Datenschutzerklärung von Rankfor.AI

Zuletzt aktualisiert: 18. August 2026 Verantwortlicher: Rankfor.AI Sp. z o.o., ul. Skarbowców 23B, 53-025 Wrocław, Polen • dpo@rankfor.ai Diese Erklärung beschreibt, welche Daten wir erheben, warum, wie wir sie nutzen und welche Rechte Sie nach der DSGVO haben.

1) Was wir erheben

  • Konto und Identität: Name, E-Mail-Adresse, Unternehmen, Rolle.
  • Authentifizierung und Protokolle: Anmeldezeitstempel, Sitzungs-IDs, IP-Adresse, User Agent.
  • Produktnutzung: genutzte Funktionen, von Ihnen übermittelte Prompts und Eingaben, generierte Artefakte, Fehlertelemetrie.
  • Abrechnung (bei kostenpflichtigen Plänen): Rechnungskontakt, Anschrift; Kartendaten werden von unserem Zahlungsdienstleister verarbeitet (wir speichern keine Kartennummern).
  • Inhaltskontext: öffentliche URLs, die Sie scannen; wir verarbeiten öffentlich zugängliche Inhalte zu Analysezwecken.
  • Terminbuchungen: Name, E-Mail-Adresse, Unternehmen und der von Ihnen gewählte Termin, eingegeben im Terminplaner, der auf unserer Website eingebettet ist. Für eine Buchung brauchen Sie kein Konto.
  • Daten aus anderen Quellen: für die Geschäftskundenansprache erheben wir Daten über Sie auch anderswo als bei Ihnen selbst: Name, Position, Arbeitgeber, geschäftliche E-Mail-Adresse und den Text Ihres öffentlichen Berufsprofils. Quellen sind öffentliche Berufsprofile, öffentliche Unternehmenswebsites und öffentliche Forenbeiträge. Wir nutzen sie für die Entscheidung, ob wir Ihnen zu unserem Produkt schreiben. Wir bewahren sie auf, solange Sie ein aktiver Interessent sind, und löschen sie auf Anfrage.

2) Warum wir erheben (Rechtsgrundlagen)

  • Vertrag (Art. 6 Abs. 1 lit. b): Bereitstellung der Plattform und des Supports.
  • Berechtigte Interessen (Art. 6 Abs. 1 lit. f): Sicherheit, Betrugsprävention, Verbesserung des Dienstes, Qualitätsanalytik (pseudonym), Ansprache von Geschäftsinteressenten zu unserem Produkt und die Messung, welche Anzeige zu einer Terminbuchung geführt hat, indem wir einen Hash der E-Mail-Adresse an Google übermitteln. Gegen jeden dieser beiden letzten Zwecke können Sie jederzeit Widerspruch einlegen; Abschnitt 5 erklärt wie.
  • Einwilligung (Art. 6 Abs. 1 lit. a): Marketing-E-Mails; nicht notwendige Cookies und Analysen.
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): Steuer- und Prüfungsunterlagen.

3) Wie wir Daten nutzen

Betrieb der Plattform; Absicherung von Konten; Messung und Verbesserung der Leistung; Versand von Service-Updates; Abwicklung von Zahlungen; Bereitstellung von Berichten und Exporten; Messung, welche unserer Anzeigen zu einer Terminbuchung geführt hat, wie in Abschnitt 5 beschrieben; und (sofern Sie zustimmen) Versand von Marketing. Wir können anonymisierte Aggregatdaten nutzen, um die Zuverlässigkeit zu verbessern und Verzerrungen zu reduzieren.

4) Cookies und Tracking

Sowohl auf dieser Website als auch im eingeloggten Produkt unter app.rankfor.ai laden Analyse- und Marketingskripte erst, nachdem Sie sie erlaubt haben, und wenn Sie ablehnen, bleiben sie ausgeschaltet. Ihre Auswahl wird ein Jahr lang in Ihrem Browser gespeichert. Sie können sie jederzeit unter Cookie-Einstellungen ändern, alternativ die Cookies dieser Website löschen oder an dpo@rankfor.ai schreiben. Die Cookie-Zusammenfassung in den AGB listet die Kategorien auf.

5) Weitergabe (Auftragsverarbeiter/Unterauftragsverarbeiter)

Wir arbeiten mit geprüften Anbietern. Die meisten handeln ausschließlich nach unseren Weisungen auf Grundlage von Auftragsverarbeitungsverträgen nach Artikel 28. Wenn ein Anbieter zusätzlich selbst entscheidet, wie er übermittelte Daten verwendet, weisen wir in seinem Eintrag darauf hin.

