Datenschutz­erklärung

Stand: 09.10.2026

Diese Erklärung gilt für die Websites vanilla404x.de und kihotline.vanilla404x.de, für das Kundenportal, den Mitarbeiterbereich und das Vertriebsportal unter portal.vanilla404x.de (technisch auch unter den Firebase-Adressen lizenz-server.web.app, lizenz-server.firebaseapp.com, vanilla404x-portal.web.app und vanilla404x-portal.firebaseapp.com erreichbar) und für die Daten, die wir bei der Nutzung der Software VANILLA404x selbst verarbeiten.

1. Verantwortlicher

Baris Ulupinar, handelnd unter „VANILLA404x“, Industriestr. 2, 76689 Karlsdorf-Neuthard, E-Mail: info@vanilla404x.de.

Ein Datenschutzbeauftragter ist nicht bestellt, weil keine gesetzliche Pflicht dazu besteht.

2. Überblick

VANILLA404x ist eine Software, die auf dem Rechner unserer Kunden läuft. Die Geschäftsdaten unserer Kunden (Kontakte, Rechnungen, E-Mails, Termine, Dokumente) werden dort gespeichert, nicht bei uns. Wir verarbeiten nur die unten genannten Daten. Soweit wir Daten im Auftrag unserer Kunden verarbeiten (z. B. bei der Vermittlung von KI-Anfragen), ist unser Kunde verantwortlich; dafür schließen wir mit ihm einen Vertrag zur Auftragsverarbeitung.

3. Besuch dieser Website

Die Website und das Kundenportal werden über Firebase Hosting ausgeliefert, einen Dienst der Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland. Dabei werden technisch notwendige Daten verarbeitet: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem. Google speichert die IP-Adressen einige Monate, um Missbrauch zu erkennen. Das ist nötig, um die Website auszuliefern und abzusichern (Art. 6 Abs. 1 lit. f DSGVO). Mit Google besteht ein Vertrag zur Auftragsverarbeitung (Cloud Data Processing Addendum). Die Auslieferung läuft über Googles weltweites Netz; eine Verarbeitung in den USA ist daher nicht ausgeschlossen. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).

Die Website setzt keine Cookies und verwendet keine Werbewerkzeuge und keine Analysewerkzeuge fremder Anbieter. Schriften und alle übrigen Inhalte werden über denselben Hosting-Dienst (Firebase, siehe oben) ausgeliefert; es werden keine Daten an weitere Anbieter übertragen.

Besucherzählung ohne Cookies. Damit wir sehen, wie viele Menschen die Website gerade besuchen und woher sie kommen, meldet die Seite sich alle 30 Sekunden kurz bei unserem eigenen Server (Google Cloud Run, Rechenzentrum Frankfurt am Main), solange sie im Browser sichtbar ist. Dabei werden verarbeitet: eine zufällige Kennung, die nur bis zum Schließen der Seite gilt und nicht auf Ihrem Gerät gespeichert wird, die aufgerufene Seite (z. B. Startseite oder Datenschutz), die Seite, von der Sie gekommen sind (z. B. Instagram oder eine Suchmaschine), die Geräteart (Handy, Tablet, Computer), Betriebssystem und Browser sowie eine gekürzte IP-Adresse (die letzten Stellen werden entfernt, bei IPv4 das letzte Byte, bei IPv6 alles nach den ersten 48 Bit), aus der wir den ungefähren Ort (Stadt oder Region) ableiten. Die vollständige IP-Adresse speichern wir dafür nicht. Die Einträge werden in der Regel nach etwa 10 Minuten automatisch gelöscht; danach bleiben nur Tageszahlen ohne Bezug zu einer Person (z. B. „12 Besuche, davon 5 über Instagram“). Rechtsgrundlage ist unser berechtigtes Interesse, unser Angebot und unsere Werbung zu verbessern (Art. 6 Abs. 1 lit. f DSGVO). Dazu liest ein kleines Skript im Browser die Herkunftsangabe (die vorherige Seite oder eine Angabe wie „utm_source“ in der Adresse) und die Einstellungen „Do Not Track“ und „Global Privacy Control“ aus. Auf Ihrem Gerät wird nichts gespeichert. Haben Sie in Ihrem Browser „Do Not Track“ oder „Global Privacy Control“ eingeschaltet, findet die Zählung nicht statt. Sie können der Verarbeitung außerdem jederzeit widersprechen (siehe Ihre Rechte). Die Ortsangabe beruht auf der Datenbank „IP to City Lite“ von DB-IP (db-ip.com, Lizenz CC BY 4.0); sie wird nur bei uns ausgewertet, die gekürzte Adresse wird nicht an DB-IP übermittelt.

