Datenschutzerklärung und Ihre Rechte (DSGVO)

1. Verantwortlicher

Verantwortlich im Sinne der DSGVO ist:
Lucas Würms (growResonance)
Lindenstraße 15, 88699 Frickingen, Deutschland
E-Mail: home@growresonance.ai

Einen Datenschutzbeauftragten müssen wir nach Art. 37 DSGVO und § 38 BDSG derzeit nicht benennen. Fragen zum Datenschutz richten Sie bitte an die genannte E-Mail-Adresse.

2. Überblick

growResonance ist eine Plattform für Unternehmen, die messen möchten, wie ihre Marke in Antworten von KI-Diensten vorkommt. Wir verarbeiten personenbezogene Daten in zwei Rollen:

Als Verantwortlicher für Besuche unserer Website, für Anfragen, den kostenlosen Sichtbarkeits-Check, den Leitfaden für Agenturen, für Ihr Konto, die Abrechnung, die Sicherheit der Plattform und die Kommunikation mit Ihnen. Das beschreibt diese Erklärung.
Als Auftragsverarbeiter für die Inhalte, die Kundinnen und Kunden in der Plattform verarbeiten, etwa Prompts, Daten ihrer eigenen Kunden, Empfänger von Berichten oder Anfragen aus Formularen, die sie anbinden (Abschnitt 4.7). Dafür gilt unser Vertrag zur Auftragsverarbeitung; verantwortlich ist dann das jeweilige Kundenunternehmen.

Wir setzen möglichst Anbieter mit Verarbeitung in der EU ein. Anbieter mit Sitz oder Verarbeitung außerhalb der EU sind in Abschnitt 6 mit der jeweiligen Grundlage der Übermittlung ausgewiesen. Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

3. Besuch unserer Website

3.1 Server-Protokolle

Beim Aufruf unserer Seiten verarbeitet unser Hosting-Anbieter Vercel technisch notwendige Verbindungsdaten: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer und Browser-Kennung. Zweck ist die Auslieferung, Stabilität und Sicherheit der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren Betrieb. Vercel speichert diese Protokolle je nach Tarif höchstens 30 Tage.

3.2 Cookies, lokale Speicherung und Reichweitenmessung

Technisch notwendig sind Cookies für die Anmeldung und die sichere Sitzung, die Speicherung Ihrer Cookie-Auswahl, die Wahl des aktiven Workspace und Standorts, eine begonnene Bestellung oder Einladung, den Zugang zu passwortgeschützten Berichten und zum Leitfaden für Agenturen (Abschnitt 3.6). Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG sowie Art. 6 Abs. 1 lit. b und f DSGVO.

Nur mit Ihrer Einwilligung (Kategorie „Analytics“) setzen wir Vercel Web Analytics und Vercel Speed Insights ein: eine cookielose Messung von Seitenaufrufen und Ladezeiten, ausgeliefert über unsere eigene Domain, ohne Profile über mehrere Websites. Rechtsgrundlage ist § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Plausible Analytics (Plausible Insights OÜ, Estland) ist technisch vorbereitet, aber nicht aktiv; würde es aktiviert, fiele es unter dieselbe Einwilligung. Marketing-Cookies setzen wir nicht ein. Ihre Einwilligung können Sie jederzeit über „Cookie-Einstellungen“ im Fuß der Seite widerrufen. Wir protokollieren Ihre Auswahl mit einem gesalzenen Hash Ihrer IP-Adresse, um sie nachweisen zu können (Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO).

3.3 Blog und eingebettete Inhalte

Die Artikel unter /blog liefern wir samt ihrer Bilder von unserer eigenen Website aus; die Artikel laden keine Inhalte von fremden Servern. Videos in unserer Dokumentation binden wir über youtube-nocookie.com erst ein, wenn Sie auf das Vorschaubild klicken; vorher geht nichts an YouTube (Google Ireland Limited).

3.4 Kontakt, Terminbuchung und Anfragen

Schreiben Sie uns per E-Mail, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag, sonst lit. f).

Für Kontakt per WhatsApp und für Terminbuchungen setzen wir nur Links auf WhatsApp (WhatsApp Ireland Limited, Meta) und Calendly (Calendly, LLC, USA). Beim Laden unserer Seiten geht nichts an diese Anbieter. Nutzen Sie einen der Links, gelten dort deren Datenschutzbedingungen; wir erhalten die Nachricht bzw. die Buchungsangaben und verarbeiten sie zur Beantwortung und Durchführung des Termins (Art. 6 Abs. 1 lit. b und f DSGVO).

Über das Formular „Angebot anfordern“ und die Warteliste für neue Funktionen verarbeiten wir Ihre Angaben (etwa Name, Unternehmen, E-Mail-Adresse, Telefonnummer, Nachricht) sowie einen gesalzenen Hash Ihrer IP-Adresse zum Schutz vor Missbrauch. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Anfrage) bzw. lit. f (Information über die gewünschte Funktion).

