Datenschutzerklärung

Diese Erklärung informiert darüber, wie wir personenbezogene Daten verarbeiten. Sie gilt für zwei getrennte Bereiche, die wir bewusst auseinanderhalten, weil unsere Rolle darin unterschiedlich ist:

• Teil A — unsere Website unter content-cockpit.io. Hier sind wir Verantwortliche.
• Teil B — unsere Anwendung unter app.content-cockpit.io. Hier verarbeiten wir überwiegend im Auftrag unserer Kunden; Verantwortlicher ist dann der jeweilige Kunde.

Was das im Einzelnen bedeutet, steht im Abschnitt „Zwei Bereiche, zwei Rollen“.

Verantwortlicher und Kontakt

Monaco Products GmbH
Schwindstraße 9
80798 München
Deutschland
Vertreten durch: Dominik Hecht (Geschäftsführer)
E-Mail: info@content-cockpit.io

Zwei Bereiche, zwei Rollen

Auf unserer Website entscheiden wir selbst über Zweck und Mittel der Verarbeitung. Wir sind dort Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO, und Sie können sich mit allen Anliegen direkt an uns wenden.

In der Anwendung ist das anders. Content Cockpit ist ein Werkzeug, das Unternehmen für ihre eigene Kommunikation einsetzen. Die Inhalte, die dort entstehen, und die Daten, die aus verbundenen Kanälen abgerufen werden, bestimmt allein der Kunde. Für diese Verarbeitungen sind wir Auftragsverarbeiter nach Art. 28 DSGVO; Verantwortlicher ist der Kunde, der die Anwendung nutzt.

Das betrifft insbesondere Eingaben in die Anwendung, hochgeladene Bilder und Dokumente, erzeugte Inhalte, Kommentare, Direktnachrichten, Reaktionen und Bewertungen aus verbundenen Kanälen sowie die Auswertung der Website des Kunden.

Wenn Sie von einer solchen Verarbeitung betroffen sind — etwa weil Sie einen Beitrag eines Unternehmens kommentiert haben, weil Sie eine Bewertung abgegeben haben oder weil Sie auf einem hochgeladenen Foto abgebildet sind —, richten Sie Ihre Anfrage bitte an dieses Unternehmen. Es ist Ihr Ansprechpartner. Erreicht uns eine solche Anfrage, leiten wir sie an den Verantwortlichen weiter, sofern wir ihn zuordnen können, und informieren Sie darüber.

Auch in der Anwendung bleiben wir für einige Verarbeitungen selbst verantwortlich: für das Nutzerkonto, die Abrechnung, den technischen Betrieb und die Sicherheit, die Nutzungsstatistik sowie für die Nachweise nach der KI-Verordnung.

Teil A — Website content-cockpit.io

Für alle Verarbeitungen in diesem Teil sind wir Verantwortliche.

A.1 Aufruf der Website

Wenn Sie unsere Website aufrufen, verarbeitet unser Hoster technische Daten, die Ihr Browser übermittelt: IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite, übertragene Datenmenge, Browsertyp und Betriebssystem sowie die zuvor besuchte Seite.

Diese Daten sind erforderlich, um die Website auszuliefern, ihre Stabilität zu gewährleisten und Angriffe zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb.

Die Website wird bei Lovable Labs Incorporated, Delaware, USA betrieben. Speicherdauer der Protokolle: 7 Tage, danach automatisierte Löschung.

A.2 Kontakt- und Supportanfragen

Wenn Sie uns per E-Mail oder über ein Formular kontaktieren, verarbeiten wir Ihre Angaben, um die Anfrage zu bearbeiten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn die Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO.

Wir bewahren Anfragen so lange auf, wie es zur Bearbeitung und für Rückfragen erforderlich ist, und löschen sie anschließend, soweit keine gesetzliche Aufbewahrungspflicht besteht.

A.3 Kunden- und Interessentenverwaltung

Kontaktdaten aus Anfragen, Registrierungen und Vertragsanbahnung führen wir in unserem Kundenverwaltungssystem Attio Limited, London, Vereinigtes Königreich. Verarbeitet werden Name, E-Mail-Adresse, Unternehmen und der Verlauf unserer Kommunikation.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Vertragsdurchführung und Art. 6 Abs. 1 lit. f DSGVO für die Betreuung von Interessenten. Der Verarbeitung auf Grundlage des berechtigten Interesses können Sie nach Art. 21 DSGVO widersprechen.

