Datenschutzerklärung

1. Verantwortlicher

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

ANORA Technologies GmbH
Ludwig-Thoma-Strasse 41
82031 Grünwald
Deutschland
Geschäftsführer: Daniel Kleybor, Adrian Kabl
Registergericht: Amtsgericht München
Handelsregister: HRB 312831
Telefon: 0176 646 99 213
E-Mail: info@anora.business

Für Datenschutzanfragen nutzen Sie bitte die oben genannte E-Mail-Adresse mit dem Betreff „Datenschutz ANORA".

2. Datenschutzbeauftragter

Ein betrieblicher Datenschutzbeauftragter ist derzeit nicht gesondert bestellt, soweit keine gesetzliche Pflicht zur Bestellung besteht. Datenschutzanfragen werden direkt über die in Abschnitt 1 genannten Kontaktdaten bearbeitet.

3. Grundsätze der Verarbeitung

Wir verarbeiten personenbezogene Daten nur, soweit dies rechtlich zulässig, erforderlich und zweckgebunden ist. Maßgebliche Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. a, b, c und f DSGVO sowie, soweit einschlägig, Art. 28, Art. 44 ff. DSGVO, das BDSG und das TDDDG.

• Vertragserfüllung: Art. 6 Abs. 1 lit. b DSGVO, wenn Daten zur Bereitstellung der Plattform, Nutzerkonten, KI-Funktionen, Credits, Support oder Integrationen erforderlich sind.
• Rechtliche Pflichten: Art. 6 Abs. 1 lit. c DSGVO, insbesondere für handels-, steuer- und buchhaltungsrechtliche Aufbewahrungspflichten.
• Berechtigte Interessen: Art. 6 Abs. 1 lit. f DSGVO, insbesondere für Sicherheit, Missbrauchsprävention, Fehleranalyse, Produktverbesserung und Durchsetzung von Ansprüchen.
• Einwilligung: Art. 6 Abs. 1 lit. a DSGVO, soweit optionale Funktionen, bestimmte Integrationen oder Kommunikationswege eine Einwilligung erfordern.

4. Hosting, Server-Logs und technische Bereitstellung

ANORA wird auf Servern in Deutschland bei 1&1 IONOS betrieben. Beim Aufruf der Website und App werden technisch erforderliche Zugriffsdaten verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, angeforderte URL, Referrer-URL, HTTP-Status, übertragene Datenmenge, Browser, Betriebssystem und User-Agent.

Die Verarbeitung erfolgt zur sicheren Auslieferung der Website, zur Fehleranalyse, zur Abwehr von Angriffen und zur Sicherstellung des Betriebs auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Server-Logfiles werden grundsätzlich nur so lange gespeichert, wie dies für Sicherheits- und Betriebszwecke erforderlich ist, und anschließend gelöscht oder anonymisiert, sofern keine längere Speicherung zur Rechtsverfolgung oder Erfüllung gesetzlicher Pflichten erforderlich ist.

5. Cookies, Sessions und lokale Speicherung

Die Plattform verwendet technisch notwendige Cookies und Session-Mechanismen, um Login-Status, Sicherheitsfunktionen, Mandantenbezug und Bedienfunktionen bereitzustellen. Diese Verarbeitung ist für den Betrieb der App erforderlich und erfolgt auf Grundlage von § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b und f DSGVO.

Nach aktueller technischer Ausgestaltung setzt die öffentliche Landingpage keine werblichen Tracking- oder Profiling-Cookies ein. Für Animationen und Frontend-Bibliotheken können externe Ressourcen, insbesondere über cdnjs/Cloudflare, geladen werden; dabei können technische Zugriffsdaten an den jeweiligen Anbieter übertragen werden.

6. Registrierung, Login und Benutzerverwaltung

Für die Nutzung der App verarbeiten wir Konto- und Stammdaten wie Benutzername, E-Mail-Adresse, Anzeigename, Rolle, Tenant-/Unternehmenszuordnung, Status, Passwort-Hash, Login-Token, Rechte, Modulfreischaltungen, Zeitstempel und sicherheitsrelevante Protokolldaten. Passwörter werden nicht im Klartext gespeichert.

Die Verarbeitung erfolgt zur Einrichtung, Authentifizierung, Autorisierung und Verwaltung von Nutzerkonten auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Sicherheitsprotokolle, IP-Adresse und User-Agent können zusätzlich zur Angriffserkennung und Missbrauchsprävention auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet werden.

