Datenschutzrichtlinie

1. Drei Rollen – bitte zuerst lesen

• Plattformdaten (wir sind der Verantwortliche): die Konto- und Abrechnungsdaten der Mandanten und ihrer Teammitglieder, Betreiberprotokolle, Support-Gespräche und Plattformanalysen.
• Daten der Mandanten-Website (wir sind der Auftragsverarbeiter): personenbezogene Daten, die Besucher und Kunden an die Website eines Mandanten übermitteln (Bestellungen, Formularübermittlungen, Konten im Shopfront). Verantwortlicher ist der Mandant; wir verarbeiten die Daten im Auftrag des Mandanten gemäß den Nutzungsbedingungen und einer gesonderten Auftragsverarbeitungsvereinbarung (AVV), die auf Anfrage unter info@olmira.app erhältlich ist. Anfragen zum Shop eines Mandanten sind an diesen Mandanten zu richten; fehlgeleitete Anfragen leiten wir nach Möglichkeit weiter.
• Kaufdaten (unser Merchant of Record ist ein eigenständiger Verantwortlicher): die personenbezogenen Daten, die Dodo Payments erhebt, um Ihnen ein Olmira-Abonnement zu verkaufen – die Rechnungsidentität, die Sie angeben, Ihre Zahlungsmethode, Ihre Rechnung und die zugrunde liegenden Steuerdaten. Dodo Payments entscheidet eigenständig, warum und wie es diese Daten verarbeitet, gemäß seinem eigenen Datenschutzhinweis; es verarbeitet sie nicht auf Weisung von Olmira. Abschnitt 5 erläutert, was das für Sie bedeutet.

2. Wer verantwortlich ist

Für Plattformdaten ist der Verantwortliche Olmira – der am Ende dieser Richtlinie vollständig identifizierte Betreiber: Individual Entrepreneur Mario Atienza Sanchez, registriert in Georgien unter der Registrierungs- und Steuernummer 305768354, Ateni str. N6-8, Space N4b, Vake district, Tiflis, Georgien.

Wir verarbeiten Plattformdaten nach dem Datenschutzrecht der Jurisdiktion des Betreibers (Georgien) und, für Personen in der EU/im EWR, im Einklang mit der DSGVO, soweit diese anwendbar ist.

3. Von uns erhobene Daten (als Verantwortlicher)

• Konto: Name, E-Mail-Adresse, Passwort-Hash, optionale Telefonnummer, Registrierung der Zwei-Faktor-Authentifizierung, Sprache.
• Abrechnung: Ihr Plan, Ihre Rechnungen und die Zahlungsmetadaten, die uns unser Merchant of Record zurückmeldet – der Status einer Belastung, die Marke und die letzten Ziffern der verwendeten Zahlungsmethode sowie das für die Steuerermittlung herangezogene Land. Wir erhalten oder speichern niemals vollständige Kartennummern.
• Nutzung und Sicherheit: IP-Adressen, Geräte- und Browsermetadaten, Anmelde- und Audit-Ereignisse, zur Missbrauchsprävention verwendete Geräte-Fingerabdrücke sowie Fehler- und Leistungstelemetrie.
• KI-Nutzungsmessung: Anzahl der im Rahmen Ihres Plans verbrauchten KI-Token und KI-Generierungen, kontobezogen erfasst.
• Inhalte, die Sie in Ihrem Arbeitsbereich speichern, verarbeitet zum Zweck des Hostings und der Darstellung.
• Kommunikation: Support-Tickets, E-Mails und In-App-Nachrichten.

4. Zwecke und Rechtsgrundlagen

• Bereitstellung des Dienstes und Hosting Ihrer Websites – Vertrag.
• Abrechnung und steuerliche Aufzeichnungen – rechtliche Verpflichtung / Vertrag.
• Messung der KI-Nutzung zur Durchsetzung der Plankontingente – Vertrag.
• Sicherheit sowie Betrugs- und Missbrauchsprävention (einschließlich Prüfung im Rahmen der Namensrichtlinie) – berechtigtes Interesse.
• Service-E-Mails (Verifizierung, Sicherheit, Änderungen) – Vertrag.
• Produktanalyse und -verbesserung – berechtigtes Interesse.
• Marketing-E-Mails – Einwilligung (Opt-in, widerruflich).

