Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

DigifyNow GmbH
Grenzweg 9a
57648 Unnau
Deutschland
E-Mail: info@DigifyNow.de
Telefon: 02662 5004345
Website: www.DigifyNow.de

Vertreten durch die Geschäftsführer: Jesper Schmidt und Christian Schiebl

2. Datenschutzbeauftragter

Wir haben keinen Datenschutzbeauftragten bestellt. Bei Datenschutzfragen erreichen Sie uns unter den in Ziffer 1 genannten Kontaktdaten.

3. Geltungsbereich dieser Datenschutzerklärung

Diese Datenschutzerklärung gilt für:

unsere Website(s) und Online-Präsenzen,
unsere B2B-SaaS-Anwendungen sowie eigene Apps/Web-Apps,
die Kommunikation mit Interessenten, Kunden und Nutzern,
sowie die damit verbundenen Systeme/Tools (z. B. CRM/ERP, Hosting, Newsletter-/E-Mail-Infrastruktur).

4. Begriffe & Grundsätze

Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Wir verarbeiten personenbezogene Daten nur, soweit dies gesetzlich erlaubt ist (z. B. zur Vertragserfüllung, aufgrund Einwilligung, zur Erfüllung rechtlicher Pflichten oder auf Grundlage berechtigter Interessen) und nur im erforderlichen Umfang.

5. Kategorien betroffener Personen

Je nach Nutzung verarbeiten wir Daten von:

Besuchern unserer Website(s),
Interessenten/Ansprechpartnern bei Unternehmen,
Kunden (B2B) und deren Mitarbeitern/Nutzern,
Nutzern des kostenlosen SEO-Audits auf seo.digifynow.de (siehe Ziffer 22),
Ansprechpartnern bei Unternehmen, die wir für Werbung per Brief aus allgemein zugänglichen Quellen recherchieren (siehe Ziffer 23),
Kommunikationspartnern (E-Mail/Telefon/Meetings).

6. Zwecke der Verarbeitung und Rechtsgrundlagen (Überblick)

Wir verarbeiten personenbezogene Daten insbesondere zu folgenden Zwecken:

Bereitstellung der Website und IT-Sicherheit (Art. 6 Abs. 1 lit. f DSGVO)
Protokoll der Suchmaschinen-Crawler (Art. 6 Abs. 1 lit. f DSGVO, siehe Ziffer 7.3)
Anbahnung/Abschluss/Abwicklung von Verträgen (Art. 6 Abs. 1 lit. b DSGVO)
Kundenkommunikation und Support (Art. 6 Abs. 1 lit. b und/oder lit. f DSGVO)
Rechnungsstellung/Buchhaltung/Steuerrecht (Art. 6 Abs. 1 lit. c DSGVO)
Marketing/Newsletter (i. d. R. Art. 6 Abs. 1 lit. a DSGVO – Einwilligung; ggf. Art. 6 Abs. 1 lit. f DSGVO bei B2B-Bestandskunden im rechtlich zulässigen Rahmen)
Produktverbesserung/Fehleranalyse/Statistik (Art. 6 Abs. 1 lit. f DSGVO, soweit zulässig; ggf. Einwilligung bei Cookies/Tracking)
Kostenloser SEO-Audit auf seo.digifynow.de und Zusendung des Berichts (Art. 6 Abs. 1 lit. b DSGVO; Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO; Kontaktaufnahme und Tracking nur mit Einwilligung, siehe Ziffer 22)
Recherche von Ansprechpartnern bei Unternehmen und Werbung per Brief (Art. 6 Abs. 1 lit. f DSGVO, siehe Ziffer 23)

7. Website: Server-Logfiles, Hosting, Sicherheit

7.1 Server-Logfiles

Beim Aufruf unserer Website werden technisch notwendige Daten verarbeitet, die Ihr Browser an unseren Server übermittelt (z. B. IP-Adresse, Datum/Uhrzeit, abgerufene Seite/Datei, Referrer-URL, Browser/OS, Provider, Statuscodes).

Zweck: Auslieferung der Website, Stabilität, Fehleranalyse, Missbrauchserkennung, IT-Sicherheit.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

7.2 Hosting/Infrastruktur

Unsere Website(n), Apps und Systeme können – je nach Produkt/Umgebung – bei folgenden Dienstleistern betrieben werden:

Neul-IT (Hosting/Server/Managed-Leistungen, je nach Vertrag)
Amazon Web Services (AWS) (Cloud-Infrastruktur, je nach Region/Setup)
Heroku (Plattform-Hosting, je nach Produkt/Setup)
Railway (Railway Corporation, 548 Market St PMB 68956, San Francisco, California 94104, USA): Hosting dieser Website (digifynow.de). Server und Datenträger stehen in der Railway-Region „EU West“ (Amsterdam, Niederlande).
Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA): Auslieferung dieser Website (digifynow.de), siehe Ziffer 7.4.

Für diese Website (digifynow.de) hält Railway jede Anfrage, die unseren Server erreicht, im Protokoll unseres Dienstes fest, mit Zeitpunkt, Domain, Pfad, Abrufmethode, Statuscode, Dauer, IP-Adresse und Browserkennung. Ebenso hält Railway jede Anfrage unseres Servers an den Namensdienst (DNS) mit Zeitpunkt, angefragtem Namen und Antwort fest (siehe Ziffer 7.3). In unserem Konto lassen sich diese Einträge 30 Tage lang einsehen (Stand 04.10.2026). Eine feste Frist, nach der Railway sie löscht, nennt Railway nicht; nach seinen Angaben macht ein Wechsel in einen höheren Tarif auch ältere Einträge wieder sichtbar.

