Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der DSGVO ist:

Octon Holding GmbH
vertreten durch: Mio McQueen (Geschäftsführer)
Paul-Ehrlich-Straße 7
79106 Freiburg im Breisgau
E-Mail: team@octonholding.de

Soweit personenbezogene Daten Dritter (z. B. Endkunden, Leads, Kontakte des Nutzers) durch die Plattform im Auftrag des Nutzers verarbeitet werden, ist der Nutzer im Sinne der DSGVO Verantwortlicher; die Plattform ist Auftragsverarbeiter. Die Bedingungen ergeben sich aus dem Auftragsverarbeitungsvertrag (AVV).

2. Erhebung und Speicherung personenbezogener Daten

2.1 Beim Besuch der Website

Beim Aufrufen unserer Website werden durch den Browser automatisch Informationen an unseren Server gesendet und temporär in einem Logfile gespeichert:

• IP-Adresse des anfragenden Rechners
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• Verwendeter Browser und ggf. das Betriebssystem

Speicherdauer der Logfiles: 30 Tage.

2.2 Bei Registrierung und Nutzung

Bei der Registrierung erheben wir:

• Name
• E-Mail-Adresse
• Zeitpunkt und Version der akzeptierten AGB, Datenschutzerklärung und AVV

Die Anmeldung erfolgt über einen einmaligen Magic Link oder Code per E-Mail (kein Passwort). Session-Cookies sind httpOnly und für die Anmeldung notwendig.

Bei der Nutzung der Plattform speichern wir Geschäftsdaten (Business-Daten, Angebote, Seiten, Kontakte, Rechnungen, Zahlungsdaten), um den Service bereitzustellen.

2.3 Sprache und Länderhinweise

Eine ausdrücklich gewählte Sprache speichern wir für bis zu zwölf Monate im Cookie bestride_locale und bei angemeldeten Nutzern im Konto, um die gewünschte Sprachfassung bereitzustellen (Art. 6 Abs. 1 lit. b DSGVO; § 25 Abs. 2 Nr. 2 TDDDG). Du kannst die Sprache ändern oder das Cookie über deinen Browser löschen. Bei aktivierter Ländererkennung wird die Verbindungs-IP lokal einer Länder-Datenbank zugeordnet. Für diese Funktion wird keine zusätzliche IP-Historie gespeichert und kein externer IP-Dienst aufgerufen. Das Ergebnis ist nur ein korrigierbarer Vorschlag; den Sitz deines Business bestätigst du selbst. Die Zuordnung dient der passenden Länderauswahl (Art. 6 Abs. 1 lit. f DSGVO).

3. Zweck der Datenverarbeitung

Wir verarbeiten Ihre personenbezogenen Daten zu folgenden Zwecken:

• Bereitstellung der Website und ihrer Funktionen
• Erstellung und Verwaltung Ihres Benutzerkontos
• Bereitstellung unserer SaaS-Dienste
• Abwicklung von Zahlungen
• Kommunikation mit Ihnen (Support, Updates, Aufgaben-Hinweise)
• Verbesserung des Angebots
• Erfüllung gesetzlicher Aufbewahrungspflichten

4. Rechtsgrundlage

Die Verarbeitung erfolgt auf folgenden Rechtsgrundlagen:

• Art. 6 Abs. 1 lit. a DSGVO – Einwilligung (optionale Analyse- und Marketing-Cookies)
• Art. 6 Abs. 1 lit. b DSGVO – Vertragserfüllung (Bereitstellung des Dienstes)
• Art. 6 Abs. 1 lit. c DSGVO – Rechtliche Verpflichtung (steuerliche Aufbewahrungspflichten)
• Art. 6 Abs. 1 lit. f DSGVO – Berechtigtes Interesse (Sicherheit, Missbrauchsabwehr, anonymisierte Analyse)

5. Cookies

Wir setzen auf unserer Website Cookies ein. Cookies sind kleine Textdateien, die Ihr Browser auf Ihrem Endgerät speichert.

Arten von Cookies:

• Essenzielle Cookies: Notwendig für Grundfunktionen (Login-Session und eine ausdrücklich gewünschte Spracheinstellung)
• Analyse-Cookies: Helfen uns, die Nutzung zu verstehen (nur mit Einwilligung)
• Marketing-Cookies: Für Werbemessung (nur mit Einwilligung)
• Weitere Präferenz-Cookies: Speichern optionale Einstellungen (nur mit Einwilligung)

Sie können Cookie-Einstellungen jederzeit in Ihrem Browser oder über unseren Cookie-Banner anpassen.

Die Nutzer-Seiten der Gründer (Subdomain-Seiten) zählen Besuche cookielos und serverseitig – ohne Consent-Pflicht für diesen Zähler.

