Datenschutzerklärung

Zuletzt aktualisiert: 2. September 2026

Hinweis: Maßgeblich ist die italienische Originalfassung dieser Datenschutzerklärung. Bei Abweichungen zwischen dieser Übersetzung und dem italienischen Original gilt das italienische Original.

Diese Erklärung beschreibt, wie Miraqo die personenbezogenen Daten der Nutzer verarbeitet, die den unter app.miraqo.io verfügbaren Dienst und die Website miraqo.io nutzen, gemäß der EU-Verordnung 2016/679 (DSGVO) und — in Bezug auf die Google-API-Integrationen — der Google API Services User Data Policy, einschließlich der Limited-Use-Anforderungen.

1. Verantwortlicher

Delete di Terni Davide
USt-IdNr.: IT02657410185
E-Mail: [email protected]
Sitz: Viale della Libertà 14, Pavia, Italien

2. Erhobene personenbezogene Daten

2.1 Vom Nutzer bereitgestellte Daten

  • Konto: E-Mail, Passwort (gehasht), Vor- und Nachname, Organisationsname.
  • Abrechnung: Firmenname, USt-IdNr./Steuernummer, Adresse, Zahlungsmethode (verwaltet von Stripe — Miraqo speichert keine Kartendaten).
  • SEO-Projekte: Domains, Keywords, URLs und vom Nutzer eingegebene Konfigurationen.

2.2 Über Google-Integrationen erhobene Daten (OAuth)

Wenn der Nutzer freiwillig sein Google-Konto mit einem Miraqo-Projekt verbindet, greifen wir im nur lesenden Modus über OAuth 2.0 auf folgende Daten zu:

  • Google Search Console (Scope webmasters.readonly): Liste der Properties, auf die der Nutzer Zugriff hat, Suchanfragen, indexierte Seiten, Klicks, Impressionen, CTR und durchschnittliche Position — beschränkt auf die vom Nutzer ausgewählten Properties.
  • Google Analytics 4 (Scope analytics.readonly): Liste der zugänglichen GA4-Properties, tägliche aggregierte Kennzahlen (Sitzungen, Nutzer, Engagement, Conversions), aufgeschlüsselt nach Landingpage — beschränkt auf die vom Nutzer ausgewählte Property.

OAuth-Token (Access und Refresh) werden vor dem Speichern in der Datenbank mit AES-128 (Fernet, Bibliothek django-cryptography) verschlüsselt.

2.3 Automatisch erhobene Daten

  • Technische Zugriffsprotokolle (IP-Adresse, User-Agent, Datum und Uhrzeit), 30 Tage aufbewahrt.
  • Technische Sitzungs-Cookies (für die Authentifizierung erforderlich).
  • Fehler-Telemetrie über Sentry, mit send_default_pii=False.
  • Zählung der von jedem Nutzer geöffneten Anwendungsbereiche (Name des Bereichs, Tag, Anzahl der Aufrufe), 90 Tage aufbewahrt, um zu verstehen, welche Funktionen genutzt werden, und das Produkt zu verbessern (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO). Keine IP-Adresse, keine Navigationsdaten außerhalb der Anwendung, keine Werkzeuge Dritter.

2.4 Über den Chatbot der Website erhobene Daten

Die Website stellt einen virtuellen Assistenten (Chatbot) zur Verfügung, um Fragen zu Funktionen, Preisen und der kostenlosen Testphase zu beantworten und Nutzern die Möglichkeit zu geben, kontaktiert zu werden. Bei der Nutzung verarbeiten wir:

  • Nachrichteninhalt, der mit dem Assistenten ausgetauscht wird.
  • E-Mail, nur wenn der Nutzer sie freiwillig angibt, um kontaktiert zu werden (kommerzielle Kontaktanfrage).
  • Pseudonymisierte IP-Adresse (Hash) und verweisende Seite, zu Sicherheits- und Missbrauchspräventionszwecken.

Nachrichten werden von KI-Dienstanbietern verarbeitet (aufgeführt in §6). Wir raten davon ab, persönliche oder sensible Daten im Chat einzugeben. Vor der ersten Nachricht ist eine ausdrückliche Zustimmung zu dieser Datenschutzerklärung erforderlich: Wir speichern Datum, Uhrzeit und Version der akzeptierten Erklärung.

Nutzungsstatistiken dieser Website. Wir messen die Besuche dieser Website mit Matomo, einer auf unserer eigenen Infrastruktur installierten Statistiksoftware (self-hosted): Es werden keine Navigationsdaten an externe Analyseanbieter übermittelt. Die Messung erfolgt ohne Cookies und mit vor der Speicherung anonymisierter IP-Adresse; die erhobenen Daten sind aggregiert und erlauben keine Identifizierung der Besucher.

