Datenschutzerklärung

Verantwortlich für die Datenverarbeitung auf dieser Website und in der Anwendung „Drafts“ (https://drafts.social) ist:

Arnonym OÜ, Gesellschaft mit beschränkter Haftung (OÜ) nach estnischem Recht
Sitz: Tallinn, Estland
Registercode: 16938498
UID-Nummer: EE102703498
Geschäftsführer: Arno Melicharek
E-Mail: hello@arnonym.at
Support für Drafts: drafts@arnonym.at

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen. Für alle Anliegen zum Datenschutz erreichen Sie uns unter den oben genannten Adressen.

Drafts ist ein Werkzeug zur Social-Media-Planung für Gastronomie- und Eventbetriebe. Mit Drafts planen, freigeben und veröffentlichen Teams Instagram-Beiträge. Wir verarbeiten dabei nur jene Daten, die für den Betrieb des Dienstes erforderlich sind: die E-Mail-Adresse für die Anmeldung, die Inhalte, die Sie in Ihrem Workspace anlegen, sowie technische Protokolldaten.

Wir setzen keine Analyse- oder Tracking-Cookies ein, betreiben keine Werbung und verkaufen keine Daten. Wir verwenden Ihre Inhalte nicht, um eigene Produkte zu bewerben oder Modelle zu trainieren.

Die Anmeldung erfolgt passwortlos: Sie geben Ihre E-Mail-Adresse ein und erhalten einen einmaligen Anmeldelink („Magic Link“). Verarbeitet werden Ihre E-Mail-Adresse, der Zeitpunkt der Anmeldung und die dabei gesetzten Sitzungsinformationen.

Zur Aufrechterhaltung der Anmeldung setzen wir technisch notwendige Sitzungs-Cookies. Diese sind für den Betrieb unerlässlich und bedürfen keiner Einwilligung. Weitere Cookies setzen wir nicht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einem sicheren Zugang).

In Ihrem Workspace verarbeiten wir die Inhalte, die Sie und Ihr Team dort anlegen, insbesondere:

• Beiträge, Titel, Bildunterschriften (Captions) und Hashtags,
• hochgeladene oder importierte Bilder und sonstige Medien,
• Angaben zur Markenstimme (Tonalität, Sprachregeln, Beispieltexte),
• Zeitpläne, Veröffentlichungsstatus und Freigabevermerke,
• Namen, E-Mail-Adressen und Rollen der Workspace-Mitglieder.

Diese Daten werden ausschließlich verarbeitet, um den Dienst bereitzustellen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Wenn Sie einen Beitrag veröffentlichen, übermitteln wir Bild, Bildunterschrift und Hashtags an unseren Publishing-Dienstleister Outstand (Unified API), der die Übergabe an die Instagram Graph API von Meta vornimmt. Dabei werden auch die Verbindungsdaten Ihres Instagram-Kontos (Konto-Kennung, Zugriffstoken) verarbeitet.

Für die Verarbeitung durch Meta gelten zusätzlich die Datenschutzbestimmungen von Meta. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Drafts bietet KI-gestützte Funktionen für Bildunterschriften, Hashtags und Wochenplanung. Dafür übermitteln wir an Anthropic PBC (Claude API) die jeweils benötigten Inhalte: Beitragstitel, Bildunterschriften, Hashtags und Angaben zur Markenstimme sowie — bei Funktionen mit Bildanalyse — die von Ihnen ausgewählten Bilder.

Nach den API-Bedingungen von Anthropic werden diese Daten nicht zum Training von Modellen verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der von Ihnen genutzten Funktion).

Die Anbindung an Google Drive ist optional und wird nur wirksam, wenn eine Administratorin oder ein Administrator des Workspace sie ausdrücklich verbindet.

Drafts' use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. https://developers.google.com/terms/api-services-user-data-policy

Rechtsgrundlage: Die Verarbeitung der Google-Nutzerdaten beruht auf Ihrer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die die Administratorin oder der Administrator beim Verbinden des Google-Kontos erteilt. Sie können diese Einwilligung jederzeit widerrufen — über „Trennen“ in den Einstellungen von Drafts oder über die Berechtigungen Ihres Google-Kontos. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt davon unberührt.

Berechtigungen (Scopes): Wir fordern den Scope drive.readonly sowie openid email an.

Welche Daten wir lesen: Wir lesen ausschließlich den Ordner, den die Administratorin oder der Administrator auswählt — die Dateiliste, Dateinamen, Erstellungsdaten sowie die Bilddaten der Fotos in diesem Ordner. Andere Dateien in Ihrem Google-Konto lesen wir nicht.

Welche Daten wir speichern: Wir kopieren die aus Google Drive importierten Bilder in unseren Medienspeicher bei Cloudflare Inc. (Cloudflare R2), damit Beiträge veröffentlicht werden können. Außerdem speichern wir die E-Mail-Adresse des verbundenen Google-Kontos zur Anzeige sowie ein verschlüsseltes Refresh-Token.

