Datenschutzerklärung

1. Verantwortlicher

Appwood UG (haftungsbeschränkt)
Breite Str. 98
38640 Goslar
Deutschland

Geschäftsführer: Steve Attwood
E-Mail: info@appwood.de

2. Kontakt in Datenschutzfragen

Für Anfragen zum Datenschutz und zur Ausübung Ihrer Betroffenenrechte erreichen Sie uns unter:

E-Mail: datenschutz@clariseo.com

Eine gesetzliche Pflicht zur Benennung eines Datenschutzbeauftragten besteht derzeit nicht.

3. Verarbeitete Daten, Zwecke und Rechtsgrundlagen

Verarbeitung	Daten	Zweck	Rechtsgrundlage
Bestellung eines SEO-Audits	E-Mail-Adresse, Ziel-URL, optional Wettbewerber-URLs, Branche, Geschäftsdaten, Sprache	Vertragserfüllung – Anlage und Abwicklung der Bestellung	Art. 6 Abs. 1 lit. b DSGVO
E-Mail-Verifizierung	E-Mail-Adresse, Hash des Bestätigungscodes, Zeitstempel	Schutz vor missbräuchlichen Bestellungen, IT-Sicherheit	Art. 6 Abs. 1 lit. b und f DSGVO
Zahlungsabwicklung über Link (Merchant of Record)	E-Mail-Adresse und interne Bestellreferenz (von uns zur Vorbelegung des Bezahlvorgangs übergeben); Name, Anschrift, ggf. USt-ID und Zahlungsdaten gibt der Käufer direkt auf der Bezahlseite ein und werden von Link, LLC als Merchant of Record verarbeitet; wir speichern aus dem Bezahlvorgang nur technische Transaktions-Referenzen, den Zahlungsstatus und das Käuferland	Zahlung, Steuerberechnung und Rechnungsstellung durch Link als Merchant of Record; bei uns: Zuordnung der Bestellung und Servicebereitstellung	Art. 6 Abs. 1 lit. b und c DSGVO
Durchführung des Audits	Ziel-URL und öffentlich zugängliche Inhalte der zu prüfenden Website, ggf. Geschäftsdaten	Erstellung des SEO-Reports	Art. 6 Abs. 1 lit. b DSGVO
Report-Zugriffsprotokoll	IP-Adresse, User-Agent, Zeitstempel, Zugriffsart (Ansicht/PDF-Download)	Missbrauchsschutz, Nachvollziehbarkeit, statistische Auswertung	Art. 6 Abs. 1 lit. f DSGVO
Anwendungs-Protokolle (Log-Datenbank)	Zeitstempel, Log-Level, technische Nachricht (kann im Fehlerfall Eingabedaten wie Ziel-URLs oder E-Mail-Adressen enthalten), Codestelle, Stacktraces, interne Request- und Auftrags-IDs, Prozesskennung. Keine IP-Adressen, keine User-Agents.	Fehleranalyse, Nachvollziehbarkeit von Aufträgen, Betrieb	Art. 6 Abs. 1 lit. f DSGVO
Webserver-Zugriffslogs (Reverse Proxy / Hosting)	IP-Adresse, Zeitstempel, Request-Pfad, HTTP-Status, User-Agent	IT-Sicherheit, Schutz vor automatisierten Angriffen, Betrieb	Art. 6 Abs. 1 lit. f DSGVO
Reichweitenmessung öffentlicher Seiten	IP-Adresse, User-Agent, aufgerufene URL, Herkunft (inkl. UTM-Parameter)	Statistische Auswertung der Inhaltsnutzung	Art. 6 Abs. 1 lit. f DSGVO
Werbeerfolgsmessung (Google Ads)	Google-Klick-Kennung („gclid“) aus der Anzeigen-URL, Zeitpunkt des Zahlungseingangs, Bestellwert und Währung	Zuordnung bezahlter Bestellungen zur auslösenden Werbeanzeige (Conversion-Messung), Optimierung unserer Werbekampagnen	Art. 6 Abs. 1 lit. f DSGVO
Kontaktformular	Name, E-Mail-Adresse, Nachrichtentext, IP-Adresse, Zeitstempel	Bearbeitung und Beantwortung Ihrer Anfrage	Art. 6 Abs. 1 lit. b und f DSGVO
Online-Widerruf	Name, Bestell- oder Vertragsreferenz, E-Mail-Adresse, Inhalt sowie Datum und Uhrzeit der Erklärung	Entgegennahme und unverzügliche elektronische Bestätigung des Widerrufs; Bearbeitung und Nachweis der Erklärung	Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 356a BGB; anschließend Art. 6 Abs. 1 lit. f DSGVO zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen

Bestätigungen, Zahlungsbelege und ähnliche transaktionale E-Mails versenden wir an die im Bestellprozess angegebene E-Mail-Adresse (Art. 6 Abs. 1 lit. b DSGVO). Werbe-E-Mails oder Newsletter versenden wir nicht.

4. Empfänger und Übermittlung in Drittländer

Zur Erbringung unserer Leistungen setzen wir sorgfältig ausgewählte Auftragsverarbeiter (Art. 28 DSGVO) sowie eigenständige Vertragspartner ein, die teils ihren Sitz außerhalb der EU haben. Drittlandtransfers werden – soweit kein Angemessenheitsbeschluss greift – auf Grundlage der EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 abgesichert; für die USA ergänzend das EU-US Data Privacy Framework, soweit der empfangende Anbieter darunter zertifiziert ist.

Hosting

OVHcloud (OVH SAS, Frankreich; Standort innerhalb der EU). Hosting des Produktionsservers, der Datenbank und der Hintergrunddienste. Auftragsverarbeitungsvertrag nach Art. 28 DSGVO geschlossen. Hierbei findet kein Drittlandtransfer statt.

Zahlungsabwicklung über Link (Merchant of Record)

Link, LLC, 354 Oyster Point Boulevard, South San Francisco, CA 94080, USA („Link“), ein Unternehmen der Stripe-Gruppe. Die Zahlungsabwicklung, Steuerberechnung und Rechnungsstellung für den ClariSEO-Service erfolgen über Link als Merchant of Record; Käufe werden als „Sold through Link“ gekennzeichnet. Maßgeblich ist die im jeweiligen Bestellvorgang und auf der Rechnung ausgewiesene Gesellschaft. Vertragspartner für den ClariSEO-Service bleibt Appwood. Für die im Bezahlvorgang erhobenen Rechnungs-, Steuer- und Zahlungsdaten ist Link eigenständiger Verantwortlicher; für die Bestell- und Servicedaten bei uns (insbesondere E-Mail-Adresse und Ziel-URL) bleiben wir Verantwortlicher.

Beim Übergang in den Bezahlvorgang übermitteln wir die E-Mail-Adresse und eine interne Bestellreferenz an Link, damit die Zahlung der Bestellung zugeordnet werden kann. Zahlungsdaten (insbesondere Karten- oder SEPA-Daten) sowie Name, Anschrift und ggf. USt-ID gibt der Käufer direkt auf der von Link bereitgestellten Bezahlseite ein. Aus dem Bezahlvorgang speichern wir bewusst nur technische Transaktions-Referenzen, den Zahlungsstatus und das Käuferland; vollständige Zahlungsdaten speichern wir zu keinem Zeitpunkt. Rechnungen, Zahlungsbelege und Benachrichtigungen über Erstattungen versendet Link direkt an die angegebene E-Mail-Adresse; unsere eigenen E-Mails zu Verifizierung, Auftragsstatus und Report versenden wir davon getrennt. Rechtsgrundlage für die Verarbeitung bei uns ist Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung); die steuer- und handelsrechtliche Aufbewahrung der Rechnungen obliegt Link als Merchant of Record.

Link, LLC ist in den USA ansässig; mit dem Bezahlvorgang werden personenbezogene Daten daher in die USA übermittelt. Diese Übermittlung wird durch die EU-Standardvertragsklauseln abgesichert. Unter dem EU-US Data Privacy Framework ist derzeit die Stripe, LLC zertifiziert; auf Link, LLC erstreckt sich diese Zertifizierung nach dem öffentlichen DPF-Register nicht. Die jeweils aktuellen Empfänger, Verarbeitungszwecke und Transfer-Instrumente ergeben sich aus der Stripe-Datenschutzerklärung; für Käufe über Link gelten ergänzend die Verbraucherbedingungen „Sold through Link“.

KI-gestützte Auswertung

Anthropic, PBC, USA. Zur Erstellung der KI-gestützten Zusammenfassungen, technischen Empfehlungen und Inhaltsbewertungen werden Audit-Daten (insbesondere Ziel-URL und Auswertungsergebnisse) an die Anthropic-API übermittelt. Anthropic verwendet API-Eingaben gemäß seinen Commercial Terms standardmäßig nicht zum Training von Modellen und löscht Eingaben nach 7 Tagen. Standardvertragsklauseln werden eingesetzt.

Performance- und Standortdaten

Google Ireland Ltd. bzw. Google LLC, USA. Für Performance-Messungen verwenden wir die PageSpeed-Insights-API, für die Validierung von Geschäftsstandorten die Places-API. Übermittelt werden hier die Ziel-URL bzw. Name und Ort des Unternehmens. Standardvertragsklauseln werden eingesetzt.

Werbeerfolgsmessung

Google Ireland Ltd. bzw. Google LLC, USA. Wenn Sie unsere Website über eine Google-Ads-Anzeige erreichen, hängt Google an die Ziel-URL eine Klick-Kennung („gclid“) an. Schließen Sie im selben Seitenaufruf eine Bestellung ab, speichern wir diese Kennung zur Bestellung und übermitteln sie nach Zahlungseingang zusammen mit Zeitpunkt, Bestellwert und Währung an Google Ads (sogenannter Offline-Conversion-Import). Google kann die Kennung dem Konto des angemeldeten Nutzers zuordnen; wir selbst können das nicht — für uns ist sie eine pseudonyme Zeichenfolge ohne weitere Zusatzinformationen. Es werden weder Name noch E-Mail-Adresse noch die geprüfte Website an Google übermittelt. Die Erfassung erfolgt ohne Cookies und ohne Zugriff auf Ihr Endgerät (siehe Abschnitt 8). Standardvertragsklauseln werden eingesetzt; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert. Der Übermittlung können Sie jederzeit mit Wirkung für die Zukunft widersprechen (Art. 21 DSGVO, Kontakt siehe Abschnitt 7).

SEO-Datenbankanbieter

DataForSEO LLC, USA. Für Backlink-, Keyword- und Sichtbarkeitsdaten übermitteln wir die Ziel-Domain und ggf. Wettbewerberdomains. Standardvertragsklauseln werden eingesetzt.

E-Mail-Versand

Transaktionale E-Mails werden über einen SMTP-Server versendet, der über das Hosting eingebunden ist (siehe oben).

Trotz vertraglicher Schutzmaßnahmen kann insbesondere bei US-Anbietern nicht vollständig ausgeschlossen werden, dass US-Behörden im Rahmen ihrer Befugnisse auf Daten zugreifen.

5. Rollenverteilung: Kein Auftragsverarbeitungsvertrag (AVV) erforderlich

Für die Nutzung von Clariseo ist kein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abzuschließen. Clariseo verarbeitet personenbezogene Daten nicht im Auftrag und nach Weisung des Kunden, sondern als eigenständiger Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO:

• Die Analyse erfolgt ausschließlich auf Grundlage öffentlich zugänglicher Website-Inhalte. Wir erhalten keinen Zugang zu internen Datenbeständen des Kunden — insbesondere keinen Zugriff auf die Google Search Console, Analytics-Konten, Server-Logs oder Bereiche hinter einem Login.
• Zweck und Mittel der Verarbeitung — Auswahl der Prüfmodule, der analysierten Seiten und der eingesetzten Dienstleister — bestimmen wir selbst. Geschuldet ist der SEO-Report als Ergebnis, nicht eine weisungsgebundene Datenverarbeitung.
• Die Bestell- und Kontaktdaten unserer Kunden verarbeiten wir zur Erfüllung unseres eigenen Vertrags (Art. 6 Abs. 1 lit. b DSGVO) — ebenfalls in eigener Verantwortung.

Soweit bei der Analyse öffentlich zugänglicher Inhalte inzident personenbezogene Daten verarbeitet werden (etwa Namen im Impressum, auf Team-Seiten oder in öffentlichen Rezensionen), geschieht dies in unserer eigenen datenschutzrechtlichen Verantwortung auf Grundlage von Art. 6 Abs. 1 lit. b und f DSGVO. Die von uns selbst eingesetzten Auftragsverarbeiter und Dienstleister sind in Abschnitt 4 aufgeführt.

6. Speicherdauer

• Abgebrochene Bestellungen (nicht bezahlt): 30 Tage
• Bezahlte Aufträge — analytische Daten: 30 Tage nach Abschluss
• Bezahlte Aufträge — buchhalterische Daten: 10 Jahre (§ 147 AO)
• Verifizierungs-Sitzungen: 7 Tage nach Ablauf
• Transaktionale E-Mails im Versand-Postausgang: 90 Tage
• Online-Widerrufserklärungen und Eingangsbelege: vier Jahre nach Eingang; anschließend automatische Löschung
• Anwendungs-Protokolle in der Log-Datenbank: 30 Tage, anschließend automatische Löschung
• Webserver-Zugriffslogs des Reverse Proxy / Hosting-Anbieters: gemäß Konfiguration des Hosters, regelmäßig wenige Tage bis Wochen
• IP-Adressen in Zugriffsprotokollen für Reports und Inhaltsseiten: nach 30 Tagen automatische Kürzung (IPv4 auf /24, IPv6 auf /48); danach kein Personenbezug mehr im Sinne von Art. 4 Nr. 1 DSGVO. Der Datensatz selbst bleibt zur weiteren statistischen Auswertung bis zur regulären Löschung erhalten.
• Google-Klick-Kennung („gclid“) an Bestellungen: 90 Tage nach Zahlungseingang, anschließend automatische Löschung; bei nicht bezahlten Bestellungen mit deren regulärer Löschung nach 30 Tagen

Die vor dem Produktstart angebotene Warteliste wurde eingestellt; sämtliche Wartelisten-Einträge einschließlich der zugehörigen Bestätigungs-E-Mails wurden gelöscht.

7. Ihre Rechte

Sie haben gegenüber dem Verantwortlichen folgende Rechte hinsichtlich Sie betreffender personenbezogener Daten:

• Recht auf Auskunft (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
• Recht auf Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Anfragen richten Sie bitte an datenschutz@clariseo.com. Wir werden Ihre Anfrage innerhalb der gesetzlich vorgesehenen Fristen beantworten.

Sie haben außerdem das Recht, sich bei einer Aufsichtsbehörde zu beschweren. Für uns zuständig ist die Landesbeauftragte für den Datenschutz Niedersachsen, Prinzenstraße 5, 30159 Hannover.

8. Cookies und lokale Speicherung

Unsere Website verwendet ausschließlich ein technisch notwendiges Sitzungs-Cookie (Flask-Session, signiert), das für den Bestellprozess und den Schutz vor Cross-Site-Request-Forgery erforderlich ist. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist hierfür gemäß § 25 Abs. 2 Nr. 2 TDDDG nicht erforderlich.

Wir setzen keine Tracking-Cookies und keine Webanalyse-Werkzeuge wie Google Analytics, Hotjar oder Matomo ein.

Auch die in Abschnitt 4 beschriebene Werbeerfolgsmessung kommt ohne Cookies und ohne Speicherung auf Ihrem Endgerät aus: Die Klick-Kennung wird ausschließlich serverseitig als Bestandteil der Bestellung verarbeitet. Eine Einwilligung nach § 25 Abs. 1 TDDDG ist dafür nicht erforderlich, weil kein Zugriff auf Ihr Endgerät stattfindet.

9. Automatisierte Entscheidungsfindung

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne des Art. 22 DSGVO findet nicht statt. Die KI-gestützten Empfehlungen im Report sind reine Optimierungsvorschläge und haben keine rechtliche Wirkung für Sie als betroffene Person.

10. Änderungen dieser Datenschutzerklärung

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, wenn sich die rechtlichen Rahmenbedingungen oder unsere Verarbeitungstätigkeiten ändern. Die jeweils aktuelle Fassung ist auf dieser Seite abrufbar.

Version: 4.5
Stand: August 2026