Datenschutzerklärung

Mit deiner Zustimmung verwenden wir Google Analytics, um Besuche auf unseren öffentlichen Seiten auszuwerten. Dabei erhält Google Nutzungs- und Gerätedaten; eine Verarbeitung in den USA ist möglich. Ohne Zustimmung bleibt die Analyse aus. Deine Wahl speichern wir für 180 Tage. Du kannst sie hier jederzeit ändern.

1. Verantwortlicher

KENJTEC UG (haftungsbeschränkt) in Gründung, E-Mail: legal@kenjtec.com (Anschrift: siehe Impressum).

2. Hosting und Auslieferung

Unsere Systeme laufen auf Google Cloud in der Region europe-west1 (Belgien); die Datenbank wird täglich in mehreren EU-Regionen gesichert. Dateien der Medienbibliothek (MediaStudio) speichert Cloudflare R2 in der EU (EU-Rechtshoheit). Vor den Diensten steht Cloudflare (DNS, Auslieferung, Schutz) mit einem weltweiten Netz; ein Aufruf wird in der Regel am nächstgelegenen Standort angenommen, auch außerhalb der EU. Beim Aufruf einer Seite verarbeiten diese Anbieter technisch notwendig deine IP-Adresse (Art. 6 Abs. 1 f DSGVO — der Betrieb der Seite ist ohne sie nicht möglich).

3. Cookies

Technisch notwendige Cookies und deine Analysewahl bleiben getrennt. Google-Analytics-Cookies (_ga, _ga_*) setzen wir nur mit Zustimmung, für höchstens 60 Tage ohne automatische Verlängerung. Deine Wahl speichern wir im Browserspeicher für 180 Tage.

• Sprache und Währung deiner Wahl,
• dein Anmelde-Token, wenn du eingeloggt bist,
• vor dem öffentlichen Start: das Vortür-Cookie.

4. Konto

Beim Registrieren speichern wir E-Mail-Adresse, Passwort (als Hash, nie im Klartext) sowie Name, Sprache und Währung, wenn du sie angibst (Art. 6 Abs. 1 b DSGVO — Vertragserfüllung). Anmeldungen und Anmeldeversuche protokollieren wir mit IP-Adresse für 180 Tage (Art. 6 Abs. 1 f DSGVO — Kontosicherheit); danach wird der Eintrag gelöscht.

Meldest du dich mit „Weiter mit Google“ an, übermittelt uns Google deine bestätigte E-Mail-Adresse und deinen Namen. Für die Anmeldung bei Google selbst ist Google verantwortlich.

5. Zahlungen

Zahlungen wickelt Stripe ab. Deine Kartendaten liegen bei Stripe und erreichen unsere Systeme nie. Von Stripe erhalten wir nur Marke, die letzten vier Ziffern und das Ablaufdatum deiner Karte sowie ein Wiedererkennungszeichen, aus dem sich die Kartennummer nicht ableiten lässt. Damit prüfen wir, dass dieselbe Karte an höchstens drei Konten hängt. Stripe ist eigenständig Verantwortlicher für die Zahlungsabwicklung.

6. E-Mails

System-Mails (Registrierung, Passwort, Benachrichtigungen) versenden wir über Mailjet. Dazu wird deine E-Mail-Adresse an Mailjet übermittelt (Art. 6 Abs. 1 b DSGVO). Werbe-Mails gibt es nur, wenn du ihnen ausdrücklich zugestimmt hast.

7. KI-Funktionen

Die KI-Funktionen (Kenji) nutzen vier Anbieter: Google (Vertex AI, Verarbeitung in der EU-Mehrregion), Mistral AI (Verarbeitung in der EU), Anthropic (Claude; Speicherung in den USA, die Berechnung der Antworten kann auch in anderen Ländern stattfinden) und OpenAI (Verarbeitung in den USA). Welcher Anbieter eine Aufgabe übernimmt, legen wir je Aufgabe nach gemessener Qualität und Preis fest; antwortet einer nicht oder nicht im verlangten Format, übernimmt der nächste. Derzeit gehen einfachere Aufgaben — etwa Text- und SEO-Vorschläge, Bildbeschreibungen, die Auswertung von Formularantworten oder Produkte aus Fotos — zuerst an Google, mit Anthropic als Ersatz; anspruchsvolle Aufgaben — etwa eine Website, ein Formular oder einen Shop erzeugen — laufen über Anthropic. Mistral AI und OpenAI übernehmen Aufgaben, sobald unsere Messung zeigt, dass sie dort am besten aufgehoben sind. Bilder erzeugt ausschließlich Google, ebenfalls über die EU-Mehrregion.

Übermittelt wird, was du der KI gibst — dein Text, deine Angaben, bei Bildaufgaben das Bild (für Bildbeschreibungen eine verkleinerte Kopie). Das geschieht nur, wenn du eine KI-Funktion auslöst; im Hintergrund oder beim Hochladen erreicht kein Inhalt die KI-Anbieter. Deine Daten sind mandantengetrennt: Die KI eines Kontos sieht nur dessen Daten. Keiner der vier Anbieter verwendet diese Eingaben nach seinen Vertragsbedingungen zum Training seiner Modelle; Mistral AI und OpenAI bewahren Ein- und Ausgaben zur Erkennung von Missbrauch bis zu 30 Tage auf. Rechtsgrundlage ist Art. 6 Abs. 1 b DSGVO.