  • AI-Anbieter: Google (Gemini und Vertex AI), OpenAI, Anthropic und xAI verarbeiten die Prompts, Fragen und Seiteninhalte, die Sie übermitteln, und liefern die Antworten und Bewertungen zurück, für die das Produkt gebaut ist. Alle vier sitzen in den Vereinigten Staaten. Nach den Bedingungen, die wir mit OpenAI, Anthropic und xAI haben, werden Ihre Inhalte nicht zum Training ihrer Modelle verwendet. Google macht dies vom Zugangstarif abhängig, auf dem eine Anfrage läuft; fragen Sie den aktuellen Stand zu Gemini und Vertex AI daher unter dpo@rankfor.ai an.
  • Hosting und Infrastruktur: Google Cloud und Firebase betreiben unsere Datenbanken, Server und Hintergrundjobs in EU-Regionen in Finnland und Belgien. Die Daten, die wir selbst halten, liegen auf dieser Infrastruktur. Daten, die Sie einem Anbieter direkt geben, etwa Ihre Kartennummer auf der Zahlungsseite von Stripe, erreichen sie nie.
  • CRM und Terminplanung: HubSpot Ireland Limited (EU-Rechenzentrum) ist unser CRM, und mehrere Bestandteile unserer Website gehören HubSpot. Das Tracking-Skript erfasst die Seiten, die Sie öffnen, Ihre IP-Adresse und Browserdaten. Die Formulare erhalten Name, E-Mail und Firma, die Sie eintragen, und beim Formular zum Teilen eines Reports auch den Link zum geteilten Report. Der Live-Chat erhält alles, was Sie ins Chatfenster schreiben. Der Terminkalender läuft in einem von HubSpot ausgelieferten Frame, sodass Name, E-Mail und Firma, die Sie dort eingeben, direkt bei HubSpot ankommen. Wir übermitteln außerdem Kontaktdatensätze aus unseren eigenen Systemen: Vor- und Nachname, E-Mail, Telefonnummer, LinkedIn-Adresse, Firma, Website sowie Phase und Wert eines etwaigen Geschäfts. Zweck: Betrieb dieser Werkzeuge, Führung Ihres Kontaktdatensatzes und Ablage unserer Korrespondenz mit Ihnen an einem Ort.
  • Analyse und Produktmessung: Google Analytics, Google Ads und der Google Tag Manager erhalten Ihre IP-Adresse, Browserdaten, die Seiten, die Sie öffnen, und den Link, über den Sie gekommen sind. Google Ads setzt zusätzlich das Werbe-Cookie _gcl_au, das die Anzeige festhält, über die Sie gekommen sind, und auf unseren Verkaufsseiten wird ein Klick auf die zentralen Handlungsschaltflächen an Google Ads als Conversion gemeldet. PostHog erhält dasselbe sowie Nutzungsereignisse des Produkts und nimmt sie in der EU entgegen; im eingeloggten Produkt zeichnet es zudem Bildschirmsitzungen auf, damit wir sehen, wie Funktionen genutzt werden. Zweck: verstehen, wie Website und Produkt genutzt werden, und Anmeldungen und Anfragen der Kampagne zuordnen, die sie gebracht hat.
  • LinkedIn-Werbung: Die LinkedIn Ireland Unlimited Company betreibt unsere Werbekampagnen auf LinkedIn. Ihr Mess-Tag wird über den oben genannten Tag-Manager ausgeliefert und erhält, sobald Sie Marketing-Cookies annehmen, Ihre IP-Adresse, Browserdaten und die Seite, die Sie geöffnet haben. Zweck: messen, welche LinkedIn-Anzeige zu einem Besuch geführt hat.
  • Search Console: Google Search Console, wenn Sie Ihr eigenes Search-Console-Konto mit einem Arbeitsbereich verbinden. Google erhält die E-Mail-Adresse des Kontos, das die Verbindung erteilt, und wir erhalten die Suchanfragen und Klickstatistiken der verbundenen Website. Suchanfragen sind Freitext und können personenbezogene Daten enthalten.
  • Werbemessung: Google Ireland Limited, wobei Google LLC außerhalb des EWR verarbeitet. Wenn Sie einen Termin buchen, senden wir einen SHA-256-Hash Ihrer E-Mail-Adresse, den Zeitpunkt der Buchung, eine Kennzeichnung der Buchung als Conversion, unsere eigene Referenz zum Termin und zwei Einwilligungssignale. Google erhält in diesem Ablauf nie die Adresse im Klartext. Beide Einwilligungssignale sind einmal für das gesamte Konto gesetzt und bei jeder Übermittlung identisch; sie halten keine Entscheidung fest, die Sie getroffen haben. Zweck: messen, welche unserer Anzeigen die Buchung gebracht hat, und verbessern, wie unsere Gebote gesetzt werden. Google nutzt Daten dieser Art auch für eigene Zwecke, darunter die Verbesserung des automatischen Bietens über Werbetreibende hinweg und das Erkennen ungültiger Aktivität. Diese Nutzungen beauftragen wir nicht.
  • Ansprache und Datenanreicherung: Wenn wir eine Interessentenliste für die Geschäftskundenansprache aufbauen, arbeiten mehrere Anbieter für uns. Instantly versendet die E-Mail-Sequenzen. Unipile übernimmt Einladungen und Nachrichten auf LinkedIn. Clay und enrich.so ermitteln eine geschäftliche E-Mail-Adresse und Angaben zur Position aus einem Namen, einer Firma und einem öffentlichen Profil. Jeder von ihnen erhält die geschäftlichen Kontaktdaten, die wir zu dieser Person haben, und liefert zurück, was er findet.
  • Interne E-Mail und interner Chat: Google Workspace beherbergt unsere eigenen Postfächer und unseren internen Chat. Wenn jemand auf eine unserer Ansprachenachrichten antwortet, wird im internen Chat eine Meldung mit dem Namen dieser Person gepostet, damit eine Kollegin oder ein Kollege sie übernehmen kann.
  • Sicherheit und Missbrauchsschutz: Google reCAPTCHA Enterprise prüft, ob unsere öffentlichen Tools von einem Menschen oder einem Bot genutzt werden. Der Dienst erhält Ihre IP-Adresse, Browserdaten und Interaktionssignale und liefert uns einen Risikowert zurück.
  • E-Mail-Zustellung: Hostinger stellt die E-Mails zu, die unsere öffentliche Website versendet: Readiness-Reports, Bestellbestätigungen aus dem Marketplace, Anmeldelinks und Zusammenfassungen. Ein zweiter Mailanbieter stellt die E-Mails zu, die das Produkt versendet: Anmelde- und Passwort-Zurücksetzen-Links, Einladungen, Bestellbestätigungen und die Reports, die Sie anfordern. Beide erhalten die Empfängeradresse und den Inhalt der Nachricht. Den Namen des zweiten Anbieters erfahren Sie unter dpo@rankfor.ai.
  • Schriften, Medien und eingebettete Inhalte: Unsere Seiten laden Symbole, Markenlogos, Website-Vorschaubilder, Länderflaggen und Videoplayer von Google (dem Website-Icon-Dienst und YouTube), DuckDuckGo, thum.io und flagcdn. Ihr Laden sendet Ihre IP-Adresse und Browserdaten an diese Anbieter, auch in einem Report, den Sie über einen Freigabelink öffnen. Mehr über Sie senden wir ihnen nicht.
  • Zahlungen: Stripe (EU und USA) wickelt Kasse, Abrechnung und Abonnements ab. Es erhält Ihre E-Mail-Adresse und Bestelldaten und bei Buchbestellungen zusätzlich Ihren Vornamen, Nachnamen, Ihre Firma und Ihre Postanschrift. Kartendaten erhebt es auf seiner eigenen Zahlungsseite; Kartennummern erreichen unsere Systeme nie.