Der Chat-Assistent auf der Website beantwortet Fragen mit festen Antworten direkt in Ihrem Browser. Was Sie dort eingeben, wird nicht gespeichert und nicht an uns oder Dritte übertragen.

Unten auf der Seite verlinken wir auf unsere Auftritte in sozialen Netzwerken (z. B. Instagram). Das sind einfache Links, keine eingebetteten Inhalte: Erst wenn Sie einen Link anklicken, verlassen Sie unsere Seite, und es gelten die Datenschutzbestimmungen des jeweiligen Netzwerks.

4. Kontaktformular und E-Mail

Wenn Sie uns über das Formular, über die Terminbuchung oder per E-Mail schreiben, verarbeiten wir Ihre Angaben (Name, Firma, E-Mail, auf Wunsch Telefon, Anliegen, Nachricht, bei der Terminbuchung zusätzlich Wunschtermin und Thema), um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO bei Anfragen zu einem Vertrag, sonst lit. f). Rufen Sie uns an, gilt dasselbe für Ihre Telefonnummer und das, was Sie uns am Telefon mitteilen. Anfragen aus dem Formular werden auf unserem Server (Google Cloud, Region Frankfurt, siehe Nr. 9) gespeichert und uns per E-Mail zugestellt. Bearbeiten können sie der Inhaber und von ihm schriftlich zur Vertraulichkeit verpflichtete Personen; unsere Antwort erhalten Sie per E-Mail. Zum Schutz vor Missbrauch verarbeiten wir dabei kurzzeitig Ihre IP-Adresse.

Unser E-Mail-Postfach liegt bei der IONOS SE, Elgendorfer Str. 57, 56410 Montabaur. Wir löschen Anfragen, wenn sie erledigt sind und keine Aufbewahrungspflicht besteht, spätestens nach 12 Monaten. Geschäftsbriefe bewahren wir 6 Jahre auf (§ 257 HGB, § 147 AO).

5. Vertrag und Abrechnung

Für den Vertrag verarbeiten wir Firma, Ansprechpartner, Anschrift, E-Mail, Telefon, gebuchtes Paket, Lizenzdaten und Zahlungsinformationen (Art. 6 Abs. 1 lit. b DSGVO). Rechnungen und Buchungsbelege bewahren wir wegen gesetzlicher Pflichten 8 Jahre auf (Art. 6 Abs. 1 lit. c DSGVO i. V. m. § 147 AO, § 257 HGB).

Wurde Ihr Vertrag über einen Vertriebspartner vermittelt, sieht dieser in seinem Portal Ihren Firmennamen, das gebuchte Paket, den monatlichen Preis sowie den Lizenz- und Zahlungsstatus, soweit das für die Abrechnung seiner Provision nötig ist (Art. 6 Abs. 1 lit. f DSGVO).

6. Lizenzprüfung und KI-Kontingent

Die Software fragt regelmäßig bei unserem Lizenzserver nach, ob die Lizenz gültig ist, und holt dort den Zugang zu den KI-Funktionen. Dabei verarbeiten wir:

Zweck: Durchführung des Vertrags, Schutz vor unerlaubter Nutzung, Abrechnung des Kontingents (Art. 6 Abs. 1 lit. b und f DSGVO). Die Inhalte der KI-Anfragen werden auf dem Lizenzserver nicht gespeichert. Zähler löschen wir 13 Monate nach ihrem Entstehen, Personennamen an Arbeitsplätzen, sobald der Rechner abgemeldet wird, spätestens mit Vertragsende, Lizenzdaten mit Ende der gesetzlichen Aufbewahrung nach Vertragsende.

6a. Kundenportal

Im Kundenportal melden Sie sich mit Ihrem Lizenzcode an. Damit Sie nicht bei jedem Besuch den Code eingeben müssen, setzen wir ein technisch notwendiges Anmelde-Cookie, das 30 Tage gilt oder bis Sie sich abmelden; dafür ist keine Einwilligung nötig (§ 25 Abs. 2 Nr. 2 TDDDG). Wir verarbeiten dabei Ihre IP-Adresse und protokollieren Anmeldungen und Fehlversuche zum Schutz vor Missbrauch (Art. 6 Abs. 1 lit. f DSGVO). Während das Portal offen ist, fragt es regelmäßig nach Neuigkeiten (nur Anmelde-Cookie, keine weiteren Daten). Damit die Seite nach dem Aktualisieren an derselben Stelle bleibt, merkt sich der Browser kurz die Scrollposition im Sitzungsspeicher; sie wird beim Schließen des Tabs gelöscht (§ 25 Abs. 2 Nr. 2 TDDDG). Rechnungen, die wir Ihnen dort bereitstellen, speichern wir bis zum Ende der gesetzlichen Aufbewahrung. Im Portal können Sie unter „Tickets“ Probleme melden, Dateien hochladen, antworten und unsere Antworten lesen; dafür gilt Nr. 7.

6b. Ereignisprotokoll

Wir protokollieren Vorgänge rund um Ihre Lizenz (Aktivierung, neue oder abgemeldete Rechner, Statusänderungen, Anmeldungen und fehlgeschlagene Anmeldeversuche im Portal, im Mitarbeiterbereich und im Vertriebsportal) mit Zeitpunkt und IP-Adresse, um Missbrauch zu erkennen und Rückfragen beantworten zu können (Art. 6 Abs. 1 lit. f DSGVO). Die Einträge werden nach 12 Monaten automatisch gelöscht.

6c. Vertriebspartner

Arbeiten Sie als Vertriebspartner mit uns, verarbeiten wir Name, E-Mail, Provisionssatz, die Ihnen zugeordneten Kunden und Auszahlungen (Art. 6 Abs. 1 lit. b DSGVO; Buchhaltung Art. 6 Abs. 1 lit. c DSGVO). Ihr Zugangscode wird nur als Prüfsumme gespeichert. Für die Dauer der Anmeldung im Vertriebsportal (höchstens 12 Stunden) setzen wir ein technisch notwendiges Cookie (§ 25 Abs. 2 Nr. 2 TDDDG). Den von Ihnen vermittelten Kunden nennen wir Ihren Namen und Ihre E-Mail-Adresse als Ansprechpartner (im Kundenportal unter „Ihr Ansprechpartner“ und in der Willkommens-Mail; Art. 6 Abs. 1 lit. b DSGVO).

6d. Schutz der Anmeldung (Mitarbeiterbereich und Vertriebsportal)

Damit niemand Passwörter durchprobieren kann, speichern wir fehlgeschlagene Anmeldeversuche mit Zeitpunkt, dem betroffenen Zugang und einer mit geheimem Schlüssel gebildeten Prüfsumme der Verbindungsadressen – nicht die Adressen selbst – für höchstens etwa zwei Tage (Art. 6 Abs. 1 lit. f DSGVO). Zusätzlich steht jeder Fehlversuch mit Zeitpunkt und IP-Adresse im Ereignisprotokoll (siehe 6b); diese Einträge werden nach 12 Monaten automatisch gelöscht. Nach einer erfolgreichen Anmeldung vermerken wir im technisch notwendigen Anmelde-Cookie für 180 Tage, dass sich dieses Gerät bereits angemeldet hat; so können Fehlversuche Dritter Ihren Zugang auf diesem Gerät nicht sperren (§ 25 Abs. 2 Nr. 2 TDDDG).

7. Fehlerberichte

Stürzt die Software ab oder gibt es eine Störung (z. B. wiederholte Verbindungsabbrüche oder sehr langsame Antworten), sendet sie automatisch einen technischen Fehlerbericht an unseren Server: Fehlerart und Fehlermeldung (bis 8.000 Zeichen), Programmstelle und Aufrufverlauf, Programm-, Windows- und Python-Version, Name des Rechners, Lizenzkennung. Kunden-, Rechnungs- oder E-Mail-Daten werden nicht gezielt gesendet; Benutzernamen, Zugangsdaten, Bankverbindungen, Telefonnummern, E-Mail-Adressen und Dokumentnamen werden vor dem Senden automatisch entfernt. Namen im Text einer Fehlermeldung lassen sich technisch nicht immer erkennen und können vereinzelt enthalten sein. Die Fehlerberichte sind vertraglich vereinbarter Teil des Supports (§ 9 Abs. 6 AGB) und ab Werk eingeschaltet. Rechtsgrundlage ist die Erfüllung des Vertrags mit unserem Kunden (Art. 6 Abs. 1 lit. b DSGVO); soweit Beschäftigte des Kunden betroffen sind, unser und das Interesse des Kunden an einer funktionierenden Software (Art. 6 Abs. 1 lit. f DSGVO). Die Funktion lässt sich in den Einstellungen jederzeit abschalten. Fehlerberichte löschen wir nach 90 Tagen.

Problem melden und Diagnose: Über „Problem melden“ in VANILLA (Einstellungen) senden Sie uns Ihre Beschreibung, auf Wunsch den betroffenen Bereich, E-Mail-Adresse und Telefonnummer für Rückfragen (aus Ihren Firmendaten vorbelegt, änderbar), Ihren Namen aus Einstellungen → Profil (bei einer Meldung im Kundenportal den Namen, den Sie dort angeben), den Namen des Rechners und seine Rechnerkennung (siehe Nr. 6), Dateien, die Sie selbst anhängen (z. B. Screenshots, Fotos, PDF – bitte nur, was für die Fehlersuche nötig ist), sowie den technischen Zustand von VANILLA (Programmversion, Verbindungen, Mikrofon, letzte Störungen). Ihre Kunden, Rechnungen, E-Mails und Passwörter werden dabei nicht übertragen. Für eine Fehlersuche kann VANILLA uns diesen technischen Zustand auch auf unsere Anforderung übermitteln (Diagnose), etwa nachdem Sie uns ein Problem gemeldet haben – nicht, wenn Sie die Fehlerberichte abgeschaltet haben. Wir nutzen das, um Ihr Anliegen zu bearbeiten (Art. 6 Abs. 1 lit. b DSGVO). Meldung, angehängte Dateien und unsere Antworten speichern wir auf unserem Server (Google Cloud, Region Frankfurt, siehe Nr. 9); unsere Antworten erhalten Sie per E-Mail, Stand und Antworten sehen Sie außerdem im Kundenportal unter „Tickets“ (Nr. 6a). Erledigte Anfragen löschen wir samt ihren Dateien nach 12 Monaten, Diagnosedaten nach 90 Tagen. Löschen wir ein Ticket früher, werden seine Dateien sofort mitgelöscht. Zu Ihrer Lizenz und Ihren Tickets führen wir Notizen unseres Supports (z. B. kurze Notizen zu Telefonaten, eine Ansprechpartner-E-Mail); sie werden mit dem Ticket bzw. mit der Lizenz gelöscht.

8. Updates

Die Software fragt bei unserem Server nach neuen Versionen und lädt sie herunter. Dabei werden Ihre IP-Adresse, Ihre Lizenzkennung und die installierte Programmversion verarbeitet (Art. 6 Abs. 1 lit. b DSGVO). Wir speichern dazu keine eigenen Protokolle über die technischen Protokolle des Hosting-Dienstes hinaus.

8a. KI-Telefon

Unser KI-Telefon ist ein digitaler Telefonassistent für Unternehmen: Er nimmt Anrufe an, die ein Unternehmen auf uns umleitet. Für die Daten der Anrufer ist das angerufene Unternehmen verantwortlich; wir verarbeiten sie in dessen Auftrag nach einem Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO). Haben Sie bei einem solchen Unternehmen angerufen, wenden Sie sich mit Fragen zu Ihren Daten bitte zuerst an dieses Unternehmen; erreicht uns Ihre Anfrage, leiten wir sie weiter.

Verarbeitet werden Ihre Rufnummer, Zeitpunkt und Dauer des Anrufs, Ihre Stimme während des Gesprächs, der Gesprächsverlauf als Text und die Angaben, die Sie im Gespräch machen (z. B. Name, Rückrufnummer, Anliegen, Terminwunsch). Tonaufnahmen werden nicht gespeichert. Das angerufene Unternehmen erhält nach dem Gespräch eine Zusammenfassung per E-Mail, auf Wunsch zusätzlich eine kurze SMS. Gespeicherte Anrufe und Termine löschen wir automatisch nach 90 Tagen.

Dienstleister: Telefonie und SMS laufen über Twilio (Twilio Ireland Limited, 3 Dublin Landings, North Wall Quay, Dublin 1, Irland; Konzernmutter Twilio Inc., USA). Twilio speichert Verbindungsdaten (Rufnummern, Zeit, Dauer) und SMS nach eigenen Fristen; eine Verarbeitung in den USA ist möglich und durch verbindliche interne Datenschutzvorschriften (Binding Corporate Rules) und EU-Standardvertragsklauseln abgesichert (Art. 46, 47 DSGVO). Sprachverständnis, Antworten und Sprachausgabe laufen über Gemini von Google (Google Cloud EMEA Limited, Irland); dabei können Daten auch in den USA verarbeitet werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten EU-Standardvertragsklauseln (Art. 45, 46 DSGVO). Die Zusammenfassungen versenden wir über unser E-Mail-Postfach bei der IONOS SE, Montabaur.

9. Empfänger und Drittländer

Innerhalb von VANILLA404x haben nur der Inhaber und von ihm schriftlich zur Vertraulichkeit verpflichtete Personen Zugriff auf Lizenz-, Ticket-, Fehler-, Diagnose- und Anfragedaten; jeder Zugriff wird protokolliert.

Unser Lizenzserver, seine Datenbank und die Dateiablage laufen bei Google Cloud (Google Cloud EMEA Limited, Irland) in der Region Frankfurt; Google sichert die Datenbank täglich (Aufbewahrung 14 Wochen). Zusätzlich sichern wir die Verwaltungsdaten des Lizenzservers auf dem durch Passwort geschützten Arbeitsrechner des Inhabers; diese Sicherungen löschen wir nach höchstens 60 Tagen. Bei jedem Zugriff auf unseren Server (Kundenportal, Lizenzprüfung, Updates, Kontaktformular, Besucherzählung) speichert Google Cloud technische Zugriffsprotokolle mit vollständiger IP-Adresse, Zeitpunkt, aufgerufener Adresse und Browserkennung für 30 Tage; das dient der Sicherheit und der Fehlersuche (Art. 6 Abs. 1 lit. f DSGVO). Die KI-Funktionen nutzen den Dienst Gemini von Google. Dabei können Daten auch in den USA verarbeitet werden. Google LLC ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten EU-Standardvertragsklauseln (Art. 45, 46 DSGVO).

