Datenschutzerklärung.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

HBM Innovations
Inhaber: Hagen Müllershausen
Lottumstraße 8
10119 Berlin
Deutschland
E-Mail: info@mechanos.ai

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen für eine Benennungspflicht (Art. 37 DSGVO, § 38 BDSG) nicht vorliegen.

2. Allgemeines zur Datenverarbeitung

Rechtsgrundlagen. Wir verarbeiten personenbezogene Daten auf Grundlage von Art. 6 Abs. 1 DSGVO, insbesondere: lit. a (Einwilligung), lit. b (Vertragserfüllung und vorvertragliche Maßnahmen, auch bei unentgeltlich auf Anforderung erbrachten Leistungen), lit. c (rechtliche Verpflichtung) und lit. f (berechtigte Interessen). Die jeweils einschlägige Rechtsgrundlage nennen wir bei den einzelnen Verarbeitungen. Soweit wir für das Speichern von Informationen auf dem Endgerät oder den Zugriff darauf eine Einwilligung benötigen, ist Rechtsgrundlage hierfür § 25 Abs. 1 TDDDG.

Speicherdauer. Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck erforderlich ist oder gesetzliche Aufbewahrungspflichten (insbesondere aus HGB und AO) bestehen. Konkrete Speicherdauern nennen wir bei den einzelnen Verarbeitungen.

Empfänger. Wir setzen für einzelne Verarbeitungen Dienstleister als Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein. Mit diesen bestehen Auftragsverarbeitungsverträge.

3. Datenübermittlung in Drittländer

Der überwiegende Teil unserer Verarbeitung findet innerhalb der Europäischen Union statt. Einzelne Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Übermittlungen in die USA stützen wir auf die Standardvertragsklauseln der EU-Kommission gemäß Art. 46 Abs. 2 lit. c DSGVO, die Bestandteil der jeweiligen Auftragsverarbeitungsverträge sind, sowie — soweit der jeweilige Anbieter zertifiziert ist — ergänzend auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF). Bei den einzelnen Diensten weisen wir auf Drittlandbezüge gesondert hin. Kopien der Standardvertragsklauseln stellen wir auf Anfrage zur Verfügung.

4. Hosting und Infrastruktur

4.1 Hosting der Website und des Website-Checks (Vercel)

Die Website mechanos.ai, der kostenlose Website-Check und die Oberfläche der Mechanos-Plattform werden über Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, bereitgestellt. Alle Server-Funktionen werden in der Region Frankfurt am Main (fra1) ausgeführt. Verarbeitet werden IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Ressourcen, Browser- und Gerätedaten sowie — im Rahmen von Server-Funktionen — Daten aus der Nutzung (Formulareingaben des Website-Checks, Anmeldevorgänge, Zahlungs-Benachrichtigungen). Aus der IP-Adresse leitet Vercel eine ungefähre Standortangabe (Land) ab, die wir zur Vorauswahl des Landes im Website-Check nutzen (Ziffer 5.3); wir speichern diese Standortangabe nicht. Eine im weltweiten Netz von Vercel ausgeführte Zwischenschicht setzt ausschließlich technische Antwort-Kopfzeilen und verarbeitet keine personenbezogenen Daten.

Vercel Analytics und Speed Insights setzen wir nicht ein.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren, performanten Bereitstellung) sowie gegenüber Nutzern des Website-Checks und Kunden Art. 6 Abs. 1 lit. b DSGVO. Vercel ist Auftragsverarbeiter; trotz EU-Ausführungsregion kann ein Zugriff aus den USA (Steuerungs- und Logdaten, Support) nicht ausgeschlossen werden. Die Übermittlung stützen wir auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework (Vercel Inc. ist zertifiziert).

4.2 Datenbank des Website-Checks (Neon)

Die Daten des kostenlosen Website-Checks (Ziffer 5) speichern wir in einer Datenbank der Neon, LLC, einem Unternehmen der Databricks, Inc., San Francisco, USA. Serverstandort ist Frankfurt am Main (AWS-Region eu-central-1). Die Speicherung erfolgt innerhalb der EU. Der Anbieter setzt für Betrieb und Überwachung seiner Plattform Unterauftragsverarbeiter mit Sitz in den USA ein; ein Zugriff aus den USA im Rahmen von Betrieb und Support kann daher nicht ausgeschlossen werden und ist über die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework (Databricks, Inc. ist zertifiziert) abgesichert. Neon ist Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

4.3 Backend, Anwendungsserver und Speicher der Mechanos-Plattform (Hetzner)

Backend, Anwendungslogik, Crawling-Infrastruktur, Objektspeicher, Vektor-Datenbank sowie Cache- und Queue-Systeme der Mechanos-Plattform betreiben wir auf einem dedizierten Server der Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland. Der Serverstandort ist Helsinki, Finnland (Rechenzentrum HEL1). Eine Drittlandübermittlung findet insoweit nicht statt. Mit Hetzner besteht ein Auftragsverarbeitungsvertrag.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

4.4 Datenbank der Mechanos-Plattform (Scaleway)

Die Anwendungsdatenbank der Mechanos-Plattform (PostgreSQL) betreiben wir als Managed-Dienst bei der Scaleway S.A.S., 8 rue de la Ville l'Évêque, 75008 Paris, Frankreich (RCS Paris 433 115 904), Serverstandort Paris. Die Verarbeitung findet ausschließlich innerhalb der EU statt. Mit Scaleway besteht ein Auftragsverarbeitungsvertrag.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

4.5 Server-Logfiles

Beim Aufruf unserer Websites werden automatisiert Logdaten verarbeitet (IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer-URL, Browsertyp und -version, Betriebssystem, Statuscode, übertragene Datenmenge). Diese Daten dienen der Sicherstellung des Betriebs, der Fehleranalyse und der Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Logdaten werden spätestens nach 30 Tagen gelöscht bzw. anonymisiert.

4.6 Fehler-Tracking der Mechanos-Plattform (Sentry)

Zur Erkennung und Behebung technischer Fehler der Mechanos-Plattform setzen wir Sentry mit EU-Datenresidenz ein (Functional Software, Inc. d/b/a Sentry, USA; Datenspeicherung in der EU). Verarbeitet werden technische Fehlerdaten (Fehlermeldungen, Stacktraces, technische Kennungen, Zeitpunkt). Personenbezogene Inhalte werden vor der Übermittlung entfernt: keine Request-Inhalte, E-Mail-Adressen, Zugangsdaten oder Tokens. Auf der Website mechanos.ai und im Website-Check wird Sentry nicht eingesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Ein Zugriff aus den USA im Rahmen von Support und Wartung wird auf die EU-Standardvertragsklauseln gestützt.

4.7 Ablaufsteuerung von Hintergrundprozessen der Mechanos-Plattform (Inngest)

Für die Steuerung von Hintergrundprozessen der Mechanos-Plattform (z. B. Analyseläufe) setzen wir Inngest, Inc. (USA) ein. An Inngest werden ausschließlich technische Identifikatoren (Auftrags-, Lauf- und Statuskennungen) übermittelt; Inhalte, E-Mail-Adressen, Website-Texte oder Zugangsdaten werden nicht übermittelt. Die eigentliche Verarbeitung findet auf unserer Infrastruktur in der EU statt. Auf der Website mechanos.ai und im Website-Check wird Inngest nicht eingesetzt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO sowie Art. 6 Abs. 1 lit. b DSGVO. Die Übermittlung der Kennungen in die USA stützen wir auf einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln.

5. Kostenloser Website-Check

Auf mechanos.ai bieten wir einen kostenlosen Website-Check an. Er analysiert eine vom Nutzer eingegebene Domain hinsichtlich ihrer Sichtbarkeit in Suchmaschinen und KI-gestützten Antwortsystemen und erstellt einen Report. Für diesen Check sind wir Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

5.1 Eingabedaten und Report-Erstellung

Bei Anforderung eines Checks verarbeiten wir: die eingegebene Domain, die E-Mail-Adresse des Anfragenden (mit einem Vermerk, ob es sich um die Adresse eines Freemail-Anbieters handelt), das gewählte Land (Deutschland, Österreich, Schweiz), Zeitpunkt der Anfrage, die Herkunftsparameter des Aufrufs (UTM-Parameter, Seitenvariante, die verweisende Seite sowie — bei Aufruf über eine Anzeige — die Klick-Kennung der Anzeige, z. B. „fbclid") sowie ein zufälliges Report-Token. Die Herkunftsparameter werden beim Aufruf der Seite für die Dauer der Browser-Sitzung im Sitzungsspeicher des Browsers gehalten, damit sie beim Absenden des Formulars zugeordnet werden können; sie werden mit dem Schließen des Browsers gelöscht. Der Report wird einmalig per E-Mail an die angegebene Adresse gesendet (Ziffer 5.7).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erbringung der vom Nutzer angeforderten Leistung). Für die Speicherung der Herkunftsparameter einschließlich der Klick-Kennung ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (Auswertung der Wirksamkeit unserer Werbekanäle); das Halten im Sitzungsspeicher stützen wir auf § 25 Abs. 2 Nr. 2 TDDDG. Eine Übermittlung der Klick-Kennung an Meta erfolgt nur im Rahmen der Werbemessung nach Ziffer 12 und nur mit Ihrer Einwilligung.

5.2 Missbrauchsschutz

Um Missbrauch des kostenlosen Angebots zu verhindern (automatisierte Anfragen, Umgehung von Nutzungslimits, Angriffe auf unsere Infrastruktur), verarbeiten wir: die IP-Adresse des Anfragenden, Rückwärts-DNS-Informationen zur IP-Adresse (Erkennung von Rechenzentrums- und VPN-Adressen), die Anzahl der Anfragen pro E-Mail-Adresse (in normalisierter Form) und pro IP-Adresse, ein unsichtbares Formularfeld zur Erkennung automatisierter Eingaben, die Prüfung der E-Mail-Domain gegen eine Liste bekannter Wegwerf-Adressanbieter sowie eine Abfrage im Domain Name System, ob die Domain der E-Mail-Adresse E-Mails annehmen kann (dabei wird nur der Domain-Teil der Adresse abgefragt, nicht die vollständige Adresse). Abgewiesene Anfragen (z. B. Wegwerf-Adresse, Domain ohne Mailempfang, überschrittenes Limit) protokollieren wir mit IP-Adresse, Zeitpunkt und Abweisungsgrund.

