Datenschutzerklärung von Sitewig

Verbindliche Fassung: Für Kunden im Markt Deutschland (Bestellung über die deutsche Website) ist diese deutsche Fassung verbindlich. Sie ist eine Übersetzung der englischen Fassung und hat denselben Inhalt; die englische Fassung steht zur Information zur Verfügung.

1. Verantwortlicher

3XAYA LTD (Sitewig), Firmennummer 17437429 (England und Wales), 128 City Road, London EC1V 2NX, Vereinigtes Königreich. E-Mail: kontakt@sitewig.com.

Anfragen aus der EU und dem EWR zum Datenschutz kannst du an kontakt@sitewig.com senden.

Diese Erklärung beschreibt, wie wir als Verantwortlicher personenbezogene Daten über Kunden, Nutzer des Kontrollpanels, des Webmails und der Sitewig Mail-App, Besucher von sitewig.com, Personen, die uns kontaktieren, und Personen, die Missbrauch melden, verarbeiten.

Wenn wir Websites, E-Mail und DNS für Kunden hosten, verarbeiten wir die Daten des Kunden als Auftragsverarbeiter nach unserem Auftragsverarbeitungsvertrag; der Kunde ist für diese Daten der Verantwortliche.

2. Was wir verarbeiten, warum und auf welcher Grundlage

Zweck	Daten	Rechtsgrundlage (DSGVO / UK GDPR)	Speicherdauer
Einrichtung und Führung deines Kontos und Erbringung der Dienste	Name, E-Mail, Adresse, Telefon, Unternehmen, USt-IdNr., Anmeldedaten, Dienstverlauf	Art. 6 Abs. 1 lit. b Vertrag	Solange das Konto besteht + 3 Jahre (Verjährung)
Domainregistrierung	Von Registrierungsstellen verlangte Inhaberdaten (Name, Adresse, E-Mail, Telefon, Unternehmen/Organisationsnummer, soweit erforderlich) und Identitätsprüfung nach den Regeln der Registrierungsstelle	Art. 6 Abs. 1 lit. b und c (Regeln der Registrierungsstellen, Art. 28 NIS2)	Laufzeit der Domain + der nach den Regeln der Registrierungsstelle erforderliche Zeitraum
Zahlung und Rechnungsstellung	Rechnungs- und Zahlungsdaten, Kartenland und letzte 4 Ziffern (Kartendaten werden von Stripe verarbeitet)	Art. 6 Abs. 1 lit. b und c	10 Jahre für Rechnungen und OSS-Aufzeichnungen (Art. 369k MwSt-Systemrichtlinie); sonstige Buchhaltungsunterlagen mindestens 6 Jahre (UK) / 5 Jahre (DK)
Nachweis des Umsatzsteuerlandes und des Unternehmerstatus	IP-Land und Rechnungsland beim Kauf; Ergebnis der Prüfung von USt-IdNr. (VIES / Brønnøysund)	Art. 6 Abs. 1 lit. c (Umsatzsteuerrecht, VO 282/2011 Art. 18 und 24b)	10 Jahre
Verbraucherrechte	Widerrufe, Kündigungen, Eingangsbestätigungen (Zeitpunkt und Inhalt), bei der Bestellung erteilte Einwilligungen	Art. 6 Abs. 1 lit. b, c und f (Nachweis)	Vertragslaufzeit + 5 Jahre
Support	Korrespondenz und Gesprächsnotizen	Art. 6 Abs. 1 lit. b und f	3 Jahre nach Abschluss des Falls
Sicherheit, Missbrauchsbearbeitung und Betrieb	IP-Adressen, Protokolle, Anmeldeversuche, Missbrauchsmeldungen	Art. 6 Abs. 1 lit. f berechtigtes Interesse; Art. 6 Abs. 1 lit. c NIS2 und DSA	Protokolle 90 Tage (Sicherheitsprotokolle bis zu 12 Monate); Missbrauchsfälle 3 Jahre
Betrugsprävention	Zahlungsrisikodaten (Stripe Radar)	Art. 6 Abs. 1 lit. f	Nach den Regeln von Stripe
Dienst-E-Mails (Belege, Verlängerungserinnerungen, Sicherheit)	E-Mail	Art. 6 Abs. 1 lit. b und c	Solange das Konto besteht
Newsletter und Marketing	E-Mail, Name	Art. 6 Abs. 1 lit. a Einwilligung (oder „Soft Opt-in“ für Bestandskunden, soweit zulässig)	Bis du dich abmeldest
Statistik auf sitewig.com	Siehe die Cookie-Richtlinie	Einwilligung, soweit erforderlich	Siehe die Cookie-Richtlinie
Rechtsansprüche und behördliche Anfragen	Relevante Daten	Art. 6 Abs. 1 lit. c und f	So lange wie erforderlich

