Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten wir auf https://enno.so verarbeiten, wofür, auf welcher Grundlage und wie lange: beim Besuch der Website, im Zugangsformular, in der Vorabphase mit deinem Konto, bei der Vorbestellung, in den kostenlosen Werkzeugen und wenn du uns schreibst.

1. Verantwortlicher

enno AI GmbH i. G.
Eschersheimer Landstraße 42
60322 Frankfurt am Main
Vertreten durch: Tim Schneider, Geschäftsführer
E-Mail: info@enno.so

Einen Datenschutzbeauftragten haben wir nicht bestellt. Dazu sind wir nicht verpflichtet, da bei uns nicht mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG). Für alle Fragen zum Datenschutz erreichst du uns unter der oben genannten Adresse.

2. Hosting und Server-Logs

Die Website wird bei Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA, betrieben. Die Verarbeitung auf dem Server erfolgt in Frankfurt am Main; statische Inhalte liefert Vercel über sein weltweites Netzwerk vom jeweils nächstgelegenen Standort aus. Beim Aufruf werden technisch notwendige Daten in Server-Logs verarbeitet: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browser und Betriebssystem. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (sicherer und stabiler Betrieb). Vercel ist Auftragsverarbeiter nach Art. 28 DSGVO. Für den Fall eines Zugriffs aus den USA bestehen Standardvertragsklauseln der EU-Kommission; Vercel ist zudem unter dem EU-U.S. Data Privacy Framework zertifiziert.

3. Datenbank

Die Daten aus dem Zugangsformular, der Vorabphase und der Vorbestellung werden in einer Postgres-Datenbank des Dienstes Neon gespeichert. Neon wird von der Neon, LLC betrieben, einem Unternehmen der Databricks, Inc., 160 Spear Street, San Francisco, CA 94105, USA; unser Vertragspartner und Auftragsverarbeiter nach Art. 28 DSGVO ist Databricks, Inc. Der Speicherort der Datenbank ist die Region Frankfurt am Main. Für Zugriffe aus den USA gelten die Standardvertragsklauseln der EU-Kommission; Databricks, Inc. und Neon, LLC sind unter dem EU-U.S. Data Privacy Framework zertifiziert.

4. E-Mail-Versand

E-Mails versenden wir über den Dienst Resend der Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA, mit der Absenderdomain mail.enno.so: interne Benachrichtigungen über Eintragungen im Zugangsformular (mit deiner E-Mail-Adresse), deine Anmeldelinks für die Vorabphase und die E-Mails der Vorabphase zu deinen Aufgaben und Belohnungen (Abschnitt 6). Resend versendet aus einer EU-Region, speichert Inhalte, Metadaten und Protokolle der E-Mails jedoch in den USA. Resend ist Auftragsverarbeiter nach Art. 28 DSGVO; die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission und das EU-U.S. Data Privacy Framework.

5. Zugangsformular

Wenn du dich über das Formular auf der Startseite einträgst, verarbeiten wir deine E-Mail-Adresse, die Seite, über die du gekommen bist (Kampagnenquelle), die Version des Einwilligungstexts sowie den Zeitpunkt der Eintragung und der Benachrichtigung. Zweck ist, dich per E-Mail zum Start von enno und zu deinem Zugang zu kontaktieren.

Rechtsgrundlage ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Der Text, dem du zustimmst, lautet: „Ja, enno darf mich per E-Mail zum Start und zu meinem Zugang kontaktieren. Ich kann das jederzeit widerrufen.“

Die Angabe deiner E-Mail-Adresse ist freiwillig. Es besteht keine gesetzliche oder vertragliche Pflicht, sie anzugeben, und dir entsteht kein Nachteil, wenn du das Formular nicht ausfüllst. Ohne die Adresse können wir dich allerdings nicht über deinen Zugang benachrichtigen.

Du kannst die Einwilligung jederzeit widerrufen, zum Beispiel per E-Mail an info@enno.so. Der Widerruf wirkt für die Zukunft und lässt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung unberührt. Wir löschen deine Daten nach dem Widerruf, spätestens aber zwölf Monate nach der Öffnung von enno für alle Eingetragenen.

6. Vorabphase: Konto und Anmeldung

Für die Vorabphase verarbeiten wir deine E-Mail-Adresse, die Art deines Unternehmens, die du bei der Anmeldung wählst, einen Empfehlungscode, falls du über einen Link gekommen bist, deinen Platz (mit Belohnungen oder auf der Liste für Neuigkeiten) und die Zeitpunkte deiner Anmeldung. Du meldest dich ohne Passwort über einen Link an, den wir dir per E-Mail schicken. Zweck ist die Durchführung der Vorabphase nach den Teilnahmebedingungen.

Freiwillig kannst du bei der Anmeldung angeben, wie du von enno erfahren hast. Wir speichern die Antwort bei deinem Konto und werten sie nur zusammengefasst aus, um zu sehen, welche Wege zu uns führen (Art. 6 Abs. 1 lit. f DSGVO). Aus dem Link, über den du kommst, lesen wir dafür nichts aus. Die Angabe ändert nichts an deiner Teilnahme.

Rechtsgrundlage ist die Teilnahme nach den Teilnahmebedingungen, also ein Vertrag (Art. 6 Abs. 1 lit. b DSGVO). E-Mails zu deinem Zugang, deinen Aufgaben und deinen Belohnungen schicken wir dir auf Grundlage deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) mit dem Text: „Ja, ich möchte an der enno-Vorabphase teilnehmen. enno darf mir E-Mails zu meinem Zugang, meinen Aufgaben und meinen Belohnungen schicken.“ Neuigkeiten zum Produkt nur, wenn du zusätzlich einwilligst: „Zusätzlich: enno darf mir Neuigkeiten zum Produkt schicken. Das ist freiwillig und ändert nichts an meinen Belohnungen.“ Beide Einwilligungen kannst du unter Konto getrennt widerrufen und neu erteilen.

Mit dieser Einwilligung schicken wir dir nach der Anmeldung eine Willkommens-E-Mail mit deinem Empfehlungslink und danach höchstens einmal am Tag eine Zusammenfassung, wenn eine Aufgabe geprüft wurde, du Punkte für eine Empfehlung bekommst oder einen Meilenstein erreichst. Dafür verwenden wir die Ergebnisse, Punkte und Meilensteine aus deinem Konto und vermerken 30 Tage lang, worüber wir dich schon informiert haben. Jede dieser E-Mails enthält einen Link, mit dem du sie abbestellst, ohne deine Teilnahme zu beenden; unter Konto schaltest du sie aus und wieder ein. Anmeldelinks, die du anforderst, bekommst du weiterhin.

Dass und wann du eingewilligt, die Teilnahmebedingungen angenommen und bei einer Bestellung erklärt hast, als Unternehmer zu handeln, speichern wir mit der jeweiligen Textfassung als Nachweis (Art. 6 Abs. 1 lit. c in Verbindung mit Art. 7 Abs. 1 DSGVO, im Übrigen Art. 6 Abs. 1 lit. f DSGVO).

7. Vorabphase: Aufgaben

Je nach Aufgabe verarbeiten wir, was du einreichst:

• Profil: wo dein Geschäft seinen Sitz hat, wie viele Belege und Kontobewegungen du ungefähr im Monat hast und wofür du enno vor allem nutzen möchtest;
• Umfrage und Rundgang: deine Antworten;
• Produktfeedback: deinen Text;
• öffentlicher Beitrag: den Kanal und die Adresse deines Beitrags. Wir rufen die Adresse automatisch auf, um zu prüfen, ob der Beitrag noch öffentlich erreichbar ist, und eine Person sieht ihn sich an.

Zweck ist, die Aufgabe zu prüfen und die Punkte gutzuschreiben (Art. 6 Abs. 1 lit. b DSGVO). Umfrage- und Feedback-Antworten nutzen wir außerdem, um enno zu entwickeln; das ist unser berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO).

8. Vorabphase: Empfehlungen, Punkte und Prüfung

Meldet sich jemand über deinen Empfehlungslink an, speichern wir, wer wen empfohlen hat, und den Stand der Empfehlung. Du siehst nur Zahlen, nicht wer sich angemeldet hat. Für deine Punkte führen wir ein Punktekonto mit jeder Gutschrift und Rückbuchung und halten fest, welche Meilensteine du erreicht hast.

Einreichungen und Empfehlungen, die nicht automatisch bestätigt werden, sehen Personen ein, die bei uns prüfen. Jede Entscheidung mit Begründung und prüfender Person halten wir in einem Protokoll fest, damit sie nachvollziehbar bleibt und ein Widerspruch geprüft werden kann. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für das Protokoll und die Prüfung auf Missbrauch Art. 6 Abs. 1 lit. f DSGVO (faire Vergabe der Belohnungen, Nachweis von Entscheidungen).

9. Schutz vor Missbrauch

Um massenhafte Anmeldungen und Anmeldelinks zu verhindern, begrenzen wir, wie oft Anmeldungen und E-Mails ausgelöst werden können. Dafür speichern wir einen aus deiner IP-Adresse abgeleiteten Schlüssel, aus dem sich die Adresse nicht zurückrechnen lässt, und die Zeitpunkte der Anfragen. Unser Anmeldedienst speichert für eine kurze Begrenzung der Anmeldeversuche zusätzlich die IP-Adresse selbst; diese Einträge löschen wir nach 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz des Dienstes und der Teilnehmenden).

10. Vorbestellung und Zahlung

Bestellst du die Gründungsmitgliedschaft vor, verarbeiten wir deine Bestellung, deine Erklärung, als Unternehmer zu bestellen („Ich bestelle als Unternehmer im Sinne von § 14 BGB, also für meine gewerbliche oder selbständige berufliche Tätigkeit, nicht als Verbraucher.“), deine Rechnungsadresse mit Unternehmen und Ansprechperson, eine USt-IdNr., falls du sie angibst, den Betrag, die Zahlungsreferenz und den Zeitpunkt der Zahlung. Daraus erstellen wir die Rechnung und gegebenenfalls eine Stornorechnung. Rechtsgrundlage ist der Vertrag (Art. 6 Abs. 1 lit. b DSGVO); die Rechnungen und Buchungsbelege bewahren wir auf, weil das Gesetz es verlangt (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 14b UStG und § 147 AO).

Die Zahlung wickelt unser Zahlungsdienstleister Stripe ab. Deine Zahlungsdaten gibst du in einem Eingabefeld von Stripe ein; sie gehen direkt an Stripe, nicht an uns. Wir erhalten von Stripe nur, ob und wann bezahlt wurde, die Rechnungsangaben und eine Zahlungsreferenz. Stripe handelt dabei je nach Vorgang als unser Auftragsverarbeiter oder als eigener Verantwortlicher, etwa bei der Betrugsprävention; dafür gilt die Datenschutzerklärung von Stripe. Stripe lädt seine Eingabefelder nur auf unserer Zahlungsseite; dazu gehören Techniken, die Stripe zur sicheren Abwicklung und gegen Betrug einsetzt (siehe Abschnitt 11).

11. Cookies und Speicher im Browser

• Wenn du dich in dein Konto einloggst, setzen wir ein Cookie, das dich angemeldet hält (__Secure-better-auth.session_token, sieben Tage). Es ist für den Dienst unbedingt erforderlich, den du ausdrücklich nutzen willst, und braucht deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).
• Deine Wahl im Cookie-Banner speichern wir 180 Tage im lokalen Speicher deines Browsers (Eintrag opencookie.consent), damit wir dich nicht bei jedem Aufruf erneut fragen (§ 25 Abs. 2 Nr. 2 TDDDG). Der Banner läuft auf unserer Website selbst und überträgt deine Wahl nicht. Nach 180 Tagen oder wenn sich ändert, wofür wir fragen, fragen wir erneut.
• Nur auf der Zahlungsseite lädt Stripe seine Eingabefelder und seine Betrugsprävention. Stripe setzt dabei auf unserer Domain die Cookies __stripe_mid (ein Jahr) und __stripe_sid (30 Minuten) und auf der eigenen Domain m.stripe.com das Cookie m (rund 13 Monate). Stripe kann dafür den Dienst hCaptcha einbinden, der das Cookie __cf_bm (30 Minuten) setzt. Sie dienen der sicheren Abwicklung der Zahlung und dem Erkennen von Betrug, etwa mit gestohlenen Karten. Solche Systeme zur Betrugsprävention rechnen die Aufsichtsbehörden dem Dienst zu, den du nutzen willst; wir stützen sie deshalb auf § 25 Abs. 2 Nr. 2 TDDDG.
• In den Werkzeugen „Rechnung erstellen“ und „Mahnung schreiben“ und im E-Rechnung-Prüfer speichern wir deine Angaben nur dann im Speicher deines Browsers, wenn du „merken“ ankreuzt, und löschen sie dort, wenn du das Häkchen entfernst. Sie verlassen deinen Browser dabei nicht. Der E-Rechnung-Prüfer legt außerdem für einen Augenblick eine Marke im Sitzungsspeicher ab, wenn er sich neu lädt, damit sein Sicherheitsschutz gilt; beim nächsten Laden löscht er sie.
• Reichweitenmessung mit PostHog, nur mit deiner Einwilligung im Cookie-Banner (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne sie speichert PostHog nichts in deinem Browser und sendet nichts. Willigst du ein, legt PostHog eine zufällige Kennung und Angaben zur Sitzung ab: im Cookie ph_…_posthog (ein Jahr), in Einträgen, deren Name mit ph_ beginnt, im lokalen Speicher und im Sitzungsspeicher (bis du den Tab schließt) sowie deine Entscheidung im Eintrag __ph_opt_in_out_…. Erfasst werden die aufgerufenen Seiten und wie lange du dort bist, wo du klickst, ohne den Text des Elements, Ladezeiten, Browser, Betriebssystem, Bildschirmgröße, Sprache und die Seite, von der du kamst. Jede Adresse kürzen wir vorher in deinem Browser auf die Seite: Was hinter „?“ oder „#“ steht, etwa deine Eingaben in den Werkzeugen oder ein Code aus einem Link, wird nicht übertragen. Aus deiner IP-Adresse ermittelt PostHog den ungefähren Ort (Land, Region, Stadt) und speichert die Adresse selbst nicht; Cookies unserer Website, etwa das Anmelde-Cookie, geben wir nicht weiter. Anbieter ist PostHog Inc., 2261 Market St., #4008, San Francisco, CA 94114, USA, unser Auftragsverarbeiter nach Art. 28 DSGVO; die Daten liegen in PostHogs EU-Region in Frankfurt am Main. Deine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen, unter „Cookie-Einstellungen“ unten auf jeder Seite oder hier. Dann löschen wir PostHogs Cookie und Einträge in deinem Browser und laden die Seite neu. Sendet dein Browser das Signal Global Privacy Control, messen wir nicht, auch wenn du zugestimmt hast.

Darüber hinaus setzen wir keine Cookies und verwenden keine Werbedienste. Die Schriften liefern wir vom eigenen Server aus; es besteht keine Verbindung zu Google Fonts.

12. Kostenlose Werkzeuge

Die Werkzeuge (Rechner, Rechnungen und Mahnungen) rechnen und erstellen alles in deinem Browser. Was du eingibst, wird nicht an uns übertragen und nicht bei uns gespeichert. Auch die Reichweitenmessung (Abschnitt 11) erfährt nur, welches Werkzeug du aufrufst, nicht was du eingibst.

13. Automatische Prüfungen

Zwei Aufgaben bestätigen wir automatisch: das Profil, wenn dein Geschäft in Deutschland sitzt, und den Rundgang, wenn alle drei Verständnisfragen richtig beantwortet sind; stimmt eine Antwort nicht, kannst du sie korrigieren und es erneut versuchen. Eine automatische Prüfung schreibt dir nur Punkte gut; abgelehnt oder zurückgebucht wird nie automatisch, sondern immer von einer Person. Ob ein öffentlicher Beitrag erreichbar ist, prüfen wir automatisch, entschieden wird darüber von einer Person. Eine Entscheidung, die dir gegenüber rechtliche Wirkung entfaltet oder dich in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO), treffen wir nicht automatisch.

14. Wenn du uns schreibst

Schreibst du uns an info@enno.so, verarbeiten wir deine Nachricht und deine Angaben, um sie zu beantworten (Art. 6 Abs. 1 lit. b oder f DSGVO). Unser Postfach liegt bei Google (Google Workspace), unserem Auftragsverarbeiter.

