Datenschutzerklärung

Stand: 11. November 2026 · Revision 4.4

Diese Datenschutzerklärung gilt für die Websites und Dienste von rankyn, insbesondere rankyn.ai und rankyn.app (rankyn.de und www.rankyn.de leiten auf rankyn.ai weiter), einschließlich der dort bereitgestellten SaaS-Anwendung.

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung („DSGVO“) ist:

Levin Föhrding
handelnd unter der Geschäftsbezeichnung rankyn
Friedenstr. 58
47053 Duisburg
Deutschland
E-Mail: info@rankyn.ai
USt-IdNr.: DE462810449

Ein Datenschutzbeauftragter ist nicht bestellt.

2. Allgemeine Hinweise zur Datenverarbeitung

rankyn ist eine cloudbasierte B2B-Software zur Analyse und Verbesserung der Darstellung, Sichtbarkeit und Empfehlung von Marken und Produkten in KI-Systemen.

Wir verarbeiten personenbezogene Daten nur, soweit dies für die Bereitstellung unserer Website und Dienste, für die Durchführung von Verträgen, Kommunikation, Abrechnung, Sicherheit und Produktbetrieb erforderlich ist oder eine andere Rechtsgrundlage besteht.

rankyn ist bestimmungsgemäß nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO oder personenbezogener Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO vorgesehen.

Unsere Kunden sind vertraglich verpflichtet, keine solchen Daten in rankyn einzustellen.

Die rankyn-Plattform verarbeitet bestimmungsgemäß überwiegend nicht personenbezogene Produkt-, Marken-, Markt-, Wettbewerbs-, Prompt- und Messdaten.

3. Rechtsgrundlagen

Je nach Verarbeitung stützen wir uns insbesondere auf:

• Art. 6 Abs. 1 lit. b DSGVO für Vertrag und vorvertragliche Maßnahmen;
• Art. 6 Abs. 1 lit. c DSGVO für gesetzliche Verpflichtungen;
• Art. 6 Abs. 1 lit. a DSGVO für Einwilligungen, insbesondere Newsletter;
• Art. 6 Abs. 1 lit. f DSGVO für berechtigte Interessen.

Bei B2B-Verträgen, bei denen der Nutzer nicht selbst Vertragspartner ist, sondern etwa Mitarbeiter eines Unternehmenskunden, verarbeiten wir geschäftliche Kontaktdaten regelmäßig auf Grundlage unseres berechtigten Interesses an Durchführung und Verwaltung der Geschäftsbeziehung.

Zu unseren berechtigten Interessen gehören insbesondere sicherer und stabiler Betrieb, IT- und Informationssicherheit, Missbrauchs- und Betrugsprävention, Fehleranalyse, Verbesserung der Benutzerfreundlichkeit, Verwaltung geschäftlicher Kundenbeziehungen und Rechtsverteidigung.

4. Aufruf unserer Websites und Hosting

Unsere Websites und die rankyn-Anwendung werden über Vercel betrieben.

Beim Aufruf können insbesondere IP-Adresse, Datum und Uhrzeit, angeforderte URL, HTTP-Statuscode, Browsertyp und Browserversion, Betriebssystem, Referrer-Informationen und technische Request- und Sicherheitsinformationen verarbeitet werden.

Die Verarbeitung dient Auslieferung, Sicherheit und Stabilität des Service.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wir nutzen Dienste von Vercel Inc., USA. Die produktiven Serverfunktionen werden in der europäischen Region Dublin (Irland) ausgeführt. Vercel nimmt am EU-US Data Privacy Framework teil; eine Verarbeitung kann auch in den USA stattfinden.

Die Namensauflösung (DNS) für rankyn.ai und rankyn.app erfolgt über Cloudflare, Inc., USA ausschließlich als autoritativer DNS-Dienst; Website- oder Anwendungsverkehr wird nicht über Cloudflare geleitet (kein Proxy). Die Domain rankyn.de wird über den Registrar INWX GmbH, Deutschland, verwaltet.

5. Datenbank und Datenspeicherung über Supabase

Für Datenbank-, Backend- und Storage-Funktionen nutzen wir Supabase, Inc.

Unsere produktive Supabase-Instanz ist in eu-west-1, Irland eingerichtet.

In Supabase können abhängig von der Nutzung insbesondere gespeichert werden:

• technische Benutzer- und Organisationsidentifikatoren;
• Workspace- und Organisationsdaten;
• Produkt- und Shopinformationen;
• Prompts;
• Intents;
• Wettbewerberinformationen;
• Messresultate;
• KI-Antworten und Metadaten;
• Findings und Empfehlungen;
• Interventionen und Fix-Anfragen;
• Reports und sonstige im Produkt erzeugte Daten.