Über das Bewerbungsformular unseres Partnerprogramms (/partner-programm) verarbeiten wir den Namen, die Website und den Standort Ihrer Agentur, die Anzahl der betreuten Kunden, optional einen ersten Kunden für growResonance, Ihren Namen, Ihre E-Mail-Adresse, optional Ihre Telefonnummer, Ihre Bestätigung dieser Datenschutzerklärung mit Zeitpunkt, die Browser-Kennung sowie einen gesalzenen Hash Ihrer IP-Adresse zum Schutz vor Missbrauch. Wir nutzen die Angaben, um Ihre Bewerbung zu prüfen und Sie für ein Kennenlerngespräch zu kontaktieren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen).

3.5 Kostenloser Sichtbarkeits-Check

Für den Check unter /check verarbeiten wir die angegebene Domain und, um Ihnen das Ergebnis zu schicken, Ihre E-Mail-Adresse, Ihren Vornamen, optional Ihre Telefonnummer, den Wortlaut Ihrer Einwilligung mit Zeitpunkt, einen gesalzenen Hash Ihrer IP-Adresse und die Browser-Kennung. Für die Auswertung stellen wir Prompts zu Ihrer Domain an Sprachmodelle (Abschnitt 5) und lesen öffentlich zugängliche Angaben Ihrer Website wie Titel und Beschreibung aus. Das Ergebnis versenden wir über Resend. Rechtsgrundlage für die Kontaktaufnahme und den Versand ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit per E-Mail an home@growresonance.ai widerrufen können. Den Schutz vor Missbrauch stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; sofern aktiviert, nutzen wir dafür Friendly Captcha.

Den kostenlosen Pitch-Report für Agenturen bieten wir seit dem 09.10.2026 nicht mehr an. Angaben, die Sie dafür bis dahin gemacht haben (Domain, Branche, E-Mail-Adresse und Einwilligung), speichern wir nur noch bis zu den Fristen in Abschnitt 7 und löschen sie dann.

3.6 Leitfaden für Agenturen „GEO in 14 Tagen“

Wenn Sie unter /geo-in-14-tagen den Leitfaden anfordern, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen einen persönlichen Link zu Leitfaden, Angebotsvorlage und Preisrechner zu senden, und, wenn Sie die Frage danach beantworten, die Anzahl der Kunden, die Sie im Retainer betreuen. Dazu speichern wir, wann Sie den Link angefordert und geöffnet haben, sowie zum Schutz vor Missbrauch einen gesalzenen Hash Ihrer IP-Adresse und die Browser-Kennung. Die E-Mail versenden wir über Resend. Beim Öffnen des Links setzen wir ein technisch notwendiges Cookie, damit Sie die Seiten später ohne den Link wieder aufrufen können (§ 25 Abs. 2 Nr. 2 TDDDG). Welche Kapitel Sie gelesen und welche Schritte Sie abgehakt haben, speichert nur Ihr Browser.

Rechtsgrundlage für Zusendung und Zugang ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie den Leitfaden anfordern. Den Schutz vor Missbrauch und die interne Auswertung, welche Agenturen den Leitfaden nutzen, stützen wir auf Art. 6 Abs. 1 lit. f DSGVO; sofern aktiviert, nutzen wir dafür Friendly Captcha. Werbe-E-Mails oder einen Newsletter senden wir daraus nicht. Sie können jederzeit widersprechen und die Löschung verlangen, per E-Mail an home@growresonance.ai; der Link gilt danach nicht mehr.

4. Konto, Vertrag und Nutzung der Plattform

4.1 Registrierung, Anmeldung und Team

Bei der Registrierung verarbeiten wir Ihre E-Mail-Adresse, ein Passwort (nur als Hash gespeichert) und optional Ihren Namen. Die Anmeldung läuft über Supabase in Frankfurt am Main. Nutzen Sie die Anmeldung mit Google, übermittelt Google uns Ihre Google-Konto-ID, E-Mail-Adresse, Ihren Namen und die Adresse Ihres Profilbilds (Einzelheiten in Abschnitt 4.5). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Ihre Zustimmung zu AGB und Datenschutzerklärung und Ihre Bestätigung, als Unternehmer zu handeln, speichern wir mit Zeitpunkt, Fassung der AGB, gesalzenem Hash Ihrer IP-Adresse und Browser-Kennung, um den Vertragsschluss nachweisen zu können (Art. 6 Abs. 1 lit. b und f DSGVO).

Laden Sie Teammitglieder ein, verarbeiten wir deren E-Mail-Adresse für die Einladung und nach der Annahme ihre Rolle in Ihrer Organisation (Art. 6 Abs. 1 lit. b und f DSGVO).

