Datenschutzerklärung

Verantwortlicher

creativecouch, Paul Böstro (Einzelunternehmen), Pappelweg 7, 35510 Butzbach, Deutschland

Telefon: 0151 255 81 775, E-Mail: info@creativecouch.de

Ein Datenschutzbeauftragter ist nicht benannt.

Worum es geht

Das Analyse-Board unter analytics.creativecouch-works.de ist ein geschützter Bereich für Kundinnen und Kunden der creativecouch. Es zeigt Zahlen zur Website, zur Sichtbarkeit bei Google und zum Ruf eines Unternehmens. Diese Erklärung beschreibt, welche personenbezogenen Daten dabei verarbeitet werden.

Für Daten aus den Diensten eines Kunden (etwa Google Analytics) arbeite ich als Auftragsverarbeiter im Auftrag des Kunden, auf Grundlage eines Vertrags zur Auftragsverarbeitung. Verantwortlich für diese Daten ist der jeweilige Kunde.

Das Board setzt keine Werbung und keine Verfolgung (Tracking) der Nutzer ein. Schriften und Dateien kommen vom eigenen Server.

Hosting und Aufruf der Seiten

Das Board liegt bei Hostinger International Ltd. in einem Rechenzentrum in Frankfurt am Main. Mit Hostinger besteht ein Vertrag zur Auftragsverarbeitung.

Beim Aufruf verarbeitet der Server technisch notwendige Angaben: IP-Adresse, Zeitpunkt, aufgerufene Adresse und Kennung des Browsers. Das dient dem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Zum Schutz vor Missbrauch der Anmeldung zählt das Board Versuche je Anschluss. Die IP-Adresse wird dafür nur als Prüfwert gespeichert, aus dem sie sich nicht zurückrechnen lässt, und nach Ablauf der Sperrfrist gelöscht.

Anmeldung und Zugang

Für einen Zugang speichere ich Name, E-Mail-Adresse, Rolle, die Firma, zu der der Zugang gehört, und den Zeitpunkt der letzten Anmeldung.

Die Anmeldung läuft ohne Passwort: Sie bekommen einen Einmal-Code per E-Mail, der 15 Minuten gilt und nur als Prüfwert gespeichert wird. Zu jeder Anmeldung speichert das Board Beginn, letzte Nutzung, Ablauf und die Kennung des Browsers, damit Sie sich auf allen Geräten abmelden können und Ihre Anmeldungen in der Datenauskunft sehen.

Wichtige Vorgänge (Anmeldungen, Öffnen des Boards, Änderungen an Zugängen, Zustimmungen, Ein- und Ausschalten von Push-Mitteilungen und Widget) stehen in einem Protokoll und werden nach 12 Monaten gelöscht.

Den Zeitpunkt der letzten Nutzung (Anmeldung, Öffnen des Boards, Abruf des Widgets) nutze ich außerdem, um Boards zu erkennen, die länger nicht genutzt werden, und dann bezahlte Abfragen zu pausieren. Angezeigt wird mir dafür nur ein Datum je Board.

Rechtsgrundlage ist der Vertrag mit Ihrer Firma (Art. 6 Abs. 1 lit. b DSGVO), für das Protokoll die Sicherheit des Boards und für das Erkennen ungenutzter Boards das Interesse, Kosten im Rahmen zu halten (beides Art. 6 Abs. 1 lit. f DSGVO).

Cookies und Speicher im Browser

Das Board nutzt nur Cookies und Speicher, die für den Betrieb nötig sind (§ 25 Abs. 2 Nr. 2 TDDDG). Eine Einwilligung ist dafür nicht erforderlich, ein Cookie-Hinweis entfällt deshalb.