Bestimmungsgemäß enthalten diese Daten keine personenbezogenen Daten von Endkunden unserer Kunden.

6. Registrierung, Benutzerkonten und Authentifizierung

Zur Verwaltung von Benutzerkonten und zur Authentifizierung nutzen wir Clerk, Inc., USA.

Dabei können insbesondere Name, geschäftliche E-Mail-Adresse, interne Benutzer-ID, Organisationszuordnung, Login-Zeitpunkte, Authentifizierungs- und Sicherheitsinformationen, IP-Adresse, Browser- und Geräteinformationen sowie Informationen zu Login-Versuchen verarbeitet werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit der Nutzer selbst Vertragspartner ist, ansonsten Art. 6 Abs. 1 lit. f DSGVO.

Clerk ist Auftragsverarbeiter im Rahmen von rankyns eigener Account- und Vertragsverarbeitung (Auftragsverarbeitungsvertrag vorhanden); kein Customer Content. Soweit Clerk nach seinem DPA einzelne Account- oder Servicedaten für eigene Zwecke verarbeitet, erfolgt dies in gesonderter datenschutzrechtlicher Verantwortlichkeit. Clerk nimmt am EU-US Data Privacy Framework teil; eine Verarbeitung kann in den USA stattfinden.

7. Anmeldung mit Google

Nutzer können, soweit angeboten, die Anmeldung über Google OAuth verwenden.

Dabei werden Daten zwischen Google, Clerk und rankyn ausgetauscht. Abhängig von den freigegebenen Berechtigungen können hierzu Name, E-Mail-Adresse, Google-Kontoidentifikator und technisch erforderliche Authentifizierungsinformationen gehören.

Die Verwendung von Google OAuth ist freiwillig.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b bzw. bei Nutzern eines Unternehmenskunden Art. 6 Abs. 1 lit. f DSGVO.

8. Nutzung der rankyn-Plattform

Bei Nutzung der SaaS-Anwendung verarbeiten wir die zur Bereitstellung der Funktionen erforderlichen Informationen. Hierzu gehören insbesondere:

• Organisation und Workspace;
• Produkt- und Brand-Daten;
• Produktvarianten und Beschreibungen;
• Kategorien, Preise, Verfügbarkeit und Bestand;
• GTINs, Bild- und Produkt-URLs;
• Prompts und Prompt-Versionen;
• Intent-Bezeichnungen;
• Wettbewerber-Namen und Domains;
• Messresultate;
• KI-Antworten;
• Zitate und Grounding-Metadaten;
• Modell- und Providerinformationen;
• Findings, Interventionen und Fix-Anfragen;
• Reports;
• technische Nutzungs- und Systeminformationen.

Freitext

Freitextfelder sind bestimmungsgemäß nicht zur Eingabe personenbezogener Daten bestimmt. Nutzer dürfen insbesondere keine personenbezogenen Daten von Endkunden oder sonstigen Dritten in generische Kaufanfragen oder andere Freitextfelder eintragen.

Dateien

In Version 1 ermöglicht rankyn ausschließlich CSV-Importe von Produktdaten als Alternative zur Shopify-Anbindung. Sonstige Datei-Uploads durch Kunden werden nicht angeboten. Produktbilder werden grundsätzlich über URLs referenziert. Reports können als PDF bereitgestellt werden.

9. Shopify-Integration

rankyn kann mit einem Shopify-Shop des Kunden verbunden werden.

Die Integration ist in Version 1 technisch auf Produkt- und Bestandsdaten beschränkt. Verwendet werden insbesondere read_products und read_inventory. Zusätzlich kann der Webhook products/update Produktänderungen übermitteln.

Abgerufen werden insbesondere Produkte und Varianten, Produkttexte, Kategorien, Preise, Bestand und Verfügbarkeit, GTIN, Produktbilder, Produkt-URLs sowie Shop- und Brand-Stammdaten.

rankyn ruft keine Endkundendaten, Bestelldaten oder Zahlungsdaten ab.

Die Verbindung wird durch einen autorisierten Nutzer des jeweiligen Shopify-Shops eingerichtet.

10. Verarbeitung durch KI-Anbieter

rankyn nutzt externe KI-Anbieter für interne Auswertungs-, Extraktions- und Syntheseaufgaben, als eigenständige API-Messkanäle sowie – soweit technisch vorgesehen – als Fallback.

