Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der DSGVO ist:

Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten besteht derzeit nicht (derzeit weniger als 20 Personen, die regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind). Bei Datenschutzanfragen wenden Sie sich bitte an die vorstehende Adresse.

2. Erhobene Daten

Wir erheben und verarbeiten folgende personenbezogene Daten:

• E-Mail-Adresse und Passwort (Registrierung / Authentifizierung)
• Geschäftsprofil: Name, Art des Geschäfts, Stadt, Beschreibung, Tonalität, Logo, Markenfarben
• Von Ihnen erstellte Inhalte: Posts, Produktdaten, Ideen, hochgeladene Medien (Bilder/Videos)
• Verbundene Social-Media-Accounts (Plattform-Name, Account-ID, Zugriffs-/OAuth-Token; siehe Ziffer 6)
• Abrechnungs- und Vertragsdaten (Rechnungsdaten, Abo-Status, Zahlungshistorie; Zahlungsmittel werden ausschließlich vom Zahlungsdienstleister verarbeitet, siehe Ziffer 13)
• Aktivitätsprotokolle: Aktionen, IP-Adresse (wird vollständig gespeichert und nach 30 Tagen anonymisiert), Browser-Typ
• Einwilligungszeitpunkte (Consent-Timestamps bei Registrierung)

3. Zweck der Verarbeitung und Rechtsgrundlagen

• Bereitstellung der elSobo-Plattform (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO)
• KI-gestützte Generierung von Social-Media-Texten, Bildern und Videos (Einwilligung, Art. 6 Abs. 1 lit. a DSGVO)
• Automatisierte Veröffentlichung auf Social-Media-Plattformen (Vertragserfüllung, Art. 6 Abs. 1 lit. b DSGVO)
• Trend- und Themenrecherche für Content-Ideen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO)
• Sicherheit, Stabilität und Missbrauchsprävention (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO)
• Abrechnung und Erfüllung steuer-/handelsrechtlicher Aufbewahrungspflichten (Art. 6 Abs. 1 lit. b und c DSGVO)

4. Einsatz von KI-Diensten

Die Verarbeitung durch die nachfolgenden KI-Dienste erfolgt auf Grundlage Ihrer ausdrücklichen Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie bei der Registrierung erteilen und jederzeit mit Wirkung für die Zukunft widerrufen können.

Anthropic, PBC (Claude API) — Textgenerierung. Zur Erstellung von Social-Media-Texten werden folgende Daten übermittelt: Ihr Geschäftsprofil (Name, Art des Geschäfts, Stadt, Beschreibung, Tonalität), Ihre Eingaben sowie Produktdaten (falls ausgewählt). Es werden keine Kundendaten Dritter übermittelt. Verarbeitung in den USA auf Basis von EU-Standardvertragsklauseln (SCCs, Art. 46 DSGVO) gemäß dem Data Processing Addendum von Anthropic.

OpenAI (ChatGPT API) — Textgenerierung und Assistenzfunktionen. Zur Erstellung und Optimierung von Social-Media-Texten können folgende Daten übermittelt werden: Ihr Geschäftsprofil (Name, Art des Geschäfts, Stadt, Beschreibung, Tonalität), Ihre Eingaben im Composer sowie Produktdaten (falls ausgewählt). Bitte geben Sie keine personenbezogenen Daten Dritter in Freitextfeldern ein, sofern hierfür keine Rechtsgrundlage besteht. Die Verarbeitung kann außerhalb der EU stattfinden; die Übermittlung erfolgt auf Grundlage geeigneter Garantien (insbesondere EU-Standardvertragsklauseln nach Art. 46 DSGVO) gemäß den Vertragsbedingungen von OpenAI.

Google LLC (Gemini API) — Bildgenerierung und -verbesserung. Zur KI-gestützten Bildgenerierung und -bearbeitung werden Ihr Geschäftsprofil sowie von Ihnen hochgeladene Bilder/Medien an Google übermittelt. Hinweis: Achten Sie darauf, keine Bilder mit erkennbaren Personen ohne deren Einwilligung hochzuladen. Verarbeitung in den USA auf Basis von SCCs.

