Branddoq – endlich ein Brand Guide, den alle nutzen

**today is day one UG (haftungsbeschränkt)** · www.branddoq.io

## 1. Verantwortlicher

today is day one UG (haftungsbeschränkt)
Betreiberin der Plattform Branddoq (www.branddoq.io)
Rotebühlstraße 44, 70178 Stuttgart, Deutschland
Telefon +49 (0)711 38 96 76 50 · E-Mail [hello@branddoq.io](mailto:hello@branddoq.io)
Vertreten durch die Geschäftsführung Verena Mayer und Mirco Wüstholz.

## 2. Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist nicht benannt. Wir haben die Benennungspflicht nach Art. 37 Abs. 1 DSGVO und § 38 Abs. 1 BDSG geprüft: Unsere Kerntätigkeit besteht weder in einer umfangreichen regelmäßigen und systematischen Überwachung von Personen noch in der umfangreichen Verarbeitung besonderer Kategorien personenbezogener Daten; wir führen keine Datenschutz-Folgenabschätzung als Kerntätigkeit durch und verarbeiten keine Daten geschäftsmäßig zum Zweck der Übermittlung oder der Markt- und Meinungsforschung; bei uns sind weniger als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt. Wir prüfen diese Voraussetzungen regelmäßig neu. Fragen zum Datenschutz richten Sie an [hello@branddoq.io](mailto:hello@branddoq.io), Stichwort „Datenschutz", oder postalisch an die Anschrift des Verantwortlichen.

## 3. Für wen diese Erklärung gilt

Diese Erklärung informiert

- **Besucher** der Website www.branddoq.io einschließlich der Demo-Umgebung,
- **Kunden und deren Nutzer** (Editoren, Viewer), die die Plattform Branddoq nutzen, sowie
- **Besucher von Brand Guides**, die unsere Kunden über die Plattform veröffentlichen (Abschnitt 10).

Soweit wir personenbezogene Daten im Auftrag unserer Kunden verarbeiten (etwa Daten der von Kunden angelegten Nutzer und in Brand Guides enthaltene Daten), ist der jeweilige Kunde Verantwortlicher; wir handeln als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags nach Art. 28 DSGVO. Wenden Sie sich in diesem Fall bitte an den Kunden, dessen Brand Guide Sie nutzen.

## 4. Hosting und Server-Logfiles

**Daten:** IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, HTTP-Statuscode, übertragene Datenmenge, Referrer-URL, Browser und Betriebssystem.
**Zweck:** Auslieferung der Website, Stabilität und Sicherheit, Fehleranalyse, Abwehr von Angriffen.
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren und stabilen Betrieb).
**Empfänger:** Unser Hosting-Dienstleister VHUG Technologies OÜ, Lõõtsa tn 5, 11415 Tallinn, Estland (Registernummer 17334484) betreibt und verwaltet die Server für uns auf Grundlage eines Auftragsverarbeitungsvertrags. Die Server stehen in einem Rechenzentrum in Deutschland; der Rechenzentrumsbetreiber hat keinen Zugriff auf die Daten. Zur Serververwaltung wird die Software Plesk eingesetzt.
**Speicherdauer:** Logfiles werden im Rahmen der Protokollrotation des Servers regelmäßig gelöscht, spätestens nach 30 Tagen, soweit sie nicht zur Aufklärung eines Sicherheitsvorfalls benötigt werden.

## 5. Cookies, lokale Speicherung, Reichweitenmessung und Werbeerfolgsmessung

### 5.1 Technisch notwendige Cookies

Für den Betrieb der Website und der Plattform setzen wir technisch notwendige Cookies und vergleichbare Speichertechniken ein. Eine Einwilligung ist hierfür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG); die Verarbeitung der damit verbundenen Daten stützt sich auf Art. 6 Abs. 1 lit. b DSGVO (Nutzung der Plattform) beziehungsweise lit. f DSGVO (berechtigtes Interesse an einer sicheren, funktionierenden Website).

| Name | Zweck | Speicherdauer |
| --- | --- | --- |
| `branddock_session` | Sitzungskennung für Login, Demo-Sandbox, Passwortfreigabe geschützter Guides, Spracheinstellung | Sitzung, maximal 120 Minuten Inaktivität |
| `XSRF-TOKEN` | Schutz vor Cross-Site-Request-Forgery | Sitzung |
| `remember_web_…` | „Angemeldet bleiben" beim Login (nur wenn gewählt) | 30 Tage |
| `branddoq_consent` (LocalStorage) | Speichert Ihre Entscheidung im Cookie-Dialog (Auswahl, Zeitpunkt, Textversion, zufällige Kennung) | 6 Monate |
| `branddoq_consent_session` (SessionStorage) | Speichert die Wahl „Keine" nur für die laufende Sitzung | bis zum Schließen des Browser-Tabs |
| `branddock_cookie_notice` (LocalStorage, nur alt.branddoq.io) | Merkt sich, dass Sie den Cookie-Hinweis der alten Startseite geschlossen haben | bis zum Löschen der Browserdaten |

### 5.2 Cookie-Dialog und Einwilligung

Auf der Website www.branddoq.io (nicht in den Brand Guides unserer Kunden und nicht im Kundenportal) setzen wir die in 5.3 bis 5.5 beschriebenen Dienste zur Reichweitenmessung und zur Messung des Erfolgs unserer Anzeigen ein. Diese Dienste laden erst, wenn Sie im Cookie-Dialog eingewilligt haben. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG für das Speichern und Auslesen von Informationen auf Ihrem Endgerät, Art. 6 Abs. 1 lit. a DSGVO für die anschließende Verarbeitung). Auf welcher Grundlage die einzelnen Anbieter Daten in die USA übermitteln, steht jeweils unter „Drittland“ in 5.3 bis 5.5.

Der Dialog bietet auf der ersten Ebene gleichwertig „Alle akzeptieren", „Nur notwendige" und „Keine" sowie unter „Auswahl anpassen" die Wahl je Kategorie (Statistik, Marketing). Solange Sie nicht entschieden haben, wird kein Dienst geladen. „Nur notwendige" und eine angepasste Auswahl merken wir uns sechs Monate in Ihrem Browser, „Keine" nur für die laufende Sitzung. Ändert sich der Dialogtext oder kommt ein Dienst hinzu, fragen wir erneut.

**Widerruf:** Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, indem Sie im Fußbereich jeder Seite „Cookie-Einstellungen" anklicken. Bereits gesetzte Cookies der Dienste löschen wir dabei, soweit sie von unserer Domain aus erreichbar sind; die Seite wird anschließend neu geladen.

**Nachweis:** Zum Nachweis Ihrer Einwilligung (Art. 7 Abs. 1 DSGVO) protokollieren wir Zeitpunkt, getroffene Auswahl, Textversion des Dialogs, Sprache, aufgerufene Seite, Ihre gekürzte IP-Adresse (letztes Oktett entfernt) und die Browserkennung sowie die zufällige Kennung aus dem Browser-Speicher. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Diese Nachweise löschen wir nach drei Jahren.

### 5.3 Google Analytics 4 (Kategorie Statistik)

**Anbieter:** Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland („Google"), Auftragsverarbeiter auf Grundlage der Google-Datenverarbeitungsbedingungen für Werbeprodukte.
**Daten:** pseudonyme Nutzerkennung im Cookie, aufgerufene Seiten, Verweildauer, Herkunft des Besuchs (Referrer, Kampagnenparameter), ungefährer Standort, Gerät, Browser und Betriebssystem, Bildschirmauflösung, Interaktionen. Die IP-Adresse wird von Google Analytics 4 nur zur Standortbestimmung verwendet, dabei gekürzt und nicht gespeichert; die Kürzung erfolgt nach Angabe von Google auf Servern in der EU.
**Zweck:** Auswertung der Nutzung unserer Website, Verbesserung von Inhalten und Angebot, Messung der Wirkung unserer Kampagnen.
**Cookies:** `_ga` (2 Jahre), `_ga_<ID>` (2 Jahre).
**Speicherdauer:** Nutzer- und Ereignisdaten bei Google Analytics 14 Monate, danach werden sie automatisch gelöscht. Aggregierte Berichte enthalten keine personenbezogenen Daten.
**Drittland:** Google kann Daten an Google LLC in die USA übermitteln. Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.
Google Signals (geräteübergreifende Zusammenführung mit Google-Konten) und die Weitergabe von Daten an andere Google-Produkte haben wir deaktiviert. Weitere Informationen: https://policies.google.com/privacy und https://support.google.com/analytics/answer/6004245.