8. Bildprüfung beim Hochladen

Bilder, die bei uns hochgeladen oder aus den Bildbibliotheken eingebunden werden, prüfen wir beim Eingang automatisch — in der Medienbibliothek (dort auch PDF-Dateien), in Formularen (auch Bilder und Unterschriften, die Ausfüllende hochladen), auf Websites und als Logo auf Rechnungen und Angeboten. Gesucht wird nach Darstellungen, die auf einer Website nichts zu suchen haben (etwa sexuell explizite Inhalte, Gewalt oder Hasssymbole). Dafür geht eine verkleinerte Kopie an Amazon Web Services (Amazon Rekognition, Region eu-central-1, Frankfurt): höchstens 1.024 Bildpunkte an der längsten Kante, als JPEG neu kodiert; bei PDF-Dateien gerasterte Kopien der ersten Seiten. Aus derselben Kopie eines Bildes der Medienbibliothek entstehen Schlagworte für die Suche darin. Das Original schicken wir dafür nicht.

Rechtsgrundlage ist für die Prüfung Art. 6 Abs. 1 f DSGVO — unser berechtigtes Interesse, keine rechtswidrigen Inhalte unter unserer Domain auszuliefern —, für die Schlagworte Art. 6 Abs. 1 b DSGVO. Nach seinen Bedingungen darf AWS solche Eingaben speichern und zur Verbesserung seiner Dienste nutzen, auch in einer anderen Region, solange dem nicht widersprochen wird; ob dieser Widerspruch für unser Konto eingerichtet ist, wird ergänzt.

9. Bilder, Schriften und Karten

Bilder, die du aus den Bibliotheken von Pexels und Pixabay wählst, laden wir herunter und liefern sie von unserem eigenen Speicher aus — die Besucher deiner Seiten verbinden sich nie mit diesen Anbietern. Nur während du in der Bildauswahl suchst, lädt dein Browser die kleinen Vorschaubilder direkt von Pexels bzw. Pixabay; dabei sehen diese deine IP-Adresse.

Die Standardschriften der KENJTEC-Oberfläche liefern wir selbst aus. Bei Schriftvorschauen und in Kundeninhalten können zusätzlich Schriften über Bunny Fonts (BunnyWay d.o.o., Slowenien — EU) geladen werden; dabei verbindet sich dein Browser mit fonts.bunny.net, das nach Angaben des Anbieters keine Besucherdaten protokolliert und keine Cookies setzt. Auf unseren Seiten und in unseren Vorlagen ist Google Fonts nicht eingebunden.

Auf unseren Seiten erklären Karten Auslieferungsnetze und Serverregionen. Zuerst steht dort unsere eigene Zeichnung, die nichts von außen lädt. Erst wenn du auf „Karte von Google laden“ klickst, lädt eine Karte von Google Maps; dann verbindet sich dein Browser mit Servern von Google, und Google erhält deine IP-Adresse (Art. 6 Abs. 1 a DSGVO — deine Einwilligung durch den Klick; sie gilt nur für diesen Seitenaufruf und wird nicht gespeichert). Google ist dafür eigenständig verantwortlich und darf solche Daten nach seinen Bedingungen auch zur Verbesserung eigener Dienste nutzen.

10. Domains

Registrierst du über uns eine Domain, geben wir die Inhaberdaten, die du dafür angibst, an unseren Registrar Tucows (OpenSRS) in Kanada weiter; der leitet sie, soweit die jeweilige Endung es verlangt, an deren Vergabestelle weiter (Art. 6 Abs. 1 b DSGVO — ohne diese Angaben lässt sich keine Domain registrieren).

11. Formulare, die Kunden mit KENJTEC bauen

Füllst du ein Formular aus, das ein KENJTEC-Kunde erstellt hat, ist dieser Kunde der Verantwortliche für deine Antworten; wir verarbeiten sie in seinem Auftrag. Lädst du dabei ein Bild oder eine Unterschrift hoch, durchläuft es die automatische Bildprüfung aus Abschnitt 8. Bei E-Mail-Feldern prüfen wir die Echtheit der Domain über eine DNS-Abfrage bei Cloudflare — dabei fließt nur der Teil hinter dem @ ab, nie die Adresse selbst.

12. Meldeverfahren und E-Mails an uns

Meldest du Inhalte über unser Meldeverfahren, speichern wir deine Angaben zur Bearbeitung und als Nachweis nach Art. 17 DSA (Art. 6 Abs. 1 c DSGVO — rechtliche Verpflichtung). Deine IP-Adresse speichern wir dabei nicht.

