Datenschutzerklärung

Steven Pechtl
Drosselweg 11
75175 Pforzheim, Baden-Württemberg
Deutschland
E-Mail: kontakt@pronto.ai

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen des § 38 BDSG nicht erfüllt sind. Bei Fragen zum Datenschutz wenden Sie sich bitte an die oben genannte E-Mail-Adresse.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website und unserer Leistungen erforderlich ist oder eine Einwilligung bzw. gesetzliche Erlaubnis vorliegt. Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. a, b, c und f DSGVO.

Beim Aufruf unserer Website werden automatisch technische Daten übermittelt: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Referrer, Browsertyp und Betriebssystem. Diese Verarbeitung erfolgt auf Grundlage unseres berechtigten Interesses an Betrieb, Sicherheit und Fehleranalyse (Art. 6 Abs. 1 lit. f DSGVO). Logdaten werden in der Regel nach spätestens 30 Tagen gelöscht.

Wir setzen technisch notwendige Cookies bzw. Local-Storage-Einträge ein, um die Anmeldung (Session) und Grundfunktionen der Anwendung zu ermöglichen (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b/f DSGVO). Tracking- oder Marketing-Cookies Dritter setzen wir nicht ohne Ihre Einwilligung ein.

Für die Nutzung von Pronto legen Sie ein Konto an. Verarbeitet werden Name, E-Mail-Adresse, Firmendaten, Zugangsdaten (Passwort ausschließlich als Hash) sowie Nutzungs- und Konfigurationsdaten. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO). Optional ist die Anmeldung über Google (OAuth); dabei erhalten wir Name, E-Mail-Adresse und Profilbild.

Nutzt ein Kunde Pronto zur Verwaltung und Qualifizierung eigener Leads, verarbeiten wir die betroffenen Kontakt-, E-Mail- und Gesprächsdaten ausschließlich weisungsgebunden im Auftrag des Kunden (Art. 28 DSGVO). Verantwortlicher gegenüber den betroffenen Personen ist in diesem Fall der jeweilige Kunde. Einen Auftragsverarbeitungsvertrag schließen wir auf Anfrage ab. Die Daten der Kunden werden nach Unternehmen getrennt. Zugriffe auf Kunden- und Mitarbeiterdaten werden von der Anwendung serverseitig anhand der Nutzer- und Unternehmenszuordnung geprüft.

Wenn Sie Ihr Google-Konto in Pronto für Kalenderfunktionen verbinden, fordern wir den Google-Kalender-Berechtigungsumfang „calendar.events“ an. Damit prüft Pronto die Verfügbarkeit im verbundenen primären Kalender, um freie Buchungszeiten anzubieten.

Wenn ein Termin gebucht wird, legt Pronto auf Wunsch ein Ereignis in diesem Kalender an. Dazu gehören Terminbezeichnung, Beschreibung, Beginn und Ende sowie — sofern angegeben — die E-Mail-Adresse des Teilnehmers. Wird ein Termin verschoben oder abgesagt, aktualisiert oder löscht Pronto das zugehörige Ereignis. Zusätzlich können Sie in den Integrationen eine Synchronisierungsrichtung wählen: Google nach Pronto, Pronto nach Google oder beidseitig. Bei aktivierter Synchronisierung erscheinen Google-Termine einmal in der Pronto-Kalenderübersicht und blockieren Buchungszeiten in allen aktiven Pronto-Kalendern. Pronto-Termine aus allen Buchungskalendern werden zum verbundenen Google-Kalender übertragen. Änderungen werden über Google-Push-Benachrichtigungen und direkte Pronto-Ereignisse möglichst zeitnah abgeglichen. Ein Fünf-Minuten-Abgleich dient als Sicherheitsnetz; verknüpfte Absagen werden weitergegeben. Bei Google Meet als Online-Ort wird ein Meet-Link hinzugefügt. Pronto verwendet die Google-Verbindung nicht zum Lesen Ihres E-Mail-Postfachs.