Zusätzlich setzen wir beim Absenden des Formulars eine Bot-Erkennung des Hosting-Anbieters Vercel (Vercel BotID, Basisstufe) ein. Sie führt im Browser eine technische Prüfung aus und wertet Browsermerkmale aus, um automatisierte Zugriffe von menschlichen Nutzern zu unterscheiden. Dabei werden keine Cookies gesetzt und keine Informationen dauerhaft im Browser gespeichert. Vercel kann hierfür seinen Unterauftragsverarbeiter Kasada Inc. (USA) einsetzen; die Übermittlung ist über den Auftragsverarbeitungsvertrag mit Vercel (EU-Standardvertragsklauseln) abgesichert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Missbrauch und Sicherheit unserer Systeme). Soweit die Bot-Erkennung auf Informationen des Endgeräts zugreift, ist dies für die Bereitstellung des angeforderten Dienstes unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). IP-Adressen, die zugehörigen Anfragezähler und das Protokoll abgewiesener Anfragen werden 30 Tage nach der Anfrage gelöscht.

Ist das tägliche Kontingent an Checks erschöpft, wird die Anfrage in eine Warteschlange aufgenommen und am Folgetag bearbeitet; der Report wird dann per E-Mail zugestellt. Warteschlangen-Einträge werden nach Abarbeitung, spätestens nach sieben Tagen, gelöscht.

Interne Betriebsmeldungen (z. B. über erreichte Kontingente oder fehlgeschlagene Läufe) enthalten ausschließlich technische Kennungen und Zähler, keine E-Mail-Adressen, Domains, IP-Adressen oder Namen.

5.3 Vorauswahl des Landes

Das Land für den Check wird vorausgewählt: anhand der Domain-Endung, hilfsweise anhand der vom Hosting-Anbieter aus der IP-Adresse abgeleiteten Länderangabe (Ziffer 4.1), hilfsweise Deutschland. Die Vorauswahl kann vom Nutzer geändert werden. Wir speichern nur das schließlich gewählte Land, nicht die abgeleitete Standortangabe. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Nutzerfreundlichkeit); das Auslesen erfolgt serverseitig aus der Verbindungsinformation und greift nicht auf das Endgerät zu.

5.4 Analyse der eingegebenen Website (Crawling)

Für den Check rufen wir bis zu 25 Seiten der eingegebenen Domain automatisiert ab und verarbeiten deren öffentlich zugängliche Inhalte und technische Merkmale (Texte, Metadaten, Struktur). Die Vorgaben der robots.txt der jeweiligen Website werden nach RFC 9309 beachtet; gesperrte Seiten werden nicht abgerufen und im Report als gesperrt benannt. Der Abruf erfolgt über unsere Server-Funktionen beim Hosting-Anbieter Vercel in der Region Frankfurt (Ziffer 4.1). Die eingegebene Domain muss nicht dem Anfragenden gehören; es können auch Websites Dritter geprüft werden.

Soweit die abgerufenen Inhalte personenbezogene Daten enthalten (z. B. Namen von Ansprechpartnern; bei Einzelunternehmen kann bereits die Domain personenbezogen sein), verarbeiten wir diese auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der Bereitstellung des angeforderten Checks; die Daten sind von den Betroffenen selbst öffentlich zugänglich gemacht worden und werden ausschließlich zur Analyse der jeweiligen Website verwendet. Betroffene Personen können der Verarbeitung nach Art. 21 DSGVO widersprechen (Ziffer 14). Eine gesonderte Information der auf fremden Websites genannten Personen erfolgt nicht, da sie mit unverhältnismäßigem Aufwand verbunden wäre (Art. 14 Abs. 5 lit. b DSGVO); diese Datenschutzerklärung ist öffentlich abrufbar.

5.5 Abfrage von KI-Systemen und Suchdaten

Der Check nutzt externe KI-Anbieter und Suchdaten-Dienste in zwei getrennten Schritten.

a) Sichtbarkeitsmessung. Aus den Inhalten der Website erzeugt der Check sechs allgemeine Suchanfragen (Leistung, Ort, Region, Spezialisierung — z. B. „Welche Anbieter für X gibt es in Y?") und lässt sie an KI-Antwortsysteme stellen. Diese Anfragen enthalten weder den Namen des geprüften Unternehmens noch die Domain noch Inhalte der Website. Gemessen wird, ob das Unternehmen in den Antworten genannt wird. Empfänger sind:

• OpenAI (ChatGPT): Vertragspartner ist die OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland. Die Verarbeitung erfolgt durch die OpenAI, L.L.C. in den USA; die Anfragen werden mit aktivierter Websuche gestellt. Die Antworten werden bei OpenAI nicht zum Abruf gespeichert; Anfragen können bis zu 30 Tage zur Missbrauchskontrolle protokolliert werden. OpenAI verwendet über die Schnittstelle übermittelte Inhalte nicht zum Training seiner Modelle. OpenAI ist Auftragsverarbeiter; die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln (Bestandteil des Auftragsverarbeitungsvertrags) und das EU-US Data Privacy Framework (OpenAI ist zertifiziert).
• Anthropic (Claude): Vertragspartner ist die Anthropic Ireland, Limited, Dublin, Irland. Die Verarbeitung erfolgt durch die Anthropic, PBC in den USA; die Anfragen werden mit aktivierter Websuche gestellt. Anfragen werden bei Anthropic bis zu 30 Tage gespeichert und nicht zum Training der Modelle verwendet. Anthropic ist Auftragsverarbeiter; die Übermittlung in die USA stützen wir auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework (Anthropic ist zertifiziert).
• DataForSEO (Gemini, Google AI Overviews, Suchdaten): Die Messung in Google Gemini und in Google AI Overviews sowie die Ermittlung der Rankingdaten je Land erfolgen über Schnittstellen der DataForSEO OÜ, Vesivärava tn 50-201, Tallinn 10152, Estland (Reg.-Nr. 14502291). DataForSEO stellt die Suchanfragen in unserem Auftrag an Gemini und ruft die Suchergebnisse ab. Übermittelt werden die Domain, das Land und die Suchanfragen. DataForSEO ist Auftragsverarbeiter; das Unternehmen hat seinen Sitz in der EU, betreibt seine Infrastruktur teils in der Ukraine und setzt Unterauftragsverarbeiter in den USA ein, gestützt auf EU-Standardvertragsklauseln. Auftragsdaten werden bei DataForSEO nach 365 Tagen gelöscht.

