Datenschutzerklärung

für das Angebot Growimo unter www.growimo.app

Stand: 2026-11-04

1. Verantwortlicher

Verantwortlicher für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:

Weitere Angaben findest du im Impressum.

2. Überblick

Growimo ist eine KI-gestützte Marketing-Anwendung. Du gibst eine Produktidee ein und erhältst daraus generierte Marketing-Inhalte und Entscheidungshilfen (unter anderem Pinterest-Pins, Etsy-Listings, SEO-Blogposts, Social-Posts, Newsletter, TikTok-Konzepte sowie Bilder). Für den Betrieb verarbeiten wir personenbezogene Daten. Dabei setzen wir die folgenden Dienstleister ein, die für uns als Auftragsverarbeiter tätig sind:

• Clerk – Authentifizierung und Verwaltung der Anmeldedaten
• OpenAI – Erzeugung der KI-Inhalte (Text und Bilder)
• Stripe – Zahlungsabwicklung und Rechnungsstellung
• Neon – PostgreSQL-Datenbank, in der die Anwendungsdaten gespeichert werden
• Vercel – Hosting und Betrieb der Anwendung sowie Speicherung erzeugter Bilder

Wir verkaufen keine Daten und setzen keine Werbe- oder Marketing-Cookies Dritter ein.

3. Welche Daten wir verarbeiten

4. Cookies und lokale Speicherung

4.1 Technisch notwendige Cookies

Für Anmeldung und sicheren Betrieb setzen wir mehrere technisch notwendige Cookies ein, insbesondere das Sitzungs-Cookie der Authentifizierung (__session) sowie ein Status-Cookie des Authentifizierungsdienstes zur Anzeige des Anmeldestatus; alle dienen ausschließlich der Anmeldung und der Sicherheit (§ 25 Abs. 2 Nr. 2 TDDDG); eine Einwilligung ist hierfür nicht erforderlich.

4.2 Reichweitenmessung und Besucherzählung

a) Seitenaufrufe und pseudonyme Kennung (berechtigtes Interesse)

Zum sicheren und stabilen Betrieb erfassen wir Seitenaufrufe als technische Ereignisse (aufgerufener Pfad, Zeitpunkt, gekürzter Referrer-Host, Kanal, Status, Dauer). Bist du nicht eingeloggt, erfolgt die Erfassung anonym; für eingeloggte Nutzer verwenden wir eine pseudonyme Kennung, die serverseitig aus der Konto-Kennung mit einem geheimen Schlüssel berechnet wird – deine Konto-Kennung selbst wird in den Reichweiten-Daten nicht gespeichert. Diese Messung kommt ohne Cookies aus und beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO); du kannst ihr über den Schalter „Reichweitenmessung" widersprechen (siehe unten).

b) Web-Analytics unseres Hosters (ohne Cookies)

Zusätzlich nutzen wir die Web-Analytics-Funktion unseres Hosters Vercel, die Reichweite ohne Cookies und ohne dauerhafte Kennung aggregiert misst und keine personenbezogenen Daten erhebt (Produktzusage des Hosters). Auch sie beruht auf unserem berechtigten Interesse (Art. 6 Abs. 1 lit. f DSGVO) und lässt sich über denselben Schalter abschalten.

c) Eindeutige Besuchermessung – nur mit deiner Einwilligung

Darüber hinaus können wir eindeutige Besucher messen. Dafür wird eine zufällige Kennung (32-stelliger Zufallswert) in einem Cookie gespeichert (Cookie-Name growimo_vid, Laufzeit 90 Tage). Das Cookie ist technisch nur serverseitig lesbar (HttpOnly), wird nur über gesicherte Verbindungen übertragen (Secure), ist auf diese Domain beschränkt (SameSite=Lax) und enthält weder IP-Adresse noch Geräte- oder Browserinformationen; es findet kein Fingerprinting statt. Die zufällige Kennung wird zusammen mit den jeweiligen Aufrufen gespeichert, um eindeutige Besucher zählen zu können, und mit dem Löschlauf nach 90 Tagen entfernt. Das Cookie wird ausschließlich gesetzt, wenn du zuvor ausdrücklich eingewilligt hast (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Ohne Einwilligung werden Aufrufe weiterhin nur wie unter (a) beziehungsweise (b) erfasst; eine eindeutige Besucherzählung findet dann nicht statt. Deine Entscheidung wird lokal in deinem Browser gespeichert (growimo_consent_analytics).

