Datenschutzerklärung

Diese Datenschutzerklärung wird in englischer und deutscher Sprache veröffentlicht. Die deutsche Fassung (Datenschutzerklärung) ist die rechtlich verbindliche Version; der englische Text ist eine Übersetzung zur Information. Im Konfliktfall hat die deutsche Fassung Vorrang.

Diese Datenschutzerklärung erläutert, wie die Finalform GmbH („Finalform“, „wir“, „uns“) personenbezogene Daten in ihrer Rolle als Verantwortlicher verarbeitet. Sie gilt für Besucher unserer Websites autopage.dev und app.autopage.dev, für Kontoinhaber und deren autorisierte Nutzer, für Abrechnungs- und Zahlungsdaten sowie für Marketingkommunikation.

Diese Erklärung regelt nicht die Besucher-Verhaltensdaten, die Autopage auf den Landingpages unserer Geschäftskunden verarbeitet. Für diese Verarbeitung handelt Finalform als Auftragsverarbeiter im Auftrag des Kunden. Dieses Verhältnis wird durch den Auftragsverarbeitungsvertrag und Abschnitt 8 der Allgemeinen Geschäftsbedingungen geregelt. Die vollständige Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter finden Sie in Abschnitt 12.

Wir erheben personenbezogene Daten unmittelbar bei Ihnen (Art. 13 DSGVO ist anwendbar; wir beziehen Ihre Daten nicht von Datenhändlern oder Anbietern zur Datenanreicherung). Wir verarbeiten keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO. Soweit Autopage eine mandantenübergreifende „Anreicherung“ vornimmt, handelt es sich um nicht personenbezogene, aggregierte Branchen-Benchmark-Daten und nicht um personenbezogene Daten über Sie.

Autopage ist ein Business-to-Business-Dienst (B2B). Wir schließen Verträge ausschließlich mit Unternehmen und Unternehmern (im Sinne des § 14 BGB). Wir richten uns nicht wissentlich an Verbraucher.

Inhalt

• 1. Identität und Kontaktdaten des Verantwortlichen
• 2. Datenschutzbeauftragter
• 3. Kategorien personenbezogener Daten, die wir erheben
• 4. Zwecke der Verarbeitung und Rechtsgrundlagen (Art. 6 DSGVO)
• 5. Empfänger und Unterauftragsverarbeiter
• 6. Internationale Datenübermittlungen und US-Datenansässigkeit
• 7. Speicherdauer
• 8. Ihre Rechte als betroffene Person
• 9. Beschwerderecht
• 10. Besteht eine Pflicht zur Bereitstellung der Daten?
• 11. Automatisierte Entscheidungsfindung und Profiling
• 12. Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter: Besucherdaten auf Kundenseiten
• 13. Änderungen dieser Erklärung

1. Identität und Kontaktdaten des Verantwortlichen

Der für die in dieser Erklärung beschriebene Datenverarbeitung Verantwortliche ist:

Finalform GmbH
Theodor-Heuss-Str. 106
26129 Oldenburg
Deutschland

• Geschäftsführer: Robin Schröder
• Registergericht: Amtsgericht Oldenburg, HRB 222780
• Umsatzsteuer-Identifikationsnummer (USt-IdNr.): DE457693089
• E-Mail: support@autopage.dev

Vollständige Angaben zur Anbieterkennzeichnung finden Sie im Impressum.

2. Datenschutzbeauftragter

Finalform bestellt vor dem Go-live einen externen Datenschutzbeauftragten (DSB). Name und Kontaktdaten (E-Mail und Postanschrift) des bestellten DSB werden hier veröffentlicht und der Aufsichtsbehörde (LfD Niedersachsen) mitgeteilt, bevor der Dienst live geht.

Bis zur Veröffentlichung der Bestellung können Datenschutzanfragen an die Kontaktdaten des Verantwortlichen in Abschnitt 1 gerichtet werden.

