Datenschutzerklärung - Qwairy

1. Einleitung

Die Qwairy SAS, eine vereinfachte Aktiengesellschaft nach französischem Recht (Société par actions simplifiée), eingetragen unter SIREN 944 639 012, mit Sitz in 1 Rue de Stockholm, 75008 Paris, France ("Qwairy," "wir," "uns"), verpflichtet sich zum Schutz Ihrer Privatsphäre.

Diese Datenschutzerklärung erläutert, wie wir Ihre personenbezogenen Daten erheben, nutzen, speichern und schützen, wenn Sie unsere Plattform für Generative Engine Optimization (GEO) (der "Dienst") nutzen, einschließlich der Daten, die wir über Integrationen von Drittanbietern wie Google Analytics und Google Search Console erhalten (siehe Abschnitt 13, Google-Nutzerdaten).

Durch die Nutzung unseres Dienstes stimmen Sie der Erhebung und Nutzung von Informationen gemäß dieser Datenschutzerklärung zu. Diese Erklärung entspricht der EU-Datenschutz-Grundverordnung (DSGVO), dem französischen Datenschutzgesetz (Loi Informatique et Libertés), der Google API Services User Data Policy und den Google APIs Terms of Service.

2. Verantwortlicher

3. Welche Daten wir erheben

3.1 Kontoinformationen

Wenn Sie ein Konto erstellen, erheben wir:

• E-Mail-Adresse
• Name (falls angegeben)
• Profilbild (bei Anmeldung über OAuth)
• Firmenname und Website-URL (falls angegeben)

3.2 Nutzungsdaten

Wir erfassen automatisch Informationen darüber, wie Sie mit unserem Dienst interagieren, darunter:

• Besuchte Seiten und genutzte Funktionen
• Zeitstempel und Sitzungsdauer
• Browsertyp und Geräteinformationen
• IP-Adresse

3.3 Marken- und Inhaltsdaten

Um unsere GEO-Optimierungsdienste bereitzustellen, erheben wir:

• Von Ihnen konfigurierte Markennamen und -beschreibungen
• Von Ihnen überwachte Keywords und Themen
• Von Ihnen hinzugefügte Informationen zu Wettbewerbern
• KI-generierte Inhalte und Analyseergebnisse

3.4 Daten aus Integrationen von Drittanbietern

Wenn Sie Konten von Drittanbietern verbinden (Google Analytics, Google Search Console und ähnliche Integrationen), erheben wir die in Abschnitt 13 beschriebenen Daten. Diese Verbindungen sind stets optional und können jederzeit widerrufen werden.

4. Wie wir Ihre Daten verwenden

Wir verwenden Ihre personenbezogenen Daten, um:

• unseren Dienst bereitzustellen, zu betreiben und zu verbessern
• Transaktionen abzuwickeln und zugehörige Informationen zu senden
• administrative Benachrichtigungen und Updates zu senden
• Ihre Anfragen und Supportanliegen zu beantworten
• Nutzungsmuster zu analysieren und so die Nutzererfahrung zu verbessern
• Betrug und Sicherheitsprobleme zu erkennen und zu verhindern

Wir verwenden weder Ihre personenbezogenen Daten noch Ihre Google-Nutzerdaten oder in Ihrem Auftrag verarbeitete Inhalte, um eigene Modelle für künstliche Intelligenz oder maschinelles Lernen zu trainieren.

5. Rechtsgrundlagen der Verarbeitung (DSGVO)

Gemäß DSGVO verarbeiten wir Ihre personenbezogenen Daten auf folgenden Rechtsgrundlagen:

• Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Verarbeitung, die erforderlich ist, um den von Ihnen angeforderten Dienst bereitzustellen und abzurechnen.
• Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Für optionale Funktionen wie Marketingkommunikation, nicht essenzielle Cookies und Integrationen von Drittanbietern (z. B. Google Analytics, Google Search Console).
• Berechtigte Interessen (Art. 6 Abs. 1 lit. f DSGVO): Für Analysen, Sicherheit, Betrugsprävention und die Verbesserung des Dienstes, sofern Ihre Rechte nicht überwiegen.
• Rechtliche Verpflichtungen (Art. 6 Abs. 1 lit. c DSGVO): Wenn dies nach geltendem Recht erforderlich ist (Buchhaltung, Steuern, Auskünfte an Behörden).