Messungen der Consumer-Oberflächen von KI-Anbietern führt rankyn vorrangig über den in Abschnitt 11 beschriebenen technischen Messdienst Bright Data durch.

Soweit rankyn KI-Anbieter direkt per API anspricht, verwendet rankyn ausschließlich kommerzielle bzw. für Geschäftskunden vorgesehene Angebote. Hierfür können insbesondere folgende Anbieter eingesetzt werden:

• OpenAI Ireland Ltd. – API-Messkanal „OpenAI (API)“ (Responses API mit Websuche; nur Enterprise-Plan) zur Messung von KI-Antworten per API (Prompttexte mit Produktkategorie bzw. Domain; keine Kundenstammdaten); daneben interne Auswertung und technischer Fallback;
• Anthropic (Vertragspartner Anthropic Ireland, Limited; Verarbeitung durch Anthropic, PBC in den USA) – interne Auswertung, insbesondere Vorschläge für Prompts und Intents, Extraktion und Synthese, sowie API-Messkanal „Claude (API)“ (Claude API mit Web-Tools; nur Enterprise-Plan) zur Messung von KI-Antworten per API (Prompttexte mit Produktkategorie, Produkt- bzw. Markennamen oder Domain; keine Kundenstammdaten). Die Verarbeitung findet in den USA statt. Grundlage der Übermittlung ist das EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist, im Übrigen die Standardvertragsklauseln der Europäischen Kommission im Data Processing Addendum von Anthropic;
• Google Cloud EMEA Limited – API-Messkanal „Gemini (API)“ (Gemini Paid Service mit Google-Search-Grounding) zur Messung von KI-Antworten per API (Prompttexte mit Produktkategorie bzw. Domain; keine Kundenstammdaten); daneben, soweit aktiviert, interne Auswertung, Extraktion oder Synthese;
• Perplexity AI, Inc. – API-Messkanal „Perplexity (API)“ (Sonar API) zur Messung von KI-Antworten per API (Prompttexte mit Produktkategorie bzw. Domain; keine Kundenstammdaten); daneben, soweit aktiviert, interne Auswertung oder technischer Fallback.

An solche direkten API-Dienste können abhängig von der jeweiligen Funktion insbesondere übermittelt werden:

• generische Prompts oder interne Analyseanweisungen;
• Sprache;
• Land bzw. geografischer Kontext;
• technische Modellparameter;
• nicht personenbezogene Produkt-, Marken-, Mess- oder Auswertungskontexte.

Die über APIs erhaltenen Ergebnisse können als Messergebnisse der API-Messkanäle sowie für interne Extraktion, Strukturierung, Synthese, Qualitätssicherung oder einen technischen Fallback verarbeitet werden.

Der primäre Measurement-Pfad für die Consumer-Oberflächen von ChatGPT, Gemini, Google AI Overviews, Google AI Mode und – soweit aktiviert – Perplexity erfolgt nicht über diese APIs, sondern über Bright Data gemäß Abschnitt 11. Die API-Messkanäle „Gemini (API)“, „Perplexity (API)“, „OpenAI (API)“ und „Claude (API)“ messen die Antworten der jeweiligen Programmierschnittstelle ergänzend; ihre Ergebnisse können von den Consumer-Oberflächen abweichen.

Prompts und sonstige Eingaben sind bestimmungsgemäß nicht zur gezielten Verarbeitung personenbezogener Endkundendaten bestimmt. rankyn verwendet durch Kunden bereitgestellte Daten nicht zum Training eigener generativer KI-Modelle.

11. Web- und Marktdaten über Bright Data

Zur Durchführung der primären Messungen von Consumer-Oberflächen sowie bestimmter Markt-, Web- und KI-Messungen nutzt rankyn Bright Data Ltd. als primären technischen Messdienst.

Bright Data wird insbesondere für den technischen Abruf öffentlich zugänglicher Consumer-Oberflächen von KI-Anbietern (insbesondere ChatGPT, Gemini, Google AI Overviews und Google AI Mode auf Google-Suchergebnisseiten sowie – soweit aktiviert – Perplexity) sowie von Commerce-, Produkt-, Marken-, Markt- und Webinformationen und Messresultaten eingesetzt.

