Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer datenschutzrechtlicher Bestimmungen ist:

Joël Marth IT Services
Senftenauerstraße 3
80689 München
Deutschland

E-Mail: datenschutz@kpi-automator.de
Support: support@kpi-automator.de
Website: https://kpi-automator.de

Ein Datenschutzbeauftragter ist gesetzlich nicht vorgeschrieben. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

2. Übersicht der Verarbeitungen

KPI Automator ist eine Web-Anwendung zur automatisierten Übertragung täglicher Marketing- und Vertriebskennzahlen aus Meta Ads, ActiveCampaign und Google Sheets in eine vom Nutzer bereitgestellte Master-Tabelle (Google Spreadsheet). Die folgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen:

• Bestandsdaten, E-Mail-Adresse, Anzeigename, Passwort-Hash (bei Registrierung mit E-Mail/Passwort)
• Authentifizierungsdaten, Google-OAuth-Tokens (Access- und Refresh-Token, verschlüsselt) bei Anmeldung mit Google
• Konfigurationsdaten, ID des Meta-Werbekontos, Meta-Access-Token, ActiveCampaign-API-URL und API-Schlüssel, Google-Sheet-IDs (Master-Tabelle, Group-Collector-Tabelle), Spaltenzuordnung und Tab-Name
• Inhaltsdaten, aus den oben genannten Drittdiensten abgerufene KPI-Werte (z. B. Werbeausgaben, Impressionen, Klicks, Anzahl neuer Kontakte, Anzahl neuer Gruppenmitglieder), die in Ihre Master-Tabelle geschrieben werden
• Kommunikationsdaten, E-Mail-Adresse (für Support-Anfragen)
• Technische Daten, IP-Adresse, Browser-Typ, Betriebssystem, Zeitstempel (Server-Logfiles)

3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Grundlage folgender Rechtsgrundlagen der DSGVO:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) - Bereitstellung des Benutzerkontos, Bereitstellung der KPI-Synchronisation, Speicherung der von Ihnen konfigurierten Anmeldedaten zu Drittdiensten
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) - Anbindung Ihres Google-Kontos und Erteilung der Google-API-Scopes (siehe Abschnitt 6); diese Einwilligung kann jederzeit über Google-Kontoberechtigungen widerrufen werden
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) , Server-Logfiles, IT-Sicherheit, Missbrauchsschutz (Rate-Limiting), Beantwortung von Support-Anfragen

4. Sicherheitsmaßnahmen

Wir treffen technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Verschlüsselte Datenübertragung mittels TLS/HTTPS für sämtliche Verbindungen
• Passwort-Hashing (keine Klartextspeicherung von Passwörtern)
• Verschlüsselung sensibler Felder im Ruhezustand: Google-OAuth-Tokens, Meta-Access-Token sowie der ActiveCampaign-API-Schlüssel werden vor dem Speichern in der Datenbank serverseitig mit AES-256-GCM verschlüsselt (zufälliger Initialisierungsvektor pro Wert, Authentication-Tag). Der Schlüssel wird ausschließlich serverseitig vorgehalten.
• Zugriffskontrolle auf Datenbankebene: Authentifizierte Nutzer können ausschließlich ihre eigenen Konfigurations- und Kontodaten lesen oder schreiben
• Rate-Limiting auf API-Ebene zum Schutz vor Missbrauch und Brute-Force
• Hosting in Containern in einer abgeschotteten Netzwerkkonfiguration in einem zertifizierten Rechenzentrum in der Europäischen Union (siehe Abschnitt 5)

5. Hosting und Server-Logfiles

Hosting

Diese Anwendung wird auf Servern der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, gehostet. Hetzner betreibt zertifizierte Rechenzentren ausschließlich in Deutschland und Finnland (EU). Mit Hetzner besteht ein Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO.

