Datenschutzerklärung

1. Verantwortlicher

Velo — Website-Baukasten
Mirwais Haidari
[Straße Hausnummer]
[PLZ Ort], Deutschland
E-Mail: hello@velobuilder.app

2. Überblick der Verarbeitungen

Velo ist ein Software-as-a-Service (SaaS) Website-Baukasten. Wir verarbeiten personenbezogene Daten, um unseren Dienst bereitzustellen, Benutzerkonten zu verwalten und Zahlungen abzuwickeln. Die nachfolgende Übersicht fasst die Arten der verarbeiteten Daten und die Zwecke ihrer Verarbeitung zusammen.

3. Rechtsgrundlagen

Die Verarbeitung personenbezogener Daten erfolgt auf Basis folgender Rechtsgrundlagen der DSGVO:

• Art. 6 Abs. 1 lit. b DSGVO — Erfüllung des Vertrags (Bereitstellung des Dienstes, Benutzerkonto, Zahlungsabwicklung)
• Art. 6 Abs. 1 lit. f DSGVO — Berechtigte Interessen (Sicherheit, Missbrauchsprävention, Analyse zur Verbesserung des Dienstes)
• Art. 6 Abs. 1 lit. a DSGVO — Einwilligung (soweit ausdrücklich eingeholt, z.B. für Newsletter)
• Art. 6 Abs. 1 lit. c DSGVO — Rechtliche Verpflichtung (steuerliche Aufbewahrungspflichten für Rechnungsdaten)

4. Erhobene Daten

4.1 Registrierung und Benutzerkonto

Bei der Registrierung erheben wir: Name, E-Mail-Adresse und ein Passwort. Das Passwort wird ausschließlich als kryptographischer Hash (Argon2) gespeichert — wir haben zu keinem Zeitpunkt Zugriff auf das Klartext-Passwort.

4.2 Nutzungsdaten

Beim Besuch unserer Website werden automatisch erhoben: IP-Adresse (anonymisiert in Logs), Zeitpunkt des Zugriffs, aufgerufene Seiten, Referrer-URL, Browser-Typ und Betriebssystem. Diese Daten werden ausschließlich zur Sicherstellung des Betriebs und zur Fehleranalyse verwendet.

4.3 Inhalte der erstellten Websites

Alle Inhalte (Texte, Bilder, Konfigurationen), die Sie über den Editor erstellen, werden in unserer Datenbank gespeichert. Diese Daten werden ausschließlich zur Bereitstellung Ihrer Website verwendet und nicht an Dritte weitergegeben.

Veröffentlichte Websites und ihre Änderungen werden automatisiert auf Anzeichen von Missbrauch geprüft (insbesondere Phishing- und Betrugsversuche, z.B. Formularfelder für Zugangsdaten, bekannte Marken- und Risikobegriffe, verdächtige externe Links). Bei einem auffälligen Ergebnis wird die Website vorübergehend nicht veröffentlicht, bis sie manuell geprüft wurde; der Nutzer wird informiert. Rechtsgrundlage ist unser berechtigtes Interesse am Schutz der Plattform und Dritter vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO).

4.4 Zahlungsdaten

Die Zahlungsabwicklung erfolgt über Stripe, Inc. (510 Townsend Street, San Francisco, CA 94103, USA). Kreditkartennummern und Bankdaten werden ausschließlich von Stripe verarbeitet und niemals auf unseren Servern gespeichert. Wir erhalten von Stripe lediglich eine Transaktions-ID, den Zahlungsstatus und ggf. eine gekürzte Kartenkennung. Stripe ist als Auftragsverarbeiter nach Art. 28 DSGVO vertraglich gebunden.

Datenschutzerklärung von Stripe: stripe.com/de/privacy

5. E-Mail-Versand

Für den Versand transaktionaler E-Mails (Passwort-Zurücksetzung, Kontaktformular-Benachrichtigungen) nutzen wir Resend, Inc. (548 Market St, Suite 93710, San Francisco, CA 94104, USA). Resend verarbeitet dabei die E-Mail-Adresse des Empfängers sowie den E-Mail-Inhalt als Auftragsverarbeiter. Es werden keine Marketing-E-Mails ohne ausdrückliche Einwilligung versendet.

Datenschutzerklärung von Resend: resend.com/legal/privacy-policy

6. Hosting und Infrastruktur

Unsere Server werden bei Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Alle Daten werden ausschließlich in Rechenzentren in Deutschland (Nürnberg / Falkenstein) gespeichert und verlassen den europäischen Wirtschaftsraum nicht. Hetzner ist nach ISO 27001 zertifiziert.

Datenschutzerklärung von Hetzner: hetzner.com/de/legal/privacy-policy

7. Cookies

Velo verwendet ausschließlich ein technisch notwendiges Session-Cookie (builder_session). Dieses Cookie dient der Authentifizierung und enthält einen zufällig generierten Token. Es wird nach 7 Tagen gelöscht. Wir setzen keine Tracking-Cookies, Analyse-Cookies oder Cookies von Drittanbietern ein. Ein Cookie-Banner ist daher nicht erforderlich.