6. Auftragsverarbeiter und Weitergabe an Dritte

Wir setzen ausschließlich für den Betrieb des Dienstes die folgenden Kategorien von Auftragsverarbeitern (Unterauftragsverarbeitern) ein. Bietet ein Auftragsverarbeiter einen Auftragsverarbeitungsvertrag (AVV) an, der die Anforderungen von Artikel 28 DSGVO erfüllt, stützen wir uns auf diesen. Wir schließen schrittweise mit allen Unterauftragsverarbeitern AVVs ab und legen auf begründete Anfrage Nachweise zu einzelnen AVVs vor. Zu Übermittlungen außerhalb des Europäischen Wirtschaftsraums siehe Abschnitt 7.

• Cloud-Hosting & Rechenleistung: Vercel Inc. (USA)
• Datenbank: Neon (Region EU / USA)
• Hintergrundjobs & Warteschlangen: Trigger.dev (EU / USA)
• Cache & Rate Limiting: Upstash (AWS, EU / USA)
• Echtzeit-Messaging: Pusher (Vereinigtes Königreich / USA)
• KI-Anbieter (Ausführung von Prompts & Generierung): OpenAI (USA), Anthropic (USA), Google (USA, über Gemini API und Google AI Studio), Perplexity (USA), xAI (USA), Mistral AI (Frankreich), Microsoft (USA, über Copilot). Von Ihnen konfigurierte Prompts und markenbezogene Eingaben werden an diese Anbieter übermittelt, um die Monitoring-Abfragen auszuführen.
• Zahlungsabwicklung: Stripe (USA / Irland)
• Transaktions- & Marketing-E-Mails: Resend (USA), Loops (USA)
• Fehlerüberwachung: Sentry (USA)
• Produktanalyse: Google Analytics (USA), Mouseflow (Dänemark)
• Kundensupport: Crisp (Frankreich)

Wir verkaufen Ihre personenbezogenen Daten nicht an Dritte. Wir verwenden weder Ihre Daten noch Ihre Google-Nutzerdaten oder in Ihrem Auftrag verarbeitete Inhalte zum Training von Modellen für künstliche Intelligenz oder maschinelles Lernen.

Eine aktuelle Liste der Unterauftragsverarbeiter erhalten Sie auf Anfrage unter team@qwairy.co. Wir informieren Sie vorab über jede geplante Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters, sodass Sie Widerspruch einlegen können.

7. Internationale Datenübermittlungen

Einige unserer Unterauftragsverarbeiter befinden sich außerhalb des Europäischen Wirtschaftsraums (EWR). Wenn wir personenbezogene Daten in diese Länder übermitteln, stützen wir uns gemäß Artikel 44 bis 49 DSGVO auf eine der folgenden Garantien:

• Angemessenheitsbeschlüsse der Europäischen Kommission (z. B. Vereinigtes Königreich, Israel sowie Übermittlungen im Rahmen des EU-U.S. Data Privacy Framework, sofern der Empfänger zertifiziert ist).
• Standardvertragsklauseln (SCC) der Europäischen Kommission (Beschluss 2021/914), bei Bedarf ergänzt durch zusätzliche technische und organisatorische Maßnahmen gemäß den Empfehlungen des Europäischen Datenschutzausschusses (EDSA).
• Ihre ausdrückliche Einwilligung, sofern zutreffend, für Übermittlungen, die nicht durch die oben genannten Mechanismen abgedeckt sind.

Eine Kopie der jeweiligen Übermittlungsgarantien können Sie anfordern unter team@qwairy.co.

8. Speicherdauer und Sicherheit

8.1 Speicherdauer

Wir speichern Ihre personenbezogenen Daten nur so lange, wie es zur Bereitstellung des Dienstes und zur Erfüllung der in dieser Erklärung beschriebenen Zwecke erforderlich ist, sofern keine längere Aufbewahrung gesetzlich vorgeschrieben oder zulässig ist (z. B. aufgrund buchhalterischer oder steuerlicher Pflichten oder zur Verteidigung von Rechtsansprüchen).

Übliche Speicherfristen:

• Konto- und Workspace-Daten: für die Dauer Ihres Abonnements und bis zu neunzig (90) Tage nach der Kontolöschung, um eine Wiederherstellung zu ermöglichen.
• Abrechnung und Rechnungen: zehn (10) Jahre gemäß französischem Handels- und Steuerrecht.
• Server- und Sicherheitsprotokolle: bis zu zwölf (12) Monate.
• Daten aus Integrationen von Drittanbietern (z. B. Google Analytics, Google Search Console): solange die Integration verbunden bleibt; sie werden gelöscht, sobald Sie die Integration trennen.

8.2 Sicherheit

Wir setzen geeignete technische und organisatorische Maßnahmen ein, um Ihre personenbezogenen Daten vor unbefugtem Zugriff, Änderung, Offenlegung oder Zerstörung zu schützen, darunter:

• Verschlüsselung bei der Übertragung (TLS 1.2 oder höher) und im Ruhezustand, soweit unsere Infrastruktur dies unterstützt
• Rollenbasierte Zugriffskontrollen und das Prinzip der minimalen Rechte für interne Zugriffe
• Isolierte Umgebungen und Trennung von Kundendaten
• Kontinuierliches Monitoring, Protokollierung und Alarmierung über Sentry
• Regelmäßige Überprüfung des Sicherheitsniveaus der Unterauftragsverarbeiter

Im Falle einer Verletzung des Schutzes personenbezogener Daten, die voraussichtlich zu einem Risiko für Ihre Rechte und Freiheiten führt, benachrichtigen wir die CNIL innerhalb von 72 Stunden und informieren, soweit erforderlich, die betroffenen Nutzer unverzüglich gemäß Artikel 33 und 34 DSGVO.

9. Ihre Rechte

Nach der DSGVO und den geltenden Datenschutzgesetzen haben Sie folgende Rechte:

• Auskunft: Sie können eine Kopie Ihrer personenbezogenen Daten anfordern.
• Berichtigung: Sie können unrichtige oder unvollständige Daten berichtigen lassen.
• Löschung: Sie können die Löschung Ihrer personenbezogenen Daten verlangen.
• Einschränkung: Sie können die Einschränkung der Verarbeitung verlangen.
• Datenübertragbarkeit: Sie können Ihre Daten in einem strukturierten, gängigen und maschinenlesbaren Format erhalten.
• Widerspruch: Sie können einer auf berechtigten Interessen beruhenden Verarbeitung widersprechen.
• Widerruf der Einwilligung: Sie können eine erteilte Einwilligung jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird.
• Verfügungen für den Todesfall: Sie können Verfügungen über den Umgang mit Ihren personenbezogenen Daten nach Ihrem Tod festlegen (Artikel 85 des französischen Datenschutzgesetzes).

Zur Ausübung dieser Rechte kontaktieren Sie uns unter team@qwairy.co. Wir antworten innerhalb eines (1) Monats; bei komplexen Anfragen kann diese Frist gemäß Artikel 12 Absatz 3 DSGVO um zwei (2) weitere Monate verlängert werden.

Sie haben außerdem das Recht, Beschwerde bei der französischen Datenschutzbehörde (CNIL) oder bei der Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts einzulegen.

10. Cookies und ähnliche Technologien

Cookies sind kleine Textdateien, die beim Besuch einer Website auf Ihrem Gerät gespeichert werden. Nicht essenzielle Cookies werden erst gesetzt, nachdem Sie über unser Cookie-Banner eingewilligt haben. Sie können Ihre Einstellungen jederzeit über das Banner oder Ihre Browsereinstellungen ändern.

