Datenschutzerklärung

MANTRAL UG (haftungsbeschränkt)
Am Lindenbaum 11
53639 Königswinter
Deutschland

E-Mail: info@mantral.app

Beim Aufruf unserer Website werden technisch erforderliche Verbindungsdaten verarbeitet. Dazu können IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene URL, Referrer, Browser-, Geräte- und Betriebssysteminformationen sowie Statuscodes gehören. Die Verarbeitung ist erforderlich, um die Website auszuliefern, Angriffe abzuwehren und die Stabilität zu gewährleisten.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren, stabilen und wirtschaftlichen Betrieb unseres digitalen Angebots. Die Website wird über Netlify bereitgestellt. Netlify verarbeitet dabei technische Zugriffsdaten in unserem Auftrag.

Die Mantral Plattform selbst (Datenbank, Authentifizierung, Dateispeicher, Serverfunktionen) betreiben wir bei Supabase Inc. in der Region eu-central-1 (Frankfurt am Main) auf Infrastruktur von Amazon Web Services. Kundendaten der Plattform werden dort innerhalb der EU gespeichert. Supabase ist als Auftragsverarbeiter gebunden; für Support- und Notfallzugriffe aus Drittländern gelten die EU-Standardvertragsklauseln.

Wenn du uns über das Kontaktformular oder per E-Mail kontaktierst, verarbeiten wir die von dir übermittelten Angaben. Das sind insbesondere Name, E-Mail-Adresse, Unternehmen, Website, Thema und Nachricht. Pflichtfelder sind im Formular gekennzeichnet.

Die Verarbeitung erfolgt zur Bearbeitung deiner Anfrage und zur vorvertraglichen Kommunikation nach Art. 6 Abs. 1 lit. b DSGVO. Bei allgemeinen geschäftlichen Anfragen stützen wir uns ergänzend auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in der strukturierten Bearbeitung und Dokumentation eingehender Anfragen.

Anfragen über das Kontaktformular der Website nehmen wir über Netlify Forms entgegen. Das Kontaktformular innerhalb der Plattform speichert deine Anfrage in unserer Datenbank (Supabase) und versendet eine Eingangsbestätigung über Resend. Wir verwenden die Angaben nicht für Newsletter oder Werbesendungen, sofern du nicht an anderer Stelle ausdrücklich eingewilligt hast, und löschen Anfragen, sobald sie abschließend bearbeitet sind und keine vertraglichen oder gesetzlichen Aufbewahrungspflichten mehr bestehen.

Für eine Demo oder einen Onboarding-Call kannst du einen Termin anfragen. Dabei verarbeiten wir Name, E-Mail-Adresse, Unternehmen, zeitliche Präferenzen und die freiwilligen Kontextangaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Für Demo-Termine ist auf der Kontaktseite der Buchungskalender von Google Calendar eingebunden (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Der Kalender wird erst geladen, nachdem du ihn dort aktiv geöffnet hast — vorher stellt dein Browser keine Verbindung zu Google her. Beim Laden verarbeitet Google insbesondere deine IP-Adresse, Browserdaten und die von dir eingegebenen Buchungsdaten; dabei kann es zu einer Übermittlung in die USA kommen. Rechtsgrundlage für das Laden ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, die du durch das aktive Öffnen erteilst und jederzeit mit Wirkung für die Zukunft widerrufen kannst. Alternativ kannst du jederzeit das Formular auf dieser Seite oder E-Mail nutzen.

Bei Registrierung und Nutzung von Mantral verarbeiten wir insbesondere Account- und Profildaten, Unternehmens- und Teamzuordnungen, Login- und Sicherheitsdaten, Vertrags- und Planinformationen, Nutzungs- und Credit-Buchungen sowie Supportverläufe. Die Verarbeitung dient der Einrichtung und Verwaltung des Accounts, der Bereitstellung der gebuchten Funktionen, der Abrechnung und der Absicherung der Plattform.

Wenn du dich freiwillig mit Google anmeldest, übermittelt Google uns deine bestätigte E-Mail-Adresse, deinen Namen, dein Profilbild und eine Anbieterkennung. Wir verwenden diese Angaben ausschließlich zur Anmeldung, Kontoverknüpfung und Profilvorbelegung. Google Ireland Limited beziehungsweise Google LLC verarbeitet den Anmeldevorgang in eigener Verantwortung; ergänzend gelten die Datenschutzhinweise von Google. Rechtsgrundlage für unsere Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsprüfungen erfolgen zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Handels- und steuerrechtlich erforderliche Daten verarbeiten wir gemäß Art. 6 Abs. 1 lit. c DSGVO.