Für diese Funktionen speichert Pronto das Google-Refresh-Token und die Kalender-ID serverseitig im Kundenkonto. Wenn Sie die Synchronisierung einschalten, werden Terminbezeichnung, Beschreibung, Beginn, Ende und Status zwischen dem Google-Kalender und allen aktiven Pronto-Buchungskalendern abgeglichen. Der Zugriff kann in Pronto getrennt werden; dabei werden die gespeicherten Verbindungsdaten gelöscht. Sie können die Berechtigung zusätzlich jederzeit in Ihrem Google-Konto widerrufen.

Google-Kalenderdaten werden nicht verkauft, nicht für Werbung und nicht zum Trainieren generativer KI-/ML-Modelle verwendet. Sie werden nur in dem Umfang verarbeitet, der für Verfügbarkeitsprüfung, Terminverwaltung und — wenn ausgewählt — die Google-Meet-Einladung erforderlich ist. Supabase stellt die Datenbank und den zeitgesteuerten Abgleich bereit; Vercel hostet die serverseitige Anwendung, die die Google-API-Aufrufe ausführt.

Die Nutzung und Übertragung von Informationen, die wir über Google APIs erhalten, hält die Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen ein.

PRONTO ermöglicht es unseren Kunden (Unternehmen), ihren Instagram Professional Account über die offizielle Meta-/Instagram-API-Anbindung ("Instagram-Login für Unternehmen") mit PRONTO zu verbinden, um Kommentare und Direktnachrichten zu automatisieren, Inhalte zu veröffentlichen und Interaktionen im CRM zu verwalten. Die Verbindung erfolgt freiwillig über die Instagram-Einstellungen des jeweiligen Kunden.

Abhängig davon, welche Funktionen der Kunde aktiviert, verarbeiten wir über die Meta-/Instagram-API insbesondere folgende Daten:

• Instagram-Account-ID und Benutzername des verbundenen Kontos
• Profilbild-URL, soweit von der API bereitgestellt
• Metadaten zu Beiträgen/Reels (Medien-ID, Medientyp, Permalink, Bildunterschrift- Vorschau, Vorschaubild, Veröffentlichungsdatum), die für die Auswahl einer Automation synchronisiert werden
• Kommentare unter den verbundenen Beiträgen: Kommentar-ID, Kommentartext, Zeitpunkt, ID und Benutzername des kommentierenden Nutzers, erkannte Trigger-Keywords sowie der Verarbeitungsstatus
• private Instagram-Nachrichten (DMs), die im Rahmen einer Automation versendet werden: Empfänger-ID, Nachrichtentext, Zeitpunkt und Versandstatus sowie ein ggf. per Automation mitgeschickter Dateianhang
• öffentliche Antworten, die PRONTO im Auftrag des Kunden direkt unter einem Kommentar veröffentlicht, inklusive des dabei von Meta erzeugten Antwort-Kommentars
• im Content Studio erstellte bzw. veröffentlichte Inhalte (Bildunterschrift, Hashtags, hochgeladene Bilder) sowie die daraus resultierende Instagram-Medien-ID und -URL
• Daten zu Instagram-Kontakten, die über Kommentare oder Nachrichten mit dem Kunden interagieren und dadurch als Lead im CRM angelegt werden (Instagram-User-ID, Benutzername, daraus abgeleiteter Anzeigename, Gesprächsverlauf, Aktivitätenprotokoll)

Insights- oder Statistikdaten rufen wir über die Meta-/Instagram-API derzeit nicht ab.

Die Verarbeitung erfolgt, um dem Kunden folgende Funktionen bereitzustellen: Instagram-Konto verbinden, Beiträge/Reels für Automationen auswählen und verwalten, Inhalte veröffentlichen, eingehende Kommentare empfangen und über Keyword-Automationen verarbeiten, automatische private Antworten (DMs) auslösen, öffentlich auf Kommentare antworten sowie Instagram-Kontakte als Leads im CRM verwalten und deren Nachrichten- und Interaktionsverlauf dokumentieren.

Soweit die Daten der Instagram-Follower unseres Kunden betroffen sind (z. B. Kommentare oder Nachrichten), verarbeiten wir diese weisungsgebunden im Auftrag des Kunden (Art. 28 DSGVO, siehe Ziffer 6) — Verantwortlicher gegenüber diesen Nutzern ist der jeweilige PRONTO-Kunde, nicht PRONTO selbst.

Für die dauerhafte Verbindung mit dem Instagram-Konto benötigt PRONTO ein von Meta ausgestelltes Zugangstoken (Access Token) sowie die Information, welche Berechtigungen (Scopes) dafür erteilt wurden. Dieses Token wird ausschließlich serverseitig und geschützt gespeichert, nie im Browser oder gegenüber Dritten offengelegt, und ausschließlich zur Bereitstellung der vom Kunden aktivierten, mit Instagram verbundenen Funktionen verwendet. Trennt der Kunde die Verbindung, löschen wir das gespeicherte Token sofort und dauerhaft — es kann ab diesem Zeitpunkt technisch nicht mehr verwendet werden.

PRONTO ermöglicht es unseren Kunden, ihr LinkedIn-Konto über die offizielle LinkedIn-API mit PRONTO zu verbinden, um Beiträge im Namen des Mitglieds bzw. einer verwalteten Unternehmensseite zu erstellen und zu veröffentlichen. Die Verbindung erfolgt freiwillig über die LinkedIn-Einstellungen des jeweiligen Kunden.

Über die LinkedIn-API verarbeiten wir dabei insbesondere:

• LinkedIn-Mitglieds-ID (URN)
• Name
• E-Mail-Adresse
• Profilbild-URL
• Informationen zu Unternehmensseiten, auf die das verbundene Konto laut LinkedIn eine Rolle hat (Organisations-URN, Name, Rolle, Logo)
• vom Kunden über PRONTO erstellte Beitragsinhalte (Text, Hashtags, Call-to-Action, hochgeladene Bilder) sowie nach Veröffentlichung die resultierende LinkedIn-Beitrags-ID und -URL
• OAuth-Zugriffstoken und, soweit von LinkedIn ausgestellt, ein Refresh-Token

Reaktionen, Kommentare oder Beiträge Dritter lesen wir über die LinkedIn-API nicht aus — die Anbindung dient ausschließlich dem Erstellen und Veröffentlichen von Inhalten im Auftrag des Kunden.

Die Verarbeitung erfolgt, um dem Kunden folgende Funktionen bereitzustellen: LinkedIn-Konto verbinden, LinkedIn-Profil bzw. verwaltete Unternehmensseite erkennen, Inhalte im Content Studio erstellen, veröffentlichen und terminieren sowie Social-Media-Aktivitäten des Kunden innerhalb von PRONTO verwalten.

Für die dauerhafte Verbindung benötigt PRONTO ein von LinkedIn ausgestelltes OAuth-Zugangstoken. Dieses wird ausschließlich serverseitig und geschützt gespeichert, nie im Browser oder gegenüber Dritten offengelegt, und ausschließlich zur Bereitstellung der vom Kunden aktivierten, mit LinkedIn verbundenen Funktionen verwendet. Trennt der Kunde die Verbindung, löschen wir das gespeicherte Token sofort und dauerhaft.

Sie können die Löschung der über die Instagram-/Meta- bzw. LinkedIn-Anbindung verarbeiteten Daten auf folgenden Wegen veranlassen:

• Verbindung in PRONTO trennen: Trennt ein Kunde die Instagram- oder LinkedIn-Verbindung in den PRONTO-Einstellungen, wird das gespeicherte Zugangstoken sofort und dauerhaft gelöscht — PRONTO kann ab diesem Zeitpunkt technisch nicht mehr auf das jeweilige Konto zugreifen.
• Löschanfrage über unseren Datenschutzkontakt: Für die Löschung darüber hinaus gespeicherter Daten (z. B. Profilinformationen, Kommentar-/Nachrichtenprotokolle, daraus entstandene CRM-Kontakte) wenden Sie sich an die unter Ziffer 1 genannte E-Mail-Adresse. Wir löschen die betroffenen Daten, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen (z. B. zur Missbrauchsabwehr) entgegenstehen.
• Löschung des PRONTO-Kundenkontos: Wird das zugrunde liegende PRONTO-Kundenkonto gelöscht, werden aufgrund der Datenbankstruktur (kaskadierende Löschverknüpfung) sämtliche damit verbundenen Instagram- und LinkedIn-Datensätze automatisch mitgelöscht.