• Anmelde-Cookie: hält Sie angemeldet. Im Browser 30 Tage ab der Anmeldung. Meldet man sich in der installierten App an, 90 Tage, jede Nutzung verlängert, höchstens ein Jahr ab der Anmeldung. Zugänge der Agentur 7 Tage.
• Sitzungs-Cookie: schützt Formulare und den Anmeldevorgang. Es endet, wenn Sie den Browser schließen.
• Geräte-Cookie: erkennt ein Gerät, mit dem Sie sich schon angemeldet haben, und schützt so vor Missbrauch der Anmeldung. 180 Tage.
• Einstellungen der Ansicht im Browser-Speicher, etwa Hell oder Dunkel, ob die Tour schon gezeigt wurde und welcher Bereich zuletzt offen war.
• Zwischenspeicher: Damit das Board auch ohne Internetverbindung die zuletzt geladenen Zahlen zeigen kann, legt es die zuletzt aufgerufenen Seiten und Daten des Boards im Speicher des Geräts ab, nur für Kundenzugänge, bis zum Ende der Anmeldung, spätestens nach 7 Tagen gelöscht. Ohne Netz kann eine von außen beendete Anmeldung erst bei der nächsten Verbindung wirken. Diese Daten bleiben auf dem Gerät. Beim Abmelden werden sie gelöscht, außerdem jederzeit über die Einstellungen des Browsers („Websitedaten löschen“).

Board als App

Sie können das Board über Ihren Browser als App auf den Startbildschirm legen. Dabei läuft nichts über einen App-Store, und ich erhalte keine zusätzlichen Daten. Es gelten die Angaben unter „Cookies und Speicher im Browser“.

Push-Mitteilungen

In der installierten App können Kundinnen und Kunden Push-Mitteilungen erlauben. Dafür speichere ich je Gerät die Push-Adresse und die Schlüssel, die der Browser dafür erzeugt, dazu die abgestellten Themen, die Ruhezeit, die Kennung des Browsers und den Zeitpunkt der letzten Zustellung oder des letzten Öffnens der App. Rechtsgrundlage ist Ihre Einwilligung durch das Erlauben (Art. 6 Abs. 1 lit. a DSGVO, § 25 Abs. 1 TDDDG).

Zugestellt werden die Mitteilungen über den Push-Dienst des Herstellers Ihres Geräts oder Browsers, etwa Apple (Apple Push Notification Service) oder Google (Firebase Cloud Messaging), auch in den USA. Der Inhalt ist Ende-zu-Ende verschlüsselt, die Dienste können ihn nicht lesen. Die Mitteilungen enthalten bewusst keine Namen von Personen, etwa von Verfassern einer Bewertung.

Sie können einzelne Themen abstellen oder Push unter „Meine Einstellungen“, „Push-Mitteilungen“ ganz ausschalten, außerdem in den Einstellungen Ihres Handys. Beim Ausschalten und beim Abmelden in der App (auch nach Ablauf der Anmeldung) wird die Push-Adresse dieses Geräts gelöscht, ebenso, wenn der Zugang zum Board endet. Nach Löschen der App lösche ich sie bei der nächsten Mitteilung, spätestens 90 Tage, nachdem zuletzt eine Mitteilung ankam oder die App geöffnet wurde.

Widget fürs iPhone

Wer unter „Meine Einstellungen“ das Widget einrichtet, erhält ein Skript mit einem persönlichen Schlüssel. Gespeichert werden der Schlüssel nur als Prüfwert, der von Ihnen gewählte Titel des Widgets und die gewählten Kennzahlen, der Zeitpunkt der Einrichtung und der Zeitpunkt des letzten Abrufs. Der Titel steht auch im Protokoll (12 Monate). Der Schlüssel erlaubt nur, die Kennzahlen des Widgets zu lesen.

Das Skript läuft in der App Scriptable eines anderen Anbieters auf Ihrem Gerät und holt die Zahlen direkt vom Board. Ich übermittle dem Anbieter der App keine Daten. Die zuletzt geladenen Zahlen speichert das Skript auf Ihrem Gerät.

Mit „Löschen“ beim Widget wird der Schlüssel sofort gelöscht, ebenso beim Entzug des Zugangs. Rechtsgrundlage ist der Vertrag mit Ihrer Firma (Art. 6 Abs. 1 lit. b DSGVO).

