Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Max Benz
Am hohen Stein 36a
01189 Dresden
Deutschland
E-Mail: team@themarketingopsmanager.com

Einen Datenschutzbeauftragten haben wir nicht benannt, weil wir dazu gesetzlich nicht verpflichtet sind. Bei allen Datenschutzfragen erreichst du uns unter der oben genannten E-Mail-Adresse.

2. Überblick

The Marketing Ops Manager ist eine Webanwendung für Teams in Marketing Operations. Sie überwacht Kampagnen-Journeys (Anzeigen, Landingpages, Formulare, Tracking und CRM-Übergaben), öffnet Incidents mit Belegen und lässt Personen vorgeschlagene Korrekturen freigeben. Wir verarbeiten personenbezogene Daten nur, soweit das nötig ist, um die Website, den Blog und die Anwendung bereitzustellen, sie abzusichern und deine Nachrichten zu beantworten.

Wir setzen keine Analyse-, Tracking- oder Werbetools ein, wir setzen keine Marketing-Cookies und wir verkaufen keine personenbezogenen Daten. Schriften liefern wir von unseren eigenen Servern aus, nicht von Google Fonts oder anderen Schriftdiensten.

3. Hosting der Website und der Webanwendung

Die Website und die Webanwendung werden mit Bolt.new (StackBlitz, Inc., USA) erstellt und ausgeliefert und im Content-Delivery-Netzwerk von Netlify, Inc., San Francisco, USA, gehostet. Wenn du eine Seite aufrufst, sendet dein Browser technische Daten, die der Hoster in Server-Logs verarbeitet:

• IP-Adresse
• Datum und Uhrzeit der Anfrage
• angeforderte URL und HTTP-Statuscode
• Referrer-URL, sofern dein Browser sie sendet
• Browsertyp und -version (User-Agent) sowie Betriebssystem

Diese Verarbeitung ist nötig, um die Website auszuliefern, sie vor Angriffen zu schützen und Fehler zu analysieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der sichere und zuverlässige Betrieb der Website. Wir verknüpfen Log-Daten nicht mit anderen Datenquellen. Die Bereitstellungsplattform lädt auf öffentlichen Seiten unter Umständen außerdem ein kleines Badge-Skript von bolt.new (StackBlitz, Inc., USA). Dabei sendet dein Browser seine IP-Adresse und seinen User-Agent an diesen Anbieter; Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Netlify kann Daten in den USA verarbeiten. Die Übermittlung stützt sich auf das EU-US Data Privacy Framework, soweit der Empfänger danach zertifiziert ist, und auf die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) im Auftragsverarbeitungsvertrag des Anbieters.

4. Konto und Login

Um ein Konto anzulegen, gibst du deinen vollständigen Namen, deine geschäftliche E-Mail-Adresse und ein Passwort an. Wir verarbeiten:

• Kontodaten: Name, E-Mail-Adresse, einen Hash deines Passworts (das Passwort selbst sehen und speichern wir nie), Zeitpunkte der Kontoerstellung und der Anmeldungen
• Profildaten, die du ergänzt, etwa eine Berufsbezeichnung, und die Farbe deines Avatars
• Sicherheitsereignisse der Authentifizierung, die unser Backend-Anbieter protokolliert, etwa Anmeldungen und Passwort-Zurücksetzungen, einschließlich der IP-Adresse

Wir versenden die E-Mails, die für das Konto nötig sind: E-Mail-Bestätigung, Links zum Zurücksetzen des Passworts und Einladungen in Workspaces. Diese E-Mails gehen über den Authentifizierungsdienst von Supabase (siehe Abschnitt 5). Einen Newsletter versenden wir nicht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung oder vorvertragliche Maßnahmen). Das Protokollieren von Sicherheitsereignissen beruht auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz der Konten vor Missbrauch.

5. Backend, Datenbank und Authentifizierung (Supabase)

Benutzerkonten, Authentifizierung, die Datenbank und unsere Server-Funktionen laufen bei Supabase, betrieben von Supabase, Inc. Supabase verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags (Art. 28 DSGVO). Die Server können in der EU oder in den USA stehen. Für Übermittlungen in Länder außerhalb der EU/des EWR gelten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und, soweit der Empfänger zertifiziert ist, das EU-US Data Privacy Framework.