Die Verarbeitung ist nicht auf die gezielte Erhebung personenbezogener Daten gerichtet. Hierzu können insbesondere verarbeitet werden:

• öffentlich zugängliche Produktinformationen;
• Produktnamen und Produktattribute;
• Preise und Verfügbarkeiten;
• Markeninformationen;
• Domains und URLs;
• öffentlich zugängliche Webseiteninhalte;
• Such- und KI-Messresultate;
• Sprache und geografischer Messkontext;
• generische, nicht personenbezogene Prompts.

rankyn verwendet Bright Data nicht zur gezielten Erhebung von Endkundendaten, Erstellung personenbezogener Profile oder Sammlung privater bzw. zugangsbeschränkter personenbezogener Informationen.

Öffentlich zugängliche Webseiten oder KI-Antworten können im Einzelfall beiläufig personenbezogene Angaben enthalten, etwa Namen von Gründern, Geschäftsführern, Markenbotschaftern oder anderen öffentlich auftretenden Personen. Eine solche Verarbeitung ist nicht auf diese Personen gerichtet und wird auf das für die jeweilige Markt- oder Messanalyse erforderliche Maß beschränkt.

Personenbezogene rankyn-Accountdaten, Authentifizierungsdaten und personenbezogene Endkundendaten werden nicht gezielt an Bright Data übermittelt.

Weitere Messdienstleister: DataForSEO und cloro

Zusätzlich zu Bright Data setzen wir schrittweise ab November 2026 die folgenden technischen Messdienste für Suchergebnisse und Consumer-Oberflächen von KI-Anbietern ein:

• DataForSEO (DataForSEO OÜ, Tallinn, Estland);
• cloro (Cloro Incorporation Ltd., Valletta, Malta).

Übermittelt werden ab dem jeweiligen Einsatz, wie bei Bright Data, generische Messprompts mit Produkt-, Marken- oder Kategoriebezug sowie Sprache und geografischer Messkontext. Account-, Authentifizierungs- und Endkundendaten werden nicht gezielt übermittelt.

12. Fehleranalyse mit Sentry

Zur Erkennung, Analyse und Behebung technischer Fehler verwenden wir Sentry in einer europäischen Datenregion.

Verarbeitet werden ausschließlich erforderliche technische Informationen, insbesondere Fehlerart, Fehlerzeitpunkt, technische Request- und Routinginformationen, Browser- und Geräteinformationen, technische bzw. pseudonyme IDs und Performanceinformationen.

IP-Adressen können im Rahmen der technischen Netzwerkkommunikation verarbeitet werden.

Bestimmungsgemäß werden nicht an Sentry übertragen:

• Prompt-Inhalte;
• KI-Antworten;
• Shopify-Payloads;
• Customer Content;
• Authentifizierungs-Tokens;
• Authorization Header;
• vollständige Request-Bodies mit Kundeninhalten.

Hierzu werden technische Scrubbing-Mechanismen eingesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Fehler- und Security-Daten werden grundsätzlich nicht länger als 90 Tage gespeichert, soweit keine längere Speicherung zur Aufklärung eines konkreten Sicherheitsvorfalls erforderlich ist.

13. Bot-Schutz mit Vercel BotID

Zum Schutz des Formulars für das kostenlose Audit vor automatisierten und missbräuchlichen Anfragen verwenden wir Vercel BotID (Vercel Inc., USA). Beim Absenden des Formulars prüft ein Skript im Browser technische Merkmale des Browsers und Geräts, um Bots von Menschen zu unterscheiden. Dabei können insbesondere IP-Adresse, Browser- und Geräteinformationen sowie technische Signale der Browserumgebung verarbeitet werden. Für diese Prüfung kann das Skript ein technisch erforderliches Cookie bzw. einen Eintrag im Browser speichern; er dient ausschließlich der Unterscheidung von Bots und Menschen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im Schutz des Dienstes vor Missbrauch und unnötigen Messkosten. Der Zugriff auf Informationen im Endgerät erfolgt auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG, weil er für die Bereitstellung des angeforderten Formulars unbedingt erforderlich ist.

13a. Reichweitenmessung mit Vercel Web Analytics

Auf unseren öffentlichen Websites (rankyn.ai, nicht in der rankyn-Anwendung) verwenden wir Vercel Web Analytics (Vercel Inc., USA), um zu messen, wie oft unsere Seiten aufgerufen werden und von welchen Seiten Besucher kommen. Vercel Web Analytics arbeitet ohne Cookies und speichert keine Informationen auf Ihrem Endgerät und liest keine aus.