Wir treffen keine automatisierten Entscheidungen mit Rechtswirkung nach Art. 22, mit Ausnahme der automatisierten Betrugsprüfung von Zahlungen, bei der du eine Überprüfung durch einen Menschen verlangen kannst.

KI-Assistent im Webmail

Sitewig Webmail hat einen optionalen KI-Assistenten, der dir beim Schreiben von E-Mails hilft und ungelesene E-Mails zusammenfasst. Er ist für jedes Postfach standardmäßig ausgeschaltet und wird nur genutzt, wenn der Nutzer des Postfachs ihn einschaltet und einem kurzen Einwilligungstext zustimmt.

Anbieter: Anthropic, PBC (Claude API, Modell Claude Haiku), USA.
Übermittelte Daten: Nur der Text, mit dem der Assistent arbeiten soll: dein Entwurf oder der markierte Text, oder Betreff, Absender und ein kurzer Ausschnitt ungelesener Nachrichten, wenn du eine Zusammenfassung anforderst.
Zweck: Verarbeitung des Textes und Rückgabe des Ergebnisses an dich.
Speicherdauer: Die Daten werden nur zur Erstellung der Antwort verarbeitet. Anthropic speichert Daten nur nach seinen Bedingungen zur Datenspeicherung in der API (kurzfristig, zur Missbrauchsüberwachung). Anthropic nutzt API-Daten nicht zum Trainieren von Modellen.
Unsere Protokolle: Die Protokolle von Sitewig zum Assistenten enthalten nur Zählwerte, niemals Inhalte.
Übermittlungen: Siehe Abschnitte 3 und 4.

Die Sitewig Mail-App (iPhone und iPad)

Sitewig Mail ist unsere E-Mail-App für iPhone und iPad. Du kannst Sitewig-Postfächer und externe IMAP-Konten (z. B. Gmail, iCloud oder Yahoo) hinzufügen. Wir verarbeiten die folgenden Daten nur, um die App bereitzustellen (Art. 6 Abs. 1 lit. b Vertrag); bei Sitewig-Postfächern werden die E-Mail-Inhalte im Rahmen unseres E-Mail-Hostings verarbeitet (siehe Abschnitt 1).

Anmeldung: Deine E-Mail-Adresse und dein Passwort werden zur Anmeldung an die Server von Sitewig gesendet. Die App speichert dein Passwort nicht, sondern nur eine verschlüsselte Sitzung im iOS-Schlüsselbund. Bei externen Konten liegen Passwort und Servereinstellungen nur in diesem verschlüsselten Sitzungstoken, niemals in einer Datenbank oder in Protokollen. Eine Sitzung läuft nach 90 Tagen ohne Nutzung ab.
E-Mails und Anhänge: Nachrichten und Anhänge werden über die Server von Sitewig abgerufen und gesendet, auch bei externen Konten, bei denen sich unser Server in deinem Auftrag mit deinem Anbieter verbindet.
Mitteilungen: Nur bei Sitewig-Postfächern registriert die App ein Push-Token des Geräts bei unseren Mailservern, damit Mitteilungen über neue E-Mails über den Apple Push Notification service (Apple Inc., USA) zugestellt werden können. Je nach deiner Vorschau-Einstellung (vollständig, nur Absender oder keine) enthält eine Mitteilung Absender, Betreff und einen kurzen Ausschnitt. Token und Einstellung werden gelöscht, wenn du das Konto in der App entfernst oder Apple das Token als ungültig meldet. Externe Konten nutzen kein Push; die App sucht im Hintergrund nach neuen E-Mails.
Absenderbilder: Absenderbilder in Mitteilungen werden von unseren Servern über den Bild-Proxy von Sitewig bei Gravatar abgerufen. Der signierte Link enthält nur einen Einweg-Hash, niemals die Adresse des Absenders, und dein Gerät kontaktiert Gravatar nie direkt.
Nur auf deinem Gerät: Letzte Empfänger für Adressvorschläge, deine Signatur und die Einstellungen der App werden nur auf dem Gerät gespeichert.
Face ID und Touch ID: Die App-Sperre wird vollständig von iOS übernommen. Die App erfährt nur, ob das Entsperren erfolgreich war; keine biometrischen Daten verlassen das Gerät.
Kamera, Fotos, Mikrofon und Dateien: Werden nur genutzt, wenn du ein Foto, ein Video oder eine Datei anhängst, ein Video aufnimmst oder ein Bild in Fotos sicherst, und nur mit deiner Erlaubnis in iOS.
Externe Bilder: Standardmäßig blockiert, um Tracking-Pixel zu stoppen. Wenn du sie laden lässt, werden sie von den Servern des Absenders abgerufen, der dann deine IP-Adresse sehen kann und dass die Nachricht geöffnet wurde.
Kein Tracking: Die App enthält keine Werbung, kein Tracking und keine Analyse- oder Absturzberichts-Tools. Wir nutzen App-Daten nicht für Werbung und geben sie nicht an Datenhändler weiter.
Datenschutzangaben im App Store: Gegenüber Apple haben wir angegeben: E-Mail-Adresse, E-Mails oder Textnachrichten, Fotos oder Videos und Geräte-ID, nur für App-Funktionalität verwendet, mit dir verknüpft und nicht für Tracking verwendet.
Konto entfernen: Einstellungen → das Konto → Account entfernen löscht das Push-Token von unseren Servern, beendet die Sitzung und entfernt Sitzung, Cache und Einstellungen des Kontos vom Gerät. Deine E-Mails auf dem Server bleiben unberührt; ein Sitewig-Postfach selbst wird im Kontrollpanel gelöscht. Andere Löschanfragen schickst du an kontakt@sitewig.com (siehe Abschnitt 5).

Ohne Konto bauen (/erstellen)

Wenn du auf der Startseite oder unter /erstellen beschreibst, was du bauen möchtest, erstellt Nina^AI einen Entwurf deiner Website, bevor du ein Konto hast.

Was gespeichert wird: Deine Beschreibung, die gewünschten Änderungen und der Entwurf der Seite. Die Beschreibung kann personenbezogene Daten enthalten, wenn du sie selbst angibst (z. B. Name oder Adresse).
Zweck und Rechtsgrundlage: Den gewünschten Entwurf zu erstellen und zu speichern (Art. 6 Abs. 1 lit. b, vorvertragliche Maßnahmen) sowie Missbrauch zu verhindern und Kosten zu begrenzen (Art. 6 Abs. 1 lit. f, berechtigtes Interesse).
In deinem Browser: Der Entwurf und ein geheimer Schlüssel (Claim-Token) werden im lokalen Speicher des Browsers (localStorage) abgelegt, damit du später weitermachen kannst. Außerdem eine zufällige Geräte-ID, die nur der Missbrauchsabwehr dient, nicht dem Tracking oder Marketing. Es werden keine Cookies verwendet.
Bei uns: Entwurf und Beschreibung werden auf unseren Servern in der EU gespeichert. Der Claim-Token wird nur als Einweg-Hash gespeichert, IP-Adresse und Geräte-ID nur als Hash mit einem geheimen Schlüssel. Wenn du auf „Speichern und veröffentlichen“ klickst, speichern wir einen Hash deiner E-Mail-Adresse, damit der Link in der Anmelde-E-Mail auch auf einem anderen Gerät funktioniert (höchstens eine Stunde lang).
Claim-Token: Der Schlüssel gewährt deinem Browser Zugriff auf den Entwurf, bis du ihn in deinem Konto speicherst. Danach kannst nur du ihn sehen, wenn du angemeldet bist.
Speicherdauer: Ein nicht in einem Konto gespeicherter Entwurf wird nach 30 Tagen gelöscht. Speicherst du ihn ohne Bestellung in deinem Konto, wird er spätestens 90 Tage danach gelöscht. Wird er zu deiner Website, gehört er zu deinem Konto. Nutzungszählungen (z. B. „Entwurf angezeigt“) ohne personenbezogene Daten werden nach 90 Tagen gelöscht. Du kannst den Entwurf selbst mit „ד neben „Weiter mit deiner Website“ auf der Startseite löschen.
KI: Die Beschreibung und deine Änderungswünsche werden an Anthropic, PBC (Claude API) gesendet, um den Entwurf zu erstellen. Siehe Abschnitte 3 und 4.
Marketing: Das Kästchen „Schick mir Tipps zu meiner neuen Website“ ist freiwillig und nicht vorausgewählt. Es wird nur als deine Einwilligung in Newsletter und Marketing gespeichert (siehe Tabelle oben), und du kannst dich jederzeit abmelden.

E-Mail und Erinnerungen beim Bauen ohne Konto

Was gespeichert wird: Wenn du einen Link zu deiner Seite anforderst oder deine E-Mail-Adresse eingibst, während du unter /erstellen ein Konto anlegst, speichern wir die E-Mail-Adresse zusammen mit dem Entwurf. Setzt du das Häkchen für Erinnerungen, speichern wir außerdem deine Einwilligung, den Zeitpunkt und den Wortlaut, dem du zugestimmt hast. Das Häkchen ist freiwillig und nicht vorausgewählt.
Zweck und Rechtsgrundlage: Den angeforderten Link zu senden (Art. 6 Abs. 1 lit. b DSGVO). Erinnerungen und Tipps zu deiner Seite senden wir nur mit deiner Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG); du kannst sie jederzeit widerrufen.
Erinnerungen: Höchstens vier E-Mails: nach 1, 3 und 7 Tagen und 5 Tage, bevor der Entwurf gelöscht wird. Sie enden, wenn du ein Konto erstellst, dich abmeldest, die E-Mail nicht zugestellt werden kann oder der Entwurf gelöscht wird.
Abmeldung: Jede Erinnerung enthält einen Abmeldelink. Wenn du dich abmeldest, löschen wir deine E-Mail-Adresse sofort.
Speicherdauer: Die E-Mail-Adresse wird mit dem Entwurf nach 30 Tagen gelöscht, sofort bei der Abmeldung oder wenn du den Entwurf in einem Konto speicherst (dann verwenden wir die E-Mail-Adresse des Kontos).
Kostenloser Test: Ohne Konto kannst du KI bis zu einem begrenzten Betrag nutzen. Dafür zählen wir die Nutzung pro Gerät, Entwurf und IP-Adresse – nur als Hash mit einem geheimen Schlüssel, nie die IP-Adresse selbst. Die Zählung wird nach höchstens 31 Tagen gelöscht (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse: Missbrauch verhindern und Kosten begrenzen).

3. Empfänger

Wir geben Daten nur weiter, soweit erforderlich. Wir verkaufen keine personenbezogenen Daten.

Empfänger	Rolle	Ort / Grundlage der Übermittlung
Hetzner Online GmbH, Gunzenhausen, Deutschland	Server, Speicher, Backup, selbst betriebene E-Mail (Mailu)	Deutschland und Finnland (EU)
Supabase Pte. Ltd. (Singapur), Daten bei AWS Frankfurt (eu-central-1)	Kontodatenbank und Anmeldung für Kontrollpanel und Webmail (Auftragsverarbeiter)	Daten in der EU; möglicher Fernzugriff von außerhalb der EU auf Grundlage der EU-Standardvertragsklauseln + UK Addendum
Stripe Payments Europe, Ltd. (Irland) und Stripe Payments UK Ltd	Zahlungen: Auftragsverarbeiter für einige Zwecke und eigenständiger Verantwortlicher z. B. für Betrugsprävention und die Einhaltung gesetzlicher Pflichten	EU/UK; Weiterübermittlung an Stripe, Inc. (USA) auf Grundlage des EU-US Data Privacy Framework, der SCC und des UK Addendum
Hosting Concepts B.V. (Openprovider), Rotterdam, Niederlande	Domain-Registrar	EU
Registrierungsstellen (z. B. Punktum dk, EURid, Verisign, Nominet, DENIC, AFNIC, Internetstiftelsen, Norid)	Eigenständige Verantwortliche für Inhaberdaten; können Daten nach ihren Regeln in WHOIS/RDAP veröffentlichen	EU/UK/USA (gTLDs)
BunnyWay d.o.o. (bunny.net), Ljubljana, Slowenien	CDN für Kunden-Websites (Pro/Business): IP-Adressen und Anfragen	EU-Unternehmen; weltweite Edge-Server. Übermittlungen an Edge-Server außerhalb der EU/des EWR erfolgen nach dem Auftragsverarbeitungsvertrag von bunny.net
Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA	KI (Claude API) im Website-Baukasten (Nina^AI), im App-Baukasten (AYA^AI), für Übersetzung und Einrichtungshilfe sowie der KI-Assistent im Webmail (nur wenn der Nutzer ihn einschaltet): verarbeitet die Inhalte, mit denen die KI arbeiten soll (Unterauftragsverarbeiter). Es werden keine anderen KI-Anbieter eingesetzt	USA; EU-Standardvertragsklauseln (2021/914) + UK Addendum
Resend, Inc. (USA)	Versand transaktionaler E-Mails: Belege und Erinnerungen sowie im Auftrag unserer Kunden E-Mails an deren Besucher (Kontaktformular, Buchung, Webshop) (Unterauftragsverarbeiter)	EU-US Data Privacy Framework + SCC
Europäische Kommission (VIES) / Brønnøysund-Registerzentrum	Prüfung der USt-IdNr. von Geschäftskunden	EU / Norwegen
Buchhalter und Berater	Buchführung und Beratung	UK/EU
Steuerbehörden (HMRC, der OSS-Identifizierungsmitgliedstaat, Skatteetaten) und andere Behörden	Soweit gesetzlich vorgeschrieben	–

4. Übermittlungen außerhalb des Vereinigten Königreichs/des EWR

Unsere Primärdaten werden in der EU gespeichert.
Übermittlungen zwischen der EU/dem EWR und dem Vereinigten Königreich beruhen auf gegenseitigen Angemessenheitsbeschlüssen (der EU-Beschluss für das Vereinigte Königreich gilt bis zum 27. Dezember 2031).
Andere Übermittlungen beruhen auf dem EU-US Data Privacy Framework (und der UK Extension), sofern der Empfänger zertifiziert ist, andernfalls auf den EU-Standardvertragsklauseln (2021/914) mit dem UK Addendum.
Wenn ein Nutzer den KI-Assistenten im Webmail eingeschaltet hat oder KI im Website- oder App-Baukasten (Nina^AI/AYA^AI) nutzt, werden die Inhalte, mit denen die KI arbeiten soll, auf Grundlage der EU-Standardvertragsklauseln (2021/914) mit dem UK Addendum an Anthropic, PBC in den USA übermittelt.
Eine Kopie der Garantien kannst du schriftlich bei uns anfordern.

5. Deine Rechte

Du hast das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit, das Recht, der auf berechtigten Interessen beruhenden Verarbeitung und der Direktwerbung zu widersprechen, und das Recht, eine Einwilligung jederzeit zu widerrufen. Schreib an kontakt@sitewig.com. Wir antworten innerhalb eines Monats.

6. Beschwerden

Du kannst dich bei der Aufsichtsbehörde in deinem Land beschweren, z. B. Datatilsynet (DK), IMY (SE), Datatilsynet (NO), der Data Protection Commission (IE), der CNIL (FR), der zuständigen Landesdatenschutzbehörde in Deutschland oder im Vereinigten Königreich bei der Information Commission (ICO) (ico.org.uk). Gern kannst du dich zuerst an uns wenden.

7. Sicherheit

Wir schützen Daten unter anderem durch Verschlüsselung bei der Übertragung und im Ruhezustand, Zwei-Faktor-Authentifizierung, Zugriffskontrolle nach dem Need-to-know-Prinzip, Protokollierung, Backups und regelmäßige Updates. Sitewig unterliegt als Anbieter von DNS- und Domainregistrierungsdiensten der NIS2-Richtlinie.

8. Änderungen

Wesentliche Änderungen teilen wir per E-Mail oder im Kontrollpanel mit. Das Datum oben zeigt die letzte Änderung (es ändert sich nur, wenn sich der Text ändert).