4.3 Lokaler Speicher deines Browsers

Für die laufende Sitzung speichern wir Zwischenstände (zum Beispiel Projekt- und Generierungszustände, Bildvorschauen und zuletzt erstellte Ergebnisse) im lokalen Speicher deines Browsers (localStorage beziehungsweise sessionStorage). Dazu gehören auch deine Spracheinstellung, dein Markenprofil, Entwürfe und deine Einwilligungs-Entscheidung. Diese Daten werden nicht auf unseren Servern gespeichert. Inhalte im sessionStorage gelten nur für den aktuellen Tab und werden mit dem Schließen des Tabs verworfen; Einträge im localStorage bleiben dagegen in deinem Browser gespeichert, bis du sie löschst oder die Browser-Daten entfernst. Inhalte, die du dauerhaft sichern möchtest, speicherst du innerhalb der Anwendung in deinem Projekt.

5. Empfänger und Auftragsverarbeiter

Wir setzen die folgenden Dienstleister ein. Soweit sie Daten in eigenem Verantwortungsbereich verarbeiten (insbesondere im Zahlungsbereich), gilt zusätzlich deren eigene Datenschutzerklärung.

• Clerk – Authentifizierung und Kontoverwaltung. Daten: E-Mail-Adresse, Passwortdaten (durch den Dienst verwaltet), Nutzer-Kennung, Sitzungsdaten.
• OpenAI – KI-Generierung von Text und Bild. Daten: die zur Generierung übermittelten Eingaben und Kontexte; wir veranlassen über die API keine dauerhafte Speicherung; OpenAI kann Inhalte zur Missbrauchsprüfung bis zu 30 Tage aufbewahren (kein Training auf API-Daten).
• Stripe – Zahlungsabwicklung, Abonnement und Rechnungen. Daten: Name, E-Mail-Adresse, Zahlungs- und Abonnementdaten, Beträge, Status.
• Neon – PostgreSQL-Datenbank. Daten: Konto-, Projekt-, Inhalts-, Kontingent-, Warteliste- und Analyse-Daten.
• Vercel – Hosting, Auslieferung der Anwendung, Objektspeicher für erzeugte Bilder und aggregierte Reichweitenmessung. Daten: Anfrage- und Server-Logdaten, gespeicherte Bilder, aggregierte Nutzungszahlen; eine Verarbeitung außerhalb der EU (insbesondere USA) ist möglich.

Mit den Dienstleistern bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO.

6. Übermittlung in Drittländer

Einige unserer Dienstleister haben ihren Sitz in den USA beziehungsweise verarbeiten Daten dort oder über Unterauftragnehmer in Drittländern: OpenAI (KI-Generierung), Clerk (Anmeldung), Stripe (Zahlungsabwicklung; europäische Gesellschaft, eine Verarbeitung in den USA ist nicht ausgeschlossen), Vercel (Hosting, Bildspeicher, Reichweitenmessung) und Neon (US-amerikanisches Unternehmen). Unsere Datenbank betreiben wir bei Neon in einem Rechenzentrum in der Europäischen Union (Region Frankfurt am Main). Die Übermittlung erfolgt auf Grundlage von Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Soweit der jeweilige Anbieter nach dem EU-US Data Privacy Framework (DPF) zertifiziert ist, gilt zusätzlich der Angemessenheitsbeschluss der EU-Kommission: Clerk, Stripe und Vercel sind aktive DPF-Teilnehmer (Registerstand Oktober 2025); OpenAI und Neon sind nicht DPF-zertifiziert, sodass für diese ausschließlich die Standardvertragsklauseln gelten. OpenAI nutzt API-Daten standardmäßig nicht für das Training; zur Missbrauchsprüfung können Eingaben und Ausgaben bis zu 30 Tage gespeichert werden. Eine Kopie der jeweils zugrunde gelegten Garantien kannst du über die unten angegebene Kontaktadresse anfordern.

7. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die genannten Zwecke erforderlich ist oder gesetzliche Aufbewahrungsfristen dies verlangen:

• Konto- und Anmeldedaten: bis zur Löschung des Kontos (in der Anwendung oder per Nachricht an die Kontaktadresse)
• Projekte und generierte Inhalte: bis zur Löschung durch dich beziehungsweise bis zur Kontolöschung
• Beta-Warteliste (Vorname, E-Mail-Adresse): bis zum Widerruf, bis zur Löschung auf Anfrage oder bis zur Kontolöschung
• Kontingent- und Nutzungsdaten: solange das Konto besteht
• Analyse- und Fehlerdaten: 90 Tage (Löschlauf bei der Auswertung der Statistik)
• Besucher-Cookie (growimo_vid): 90 Tage
• Nachweise über erteilte Checkout-Zustimmungen und die Löschvormerkung (Zeitpunkt, Status): werden zur Erfüllung gesetzlicher Nachweis- und Dokumentationspflichten beziehungsweise zur Abwehr von Ansprüchen aufbewahrt
• Erzeugte Bilder: Standard 90 Tage ab Erstellung, bei Erreichen der Obergrenze von 200 Bildern früher; auch nach Projekt-Löschung bleiben Bilder bis dahin gespeichert
• Zahlungs- und Rechnungsdaten (einschließlich Kundenstammdaten bei Stripe): gemäß den gesetzlichen Aufbewahrungsfristen (insbesondere § 147 AO)
• Server-Logs: kurzfristig nach Vorgabe des Hosters (in der Regel wenige Tage)

Nach Wegfall des Zwecks und Ablauf etwaiger Fristen werden die Daten gelöscht oder anonymisiert.

8. Deine Rechte

Du hast uns gegenüber folgende Rechte hinsichtlich der dich betreffenden personenbezogenen Daten:

• Auskunft über die verarbeiteten Daten (Art. 15 DSGVO)
• Berichtigung unrichtiger oder unvollständiger Daten (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO)
• Widerruf einer Einwilligung mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO)

Zur Ausübung deiner Rechte genügt eine Nachricht an die im Impressum angegebene Kontaktadresse. Du kannst deine Rechte auch nach einer Löschung deines Kontos in der Anwendung für verbleibende Daten (insbesondere Zahlungs- und Nachweisdaten) geltend machen.

9. Beschwerderecht bei einer Aufsichtsbehörde

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO). Zuständig ist regelmäßig die Aufsichtsbehörde deines gewöhnlichen Aufenthaltsorts, deines Arbeitsplatzes oder des Orts des vermuteten Verstoßes. Für uns zuständig ist die Datenschutz-Aufsichtsbehörde des Landes Schleswig-Holstein: Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein (ULD), Holstenstraße 98, 24103 Kiel, www.datenschutzzentrum.de.

10. KI-generierte Inhalte und automatisierte Entscheidungen

Wir setzen KI-Systeme ein, um Inhalte und Bewertungen zu erstellen. Eine automatisierte Entscheidung im Einzelfall mit rechtlicher Wirkung dir gegenüber im Sinne des Art. 22 DSGVO findet nicht statt. Bewertungen (zum Beispiel Qualitätsscores) dienen deiner Orientierung und sind unverbindliche Hinweise. Die inhaltliche Verantwortung für veröffentlichte Marketing-Inhalte liegt bei dir; bitte prüfe generierte Inhalte vor der Veröffentlichung.

11. Datensicherheit

Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten gegen Verlust, Zerstörung, Manipulation und unberechtigten Zugriff zu schützen (Art. 32 DSGVO). Die Anwendung wird ausschließlich über eine verschlüsselte TLS-Verbindung (https) ausgeliefert; du erkennst dies am Schloss-Symbol in der Adresszeile deines Browsers. Zusätzlich setzen wir Zugriffsbeschränkungen ein und wählen unsere Dienstleister sorgfältig aus.

12. Änderungen dieser Datenschutzerklärung

Wir passen diese Erklärung an, wenn sich die Verarbeitungen oder die rechtlichen Rahmenbedingungen ändern. Es gilt die jeweils unter www.growimo.app veröffentlichte Fassung mit dem oben genannten Stand.

13. Kontakt

Fragen zum Datenschutz richtest du an: