Rechtliches
Datenschutzerklärung
Kurz gesagt
- Wir erheben nur das Nötigste und speichern es in der Europäischen Union.
- Diese Website verwendet keine Cookies, keine Statistik-Tools und keine Tracking-Pixel. Schriften liefern wir von unserem eigenen Server aus.
- Wir verkaufen deine Daten nie und nutzen sie nie, um KI-Modelle zu trainieren.
- Du kannst deine Daten jederzeit einsehen, exportieren oder löschen lassen: privacy@kosmly.app.
1. Wer wir sind
Verantwortlicher ist die Kosmly Ltd, eingetragen in England und Wales (Nr. [number]), Sitz [address], USt-IdNr. [GB number] („Kosmly“, „wir“). Kontakt: privacy@kosmly.app. Datenschutzbeauftragter: [name and contact, if appointed].
Wir sind beim britischen Information Commissioner's Office (ICO) unter der Nummer [ZA000000] registriert. Da wir Menschen in der Europäischen Union bedienen, ist unser Vertreter in der EU nach Artikel 27 DSGVO [name, address in an EU country, email].
Wir verarbeiten personenbezogene Daten nach der UK GDPR und dem Data Protection Act 2018 sowie, für Personen in der EU und im EWR, nach der DSGVO (Verordnung 2016/679). In dieser Erklärung meint „DSGVO“ beide.
2. Was diese Erklärung abdeckt
Diese Erklärung gilt für kosmly.app, die Kosmly-Warteliste und die Konten von Händlern, die Kosmly nutzen. Wenn unsere Agenten Daten der Kunden deines Shops verarbeiten, bist du der Verantwortliche und wir sind dein Auftragsverarbeiter. Diese Verarbeitung regelt unser Auftragsverarbeitungsvertrag, nicht diese Erklärung.
Besuche über KI-Assistenten. Kommt ein Besucher über einen KI-Assistenten (zum Beispiel ChatGPT, Perplexity, Gemini, Copilot oder Claude) in einen Shop, zählt das Kosmly-Plugin oder die App den Besuch: nur Tag, Assistent und Einstiegsseite. Es wird kein Cookie gesetzt und weder IP-Adresse noch Besucherkennung gespeichert, daher enthält die Zählung keine personenbezogenen Daten. Die Zähler werden mit dem Konto des Shops gelöscht.
IndexNow. Ändert sich eine Seite, melden das WordPress-Plugin und das PrestaShop-Modul dies den Suchmaschinen über IndexNow (api.indexnow.org) und senden nur die öffentliche Adresse der Seite. Es werden keine personenbezogenen Daten gesendet.
Google Merchant Center (optional). Verbindet ein Händler sein Google-Merchant-Center-Konto, liest Orion nur dessen Preisberichte: Marktpreise von Produkten, ohne personenbezogene Daten. Die Verbindung ist freiwillig und kann jederzeit getrennt werden.
E-Mail-Zustellbarkeit. Wird eine von uns gesendete E-Mail dauerhaft abgewiesen oder als Spam markiert, teilt uns unser E-Mail-Anbieter (Brevo) das mit und wir schreiben diese Adresse nicht mehr an. Wir speichern nur einen Hash (SHA-256) der Adresse und den Grund, nicht die Adresse selbst. Das sind pseudonymisierte personenbezogene Daten, gespeichert aufgrund unseres berechtigten Interesses, keine unerwünschte Post zu senden und Widersprüche zu respektieren; wir behalten sie auch nach Löschung eines Kontos, da wir die Adresse sonst erneut anschreiben könnten.
3. Was wir erheben, warum und wie lange
| Zweck | Daten | Rechtsgrundlage (DSGVO) | Speicherdauer |
|---|---|---|---|
| Warteliste und Neuigkeiten zum Start | E-Mail, Datum und Nachweis der Double-Opt-in-Bestätigung | Einwilligung, Art. 6(1)(a) | Bis zur Abmeldung oder 12 Monate nach dem öffentlichen Start |
| Dein Kosmly-Konto | Name, E-Mail, Shop-URL, Plattform, Tarif, Einstellungen | Vertrag, Art. 6(1)(b) | Solange das Konto besteht, danach 30 Tage |
| Abrechnung und Rechnungen | Firmendaten, USt-IdNr., Rechnungen | Rechtliche Pflicht, Art. 6(1)(c) | 6 Jahre, wie vom britischen Steuerrecht (HMRC) verlangt |
| Konto-E-Mails (Willkommen, wartende Vorschläge, Hinweise zu Tarif und Verbrauch, technische Probleme) | Name, E-Mail, Sprache, Shop-URL | Vertrag, Art. 6(1)(b) | Solange das Konto besteht |
| Tipps für den Einstieg (1, 3 und 7 Tage nach der Anmeldung) | Name, E-Mail, Sprache | Berechtigtes Interesse, Art. 6(1)(f); Abmeldung mit einem Klick in jeder E-Mail | Bis zur Abmeldung oder Schließung des Kontos |
| Brand Scan deiner Website | Öffentliche Seiten der Website (Kontaktdaten werden vor der Analyse maskiert) | Vertrag, Art. 6(1)(b) | Solange das Konto besteht |
| Supportanfragen | Nachrichten und Anhänge, die du uns schickst | Vertrag oder berechtigtes Interesse, Art. 6(1)(b)/(f) | 24 Monate nach Abschluss der Anfrage |
| Sicherheit von Website und Dienst | IP-Adresse, Browser, Zeitpunkt der Anfrage | Berechtigtes Interesse, Art. 6(1)(f) | 30 Tage |
| Dienstprotokolle (Anmeldesitzungen, gesendete E-Mails, KI-Nutzung, Aktionsverlauf) | Sitzungs- und Link-Tokens, E-Mail-Adresse und Betreff, Modell, Tokens und Kosten jedes KI-Aufrufs (kein Text), wer wann was getan hat | Vertrag und berechtigtes Interesse, Art. 6(1)(b)/(f) | Abgelaufene Sitzungen und Links 1 Tag; E-Mails 90 Tage; KI-Nutzung 90 Tage im Detail, dann Monatssummen für 13 Monate; Aktionsverlauf und Audit-Protokoll 24 Monate |
4. Cookies
kosmly.app setzt keine Cookies und lädt nichts von Servern Dritter, daher brauchen wir kein Cookie-Banner. Sollten wir später Statistiken hinzufügen, nutzen wir ein cookiefreies Tool mit Hosting in der EU oder fragen vorher nach deiner Einwilligung, und wir aktualisieren diese Seite.