KI-Bildanalyse: Wenn Sie eine KI-Funktion nutzen, die ein Bild auswertet (etwa Vorschläge für Bildunterschriften), übermitteln wir das betreffende, aus Google Drive importierte Bild an Anthropic PBC (Claude API). Nach den API-Bedingungen von Anthropic werden diese Daten nicht zum Training von Modellen verwendet.

Keine Weitergabe: Wir geben Google-Nutzerdaten nicht an Dritte weiter — ausgenommen die in Abschnitt 9 („Auftragsverarbeiter und Dienstleister“) genannten Auftragsverarbeiter, die zur Erbringung des Dienstes erforderlich sind (Speicherung, KI-Funktionen, Veröffentlichung). Wir verkaufen diese Daten nicht und verwenden sie nicht für Werbung.

Trennen und Widerruf: Die Verbindung kann jederzeit in den Einstellungen von Drafts getrennt werden. Beim Trennen wird das Token widerrufen und nicht verwendete importierte Fotos werden entfernt. Unabhängig davon können Sie den Zugriff jederzeit in Ihrem Google-Konto entziehen: https://myaccount.google.com/permissions

Beim Aufruf der Anwendung fallen bei unserem Hosting-Anbieter Vercel Inc. automatisch Zugriffsprotokolle (Server-Logs) an. Verarbeitet werden dabei die IP-Adresse, der User-Agent (Browser- und Gerätekennung), der aufgerufene Pfad und der Zeitpunkt der Anfrage.

Tritt ein Fehler auf, übermitteln wir zusätzlich einen Fehlerbericht an Functional Software Inc. dba Sentry (Datenregion EU). Ein solcher Bericht enthält den Fehlerverlauf (Stacktrace), den aufgerufenen Pfad, den Zeitpunkt, den User-Agent und die IP-Adresse.

Zweck ist der sichere und stabile Betrieb des Dienstes sowie die Erkennung und Behebung von Störungen und Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Stabilität). Diese Daten werden nach spätestens 90 Tagen gelöscht.

Wir setzen sorgfältig ausgewählte Dienstleister ein. Mit diesen Dienstleistern bestehen Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO bzw. die Verarbeitung erfolgt auf Grundlage ihrer jeweiligen Datenverarbeitungsbedingungen:

• Vercel Inc. (USA) — Hosting und Ausführung der Anwendung; es besteht ein EU-Datenverarbeitungszusatz.
• Supabase Inc. (USA; das Projekt wird in der EU gehostet) — Datenbank (Postgres) und Authentifizierung.
• Cloudflare Inc. (USA) — Medienspeicher (Cloudflare R2).
• Functional Software Inc. dba Sentry (USA; Datenregion EU) — Fehlerüberwachung.
• Sendinblue SAS dba Brevo (Frankreich) — Versand von Transaktions-E-Mails (Anmeldelinks, Einladungen).
• Outstand (USA) — Veröffentlichung auf Instagram; die Beiträge werden dabei über die Instagram Graph API an Meta Platforms Ireland Ltd. (Irland) übergeben.
• Anthropic PBC (USA) — KI-Funktionen für Bildunterschriften, Hashtags und Wochenplanung (Claude API).

Vercel Inc., Supabase Inc., Cloudflare Inc., Functional Software Inc. dba Sentry, Outstand und Anthropic PBC haben ihren Sitz in den Vereinigten Staaten von Amerika. Sendinblue SAS dba Brevo hat ihren Sitz in Frankreich, Meta Platforms Ireland Ltd. in Irland; für diese beiden findet keine Übermittlung in ein Drittland statt. Supabase betreibt unser Projekt in der EU, Sentry verarbeitet in der EU-Datenregion.

Soweit personenbezogene Daten in ein Drittland übermittelt werden, stützen wir die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) und — soweit der jeweilige Anbieter zertifiziert ist — auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), jeweils ergänzt um geeignete technische und organisatorische Maßnahmen.

• Kontodaten: solange das Konto besteht.
• Beiträge und Medien: bis sie vom Workspace gelöscht werden.
• Protokoll- und Fehlerdaten: bis zu 90 Tage.
• Darüber hinaus speichern wir Daten nur, solange gesetzliche Aufbewahrungspflichten bestehen.

Sie haben nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie das Recht auf Widerspruch gegen bestimmte Verarbeitungen (Art. 21). Eine erteilte Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung Ihrer Rechte genügt eine Nachricht an drafts@arnonym.at.

Sie haben nach Art. 77 DSGVO das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Zuständig ist die estnische Datenschutzbehörde:

Andmekaitse Inspektsioon (Estonian Data Protection Inspectorate)
Tatari 39, 10134 Tallinn, Estland
https://www.aki.ee

Nutzerinnen und Nutzer in Österreich können sich zusätzlich an die österreichische Datenschutzbehörde wenden:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien, Österreich
https://www.dsb.gv.at

Wir passen diese Datenschutzerklärung an, wenn sich der Dienst oder die Rechtslage ändert. Es gilt jeweils die auf dieser Seite veröffentlichte Fassung; das Datum unter „Stand“ zeigt an, wann sie zuletzt geändert wurde. Bei wesentlichen Änderungen informieren wir die Workspace-Administratorinnen und -Administratoren per E-Mail.