Verarbeitet werden insbesondere die aufgerufene Seite (ohne URL-Parameter, die wir vor der Übermittlung entfernen), die verweisende Seite, der Zeitpunkt des Aufrufs, Browsertyp, Betriebssystem, Gerätetyp und das aus der IP-Adresse abgeleitete Land. Die IP-Adresse wird nicht gespeichert; sie wird nur gekürzt bzw. gehasht verwendet, um Aufrufe innerhalb eines Tages zu zählen. Dieser Hash wird nach 24 Stunden verworfen, sodass ein Besucher nicht tagesübergreifend wiedererkannt werden kann. Wir nutzen die Daten nicht, um einzelne Besucher zu identifizieren, und führen sie nicht mit anderen Daten zusammen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt darin, die Reichweite unserer Websites zu kennen und ihre Stabilität sicherzustellen.

Empfänger ist die Vercel Inc., die bereits für das Hosting als unser Auftragsverarbeiter tätig ist (Abschnitt 4). Eine Übermittlung in die USA kann unter denselben Voraussetzungen wie beim Hosting erfolgen (Abschnitt 21).

In der rankyn-Anwendung setzt rankyn keine Produktanalyse-Dienste ein.

14. Cookies und ähnliche Technologien

rankyn verwendet nur Cookies bzw. lokale Speichermechanismen, die für die Bereitstellung ausdrücklich angeforderter Funktionen technisch erforderlich sind.

Hierzu können insbesondere Login- und Session-Informationen, Authentifizierungsstatus, Sicherheits- und CSRF-Schutz sowie technisch erforderliche Präferenzen gehören.

Soweit eine Speicherung oder ein Zugriff auf Informationen im Endgerät technisch unbedingt erforderlich ist, erfolgt dies auf Grundlage von § 25 Abs. 2 Nr. 2 TDDDG.

Sprachwahl (`rankyn_lang`): Wählst du auf unserer Website ausdrücklich eine Sprache (Schalter „EN / DE“), speichern wir diese Wahl im Cookie rankyn_lang (Wert en oder de, Laufzeit 12 Monate), damit weitere Seiten in der gewählten Sprache erscheinen. Das Cookie enthält keine Kennung und wird nicht zur Analyse oder Wiedererkennung genutzt. Ohne ausdrückliche Wahl wird es nicht gesetzt; du kannst es jederzeit in deinem Browser löschen. Rechtsgrundlage ist § 25 Abs. 2 Nr. 2 TDDDG, für die Verarbeitung Art. 6 Abs. 1 lit. f DSGVO (Bereitstellung der Website in der gewünschten Sprache).

rankyn setzt in der derzeit vorgesehenen Konfiguration keine Advertising-Cookies, Remarketing-Cookies, Marketing-Pixel, Google-Analytics-Cookies, Meta-Pixel oder sonstigen nicht erforderlichen Tracking-Cookies ein.

15. E-Mail-Versand und Newsletter über Resend

Für technische, transaktionale und – nach entsprechender Anmeldung – werbliche E-Mails verwenden wir Resend, einen Dienst der Plus Five Five, Inc., USA.

Transaktionale E-Mails

Über Resend können insbesondere Account- und Serviceinformationen, Login- oder Sicherheitsnachrichten, technische Statusmeldungen, Vertrags- und Produktinformationen sowie sonstige für die Geschäftsbeziehung erforderliche E-Mails versendet werden.

Hierfür können insbesondere Name, E-Mail-Adresse, Unternehmens- bzw. Organisationsbezug, E-Mail-Inhalt, Versandzeitpunkt, Zustellstatus und technische Versandinformationen verarbeitet werden.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. bei Ansprechpartnern eines Unternehmenskunden Art. 6 Abs. 1 lit. f DSGVO.

Newsletter

Für unseren Newsletter melden Sie sich ausschließlich über das freiwillige, nicht vorausgewählte Häkchen im Formular für das kostenlose Audit an. Ohne dieses Häkchen erhalten Sie keinen Newsletter; das Audit hängt nicht davon ab. Wir verarbeiten hierfür insbesondere E-Mail-Adresse, Zeitpunkt der Anmeldung, Zeitpunkt der Bestätigung, Status der Anmeldung und technische Informationen zum Nachweis der Einwilligung.

Vor dem ersten Newsletter-Versand bestätigen Sie Ihre Anmeldung über einen Link per E-Mail (Double-Opt-In).

Rechtsgrundlage für den Newsletterversand ist Art. 6 Abs. 1 lit. a DSGVO.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, insbesondere über einen Abmeldelink oder per Nachricht an info@rankyn.ai.

Nach Abmeldung wird die Adresse aus dem aktiven Verteiler entfernt. Soweit erforderlich, können minimale Nachweisdaten gespeichert bleiben.

rankyn verwendet in v1 kein individuelles Öffnungs- oder Klicktracking zur Erstellung personenbezogener Nutzungsprofile.

Eine Verarbeitung kann in den USA stattfinden.

16. Zahlung und Abrechnung über Stripe

Für Zahlungsabwicklung, Abonnementverwaltung und Abrechnung verwenden wir Stripe.

Dabei können insbesondere Name, Unternehmensname, Rechnungsadresse, E-Mail-Adresse, Umsatzsteuer-ID, Zahlungsbetrag, Währung, Zahlungsstatus, Rechnungs- und Transaktions-ID, Zahlungsmethode und technische Zahlungsinformationen verarbeitet werden.

Vollständige Kreditkartendaten werden grundsätzlich direkt durch Stripe verarbeitet und nicht von rankyn gespeichert.

Rechtsgrundlage für die Zahlungsabwicklung ist Art. 6 Abs. 1 lit. b DSGVO. Die Speicherung steuer- und handelsrechtlich erforderlicher Rechnungs- und Buchungsinformationen erfolgt auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO.

Stripe kann je nach konkreter Verarbeitung sowohl als Auftragsverarbeiter als auch in eigener datenschutzrechtlicher Verantwortlichkeit handeln.

17. Kontaktaufnahme

Wenn Sie mit uns Kontakt aufnehmen, beispielsweise per E-Mail, verarbeiten wir die mitgeteilten Informationen zur Bearbeitung Ihrer Anfrage.

Hierzu können Name, E-Mail-Adresse, Unternehmen, Position, Telefonnummer soweit freiwillig angegeben, Inhalt der Nachricht und sonstige freiwillig mitgeteilte Informationen gehören.

Bei vertragsbezogenen Anfragen ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO, bei sonstigen geschäftlichen Anfragen Art. 6 Abs. 1 lit. f DSGVO.

Unsere geschäftlichen E-Mail-Postfächer (insbesondere info@rankyn.ai und support@rankyn.ai) werden über Google Workspace (Google Cloud EMEA Limited, Irland; Google LLC, USA) betrieben. Google verarbeitet die Postfachdaten in unserem Auftrag auf Grundlage des Google Cloud Data Processing Addendum; Übermittlungen in die USA sind durch die Zertifizierung von Google LLC unter dem EU-US Data Privacy Framework und ergänzend durch Standardvertragsklauseln abgesichert.

Für Gesprächstermine verlinken wir auf eine Buchungsseite von Cal.com (Cal.com, Inc., USA). Auf unseren Seiten wird nichts von Cal.com eingebunden oder geladen; Daten erhebt Cal.com erst, wenn Sie dem Link folgen und dort einen Termin buchen. Dort gelten die Datenschutzhinweise von Cal.com.

17a. Kostenloses Audit (Free Audit)

Über rankyn.ai (auch über Kurzlinks wie rankyn.ai/b/audit, etwa aus dem rankyn Readiness Brief) können Unternehmen ein kostenloses, einmaliges Audit zur Darstellung ihrer Produkte in KI-Systemen anfordern.

Was wir speichern: die Shop-Domain, die geschäftliche E-Mail-Adresse, die öffentlich abrufbaren Produktdaten der Shop-Website (insbesondere Produktnamen, Kategorien, Marken, Preise, Produkt-URLs und strukturierte Produktdaten) bzw. – wenn Sie die Produkte selbst eingeben – die eingegebenen Produktnamen und die Marke, die Messergebnisse des Audits sowie technische Angaben zum Zeitpunkt der Anfrage und zum Versand. Zur Begrenzung von Anfragen speichern wir keine IP-Adresse, sondern nur einen kryptografischen Hashwert eines IP-Adressbereichs.

Abruf der Shop-Website: Die Produktdaten rufen wir automatisiert von der angegebenen Shop-Website ab. Dabei beachten wir die Vorgaben der robots.txt und geben uns mit einem eigenen User-Agent (rankyn-audit) zu erkennen.

Wozu: Wir erstellen aus diesen Daten das Audit, führen dafür Messungen bei den in den Abschnitten 10 und 11 genannten Diensten durch und senden Ihnen das Ergebnis per E-Mail über den in Abschnitt 15 beschriebenen Dienst. An KI-Anbieter und Messdienste gehen nur Domain, Produkt-, Marken- und Kategorieangaben, nicht Ihre E-Mail-Adresse. Zum Schutz des Formulars setzen wir den in Abschnitt 13 beschriebenen Bot-Schutz ein.