5. Weitergabe und Unterauftragsverarbeiter

Wir verkaufen keine personenbezogenen Daten. Wir geben sie nur an die Dienstleister weiter, auf die wir für den Betrieb der Plattform angewiesen sind, an unseren Merchant of Record für Abonnementkäufe, an KI-Modell-Anbieter, wenn Sie KI-Funktionen aufrufen (nur Eingabetext, keine Weiterveräußerung), sowie – soweit gesetzlich vorgeschrieben – an Behörden. Unsere Dienstleister sind Auftragsverarbeiter, die durch Auftragsverarbeitungsverträge gebunden sind; unser Merchant of Record gehört nicht dazu, und der nachstehende Absatz legt dar, was er stattdessen ist. Unsere aktuellen Unterauftragsverarbeiter und Dienstleister sind:

• DigitalOcean – Cloud-Hosting, Rechen- und Speicherinfrastruktur.
• Cloudflare – DNS, CDN, TLS und Edge-Sicherheit.
• Dodo Payments – Merchant of Record für Käufe von Olmira-Abonnements und eigenständig Verantwortlicher für die personenbezogenen Daten dieser Käufe.
• Anthropic – Anbieter von KI-Modellen für die von Ihnen aufgerufenen KI-Funktionen.
• OpenAI – Anbieter von KI-Modellen für die von Ihnen aufgerufenen KI-Funktionen.
• Proton – Zustellung von Transaktions- und Konto-E-Mails.

Dodo Payments ist nicht unser Auftragsverarbeiter. Als Merchant of Record verkauft es das Abonnement im eigenen Namen und bestimmt daher selbst die Zwecke und Mittel der für diesen Verkauf erforderlichen Verarbeitung: Sie als seinen Käufer zu identifizieren, die Zahlung entgegenzunehmen und abzusichern, Betrug zu verhindern, Ihre Rechnung auszustellen und seine eigenen steuerlichen, buchhalterischen und geldwäscherechtlichen Pflichten zu erfüllen. Für diese Verarbeitung ist es eigenständig Verantwortlicher und kein auf unsere Weisung handelnder Auftragsverarbeiter; es unterliegt seinem eigenen Datenschutzhinweis: https://dodopayments.com/privacy-policy. Anfragen betroffener Personen an Dodo Payments gehen über die von Dodo Payments veröffentlichten Supportkanäle: die Kontaktseite unter https://dodopayments.com/contact und, für die Löschung Ihrer Daten, support@dodopayments.com nach dessen Datenlöschungsrichtlinie (https://dodopayments.com/legal/data-deletion). Wo Dodo Payments und wir Daten austauschen – die Bestellung, die wir übermitteln, die Zahlungs- und Steuermetadaten, die es uns zurückmeldet –, ist jeder von uns Verantwortlicher für das, was er verarbeitet, und keiner handelt auf Weisung des anderen. Wir erhalten niemals Ihre vollständigen Kartendaten. Nichts davon betrifft ein Stripe- oder PayPal-Konto, das ein Mandant mit der eigenen Website verbindet, um seine eigenen Kunden abzurechnen – dieses Konto gehört dem Mandanten und unterliegt der eigenen Vereinbarung des Mandanten mit diesem Anbieter.

6. Strafverfolgung und Betrugsprävention

Wir geben Kontodaten, Protokolle und Inhalte an Strafverfolgungsbehörden, Gerichte, Aufsichtsbehörden, Finanzinstitute und Zahlungsdienstleister weiter, wenn die Offenlegung gesetzlich vorgeschrieben ist oder im Wege eines rechtlichen Verfahrens, aufgrund eindeutiger Beweise oder eines begründeten Verdachts auf Betrug, Identitätsmissbrauch oder eine andere Straftat angefordert wird (Rechtsgrundlage: rechtliche Verpflichtung oder berechtigtes Interesse). Von uns selbst festgestellter Betrug wird im Rahmen der Durchsetzungsmaßnahmen der Plattform behandelt, wobei Beweise für zuständige Behörden auf rechtmäßiges Verlangen aufbewahrt werden. Wir können Daten, die Gegenstand einer Untersuchung sind, über die üblichen Fristen hinaus aufbewahren, einschließlich gesperrter Kennungen (IP-Adressen, Geräte-Fingerabdrücke), die zur Durchsetzung von Sperren erforderlich sind.