Für LinkedIn gilt ergänzend: Die LinkedIn API Terms of Use verpflichten uns, auf entsprechende Anfrage über die API erhobene Daten einschließlich Zugriffstoken zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Diesem Anspruch kommen wir über die oben beschriebenen Wege nach.

Widerruf / Trennung: Nach einer Trennung nutzt PRONTO das getrennte Instagram- oder LinkedIn-Konto nicht mehr für neue Automationen, Veröffentlichungen oder Datenabrufe. Bereits gespeicherte Protokoll- und CRM-Daten aus der Zeit vor der Trennung bleiben bestehen, bis sie im Rahmen einer gesonderten Löschanfrage oder der Kontolöschung entfernt werden bzw. gesetzliche Aufbewahrungsfristen ablaufen.

Zur Klassifizierung von Anfragen und zur Erstellung von Antwortvorschlägen übermitteln wir Inhalte der jeweiligen Nachricht an einen KI-Dienstleister (OpenAI, USA). Rechtsgrundlage ist die Vertragserfüllung bzw. das berechtigte Interesse an einer effizienten Bearbeitung (Art. 6 Abs. 1 lit. b, f DSGVO). Die Daten werden dort nicht zum Training der Modelle verwendet.

Zahlungen wickeln wir über Stripe Payments Europe Ltd. ab. Stripe verarbeitet Ihre Zahlungs- und Rechnungsdaten eigenverantwortlich; Kreditkartendaten werden uns nicht übermittelt. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO. Informationen: stripe.com/de/privacy.

• Hosting und Auslieferung der Anwendung
• Supabase (Datenbank, Authentifizierung, Storage)
• Google (Gmail API, OAuth, Pub/Sub)
• Meta Platforms Ireland Ltd. (Instagram-API, soweit vom Kunden verbunden)
• LinkedIn Ireland Unlimited Company (LinkedIn-API, soweit vom Kunden verbunden)
• OpenAI (Textklassifizierung und -generierung)
• Stripe (Zahlungsabwicklung)
• n8n (Automatisierungen, soweit vom Kunden genutzt)

Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Eine Übermittlung in Drittländer erfolgt auf Grundlage von EU-Standardvertragsklauseln bzw. des EU-US Data Privacy Framework.

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist. Kontodaten löschen wir 30 Tage nach Vertragsende, Lead- und Kommunikationsdaten nach Weisung des jeweiligen Kunden. Handels- und steuerrechtliche Aufbewahrungsfristen (6 bzw. 10 Jahre) bleiben unberührt.

Instagram- und LinkedIn-Zugangstoken speichern wir, solange die jeweilige Verbindung aktiv besteht, um die vom Kunden aktivierten Funktionen bereitzustellen; bei Trennung werden sie sofort gelöscht (siehe Ziffer 10). Profildaten, Kommentar-/ Nachrichtenprotokolle und daraus entstandene CRM-Kontakte speichern wir dauerhaft in unserer bei Supabase gehosteten Datenbank, bis sie nach Weisung des Kunden, auf Löschanfrage oder mit der Löschung des Kundenkontos entfernt werden.

Sie haben nach der DSGVO folgende Rechte:

• Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17),
• Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20),
• Widerspruch gegen Verarbeitungen auf Basis berechtigter Interessen (Art. 21),
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3).

Zudem steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu, für uns zuständig: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

Die Übertragung erfolgt ausschließlich TLS-verschlüsselt. Zugriffe auf Kundendaten sind durch Authentifizierung, rollenbasierte Rechte und Row Level Security abgesichert. Sensible Schlüssel werden ausschließlich serverseitig verarbeitet und nie im Browser offengelegt.

Wir passen diese Datenschutzerklärung an, sobald Änderungen der Rechtslage oder unserer Leistungen dies erfordern. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung.