Datenschutzerklärung

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist:

Luka Nico Holtzmann

Holtzmann Automation

Hauptstraße 186

77966 Kappel-Grafenhausen

Deutschland

E-Mail: luka@holtzmann-automation.de

Für die Registrierung und Verwaltung von Studio-Accounts (z. B. Inhaber- und Artist-Konten, Abrechnung) ist Holtzmann Automation eigener Verantwortlicher.

Für die Daten, die ein Studio über seine eigenen Interessent:innen und Kund:innen in der Plattform verarbeitet (Anfragen, Kundenprofile, Termine, Fotos, Formulare), ist das jeweilige Studio Verantwortlicher; Inkboard handelt insoweit als Auftragsverarbeiter auf Grundlage eines Auftragsverarbeitungsvertrags (siehe Abschnitt „Auftragsverarbeitung für Studios").

Die Plattform wird gehostet bei Vercel Inc. (440 N Barranca Avenue #4133, Covina, CA 91723, USA). Bei jedem Aufruf werden technisch notwendige Server-Logdaten (gekürzte IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, User-Agent) zur Sicherstellung des störungsfreien und sicheren Betriebs verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Mit Vercel besteht ein Auftragsverarbeitungsvertrag; Vercel ist nach dem EU-US Data Privacy Framework zertifiziert.

Account-, Anwendungs- und Mediendaten werden in einer Supabase-Instanz (Supabase Inc.) in der Region Frankfurt am Main (eu-central-1) gespeichert. Supabase stellt Authentifizierung, Datenbank, Datei-Speicher und Echtzeit-Synchronisation bereit. Die Daten verbleiben in der EU. Rechtsgrundlage: Art. 6 Abs. 1 lit. b und f DSGVO; für die im Auftrag eines Studios verarbeiteten Daten Art. 28 DSGVO. Mit Supabase besteht ein Auftragsverarbeitungsvertrag.

Abonnements und Zahlungen werden über Stripe (Stripe Payments Europe, Ltd., Irland) abgewickelt. Dabei verarbeitet Stripe die für die Zahlung erforderlichen Daten (z. B. Name, E-Mail, Zahlungsmittel). Zahlungsdaten werden nicht auf den Inkboard-Servern gespeichert. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Weitere Informationen: stripe.com/de/privacy.

Wenn ein Studio die Google-Kalender-Integration aktiviert, wird über Google OAuth der Zugriff auf den Google-Kalender autorisiert, um Termine zu synchronisieren. Die Zugriffs-Tokens werden verschlüsselt gespeichert und ausschließlich serverseitig verwendet. Die Verbindung kann jederzeit getrennt werden. Rechtsgrundlage: Art. 6 Abs. 1 lit. a/b DSGVO. Anbieter: Google Ireland Limited.

Angefordert wird ausschließlich der Berechtigungsumfang .../auth/calendar.events (Termine des verbundenen Kalenders lesen und schreiben) sowie .../auth/userinfo.email (Zuordnung des verbundenen Google-Kontos). Die Daten werden verwendet, um Termine in Inkboard anzuzeigen, Termine anzulegen und zu aktualisieren sowie Selbstbuchungen von Kund:innen als Anfrage zu übernehmen.

Limited Use – Verwendung von Google-Nutzerdaten

Die Verwendung und Weitergabe von Informationen, die Inkboard über Google-APIs erhält, erfolgt in Übereinstimmung mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

Insbesondere gilt: Daten, die über Google-Workspace-APIs empfangen werden, werden weder in roher noch in aggregierter oder abgeleiteter Form dazu verwendet, KI- oder Machine-Learning-Modelle zu entwickeln, zu trainieren oder zu verbessern – weder eigene noch grundlegende oder verallgemeinerte Modelle Dritter. Google-Nutzerdaten werden zu diesem Zweck auch nicht an Dritte übertragen oder verkauft.

Inkboard setzt KI-gestützte Funktionen ein (siehe Abschnitt 7). Diese verarbeiten ausschließlich Inhalte, die Studios bzw. deren Kund:innen selbst in Inkboard eingeben (z. B. Anfragen über das Webformular oder Nachrichtenkanäle). Daten aus Google-APIs werden nicht an KI-Dienste übermittelt und fließen nicht in KI-Verarbeitungen ein.

Zur automatischen Einschätzung und Priorisierung von Anfragen sowie für Antwortentwürfe werden Inhalte an OpenAI übermittelt (Vertragspartner: OpenAI Ireland Limited, Irland; die Verarbeitung erfolgt in den USA). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 28 DSGVO bei Verarbeitung im Auftrag eines Studios. Mit OpenAI besteht ein Auftragsverarbeitungsvertrag; die Übermittlung in die USA erfolgt auf Grundlage der Standardvertragsklauseln.

Datenminimierung: Übermittelt wird ausschließlich der Inhalt der jeweiligen Anfrage bzw. Nachricht, zusammen mit allgemeinen Angaben zum Studio (z. B. angebotene Leistungen, Stile und Preisrahmen). Name, E-Mail-Adresse und Telefonnummer werden nicht an OpenAI übermittelt. Die Anrede in der späteren E-Mail wird erst nach der KI-Verarbeitung von Inkboard selbst ergänzt. Enthält eine Nachricht selbst personenbezogene Angaben, werden diese als Teil des Nachrichtentextes verarbeitet.

Die übermittelten Inhalte werden nicht zum Training von KI-Modellen verwendet (API-Nutzung; kein Training auf API-Daten). Die Ergebnisse sind Vorschläge und Entwürfe, die vor einer Verwendung vom Studio geprüft werden; eine automatisierte Entscheidung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO ist damit nicht verbunden.