Laden Sie freiwillig ein Profilbild hoch, speichern wir es bei Supabase in Frankfurt am Main. Ihr Browser schneidet das Bild vorher zu; dabei entfallen Kameradaten wie der Aufnahmeort. Mitglieder Ihrer Organisation und Ihrer Workspaces sehen das Bild neben Ihrem Namen. Sie können es jederzeit in den Profileinstellungen ersetzen oder entfernen; mit Ihrem Konto löschen wir es (Art. 6 Abs. 1 lit. b DSGVO).

4.2 Vertrag und Abrechnung

Für den Kauf und die Abrechnung verarbeiten wir Name, E-Mail-Adresse, Rechnungsanschrift, gegebenenfalls Ihre USt-IdNr., Plan, Laufzeit und Zahlungen. Die Zahlung wickelt Stripe ab; Zahlungsdaten wie Kartennummern erhalten wir nicht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Aufbewahrung von Rechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 14b UStG. Stripe übermittelt uns Ereignisse wie Zahlungseingänge; diese Daten gehen nicht an unseren Dienst für Hintergrundprozesse.

4.3 Sichtbarkeits-Messung, Texte und KI-Assistent

Für die Messung stellen wir die Prompts eines Workspace regelmäßig an die öffentlichen Oberflächen von ChatGPT, Gemini und Google AI Mode; die Abfrage übernimmt DataForSEO. Im individuellen Vertrag stellen wir sie zusätzlich über die Schnittstellen von Claude (Anthropic) und Perplexity. Die Schnittstellen von OpenAI und Google (Vertex AI) nutzen wir für die Messung nur als technischen Rückfall. Die Antworten werten wir mit Claude aus. Für Texte, Content-Audit und Content-Optimierung übermitteln wir Markenangaben, Einstellungen zur Tonalität sowie Inhalte Ihrer Seiten und öffentlich zugänglicher Seiten Dritter an Claude; die Google-Top-10 zu einem Thema beziehen wir über DataForSEO. Für Prompt Research, Keyword-Gruppen und interne Verlinkung berechnen wir Text-Vektoren bei Voyage AI, ohne Workspace-Kennung. Nachrichten an den KI-Assistenten senden wir mit einem zusammenfassenden Kontext aus Ihrem Workspace an Claude (etwa Markenbeschreibung, Zielgruppen, Wettbewerber, Kennzahlen, Search-Console- und Audit-Ergebnisse, Artikeltitel); Kontaktdaten anderer Teammitglieder gehören nicht dazu.

Diese Inhalte verarbeiten wir im Auftrag des Kundenunternehmens (AVV). Soweit dabei Daten über Sie als Nutzerin oder Nutzer anfallen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Hochgeladene Bilder speichern wir bei Supabase in Frankfurt am Main; wir erkennen keine Gesichter und verarbeiten keine biometrischen Daten. Generierte Texte veröffentlichen wir nicht; Sie exportieren sie selbst.

4.4 Technical Audit und Website-Daten

Für den Technical Audit und die Einrichtung rufen wir die Seiten der angegebenen Website ab. Ladezeiten und Qualitätswerte ermitteln wir über die PageSpeed-Insights-Schnittstelle von Google, der wir dafür die URLs übermitteln. Website-Symbole (Favicons) zu Domains beziehen wir serverseitig über einen Dienst von Google. In der Einrichtung zeigt Ihr Browser eine Vorschau der eingegebenen Website und deren Symbol direkt von dieser Website an; deren Betreiber erhält dabei Ihre IP-Adresse.

4.5 Google-Nutzerdaten (Google user data)

growResonance greift auf Daten aus Ihrem Google-Konto nur zu, wenn Sie eine der folgenden Funktionen nutzen und den Zugriff auf dem Zustimmungsbildschirm von Google freigeben. Wir fragen jeweils nur die Berechtigung an, die die Funktion braucht, und nur Lesezugriff; wir ändern, löschen oder veröffentlichen nichts in Ihrem Google-Konto.

Anmeldung mit Google (Berechtigungen „openid“, „email“, „profile“): Google-Konto-ID, E-Mail-Adresse, Name und Adresse des Profilbilds. Zweck: Ihr Konto anlegen und Sie anmelden; den Namen zeigen wir in Einladungen an Ihr Team, das Profilbild in der Seitenleiste.
Google Search Console (Berechtigung „webmasters.readonly“): die Liste Ihrer Properties, damit Sie eine auswählen können, und für die gewählte Property Klicks, Impressionen, Klickrate und durchschnittliche Position je Tag, Suchanfrage, Seite, Land und Gerät sowie die E-Mail-Adresse des verbundenen Google-Kontos. Zweck: Anzeige auf der Seite Google Search Console und in Berichten, Abgleich mit Ihrer KI-Sichtbarkeit, Aufgaben in der AEO Strategie, Vorschläge im Content-Bereich, Prompt-Vorschläge in Prompt Research und Kontext für den KI-Assistenten.
Google Analytics 4 (Berechtigung „analytics.readonly“): die Liste Ihrer Properties und zusammengefasste Tageswerte der gewählten Property, Einzelheiten in Abschnitt 4.6. Zweck: Anzeige auf der Seite Attribution.

Speicherung: Wir speichern diese Daten bei Supabase in Frankfurt am Main. Die Zugriffsschlüssel für Search Console und Analytics speichern wir verschlüsselt; sie verlassen unsere Server nicht. Auswertungen der Search Console rufen wir teils direkt bei Google ab und halten sie bis zu drei Stunden im Zwischenspeicher unseres Hosting-Anbieters Vercel.

Nutzung und Weitergabe: Wir nutzen die Daten nur, um Ihnen die beschriebenen Funktionen in Ihrem Workspace bereitzustellen und zu verbessern. Technisch verarbeiten sie unsere Auftragsverarbeiter für Hosting, Datenbank und Hintergrundprozesse (Vercel, Supabase, Inngest; Abschnitt 6). Nutzen Sie den KI-Assistenten, die Content-Funktionen oder Prompt Research, gehen Kennzahlen und einzelne Suchanfragen aus der Search Console als Kontext an Claude (Anthropic, Abschnitt 4.3); Anthropic verwendet Daten aus der Schnittstelle nach seinen kommerziellen Bedingungen nicht zum Training. Wir verkaufen die Daten nicht, nutzen sie nicht für Werbung, geben sie nicht an Datenhändler weiter und verwenden sie nicht zum Training von KI-Modellen, weder eigener noch fremder. Darüber hinaus geben wir sie nur weiter, wenn das Gesetz es verlangt oder Sie es veranlassen, etwa indem Sie einen Bericht mit Search-Console-Werten teilen. Lesen können Menschen bei uns die Daten nur mit Ihrer Zustimmung, zur Sicherheit und Missbrauchsabwehr oder wenn das Gesetz es verlangt.

Löschung und Widerruf: Search Console und Analytics können Sie jederzeit in den Einstellungen unter Integrationen trennen. Wir löschen dann die Verbindung, den Zugriffsschlüssel und die gespeicherten Tageswerte und widerrufen den Zugriff bei Google, sobald keine andere Verbindung mit demselben Google-Konto ihn mehr braucht. Kennzahlen, die bereits in Ergebnisse des Content-Audits übernommen wurden (Klicks und Position einzelner Seiten über 28 Tage), bleiben bis zur Löschung des Workspace erhalten. Mit Ihrem Konto löschen wir auch die Daten aus der Anmeldung mit Google. Zusätzlich können Sie den Zugriff jederzeit in Ihrem Google-Konto bei den Verbindungen zu Drittanbieter-Apps widerrufen.

Limited Use: Die Nutzung und Übermittlung von Informationen, die growResonance über Schnittstellen von Google erhält, entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

English summary:growResonance's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. growResonance measures how AI assistants such as ChatGPT, Gemini and Google AI Mode mention brands. Only after you grant access, it uses Google Sign-In (name, email address, profile picture) to create your account and sign you in, reads Google Search Console data (read-only) to show your search performance next to your AI visibility, and reads aggregated Google Analytics 4 data (read-only) to show visits from AI services. We do not sell this data, do not use it for advertising and do not use it to train AI models. You can disconnect at any time; the stored data is then deleted. The German version of this policy prevails.

4.6 Google Analytics 4

Verbinden Sie Google Analytics 4, erhalten wir nach Ihrer Freigabe bei Google ausschließlich Lesezugriff (Berechtigung „analytics.readonly“). Wir lesen die Liste der Properties Ihres Google-Kontos, damit Sie eine auswählen können, und für die gewählte Property zusammengefasste Tageswerte: Sitzungen, Schlüsselereignisse und Umsatz insgesamt sowie je Quelle, die von KI-Diensten wie ChatGPT oder Perplexity auf Ihre Website verweist. Haben Sie die Herkunft je Anfrage eingerichtet (Abschnitt 4.7), lesen wir zusätzlich Quelle, Medium und Einstiegsseite zu den Anfrage-IDs Ihrer Formulare. Profile einzelner Besucher, Nutzer-IDs oder IP-Adressen rufen wir nicht ab. Die E-Mail-Adresse Ihres Google-Kontos speichern wir, um die Verbindung anzuzeigen; den Zugriffsschlüssel speichern wir verschlüsselt bei Supabase in Frankfurt am Main.

Zweck ist allein die Anzeige dieser Werte in Ihrem Workspace (Seite Attribution). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; soweit die Werte Daten Dritter enthalten, verarbeiten wir sie in Ihrem Auftrag nach unserem Vertrag zur Auftragsverarbeitung.

