Datenschutzerklärung

1. Wer wir sind

Sayweek wird betrieben von MAD Consulting L.L.C-FZ (Grandstand, 6th floor, Meydan Road, Nad Al Sheba, Dubai, U.A.E.; „wir“). Kontakt: hello@sayweek.com. Firmendaten: Impressum.

Sayweek richtet sich ausschließlich an Unternehmen (B2B). Für Kontodaten, Abrechnung, das Protokoll des Vertragsschlusses und die Website (sayweek.com) sind wir Verantwortlicher. Für Inhalte, die unsere Kunden in Sayweek einbringen (Posts, Ideen, Daten aus verbundenen Kalendern, Postfächern und CRMs, Feedback ihrer Kunden), sind wir im Auftrag des Kunden Auftragsverarbeiter nach dem Auftragsverarbeitungsvertrag (AVV); Verantwortlicher für diese Daten ist der Kunde.

2. Was wir verarbeiten, wozu und auf welcher Rechtsgrundlage

• Konto: Name, E-Mail-Adresse, Anmeldedaten (Passwort-Hash, öffentlicher Passkey-Schlüssel, das verschlüsselte Geheimnis der Zwei-Faktor-Anmeldung), Sprache, Arbeitsbereich, Teammitgliedschaft – damit du dich anmelden kannst und wir den Dienst erbringen. Rechtsgrundlage: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO).
• Inhalte: Marken, Kanäle, Posts, Ideen, diktierte und in Text umgewandelte Notizen, Bilder und Videos, deine Story-Bank – um deine Posts zu schreiben, zu planen und zu veröffentlichen. Hier sind wir Auftragsverarbeiter (siehe Abschnitt 1).
• Verbundene Konten (nur wenn du sie verbindest; auf Weisung des Kunden, als Auftragsverarbeiter):
  • Google Kalender (nur lesend): Titel, Datum und Ort von Terminen – um an Reise- oder Urlaubstagen nicht zu posten und Themen vorzuschlagen.
  • Gmail (nur lesend, optional): Betreff und Vorschau von Nachrichten für wöchentliche Themenideen. Nachrichtentexte werden nicht gespeichert, nur eine kurze, anonymisierte Idee daraus.
  • HubSpot CRM (nur lesend, optional): aktuelle Deals und abgeschlossene Meetings für wöchentliche Themenideen. Bevor etwas an die KI geht, werden Firmen- und Personennamen, E-Mail-Adressen, Beträge und alles Preis- oder Vertragsbezogene entfernt; übrig bleiben nur Branche, Größenklasse, Deal-Phase und einige Themenwörter. CRM-Datensätze werden nicht gespeichert – nur kurzlebige Fingerabdrücke (Hashes der IDs, 30 Tage), damit dasselbe Ereignis nicht zweimal verwendet wird. In HubSpot wird nichts zurückgeschrieben.
  • Pipedrive CRM (nur lesend, optional): aktuelle Deals (gewonnen, neu, Phasenwechsel) und die Betreffzeilen erledigter Meetings und Anrufe für wöchentliche Themenideen. Beträge, Produkte und Notizen werden nie abgefragt; Organisations- und Personennamen dienen nur dazu, sie auszublenden, und gehen nie an die KI. Übrig bleiben nur Deal-Phase, Pipeline und einige Themenwörter. CRM-Datensätze werden nicht gespeichert – nur kurzlebige Fingerabdrücke (Hashes der IDs, 30 Tage). In Pipedrive wird nichts zurückgeschrieben.
  • Google Analytics 4 (nur lesend, optional, analytics.readonly): Anhand der UTM-Parameter der Links in deinen Posts zeigen wir, wie viele Besuche und Conversions jeder Post auf deiner Website gebracht hat. Abgerufen und gespeichert werden nur pro Kampagne / Post aggregierte Zahlen (Sitzungen, engagierte Sitzungen, Schlüsselereignisse, Umsatz) – keine Daten auf Besucherebene und keine personenbezogenen Daten. In Analytics wird nichts geändert; beim Trennen werden auch die gespeicherten Zahlen gelöscht.