E-Mails

Anmelde-Codes, Einladungen, die wöchentliche Kurzmail und Hinweise zum Board verschicke ich über Brevo (Sendinblue SAS, Frankreich). Dafür werden E-Mail-Adresse, Name und Inhalt der Nachricht übermittelt. Mit Brevo besteht ein Vertrag zur Auftragsverarbeitung.

Die Kurzmail lässt sich über den Link in jeder Mail abbestellen.

Zahlen und Inhalte im Board

Aus den Diensten des Kunden ruft das Board vor allem zusammengefasste Zahlen ab, ohne Bezug zu einzelnen Besuchern: Google Analytics, Google Search Console, Google Ads, Google-Unternehmensprofil, PageSpeed Insights, YouTube, Microsoft Clarity und Bing Webmaster Tools. Das geschieht im Auftrag des Kunden.

Dazu kommen öffentlich zugängliche Angaben: Suchergebnisse, Bewertungen mit dem Namen der Verfasser, öffentliche Profile und Beiträge von Unternehmen in sozialen Netzwerken, Fotos aus den Google-Unternehmensprofilen von Mitbewerbern (über den Server des Boards ausgeliefert, nicht direkt von Google, dort bis zu 7 Tage zwischengespeichert), Arbeitgeberbewertungen, Werbebibliotheken und Presseberichte. Sie kommen über DataForSEO, RapidAPI und dort angebundene Anbieter sowie Monid und dort angebundene Anbieter (etwa Apify). Ortsnamen für Karten liefert OpenStreetMap Nominatim, ohne Personenbezug. Kartenbilder und Kartenkacheln holt der Server des Boards bei OpenStreetMap (OpenStreetMap Foundation, Vereinigtes Königreich) und liefert sie selbst aus. Geholte Kacheln speichert er zwischen und holt sie nach 30 Tagen beim nächsten Aufruf neu. An OpenStreetMap gehen dabei nur die Kartenausschnitte rund um die Firmenstandorte und die Adresse des Board-Servers, keine IP-Adressen, Geräte- oder Anmeldedaten von Besuchern; Besucher rufen bei OpenStreetMap nichts ab. Ob Google eine Kundenwebsite als gefährlich führt, fragt das Board bei Google Web Risk ab (Google Cloud EMEA Limited, Irland, mit möglicher Verarbeitung in den USA). Dabei gehen nur die Adressen der Website an Google, keine Daten von Besuchern.

Rechtsgrundlage ist das berechtigte Interesse des Kunden, seine öffentliche Wahrnehmung und seinen Markt auszuwerten (Art. 6 Abs. 1 lit. f DSGVO). Namen Dritter, etwa von Verfassern einer Bewertung, macht das Board nach 12 Monaten unkenntlich, die Zahlen bleiben. Sie können dieser Verarbeitung widersprechen (siehe „Ihre Rechte“).

Verbindung mit Google

Für das Google-Unternehmensprofil meldet sich der Kunde oder ich einmal mit einem Google-Konto an, das das Profil verwalten darf, und gibt dem Board den Zugriff frei. Das Board speichert dafür je Board einen Zugangsschlüssel (Refresh-Token), verschlüsselt und nicht über das Internet abrufbar. Vom Google-Konto speichert es keine E-Mail-Adresse, keinen Namen und kein Bild, nur die Kennungen von Konto und Standort des Unternehmensprofils und den Namen des Standorts. Über dieselbe Anmeldung kann ich auch Google Analytics und die Search Console verbinden. Dafür gilt dasselbe: ein verschlüsselter Zugangsschlüssel je Board, nur lesende Nutzung. Auf diesem Weg speichert das Board zusätzlich einen pseudonymen Prüfwert der Kennung des Google-Kontos, gebildet mit einem geheimen Schlüssel. Er dient nur dazu zu erkennen, ob mehrere Boards mit demselben Google-Konto verbunden sind, und zu zählen, wie viele verschiedene Google-Konten die Anmeldung genutzt haben, weil Google noch nicht geprüfte Anwendungen auf 100 Konten begrenzt. Diese Zählliste enthält nur die Prüfwerte mit dem Tag der letzten Verbindung und wird gelöscht, sobald Google die Anwendung geprüft hat, spätestens aber 24 Monate nach der letzten Verbindung des jeweiligen Kontos.