### 5.4 Meta-Pixel (Kategorie Marketing)

**Anbieter:** Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta").
**Daten:** pseudonyme Kennung im Cookie, aufgerufene Seiten, Ereignisse (zum Beispiel Seitenaufruf, Registrierung, Kauf), Referrer, HTTP-Header einschließlich IP-Adresse, Browser- und Geräteinformationen. Sind Sie bei Facebook oder Instagram angemeldet, kann Meta diese Daten Ihrem Konto zuordnen. Wir übermitteln keine zusätzlichen Kontaktdaten an Meta (kein „erweiterter Abgleich").
**Zweck:** Messung, ob unsere Anzeigen auf Facebook und Instagram zu Besuchen und Registrierungen führen (Conversion-Messung), sowie Bildung von Zielgruppen, um Besuchern unserer Website dort erneut Anzeigen zu zeigen (Retargeting).
**Cookies:** `_fbp` (3 Monate), `_fbc` (3 Monate, nur nach Klick auf eine Anzeige).
**Gemeinsame Verantwortlichkeit:** Für die Erhebung und Übermittlung der Daten an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist der „Zusatz für Verantwortliche" von Meta (https://www.facebook.com/legal/controller_addendum); danach ist Meta für die Erfüllung der Betroffenenrechte hinsichtlich der bei Meta gespeicherten Daten zuständig. Die anschließende Verarbeitung durch Meta zu eigenen Zwecken erfolgt in alleiniger Verantwortung von Meta.
**Drittland:** Meta kann Daten an Meta Platforms, Inc. in die USA übermitteln. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.
Weitere Informationen: https://www.facebook.com/privacy/policy und https://www.facebook.com/privacy/policies/cookies.

### 5.5 LinkedIn Insight Tag (Kategorie Marketing)

**Anbieter:** LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irland („LinkedIn").
**Daten:** URL der aufgerufenen Seite, Referrer, IP-Adresse (von LinkedIn gekürzt oder gehasht), Geräte- und Browsereigenschaften, Zeitstempel, pseudonyme Kennungen in Cookies. Sind Sie bei LinkedIn angemeldet, kann LinkedIn die Daten Ihrem Mitgliedskonto zuordnen; wir selbst erhalten nur zusammengefasste Berichte ohne Personenbezug.
**Zweck:** Messung, ob unsere Anzeigen auf LinkedIn zu Besuchen und Registrierungen führen (Conversion-Messung), zusammengefasste Berichte über die beruflichen Merkmale unserer Besucher (Website-Demografie) sowie das erneute Ansprechen von Besuchern mit Anzeigen auf LinkedIn (Retargeting).
**Cookies:** `li_sugr` (90 Tage), `bcookie` (1 Jahr), `lidc` (1 Tag), `UserMatchHistory` (30 Tage), `AnalyticsSyncHistory` (30 Tage), `ln_or` (1 Tag).
**Speicherdauer:** LinkedIn pseudonymisiert die direkten Kennungen innerhalb von sieben Tagen und löscht die pseudonymisierten Daten nach 180 Tagen.
**Verantwortlichkeit:** Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an LinkedIn sind wir mit LinkedIn gemeinsam verantwortlich (Art. 26 DSGVO). Grundlage ist die LinkedIn Ads Agreement einschließlich der darin enthaltenen Datenschutzbestimmungen für den Insight Tag (https://www.linkedin.com/legal/sas-terms); danach ist LinkedIn für die Erfüllung der Betroffenenrechte hinsichtlich der bei LinkedIn gespeicherten Daten zuständig. Die anschließende Verarbeitung zu eigenen Zwecken (etwa Verknüpfung mit dem Mitgliedskonto, Anzeigenauslieferung) erfolgt in alleiniger Verantwortung von LinkedIn.
**Drittland:** LinkedIn kann Daten an die LinkedIn Corporation in die USA übermitteln. Die LinkedIn Corporation ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die Standardvertragsklauseln der EU-Kommission.
Weitere Informationen: https://www.linkedin.com/legal/privacy-policy und https://www.linkedin.com/legal/cookie-policy. Ablehnen können Sie die Verarbeitung durch LinkedIn zusätzlich unter https://www.linkedin.com/psettings/guest-controls/retargeting-opt-out.

## 6. Schriften und Medien

Alle Schriften der Website und der Plattform (unter anderem Gilroy, Inter, Space Grotesk) werden von unseren eigenen Servern geladen. Es findet keine Verbindung zu Google Fonts oder anderen Schriftanbietern durch Ihren Browser statt. Wählt ein Kunde im Builder eine Google-Font aus, lädt unser Server die Schriftdatei einmalig herunter und stellt sie danach selbst bereit; dabei gelangt nur die Adresse unseres Servers an Google, keine Daten des Kunden oder der Besucher.

## 7. Kontaktaufnahme und Support

**Kontakt per E-Mail, Telefon oder Kontaktformular:** Wir verarbeiten die Angaben, die Sie uns mitteilen (Name, E-Mail-Adresse, gegebenenfalls Unternehmen, Betreff und Inhalt der Anfrage), zur Bearbeitung Ihrer Anfrage. Das Kontaktformular auf der Website übermittelt Ihre Nachricht per E-Mail an unser Postfach contact@branddoq.io (Versand über IONOS, Abschnitt 9); Sie erhalten eine Eingangsbestätigung mit einer Vorgangsnummer. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung) beziehungsweise lit. f (berechtigtes Interesse an der Beantwortung von Anfragen). Wir löschen die Daten, sobald die Anfrage erledigt ist und keine Aufbewahrungspflichten bestehen.

**Support und Feedback aus dem Kundenportal:** Angemeldete Nutzer können im Hilfe-Center Support-Anfragen und Feedback senden. Neben Ihren Angaben (Betreff, Nachricht, Anfrageart, Dringlichkeit, gegebenenfalls Bewertung) übermitteln wir zur Einordnung Ihr Paket, den Projektnamen, Ihre Nutzer-ID, die betroffene Seite und die Browserkennung. Diese Anfragen gehen per E-Mail an support@branddoq.io und werden zur Bearbeitung zusätzlich als Aufgabe in dem Aufgabenverwaltungsdienst Asana angelegt (Asana, Inc., 633 Folsom Street, Suite 100, San Francisco, CA 94107, USA, Auftragsverarbeiter). Die Übermittlung in die USA stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, dem Asana, Inc. angehört, sowie ergänzend auf die Standardvertragsklauseln der EU-Kommission im Data Processing Addendum von Asana. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Support als Teil des Vertrags). Wir löschen die Anfrage in Asana und im Postfach, sobald sie abgeschlossen ist und keine Aufbewahrungspflichten bestehen. Asana ist zugleich Unterauftragsverarbeiter im Sinne unseres Auftragsverarbeitungsvertrags (Ziffer 9), weil Support-Anfragen Angaben zu Nutzern und Inhalten unserer Kunden enthalten können.

## 8. Newsletter und Rabattcode

Auf der Website können Sie sich für unseren Newsletter anmelden. Als Dankeschön erhalten Sie einen Rabattcode für die ersten drei Monate eines kostenpflichtigen Pakets.

