Datenschutzerklärung

Tiki-Taka Media GmbH, Curschmannstraße 9, 20251 Hamburg, Deutschland („wir", „uns") ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für alle personenbezogenen Daten, die über die Plattform CrunchJunkie (app.crunchjunkie.io) und die Website crunchjunkie.io („Dienst") verarbeitet werden. Kontakt: hello@crunchjunkie.io Wir haben unsere Verarbeitungstätigkeiten bewertet und festgestellt, dass beim derzeitigen Umfang unserer Geschäftstätigkeit die Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO nicht zwingend erforderlich ist. Wir überprüfen diese Bewertung fortlaufend, während das Unternehmen wächst. Für alle datenschutzrechtlichen Anfragen wenden Sie sich bitte an hello@crunchjunkie.io.

Wir verarbeiten personenbezogene Daten zu den folgenden Zwecken und auf den folgenden Rechtsgrundlagen: 2.1 Kontoverwaltung (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung) Wir verarbeiten Ihren Namen, Ihre E-Mail-Adresse und (soweit einschlägig) einen Passwort-Hash, um Ihr Konto anzulegen und zu unterhalten und Ihnen Zugang zum Dienst zu verschaffen. Bei der Anmeldung über OAuth (Google) erhalten wir Ihren Namen, Ihre E-Mail-Adresse und Ihr Profilbild; Ihr Social-Media-Passwort erhalten wir nicht. 2.2 Erbringung des Dienstes (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung) Wir speichern die von Ihnen importierten Werbe- und Analysedaten (Werbekonto-Metriken, Kundennamen, Kampagnennamen, Berichtsinhalte) und verwenden sie ausschließlich, um Berichte darzustellen und die von Ihnen gebuchten Funktionen bereitzustellen. Diese Daten stammen von den Werbeplattformen, die Sie verbinden (z. B. Google Ads, Meta, LinkedIn), auf Grundlage der von Ihnen erteilten OAuth-Autorisierung. Bei verbundenen Google-Ads-Konten speichern wir außerdem den Änderungsverlauf des Kontos – was wann geändert wurde und von welchem Google-Ads-Nutzer (dessen E-Mail-Adresse, wie Google sie meldet). Die E-Mail-Adresse sehen nur Mitglieder Ihres Workspaces; in geteilten Berichten und PDFs erscheint sie nie, und sie wird nie an einen KI-Anbieter übermittelt. 2.3 Abrechnung und Rechnungsstellung (Art. 6 Abs. 1 lit. b DSGVO — Vertrag, Art. 6 Abs. 1 lit. c DSGVO — rechtliche Verpflichtung) Wir übermitteln Ihre Zahlungsinformationen an unseren Zahlungsdienstleister Stripe, Inc. Rechnungsrelevante Daten (Tarif, Betrag, Datum) bewahren wir so lange auf, wie es das deutsche Handels- und Steuerrecht verlangt (für Rechnungen derzeit 8 Jahre; § 257 HGB, § 147 AO). 2.4 Verbesserung des Dienstes und Sicherheit (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse) Wir erheben Seitenaufrufdaten, Protokolle zur Funktionsnutzung und Fehlerberichte. Unser berechtigtes Interesse besteht darin, Fehler zu diagnostizieren, Missbrauch zu verhindern und das Produkt zu verbessern. Diese Daten werden nicht für Werbe-Profiling verwendet. 2.5 Direkte Kommunikation (Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse, oder Art. 6 Abs. 1 lit. a DSGVO — Einwilligung, soweit erforderlich) Wir versenden transaktionsbezogene E-Mails (Passwort-Zurücksetzungen, Zustellung geplanter Berichte, wichtige Service-Hinweise). Werbe-E-Mails versenden wir nur mit Ihrer ausdrücklichen Einwilligung. Sie können Ihre Einwilligung jederzeit über den Abmeldelink oder per E-Mail an hello@crunchjunkie.io widerrufen. 2.6 Schlüssel für Ihre eigenen Anbieterkonten (Art. 6 Abs. 1 lit. b DSGVO — Vertragserfüllung) Wenn Sie optional Ihren eigenen Schlüssel eines KI-Anbieters (z. B. Anthropic, OpenAI, Google) hinterlegen, speichern wir diesen Schlüssel in verschlüsselter Form und verwenden ihn ausschließlich dazu, die von Ihnen ausgelösten Anfragen an KI-Funktionen zu erfüllen. Wir verwenden diesen Schlüssel zu keinem anderen Zweck. Wenn Sie Ihr eigenes DataForSEO-Konto für den Rank-Tracker verbinden, speichern wir dessen API-Login und API-Passwort in verschlüsselter Form und verwenden sie ausschließlich, um die von Ihnen eingerichteten oder gestarteten Suchen auszuführen. Das Passwort wird nach dem Speichern nie wieder angezeigt. 