Scaleproof← Zur Startseite

Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir dich über die Verarbeitung personenbezogener Daten bei der Nutzung unserer Website und der Web-Anwendung Scaleproof (zusammen „Dienst“). Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten (Auftragsverarbeitung), gilt ergänzend der Auftragsverarbeitungsvertrag (AVV).

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:
Andrew Mann · Scaleproof
Geesthachter Straße 6, 23556 Lübeck, Deutschland
E-Mail: info@scaleproof.de

Eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten besteht für uns derzeit nicht. Für alle Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.

2. Hosting und Infrastruktur

Website & Anwendung (Vercel): Unser Dienst wird bei der Vercel Inc. (USA) gehostet und über deren globales Edge-/CDN- Netz ausgeliefert; dabei kann eine Verarbeitung in den USA erfolgen. Vercel ist unter dem EU-US Data Privacy Framework (DPF) zertifiziert; ergänzend besteht ein Auftragsverarbeitungsvertrag mit Standardvertragsklauseln.

Datenbank, Authentifizierung & Speicher (Supabase): Unsere Datenbank, die Nutzerverwaltung und der Datei-Objektspeicher werden von der Supabase Inc. betrieben; die Daten liegen in der EU (Region Frankfurt). Es besteht ein Auftragsverarbeitungsvertrag; etwaige Zugriffe aus den USA sind durch Standardvertragsklauseln abgesichert.

Datei-Objektspeicher (Cloudflare R2): Analyse-Frames, Screenshots und Logos werden bei der Cloudflare, Inc. in einem auf die EU beschränkten Speicher („EU jurisdiction“) abgelegt. Zugriff erfolgt ausschließlich über kurzlebige signierte Links.

Verarbeitungs-Server (Worker): Die rechenintensive Video- und KI-Verarbeitung läuft auf einem Server der Hostinger International Ltd. in Rechenzentrum Deutschland (Frankfurt am Main); Unternehmenssitz Zypern/Litauen (EU).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung des Dienstes) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

3. Server-Logs

Beim Aufruf des Dienstes werden technisch notwendige Daten (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent) in Server-Logs verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren Betrieb und der Abwehr von Missbrauch). Die Logs werden nach kurzer Zeit automatisch gelöscht.

4. Kundenkonto und Anmeldung

Für die Nutzung der Anwendung legst du ein Konto an. Wir verarbeiten dabei deine E-Mail-Adresse sowie optionale Profilangaben (Name, Firma, Land) und deine Benachrichtigungs-Einstellungen. Die Anmeldung ist per Magic-Link (E-Mail), per Passwort oder per Google-Login möglich.

Google-Login (OAuth): Wenn du dich für die Anmeldung mit Google entscheidest, erhalten wir von Google deine E-Mail-Adresse und deinen Namen zur Erstellung bzw. Verknüpfung deines Kontos. Anbieter ist die Google Ireland Limited bzw. Google LLC (USA); Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Die Anmeldung mit Google ist freiwillig und kann jederzeit in den Kontoeinstellungen getrennt werden.

Wenn du uns über das Support-Widget einen Feature-Wunsch schickst, speichern wir Titel, Beschreibung und Kategorie deines Vorschlags zusammen mit deinem Konto, um ihn zu bearbeiten und dir den Status anzuzeigen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; bei Löschung deines Kontos werden auch deine Feature-Wünsche gelöscht.

Wenn du ein KI-Ergebnis bewertest (Daumen hoch/runter, optional mit Kommentar), speichern wir deine Bewertung zusammen mit dem bewerteten Ergebnis, um die Qualität unserer KI-Funktionen zu prüfen und zu verbessern. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Verbesserung des Dienstes); bei Löschung deines Kontos wird der Personenbezug der Bewertungen entfernt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Begründung und Durchführung des Nutzungsverhältnisses). Die Kontodaten werden bis zur Löschung deines Kontos gespeichert.

