Stand: Entwurf, noch nicht veröffentlicht

Datenschutz.

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten ist Cesca Digital UG (haftungsbeschränkt) i. G. — die vollständigen Kontaktdaten stehen im Impressum.

2. Wofür diese Erklärung gilt

Diese Erklärung gilt für die Website seocesca.de und für die Anwendung unter app.seocesca.de. Beides betreibt derselbe Anbieter. Wo sich die Verarbeitung unterscheidet, steht es im jeweiligen Abschnitt.

Für Inhalte, die wir im Auftrag eines Kunden auf dessen eigener Website ändern, handeln wir auf seine Weisung. Für alles Übrige — die Messung, die gespeicherten KI-Antworten und die Angaben zu Wettbewerbern — sind wir selbst verantwortlich.

3. Keine Cookies und kein Tracking auf der Website

Diese Website setzt keine Cookies, verwendet keine Analyse- oder Reichweitenmessung und bindet keine Inhalte von fremden Servern ein — auch keine Schriftarten, Karten oder Videos. Die verwendete Schrift wird vom eigenen Server ausgeliefert. Beim Aufruf werden deshalb keine Daten an Dritte übermittelt, und es ist keine Einwilligung nach § 25 TDDDG erforderlich.

In der Anwendung ist das anders: Dort setzen wir ein technisch notwendiges Cookie, das Sie angemeldet hält. Es dient allein diesem Zweck, wird nicht ausgewertet und braucht keine Einwilligung.

4. Aufruf der Seiten (Server-Protokolle)

Beim Abruf verarbeitet der Server technisch notwendige Daten wie IP-Adresse, Zeitpunkt, abgerufene Datei und übermittelte Datenmenge. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; das berechtigte Interesse liegt im sicheren und störungsfreien Betrieb.

Website und Anwendung laufen bei Vercel. Die Auslieferung erfolgt aus der europäischen Region (Frankfurt am Main); das Unternehmen sitzt in den USA, weshalb ein Zugriff von dort nicht ausgeschlossen ist. Zur Übermittlung in die USA siehe den Abschnitt „Übermittlung in die USA“.

5. Das Formular auf der Startseite

Auf der Startseite können Sie die Adresse Ihrer Website eintragen. Mit dem Absenden geht diese Adresse an app.seocesca.de — an dieselbe Stelle, die anschließend die Analyse durchführt. Übermittelt wird nur, was Sie eingetippt haben, dazu die technischen Angaben aus dem vorigen Abschnitt.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO: Die Eingabe ist der erste Schritt zu einem Vertrag. Eine Website-Adresse ist für sich genommen kein personenbezogenes Datum — bei einem Einzelunternehmen kann sie es sein, etwa bei meier-elektro.de.

6. Konto und Anmeldung

Für die Analyse brauchen Sie ein Konto. Gespeichert werden Ihr Name, Ihre E-Mail-Adresse und der Zeitpunkt der Anmeldung.

Ein Passwort speichern wir nicht. Die Anmeldung läuft über einen einmaligen Code oder Link, den wir Ihnen per E-Mail schicken. Zu jeder aktiven Sitzung speichern wir zusätzlich IP-Adresse und Browserkennung, um sie bei Missbrauch beenden zu können. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.

Damit niemand über unser Formular massenhaft Anmelde-Mails an fremde Adressen schicken kann, zählen wir die Anforderungen: je E-Mail-Adresse und je IP-Adresse eine mit einem geheimen Schlüssel gebildete Prüfsumme mit Zeitpunkt, aus der sich weder Adresse noch IP zurücklesen lassen. Nach 24 Stunden löschen wir sie. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist, Missbrauch zu verhindern.

An dieselbe Adresse schicken wir zwei Nachrichten zu Ihrem Auftrag: das Ergebnis jeder Messrunde und einen Hinweis, wenn Textentwürfe auf Ihre Freigabe warten. Werbung ist das nicht; Rechtsgrundlage ist ebenfalls Artikel 6 Absatz 1 Buchstabe b DSGVO. Was wir darüber hinaus schicken, steht im nächsten Abschnitt.

Den Versand dieser E-Mails und der Anmeldelinks übernimmt unser Domain- und Mail-Anbieter INWX mit Sitz und Serverstandort in Berlin.

7. Hinweise auf die Nachmessung per E-Mail

Haben Sie eine Messrunde gekauft, schicken wir Ihnen Hinweise auf ein eigenes ähnliches Angebot: die Nachmessung, also dieselbe Messung noch einmal. Das sind zwei Dinge — ein Absatz in der Ergebnis-Mail und genau eine Erinnerung je Messrunde, frühestens sechs Wochen nach ihr. Für andere Angebote und für Angebote Dritter verwenden wir Ihre Adresse nicht.