7. Join-, Kontakt-, Netzwerk- und Support-Anfragen

Wenn Sie Kontakt-, Join-, Invite-, Netzwerk- oder Supportformulare nutzen, verarbeiten wir die von Ihnen eingegebenen Daten, insbesondere Name, Unternehmen, E-Mail-Adresse, Telefonnummer, Nachricht, gewünschtes Paket, Supportinhalte, Anhänge, technische Metadaten und Bearbeitungsstatus.

Die Verarbeitung erfolgt zur Bearbeitung Ihrer Anfrage, zur Vertragsanbahnung, zur Kundenbetreuung und zur Dokumentation auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO. Soweit gesetzliche Aufbewahrungspflichten entstehen, erfolgt die weitere Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

8. Vertrags-, Mandanten-, Credit- und Abrechnungsdaten

Zur Bereitstellung der Plattform und Abrechnung verarbeiten wir Mandanten-, Nutzer-, Rollen-, Paket-, Preis-, Credit-, Ledger-, Nutzungs-, Rechnungs- und Zahlungsstatusdaten. Dazu gehören insbesondere verbrauchte und gutgeschriebene Credits, Reservierungen, Freigaben, Modellpreise, Tagespreise, Kostenprotokolle, Tarifinformationen und Buchungszeitpunkte.

Die Verarbeitung erfolgt zur Vertragserfüllung und Abrechnung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie zur Erfüllung gesetzlicher Aufbewahrungs- und Nachweispflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

9. KI-Funktionen, Prompts, Inhalte und Generierungen

ANORA verarbeitet Eingaben und Inhalte, die Nutzer in KI-Module eingeben oder hochladen. Dazu gehören Prompts, Chatnachrichten, Briefings, Artikelentwürfe, Social-Media-Inhalte, Bild- und Dokumenten-Prompts, Markenrichtlinien, System-Prompts, generierte Outputs, Feedback, Qualitätsbewertungen, Nutzungsmetriken, Token- und Kosteninformationen.

Zur Erbringung der KI-Funktionen können die jeweils erforderlichen Eingaben und Kontextdaten an KI- und Infrastruktur-Anbieter übermittelt werden. Eingesetzte oder technisch vorgesehene Anbieter und Dienste sind insbesondere OpenAI, Anthropic/Claude, Google Gemini, Google Vertex AI, Google Document AI, DeepSeek, Replicate/Flux sowie weitere vergleichbare Modellanbieter, soweit diese in der Plattform aktiviert sind.

Die Verarbeitung erfolgt zur Vertragserfüllung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit wir die Plattform technisch absichern, Qualität prüfen, Missbrauch verhindern oder Kosten abrechnen, stützen wir die Verarbeitung zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO.

10. Uploads, Assets, Dokumente, Bilder und Dateifreigaben

Die Plattform verarbeitet hochgeladene und generierte Dateien wie Bilder, PDFs, DOCX-, XLSX-, CSV- und TXT-Dateien, Schriften, Logos, Markenassets, Projektdateien, Screenshots, Audio-/Sprachdaten, Dokumentanalysen, OCR-Ergebnisse, Vorschaubilder und Exportdateien. Dateien können mandantenbezogen gespeichert und für Bearbeitung, Analyse, Generierung, Vorschau, Export oder Freigabe verarbeitet werden.

Für Speicherung und Auslieferung können lokale Serververzeichnisse sowie Google Cloud Storage genutzt werden. Bei öffentlichen oder freigegebenen Dateien können Abruf-Links, Zugriffstoken, Passwortschutz, Downloadstatus und technische Zugriffsdaten verarbeitet werden. Die Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; Sicherheits- und Missbrauchsprotokolle beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

11. Brandroom, Website-Analyse, SEO-Datenzentrum und externe Websites

Für Brandroom-, SEO-, Analyse- und Monitoring-Funktionen verarbeitet ANORA Markeninformationen, Unternehmensprofile, Website-URLs, Crawling-Ergebnisse, Seitentitel, Meta-Daten, Inhalte öffentlich abrufbarer Seiten, Designinformationen, Logos, Farben, Schriften, Screenshots, Suchbegriffe, Rankings, Sichtbarkeitswerte, PageSpeed-Daten, Search-Console-Daten, GA4-Daten, Google-Business-Profile-Daten und daraus generierte Empfehlungen.