Wir gehen davon aus, dass wir gesetzlich zur Bestellung eines DSB verpflichtet sind. Eine Datenschutz-Folgenabschätzung (DSFA) nach Art. 35 DSGVO ist für Autopage angesichts der Kombination aus Besucher-Verhaltensmessung und KI-gestützter Inhaltsoptimierung sehr wahrscheinlich verpflichtend. Nach § 38 Abs. 1 BDSG muss ein Verantwortlicher, der eine DSFA durchzuführen hat, unabhängig von der Beschäftigtenzahl einen Datenschutzbeauftragten bestellen. Auf dieser Grundlage bestellen wir einen externen DSB.

3. Kategorien personenbezogener Daten, die wir erheben

Wir erheben die folgenden Kategorien personenbezogener Daten, jeweils unmittelbar bei Ihnen oder erzeugt durch Ihre Nutzung des Dienstes. Wir erheben nur, was wir für den jeweils angegebenen Zweck benötigen.

3.1 Website- und Anwendungsbesucher (autopage.dev und app.autopage.dev)

• Eine kleine Anzahl unbedingt erforderlicher und funktionaler Cookies sowie zwei Web-Storage-Schlüssel auf unseren eigenen Websites. Diese sind ausschließlich First-Party. Wir setzen kein Analyse- oder Marketing-Cookie, keinen Drittanbieter-Tracker oder -Pixel und kein Consent-Management-Banner auf unseren eigenen Angeboten. Das vollständige Verzeichnis ist in der Cookie-Richtlinie offengelegt.
• Wir betreiben keine Web-Analyse auf unseren eigenen Websites. Wir erheben für unsere eigenen Website-Besucher kein IP-basiertes Besucherprotokoll, kein User-Agent-Profil, keine Referrer-Historie und keinen Geräte-Fingerabdruck.

3.2 Kontoregistrierung und Nutzung der Anwendung

• Konto-Identitätsdaten: Name, geschäftliche E-Mail-Adresse und Zugangsdaten zum Konto.
• Firmenname und, bei Kunden aus der EU, eine EU-Umsatzsteuer-Identifikationsnummer, erhoben bei der Abrechnung über unseren Zahlungsdienstleister (siehe Abschnitt 3.3). Die Erhebung und Validierung des Firmennamens und der EU-USt-IdNr. bei der Registrierung, als Voraussetzung für das B2B-Onboarding, ist geplant und noch nicht aktiv.
• Konto- und Konfigurationsdaten, die Sie bei der Nutzung von Autopage eingeben, sowie Metadaten über Ihre Nutzung der Anwendung (zum Beispiel Anmeldezeitpunkte sowie die von Ihnen konfigurierten Seiten und Experimente).

3.3 Abrechnung und Zahlungen (über Stripe)

• Abrechnungskontaktdaten, Firmenname, Rechnungsadresse und Umsatzsteuer-Identifikationsnummer.
• Abonnement-, Tarif-, Rechnungs- und Transaktionsdaten.
• Die Zahlungsabwicklung erfolgt durch unseren Zahlungsdienstleister Stripe. Stripe erhebt und verarbeitet Ihre Zahlungsmitteldaten (zum Beispiel Kartendaten) unmittelbar auf seinen eigenen gehosteten Seiten. Finalform speichert keine vollständigen Zahlungskartennummern. Stripe ist unser Zahlungsdienstleister; Finalform ist der rechtliche Verkäufer und stellt die Rechnung aus.

3.4 Support und Kommunikation

• Der Inhalt Ihrer Anfragen und unserer Korrespondenz, wenn Sie uns per E-Mail oder über einen Support-Kanal kontaktieren, einschließlich aller Daten, die Sie dabei angeben.

3.5 Marketing-E-Mail (geplant, noch nicht aktiv)

• E-Mail-Adresse sowie gegebenenfalls Name und Firma.
• Einwilligungsnachweise, einschließlich Zeitpunkt, Quelle und Umfang der Einwilligung, sowie Interaktionsmetadaten zu den von uns versendeten E-Mails.