10.1 Von uns verwendete Cookie-Kategorien

10.2 Ihre Einstellungen verwalten

Sie können Ihre Einwilligung in nicht essenzielle Cookies jederzeit über unser Cookie-Banner widerrufen oder Cookies in Ihren Browsereinstellungen löschen. Das Blockieren unbedingt erforderlicher Cookies kann Kernfunktionen beeinträchtigen (Anmeldung, Bezahlvorgang usw.).

11. Datenschutz von Kindern

Unser Dienst ist für die berufliche Nutzung bestimmt und richtet sich nicht an Personen unter 18 Jahren. Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter diesem Alter ohne nachprüfbare Einwilligung der Eltern. Sollten wir feststellen, dass wir entgegen dieser Regel personenbezogene Daten eines Kindes erhoben haben, werden wir diese Informationen umgehend löschen.

12. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung von Zeit zu Zeit aktualisieren. Über wesentliche Änderungen informieren wir Sie, indem wir die aktualisierte Erklärung auf dieser Seite veröffentlichen und das Datum „Zuletzt aktualisiert“ anpassen. Bei erheblichen Änderungen benachrichtigen wir Sie zusätzlich per E-Mail, bevor diese wirksam werden.

13. Anhang: Google-Nutzerdaten (Google Analytics & Google Search Console)

Dieser Abschnitt beschreibt speziell, wie Qwairy mit Daten umgeht, die über Google-APIs bezogen werden, nämlich Google Analytics und Google Search Console, im Einklang mit der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

13.1 Abgerufene Daten

Google Analytics. Wenn Sie Ihr Konto bei Google Analytics mit Qwairy verbinden, fordern wir einen reinen Lesezugriff (analytics.readonly Scope) auf folgende Datentypen an:

• Analytics-Properties: Liste der Properties und Konten in Google Analytics 4, auf die Sie Zugriff haben
• Traffic-Metriken: Sitzungen, durchschnittliche Sitzungsdauer, Absprungrate, Seiten pro Sitzung und neue Nutzer
• Traffic-Quellen: Daten zu Quelle und Medium der Sitzungen, gezielt gefiltert, um KI-bezogenen Referral-Traffic von Plattformen wie ChatGPT, Claude, Perplexity, Gemini und weiteren zu identifizieren
• Landingpages: URLs von Seiten, die Traffic von KI-Plattformen erhalten, einschließlich Engagement-Metriken

Google Search Console. Wenn Sie Ihr Konto bei der Google Search Console mit Qwairy verbinden, fordern wir einen reinen Lesezugriff (webmasters.readonly Scope) auf folgende Datentypen an:

• Verifizierte Websites: Liste der Websites (Domains oder URL-Präfixe), die Sie in der Search Console verifiziert haben und auf die Sie zugreifen können
• Suchleistung: Suchanfragen, Klicks, Impressionen, Klickrate (CTR) und durchschnittliche Position für die Web-, Bilder-, Video- und News-Suche
• Seiten & Geräte: URLs mit Impressionen und Klicks, aufgeschlüsselt nach Land, Gerät und Darstellung in der Suche
• Sitemaps (nur Lesezugriff): Eingereichte Sitemaps und ihr Verarbeitungsstatus, um die Indexierung mit der KI-Sichtbarkeit abzugleichen

13.2 Datennutzung

Qwairy verwendet Ihre Daten aus Google Analytics und Google Search Console ausschließlich, um:

• Ihre Traffic-, Indexierungs- und Suchleistungsmetriken im Qwairy-Dashboard anzuzeigen
• KI-bezogene Traffic-Quellen, Suchanfragen und Muster zu identifizieren und zu verfolgen
• den Traffic und die Suchleistung Ihrer Website mit Metriken zur KI-Sichtbarkeit in Beziehung zu setzen
• Erkenntnisse und Empfehlungen zur Verbesserung Ihrer GEO-Strategie zu generieren
• die Auswirkungen der KI-Optimierung auf den Traffic Ihrer Website und Ihre organische Suchleistung zu messen

Einhaltung der Limited-Use-Anforderungen. Die Nutzung und Übermittlung von Informationen, die Qwairy über Google-APIs erhält, entspricht der Google API Services User Data Policy, einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use).