Ebenfalls bei Railway läuft unsere Anwendung Social OS (aiadstudio.de, socialos.digifynow.de), seit dem 20.10.2026 einschließlich ihrer Datenbank und der Dateien, die dort abgelegt werden (z. B. Grafiken, Videos, Chat-Anhänge, Referenzen und Berichte). Server, Datenbank und Datenträger stehen in der Railway-Region „EU West“ (Amsterdam, Niederlande), die Dateien liegen in einem Speicher-Bucket von Railway in der Region „EU West“ (Amsterdam). Diese Buckets betreibt Railway nach eigenen Angaben auf Servern der Tigris Data Inc. Auch für Social OS hält Railway jede Anfrage, die den Dienst erreicht, im Protokoll fest, mit Zeitpunkt, Domain, Pfad, Abrufmethode, Statuscode, Dauer, IP-Adresse und Browserkennung; diese Einträge lassen sich in unserem Konto ebenfalls 30 Tage lang einsehen (Stand 20.10.2026). Die Datenbank von Social OS sichert Railway täglich und wöchentlich; eine tägliche Sicherung bewahrt Railway nach eigenen Angaben 6 Tage auf, eine wöchentliche 27 Tage, von Hand angelegte Sicherungen bleiben, bis wir sie löschen. Gelöschte Daten können bis dahin in einer Sicherung enthalten sein.

Soweit erforderlich, schließen wir mit Dienstleistern Auftragsverarbeitungsverträge (AVV/DPA) ab.

7.3 Protokoll der Suchmaschinen-Crawler

Unser Server zeichnet auf, wann die Crawler von Google (z. B. der Googlebot) diese Website abrufen und welche Antwort sie erhalten. Ob eine Anfrage dafür in Betracht kommt, erkennt er allein an der Browserkennung (User-Agent): Nur Anfragen, die sich als Crawler von Google ausgeben, werden weiter verarbeitet. Bei allen anderen Anfragen liest diese Funktion keine weiteren Angaben, auch nicht die IP-Adresse; insoweit gelten für sie Ziffer 7.1, 7.2 und 7.4.

Prüfung der Herkunft: Gibt sich eine Anfrage als Crawler von Google aus, ermittelt der Server ihre IP-Adresse (bei Anfragen über Cloudflare aus der Angabe, die Cloudflare der Anfrage beifügt) und vergleicht sie mit den Adressbereichen, die Google für seine Crawler veröffentlicht. Liegt sie nicht darin, fragt er den Namensdienst (DNS) nach dem Rechnernamen zu dieser IP-Adresse und prüft, ob dieser auf googlebot.com oder google.com endet und wieder auf dieselbe IP-Adresse verweist. Dabei geht die IP-Adresse als DNS-Anfrage an den Namensdienst von Railway, den unser Server nutzt, und von dort gegebenenfalls an den Namensserver, der für diese Adresse zuständig ist. Railway hält jede solche Anfrage mit Zeitpunkt im Protokoll unseres Dienstes fest; die IP-Adresse steht darin als Teil des angefragten Namens (siehe Ziffer 7.2). Der Server führt höchstens 30 solcher Prüfungen je Minute aus. Die Listen der Adressbereiche lädt er beim Start und danach täglich bei Google und Cloudflare; dabei übermittelt er keine Daten von Besuchern.

Was nicht gespeichert wird: Für dieses Protokoll verarbeitet unser Server die IP-Adresse nur im Arbeitsspeicher und schreibt sie selbst nie auf einen Datenträger (zu den Protokollen bei Railway siehe Ziffer 7.2), ebenso wenig die Browserkennung und die Parameter der aufgerufenen Adresse (der Teil nach dem „?“). Damit nicht jeder Abruf neu geprüft werden muss, merkt er sich das Ergebnis einer DNS-Prüfung je IP-Adresse im Arbeitsspeicher. Ein solcher Eintrag gilt 24 Stunden. Gelöscht wird er spätestens, wenn dieselbe IP-Adresse nach Ablauf erneut geprüft wird, wenn neuere Einträge ihn verdrängen (der Server hält höchstens 10.000 Einträge) oder wenn der Server neu startet, je nachdem, was zuerst eintritt.

Was gespeichert wird: Für jeden Abruf, dessen Herkunft von Google so bestätigt ist, speichert der Server den Zeitpunkt, die aufgerufene Domain, den Pfad der Adresse ohne Parameter (höchstens 500 Zeichen), ob Parameter angehängt waren, die Abrufmethode, den Statuscode und die Dauer der Antwort, die Art des Crawlers (z. B. Smartphone, Bilder oder die URL-Prüfung der Google Search Console), die Art der Adresse (z. B. Seite, Bild, Sitemap) und den Weg der Bestätigung (Adressbereich oder DNS). Von den übrigen Anfragen, die sich als Crawler von Google ausgeben, bleiben nur Zahlen je Tag: wie viele nicht von Google stammten, wie viele nicht geprüft werden konnten (etwa weil der Namensdienst nicht innerhalb von 2 Sekunden antwortete oder die Höchstzahl je Minute erreicht war) und wie viele als Testanfrage gekennzeichnet waren. Dazu zählt der Server je Tag, aus welcher technischen Angabe der Anfrage er die IP-Adresse ermittelt hat, ohne die IP-Adresse selbst festzuhalten. Die Angaben liegen in einer Datei je Tag auf dem Datenträger unseres Servers bei Railway (siehe Ziffer 7.2).

Zweck: Wir wollen wissen, ob und wann Google neue und geänderte Seiten unserer Website abruft, welche Antworten Google dabei erhält und ob Abrufe an Fehlern oder Sperren scheitern. Die Prüfung der Herkunft verhindert, dass Anfragen, die sich nur als Google ausgeben, die Auswertung verfälschen. An der Antwort, die ein Abrufer erhält, ändert die Aufzeichnung nichts.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, wie bei den Server-Logfiles (Ziffer 7.1) und bei Fehleranalyse und Statistik (Ziffer 6); das berechtigte Interesse ist der genannte Zweck.

Speicherdauer und Abruf: Die Datei eines Tages (UTC) löscht der Server beim ersten Aufräumen, nachdem dieser Tag mehr als 90 Tage zurückliegt; er räumt beim Start und danach einmal täglich auf. Ein Eintrag bleibt also zwischen 90 und 92 Tagen gespeichert. Die Aufzeichnung enthält weder IP-Adressen noch Browserkennungen. Von außen abrufen lässt sie sich nur über eine zugangsgeschützte Schnittstelle; sie dient der Auswertung durch unsere eigene SEO-Software.

7.4 Auslieferung über Cloudflare

Anfragen an diese Website (digifynow.de) laufen über das Netz von Cloudflare (siehe Ziffer 7.2), bevor sie unseren Server bei Railway erreichen. Cloudflare verarbeitet dabei die Angaben aus Ziffer 7.1, darunter Ihre IP-Adresse, und leitet die Anfrage an unseren Server weiter. Manche Dateien (z. B. robots.txt und die Programmdateien der Website) beantwortet Cloudflare aus seinem Zwischenspeicher, ohne dass die Anfrage unseren Server erreicht.

Erkennung automatisierter Zugriffe: In die Seiten der Website fügt Cloudflare ein eigenes Skript ein (Pfad /cdn-cgi/challenge-platform/), das Ihr Browser ausführt. Es soll erkennen, ob eine Anfrage von einem automatisierten Programm stammt, und übermittelt dazu Merkmale Ihres Browsers an Cloudflare. Das Ergebnis legt Cloudflare in Ihrem Browser im Cookie „cf_clearance“ ab (Laufzeit ein Jahr, für Skripte auf der Seite nicht lesbar). Das geschieht unabhängig von Ihrer Auswahl im Cookie-Banner.

Fehlerberichte: Cloudflare weist Ihren Browser an, Netzwerkfehler beim Laden der Website an Cloudflare zu melden (Network Error Logging); erfolgreiche Abrufe werden nicht gemeldet. Ob Ihr Browser solche Berichte sendet, hängt vom Browser ab.

Zweck: Auslieferung der Website, Stabilität, Missbrauchserkennung, IT-Sicherheit.
Rechtsgrundlage: wie bei den Server-Logfiles (Ziffer 7.1) Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

7.5 Feeds und Meldung neuer Beiträge (WebSub)

Die bis zu 20 zuletzt geänderten Beiträge einer Sprache stehen zusätzlich in einem Feed (Deutsch: https://digifynow.de/news/atom.xml, Englisch: https://digifynow.de/en/news/atom.xml). Ein Feed enthält je Beitrag den Titel, die Adresse, das Datum der Veröffentlichung und der letzten Änderung, die Kurzbeschreibung und, wenn angegeben, den Namen der Autorin oder des Autors. Wer einen Feed abruft, wird behandelt wie bei jeder anderen Seite (Ziffer 7.1 bis 7.4).

Ändert sich der Stand eines Feeds (ein Beitrag kommt hinzu, fällt weg oder wird geändert), meldet unser Server das dem Benachrichtigungsdienst von Google für Feeds (WebSub, https://pubsubhubbub.appspot.com/), höchstens einmal je 10 Minuten und Feed. Die Meldung enthält nur die Adresse des Feeds. Vor der Meldung ruft unser Server die öffentliche Adresse des Feeds auf, um zu prüfen, ob dort schon der neue Stand ausgeliefert wird. Daten von Besuchern enthalten weder die Meldung noch die Feeds. Unser Server speichert je Feed in einer Datei auf seinem Datenträger bei Railway, welcher Stand wann gemeldet wurde, wann zuletzt ein Versuch war und mit welchem Ergebnis, dazu einen kurzen technischen Hinweis (bei einem Fehler mit bis zu 200 Zeichen aus der Antwort des Dienstes).

8. Cookies, Consent-Management & Tracking (Website/App)

Wir setzen ggf. Cookies und ähnliche Technologien ein. Einige sind technisch erforderlich (z. B. für Sicherheit/Funktionalität), andere dienen – sofern aktiviert – Analyse/Statistik oder Marketing.

Technisch erforderliche Cookies/Technologien können auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO eingesetzt werden (berechtigtes Interesse an einem funktionsfähigen, sicheren Betrieb).
Analyse/Tracking/Marketing (z. B. Google-Dienste/Analytics) erfolgt – sofern eingesetzt – regelmäßig nur mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) über ein Cookie-/Consent-Banner, sofern gesetzlich erforderlich.

Hinweis: Ob und welche Tracking-Dienste konkret aktiv sind, hängt von der jeweiligen Website/App-Konfiguration ab.

Welches Cookie Cloudflare bei der Auslieferung dieser Website (digifynow.de) setzt, steht in Ziffer 7.4.

9. Kontaktaufnahme (E-Mail, Telefon, Formulare, Meetings)

Wenn Sie uns kontaktieren, verarbeiten wir Ihre Angaben (z. B. Name, E-Mail, Telefonnummer, Unternehmen, Inhalt der Anfrage), um die Anfrage zu bearbeiten und zu beantworten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertraglich/vertraglich) und/oder Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Kommunikation).

Zählung der Anfragen über diese Website (digifynow.de): Für jede Anfrage über das Kontaktformular oder das Formular unter /funnel zählt unser Server je Kalendermonat, auf welchem Weg der Besuch kam (Suchmaschine, KI-Dienst, Anzeige, Verweis von einer anderen Website, direkter Aufruf oder unbekannt) und auf welcher Seite unserer Website er begann. Das leitet er aus den Angaben zur Herkunft ab, die Ihr Browser mit der Anfrage übermittelt (Einstiegsseite, verweisende Seite, Kampagnenparameter). Gespeichert werden nur diese Zahlen je Monat auf dem Datenträger unseres Servers bei Railway (siehe Ziffer 7.2), ohne Angaben zu Ihrer Person.