Dies beschreibt eine geplante Funktion; Autopage versendet derzeit keine Marketing-E-Mails, daher ist der E-Mail-Empfänger in Abschnitt 5 ausschließlich transaktional.

4. Zwecke der Verarbeitung und Rechtsgrundlagen (Art. 6 DSGVO)

Wir verarbeiten die vorstehend genannten personenbezogenen Daten für die nachfolgend aufgeführten Zwecke und auf den jeweils genannten Rechtsgrundlagen. Soweit wir uns auf berechtigte Interessen nach Art. 6 Abs. 1 lit. f DSGVO stützen, ist das verfolgte Interesse benannt (Art. 13 Abs. 1 lit. d DSGVO).

Soweit wir uns auf eine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO stützen, können Sie diese jederzeit mit Wirkung für die Zukunft widerrufen. Der Widerruf berührt nicht die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung.

Die Rechtsgrundlage für die Besucherdaten, die Finalform im Auftrag eines Kunden verarbeitet, wird von diesem Kunden (dem Verantwortlichen) bestimmt, zusammen mit der nach § 25 Abs. 1 TDDDG auf den eigenen Seiten des Kunden eingeholten Einwilligung. Finalform verarbeitet diese Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Siehe Abschnitt 12 und den Auftragsverarbeitungsvertrag.

5. Empfänger und Unterauftragsverarbeiter

Wir geben personenbezogene Daten nur an Dienstleister und Empfänger weiter, die uns bei der Bereitstellung und dem Betrieb des Dienstes unterstützen, und nur im erforderlichen Umfang. Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, handeln sie als unsere Auftragsverarbeiter (Unterauftragsverarbeiter) auf Grundlage von Verträgen nach Art. 28 DSGVO. Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die denen entsprechen, die wir Ihnen gegenüber schulden, und Finalform bleibt für die Leistung jedes Unterauftragsverarbeiters verantwortlich.

Wir können personenbezogene Daten außerdem an Berufsgeheimnisträger (zum Beispiel unseren Steuerberater oder Rechtsanwälte) sowie an Behörden oder Gerichte offenlegen, soweit dies gesetzlich vorgeschrieben ist.

Die aktuelle, vollständige und datierte Liste der Unterauftragsverarbeiter, einschließlich des Standorts jedes Anbieters und der von ihm verarbeiteten Datenkategorien, finden Sie in der Liste der Unterauftragsverarbeiter. Wir pflegen diese Liste mit einem sichtbaren Gültigkeitsdatum und einer Version und informieren über Änderungen vorab, wie dort beschrieben.

6. Internationale Datenübermittlungen und US-Datenansässigkeit

Ein Teil der vorstehend beschriebenen Verarbeitung beinhaltet die Übermittlung personenbezogener Daten an Empfänger außerhalb des Europäischen Wirtschaftsraums (EWR), insbesondere an Anbieter in den Vereinigten Staaten. Wir legen dies offen dar, statt eine ausschließlich EU-bezogene Verarbeitung zu suggerieren:

• Unser primärer Hosting- und Datenbankanbieter (Railway) nutzt standardmäßig US-Infrastruktur, mit pro Dienst konfigurierbarer EU-Datenansässigkeit.
• Der KI-Anbieter (Anthropic), die Seiten-Render-API (Cloudflare) und der E-Mail-Anbieter (Resend) verarbeiten Daten in den Vereinigten Staaten.
• Stripe verarbeitet je nach vertragschließender Stelle in der EU und den USA.

Für jede Übermittlung in ein Drittland stützen wir uns auf eine geeignete Garantie nach Kapitel V DSGVO (Art. 13 Abs. 1 lit. f DSGVO):

• Angemessenheit nach dem EU-US Data Privacy Framework (DPF), soweit das betreffende Empfängerunternehmen unter dem DPF zertifiziert ist. Ist ein Empfänger DPF-zertifiziert, stützt sich die Übermittlung auf den Angemessenheitsbeschluss der Europäischen Kommission zum DPF.
• Standardvertragsklauseln (SCC) zuzüglich einer Transfer-Folgenabschätzung (TIA), soweit der Empfänger nicht DPF-zertifiziert ist.