3. Zwecke der Verarbeitung

  • Erbringung des SaaS-Dienstes (Erstellung und Verwaltung von SEO-Projekten, Ranking, Audit, Berichte).
  • Import und Anzeige von Google-Search-Console- und Google-Analytics-4-Daten im Dashboard des Nutzers, mit dessen ausdrücklicher Genehmigung.
  • Abrechnung, Abonnementverwaltung und steuerliche Compliance.
  • Servicekommunikation (Benachrichtigungen über wesentliche Änderungen, regelmäßige Berichte, Synchronisierungsfehler).
  • Pre-Sales-Support über den Chatbot und Bearbeitung kommerzieller Kontaktanfragen, auf Initiative des Nutzers.
  • Sicherheit der Infrastruktur und Missbrauchsprävention.
  • Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) zur Erbringung des Dienstes.
  • Ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für die Verbindung der Google-Integrationen und für nicht unbedingt erforderliche Kommunikation.
  • Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO) für Abrechnung und Dokumentenaufbewahrung.
  • Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) für Sicherheit und Missbrauchsprävention.
  • Ausdrückliche Einwilligung (Art. 6 Abs. 1 lit. a DSGVO) für die Nutzung des Chatbots und etwaige Kontaktanfragen.

5. Eingeschränkte Nutzung von Google-Daten (Limited Use Disclosure)

Miraqo hält sich vollständig an die Google API Services User Data Policy — Limited Use Disclosure.

Insbesondere erklären wir, dass die von Google Search Console und Google Analytics 4 erhaltenen Daten ausschließlich verwendet werden, um:

  • Dem Nutzer seine eigenen Ranking- und organischen Traffic-Kennzahlen im Miraqo-Dashboard anzuzeigen.
  • GA4-Traffic-Kennzahlen mit den vom Nutzer überwachten Keywords zu korrelieren, um umfassendere Analysen zu ermöglichen.
  • Daten in PDF-Berichten oder vom Nutzer erstellten teilbaren Links zu exportieren.

Außerdem verwenden wir Google-Daten NICHT für:

  • Übertragung, Verkauf oder Weitergabe an Dritte zu Profiling-, Marketing-, Werbe- oder Data-Brokering-Zwecken.
  • Training von KI-Modellen, weder intern noch von Dritten.
  • Zugriff durch Personal, außer (i) mit ausdrücklicher Einwilligung des Nutzers, (ii) für technischen Support mit Einwilligung, (iii) aufgrund rechtlicher Verpflichtungen oder (iv) zu internen Sicherheitszwecken in aggregierter, anonymisierter Form.

6. Dritte, die Daten verarbeiten

Die folgenden Stellen können als Auftragsverarbeiter gemäß Art. 28 DSGVO im Rahmen der von ihnen erbrachten Dienste personenbezogene Daten verarbeiten:

  • NameHero LLC (USA) — Infrastruktur-Hosting; die Server, die den Dienst bereitstellen, befinden sich im Vereinigten Königreich (Rechenzentrum Erith, Infrastruktur von OVH). Die Off-site-Backups werden in den USA (Kalifornien) gespeichert. Das zur Verschwiegenheit verpflichtete Support-Personal von NameHero kann aus den USA und Indien auf die Server zugreifen, ausschließlich soweit dies für den technischen Support erforderlich ist. Die Übermittlungen in die USA und nach Indien erfolgen auf der Grundlage von Standardvertragsklauseln (Module 2 und 3), die am 18. August 2026 unterzeichnet wurden.
  • Cloudflare, Inc. (USA) — CDN, DDoS-Schutz und Verwaltung der TLS-Zertifikate für die Website und die Anwendung. Der gesamte Datenverkehr läuft über ihre Server: verarbeitet werden IP-Adressen, Request-Header und Navigationsmetadaten. Inhalte der Anwendung werden nicht gespeichert.
  • Stripe Payments Europe Ltd. — Zahlungsabwicklung und Abrechnungsdaten.
  • TeamSystem S.p.A. (Fatture in Cloud) — Rechnungsstellung und Übermittlung an das italienische Austauschsystem (SdI): erhält Firmenname, USt-IdNr./Steuernummer, Anschrift, Empfängercode/PEC und Beträge.
  • Google Ireland Ltd. — beschränkt auf die vom Nutzer über OAuth angeforderten Daten (GSC, GA4).
  • Google LLC (Google Fonts) — die Website lädt Web-Fonts über die CDNs fonts.googleapis.com und fonts.gstatic.com; beim Laden der Seiten wird die IP-Adresse des Browsers an die Server von Google übertragen, um die Schriftarten bereitzustellen.
  • Anthropic PBC (USA) — Sprachmodelle, die die Anfragen der vom Nutzer aktivierten KI-Funktionen verarbeiten (Assistent, Inhaltserstellung, Antworten auf Bewertungen, Markenanalyse): erhält die Prompts, die keine identifizierenden Daten enthalten; die Inhalte werden gemäß den Commercial Terms des Anbieters nicht zum Training der Modelle verwendet.
  • OpenRouter Inc. (USA) — Weiterleitung ausschließlich der Anfragen zur Bilderzeugung an das Bildmodell von OpenAI (nur Add-on Content-Generator): erhält die Beschreibung des zu erzeugenden Bildes.
  • Indigo Stream Technologies Ltd. (Copyscape) (Vereinigte Staaten) — Plagiatsprüfung der vom Content-Generator erstellten Texte: erhält den generierten Text. Nur aktiv für Nutzer, die das entsprechende Add-on erworben haben.
  • Functional Software Inc. (Sentry) (Vereinigte Staaten; Daten in der europäischen Region Frankfurt gespeichert) — Telemetrie für Anwendungsfehler, konfiguriert ohne personenbezogene Daten.
  • AhaSend B.V. (Niederlande) — Versand der transaktionalen E-Mails der Anwendung (Registrierung, Passwort-Zurücksetzung, Einladungen, Benachrichtigungen und Berichte): verarbeitet Empfänger und Inhalt der Nachricht. Öffnungen und Linkklicks werden nicht erfasst, Links werden nicht umgeschrieben.
  • DNSExit (USA) — SMTP-Smarthost des Mailservers: leitet die von unseren Postfächern (z. B. info@ und privacy@) versendeten Nachrichten nach außen weiter und verarbeitet dabei Empfänger und Inhalt während der Übertragung. Die Postfächer liegen auf den Servern von NameHero.