9.1 Website-Chat: Superchat

Für den Chat unten rechts auf unserer Website nutzen wir Superchat der SuperX GmbH, Prenzlauer Allee 242–247, 10405 Berlin. Darüber können Sie uns im Live-Chat schreiben oder zu WhatsApp bzw. Instagram wechseln.

Wann Superchat geladen wird: Haben Sie im Cookie-Banner „Marketing" erlaubt, lädt das Chatfenster beim Aufruf der Seite. Andernfalls zeigen wir zunächst nur eine eigene Schaltfläche; Superchat wird erst geladen, wenn Sie darauf klicken. Ab dann ruft Ihr Browser Programmcode und Einstellungen von Servern der SuperX GmbH ab und übermittelt dabei Ihre IP-Adresse und technische Angaben Ihres Browsers (z. B. Browsertyp, Spracheinstellung).

Speicherung in Ihrem Browser: Superchat legt im Sitzungsspeicher (sessionStorage) den Anzeigezustand des Chatfensters ab, z. B. ob es geöffnet ist; er wird gelöscht, wenn Sie den Tab schließen. Beginnen Sie einen Live-Chat, speichert Superchat im lokalen Speicher (localStorage) eine Kennung, damit die Unterhaltung bei einem späteren Besuch weitergeführt werden kann.

Inhalte: Nachrichten und Angaben, die Sie im Chat machen (z. B. Name, E-Mail-Adresse, Telefonnummer, Inhalt der Anfrage), verarbeiten wir über Superchat, um Ihre Anfrage zu beantworten. Wählen Sie WhatsApp oder Instagram, gelten dort zusätzlich die Datenschutzbestimmungen der Meta Platforms Ireland Ltd.

Rechtsgrundlage: Laden beim Seitenaufruf nur mit Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG), die Sie jederzeit über die Cookie-Einstellungen widerrufen können. Laden nach Ihrem Klick und die Beantwortung Ihrer Nachrichten: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer einfachen, schnellen Kontaktmöglichkeit) bzw. Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag; die Speicherung im Browser ist dann für die von Ihnen gewünschte Chat-Funktion erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG).

Soweit erforderlich, wird Superchat als Auftragsverarbeiter eingesetzt (AVV/DPA). Weitere Informationen: Datenschutzerklärung von Superchat.

10. Kunden- & Vertragsdaten (B2B)

Im Rahmen von Vertragsbeziehungen verarbeiten wir insbesondere:

Stammdaten (z. B. Ansprechpartner, Kontaktdaten, Unternehmen),
Vertrags-/Leistungsdaten (z. B. Angebote, Aufträge, Tickets, Projektdaten),
Abrechnungsdaten (z. B. Rechnungsdaten, Zahlungsstatus),
Kommunikationsdaten.

Zweck: Vertragserfüllung, Projektabwicklung, Support, Abrechnung, Nachweisführung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO und Art. 6 Abs. 1 lit. c DSGVO.

11. CRM/ERP: Odoo

Wir nutzen Odoo als CRM/ERP-System zur Verwaltung von Kunden- und Interessentendaten, Angeboten, Projekten und Kommunikation. Dabei können personenbezogene Daten (z. B. Ansprechpartnerdaten, Kommunikationshistorie) verarbeitet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragsanbahnung/-durchführung) und/oder Art. 6 Abs. 1 lit. f DSGVO (effiziente Kundenverwaltung).

Hinweis: Je nach Betriebsform kann Odoo auf eigener Infrastruktur oder bei Hosting-Dienstleistern betrieben werden. Bei externem Betrieb erfolgt dies – soweit erforderlich – auf Basis eines AVV/DPA.

12. Newsletter & E-Mail-Versand: Brevo

Wir können Brevo (ehemals Sendinblue) für Newsletter, Marketing-Kommunikation und/oder systemische E-Mails nutzen. Dabei können u. a. folgende Daten verarbeitet werden:

E-Mail-Adresse, Name (falls angegeben), Unternehmen (optional),
Versand-/Zustellinformationen,
ggf. Statistikdaten (z. B. Öffnungen/Klicks), sofern von Ihnen erlaubt/aktiviert.

12.1 Newsletter

Wenn Sie unseren Newsletter abonnieren, verarbeiten wir Ihre Daten zur Zusendung.
Rechtsgrundlage: Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).
Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. über den Abmeldelink in jeder E-Mail.

12.2 Auftragsverarbeitung

Soweit erforderlich, wird Brevo als Auftragsverarbeiter eingesetzt (AVV/DPA).

13. Unsere Apps & B2B-SaaS: Registrierung, Nutzung, Logs

Wenn Sie unsere B2B-SaaS-Anwendungen oder Apps nutzen, verarbeiten wir typischerweise:

Account- und Profildaten (z. B. Name, E-Mail, Unternehmen, Rolle, Benutzerkennung),
Authentifizierungs-/Sicherheitsdaten (z. B. Login-Zeitpunkte, IP-Adressen, Token-Informationen),
Nutzungs-/Protokolldaten (z. B. System-Logs, Fehlermeldungen),
Inhalte/Daten, die innerhalb der Anwendung eingestellt oder verarbeitet werden („Kundeninhalte").

Zwecke:

Bereitstellung der Anwendung, Accountverwaltung, Authentifizierung,
Betriebssicherheit, Missbrauchsprävention,
Support und Fehleranalyse,
Vertragserfüllung gegenüber dem Kundenunternehmen.

Rechtsgrundlagen:

Art. 6 Abs. 1 lit. b DSGVO (Vertrag/Servicebereitstellung),
Art. 6 Abs. 1 lit. f DSGVO (IT-Sicherheit, Missbrauchsprävention, Stabilität).

14. Rollenverteilung bei B2B-SaaS: Verantwortlicher / Auftragsverarbeiter

Bei B2B-SaaS ist häufig das Kundenunternehmen „Verantwortlicher" (Controller), da es Zwecke und Mittel der Verarbeitung in seiner Organisation festlegt. DigifyNow verarbeitet personenbezogene Daten dann als „Auftragsverarbeiter" (Processor) nach Weisung des Kunden.