Der aktuelle Übermittlungsmechanismus für jeden Empfänger ist je Empfänger in der Liste der Unterauftragsverarbeiter dokumentiert. Eine Kopie der einschlägigen Garantien, einschließlich der Standardvertragsklauseln, ist auf Anfrage über die in Abschnitt 1 genannten Kontaktdaten erhältlich.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die Zwecke erforderlich ist, für die sie erhoben wurden, oder wie es gesetzlich vorgeschrieben ist, und löschen oder aggregieren sie anschließend. Der vollständige Plan, mit einem Startzeitpunkt für jede Kategorie, ist in der Richtlinie zur Datenspeicherung und Datenminimierung festgelegt, die diese Erklärung durch Verweis einbezieht. Die nachstehende Zusammenfassung nennt mindestens eine konkrete Frist je Kategorie und darf dieser Richtlinie nicht widersprechen.

• Konto- und Mandantendaten: Speicherung für die Lebensdauer des Kontos. Auf einen Löschantrag oder eine Kontoschließung hin werden Konto- und Mandantendaten unverzüglich und vollständig gelöscht, ohne Karenzzeit.
• Besucher-Interaktionsdaten (im Auftrag der Kunden verarbeitet): ein Zielwert von 90 Tagen für Rohereignisse, danach ausschließlich aggregierte Metriken ohne Identifikator.
• Betriebstelemetrie (Telemetrie zu LLM-Aufrufen, namentlich Token-Zähler und Aufrufdauer, ohne Prompt- oder Antwortinhalt): ein Zielwert von 90 Tagen.
• Sicherheits- und Zugriffsprotokolle: ein Zielwert von 30 Tagen.
• Benachrichtigungen: 30 Tage.
• Support-Korrespondenz: Speicherung so lange, wie es zur Bearbeitung des Anliegens erforderlich ist, sowie für einen angemessenen Zeitraum danach zur Bearbeitung von Folgefragen.
• Marketingdaten: bis Sie Ihre Einwilligung widerrufen oder Widerspruch einlegen; danach sperren wir Ihre Adresse im erforderlichen Umfang, um Ihre Entscheidung zu beachten.
• Rechnungen und Buchhaltungsunterlagen: Aufbewahrung für die gesetzliche Frist. Das deutsche Steuer- und Handelsrecht verlangt die Aufbewahrung von Rechnungen (Buchungsbelegen) für 8 Jahre (§ 147 AO in der Fassung des Bürokratieentlastungsgesetzes IV, gültig ab 2025-01-01) und von Geschäftskorrespondenz für 6 Jahre (§ 257 HGB, § 147 AO). Diese Unterlagen liegen in unseren Zahlungs- und externen Buchhaltungssystemen. Während der Aufbewahrungsfrist ist die Verarbeitung der Daten auf diesen Zweck beschränkt und sie werden nicht aktiv genutzt.

Ein Löschantrag setzt eine gesetzliche Aufbewahrungspflicht nicht außer Kraft. Während einer solchen Aufbewahrung werden die Daten eingeschränkt, nicht gelöscht, und nach Ablauf der gesetzlichen Frist gelöscht.

8. Ihre Rechte als betroffene Person

Vorbehaltlich der Voraussetzungen und Grenzen der DSGVO haben Sie folgende Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO): eine Bestätigung darüber zu erhalten, ob wir Ihre Daten verarbeiten, sowie eine Kopie dieser Daten.
• Berichtigung (Art. 16 DSGVO): unrichtige Daten berichtigen und unvollständige Daten vervollständigen zu lassen.
• Löschung (Art. 17 DSGVO): Ihre Daten löschen zu lassen, sofern einer der Gründe vorliegt.
• Einschränkung (Art. 18 DSGVO): die Verarbeitung in bestimmten Fällen einschränken zu lassen.
• Datenübertragbarkeit (Art. 20 DSGVO): die von Ihnen bereitgestellten Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten und sie, soweit technisch machbar, an einen anderen Verantwortlichen übermitteln zu lassen.
• Widerspruch (Art. 21 DSGVO): aus Gründen, die sich aus Ihrer besonderen Situation ergeben, einer auf berechtigten Interessen beruhenden Verarbeitung zu widersprechen, sowie jederzeit einer Verarbeitung zum Zwecke der Direktwerbung zu widersprechen.
• Automatisierte Entscheidungsfindung (Art. 22 DSGVO): siehe Abschnitt 11.