Für die Websuche nutzen wir die Brave Search API der Brave Software, Inc., 580 Howard St. Unit 402, San Francisco, CA 94105, USA. Stellt ein Nutzer eine Suchanfrage, werden der Suchbegriff und – technisch bedingt – die IP-Adresse des Rechners dorthin übertragen; Kundendaten, Dokumente oder E-Mail-Inhalte werden nicht übermittelt. Brave speichert Suchanfragen und IP-Adressen bis zu 90 Tage (Abrechnung, Fehlersuche, Schutz vor Missbrauch) und ordnet sie keinen einzelnen Nutzern zu. Rechtsgrundlage ist unser berechtigtes Interesse an einer aktuellen Websuche (Art. 6 Abs. 1 lit. f DSGVO). Einen Vertrag zur Auftragsverarbeitung mit EU-Standardvertragsklauseln bietet Brave nur für Konto-, Abrechnungs- und Supportdaten an; Suchbegriffe sind davon ausdrücklich ausgenommen. Bitte geben Sie deshalb keine personenbezogenen Daten, etwa Namen von Kunden, in Suchanfragen ein. Auf Wunsch schalten wir die Websuche ab.

Für Fernwartung nutzen wir nach Terminvereinbarung AnyDesk der AnyDesk Software GmbH, Türlenstraße 2, 70191 Stuttgart. Dabei werden die AnyDesk-ID, die IP-Adresse und Zeitpunkt und Dauer der Sitzung verarbeitet; Bildschirminhalte werden nicht aufgezeichnet (Art. 6 Abs. 1 lit. b DSGVO). Mit AnyDesk besteht ein Vertrag zur Auftragsverarbeitung.

Wetterdaten stammen vom Deutschen Wetterdienst (Lizenz CC BY 4.0) und werden über die Schnittstelle Bright Sky (brightsky.dev) abgerufen; übertragen werden dabei nur die Koordinaten des gewählten Ortes, keine Personendaten. Bei jedem Abruf erfährt der Betreiber die IP-Adresse des Rechners, von dem aus abgerufen wird (Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse an der Bereitstellung der Funktion). Der Abruf erfolgt nur, wenn der Nutzer die Funktion verwendet. Für Währungsumrechnungen ruft VANILLA die Wechselkurse der Europäischen Zentralbank über die Schnittstelle Frankfurter (api.frankfurter.app) ab; übertragen werden nur Betrag und Währungen sowie technisch bedingt die IP-Adresse (Art. 6 Abs. 1 lit. f DSGVO). Auch dieser Abruf erfolgt nur, wenn der Nutzer eine Währung umrechnen lässt. Verbindet ein Kunde VANILLA mit eigenen Konten bei anderen Diensten (z. B. E-Mail-Postfach, Discord, Slack, Microsoft Teams, Shop- oder Social-Media-Konten), gehen die Daten direkt vom Rechner des Kunden an diesen Dienst; dafür ist der Kunde verantwortlich, wir erhalten diese Daten nicht.

10. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21). Eine erteilte Einwilligung können Sie jederzeit für die Zukunft widerrufen. Schreiben Sie dazu an info@vanilla404x.de.

Widerspruchsrecht (Art. 21 DSGVO): Soweit wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse) verarbeiten, können Sie dem jederzeit aus Gründen, die sich aus Ihrer besonderen Situation ergeben, widersprechen. Schreiben Sie dazu an info@vanilla404x.de.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren, z. B. bei der für uns zuständigen: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Heilbronner Straße 35, 70191 Stuttgart.

11. Automatisierte Entscheidungen

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO.

12. Pflicht zur Bereitstellung

Für den Vertrag und die Lizenzprüfung sind die genannten Daten erforderlich. Ohne sie können wir die Software nicht bereitstellen. Für eine Anfrage über das Kontaktformular genügen Name, Firma und E-Mail-Adresse.