Grundlage ist § 7 Absatz 3 UWG: Der Hinweis darauf steht am Formular, in das Sie Ihre E-Mail-Adresse eintragen, und in jeder dieser E-Mails. Datenschutzrechtlich stützen wir uns auf Artikel 6 Absatz 1 Buchstabe f DSGVO; unser berechtigtes Interesse ist, Kunden auf die Nachmessung aufmerksam zu machen. Stand der Hinweis nicht am Formular — etwa bei Konten, die vor dem 1. Oktober 2026 entstanden sind —, bekommen Sie diese Hinweise nur, wenn Sie sie in Ihrem Konto selbst einschalten (Einwilligung, Artikel 6 Absatz 1 Buchstabe a DSGVO).

Sie können dem jederzeit widersprechen oder Ihre Einwilligung widerrufen: mit einem Klick auf den Verweis am Ende jeder solchen E-Mail, mit einer Antwort auf die E-Mail oder in Ihrem Konto unter „Kauf und Abrechnung“. Dafür entstehen keine anderen Kosten als die Übermittlungskosten nach den Basistarifen. Das Ergebnis einer gekauften Messrunde bekommen Sie weiterhin — es gehört zu Ihrem Auftrag.

Gespeichert wird je Konto, wann der Hinweis am Formular stand, ob und wann Sie die Hinweise eingeschaltet oder ihnen widersprochen haben, und eine zufällige Kennung für den Verweis zum Abbestellen. Die E-Mails sind reiner Text: ohne Zählpixel, ohne Verweise über einen Zähler. Ob Sie eine E-Mail öffnen oder einen Verweis anklicken, erfassen wir nicht.

8. Die Analyse Ihrer Website

Wir rufen die öffentlich erreichbaren Seiten Ihrer Website ab — so wie es eine Suchmaschine tut — und prüfen sie gegen 50 Kriterien. Gespeichert werden der abgerufene Text, die Prüfergebnisse und die daraus errechnete Bewertung.

Enthält Ihre Website personenbezogene Daten, etwa den Namen des Inhabers im Impressum, werden diese mitgespeichert. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.

9. Die Messung Ihrer Sichtbarkeit in KI-Systemen

Wir stellen KI-Systemen Fragen, wie ein Kunde sie stellen würde, und zählen, wie oft Ihr Betrieb in den Antworten vorkommt. Eingesetzt werden dafür die Dienste von OpenAI und Anthropic, beide mit Sitz in den USA.

Die Fragen enthalten Ihren Betriebsnamen nicht. Sie bestehen aus Gewerk, Leistung und Ort — zum Beispiel „guter Elektriker in Bad Homburg“. An die KI-Anbieter geht damit keine Angabe, die Sie unmittelbar bezeichnet.

Die Antworten stammen von den KI-Systemen und können Namen von Betrieben enthalten — Ihren und die anderer. Den Antworttext speichern wir 90 Tage, damit eine Auswertung im Streitfall nachvollziehbar bleibt. Darüber hinaus bleibt dauerhaft nur das Ausgewertete: ob Ihr Betrieb genannt wurde, welche Quellen genannt wurden, welche Wettbewerber vorkamen.

Diese Antworten sind maschinell erzeugte Texte, keine Tatsachenfeststellungen. Wir speichern sie als das, was sie sind: eine Beobachtung mit Zeitstempel und Angabe der Modellfassung.

10. Textentwürfe für Ihre Website

In der Stufe Auto-SEO schreiben wir Textentwürfe für Ihre Website. Dafür übermitteln wir an OpenAI: den Namen Ihres Betriebs, Ihren Ort und Auszüge aus Ihrer Website. Anders als bei der Messung geht hier also eine Angabe hinaus, die Sie bezeichnet — ohne sie wäre der Entwurf für jeden Betrieb derselbe.

Die Auszüge stammen aus den Seiten, die wir ohnehin abgerufen haben. Sie sind zugleich die einzige zulässige Tatsachenquelle des Entwurfs: Was nicht auf Ihrer Website steht, darf im Entwurf nicht erfunden werden.

Kein Entwurf wird ohne Ihre Freigabe veröffentlicht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO — die Entwürfe sind der Teil des Vertrags, den Sie mit dieser Stufe gekauft haben.

11. Angaben über Wettbewerber

In den KI-Antworten werden Namen anderer Betriebe genannt. Wir speichern diese Namen und zählen, wie oft sie erscheinen. Bewertet wird nichts — keine Noten, keine Rangfolgen, keine Aussagen über Qualität.

Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe f DSGVO. Unser berechtigtes Interesse liegt darin, unseren Kunden ein zutreffendes Bild ihres Marktumfelds zu geben. Gespeichert wird ausschließlich, was ein KI-System auf eine allgemeine Frage hin selbst genannt hat.

Eine Benachrichtigung jedes einzelnen genannten Betriebs wäre mit unverhältnismäßigem Aufwand verbunden; wir stützen uns insoweit auf Artikel 14 Absatz 5 Buchstabe b DSGVO, und diese Erklärung tritt an die Stelle der Einzelbenachrichtigung.

Sie möchten nicht, dass Ihr Betrieb bei uns gespeichert wird? Dann widersprechen Sie unter der im Impressum genannten Adresse (Artikel 21 DSGVO). Wir tragen den Betrieb in eine Sperrliste ein. Sie wird an zwei Stellen geprüft: vor jeder Speicherung und vor jeder Anzeige. Der Name wird danach weder neu aufgenommen noch weiter ausgewertet. Bereits gespeicherte Einträge löschen wir auf Verlangen (Artikel 17 DSGVO).

12. Daten aus der Google-Suche

Sie können Ihr Konto bei der Google Search Console mit Cesca verbinden. Verbinden Sie es nicht, geschieht hier nichts — die Anbindung ist freiwillig und für die Nutzung nicht erforderlich.

Verbinden Sie es, holen wir täglich ab, wie oft Ihre Website in der Google-Suche angezeigt und angeklickt wurde, und bei welchen Suchbegriffen — mit Googles durchschnittlicher Position je Suchbegriff und Tag. Es sind dieselben Zahlen, die Ihnen die Search Console selbst zeigt: zusammengezählt, ohne Angaben zu einzelnen Besuchern. Seltene Suchbegriffe lässt Google zum Schutz der Suchenden weg. Wir fordern dafür nur ein Leserecht an und können in Ihrem Google-Konto nichts ändern.

Den Zugangsschlüssel speichern wir verschlüsselt. Sie können die Verbindung jederzeit in Cesca trennen oder in Ihrem Google-Konto widerrufen; wir vernichten den Schlüssel dann. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.

13. Der Konnektor für KI-Assistenten

Mit AutoSEO können Sie einen KI-Assistenten, der solche Konnektoren unterstützt, mit Cesca verbinden. Verbinden Sie keinen, geschieht hier nichts — der Konnektor ist freiwillig und für die Nutzung nicht erforderlich.

Die Verbindung starten Sie in Ihrem Assistenten; zustimmen müssen Sie danach bei uns, angemeldet mit Ihrem Konto. Wir speichern dazu, wie sich das Programm bei uns angemeldet hat — den Namen, den es sich selbst gibt, und die Adresse, an die wir es nach Ihrer Zustimmung zurückschicken —, Ihre Zustimmung mit Zeitpunkt und zwei Schlüssel: einen Zugangsschlüssel, der eine Stunde gilt, und einen Erneuerungsschlüssel, der 30 Tage gilt. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.

Was der Assistent über den Konnektor abruft, übermitteln wir auf Ihre Veranlassung an den Anbieter Ihres Assistenten: Ihren Bericht, Ihre Suchfragen, die gespeicherten KI-Antworten, die offenen Punkte Ihrer Website, Ihre Daten aus der Google-Suche und Ihre Textentwürfe. Darunter sind auch die Namen anderer Betriebe, die in den KI-Antworten vorkamen (siehe „Angaben über Wettbewerber“). Beim Anbieter gelten die Bedingungen, die Sie mit ihm vereinbart haben; sitzt er außerhalb der EU, etwa in den USA, gelangen die Daten dorthin.

Der Konnektor liest nur Analysen mit AutoSEO und kann nichts ändern. Beenden können Sie die Verbindung, indem Sie Cesca in Ihrem Assistenten entfernen; endet AutoSEO, liefert er nichts mehr. Schlüssel und Zustimmung bleiben gespeichert, solange Ihr Konto besteht, und werden mit ihm gelöscht.

14. Bezahlung

Die Bezahlung wickelt Stripe ab. Sie geben Ihre Zahlungsdaten auf einer Seite von Stripe ein, nicht bei uns — Kartennummern erreichen unsere Server nie.

Beim Start der Bezahlung übergeben wir Stripe Ihre E-Mail-Adresse, damit Sie sie dort nicht noch einmal eintragen müssen, die Kennung Ihrer Analyse und die Adresse Ihrer Website — sie steht auf der Rechnung, damit sich diese zuordnen lässt.

Von Stripe erhalten wir zurück, dass ein Kauf bezahlt ist: welche Stufe gekauft wurde, den Betrag, den Zeitpunkt und die Kennungen des Zahlungsvorgangs und Ihres Kundenkontos bei Stripe. Bei einem Abo kommt jede bezahlte Monatsrechnung dazu und der Stand des Abos: ob es läuft oder gekündigt ist und bis wann es bezahlt ist. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe b DSGVO.

