Datenschutz­erklärung

Diese Datenschutzerklärung gilt für die Marketing-Website https://zweigen.cloud sowie die Zweigen Web-Anwendung (App), die Opt-In-Funktionen (Launch-Angebote Warteliste, Rabatte, Produkt-Updates, Daten- und BI-Wissen) und unseren internen Adminbereich (Admin Console).

Wir verarbeiten Daten gemäß der DSGVO sowie dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG).

Die Website richtet sich ausschließlich an Unternehmer (§ 14 BGB).

Zweigen ist eine B2B-SaaS-Anwendung. Je nach Verarbeitung handeln wir als Verantwortlicher oder als Auftragsverarbeiter.

• Als Verantwortlicher verarbeiten wir Account-, Sicherheits-, Abrechnungs- und Support-Daten, die für Bereitstellung, Betrieb und Abwicklung des Dienstes erforderlich sind.
• Für Inhalte/Daten, die Kunden in Zweigen anbinden oder hochladen (Customer Content), handelt der Kunde in der Regel als Verantwortlicher. Wir verarbeiten diese Daten typischerweise als Auftragsverarbeiter auf Grundlage einer AVV/DPA (Art. 28 DSGVO).

Hinweis zu Betroffenenrechten: Wenn deine Daten in Customer Content enthalten sind (z. B. als Mitarbeiter eines Kunden), wende dich bitte an den jeweiligen Kunden (z. B. deinen Arbeitgeber). Für Anfragen zu deinen Zweigen-Accountdaten kannst du die DSAR-Funktionen im App-Datenschutz-Panel nutzen oder uns kontaktieren (support@zweigen.cloud).

Ein Datenschutzbeauftragter ist nicht benannt (nicht gesetzlich erforderlich).

Wir verarbeiten personenbezogene Daten auf Basis folgender Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO (Einwilligung): Webanalyse (PostHog), Opt-In-Mail-Updates.
• Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse): Betrieb und Sicherheit der Website, WAF-Filterung, Rate-Limits, Anti-Abuse, DOI-Nachweis.
• Art. 6 Abs. 1 lit. b DSGVO: vorvertragliche Kommunikation (E-Mail/Telefon).

Ein Widerruf ist jederzeit möglich über Cookie-Einstellungen oder E-Mail an support@zweigen.cloud.

Widerspruch (Art. 21 DSGVO): Gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO) kannst du jederzeit Widerspruch einlegen – z. B. per E-Mail an support@zweigen.cloud.

Für die Nutzung bestimmter Funktionen ist die Bereitstellung einiger Daten erforderlich:

• Account/Sign-in: Ohne geschäftliche E-Mail und erforderliche Authentifizierungsdaten können wir keinen Account bereitstellen.
• Abrechnung: Ohne Rechnungs- und Vertragsdaten (z. B. Firmenname, Rechnungsadresse; ggf. USt-IdNr. falls angegeben) können wir kostenpflichtige Leistungen nicht korrekt abrechnen.
• Optionales: Einwilligungsbasierte Webanalyse (PostHog) und Opt-In-Mail-Updates sind optional; der Dienst kann grundsätzlich auch ohne diese Einwilligung genutzt werden.

Die Server für unsere Website werden in europäischen Rechenzentren von OVHcloud S.A.S. (EU) betrieben. Die Domain-Verwaltung und unsere E-Mail-Postfächer erfolgen über mittwald CM Service GmbH & Co. KG (Deutschland/EU).

Wir nutzen einen OVHcloud Load Balancer mit Web Application Firewall (OWASP CRS) sowie eine selbst gehostete Observability-Lösung (OTEL/SigNoz, EU) und eine dedizierte Redis-Datenbank für Rate-Limits (EU).

Beim Aufruf unserer Website und API erfassen wir folgende Daten:

• IP-Adresse
• Datum und Uhrzeit
• Hostname, Pfad, HTTP-Methode, HTTP-Status
• User-Agent, ggf. Referrer
• Request-/Trace-ID, Rate-Limit-Entscheidung
• keine Request-Bodies

Zwecke: Auslieferung, Stabilität, Sicherheit, Missbrauchserkennung, Rate-Limits.

IP-Adressen werden nicht anonymisiert, jedoch ausschließlich für Sicherheits- und Betriebszwecke verwendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Stabilität, Sicherheit und Missbrauchserkennung).

Transportverschlüsselung nach Stand der Technik.

Wir nutzen das lokal gehostete Consent-Banner Klaro! zur Einholung und Dokumentation von Einwilligungen.

Verarbeitete Daten

• Consent-Status
• Zeitstempel
• pseudonyme Kennung

Storage-Eintrag

• Name: klaro
• Laufzeit: 365 Tage
• SameSite=Lax, Secure, Host-only
• Kategorie: notwendig

Rechtsgrundlage: § 25 Abs. 2 TDDDG (Consent-Storage technisch erforderlich), Art. 6 Abs. 1 lit. c/f DSGVO.

7.1 Notwendige Cookies

• klaro – Speicherung des Consent-Status (365 Tage).
• WAF-Sicherheits-Cookie (OVHcloud) – Angriffserkennung, ca. 30 Minuten.
• Kurzlebiger Opt-In-Manage-Cookie (sandbank.marketing_optin_manage, 30 Minuten) nach dem Exchange aus Mail-Links; kein Login-/Session-Cookie für den öffentlichen Opt-In-Flow.

7.2 Statistik-Tools (nur nach Einwilligung)

• PostHog Cookies/Storage: pseudonyme IDs, Ereignisse, technische Daten.

Für Login und Sicherheit der Zweigen App setzen wir essenzielle Cookies ein. Diese sind erforderlich, um den von dir ausdrücklich gewünschten Dienst bereitzustellen.

• App-Session-Cookie (__Host-sandbank.session-token, bis 4 Stunden)
• Gerätekennung (__Host-sandbank.device-id, bis 180 Tage)
• CSRF-Schutz (z. B. __Host-sandbank.csrf-token und __Host-sandbank.csrf-bff-token)
• Sprachwahl/Locale (sandbank.locale)

Die Gerätekennung dient nur dazu, ein bekanntes Browserprofil für Sicherheitsfunktionen wiederzuerkennen. Sie bleibt auch nach einem Logout bestehen und läuft spätestens nach der ausgewiesenen Frist ab; wir verwenden dafür kein Fingerprinting und keine präzise Geolokation.

Details zu Cookie-Namen, Laufzeiten und Kategorien findest du in der Cookie-Übersicht (Anhang).

Erfasst werden pseudonyme IDs, Events und technische Daten ausschließlich im Browser nach erteilter Einwilligung. API- und Worker-Aufrufe senden keine serverseitigen Product-Analytics-Events. Kein Third-Party-Transfer. Session-Replay ist standardmäßig deaktiviert. Speicherdauer der Events: bis zu 180 Tage.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Widerruf jederzeit über Cookie-Einstellungen.

Die Public-API /api/public/opt-in verarbeitet:

• E-Mail-Adresse, optional Name, Locale
• Präferenzen (Kategorien), UTM-Parameter, Path/Referrer
• Double-Opt-In-Token (nur Hash), DOI-Status
• Job-Metadaten (PgBoss), Zustellstatus beim Versanddienstleister

• Brevo: kein Tracking von Öffnungen/Klicks aktiviert.

Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG); Nachweis/Blacklist: Art. 6 Abs. 1 lit. f DSGVO.

Speicherdauer: aktive Abos bleiben bis zum Widerruf/Abmeldung gespeichert. Nach Abmeldung löschen wir E-Mail/Name (PII) und halten ausschließlich einen pseudonymen DOI-Nachweis (z. B. E-Mail-Hash, Zeitstempel, Status) für bis zu 3 Jahre vor.

Die Zweigen App ermöglicht es, externe Datenquellen (Integrationen) je nach Provider per OAuth2, Personal Access Token (PAT) oder Upload zu verbinden, um daraus BI-Auswertungen und Dashboards zu erstellen.

Zentrale Prinzipien: Zugangsdaten werden nur serverseitig verarbeitet, verschlüsselt gespeichert und niemals an den Browser herausgegeben. Datenabrufe bei Providern erfolgen ausschließlich serverseitig über allow-listed Egress-Ziele. Uploads werden ohne externe Provider-Authentifizierung verarbeitet.

Wichtig: Bei OAuth-Integrationen wirst du zur Authentifizierung/Autorisierung auf Seiten des jeweiligen Anbieters weitergeleitet. Diese Anbieter verarbeiten deine Daten in eigener Verantwortlichkeit. Bei PAT- oder Upload-Integrationen erfolgt keine solche Weiterleitung; die konkrete Rollen- und Retention-Logik ist in der nachstehenden Übersicht pro aktivem Provider ausgewiesen.

Wenn du Google Analytics 4 oder Google Search Console mit Zweigen verbindest, gibst du die Verbindung selbst über Google frei. Wir verarbeiten die für die Verbindung erforderlichen Zugriffs- und Verbindungsdaten sowie die von dir freigegebenen Google-Daten ausschließlich, um die gewählte Integration bereitzustellen, Daten zu synchronisieren, sie in Zweigen anzuzeigen und die Verbindung technisch zu sichern. Du kannst die Verbindung jederzeit wieder trennen. Rechtsgrundlage für die von dir aktivierte Integration ist Art. 6 Abs. 1 lit. b DSGVO; für technische Sicherheits- und Nachweisdaten Art. 6 Abs. 1 lit. f DSGVO.

Verarbeitete Daten (typischerweise)

• OAuth-Tokens oder PAT-Zugangsdaten (Access/Refresh/Expiry, Token/Endpoint), verschlüsselt gespeichert
• Account-/Provider-Identifier (z. B. providerSubject) und Ressourcen-IDs (z. B. Property/Site/Account), soweit der jeweilige Provider diese bereitstellt
• aggregierte Metriken, Observability-Signale oder importierte Datensätze als Read-Models bzw. Kundendatenbestand innerhalb der freigegebenen Produkt- und Governance-Grenzen

Löschung bei Disconnect (Full Purge)

Wenn du eine Integration trennst (Disconnect), starten wir einen asynchronen Purge-Job und löschen die zugehörigen Tokens, Bindings, Discovery-Snapshots/Indizes und alle daraus abgeleiteten Analytics-Daten aus dem Live-Store (Full Purge), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Es verbleibt nur minimale Audit-/Purge-Evidence; Backups folgen den gesondert beschriebenen Backup-Retentionen. Je nach Datenumfang kann die Löschung einige Minuten dauern.

Integrationen – Übersicht (aktiv)

Aufgeführt sind nur aktuell aktivierte Integrationen mit produktiver Verarbeitung. Geplante Provider werden erst bei echter Aktivierung und gleichzeitiger Aktualisierung von Datenschutz und AVV aufgenommen.

Anbieterunterlagen und Datenschutzinformationen

Google Analytics 4: Google API-Nutzungsbedingungen

Google Analytics 4: Google API Services User Data Policy

Google Analytics 4: GA4 Datenaufbewahrung

Google Search Console: Google API-Nutzungsbedingungen

Google Search Console: Google API Services User Data Policy

Google Search Console: Search Console Leistungsdaten

Für die Abrechnung und Erfüllung gesetzlicher Pflichten verarbeiten wir Vertrags- und Rechnungsdaten (z. B. Firma, Ansprechpartner, Rechnungsadresse, USt-IdNr. falls angegeben). Zahlungsabwicklung kann über Mollie erfolgen; vollständige Karten-/Kontodaten werden nicht in unseren Systemen gespeichert.

Aufbewahrung: Rechnungen und buchhalterische Nachweise werden in der Regel 10 Jahre aufbewahrt (gesetzliche Aufbewahrungspflichten).

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Pflichten bestehen. Für die App gelten außerdem technische Backup-Retentions.

Abweichend von den allgemeinen Backup-Fristen stellen wir für Inhalte aus den Google Business Profile APIs sicher, dass auch technische Sicherungen keine Speicherdauer von mehr als 30 Kalendertagen verursachen.

Für Betrieb, Support und Verwaltung nutzen wir einen internen Adminbereich (Admin Console). Der Zugriff ist ausschließlich autorisierten Personen vorbehalten und wird durch technische Maßnahmen abgesichert (u. a. zugangsbeschränkte Netzwerkumgebung, Rate-Limits) sowie durch Authentifizierung und rollenbasierte Berechtigungen (RBAC).

Verarbeitete Daten

• Administrationskonto: Benutzer-ID, E-Mail-Adresse, Rollen/Berechtigungen, Session-Key, MFA-Claims (soweit durch den IdP bereitgestellt).
• Mandanten- & Nutzerverwaltung: Organisations-/Tenant-IDs, Nutzer-IDs, Einladungen (E-Mail, Rolle, Status, Zeitstempel, invitedBy/revokedBy), Sperr-/Deaktivierungsgründe (falls angegeben).
• Support-Inbox: Support-Case IDs, Organisationsbezug, E-Mail-Adresse des Anfragenden, Status/Kategorie, Snippets und Antworttexte; ggf. Ticket-Referenzen (z. B. Zammad Ticket-ID/Link).
• Marketing/Opt-in Administration: Opt-in-Status/Präferenzen, Versandstatus (Outbox), Template-Key, Zustellstatus (ohne Open/Click-Tracking).
• API-Keys (Admin): Name, Prefix, Berechtigungen, Rate-Limits, Ablaufdatum (Plain-Key nur bei Ausgabe).
• Technische Daten & Audit: IP-Adresse, User-Agent, Request-ID, Zeitpunkt, Aktion/Resource (Audit-Logs).

