Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir dich nach Art. 13 und 14 DSGVO darüber, welche personenbezogenen Daten wir verarbeiten, wenn du unsere Website und unsere Software-as-a-Service-Anwendung OrbitOS (die „App“) nutzt, zu welchen Zwecken, auf welcher Rechtsgrundlage, an wen wir Daten weitergeben und welche Rechte du hast.

1. Verantwortlicher

WhiteLion GmbH
Dorfstraße 80/81, 19348 Düpow, Deutschland
Telefon: +49 173 2760380
E-Mail: service@whitelion-agency.de
Vertreten durch den Geschäftsführer Till Rüdiger-Gottschalk

Ansprechpartner für alle Fragen zum Datenschutz und zur Ausübung deiner Rechte ist Till Rüdiger-Gottschalk, erreichbar unter derselben E-Mail-Adresse.

2. Unsere Rolle: Verantwortlicher und Auftragsverarbeiter

OrbitOS richtet sich an Unternehmen. Wir verarbeiten Daten in zwei Rollen:

• Als Verantwortlicher für die Daten, die wir für eigene Zwecke verarbeiten — insbesondere dein Nutzerkonto, die Abrechnung, die Kommunikation mit dir, unsere Kundenbetreuung und den sicheren Betrieb der App. Darüber informiert diese Erklärung.
• Als Auftragsverarbeiter für die Daten, die du als Kunde über verbundene Dienste (z. B. deinen Shop und deine Werbekonten) in OrbitOS einbringst. Verantwortlich für diese Daten bist du als unser Kunde; wir verarbeiten sie nur nach deiner Weisung auf Grundlage unseres Auftragsverarbeitungsvertrags (AVV) nach Art. 28 DSGVO, der Bestandteil unserer Nutzungsbedingungen ist. Käufer unserer Kunden wenden sich mit Datenschutzanfragen bitte an den jeweiligen Shop; wir leiten bei uns eingehende Anfragen an ihn weiter.

3. Aufruf der Website und der App (Server-Protokolle)

Beim Aufruf verarbeitet unser Hosting-Anbieter technisch erforderliche Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer, Browser- und Geräteangaben sowie Statuscodes. Zweck ist die Auslieferung der Inhalte, die Stabilität und Sicherheit des Dienstes sowie die Fehleranalyse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren, funktionsfähigen Angebot). Die Protokolle werden vom Hosting-Anbieter nach kurzer Zeit automatisch gelöscht und nicht mit anderen Daten zusammengeführt.

4. Registrierung, Nutzerkonto und Team

Für die Nutzung der App benötigst du ein Konto. Wir verarbeiten dabei deine Zugangsdaten (E-Mail-Adresse und Passwort, das nur verschlüsselt gespeichert wird), Angaben zu deinem Unternehmen und deiner Marke aus dem Onboarding (z. B. Markenname, Branche, Logo) sowie Nutzungs- und Vertragsangaben wie Rolle, Anmeldezeitpunkte und deine Zustimmung zu unseren Nutzungsbedingungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Markenlogos und Produktbilder, die du hochlädst, können über einen Link abrufbar sein, damit sie in der App und in erzeugten Werbemitteln angezeigt werden. Lade dort bitte keine vertraulichen Bilder hoch.

Lädst du Team-Mitglieder ein, verarbeiten wir deren E-Mail-Adresse, um ihnen eine Einladung zu senden, und nach Annahme ihr Nutzerkonto. Team-Mitglieder sehen die Daten des einladenden Kontos.

5. Daten aus verbundenen Diensten (Auftragsverarbeitung)

Verbindest du OrbitOS mit externen Diensten, ruft die App die von dir freigegebenen Daten über deren Schnittstellen ab, speichert sie und wertet sie in deinem Konto aus. Dafür speichern wir die nötigen Zugangsdaten.

• Shopify / WooCommerce: Bestell-, Produkt-, Lager- und Auszahlungsdaten. Von Käufern speichern wir nur die pseudonyme Kunden-ID des Shops und das Lieferland; Kontaktdaten wie Name, E-Mail-Adresse oder Anschrift werden vor der Speicherung entfernt. Löschanfragen einzelner Käufer setzen wir auf deine Weisung um.
• Meta Ads (Facebook/Instagram): mit ausschließlich lesendem Zugriff Konto-, Kampagnen- und Anzeigendaten sowie Kennzahlen. Löschung über Meta: siehe Meta – Daten löschen.
• Google Ads: Konto-, Kampagnen- und Anzeigendaten sowie Kennzahlen.
• Klaviyo / Omnisend: ausschließlich zusammengefasste Kennzahlen — keine Profile oder E-Mail-Adressen von Empfängern.

Trennst du eine Verbindung, werden die zugehörigen Daten in OrbitOS gelöscht. Die Verarbeitung erfolgt in deinem Auftrag nach dem AVV; für deinen Zugang und die Erbringung des Vertrags ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO.