Die Verarbeitung erfolgt zur Bereitstellung der gebuchten Funktionen auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO. Soweit öffentliche Websites analysiert werden, erfolgt dies zusätzlich auf Grundlage berechtigter Interessen an Marken-, SEO- und Performance-Analyse gemäß Art. 6 Abs. 1 lit. f DSGVO.

12. Integrationen mit Drittplattformen

Die App kann mit Drittplattformen verbunden werden. Dabei verarbeiten wir je nach aktivierter Integration Zugangsdaten, API-Schlüssel, OAuth-Tokens, App-Passwörter, Account-IDs, Seiten-IDs, Veröffentlichungsdaten, Medien, Kommentare, Statusmeldungen, Fehlerantworten und technische Metadaten. Zugangsdaten und Secrets werden nach Möglichkeit verschlüsselt gespeichert.

• Meta / Instagram: Verbindung von Instagram-Business-Konten, Medien-Publishing, Accountdaten, Container- und Medien-IDs, Permalinks und Veröffentlichungsstatus.
• LinkedIn: Verbindung persönlicher Profile und administrierter Unternehmensseiten, Anzeige freigegebener Identitäten sowie ausdrücklich ausgelöstes Publishing von Texten und Medien.
• Meta / WhatsApp Business: Verarbeitung von WhatsApp-Telefonnummern, Absendernummern, Nachrichten, Medien, Threads, Statusereignissen, Webhook-Logs und Antwortinhalten.
• Google: OAuth-Integrationen und API-Nutzung für Google Ads, Search Console, GA4, Business Profile, PageSpeed, Indexing API, Document AI, Vertex AI, Gemini und Cloud Storage.
• WordPress / WooCommerce: Abruf, Erstellung und Veröffentlichung von Artikeln, Medien, Taxonomien, ACF-/Custom-Fields und Produktdaten.

Die Verarbeitung erfolgt zur Vertragserfüllung gemäß Art. 6 Abs. 1 lit. b DSGVO. Für Sicherheits-, Fehler- und Nachweiszwecke kann Art. 6 Abs. 1 lit. f DSGVO hinzutreten.

13. Meta / Instagram API und Facebook Login

Die Verbindung eines Instagram-Kontos ist optional und wird nur gestartet, wenn ein berechtigter Tenant-Administrator in ANORA ausdrücklich „Verbinden“ auswählt. Die Anmeldung, Account-Auswahl und Erteilung der Berechtigungen erfolgen auf Seiten von Meta. ANORA erhält weder das Facebook- noch das Instagram-Passwort und kann nur auf die Facebook-Seiten und professionellen Instagram-Konten zugreifen, die der Nutzer im Meta-Dialog freigibt. Unterstützt werden ausschließlich Instagram Business- und Creator-Konten, die mit einer Facebook-Seite verbunden sind.

13.1 Angefragte Berechtigungen und abgerufene Daten (data access)

ANORA fordert diesen festen Berechtigungsumfang nur für den sichtbaren Instagram-Verbindungs-, Analytics- und Publishing-Workflow an. Nicht benötigte Meta-Berechtigungen, insbesondere für Nachrichten, Kommentare, Werbung oder die Verwaltung fremder Konten, werden nicht angefragt.

13.2 Verwendung der Meta- und Instagram-Daten (data use)

• Verbindung und Account-Auswahl: Anzeige der freigegebenen Facebook-Seiten und der damit verknüpften professionellen Instagram-Konten; Speicherung ausschließlich für den vom Tenant-Administrator ausgewählten Account.
• Profil und Content: Anzeige des Instagram-Profils, der letzten Medien und der im Produkt sichtbaren Account-Informationen.
• Insights: Darstellung von Reichweite, Interaktionen und weiteren freigegebenen Kennzahlen im Data Center sowie in vom Nutzer angeforderten Reports und Empfehlungen.
• Publishing: Übertragung der vom Nutzer ausgewählten Medien und Caption an Meta, Erstellung eines Media-Containers und Veröffentlichung erst nach ausdrücklicher Nutzeraktion beziehungsweise Bestätigung.
• KI-gestützte Auswertung: Nur wenn ein Nutzer eine entsprechende sichtbare Funktion auslöst, werden die hierfür notwendigen ausgewählten Inhalte, Kennzahlen oder abgeleiteten Daten verarbeitet, um das konkret angeforderte Ergebnis zu erzeugen. Meta Platform Data wird nicht zum Training allgemeiner oder nicht personalisierter KI-/ML-Modelle verwendet.

