Datenschutzerklärung für die Anwendung SYFEDIA

Kurzfassung

Bevor die Details kommen, das Wesentliche in fünf Sätzen:

• SYFEDIA greift nur lesend auf deine Google-Konten zu. Wir können dort nichts ändern und nichts löschen.
• Die Übertragung ist verschlüsselt, der Zugriff ist auf wenige Personen bei uns beschränkt.
• Die Daten liegen auf Servern in Deutschland.
• Für die Erstellung der Berichtstexte werden Auszüge deiner Daten an Anthropic in den USA übermittelt. Sie werden dort nicht zum Training von KI-Modellen verwendet und nach sieben Tagen gelöscht.
• Wir verkaufen keine Daten und geben sie nicht an Werbenetzwerke weiter. Für allgemeine Vergleichswerte und zur Verbesserung des Produkts werten wir Daten nur in zusammengefasster Form ohne Bezug zu dir aus.
• Du kannst uns den Zugriff jederzeit in deinem Google-Konto entziehen, auch ohne uns zu fragen.

Die ausführliche Fassung kommt jetzt.

1. Wer für die Verarbeitung verantwortlich ist

SCHITTLY web.technik GmbH, Im Breitspiel 6, 69126 Heidelberg
Vertreten durch: Stefan Schittly, Geschäftsführer 
E-Mail: support@syfedia.de 
Telefon: +49 (0) 62 21 / 72 68 678

2. Wofür diese Erklärung gilt

Diese Erklärung beschreibt, was in der Anwendung SYFEDIA mit Daten passiert – also nach der Registrierung.

Was auf der Website syfedia.de passiert, wenn du sie nur besuchst – Cookies, Reichweitenmessung, Kontaktformular –, steht in der allgemeinen Datenschutzerklärung.

3. Zwei verschiedene Rollen

Das klingt nach Juristerei, hat aber praktische Folgen für deine Rechte, deshalb steht es weit vorne:

Bei deinen Konto- und Vertragsdaten sind wir Verantwortliche. Wir entscheiden, was damit passiert. Deine Rechte richtest du direkt an uns.

Bei den Daten, die wir aus deinen angebundenen Quellen abrufen, sind wir Auftragsverarbeiter. Verantwortlich bist dann du beziehungsweise dein Unternehmen. Wir verarbeiten diese Daten ausschließlich nach deinen Weisungen und nicht für eigene Zwecke. Geregelt ist das in einem Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO, den wir dir bei Vertragsschluss anbieten und der auf Anfrage jederzeit erhältlich ist.

Bei zwei Auswertungen sind wir zusätzlich selbst verantwortlich. Für die Bildung anonymer Vergleichswerte (Abschnitt 7.6) und für die Auswertung der Nutzung unserer Anwendung (Abschnitt 4) entscheiden wir selbst über Zweck und Mittel. Diese Verarbeitungen sind dort jeweils beschrieben und beruhen auf unserem berechtigten Interesse.

4. Dein Nutzerkonto und der Vertrag

Welche Daten: Hier müssen wir zwei Fälle unterscheiden:

1. Testphase: Nur E-Mail-Adresse und URL, verschlüsselt gespeichertes Passwort, Zeitpunkt der Registrierung, Zeitpunkte der Anmeldung.
2. Laufendes Abo: Zusätzlich noch Vor- und Nachname, Unternehmen und Rechnungsadresse.

Wozu: Einrichtung und Verwaltung deines Zugangs, Erfüllung des Nutzungsvertrages, Kommunikation zu deinem Konto.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Vertrages beziehungsweise vorvertragliche Maßnahmen).

Wie lange: Für die Dauer des Vertrages und anschließend bis zum Ablauf der in Abschnitt 11 genannten Fristen.