6. Von dir eingegebene Inhalte

Wir verarbeiten die Inhalte, die du in der App eingibst oder hochlädst — z. B. Kosten, Ziele, Logistik- und Produktangaben, Markenprofile, Zielgruppen, Bilder und Dateien —, um sie dir anzuzeigen, auszuwerten und für die gewählten Funktionen zu nutzen (Art. 6 Abs. 1 lit. b DSGVO). Gibst du die Adresse einer Website oder Produktseite an, ruft die App diese Seite ab, um sie auszuwerten.

7. KI-Funktionen

Einige Funktionen nutzen KI-Modelle externer Anbieter über deren Programmierschnittstellen:

• OpenAI (OpenAI Ireland Ltd., Irland / OpenAI, L.L.C., USA): Analysen, Texte und Zusammenfassungen sowie Unterstützung unserer Kundenbetreuung.
• Anthropic (Anthropic PBC, USA): Gestaltung von Produktseiten.
• Google (Google Ireland Ltd., Irland / Google LLC, USA): Erstellung von Werbemitteln und Texten sowie Analysen.

Übermittelt werden nur die für die jeweilige Funktion nötigen Angaben — etwa Produkt- und Markendaten, Bilder, Kennzahlen, Nachrichteninhalte sowie im Rahmen der Betreuung Kontakt- und Vertragsangaben. Daten von Käufern deines Shops werden nicht an KI-Anbieter übermittelt. Nach den Bedingungen der Anbieter für API-Kunden werden die übermittelten Inhalte nicht zum Training ihrer Modelle verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Daten aus verbundenen Diensten gilt der AVV. KI-Ergebnisse können fehlerhaft sein und sollten vor der Verwendung geprüft werden.

8. Support-Chat

Über das Postfach in der App kannst du mit unserem Team kommunizieren. Wir speichern die Nachrichten und Anhänge (z. B. Bilder, Videos, Sprachnachrichten); Anhänge sind nicht öffentlich zugänglich. Zur Unterstützung unseres Teams werten wir Gesprächsinhalte auch KI-gestützt aus (siehe Ziffer 7). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO (Vertragserfüllung bzw. berechtigtes Interesse an einer schnellen, guten Betreuung).

9. Kundenbetreuung durch unser Team

Zu unserer Leistung gehört eine persönliche Betreuung. Dafür hat unser Betreuungsteam im erforderlichen Umfang Zugriff auf dein Konto und deine Kennzahlen, um dich zu unterstützen, Fehler zu beheben und Entwicklungen zu besprechen. Dazu werten wir die Kennzahlen unserer Kunden auch intern aus. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer wirksamen Kundenbetreuung). Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken an Dritte weiter.

10. Automatisierung interner Abläufe

Für interne Abläufe unserer Kundenbetreuung nutzen wir den Automatisierungsdienst Zapier (Zapier, Inc., USA). Dabei werden Kontakt- und Vertragsangaben sowie Kennzahlen deines Kontos verarbeitet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Kundenbetreuung).

11. Öffentliche Teilen-Links

Analysen aus dem Offer Lab kannst du über einen Link teilen. Erst nach deiner ausdrücklichen Bestätigung wird ein Link erzeugt; jeder, der ihn kennt, kann die Analyse ohne Anmeldung ansehen. Du kannst den Link jederzeit deaktivieren (Art. 6 Abs. 1 lit. b DSGVO).

12. Zahlungsabwicklung (Stripe)

Kostenpflichtige Abonnements wickeln wir über Stripe ab (Stripe Payments Europe, Ltd., Irland). Deine Zahlungsdaten, Rechnungsanschrift und ggf. USt-IdNr. gibst du direkt bei Stripe ein; wir erhalten sie nicht. Wir übermitteln deine E-Mail-Adresse und speichern die zur Zuordnung nötigen Kennungen sowie den Status deines Abonnements. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO (Vertragserfüllung, steuer- und handelsrechtliche Pflichten).

13. E-Mails

Systemnachrichten wie die Bestätigung deiner E-Mail-Adresse, Passwort-Zurücksetzung und Einladungen versenden wir über unseren Datenbank-Anbieter Supabase bzw. über Resend (Resend, Inc., USA). Newsletter oder Werbe-E-Mails versenden wir nicht (Art. 6 Abs. 1 lit. b DSGVO).

14. Videos (Loom)

In der App stehen Erklärvideos zur Verfügung, die bei Loom (Loom, Inc., USA, ein Unternehmen der Atlassian-Gruppe) gespeichert sind. Sie werden erst geladen, wenn du auf „Abspielen“ klickst. Erst dann wird eine Verbindung zu Loom hergestellt, wobei Loom deine IP-Adresse und Geräteangaben erhält und ggf. Cookies setzt. Rechtsgrundlage ist deine Einwilligung durch das Abspielen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG); du kannst sie für die Zukunft widerrufen, indem du die Videos nicht mehr abspielst und Loom-Cookies in deinem Browser löschst.