A.4 Cookies und ähnliche Technologien

Wir unterscheiden zwischen technisch notwendigen und optionalen Technologien.

Technisch notwendig sind Speichervorgänge, ohne die die Website oder die Anmeldung nicht funktioniert. Sie erfolgen auf Grundlage des § 25 Abs. 2 TDDDG und bedürfen keiner Einwilligung.

Optionale Technologien setzen wir auf dieser Website derzeit nicht ein. Sollte sich das ändern, geschieht der Einsatz nur mit Ihrer Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

A.5 Unsere Präsenzen in sozialen Netzwerken

Wir sind in sozialen Netzwerken mit eigenen Profilen präsent. Rufen Sie diese auf, verarbeitet das jeweilige Netzwerk Ihre Daten nach eigenen Regeln, auf die wir keinen Einfluss haben. Von uns verarbeitet werden Ihre Beiträge und Nachrichten an uns sowie die aggregierten Statistiken, die das Netzwerk uns bereitstellt. Für diese Statistiken sind wir mit dem Netzwerk gemeinsam verantwortlich nach Art. 26 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Teil B — Anwendung app.content-cockpit.io

Bei den Abschnitten B.3 bis B.5 sind wir Auftragsverarbeiter; Verantwortlicher ist der Kunde. Bei B.1, B.2 und B.6 bis B.8 sind wir Verantwortliche. Jeder Abschnitt sagt es ausdrücklich.

B.1 Nutzerkonto und Anmeldung(wir sind Verantwortliche)

Für die Nutzung der Anwendung legen wir ein Nutzerkonto an. Verarbeitet werden Name, E-Mail-Adresse, Rolle, die Zuordnung zu einem oder mehreren Kundenprofilen sowie die Zeitpunkte der Anmeldung.

Die Anmeldung erfolgt über einen Einmal-Code, den wir an die hinterlegte E-Mail-Adresse senden. Dauerhafte Passwörter speichern wir für Nutzerkonten nicht. Für den Versand nutzen wir Plus Five Five, Inc. (Resend), USA.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Speicherdauer: für die Dauer des Vertragsverhältnisses; danach Löschung nach Maßgabe unserer Nutzungsbedingungen.

B.2 Betrieb, Hosting und Sicherheit(wir sind Verantwortliche)

Die Anwendung wird bei Lovable Labs Incorporated, Delaware, USA betrieben. Die Datenbank einschließlich der hochgeladenen und erzeugten Dateien wird bei Supabase Pte. Ltd., Singapur, mit Rechenzentrumsstandort in der Europäischen Union betrieben.

Zum sicheren Betrieb verarbeiten wir Zugriffs- und Fehlerprotokolle. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und lit. f DSGVO. Speicherdauer: 30 Tage, Sicherheitsvorfälle bis zu 90 Tage.

B.3 Erzeugung und Bearbeitung von Inhalten mit KI(wir sind Auftragsverarbeiter)

Was verarbeitet wird

• Eingabeaufforderungen und Themenangaben, die Nutzer eingeben
• Beitragstexte, Entwürfe und Übersetzungen
• hochgeladene Bilder, einschließlich Abbildungen realer Personen, wenn diese als Vorlage oder Referenz für eine Bildbearbeitung dienen
• hochgeladene Marken- und Wissensdokumente, die in Vektoren umgewandelt werden
• die erzeugten Texte, Bilder und Videos

An wen übermittelt wird

Zur Erzeugung setzen wir Modelle Dritter ein. Eingaben und mitgelieferte Bilder werden dabei an den jeweiligen Anbieter übermittelt:

OpenRouter ist ein Vermittler: die Anfrage geht an den Anbieter des jeweils gewählten Modells weiter. Welche Anbieter dies sind, hängt vom gewählten Modell ab.

Kein Training mit Kundeninhalten

Inhalte unserer Kunden werden nicht verwendet, um KI-Modelle zu trainieren oder zu verbessern. Bei den eingesetzten Anbietern haben wir die dafür erforderlichen Einstellungen und Vereinbarungen getroffen.

Hinweis auf die KI-Nutzung

Auf allen Oberflächen der Anwendung, auf denen ein Dialog mit dem KI-System stattfindet oder Inhalte erzeugt werden, ist dauerhaft ein Hinweis eingeblendet, dass es sich um ein KI-System handelt (Art. 50 Abs. 1 der Verordnung (EU) 2024/1689).