Nutzung der Anwendung: Wir werten aus, wie SYFEDIA genutzt wird – etwa welche Arten von Handlungsempfehlungen als erledigt markiert werden und wie sich Kennzahlen danach entwickeln. Daraus gewinnen wir allgemeine Erkenntnisse, die wir in die Weiterentwicklung des Produkts einfließen lassen und in zusammengefasster Form allen Nutzern zur Verfügung stellen. Auch diese Auswertung erfolgt in aggregierter Form ohne Bezug zu einzelnen Kunden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Verbesserung des Produkts und die Bereitstellung von Einordnungshilfen für alle Nutzer.

5. Abrechnung und Zahlung

Während der Testphase: In den ersten 30 Tagen findet keine Zahlung statt. Du musst dafür keine Zahlungsdaten angeben und wir erheben auch keine.

Beim Aktivieren des Abonnements: Wenn du aus der Testphase heraus ein kostenpflichtiges Abonnement startest, leiten wir dich zu unserem Zahlungsdienstleister Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Niederlande weiter. Dort richtest du dein Zahlungsmittel ein. Die dabei eingegebenen Zahlungsdaten – etwa Kontoverbindung oder Kartendaten – werden ausschließlich von Mollie erhoben und verarbeitet. Wir bekommen sie zu keinem Zeitpunkt zu sehen und speichern sie nicht.

Für die Verarbeitung auf den Seiten von Mollie ist Mollie datenschutzrechtlich eigenständig verantwortlich. Es gilt insoweit die Datenschutzerklärung von Mollie unter https://www.mollie.com/de/legal/privacy.

Was wir von Mollie zurückerhalten: Nach der Einrichtung übermittelt Mollie uns die Angaben, die wir zur Verwaltung deines Abonnements benötigen: eine Kundenkennung, eine Kennung des Zahlungsauftrags, den Status der jeweiligen Zahlung sowie Betrag und Zeitpunkt.

Laufende Abrechnung: Mollie zieht den monatlichen Betrag von deinem Zahlungsmittel ein und leitet ihn an uns weiter. Die Rechnung stellen wir selbst.

Welche Daten wir für die Rechnung verarbeiten: Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer, gebuchter Leistungsumfang, Abrechnungszeitraum, Betrag, Zahlungsstatus.

Wozu: Erfüllung des Nutzungsvertrages, Rechnungsstellung sowie Erfüllung handels- und steuerrechtlicher Aufbewahrungs- und Aufzeichnungspflichten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die Abwicklung des Vertrages sowie Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB für die Aufbewahrung.

Empfänger: Mollie B.V. als eigenständig Verantwortlicher

Wie lange: Rechnungsrelevante Daten bewahren wir zehn Jahre nach Ablauf des Kalenderjahres auf, in dem die Rechnung gestellt wurde. Angaben, die ausschließlich der Verwaltung des laufenden Abonnements dienen, löschen wir mit dessen Beendigung nach den Fristen in Abschnitt 11.

6. Protokolldaten beim Betrieb

Welche Daten: IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Funktion, übertragene Datenmenge, Statuscode, Browser- und Betriebssystemkennung.

Wozu: Betrieb und Stabilität der Anwendung, Erkennung und Abwehr von Angriffen, Fehleranalyse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der sichere und störungsfreie Betrieb.

Wie lange: 30 Tage.

7. Zugriff auf deine Google-Konten

Das ist der Abschnitt, der die meisten Fragen auslöst, deshalb ausführlich.

7.1 Wie der Zugriff zustande kommt

Du erteilst den Zugriff selbst über das Anmeldeverfahren von Google (OAuth 2.0). Wir bekommen dabei zu keinem Zeitpunkt dein Google-Passwort. Google stellt uns stattdessen einen technischen Schlüssel aus, der genau die Berechtigungen enthält, denen du zugestimmt hast.

7.2 Welche Berechtigungen wir anfordern

Berechtigung	Was sie erlaubt	Was sie nicht erlaubt
analytics.readonly	Berichtsdaten deiner Google-Analytics-4-Property lesen	Konfiguration ändern, Daten löschen, Ereignisse senden
webmasters.readonly	Leistungsdaten und Indexierungsstatus aus der Search Console lesen	Property-Einstellungen ändern, URLs entfernen
userinfo.email	Primäre E-Mail-Adresse Deines Google-Kontos abrufen	Irgendwelche Daten ändern
openid	Dich bei Google eindeutig identifizieren, damit wir die Verbindung deinem Konto zuordnen können	Irgendwelche Daten ändern

Alle angeforderten Berechtigungen sind lesend. Wir können in deinen Google-Konten nichts anlegen, ändern oder löschen.

7.3 Welche Daten wir dabei abrufen

• Google Analytics 4: aggregierte Berichtsdaten zu Zugriffen, Herkunftsquellen, Seiten, Ereignissen, Geräten und gekürzten Standortangaben
• Google Search Console: Suchanfragen, mit denen deine Website gefunden wurde, zugehörige Klicks, Impressionen, Positionen, aufgerufene URLs sowie Angaben zur Indexierung
• Website-Analyse: öffentlich abrufbare Inhalte deiner Website, die wir für die technische Prüfung selbst aufrufen
• Dein Google-Konto: die primäre E-Mail-Adresse und eine Kennung deines Kontos, damit wir die Verbindung deinem SYFEDIA-Konto zuordnen können

Wir sagen es offen: In den Suchanfragen der Search Console können personenbezogene Daten enthalten sein – zum Beispiel Suchbegriffe, die jemand mit persönlichen Angaben eingegeben hat. Wir werten diese Daten nicht nach Personen aus, aber wir behaupten auch nicht, dass sie nicht vorkommen.

7.4 Wozu wir die Daten verwenden

Ausschließlich dazu, deine monatlichen Berichte zu erstellen, sie in der Anwendung anzuzeigen und Zeitreihen über mehrere Monate hinweg zu bilden.

7.5 Wie wir die Daten nicht verwenden

• nicht für Werbung, Retargeting oder personalisierte Anzeigen
• nicht zur Weitergabe oder zum Verkauf an Dritte, Datenhändler oder Werbeplattformen
• nicht zur Bonitätsbewertung oder Kreditvergabe
• nicht zum Training von KI-Modellen
• nicht in einer Form, die Dritten Rückschlüsse auf dich, dein Unternehmen oder deine Kennzahlen erlaubt

7.6 Allgemeine Kennzahlen für alle Nutzer

Wir bilden aus den Kennzahlen aller Kunden allgemeine Vergleichswerte und stellen sie in SYFEDIA als Einordnungshilfe bereit – zum Beispiel, in welche Richtung sich bestimmte Kennzahlen im Durchschnitt entwickeln.

Wie wir das machen: Die Werte entstehen ausschließlich in aggregierter Form. Sie werden nicht mit deinem Konto, deinem Unternehmen oder einzelnen Datensätzen verknüpft. Vergleichswerte werden erst gebildet und angezeigt, wenn ihnen eine ausreichende Zahl von Kunden zugrunde liegt, so dass keine Rückschlüsse auf einzelne Unternehmen möglich sind. Die Mindestanzahl liegt bei 50 Kunden / Monat.

Was dabei nicht passiert: Deine Daten werden nicht an andere Kunden weitergegeben und sind für sie nicht einsehbar. Aus den Vergleichswerten lässt sich nicht ableiten, welche Zahlen von welchem Unternehmen stammen.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO für den Schritt der Zusammenfassung und Anonymisierung. Unser berechtigtes Interesse besteht darin, allen Kunden eine Einordnung ihrer eigenen Zahlen zu ermöglichen. Das Ergebnis dieses Schrittes ist anonym; auf die daraus entstehenden Vergleichswerte findet die Datenschutz-Grundverordnung keine Anwendung mehr.

Widerspruch: Du kannst dieser Auswertung jederzeit ohne Angaben von Gründen per Mail an support@syfedia.de widersprechen. Deine Daten fließen dann nicht mehr in die Vergleichswerte ein; die Nutzung von SYFEDIA ist davon nicht betroffen.

7.7 Limited-Use-Erklärung

Die Verwendung von Informationen, die SYFEDIA über Google-APIs erhält, richtet sich nach der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen.

7.8 Speicherung der Zugangsschlüssel

Die von Google ausgestellten Zugangs- und Erneuerungsschlüssel werden in unserer Datenbank auf Servern in Deutschland gespeichert und ausschließlich für den Abruf deiner Daten verwendet. Der Zugriff auf die Datenbank ist auf die für Betrieb und Support zuständigen Personen beschränkt. Du kannst die Schlüssel jederzeit entwerten, indem du den Zugriff wie in Abschnitt 7.9 beschrieben entziehst.

7.9 Wie du den Zugriff beendest

Du kannst den Zugriff jederzeit auf zwei Wegen entziehen:

1. In SYFEDIA: in den Einstellungen deines Profils die Verbindung trennen.
2. In deinem Google-Konto: unter myaccount.google.com/permissions den Zugriff von SYFEDIA widerrufen. Dafür brauchst du uns nicht.

Nach dem Entzug können wir keine neuen Daten mehr abrufen. Bereits erstellte Berichte bleiben zunächst erhalten; ihre Löschung richtet sich nach Abschnitt 11.

7.10 Wie wir deine Daten schützen

Wir treffen technische und organisatorische Maßnahmen, um die aus deinen Google-Konten abgerufenen Daten vor unbefugtem Zugriff, Verlust und Veränderung zu schützen:

• Verschlüsselte Übertragung: Sämtliche Datenübertragungen zwischen deinem Browser, unserer Anwendung und den Schnittstellen von Google erfolgen ausschließlich über TLS-verschlüsselte Verbindungen.
• Geschützte Speicherung: Die Daten und Zugangsschlüssel liegen in einer Datenbank, auf die ausschließlich unsere Anwendung und ein eng begrenzter Personenkreis Zugriff haben.
• Serverstandort Deutschland: Die Daten werden auf Servern in Deutschland gespeichert und betrieben. Der Betrieb erfolgt in nach ISO 27001 zertifizierten Rechenzentren.
• Getrennte Verarbeitung: Die Daten unserer Kunden werden logisch voneinander getrennt verarbeitet. Ein Zugriff auf Daten anderer Kunden ist ausgeschlossen.
• Beschränkter Zugriff: Nur die Personen bei uns, die für Betrieb und Support zuständig sind, können auf Kundendaten zugreifen. Alle Zugänge sind personengebunden und durch starke Passwörter geschützt.
• Verpflichtung auf Vertraulichkeit: Alle Personen, die Zugriff haben, sind zur Vertraulichkeit verpflichtet; die Verpflichtung gilt über das Ende der Zusammenarbeit hinaus.
• Datensicherung: Es bestehen regelmäßige Sicherungen, um Datenverlust zu vermeiden.
• Dienstleister: Mit allen eingesetzten Dienstleistern bestehen Verträge nach Art. 28 DSGVO, die dieselben Schutzstandards vorschreiben.

Eine ausführliche Darstellung unserer technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO stellen wir Kunden auf Anfrage zur Verfügung.

8. KI-gestützte Erstellung der Berichtstexte

Was passiert: Damit aus Zahlen verständliche Erklärungen und priorisierte Aufgaben werden, übermitteln wir Auszüge der ausgewerteten Daten an einen KI-Dienstleister. Dieser erzeugt daraus Texte, die wir in deinen Bericht übernehmen.

Welcher Dienstleister: Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA. Eingesetztes Sprachmodell: Claude Opus 5.

Wohin: USA.

Auf welcher Grundlage: Die Übermittlung erfolgt auf Grundlage der Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO. Diese sind Bestandteil des Auftragsverarbeitungsvertrages, den wir mit dem Dienstleister geschlossen haben. Der Dienstleister ist zudem unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Was der Dienstleister nicht darf: Die übermittelten Daten werden vertraglich nicht zum Training von KI-Modellen verwendet.

Wie lange die Daten dort liegen: Betriebliche Protokolldaten der Schnittstelle werden beim Dienstleister nach sieben Tagen automatisch gelöscht. 

Hinweis zu den Ergebnissen: Die Erklärungen und Empfehlungen in deinem Bericht werden automatisiert erzeugt. Sie sind eine Entscheidungshilfe und ersetzen keine fachliche Prüfung im Einzelfall.

9. E-Mail-Benachrichtigungen

Welche Daten: E-Mail-Adresse, Anlass der Benachrichtigung.

Wozu: Hinweis auf einen neuen Bericht, systembezogene Mitteilungen zu deinem Konto und zur Vertragslaufzeit.

Welcher Dienstleister: Kein Versanddienstleister, wir schicken alle E-Mails direkt aus unserem System.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für vertragsbezogene Nachrichten.

10. Empfänger deiner Daten

Empfänger	Zweck	Ort
Mittwald CM Service GmbH & Co. KG, Königsberger Str. 4 - 6, 32339 Espelkamp	Hosting und Serverbetrieb	Deutschland
Anthropic PBC, 548 Market Street, PMB 90375, San Francisco, CA 94104, USA	Erzeugung der Berichtstexte	USA
Mollie B.V. (Mollie HQ)Keizersgracht 1261015 CW Amsterdam	Zahlungsabwicklung	Niederlande

Mit allen Dienstleistern außer Mollie bestehen Verträge zur Auftragsverarbeitung nach Art. 28 DSGVO. Eine Weitergabe deiner Daten an Dritte zu deren eigenen Zwecken findet nicht statt.

11. Wie lange wir Daten speichern

Daten	Dauer
Konto- und Vertragsdaten	Vertragslaufzeit, danach Löschung spätestens zwei Monate nach Vertragsende
Aus Google abgerufene Daten und daraus erstellte Berichte	Vertragslaufzeit, danach Löschung spätestens zwei Monate nach Vertragsende
Rechnungs- und Buchhaltungsdaten	zehn Jahre nach Ablauf des Kalenderjahres der Rechnungsstellung
Protokolldaten	30 Tage
Google-Zugangsschlüssel	Vertragslaufzeit, danach Löschung spätestens zwei Monate nach Vertragsende

Die Frist von zwei Monaten dient dazu, dass du dein Konto in dieser Zeit noch reaktivieren kannst und turnusmäßige Datensicherungen auslaufen. Auf Wunsch löschen wir früher.

12. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21). Erteilte Einwilligungen kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Wende dich dafür an support@syfedia.de.

Soweit wir für dich als Auftragsverarbeiter tätig sind (siehe Abschnitt 3), leiten wir Anfragen betroffener Personen an dich weiter, statt sie selbst zu beantworten.

Beschwerderecht: Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.

13. Pflicht zur Bereitstellung

Die Angaben bei der Registrierung und die Freigabe mindestens einer Datenquelle sind erforderlich, um SYFEDIA nutzen zu können. Ohne sie können wir keine Berichte erstellen. Eine gesetzliche Pflicht zur Bereitstellung besteht nicht.

14. Automatisierte Entscheidungen

Eine automatisierte Entscheidungsfindung einschließlich Profiling mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung nach Art. 22 DSGVO findet nicht statt. Die automatisiert erzeugten Empfehlungen in deinen Berichten sind Vorschläge ohne rechtliche Wirkung.

15. Änderungen dieser Erklärung

Wir passen diese Erklärung an, wenn sich die Anwendung oder die Rechtslage ändert. Die jeweils aktuelle Fassung ist an dieser Stelle abrufbar.

Stand: 01.09.2026