Google bietet für das Unternehmensprofil keinen Zugriff nur zum Lesen an. Das Board nutzt den Zugriff trotzdem nur lesend: Es ruft Zahlen, Bewertungen und Angaben zum Standort ab und ändert nichts im Profil, auch keine Antworten auf Bewertungen.

Für Daten, die das Board über diese Anmeldung von Google erhält, gelten die Regeln von Google zur eingeschränkten Nutzung (Limited Use) aus der Google API Services User Data Policy (developers.google.com/terms/api-services-user-data-policy). Das Board nutzt diese Daten nur, um seine Funktionen für den jeweiligen Kunden bereitzustellen. Es verkauft sie nicht, nutzt sie nicht für Werbung und gibt sie nicht zum Training von KI-Modellen weiter. Weitergegeben werden sie nur an die Dienstleister, die dafür nötig sind: Hosting, Mailversand und die KI-Auswertung ohne Speicherung (siehe „KI-Auswertungen“). Ich und die Personen meines Teams mit Zugang zum Board sehen die Daten nur, um das Board für den Kunden zu betreuen, auf seinen Wunsch, für die Sicherheit oder wenn ein Gesetz es verlangt.

Auf Englisch: „The Analyse-Board’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.“

Auf Wunsch des Kunden trenne ich die Verbindung im Board, eine E-Mail an die Adresse oben genügt. Danach ruft das Board über diese Anmeldung keine Daten mehr ab. Der Zugangsschlüssel wird nicht mehr genutzt und nach 30 Tagen in einen Ordner verschoben, den ich von Hand leere. Das Board erinnert mich nach einer Woche daran. In Sicherungen liegt er höchstens 14 Tage länger.

Bei der Anmeldung, über die auch Google Analytics und die Search Console laufen können, widerruft das Board die Freigabe beim Trennen auch bei Google, wenn das sicher geht. Nutzt dasselbe Google-Konto noch ein anderes Board oder lässt sich das nicht sicher feststellen, bleibt die Freigabe bestehen. In jedem Fall lässt sich die Freigabe in den Einstellungen des Google-Kontos unter myaccount.google.com/permissions selbst entfernen.

Die Zahlen und Bewertungen aus dem Profil entfernt das Board beim nächsten Abruf. In den Monatsberichten des Kunden bleiben nur Sternschnitt und Anzahl der Bewertungen. Bereits abgerufene Zahlen aus Google Analytics und der Search Console bleiben im Board. Für beides gilt die Frist unter „Speicherdauer“.

KI-Auswertungen

Für Auswertungen, Vorschläge und Antwortentwürfe sendet das Board Kennzahlen, öffentliche Bewertungen und die Angaben, die Sie für einen Entwurf eingeben, an KI-Modelle. Die Anfragen vermittelt OpenRouter, Inc. (USA) an Claude von Anthropic und Gemini von Google, betrieben in Rechenzentren von Google Cloud in der EU. Es werden nur Zugänge genutzt, die Anfragen weder speichern noch zum Training verwenden (Zero Data Retention, also keine Speicherung der Anfragen).

Zu den Kennzahlen gehören auch Zahlen und Suchbegriffe aus den Google-Diensten des Kunden, etwa aus Google Analytics, der Search Console, Google Ads und dem Unternehmensprofil. Sie gehen nur für Auswertungen und Vorschläge zu diesem Kunden an die KI-Modelle, nicht zum Training.

Die Fragen für „Antworten von KI“ stellt das Board über DataForSEO an ChatGPT (OpenAI), Gemini und den KI-Modus (Google), Perplexity und Claude (Anthropic), über Monid an Copilot (Microsoft). Dabei gehen nur die Fragen selbst an die Anbieter, keine Daten von Personen. Für diesen Weg gilt die Zusage ohne Speicherung nicht. Eine Verarbeitung außerhalb der EU, etwa in den USA, ist möglich.