15. Cookies und lokale Speicherung

Wir verwenden ausschließlich technisch notwendige Cookies und vergleichbare Technologien (z. B. für die Anmeldung und deine Einstellungen); Tracking- oder Analyse-Dienste setzen wir nicht ein. Schriftarten werden über unsere eigenen Server ausgeliefert, sodass keine Verbindung zu Google Fonts entsteht. Einzelheiten findest du in den Cookie-Hinweisen.

16. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Dienstleister ein, mit denen — soweit erforderlich — Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO bestehen:

• Supabase Inc. (USA) — Datenbank, Anmeldung, Dateispeicher. Die Daten liegen in einem Rechenzentrum in Frankfurt am Main.
• Vercel Inc. (USA) — Hosting der App. Die Verarbeitung findet in Frankfurt am Main statt; öffentliche Inhalte werden über ein weltweites Netzwerk ausgeliefert.
• OpenAI, Anthropic, Google — KI-Funktionen (Ziffer 7).
• Stripe — Zahlungsabwicklung (Ziffer 12).
• Resend — E-Mail-Versand (Ziffer 13).
• Zapier — Automatisierung interner Abläufe (Ziffer 10).
• Loom — Erklärvideos, nur nach Klick (Ziffer 14).

Die von dir verbundenen Dienste (Shopify, WooCommerce, Meta, Google Ads, Klaviyo, Omnisend) erhalten von uns keine zusätzlichen Daten; wir rufen dort nur Daten ab, die du freigegeben hast. Für die Verarbeitung bei diesen Anbietern gelten deren Datenschutzbestimmungen. Daten geben wir darüber hinaus nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

17. Übermittlung in Drittländer

Einige Dienstleister haben ihren Sitz in den USA oder verarbeiten Daten dort. Eine Übermittlung erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind: auf Grundlage des Angemessenheitsbeschlusses der EU-Kommission zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), soweit der Anbieter danach zertifiziert ist, und im Übrigen auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) samt ergänzender Maßnahmen. Eine Kopie der Garantien erhältst du auf Anfrage.

18. Speicherdauer

• Die aus verbundenen Diensten abgerufenen Einzeldaten (z. B. Bestellungen, Produkte, Kampagnen- und Anzeigendaten) und die zugehörigen Zugangsdaten bewahren wir nach Vertragsende auf, damit du dein Konto ohne Datenverlust wieder aktivieren kannst, und löschen sie automatisch 24 Monate nach Vertragsende — auf deinen Wunsch auch früher. Trennst du eine Verbindung, werden die zugehörigen Daten sofort gelöscht.
• Konto-, Vertrags- und Kommunikationsdaten speichern wir für die Dauer der Geschäftsbeziehung und darüber hinaus, soweit wir sie zur Erfüllung gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung und Verteidigung von Ansprüchen benötigen (Art. 6 Abs. 1 lit. c und f DSGVO).
• Abrechnungsrelevante Unterlagen bewahren wir entsprechend den gesetzlichen Fristen auf (bis zu zehn Jahre nach HGB und AO).
• Server-Protokolle werden nach kurzer Zeit automatisch gelöscht (Ziffer 3).
• Datensicherungen beim Hosting-Anbieter werden im Rahmen der regulären Rotation überschrieben.

19. Pflicht zur Bereitstellung

Die Angaben bei der Registrierung sind für den Vertragsschluss erforderlich; ohne sie können wir dir kein Konto bereitstellen. Alle weiteren Angaben und Verbindungen sind freiwillig, einzelne Funktionen stehen ohne sie aber nicht zur Verfügung. Eine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO findet nicht statt.

20. Deine Rechte

Du hast das Recht auf:

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Eine formlose Nachricht an service@whitelion-agency.de genügt. Wir antworten innerhalb eines Monats.

21. Beschwerderecht

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere in dem EU-Mitgliedstaat deines Aufenthalts, deines Arbeitsplatzes oder des mutmaßlichen Verstoßes. Für uns zuständig ist die Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht Brandenburg (LDA Brandenburg), Stahnsdorfer Damm 77, 14532 Kleinmachnow.

22. Datensicherheit

Wir schützen deine Daten durch angemessene technische und organisatorische Maßnahmen, u. a. verschlüsselte Übertragung, Zugriffsbeschränkungen, Trennung der Kundendaten und Datenminimierung. Eine Übersicht findest du in Anlage 1 des AVV.

23. Änderungen

Wir passen diese Datenschutzerklärung an, wenn sich die App oder die Rechtslage ändert. Es gilt die jeweils aktuelle Fassung unter dieser Adresse.