Die Anwendung selbst sowie die zugehörige Datenbank (PocketBase) laufen ausschließlich auf diesen Servern. Personenbezogene Daten werden nicht in andere Drittländer übertragen, soweit dies nicht ausdrücklich in dieser Datenschutzerklärung erwähnt wird (siehe Abschnitte 6, 7, 8).

Server-Logfiles

Bei jedem Zugriff auf unsere Anwendung erfasst der Server automatisch folgende Daten (sog. Server-Logfiles):

• IP-Adresse des zugreifenden Rechners
• Datum und Uhrzeit der Anfrage
• Aufgerufene URL bzw. API-Endpunkt
• HTTP-Statuscode
• Übertragene Datenmenge
• Browser-Typ und -Version, Betriebssystem

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der IT-Sicherheit und Betriebsstabilität).
Speicherdauer: Logfiles werden nach spätestens 14 Tagen automatisch gelöscht oder in pseudonymisierter Form aggregiert.

6. Anmeldung und Zugriff über Google (Google API Services)

KPI Automator nutzt die Google API Services für die Anmeldung („Sign in with Google“) sowie zum Lesen und Schreiben in den von Ihnen ausgewählten Google Spreadsheets. Anbieter ist:

Google Ireland Limited
Gordon House, Barrow Street
Dublin 4, Irland

6.1 Verwendete OAuth-Scopes

Wenn Sie sich für die Anbindung Ihres Google-Kontos entscheiden, fragen wir ausschließlich folgende OAuth-2.0-Scopes ab:

Es werden keine weiteren Scopes angefordert. Wir haben keinen Zugriff auf Ihr Google Drive insgesamt, Ihre E-Mails, Ihren Kalender oder andere Google-Dienste.

6.2 Verwendung der erhaltenen Daten, Google API Services User Data Policy / Limited Use

• Wir nutzen die über die Google APIs abgerufenen Daten ausschließlich dazu, die Funktionen von KPI Automator (Anmeldung, KPI-Synchronisation in Ihre Tabelle) bereitzustellen, die Sie ausdrücklich angefragt haben.
• Wir verkaufen diese Daten nicht und geben sie nicht an Dritte zu Werbe-, Profiling- oder anderen unverwandten Zwecken weiter.
• Wir verwenden Google-Nutzerdaten nicht, um darauf basierende Werbung (auch nicht auf personalisierte oder re-targeted Anzeigen) auszuspielen.
• Menschen lesen Google-Nutzerdaten nur dann ein, wenn (a) Sie als Nutzer dies ausdrücklich gestatten, (b) dies aus Sicherheitsgründen unerlässlich ist (z. B. Ermittlung eines Missbrauchs), (c) eine ausdrückliche gesetzliche Verpflichtung besteht oder (d) dies zur Behebung eines konkreten technischen Fehlers in aggregierter und anonymisierter Form erforderlich ist.
• Wir geben die OAuth-Tokens und die abgerufenen Tabellendaten nicht an Dritte weiter, abgesehen von den im Abschnitt „Auftragsverarbeiter“ aufgeführten Hosting-Dienstleistern, die rein technische Hosting-Funktionen erfüllen.
• Wir verwenden Google-Nutzerdaten nicht, um KI-/ML-Modelle zu trainieren.

6.3 Speicherung und Schutz der Google-Tokens

Nach erfolgreicher Anmeldung speichern wir das von Google ausgestellte Refresh-Token sowie das jeweils aktuelle Access-Token in unserer Datenbank. Beide Tokens werden vor dem Speichern serverseitig mit AES-256-GCM verschlüsselt (siehe Abschnitt 4). Das Access-Token wird automatisch erneuert, sobald es abläuft, und unmittelbar nach der Erneuerung wieder verschlüsselt gespeichert.

Die KPI-Inhalte aus Ihren Google Sheets werden nicht dauerhaft gespeichert. Sie werden zur Laufzeit eines Sync-Vorgangs aus der Quelltabelle gelesen und unmittelbar in die von Ihnen festgelegte Master-Tabelle zurückgeschrieben.

6.4 Widerruf und Löschung der Google-Anbindung

Sie können die Anbindung Ihres Google-Kontos jederzeit beenden. Sie haben dafür mehrere Möglichkeiten:

• Die Berechtigung in Ihrem Google-Konto unter https://myaccount.google.com/permissions entziehen (sofortiger Effekt).
• In den Einstellungen von KPI Automator die hinterlegten Google-Tokens entfernen lassen oder Ihr gesamtes Konto löschen (siehe Abschnitt 13).
• Per E-Mail an datenschutz@kpi-automator.de die Löschung Ihrer bei uns gespeicherten Google-Tokens ausdrücklich verlangen; wir setzen die Löschung innerhalb von spätestens 30 Tagen um.

Weitere Informationen finden Sie in der Datenschutzerklärung von Google.

7. Anbindung von Meta Ads (Facebook Marketing API)

Um Tageskennzahlen aus Meta Ads abzurufen, nutzen wir die Facebook Marketing API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland.

Die Anbindung erfolgt durch Hinterlegung Ihres Werbekonto-IDs sowie eines persönlichen Access-Tokens, das Sie selbst in Ihrem Meta Business Manager erstellen. Der Access-Token wird vor dem Speichern mit AES-256-GCM verschlüsselt. Mit dem Token rufen wir ausschließlich aggregierte Performance-Metriken (z. B. Werbeausgaben, Impressionen, Klicks) für die von Ihnen ausgelösten Tageszeiträume ab und schreiben diese in Ihre Master-Tabelle.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch ausdrückliche Hinterlegung des Tokens).

Drittlandtransfer: Vertragspartner ist Meta Platforms Ireland Ltd. (EU). Eine Übermittlung an Meta Platforms, Inc. (USA) findet im Rahmen der API-Anfragen statt; Meta ist unter dem EU-US Data Privacy Framework zertifiziert. Ergänzend wurden Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO vereinbart. Weitere Informationen: Datenschutzerklärung von Meta.

8. Anbindung von ActiveCampaign

Zum Abrufen der Anzahl neuer Kontakte nutzen wir die REST-API von ActiveCampaign, LLC, 1 N Dearborn St., 5th Floor, Chicago, IL 60602, USA. Sie hinterlegen dafür Ihre individuelle ActiveCampaign-Account-URL (z. B. https://<account>.api-us1.com) und einen API-Schlüssel, den Sie selbst in Ihrem ActiveCampaign-Account erzeugen.

Der API-Schlüssel wird vor dem Speichern mit AES-256-GCM verschlüsselt. Wir nutzen ihn ausschließlich, um die Anzahl neu erstellter Kontakte für den von Ihnen ausgelösten Tageszeitraum abzufragen. Die einzelnen Kontaktdaten werden weder dauerhaft gespeichert noch an Dritte weitergegeben.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Drittlandtransfer: Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO. Weitere Informationen: Datenschutzerklärung von ActiveCampaign.

9. Registrierung und Benutzerkonto

Bei der Registrierung erheben wir folgende Daten:

• E-Mail-Adresse (verpflichtend, dient der Identifikation und Kommunikation)
• Passwort (wird ausschließlich als Hash gespeichert), nur bei E-Mail/Passwort-Registrierung
• Anzeigename (optional)
• Onboarding-Status (boolesches Flag, ob das Onboarding abgeschlossen wurde)

Bei einer Anmeldung über Google (siehe Abschnitt 6) wird das Konto automatisch mit der von Google bestätigten E-Mail-Adresse angelegt; es wird kein vom Nutzer wählbares Passwort erfasst.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung, Bereitstellung des Benutzerkontos).
Speicherdauer: Die Daten werden gespeichert, bis das Konto durch den Nutzer oder auf Anfrage gelöscht wird (siehe Abschnitt 13).

10. Authentifizierung und Sitzungsverwaltung

Nach erfolgreicher Anmeldung wird ein technisch erforderliches HTTP-Only-Cookie mit dem Namen pb_auth gesetzt. Das Cookie enthält ein Sitzungstoken und wird ausschließlich dazu verwendet, Sie während Ihrer Sitzung als angemeldet zu erkennen. Es enthält keine personenbezogenen Profildaten.

• Cookie-Name: pb_auth
• Eigenschaften: HttpOnly, SameSite=Lax, Secure (im produktiven Einsatz)
• Lebensdauer: 7 Tage

Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (technisch erforderlich, da unbedingt notwendig zur Bereitstellung der vom Nutzer ausdrücklich gewünschten Anmeldung).

11. Cookies und lokale Speicherung

KPI Automator setzt nur das oben genannte technisch erforderliche Authentifizierungs-Cookie (pb_auth). Es werden keine Cookies oder vergleichbaren Technologien zu Werbezwecken oder durch Drittanbieter eingesetzt. Es kommen keine Tracking- oder Analysetoolswie Google Analytics, Facebook Pixel o. Ä. zum Einsatz.

12. Auftragsverarbeiter und Drittländer

Wir setzen folgende externe Dienstleister ein. Mit allen Auftragsverarbeitern wurden Verträge gemäß Art. 28 DSGVO geschlossen:

Eine Übermittlung Ihrer personenbezogenen Daten in Drittländer erfolgt nur insoweit, wie es für die Bereitstellung der oben genannten Funktionen technisch zwingend ist. Die Übermittlung wird jeweils durch geeignete Garantien gemäß Art. 44 ff. DSGVO abgesichert (Angemessenheitsbeschluss EU-US Data Privacy Framework gemäß Art. 45 DSGVO und/oder Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO).

13. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Kontolöschung: Sie können Ihr Konto und damit alle oben genannten personenbezogenen Daten jederzeit löschen lassen, indem Sie eine formlose E-Mail an datenschutz@kpi-automator.de senden. Wir bestätigen die Löschung innerhalb von spätestens 30 Tagen. Bestehende Master-Tabellen oder Daten in Ihrem Google-/Meta-/ActiveCampaign-Konto werden dabei nicht verändert; Sie verwalten diese ausschließlich selbst.

14. Rechte der betroffenen Personen

Ihnen stehen nach der DSGVO folgende Rechte zu. Zur Ausübung dieser Rechte wenden Sie sich bitte an datenschutz@kpi-automator.de:

• Auskunftsrecht (Art. 15 DSGVO): Sie können Auskunft über Ihre bei uns gespeicherten personenbezogenen Daten verlangen.
• Recht auf Berichtigung (Art. 16 DSGVO): Sie können die Berichtigung unrichtiger Daten verlangen.
• Recht auf Löschung (Art. 17 DSGVO): Sie können die Löschung Ihrer Daten verlangen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO).
• Widerspruchsrecht (Art. 21 DSGVO): Sie können der Verarbeitung Ihrer Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO jederzeit widersprechen.
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): Eine erteilte Einwilligung (z. B. Anbindung des Google-Kontos) können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

15. Beschwerderecht bei einer Aufsichtsbehörde

Wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer personenbezogenen Daten gegen die DSGVO verstößt, haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18
91522 Ansbach
Deutschland
Website: www.lda.bayern.de

16. Keine automatisierte Entscheidungsfindung

Wir nutzen keine automatisierte Entscheidungsfindung einschließlich Profiling gemäß Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt.

17. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder bei Änderungen des Dienstes anzupassen. Die jeweils aktuelle Fassung finden Sie stets auf dieser Seite. Bei wesentlichen Änderungen, die Ihre Daten betreffen, informieren wir registrierte Nutzer per E-Mail.

18. Kontakt

Bei Fragen zum Datenschutz oder zur Ausübung Ihrer Rechte erreichen Sie uns unter:

Joël Marth IT Services
Senftenauerstraße 3
80689 München
Deutschland
E-Mail: datenschutz@kpi-automator.de