Für diese Daten gelten die Zusagen aus Abschnitt 4.5, auch zu Limited Use. Sie können die Verbindung jederzeit in den Einstellungen unter Integrationen trennen; die gespeicherten Tageswerte löschen wir dann. Zusätzlich können Sie den Zugriff in Ihrem Google-Konto bei den Verbindungen zu Drittanbieter-Apps widerrufen.

4.7 Attribution: Anfragen aus Ihren Formularen

Binden Sie auf der Seite Attribution ein Formular an (Typeform, Tally oder eine eigene Anbindung per Webhook), schickt Ihr Formular-Werkzeug jede Einsendung an eine nur Ihnen bekannte Adresse. Von einer Einsendung speichern wir nur die Felder, die Sie zuordnen: die Antwort auf die Frage nach der Herkunft (etwa „ChatGPT“), einen Wert in Euro, eine Anfrage-ID, den Namen des Formulars und den Eingangszeitpunkt. Die E-Mail-Adresse speichern wir nicht, sondern nur eine daraus berechnete, nicht umkehrbare Kennung, um doppelte Anfragen zu erkennen. Alle übrigen Inhalte, etwa Name, Telefonnummer oder Nachricht, verwerfen wir unmittelbar nach dem Empfang. Damit Sie Felder zuordnen können, merken wir uns die Feldnamen der letzten Einsendung mit stark gekürzten Beispielwerten.

Diese Daten stammen von Besuchern Ihrer Website. Wir verarbeiten sie ausschließlich in Ihrem Auftrag nach unserem Vertrag zur Auftragsverarbeitung; verantwortlich ist Ihr Unternehmen. Sie informieren Ihre Website-Besucher in Ihrer eigenen Datenschutzerklärung und holen erforderliche Einwilligungen ein.

Für die Herkunft je Anfrage stellen wir ein Code-Stück bereit, das Sie selbst auf Ihrer Website oder über Google Tag Manager einbinden. Es erzeugt beim Absenden eines Formulars eine zufällige Anfrage-ID, schreibt sie in ein verstecktes Formularfeld und übergibt sie an Ihr Google Analytics. Das Code-Stück setzt keine Cookies und speichert nichts im Browser; ob Google Analytics die Anfrage-ID erfasst, richtet sich nach der Einwilligungsverwaltung Ihrer Website.

Anfragen löschen wir 24 Monate nach Eingang automatisch, früher, wenn Sie die Formular-Quelle oder Ihr Konto löschen. Einzelne Anfragen können Sie jederzeit ausschließen.

4.8 MCP und andere Schlüssel-Verbindungen

Erzeugen Sie einen Schlüssel für die MCP-Verbindung oder für Plattformen wie Lovable, Bolt oder Base44, können Sie damit eigene Anwendungen und KI-Clients mit Ihrem Workspace verbinden. Wir übermitteln die abgefragten Daten dann an die von Ihnen verbundene Anwendung; für die Verarbeitung dort sind Sie bzw. deren Anbieter verantwortlich. Schlüssel speichern wir nur als nicht umkehrbaren Hash; Sie können sie jederzeit widerrufen.

4.9 E-Mails, Fehlerüberwachung und Hintergrundprozesse

E-Mails zu Konto, Test, Abrechnung, Einladungen und Berichten versenden wir über Resend. Berichte, die Sie an andere Personen senden, gehen an die von Ihnen angegebenen Adressen. Fehler auf unseren Servern überwacht Sentry in der EU, mit Konto- und Workspace-Kennungen, aber ohne IP-Adressen. Messläufe, Audits und Berichte steuern wir über Inngest; dort liegen Kennungen, Domains, URLs, Prompts und Zwischenergebnisse dieser Prozesse. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und f DSGVO.

4.10 Frühere Funktion für Reddit und LinkedIn

Bis September 2026 hat eine Funktion öffentliche Beiträge auf Reddit und LinkedIn zu Themen der Kunden gefunden. Die Funktion ist entfernt; neue Beiträge kommen nicht hinzu. Öffentlich sichtbare Autorennamen aus gespeicherten Beiträgen werden nach 30 Tagen automatisch pseudonymisiert.

4.11 Partnerbereich für Vertriebspartner

Vertriebspartner melden sich mit einem eigenen Zugang an, den wir nur auf Einladung vergeben. Dafür speichern wir Name, E-Mail-Adresse, Passwort (nur als Hash), Anmeldezeitpunkte und ein Protokoll der Aktionen im Partnerbereich. Für die Abrechnung der Beteiligung verarbeiten wir die Firmendaten des Partners, Ansprechpartner, Anschrift, Steuernummer oder USt-IdNr., Kontoinhaber und IBAN sowie die bezahlten Nettobeträge der vermittelten Kunden. Der Partner sieht von seinen Kunden nur Firma, Stand, Monatsbetrag und seine Beteiligung, keine Messwerte und keine Nutzung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Meldet ein Partner einen möglichen Kunden, erhalten wir von ihm Firma, Website, Ansprechpartner, E-Mail-Adresse, Telefonnummer und eine Notiz. Der Partner bestätigt dabei, dass der Kunde mit unserer Kontaktaufnahme wegen eines Angebots einverstanden ist. Wir nutzen diese Angaben, um die Meldung zu prüfen, ein Angebot zu senden und die Beteiligung dem richtigen Partner zuzuordnen (Art. 6 Abs. 1 lit. f DSGVO). Gutschriften an Partner bewahren wir nach den handels- und steuerrechtlichen Fristen auf.