**Daten:** Name, Unternehmen, E-Mail-Adresse, Land, Sprache der Anmeldung, Zeitpunkt der Anmeldung und der Bestätigung, IP-Adresse und Browserkennung bei der Anmeldung, Wortlaut der Einwilligung samt Fassung dieser Erklärung, Zeitpunkt einer Abmeldung sowie der Vermerk, ob der Rabattcode eingelöst wurde.
**Bestätigung (Double-Opt-in):** Nach der Anmeldung senden wir Ihnen eine E-Mail mit einem Bestätigungslink. Erst mit dem Klick auf diesen Link ist die Anmeldung wirksam; danach erhalten Sie die Willkommens-E-Mail mit dem Rabattcode. Ohne Bestätigung senden wir keinen Newsletter; unbestätigte Anmeldungen löschen wir nach 30 Tagen.
**Zweck:** Zusendung von Informationen zu Branddoq (Neuigkeiten, Funktionen, Tipps, Angebote) per E-Mail sowie Bereitstellung und Einlösung des Rabattcodes. Das Land verwenden wir, um Sprache und Inhalt des Newsletters auf Ihre Region abzustimmen.
**Rechtsgrundlage:** Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 2 UWG. Die Protokollierung von Anmeldung und Bestätigung (IP-Adresse, Zeitpunkte, Einwilligungstext) dient dem Nachweis Ihrer Einwilligung und beruht auf Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.
**Versand und Messung:** Der Versand erfolgt über den Mailserver der IONOS SE (Auftragsverarbeiter, Abschnitt 9). Wir setzen keine Zählpixel ein und messen weder Öffnungen noch Klicks. Links im Newsletter enthalten keine personenbezogene Kennung; allein der Abmeldelink ist Ihrer Anmeldung zugeordnet.
**Rabattcode:** Der Rabattcode ist für alle Abonnenten gleich und bei unserem Zahlungsdienstleister Stripe (Abschnitt 11) als Aktionscode hinterlegt. Bei einer Buchung prüfen wir anhand der E-Mail-Adresse, ob eine bestätigte Newsletter-Anmeldung vorliegt, und wenden den Rabatt automatisch an; Stripe begrenzt die Einlösung auf einmal je Kunde. Die Einlösung vermerken wir in Ihrer Newsletter-Anmeldung. Weitere Newsletter-Daten übermitteln wir nicht an Stripe.
**Widerruf und Abmeldung:** Sie können den Newsletter jederzeit über den Abmeldelink am Ende jeder E-Mail, über die Abmeldefunktion Ihres E-Mail-Programms (List-Unsubscribe) oder per E-Mail an hello@branddoq.io abbestellen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
**Speicherdauer:** Für die Dauer Ihres Abonnements. Nach der Abmeldung bewahren wir die Anmeldedaten noch für die regelmäßige Verjährungsfrist von drei Jahren zum Nachweis der Einwilligung auf (Art. 6 Abs. 1 lit. f DSGVO) und löschen sie danach.

## 9. Registrierung, Kundenkonto und Vertragsabwicklung

**Daten:** Vor- und Nachname, E-Mail-Adresse, Passwort (nur als Hash gespeichert), Unternehmen, Rechnungsadresse, USt-IdNr., gewähltes Paket, Projektname, Zeitpunkt der Registrierung und der Logins, Abonnementstatus.
**Zweck:** Bereitstellung des Kundenkontos, Durchführung des Vertrags, Abrechnung, Support, Sicherheit.
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Vertrag); für die Aufbewahrung von Rechnungsdaten Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB.
**Speicherdauer:** Kontodaten für die Dauer des Vertrags und 30 Tage darüber hinaus. Rechnungen und Buchungsbelege bewahren wir acht Jahre auf (§ 147 Abs. 1 Nr. 4, Abs. 3 AO, § 14b UStG), Handelsbücher und Jahresabschlüsse, in die diese Daten einfließen, zehn Jahre (§ 257 HGB, § 147 Abs. 1 Nr. 1 AO); die Frist beginnt mit dem Ende des Kalenderjahres, in dem die Rechnung ausgestellt beziehungsweise die letzte Eintragung vorgenommen wurde. Den Nachweis Ihrer Zustimmung zu AGB und Auftragsverarbeitungsvertrag bei der Registrierung (Zeitpunkt, IP-Adresse, Fassung der Texte) bewahren wir für die Dauer des Vertrags und die anschließende regelmäßige Verjährungsfrist von drei Jahren auf (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Beweissicherung).

