Datenschutzerklärung

Gültig ab 10. Juli 2026 · Version 1.2

Dies ist eine Übersetzung zur Erleichterung. Maßgeblich ist die englische Fassung. Deine Rechte nach der DSGVO gelten unabhängig davon, welche Fassung du liest.

1. Wer wir sind

Qixoo („wir", „uns") ist ein Software-as-a-Service-Produkt, mit dem du deiner bestehenden Website einen eingebetteten Inhaltseditor hinzufügst. Der Dienst wird aus Spanien (Europäische Union) betrieben; Verantwortlicher im Sinne der DSGVO ist der Betreiber von Qixoo, erreichbar über den Kontakt unten.

Kontakt: hello@qixoo.app.

2. Was wir erheben

Wir erheben nur, was für den Betrieb des Dienstes nötig ist.

Kontodaten

• E-Mail-Adresse — für Anmeldelinks und Dienstbenachrichtigungen. Meldest du dich mit Google an, erhalten wir von Google deine E-Mail-Adresse (und ob sie bestätigt ist) — sonst nichts aus deinem Google-Konto.
• Tarif, Tokens und Abrechnungsstand — aktueller Tarif, Abrechnungsintervall, Ende der laufenden Periode und ein KI-Token-Konto (gewährt und verbraucht). Kartendaten speichert Qixoo nicht; sobald Kartenzahlung startet, verarbeitet sie Stripe und wir behalten nur die Stripe-Kundenkennung.
• Support und Kommunikation — Nachrichten an den In-App-Support, Tickets und unsere Antworten.

Website-Daten

• Website-Metadaten — URL, Anzeigename und ein interner API-Schlüssel je verbundener Website.
• Inhaltsänderungen — Texte, Bilder und Link-URLs, die du im Editor änderst (damit wir sie bei jedem Seitenaufruf deiner Besucher erneut anwenden können).
• Hochgeladene Medien — Bilddateien, die du über den Editor hochlädst. Gespeichert in Supabase Storage in der EU-Region.
• Formulareinsendungen — nutzt deine Website unseren Formular-Handler, speichern wir jede Einsendung, damit du sie im Dashboard lesen kannst.

Besucherdaten (Menschen, die DEINE Website besuchen)

Das eingebettete Script (qixoo.js) setzt keine Cookies, betreibt kein websiteübergreifendes Tracking und teilt nichts mit Werbetreibenden. Standardmäßig lädt es nur deine gespeicherten Inhaltsänderungen aus unserer API. Zwei Dinge passieren nur, wenn du sie aktivierst:

• Formulareinsendungen — sendet ein Besucher ein Formular auf deiner Website ab, werden die Felder gespeichert, damit du sie im Dashboard lesen kannst, und du bekommst eine E-Mail-Benachrichtigung.
• Analytics (optionales Modul) — zählt Besuche über einen cookiefreien, täglich wechselnden anonymen Hash; die rohe IP-Adresse wird nirgends gespeichert und einzelne Besucher werden nicht identifiziert.

Für Besucherdaten, die auf deiner Website erhoben werden, bist du der Verantwortliche, und Qixoo verarbeitet sie in deinem Auftrag. Sorge dafür, dass die Datenschutzerklärung deiner eigenen Website die von dir aktivierten Formulare und Analytics abdeckt.

3. Warum wir sie erheben (Rechtsgrundlagen)

• Zur Erbringung des Dienstes (Vertrag) — deine Änderungen auf deiner Website anzuwenden setzt voraus, sie zu speichern.
• Zur Authentifizierung (Vertrag) — Anmeldetokens werden gehasht und sind zeitlich begrenzt.
• Zum Ausführen der von dir aufgerufenen KI-Funktionen (Vertrag) — siehe §5.
• Zur Beantwortung von Supportanfragen (Vertrag / berechtigtes Interesse).
• Zur Durchsetzung von Tarifgrenzen und Missbrauchsabwehr (berechtigtes Interesse) — Nutzungszähler und IP-basierte Ratenbegrenzung fehlgeschlagener Anmeldeversuche.
• Zum Versand transaktionaler E-Mails (Vertrag) — Anmeldelinks, Benachrichtigungen, Einladungen, Supportantworten.