B.4 Verbundene Kanäle und Community-Daten(wir sind Auftragsverarbeiter)

Kunden können ihre eigenen Konten in sozialen Netzwerken und bei Google Business verbinden. Wir rufen dann in ihrem Auftrag Inhalte und Kennzahlen ab und veröffentlichen Beiträge.

Dabei werden auch Daten von Personen verarbeitet, die mit den Kanälen unserer Kunden interagieren:

• Kommentare und Direktnachrichten samt Absenderangaben
• Reaktionen auf Beiträge; bei LinkedIn-Unternehmensseiten einschließlich Name, Position, Unternehmen, Profilbild und Profil-URL des reagierenden Profils
• Bewertungen aus Google Business und Facebook samt dem übermittelten Namen der bewertenden Person
• daraus abgeleitete Übersichten, die Kunden als Datei exportieren können

Technisch erfolgt der Zugriff über Zernio Firmierung und Sitz beim Anbieter erfragen und — für noch nicht umgestellte Konten — Neverminds Solution LLC (Ayrshare), USA. Für den Export von Designs nutzen wir Canva Pty Ltd, Sydney, Australien.

Welche Daten die Netzwerke selbst erheben, richtet sich nach deren Datenschutzhinweisen; darauf haben wir keinen Einfluss.

B.5 Auswertung der Website unserer Kunden(wir sind Auftragsverarbeiter)

Kunden können ihre Konten bei Google Analytics und der Google Search Console verbinden. Der Zugriff erfolgt über OAuth 2.0; wir erhalten und speichern keine Zugangspasswörter und greifen nicht auf andere Google-Dienste wie E-Mail oder Dateiablage zu.

Verarbeitet werden Kennungen der verbundenen Konten, aggregierte Kennzahlen zu Zugriffen und Suchanfragen sowie daraus erzeugte Auswertungen und Empfehlungen. Eine Zusammenführung mit anderen Datenquellen zu Profilbildungszwecken findet nicht statt.

Zusätzlich rufen wir für Kunden Messwerte zur Ladegeschwindigkeit über die PageSpeed-Schnittstelle von Google ab.

B.6 Zahlungsabwicklung(wir sind Verantwortliche)

Für Zahlungen nutzen wir Stripe Payments Europe, Limited, Dublin, Irland. Verarbeitet werden die für die Zahlung erforderlichen Angaben; vollständige Zahlungsmitteldaten erhalten wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Aufbewahrung nach den handels- und steuerrechtlichen Fristen von bis zu zehn Jahren.

B.7 Nachweise nach der KI-Verordnung(wir sind Verantwortliche)

Content Cockpit ist ein KI-System im Sinne der Verordnung (EU) 2024/1689. Um die uns als Anbieter treffenden Pflichten erfüllen und nachweisen zu können, protokollieren wir:

• Zurückgewiesene Eingaben. Die Anwendung prüft Eingaben vor der Erzeugung von Bildern und Videos darauf, ob sie auf verbotene Praktiken gerichtet sind. Wird eine Eingabe zurückgewiesen, speichern wir einen Auszug von höchstens 500 Zeichen, die auslösende Kategorie, das Nutzerkonto und den Zeitpunkt.
• Kennzeichnung erzeugter Medien. Ob ein Medium als kennzeichnungspflichtig eingestuft wurde, sowie das Setzen und Aufheben von Ausnahmen samt Nutzerkonto und Zeitpunkt.
• Freigaben. Welches Nutzerkonto eine Veröffentlichung oder Terminierung ausgelöst hat und wann.

Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO für die Erfüllung unserer rechtlichen Verpflichtungen aus der KI-Verordnung sowie Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse, die Einhaltung belegen und uns gegen Beanstandungen verteidigen zu können.

Speicherdauer: 36 Monate ab dem Eintrag, danach automatisierte Löschung. Die Frist orientiert sich an der regelmäßigen Verjährungsfrist von drei Jahren (§ 195 BGB).

Einträge werden nachträglich nicht verändert. Eine Weitergabe erfolgt nur, soweit wir gegenüber einer Aufsichtsbehörde zur Auskunft verpflichtet sind, oder an den betroffenen Kunden, soweit dieser die Einträge für eigene Nachweispflichten benötigt.

