Datenschutzerklärung

1. Verantwortlicher

DigitalToolsList Extended UG (haftungsbeschränkt), Paalende 26, 22149 Hamburg, Deutschland.

E-Mail: bdoerffer@digitaltoolslist.com

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

2. Überblick

Diese Datenschutzerklärung informiert über die Verarbeitung personenbezogener Daten (a) beim Besuch dieser Website einschließlich der Warteliste und (b) bei der Nutzung der ScanToPitch-Anwendung ("Tool"). Abschnitte, die das Tool betreffen, gelten erst ab dessen Nutzung.

Hinweis: Informationen zur Verarbeitung von Daten der in der Anwendung analysierten Unternehmen finden Sie in unserer separaten Betroffeneninformation.

3. Hosting und Server-Logs

Diese Website wird bei Vercel Inc. (440 N Barranca Ave #4133, Covina, CA 91723, USA) gehostet; die Auslieferung erfolgt aus einem Rechenzentrum in der EU (Region Frankfurt). Beim Aufruf der Website verarbeitet Vercel technisch notwendige Verbindungsdaten (IP-Adresse, Datum und Uhrzeit, aufgerufene Ressource, User-Agent), um die Website auszuliefern und die Sicherheit des Betriebs zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und performanten Betrieb). Mit Vercel besteht ein Auftragsverarbeitungsvertrag; Übermittlungen in die USA sind über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert.

4. Warteliste

Wenn Sie sich auf die Warteliste eintragen, verarbeiten wir Ihre E-Mail-Adresse, Ihren Wartelistenplatz und den Zeitpunkt der Anmeldung. Zweck ist die Information über den Produktstart und den Zugang zur Anwendung.

Anmeldung über den kostenlosen Website-Check: Tragen Sie Ihre E-Mail-Adresse optional unter einem Ergebnis des kostenlosen Website-Checks (/audit) ein, speichern wir zusätzlich die geprüfte Domain und das angezeigte Ergebnis. Zweck ist die Zusendung des Report-Links sowie darauf bezogener Hinweise und Produktinformationen. Die Anzeige des Ergebnisses selbst setzt keine E-Mail-Angabe voraus. Es gelten dasselbe Double-Opt-In-Verfahren und dieselben Widerrufs- und Löschmöglichkeiten; bei Abmeldung werden auch Domain und Ergebnis gelöscht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie erteilen die Einwilligung vor dem Absenden per Checkbox; anschließend bestätigen Sie im Double-Opt-In-Verfahren: Wir speichern Ihre Anmeldung zunächst als unbestätigt und senden eine Bestätigungs-E-Mail (über Resend, siehe Ziffer 9); erst nach Klick auf den enthaltenen Bestätigungslink gilt Ihre Anmeldung als bestätigt. Vor dem Speichern prüfen wir die technische Erreichbarkeit der E-Mail-Domain per DNS-Abfrage; dabei werden keine E-Mails versendet.

Sie können Ihre Einwilligung jederzeit widerrufen und die Löschung verlangen (formlose E-Mail genügt). Die Daten werden bis zum Widerruf, längstens bis 12 Monate nach dem Produktstart gespeichert. Die Speicherung erfolgt in unserer Datenbank bei Supabase (EU-Region).

5. Cookies, lokale Speicherung und Reichweitenmessung

Diese Website setzt keine Marketing- oder Tracking-Cookies. Für eine datensparsame Reichweitenmessung nutzen wir — sofern aktiviert — Plausible Analytics, ein cookiefreies, datenschutzfreundliches Web-Analysewerkzeug mit EU-Hosting. Plausible setzt keine Cookies, erstellt keine geräteübergreifenden Profile und speichert keine personenbezogenen Daten dauerhaft; eine Einwilligung ist daher nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer datensparsamen Reichweitenmessung).

Darüber hinaus speichern wir ausschließlich funktionale Einstellungen im localStorage Ihres Browsers (z. B. Wartelisten-Status pcf_waitlist_v1, Farbschema s2p_theme, Bestätigung des Cookie-Hinweises s2p_cookie_ack). In der Anwendung setzt Supabase zusätzlich technisch notwendige Sitzungs-Cookies für die Anmeldung (essenziell, kein Tracking). Diese Daten sind für die jeweilige Funktion erforderlich; ein Einwilligungsbanner ist daher nicht erforderlich. Ein kurzer, nicht blockierender Hinweis informiert Sie über diese essenziellen Cookies.

