten mit deinem Zugriffstoken	Anbieter des verbundenen Dienstes, nach eigenen Bedingungen mit dem Nutzer oder Kunden	Übermittlung in die USA möglich
Meta, Anbieter von Meta Ads	nur wenn du eine Verbindung einrichtest: Abruf von Daten mit deinem Zugriffstoken	Anbieter des verbundenen Dienstes, nach eigenen Bedingungen mit dem Kunden	Übermittlung in die USA möglich
Microsoft, Anbieter von Microsoft Advertising und Bing Webmaster Tools	nur wenn du eine Verbindung einrichtest: Abruf von Daten mit deinem Zugriffstoken	Anbieter des verbundenen Dienstes, nach eigenen Bedingungen mit dem Kunden	Übermittlung in die USA möglich

Unsere Auftragsverarbeiter handeln nur auf unsere Weisung auf Grundlage eines Vertrags nach Art. 28 DSGVO. Darüber hinaus legen wir personenbezogene Daten nur offen, wenn wir gesetzlich dazu verpflichtet sind, zum Beispiel auf Anordnung einer Behörde oder eines Gerichts.

Eine Übermittlung in Länder außerhalb der EU und des EWR ist nur in diesen Fällen möglich:

• Hetzner: Die Hetzner Online GmbH verarbeitet die Daten in Deutschland. Ihre Rechenzentren sind nach ISO/IEC 27001 zertifiziert. Es findet keine Übermittlung statt.
• Cloudflare: Cloudflare, Inc. ist ein US-Unternehmen, und seine Server an vielen Standorten verarbeiten Anfragen. Cloudflare, Inc. ist unter dem EU-U.S. Data Privacy Framework (EU-US-Datenschutzrahmen) zertifiziert, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO). Hilfsweise gelten die Standardvertragsklauseln im Cloudflare Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO).
• AWS: Unsere Backups und Dateien werden in Deutschland gespeichert, und die KI-Modelle laufen in der EU. Wir verschlüsseln die Backups vor der Übertragung mit einem Schlüssel, den AWS nicht besitzt. AWS kann für Support und Betrieb aus den USA auf Daten zugreifen. Dafür sind Amazon.com, Inc. und ihre US-Tochtergesellschaften, einschließlich Amazon Web Services, Inc., unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO), und die Standardvertragsklauseln im Auftragsverarbeitungszusatz von AWS gelten (Art. 46 Abs. 2 lit. c DSGVO).
• KI-Chat: Die Verarbeitung bleibt in der EU (Abschnitt 10). Dafür findet keine Übermittlung in ein Drittland statt.
• Mailjet: Die Daten werden in der EU verarbeitet. Wir planen keine Übermittlung in ein Drittland.
• Stripe und Sold through Link: Stripe, LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert (Art. 45 DSGVO). Außerdem gelten die Standardvertragsklauseln im Stripe-Auftragsverarbeitungsvertrag (Art. 46 Abs. 2 lit. c DSGVO).
• Google: Bei der Google-Anmeldung, bei Google Workspace und bei verbundenen Google-Diensten kann Google LLC Daten in den USA verarbeiten. Google LLC ist unter dem EU-U.S. Data Privacy Framework zertifiziert, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO). Außerdem gelten die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO). Eine Kopie erhältst du auf Anfrage von uns.
• Meta: Bei einer Verbindung zu Meta Ads kann Meta Platforms, Inc. Daten in den USA verarbeiten. Meta Platforms, Inc. ist unter dem EU-U.S. Data Privacy Framework zertifiziert, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO).
• Microsoft: Bei einer Verbindung zu Microsoft Advertising oder Bing Webmaster Tools kann die Microsoft Corporation Daten in den USA verarbeiten. Die Microsoft Corporation ist unter dem EU-U.S. Data Privacy Framework zertifiziert, für das die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat (Art. 45 DSGVO).

Wo es keinen Angemessenheitsbeschluss gibt, nutzen wir für jeden US-Dienstleister hilfsweise die Standardvertragsklauseln der Europäischen Kommission. Eine Kopie erhältst du auf Anfrage von uns. DB-IP ist kein Empfänger: Wir laden die Datenbank herunter und senden ihr keine personenbezogenen Daten.

17. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie der jeweilige Zweck es erfordert oder das Gesetz es verlangt. Im Überblick:

Daten	Speicherdauer
Kontodaten (Name, E-Mail-Adresse, Anmeldemethoden, Einstellungen)	bis das Konto gelöscht wird
Sitzung in der App (einschließlich IP-Adresse und Browserkennung)	30 Tage, durch jeden Tag der Nutzung verlängert; abgelaufene Sitzungen werden täglich gelöscht
Anmeldecodes und Löschlinks	5 Minuten und 1 Stunde; eine Stunde nach Ablauf gelöscht
Zähler für Anmeldelimits (Hashes mit Schlüssel)	bis das Zeitfenster endet, höchstens etwa einen Tag; Zähler von Better Auth zwei Tage
Einladungen	sieben Tage, dann gelöscht
API-Schlüssel (als Hash)	bis du den Schlüssel löschst oder die Organisation gelöscht wird; abgelaufene Schlüssel werden gelöscht
OAuth-Token für KI-Clients	eine Stunde (Zugriff) und 30 Tage (Refresh); abgelaufene Token werden täglich gelöscht
Token und Kontoangaben einer Verbindung	bis die Verbindung entfernt oder die Organisation gelöscht wird
Importierte Plattformdaten und die Zeilen, wie sie gesendet wurden	25 Monate; gelöscht, wenn du die Verbindung trennst
Chat-Gespräche	bis die Person sie löscht oder die Organisation oder das Projekt gelöscht wird; private Chats auch, wenn die Person die Organisation verlässt; keine feste Höchstfrist
Chat-Läufe, Streams und Bestätigungsanfragen	Stream 15 Minuten; Lauf 30 Tage; geschlossene Anfragen nach 30 Tagen gelöscht; Nutzungssummen nach 90 Tagen
Nutzungsaufzeichnungen in der App	400 Tage
Belege und Buchführungsunterlagen	so lange, wie das Handels- und Steuerrecht es verlangt, bis zu zehn Jahre
E-Mails an uns	so lange, wie die Angelegenheit offen ist und gesetzliche Aufbewahrungspflichten gelten
Container-Protokolle des Reverse-Proxys auf unserem Server (können IP-Adressen enthalten)	höchstens wenige Tage
Systemprotokolle unserer Server, die IP-Adressen enthalten	bis zu fünf Wochen
Audit-Protokoll der Aufrufe	90 Tage
Audit-Protokoll unserer Mitarbeiter und Meldungen über Probleme	365 Tage
Fehlerberichte	14 Tage
Daten, die du oder ein Kunde löscht, in der Live-Datenbank	innerhalb von 7 Tagen
Backups	7 bis 14 Tage; alte Dateiversionen weitere 21 Tage, daher können gelöschte Daten bis zu 35 Tage verbleiben

Abschnitt 15 nennt die Speicherdauer der Daten der Besucher unserer Kunden.

18. Deine Rechte

Nach der DSGVO hast du das Recht,

• Auskunft über die Daten zu erhalten, die wir über dich verarbeiten (Art. 15),
• unrichtige Daten berichtigen zu lassen (Art. 16),
• deine Daten löschen zu lassen (Art. 17),
• die Verarbeitung einschränken zu lassen (Art. 18),
• Daten, die du uns bereitgestellt hast, in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten oder sie an einen anderen Verantwortlichen übermitteln zu lassen (Art. 20),
• eine Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3); die Rechtmäßigkeit der Verarbeitung, die bis zum Widerruf erfolgt ist, bleibt unberührt.

Schreibe dazu an info@cloo-gmbh.de oder per Post an die Adresse in Abschnitt 1. Viele Angaben kannst du auch selbst in den Einstellungen der App ändern oder löschen.

Du hast außerdem das Recht, bei einer Datenschutz-Aufsichtsbehörde Beschwerde einzulegen (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat deines gewöhnlichen Aufenthaltsorts, deines Arbeitsorts oder des Orts des mutmaßlichen Verstoßes. Die für uns zuständige Behörde ist:

Die Sächsische Datenschutz- und Transparenzbeauftragte
Devrientstraße 5
01067 Dresden
Deutschland

Dein Widerspruchsrecht nach Art. 21 DSGVO

Soweit wir deine Daten auf Grundlage unseres berechtigten Interesses verarbeiten (Art. 6 Abs. 1 lit. f DSGVO), kannst du dieser Verarbeitung jederzeit aus Gründen widersprechen, die sich aus deiner besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die deine Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Deinen Widerspruch kannst du formlos an info@cloo-gmbh.de senden.

19. Pflicht zur Bereitstellung von Daten und automatisierte Entscheidungen

Du musst keine personenbezogenen Daten bereitstellen, um unsere Website zu nutzen. Die Verbindungsdaten aus Abschnitt 3 entstehen aus technischen Gründen; ohne sie können wir die Seiten nicht ausliefern.

Ein Konto setzt einen Namen und eine E-Mail-Adresse voraus, und ein kostenpflichtiger Tarif zusätzlich deine Zahlungsdaten bei Stripe. Ohne diese Daten können wir keinen Vertrag schließen oder erfüllen. Es besteht keine gesetzliche Pflicht, die Daten bereitzustellen.

Wir treffen keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung, einschließlich Profiling, beruhen und dir gegenüber rechtliche Wirkung entfalten oder dich in ähnlicher Weise erheblich beeinträchtigen (Art. 22 DSGVO). Mira schlägt Änderungen vor, und eine Person bestätigt jede einzelne.

20. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich unsere Website, der Dienst oder die Rechtslage ändern. Das Datum oben auf der Seite zeigt die geltende Version.