Supabase speichert Kontodaten (Abschnitt 4), Workspace-Daten (Abschnitt 6), Zugangsdaten angebundener Tools (Abschnitt 7) und gehashte MCP-Tokens (Abschnitt 8). Server-Funktionen auf Supabase führen die geplanten Prüfungen aus, rufen die APIs angebundener Tools auf und versenden Benachrichtigungen.

6. Workspaces, Teammitglieder und Einladungen

In einem Workspace speichert dein Team die Daten, mit denen das Produkt arbeitet: Kampagnen, Journey-Schritte und die zu prüfenden URLs, Formular-IDs und Event-Namen, Prüfergebnisse und Belege (HTTP-Statuscodes, Antwortzeiten, API-Antworten, Zählwerte), Incidents, Notizen, Aufgaben, Freigabeanfragen und ein Aktivitätsprotokoll. Das Aktivitätsprotokoll hält fest, wer wann was getan hat, zum Beispiel welche Person eine Änderung freigegeben hat, damit jede Änderung nachvollziehbar bleibt.

Workspace-Admins können Kolleginnen und Kollegen per E-Mail-Adresse einladen und ihnen eine Rolle zuweisen. Wir speichern die eingeladene E-Mail-Adresse, die Rolle, die einladende Person und den Zeitpunkt der Einladung, bis die Einladung angenommen oder widerrufen wird. Die eingeladene Person erhält eine Einladungs-E-Mail (Abschnitt 4).

Rechtsgrundlage ist für Kontoinhaber Art. 6 Abs. 1 lit. b DSGVO. Für personenbezogene Daten anderer Personen, die ein Kunde in einen Workspace einträgt (zum Beispiel eingeladene Kolleginnen und Kollegen), handeln wir als Auftragsverarbeiter im Auftrag des Kunden (siehe Abschnitt 7).

7. Monitoring und angebundene Tools

Um eine Kampagnen-Journey zu überwachen, rufen unsere Server-Funktionen die von dir konfigurierten Landingpages und Ziel-URLs wie ein Browser ab und erfassen Statuscodes, Antwortzeiten, Weiterleitungen und ob Formulare und Tracking-Tags vorhanden sind.

Ein Workspace kann die folgenden Tools anbinden. Wir binden ein Tool nur an, wenn ein Mitglied des Workspaces seine Zugangsdaten eingibt, und wir rufen seine API nur für die Prüfungen und Aktionen auf, die im Workspace konfiguriert sind:

• HubSpot (HubSpot, Inc., USA): Formulare, Zahlen der Formulareinsendungen und Kontaktsuchen, um zu prüfen, dass Leads im CRM ankommen und einen Owner haben. Als Beleg speichern wir Zählwerte, Datensatz-IDs und Zeitstempel, nicht den Inhalt der Formulareinsendungen. Kontakte werden nur aktualisiert, nachdem ein Mitglied des Workspaces das freigegeben hat.
• Google Analytics 4 und Google Ads (Google Ireland Limited, Irland, und Google LLC, USA): Event-Zahlen, Kampagnenstatus und Ziel-URLs.
• Slack (Slack Technologies, LLC, USA): Benachrichtigungen zu Incidents und Freigaben, die in den Kanal des von dir angegebenen eingehenden Webhooks gepostet werden. Die Nachrichten enthalten Titel von Incidents oder Freigaben, Kampagnennamen und den Namen der Person oder des Agenten, die oder der eine Freigabe beantragt hat.
• Jira Cloud (Atlassian Pty Ltd, Australien, oder verbundene Unternehmen): für Incidents angelegte Tickets und ihr Status.
• Asana (Asana, Inc., USA): für Incidents angelegte Aufgaben und ihr Status.

API-Schlüssel und Tokens speichern wir serverseitig in einer Datenbanktabelle, die der Browser nicht lesen kann; die Datenbank ist bei Supabase im Ruhezustand verschlüsselt. Die Anwendung zeigt von einem gespeicherten Schlüssel nur einen maskierten Hinweis. Trennst du ein Tool, löschen wir seine gespeicherten Zugangsdaten.