Wir nutzen deine Daten nicht für Werbung, Profilbildung oder den Weiterverkauf von Analysen, und wir verkaufen keine personenbezogenen Daten.

4. Wo sie liegen (Auftragsverarbeiter und Übermittlungen)

Wir setzen wenige Dienstleister (Auftragsverarbeiter) ein:

• Supabase — Datenbank und Dateispeicher, gehostet in der EU.
• Render — Anwendungshosting, EU-Region (Frankfurt).
• Resend — Versand transaktionaler E-Mails (Sitz in den USA; es gelten EU-anerkannte Garantien wie Standardvertragsklauseln).
• Google — Prüfung der Google-Anmeldung und KI-Verarbeitung für KI-Funktionen (§5).
• Anthropic — KI-Verarbeitung für bestimmte KI-Funktionen (§5).
• Stripe — Kartenzahlungen, sobald die Online-Zahlung startet.
• Cloudflare — DNS unserer Domain und Routing eingehender E-Mails: Nachrichten an unsere @qixoo.app-Adressen laufen über Cloudflare Email Routing und werden in ein von uns kontrolliertes Google-Postfach (Gmail) zugestellt.

Verarbeitet ein Anbieter Daten außerhalb der EU/des EWR, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Schriften und alle übrigen Seitenressourcen werden von unserer eigenen Domain ausgeliefert — dein Browser stellt keine Schriftanfragen an Google oder Dritte.

5. KI-Verarbeitung

Nutzt du eine KI-Funktion (Text umschreiben, Website bauen, übersetzen, Support-Assistent), werden die für diese Aktion nötigen Inhalte — dein Prompt und der einschlägige Seitentext bzw. die Seitenstruktur — an unsere KI-Anbieter (Google, Anthropic) gesendet, um das Ergebnis zu erzeugen, nach deren API-Bedingungen. Wir nutzen deine Inhalte nicht zum Training eigener Modelle. Bitte gib keine sensiblen personenbezogenen Daten (Gesundheit, Finanzen, Ausweisnummern) in KI-Prompts ein.

6. Wie lange wir sie aufbewahren

Wir bewahren deine Daten auf, solange dein Konto besteht. Löschst du dein Konto (siehe §8), entfernen wir jeden mit deinem Nutzer verknüpften Datensatz endgültig — einschließlich Websites, Blöcken, Uploads, Formulareinsendungen und allen von dir angelegten Kundenzugängen. Anmeldelinks laufen nach 15 Minuten ab (48 Stunden bei Kundeneinladungen); Sitzungen laufen automatisch nach höchstens 30 Tagen ab (Team-Sitzungen nach 7). Kurzlebige technische Protokolle (Webserver-Zugriffslogs zur Fehlersuche und Missbrauchsabwehr) werden bis zu 30 Tage aufbewahrt.

7. Cookies und lokale Speicher

Das Dashboard nutzt localStorage und sessionStorage deines Browsers, um dich angemeldet zu halten und Einstellungen zu merken (Panel-Position, ausgeblendetes Willkommensbanner, aktuelle Website-Liste). Nichts davon wird irgendwohin gesendet. Cookies setzen wir überhaupt keine.

Das eingebettete Script auf deiner öffentlichen Website nutzt sessionStorage nur, wenn du den Editor öffnest (dort liegt der kurzlebige Bearbeitungstoken, damit er ein F5 übersteht). Bei normalen Besuchern wird das nicht ausgelöst.