Zu jedem Kauf entsteht eine Rechnung. Dafür fragt Stripe Ihre Rechnungsanschrift ab und — wenn Sie als Unternehmen kaufen — auf Wunsch Firmenname und Umsatzsteuer-Identifikationsnummer. Diese Angaben stehen auf der Rechnung und liegen bei Stripe; in unserer eigenen Datenbank speichern wir sie nicht. Rechtsgrundlage ist Artikel 6 Absatz 1 Buchstabe c DSGVO in Verbindung mit den steuerrechtlichen Pflichten zur Rechnung.

15. Wie lange wir speichern

Konto, Analysen und Messwerte bleiben gespeichert, solange Ihr Konto besteht. Löschen Sie es, löschen wir sie.

Der Rohtext der KI-Antworten wird nach 90 Tagen gelöscht. Die daraus ausgewerteten Zahlen bleiben — ohne sie gäbe es keinen Verlauf über Monate, und genau der ist der Zweck des Produkts.

Rechnungsunterlagen bewahren wir nach den handels- und steuerrechtlichen Fristen auf. Sie sind von einer Löschung ausgenommen, solange die Frist läuft.

Einen Widerspruch gegen die Hinweise auf die Nachmessung vermerken wir, solange Ihr Konto besteht — sonst könnten wir ihn nicht beachten.

Auch die KI-Anbieter speichern die Anfragen eine Zeit lang zur Missbrauchserkennung — nach eigener Angabe 30 Tage (OpenAI) beziehungsweise 7 Tage (Anthropic).

16. An wen wir Daten weitergeben

Wir verkaufen keine Daten und geben sie nicht zu Werbezwecken weiter. Die folgenden Dienstleister setzen wir ein, um das Produkt überhaupt betreiben zu können:

17. Übermittlung in die USA

Ein Teil der genannten Anbieter verarbeitet Daten in den USA. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Artikel 46 Absatz 2 Buchstabe c DSGVO).

Wir schreiben das offen hin, statt es zu umschreiben: Für die KI-Messung gibt es derzeit keinen Anbieter mit europäischer Verarbeitung, dessen Werkzeuge wir brauchen. US-Behörden können unter US-Recht auf dort verarbeitete Daten zugreifen; ein Schutzniveau wie in der EU lässt sich dafür nicht zusichern.

Was dort ankommt, steht oben: bei der Messung Gewerk, Leistung und Ort — nicht Ihr Name. In der Stufe Auto-SEO kommen für die Textentwürfe Ihr Betriebsname, Ihr Ort und Auszüge Ihrer Website dazu.

18. Kontaktaufnahme per E-Mail und Formular

Wer uns schreibt, übermittelt damit Name, Adresse und Inhalt der Nachricht. Diese Daten verwenden wir ausschließlich zur Bearbeitung der Anfrage, auf Grundlage von Artikel 6 Absatz 1 Buchstabe b beziehungsweise f DSGVO, und löschen sie, sobald der Vorgang abgeschlossen ist und keine Aufbewahrungspflichten entgegenstehen.

Dasselbe gilt für das Formular „Lieber erst fragen?“ auf der Startseite. Mit dem Absenden gehen Ihre E-Mail-Adresse, Ihre Frage und — wenn Sie sie angeben — Ihr Name und Ihre Website an app.seocesca.de. Die Anwendung legt davon nichts in ihrer Datenbank ab: Sie schickt die Angaben als E-Mail an unsere Kontaktadresse und setzt Ihre Adresse als Antwortadresse ein, damit unsere Antwort direkt bei Ihnen ankommt. Eine Bestätigung an Sie schickt das Formular nicht.

Die Postfächer laufen bei INWX in Berlin.

19. Ihre Rechte

Sie haben das Recht auf Auskunft (Artikel 15), Berichtigung (Artikel 16), Löschung (Artikel 17), Einschränkung der Verarbeitung (Artikel 18), Datenübertragbarkeit (Artikel 20) sowie Widerspruch gegen die Verarbeitung (Artikel 21 DSGVO).

Eine formlose Nachricht an die im Impressum genannte Adresse genügt. Sie müssen nicht begründen, warum Sie fragen, und es entstehen Ihnen keine Kosten.

Unabhängig davon können Sie sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Artikel 77 DSGVO). Zuständig ist die Behörde an Ihrem Wohnsitz, Ihrem Arbeitsplatz oder am Ort des vermuteten Verstoßes.

Dieser Text beschreibt Website und Anwendung so, wie sie technisch gebaut sind. Er ersetzt keine Rechtsberatung und wird vor der Veröffentlichung anwaltlich gegengelesen.