13.3 Speicherung, Sicherheit und Tenant-Isolation

ANORA speichert den ausgewählten Instagram-Benutzernamen, die Facebook-Seiten-ID und den Seitennamen, die Instagram-Business-Account-ID, die vom Provider gelieferten Profil- und Statistikdaten, den erteilten Berechtigungsumfang, Token- und Datenzugriffsablaufzeiten sowie erforderliche Veröffentlichungsbelege. Der Page Access Token wird mit authentifizierter AES-256-GCM-Verschlüsselung und strikt mandantenbezogen gespeichert. Die rohe Facebook-Nutzer-ID wird nicht gespeichert; zur Zuordnung eines Meta-Löschauftrags wird nur ein nicht rückrechenbarer, serverseitig geschlüsselter Hash abgelegt. Zugriff erhalten ausschließlich berechtigte Nutzer des betreffenden Mandanten und technische Prozesse, die diese Funktionen bereitstellen.

13.4 Weitergabe und Plattformbeschränkungen (data sharing)

ANORA verkauft Meta Platform Data nicht und gibt sie nicht an Datenhändler, Werbenetzwerke oder andere Mandanten weiter. Die Daten werden nicht für interessenbasierte Werbung außerhalb des vom Nutzer verwalteten Accounts, Überwachung, Kreditwürdigkeitsprüfungen oder Kreditzwecke verwendet.

• Meta: Medien, Captions und technische Publishing-Parameter werden nur übertragen, wenn der Nutzer die betreffende Veröffentlichung auslöst; Profil- und Insight-Daten werden ausschließlich über die dokumentierten Meta APIs abgerufen.
• Hosting: 1&1 IONOS verarbeitet die für den Betrieb erforderlichen Daten als Infrastruktur- und Hosting-Auftragsverarbeiter in Deutschland.
• Vom Nutzer angeforderte KI-Auswertung: Ausgewählte Inhalte oder Kennzahlen können an Google Cloud/Gemini oder OpenAI als Auftragsverarbeiter übermittelt werden, jedoch nur für das konkret angeforderte, in ANORA sichtbare Ergebnis und nicht zum Training allgemeiner Modelle.
• Gesetzlich erforderliche Offenlegung: Eine Offenlegung an Behörden, Gerichte oder sonstige Stellen erfolgt nur bei einer rechtlichen Verpflichtung.

13.5 Speicherdauer, Trennung, Widerruf und Löschung (data retention and deletion)

• Aktive Verbindung: Die oben beschriebenen verschlüsselten Tokens, technischen Account-IDs und erforderlichen Profil-, Insight- und Publishing-Daten werden gespeichert, solange die Integration aktiv ist und für die vom Nutzer verlangte Funktion benötigt wird.
• Trennen in ANORA: Neue Meta-API-Abrufe werden beendet; der verschlüsselte Token und die technischen Verbindungsdaten des Mandanten werden unmittelbar aus der aktiven Verbindung gelöscht. Die Meta-Berechtigung kann zusätzlich unter Facebook → Business-Integrationen widerrufen werden.
• Meta-Löschauftrag: Meta kann einen signierten Löschauftrag an https://anora.business/api/meta/data-deletion.php senden. ANORA löscht die zugeordnete Verbindung und providerbezogene Identifikatoren und liefert einen zufälligen Bestätigungscode mit öffentlicher Statusseite zurück.
• Deautorisierung bei Meta: Entfernt der Nutzer ANORA in den Facebook Business-Integrationen, sendet Meta einen signierten Deautorisierungsaufruf an https://anora.business/api/meta/deauthorize.php. ANORA prüft die Signatur und entfernt die zugeordnete Verbindung auf dieselbe Weise.
• Vom Nutzer erstellte ANORA-Inhalte: Eigene Entwürfe, Assets und bewusst veröffentlichte Arbeitsergebnisse bleiben bei einer bloßen Trennung erhalten. Sie werden bei Löschung des Nutzerkontos beziehungsweise Mandanten oder nach einem verifizierten vollständigen Löschantrag spätestens innerhalb von 30 Tagen gelöscht oder anonymisiert, soweit keine gesetzliche Ausnahme greift.
• Sicherungskopien: Lokale Datenbanksicherungen werden bis zu 30 Tage, verschlüsselte unveränderliche Offsite-Sicherungen bis zu 90 Tage vorgehalten und anschließend durch die Backup-Rotation gelöscht. Bereits erfüllte Löschanforderungen werden nach einer Wiederherstellung erneut angewendet.

Die vollständigen Schritte stehen unter Datenlöschung. Datenschutzanfragen können jederzeit an info@anora.business gesendet werden.

Die Verarbeitung erfolgt zur Bereitstellung der ausdrücklich aktivierten Integration auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit erforderlich, auf Grundlage der Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sicherheits-, Missbrauchs- und Nachweismaßnahmen beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

14. Google API-Dienste und OAuth-Verbindungen

Die Verbindung eines Google-Kontos ist optional und wird erst gestartet, wenn ein berechtigter Nutzer in ANORA ausdrücklich „Verbinden“ auswählt. Die Autorisierung und Einwilligung erfolgen auf Seiten von Google. ANORA erhält weder das Google-Passwort noch Zugriff außerhalb der auf dem Google OAuth-Consent-Screen angezeigten und vom Nutzer bestätigten Berechtigungen. Wird die Freigabe nicht erteilt, bleiben die jeweiligen Google-Funktionen deaktiviert.

14.1 Welche Google-Nutzerdaten ANORA abruft (data access disclosure)

Für Google Analytics und Search Console nutzt ANORA bewusst reine Leseberechtigungen. Für Google Ads stellt Google keinen engeren OAuth-Bereich mit getrennten Lese- und Schreibrechten bereit; ohne https://www.googleapis.com/auth/adwords funktionieren weder die sichtbaren Reports noch die ausdrücklich ausgelösten Verwaltungsfunktionen. Die Berechtigung business.manage ist erforderlich, damit die in ANORA sichtbaren Business-Profile-Funktionen einschließlich Bewertungen, Beiträgen, Medien und Standorten bereitgestellt werden können.

14.2 Wie ANORA Google-Nutzerdaten verwendet (data use disclosure)

• Google-Konto: Zuordnung der Verbindung zum richtigen ANORA-Mandanten und Anzeige des verbundenen Kontos.
• Google Analytics 4: Property-Auswahl sowie Darstellung von Traffic, Akquisition, Zielgruppen, Engagement, Umsatz und Conversions in den sichtbaren Insights-Dashboards, Vergleichen, Berichten und nutzerangeforderten Empfehlungen.
• Google Search Console: Property-Auswahl sowie Darstellung von Suchleistung, Rankings, Suchanfragen und Seiten in sichtbaren SEO-Auswertungen, Content-Prioritäten und nutzerangeforderten Empfehlungen.
• Google Business Profile: Anzeige und Verwaltung der ausgewählten Standorte, Performance, Bewertungen, Antworten, Beiträgen und Medien. Jede schreibende Aktion wird durch den Nutzer ausgelöst oder vor Ausführung von ihm freigegeben.
• Google Ads: Anzeige und Analyse ausgewählter Konten, Kampagnen und Leistungsdaten sowie vom Nutzer ausgelöste oder freigegebene Erstellung, Optimierung, Änderung, Pausierung und Veröffentlichung von Kampagnenbestandteilen.
• KI-gestützte Auswertungen: Nur wenn ein Nutzer eine entsprechende sichtbare Funktion auslöst, werden die hierfür erforderlichen ausgewählten Kennzahlen und abgeleiteten Daten verarbeitet, um das konkret angeforderte und in ANORA sichtbare Ergebnis zu erzeugen. Google-Nutzerdaten werden nicht zum Training allgemeiner oder nicht personalisierter KI-/ML-Modelle verwendet.

14.3 Speicherung und Schutz

OAuth-Zugriffs- und Refresh-Tokens werden verschlüsselt und mandantenbezogen gespeichert. Zusätzlich können die verbundene Google-E-Mail-Adresse und technische Konto-, Kunden-, Standort- oder Property-IDs, ausgewählte Properties, zwischengespeicherte API-Antworten, Synchronisationsprotokolle, sichtbare Reports, Snapshots sowie daraus erzeugte Empfehlungen gespeichert werden. Der Zugriff ist nach Mandant und Rolle beschränkt; ANORA greift erst nach erfolgreicher OAuth-Freigabe und ausschließlich über dokumentierte Google APIs auf die freigegebenen Daten zu.

14.4 Weitergabe, Übertragung und Offenlegung (data sharing disclosure)

ANORA verkauft Google-Nutzerdaten nicht und gibt sie nicht an Datenhändler oder Werbenetzwerke weiter. ANORA übermittelt oder verwendet diese Daten nicht für interessenbasierte oder personalisierte Werbung, Retargeting außerhalb des vom Nutzer verwalteten Google-Ads-Kontos, Überwachung, Kreditwürdigkeitsprüfungen oder Kreditzwecke.