15. Wie lange wir Daten speichern

• Server-Logs: nach den Fristen unseres Hosting-Anbieters, nur für den sicheren Betrieb.
• Einträge zur Begrenzung von Anmeldeversuchen mit IP-Adresse: 24 Stunden.
• Reichweitenmessung bei PostHog: ein Jahr.
• Deine Wahl im Cookie-Banner: 180 Tage, im Speicher deines Browsers.
• Vermerke, worüber wir dich per E-Mail informiert haben: 30 Tage.
• Daten der Vorabphase: bis die Belohnungen der Vorabphase abgewickelt sind; danach löschen wir sie, soweit du kein Konto bei enno führst oder ein Gesetz eine längere Aufbewahrung verlangt. Du kannst die Löschung jederzeit verlangen (Abschnitt 17).
• Nachweise über Einwilligungen und angenommene Bedingungen: solange wir sie nachweisen müssen, also während der Verarbeitung, die auf ihnen beruht, und bis zum Ablauf der Verjährungsfrist für Ansprüche daraus. Nach dem Schließen eines Kontos behalten wir dafür nur die E-Mail-Adresse und die Einwilligungen mit Fassung und Datum, bis zum Ende des dritten Jahres nach dem Jahr der Schließung (§§ 195, 199 BGB; Art. 17 Abs. 3 lit. e DSGVO).
• Rechnungen und Buchungsbelege: acht Jahre (§ 14b UStG, § 147 AO).
• Geschäftsbriefe und E-Mails zu Verträgen: sechs Jahre (§ 147 AO, § 257 HGB).

16. Empfänger und Übermittlung in Drittländer

Empfänger deiner Daten sind die genannten Dienstleister: Vercel (Hosting), Databricks mit Neon (Datenbank), Resend (E-Mail-Versand), Stripe (Zahlungen), Google (E-Mail-Postfach) und, nur mit deiner Einwilligung, PostHog (Reichweitenmessung). Vercel, Databricks, Resend und PostHog haben ihren Sitz in den USA. Die Übermittlung dorthin stützt sich auf den Angemessenheitsbeschluss der EU-Kommission für Unternehmen, die unter dem EU-U.S. Data Privacy Framework zertifiziert sind, und zusätzlich auf die Standardvertragsklauseln der EU-Kommission in den Verträgen mit diesen Dienstleistern. Anderen geben wir deine Daten nur, wenn ein Gesetz uns dazu verpflichtet.

17. Deine Rechte

• Auskunft über die zu dir gespeicherten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen nach Art. 6 Abs. 1 lit. f DSGVO aus Gründen, die sich aus deiner besonderen Situation ergeben (Art. 21 DSGVO)
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Wenn du an der Vorabphase teilnimmst, kannst du in deinem Konto alle dort gespeicherten Daten als Datei herunterladen (Art. 15 und 20 DSGVO) und dein Konto selbst schließen (Art. 17 DSGVO). Beim Schließen löschen wir deine Daten sofort, auch deine Eintragung über das Zugangsformular; aufbewahrt werden nur Rechnungen und der Nachweis deiner Einwilligungen (Abschnitt 15).

Für alle Anfragen genügt außerdem eine E-Mail an info@enno.so.

Außerdem hast du das Recht, dich bei einer Datenschutzaufsichtsbehörde zu beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit
Postfach 31 63, 65021 Wiesbaden
Wilhelmstraße 7, 65185 Wiesbaden
Telefon: 0611 1408-0
E-Mail: poststelle@datenschutz.hessen.de

18. Bist du verpflichtet, Daten anzugeben?

Nein. Ohne die Angaben in der Anmeldung kannst du an der Vorabphase allerdings nicht teilnehmen, ohne die Angaben einer Aufgabe bekommst du dafür keine Punkte, und ohne Rechnungsadresse und Zahlung können wir keine Vorbestellung annehmen.

19. Änderungen

Wir passen diese Erklärung an, wenn sich die Verarbeitung ändert. Es gilt die jeweils hier veröffentlichte Fassung.