7. Internationale Datenübermittlungen

Die Infrastruktur kann sich in der EU/im EWR, in den USA oder in der Heimatjurisdiktion des Betreibers (Georgien) befinden. Werden personenbezogene Daten von Personen mit Wohnsitz im EWR außerhalb der EU/des EWR in ein Land ohne Angemessenheitsbeschluss der EU übermittelt, stützen wir uns auf Standardvertragsklauseln (SCC) oder einen anderen gültigen Übermittlungsmechanismus mit dem jeweiligen Anbieter, und wir halten alle grenzüberschreitenden Übermittlungsvorschriften der Jurisdiktion des Betreibers ein. Unser Merchant of Record übermittelt die von ihm verantworteten Kaufdaten nach seinem eigenen Datenschutzhinweis und seinen eigenen Übermittlungsmechanismen.

8. Aufbewahrung

Kontodaten werden für die Dauer des Kontos und bis zu 90 Tage nach dessen Löschung aufbewahrt (Sicherungszyklen), sofern nicht steuer- oder handelsrechtliche Vorschriften eine längere Frist verlangen (Rechnungen). Sicherheitsprotokolle werden etwa 12 Monate aufbewahrt. Beweismittel aus Missbrauchsuntersuchungen werden für die Dauer der Untersuchung und etwaiger anschließender Verfahren aufbewahrt. Daten der Mandanten-Website werden nach den Anweisungen des Mandanten aufbewahrt, solange der Vertrag läuft; wird ein Arbeitsbereich ausgesetzt – nachdem eine Kündigung wirksam wird, eine Pause sich in eine Kündigung umwandelt oder eine Testphase abläuft –, werden die Daten des Arbeitsbereichs und der Website 90 Tage lang aufbewahrt und danach dauerhaft gelöscht, mit vorheriger Ankündigung, sofern nicht gesetzliche Aufbewahrungspflichten oder die Beweissicherung eine längere Frist erfordern.

9. Ihre Rechte

Je nach Ihrer Jurisdiktion, nach dem Datenschutzrecht der Jurisdiktion des Betreibers (Georgien) und (soweit anwendbar) der DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch und Widerruf der Einwilligung.

Sie können sich mit einer Beschwerde an die Datenschutzaufsichtsbehörde der Jurisdiktion des Betreibers (Georgien) wenden oder, wenn Sie in der EU/im EWR ansässig sind, an Ihre örtliche Aufsichtsbehörde.

Rechte hinsichtlich der Kaufdaten, die unser Merchant of Record verarbeitet, sind diesem gegenüber geltend zu machen, da er der Verantwortliche für diese Daten ist und nicht unser Auftragsverarbeiter – schreiben Sie uns, und wir nennen Ihnen die richtige Kontaktstelle. Rechte hinsichtlich Ihres Olmira-Kontos, Ihrer Websites und Ihrer Inhalte sind uns gegenüber geltend zu machen.

• Üben Sie Ihre Rechte aus unter:info@olmira.app

Wir überprüfen Ihre Identität, bevor wir tätig werden, und antworten innerhalb eines Monats.

10. Sicherheit

TLS durchgängig (HSTS auf olmira.app), Passwort-Hashing, optionale und – für privilegierte Rollen – verpflichtende Zwei-Faktor-Authentifizierung, mandantenbezogene Datenbankisolierung, mittels Umschlagverschlüsselung geschützte Geheimnisse sowie überwachter Betreiberzugriff. Keine Methode ist zu 100 % sicher; wir benachrichtigen betroffene Nutzer und die zuständige Aufsichtsbehörde bei meldepflichtigen Verletzungen des Schutzes personenbezogener Daten unverzüglich – wo eine Frist gilt, innerhalb von 72 Stunden nach Kenntniserlangung –, wie es das anwendbare Recht verlangt.

11. Cookies

Welche Cookies die Oberflächen der Plattform setzen, entnehmen Sie bitte unserer Cookie-Richtlinie. Mandanten-Websites setzen ihre eigenen Cookies in der Verantwortung des jeweiligen Mandanten.

12. Änderungen

Wesentliche Änderungen werden, soweit praktikabel, mindestens 30 Tage im Voraus per E-Mail oder in der Anwendung angekündigt. Das oben angegebene Datum der „letzten Aktualisierung" gibt stets die aktuelle Fassung wieder.