  • YouTube (optional, youtube.upload, youtube.readonly): Hochladen deiner freigegebenen Videos auf deinen Kanal in deinem Namen und Statistiken deiner eigenen Videos. Videodateien liegen bis zum Upload im Vercel-Blob-Speicher.
  • TikTok (optional): Veröffentlichen deiner freigegebenen Videos und Fotos auf deinem Konto (oder als Entwurf in der TikTok-App), Anzeige von Kontoname und -bild sowie Aufrufe deiner eigenen Videos.
  • Canva (optional): Liste deiner Designs, Erstellen eines neuen Designs und Übernahme des gewählten Designs als Bild in einen Post; das Post-Bild kann zum Bearbeiten in dein Canva-Konto hochgeladen werden.
  • Notion (optional): Zugriff nur auf die Seiten und Datenbanken, die du teilst – dort schreiben wir den Content-Kalender und lesen Ideen aus der gewählten Datenbank.
  • Google Drive: von dir ausgewählte Fotos und der Exportordner.
  • iCloud-Kalender (nur lesend), Apple Erinnerungen (die Liste „Sayweek“), Outlook-Kalender (per ICS-Link, nur lesend).
  • LinkedIn / Instagram / Facebook (über Postiz oder eine direkte Anbindung): Veröffentlichen in deinem Namen und Statistiken deiner eigenen Posts.
  • Instagram-Mitbewerber (optional): öffentliche Zahlen anderer Instagram-Business-/Creator-Konten, die du angibst (Meta Business Discovery API), ausschließlich zusammengefasst (Follower, Posting-Häufigkeit, durchschnittliche Interaktion, Formatanteile, beste Tage). Ihre Posts und Bildunterschriften werden nicht gespeichert; beim Aktualisieren werden daraus nur 3–5 allgemeine Themenwörter abgeleitet. LinkedIn-Konten werden nicht analysiert.
  • Bluesky, Threads, Google Unternehmensprofil, Pinterest (optional, direkte Anbindung): Veröffentlichen deiner freigegebenen Posts in deinem Konto bzw. an deinem Unternehmensstandort in deinem Namen und Statistiken deiner eigenen Posts. Bei Bluesky speichern wir ein für Sayweek erstelltes App-Passwort (verschlüsselt), nie dein Hauptpasswort.
  • Microsoft 365 (optional, Microsoft Graph, nur lesend; nur die Teile, die du einschaltest): Termine aus dem Outlook-Kalender (wie beim Google Kalender), Betreff und Auszug von Outlook-E-Mails für wöchentliche Themenideen (der Nachrichtentext wird nicht gespeichert) sowie die OneDrive- / SharePoint-Dateien, die du für einen Post auswählst. In Microsoft 365 wird nichts zurückgeschrieben.
  • Meeting-Transkripte (optional: verbundene Dienste Zoom, Google Meet, Microsoft Teams, Fireflies.ai, Fathom, tl;dv oder von Hand: eingefügter Text, eine hochgeladene .txt-, .vtt-, .srt- oder .docx-Datei, eine an deine Ideen-Adresse weitergeleitete Zusammenfassungs-Mail, ein an den Bot gesendetes Transkript): Transkripte werden nur im Arbeitsspeicher gelesen, um Themenideen vorzuschlagen; gespeichert werden die daraus geschriebenen Ideen und – damit dasselbe nicht zweimal verwendet wird – ein Hash ihrer Wörter. Als privat oder vertraulich markierte Meetings werden übersprungen; bevor etwas an die KI geht, entfernen wir Namen, Firmennamen, E-Mail-Adressen, Telefonnummern, Links sowie Sätze über Preise, Verträge, Gesundheit oder Persönliches. Das Transkript selbst wird nie gespeichert – nur die kurze, anonymisierte Idee daraus. Aufzeichnung und Information der Teilnehmenden erfolgen im Meeting-Tool, in deiner Verantwortung.
  • Telegram- und WhatsApp-Bot (optional): Wenn du deinen Chat verknüpfst, werden Nachrichten, Links und Sprachnachrichten an den Sayweek-Bot zu Ideen in deinem Arbeitsbereich (Sprachnachrichten werden transkribiert; Audio und Fotos werden nicht aufbewahrt). Zur Wiedererkennung speichern wir Chat-ID und Anzeigenamen. Die Nachrichten laufen über Telegram bzw. Meta (WhatsApp Business Platform) nach deren Bedingungen.
  • Stockfotos (optional, Unsplash / Pexels): Bei einer Suche gehen die Suchbegriffe (aus deinem Post vorgeschlagen, änderbar) an Unsplash oder Pexels; das gewählte Foto wird geladen und mit Nennung der Fotografin / des Fotografen an den Post gehängt. Es werden keine personenbezogenen Daten gesendet.
  • Zapier, Make, die API, die Browser-Erweiterung und KI-Assistenten (nur wenn du sie verbindest): Mit einem API-Schlüssel oder einer freigegebenen Verbindung (z. B. Claude oder ChatGPT über MCP) lesen und schreiben sie die Posts und Ideen deines Arbeitsbereichs im Rahmen der erteilten Berechtigungen. Was sie erhalten, verarbeiten sie nach deinem eigenen Vertrag mit dem Dienst; Schlüssel und Verbindungen kannst du jederzeit widerrufen.
  • Slack / Microsoft Teams (optional): Benachrichtigungen in den von dir angegebenen Kanal; die Webhook-Adresse speichern wir verschlüsselt.
• Abrechnung und Zahlung: Rechnungsname, Anschrift, Steuernummer, E-Mail, Tarif, Beträge, ausgestellte Rechnungen. Zahlungen wickelt Stripe ab (Karte und die Express-Zahlung Link von Stripe). Kartendaten sehen und speichern wir nie. Rechtsgrundlage: Vertragserfüllung (lit. b); für die Aufbewahrung der Rechnungen eine rechtliche Verpflichtung (lit. c).
• Protokoll des Vertragsschlusses: siehe Abschnitt 3.
• E-Mails: Service-Benachrichtigungen (z. B. ein Post wartet auf Freigabe, ein Bericht, eine Rechnung) – Vertragserfüllung (lit. b); kurze Tipps in den ersten Wochen – berechtigtes Interesse (lit. f); jede solche E-Mail enthält einen Abmeldelink mit einem Klick.
• Produkt-News per E-Mail (an Nutzer unserer Bestandskunden): ein paar kurze E-Mails im Jahr zu den wichtigsten Neuigkeiten von Sayweek. Dafür verarbeiten wir deine E-Mail-Adresse, deine Sprache und je Empfänger die Zustelldaten: wann die E-Mail gesendet, zugestellt, geöffnet (nur wenn beim E-Mail-Dienst die Öffnungsmessung eingeschaltet ist), ein Link darin angeklickt (Links laufen über unsere eigene Weiterleitungsadresse), zurückgewiesen oder abbestellt wurde. Versendet werden die E-Mails über Resend, das uns per Webhook über Zustellungen, Öffnungen, Klicks, Rückläufer und Spam-Beschwerden informiert; eine Spam-Beschwerde meldet dich automatisch ab. Rechtsgrundlage: berechtigtes Interesse – Kommunikation mit Bestandskunden (lit. f). Abmelden: mit einem Klick in jeder E-Mail (unten und über die Schaltfläche „Abbestellen“ deines Mailprogramms) oder in der App mit dem Schalter „Produkt-News per E-Mail“ im Bereich „Neuigkeiten“; E-Mails zur Testphase und Service-E-Mails sind davon nicht betroffen. [Speicherdauer der Zustelldaten (Öffnungen, Klicks); ob die Öffnungsmessung eine Einwilligung erfordert (Art. 5 Abs. 3 ePrivacy-Richtlinie, § 25 TDDDG)]
• Push-Benachrichtigungen (wenn du sie einschaltest): das Geräte-Token oder die Abo-Adresse des Browsers – zur Zustellung der Benachrichtigungen (lit. b).
• Technische und Sicherheitsprotokolle: Fehler (30 Tage), Anzahl der API-Aufrufe, das Aktivitätsprotokoll des Arbeitsbereichs (wer was freigegeben, verbunden oder gelöscht hat) – für Betrieb, Fehlerbehebung und Missbrauchsverhinderung. Rechtsgrundlage: berechtigtes Interesse (lit. f).
• Website-Chat und Kontaktaufnahme (sayweek.com): Deine Chatnachrichten verarbeitet das Modell Claude von Anthropic, um dir zu antworten (E-Mail-Adressen und Telefonnummern werden vorher geschwärzt; Anthropic trainiert nicht damit). Wenn du eine Demo, kostenlose Beispiel-Posts oder die Preise anforderst, speichern wir auf Grundlage deiner Einwilligung (lit. a) deine Angaben (Name, E-Mail, Unternehmen, Rolle, Teamgröße, Telefon, Wunschtermin, Nachricht, die angegebene Website- oder Profil-URL), höchstens die letzten 20 Nachrichten des Gesprächs, die Seite, von der du geschrieben hast, die erste aufgerufene Seite, die verweisende Seite und die UTM-Parameter des Links – um dich kontaktieren zu können. Für Beispiel-Posts laden wir die öffentliche Startseite der angegebenen Website einmal ab; LinkedIn-Profile werden nie ausgelesen, nur was du selbst über dich schreibst. Speicherdauer: 24 Monate oder bis du die Löschung verlangst (Widerruf der Einwilligung jederzeit: hello@sayweek.com). Das Öffnen des Chats und Besuche zählen wir anonym (zufällige, an den Browser-Tab gebundene Kennung, ohne IP-Adresse, 90 Tage).
• Vergleich mit ähnlichen Unternehmen (standardmäßig an, unter Einstellungen → Daten und Datenschutz abschaltbar): Aus den Ergebnissen deiner Posts entstehen anonyme, zusammengefasste Zahlen (z. B. welcher Tag oder Einstieg besser läuft) nach Branche, Land, Sprache und Netzwerk. Texte, Namen, Kunden oder IDs fließen nicht ein, und die Ergebnisse einer Gruppe erscheinen nur, wenn mindestens 5 verschiedene Workspaces dahinterstehen – berechtigtes Interesse (f), zur Verbesserung des Produkts und zur Information der Nutzer.
• Cookies und lokaler Speicher: Wir verwenden nur eigene (First-Party-)Cookies – keine Tracking- oder Werbe-Cookies oder Pixel Dritter. Das einzige einwilligungspflichtige Cookie ist sw_attr (wie du zu uns gefunden hast, 90 Tage) – Rechtsgrundlage: Einwilligung (lit. a, auch nach § 25 TDDDG). Kommst du über den Empfehlungslink eines Kunden (/ref/…), merkt sich das Cookie sw_ref den Empfehlungscode 60 Tage lang, damit ihr bei deiner Registrierung beide die Prämie bekommt; die empfehlende Person sieht nur Zahlen (Registrierungen, zahlende Empfehlungen), nicht, wer du bist – Rechtsgrundlage: berechtigtes Interesse (lit. f). Die vollständige Liste, die Speicherdauer und wie du die Einwilligung widerrufst: Cookie-Richtlinie.