**Trial-Konto:** Für das kostenlose Trial erheben wir keine Rechnungsadresse. Inaktive Trial-Konten löschen wir nach vorheriger Information per E-Mail (siehe AGB).

**Transaktions-E-Mails:** E-Mails zur Registrierung, zum Passwort, zur Abrechnung, zu Support-Anfragen und zum Newsletter versenden wir über den Mailserver der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur (Auftragsverarbeiter, Rechenzentren in Deutschland).

## 10. Nutzung der Plattform: Brand Guides, Mediapool, Nutzer

**Kundeninhalte:** Kunden laden Logos, Bilder, Videos, Schriften, Dokumente und Texte hoch und veröffentlichen Brand Guides. Soweit darin personenbezogene Daten enthalten sind (etwa Fotos von Mitarbeitern, Ansprechpartner in Kontaktmodulen), ist der Kunde Verantwortlicher; wir verarbeiten diese Daten als Auftragsverarbeiter nach seinen Weisungen.

**Nutzerverwaltung:** Kunden können Editoren und Viewer anlegen. Wir speichern hierfür Name, E-Mail-Adresse, Passwort-Hash, Rolle und Guide-Zuordnung. Verantwortlicher ist der Kunde; wir sind Auftragsverarbeiter. Betroffene wenden sich für Auskunft, Berichtigung oder Löschung an den Kunden.

**Besucher veröffentlichter Brand Guides:** Beim Aufruf eines Brand Guides verarbeiten wir die Server-Logfiles nach Abschnitt 4 und setzen die technisch notwendigen Cookies nach Abschnitt 5. Bei passwortgeschützten Guides speichern wir in der Sitzung, dass das Passwort eingegeben wurde. Bei Guides mit Nutzer-Login gelten die Angaben zur Nutzerverwaltung. Inhaltlich verantwortlich für den Brand Guide ist der jeweilige Kunde; seine Datenschutzhinweise sind im Guide hinterlegt.

**Downloads:** Downloads aus dem Mediapool werden je Datei gezählt, jedoch nicht personenbezogen protokolliert.

**Demo-Umgebung (www.branddoq.io/demo):** Die Demo kann ohne Registrierung genutzt werden. Wir speichern die Demo-Sitzung nur über das Sitzungs-Cookie. Hochgeladene Bilder werden zusammen mit der Sandbox spätestens zwei Stunden nach Erstellung automatisch gelöscht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung des angeforderten Dienstes).

**PDF-Export:** Beim PDF-Export werden die Inhalte des Brand Guides serverseitig zu einer Datei zusammengestellt; es werden keine zusätzlichen personenbezogenen Daten erhoben.

## 11. Zahlungsabwicklung mit Stripe

Entgeltliche Pakete werden über den Zahlungsdienstleister Stripe abgewickelt: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, gemeinsam mit der Stripe, Inc., 354 Oyster Point Blvd, South San Francisco, CA 94080, USA.

**Daten:** Name, E-Mail-Adresse, Rechnungsadresse, USt-IdNr., Zahlungsmittel (werden direkt bei Stripe erfasst; wir erhalten keine vollständigen Kartendaten), Zahlungshistorie, Stripe-Kunden- und Abonnementkennung.
**Zweck:** Zahlungsabwicklung, Betrugsprävention, Rechnungsstellung, Abonnementverwaltung.
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO. Stripe verarbeitet Zahlungsdaten teilweise als eigener Verantwortlicher (insbesondere zur Betrugsprävention und zur Erfüllung eigener gesetzlicher Pflichten), im Übrigen als Auftragsverarbeiter für uns.
**Drittland:** Soweit Daten in die USA übertragen werden, stützt sich dies auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, dem Stripe, Inc. angehört, sowie ergänzend auf Standardvertragsklauseln der EU-Kommission.
**Speicherdauer:** Für die Dauer des Vertrags und die handels- und steuerrechtlichen Aufbewahrungsfristen (acht Jahre für Rechnungen und Buchungsbelege, zehn Jahre für Bücher und Abschlüsse, Abschnitt 9).
Weitere Informationen: https://stripe.com/de/privacy