14.1 Auftragsverarbeitungsvertrag (AVV)

Soweit DigifyNow personenbezogene Daten im Auftrag verarbeitet, schließen wir mit dem Kunden einen AVV gemäß Art. 28 DSGVO.

14.2 Verantwortlichkeit des Kunden

Der Kunde ist als Verantwortlicher insbesondere zuständig für:

Rechtsgrundlagen/Informationspflichten gegenüber seinen Endnutzern/Endkunden,
Inhalte, Konfigurationen, Zugriffsrechte, Datenklassifikation,
rechtliche Compliance (z. B. DSGVO-Pflichten, Cookie-Einwilligungen, Pflichttexte),
Weisungen an DigifyNow im Rahmen des AVV.

15. Infrastruktur-Dienstleister (Neul-IT, AWS, Heroku, Railway, Cloudflare)

Zur Bereitstellung unserer Systeme nutzen wir – je nach Produkt/Umgebung – Infrastruktur-Dienstleister (siehe Ziff. 7.2). Dabei kann eine Verarbeitung personenbezogener Daten (z. B. Server-Logs, Anwendungsdaten) erfolgen, soweit dies für Betrieb/Bereitstellung notwendig ist.

Diese Website (digifynow.de) läuft bei Railway und wird über Cloudflare ausgeliefert (siehe Ziff. 7.2 und 7.4).

Unsere Anwendung Social OS (aiadstudio.de, socialos.digifynow.de) läuft mit ihrer Datenbank und ihrem Dateispeicher bei Railway (siehe Ziff. 7.2 und 16).

Mit diesen Dienstleistern werden – soweit erforderlich – AVV/DPA abgeschlossen.

16. Datenübermittlung in Drittländer

Soweit durch die Nutzung von Cloud-/Infrastruktur-/Kommunikationsdiensten eine Übermittlung in Länder außerhalb der EU/des EWR erfolgt, setzen wir geeignete Garantien ein (z. B. EU-Standardvertragsklauseln) und prüfen zusätzliche Maßnahmen im erforderlichen Umfang.

Wir bevorzugen – soweit möglich – EU/EWR-Regionen/Standorte.

Für diese Website (digifynow.de) gilt: Server und Datenträger bei Railway stehen in der Region „EU West“ (Amsterdam, Niederlande). Railway Corporation und Cloudflare, Inc. haben ihren Sitz in den USA; Railway gibt in seinen Bedingungen zur Auftragsverarbeitung an, dass seine Verarbeitung hauptsächlich in den USA stattfindet. Anfragen an die Website nimmt zuerst ein Rechenzentrum von Cloudflare und danach ein Netzknoten von Railway an, bevor sie den Server erreichen; welche das sind, hängt vom Netz ab, aus dem die Anfrage kommt, und sie können auch außerhalb der EU liegen.

Für Social OS (aiadstudio.de, socialos.digifynow.de) gilt: Server, Datenbank und Datenträger bei Railway stehen in der Region „EU West“ (Amsterdam, Niederlande), die Dateien in einem Speicher-Bucket in der Region „EU West“ (Amsterdam). Die Buckets betreibt Railway nach eigenen Angaben auf Servern der Tigris Data Inc.

Für den SEO-Audit (seo.digifynow.de) gilt: Server und Datenbank bei Railway stehen in der Region „EU West“ (Amsterdam, Niederlande), die Website wird wie digifynow.de über Cloudflare ausgeliefert; für Railway und Cloudflare gilt das zu digifynow.de Gesagte. OpenAI, Google, Meta (nur mit Einwilligung) und Cloudflare können Daten auch in den USA verarbeiten (siehe Ziffer 22). DataForSEO erhält nur Domains, keine Angaben zu Personen.

17. Empfänger/Kategorien von Empfängern (Zusammenfassung)

Je nach Verarbeitung können Empfänger sein:

interne Stellen bei DigifyNow (nur berechtigte Personen),
Auftragsverarbeiter (z. B. Hosting/Cloud: Neul-IT, AWS, Heroku; E-Mail/Newsletter: Brevo; Website-Chat: Superchat),
Dienstleister für Hosting und Auslieferung dieser Website (digifynow.de): Railway und Cloudflare (siehe Ziffer 7.2 und 7.4),
Dienstleister für den Betrieb von Social OS (aiadstudio.de, socialos.digifynow.de): Railway, für den Dateispeicher auf Servern der Tigris Data Inc. (siehe Ziffer 7.2 und 16),
bei der Prüfung der Suchmaschinen-Crawler: der Namensdienst (DNS) von Railway, der die Anfrage auch protokolliert, und der für die IP-Adresse zuständige Namensserver (siehe Ziffer 7.2 und 7.3),
beim SEO-Audit (seo.digifynow.de): Railway, Cloudflare, Google (PageSpeed Insights, Terminbuchung, mit Einwilligung Google Analytics und Google Ads), DataForSEO, OpenAI, Brevo und, mit Einwilligung, Meta (siehe Ziffer 22),
bei der Recherche von Ansprechpartnern und der Werbung per Brief: lempire SAS (lemlist), der Dienstleister für Druck, Kuvertierung und Versand sowie der Postdienstleister (siehe Ziffer 23),
Behörden/öffentliche Stellen, soweit eine gesetzliche Verpflichtung besteht,
Rechts-/Steuerberater, Banken, sofern für Vertrags- oder Gesetzespflichten erforderlich.

18. Speicherdauer & Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen. Danach werden die Daten gelöscht oder anonymisiert, sofern keine weitere Rechtsgrundlage besteht.