Konto löschen: Du kannst dein Konto jederzeit selbst löschen — in der App unter Konto → Mein Konto → „Konto löschen“. Dabei löschen wir sofort und unwiderruflich alle Marken, die dir gehören, mit ihren Bestell-, Werbe- und Analysedaten, Brand Memory, Chats, Skripten und gespeicherten Video-Bildern sowie deine Anmelde- und Kontodaten; Bewertungen von KI-Ergebnissen behalten wir ohne Personenbezug. Ein laufendes Shopify-Abo beenden wir mit der Löschung; Abrechnungsbelege verbleiben bei Shopify (Ziff. 7). Bist du in das Konto eines anderen Unternehmens eingeladen, endet mit der Löschung dein Zugang dort; die Daten dieses Unternehmens bleiben bestehen. Alternativ kannst du die Löschung jederzeit formlos per E-Mail an info@scaleproof.de verlangen.

5. Verbundene Plattformen (Shopify, TikTok)

Kern unseres Dienstes ist die Analyse deiner eigenen Shop- und Werbedaten. Dazu kannst du deinen Shopify-Shop sowie dein TikTok-Ads- und (optional) dein Meta-Ads-Konto (Facebook/Instagram) verbinden (OAuth). Wir rufen dann in deinem Auftrag Daten ab:

  • Shopify: Bestell- und Produktdaten zur Profit-Berechnung. Wir rufen dabei bewusst keine personenbezogenen Endkundendaten ab (keine Kundennamen, ‑E-Mails, ‑Adressen oder ‑Telefonnummern) — verarbeitet werden nur Bestellnummern, Beträge, Ländercodes, Statusangaben und Artikel-/Produktdaten.
  • TikTok Marketing API: aggregierte Kampagnen-, Ad- und Kennzahlendaten (Spend, Impressionen, Klicks, Conversions). Diese enthalten keine personenbezogenen Daten von Endnutzern.
  • Meta Marketing API (optional): sofern du ein Meta-Werbekonto verbindest, aggregierte Kampagnen-, Anzeigen- und Kennzahlendaten (Spend, Impressionen, Klicks, Conversions). Diese enthalten keine personenbezogenen Daten von Endnutzern.
  • TikTok-Kommentare (optional): Für die Kommentar-Analyse rufen wir öffentliche Kommentartexte ab. Wir speichern dabei keine Autorendaten; @-Erwähnungen werden vor der Verarbeitung entfernt, ausgewertet wird nur anonymisierter Text.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der von dir beauftragten Analyse). Soweit es sich bei den über die Plattformen verarbeiteten Daten um personenbezogene Daten handelt, für die du der Verantwortliche bist, handeln wir als dein Auftragsverarbeiter (siehe AVV). Anbieter sind die Shopify International Ltd. (Irland/USA), die TikTok Technology Limited (Irland; Konzern ByteDance) und — sofern du Meta verbindest — die Meta Platforms Ireland Ltd. (Irland; Konzern Meta Platforms, Inc., USA); Drittlandübermittlungen sind über Standardvertragsklauseln bzw. das EU-US Data Privacy Framework abgesichert (siehe Ziff. 13).

6. KI-gestützte Analyse (Anthropic / Claude)

Zur Analyse deiner Werbevideos, Kommentare und Strategie nutzen wir die KI-Modelle (Claude) der Anthropic PBC (USA). Übermittelt werden je nach Funktion: einzelne Videobilder und Transkripte deiner eigenen Anzeigen, aggregierte Kennzahlen, Produktangaben, anonymisierte Kommentartexte sowie deine Brand-/Strategieangaben und Chat-Eingaben. Eine Übermittlung personenbezogener Endkundendaten findet hierbei nicht statt.

Anthropic verarbeitet die Daten als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags mit Standardvertragsklauseln. Eingaben und Ausgaben über die API werden vertraglich nicht zum Training der Modelle verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung des von dir beauftragten Dienstes).

KI-Support-Chat: Auch der Support-Chat im Dashboard (Kundenservice zur Bedienung der App, als KI gekennzeichnet) nutzt Claude. Übermittelt werden deine Chat-Eingaben sowie Konto-Basisdaten (gebuchter Tarif, Abo-Status, Anzahl und Namen deiner Marken, Verbindungs- und Sync-Status, Kontingent-Nutzung), damit der Assistent konkret helfen kann. Analyse-Ergebnisse, Kennzahlen oder Shop-Daten werden dabei nicht übermittelt. Der Chat-Verlauf wird für 7 Tage gespeichert und danach automatisch gelöscht; du kannst ihn im Chat-Fenster außerdem jederzeit selbst löschen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

7. Zahlungsabwicklung (Shopify Billing)

Kostenpflichtige Abonnements werden über die Abrechnungsfunktion („Managed Billing“) von Shopify abgewickelt: Die Abo-Gebühr erscheint auf deiner regulären Shopify-Rechnung, und die eigentliche Zahlungsabwicklung erfolgt durch Shopify. Wir erhalten dabei lediglich den Abo-Status und eine Kundenkennung; vollständige Zahlungsdaten werden bei Shopify erhoben und von uns nicht im Klartext gespeichert. Anbieter ist die Shopify International Ltd. (Irland) bzw. die Shopify Inc. (Kanada); für Kanada besteht ein Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO). Einen weiteren Zahlungsdienstleister setzen wir nicht ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Durchführung des Abonnementvertrags) sowie Art. 6 Abs. 1 lit. c DSGVO (Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten).

8. Server-seitiges Conversion-Tracking (derzeit inaktiv)

Der Dienst enthält eine Funktion, mit der Conversion-Ereignisse deines Shops server-seitig an die TikTok Events API übermittelt werden können (z. B. zur Messung von Käufen). Dabei würden — nur bei vorliegender Einwilligung der jeweiligen Endkunden — pseudonymisierte (per SHA-256 gehashte) Kontaktmerkmale, IP-Adresse und eine TikTok-Klick-ID an TikTok übermittelt. Eine Übermittlung erfolgt insbesondere an Empfänger außerhalb der EU.

Diese Funktion ist derzeit deaktiviert und wird erst nach Abschluss der datenschutzrechtlichen Prüfung (insbesondere zur Drittlandübermittlung) und nur mit ausdrücklicher Aktivierung durch die jeweilige Marke freigeschaltet. Bis dahin werden keine derartigen Daten an TikTok übermittelt. Diese Erklärung wird vor einer Aktivierung entsprechend ergänzt.

9. Fehlerdiagnose (Sentry)

Zur Erkennung technischer Fehler nutzen wir Sentry (Functional Software, Inc.) mit Datenhaltung in der EU. Dabei können technische Angaben zum Fehlerzeitpunkt (Browser, Seite, Fehlermeldung) verarbeitet werden; die Erfassung personenbezogener Daten ist deaktiviert (sendDefaultPii: false). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem fehlerfreien Betrieb).

10. Cookies und Speicherung auf deinem Endgerät

Wir setzen technisch notwendige Cookies ohne deine Einwilligung ein (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. f DSGVO) — das sind die, ohne die der Dienst nicht funktioniert. Alles darüber hinaus fragen wir vorher über unser Cookie-Banner (§ 25 Abs. 1 TDDDG). Solange du dort nicht entschieden hast, wird nichts Optionales geladen oder gespeichert.

Technisch notwendig — immer gesetzt:

  • sb-…-auth-token — deine Anmeldung. Laufzeit der Sitzung.
  • sp_consent — deine Cookie-Entscheidung selbst, damit wir dich nicht bei jedem Aufruf erneut fragen. 12 Monate.
  • theme — helle oder dunkle Ansicht. 1 Jahr.
  • scalproof_active_brand — welche deiner Marken zuletzt aktiv war. 1 Jahr.
  • sidebar-expanded — ob deine Seitenleiste auf- oder zugeklappt ist.
  • sp_gate — Zugangsschutz der geschlossenen Phase, sofern aktiv. 180 Tage.
  • shopify_oauth_state, tiktok_oauth_state, meta_oauth_state, shopify_pending_brand — kurzlebige Sicherheitswerte beim Verbinden eines Shops oder Werbekontos (Schutz vor untergeschobenen Verbindungen). Minuten bis zum Abschluss des Vorgangs.
  • sp_demo — nur in der Live-Demo: erkennt dich bei einem erneuten Besuch wieder, damit du deine Adresse nicht noch einmal eintippen musst. 90 Tage. Löschbar über den Abmelde-Link in unseren Mails (Ziff. 12).
  • demo_plan — nur in der Live-Demo: welche Tarif-Vorschau du dir gerade ansiehst. 30 Tage.
  • Im Sitzungsspeicher deines Browsers: legal-gate-skip — merkt sich für die laufende Sitzung, dass das Zustimmungsfenster wegen eines Speicherfehlers übersprungen wurde. Wird beim Schließen des Browsers gelöscht.