Wir verwenden Ihre Google-Nutzerdaten NICHT für:

• Werbe- oder Marketingzwecke
• den Verkauf oder die Vermietung an Dritte
• das Training von Modellen für künstliche Intelligenz oder maschinelles Lernen, weder eigener noch fremder
• Zwecke, die nicht mit der Bereitstellung unseres GEO-Optimierungsdienstes zusammenhängen

13.3 Weitergabe von Daten

Qwairy verarbeitet Google-Nutzerdaten über die Infrastruktur-Unterauftragsverarbeiter, die für den Betrieb des Dienstes erforderlich sind. Werden Daten aus Google Analytics oder Google Search Console über Ihre MCP-Verbindung angefordert, werden die angeforderten Daten im Rahmen seiner Berechtigungen an den verbundenen Client zurückgegeben. Siehe Abschnitt 14. Ihre Daten aus Google Analytics und Google Search Console sind:

• zugänglich für Sie, für die Teammitglieder, die Sie ausdrücklich in Ihren Qwairy-Workspace einladen, und für verbundene MCP-Clients im Rahmen ihrer Berechtigungen
• niemals verkauft, vermietet oder an Werbetreibende oder Datenhändler weitergegeben
• niemals mit anderen Qwairy-Kunden geteilt oder für kundenübergreifende Analysen verwendet
• durch unsere Infrastruktur-Unterauftragsverarbeiter (siehe Abschnitt 6) verarbeitet, soweit dies für den Betrieb des Dienstes erforderlich ist

13.4 Speicherung und Schutz der Daten

Ihre Google-Nutzerdaten sind durch die technischen und organisatorischen Maßnahmen geschützt, die in Abschnitt 8.2 beschrieben sind, darunter Verschlüsselung bei der Übertragung (TLS) und Zugriffskontrollen, die den Zugriff auf autorisiertes Personal beschränken.

13.5 Speicherdauer und Löschung

Speicherdauer: Über Google Analytics und Google Search Console bezogene Daten werden nur so lange gespeichert, wie die jeweilige Integration mit Ihrem Konto verbunden ist.

Löschung: Sie können Ihre Google-Nutzerdaten jederzeit löschen, indem Sie:

• die Integration von Google Analytics und/oder Google Search Console in den Einstellungen Ihres Qwairy-Workspace trennen
• die Löschung Ihres Kontos per E-Mail beantragen an team@qwairy.co
• den Zugriff von Qwairy widerrufen, und zwar über Ihre Berechtigungen im Google-Konto

14. KI-Assistenten-Connectors (MCP)

Qwairy stellt einen Server für das Model Context Protocol (MCP) bereit, mit dem Sie kompatible KI-Assistenten (etwa Claude von Anthropic) mit Ihrem Qwairy-Konto verbinden können. Dieser Abschnitt erläutert, wie Daten fließen, wenn Sie einen KI-Assistenten-Connector nutzen.

14.1 Für den KI-Assistenten zugängliche Daten

Wenn Sie einen KI-Assistenten über den MCP-Connector autorisieren, kann der Assistent lesend (und nur lesend) auf folgende Datenkategorien der Qwairy-Workspaces zugreifen, auf die Sie Zugriff haben, abhängig von den Scopes der Verbindung und Ihren aktuellen Berechtigungen:

• Die von Ihnen überwachten Marken (Namen und primäre Domains)
• Von Qwairy für Ihre überwachten Prompts erfasste KI-Antworten (Antworttext, KI-Anbieter, Modellkennung, Zeitstempel)
• Von Qwairy erkannte Wettbewerber mit Anzahl der Erwähnungen, Positionen und Sentiment
• Zitierte Drittquellen (Domains und URLs), auf die KI-Anbieter in ihren Antworten verweisen
• Themen- und Prompt-Definitionen, Leistungsaufschlüsselungen, Wahrnehmungs-Snapshots und der technische KI-Readiness-Status Ihrer Website
• Aggregierte Metriken: Sichtbarkeitsrate, Sentiment, Share of Voice und GEO-Scores
• Metriken aus Google Analytics und Google Search Console aus verbundenen Integrationen, sofern sie über eine MCP-Verbindung mit den entsprechenden Berechtigungen angefordert werden