Typische Kriterien:

Vertrags-/Abrechnungsdaten: Dauer des Vertrags + gesetzliche Aufbewahrung,
Kommunikationsdaten: bis Erledigung der Anfrage, danach ggf. im Rahmen von Nachweisinteressen,
technische Logs: so kurz wie möglich, soweit für Sicherheit/Fehleranalyse erforderlich,
Protokolle bei Railway zu dieser Website (Anfragen an die Website, DNS-Anfragen unseres Servers): in unserem Konto 30 Tage einsehbar, eine feste Löschfrist nennt Railway nicht (siehe Ziffer 7.2),
Protokolle bei Railway zu Social OS (Anfragen an die Anwendung): in unserem Konto 30 Tage einsehbar, eine feste Löschfrist nennt Railway nicht (siehe Ziffer 7.2),
Sicherungen der Datenbank von Social OS bei Railway: tägliche 6 Tage, wöchentliche 27 Tage, von Hand angelegte bis zu ihrer Löschung (siehe Ziffer 7.2),
Protokoll der Suchmaschinen-Crawler: 90 Tage nach Ablauf des Abruftags, gelöscht beim nächsten täglichen Aufräumen (siehe Ziffer 7.3),
SEO-Audit (seo.digifynow.de): Audit und Angaben aus dem Formular in unserer Datenbank 180 Tage, wenn kein Folgekontakt entsteht; Hashwerte der IP-Adresse höchstens 2 Tage, in den Zählern der Begrenzung höchstens 3 Tage; Kontakt bei Brevo bis er nicht mehr nötig ist, spätestens auf Anfrage (siehe Ziffer 22),
Recherchierte Ansprechpartner für Werbung per Brief: bis zum Widerspruch, ohne Reaktion höchstens 12 Monate nach dem letzten Brief, ohne Brief höchstens 3 Monate nach der Recherche; nach einem Widerspruch nur noch in der Sperrliste (siehe Ziffer 23),
Newsletterdaten: bis Abmeldung/Widerruf der Einwilligung.

19. Betroffenenrechte

Sie haben – je nach anwendbarer Konstellation – folgende Rechte:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerspruch gegen Verarbeitung auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
Widerruf von Einwilligungen jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung Ihrer Rechte genügt eine Nachricht an die in Ziffer 1 genannten Kontaktdaten.

Hinweis für Endnutzer von Kunden (B2B-SaaS):
Soweit DigifyNow Daten als Auftragsverarbeiter im Auftrag eines Kundenunternehmens verarbeitet, sind Anfragen zu Betroffenenrechten grundsätzlich an das jeweilige Kundenunternehmen als Verantwortlichen zu richten. Wir unterstützen Kunden im Rahmen des AVV.

20. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Zuständig ist insbesondere die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder unseres Unternehmenssitzes.

21. Technische und organisatorische Maßnahmen (TOM)

Wir treffen angemessene technische und organisatorische Maßnahmen, um personenbezogene Daten zu schützen, z. B.:

Zugriffskonzepte und Berechtigungssysteme
Transportverschlüsselung (TLS), soweit technisch möglich
Protokollierung/Sicherheitsmaßnahmen gegen Missbrauch
Backup- und Wiederherstellungskonzepte (abhängig vom System/Vertrag)
Verfahren zur Behandlung von Sicherheitsvorfällen

22. Kostenloser SEO-Audit auf seo.digifynow.de

Unter seo.digifynow.de bieten wir einen kostenlosen Audit an, der eine Website auf ihre Sichtbarkeit bei Google und in KI-Assistenten prüft. Verantwortlich ist die in Ziffer 1 genannte DigifyNow GmbH.

22.1 Aufruf, Hosting und Auslieferung

Beim Aufruf von seo.digifynow.de verarbeiten Railway (Hosting, Region „EU West“, Amsterdam, Niederlande) und Cloudflare (Auslieferung, einschließlich der Erkennung automatisierter Zugriffe mit dem Cookie „cf_clearance“) dieselben Angaben wie bei digifynow.de (Ziffer 7.1, 7.2 und 7.4). Railway betreibt auch die Datenbank und den Prüfdienst, der die Audits ausführt. Schriften lädt die Seite von unserem eigenen Server.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren und stabilen Betrieb).

22.2 Durchführung des Audits

Wenn Sie eine Domain eingeben und den Audit starten, prüft unser Prüfprogramm die öffentlich erreichbare Website unter dieser Domain: Es ruft die robots.txt, die Sitemap und höchstens 25 Seiten ab (die Startseite eingeschlossen), beachtet dabei die robots.txt und gibt sich mit der Kennung „DigifyNowAuditBot/1.0 (+https://digifynow.de)“ zu erkennen. Außerdem prüft es, ob die Domain von http auf https weiterleitet und ob eine llms.txt vorhanden ist, und ob bis zu 10 interne und bis zu 10 externe Links der Website erreichbar sind; die externen Links liegen auf anderen Websites, deren Server dabei nur die Abfrage unseres Servers sehen. Die Ladezeit misst es über Google PageSpeed Insights (Google erhält nur die Adresse der geprüften Startseite, die Abfrage kommt von unserem Server). Daten zur Sichtbarkeit bei Google fragen wir bei der Dataforseo OÜ (Tallinn, Estland) ab; übermittelt wird nur die Domain. Die Erklärungen und Vorschläge im Bericht formuliert ein KI-Modell von OpenAI (OpenAI Ireland Ltd., Dublin, Irland, bzw. OpenAI, L.L.C., San Francisco, USA) aus den gemessenen Befunden. OpenAI erhält nur die geprüfte Domain und technische Befunde zur Website, keine Namen, E-Mail-Adressen, Telefonnummern oder IP-Adressen; die Antwort lassen wir bei OpenAI nicht zum späteren Abruf speichern. Auf der geprüften Website öffentlich angegebene Kontaktdaten wie Anschrift und Telefonnummer werten wir aus, um zu prüfen, ob sie einheitlich angegeben sind; die gefundenen Angaben speichern wir mit dem Audit (Speicherdauer siehe Ziffer 22.8). Wird dieselbe Domain innerhalb von 24 Stunden erneut geprüft, verwenden wir das vorhandene Ergebnis.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung des angeforderten Audits); soweit dabei Angaben Dritter von der geprüften Website verarbeitet werden, Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer vollständigen und korrekten Prüfung).

22.3 Schutz vor Missbrauch

Je IP-Adresse sind höchstens 3 Audits und 10 Formulare zur Zusendung pro Stunde möglich. Dafür speichern wir die IP-Adresse nicht im Klartext, sondern nur als gesalzenen Hashwert: am Audit und an den Formularangaben 24 Stunden, in den Zählern der Begrenzung 2 Tage; gelöscht werden sie beim täglichen Aufräumen, also nach spätestens 2 bzw. 3 Tagen. Das Formular zur Zusendung des Berichts enthält zusätzlich ein für Menschen unsichtbares Feld, das nur automatisierte Programme ausfüllen. Sofern aktiviert, prüft Cloudflare Turnstile vor dem Start eines Audits, ob die Anfrage von einem Menschen stammt; dabei verarbeitet Cloudflare, Inc. (San Francisco, USA) technische Daten wie IP-Adresse und Browsermerkmale. Turnstile wird erst geladen, wenn Sie in das Eingabefeld klicken oder den Start-Button betätigen.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Schutz des kostenlosen Dienstes vor automatisierten Massenanfragen und Überlastung); der dafür nötige Zugriff auf Ihr Endgerät ist nach § 25 Abs. 2 Nr. 2 TDDDG unbedingt erforderlich.

22.4 Zusendung des Berichts

Für die Zusendung des vollständigen Audits benötigen wir Ihren Namen, Ihre Telefonnummer und Ihre E-Mail-Adresse. Freiwillig können Sie organische Anfragen und Klicks pro Monat, gewünschte Anfragen, Branche und durchschnittlichen Auftragswert angeben; damit berechnen wir eine genauere Prognose. Wir speichern Ihre Angaben zusammen mit dem Audit, erstellen den Bericht als PDF und senden ihn per E-Mail mit einem Link zum Online-Bericht (zufälliger, nicht erratbarer Schlüssel, 30 Tage gültig) und zur Terminbuchung. Unser Vertrieb erhält eine interne Benachrichtigung per E-Mail mit Ihren Angaben, dem Ergebnis des Audits, Ihrer Entscheidung zur Kontaktaufnahme und der Herkunft des Besuchs (Kampagnenparameter, Einstiegsseite, verweisende Seite, mit Einwilligung in Marketing auch die Klick-IDs von Google und Meta). Für den Versand nutzen wir Brevo (Ziffer 12); dort legen wir einen Kontakt in einer eigenen Liste für Audit-Anfragen an, mit diesen Angaben, den wichtigsten Ergebnissen, der Prognose und dem Link zum Online-Bericht. Werbe-E-Mails oder Newsletter senden wir nicht ohne Ihre gesonderte Einwilligung.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Zusendung des angeforderten Audits); für die Zuordnung der Anfrage zu einer Kampagne Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, den Erfolg unserer Werbung zu messen).

22.5 Kontaktaufnahme und Terminbuchung

Im Formular können Sie freiwillig ankreuzen, dass wir Sie per Telefon oder E-Mail zur Besprechung der Ergebnisse kontaktieren dürfen; das Häkchen ist nicht vorausgewählt. Nur mit dieser Einwilligung melden wir uns über die Zusendung des Audits hinaus (Art. 6 Abs. 1 lit. a DSGVO, jederzeit widerrufbar, z. B. per E-Mail an info@digifynow.de). Für die kostenlose Beratung nutzen wir die Terminbuchung von Google Kalender (Google Ireland Limited, Dublin, Irland). Sie öffnet sich erst auf Ihren Klick, in einem neuen Tab oder eingebettet auf der Bestätigungsseite; dabei erhält Google Ihre IP-Adresse und technische Angaben Ihres Browsers, und die Angaben, die Sie dort machen, erhalten Google und wir (Art. 6 Abs. 1 lit. b DSGVO, vorvertragliche Maßnahmen).

22.6 Statistik und Marketing nur mit Einwilligung

Sofern auf seo.digifynow.de eingebunden, nutzen wir Google Analytics 4, die Conversion-Messung von Google Ads sowie das Meta-Pixel mit der Conversions API von Meta (Meta Platforms Ireland Limited, Dublin, Irland) ausschließlich mit Ihrer Einwilligung über das Cookie-Banner (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG). Vor der Einwilligung lädt die Seite keine dieser Skripte; der Einwilligungsmodus von Google steht standardmäßig auf „abgelehnt“. „Ablehnen“ und „Alle akzeptieren“ sind gleichwertig, die Einstellungen lassen sich im Seitenfuß jederzeit ändern oder widerrufen. Mit Einwilligung in Marketing übermitteln wir nach dem Absenden des Formulars außerdem von unserem Server an Meta (Conversions API) Ihre E-Mail-Adresse, Telefonnummer, Vor- und Nachnamen als Hashwerte, Ihre IP-Adresse, Browserkennung, die Kennungen „_fbp“/„_fbc“ und die Adresse der Seite; Ihr Browser sendet auf der Bestätigungsseite Ihre Kontaktdaten als Hashwerte an Google Ads (erweiterte Conversions). Für die Erhebung über das Meta-Pixel und die Übermittlung an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO). Eine Übermittlung an Google LLC bzw. Meta Platforms, Inc. in den USA ist dabei möglich.