2.7 Demo-Buchungen (Art. 6 Abs. 1 lit. b DSGVO — vorvertragliche Maßnahmen auf Ihre Anfrage) Wenn Sie auf crunchjunkie.io/demo einen Demo-Termin buchen, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse und — sofern Sie sie angeben — Unternehmen, Website und Ihre Notiz sowie Ihre Zeitzone, um den Termin durchzuführen und Ihnen eine Bestätigung zu senden. Der Termin wird im Google Kalender des Gründers (Google Ireland Limited / Google LLC) mit einem Google-Meet-Link angelegt; Google versendet die Kalendereinladung. Name, E-Mail und Notiz stehen in diesem Kalendereintrag. Wir speichern Ihre IP-Adresse ausschließlich als Hashwert (nie die Adresse selbst), um automatisierten Missbrauch zu begrenzen. Über den Link in Ihrer Bestätigungs-E-Mail sagen Sie den Termin ab; er wird dann aus beiden Kalendern entfernt. Buchungsdaten löschen wir 12 Monate nach dem Termin. 2.8 Kostenlose Tools und Kontaktformular auf unserer Website (Art. 6 Abs. 1 lit. b DSGVO — Maßnahmen auf Ihre Anfrage; Art. 6 Abs. 1 lit. f DSGVO — berechtigtes Interesse) Auf unserer Website bieten wir einen kostenlosen KI-Sichtbarkeits-Check, ein kostenloses GEO-Audit und ein Kontaktformular an. Beim KI-Sichtbarkeits-Check und beim GEO-Audit speichern wir die eingegebene Website, das Ergebnis, die Sprache der genutzten Seite und, sofern Sie sie angeben, Ihre E-Mail-Adresse. Beim Kontaktformular speichern wir Ihren Namen, Ihre E-Mail-Adresse, Ihr Unternehmen, die Zahl Ihrer Kunden und Ihre Nachricht. In unserer Datenbank speichern wir Ihre IP-Adresse nur gekürzt: eine IPv4-Adresse mit 0 als letztem Block, eine IPv6-Adresse gekürzt auf ihre ersten 48 Bit. Die Anfrage selbst zählt unser Rate-Limiter eine Minute lang zu Ihrer vollständigen IP-Adresse (siehe Upstash in Abschnitt 3.1); danach löscht sich dieser Zähler selbst. Wir verwenden diese Daten, um Ihnen zu liefern, was Sie angefragt haben (das Ergebnis auf dem Bildschirm und, wenn Sie eine E-Mail-Adresse angegeben haben, den im Formular angebotenen Bericht per E-Mail; beim Kontaktformular unsere Antwort), und um zu begrenzen, wie oft die kostenlosen Tools pro Tag aus einem Netz genutzt werden können, damit sie nicht missbraucht werden (unser berechtigtes Interesse am Schutz des Dienstes und seiner Kosten). Die E-Mail-Adresse, die Sie in einem kostenlosen Tool angeben, verwenden wir nur, um Ihnen diesen Bericht zu senden; darüber hinaus kontaktieren wir Sie dazu nur, wenn Sie uns darum bitten. Beim GEO-Audit erfassen wir außerdem, ob die Bericht-E-Mail geöffnet wurde. Jede Eingabe geht außerdem per E-Mail an unser eigenes Postfach (hello@crunchjunkie.io), damit wir sie sehen und antworten können: bei einem kostenlosen Tool die Website, das Ergebnis und, falls angegeben, Ihre E-Mail-Adresse, beim Kontaktformular Ihre Nachricht und Angaben. Diese E-Mails bleiben in dem Postfach und werden nicht automatisch gelöscht; auf Ihre Bitte löschen wir sie. Beide Tools lesen die öffentlichen Seiten der eingegebenen Website, und der KI-Sichtbarkeits-Check stellt KI-Anbietern über unser eigenes Konto Fragen dazu. Ihre E-Mail- oder IP-Adresse geben sie dabei nicht weiter. 12 Monate nach dem Absenden löschen wir die Daten des KI-Sichtbarkeits-Checks und die Nachrichten aus dem Kontaktformular. Ein GEO-Audit-Ergebnis hat eine eigene Seite, die Sie teilen können. Diese Seite enthält keine personenbezogenen Daten, nur die geprüfte Website und ihre Bewertungen, und bleibt unter ihrem Link abrufbar; nach 12 Monaten löschen wir Ihre E-Mail-Adresse, die Angabe, ob Sie die Bericht-E-Mail geöffnet haben, und Ihre gekürzte IP-Adresse aus dem Datensatz des Audits.

Wir verkaufen Ihre personenbezogenen Daten nicht. Wir geben Daten nur an die folgenden Kategorien von Empfängern weiter: 3.1 Infrastruktur-Unterauftragsverarbeiter Wie nach Art. 28 DSGVO erforderlich, haben wir mit allen Unterauftragsverarbeitern, die personenbezogene Daten in unserem Auftrag verarbeiten, Auftragsverarbeitungsverträge geschlossen. Einzelne Unterauftragsverarbeiter erhalten ausschließlich nicht-personenbezogene Daten — etwa Suchanbieter, die Marken-, Themen- und Wettbewerbsbegriffe erhalten und keine Informationen über identifizierbare Personen; für diese ist kein AVV erforderlich. Unser Unterauftragsverarbeiter-Verzeichnis (Einstellungen → Daten & Speicherort sowie der exportierbare Bericht zu Datenstandort und Unterauftragsverarbeitern) weist pro Anbieter aus, ob ein AVV besteht und welche Übermittlungsgarantie gilt. Wo ein Anbieter keine