Cookies/Storage (Adminbereich)

Der Adminbereich nutzt essenzielle, host-only Cookies/Storage-Keys zur Authentifizierung und Session-Sicherheit (Session, CSRF, Gerätekennung). Details zu Cookies/Storage der öffentlichen Flächen (Marketing + App) findest du in der Cookie-Übersicht (Anhang).

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/Support) und Art. 6 Abs. 1 lit. f DSGVO (Betrieb, Sicherheit, Missbrauchsprävention, Auditierbarkeit). Soweit erforderlich können außerdem gesetzliche Pflichten (Art. 6 Abs. 1 lit. c DSGVO) einschlägig sein (z. B. Compliance-/Aufbewahrungsvorgaben).

Empfänger/Auftragsverarbeiter: ZITADEL (Authentifizierung/IdP), OVHcloud (Hosting) sowie – wo einschlägig – Ticketing (self-hosted; Tool: Zammad). Tracking/Marketing-Analytics findet im Adminbereich nicht statt.

Hinweis: Der Adminbereich ist ein interner Bereich für Mitarbeitende/Operatoren und nicht für Kunden/Nutzer bestimmt.

Ein Teil der personenbezogenen Daten wird nicht unmittelbar bei dir erhoben, sondern stammt aus Kundenkontexten oder von angebundenen Anbietern.

• Customer Content: Daten, die ein Kunde in Zweigen verarbeitet, stellt uns der jeweilige Kunde bereit.
• Integrationen/OAuth: Nach Ihrer Autorisierung liefern angebundene Anbieter Daten an unsere serverseitigen Schnittstellen.
• Systemereignisse: Audit-, Sicherheits- und Workflow-Metadaten werden technisch aus der Nutzung generiert.

Soweit Art. 14 DSGVO einschlägig ist, informieren wir transparent über Kategorien, Zwecke, Empfänger und Speicherfristen. Bei Customer Content ist regelmäßig der jeweilige Kunde für die Primärinformation zuständig.

Daten: Name (sofern mitgeteilt), E-Mail-Adresse, Inhalt, Meta-/Headerdaten.

Empfänger: unser E-Mail-Provider mittwald CM Service GmbH & Co. KG (Deutschland/EU).

Speicher: bis Abschluss der Bearbeitung und darüber hinaus bis zu 12 Monate, sofern keine längeren gesetzlichen Aufbewahrungspflichten bestehen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Vertragsanbahnung) bzw. Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung von Anfragen).

Statische Links. Keine Datenübermittlung ohne Klick.

• keine Videos
• keine Karten
• keine Chat-Widgets
• keine Social-Plugins

• Auskunft
• Berichtigung
• Löschung
• Einschränkung
• Datenübertragbarkeit
• Widerspruch
• Widerruf von Einwilligungen

Ausübung: In der App findest du im Datenschutz-Panel Funktionen für Datenexport und Löschanfrage (DSAR). Alternativ kannst du uns per E-Mail kontaktieren: support@zweigen.cloud.

Wenn deine Daten in Customer Content eines Kunden enthalten sind, richte Anfragen bitte an den jeweiligen Kunden, da wir ohne Kundenbezug eine Zuordnung meist nicht vornehmen können.

Wir betreiben Zweigen grundsätzlich in der EU. Bei bestimmten Integrationen kann es jedoch anbieterbedingt zu Datenverarbeitungen außerhalb der EU/des EWR kommen.

• Wenn ein Angemessenheitsbeschluss der EU-Kommission vorliegt, stützen wir die Übermittlung hierauf.
• Andernfalls verwenden wir EU-Standardvertragsklauseln (Art. 46 DSGVO) und ergänzende technische/organisatorische Maßnahmen.
• Die konkrete Transferlage hängt vom jeweils verbundenen Anbieter und dessen Produktkonfiguration ab.

Weitere Informationen zu eingesetzten Transfermechanismen stellen wir auf Anfrage bereit (support@zweigen.cloud).

Du hast das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig für unser Unternehmen ist insbesondere das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, Deutschland.

Kein Profiling, keine automatisierten Entscheidungen.

Anpassungen bei Änderungen von Diensten, Rechtslage oder Technik. Die jeweils aktuelle Fassung ist auf dieser Seite verfügbar.

Unterauftragnehmer (Subprozessoren) verarbeiten personenbezogene Daten in unserem Auftrag, soweit dies für Hosting, Betrieb und Support erforderlich ist. Wir setzen – derzeit – nur Subprozessoren innerhalb der EU ein.