Für Daten, die Kunden über das Produkt verarbeiten, einschließlich der Daten aus ihren angebundenen Tools, ist der Kunde Verantwortlicher und wir handeln als Auftragsverarbeiter nach Art. 28 DSGVO. Einen Auftragsverarbeitungsvertrag stellen wir auf Anfrage unter team@themarketingopsmanager.com bereit. Für die Verarbeitung innerhalb seines eigenen Dienstes ist der jeweilige Tool-Anbieter auf Grundlage der Vereinbarung des Kunden mit diesem Anbieter verantwortlich.

8. MCP-Server und KI-Assistenten

Das Produkt bietet einen Server für das Model Context Protocol (MCP), damit ein Workspace aus KI-Assistenten wie Claude, ChatGPT, Cursor oder einem anderen MCP-Client genutzt werden kann. Dafür erstellt ein Mitglied des Workspaces ein Zugriffstoken. Wir speichern nur einen kryptografischen Hash des Tokens zusammen mit seinem Namen, dem Client und dem Widerrufsstatus.

Wenn du einen KI-Assistenten verbindest, gehen die Daten, die er anfordert (zum Beispiel Kampagnen, Incidents und Freigaben deines Workspaces), an diesen Assistenten. Der Anbieter des Assistenten (zum Beispiel Anthropic, OpenAI oder Anysphere) verarbeitet diese Daten auf Grundlage deiner eigenen Vereinbarung oder der deiner Organisation mit diesem Anbieter; auf diese Verarbeitung haben wir keinen Einfluss. Änderungen an angebundenen externen Systemen, die ein KI-Assistent vorschlägt, werden erst ausgeführt, nachdem ein Mitglied des Workspaces sie freigegeben hat.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für Kundendaten handeln wir als Auftragsverarbeiter (Abschnitt 7).

9. Blog

Unser Blog unter themarketingopsmanager.com/de/blog/ läuft auf WordPress und wird von ALL-INKL.COM - Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, gehostet. Anfragen an den Blog werden über Netlify (Abschnitt 3) an diesen Server weitergeleitet. Beide Hoster verarbeiten die in Abschnitt 3 genannten Server-Log-Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. ALL-INKL.COM verarbeitet die Daten in unserem Auftrag auf Grundlage eines Auftragsverarbeitungsvertrags.

Wenn du einen Kommentar schreibst, speichern wir deinen Namen, deine E-Mail-Adresse, optional deine Website, den Kommentartext, die Uhrzeit und deine IP-Adresse. Name, Website und Kommentar werden veröffentlicht, die E-Mail-Adresse nicht. Kommentare werden mit dem WordPress-Plugin Antispam Bee auf Spam geprüft; es läuft auf unserem eigenen Server und sendet keine Daten an Dritte. Wir speichern Kommentare, bis der Beitrag gelöscht wird oder du uns bittest, deinen Kommentar zu entfernen. Wenn du die Option zum Speichern deiner Angaben anhakst, legt WordPress deinen Namen, deine E-Mail-Adresse und deine Website ein Jahr lang in Cookies in deinem Browser ab, damit du sie nicht erneut eingeben musst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a und f DSGVO.

Der Blog zeigt keine Gravatar-Profilbilder an, deshalb gehen keine Daten an Gravatar. Schriften im Blog liefern wir von unserem eigenen Server aus.

10. Zahlung und Abrechnung (Stripe)

Abonnements werden über Stripe bezahlt. Der Dienst richtet sich ausschließlich an Unternehmen. Wählt ein Owner oder Admin eines Workspaces einen Tarif, legt unser Server einen Stripe-Kunden für den Workspace an und leitet den Owner auf die von Stripe gehostete Stripe-Checkout-Seite weiter. Dort gibst du deine Karten- oder sonstigen Zahlungsdaten, deine Rechnungsadresse und, falls vorhanden, einen Aktionscode und eine Steuer-ID ein. Stripe verarbeitet diese Daten; deine vollständige Kartennummer sehen oder speichern wir nie.

Von Stripe erhalten und speichern wir: die Stripe-Kunden- und Abonnement-IDs, den Tarif, den Abonnementstatus, das Ende des laufenden Abrechnungszeitraums und ob das Abonnement zur Kündigung vorgemerkt wurde. Rechnungen stellt Stripe aus. Stripe sendet außerdem Zahlungsereignisse an unseren Server (Webhook), damit der Workspace entsprechend dem Zahlungsstatus Zugang erhält oder verliert.

Stripe Payments Europe, Ltd. (Irland) und Stripe, Inc. (USA) verarbeiten diese Daten. Für Übermittlungen in die USA stützen wir uns auf das EU-US Data Privacy Framework und die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Stripe handelt für Betrugsprävention und eigene gesetzliche Pflichten als eigenständig Verantwortlicher und im Übrigen als unser Auftragsverarbeiter; die Datenschutzerklärung von Stripe findest du unter stripe.com/privacy.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für den Einzug der Zahlung und die Verwaltung des Abonnements sowie Art. 6 Abs. 1 lit. c DSGVO für die Aufbewahrung von Rechnungen und Buchführungsunterlagen nach deutschem Handels- und Steuerrecht (§ 147 AO, § 257 HGB). Unsere eigenen Seiten laden keine Stripe-Skripte. Stripe kann auf seinen Checkout- und Abrechnungsportal-Seiten Cookies oder ähnliche Technologien einsetzen; dafür gelten die Richtlinien von Stripe.

11. Cookies und Browser-Speicher

Diese Website nutzt nur technisch notwendigen Speicher: deine Login-Sitzung und deine Cookie-Auswahl, die 6 Monate im Cookie cc_cookie gespeichert wird. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG. Optionale Statistik setzen wir nicht ein; sie würde nur mit deiner Einwilligung laufen (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Deine Auswahl kannst du jederzeit über "Cookie-Einstellungen" im Footer ändern.

Außer dem Cookie für die Cookie-Auswahl setzt die Webanwendung keine Cookies. Sie nutzt den lokalen Speicher deines Browsers nur für Funktionen, die du angefordert hast:

• deine Anmeldesitzung von Supabase Auth, damit du angemeldet bleibst
• Einstellungen der Oberfläche: der gewählte Workspace, der gewählte Zeitraum, der Zeitpunkt, zu dem du Benachrichtigungen zuletzt gelesen hast, und ob du die Checkliste für den Einstieg geschlossen hast

Dieser Speicher ist unbedingt erforderlich, um den von dir angeforderten Dienst bereitzustellen, daher ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Die anschließende Verarbeitung beruht auf Art. 6 Abs. 1 lit. b DSGVO. Die gespeicherten Daten kannst du jederzeit in den Einstellungen deines Browsers löschen; danach bist du abgemeldet. Zu den Kommentar-Cookies im Blog siehe Abschnitt 9.

12. Kontakt per E-Mail

Wenn du uns unter team@themarketingopsmanager.com schreibst, verarbeiten wir deine E-Mail-Adresse, deinen Namen, falls angegeben, und den Inhalt deiner Nachricht, um deine Anfrage zu beantworten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn sich deine Anfrage auf einen Vertrag oder dessen Anbahnung bezieht, andernfalls Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Beantwortung deiner Anfrage.

13. Empfänger im Überblick

• Netlify, Inc. (USA), über Bolt.new von StackBlitz, Inc. (USA): Hosting und Auslieferung von Website und Webanwendung
• Supabase, Inc.: Datenbank, Authentifizierung, Server-Funktionen und Konto-E-Mails
• Stripe Payments Europe, Ltd. (Irland) und Stripe, Inc. (USA): Zahlungsabwicklung, Rechnungen und Abrechnungsportal
• ALL-INKL.COM - Neue Medien Münnich (Deutschland): Hosting des Blogs
• Tools, die ein Kunde an einen Workspace anbindet (HubSpot, Google Analytics 4, Google Ads, Slack, Jira Cloud, Asana), nur auf Anweisung des Kunden
• KI-Assistenten, die ein Kunde über MCP verbindet, auf Grundlage der eigenen Vereinbarung des Kunden mit dem jeweiligen Anbieter

An Behörden geben wir Daten nur weiter, wenn wir gesetzlich dazu verpflichtet sind.

14. Zwecke, Rechtsgrundlagen und Speicherdauer

• Bereitstellung der Website (Server-Logs): IP-Adresse, Anfragedaten. Art. 6 Abs. 1 lit. f DSGVO. Empfänger: Netlify und ALL-INKL.COM. Der Hoster löscht sie nach kurzer Zeit, spätestens nach 30 Tagen, es sei denn, ein Sicherheitsvorfall erfordert eine längere Aufbewahrung.
• Konto und Login: Name, E-Mail-Adresse, Passwort-Hash, Zeitstempel. Art. 6 Abs. 1 lit. b DSGVO. Empfänger: Supabase. Gespeichert, bis du dein Konto löschst, danach gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
• Workspace-Daten (Kampagnen, Belege, Incidents, Freigaben, Aktivitätsprotokoll, Einladungen): Art. 6 Abs. 1 lit. b DSGVO und als Auftragsverarbeiter für den Kunden. Empfänger: Supabase. Gespeichert, bis der Workspace gelöscht wird oder der Kunde die Daten löscht. Einladungen bleiben gespeichert, bis sie angenommen oder widerrufen werden.
• Angebundene Tools und MCP: Zugangsdaten angebundener Tools und Hashes von MCP-Tokens. Art. 6 Abs. 1 lit. b DSGVO. Empfänger: Supabase und, auf Anweisung des Kunden, das angebundene Tool. Gespeichert, bis das Tool getrennt, das Token widerrufen oder der Workspace gelöscht wird.
• Zahlung und Abrechnung: Stripe-IDs, Tarif, Abonnementstatus, Abrechnungszeitraum, Rechnungen. Art. 6 Abs. 1 lit. b und lit. c DSGVO. Empfänger: Stripe. Rechnungen und Buchführungsunterlagen werden 10 Jahre aufbewahrt (§ 147 AO, § 257 HGB), Abonnementdaten so lange, wie der Workspace besteht.
• Sicherheit der Konten (Authentifizierungsereignisse): Art. 6 Abs. 1 lit. f DSGVO. Empfänger: Supabase. Gespeichert für einen kurzen, vom Anbieter festgelegten Zeitraum.
• Beantwortung von E-Mails: E-Mail-Adresse, Name, Nachricht. Art. 6 Abs. 1 lit. b oder f DSGVO. Gespeichert, solange es zur Bearbeitung der Anfrage nötig ist, länger nur, wenn gesetzliche Aufbewahrungspflichten gelten.
• Blog-Kommentare: Name, E-Mail-Adresse, Kommentartext, IP-Adresse. Art. 6 Abs. 1 lit. a und f DSGVO. Empfänger: ALL-INKL.COM. Gespeichert, bis der Beitrag gelöscht wird oder du uns bittest, den Kommentar zu entfernen.
• Cookie-Auswahl (Cookie cc_cookie): Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 25 Abs. 2 Nr. 2 TDDDG. In deinem Browser gespeichert für 6 Monate.

15. Deine Rechte

Du hast in Bezug auf deine personenbezogenen Daten die folgenden Rechte:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer Einwilligung jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Um deine Rechte auszuüben, schreib an team@themarketingopsmanager.com. Werden deine Daten im Workspace eines Kunden verarbeitet, leiten wir deine Anfrage an diesen Kunden als Verantwortlichen weiter.

Außerdem hast du das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Die für uns zuständige Behörde ist die Sächsische Datenschutz- und Transparenzbeauftragte, Devrientstraße 5, 01067 Dresden, Deutschland (www.datenschutz.sachsen.de).

16. Keine automatisierte Entscheidungsfindung

Wir nutzen keine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO. Die automatisierten Prüfungen des Produkts testen technische Systeme wie Webseiten, Formulare und Tracking; sie treffen keine Entscheidungen über Personen. Aktionen, die ein KI-Assistent für angebundene Systeme vorschlägt, muss eine Person freigeben, bevor sie ausgeführt werden.

17. Pflicht zur Bereitstellung von Daten

Du bist nicht verpflichtet, personenbezogene Daten bereitzustellen. Ohne die bei der Registrierung als erforderlich gekennzeichneten Daten können wir dir allerdings kein Konto anlegen. Ohne die Server-Log-Daten kann die Website nicht ausgeliefert werden.

18. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn sich das Produkt oder die rechtlichen Anforderungen ändern. Die aktuelle Fassung findest du immer auf dieser Seite.