5. Mit wem wir Daten teilen
Nur mit Dienstleistern, die uns beim Betrieb von Kosmly helfen, mit einem schriftlichen Auftragsverarbeitungsvertrag und nur für die oben genannten Zwecke:
- Brevo (Sendinblue SAS, Frankreich): Warteliste und Konto-E-Mails.
- Scaleway SAS (Paris, Frankreich): Hosting der Anwendung, Datenbank und Backups.
- Amazon Web Services EMEA SARL (Frankfurt, Deutschland), Google Cloud EMEA Limited (Vertex AI, EU-Regionen), Microsoft Ireland Operations Limited (Azure OpenAI, Paris), Mistral AI SAS (Frankreich) und Scaleway SAS (Paris): die KI-Modelle, mit denen die Agenten arbeiten, in der EU, ohne Training mit deinen Daten. Requesty Ltd leitet die Aufrufe über seinen Frankfurter Zugangspunkt an sie weiter.
- DataForSEO OU (Estland): Suchdaten, erhält nur Keywords und Domains. Cloudflare, Inc.: DNS und Hosting dieser Website.
- Paddle.com Market Ltd (Vereinigtes Königreich): unser Wiederverkäufer für Online-Zahlungen. Paddle verkauft dir das Abonnement als Merchant of Record, verarbeitet die Zahlungsdaten und die Umsatzsteuer und handelt als eigenständiger Verantwortlicher nach seiner eigenen Datenschutzerklärung. Wir sehen nie deine vollständigen Kartendaten.
- App-Marktplätze (Shopify, WordPress.org, PrestaShop Addons), wenn du über sie installierst oder kaufst.
Die vollständige, aktuelle Liste findest du in unserer Liste der Unterauftragsverarbeiter. Wir verkaufen nie personenbezogene Daten.
6. Wo deine Daten gespeichert werden
Wir speichern und verarbeiten Daten in der Europäischen Union. Unser Unternehmen hat seinen Sitz im Vereinigten Königreich, das die EU als Land mit angemessenem Datenschutzniveau anerkennt, und das Vereinigte Königreich erkennt die EU ebenso an, sodass Daten rechtmäßig zwischen beiden fließen können. Greift ein Dienstleister aus einem anderen Land auf Daten zu, erlauben wir das nur auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-US Data Privacy Framework und seiner britischen Erweiterung), der Standardvertragsklauseln der Europäischen Kommission oder des britischen International Data Transfer Agreement bzw. Addendum, jeweils mit einer Bewertung des Übermittlungsrisikos.
7. Künstliche Intelligenz
Wir nutzen weder deine personenbezogenen Daten noch die deiner Kunden, um KI-Modelle zu trainieren, und unseren KI-Anbietern ist das vertraglich untersagt. Kosmly trifft keine Entscheidungen über Personen, die rechtliche oder ähnlich erhebliche Wirkungen haben (Art. 22 DSGVO). Mehr dazu in unserer KI-Transparenzerklärung.
8. Deine Rechte
Du kannst Auskunft, Berichtigung, Löschung, Einschränkung oder Export deiner Daten verlangen, der Verarbeitung auf Grundlage des berechtigten Interesses widersprechen und deine Einwilligung jederzeit widerrufen (jede E-Mail enthält einen Abmeldelink mit einem Klick). Schreib an privacy@kosmly.app. Wir antworten innerhalb eines Monats. Du kannst dich auch beim britischen Information Commissioner's Office (ico.org.uk) beschweren oder, wenn du in der EU bist, bei der Datenschutzaufsichtsbehörde deines Landes.
9. Sicherheit
Verschlüsselung bei der Übertragung und im Ruhezustand, Zugriff nur für Personen, die ihn brauchen, mit Zwei-Faktor-Authentifizierung, Zugriffsprotokolle, verschlüsselte Backups an zwei Orten in der EU (Frankreich und Niederlande) mit einem monatlichen Wiederherstellungstest sowie ein getestetes Verfahren für Datenschutzverletzungen. Backups werden höchstens 35 Tage aufbewahrt: Daten, die du löschst, verschwinden innerhalb von 35 Tagen aus allen Backups. Details stehen in Anlage II des AVV.
10. Änderungen
Ändern wir diese Erklärung wesentlich, informieren wir dich per E-Mail, bevor die Änderung gilt. Das Datum oben zeigt immer die neueste Fassung.