Datenschutzerklärung

1.Verantwortlicher

• Telefon: +43 664 514 50 57
• E-Mail: info[at]simplewebdesign.at

SEO Cockpit ist ein Produkt von SimpleWebDesign.

2.Überblick

SEO Cockpit ist eine Webanwendung, die Daten aus der Google Search Console und aus Google Analytics 4 für die Websites einer Organisation darstellt. Personenbezogene Daten werden insbesondere verarbeitet:

• beim Besuch dieser Website (Verbindungsdaten),
• bei der Anmeldung und der Nutzung deines Kontos (E-Mail-Adresse, Sitzungen),
• für Organisationen, Websites und Einstellungen, die du in SEO Cockpit verwaltest,
• wenn du ein Google-Konto verbindest und Search-Console- und Analytics-Daten importierst,
• für Hinweise, Reports und E-Mails,
• beim optionalen Zugriff über MCP (z. B. aus ChatGPT).

3.Besuch der Website

Um die Seiten auszuliefern, verarbeitet der Server zwangsläufig Verbindungsdaten, insbesondere deine IP-Adresse, den Zeitpunkt des Zugriffs, die aufgerufene Adresse und technische Angaben zu deinem Browser. SEO Cockpit speichert keine Zugriffsprotokolle mit IP-Adressen in seiner Datenbank. Protokolle der Hosting-Umgebung dienen ausschließlich dem Betrieb sowie dem Erkennen und Beheben von Fehlern und Angriffen.

Die öffentliche Website lädt keine Marketing-Dienste und keine extern geladenen Schriften. Bilder, Schriften und das Einwilligungs-Werkzeug Klaro werden vom eigenen Server ausgeliefert. Google Tag Manager und Google Analytics werden nur auf den öffentlichen Seiten und nur nach deiner Einwilligung geladen (siehe „Einwilligung und Statistik“). Der Link zu simplewebdesign.at führt erst beim Anklicken zu dieser Website.

Rechtsgrundlage: unser berechtigtes Interesse am sicheren und zuverlässigen Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO).

4.Einwilligung und Statistik (Google Analytics)

Auf den öffentlichen Seiten (Startseite und Rechtstexte) fragen wir deine Einwilligung mit dem Einwilligungs-Werkzeug Klaro ab. Klaro ist Open-Source-Software, die wir auf unserem eigenen Server betreiben; an den Hersteller werden keine Daten übermittelt. Klaro speichert deine Auswahl im Cookie „klaro“ in deinem Browser, damit wir sie beim nächsten Besuch respektieren und deine Einwilligung nachweisen können. Rechtsgrundlage: unsere Pflicht, eine Einwilligung nachweisen zu können, und unser berechtigtes Interesse, deine Auswahl zu speichern (Art. 6 Abs. 1 lit. c und f DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO).

Vor deiner Einwilligung sind alle Speicher- und Messsignale des Google Consent Mode (v2) auf „abgelehnt“ gesetzt: Google Tag Manager wird nicht geladen und dein Browser baut keine Verbindung zu Google auf. Die Werbesignale (ad_storage, ad_user_data, ad_personalization) bleiben auch nach deiner Einwilligung abgelehnt; wir nutzen keine Werbedienste.

Erst wenn du der Kategorie „Statistik“ zustimmst, lädt dein Browser den Google Tag Manager, der wiederum Google Analytics 4 lädt. Google Tag Manager ist ein Werkzeug zur Verwaltung von Website-Tags; nach Angaben von Google erhebt er selbst keine IP-Adressen und keine Kennungen, die sich auf einzelne Besucher beziehen. Beim Laden wird deine IP-Adresse technisch bedingt an Google übermittelt.