Nur mit deiner Einwilligung:

  • TikTok-Inhalte im Dashboard — Vorschaubilder und der eingebettete Video-Player von TikTok. Dabei sieht TikTok deine IP-Adresse, und der Player speichert eigene Werte auf deinem Endgerät. Ohne deine Einwilligung im Cookie-Banner laden wir weder das Bild noch den Player; an ihrer Stelle steht ein Platzhalter. Anbieter: TikTok Technology Limited (Irland) bzw. verbundene Unternehmen.
  • sp_demo_sid — nur in der Live-Demo und nur, wenn du im Demo-Formular das freiwillige zweite Ankreuzfeld gesetzt hast: kennzeichnet den laufenden Demo-Besuch für die Nutzungsauswertung. 12 Stunden. Einzelheiten in Ziff. 12.

Du kannst deine Entscheidung jederzeit ändern — über den Link „Cookie-Einstellungen“ in der Fußzeile jeder Seite. Ein Widerruf wirkt für die Zukunft. Tracking- oder Werbe-Cookies Dritter setzen wir nicht; es gibt bei uns kein Google Analytics, keinen Google Tag Manager, kein Meta-Pixel und keine Werbenetzwerke.

11. Besucherstatistik (cookielos, First-Party)

Um zu verstehen, wie viele Besucher unsere Seiten aufrufen, führen wir eine eigene, cookielose Reichweitenmessung durch — ohne Dienste Dritter und ohne seitenübergreifendes Tracking. Erfasst werden dabei: die aufgerufene Seite (ohne Query-Parameter, IDs werden maskiert), die Herkunfts-Domain (nur der Hostname des Referrers), der Gerätetyp (mobil/Desktop), das Herkunftsland sowie ein pseudonymer Besucher-Wert. Dieser Wert wird aus IP-Adresse und Browser-Kennung zusammen mit einem geheimen Server-Schlüssel und dem aktuellen Datum gebildet (Hash), wechselt täglich und lässt sich nicht auf dich zurückrechnen; die IP-Adresse und die Browser-Kennung selbst werden nicht gespeichert. Sendet dein Browser ein „Do Not Track“- oder „Global Privacy Control“-Signal, wird der Aufruf überhaupt nicht erfasst. Es werden keine Cookies gesetzt und keine Informationen auf deinem Endgerät gespeichert oder ausgelesen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Reichweitenmessung unseres eigenen Angebots). Die Statistikdaten werden nach 90 Tagen automatisch gelöscht.

11a. Nutzung der App durch angemeldete Kunden

Damit wir Scaleproof betreiben, Störungen finden und den Einstieg verbessern können, protokollieren wir Vorgänge innerhalb der App — zum Beispiel „Shop verbunden“, „Video-Analyse gestartet“, „Tarif geändert“. Gespeichert werden dabei der Zeitpunkt, die Art des Vorgangs sowie deine Nutzer- und Marken-Kennung.

Nicht gespeichert werden Inhalte: keine Texte, keine Videos, keine Shop- oder Kundendaten und keine Eingaben in die KI. Es findet keine Auswertung deines Verhaltens im Zeitverlauf und keine Profilbildung statt; im Admin-Bereich sehen wir, ob und wie oft eine Funktion genutzt wurde und an welcher Stelle der Einrichtung jemand stehengeblieben ist — nicht, wann du wobei wie lange gearbeitet hast.

Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionierenden, verständlichen Produkt sowie an der Erfüllung des Vertrags mit dir (Art. 6 Abs. 1 lit. f und lit. b DSGVO). Diese Vorgangsdaten löschen wir automatisch nach 90 Tagen.

11b. Support-Zugriff auf dein Konto („Als Kunde ansehen“)

Wenn du dich mit einem Problem an uns wendest, können wir dein Dashboard so ansehen, wie du es siehst — sonst lässt sich „bei mir ist die Seite leer“ nicht beantworten. Dabei sehen wir die Daten deiner Marke, also insbesondere deine Shop-, Werbe- und Analyse-Daten.

Dieser Zugriff ist ausschließlich lesend: Wir können in dieser Ansicht nichts ändern, nichts löschen, keine Analysen starten und keine Verbindungen herstellen. Er ist auf eine Marke und auf eine kurze Zeitspanne begrenzt (in der Regel 30 Minuten, technisch höchstens zwei Stunden) und endet danach von selbst.

Jeder einzelne Zugriff wird protokolliert — mit Zeitpunkt, der Person, die ihn geöffnet hat, und dem angegebenen Grund. Auf Anfrage teilen wir dir mit, ob und wann jemand von uns in dein Konto gesehen hat. Rechtsgrundlage ist die Erfüllung des Vertrags mit dir, insbesondere die vereinbarte Unterstützung (Art. 6 Abs. 1 lit. b DSGVO), sowie unser berechtigtes Interesse an einem funktionierenden Produkt (lit. f).

Unabhängig davon gilt: Auch ohne diese Funktion haben wir als Betreiber technisch Zugang zu den Daten auf unseren Servern. Die Funktion schafft diesen Zugang nicht neu — sie begrenzt ihn auf „nur lesen“ und macht jede Nutzung nachvollziehbar.

12. Live-Demo: E-Mail-Zugang und Nutzungsauswertung

Unsere Live-Demo (scaleproof.de/demo) öffnen wir, nachdem du deine E-Mail-Adresse eingetragen und den Link in der Bestätigungsmail angeklickt hast. Die Adresse brauchen wir, um dir diesen Link zu schicken — das ist die von dir angeforderte Leistung (Art. 6 Abs. 1 lit. b DSGVO), keine Einwilligung. Freiwillig kannst du zusätzlich deinen Vornamen angeben (nur für die Anrede). Wir speichern dazu den Zeitpunkt deiner Anmeldung, einen verschlüsselten Prüfwert deiner IP-Adresse (Hash mit geheimem Server-Schlüssel; die IP-Adresse selbst wird nicht gespeichert), denselben Prüfwert für den Bestätigungsklick, die Fassung der versendeten Mail sowie die Herkunfts-Domain (nur der Hostname) und dein Herkunftsland.

Beide Ankreuzfelder sind freiwillig. Bis zum 08.09.2026 war das erste Feld (Werbe-Einwilligung) ein Pflichtfeld — das haben wir am 09.09.2026 geändert: Die Demo öffnet sich auch, wenn du keines der Felder ankreuzt. Setzt du das erste Feld, schicken wir dir zusätzlich Produkt-News und Tipps auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG).

Auch ohne dieses Feld dürfen wir dir gelegentlich E-Mails zu Scaleproof selbst schreiben — also zu eigenen, ähnlichen Leistungen. Grundlage ist § 7 Abs. 3 UWG in Verbindung mit Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Direktwerbung, Erwägungsgrund 47). Wir weisen dich schon im Demo-Formular darauf hin, und jede dieser Mails enthält einen Abmelde-Link, mit dem du sofort und ohne Angabe von Gründen widersprechen kannst; dann löschen wir deine Adresse vollständig. Werbung für fremde Produkte schicken wir dir in keinem Fall.

Bestätigung per E-Mail (Double-Opt-in): Direkt nach dem Absenden schicken wir dir eine Mail mit einem Bestätigungs-Link. Erst wenn du diesen Link anklickst, gilt deine Einwilligung als erteilt, erst dann schreiben wir dir wieder — und derselbe Klick öffnet die Demo. Ohne Bestätigung bleibt deine Adresse ungenutzt, wird nicht angeschrieben und die Demo bleibt verschlossen.

Auswertung der Demo-Nutzung — nur mit dem zweiten, freiwilligen Ankreuzfeld: Setzt du es, erfassen wir, welche Demo-Seiten du öffnest, welche Schaltflächen du anklickst (gespeichert wird die sichtbare Beschriftung, keine Eingaben), wie lange die Demo bei dir im Vordergrund ist, deinen Gerätetyp (mobil/Desktop), dein Herkunftsland, die Herkunfts-Domain und die von dir gewählte Tarif-Vorschau. Zweck ist, dir anschließend zu schreiben, was für dich interessant war, und die Demo zu verbessern. Nur in diesem Fall setzen wir das Cookie sp_demo_sid, das den laufenden Demo-Besuch kennzeichnet (12 Stunden). Lässt du das Feld leer, findet keine Auswertung statt und dieses Cookie wird nicht gesetzt. Damit die Demo überhaupt funktioniert, speichern wir unabhängig von diesem Feld einige technisch notwendige Werte auf deinem Endgerät — welche das sind und wie lange, steht vollständig in Ziff. 10. Sendet dein Browser ein „Do Not Track“- oder „Global Privacy Control“-Signal, unterbleibt die Auswertung ebenfalls.

Rechtsgrundlage für beide Ankreuzfelder ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für E-Mail-Werbung zusätzlich § 7 Abs. 2 Nr. 2 UWG, für das Speichern des Cookies der Nutzungsmessung § 25 Abs. 1 TDDDG). Du kannst sie jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmelde-Link in jeder unserer E-Mails oder formlos an info@scaleproof.de. Wir löschen dann deine Adresse, den Vornamen und alle zu deinem Demo-Besuch gespeicherten Daten vollständig. Die Nutzungsdaten der Demo löschen wir ohnehin nach 90 Tagen; deine Adresse speichern wir bis zum Widerruf. Die Demo selbst zeigt ausschließlich Beispieldaten eines Demo-Kontos.

13. Empfänger / Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, die uns bei der Erbringung des Dienstes als Auftragsverarbeiter unterstützen. Eine stets aktuelle Liste dieser Unterauftragsverarbeiter findest du als Anlage zum AVV. Zum Zeitpunkt dieser Erklärung sind dies insbesondere:

  • Supabase Inc. — Datenbank, Authentifizierung, Speicher (EU)
  • Vercel Inc. — Hosting (USA, DPF)
  • Cloudflare, Inc. — Datei-Objektspeicher (EU-Jurisdiktion)
  • Hostinger International Ltd. — Verarbeitungs-Server (Deutschland)
  • Anthropic PBC — KI-Analyse (USA, SCC)
  • Shopify International Ltd. (Irland) / Shopify Inc. (Kanada) — Abrechnung kostenpflichtiger Abos (Shopify Billing; Kanada: Angemessenheitsbeschluss)
  • Google Ireland Ltd. / Google LLC — Anmeldung per Google (USA, DPF)
  • Functional Software, Inc. (Sentry) — Fehlerdiagnose (EU)
  • Resend, Inc. — Transaktions- und Demo-E-Mail-Versand (USA)
  • GitHub, Inc. — nächtliche Sicherung der Datenbank. Der Sicherungslauf wird auf einem GitHub-Server ausgeführt und umfasst auch die Anmeldedaten-Tabelle (E-Mail-Adressen); die fertige Sicherung liegt anschließend verschlüsselt bei Cloudflare R2 und wird nach 30 Tagen gelöscht (USA, DPF)
  • BetterStack (Better Stack, Inc.) — Betriebs- und Verfügbarkeitsüberwachung sowie unsere öffentliche Statusseite unter status.scaleproof.de. Kundendaten fließen nicht dorthin; wer die Statusseite aufruft, übermittelt dabei seine IP-Adresse an den Anbieter
  • DataImpulse — Ausweich-Verbindung beim Abruf von Shop-Seiten für den Seiten-Audit, wenn die Zielseite uns länderabhängig umleitet oder ausbremst. Übermittelt werden die aufgerufene Adresse und der abgerufene Seiteninhalt, keine Kontodaten (Ausgangspunkte in Deutschland)
  • IONOS SE — Domainverwaltung und unser Betreiber-Postfach info@scaleproof.de; dort gehen deine E-Mails an uns ein (Deutschland)
  • Anthropic PBC — Websuche: Beim „Marken-Fundament“ recherchiert die KI zusätzlich live im Web. Dabei gehen Suchanfragen mit Bezug zu deiner Marke, deinen Produkten und deiner Nische über das Suchwerkzeug von Anthropic hinaus (USA, SCC)
  • Shopify International Ltd. / TikTok Technology Ltd. / Meta Platforms Ireland Ltd. — verbundene Plattformen als Datenquelle (nur auf deine Veranlassung; Meta nur, sofern du ein Meta-Werbekonto verbindest)

Die Sicherung bei GitHub, die Betriebsüberwachung bei BetterStack, die Ausweich-Verbindung von DataImpulse, das Postfach bei IONOS und die Websuche von Anthropic waren bis zum 09.09.2026 in dieser Erklärung nicht genannt. Sie sind hier ergänzt — nicht neu hinzugekommen.