5. Transparenzhinweis zum Einsatz von KI (Art. 50 KI-VO)

Künstliche Intelligenz ist bei uns kein Beiwerk, sondern der Kern der Leistung. Damit Sie jederzeit erkennen können, was maschinell erzeugt ist, weisen wir den Einsatz hier gebündelt aus, unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. Grundlage ist Art. 50 der Verordnung (EU) 2024/1689 über Künstliche Intelligenz (KI-VO), deren Transparenzvorgaben seit dem 02.08.2026 gelten.

5.1 Wo wir KI einsetzen

Sichtbarkeits-Messung: Wir stellen die für einen Workspace hinterlegten Prompts an ChatGPT, Gemini und den Google AI Mode (über deren öffentliche Oberflächen), im individuellen Vertrag auch an Claude (Anthropic) und Perplexity, und werten die Antworten maschinell aus. Erwähnungen, Kennzahlen und deren Einordnung sind das Ergebnis eines KI-Systems, nicht einer menschlichen Auswertung.
Texte im Produkt: Prompt-Vorschläge, Analysen, Empfehlungen, Auswertungsberichte, Artikel, Überarbeitungen und die Antworten des KI-Assistenten werden von KI-Modellen erzeugt.
Kostenloser Sichtbarkeits-Check: Ablauf und Auswertung sind vollständig automatisiert; der Bericht, den Sie per E-Mail erhalten, ist KI-erzeugt.
Unser Blog: Die Artikel unter /blog werden mit KI erstellt und vor der Veröffentlichung redaktionell geprüft. Jeder Artikel ist entsprechend gekennzeichnet.

5.2 Was das für Sie bedeutet

KI-Ausgaben sind Wahrscheinlichkeitsergebnisse. Sie können unvollständig, veraltet oder schlicht falsch sein, und dieselbe Frage kann an zwei Tagen zu unterschiedlichen Antworten führen; das ist bei Sprachmodellen systembedingt. Messwerte zur KI-Sichtbarkeit sind deshalb Stichproben zu einem Zeitpunkt. Inhalte, die Sie weiterverwenden oder veröffentlichen, prüfen Sie bitte vorher (siehe § 6 unserer AGB).

Auf unseren öffentlichen Seiten sprechen Sie zu keinem Zeitpunkt mit einem KI-Chatbot. Anfragen, die Sie uns über ein Formular oder per E-Mail schicken, beantwortet ein Mensch. Den KI-Assistenten in der Plattform erkennen Sie als solchen.

Eine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO findet nicht statt: Unsere KI erzeugt Analysen und Texte, sie trifft keine Entscheidungen, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen.

5.3 Welche Modelle dahinterstehen

Wir trainieren und betreiben keine eigenen Modelle, sondern nutzen die Modelle von Anthropic, OpenAI, Google (Vertex AI) und Perplexity sowie über DataForSEO die Antworten von ChatGPT, Gemini und Google AI Mode, wie sie deren öffentliche Oberflächen ausgeben. Sitz, Region und Übermittlungsgrundlage der Anbieter stehen in Abschnitt 6, die übermittelten Daten in Abschnitt 4.3.

5.4 Menschliche Aufsicht

Unsere Blog-Artikel gibt eine Person frei, bevor sie erscheinen. Inhalte, die im Produkt entstehen, veröffentlichen ausschließlich unsere Kundinnen und Kunden selbst; wir veröffentlichen nichts automatisch in deren Namen. Wer KI-erzeugte Texte aus unserem Produkt veröffentlicht, kann dabei eigene Kennzeichnungspflichten treffen; die Prüfung obliegt der jeweils veröffentlichenden Stelle.

6. Empfänger und Unterauftragsverarbeiter

Wir setzen die folgenden Dienstleister als Auftragsverarbeiter ein. Für Anbieter mit Sitz oder Verarbeitung außerhalb der EU ist die Grundlage der Übermittlung nach Art. 44 ff. DSGVO angegeben: Standardvertragsklauseln der Europäischen Kommission vom 04.06.2021 (Art. 46 Abs. 2 lit. c DSGVO) und, wo ausgewiesen, der Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO). Verträge und Belege stellen wir Geschäftskunden auf Anfrage zur Verfügung.