Google Analytics 4 hilft uns zu verstehen, wie die Website genutzt wird. Verarbeitet werden insbesondere die aufgerufenen Seiten (Adresse und Titel), die verweisende Seite, der Zeitpunkt des Besuchs, technische Angaben zu Gerät und Browser sowie deine ungefähre Region, verknüpft mit einer pseudonymen Kennung, die in den Cookies „_ga“ und „_ga_<ID>“ gespeichert ist. Nach Angaben von Google protokolliert und speichert Google Analytics 4 keine IP-Adressen. Wir nutzen Google Analytics nur für Statistiken über die Nutzung der Website, nicht für Werbung. Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland. Google verarbeitet die Daten als unser Auftragsverarbeiter; eine Verarbeitung durch Google LLC in den USA ist nicht auszuschließen (siehe „Übermittlung in Drittländer“).

Rechtsgrundlage: deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO; für das Speichern und Auslesen von Informationen auf deinem Gerät § 165 Abs. 3 TKG 2021).

Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft über „Cookie-Einstellungen“ am Ende jeder öffentlichen Seite widerrufen. Beim Widerruf wird die Statistik wieder auf „abgelehnt“ gesetzt und die Google-Analytics-Cookies in deinem Browser werden gelöscht. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. Google Analytics löscht die erhobenen Ereignisdaten automatisch nach der in unserer Google-Analytics-Property eingestellten Aufbewahrungsdauer; die Cookies und ihre Laufzeit stehen unter „Cookies und lokale Speicherung“.

5.Konto und Anmeldung

Der Zugang zu SEO Cockpit erfolgt derzeit auf Einladung. Die Anmeldung funktioniert in der Regel ohne Passwort über einen Anmeldelink per E-Mail (Magic Link). Dabei verarbeiten wir:

• deine E-Mail-Adresse und den Zeitpunkt deiner letzten Anmeldung per Anmeldelink,
• deine Mitgliedschaften in Organisationen und deine Rolle (Owner, Admin, Mitglied, Kunde),
• Anmeldesitzungen (eine zufällige Sitzungskennung und deren Ablaufdatum),
• einmalige Anmeldelinks: 15 Minuten gültig und nach der Verwendung gelöscht,
• nur für einzelne, vom Betreiber eingerichtete Konten (z. B. Demo- oder Prüfzugang): ein Passwort, das ausschließlich als gesalzener Hash (scrypt) gespeichert wird, sowie die Zahl fehlgeschlagener Anmeldeversuche, eine vorübergehende Sperre nach wiederholten Fehlversuchen und der Zeitpunkt der letzten Anmeldung mit Passwort.

Die Anmelde-E-Mail wird über einen E-Mail-Versanddienstleister (SMTP) verschickt. Rechtsgrundlage: Vertragserfüllung und vorvertragliche Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO).

6.Organisationen, Websites und Einstellungen

Für jede Organisation speichern wir ihren Namen, die Websites (Name, Domain, Zeitzone, Sprache) und die von den Mitgliedern vorgenommenen Einstellungen, zum Beispiel Brand-Begriffe, Inhaltsgruppen, Themencluster, URL-Zuordnungen, Anmerkungen (mit Verweis auf das Mitglied, das sie angelegt hat) und die Empfänger des Wochenreports (E-Mail-Adressen).

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

7.Google-Verbindungen

Für den Datenimport verbindet ein Owner oder Admin einer Organisation ein Google-Konto. Die Verbindung nutzt das OAuth-Verfahren von Google: Du meldest dich bei Google an und erteilst SEO Cockpit dort den Zugriff. SEO Cockpit fordert ausschließlich lesende Berechtigungen an:

• openid und email – Identifikation des verbundenen Google-Kontos (Google-Konto-ID und E-Mail-Adresse),
• webmasters.readonly – Lesezugriff auf die Google Search Console,
• analytics.readonly – Lesezugriff auf Google Analytics 4 (optional).

Wir speichern die Google-Konto-ID und die E-Mail-Adresse sowie die von Google ausgestellten Zugriffs- und Aktualisierungstokens. Die Tokens werden verschlüsselt gespeichert (AES-GCM) und nur verwendet, um folgende Google-Schnittstellen aufzurufen: Google Search Console API (Suchleistung, Sitemaps, URL-Prüfung), Google Analytics Admin API (Liste der zugänglichen Properties) und Google Analytics Data API (Berichte).

Beim Aufruf dieser Schnittstellen übermittelt der Server von SEO Cockpit die Tokens sowie die angefragten Property- und Berichtsparameter an Google. Google verarbeitet diese Daten in eigener Verantwortung; siehe Datenschutzerklärung von Google (öffnet in neuem Tab). SEO Cockpit verwendet die über Google-APIs erhaltenen Daten ausschließlich zur Bereitstellung seiner Funktionen, nicht für Werbung, und verkauft sie nicht. Die Nutzung entspricht der Google API Services User Data Policy (öffnet in neuem Tab), einschließlich der Limited-Use-Anforderungen.

Wird eine Verbindung getrennt, werden die gespeicherten Tokens gelöscht und – sofern dasselbe Google-Konto nicht noch in einer anderen Organisation verbunden ist – der Zugriff auch bei Google widerrufen. Du kannst den Zugriff von SEO Cockpit jederzeit in deinem Google-Konto unter Drittanbieter-Verbindungen (öffnet in neuem Tab) entfernen.

Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

8.Search-Console- und Analytics-Daten

Für die Websites einer Organisation importiert und speichert SEO Cockpit:

• Leistungsdaten der Search Console: Suchanfragen, Seiten, Länder, Geräte und Darstellung in der Suche mit Klicks, Impressionen, CTR und Position (seltene, anonymisierte Suchanfragen hält Google selbst zurück),
• Ergebnisse der URL-Prüfung und Sitemaps, wie Google sie meldet,
• Berichte aus Google Analytics 4 in aggregierter Form: Sessions, Nutzer (als Tagessummen), Engagement, Landingpages, Kanäle, Quellen und Key Events. Daten zu einzelnen Besuchern werden nicht importiert.

Diese Daten gehören dem jeweiligen Kunden. Sie enthalten in der Regel keine personenbezogenen Daten; Suchanfragen oder Adressen können im Einzelfall personenbezogene Daten enthalten. Soweit das der Fall ist, verarbeitet SimpleWebDesign diese Daten im Auftrag des Kunden (Art. 28 DSGVO).

9.Auswertungen, Hinweise und Reports

Auswertungen, regelbasierte Hinweise und Reports werden aus den gespeicherten Daten berechnet. PDF-Reports werden auf dem Server von SEO Cockpit erzeugt; ein externer PDF-Dienst wird nicht verwendet. Der Wochenreport wird per E-Mail an die von der Organisation eingetragenen Empfänger verschickt; zu jedem Versand speichern wir Zeitpunkt, Status und Anzahl der Empfänger.

10.Zugriff über MCP (optional)

Eine Organisation kann Zugriffstokens für das Model Context Protocol (MCP) erstellen, um ihre SEO-Daten zum Beispiel aus ChatGPT oder einem anderen MCP-Client abzufragen. Der MCP-Zugriff ist nur lesend und auf die Daten dieser Organisation beschränkt.

Von jedem Token speichern wir nur einen SHA-256-Hash und ein kurzes Präfix, den Namen, den Ersteller, den Berechtigungsumfang sowie die Zeitpunkte von Erstellung, letzter Nutzung, Widerruf und Ablauf. Fehler bei einer MCP-Anfrage werden mit Organisations- und Token-Kennung protokolliert, ohne den Inhalt der Anfrage.

Über MCP abgerufene Daten werden an den Client übermittelt, den der Kunde verbunden hat. Für die weitere Verarbeitung sind der Kunde und der Anbieter dieses Clients verantwortlich.