Newsletter: Werbliche E-Mails erhalten Sie nur, wenn Sie das freiwillige Häkchen für den Newsletter gesetzt haben (Abschnitt 15).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung vorvertraglicher Maßnahmen auf Anfrage) bzw. bei Ansprechpartnern eines Unternehmens Art. 6 Abs. 1 lit. f DSGVO. Das Audit begründet keinen SaaS-Vertrag und keinen Trial. Kurzlinks können Marketing-Parameter (z. B. Quelle des Links) enthalten, die nicht personenbezogen ausgewertet werden.

Wie lange: Für das Audit wird kein Benutzerkonto für Sie angelegt; es läuft in einem internen Arbeitsbereich von rankyn. Domain, E-Mail-Adresse, Produktdaten und Audit-Ergebnisse löschen wir nach zwölf Monaten, sofern Sie keinen Trial bzw. Vertrag beginnen oder gesetzliche Aufbewahrungspflichten entgegenstehen.

18. Speicherdauer und Löschung

Wir speichern personenbezogene Daten grundsätzlich nur so lange, wie dies für den jeweiligen Zweck erforderlich ist.

Account- und Vertragsdaten

Account- und Nutzerdaten werden grundsätzlich für die Dauer der Geschäfts- bzw. Vertragsbeziehung gespeichert.

Nach Vertragsende werden operative Kundendaten grundsätzlich 30 Tage für einen möglichen Export bereitgehalten und anschließend aus aktiven Produktivsystemen gelöscht, soweit keine andere Rechtsgrundlage entgegensteht.

Produkt- und Messdaten

Prompts, KI-Antworten und zugehörige Provider-Rohobjekte werden während der Vertragslaufzeit für Monitoring, Zeitreihen und Retest-Evidenz gespeichert.

Die Antworttexte der gemessenen KI-Systeme und die daraus abgeleiteten Auswertungen (insbesondere Erwähnungen, Positionen, Zitate, Kennzahlen und Findings) liegen in der Datenbank (PostgreSQL) und werden dort grundsätzlich bis zu 12 Monate vorgehalten. Die vollständigen Rohdaten einer Messung (Provider-Rohobjekte) werden komprimiert in Supabase Storage gespeichert und 365 Tage nach der Messung gelöscht.

Backups

Produktive Datenbanksicherungen werden nach der vorgesehenen Produktivkonfiguration täglich erstellt und grundsätzlich für sieben Tage rotierend aufbewahrt. Sie umfassen die Datenbank einschließlich der Antworttexte und Auswertungen. Die in Supabase Storage gespeicherten Rohdaten der Messungen sind von diesen Sicherungen nicht erfasst; für sie besteht kein gesondertes Backup.

Logs

Application- und Security-Logs werden grundsätzlich höchstens 90 Tage gespeichert. Bei konkreten Sicherheitsvorfällen können relevante Logs bis zum Abschluss der Untersuchung und Dokumentation länger gespeichert werden.

Rechnungs- und Geschäftsunterlagen

Handels- und steuerrechtlich relevante Unterlagen werden entsprechend den jeweils geltenden gesetzlichen Aufbewahrungsfristen gespeichert. Je nach Dokument können diese insbesondere sechs, acht oder zehn Jahre betragen.

19. Anonymisierte und aggregierte Daten

Wir können Daten so anonymisieren und aggregieren, dass weder eine natürliche Person noch ein bestimmter Kunde mit vernünftigerweise verfügbaren Mitteln identifiziert werden kann.

Solche anonymisierten Informationen können insbesondere für Kategorie-Benchmarks, allgemeine Modellvergleiche, aggregierte Marktstatistiken und technische Performanceanalysen verwendet werden.

20. Empfänger personenbezogener Daten

Personenbezogene Daten werden nur weitergegeben, soweit dies erforderlich oder gesetzlich zulässig ist.

Hierzu können insbesondere Hosting- und Cloudanbieter, Datenbankanbieter, Authentifizierungsanbieter, E-Mail-Dienstleister, Zahlungsdienstleister, Fehler- und Security-Monitoring-Anbieter, Anbieter von Bot-Schutz und Reichweitenmessung, KI-API-Anbieter und technische Messdienste soweit im Ausnahmefall personenbezogene Daten verarbeitet werden, Steuerberater, sonstige professionelle Berater, Behörden oder Gerichte gehören.