6. Schriftarten

Die auf dieser Website verwendeten Schriftarten sind lokal auf unserem Server gehostet ("Self-Hosting"). Beim Aufruf der Website werden dafür keine Verbindungen zu Servern von Google oder anderen Drittanbietern aufgebaut.

7. Nutzerkonto und Anmeldung (Tool)

Für die Nutzung des Tools ist ein Konto erforderlich. Die Anmeldung erfolgt passwortlos per Magic-Link an Ihre E-Mail-Adresse oder wahlweise über einen OAuth-Anbieter (Google oder GitHub). Bei der OAuth-Anmeldung erhalten wir vom jeweiligen Anbieter Ihre verifizierte E-Mail-Adresse zur Kontozuordnung; die Zuordnung erfolgt anhand der E-Mail-Adresse (dieselbe Adresse per Magic-Link und OAuth führt zum selben Konto). Ergänzend gelten die Datenschutzhinweise von Google bzw. GitHub. Wir verarbeiten Ihre E-Mail-Adresse, Anmeldezeitpunkte und technisch notwendige Sitzungs-Cookies (essenziell, kein Tracking). Authentifizierung und Datenhaltung erfolgen über Supabase (EU-Region) auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Bei der Kontoerstellung dokumentieren wir Ihre Einwilligung in AGB und Datenschutzerklärung (angenommene Version und Zeitpunkt) sowie die Gewährung eines kostenlosen Startguthabens ("Trial-Credits"). Im Konto gespeicherte Inhalte (Scans, Listen, Notizen, Erinnerungen, Absenderprofil, Guthaben-/Nutzungsdaten) verarbeiten wir zur Bereitstellung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO). Bei Kontolöschung werden sämtliche Kontodaten unverzüglich und dauerhaft gelöscht (mit Ausnahme des nachfolgend beschriebenen pseudonymisierten E-Mail-Hashwerts); die Löschfunktion steht direkt im Konto zur Verfügung.

Nutzungs- und Protokolldaten des Kontos werten wir außerdem zur Missbrauchs- und Betrugsprävention sowie zur Sicherheit des Dienstes aus (z. B. Erkennung ungewöhnlicher Nutzungsmuster, vorübergehende Kontosperrung); Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und missbrauchsfreien Betrieb).

Zur Verhinderung wiederholter Inanspruchnahme des kostenlosen Startguthabens speichern wir bei dessen Gewährung einen gesalzenen SHA-256-Hashwert der normalisierten E-Mail-Adresse für bis zu 12 Monate — auch über eine Kontolöschung hinaus. Der Hashwert ist pseudonymisiert, wird nicht mit weiteren Daten verknüpft und ist ohne Kenntnis der E-Mail-Adresse nicht auf diese rückführbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsprävention).

Zur Abwehr automatisierter oder übermäßiger Zugriffe setzen wir ein Rate-Limiting ein: Kurzlebige Zugriffszähler (einschließlich der IP-Adresse bzw. der Konto-Kennung) werden bei Upstash, Inc. in einer Datenbank in der EU-Region Frankfurt gespeichert und nach wenigen Sekunden bis längstens einer Stunde automatisch gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Missbrauchsprävention und der Stabilität des Dienstes).

Empfehlungsprogramm ("Freunde werben"): Registrieren Sie sich über einen persönlichen Empfehlungslink oder werben Sie selbst andere Personen, speichern wir die Zuordnung zwischen werbendem und geworbenem Konto sowie den Status der Prämie (Gutschrift und etwaige Rückbuchung), um die Prämien-Credits beider Seiten gutzuschreiben und Missbrauch zu verhindern. Wir versenden keine Einladungs-E-Mails an geworbene Personen; die Teilnahme erfolgt ausschließlich über die persönliche Weitergabe des Links. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der Aktion) sowie Art. 6 Abs. 1 lit. f DSGVO (Missbrauchsprävention).

Auftragsverarbeitung für gespeicherte Lead-Daten: Soweit Sie in Ihrem Konto Daten der recherchierten Unternehmen speichern und verwalten (z. B. Listen, eigene Notizen und manuelle Ergänzungen), sind Sie für diese Daten datenschutzrechtlich Verantwortlicher und wir verarbeiten sie als Ihr Auftragsverarbeiter. Hierfür gilt unser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, abrufbar unter /auftragsverarbeitung.

8. Zahlungsabwicklung (Polar)

Der Verkauf kostenpflichtiger Pläne und Guthabenpakete erfolgt über unseren Zahlungsdienstleister Polar Software Inc. als Merchant of Record. Polar wird dabei Vertragspartner des Kaufs und verarbeitet die für die Zahlung erforderlichen Daten (Name, E-Mail, Zahlungsdaten, Rechnungsdaten) in eigener Verantwortung; wir erhalten von Polar keine vollständigen Zahlungsdaten, sondern nur Bestell- und Abo-Status. Es gelten ergänzend die Datenschutzhinweise von Polar.

Automatische Aufladung (Auto-Top-up): Aktivieren Sie die optionale automatische Aufladung, dokumentieren wir Ihre Einwilligung (Zeitpunkt, gewählter Schwellenwert und gewähltes Credit-Paket) und veranlassen bei Unterschreiten des Schwellenwerts eine Abbuchung über Polar ohne Ihr weiteres Zutun ("off-session"). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung). Sie können die Einwilligung jederzeit im Konto mit Wirkung für die Zukunft widerrufen; jede automatische Abbuchung wird im Guthaben-Verlauf Ihres Kontos dokumentiert.

9. Transaktions-E-Mails (Resend)

System-E-Mails (z. B. Anmelde-Links, Erinnerungs-Benachrichtigungen) versenden wir über Resend Inc. (USA). Verarbeitet werden Empfängeradresse, Betreff und Zustellmetadaten. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Die Übermittlung in die USA ist über Standardvertragsklauseln bzw. das Data Privacy Framework abgesichert.

10. Scan-Funktionen und eingesetzte APIs (Tool)

Kernfunktion des Tools ist die Analyse öffentlich zugänglicher Unternehmenswebsites. Dabei verarbeiten wir Daten der analysierten Unternehmen (siehe Betroffeneninformation) über folgende Dienste:

• Google Places API und PageSpeed Insights API (Google Ireland Limited / Google LLC): Ermittlung von Unternehmenseinträgen und Messung der Website-Performance.
• Anthropic PBC (USA): KI-gestützte Bewertung von Website-Screenshots sowie Erzeugung von Anschreiben- und Gesprächsleitfaden-Entwürfen. Übermittelt werden Inhalte der analysierten, öffentlich zugänglichen Websites sowie — nur für die Entwurfs-Erstellung — die Angaben aus dem Absenderprofil des Nutzers. Anthropic verwendet über die API übermittelte Inhalte nach seinen kommerziellen Bedingungen nicht zum Training von KI-Modellen.
• OpenRouter, Inc. (USA): Vermittlungsdienst ("Routing") für einzelne KI-Hilfsaufgaben — die Übersetzung von Suchbegriffen und die Extraktion von Kontaktdaten aus den analysierten Websites. Diese Aufgaben werden regulär von Google (Gemini-Modelle) und nur bei Störungen ersatzweise von OpenAI oder Google verarbeitet. Wir rufen OpenRouter mit der Einstellung "keine Datenspeicherung" (data_collection: deny) auf; Anfragen werden dadurch nur an Modellanbieter geleitet, die Eingaben weder speichern noch zum Training verwenden. OpenRouter selbst speichert Eingaben und Ausgaben standardmäßig nicht. Die Entwurfs-Erstellung (Anschreiben, Gesprächsleitfäden) erfolgt ausschließlich über Anthropic; Absenderprofil-Daten werden nicht über OpenRouter übermittelt.
• CARTO (Kartenkacheln auf Basis von OpenStreetMap-Daten): Darstellung der Kartenansicht; dabei wird Ihre IP-Adresse an den Kacheldienst übermittelt.
• Hetzner Online GmbH (Deutschland): Betrieb des Scan-Servers in einem Rechenzentrum in Deutschland.