b) Einordnung der Website und Textvorschläge. Zur Einordnung des Geschäftstyps und zur Erstellung von Textvorschlägen übermitteln wir an Google (Gemini) einen Auszug der Website: Titel, Hauptüberschrift, Beschreibung und bis zu 600 Zeichen Text der Startseite sowie Titel, Überschrift und bis zu 220 Zeichen Auszug ausgewählter weiterer Seiten. Impressums-, Datenschutz-, AGB-, Kontakt- und Anfahrtsseiten werden nicht übermittelt; E-Mail-Adressen und Telefonnummern werden vor der Übermittlung entfernt. Diese Anfragen erfolgen ohne Anbindung an die Google-Suche.

Vertragspartner ist die Google Cloud EMEA Limited, 70 Sir John Rogerson's Quay, Dublin 2, Irland. Die Anfragen werden über die Gemini-Programmierschnittstelle gestellt; ein Verarbeitungsort ist nicht wählbar, die Verarbeitung kann weltweit, auch in den USA, erfolgen. Google verwendet die übermittelten Inhalte nicht zur Verbesserung seiner Produkte (kostenpflichtige Nutzung). Google ist Auftragsverarbeiter auf Grundlage des Google-Auftragsverarbeitungszusatzes; Übermittlungen in Drittländer stützen wir auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework (Google LLC ist zertifiziert).

Rechtsgrundlage gegenüber dem Anfragenden ist Art. 6 Abs. 1 lit. b DSGVO; hinsichtlich personenbezogener Daten in den Website-Auszügen Art. 6 Abs. 1 lit. f DSGVO (Ziffer 5.4).

5.6 Zwischenspeicherung der Ergebnisse

Antworten der KI-Systeme werden je Suchanfrage für sieben Tage zwischengespeichert, damit wiederholte Anfragen zur selben Domain und zum selben Land nicht erneut berechnet werden müssen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Ressourcen- und Missbrauchsschutz).

5.7 Zustellung des Reports per E-Mail (Resend)

Der Report wird einmalig per E-Mail an die angegebene Adresse gesendet. Öffnen Sie den Report nicht, erinnern wir Sie frühestens 24 Stunden später ein einziges Mal per E-Mail daran; diese Erinnerung enthält nur den Link zu Ihrem Report. Für den Versand nutzen wir Resend (Ziffer 9). Beide E-Mails enthalten keine Werbung; weitere E-Mails erhalten Sie nur nach ausdrücklicher Bestätigung auf der Report-Seite (Ziffer 10). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

5.8 Report-Seite und Öffnungsprotokoll

Der Report ist unter einer individuellen, nicht erratbaren Adresse (Report-Token) 60 Tage lang abrufbar. Der Link wird ausschließlich in der Report-E-Mail mitgeteilt. Wir protokollieren, ob und wann die Report-Seite geöffnet wird, um festzustellen, ob der Report angekommen ist, ob eine Erinnerung nötig ist (Ziffer 5.7), und um Missbrauch des Links zu erkennen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Die Report-Seite zeigt Domain, Befunde und Kennzahlen, nicht die E-Mail-Adresse des Anfragenden. Wer den Link weitergibt, ermöglicht Dritten den Zugriff auf den Report. Auf der Report-Seite werden keine Werbewerkzeuge geladen, Analysewerkzeuge nur mit Ihrer Einwilligung (Statistik mit Matomo, Ziffer 12.1). Zur Verbesserung der Report-Seite erfassen wir serverseitig je Aufruf anonyme Nutzungsstatistiken (Geräteart, ob und an welcher Stelle das Angebot weiterer E-Mails angezeigt und angenommen wurde, Zeitpunkte); diese Statistiken enthalten weder Report-Token noch IP-Adresse noch Kontaktdaten und lassen sich keiner Person zuordnen.

5.9 Speicherdauer der Check-Daten

• Domain, E-Mail-Adresse, Land, Herkunftsparameter, Report-Token, Öffnungsprotokoll: 90 Tage nach der Anfrage, sofern keine Einwilligung in weitere E-Mails erteilt wurde (Ziffer 10). Nach Erteilung der Einwilligung gilt die dort genannte Speicherdauer.
• Abgerufene Website-Inhalte und KI-Auszüge eines Laufs: 90 Tage; danach bleiben nur Domain, Status, Kosten und Zeitpunkte des Laufs erhalten.
• IP-Adressen, Anfragezähler und Protokoll abgewiesener Anfragen: 30 Tage.
• Zwischengespeicherte KI-Antworten: 7 Tage.
• Warteschlangen-Einträge: bis zur Abarbeitung, spätestens 7 Tage.