Soweit Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir erforderliche Verträge zur Auftragsverarbeitung gemäß Art. 28 DSGVO.

Bright Data, DataForSEO und cloro werden nach der derzeitigen Produktarchitektur nicht als Empfänger personenbezogener Customer-Content-Daten eingesetzt.

21. Übermittlungen in Drittländer

Einige Dienstleister haben ihren Sitz außerhalb des EWR oder setzen dort Unterauftragsverarbeiter ein.

Personenbezogene Daten werden nur dann in ein Drittland übermittelt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Als Übermittlungsgrundlage kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission, das EU-US Data Privacy Framework soweit der konkrete Empfänger wirksam zertifiziert ist, Standardvertragsklauseln der Europäischen Kommission oder andere gesetzlich zugelassene Garantien in Betracht.

Informationen über die jeweils eingesetzten Garantien können unter info@rankyn.ai angefragt werden.

22. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, insbesondere:

• HTTPS/TLS;
• Verschlüsselung gespeicherter Daten über eingesetzte Cloudanbieter;
• MFA für administrative Systeme;
• individuelle administrative Benutzerkonten;
• sichere Verwaltung von API-Schlüsseln und Secrets;
• keine Secrets im Quellcode-Repository;
• Mandantentrennung;
• Row Level Security;
• Berechtigungs- und Ownership-Prüfungen;
• getrennte Entwicklungs- und Produktionsumgebungen;
• Datenminimierung bei Analytics und Error Monitoring;
• regelmäßige Sicherungen;
• dokumentierter Security- und Datenschutz-Incident-Prozess.

23. Herkunft personenbezogener Daten

Personenbezogene Daten erhalten wir grundsätzlich direkt von der betroffenen Person.

Daneben können uns Daten von dem Unternehmen zur Verfügung gestellt werden, für das eine Person tätig ist, beispielsweise bei Einladung in einen Workspace.

Bei Anmeldung über Google können wir die zur Authentifizierung erforderlichen Daten aus dem autorisierten Google-Konto erhalten.

Wir erheben bestimmungsgemäß keine personenbezogenen Endkundendaten aus angebundenen Shopify-Shops.

24. Pflicht zur Bereitstellung bestimmter Daten

Für die Erstellung und Nutzung eines rankyn-Accounts sind bestimmte Angaben erforderlich, insbesondere eine E-Mail-Adresse und zur Authentifizierung erforderliche Informationen.

Zahlungs- und Rechnungsinformationen sind erforderlich, soweit ein kostenpflichtiger Vertrag geschlossen wird.

25. Automatisierte Entscheidungen

rankyn setzt keine personenbezogenen Daten für ausschließlich automatisierte Entscheidungen im Sinne des Art. 22 DSGVO ein, die gegenüber einer betroffenen Person rechtliche Wirkung entfalten oder sie in ähnlicher Weise erheblich beeinträchtigen.

26. Rechte betroffener Personen

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen insbesondere Rechte auf:

• Auskunft;
• Berichtigung;
• Löschung;
• Einschränkung der Verarbeitung;
• Datenübertragbarkeit;
• Widerruf einer erteilten Einwilligung mit Wirkung für die Zukunft.

Widerspruchsrecht nach Art. 21 DSGVO

Sie haben das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit gegen die Verarbeitung Sie betreffender personenbezogener Daten Widerspruch einzulegen, soweit diese Verarbeitung auf Art. 6 Abs. 1 lit. e oder f DSGVO beruht.

Wir verarbeiten die betreffenden personenbezogenen Daten nach einem solchen Widerspruch nicht mehr, es sei denn, wir können zwingende schutzwürdige Gründe für die Verarbeitung nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen.

Werden personenbezogene Daten zum Zweck der Direktwerbung verarbeitet, können Sie dieser Verarbeitung jederzeit ohne Angabe von Gründen widersprechen.

Beschwerderecht

Sie haben außerdem das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren.

Für rankyn ist insbesondere zuständig:

Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW)
Kavalleriestraße 2–4
40213 Düsseldorf
Deutschland

27. Ausübung Ihrer Rechte

Zur Ausübung Ihrer Datenschutzrechte oder bei Fragen kontaktieren Sie:

info@rankyn.ai

Wir können erforderlichenfalls angemessene Informationen zur Bestätigung Ihrer Identität anfordern.

28. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Dienste, technische Infrastruktur, eingesetzte Dienstleister, Verarbeitungszwecke oder rechtliche Anforderungen ändern.

Es gilt die jeweils veröffentlichte aktuelle Fassung.