veröffentlicht, steht das dort ausdrücklich — statt eine zu suggerieren. Die aktuelle Liste: • Vercel Inc. (USA) — Hosting, CDN, Ausführung von Serverless-Funktionen (Anwendungs-Compute) sowie Datei-/Objektspeicher (hochgeladene Logos und generierte Berichtsdateien). Datenregion: Frankfurt (fra1), EU. Übermittlungsgarantie: EU–US Data Privacy Framework + Standardvertragsklauseln. AVV: vercel.com/legal/dpa • Neon Inc. (USA) — PostgreSQL-Datenbank. Datenregion: Frankfurt (eu-central-1), EU. Übermittlungsgarantie: Standardvertragsklauseln. AVV: neon.tech/dpa • Upstash, Inc. (USA) — Gemeinsame Ratenbegrenzungs-Zähler für API- und Anmelde-Endpunkte (Anfragezähler je IP-Adresse; verfallen automatisch innerhalb von 15 Minuten). Datenregion: Frankfurt (eu-central-1), EU. Übermittlungsgarantie: Standardvertragsklauseln. AVV: upstash.com/static/trust/dpa.pdf • WorkOS, Inc. (USA) — OAuth-Autorisierungsserver für den MCP-Connector. Wenn Sie einen KI-Assistenten (zum Beispiel Claude oder ChatGPT) mit CrunchJunkie verbinden, erhält WorkOS Ihre Nutzer-ID, E-Mail-Adresse und Ihren Namen, um das Zugriffstoken dieses Assistenten auszustellen. Nur eingesetzt, wenn Sie einen MCP-Client verbinden. Übermittlungsgarantie: Standardvertragsklauseln. AVV: workos.com/legal/dpa • Stripe, Inc. (USA) — Zahlungsabwicklung. Übermittlungsgarantie: Standardvertragsklauseln. AVV: stripe.com/legal/dpa • Resend Inc. (USA) — Versand transaktionsbezogener E-Mails. Übermittlungsgarantie: Standardvertragsklauseln. 3.2 KI-Anbieter (KI-Funktionen und AI-Visibility-Scans) Wenn Sie Ihren eigenen KI-Schlüssel verwenden, werden Ihre Anfrage und die betreffenden Berichtsdaten an den API-Endpunkt desjenigen Anbieters gesendet, dessen Schlüssel Sie konfiguriert haben (z. B. api.anthropic.com, api.openai.com). Für diese Verarbeitung sind Sie der Verantwortliche; bitte prüfen Sie die Datenschutzerklärung und die Bedingungen des jeweiligen Anbieters gesondert. Einige KI-Schritte laufen über das eigene Anthropic-Konto von CrunchJunkie, unabhängig davon, ob Sie Ihren eigenen Schlüssel verwenden oder Managed AI nutzen: die AI-Visibility-Analysen (das aus Ihrer Website ausgefüllte Markenprofil, Einwände, Faktenprüfungen und Wettbewerbervorschläge), die KI-Erkenntnisse eines GEO-Audits sowie das Auslesen jeder AI-Visibility-Antwort, um die darin genannten Marken zu erkennen. Neue Antworten werden nur dann mit Ihrem eigenen Schlüssel ausgelesen, wenn als Schlüssel Ihres KI-Assistenten ein Anthropic-Schlüssel hinterlegt ist (Einstellungen → KI & API-Schlüssel); wenn wir gespeicherte Antworten erneut auslesen, um ihre Auswertung zu korrigieren (eine administrative Nachprüfung oder Neuauswertung), wird in jedem Fall unser Konto verwendet. Für diese Schritte erhält Anthropic, PBC (USA) die gespeicherten KI-Antworten, die von Ihnen hinterlegten Markenangaben (Marken- und Wettbewerbernamen, Markenfakten) sowie den Text der betreffenden Seiten und handelt dabei als unser Unterauftragsverarbeiter (Standardvertragsklauseln; siehe Unterauftragsverarbeiter-Verzeichnis). Wenn Sie den Rank-Tracker nutzen, werden die von Ihnen beobachteten Keywords sowie Ort, Sprache und Gerätetyp jeder Suche an DataForSEO über das von Ihnen verbundene Konto gesendet. Für diese Verarbeitung sind Sie der Verantwortliche; DataForSEO handelt über Ihr Konto und auf Grundlage Ihrer Vereinbarung mit DataForSEO. Bitte prüfen Sie dessen Datenschutzerklärung und Bedingungen gesondert. Keywords sind Suchbegriffe und enthalten in der Regel keine personenbezogenen Daten; geben Sie keine personenbezogenen Daten als Keywords ein. Wenn Ihr Workspace statt eines eigenen DataForSEO-Kontos ein Rank-Tracker-Budget nutzt, werden dieselben Daten über das Konto von CrunchJunkie an die DataForSEO OÜ (Estland) gesendet. DataForSEO handelt dann als unser Unterauftragsverarbeiter (siehe Liste der Unterauftragsverarbeiter); nach eigener Datenschutzerklärung bewahrt DataForSEO Auftragsdaten einschließlich der Keywords 365 Tage auf. Wenn Sie Managed AI aktivieren, führt CrunchJunkie die KI-Aufrufe mit eigenen Anbieterschlüsseln aus und setzt daher für die von Ihnen aktivierten Modelle/Funktionen die folgenden KI-Unterauftragsverarbeiter ein: OpenAI, L.L.C. (USA), Anthropic, PBC (USA), Google LLC (USA), Perplexity AI, Inc. (USA), X.AI LLC (USA), DeepSeek (China), Meta Platforms Ireland Limited (Irland, eingesetzt für Meta-AI-Sichtbarkeits-Scans; Verarbeitung durch die DPF-zertifizierte Meta Platforms, Inc., USA), SerpAPI, LLC (USA, eingesetzt zum Auslesen von Google AI Overviews, Google AI Mode und Microsoft Copilot) und Tavily (USA, eingesetzt für die ergänzende Websuche-Recherche in den Recherche- und Content-Brief-Funktionen). Bei allen genannten Anbietern werden der Prompt und die daraus resultierende KI-Antwort verarbeitet, um Ihre Sichtbarkeitsmetriken zu erzeugen. SerpAPI und Tavily erhalten ausschließlich nicht-personenbezogene Suchbegriffe (Marken-, Themen- und Wettbewerbsbegriffe). DeepSeek und Meta AI werden nur eingesetzt, wenn Sie das jeweilige Modell ausdrücklich aktivieren; DeepSeek verarbeitet Daten in China. Die Übermittlungsgarantien unterscheiden sich je Anbieter und sind in unserem Unterauftragsverarbeiter-Verzeichnis (Einstellungen → Daten & Speicherort sowie der exportierbare Bericht) pro Anbieter ausgewiesen: das EU–US Data Privacy Framework in Verbindung mit Standardvertragsklauseln für DPF-zertifizierte US-Anbieter (z. B. OpenAI, Google), das EU–US Data Privacy Framework allein für Meta AI (Vertragspartner in der EU, DPF-zertifizierte verarbeitende US-Gesellschaft), Standardvertragsklauseln für weitere Anbieter (z. B. Anthropic, Perplexity, xAI) und — für Anbieter, die keinen Übermittlungsmechanismus nach Art. 46 veröffentlichen (derzeit SerpAPI, Tavily und DeepSeek) — weist unser Verzeichnis dies offen aus, statt eine nicht bestehende Garantie zu suggerieren. In allen Fällen sendet CrunchJunkie Daten an KI-Anbieter ausschließlich infolge Ihrer Handlungen im Dienst — der Konfiguration eines Schlüssels, der Aktivierung von Managed AI, der Einrichtung von AI-Visibility-Scans oder GEO-Audits oder der Nutzung einer KI-Funktion. Training. CrunchJunkie verwendet Ihre Inhalte nicht, um KI- oder Machine-Learning-Modelle zu trainieren, und wir entwickeln keine eigenen Modelle. Wir binden KI-Unterauftragsverarbeiter über deren APIs ein; Bei den großen Anbietern (OpenAI, Anthropic, Google, Perplexity) werden über die API übermittelte Daten standardmäßig nicht zum Training ihrer Modelle verwendet. Einige optionale Anbieter verarbeiten API-Eingaben nach ihren eigenen Bedingungen: Nach ihren veröffentlichten Richtlinien können DeepSeek und Tavily übermittelte Eingaben zum Training oder zur Verbesserung ihrer Modelle nutzen — beide werden nur eingesetzt, wenn Sie das jeweilige Modell bzw. die jeweilige Funktion ausdrücklich aktivieren. Bei Verwendung Ihres eigenen Schlüssels gelten die API-Bedingungen Ihres Anbieters. Vertragliche Einzelheiten regeln unser AVV sowie der AVV des jeweiligen Anbieters. 3.3 Strafverfolgungsbehörden Wir können Daten offenlegen, sofern dies aufgrund einer wirksamen behördlichen Anordnung, einer gerichtlichen Entscheidung oder des geltenden Rechts erforderlich ist. Soweit rechtlich zulässig, werden wir Sie vor der Befolgung informieren. 3.4 Unternehmensübertragungen Sollte CrunchJunkie verkauft, verschmolzen oder umstrukturiert werden, können Ihre Daten unter denselben Datenschutzzusagen auf die Rechtsnachfolgerin übergehen.

Unsere primäre Infrastruktur — Anwendungs-Compute, Dateispeicher und Datenbank (Vercel, Neon) — befindet sich in der EU (Frankfurt). Soweit Daten an Unterauftragsverarbeiter in Drittländern (vorrangig in die Vereinigten Staaten und — nur wenn Sie das DeepSeek-Modell ausdrücklich aktivieren — nach China) übermittelt werden, stützen wir uns auf: • EU-Standardvertragsklauseln (SCC) gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission. • Das EU–US Data Privacy Framework (DPF), sofern der Unterauftragsverarbeiter zertifiziert ist. Einige optionale Unterauftragsverarbeiter veröffentlichen keinen Übermittlungsmechanismus nach Art. 46; unser Unterauftragsverarbeiter-Verzeichnis (Einstellungen → Daten & Speicherort) weist dies pro Anbieter aus, statt eine nicht bestehende Garantie zu suggerieren, und diese Anbieter erhalten ausschließlich nicht-personenbezogene Suchbegriffe oder werden nur nach Ihrer ausdrücklichen Zustimmung eingesetzt. Sie können eine Kopie des jeweils einschlägigen Übermittlungsmechanismus per E-Mail an hello@crunchjunkie.io anfordern.