Google-Nutzerdaten werden nur in dem für die oben beschriebenen, nutzerbezogenen Funktionen erforderlichen Umfang an folgende Kategorien von Empfängern übertragen oder offengelegt:

• Hosting und technische Bereitstellung: 1&1 IONOS als Infrastruktur- und Hosting-Auftragsverarbeiter in Deutschland.
• Vom Nutzer angeforderte KI-Auswertung: Google Cloud beziehungsweise Google Gemini und, bei entsprechend ausgelösten Google-Ads-Auswertungen, OpenAI als Auftragsverarbeiter zur Erzeugung des konkret angeforderten, in ANORA sichtbaren Ergebnisses.
• Vom Nutzer angewiesene Empfänger: Übertragung nur, wenn der Nutzer eine konkrete Freigabe, Veröffentlichung oder sonstige Aktion ausdrücklich auslöst.
• Gesetzlich erforderliche Offenlegung: Behörden, Gerichte oder sonstige Stellen nur, wenn ANORA hierzu rechtlich verpflichtet ist; eine Offenlegung im Rahmen einer Unternehmensübertragung erfolgt nur unter Einhaltung der Google-Richtlinien und, soweit erforderlich, nach vorheriger ausdrücklicher Einwilligung.

Mitarbeitende und Auftragnehmer dürfen Google-Nutzerdaten grundsätzlich nicht inhaltlich lesen. Ausnahmen bestehen nur, wenn der Nutzer dem Zugriff auf konkrete Daten zuvor ausdrücklich zustimmt, der Zugriff zur Untersuchung eines Sicherheitsvorfalls, Missbrauchs oder technischen Fehlers erforderlich ist, eine gesetzliche Verpflichtung besteht oder ausschließlich aggregierte Daten rechtmäßig für interne Betriebszwecke verwendet werden.

14.5 Speicherdauer und Löschung (data retention and deletion disclosure)

• Solange die Verbindung aktiv ist: Verschlüsselte OAuth-Tokens, die verbundene Google-E-Mail-Adresse, technische Konto-/Property-IDs sowie benötigte Cache-, Report-, Snapshot- und Insight-Daten werden gespeichert, solange die Integration aktiv ist und der ANORA-Vertrag beziehungsweise das Nutzerkonto besteht oder die Daten für die vom Nutzer verlangte Funktion benötigt werden.
• Beim Trennen: ANORA beendet neue API-Abrufe und löscht die lokal gespeicherten OAuth-Zugriffs- und Refresh-Tokens, die gespeicherte Google-E-Mail-Adresse, technische Verbindungs- beziehungsweise Property-IDs und den providerbezogenen API-Cache unmittelbar. Die OAuth-Berechtigung kann zusätzlich in den Sicherheitseinstellungen des Google-Kontos widerrufen werden.
• Importierte und abgeleitete Inhalte: Bereits erzeugte Reports, Snapshots, Synchronisationsnachweise und Empfehlungen bleiben nach einer bloßen Trennung im ANORA-Mandanten erhalten, damit der Nutzer seine Arbeitsergebnisse nicht unbeabsichtigt verliert. Sie werden bei Löschung des Nutzerkontos beziehungsweise Mandanten oder nach einem verifizierten Löschantrag gelöscht oder anonymisiert; die Bearbeitung erfolgt spätestens innerhalb von 30 Tagen.
• Sicherungskopien: Restkopien können bis zum Ablauf der abgesicherten Backup-Rotation verbleiben. Lokale Datenbanksicherungen werden bis zu 30 Tage, verschlüsselte unveränderliche Offsite-Sicherungen bis zu 90 Tage vorgehalten. Sie dienen ausschließlich der Notfallwiederherstellung, werden nicht für Produktfunktionen genutzt und werden nach Ablauf der Frist automatisch überschrieben beziehungsweise gelöscht. Bei einer Wiederherstellung werden bereits erfüllte Löschanforderungen erneut angewendet.
• Gesetzliche Ausnahmen: Längere Aufbewahrung erfolgt nur, soweit gesetzliche Pflichten oder die Sicherung beziehungsweise Durchsetzung von Ansprüchen dies verlangen. Rohe Google-API-Inhalte werden nicht allein für handels- oder steuerrechtliche Zwecke aufbewahrt.