6. Kontaktaufnahme

Bei Kontaktaufnahme per E-Mail oder über unser Kontaktformular verarbeiten wir die mitgeteilten Daten (Name, E-Mail-Adresse, Inhalt der Anfrage, ggf. Unternehmensangaben) zur Bearbeitung der Anfrage. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Anfrage auf einen Vertrag gerichtet ist, im Übrigen Art. 6 Abs. 1 lit. f DSGVO. Die Daten werden gelöscht, sobald die Anfrage abschließend bearbeitet ist und keine Aufbewahrungspflichten entgegenstehen.

7. Terminbuchung (Cal.com)

Auf der Seite für Agenturen (mechanos.ai/agenturen) bieten wir eine Terminbuchung über den Dienst Cal.com der Cal.com, Inc., USA (app.cal.com) an. Das Buchungs-Widget wird erst geladen, wenn Sie auf „Termin auswählen" klicken; vorher werden keine Daten an Cal.com übermittelt. Mit dem Klick werden Ihre IP-Adresse und Browserdaten an Cal.com übermittelt; bei einer Buchung verarbeitet Cal.com in unserem Auftrag Name, E-Mail-Adresse, gewählten Termin und freiwillige Angaben aus dem Buchungsformular.

Cal.com verarbeitet diese Daten in den USA. Cal.com ist Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags; die Übermittlung stützen wir auf die EU-Standardvertragsklauseln (Ziffer 3).

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Terminvereinbarung als vorvertragliche Maßnahme auf Ihre Veranlassung). Buchungsdaten werden gelöscht, sobald sie für die Terminabwicklung nicht mehr erforderlich sind und keine Aufbewahrungspflichten entgegenstehen.

8. Registrierung und Authentifizierung (Clerk)

Für Registrierung, Anmeldung und Organisationsverwaltung im Kundenkonto der Mechanos-Plattform setzen wir Clerk, Inc. (USA) ein; ergänzend nutzen wir ein eigenes Magic-Link-Anmeldeverfahren. Nach Abschluss eines Kaufs erhalten Sie einen Anmeldelink per E-Mail. An Clerk übermittelt werden ausschließlich E-Mail-Adresse, Name, Organisationskennung sowie Authentifizierungs- und Sitzungsdaten; nicht übermittelt werden Website-Inhalte, CMS-Zugangsdaten oder Zahlungsdaten. Clerk verarbeitet diese Daten in den USA; die Übermittlung stützen wir auf einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO (Kontosicherheit). Für Sitzungs-Cookies gilt § 25 Abs. 2 Nr. 2 TDDDG.

9. Transaktionale E-Mails (Resend)

Für den Versand transaktionaler E-Mails (Zustellung des Website-Check-Reports, Anmeldelinks, Rechnungs- und Systembenachrichtigungen) setzen wir Resend (Plus Five Five, Inc., USA) ein. Verarbeitet werden E-Mail-Adresse, Name, Inhalt und Metadaten der Nachricht sowie Zustell-Logs. Der Versand kann über EU-Infrastruktur erfolgen; Account-Daten und Logdaten werden in den USA gespeichert. Die Übermittlung stützen wir auf einen Auftragsverarbeitungsvertrag mit EU-Standardvertragsklauseln. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. f DSGVO.

10. E-Mails zu Mechanos (Einwilligung)

Nach dem Website-Check können Sie auf der Report-Seite zustimmen, weitere E-Mails von uns zu erhalten. Inhalt dieser E-Mails: Befunde und Lösungsvorschläge zu Ihrer Website, Informationen zum Produkt Mechanos, Einladungen zum Start und Angebote, in der Regel wöchentlich. Absender ist HBM Innovations (hello@mechanos.ai).

Die Zustimmung erfolgt ausschließlich durch Klick auf den Bestätigungs-Button auf der Report-Seite, die nur über den Link in der Report-E-Mail erreichbar ist (Double-Opt-in); ein bloßes Öffnen des Links oder der Seite gilt nicht als Zustimmung. Wir protokollieren Zeitpunkt, IP-Adresse, die Fassung des Einwilligungstextes und den Ort der Bestätigung, um die Einwilligung nachweisen zu können (Art. 7 Abs. 1 DSGVO). Ohne Bestätigung erhalten Sie außer der Report-E-Mail und gegebenenfalls der einmaligen Erinnerung daran (Ziffer 5.7) keine weiteren E-Mails.

Für den Versand nutzen wir Resend (Ziffer 9). Wir werten aus, ob E-Mails geöffnet und Links angeklickt werden, um festzustellen, wer bereits Zugang zum Produkt erhalten hat, und um den Versand zu steuern.

Rechtsgrundlage für Versand und Öffnungsauswertung ist die Einwilligung, Art. 6 Abs. 1 lit. a DSGVO; für die Protokollierung Art. 6 Abs. 1 lit. f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, über den Abmeldelink in jeder E-Mail (ein Klick, ohne Anmeldung) oder per E-Mail an info@mechanos.ai. Nach Widerruf wird die E-Mail-Adresse aus dem Verteiler entfernt; als Nachweis behalten wir einen kryptografischen Hash der Adresse mit Zeitpunkten, Textfassung und IP-Adresse der Einwilligung und des Widerrufs für drei Jahre ab dem Ende des Jahres des Widerrufs (§§ 195, 199 BGB).

11. Cookies und Einwilligungsverwaltung

Wir setzen Cookies und vergleichbare Technologien ein. Technisch erforderliche Cookies und Speicherzugriffe (Sitzungs- und Sicherheits-Cookies der Plattform, Sitzungsspeicher für Herkunftsparameter, Speicherung Ihrer Cookie-Entscheidung, ein Merker im lokalen Speicher, dass der Hinweis auf einer Report-Seite bereits angezeigt wurde) setzen wir auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG und Art. 6 Abs. 1 lit. f DSGVO ein; sie bedürfen keiner Einwilligung.