Supabase Inc. (USA): Datenbank, Anmeldung, Dateispeicher.
Daten: Alle Konto-, Workspace- und Nutzungsdaten, hochgeladene Dateien, Anmeldedaten. Ort der Verarbeitung: EU (Frankfurt am Main). Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2) für etwaige Zugriffe aus den USA.
Vercel Inc. (USA): Hosting der Website und der Anwendung; nach Einwilligung Reichweitenmessung (Web Analytics) und Ladezeit-Messung (Speed Insights).
Daten: Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser), Inhalte der Anfragen an die Anwendung. Ort der Verarbeitung: EU (Frankfurt am Main) für Server-Funktionen; weltweites Netz für die Auslieferung statischer Dateien. Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2).
Stripe Payments Europe Ltd. (Irland): Zahlungsabwicklung, Rechnungen, Abonnements.
Daten: Name, E-Mail-Adresse, Rechnungsanschrift, USt-IdNr., Zahlungsdaten, Vertragsdaten. Ort der Verarbeitung: EU; ergänzend Stripe, Inc. (USA). Grundlage: Auftragsverarbeitungsvertrag (Stripe Data Processing Agreement); EU-Standardvertragsklauseln für US-Komponenten.
Anthropic PBC (USA): Sprachmodell Claude: Sichtbarkeits-Messung, Auswertung der Antworten, Prompt Research, Artikel und Content-Optimierung, KI-Assistent und kostenloser Sichtbarkeits-Check.
Daten: Prompts, Markennamen, Wettbewerber, Seiten- und Artikelinhalte, Nachrichten an den KI-Assistenten mit Workspace-Kontext. Ort der Verarbeitung: USA. Grundlage: Auftragsverarbeitungsvertrag (Commercial Terms); EU-Standardvertragsklauseln (Modul 2); zertifiziert nach dem EU-US Data Privacy Framework.
OpenAI (USA): Sprachmodell (ChatGPT) über die Schnittstelle: kostenloser Sichtbarkeits-Check; technischer Rückfall der Sichtbarkeits-Messung.
Daten: Prompts und Markennamen; bei Stapelverarbeitung werden die Anfragen bis zur Auswertung bei OpenAI zwischengespeichert. Ort der Verarbeitung: USA. Grundlage: Auftragsverarbeitungsvertrag (Business Terms); EU-Standardvertragsklauseln (Modul 2); zertifiziert nach dem EU-US Data Privacy Framework.
Perplexity AI, Inc. (USA): Sprachmodell mit Websuche: Sichtbarkeits-Messung im individuellen Vertrag und kostenloser Sichtbarkeits-Check.
Daten: Prompts und Markennamen. Ort der Verarbeitung: USA. Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2).
Google Cloud EMEA Limited (Vertex AI) (Irland): Sprachmodell Gemini: technischer Rückfall der Sichtbarkeits-Messung.
Daten: Prompts und Markennamen. Ort der Verarbeitung: EU (Region europe-west4, Niederlande). Grundlage: Google Cloud Data Processing Addendum.
Google Ireland Limited / Google LLC (Irland / USA): Google Search Console und Google Analytics 4 (nur wenn Sie sie verbinden), Anmeldung mit Google (sofern angeboten), PageSpeed Insights für den Technical Audit, Abruf von Website-Symbolen (Favicons) zu Domains.
Daten: Search-Console-Daten Ihrer Website, zusammengefasste Google-Analytics-Daten und die Herkunft einzelner Anfragen (Abruf über Anfrage-IDs), Google-Konto-ID und E-Mail-Adresse bei der Anmeldung, URLs der geprüften Seiten, Domainnamen. Ort der Verarbeitung: EU und USA. Grundlage: Auftragsverarbeitungsvertrag bzw. Datenschutzbedingungen von Google; EU-Standardvertragsklauseln (Modul 2); Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert.
DataForSEO OÜ (Estland): Suchmaschinen-Daten: Google-Ergebnisse und Keyword-Daten, Antworten von ChatGPT, Gemini und Google AI Mode über deren öffentliche Oberflächen für die Sichtbarkeits-Messung, Google-Top-10 für Artikel.
Daten: Suchbegriffe, Prompts, Artikelthemen, Domains, Städte und Märkte; personenbezogene Daten nur, wenn Sie solche selbst in Prompts eingeben. Ort der Verarbeitung: EU (Estland); das Unternehmen nennt zusätzlich einen Standort in der Ukraine. Grundlage: Auftragsverarbeitungsvertrag (DataForSEO Data Processing Agreement).
Voyage AI (USA): Berechnung von Text-Vektoren (Embeddings) für Keyword-Gruppen, interne Verlinkung, Content-Audit und Prompt Research.
Daten: Suchbegriffe, Seitentitel und kurze Textauszüge gecrawlter Seiten, Artikelabschnitte, Prompt-Vorschläge; ohne Workspace-Kennung. Ort der Verarbeitung: USA. Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2).
Inngest Inc. (USA): Steuerung von Hintergrundprozessen (Messläufe, Audits, Berichte, E-Mail-Versand).
Daten: Kennungen von Konten, Workspaces und Aufträgen, Domains, URLs, Prompts und Zwischenergebnisse der Prozesse. Ort der Verarbeitung: USA. Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2).
Resend Inc. (USA): Versand von E-Mails: Anmeldung, Einladungen, Test- und Abrechnungshinweise, Berichte (auch an von Ihnen genannte Empfänger), Ergebnisse des Sichtbarkeits-Checks, Anfragen.
Daten: E-Mail-Adressen, Namen, Inhalt und Anhänge der E-Mails. Ort der Verarbeitung: EU-Region für den Versand; Anbieter in den USA. Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2).
Functional Software, Inc. (Sentry) (USA): Fehlerüberwachung der Server.
Daten: Fehlermeldungen mit technischen Angaben, Konto- und Workspace-Kennungen; keine IP-Adressen. Ort der Verarbeitung: EU (Frankfurt am Main). Grundlage: Auftragsverarbeitungsvertrag; EU-Standardvertragsklauseln (Modul 2).
Frosthaus GmbH (Friendly Captcha) (Deutschland): Schutz des kostenlosen Sichtbarkeits-Checks vor Missbrauch, sofern aktiviert.
Daten: Technische Merkmale der Anfrage für die Prüfaufgabe; das Skript wird über das Netz von jsDelivr geladen. Ort der Verarbeitung: EU. Grundlage: Auftragsverarbeitungsvertrag.