Google Maps (Kartenansicht, nur nach Einwilligung): Die Kartenansicht des Tools kann Karten von Google Maps (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland; Mutterkonzern Google LLC, USA) anzeigen; die Karte stellt die Standorte der in Ihren Scans gefundenen Unternehmen dar. Google Maps wird ausschließlich nach Ihrer ausdrücklichen Einwilligung geladen (Art. 6 Abs. 1 lit. a DSGVO): Erst nach Klick auf "Karte laden" wird eine Verbindung zu Google aufgebaut; dabei werden Daten wie Ihre IP-Adresse und Browser-Daten an Google übermittelt. Übermittlungen in die USA sind über das EU-US Data Privacy Framework bzw. Standardvertragsklauseln abgesichert. Ihre Einwilligung wird lokal in Ihrem Browser gespeichert (localStorage s2p_gmaps_consent) und kann jederzeit mit Wirkung für die Zukunft über den Link unterhalb der Karte widerrufen werden; ohne Einwilligung wird keine Verbindung zu Google Maps aufgebaut.

11. Auftragsverarbeiter und Empfänger (Übersicht)

SVK = EU-Standardvertragsklauseln; DPF = EU-US Data Privacy Framework. Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

12. Übermittlung in Drittländer

Soweit Dienstleister Daten außerhalb der EU/des EWR verarbeiten (insbesondere USA), erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) und/oder der EU-Standardvertragsklauseln einschließlich ergänzender Maßnahmen (Art. 44 ff. DSGVO).

13. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist: Server-Logs 30 Tage; Wartelisten-Daten bis Widerruf bzw. 12 Monate nach Produktstart; Kontodaten bis zur Kontolöschung; der pseudonymisierte E-Mail-Hashwert zur Verhinderung wiederholter Startguthaben längstens 12 Monate (siehe Ziffer 7); gesetzliche Aufbewahrungspflichten (z. B. für Rechnungsdaten) bleiben unberührt. Standortkoordinaten aus Kartendiensten werden spätestens nach 30 Tagen gelöscht.

14. Ihre Rechte

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO) — z. B. beim/bei der Landesdatenschutzbeauftragten Ihres Bundeslandes

Zur Ausübung genügt eine formlose E-Mail an bdoerffer@digitaltoolslist.com.

15. Keine automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung im Sinne von Art. 22 DSGVO findet nicht statt. Die im Tool berechneten Website-Bewertungen betreffen Unternehmenswebsites und entfalten keine Rechtswirkung gegenüber natürlichen Personen.

16. KI-generierte Inhalte (Transparenz)

Das Tool erzeugt mithilfe von KI Textentwürfe — Unternehmens-Zusammenfassungen, Anschreiben und Telefonleitfäden — sowie eine KI-gestützte Design-Einschätzung von Website-Screenshots. Diese Inhalte sind in der Anwendung sichtbar als KI-generiert gekennzeichnet (Art. 50 KI-Verordnung, VO (EU) 2024/1689).

Eingesetzte KI-Anbieter: Entwürfe und Design-Einschätzung erstellt Anthropic (Claude). Einzelne Hilfsaufgaben — die Übersetzung von Suchbegriffen und die Extraktion von Kontaktdaten aus den analysierten Websites — werden über den Vermittlungsdienst OpenRouter regulär von Google (Gemini) und nur bei Störungen ersatzweise von OpenAI oder Google verarbeitet (Einzelheiten in Ziffern 10–12). Nach den jeweils geltenden API-Bedingungen dieser Anbieter werden die übermittelten Inhalte nicht zum Training von KI-Modellen verwendet; OpenRouter wird von uns so konfiguriert, dass Anfragen nur an Modellanbieter ohne Datenspeicherung geleitet werden.

KI-Ausgaben können unrichtig oder unvollständig sein; sie sind als Entwurf gedacht, die Prüfung und Freigabe obliegen Ihnen. ScanToPitch versendet keine Nachrichten in Ihrem Namen — Sie senden jede Nachricht selbst. Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung (Art. 22 DSGVO) findet nicht statt.

17. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt die jeweils hier veröffentlichte Fassung.