Ein Anspruch auf Löschung vor Ablauf der Frist besteht nicht, soweit die Aufbewahrung zur Erfüllung dieser Pflichten erforderlich ist (Art. 17 Abs. 3 lit. b und lit. e DSGVO). Sind Sie Beschäftigter eines unserer Kunden, ist dieser verpflichtet, Sie über die Protokollierung zu informieren; Sie können sich mit Fragen aber auch direkt an uns wenden.

B.8 Nutzungsstatistik der Anwendung(wir sind Verantwortliche)

Zur Weiterentwicklung erheben wir statistische Daten über die Nutzung der Anwendung mit OÜ Plausible Insights, Tartu, Estland. Erfasst werden aufgerufene Bereiche und ausgelöste Vorgänge sowie eine Kennung des Profils und des Nutzerkontos.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: 24 Monate.

Empfänger und Unterauftragsverarbeiter

Wir geben Daten nur weiter, soweit es für die beschriebenen Zwecke erforderlich ist. Mit Dienstleistern, die in unserem Auftrag verarbeiten, haben wir Verträge nach Art. 28 DSGVO geschlossen.

Nicht in dieser Liste: Schriftdateien für erzeugte Grafiken rufen wir serverseitig ab und binden sie in die Datei ein. Ein Abruf durch Ihr Endgerät findet dabei nicht statt, es werden also keine Verbindungsdaten an den Schriftanbieter übermittelt.

Kunden von Content Cockpit finden die für sie maßgebliche Liste außerdem in Anlage 2 unseres Vertrags über die Verarbeitung im Auftrag: Link auf die AVV-Seite ergänzen.

Übermittlung in Drittländer

Wir übermitteln personenbezogene Daten auch an Empfänger mit Sitz außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort. Das betrifft insbesondere die Anbieter von KI-Modellen und die Dienste zur Veröffentlichung in sozialen Netzwerken.

Eine solche Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Je Empfänger stützen wir uns auf

• einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, einschließlich der Teilnahme des Empfängers am EU-US Data Privacy Framework, oder
• Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Maßnahmen, soweit erforderlich.

Welche Grundlage für welchen Empfänger gilt, steht in der Tabelle im vorstehenden Abschnitt.

Speicherdauer im Überblick

Automatisierte Prüfungen und Entscheidungen

Die Anwendung prüft Eingaben automatisiert, bevor Bilder oder Videos erzeugt werden, und weist sie zurück, wenn sie auf verbotene Praktiken gerichtet erscheinen. Diese Prüfung ist bewusst vorsichtig eingestellt: im Zweifel weist sie zurück. Dadurch kann sie auch zulässige Eingaben treffen.

Die Zurückweisung betrifft eine einzelne Anfrage und hat keine Wirkung auf Ihr Vertragsverhältnis oder Ihr Nutzerkonto; eine automatisierte Entscheidung im Sinne des Art. 22 DSGVO mit rechtlicher Wirkung oder vergleichbarer Beeinträchtigung ist damit nicht verbunden. Wenn Sie eine Zurückweisung für unzutreffend halten, wenden Sie sich an uns — wir prüfen den Fall durch einen Menschen.

Eine Profilbildung oder Bewertung von Persönlichkeitsmerkmalen findet nicht statt.

Ihre Rechte

Sie haben nach der DSGVO das Recht auf

• Auskunft über die zu Ihrer Person verarbeiteten Daten (Art. 15),
• Berichtigung unrichtiger Daten (Art. 16),
• Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18),
• Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Grundlage eines berechtigten Interesses (Art. 21),
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3),
• Beschwerde bei einer Aufsichtsbehörde (Art. 77).

Zwei Einschränkungen, die wir offen benennen: Soweit wir Daten im Auftrag eines Kunden verarbeiten, ist dieser Verantwortlicher — wir leiten Ihre Anfrage weiter oder verweisen Sie an ihn. Und für die Nachweise nach der KI-Verordnung gilt die in Abschnitt B.7 beschriebene Einschränkung des Löschanspruchs.

Für uns zuständige Aufsichtsbehörde ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 27, 91522 Ansbach. Sie können sich aber auch an die Aufsichtsbehörde Ihres Wohnorts wenden.

Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich unsere Verarbeitungen oder die rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar; Fassungsnummer und Stand stehen oben. Wesentliche Änderungen teilen wir unseren Kunden zusätzlich mit.