## 12. KI-Funktionen (Anthropic Claude)

Die Plattform bietet je nach Paket KI-Funktionen: KI-Aufbau und KI-Bearbeitung von Seiten, KI-Guide-Generator aus bestehenden CI-Dokumenten und CI-Check (Design-Check) von Materialien. Hierfür setzen wir Sprachmodelle des Anbieters Anthropic, PBC, 548 Market St, San Francisco, CA 94104, USA, über dessen Programmierschnittstelle ein.

**Daten:** Die vom Nutzer eingegebenen Texte sowie hochgeladene Dokumente und Bilder. Beim CI-Check übermitteln wir zusätzlich zur geprüften Datei das Prüfprofil des Brand Guides (Farbwerte, Schriften, Regeln aus Logo-, Farb- und Prinzipien-Modulen) und bis zu 20 Referenzbilder aus dem Guide (Logos, Anwendungsbeispiele, Bildwelt), damit das Modell die Datei gegen den Guide prüfen kann. Kontodaten des Nutzers werden nicht übermittelt.
**Zweck:** Erzeugung der angeforderten Inhalte und Prüfergebnisse.
**Rechtsgrundlage:** Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vom Kunden angeforderten Funktion); soweit wir für den Kunden tätig sind, handeln wir als Auftragsverarbeiter, Anthropic ist Unterauftragsverarbeiter.
**Drittland:** Die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO), die Bestandteil des Data Processing Addendum von Anthropic sind. Soweit Anthropic unter dem EU-US Data Privacy Framework zertifiziert ist, stützen wir die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).
**Speicherdauer bei Anthropic:** Nach den für die Programmierschnittstelle geltenden Nutzungsbedingungen verwendet Anthropic Eingaben und Ausgaben nicht zum Training seiner Modelle. Anthropic löscht Eingaben und Ausgaben nach eigenen Angaben in der Regel innerhalb von 30 Tagen. Länger speichert Anthropic sie nur, wenn seine automatischen Sicherheitssysteme einen Verstoß gegen die Nutzungsrichtlinien vermuten (dann bis zu zwei Jahre) oder gesetzliche Pflichten dies verlangen. Eine Vereinbarung über den vollständigen Verzicht auf Speicherung (Zero Data Retention) besteht derzeit nicht. Weitere Informationen: https://privacy.claude.com
**Hinweis:** Bitte geben Sie in KI-Funktionen keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) ein. KI-generierte Inhalte im Demo-Guide „VANTIC" sind gemäß Art. 50 KI-VO gekennzeichnet.

## 13. Weitere Empfänger

Neben den genannten Auftragsverarbeitern geben wir personenbezogene Daten nur weiter an

- unsere Muttergesellschaft VON HELDEN UND GESTALTEN GmbH, Rotebühlstraße 44, 70178 Stuttgart (Amtsgericht Stuttgart, HRB 733701), die für uns Buchhaltung, Rechnungswesen und Kundenbetreuung übernimmt, sowie die von ihr beauftragte Steuerberatung, zur Erfüllung gesetzlicher Pflichten und zur Vertragsdurchführung (Art. 6 Abs. 1 lit. b und c DSGVO; für die Kundenbetreuung Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an einer effizienten Organisation innerhalb der Unternehmensgruppe),
- Behörden und Gerichte, soweit wir gesetzlich dazu verpflichtet sind (Art. 6 Abs. 1 lit. c DSGVO),
- Rechtsberater zur Geltendmachung oder Abwehr von Ansprüchen (Art. 6 Abs. 1 lit. f DSGVO).