Ergebnisse der KI sind im Board als Ideen ohne Gewähr gekennzeichnet. Es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Anfragen zum Musterboard

Wer über das Formular auf creativecouch.de ein Musterboard anfragt, gibt E-Mail-Adresse, Firma und Website an und willigt in die Verarbeitung ein (Art. 6 Abs. 1 lit. a DSGVO). Sie bekommen einen persönlichen Link, der 14 Tage gilt. Beim ersten Öffnen erhalte ich eine Nachricht, außerdem sehe ich, welche Bereiche angesehen wurden. Die Angaben werden 12 Monate nach der letzten Anfrage gelöscht. Die Einwilligung können Sie jederzeit widerrufen.

Empfänger und Übermittlung in Drittländer

Daten erhalten nur die genannten Dienstleister, jeweils für den genannten Zweck: Hostinger (Deutschland), Brevo (Frankreich), OpenRouter (USA, Verarbeitung der KI-Anfragen in der EU), DataForSEO, RapidAPI und Monid mit den dort angebundenen Anbietern, Google (Web Risk, nur die Adresse der Kundenwebsite), bei Push-Mitteilungen der Push-Dienst Ihres Geräts (siehe dort).

Bei OpenRouter und RapidAPI (USA), Google Web Risk (USA) sowie bei DataForSEO und Monid ist eine Verarbeitung außerhalb der EU möglich.

Speicherdauer

• Zugang: bis er gelöscht wird, von Ihnen selbst, von Ihrer Firma oder von mir.
• Anmeldungen: bis zu ihrem Ablauf (siehe „Cookies und Speicher im Browser“).
• Schlüssel für das Widget: bis Sie das Widget löschen oder Ihr Zugang gelöscht wird.
• Push-Adresse eines Geräts: bis Sie Push ausschalten, sich in der App abmelden, die App löschen oder Ihr Zugang endet, spätestens 90 Tage, nachdem zuletzt eine Mitteilung ankam oder die App geöffnet wurde. Noch nicht zugestellte Mitteilungen höchstens 2 Tage.
• Protokoll wichtiger Vorgänge: 12 Monate. Abrufprotokolle der Boards: 90 Tage.
• Namen Dritter in Bewertungen: nach 12 Monaten unkenntlich.
• Anfragen zum Musterboard: 12 Monate nach der letzten Anfrage.
• Monatsberichte (Zahlen je Monat, ein kurzer KI-Text und erledigte Empfehlungen mit dem Namen, wer sie erledigt hat): die letzten 36 Monate, ältere Monate entfernt das Board beim nächsten Abruf.
• Zugangsschlüssel zu Google-Diensten: bis zum Trennen im Board oder zum Ende der Zusammenarbeit. Getrennte Schlüssel noch 30 Tage, dann in einen Ordner verschoben, den ich von Hand leere (das Board erinnert mich nach einer Woche daran).
• Sicherungen: täglich, verschlüsselt, 14 Tage.
• Daten eines Boards: für die Dauer der Zusammenarbeit. Nach dem Ende lösche ich sie, die Verwaltung erinnert 30 Tage nach dem Abschalten daran.

Sicherheit

Die Verbindung ist verschlüsselt (HTTPS). Zugänge zu Diensten der Kunden liegen verschlüsselt außerhalb des öffentlichen Bereichs. Jede Anfrage prüft, ob die Person das Board sehen darf. Sicherungen sind verschlüsselt.

Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Eine Einwilligung können Sie jederzeit für die Zukunft widerrufen.

Im Board finden Sie unter „Meine Einstellungen“, Bereich „Datenschutz und Vertrag“, alles, was über Sie gespeichert ist, zum Herunterladen. Dort können Sie Ihren Zugang auch selbst löschen. Sonst genügt eine E-Mail an info@creativecouch.de.

Sie können sich bei einer Aufsichtsbehörde beschweren, zum Beispiel beim Hessischen Beauftragten für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.

Änderungen

Ändert sich etwas an der Verarbeitung, passe ich diese Erklärung an. Es gilt die Fassung, die hier steht.

Stand 12.11.2026.