8. Deine Rechte

Nach der DSGVO hast du das Recht auf:

• Auskunft — lade einen vollständigen JSON-Export aller Daten herunter, die wir über dich speichern. Dashboard → Einstellungen → Meine Daten exportieren, oder GET /api/user/export.
• Datenübertragbarkeit — jede verbundene Website liefert ab Personal ein ZIP-Backup ihrer Änderungen und Uploads.
• Löschung — lösche dein Konto und jeden zugehörigen Datensatz aus der Datenbank. Dashboard → Einstellungen → Konto löschen, oder DELETE /api/user/delete mit dem Body {"confirm":"DELETE MY ACCOUNT"}.
• Berichtigung — ändere deine E-Mail oder Website-Metadaten jederzeit im Dashboard.
• Widerspruch und Beschwerde — wende dich an uns oder an deine Datenschutzaufsichtsbehörde. Unsere federführende Aufsichtsbehörde ist die spanische AEPD (aepd.es); wer in der EU/im EWR wohnt, kann sich auch an die Behörde des eigenen Landes wenden.

9. Sicherheit und Meldung von Vorfällen

Der gesamte Verkehr ist bei der Übertragung verschlüsselt (durchgehend HTTPS; unsere Domain ist HSTS-preloaded, Browser verweigern also unverschlüsselte Verbindungen). Anmeldelinks, Sitzungs- und Bearbeitungstokens werden nur als Einweg-Hashes gespeichert, nie im Klartext; Team-Passwörter werden mit bcrypt gespeichert. Der Zugriff auf Produktivdaten ist auf das Betreiberteam beschränkt. Sollte ein Sicherheitsvorfall je deine personenbezogenen Daten betreffen, benachrichtigen wir dich und die zuständige Aufsichtsbehörde unverzüglich — innerhalb von 72 Stunden, wo die DSGVO das verlangt.

10. Einwohner Kaliforniens (CCPA/CPRA)

Qixoo erreicht derzeit die Schwellenwerte nicht, ab denen der California Consumer Privacy Act für uns gilt — wir wahren die dortigen Rechte für Einwohner Kaliforniens aber trotzdem:

• Erhobene Kategorien: Kennungen (E-Mail-Adresse), kommerzielle Informationen (Tarif und Kaufhistorie), Internet-/App-Aktivität (Aktionen in deinem eigenen Dashboard) und Nutzerinhalte (Änderungen, Uploads und Formulareinsendungen deiner Websites). Sensible personenbezogene Informationen im Sinne des CPRA erheben wir nicht.
• Kein Verkauf, keine Weitergabe: Wir verkaufen personenbezogene Informationen nicht und geben sie nicht für kontextübergreifende verhaltensbasierte Werbung weiter — es gibt nichts abzulehnen, ein „Do Not Sell or Share"-Link ist daher nicht erforderlich. Ebenso gibt es kein Werbe-Tracking, das ein Global-Privacy-Control-Signal abschalten könnte.
• Deine Rechte — Kenntnis/Auskunft, Berichtigung, Löschung und Übertragbarkeit: dieselben Selbstbedienungswerkzeuge wie in §8 (Einstellungen → Meine Daten exportieren / Konto löschen) oder eine E-Mail an uns. Anfragen prüfen wir über dein angemeldetes Konto oder die hinterlegte E-Mail.
• Keine Benachteiligung: Die Ausübung von Datenschutzrechten wirkt sich nie auf Leistung oder Preis aus.
• Bevollmächtigte können mit Nachweis der Vollmacht in deinem Namen einen Antrag stellen.

11. Kinder

Qixoo ist nicht für Nutzer unter 16 Jahren gedacht. Wenn du meinst, dass sich ein Kind registriert hat, melde dich, und wir entfernen das Konto.

12. Änderungen dieser Erklärung

Aktualisieren wir diese Erklärung wesentlich, benachrichtigen wir aktive Konten mindestens 14 Tage vor Inkrafttreten per E-Mail.

Wenn hier etwas unklar ist oder du eines der Rechte aus §8 ausüben möchtest, schreib einfach an hello@qixoo.app.