Beruht die Verarbeitung auf einer Einwilligung, haben Sie zudem das Recht, Ihre Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Abschnitt 4).

Zur Ausübung dieser Rechte kontaktieren Sie uns über die in Abschnitt 1 genannten Kontaktdaten (oder nach dessen Bestellung den Datenschutzbeauftragten, Abschnitt 2). Wir antworten unverzüglich und in jedem Fall innerhalb eines Monats nach Eingang der Anfrage. Bei komplexen oder zahlreichen Anfragen können wir diese Frist um zwei weitere Monate verlängern und werden Sie hierüber informieren. Wir müssen gegebenenfalls Ihre Identität überprüfen, bevor wir tätig werden.

9. Beschwerderecht

Wenn Sie der Auffassung sind, dass unsere Verarbeitung Ihrer personenbezogenen Daten gegen das Datenschutzrecht verstößt, haben Sie das Recht, Beschwerde bei einer Aufsichtsbehörde einzulegen, insbesondere in dem EU-Mitgliedstaat Ihres Aufenthaltsorts, Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Unsere zuständige Aufsichtsbehörde ist:

Der Landesbeauftragte für den Datenschutz Niedersachsen (LfD Niedersachsen)
Prinzenstraße 5, 30159 Hannover, Deutschland

Die Ausübung dieses Rechts lässt andere verwaltungsrechtliche oder gerichtliche Rechtsbehelfe unberührt.

10. Besteht eine Pflicht zur Bereitstellung der Daten?

Die Bereitstellung personenbezogener Daten ist nicht generell gesetzlich vorgeschrieben. Bestimmte Daten sind jedoch erforderlich, um den Vertrag mit Ihnen abzuschließen und zu erfüllen.

• Zur Einrichtung und zum Betrieb eines Kontos müssen Sie Konto-Identitätsdaten bereitstellen. Als B2B-Kunde sind Ihr Firmenname sowie (für Kunden aus der EU) eine gültige EU-Umsatzsteuer-Identifikationsnummer für die Abrechnung und Rechnungsstellung erforderlich (siehe Abschnitt 3.3); deren Erhebung bei der Registrierung ist geplant und noch nicht aktiv.
• Zum Erwerb eines kostenpflichtigen Tarifs müssen Sie Abrechnungsdaten bereitstellen, damit wir und unser Zahlungsdienstleister die Zahlung abwickeln und wir eine rechtskonforme Rechnung ausstellen können.

Wenn Sie die Konto-Identitätsdaten nicht bereitstellen, können wir Ihr Konto nicht einrichten und den Dienst nicht erbringen. Firmenname und EU-Umsatzsteuer-Identifikationsnummer werden nur für die Abrechnung und Rechnungsstellung in einem kostenpflichtigen Tarif benötigt; ohne sie können wir keine Zahlung abwickeln und keine ordnungsgemäße Rechnung ausstellen. Die Bereitstellung optionaler Daten (zum Beispiel die Einwilligung in Marketing) ist freiwillig, und eine Ablehnung hat keine Auswirkungen auf den Kerndienst.

11. Automatisierte Entscheidungsfindung und Profiling

Finalform trifft Ihnen gegenüber keine Entscheidungen, die ausschließlich auf einer automatisierten Verarbeitung beruhen und die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen, im Sinne des Art. 22 DSGVO, in Bezug auf die von dieser Erklärung erfassten Daten.