5a. Web-Analyse und Marketing-Tracking

Wir setzen die folgenden Analyse- und Marketing-Dienste ein. Sie werden ausschließlich nach Ihrer ausdrücklichen Einwilligung über unseren Cookie-Banner geladen (Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO sowie § 25 Abs. 1 TDDDG). Vor der Einwilligung werden keine Daten an die Anbieter übertragen. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen.

• Google Analytics 4 (Google Ireland Ltd.): Reichweiten- und Nutzungsanalyse. IP-Anonymisierung aktiv. Übermittlung in die USA abgesichert durch EU-Standardvertragsklauseln (SCC) und EU-US Data Privacy Framework (DPF).
• Meta Platforms Ireland Ltd. (Meta-Pixel): Messung und Optimierung von Werbekampagnen. Übermittlung in die USA (SCC/DPF).
• LinkedIn Ireland Unlimited Company (Insight Tag): Conversion-Tracking für LinkedIn-Werbung. Übermittlung in die USA (SCC/DPF).
• PostHog (PostHog EU B.V./Ltd.): Produktanalyse zur Verbesserung der Anwendung. Hosting in der EU (eu.posthog.com).

6. KI-Funktionen

Die Plattform enthält KI-gestützte Funktionen, die Geschäftsdaten analysieren, um Angebote, Seiten, Texte und Empfehlungen zu erstellen.

• KI-Verarbeitung erfolgt nur bei aktiver Nutzung der entsprechenden Funktion
• Daten werden nicht für das Training eigener oder fremder KI-Modelle verwendet. Mit Anthropic besteht ein Data Processing Addendum (DPA) mit No-Training-Klausel
• Verarbeitung teils auf Servern in Frankfurt (EU), teils über Anthropic PBC (USA) – abgesichert durch SCC
• Alle KI-generierten Inhalte sind in der Plattform als solche kenntlich gemacht (Art. 50 EU-KI-Verordnung / AI Act)

6a. Hochgeladene und erzeugte Bilder

Hochgeladene und erzeugte Bilder werden in der Dokumentenverwaltung deines Business gespeichert. Wenn du Bilder durch den Agenten prüfen oder einbauen lässt, können die Bilddatei und die zugehörige Anweisung zur visuellen Auswertung an den eingesetzten KI-Dienst übermittelt werden. Für die Bildgenerierung senden wir die Bildbeschreibung und Ausgabeparameter an die OpenAI-API; das Ergebnis kann anschließend vom KI-Agenten visuell geprüft werden. Die Verarbeitung dient der angeforderten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

OpenAI verwendet API-Daten laut seiner Dokumentation standardmäßig nicht zum Training, sofern keine ausdrückliche Freigabe erfolgt. Missbrauchsprotokolle können grundsätzlich bis zu 30 Tage, in begründeten Ausnahmefällen länger, gespeichert werden. Eine Zero-Data-Retention-Zusage wird hier nicht gemacht. OpenAI: Datenverarbeitung in der API

7. Datensicherheit

Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Daten gegen Manipulation, Verlust, Zerstörung oder unbefugten Zugriff zu schützen:

• TLS-Verschlüsselung für alle Datenübertragungen
• AES-256-GCM-Verschlüsselung sensibler Zugangsdaten und Tokens
• Server in deutschen Rechenzentren (AWS Frankfurt, EU)
• Tägliche verschlüsselte Backups, 30 Tage Aufbewahrung in S3
• Strikte Mandantentrennung auf Datenbankebene
• Zugriffskontrolle; Protokollierung sensibler Vorgänge
• Passworte nicht gespeichert (Magic-Link-Auth ohne Passwörter)

Details zu den technischen und organisatorischen Maßnahmen finden Sie im AVV (§ 7).

8. Weitergabe von Daten / Eingesetzte Dienstleister

Eine Übermittlung persönlicher Daten an Dritte erfolgt nur bei ausdrücklicher Einwilligung, zur Vertragserfüllung, bei gesetzlicher Pflicht oder im Rahmen der Auftragsverarbeitung an die im AVV aufgeführten Subunternehmer.

Eingesetzte Dienstleister:

• Amazon Web Services EMEA SARL (Hosting, Datenspeicherung, E-Mail-Versand via SES) — Server-Standort: Frankfurt am Main, EU
• Stripe Payments Europe Ltd. (Zahlungsabwicklung) — Sitz: Irland (EU-Datenraum)
• Anthropic PBC (KI-Verarbeitung) — Sitz: USA; DPA mit No-Training-Klausel; SCC abgeschlossen
• OpenAI (API-Bildgenerierung; Bildbeschreibungen und Ausgabeparameter). Verarbeitung außerhalb der EU ist möglich; die geltenden Auftragsverarbeitungs- und Übermittlungsbedingungen sind zu beachten.
• Lexware GmbH / lexoffice (Buchhaltungs-Anbindung, nur bei aktivierter Verbindung) — Sitz: Deutschland
• Openprovider B.V. (Domain-Registrar, nur bei Domain-Kauf über die Plattform) — Sitz: Niederlande (EU). Kaufst du über BeStride AI eine Domain, verwenden wir die bei der Zahlung angegebene Rechnungsadresse als Inhaber-Daten der Domain-Registrierung und übermitteln sie an Openprovider sowie die zuständige Vergabestelle (z. B. DENIC eG für .de-Domains); dieselben Angaben können dein Impressum vorbefüllen.
• Google Analytics 4 / Meta Platforms / LinkedIn / PostHog (nur mit Einwilligung, siehe § 5a)

Bei Datenübermittlung in Drittländer (USA) ist der Schutz durch EU-Standardvertragsklauseln (SCC) und ggf. das EU-US Data Privacy Framework (DPF) gewährleistet.

9. Ihre Rechte

Sie haben folgende Rechte bezüglich Ihrer personenbezogenen Daten:

• Auskunftsrecht (Art. 15 DSGVO): Welche Daten wir über Sie speichern
• Berichtigungsrecht (Art. 16 DSGVO): Korrektur unrichtiger Daten
• Löschungsrecht (Art. 17 DSGVO): Löschung Ihrer Daten
• Einschränkung (Art. 18 DSGVO): Einschränkung der Verarbeitung
• Datenübertragbarkeit (Art. 20 DSGVO): Export Ihrer Daten (JSON / CSV / PDF)
• Widerspruchsrecht (Art. 21 DSGVO): Widerspruch gegen Verarbeitung
• Widerruf der Einwilligung: Jederzeit für die Zukunft

Kontakt: team@octonholding.de. Daten-Auskunft, -Berichtigung, -Löschung und Daten-Export stehen auch direkt in den Konto-Einstellungen der Plattform zur Verfügung.

9a. Automatisierte Entscheidungen (Art. 22 DSGVO)

Die Plattform enthält Funktionen, die automatisierte Klassifikationen vornehmen, insbesondere:

• Beleg-Scan: Eingehende Belege werden automatisiert kategorisiert (Steuer-Satz, Kostenstelle). Diese Klassifikation ist jederzeit manuell korrigierbar.
• Kontakt-Bewertung: Formulareinsendungen werden nach Qualitätskriterien eingestuft. Die Bewertung ist transparent einsehbar und manuell überschreibbar.

Diese Klassifikationen stellen keine rechtlich bindenden automatisierten Entscheidungen im Sinne von Art. 22 DSGVO dar – ein Mensch bestätigt stets. Sie können jede Entscheidung jederzeit überprüfen und korrigieren.

Bei Fragen zu automatisierten Entscheidungen wenden Sie sich an team@octonholding.de.

10. Speicherdauer

• Kontodaten: Bis zur Löschung des Kontos
• Geschäftsdaten: Bis zur Löschung durch den Nutzer oder Kontolöschung
• Rechnungs- und Buchhaltungsunterlagen: Für die jeweils geltende gesetzliche Aufbewahrungsfrist; Buchungsbelege grundsätzlich acht Jahre gemäß § 147 Abs. 3 AO. Für andere Unterlagen und gesetzliche Sonderfälle können abweichende Fristen gelten.
• Logfiles: 30 Tage
• Karenzzeit nach Vertragsende: 30 Tage zur Datensicherung, danach unwiderrufliche Löschung
• Backup-Rotation: Vollständige Löschung aus Backups innerhalb max. 90 Tagen

11. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren.

Für Nutzer mit Sitz in Deutschland:

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg
Königstraße 10a, 70173 Stuttgart
www.baden-wuerttemberg.datenschutz.de

Für Nutzer mit Sitz in Österreich:

Österreichische Datenschutzbehörde
Barichgasse 40–42, 1030 Wien
www.dsb.gv.at

Für Nutzer mit Sitz in der Schweiz:

Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB)
Feldeggweg 1, 3003 Bern
www.edoeb.admin.ch

12. Änderungen

Wir behalten uns vor, diese Datenschutzerklärung anzupassen, um sie an geänderte rechtliche Rahmenbedingungen oder Änderungen unseres Dienstes anzupassen. Die jeweils aktuelle Version finden Sie auf dieser Seite. Wesentliche Änderungen werden rechtzeitig per E-Mail oder Hinweis in der Software mitgeteilt.