Datenschutzerklärung

Mit dieser Datenschutzerklärung informieren wir Sie gemäß Art. 13 und Art. 14 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO") sowie nach den ergänzenden Vorschriften des Bundesdatenschutzgesetzes (BDSG) und des Digitale-Dienste-Gesetzes (DDG) über die Verarbeitung personenbezogener Daten bei der Nutzung unseres Webangebots uiweaver.io sowie der damit verbundenen Dienste.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:
DexterBee GmbH
Industriestraße 13
63755 Alzenau
Deutschland
Geschäftsführer: Stephan Dongjin Oh
Handelsregister: Amtsgericht Aschaffenburg, HRB 17694
USt-IdNr.: DE369096037
E-Mail: privacy@uiweaver.io
Weitere Angaben siehe Impressum.

2. Datenschutzbeauftragter

Eine gesetzliche Pflicht zur Bestellung eines Datenschutzbeauftragten nach Art. 37 DSGVO i.V.m. § 38 BDSG besteht derzeit nicht, da die Kerntätigkeit weder eine umfangreiche regelmäßige und systematische Überwachung betroffener Personen noch eine umfangreiche Verarbeitung besonderer Kategorien personenbezogener Daten umfasst. Anfragen in datenschutzrechtlichen Angelegenheiten richten Sie bitte an privacy@uiweaver.io.

3. Kategorien verarbeiteter Daten

3.1 Von Ihnen bereitgestellte Daten

• Kontaktdaten — Name und E-Mail-Adresse sowie optional Telefonnummer und Unternehmen, wenn Sie eine Projektanfrage absenden, eine Vorschau anfordern oder Kontakt mit uns aufnehmen.
• Geschäftsangaben und URL — bei Anforderung eines Website-Audits bzw. wenn Sie uns Ihr Unternehmen beschreiben.
• Chatverlauf — Ihre Nachrichten an unsere KI-Assistentin „Sophie" und deren Antworten (siehe Ziffer 5).
• Projektübersicht — Ihre Anforderungen an Ihre Website in strukturierter Form, die Sie im Chat mit Sophie oder über ein Formular erfassen und jederzeit bearbeiten können, sowie ggf. die gewählte Vorlage bzw. das gewählte Paket.
• Zahlungsdaten — verarbeitet ausschließlich durch unseren Zahlungsdienstleister Stripe; vollständige Kartendaten werden bei uns nicht gespeichert.

3.2 Automatisch erhobene Daten

• IP-Adresse — wird innerhalb von 24 Stunden gehasht; Verwendung ausschließlich zur regionalen Auslieferung und zur Missbrauchsprävention. Zu Projektanfragen und Einwilligungsnachweisen speichern wir die IP-Adresse ausschließlich als gekürzten, gesalzenen SHA-256-Hashwert.
• Nutzungsdaten — aufgerufene Seiten, Verweildauer, Herkunftsverweis (nur mit Einwilligung).
• Cookies und ähnliche Technologien — siehe Cookie-Richtlinie.
• Einwilligungsnachweise — zu Ihrer Cookie-Entscheidung speichern wir als Nachweis eine Einwilligungs-ID, Ihre Auswahl, die Version des Einwilligungstextes, die gehashte IP-Adresse, den User-Agent Ihres Browsers, die Sprache und den Zeitpunkt.

4. Rechtsgrundlagen der Verarbeitung

Zweck	Rechtsgrundlage
Bearbeitung Ihrer Projektanfrage (KI-Assistentin Sophie bzw. Formular, Projektübersicht, Speicherung der Anfrage, Rückmeldung durch unsere Designer)	Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage)
Interne Ersteinschätzung von Anfragen (Paketschätzung, Lead-Score) zur Priorisierung unserer Rückmeldungen	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer effizienten Priorisierung von Rückmeldungen)
Bereitstellung des Dienstes (Vorschau, Auslieferung)	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung / vorvertragliche Maßnahmen)
Versand transaktionaler E-Mails (Quittung, Auslieferung, Kopie Ihrer Projektübersicht)	Art. 6 Abs. 1 lit. b DSGVO
Nachweis erteilter bzw. verweigerter Cookie-Einwilligungen	Art. 6 Abs. 1 lit. c DSGVO i.V.m. Art. 7 Abs. 1 DSGVO (Nachweispflicht)
Reichweitenanalyse (Google Analytics 4)	Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG (Einwilligung)
Marketing-E-Mails (Newsletter)	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
B2B-Ansprache (Renewal Protocol — Versand von Designvorschauen)	Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse, dokumentiert über eine Interessenabwägung)
Missbrauchs- und Betrugsprävention, IT-Sicherheit	Art. 6 Abs. 1 lit. f DSGVO
Erfüllung steuer- und handelsrechtlicher Aufbewahrungspflichten	Art. 6 Abs. 1 lit. c DSGVO (§§ 147 AO, 257 HGB)