Schreibst du uns eine E-Mail, etwa an legal@kenjtec.com oder abuse@kenjtec.com, nimmt Cloudflare sie an und leitet sie an unser Postfach bei Google (Gmail) weiter; eine Kopie legen wir in unserem eigenen System ab, um sie zu bearbeiten (Art. 6 Abs. 1 b DSGVO, bei Anfragen außerhalb eines Vertrags Art. 6 Abs. 1 f DSGVO).

13. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO). Schreib dafür formlos an die oben genannte Adresse. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren — zuständig für uns: Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit. Dein Konto löschst du selbst im Dashboard unter „Konto“; gelöscht wird es frühestens 30 Tage nach deinem Auftrag und dem Ende der Laufzeit — bis dahin kannst du den Auftrag zurücknehmen.

14. Dienstleister und Übermittlungen in Drittländer

Diese Dienstleister verarbeiten personenbezogene Daten für uns oder erhalten sie von uns. Wo eine Angabe noch nicht belegt ist, steht „wird ergänzt“ — wir schreiben nichts hin, was wir nicht nachweisen können.

• Google Cloud — Google Cloud EMEA Limited, Dublin (Irland). Betrieb, Datenbank, Dateien und Sicherungen (Region europe-west1 in Belgien, Sicherungen in EU-Regionen), KI über Vertex AI in der EU-Mehrregion. Auftragsverarbeiter. Soweit Daten an Google LLC in den USA gehen: EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln.
• Cloudflare — Cloudflare, Inc. (USA). DNS, Auslieferung und Schutz über ein weltweites Netz, Empfang von E-Mails an unsere Adressen, Speicherung der Mediendateien in der EU (R2). Auftragsverarbeiter. Grundlage: EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln.
• Anthropic — Anthropic Ireland, Limited, Dublin (Irland); Muttergesellschaft Anthropic, PBC (USA). KI-Funktionen. Speicherung in den USA, Berechnung der Antworten auch in anderen Ländern möglich. Auftragsverarbeiter. Grundlage: Standardvertragsklauseln, die Anthropics Auftragsverarbeitungsvertrag enthält.
• Mistral AI — Mistral AI SAS, Paris (Frankreich). KI-Funktionen über den europäischen Zugang (Verarbeitung in der EU). Auftragsverarbeiter.
• OpenAI — OpenAI Ireland Limited, Dublin (Irland). KI-Funktionen. Verarbeitung in den USA. Auftragsverarbeiter. Grundlage: Standardvertragsklauseln, die OpenAIs Auftragsverarbeitungsvertrag enthält.
• Amazon Web Services — Amazon Web Services EMEA SARL (Luxemburg). Bildprüfung und Schlagworte, Region eu-central-1 (Frankfurt); zur Speicherung für eigene Zwecke siehe Abschnitt 8. Auftragsverarbeiter. Soweit Daten in die USA gehen: EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln.
• Mailjet — Mailjet SAS (Sinch), Paris (Frankreich). Versand von System-Mails. Verarbeitung in der EU. Auftragsverarbeiter.
• Stripe — Stripe Payments Europe, Limited (Irland). Zahlungen; eigenständig verantwortlich. Soweit Daten an Stripe, LLC in den USA gehen: EU-US Data Privacy Framework.
• Tucows (OpenSRS) — Toronto (Kanada). Domainregistrierung. Grundlage: Angemessenheitsbeschluss der EU-Kommission für Kanada (2002/2/EG).
• Bunny Fonts — BunnyWay d.o.o., Ljubljana (Slowenien). Schriftvorschauen und Schriften in Kundeninhalten. Verarbeitung in der EU.
• Geoapify — KEPTAGO LTD, Paphos (Zypern). Adressvorschläge im BrandStudio, nur wenn du die Suche benutzt: Übermittelt werden der Suchtext, die Sprache und gegebenenfalls das gewählte Land — über unseren Server, also ohne deine IP-Adresse und ohne Angaben zu deinem Konto. Verarbeitung in der EU. Auftragsverarbeiter.
• Google — Anmeldung mit Google, die Karte (Google Maps) und unser Postfach für E-Mails an uns (Gmail). Dafür ist Google eigenständig verantwortlich. Soweit Daten an Google LLC in den USA gehen: EU-US Data Privacy Framework.
• Pexels und Pixabay — Canva Germany GmbH, Berlin. Vorschaubilder in der Bildauswahl; eigenständig verantwortlich.

Google Analytics 4

Google Analytics 4: Anbieter ist Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Erfasst werden Seitenaufrufe, Zeitpunkte, Geräte- und Browserangaben, Sprache, Herkunftswebsite und eine Cookie-Kennung. Die IP-Adresse wird zur Verbindung verarbeitet. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG. Widerruf über Cookie-Einstellungen; die bisherige Verarbeitung bleibt rechtmäßig. Google kann Daten auch in den USA verarbeiten. Informationen zu Übermittlungen und Schutzmaßnahmen: Google-Datenverarbeitungsbedingungen. Weitere Informationen: Google-Datenschutz.

Nutzer- und Ereignisdaten werden in Google Analytics nach zwei Monaten gelöscht, ohne Verlängerung bei neuer Aktivität. Zusammengefasste Standardberichte unterliegen dieser Frist nicht.