Wir verkaufen deine Daten nicht und nutzen sie nicht für Werbung. Eine automatisierte Entscheidungsfindung oder ein Profiling mit rechtlicher Wirkung dir gegenüber findet nicht statt.

3. Protokoll der Annahme unserer Bedingungen

Wenn du die AGB und diese Erklärung (als Inhaber des Arbeitsbereichs für das Unternehmen auch den AVV) oder eine wesentlich geänderte Fassung annimmst, speichern wir in der Tabelle legal_acceptances:

• den Nutzer, seine E-Mail-Adresse zu diesem Zeitpunkt und den Arbeitsbereich;
• das Dokument, seine Version und Sprache, beim AVV den Namen des Unternehmens, sowie die Bestätigung „nur für geschäftliche Zwecke (B2B)“;
• den Zeitpunkt und ob die Annahme bei der Registrierung oder als erneute Annahme erfolgte, im Web oder in der Handy-App;
• die gekürzte IP-Adresse (bei IPv4 das /24-, bei IPv6 das /48-Netz, z. B. 203.0.113.0), einen mit Schlüssel gebildeten Hash der vollständigen IP-Adresse (HMAC – die Adresse selbst speichern wir nicht) und die Browserkennung (User-Agent).

Zweck: nachzuweisen, wer wann welche Fassung angenommen hat. Rechtsgrundlage: Vertragserfüllung (lit. b) und unser berechtigtes Interesse am Nachweis des Vertragsschlusses sowie an der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen (lit. f). Speicherdauer: für die Vertragslaufzeit und danach bis zum Ende der Verjährungsfrist [genaue Speicherdauer, z. B. 5 Jahre nach Vertragsende – anwaltlich zu bestätigen].

4. Künstliche Intelligenz

Posts werden auf deine Anforderung von Claude (Anthropic) aus deinen Daten entworfen; optional können auch OpenAI und Google Gemini Ideen vorschlagen, Bilder erstellen oder Sprachnotizen transkribieren. Diese Anbieter trainieren ihre Modelle nicht mit Daten, die über ihre APIs übermittelt werden. Aus deinen Daten leiten wir nur Stilregeln für deinen eigenen Arbeitsbereich ab (z. B. „kürzere Sätze“); kein anderer Kunde sieht sie, und wir trainieren damit kein allgemeines Modell. Ohne deine Freigabe wird nichts veröffentlicht. Details: KI- & Inhaltsrichtlinie.

5. Google-Nutzerdaten – Limited Use

Die Nutzung und Weitergabe von Informationen, die Sayweek über Google-APIs erhält, erfolgt gemäß der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Wir verkaufen keine Google-Nutzerdaten, nutzen sie nicht für Werbung und nicht zur Entwicklung, Verbesserung oder zum Training allgemeiner KI-/ML-Modelle. Menschen lesen sie nur mit deiner ausdrücklichen Zustimmung, aus Sicherheitsgründen oder wenn das Gesetz es verlangt.

6. LinkedIn- und Meta-Daten

Inhalte anderer Mitglieder, die von LinkedIn abgerufen werden (z. B. Kommentare), speichern wir höchstens 48 Stunden. Wir exportieren, verkaufen oder verknüpfen keine LinkedIn-Mitgliederdaten und nutzen sie nicht für Recruiting, Werbe-Targeting oder Lead-Generierung. Kommentare unter deinen Facebook- und Instagram-Posts (Name des Verfassers, Text) speichern wir für den Kommentar-Posteingang ebenfalls höchstens 48 Stunden; danach bleiben nur ihre IDs 14 Tage erhalten, damit wir nicht doppelt benachrichtigen.

7. Wer die Daten erhält (Unterauftragsverarbeiter)

Daten erhalten nur die Unterauftragsverarbeiter, die wir für den Dienst brauchen, auf vertraglicher Grundlage: Vercel (Hosting), Neon (Datenbank, EU), Anthropic (KI-Text), Resend (E-Mail), Stripe (Zahlungen) – und, wenn die Funktion eingeschaltet ist: Postiz (Planung), OpenAI und Google Gemini (Transkription, Bilder, Ideen), Meta (WhatsApp Business Platform – für den WhatsApp-Bot), Sentry (Fehlermeldungen) sowie die Push-Dienste von Apple / Google, die Benachrichtigungen zustellen.

Die aktuelle Liste – Zweck, Daten, Ort – findest du hier: Unterauftragsverarbeiter. Die Konten und Werkzeuge, die du verbindest (z. B. Google, Microsoft 365, LinkedIn, Meta, TikTok, Bluesky, Zoom, Fireflies.ai, Fathom, tl;dv, Telegram, Unsplash, Pexels, Zapier, Make, Pinterest, Dropbox, Figma, Airtable, Mailchimp, Discord), sind nicht unsere Unterauftragsverarbeiter: Es gelten deren eigene Bedingungen, und wir sprechen nur auf deine Weisung mit ihnen. Behörden geben wir Daten nur heraus, wenn das Gesetz es verlangt.

8. Internationale Übermittlungen

Die Datenbank liegt in der EU (Frankfurt). Der Betreiber ist in den Vereinigten Arabischen Emiraten (VAE) eingetragen; daher gilt für uns das Bundesdatenschutzgesetz der VAE (PDPL, Federal Decree-Law Nr. 45/2021) und, weil wir den Dienst Kunden in der EU anbieten, auch die DSGVO (Art. 3 Abs. 2). Für die VAE gibt es keinen Angemessenheitsbeschluss der EU.

Übermittlungen außerhalb von EU/EWR (z. B. in die VAE, an unsere Support-Mitarbeiter oder an Unterauftragsverarbeiter in den USA) stützen sich auf die Standardvertragsklauseln (SCC) der Europäischen Kommission oder, wenn der Anbieter zertifiziert ist, auf das EU-US Data Privacy Framework. [Übermittlungsmechanismus konkretisieren: SCC-Module gegenüber dem Auftragsverarbeiter/Verantwortlichen in den VAE, DPF-Zertifizierung je Anbieter, Transfer Impact Assessment (TIA)]

9. Speicherdauer

• Konto und Inhalte: solange dein Konto besteht. Beim Löschen werden alle Daten sofort aus der Datenbank und innerhalb von 30 Tagen aus den Backups entfernt.
• Ausgestellte Steuerrechnungen und Gutschriften (mit den darauf stehenden Rechnungsdaten: Name, Anschrift, Steuernummer, Beträge): 5 Jahre gemäß dem Mehrwertsteuergesetz der VAE, auch nach dem Löschen des Kontos. Stripe bewahrt seine Zahlungsbelege so lange auf, wie es seine eigenen Vorschriften verlangen.
• Protokoll der Annahme: siehe Abschnitt 3.
• Fehlerprotokoll: 30 Tage. Anonyme Besuchszählung: 90 Tage. CRM-Fingerabdrücke: 30 Tage. Kommentare anderer: 48 Stunden. Zustelldaten der Produkt-News: [Speicherdauer].
• Anfragen über die Website: 24 Monate oder bis du die Löschung verlangst.

Details und Schritte: Deine Daten löschen.

10. Deine Rechte

Du kannst Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit verlangen (Einstellungen → Daten & Datenschutz → Export), der Verarbeitung auf Grundlage berechtigter Interessen widersprechen und deine Einwilligung jederzeit widerrufen (in der Cookie-Leiste, über den Abmeldelink oder durch Trennen einer Anbindung) – die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt. Wir antworten innerhalb von 30 Tagen: hello@sayweek.com.

Wurden uns deine Daten von einem unserer Kunden (als dessen Auftragsverarbeiter) anvertraut – etwa als Kunde einer Agentur –, richte deine Anfrage bitte zuerst an diesen Kunden; wir unterstützen ihn bei der Erfüllung.

Du kannst dich bei der Datenschutzaufsichtsbehörde deines Wohn- oder Arbeitsorts beschweren und auch den Rechtsweg beschreiten.

11. Sicherheit

Verschlüsselte Übertragung (HTTPS/TLS), verschlüsselt gespeicherte Zugriffstoken (AES-256-GCM), Anmeldung per Passkey oder mit zweitem Faktor, strikte Datentrennung pro Arbeitsbereich, ein Aktivitätsprotokoll. Details und wie du eine Schwachstelle meldest: Sicherheit.

12. Kontakt, Datenschutzbeauftragter, EU-Vertreter

Bei Fragen zum Datenschutz schreib an hello@sayweek.com.

• Datenschutzbeauftragter: [ob ein Datenschutzbeauftragter zu benennen ist (Art. 37 DSGVO); falls ja, Name und Kontakt]
• Vertreter in der EU (Art. 27 DSGVO): [ob ein EU-Vertreter erforderlich ist und, falls ja, wer (Name, Anschrift in der EU)]

13. Änderungen dieser Erklärung

Version und Gültigkeitsdatum dieser Erklärung stehen oben auf der Seite. Über wesentliche Änderungen informieren wir dich vorab per E-Mail und in der App und bitten dich, die neue Fassung anzunehmen; frühere Fassungen senden wir auf Anfrage.