Keine Auftragsverarbeiter, sondern eigenständige Anbieter sind WhatsApp und Calendly (nur wenn Sie deren Links nutzen, Abschnitt 3.4) und die Betreiber von Websites, deren Inhalte Ihr Browser direkt lädt (Abschnitte 3.3 und 4.4). Daten an Behörden geben wir nur, wenn wir dazu gesetzlich verpflichtet sind.

7. Speicherdauer

Konto- und Workspace-Daten: solange das Konto besteht. Sie können es jederzeit in den Kontoeinstellungen löschen. Nach Vertragsende gilt § 18 der AGB.
Rechnungen und Buchungsbelege: zehn Jahre, andere Handels- und Geschäftsbriefe sechs Jahre (§ 147 AO, § 14b UStG).
Nachweise über Zustimmungen zu AGB und Datenschutz: für die Dauer des Vertrags und bis zum Ablauf der Verjährungsfristen.
Anfragen aus angebundenen Formularen (Abschnitt 4.7): 24 Monate nach Eingang, früher mit Löschung der Formular-Quelle oder des Kontos. Tageswerte aus Google Search Console und Google Analytics 4: solange die Verbindung besteht (Abschnitt 4.5).
Protokolle zu Cookie-Einwilligungen: drei Jahre.
Server-Protokolle bei Vercel: höchstens 30 Tage.
Ergebnisse des kostenlosen Checks: 30 Tage; Pitch-Reports: bis zum Ablaufdatum, in der Regel 30 Tage.
Kontaktdaten aus Check, Pitch-Report, Angebotsanfragen, Partner-Bewerbungen und Warteliste: bis zum Widerruf Ihrer Einwilligung bzw. bis die Anfrage erledigt ist, spätestens nach 24 Monaten. Anfragen, aus denen ein Vertrag entstanden ist, bewahren wir mit den Vertragsunterlagen auf.
Angaben aus der Anforderung des Leitfadens für Agenturen (Abschnitt 3.6): 24 Monate nach der Anforderung, auf Wunsch früher.
Autorennamen aus der früheren Reddit-/LinkedIn-Funktion: nach 30 Tagen pseudonymisiert.

8. Ihre Rechte

Sie haben das Recht auf:

Auskunft (Art. 15 DSGVO)
Berichtigung (Art. 16 DSGVO)
Löschung (Art. 17 DSGVO)
Einschränkung der Verarbeitung (Art. 18 DSGVO)
Datenübertragbarkeit (Art. 20 DSGVO)
Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)
Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO)

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Ihre Daten auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Wir verarbeiten die Daten dann nicht mehr, es sei denn, wir weisen zwingende schutzwürdige Gründe nach, die Ihre Interessen überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Der Verarbeitung zu Zwecken der Direktwerbung können Sie jederzeit ohne Angabe von Gründen widersprechen.

Anfragen richten Sie bitte an home@growresonance.ai. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg; Sie können sich aber auch an jede andere Aufsichtsbehörde wenden.

Die Angaben, die für Registrierung und Vertrag als Pflichtfelder gekennzeichnet sind, brauchen wir für den Vertragsschluss; ohne sie können wir kein Konto einrichten. Alle anderen Angaben sind freiwillig.

9. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich Rechtslage oder Funktionen ändern. Es gilt die jeweils auf dieser Seite veröffentlichte Fassung.