Verbindung aus ChatGPT (OAuth): Ein Owner oder Admin kann SEO Cockpit als App in ChatGPT (OpenAI) verbinden. Dazu meldet er sich bei SEO Cockpit an, wählt genau eine Organisation und erlaubt ausdrücklich den lesenden Zugriff (Berechtigung „seo:read“). Wir speichern die Verbindung (Nutzer, Organisation, App, Berechtigung sowie die Zeitpunkte von Erstellung, letzter Nutzung und Trennung), die öffentlichen Angaben der App (Name, Adresse, Rücksprungadressen) sowie Autorisierungscodes, Zugriffs- und Aktualisierungstokens, jeweils ausschließlich als SHA-256-Hash. Zugriffstokens sind eine Stunde gültig, Aktualisierungstokens 30 Tage; ein Aktualisierungstoken wird bei jeder Verwendung ersetzt.

ChatGPT ruft danach die SEO-Daten dieser Organisation (z. B. Suchanfragen, URLs, Klicks, Impressionen, Indexierungs- und Analysezahlen) lesend ab; SEO Cockpit übermittelt sie an OpenAI, damit ChatGPT die Anfrage beantworten kann. Google-Zugangsdaten werden nie übermittelt. Für die weitere Verarbeitung bei OpenAI gelten die Datenschutzbestimmungen von OpenAI (öffnet in neuem Tab). Unter „Verbundene Apps“ in den Einstellungen der Organisation kann ein Owner oder Admin die Verbindung jederzeit trennen; alle Tokens der Verbindung werden dabei sofort ungültig. Der Zugriff endet außerdem, wenn der Nutzer nicht mehr Owner oder Admin der Organisation ist. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).

11.Empfänger und Auftragsverarbeiter

Personenbezogene Daten werden nur weitergegeben, soweit dies für die Bereitstellung von SEO Cockpit erforderlich ist oder du eingewilligt hast:

• ein Hosting-Dienstleister, der die Server und die Datenbank betreibt (Auftragsverarbeiter),
• ein E-Mail-Versanddienstleister für Anmeldelinks und Wochenreports (Auftragsverarbeiter),
• Google beim Aufruf der Google-Schnittstellen (siehe „Google-Verbindungen“),
• Google Ireland Limited für Google Tag Manager und Google Analytics 4 als unser Auftragsverarbeiter, nur auf den öffentlichen Seiten und nur nach deiner Einwilligung (siehe „Einwilligung und Statistik“),
• Paddle.com als Verkäufer (Merchant of Record) kostenpflichtiger Abonnements: Paddle verarbeitet die für Bestellung, Zahlungsabwicklung, Rechnungsstellung, Steuerabwicklung und gegebenenfalls Rückerstattungen erforderlichen Daten als eigenständig Verantwortlicher, nicht als unser Auftragsverarbeiter. Beim Start einer Testphase oder eines Abonnements übermittelt SEO Cockpit die E-Mail-Adresse des startenden Mitglieds, die Sprache, das Land, einen internen Verweis auf die Organisation und die Anzahl aktiver Websites. Zahlungsdaten wie Karten- oder Bankdaten werden nur bei Paddle eingegeben; SEO Cockpit erhält sie nicht. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Weitere Informationen enthalten die Datenschutzhinweise von Paddle,
• OpenAI (ChatGPT), sobald ein Owner oder Admin die Verbindung erlaubt hat (siehe „Zugriff über MCP“), sowie weitere vom Kunden gewählte MCP-Clients und Report-Empfänger.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu Werbezwecken weiter.

12.Übermittlung in Drittländer

Bei der Nutzung der Google-Schnittstellen ist eine Verarbeitung durch Google LLC in den USA nicht auszuschließen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert. Dasselbe gilt für Google Tag Manager und Google Analytics nach deiner Einwilligung; nach Angaben von Google stützen sich Übermittlungen in die USA auf das EU-US Data Privacy Framework, für das ein Angemessenheitsbeschluss der EU-Kommission besteht (Art. 45 DSGVO), und ergänzend auf Standardvertragsklauseln. Verbindet eine Organisation SEO Cockpit mit ChatGPT, werden die abgerufenen Daten an OpenAI übermittelt; eine Verarbeitung in den USA ist dabei nicht auszuschließen. Darüber hinaus werden Daten nur in Länder außerhalb von EU/EWR übermittelt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

13.Cookies und lokale Speicherung

Die App SEO Cockpit (Dashboard, Anmeldung, Verbindung mit ChatGPT) verwendet ausschließlich Cookies und Browser-Speicher, die technisch notwendig sind, um den von dir gewünschten Dienst bereitzustellen; dafür ist keine Einwilligung erforderlich, und es findet kein Tracking statt. Auf den öffentlichen Seiten speichert Klaro zusätzlich deine Einwilligungs-Auswahl. Statistik-Cookies von Google Analytics werden nur auf den öffentlichen Seiten und nur nach deiner Einwilligung gesetzt (siehe „Einwilligung und Statistik“). Marketing- oder Werbe-Cookies gibt es nicht.

14.Speicherdauer

• Anmeldesitzungen enden nach 30 Tagen ohne Nutzung oder beim Abmelden.
• Anmeldelinks sind 15 Minuten gültig und werden nach der Verwendung gelöscht.
• Google-Zugriffstokens werden gelöscht, wenn die Verbindung getrennt wird.
• Konto-, Organisations-, Website- und Einstellungsdaten sowie die importierten Google-Daten, Hinweise und Reports werden während der Nutzung von SEO Cockpit gespeichert; die Historie der importierten Daten ist Teil der Leistung. Nach dem Ende einer Testphase oder eines Abonnements werden diese Daten nicht automatisch gelöscht, damit die Organisation SEO Cockpit später mit einem neuen Abonnement fortsetzen kann. Der Kunde kann die Löschung jederzeit verlangen, soweit keine gesetzlichen Aufbewahrungspflichten oder sonstigen zwingenden Speicherpflichten entgegenstehen.
• MCP-Tokens bleiben nach dem Widerruf (nur Hash und Metadaten) erfasst, damit frühere Zugriffe nachvollziehbar bleiben, bis die Organisation gelöscht wird.
• Verbindungen zu Apps wie ChatGPT bleiben nach dem Trennen (ohne gültige Tokens) erfasst, damit frühere Zugriffe nachvollziehbar bleiben, bis der Nutzer oder die Organisation gelöscht wird. Abgelaufene Autorisierungscodes und Tokens werden frühestens einen Tag nach ihrem Ablauf gelöscht.
• Deine Einwilligungs-Auswahl (Cookie „klaro“) läuft nach 1 Jahr ab; danach fragen wir erneut.
• Protokolle der Hosting-Umgebung werden nur so lange aufbewahrt, wie es für Betrieb und Sicherheit erforderlich ist.

15.Deine Rechte

Nach der DSGVO hast du das Recht auf:

• Auskunft über deine personenbezogenen Daten (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO), soweit die Verarbeitung auf einem Vertrag oder einer Einwilligung beruht,
• Widerspruch gegen Verarbeitungen, die auf berechtigten Interessen beruhen (Art. 21 DSGVO).

Beruht eine Verarbeitung auf einer Einwilligung, kannst du sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO); die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt. SEO Cockpit stützt nur die Statistik auf den öffentlichen Seiten (Google Analytics) auf eine Einwilligung; du widerrufst sie über „Cookie-Einstellungen“ am Ende jeder öffentlichen Seite.

Um deine Rechte auszuüben, wende dich an info[at]simplewebdesign.at.

16.Beschwerderecht

Du hast das Recht, dich bei einer Aufsichtsbehörde zu beschweren. In Österreich ist das die Datenschutzbehörde, Barichgasse 40–42, 1030 Wien, www.dsb.gv.at (öffnet in neuem Tab).