Der MCP-Connector ist strikt schreibgeschützt. Er kann in Ihrem Qwairy-Konto keine Daten erstellen, ändern oder löschen, keine kostenpflichtigen Aktionen (etwa KI-Generierungen) auslösen, keine Abrechnungseinstellungen ändern und keine Nutzer einladen.

14.2 Rolle des Anbieters des KI-Assistenten

Der von Ihnen verbundene KI-Assistent (zum Beispiel Claude, betrieben von Anthropic, PBC) fungiert als technischer Vermittler. Wenn Sie dem Assistenten eine Frage stellen, sendet er MCP-Anfragen von seiner eigenen Infrastruktur an https://mcp.qwairy.co und verwendet dabei Ihr Zugriffstoken; Qwairy gibt die relevanten Daten zurück. Der Anbieter des KI-Assistenten:

• verwahrt Ihr MCP-Zugriffstoken in Ihrem Auftrag innerhalb seines Dienstes
• sendet authentifizierte HTTPS-Anfragen von seiner Infrastruktur an Qwairy
• empfängt die Antworten von Qwairy und verwendet sie, um die Antwort des Assistenten an Sie zu formulieren

Qwairy hat keinen Einfluss darauf, wie der Anbieter des KI-Assistenten die Daten speichert, aufbewahrt oder weiterverarbeitet, nachdem sie in einer Antwort übermittelt wurden. Informationen zum Umgang mit Daten, zur Speicherdauer, zu Richtlinien für Trainingsdaten und zu Ihren Rechten finden Sie in der Datenschutzerklärung des jeweiligen Anbieters. Für Anthropic siehe https://www.anthropic.com/legal/privacy.

14.3 Authentifizierung und Autorisierung

Qwairy unterstützt OAuth 2.1 mit PKCE (S256) sowie persönliche Zugriffstoken für kompatible MCP-Clients. Für OAuth-Verbindungen gilt:

• Sie werden aufgefordert, sich bei Ihrem Qwairy-Konto anzumelden
• Ihnen wird ein Einwilligungsbildschirm mit den vom KI-Assistenten angeforderten Scopes angezeigt (zum Beispiel: Marken lesen, KI-Antworten lesen, Wettbewerber lesen)
• Nach Ihrer Zustimmung stellt Qwairy ein Zugriffstoken aus, das an Ihr Nutzerkonto und die genehmigten Scopes gebunden ist
• Jede MCP-Anfrage ist auf die Scopes der Zugangsdaten und Ihren aktuellen Zugriff auf den angefragten Workspace und die angefragte Marke beschränkt. Nutzer mit der Rolle Viewer sehen nur die Marken, die ihnen ausdrücklich freigegeben wurden

Zugriffs- und Aktualisierungstoken werden als SHA-256-Hashes in unserer Datenbank gespeichert. Den Klartext kennen nur Sie und der Client des KI-Assistenten.

14.4 Zugriff widerrufen

Sie können den Zugriff eines KI-Assistenten jederzeit widerrufen:

• In Qwairy: Öffnen Sie www.qwairy.co/dashboard/team/mcp und widerrufen Sie die Verbindung
• Im Client des KI-Assistenten: Die meisten Clients (einschließlich Claude) bieten in ihren Einstellungen eine Option wie „Trennen“ oder „Verbindungen verwalten“

Der Widerruf wird sofort wirksam. Jede nachfolgende MCP-Anfrage mit einem widerrufenen Token wird abgelehnt.

14.5 Dokumentation

Die vollständige technische Dokumentation des MCP-Connectors, einschließlich der Liste der bereitgestellten Tools, des OAuth-Ablaufs und der unterstützten Clients, finden Sie unter docs.qwairy.co/mcp/introduction.

15. Kontakt