22.7 Einträge im Browser

„dn_consent“ (Local Storage): Ihre Auswahl im Cookie-Banner, bis zur Änderung, höchstens 365 Tage,
„dn_attribution“ (Session Storage, ohne Einwilligung): Kampagnenparameter (utm_…), Einstiegsseite und verweisende Seite, um Anfragen einer Kampagne zuzuordnen, bis zum Schließen des Browserfensters (Art. 6 Abs. 1 lit. f DSGVO, § 25 Abs. 2 Nr. 2 TDDDG),
„dn_click_ids“ und „dn_lead“ (Session Storage, nur mit Einwilligung in Marketing): Klick-IDs aus Anzeigen von Google und Meta sowie eine zufällige Ereignis-ID und Hashwerte Ihrer Kontaktdaten für die Conversion-Messung, bis zum Schließen des Browserfensters,
mit Einwilligung die Cookies der Dienste aus Ziffer 22.6 (z. B. „_ga“, „_gcl_au“, „_fbp“) nach den Angaben der Anbieter.

Kampagnenlinks können die zu prüfende Domain als Parameter enthalten (z. B. seo.digifynow.de/?domain=…), um das Eingabefeld vorzubelegen. Die Seite entfernt diesen Parameter aus der Adresse, bevor sie Statistikdienste lädt; gestartet wird der Audit nur durch Ihren Klick. Die vollständige Adresse erreicht trotzdem Cloudflare und Railway und steht in deren Protokollen (Ziffer 7.1, 7.2 und 7.4).

22.8 Speicherdauer

Audits und Angaben aus dem Formular in unserer Datenbank löschen wir automatisch 180 Tage nach Eingang, wenn kein Folgekontakt entstanden ist; Audits ohne Formularangaben nach derselben Frist. Entsteht ein Folgekontakt (z. B. ein Gespräch oder Angebot), gelten die Fristen für Kommunikations- und Vertragsdaten (Ziffer 18). Hashwerte der IP-Adresse entfernen wir nach den Fristen in Ziffer 22.3, erledigte Aufträge des Prüfdienstes nach 7 Tagen. Der Link zum Online-Bericht ist 30 Tage gültig. Den Kontakt bei Brevo und die interne Benachrichtigung an unseren Vertrieb löschen wir nicht automatisch, sondern wenn sie für die Bearbeitung Ihrer Anfrage nicht mehr nötig sind, spätestens auf Ihre Anfrage. Auskunft und Löschung sind jederzeit möglich (Ziffer 19).

23. Recherche von Ansprechpartnern und Werbung per Brief (Information nach Art. 14 DSGVO)

Für Werbung per Brief für unsere Leistungen, insbesondere den kostenlosen SEO-Audit, recherchieren wir Ansprechpartner (Geschäftsführung, Inhaber, Leitung Marketing) bei Unternehmen in Deutschland und Österreich. Diese Daten erheben wir nicht bei Ihnen selbst. Mit dieser Ziffer und spätestens mit dem ersten Brief informieren wir Sie darüber.

Kategorien von Daten: Vor- und Nachname, Funktion, Unternehmen, Branche und Größe des Unternehmens, geschäftliche Anschrift und Website des Unternehmens sowie die Adresse des öffentlichen Berufsprofils (z. B. LinkedIn). Private Anschriften und private Telefonnummern erheben wir nicht, geschäftliche E-Mail-Adressen für diesen Zweck ebenfalls nicht.

Quelle: die Personendatenbank des Dienstes lemlist der lempire SAS (128 rue La Boétie, 75008 Paris, Frankreich), die nach eigenen Angaben allgemein zugängliche Berufsprofile und Unternehmensangaben zusammenführt, sowie die öffentlich zugänglichen Angaben auf der Website des Unternehmens (z. B. Impressum).

Zweck und Ablauf: Wir senden einen Brief an die Geschäftsanschrift. Er enthält einen QR-Code, der auf seo.digifynow.de mit der Domain Ihres Unternehmens und Kampagnenparametern führt (keine weitere Kennung Ihrer Person); wer ihn aufruft, wird behandelt wie in Ziffer 22 beschrieben. Druck, Kuvertierung und Versand übernimmt ein Dienstleister in unserem Auftrag, die Zustellung ein Postdienstleister.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Werbung für unsere Leistungen gegenüber Unternehmen (Direktwerbung, Erwägungsgrund 47 DSGVO).

Empfänger: lempire SAS (lemlist, Frankreich), bei der die Kontakte in unserem Konto gespeichert sind (zu deren Unterauftragsverarbeitern siehe die Datenschutzhinweise von lemlist), der Dienstleister für Druck, Kuvertierung und Versand und der Postdienstleister. Wir selbst übermitteln diese Daten nicht in Länder außerhalb der EU.

Speicherdauer: bis zu Ihrem Widerspruch; reagieren Sie nicht, löschen wir die Angaben spätestens 12 Monate nach dem letzten Brief. Recherchierte Ansprechpartner, an die wir keinen Brief senden, löschen wir spätestens 3 Monate nach der Recherche. Nach einem Widerspruch behalten wir nur Name, Unternehmen und Anschrift in einer Sperrliste, damit Sie keine weitere Werbung erhalten (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse, Ihren Widerspruch dauerhaft zu beachten).

Widerspruchsrecht (Art. 21 Abs. 2 DSGVO): Sie können dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen, z. B. per E-Mail an info@digifynow.de oder per Post an die Anschrift in Ziffer 1. Danach erhalten Sie keine Werbung mehr von uns. Ihre weiteren Rechte stehen in Ziffer 19 und 20.

24. Keine Rechtsberatung / keine Compliance-Garantie

Sofern nicht ausdrücklich schriftlich vereinbart, erbringt DigifyNow keine Rechtsberatung (z. B. DSGVO-Prüfung von Pflichttexten, Cookie-Banner-Konfiguration für Kundenwebsites, Plattform-Policies) und übernimmt hierfür keine Garantie. Wir unterstützen Kunden im Rahmen unserer technischen Leistungen; die rechtliche Verantwortung im Kundenbetrieb liegt grundsätzlich beim Kunden als Verantwortlichem.

25. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich Rechtslage, technische Systeme oder Verarbeitungen ändern. Die jeweils aktuelle Version wird auf unseren Websites bzw. in den Apps bereitgestellt.