Nicht erforderliche Cookies und Zugriffe auf Endgeräteinformationen — derzeit die Statistik mit Matomo und die Meta-Werbetechnologien nach Ziffer 12 — setzen wir nur mit Ihrer Einwilligung ein (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Die Einwilligung wird über ein Consent-Banner beim ersten Besuch eingeholt; „Nur notwendige" und „Alle akzeptieren" stehen gleichwertig zur Auswahl; unter „Einstellungen" können Sie Statistik und Werbemessung einzeln wählen. Ihre Entscheidung wird im lokalen Speicher Ihres Browsers abgelegt und nach zwölf Monaten erneut abgefragt. Sie können sie jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen" im Seitenfuß ändern oder widerrufen.

12. Statistik und Werbemessung (Matomo, Meta)

12.1 Statistik mit Matomo

Mit Ihrer Einwilligung werten wir auf der Seite des Website-Checks (mechanos.ai/website-check) und auf den Report-Seiten aus, wie diese Seiten genutzt werden, um sie verständlicher und einfacher zu machen. Dafür setzen wir die Open-Source-Software Matomo ein, die wir selbst auf einem eigenen Server unter statistik.mechanos.ai betreiben. Der Server steht in einem Rechenzentrum in Frankfurt am Main; Anbieter ist DeinServerHost (ITP-Solutions GmbH & Co. KG). Die Daten bleiben auf diesem Server; an den Hersteller von Matomo oder an andere Dritte werden sie nicht übermittelt.

Verarbeitet werden: Ihre IP-Adresse, die vor der Speicherung um zwei Byte gekürzt wird (auch für die ungefähre Standortbestimmung), Browser- und Geräteinformationen (etwa Browser, Betriebssystem, Bildschirmgröße, Sprache), die aufgerufenen Seiten mit Zeitpunkt und Verweildauer, die Seite, von der Sie kommen (ohne Parameter), sowie Klicks und Scrollbewegungen. Die Klick-Kennung aus Anzeigen (fbclid) wird nicht gespeichert.

Auf den Report-Seiten übermitteln wir nur die Adresse „/report" ohne Ihren persönlichen Zugangscode, dazu die Scrolltiefe und Klicks auf einzelne Elemente wie aufgeklappte Befunde. Heatmaps und Sitzungsaufzeichnungen setzen wir nicht ein.

Matomo setzt keine Cookies und speichert nichts in Ihrem Browser. Aufrufe werden über einen täglich wechselnden Kennwert zu einem Besuch zusammengefasst; eine Wiedererkennung über den Tag hinaus oder über andere Websites findet nicht statt. Eine Zusammenführung mit anderen Daten oder eine Weitergabe an Dritte findet nicht statt.

Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und, soweit auf Informationen in Ihrem Endgerät zugegriffen wird, § 25 Abs. 1 TDDDG. Die Einwilligung können Sie jederzeit über die Cookie-Einstellungen widerrufen. Die Daten einzelner Besuche löschen wir nach 180 Tagen; danach bleiben nur zusammengefasste Auswertungen ohne Personenbezug.

12.2 Meta-Pixel und Conversions API

Mit Ihrer Einwilligung setzen wir auf den Seiten des Website-Checks das Meta-Pixel und die Meta Conversions API der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland („Meta") ein. Damit messen wir, ob Besucher, die über unsere Anzeigen auf Facebook oder Instagram gekommen sind, den Website-Check nutzen, und optimieren die Ausspielung unserer Anzeigen.

Verarbeitet und an Meta übermittelt werden: IP-Adresse, Browser- und Geräteinformationen, eine Meta-Browserkennung (Cookie „_fbp"), die Klick-Kennung der Anzeige (Cookie „_fbc"), die Adresse der aufgerufenen Check-Seite einschließlich Herkunftsparametern (nicht die Adresse der Report-Seite), die Ereignisse „Seitenaufruf", „Check gestartet", „Check angesehen", „Lead" und „Search Console verbunden" sowie — nach Absenden des Formulars — Ihre E-Mail-Adresse und eine interne Lead-Kennung in gehashter Form (Automatischer erweiterter Abgleich: das Pixel liest die E-Mail-Adresse aus dem Formular aus und übermittelt sie als kryptografischen Hash). Die geprüfte Domain wird nicht übermittelt. Die Übermittlung erfolgt sowohl aus Ihrem Browser (Pixel) als auch von unserem Server (Conversions API); beide Wege werden erst nach Ihrer Einwilligung aktiviert.

Meta nutzt diese Daten auch für eigene Zwecke, insbesondere zur Verbesserung seiner Werbesysteme, und übermittelt sie an die Meta Platforms, Inc. in den USA. Meta Platforms, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert; ergänzend gelten die EU-Standardvertragsklauseln (Ziffer 3).

Für die Erhebung der Daten auf unserer Website und ihre Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Die wesentlichen Inhalte dieser Vereinbarung: Wir sind dafür verantwortlich, Ihnen diese Informationen bereitzustellen und Ihre Einwilligung einzuholen; Meta ist für die Wahrung Ihrer Rechte hinsichtlich der bei Meta gespeicherten Daten verantwortlich. Die Vereinbarung ist abrufbar unter facebook.com/legal/controller_addendum. Für die anschließende Verarbeitung durch Meta ist Meta allein verantwortlich; Informationen dazu und zu Ihren Rechten gegenüber Meta finden Sie unter facebook.com/privacy/policy.

Rechtsgrundlage ist Ihre Einwilligung, Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Die Einwilligung können Sie jederzeit über die Cookie-Einstellungen widerrufen. Die Cookies „_fbp" und „_fbc" sind bis zu 90 Tage gültig. Serverseitige Übermittlungsprotokolle löschen wir nach 30 Tagen. Zielgruppen für Werbung (Retargeting) bilden wir derzeit nicht.

12.3 Facebook-Seite

Wir betreiben die Facebook-Seite „Mechanos". Für die Verarbeitung von Statistikdaten der Seitenbesucher (Seiten-Insights) sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO); Grundlage ist die Vereinbarung unter facebook.com/legal/terms/page_controller_addendum. Die Verarbeitung Ihrer Daten beim Besuch der Seite erfolgt durch Meta nach dessen Datenschutzrichtlinie. Rechtsgrundlage für unsere Nutzung der Statistiken ist Art. 6 Abs. 1 lit. f DSGVO.

13. Zahlungsabwicklung und Einladung (Stripe)

Die Zahlungsabwicklung erfolgt über Stripe. Vertragspartner in der EU ist die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland; Daten können an die Stripe, Inc. (USA) übermittelt werden. Stripe verarbeitet Name, E-Mail-Adresse, Rechnungsdaten, Zahlungsmitteldaten und Transaktionsdaten. Wir speichern keine Kartendaten, sondern Stripe-Referenzen (Kunden-, Sitzungs- und Abonnement-IDs) sowie Rechnungsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO sowie Art. 6 Abs. 1 lit. c DSGVO (steuer- und handelsrechtliche Aufbewahrung, in der Regel zehn Jahre). Stripe ist teilweise Auftragsverarbeiter und handelt teilweise (regulatorische Pflichten, Betrugsprävention) als eigenständiger Verantwortlicher. Die Übermittlung in die USA stützt Stripe auf das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln. Weitere Informationen: stripe.com/de/privacy

Vor dem öffentlichen Start ist der Kauf nur mit einem persönlichen Einladungslink möglich. Wir speichern hierzu Einladungs-Token, Einladungsdatum, Einladungsgruppe, ob der Link geöffnet wurde und die Zuordnung zur Stripe-Sitzung nach Abschluss des Kaufs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung und -abschluss).

14. Rechte der betroffenen Personen

Betroffene Personen haben gegenüber uns folgende Rechte: Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht, eine erteilte Einwilligung jederzeit mit Wirkung für die Zukunft zu widerrufen (Art. 7 Abs. 3). Zur Ausübung genügt eine formlose Mitteilung an info@mechanos.ai.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeiten — insbesondere beim Missbrauchsschutz, bei der Analyse fremder Websites im Website-Check und beim Öffnungsprotokoll —, haben betroffene Personen das Recht, aus Gründen, die sich aus ihrer besonderen Situation ergeben, jederzeit Widerspruch einzulegen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe nachweisen, die die Interessen, Rechte und Freiheiten der betroffenen Person überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Gegen Verarbeitungen zu Zwecken der Direktwerbung kann jederzeit ohne Angabe von Gründen widersprochen werden.

Betreiber von Websites, die über den Website-Check geprüft wurden, können uns unter info@mechanos.ai mitteilen, dass ihre Domain von künftigen Checks ausgeschlossen werden soll.

15. Beschwerderecht

Betroffene Personen haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Aufsichtsbehörde ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin. Das Beschwerderecht besteht auch bei jeder anderen Aufsichtsbehörde, insbesondere am gewöhnlichen Aufenthaltsort oder Arbeitsplatz der betroffenen Person.

16. Nutzer in der Schweiz

Soweit das Schweizer Datenschutzgesetz (DSG) auf die Verarbeitung anwendbar ist, gelten die Angaben dieser Erklärung entsprechend; die Begriffe „personenbezogene Daten" und „Verantwortlicher" entsprechen „Personendaten" und „Verantwortlicher" im Sinne des DSG. Personendaten können in die in dieser Erklärung genannten Staaten bekanntgegeben werden, insbesondere in EU-/EWR-Staaten, in die USA und — beim Dienstleister DataForSEO — in die Ukraine; für Staaten ohne angemessenes Schutzniveau stützen wir uns auf die Standardvertragsklauseln der EU-Kommission in der für die Schweiz angepassten Fassung sowie — soweit der Anbieter zertifiziert ist — auf das Swiss-U.S. Data Privacy Framework. Betroffene in der Schweiz haben die Rechte nach Art. 25 ff. DSG, insbesondere auf Auskunft, Berichtigung und Löschung, und können sich an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) wenden.

17. Datenverarbeitung innerhalb der Mechanos-Plattform

17.1 Rollenverteilung und Auftragsverarbeitung

Die Mechanos-Plattform analysiert und optimiert Websites unserer Kunden. Für personenbezogene Daten, die in den Inhalten dieser Websites enthalten sind oder über die CMS-Anbindung des Kunden verarbeitet werden, ist der jeweilige Kunde datenschutzrechtlich Verantwortlicher; wir verarbeiten diese Daten in seinem Auftrag als Auftragsverarbeiter gemäß Art. 28 DSGVO auf Grundlage eines Auftragsverarbeitungsvertrags. Für die Daten des Kundenkontos (Registrierungs-, Vertrags-, Zahlungs- und Nutzungsdaten) sind wir Verantwortlicher.

17.2 Analyse der Kundenwebsites (Crawling)

Die Plattform ruft die vom Kunden angebundenen Websites automatisiert ab und verarbeitet deren Inhalte und technische Merkmale. Soweit diese personenbezogene Daten enthalten, werden sie im Rahmen der Auftragsverarbeitung nach Ziffer 17.1 verarbeitet. Das Crawling erfolgt über unsere Infrastruktur in der EU (Ziffer 4.3).

17.3 Externe SEO-Daten (DataForSEO)

Zur Anreicherung der Analysen nutzen wir Schnittstellen der DataForSEO OÜ (Ziffer 5.5). Abgerufen werden Keyword-, SERP-, Ranking- und Backlink-Daten sowie Daten zur Erwähnung in KI-Systemen. Übermittelt werden ausschließlich Domains, URLs, Keywords und standardisierte Testabfragen. Rechtsgrundlage gegenüber unseren Kunden ist Art. 6 Abs. 1 lit. b DSGVO.

17.4 KI-Sichtbarkeitsmessung (OpenAI, Anthropic)

Zur Messung der Sichtbarkeit der Kundenwebsite in KI-Antwortsystemen stellt die Plattform standardisierte Testanfragen mit aktivierter Websuche an OpenAI (ChatGPT) und Anthropic (Claude). Vertragspartner, Verarbeitungsort, Speicherdauer und Transfergrundlagen entsprechen den Angaben in Ziffer 5.5 a). Die Testanfragen enthalten Suchbegriffe zur Leistung und zum Standort des Kunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit personenbezogene Daten des Kunden betroffen sind, Auftragsverarbeitung nach Ziffer 17.1 mit OpenAI und Anthropic als Unterauftragsverarbeitern.

17.5 KI-gestützte Erstellung von Inhalten (Google, Anthropic)

Zur Erstellung und Optimierung von Inhalten nutzt die Plattform KI-Modelle von Google (Gemini) und Anthropic (Claude). Übermittelt werden Inhalte der angebundenen Kundenwebsites sowie daraus abgeleitete Analyse- und Auftragsdaten.

• Google (Gemini): Vertragspartner ist die Google Cloud EMEA Limited, Dublin. Die Textmodelle werden über die Gemini-Programmierschnittstelle genutzt; ein Verarbeitungsort ist nicht wählbar, die Verarbeitung kann weltweit, auch in den USA, erfolgen. Einbettungen (Embeddings) werden über Google Cloud Vertex AI in der Region Frankfurt (europe-west3) berechnet. Google verwendet die übermittelten Inhalte nicht zur Verbesserung seiner Produkte; Google ist Auftragsverarbeiter auf Grundlage des Google-Auftragsverarbeitungszusatzes. Übermittlungen in Drittländer stützen wir auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework.
• Anthropic (Claude): Vertragspartner ist die Anthropic Ireland, Limited, Dublin; Verarbeitung durch die Anthropic, PBC in den USA, Speicherung bis zu 30 Tage, keine Nutzung zum Training. Auftragsverarbeiter; Übermittlung auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework.

Die Modellaufrufe erfolgen unmittelbar aus unserem Backend ohne zwischengeschaltete Dritte. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit Kundenwebsite-Inhalte betroffen sind, Auftragsverarbeitung nach Ziffer 17.1 mit Google und Anthropic als Unterauftragsverarbeitern.

17.6 Standortdaten (Google Places API)

Zur Ermittlung der Unternehmensstandorte unserer Kunden nutzen wir die Google Places API der Google Ireland Limited bzw. Google LLC. Übermittelt werden Firmenname und Region. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; eine Übermittlung in die USA stützen wir auf das EU-US Data Privacy Framework und EU-Standardvertragsklauseln.

17.7 CMS-Anbindung (WordPress)

Zur Umsetzung freigegebener Änderungen verbindet sich die Plattform mit dem CMS des Kunden (zum Start: WordPress über das Mechanos Plugin bzw. die WordPress-Schnittstellen). Verarbeitet werden die erforderlichen Zugangs- bzw. Token-Daten sowie die zu übertragenden Inhalte. Zugangsdaten werden verschlüsselt gespeichert; die Verbindung erfolgt ausschließlich über TLS. Änderungen werden nur nach vorheriger Einzelfreigabe durch den Kunden übertragen; jede Freigabe wird protokolliert. Auftragsverarbeitung nach Ziffer 17.1; Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

18. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO, die rechtliche Wirkung entfaltet oder betroffene Personen in ähnlicher Weise erheblich beeinträchtigt, findet nicht statt. Der Website-Check bewertet Websites, nicht Personen. Von der Mechanos-Plattform vorgeschlagene Website-Änderungen werden erst nach manueller Freigabe durch den Kunden umgesetzt.

19. Datensicherheit

Wir treffen technische und organisatorische Maßnahmen nach Art. 32 DSGVO: Transportverschlüsselung (TLS) für sämtliche Verbindungen, verschlüsselte Speicherung von Zugangsdaten, Trennung der Kundendaten auf Datenbankebene, Zwei-Faktor-Authentifizierung für Zugänge zu Produktivsystemen sowie regelmäßige Datensicherungen. Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst.

20. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Datenverarbeitung oder die Rechtslage ändert. Es gilt die jeweils auf der Website veröffentlichte Fassung.