8. Reichweitenmessung (Analytics)

Für unsere Marketing-Seiten (Startseite, Branchenseiten, Blog, Preise, AGB und ähnliche informative Seiten — nicht für das Dashboard oder den Editor) betreiben wir eine eigene, selbst entwickelte Besucher-Statistik auf unserem eigenen Server in Deutschland. Es kommt kein Drittanbieter-Dienst zum Einsatz (kein Google Analytics, Plausible, Umami o. ä.).

Dabei werden keine Cookies gesetzt und keine IP-Adressen gespeichert. Für die Erkennung eindeutiger Besucher (ohne sie zu identifizieren) bilden wir einen Einweg-Hash aus IP-Adresse, Browser-Kennung (User-Agent) und einem Zufallswert, der sich automatisch alle 24 Stunden ändert — dieselbe Technik, die auch Analyse-Dienste wie Plausible einsetzen. Aus dem gespeicherten Hash lässt sich weder die IP-Adresse noch eine Person zurückermitteln. Automatisierte Zugriffe (Suchmaschinen-Crawler u. Ä.) werden anhand der Browser-Kennung herausgefiltert, eigene Besuche als eingeloggter Administrator werden ausgeschlossen.

Erfasst werden: aufgerufene Seite, grobe Geräteklasse (Mobil/Tablet/Desktop), Herkunfts-Domain (falls über einen Link von einer anderen Website) sowie ggf. UTM-Parameter einer Kampagne. Zusätzlich erfassen wir einzelne Ereignisse ohne Bezug zu einer identifizierbaren Person: Klick auf „Kostenlos starten", abgeschlossene Registrierung, erste Veröffentlichung einer Website, Upgrade auf einen bezahlten Tarif.

Die Verarbeitung erfolgt ausschließlich auf Basis unseres berechtigten Interesses an einer datensparsamen Reichweitenmessung (Art. 6 Abs. 1 lit. f DSGVO); eine Einwilligung ist dafür nicht erforderlich, ein Cookie-Banner daher ebenfalls nicht. Die Daten werden ausschließlich auf unserem eigenen Server bei Hetzner in Deutschland verarbeitet und gespeichert (siehe Abschnitt 6) und nicht an Dritte weitergegeben. Rohdaten einzelner Seitenaufrufe löschen wir automatisch nach 12 Monaten; lediglich zusammengefasste Tageszahlen (Gesamtaufrufe, Anzahl eindeutiger Besucher pro Tag) bewahren wir länger auf, um langfristige Trends nachvollziehen zu können.

9. Datenübermittlung in Drittländer

Im Rahmen der Nutzung von Stripe und Resend können Daten in die USA übermittelt werden. Beide Anbieter unterliegen dem EU-U.S. Data Privacy Framework und bieten zusätzlich Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO an.

10. Speicherdauer

• Benutzerkonto: Solange das Konto besteht. Nach Löschung des Kontos werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht.
• Website-Inhalte: Solange die zugehörige Website existiert.
• Server-Logs: Automatische Löschung nach 14 Tagen.
• Rechnungsdaten: 10 Jahre (gesetzliche Aufbewahrungspflicht gemäß AO/HGB).
• Passwort-Reset-Tokens: Automatische Löschung nach 1 Stunde oder nach Verwendung.

11. Ihre Rechte nach DSGVO

Sie haben jederzeit folgende Rechte:

• Auskunft (Art. 15 DSGVO) — Welche Daten wir über Sie gespeichert haben
• Berichtigung (Art. 16 DSGVO) — Korrektur unrichtiger Daten
• Löschung (Art. 17 DSGVO) — Löschung Ihrer Daten ("Recht auf Vergessenwerden")
• Einschränkung (Art. 18 DSGVO) — Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO) — Export Ihrer Daten in einem maschinenlesbaren Format
• Widerspruch (Art. 21 DSGVO) — Widerspruch gegen die Verarbeitung

Zur Ausübung Ihrer Rechte kontaktieren Sie uns unter hello@velobuilder.app.

12. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren, wenn Sie der Ansicht sind, dass die Verarbeitung Ihrer Daten gegen die DSGVO verstößt. Die für uns zuständige Aufsichtsbehörde ist:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen
Kavalleriestraße 2–4, 40213 Düsseldorf
www.ldi.nrw.de

13. Sicherheit

Wir treffen technische und organisatorische Maßnahmen zum Schutz Ihrer Daten: verschlüsselte Übertragung (TLS/HTTPS), gehashte Passwörter (Argon2), parameterisierte Datenbankabfragen zum Schutz vor SQL-Injection, Rate-Limiting gegen Brute-Force-Angriffe und regelmäßige Sicherheitsprüfungen.

14. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung bei Bedarf anzupassen, um sie an geänderte Rechtslage oder Änderungen des Dienstes anzupassen. Die aktuelle Version ist stets auf dieser Seite abrufbar.