Daten, die über Google-APIs empfangen werden (siehe Abschnitt 6), werden zu keinem Zeitpunkt an OpenAI oder andere KI-Dienste übermittelt.

Für Automationen (z. B. Erfassung von Anfragen, Follow-ups, Formular-Erinnerungen) wird eine selbst betriebene Instanz der Workflow-Plattform n8n eingesetzt. Diese wird über den Managed-Hosting-Anbieter Elestio in einem Rechenzentrum in Nürnberg, Deutschland (EU) betrieben; die Daten verbleiben in der EU. Dabei werden die für die jeweilige Automation erforderlichen Daten verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO bzw. Art. 28 DSGVO. Mit Elestio besteht ein Auftragsverarbeitungsvertrag.

Transaktions- und Benachrichtigungs-E-Mails (z. B. Einladungen, Formular-Links, Flash-Slot-Angebote) werden über Resend (Resend, Inc., USA) versandt. Dabei werden E-Mail-Adresse und Inhalt der Nachricht verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO bzw. Art. 28 DSGVO. Mit Resend besteht ein Auftragsverarbeitungsvertrag.

Je nach gebuchtem Plan können zusätzliche Module aktiviert werden. Eine Verarbeitung erfolgt ausschließlich dann, wenn das jeweilige Modul vom Studio ausdrücklich aktiviert wurde.

WhatsApp- und Instagram-Integration: Bei Aktivierung werden die über den jeweiligen Kanal ausgetauschten Nachrichteninhalte sowie die zugehörigen Kennungen über Meta Platforms Ireland Ltd. verarbeitet. Rechtsgrundlage: Art. 6 Abs. 1 lit. b/f DSGVO bzw. Art. 28 DSGVO.

Im Einzelnen werden dabei verarbeitet: bei WhatsApp die Telefonnummer der Kundin oder des Kunden sowie der bei WhatsApp hinterlegte Profilname; bei Instagram die von Instagram vergebene Kennung des Kontos (Instagram-Scoped ID) sowie der öffentliche Benutzername und – sofern vorhanden – der Anzeigename des Instagram-Kontos. In beiden Fällen werden zusätzlich die ausgetauschten Nachrichtentexte und die übermittelten Anhänge (Bilder, Videos, Sprachnachrichten und Dateien) verarbeitet – eingehend wie ausgehend.

Übermittelte Anhänge werden von den Servern von Meta abgerufen und in unserem Datei-Speicher (Supabase, siehe Abschnitt 4) in einem nicht öffentlichen Bereich gespeichert, damit sie dem Studio dauerhaft im Postfach zur Verfügung stehen. Der Zugriff ist auf berechtigte Mitglieder des jeweiligen Studios beschränkt.

Besonderheit Instagram: Für Instagram-Nachrichten werden weder eine Telefonnummer noch eine E-Mail-Adresse erhoben. Eine über Instagram eingehende Anfrage wird ausschließlich anhand der Instagram-Kennung geführt und nicht automatisch mit bereits vorhandenen Kundendatensätzen zusammengeführt. Für den Zugriff auf das Instagram-Konto des Studios werden ausschließlich die Berechtigungen instagram_business_basic und instagram_business_manage_messages verwendet; ein Zugriff auf Beiträge, Follower oder Werbekonten erfolgt nicht.

Die Verbindung eines Kanals erfolgt durch das Studio selbst über das offizielle Anmeldeverfahren von Meta. Die dabei erteilten Berechtigungen können vom Studio jederzeit in den Einstellungen widerrufen bzw. der Kanal getrennt werden; nach der Trennung werden die Zugangsdaten des Kanals gelöscht.

Digitaler Anrufbeantworter: Dieses Modul ist derzeit nicht aktiv. Vor einer Freischaltung werden der eingesetzte Anbieter und die verarbeiteten Datenarten hier ergänzt.

Soweit Inkboard personenbezogene Daten im Auftrag eines Studios verarbeitet (Daten der Interessent:innen und Kund:innen des Studios), geschieht dies ausschließlich auf Grundlage eines Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO. Der Vertrag regelt Gegenstand, Dauer, Art und Zweck der Verarbeitung, die eingesetzten Unterauftragsverarbeiter sowie die technisch-organisatorischen Maßnahmen. Der Auftragsverarbeitungsvertrag ist öffentlich einsehbar; jedes Studio schließt ihn im Rahmen der Einrichtung seines Accounts verbindlich ab.

Personenbezogene Daten werden nur so lange gespeichert, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen es verlangen. Account-Daten werden nach Kündigung gelöscht; Daten, die im Auftrag eines Studios verarbeitet werden, werden gemäß den Weisungen des Studios bzw. nach Beendigung des Auftragsverhältnisses gelöscht.

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20), Widerspruch (Art. 21) sowie auf Widerruf einer erteilten Einwilligung (Art. 7 Abs. 3 DSGVO). Betrifft Ihre Anfrage Daten, die ein Studio als Verantwortlicher verarbeitet, leiten wir Ihre Anfrage an das jeweilige Studio weiter bzw. verweisen Sie an dieses.

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist die Behörde Ihres gewöhnlichen Aufenthaltsorts.

Die Plattform nutzt durchgängig eine SSL/TLS-Verschlüsselung, erkennbar am https://-Präfix in der Adresszeile.

Diese Datenschutzerklärung wird angepasst, wenn sich die rechtliche Lage oder die eingesetzten Dienste ändern. Es gilt jeweils die aktuellste, hier abrufbare Version.