Freepik Company S.L.U. (Freepik AI) — Bild- und Videogenerierung. Für erweiterte Bild- und Videofunktionen (u. a. Bild-zu-Video, Outpainting/Erweitern, Inpainting, Relight, Stiltransfer) werden von Ihnen bereitgestellte Bilder sowie Ihre Generierungs-Eingaben an Freepik übermittelt. Freepik ist ein in Spanien (EU) ansässiges Unternehmen; ein Drittlandtransfer findet nicht statt. Anschrift: Calle Molina Lario 13, 29015 Málaga, Spanien.

5. Externe Datenquellen (Content-Ideen)

Um Ihnen relevante Content-Ideen und Trends vorzuschlagen, ruft elSobo serverseitig (d. h. vom elSobo-Server, nicht von Ihrem Gerät) öffentliche Quellen ab. Dabei werden keine personenbezogenen Daten von Ihnen übermittelt — es werden lediglich allgemeine Anfragen gestellt:

• Google Trends — Trending Topics Deutschland
• Google News RSS — Aktuelle Nachrichten
• Wikipedia Pageviews API — Meistgesuchte Themen
• Öffentliche Feiertage-API (nager.date) — Feiertage DE/AT/CH
• OpenMeteo API — Wetter (serverseitig, keine persönliche Location)
• Pexels — Suche nach lizenzfreien Stockfotos; übermittelt werden ausschließlich Suchbegriffe und die Server-IP
• RSS-Feeds (bild.de und von Ihnen hinzugefügte eigene Feeds)

Diese Anfragen werden mit dem User-Agent elSobo-Creative/1.0 gestellt. Die Server-IP-Adresse (nicht Ihre persönliche IP) wird dabei an diese Dienste übermittelt. Die Datenschutzrichtlinien dieser Anbieter gelten für deren eigene Verarbeitung.

6. Social-Media-Veröffentlichung und verbundene Konten

Zur automatisierten Veröffentlichung von Posts auf Social-Media-Plattformen nutzen wir den Dienst getLate.dev, betrieben von ARBICHAT, S.L., Carrer Mallorca 2A, 17230 Palamós, Girona, Spanien. Da getLate.dev ein EU-ansässiges Unternehmen ist, findet kein Drittlandtransfer statt.

Über getLate.dev können Sie Konten der folgenden Plattformen verbinden: Instagram, Facebook, Threads (Meta), LinkedIn, TikTok, X (Twitter), YouTube, Google Business, Pinterest, Snapchat, Reddit, Bluesky sowie Telegram. getLate.dev fungiert dabei als technischer Vermittler des OAuth-Anmeldevorgangs gegenüber der jeweiligen Plattform.

OAuth-Zugriffstoken: Beim Verbinden eines Kanals wird ein Zugriffs-Token (OAuth-Token) erzeugt, das die Veröffentlichung in Ihrem Namen ermöglicht. Dieses Token wird zweckgebunden zur Veröffentlichung gespeichert und kann jederzeit durch Trennen des Kanals in den App-Einstellungen widerrufen werden; mit der Trennung wird das Token gelöscht. Bei der Veröffentlichung werden Post-Texte, Medien und die zur Zuordnung erforderlichen Account-Daten an getLate.dev und von dort an die jeweilige Plattform übermittelt.

7. Rolle als Auftragsverarbeiter für verbundene Kanäle

Soweit über die verbundenen Social-Media-Konten personenbezogene Daten Dritter verarbeitet werden (z. B. Profilangaben, Kommentare oder Direktnachrichten von Personen, die mit Ihren Kanälen interagieren), verarbeiten wir diese Daten in Ihrem Auftrag. Insoweit sind Sie der datenschutzrechtlich Verantwortliche und wir handeln als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Grundlage hierfür ist der mit Ihnen geschlossene Auftragsverarbeitungsvertrag (AVV), den wir Ihnen als Geschäftskunden zur Verfügung stellen.