Die Optimierung durch Autopage erfolgt durch A/B-Experimente auf Populationsebene. Besucher werden einer Seitenvariante auf Gruppenebene zugewiesen, nicht auf individueller Ebene: Das System spielt unterschiedliche Varianten an Gruppen von Besuchern aus, misst die aggregierte Leistung wie etwa Konversionsraten über die gesamte Gruppe und entscheidet, welche Variante für die Population besser abschneidet. Es erstellt kein Profil einer identifizierten Einzelperson und trifft keine ausschließlich automatisierte Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung für eine einzelne Person. Die KI-Komponente, ein großes Sprachmodell von Anthropic, PBC, erzeugt und überarbeitet Texte auf Ebene der Seite und ihrer Varianten, nicht auf Ebene eines einzelnen Besuchers.

12. Abgrenzung zwischen Verantwortlichem und Auftragsverarbeiter: Besucherdaten auf Kundenseiten

Es ist wichtig, zwei unterschiedliche Rollen zu unterscheiden, die Finalform einnimmt.

• Als Verantwortlicher (diese Erklärung): Finalform bestimmt die Zwecke und Mittel der Verarbeitung für die eigenen Website-Besucher, Kontoinhaber, Abrechnung, Support und Marketing. Dies ist der Gegenstand dieser Datenschutzerklärung.
• Als Auftragsverarbeiter (nicht diese Erklärung): Wenn ein Geschäftskunde das JavaScript-Snippet von Autopage auf Landingpages einbindet, die er besitzt oder kontrolliert, verarbeitet Autopage die Verhaltensdaten der Website-Besucher dieses Kunden im Auftrag des Kunden und auf dessen dokumentierte Weisung. Für diese Verarbeitung ist der Kunde der Verantwortliche und Finalform der Auftragsverarbeiter nach Art. 28 DSGVO. Diese Daten beschränken sich auf eine pseudonyme Besucher-Sitzungskennung und grobe, gebucketete Verhaltenssignale; Finalform speichert keine Besucher-IP-Adresse, keinen User-Agent-String, keine genaue Geolokalisierung, keinen Geräte-Fingerabdruck und keine Formulareingaben; eine Besucher-IP-Adresse erreicht unsere Server bei jeder Anfrage aus technischer Notwendigkeit, wird nur flüchtig im Serverspeicher (rund 60 Sekunden) zur Ratenbegrenzung verwendet und niemals in unsere Datenbank oder Anwendungsprotokolle geschrieben.

Dieses Auftragsverarbeitungsverhältnis wird durch den Auftragsverarbeitungsvertrag zwischen Finalform und dem Kunden sowie durch Abschnitt 8 der Allgemeinen Geschäftsbedingungen geregelt, nicht durch diese Datenschutzerklärung. Unter anderem ist der Kunde dafür verantwortlich, die nach § 25 Abs. 1 TDDDG gegebenenfalls erforderliche Einwilligung der Besucher einzuholen, bevor das Snippet Informationen auf dem Endgerät eines Besuchers speichert oder ausliest, sowie für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung.

Wenn Sie Besucher einer von einem unserer Kunden betriebenen Landingpage sind und Fragen dazu haben, wie Ihre Daten dort verwendet werden, wenden Sie sich bitte an diesen Kunden (den Verantwortlichen). Wir unterstützen den Kunden bei der Beantwortung, wie im Auftragsverarbeitungsvertrag vorgesehen.

13. Änderungen dieser Erklärung

Wir können diese Datenschutzerklärung aktualisieren, um Änderungen unserer Verarbeitung, unseres Dienstes oder der Rechtslage Rechnung zu tragen. Das Datum der aktuellen Fassung ist in der vorstehenden Zeile „Zuletzt aktualisiert“ angegeben. Bei wesentlichen Änderungen werden wir betroffene Kontoinhaber in angemessener Weise vorab informieren, zum Beispiel per E-Mail oder durch einen Hinweis in der Anwendung. Maßgeblich ist die datierte Fassung, die zum jeweiligen Zeitpunkt auf unserer Website veröffentlicht ist.