5. Projektanfrage und KI-Assistentin „Sophie" (Google Gemini)

5.1 KI-Assistentin Sophie

Unter /start können Sie uns Ihr Website-Vorhaben im Chat mit „Sophie" schildern, der KI-Assistentin von UIWeaver. Sophie ist in ihrer Begrüßung und neben ihrem Avatar ausdrücklich als KI-Assistentin gekennzeichnet (Art. 50 Verordnung (EU) 2024/1689, KI-Verordnung). Sophie erfragt Ihre Anforderungen an Ihre Website und hält diese in einer strukturierten Projektübersicht fest, die Sie live einsehen und jederzeit bearbeiten können. Sophie trifft keine Entscheidungen, nennt keine Preise und erstellt keine Designs.

Zur Erzeugung von Sophies Antworten setzen wir die Programmierschnittstelle von Google (Gemini API, Paid Tier) ein. Ihre Chat-Eingaben und der jeweils aktuelle Stand der Projektübersicht werden an Google übermittelt und dort verarbeitet, um Sophies Antworten zu erzeugen. Nach den Bedingungen von Google für den Paid Tier werden diese Eingaben nicht zum Training der Modelle verwendet; Google kann sie jedoch für einen begrenzten Zeitraum speichern, um Missbrauch zu erkennen. Vor Ihrer ersten Nachricht weisen wir Sie im Chat darauf hin, dass Ihre Nachrichten gespeichert werden, damit unsere Designer Ihr Anliegen verstehen, dass sie nach 90 Tagen gelöscht werden und dass die Antworten von Google Gemini erzeugt werden. Empfänger: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Zur Drittlandübermittlung siehe Ziffer 8.

5.2 Formular ohne KI

Alternativ können Sie dieselbe Projektübersicht als einfaches Formular ausfüllen. Dabei findet keine Verarbeitung durch ein KI-System statt.

5.3 Speicherung Ihrer Anfrage

Wenn Sie Ihre Anfrage absenden, speichern wir in unserer Datenbank bei Supabase (EU-Region Frankfurt am Main) die Projektübersicht, Ihre Kontaktdaten (Name, E-Mail-Adresse, optional Telefonnummer und Unternehmen), den Chatverlauf (sofern Sie den Chat genutzt haben), einen gekürzten, gesalzenen SHA-256-Hashwert Ihrer IP-Adresse sowie Angaben zur gewählten Vorlage bzw. zum gewählten Paket. Über die Gemini API werden zudem kurze interne Notizen für unsere Designer erstellt, die das Gespräch zusammenfassen. Per E-Mail (über Scaleway Transactional Email, EU) erhalten wir eine Benachrichtigung über Ihre Anfrage, und Sie erhalten eine Kopie Ihrer Projektübersicht.

5.4 Interne Ersteinschätzung

Zu jeder Anfrage wird automatisiert eine Einschätzung des voraussichtlich passenden Pakets und eine Priorität (Lead-Score) ermittelt. Diese Angaben sind ausschließlich intern sichtbar und dienen allein dazu, die Reihenfolge unserer Rückmeldungen zu priorisieren. Sie entfalten Ihnen gegenüber keine rechtliche Wirkung und beeinträchtigen Sie nicht in ähnlicher Weise erheblich; jede Anfrage wird von einem menschlichen Designer geprüft. Es handelt sich um eine profilingähnliche interne Bewertung; eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO findet nicht statt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse besteht darin, Rückmeldungen auf eingehende Anfragen effizient zu priorisieren. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO, siehe Ziffer 12).

Rechtsgrundlage für die Verarbeitungen nach Ziffer 5.1 bis 5.3 ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen, die auf Ihre Anfrage erfolgen). Zur Speicherdauer siehe Ziffer 6.