8. Hosting und Infrastruktur

Der Betrieb von elSobo erfolgt auf Servern in Deutschland. Die Server-Infrastruktur sowie die nachstehend in den Ziffern 9 und 10 genannten selbst betriebenen Dienste (Reichweitenmessung, Fehlerprotokollierung, Video-Rendering) werden für den Verantwortlichen durch Team-Maid, Inhaber Sebastian Drawert, als Auftragsverarbeiter bereitgestellt; die zugrundeliegende Server-Hardware wird von der Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Rechenzentren in Deutschland), bereitgestellt. Mit beiden Dienstleistern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Ein Drittlandtransfer findet nicht statt.

9. Webanalyse und Reichweitenmessung

Umami Analytics (Reichweitenmessung) — auf eigenem Server. Wir betreiben eine eigene Instanz der Open-Source-Software Umami (Server in Deutschland). Erhoben werden ausschließlich aggregierte, cookielose Reichweiten-Daten: aufgerufene Seite (Pfad), Referrer, Browser-Typ, Betriebssystem, Bildschirmgröße, ungefähre Region (Land/Stadt aus anonymisierter IP). IP-Adressen werden nicht gespeichert, sondern nur kurzzeitig zur Hash-basierten Wiedererkennung innerhalb desselben Tages genutzt. Es werden keine Cookies gesetzt und keine Daten an Dritte übermittelt. Rechtsgrundlage: berechtigtes Interesse an Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO).

Session-Recorder — nur nach Einwilligung. Optional zeichnen wir mit dem Umami-Recorder Bildschirminteraktionen (Klicks, Scrollen, Mausbewegungen) auf, um Usability-Probleme zu erkennen. Eingaben in Formularen sowie sensible Inhalte werden serverseitig maskiert. Die Aufzeichnung erfolgt ausschließlich nach Ihrer aktiven Einwilligung über den Cookie-Banner und kann jederzeit widerrufen werden. Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

10. Fehler- und Systemprotokollierung

Zur Aufrechterhaltung der Sicherheit und Stabilität der Anwendung betreiben wir eine eigene Instanz der Open-Source-Software Bugsink (Sentry-kompatibel) auf einem Server in Deutschland (Hetzner). Bei Auftreten technischer Fehler werden folgende Daten erfasst: Fehler-Stack-Trace, betroffene URL, Zeitstempel, Browser-Typ, ggf. Ihre User-ID (zur Zuordnung), nicht aber Inhalte Ihrer Posts oder hochgeladenen Medien. Speicherdauer: maximal 90 Tage. Rechtsgrundlage: berechtigtes Interesse an Fehlerbehebung und IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO).

11. Push-Benachrichtigungen via Telegram (optional)

Optional können Sie Ihr Telegram-Konto verbinden, um Benachrichtigungen über veröffentlichte Posts, Fehler oder neue Funktionen zu erhalten. Dabei werden Ihre Telegram-Chat-ID sowie der Inhalt der jeweiligen Benachrichtigung über die Telegram Bot API (Telegram FZ-LLC, Sitz in den Vereinigten Arabischen Emiraten) übertragen. Es handelt sich um einen Drittlandtransfer; eine Angemessenheitsentscheidung der EU-Kommission besteht nicht. Wir stützen die Übermittlung auf Ihre ausdrückliche Einwilligung (Art. 49 Abs. 1 lit. a DSGVO), die Sie jederzeit durch Trennen der Telegram-Verbindung in den App-Einstellungen widerrufen können.

12. E-Mail-Versand

Transaktionale E-Mails (Bestätigungen, Passwort-Reset, Rechnungen, System-Benachrichtigungen) verschicken wir über die SMTP-Server der STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Verarbeitet werden dabei Ihre E-Mail-Adresse, der Betreff und der Inhalt der jeweiligen Nachricht. Ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO liegt vor. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

13. Zahlungsabwicklung

Für die Abwicklung von Abos und Einmalkäufen nutzen wir Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Zahlungsdaten (Kreditkartennummer, Bankverbindung) werden ausschließlich von Stripe verarbeitet und gelangen nicht auf unsere Server. elSobo erhält von Stripe lediglich Status-Informationen (Zahlung erfolgreich, fehlgeschlagen etc.) sowie eine pseudonyme Kunden-ID. Bei Übermittlungen in die USA gelten die EU-Standardvertragsklauseln und die Zertifizierung im EU-US Data Privacy Framework.

14. Auftragsverarbeiter und Subprozessoren

SCCs = EU-Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO für Drittlandtransfers. AVV = Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO (innerhalb der EU sind keine SCCs erforderlich).

15. Speicherdauer

• Kontodaten: bis zur Konto-Löschung durch den Nutzer
• IP-Adressen in Aktivitätsprotokollen: werden nach 30 Tagen automatisch anonymisiert
• Aktivitätsprotokolle: werden nach 90 Tagen vollständig gelöscht
• Posts und Inhalte: bis zur Löschung durch den Nutzer oder Konto-Löschung
• Abrechnungs-/Rechnungsdaten: gemäß den gesetzlichen Aufbewahrungsfristen (§ 257 HGB, § 147 AO; bis zu 10 Jahre)
• Einwilligungs-Timestamps: bis zur Konto-Löschung (gesetzliche Nachweispflicht)

16. Schriftarten

elSobo bindet Schriftarten ein, die beim Build-Prozess einmalig heruntergeladen und vom eigenen Server ausgeliefert werden (Self-Hosting via Next.js). Es werden keine Anfragen an Google-Server durch Ihren Browser gestellt.

17. Cookies und vergleichbare Technologien

Technisch notwendige Cookies: elSobo setzt Session-Cookies für die Authentifizierung. Diese sind für den Betrieb der Anwendung zwingend erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG) und werden ohne Einwilligung gesetzt.

Lokale Speicherung (localStorage): Persönliche UI-Einstellungen (z. B. Dark-Mode, gewählte Markenfarben, Status der Cookie-Einwilligung) werden ausschließlich im Local Storage Ihres Browsers abgelegt und nicht an unsere Server übertragen.

Einwilligungsbedürftige Technologien: Der unter Ziffer 9 beschriebene Session-Recorder wird ausschließlich nach Ihrer aktiven Einwilligung über den Cookie-Banner geladen (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ihre Entscheidung wird im Local Storage gespeichert und kann jederzeit über den Link „Cookie-Einstellungen“ im Footer geändert werden.

Die cookielose Reichweitenmessung (Umami Counter, Ziffer 9) wird ohne Einwilligung durchgeführt, da sie weder Cookies setzt noch eine Wiedererkennung über Browser-Sessions hinaus ermöglicht. Sie stützt sich auf unser berechtigtes Interesse an Reichweitenmessung.

18. Ihre Rechte

• Auskunft (Art. 15 DSGVO): welche Daten wir über Sie haben
• Berichtigung (Art. 16 DSGVO): Korrektur falscher Daten
• Löschung (Art. 17 DSGVO): vollständige Konto-Löschung direkt in den Einstellungen
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO): JSON-Export aller Daten in den Einstellungen
• Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO): jederzeit, z. B. für die KI-Verarbeitung
• Widerspruch (Art. 21 DSGVO): gegen Verarbeitung auf Basis berechtigter Interessen

Für Anfragen wenden Sie sich an: hallo@elsobo.de

Sie haben außerdem das Recht, Beschwerde bei einer Datenschutzaufsichtsbehörde einzureichen. Für den Verantwortlichen zuständig ist die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI), Alt-Moabit 59–61, 10555 Berlin, mailbox@datenschutz-berlin.de.

19. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, sobald Änderungen der von uns durchgeführten Datenverarbeitungen dies erforderlich machen. Es gilt die jeweils auf elsobo.de bzw. app.elsobo.de veröffentlichte aktuelle Fassung.