Werbemessung

Einfach gesagt. Ein Hash Ihrer E-Mail-Adresse geht nur dann an Google, wenn Sie über den Kalender auf unserer Website einen Termin buchen. Nichts anderes, was Sie auf der Website tun, sendet Ihre E-Mail-Adresse an Google.

Ist eine Buchung bestätigt, bringen wir die Adresse vor dem Hashen in die von Google geforderte Form: Leerzeichen entfernt und alles in Kleinbuchstaben, und bei Gmail-Adressen fallen im ersten Teil die Punkte und alles nach einem Pluszeichen weg. Danach machen wir daraus einen SHA-256-Hash, bevor sie unsere Systeme verlässt.

Mit diesem Hash senden wir den Zeitpunkt der Buchung, eine Kennzeichnung der Buchung als Conversion, unsere eigene Referenz zum Termin, an der Google eine wiederholte Übermittlung verwirft, und die beiden Einwilligungssignale.

Google vergleicht den Hash mit den gehashten E-Mail-Adressen der eigenen Kontoinhaber. Eine Übereinstimmung sagt uns, welche Anzeige zum Termin geführt hat, und lässt das Bieten von Google daraus lernen. Ein Hash lässt sich nicht in eine Adresse zurücklesen, und er ist dennoch eine Information über Sie: dieselbe Adresse ergibt immer denselben Hash, und genau das lässt die Zuordnung funktionieren.