Alle außerhalb der Europäischen Union ansässigen Anbieter stützen sich auf die in Kapitel V der DSGVO vorgesehenen Garantien (Angemessenheitsbeschlüsse, Standardvertragsklauseln und/oder das EU-US Data Privacy Framework, je nach Anbieter).

7. Aufbewahrungsdauer

  • Konto- und Projektdaten: solange die Organisation besteht, auch bei abgelaufenem Abonnement. Das Schließen der Organisation in den Einstellungen löscht sie sofort und unwiderruflich; es bleiben nur Backup-Kopien, die durch die normale Rotation überschrieben werden. Organisationen, die seit mehr als 24 Monaten abgelaufen sind, können von uns geschlossen werden, mit 30 Tagen Vorankündigung per E-Mail.
  • Abrechnungsdaten: 10 Jahre gemäß den italienischen Steuervorschriften.
  • Google-OAuth-Token (GSC, GA4): solange die Integration aktiv bleibt; innerhalb von 24 Stunden nach manueller Trennung oder Kontolöschung gelöscht.
  • Synchronisierte GSC/GA4-Daten: bis zu 16 Monate (rollierendes Fenster, abgestimmt auf die Google-API-Limits), gelöscht bei Widerruf oder Kontolöschung.
  • Zugriffsprotokolle: 30 Tage.
  • Sentry-Fehler: 30 Tage.
  • Chat-Transkripte der Website: maximal 30 Tage nach dem Gespräch, danach automatisch gelöscht.
  • Kontaktanfragen (Leads) vom Chatbot: bis zu 24 Monate ab dem letzten Kontakt, sofern kein früherer Löschantrag gestellt wird; der Nachweis der Einwilligung (Datum und Version der Erklärung) wird zusammen mit dem Lead aufbewahrt.

8. Sicherheitsmaßnahmen

  • HTTPS ist an allen Endpunkten verpflichtend (TLS 1.2+).
  • OAuth-Token und andere Zugangsdaten werden im Ruhezustand verschlüsselt (AES-128 Fernet).
  • Nutzerpasswörter werden nur als Hash mit Argon2/PBKDF2 gespeichert.
  • Rate-Limiting beim Login, optionale Zwei-Faktor-Authentifizierung.
  • Tägliche Backups von Datenbank, Dateisystem und Postfächern auf ein externes Ziel, mit mindestens 10 Tagen Aufbewahrung.
  • Eingeschränkter und protokollierter administrativer Zugriff.

9. Rechte der betroffenen Person

Nutzer können jederzeit die in den Artikeln 15–22 DSGVO vorgesehenen Rechte ausüben:

  • Zugang zu ihren Daten.
  • Berichtigung unrichtiger Daten.
  • Löschung (Recht auf Vergessenwerden).
  • Einschränkung und Widerspruch gegen die Verarbeitung.
  • Datenübertragbarkeit (CSV/JSON-Export).
  • Widerruf der Einwilligung, insbesondere für Google-Integrationen: verfügbar über die Projektseite „Integrationen” mit sofortiger Löschung von Token und zugehörigen Daten, oder direkt über myaccount.google.com/permissions.
  • Beschwerde bei der Aufsichtsbehörde. In Italien: www.garanteprivacy.it.

Um deine Rechte auszuüben, schreibe an [email protected]. Wir antworten innerhalb von 30 Tagen.

10. Cookies

Die Website verwendet ausschließlich technische Sitzungs-Cookies, die für den Betrieb der App erforderlich sind und nicht dem Profiling dienen. Der virtuelle Assistent (Chatbot) verwendet keine Cookies und speichert keine Daten auf dem Gerät des Nutzers. Details findest du in der Cookie-Richtlinie.

11. Änderungen dieser Erklärung

Wesentliche Änderungen werden registrierten Nutzern per E-Mail mitgeteilt und mindestens 30 Tage vor Inkrafttreten auf dieser Seite veröffentlicht, außer bei Änderungen aufgrund gesetzlicher Pflichten.

12. Kontakt

Bei Fragen zur Nutzung deiner Daten kontaktiere uns unter [email protected].