14. Übermittlung in Drittländer

Soweit Daten an Empfänger außerhalb der EU/des EWR übermittelt werden, stellen wir ein angemessenes Datenschutzniveau sicher:

  • Bei Anbietern, die unter dem EU-US Data Privacy Framework zertifiziert sind (u. a. Vercel, Google), erfolgt die Übermittlung auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO).
  • Bei den übrigen Anbietern (u. a. Anthropic und Resend sowie ggf. US-Zugriffe bei Supabase und Shopify) erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) nebst ergänzenden Schutzmaßnahmen.
  • Eine Übermittlung an TikTok im Rahmen des server-seitigen Conversion-Trackings (Ziff. 8) findet derzeit nicht statt und wird erst nach gesonderter Prüfung und ausdrücklicher Information aktiviert.

15. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist: Kontodaten bis zur Löschung des Kontos; verbundene Shop-/Ad-Daten bis zur Löschung der betreffenden Marke oder Trennung der Verbindung; Rechnungs- und Vertragsdaten im Rahmen der gesetzlichen Aufbewahrungsfristen (i. d. R. bis zu 10 Jahre). Bei einer Löschung deiner Marke werden die zugehörigen Daten einschließlich der Zugangs-Token unwiederbringlich entfernt. Der Verlauf des KI-Support-Chats wird nach 7 Tagen automatisch gelöscht (vorher jederzeit manuell löschbar); eingereichte Feature-Wünsche speichern wir für die Dauer der Bearbeitung, längstens bis zur Löschung deines Kontos. Die cookielose Besucherstatistik (Ziff. 11) wird nach 90 Tagen automatisch gelöscht; ebenso die Vorgangsdaten angemeldeter Kunden (Ziff. 11a) und die Nutzungsdaten der Live-Demo (Ziff. 12) — die dort angegebene E-Mail-Adresse speichern wir bis zu deinem Widerruf. Das Protokoll der Support-Zugriffe (Ziff. 11b) bewahren wir dagegen bewusst dauerhaft auf: Es ist der Nachweis darüber, wer wann in dein Konto gesehen hat, und wäre ohne Aufbewahrung wertlos. Standbilder aus Videos, die du als Link eingefügt hast — also aus Material, das nicht aus deinem eigenen Werbekonto stammt — löschen wir 30 Tage nach der Analyse automatisch; das Ergebnis der Analyse bleibt, die Bildkopien nicht (§ 44b Abs. 2 S. 2 UrhG). Dasselbe gilt für Screenshots fremder Landing-Pages aus der Wettbewerbs-Analyse. Standbilder deiner eigenen Ads bleiben bis zur Löschung der Analyse oder der Marke erhalten.

16. Keine automatisierte Entscheidung im Einzelfall

Eine automatisierte Entscheidung einschließlich Profiling mit rechtlicher Wirkung gegenüber dir im Sinne des Art. 22 DSGVO findet nicht statt. Unsere KI-Analysen bewerten Werbeinhalte und Kennzahlen — sie treffen keine rechtlich erheblichen Entscheidungen über Personen.

17. Deine Rechte

Du hast nach der DSGVO insbesondere das Recht auf:

  • Auskunft über die zu dir gespeicherten Daten (Art. 15)
  • Berichtigung unrichtiger Daten (Art. 16)
  • Löschung (Art. 17) und Einschränkung der Verarbeitung (Art. 18)
  • Datenübertragbarkeit (Art. 20)
  • Widerspruch gegen eine auf Art. 6 Abs. 1 lit. f gestützte Verarbeitung (Art. 21)
  • Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3)
  • Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77)

Wende dich dafür an info@scaleproof.de. Für uns zuständige Aufsichtsbehörde ist das Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD). Du kannst dich aber auch an die Aufsichtsbehörde deines üblichen Aufenthaltsorts wenden.

18. Pflicht zur Bereitstellung

Die Bereitstellung der für das Konto und die beauftragten Analysen erforderlichen Daten ist für die Nutzung des Dienstes notwendig. Ohne diese Daten können wir den Dienst nicht erbringen.

19. Stand und Änderungen

Version 2026-09-09c. Wir passen diese Datenschutzerklärung an, wenn sich die Verarbeitung oder die Rechtslage ändert (z. B. bei Aktivierung des server-seitigen Trackings oder Hinzunahme weiterer Auftragsverarbeiter).