Eine Übermittlung in Drittländer findet nur in den in Abschnitt 5 (Google, Meta, LinkedIn – nur mit Ihrer Einwilligung), 7 (Asana), 11 (Stripe) und 12 (Anthropic) beschriebenen Fällen statt.

## 14. Speicherdauer im Überblick

Soweit oben nicht anders angegeben, löschen wir personenbezogene Daten, sobald der Zweck ihrer Verarbeitung entfällt und keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Kundeninhalte und Nutzerdaten löschen wir 30 Tage nach Vertragsende; Sicherungskopien werden im regulären Turnus von etwa vier Wochen überschrieben, sodass die Daten spätestens acht Wochen nach Vertragsende vollständig entfernt sind. Rechnungen und Buchungsbelege bewahren wir acht Jahre, Handelsbücher und Jahresabschlüsse zehn Jahre auf (§ 147 AO, § 14b UStG, § 257 HGB). Nachweise über Cookie-Einwilligungen löschen wir nach drei Jahren (Abschnitt 5.2). Läuft ein Verfahren, in dem Daten als Beweismittel benötigt werden, verlängert sich die Aufbewahrung bis zu dessen Abschluss.

## 15. Ihre Rechte

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

- **Auskunft** (Art. 15 DSGVO) über die verarbeiteten Daten,
- **Berichtigung** (Art. 16 DSGVO) unrichtiger Daten,
- **Löschung** (Art. 17 DSGVO) und **Einschränkung der Verarbeitung** (Art. 18 DSGVO), soweit die gesetzlichen Voraussetzungen vorliegen,
- **Datenübertragbarkeit** (Art. 20 DSGVO) für Daten, die Sie uns auf Grundlage eines Vertrags oder einer Einwilligung bereitgestellt haben,
- **Widerspruch** (Art. 21 DSGVO) gegen Verarbeitungen, die auf Art. 6 Abs. 1 lit. f DSGVO beruhen, aus Gründen, die sich aus Ihrer besonderen Situation ergeben; gegen Direktwerbung jederzeit ohne Angabe von Gründen,
- **Widerruf** erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO); Cookie-Einwilligungen über „Cookie-Einstellungen" im Fußbereich der Website (Abschnitt 5.2).

Automatisierte Entscheidungen im Einzelfall einschließlich Profiling (Art. 22 DSGVO) finden nicht statt.

Zur Ausübung Ihrer Rechte genügt eine E-Mail an [hello@branddoq.io](mailto:hello@branddoq.io). Wenn Sie Ihre Rechte gegenüber einem Brand Guide eines unserer Kunden ausüben möchten, leiten wir Ihre Anfrage an den Kunden weiter oder nennen Ihnen den Verantwortlichen.

**Beschwerderecht:** Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, poststelle@lfdi.bwl.de, www.baden-wuerttemberg.datenschutz.de.

## 16. Pflicht zur Bereitstellung von Daten

Für die Registrierung und die Vertragsdurchführung sind die im Registrierungsformular als Pflichtfelder gekennzeichneten Angaben erforderlich. Ohne sie können wir das Kundenkonto nicht anlegen beziehungsweise den Vertrag nicht abwickeln. Alle übrigen Angaben sind freiwillig.

## 17. Datensicherheit

Die Übertragung aller Daten erfolgt verschlüsselt über TLS. Passwörter speichern wir ausschließlich als Hash. Hochgeladene Dateien werden serverseitig auf ihren Dateityp geprüft; SVG-Dateien werden von aktiven Inhalten bereinigt. Der Zugriff auf Kundeninhalte ist rollenbasiert beschränkt. Unsere technischen und organisatorischen Maßnahmen beschreiben wir im Auftragsverarbeitungsvertrag.

## 18. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, wenn sich unsere Verarbeitungen oder die Rechtslage ändern. Die aktuelle Fassung ist unter www.branddoq.io/legal/datenschutz abrufbar. Bei wesentlichen Änderungen informieren wir registrierte Kunden per E-Mail.