Wir nutzen dies für Messung und Gebote. Wir nutzen es nicht, um Werbezielgruppen aufzubauen. Die Bedingungen von Google erlauben es einem Werbetreibenden, Google anzuweisen, aus derselben Übermittlung eine Zielgruppenliste zu bilden. Wir erteilen keine solche Anweisung, und nichts in dem, was wir senden, fordert sie an.

Was wir rückgängig machen können und was nicht. Das Löschen Ihres Kontaktdatensatzes stoppt jede weitere Übermittlung, denn der Hash wird im Moment der Übermittlung aus diesem Datensatz berechnet. Für bereits Übermitteltes bitten wir Google über die Werbetreibenden-Steuerung in unserem Konto um Entfernung; diese Anfrage stellen wir von Hand, und wir können die Löschung bei Google von unserer Seite nicht überprüfen. Die Wirkung einer Buchung auf das Bieten von Google können wir nicht entfernen, sobald sie es gespeist hat, denn dieses Gelernte ist bereits in die Modelle von Google eingemischt und daraus nicht wieder herauszulösen.

Google veröffentlicht eine eigene Beschreibung dessen, was mit Daten geschieht, die Unternehmen an Google senden. Siehe die Google-Website Business Data Responsibility. Dort sind auch die Werbeeinstellungen aufgeführt, die Sie in Ihrem eigenen Google-Konto ändern können.

Wenn Sie diese Weitergabe für Ihre Buchungen stoppen oder einen bereits erfolgten Upload entfernen lassen möchten, schreiben Sie an dpo@rankfor.ai von der Adresse, mit der Sie gebucht haben.

Wir verkaufen keine personenbezogenen Daten.

6) Speicherdauer

  • Kontodaten: solange das Konto aktiv ist, plus 30 Tage nach einem Löschantrag.
  • Scan-Cache: ca. 24 Stunden; wird automatisch gelöscht.
  • Berichte und Ergebnisse, die Sie behalten: bis Sie sie löschen oder das Konto schließen (+30 Tage).
  • Abrechnungsunterlagen: 7 Jahre (gesetzliche Pflicht).
  • Anonymisierte Analysedaten: können länger gespeichert werden; sie lassen keine Rückschlüsse auf Sie zu.
  • Werbemessung: Wir bewahren keine gesonderte Kopie des Hashs auf. Er wird im Moment der Übertragung aus Ihrem Kontaktdatensatz berechnet, sodass das Löschen dieses Datensatzes jeden weiteren Upload stoppt. Wir führen pro Buchung einen Eintrag darüber, ob und wann sie übertragen wurde und warum nicht, damit dieselbe Buchung nie zweimal gesendet wird. Diesen Eintrag löschen wir nach 120 Tagen, einen Monat nach Ablauf der 90 Tage, in denen Google eine Conversion für einen Klick noch zählen kann. Google veröffentlicht keine Speicherdauer für bereits erhaltene Hashes.

7) Internationale Übermittlungen

Wenn Daten den EWR verlassen (zum Beispiel an OpenAI, an Stripe in den USA oder an Google LLC in den Vereinigten Staaten zur Werbemessung), setzen wir Standardvertragsklauseln ein. Unser Vertragspartner für die Werbemessung ist Google Ireland Limited.

8) Ihre Rechte (DSGVO)

Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf der Einwilligung sowie Beschwerde bei Ihrer Aufsichtsbehörde (PL: UODO). Anfragen an dpo@rankfor.ai (Betreff: „DSGVO-Anfrage“). Antwort innerhalb von 30 Tagen.

9) Sicherheit

Wir setzen technische und organisatorische Maßnahmen ein (Verschlüsselung bei der Übertragung, Zugriffskontrollen, Audit-Trails). Über Verletzungen des Schutzes personenbezogener Daten informieren wir Sie und/oder die Behörden, soweit erforderlich. (Audit-Optionen und Auftragsverarbeitungsverträge (DPA) sind für Enterprise-Kunden verfügbar.)

10) Kinder

Nicht für Personen unter 18 Jahren; wir erheben nicht wissentlich Daten von Kindern.

11) Änderungen

Aktualisierungen veröffentlichen wir hier und kündigen wesentliche Änderungen vorab an, sofern dies erforderlich ist.

12) Kontakt

Verantwortlicher: Rankfor.AI Sp. z o.o., ul. Skarbowców 23B, 53-025 Wrocław, Polen
Datenschutz: dpo@rankfor.ai • Recht und Support: contact@rankfor.ai