Die vollständigen Schritte und Kontaktmöglichkeiten stehen unter Datenlöschung. Ein Löschantrag kann jederzeit an info@anora.business gesendet werden.

Die Verarbeitung erfolgt zur Bereitstellung der ausdrücklich aktivierten Integration auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit erforderlich, auf Grundlage der Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sicherheits- und Missbrauchsmaßnahmen beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

15. LinkedIn API und OAuth-Verbindungen

Die Verbindung eines LinkedIn-Kontos ist optional und wird nur gestartet, wenn ein berechtigter Tenant-Administrator in ANORA ausdrücklich die Verbindung eines persönlichen Profils oder einer administrierten Unternehmensseite auswählt. Anmeldung, Einwilligung und Auswahl der freigegebenen Berechtigungen erfolgen bei LinkedIn. ANORA erhält niemals das LinkedIn-Passwort.

15.1 Angefragte Berechtigungen und Datenzugriff

15.2 Verwendung, Speicherung und Schutz

• Verbindung und Identitätsauswahl: Anzeige des verbundenen persönlichen Profils beziehungsweise der administrierbaren Unternehmensseiten und Zuordnung ausschließlich zum aktuell ausgewählten ANORA-Mandanten.
• Publishing: Übertragung der ausgewählten Caption, Medien und technischen Veröffentlichungsparameter an LinkedIn erst nach einer konkreten, sichtbaren Nutzerbestätigung. ANORA erstellt keine autonomen oder unbestätigten LinkedIn-Beiträge.
• Technische Nachweise: Speicherung der LinkedIn-Autor-URN, der Unternehmens-ID, des Anzeigenamens, des freigegebenen Berechtigungsumfangs, des Veröffentlichungsstatus und der von LinkedIn gelieferten Beitrags-ID, soweit dies für Anzeige, Fehlerbehandlung und Nachweis erforderlich ist.
• Tokens: OAuth-Zugriffs- und gegebenenfalls Refresh-Tokens werden mit authentifizierter Verschlüsselung, strikt mandantenbezogen und getrennt für Profil- und Unternehmensverbindung gespeichert. Zugriff erhalten nur berechtigte Nutzer des betreffenden Mandanten und die technisch erforderlichen Publishing-Prozesse.
• Keine Weiterverwendung: LinkedIn-Daten werden nicht verkauft, nicht an Datenhändler oder Werbenetzwerke weitergegeben und nicht zum Training allgemeiner oder nicht personalisierter KI-/ML-Modelle verwendet.

15.3 Trennung, Widerruf und Löschung

• Trennen in ANORA: ANORA beendet neue LinkedIn-API-Aufrufe und löscht die verschlüsselten Tokens sowie die aktiven technischen Profil- und Unternehmensverbindungen des Mandanten unmittelbar.
• Widerruf bei LinkedIn: Die erteilte Berechtigung kann zusätzlich in den LinkedIn-Einstellungen für zugelassene Dienste widerrufen werden.
• Arbeitsergebnisse: Eigene ANORA-Entwürfe, Assets und bewusst veröffentlichte Nachweise bleiben bei einer bloßen Trennung erhalten, damit Arbeitsergebnisse nicht unbeabsichtigt verloren gehen. Sie werden bei Löschung des Nutzerkontos beziehungsweise Mandanten oder nach einem verifizierten vollständigen Löschantrag spätestens innerhalb von 30 Tagen gelöscht oder anonymisiert, soweit keine gesetzliche Ausnahme greift.
• Sicherungskopien: Restkopien können bis zum Ablauf der abgesicherten Backup-Rotation verbleiben; lokale Datenbanksicherungen werden bis zu 30 Tage und verschlüsselte unveränderliche Offsite-Sicherungen bis zu 90 Tage vorgehalten.

Die vollständigen Schritte stehen unter Datenlöschung. Die Verarbeitung erfolgt zur Bereitstellung der ausdrücklich aktivierten Integration auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO und, soweit erforderlich, auf Grundlage der Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO. Sicherheits-, Missbrauchs- und Nachweismaßnahmen beruhen auf Art. 6 Abs. 1 lit. f DSGVO.

16. N.O.A.H, Automatisierung, Memory und Feedback

Die Plattform enthält Assistenz-, Automatisierungs- und Memory-Funktionen. Hierbei können Konversationen, Ziele, Aufgaben, Entscheidungen, Freigaben, Feedback, Qualitätsbewertungen, Tenant-Memory, Modellrouting-Informationen, Runbooks, Policies, Audit-Logs und Ergebnisdaten verarbeitet werden. Diese Funktionen dienen dazu, Workflows zu steuern, Ergebnisse zu verbessern, Kontext zu behalten und Entscheidungen nachvollziehbar zu machen.