• Konto- und Workspace-Daten: werden gespeichert, solange das Abonnement des Workspace läuft. Ist das Abonnement beendet (eines, dessen Zahlung noch eingezogen wird, ist nicht beendet), bewahren wir den Workspace 30 Tage auf, damit Sie ihn exportieren (Einstellungen → Deine Daten exportieren) oder wieder einen Tarif wählen können. Danach schreiben wir dem Inhaber bzw. den Inhabern des Workspace, und 7 Tage nach dieser E-Mail löschen wir den Workspace mit allem, was darin ist, zusammen mit jedem Login, der zu keinem anderen Workspace gehört; wird vor diesem Datum ein Tarif gewählt, bleibt alles erhalten. Ein pausiertes Abonnement („Abo pausieren & Daten behalten“) ist nicht beendet: Ihre Daten bleiben während der Pause bis zu 12 Monate gespeichert, danach erhalten der Inhaber bzw. die Inhaber dieselbe E-Mail mit 30 Tagen Vorlauf; eine Pause oder Kündigung, die beantragt wurde, bevor Pausen erfasst wurden, gilt ab dem Tag, an dem das Abonnement endete, als Pause. Ein Workspace mit einem individuell vereinbarten Paket wird gelöscht, wie vereinbart; einige weitere (etwa ein kostenlos gewährter oder einer mit unseren Mitarbeitern als Mitglied) prüfen wir und löschen sie von Hand. Rechnungen bewahren wir wie unten für Abrechnungsunterlagen angegeben auf. Löschen Sie Ihr Konto selbst, werden seine Daten innerhalb von 30 Tagen nach der Kontolöschung gelöscht oder anonymisiert. • Von Ihnen importierte Werbemetrik-Daten: werden bis zu 36 Monate gespeichert und danach gelöscht. • Google-Ads-Änderungsverlauf (einschließlich der E-Mail-Adresse des Google-Ads-Nutzers, der die Änderung vorgenommen hat): wird 25 Monate gespeichert und danach gelöscht. • Mit Ihrem Peec-Schlüssel aus Peec AI importierte Daten – die KI-Antworten mit ihren Quellen und den darin genannten Marken, die Sichtbarkeitswerte von Peec (gesamt und je Tag), die Prompts und die Fan-out-Anfragen: werden gespeichert, solange Peec verbunden ist, Fan-out-Anfragen höchstens 400 Tage. Das Trennen von Peec löscht alles davon, einen großen Import innerhalb weniger Minuten, zusammen mit den Analysen, die wir aus diesen Antworten erstellt haben; ein Prompt, den auch die eigenen Scans von CrunchJunkie abgefragt haben oder zu dem ein Content-Briefing erstellt wurde, bleibt erhalten, und ein Content-Briefing bleibt ohne seine Zitate aus Peec-Antworten erhalten. • Abrechnungsunterlagen: werden so lange gespeichert, wie es das deutsche Handels- und Steuerrecht verlangt (für Rechnungen derzeit 8 Jahre; § 257 HGB, § 147 AO). • Serverprotokolle und Fehler-Traces: werden 90 Tage gespeichert. • Protokoll der Änderungen über den MCP-Connector (welches Konto und welche Verbindung sie ausgelöst haben, welche Aktion und die IDs der geänderten Daten – nie der gesendete Text): wird 12 Monate gespeichert und danach gelöscht. • Kundenexporte (eine ZIP-Datei mit den Berichten und Daten eines Kunden, erstellt auf Anforderung eines Owners oder Admins des Workspaces): Die Datei wird 7 Tage nach ihrer Fertigstellung aufbewahrt und dann gelöscht; ein Export, der fehlschlägt oder abgebrochen wird, sofort. Der Nachweis, dass ein Export stattfand (wer ihn angefordert hat, wann, sein Status und seine Größe sowie wann er heruntergeladen wurde – nie sein Inhalt oder der Name des Kunden), wird 12 Monate gespeichert und danach gelöscht. • KI-API-Schlüssel: werden bei Entfernung oder Kontolöschung unverzüglich gelöscht. • Demo-Buchungen (Name, E-Mail, optional Unternehmen/Website/Notiz, Zeitzone, gehashte IP): 12 Monate nach dem Termin, danach gelöscht. • Kostenloser KI-Sichtbarkeits-Check und Kontaktformular (eingegebene Website, Ergebnis, optionale E-Mail-Adresse, auf /24 bzw. /48 gekürzte IP-Adresse; beim Kontaktformular Name, E-Mail, Unternehmen, Zahl der Kunden und Nachricht): 12 Monate, danach gelöscht. • Kostenloses GEO-Audit: E-Mail-Adresse, die Angabe, ob die Bericht-E-Mail geöffnet wurde, und die gekürzte IP-Adresse werden nach 12 Monaten gelöscht; die Ergebnisseite (geprüfte Website und ihre Bewertungen, keine personenbezogenen Daten) bleibt unter ihrem Link abrufbar. • Prüfung auf Selbstempfehlung in den Empfehlungsprogrammen (Abschnitt 11b, ab dem 29. Oktober 2026): Der mit einer Empfehlung erfasste Netzwerkteil von IP-Adressen (IPv4 /24, IPv6 /48) wird 12 Monate nach Erfassung der Empfehlung gelöscht; wird die Empfehlung dann noch auf Selbstempfehlung geprüft oder ist zu einer ihrer Zahlungen eine Rückbelastung offen, wird er in unserer nächsten täglichen Bereinigung gelöscht, nachdem die Prüfung entschieden oder die Rückbelastung abgeschlossen ist. Das zuletzt gesehene Netzwerk einer empfehlenden Person wird 12 Monate, nachdem es zuletzt gesehen wurde, gelöscht. • E-Mails an unser Postfach zu Eingaben in den kostenlosen Tools und zu Kontaktformular-Nachrichten: werden nicht automatisch gelöscht; auf Anfrage gelöscht. Sicherungskopien: Wir erstellen jede Nacht eine verschlüsselte Sicherung der Datenbank und bewahren sie 30 Tage lang auf; danach wird sie automatisch gelöscht. Wenn wir Ihre Daten im Livesystem löschen, können Kopien daher noch in diesen Sicherungen enthalten sein, bis die letzte betroffene Sicherung ausläuft — längstens 30 Tage. Sicherungen werden ausschließlich zur Wiederherstellung nach einem Ausfall eingespielt, niemals, um von Ihnen gelöschte Daten zurückzuholen. Sofern Sie vor Ablauf dieser Fristen eine Löschung verlangen, kommen wir Ihrem Verlangen nach, es sei denn, eine längere Aufbewahrungsfrist ist gesetzlich vorgeschrieben.

CrunchJunkie verwendet Cookies und ähnliche Speichertechnologien in drei Kategorien: • Unbedingt erforderlich: Anmeldung, Sicherheit, das Speichern Ihrer Cookie-Auswahl und das Merken des Empfehlungslinks, über den Sie gekommen sind (das Cookie „cj_ref“, siehe Abschnitt 11a). Ohne diese funktioniert die Website nicht; eine Einwilligung ist nicht erforderlich. • Analyse: Google Analytics, nur mit Ihrer Einwilligung, um zu verstehen, wie Website und Produkt genutzt werden. • Werbemessung: Cookies von Google Ads, Meta, Reddit und OpenAI (ChatGPT Ads), nur mit Ihrer Einwilligung, um zu messen, ob unsere eigenen Werbekampagnen auf diesen Plattformen wirken. Es laufen keine fremden Werbenetzwerke auf dieser Website, und wir verkaufen keine personenbezogenen Daten. Die vollständige, stets aktuelle Liste aller Cookies — Namen, Anbieter, Laufzeiten und Zwecke — zeigt die Tabelle unten. Sie wird aus demselben Register erzeugt, das auch unser Consent-Banner steuert, und kann daher nicht von der Realität abweichen. Vor dem Setzen nicht notwendiger Cookies wird Ihre Einwilligung eingeholt; auch serverseitige Events (Conversions-APIs) sind an dieselbe Einwilligung gebunden. Sie können Ihre Auswahl jederzeit über „Cookie-Einstellungen“ im Footer ändern oder widerrufen. Das Global-Privacy-Control-Signal respektieren wir, indem Werbung vorab deaktiviert wird. Über jede Einwilligung führen wir fünf Jahre lang einen Nachweis (zufällige Kennung, Auswahl und Policy-Version — nie Ihre IP-Adresse), wie Art. 7 Abs. 1 DSGVO es verlangt; danach wird er automatisch gelöscht.

Wir setzen die folgenden technischen und organisatorischen Maßnahmen (TOM) gemäß Art. 32 DSGVO um: • Verschlüsselung bei der Übertragung: Alle Verbindungen verwenden TLS 1.2 oder höher (HSTS erzwungen). • Verschlüsselung im Ruhezustand: KI-API-Schlüssel sowie OAuth-Access- und Refresh-Token werden vor der Speicherung auf Anwendungsebene mit AES-256-GCM verschlüsselt; die Datenbank selbst wird zusätzlich durch unseren Infrastrukturanbieter im Ruhezustand verschlüsselt. Passwörter werden mit bcrypt (Kostenfaktor 12) gehasht und niemals im Klartext gespeichert. • Mandantentrennung: Alle Datenbankabfragen werden auf Anwendungsebene auf die authentifizierte Team-ID beschränkt; ein mandantenübergreifender Datenzugriff wird architektonisch verhindert. • Zugriffskontrolle: Der Zugriff auf die Produktionsdatenbank ist auf einen minimalen Kreis autorisierter Personen beschränkt; Mehr-Faktor-Authentifizierung ist erforderlich; Zugriffe werden protokolliert und überprüft. • Rate Limiting: Authentifizierungs-Endpunkte und kritische API-Routen sind pro IP-Adresse ratenbegrenzt, um Brute-Force- und Credential-Stuffing-Angriffe zu verhindern. • Reaktion auf Vorfälle: Es besteht ein dokumentierter Prozess, um Datenschutzverletzungen zu erkennen, zu bewerten und innerhalb von 72 Stunden nach Kenntniserlangung gemäß Art. 33 DSGVO zu melden. Eine detaillierte Beschreibung unserer TOM finden Sie in unserem Auftragsverarbeitungsvertrag (siehe /legal/dpa).

Nach der DSGVO stehen Ihnen die folgenden Rechte zu, die Sie jederzeit per E-Mail an hello@crunchjunkie.io ausüben können: • Auskunft (Art. 15): eine Kopie der personenbezogenen Daten zu erhalten, die wir über Sie gespeichert haben. • Berichtigung (Art. 16): von uns die Korrektur unrichtiger oder unvollständiger Daten zu verlangen. • Löschung (Art. 17): von uns die Löschung Ihrer Daten zu verlangen („Recht auf Vergessenwerden"), soweit keine vorrangige Rechtsgrundlage entgegensteht. • Einschränkung der Verarbeitung (Art. 18): von uns zu verlangen, die Verarbeitung Ihrer Daten für die Dauer der Klärung einer Streitigkeit einzuschränken. • Datenübertragbarkeit (Art. 20): Ihre Daten in einem strukturierten, maschinenlesbaren Format zu erhalten. • Widerspruch (Art. 21): der auf berechtigtem Interesse beruhenden Verarbeitung zu widersprechen; wir stellen die Verarbeitung ein, sofern wir keine zwingenden Gründe nachweisen. • Widerruf der Einwilligung (Art. 7 Abs. 3): Beruht die Verarbeitung auf einer Einwilligung, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird. Wir beantworten alle überprüfbaren Anträge innerhalb von 30 Tagen (bei komplexen Anträgen um 2 Monate verlängerbar, mit entsprechender Mitteilung). Sie haben zudem das Recht, bei einer Aufsichtsbehörde Beschwerde einzulegen — wahlweise bei der Behörde Ihres Wohn- oder Arbeitsorts oder bei der für uns zuständigen Behörde. Da sich unser Sitz in Hamburg befindet, ist für uns zuständig: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) Ludwig-Erhard-Str. 22, 20459 Hamburg datenschutz-hamburg.de

Wir setzen keine automatisierte Entscheidungsfindung einschließlich Profiling ein, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), mit einer Ausnahme ab dem 29. Oktober 2026: der Prüfung auf Selbstempfehlung in den Empfehlungsprogrammen (Abschnitt 11b), die eine Empfehlungsprämie automatisch einbehalten oder stornieren kann. Diese Entscheidung ist für die Erfüllung des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO): Unsere Nutzungsbedingungen (Abschnitt 12b) und die Bedingungen des Markenbotschafter-Programms (Ziffer 7.2) sehen für Selbstempfehlungen keine Prämie vor. Sie können eine solche Entscheidung anfechten, Ihren Standpunkt darlegen und sie von einer Person überprüfen lassen, per E-Mail an hello@crunchjunkie.io (Art. 22 Abs. 3 DSGVO).

Der Dienst ist mit Werbe- und Analyseplattformen Dritter integriert (Google Ads, Meta, LinkedIn, TikTok usw.). Wenn Sie diese Plattformen über OAuth verbinden, gelten für die in deren Systemen gespeicherten Daten die jeweils eigenen Datenschutzerklärungen. Für deren Datenverarbeitungspraktiken sind wir nicht verantwortlich.

Wenn Sie ein Google-Konto verbinden (Google Ads, Google Analytics 4 oder Google Search Console), fordert CrunchJunkie über Google-APIs einen ausschließlich lesenden Zugriff auf Ihre eigenen Werbe- und Analysedaten an, um Ihnen diese Metriken in den von Ihnen erstellten Berichten und Dashboards wieder anzuzeigen. Die Verwendung und Weitergabe von Informationen, die CrunchJunkie über Google-APIs erhält, erfolgt im Einklang mit der Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy) einschließlich der Limited-Use-Anforderungen. Im Einzelnen: • Wir greifen nur auf diejenigen Google-Nutzerdaten zu, die erforderlich sind, um die von Ihnen angeforderten Reporting-Funktionen bereitzustellen und zu verbessern. • Wir verkaufen keine Google-Nutzerdaten und verwenden sie nicht für Werbezwecke. • Wir übermitteln Google-Nutzerdaten nicht an Dritte, außer soweit dies erforderlich ist, um den Dienst bereitzustellen oder zu verbessern (unsere in Abschnitt 3 aufgeführten Unterauftragsverarbeiter), um geltendes Recht einzuhalten, oder im Rahmen einer Verschmelzung/Übernahme unter gleichwertigen Zusagen. • Wir lassen nicht zu, dass Menschen Ihre Google-Nutzerdaten lesen, es sei denn, wir haben Ihre ausdrückliche Zustimmung für bestimmte Daten, es ist zu Sicherheitszwecken erforderlich (z. B. zur Untersuchung von Missbrauch), es dient der Einhaltung geltenden Rechts, oder die Daten sind für interne Zwecke aggregiert und anonymisiert. • OAuth-Token werden verschlüsselt gespeichert und ausschließlich zur Erfüllung der von Ihnen ausgelösten Funktionen verwendet. Das Trennen einer Integration in CrunchJunkie löscht das gespeicherte Token, sobald nichts anderes in Ihrem Workspace denselben Google-Login nutzt (siehe Anleitung zur Datenlöschung, Abschnitt 2). CrunchJunkie widerruft Google-Tokens nicht bei Google, weil ein Widerruf dort jede Berechtigung zurücknimmt, die Sie CrunchJunkie erteilt haben, auch die Ihrer anderen Google-Verbindungen; um den Zugriff von CrunchJunkie bei Google zu entziehen, entfernen Sie ihn jederzeit in den Einstellungen Ihres Google-Kontos (Sicherheit → Drittanbieter-Apps und -Dienste). Dasselbe gilt für Meta (Facebook: Einstellungen → Geschäftsintegrationen). Von den Plattformen, die Sie verbinden können, widerruft CrunchJunkie ein Token beim Anbieter selbst nur für Reddit Ads.

Wenn Sie sich für unser Markenbotschafter-Programm bewerben oder daran teilnehmen (geregelt durch die separaten Programmbedingungen), verarbeiten wir personenbezogene Daten über Sie als Programmteilnehmer:in — getrennt von den Daten, die wir über Sie als Kund:in verarbeiten. Dazu gehören: die in Ihrer Bewerbung angegebenen Daten (Name, E-Mail, Website, die Zielgruppe und Kanäle, über die Sie werben, Ihre Reichweiten-/Follower-Bereiche, Werbemethoden und eine etwaige Nachricht); Ihr Botschafter-Konto und Ihr Empfehlungslink; die Auszahlungsdaten, die Sie uns zur Zahlung Ihrer Provision mitteilen; sowie Aufzeichnungen über die Ihnen zugeordneten Empfehlungen und die berechnete Provision. Rechtsgrundlage sind die Erfüllung des Botschafter-Vertrags (Art. 6 Abs. 1 lit. b DSGVO) und unser berechtigtes Interesse am Betrieb des Programms und an der Betrugsprävention (Art. 6 Abs. 1 lit. f DSGVO). Wir speichern diese Daten, solange Sie teilnehmen, und danach so lange, wie es für steuerliche, buchhalterische und rechtliche Zwecke erforderlich ist. Wir geben die Identität eines geworbenen Kunden nicht an Sie weiter: Ihr Portal und die Programm-E-Mails zeigen nur eine anonyme Empfehlungs-Referenz und den Abonnementstatus, niemals den Namen des Kunden. Die Zuordnung von Empfehlungen erfolgt über das First-Party-Cookie „cj_ref“, das in Abschnitt 6 und in der Cookie-Tabelle unten beschrieben ist.

Dieser Abschnitt gilt ab dem 29. Oktober 2026. Ab diesem Tag gilt: Meldet sich jemand über einen Empfehlungslink an, im Kunden-Empfehlungsprogramm („Empfehlen & verdienen“) oder im Markenbotschafter-Programm, prüfen wir automatisch, ob es sich um eine Selbstempfehlung handelt: ob die empfehlende Person und der geworbene Kunde dieselbe Person sind oder unter gemeinsamer Kontrolle stehen. Zweck ist, Empfehlungsbetrug zu verhindern, damit für die Empfehlung der eigenen Person keine Prämie (Gutschrift oder Provision) gezahlt wird. Rechtsgrundlage ist unser berechtigtes Interesse, Empfehlungsbetrug zu verhindern (Art. 6 Abs. 1 lit. f DSGVO); bei Botschaftern zusätzlich die Erfüllung des Botschafter-Vertrags, dessen Bedingungen Selbstempfehlungen ausschließen (Art. 6 Abs. 1 lit. b DSGVO). Was wir für die Prüfung speichern: • nur den Netzwerkteil einer IP-Adresse, nie die vollständige Adresse: das IPv4-/24- bzw. IPv6-/48-Netz, aus dem die empfehlende Person zuletzt die Empfehlungsseite oder das Botschafter-Portal geöffnet hat (es wird auch mit jeder Empfehlung über ihren Link erfasst), und das, aus dem sich der geworbene Kunde angemeldet hat; • die Namen der Signale, die übereingestimmt haben (zum Beispiel „gleiche Firmen-E-Mail-Domain“), das Ergebnis der Prüfung, das Datum der Prüfung und einer etwaigen Überprüfung sowie die E-Mail-Adresse der Person bei CrunchJunkie, die den Fall geprüft hat. Was wir vergleichen, ohne es für die Prüfung zu speichern: die normalisierten E-Mail-Adressen und ihre Domains, die Rechnungs-E-Mail-Adresse und die Rechnungsadresse, jeweils aus Daten, die wir bereits haben; außerdem Fingerabdrücke von Zahlungskarten, die wir über unseren Zahlungsdienstleister Stripe vergleichen. Ein solcher Fingerabdruck kennzeichnet eine Karte, ohne sie offenzulegen; Kartennummern sehen wir nie. Was bei einer Übereinstimmung geschieht: Bei einer starken Übereinstimmung (zum Beispiel dieselbe E-Mail-Adresse, dieselbe Zahlungskarte oder die empfehlende Person war bei der Anmeldung bereits Mitglied des geworbenen Workspace) wird die Empfehlungsprämie automatisch einbehalten oder storniert. Eine schwache Übereinstimmung (zum Beispiel dieselbe Firmen-E-Mail-Domain oder dasselbe Netzwerk) prüft eine Person bei CrunchJunkie, die dann entscheidet. Die automatisierte Entscheidung ist für die Erfüllung des Vertrags erforderlich (Art. 22 Abs. 2 lit. a DSGVO): Unsere Nutzungsbedingungen (Abschnitt 12b) und die Bedingungen des Markenbotschafter-Programms (Ziffer 7.2) sehen für Selbstempfehlungen keine Prämie vor. Wird eine Prämie automatisch einbehalten oder storniert, können Sie die Entscheidung anfechten, Ihren Standpunkt darlegen und sie von einer Person überprüfen lassen (Art. 22 Abs. 3 DSGVO), per E-Mail an hello@crunchjunkie.io. Speicherdauer: Die mit einer Empfehlung erfassten Netzwerke werden 12 Monate, nachdem die Empfehlung erfasst wurde, gelöscht. Wird die Empfehlung dann noch auf Selbstempfehlung geprüft oder ist zu einer ihrer Zahlungen eine Rückbelastung offen (ein Zahlungsstreit mit der Bank des Kunden), bleiben sie gespeichert, bis die Prüfung entschieden oder die Rückbelastung abgeschlossen ist, und werden in unserer nächsten täglichen Bereinigung gelöscht. Das Netzwerk, aus dem eine empfehlende Person zuletzt die Empfehlungsseite oder das Botschafter-Portal geöffnet hat, wird 12 Monate, nachdem es zuletzt gesehen wurde, gelöscht, unabhängig davon, ob sich jemand über den Link angemeldet hat. Die Namen der übereinstimmenden Signale und das Ergebnis sind keine Netzwerkdaten; sie bleiben bei der Empfehlung gespeichert. Botschafter sehen immer nur eine anonyme Empfehlungs-Referenz und einen neutralen Status (etwa „nicht provisionsberechtigt“ oder „in Prüfung“). Die Identität des geworbenen Kunden und welches Signal übereingestimmt hat, sehen sie nie.

Wir können diese Datenschutzerklärung anpassen, wenn sich unser Dienst weiterentwickelt oder rechtliche Anforderungen sich ändern. Wesentliche Änderungen werden mindestens 14 Tage vor ihrem Inkrafttreten per E-Mail oder durch einen Hinweis in der Anwendung mitgeteilt. Das Datum der letzten Aktualisierung am Anfang dieser Seite gibt an, wann die jüngste Überarbeitung vorgenommen wurde. Die fortgesetzte Nutzung des Dienstes nach dem Wirksamkeitsdatum gilt als Kenntnisnahme der aktualisierten Datenschutzerklärung.