6. Speicherdauer

• Chatverläufe mit Sophie und die daraus abgeleiteten internen Designer-Notizen: Löschung nach 90 Tagen.
• Projektanfragen (Projektübersicht, Kontaktdaten, interne Ersteinschätzung) ohne Vertragsschluss: Löschung 6 Monate nach Eingang der Anfrage, sofern die Anfrage nicht mehr aktiv bearbeitet wird (laufende Angebote bleiben bis zu ihrem Abschluss gespeichert).
• Einwilligungsnachweise (Cookie-Einwilligungen): Löschung 3 Jahre nach Erteilung bzw. letzter Änderung der Einwilligung.
• Die vorstehenden Löschfristen werden durch einen täglich laufenden automatisierten Löschvorgang umgesetzt.
• Kundendaten: 10 Jahre gemäß § 147 AO und § 257 HGB (Steuer- und Handelsrecht), anschließend Löschung.
• Abgemeldete Kontakte: personenbezogene Daten werden binnen 30 Tagen gelöscht; E-Mail-Adresse verbleibt auf einer Sperrliste zur Verhinderung erneuter Kontaktaufnahme (Art. 6 Abs. 1 lit. c DSGVO).
• Interessentendaten (öffentlich zugängliche Geschäftsdaten): automatische Löschung nach 90 Tagen, sofern keine Conversion erfolgt.
• IP-Adressen: Hashing binnen 24 Stunden nach Erhebung.
• Analytics-Daten: 14 Monate (konfigurierte Aufbewahrungsdauer in GA4).

7. Empfänger und Auftragsverarbeiter

Wir setzen sorgfältig ausgewählte Auftragsverarbeiter im Sinne des Art. 28 DSGVO ein. Mit jedem Dienstleister besteht ein Vertrag zur Auftragsverarbeitung (Art. 28 Abs. 3 DSGVO). Eine Übersicht und ein Muster finden Sie unter Auftragsverarbeitungsvertrag.

Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, Irland. Verarbeitung von Zahlungsdaten (PCI-DSS- zertifiziert). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Datenschutz: stripe.com/privacy.

Supabase, Inc., 970 Toa Payoh North #07-04, Singapur 318992; Mutterunternehmen mit Sitz in den USA. Bereitstellung der PostgreSQL-Datenbank (u. a. Speicherung von Projektanfragen und Einwilligungsnachweisen); Datenhaltung in der EU-Region Frankfurt am Main (AWS eu-central-1). Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO. Drittlandübermittlung (USA) abgesichert über EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 sowie ergänzend EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023, C(2023) 4745). supabase.com/privacy.

Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA. Hosting und Edge-Functions. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Drittlandübermittlung in die USA abgesichert über EU-Standardvertragsklauseln und EU-US Data Privacy Framework (Angemessenheitsbeschluss vom 10. Juli 2023). vercel.com/legal/privacy-policy.

Scaleway SAS, 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich (Scaleway Transactional Email, Region fr-par, Paris). Versand transaktionaler E-Mails, u. a. der Benachrichtigung an uns über neue Projektanfragen, der Kopie Ihrer Projektübersicht an Sie, der Liefer- und Belegbestätigungen nach einem Kauf über Stripe sowie der Benachrichtigung über Enterprise-Bewerbungen. Die Verarbeitung erfolgt innerhalb der EU; eine Drittlandübermittlung findet für den E-Mail-Versand nicht statt. Mit Scaleway besteht ein Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA (Gemini API). Verarbeitung der Chat-Eingaben und der Projektübersicht zur Erzeugung der Antworten der KI-Assistentin Sophie sowie interner Gesprächszusammenfassungen für unsere Designer (siehe Ziffer 5). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Drittlandübermittlung über EU-Standardvertragsklauseln und EU-US Data Privacy Framework (Google LLC ist zertifiziert). ai.google.dev/terms.

Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Google Analytics 4). Reichweitenanalyse. Ausschließlicher Einsatz nach vorheriger Einwilligung (Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG); IP-Anonymisierung aktiviert. Übermittlungen an Google LLC, USA, sind durch das EU-US Data Privacy Framework abgesichert.

Sanity.io (Sanity, Inc., 153 Townsend Street, San Francisco, CA 94107, USA) — Headless-CMS für ausgelieferte Kundenwebsites (optional). Drittlandübermittlung über Standardvertragsklauseln und EU-US Data Privacy Framework. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.

Wir verkaufen Ihre personenbezogenen Daten nicht.

8. Übermittlung in Drittländer

Unsere primäre Infrastruktur (Datenbank, Datenhaltung) liegt innerhalb der EU/EWR. Soweit Auftragsverarbeiter mit Sitz außerhalb der EU eingesetzt werden oder Daten an Konzerngesellschaften in den USA übermittelt werden, stützen wir die Übermittlung primär auf den Angemessenheitsbeschluss der EU- Kommission zum EU-US Data Privacy Framework vom 10. Juli 2023 (C(2023) 4745). Ergänzend setzen wir EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 sowie technische und organisatorische Zusatzmaßnahmen ein (Verschlüsselung in Übertragung und Ruhe, Zugriffsbeschränkungen, Auftragsverarbeitungsverträge). Auf Anfrage stellen wir Ihnen die einschlägigen Garantien zur Verfügung.

9. Magic-Link-Vorschau

Wenn wir für ein Unternehmen proaktiv eine Designvorschau erstellen (Renewal Protocol, siehe Ziffer 4), erhält dieses per E-Mail einen persönlichen Vorschaulink (Magic-Link). Projektanfragen über /start erhalten keinen solchen Link. Der Link enthält einen kryptografisch signierten HMAC-Token mit einer Gültigkeitsdauer von 30 Tagen und dient ausschließlich dem Zugang zu der erstellten Vorschau ohne klassisches Login. Eine Profilbildung findet nicht statt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Nach Ablauf wird der Token serverseitig ungültig.

10. Datenschutzvorfälle (Art. 33, 34 DSGVO)

Wir verpflichten uns, eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 72 Stunden nach Bekanntwerden, der zuständigen Aufsichtsbehörde zu melden (Art. 33 DSGVO). Bei voraussichtlich hohem Risiko für die Rechte und Freiheiten der betroffenen Personen werden Sie zusätzlich unverzüglich benachrichtigt (Art. 34 DSGVO). Wir betreiben interne Eskalations- und Incident-Response-Prozesse zur Sicherstellung dieser Pflichten.

11. Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Soweit wir personenbezogene Daten unserer Kunden im Rahmen unserer Dienste in deren Auftrag verarbeiten, schließen wir mit unseren Kunden auf Anfrage einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine vorformulierte Mustervereinbarung steht unter /legal/dpa zur Einsicht bereit und kann auf Anforderung an privacy@uiweaver.io in unterzeichneter Fassung übermittelt werden.

Dies gilt insbesondere für die KI-Funktionen, die wir für unsere Kunden auf deren Websites und Kanälen betreiben (z.B. KI-Chatbot, KI-Anfragemanager, WhatsApp-Chatbot). Für diese Verarbeitungen ist der jeweilige Kunde als Betreiber der Website Verantwortlicher; maßgeblich ist dessen Datenschutzerklärung. Diese Datenschutzerklärung betrifft ausschließlich Verarbeitungen, für die wir selbst verantwortlich sind.

12. Ihre Rechte (Art. 15 ff. DSGVO)

Sie haben uns gegenüber folgende Rechte:

• Auskunft (Art. 15 DSGVO).
• Berichtigung (Art. 16 DSGVO).
• Löschung („Recht auf Vergessenwerden", Art. 17 DSGVO).
• Einschränkung der Verarbeitung (Art. 18 DSGVO).
• Datenübertragbarkeit in einem strukturierten, gängigen, maschinenlesbaren Format (Art. 20 DSGVO).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, einschließlich Profiling (Art. 21 DSGVO) — insbesondere gegen die interne Ersteinschätzung Ihrer Anfrage (Paketschätzung, Lead-Score, Ziffer 5.4).
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).
• Recht, keiner ausschließlich automatisierten Entscheidung im Einzelfall unterworfen zu werden (Art. 22 DSGVO). Hinweis: Unsere KI-Assistentin Sophie trifft keine Entscheidungen; die interne Ersteinschätzung (Ziffer 5.4) dient nur der Priorisierung, und jede Anfrage wird von einem Menschen geprüft.

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an privacy@uiweaver.io. Wir antworten grundsätzlich binnen eines Monats (Art. 12 Abs. 3 DSGVO).

13. Beschwerderecht (Art. 77 DSGVO)

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständige Aufsichtsbehörde für die DexterBee GmbH ist das Bayerische Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach (www.lda.bayern.de). Daneben können Sie sich an die Aufsichtsbehörde Ihres üblichen Aufenthaltsorts oder Arbeitsplatzes wenden. Eine Liste aller Datenschutzaufsichtsbehörden im EWR ist unter edpb.europa.eu abrufbar.

14. Pflicht zur Bereitstellung von Daten

Für den Vertragsschluss ist die Angabe der jeweils als Pflichtfeld gekennzeichneten Daten (insbesondere E-Mail-Adresse, Rechnungsdaten) erforderlich. Werden diese Daten nicht bereitgestellt, kann der Vertrag nicht geschlossen bzw. ausgeführt werden. Für die Bearbeitung einer Projektanfrage sind Name und E-Mail-Adresse erforderlich; Telefonnummer und Unternehmen sind freiwillig.

15. Änderungen dieser Datenschutzerklärung

Wir passen diese Datenschutzerklärung an, wenn sich die Rechtslage oder unsere Verarbeitungstätigkeiten ändern. Wesentliche Änderungen werden Ihnen, soweit wir Ihre Kontaktdaten kennen, per E-Mail mitgeteilt. Maßgeblich ist stets die zum Zeitpunkt der Verarbeitung gültige Fassung.

16. Kontakt

Anfragen zum Datenschutz richten Sie bitte an: privacy@uiweaver.io
Postanschrift: siehe Impressum.