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO, soweit sie zur Nutzung der Plattform erforderlich ist, sowie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO für Qualitätsverbesserung, Sicherheit und Nachvollziehbarkeit.

17. Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur an Empfänger weitergegeben, soweit dies für die Bereitstellung der Plattform, Erfüllung vertraglicher Pflichten, gesetzliche Pflichten oder berechtigte Interessen erforderlich ist. Empfänger können insbesondere Hosting-, Infrastruktur-, Datenbank-, Speicher-, KI-, Kommunikations-, Support-, Zahlungs-/Abrechnungs-, Analyse- und Integrationsanbieter sein.

Mit Auftragsverarbeitern werden, soweit erforderlich, Verträge gemäß Art. 28 DSGVO geschlossen. Bei Drittanbietern, die eigenständig Verantwortliche sind, gelten ergänzend deren Datenschutzbedingungen.

18. Drittlandübermittlungen

Einige eingesetzte Dienste, insbesondere KI-, Cloud-, Meta-, Google- und LinkedIn-Dienste, können Daten außerhalb der EU bzw. des EWR verarbeiten, insbesondere in den USA. Eine Übermittlung erfolgt nur, soweit hierfür eine datenschutzrechtliche Grundlage besteht, insbesondere ein Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework, Standardvertragsklauseln gemäß Art. 46 DSGVO oder eine sonstige zulässige Rechtsgrundlage nach Art. 44 ff. DSGVO.

Bei der Nutzung von KI-Funktionen können die vom Nutzer eingegebenen Inhalte technisch an Anbieter außerhalb der EU/des EWR übermittelt werden. Nutzer sollten deshalb keine Inhalte eingeben, für deren Übermittlung keine ausreichende Rechtsgrundlage besteht.

19. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur solange, wie dies für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen bestehen. Vertrags-, Abrechnungs- und steuerlich relevante Unterlagen können aufgrund gesetzlicher Vorgaben bis zu zehn Jahre aufbewahrt werden. Account-, Projekt-, Asset-, Generierungs- und Integrationsdaten werden grundsätzlich während der Vertragslaufzeit gespeichert und nach Vertragsende gelöscht oder anonymisiert, soweit keine gesetzlichen Pflichten, offene Ansprüche oder berechtigte Interessen entgegenstehen.

Credits und Credit-Buchungen werden entsprechend den vertraglichen Regelungen und buchhalterischen Anforderungen dokumentiert. In der Plattform enthaltene Inhalte, Uploads und generierte Medien können durch berechtigte Nutzer gelöscht werden, soweit technische und rechtliche Vorgaben dem nicht entgegenstehen.

20. Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein, um personenbezogene Daten vor Verlust, Missbrauch, unbefugtem Zugriff, Veränderung oder Offenlegung zu schützen. Dazu gehören insbesondere rollenbasierte Zugriffe, Mandantentrennung, Passwort-Hashing, verschlüsselte Speicherung von Secrets, HTTPS, Zugriffskontrollen, Protokollierung sicherheitsrelevanter Ereignisse und regelmäßige technische Prüfungen.

21. Ihre Rechte

Betroffene Personen haben nach Maßgabe der DSGVO folgende Rechte:

• Auskunft gemäß Art. 15 DSGVO,
• Berichtigung gemäß Art. 16 DSGVO,
• Löschung gemäß Art. 17 DSGVO,
• Einschränkung der Verarbeitung gemäß Art. 18 DSGVO,
• Datenübertragbarkeit gemäß Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO gemäß Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft gemäß Art. 7 Abs. 3 DSGVO.

Zur Ausübung Ihrer Rechte wenden Sie sich bitte an info@anora.business. Wir können eine Identitätsprüfung verlangen, soweit dies zum Schutz personenbezogener Daten erforderlich ist.

22. Beschwerderecht bei einer Aufsichtsbehörde

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren, insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthalts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes. Zuständig für Bayern ist insbesondere:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Web: www.lda.bayern.de

23. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich Funktionen, Datenverarbeitungen, Anbieter, gesetzliche Anforderungen oder technische Abläufe ändern. Die jeweils aktuelle Fassung ist unter https://anora.business/privacy-policy abrufbar.