Für Analyse und Produktion verarbeitet Mantral Daten, die du bereitstellst, über freigegebene Integrationen verbindest oder deren Abruf du beauftragst. Dazu können Shop-URLs, öffentlich erreichbare Webseiteninhalte, Marken- und Produktinformationen, hochgeladene Dateien, Kampagnen- und Creative-Daten, Wettbewerberangaben, Briefings, Prompts und generierte Ergebnisse gehören.

Bitte übermittle keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO und keine personenbezogenen Daten, die für den jeweiligen Marketingzweck nicht erforderlich sind. Du bist dafür verantwortlich, dass du zur Bereitstellung von Inhalten und Daten berechtigt bist.

Für Wettbewerbs- und Marktanalysen verarbeiten wir außerdem öffentlich zugängliche Informationen Dritter, insbesondere öffentlich einsehbare Werbeanzeigen, Webseiten- und Shop-Inhalte sowie öffentliche Kundenbewertungen. Der Abruf erfolgt über spezialisierte Dienstleister; die eingesetzten Dienstleister sind im Abschnitt „Unterauftragsverarbeiter und Dienstleister“ aufgeführt. Soweit dabei personenbezogene Daten enthalten sind, etwa Namen in Anzeigen oder Bewertungen, verarbeiten wir sie auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO zur Analyse von Werbe- und Marktaktivitäten von Unternehmen; wir erstellen keine Profile natürlicher Personen. Eine individuelle Information nach Art. 14 DSGVO unterbleibt, soweit sie unmöglich ist oder einen unverhältnismäßigen Aufwand erfordern würde (Art. 14 Abs. 5 lit. b DSGVO). Betroffene können der Verarbeitung jederzeit widersprechen.

Für Analyse-, Text-, Bild-, Video- und Sprachfunktionen übermitteln wir die für den konkreten Auftrag erforderlichen Eingaben und Kontexte an spezialisierte KI-Anbieter. Je nach Funktion sind das insbesondere Google (Gemini) für Analysen, Texte und Bilder, OpenAI für Text- und Bildfunktionen, Perplexity für Web-Recherchen, fal.ai für Bild- und Videogenerierung, ElevenLabs für Sprachsynthese sowie TopView für Avatar-Videos.

Die Übermittlung wird auf den benötigten Kontext begrenzt. Verarbeite in Prompts, Uploads und Briefings keine vertraulichen personenbezogenen Daten, wenn sie für das Ergebnis nicht zwingend erforderlich sind. Rechtsgrundlage für die auftragsbezogene Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO; für Qualitätssicherung und Missbrauchsschutz Art. 6 Abs. 1 lit. f DSGVO.

Wir nutzen die genannten Anbieter ausschließlich über deren Unternehmens- bzw. API-Schnittstellen, deren Bedingungen eine Nutzung der übermittelten Daten zum Training der Basismodelle ausschließen. Auch wir trainieren keine Modelle mit deinen Inhalten. Soweit Anbieter in den USA verarbeiten, stützen wir die Übermittlung auf das EU-US Data Privacy Framework oder EU-Standardvertragsklauseln.

Du kannst Mantral freiwillig mit Drittplattformen verbinden, etwa Meta, Shop-Systemen (Shopify, WooCommerce, Shopware), Newsletter-Diensten (Klaviyo, Brevo, Mailchimp, MailerLite, ActiveCampaign) oder Publishing-Systemen (WordPress). Erst nach deiner Verbindungsentscheidung verarbeiten wir die jeweils erforderlichen Konto-, Objekt-, Kampagnen-, Performance- und Zugriffsdaten. Umfang und Zwecke werden im jeweiligen Verbindungsdialog erläutert.

Du kannst Integrationen innerhalb der Plattform trennen und Berechtigungen zusätzlich beim jeweiligen Drittanbieter widerrufen. Für die eigenständige Verarbeitung des Drittanbieters gelten dessen Datenschutzhinweise.

Bei einer freiwilligen Verbindung mit Meta verarbeiten wir die Meta-Nutzerkennung, erteilte Berechtigungen, Zugriffstoken und Ablaufzeit, Business- und Werbekonto-IDs sowie Namen, Facebook-Seiten und verknüpfte Instagram-Professional-Konten. Für die von dir genutzten Funktionen verarbeiten wir außerdem Kampagnen-, Ad-Set-, Anzeigen-, Creative-, Status-, Budget- und Performance-Daten wie Ausgaben, Impressionen, Klicks und Conversion-Kennzahlen.

Wir verwenden diese Daten ausschließlich, um die von dir ausgewählten Meta-Assets anzuzeigen, auf deinen Auftrag Kampagnen, Anzeigen, Stories oder Reels zu veröffentlichen und zu verwalten sowie die zugehörige Performance in Mantral auszuwerten. Veröffentlichungen und Änderungen an Meta werden nur durch eine von dir gestartete oder geplante Produktaktion ausgelöst; neu erstellte Anzeigen werden zunächst pausiert angelegt.

Die Verbindung und ihre Zugriffsdaten speichern wir bis zur Trennung, zum Widerruf bei Meta oder zu einem bestätigten Löschersuchen. Beim Trennen entfernen wir Token, Konto-, Seiten- und Instagram-Bindungen sowie abgeleitete Meta-Caches und offene Meta-Publish-Jobs. Meta verarbeitet Daten bei der Autorisierung und Nutzung seiner Schnittstellen in eigener Verantwortung.

Weitere Informationen zur Verarbeitung durch Meta findest du in der Datenschutzrichtlinie von Meta.

Für kostenpflichtige Pläne und Zahlungen setzen wir Stripe ein. Stripe verarbeitet die für Checkout, Zahlungsabwicklung, Rechnungsstellung und Betrugsprävention erforderlichen Zahlungs- und Transaktionsdaten. Vollständige Karteninformationen erhalten wir nicht.

Transaktions- und Vertrags-E-Mails können über Resend versendet werden. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und, soweit gesetzliche Nachweise betroffen sind, Art. 6 Abs. 1 lit. c DSGVO.

Zur Erkennung technischer Fehler und zur Sicherung der Plattform nutzen wir Sentry. Dabei können Fehlerdetails, technische Geräte- und Browserdaten, IP-Adresse, Nutzer- beziehungsweise Accountkennungen und Interaktionsdaten verarbeitet werden. Im US-Anmeldebereich kann Sentry zusätzlich eine maskierte Sitzungsaufzeichnung erfassen, um Abbrüche und Bedienfehler nachzuvollziehen. Seitentexte und Formulareingaben werden maskiert, Medien werden blockiert und die Aufzeichnung endet beim Verlassen dieses Bereichs.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in Fehlerbehebung, Systemsicherheit und Nachvollziehbarkeit technischer Störungen.

Wir messen die Nutzung unserer öffentlichen Seiten und der angemeldeten Anwendung, um Reichweite, technische Nutzung und Abbruchstellen auszuwerten. Die Erfassung erfolgt als eigene Messung in unserer von Supabase betriebenen Plattforminfrastruktur. Einen zusätzlichen externen Analysedienst setzen wir dafür nicht ein.

Auf öffentlichen Seiten setzt diese Messung keine Cookies und speichert keine Kennung im Local Storage oder Session Storage. Der Server bildet aus deiner IP-Adresse, der Browser-Kennung und einem täglich wechselnden Geheimwert einen pseudonymen Besucher-Prüfwert; die rohe IP-Adresse wird nicht in die Messtabellen geschrieben. Tages-Geheimwerte, deren Kalendertag mehr als zwei Tage zurückliegt, werden im nächtlichen Löschlauf entfernt. Für neue Sitzungen wechselt der Prüfwert täglich und ist nicht dafür ausgelegt, Besuche über mehrere Tage zu verknüpfen. Zur Einordnung von Gerät, Browser und Land verarbeiten wir vom Browser bereitgestellte Geräte- und Laufzeitangaben, darunter Browser-Kennung und Zeitzone. Zum Ausschluss eigener Besuche liest die Messung genau einen freiwilligen Vermerk („mantral_ignore“), den du selbst im Browser setzen kannst; Besuche mit diesem Vermerk oder aus automatisierten Browsern werden nicht als Besucher gezählt.

Bei angemeldeten Nutzern enthalten die Messdatensätze zusätzlich die Nutzerkennung des Accounts, damit die In-App-Nutzung nach eindeutigen Nutzern aggregiert werden kann. Erfasst werden unter anderem aufgerufene und verweisende Seite, Kampagnenparameter, Geräteart, Browser, abgeleitetes Land und Ereignisse; die zugrunde liegenden Sitzungs- und Ereignisdatensätze einschließlich der Nutzerkennung werden spätestens nach 400 Tagen gelöscht. Wir stützen diese Verarbeitung auf Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einer datensparsamen, aggregierten Reichweiten- und Nutzungsanalyse. § 25 TDDDG regelt davon getrennt das Speichern von Informationen in der Endeinrichtung und den Zugriff auf dort gespeicherte Informationen. Diese Messung setzt keine Cookies und speichert keine Kennung in den Browser-Speichern; die rechtliche Bewertung der verwendeten Browser- und Geräteangaben, insbesondere Browser-Kennung und Zeitzone, wird gesondert geprüft. Nach Art. 21 Abs. 1 DSGVO kannst du aus Gründen, die sich aus deiner besonderen Situation ergeben, widersprechen; anschließend verarbeiten wir die betroffenen Daten nur bei nachgewiesenen zwingenden schutzwürdigen Gründen oder für Rechtsansprüche weiter.

Mit deiner Einwilligung in Statistik-Cookies zeichnen wir außerdem Interaktionen im ersten Onboarding-Formular direkt in MANTRAL auf, um Bedienprobleme zu erkennen. Formularbeschriftungen, Klicks, Scrollbewegungen und Fehlermeldungen sind sichtbar; persönliche Eingaben werden vor der Übertragung maskiert. Die Aufzeichnungen werden in unserer Supabase-Infrastruktur gespeichert und sind nur für berechtigte Administratoren zugänglich. Sie sind höchstens sieben Tage abrufbar und werden anschließend automatisch gelöscht. Du kannst die Statistik-Einwilligung jederzeit in den Cookie-Einstellungen widerrufen.

Wir schalten Anzeigen bei Google Ads und bei Reddit. Um zu erkennen, welche Anzeige zu einer Registrierung oder zu einem Vertragsabschluss geführt hat, setzen wir die Conversion-Messung dieser beiden Anbieter ein. Übermittelt wird dabei nur, dass ein bestimmter Schritt erreicht wurde, nicht deine Inhalte aus der Plattform.

Für Besucher im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz aktivieren wir Google und Reddit erst nach einer Einwilligung in die Kategorie Marketing. Ohne Einwilligung werden keine Messdaten an diese Anbieter übermittelt und keine Werbe-Cookies gesetzt. Für bestätigte Zugriffe aus den Vereinigten Staaten verwenden wir Conversion-Messung, solange keine Datenschutzoption dagegen ausgeübt wurde. Eine erweiterte Zuordnung über deine E-Mail-Adresse bleibt dabei aus, bis du Marketing ausdrücklich erlaubst.

Wenn dein Browser Global Privacy Control aktiviert hat oder du die Anzeigenmessung über deine Datenschutzoptionen ausschaltest, bleiben beide Anbieter blockiert. Das gilt auch dann, wenn zuvor eine Marketing-Einwilligung gespeichert wurde. Die Auswahl gilt für die Zukunft und kann jederzeit über den Link im Footer geändert werden.

Wenn die Messung erlaubt ist, können das ausgelöste Ereignis, der Zeitpunkt, die aufgerufene Adresse, der Referrer sowie Browser-, Geräte- und Netzdaten einschließlich IP-Adresse übermittelt werden. Nur nach ausdrücklicher Marketing-Einwilligung kann für erweiterte Google-Conversions im Browser eine SHA-256-Prüfsumme deiner E-Mail-Adresse gebildet und an Google übermittelt werden. Die E-Mail-Adresse selbst verlässt deinen Browser nicht im Klartext. An Reddit übermitteln wir keine E-Mail-Adresse. Reddits automatische Erfassung von Adressen aus Formularfeldern ist in unserem Werbekonto abgeschaltet.

Wir verwenden technisch erforderliche Cookies und lokale Browser-Speicherungen für Login, Sicherheit, Session-Steuerung, Spracheinstellungen und wesentliche Produktfunktionen. Ihre Nutzung ist für den ausdrücklich gewünschten Dienst erforderlich.

Für Besucher im Europäischen Wirtschaftsraum, im Vereinigten Königreich und in der Schweiz werden einwilligungspflichtige Analyse-, Komfort- oder Marketingdienste erst nach deiner Einwilligung aktiviert. Du kannst deine Auswahl jederzeit über „Cookie-Einstellungen“ im Footer ändern.

Wir geben Daten nur weiter, soweit dies für die beschriebenen Zwecke erforderlich ist, eine gesetzliche Pflicht besteht oder du eingewilligt hast. Empfänger können Hosting-, Infrastruktur-, Kommunikations-, Zahlungs-, Fehleranalyse-, Integrations- und KI-Dienstleister sein.

Soweit Anbieter Daten außerhalb des Europäischen Wirtschaftsraums verarbeiten, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss – bei US-Anbietern insbesondere die Zertifizierung nach dem EU-US Data Privacy Framework – oder auf geeignete Garantien wie die EU-Standardvertragsklauseln. Details zu einem konkreten Anbieter stellen wir auf Anfrage zur Verfügung.

Wir setzen folgende Dienstleister ein, die personenbezogene Daten in unserem Auftrag verarbeiten können. Standort bezeichnet den Sitz des Anbieters; die Verarbeitung von Plattformdaten erfolgt, soweit angegeben, in der EU.

Supabase Inc. (USA) – Datenbank, Authentifizierung, Dateispeicher, Serverfunktionen; Verarbeitung in Frankfurt (EU).
Netlify Inc. (USA) – Hosting der Website und der Web-App, Formulare der Website.
Stripe Payments Europe Ltd. (Irland) – Zahlungsabwicklung und Rechnungen.
Resend Inc. (USA) – Versand von Transaktions- und Vertrags-E-Mails.
Functional Software Inc. (Sentry, USA) – Fehleranalyse.
Google Ireland Ltd. / Google LLC – KI-Analyse, Text- und Bildgenerierung (Gemini); Buchung von Demo-Terminen (Google Calendar).
OpenAI Ireland Ltd. / OpenAI LLC – KI-Text- und Bildfunktionen.
Perplexity AI Inc. (USA) – KI-gestützte Web-Recherche.
fal.ai Inc. (USA) – KI-Bild- und Videogenerierung.
ElevenLabs Inc. (USA) – Sprachsynthese.
TopView (Singapur) – Avatar-Videos.
Apify Technologies s.r.o. (Tschechien) – Abruf öffentlicher Anzeigen- und Webdaten.
Firecrawl / SideGuide Technologies Inc. (USA) – Abruf öffentlicher Webseiteninhalte.

Meta Platforms Ireland Ltd. sowie die von dir verbundenen Shop-, Newsletter- und Publishing-Anbieter verarbeiten Daten im Rahmen deiner Integration in eigener Verantwortung. Änderungen an dieser Liste veröffentlichen wir hier; wesentliche Änderungen kündigen wir Kunden mit Auftragsverarbeitungsvertrag mindestens 30 Tage vorher an.

Wir speichern personenbezogene Daten nur so lange, wie es für den jeweiligen Zweck, laufende Vertragsbeziehungen, Sicherheit und gesetzliche Nachweis- oder Aufbewahrungspflichten erforderlich ist. Danach werden Daten gelöscht oder anonymisiert.

Account- und Projektdaten können innerhalb der vorgesehenen Produktfunktionen gelöscht oder zur Löschung angefragt werden. Gesetzlich aufzubewahrende Rechnungs- und Vertragsunterlagen bleiben bis zum Ablauf der jeweiligen Fristen gesperrt gespeichert.

Konkret gilt: Server- und Sicherheitsprotokolle löschen wir in der Regel nach 30 Tagen, Fehlerberichte nach 90 Tagen. Nach Löschung eines Accounts entfernen wir Account- und Projektdaten innerhalb von 90 Tagen aus den Produktivsystemen; Sicherungskopien werden turnusmäßig innerhalb weiterer 30 Tage überschrieben. Rechnungs- und Buchungsunterlagen bewahren wir nach § 147 AO und § 257 HGB bis zu zehn Jahre auf.

• Auskunft über deine verarbeiteten personenbezogenen Daten
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten
• Löschung, soweit keine gesetzlichen oder vorrangigen Gründe entgegenstehen
• Einschränkung der Verarbeitung
• Datenübertragbarkeit, soweit die gesetzlichen Voraussetzungen erfüllt sind
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft

Zur Ausübung deiner Rechte genügt eine Nachricht an info@mantral.app.

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für unseren Sitz ist insbesondere die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen zuständig:

LDI NRW
Kavalleriestraße 2–4
40213 Düsseldorf
www.ldi.nrw.de

Wir aktualisieren diese Datenschutzerklärung, wenn sich Funktionen, Dienstleister oder rechtliche Anforderungen ändern. Maßgeblich ist die auf dieser Seite veröffentlichte Fassung.