Datenschutzerklärung

Diese Datenschutzerklärung informiert darüber, welche personenbezogenen Daten JustSendIt verarbeitet, zu welchen Zwecken dies geschieht und welche Daten wir gerade nicht erheben. Sie gilt für die Website von JustSendIt, die JustSendIt-Webanwendung und den JustSendIt-MCP-Server.

1. Verantwortlicher

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist:

Simon Tautz, Einzelunternehmer, handelnd unter der Geschäftsbezeichnung JustSendIt Albert-Roßhaupter-Straße 70, 81369 München, Deutschland E-Mail: simon@justsendit.ai · Telefon: +49 151 65140425

Ein Datenschutzbeauftragter ist nicht bestellt; eine Benennungspflicht besteht weder nach Art. 37 DSGVO noch nach § 38 BDSG.

2. Das Wichtigste zuerst

JustSendIt ist ein Relay ohne Inhaltsspeicherung („Zero Persistence"). Wenn Sie ein Postfach oder ein Messaging-Konto verbinden und über JustSendIt Nachrichten lesen oder versenden — aus der Anwendung heraus oder über MCP aus einem KI-Assistenten —, dann wird der Inhalt dieser Nachrichten nicht auf unseren Systemen gespeichert. Es gibt keine Nachrichtendatenbank, keinen Suchindex und keinen Inhalts-Cache. Nachrichten laufen ausschließlich im Arbeitsspeicher durch, soweit dies zur Ausführung Ihrer Anfrage erforderlich ist, und werden anschließend verworfen.

Gespeichert werden nur diejenigen Daten, die für Konten, Berechtigungen und Abrechnung erforderlich sind; sie sind in Abschnitt 5 aufgeführt.

Drei ehrliche Einschränkungen:

• Ihr KI-Assistent sind nicht wir. Wenn Sie JustSendIt aus Claude, ChatGPT oder einem anderen Agenten heraus nutzen, werden die von Ihnen abgerufenen Nachrichteninhalte an den Anbieter dieses Assistenten übermittelt und unterliegen dessen Datenschutzerklärung. Wir haben keinen Einfluss darauf, was dort gespeichert wird.
• Unser vorgelagerter Anbieter speichert sehr wohl. Unipile, die API, über die wir weiterleiten, hält die OAuth-Zugangsdaten für Ihre verbundenen Konten und verarbeitet Nachrichteninhalte auf eigener Infrastruktur. Siehe Abschnitt 7.
• Zero Persistence gilt für Nachrichteninhalte, nicht für Metadaten. Wir protokollieren, dass eine Aktion stattgefunden hat — siehe den Audit-Trail in Abschnitt 5.3.

3. Rechtsgrundlagen

4. Betroffene Personengruppen

• Besucherinnen und Besucher der Website — siehe Abschnitte 4.1 und 6.
• Kundinnen und Kunden sowie deren Nutzer — Abschnitte 5.1 bis 5.4. JustSendIt wird sowohl von Verbrauchern als auch von Unternehmen genutzt; es gelten jeweils dieselben Regeln.
• Die von unseren Kunden kontaktierten Personen. Für diese Daten sind wir Auftragsverarbeiter und nicht Verantwortlicher; sämtliche Entscheidungen trifft unser Kunde. Siehe Abschnitt 9.

4.1 Server-Logfiles

Unsere Hosting-Anbieter protokollieren bei jedem Aufruf IP-Adresse, Zeitstempel, User-Agent, angeforderte Route, Referrer und Antwortstatus. Dies ist technisch unvermeidbar und dient der Sicherheit und Fehleranalyse auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Speicherdauer: höchstens 30 Tage, praktisch der jeweils kürzere Zeitraum, den die Protokollaufbewahrung des Anbieters vorsieht.

5. Welche Daten wir speichern

5.1 Konto- und Workspace-Daten

• E-Mail-Adresse und ein Authentifizierungsmerkmal (Passwörter werden ausschließlich als Hash bei unserem Identitätsanbieter gespeichert; das Klartextpasswort erhalten wir zu keinem Zeitpunkt)
• Workspace-Bezeichnung, Mitgliedschaftsdatensätze, von Ihnen versandte Einladungen an Mitarbeitende
• Wenn Sie vor der Registrierung Zugang beantragen: Name, E-Mail-Adresse, gewünschter Tarif sowie Entscheidungs- und Verifizierungsstatus. Nach Entfernung einer eingelösten Anfrage enthält das Zulassungsregister nur noch eine nicht umkehrbare oder zufällige Referenz als Nachweis der erteilten Zulassung.

5.2 Daten verbundener Konten

• Der Anbieter (z. B. Gmail, LinkedIn) und die anbieterseitige Kontokennung
• Eine pseudonyme Kennung, die mittels schlüsselbasierten Hashverfahrens (HMAC) abgeleitet wird und der Zuordnung eines Kontos zu Ihrem Workspace dient — wir verzichten bewusst darauf, Ihre Postfachadresse im Klartext zu speichern, wo eine abgeleitete Kennung genügt
• Verbindungsstatus, Momentaufnahmen der Funktionsumfänge und Lebenszyklus-Datensätze
• Welche Berechtigungen und Skills Sie welchem KI-Client eingeräumt haben

Die OAuth-Token oder Passwörter Ihrer verbundenen Konten erhalten und speichern wir zu keinem Zeitpunkt. Diese liegen bei Unipile (Abschnitt 7).

5.3 Nutzungs-, Abrechnungs- und Protokolldaten

• Abonnementtarif, Leistungsumfang und Nutzungszähler (Anzahl der Aufrufe, Anzahl der verbundenen Konten) — Zählwerte, keine Inhalte
• Audit-Ereignisse: wer wann von welchem Client aus was getan hat — Aktionstyp, Zeitstempel, handelnde Person und Ergebnis. Ein Audit-Ereignis hält fest, dass eine Nachricht versandt wurde, nicht deren Inhalt. Speicherdauer 12 Monate, danach Löschung.
• Zahlungsstatus. Kartendaten erreichen uns zu keiner Zeit — siehe Abschnitt 7.

5.4 Welche Daten wir nicht speichern

• Nachrichtentexte, Betreffzeilen, Anhänge oder Entwürfe
• Kontaktlisten oder Adressbücher
• Zugangsdaten zu Ihren verbundenen Konten
• Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Wir fragen sie nicht ab. Sofern sie in Nachrichteninhalten enthalten sind, durchlaufen sie das Relay, ohne gespeichert zu werden.

6. Cookies, Einwilligung, Analyse und Werbung

6.1 Einwilligungsverwaltung

Die Einwilligung wird über CookieCrumbs (cookiecrumbs.eu) verwaltet, eine Consent-Management-Plattform. Ihr Banner-Skript wird von app.cookiecrumbs.eu geladen, ihre Konfiguration vom CookieCrumbs-Backend abgerufen; wie bei jedem Abruf einer Datei von einem Server wird dabei Ihre IP-Adresse übermittelt. Wenn Sie eine Auswahl treffen, ändern oder widerrufen, wird in unserem Auftrag ein Einwilligungsnachweis beim CookieCrumbs-Backend gespeichert, mit dem wir die Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO): Ihre Entscheidung je Kategorie, eine in Ihrem Browser erzeugte zufällige Consent-ID, die Version der angezeigten Einwilligungstexte, Ihre regulatorische Region und der Zeitpunkt. Der Nachweis enthält weder Namen noch E-Mail-Adresse noch eine Kontokennung; die Consent-ID wird nicht für Messung oder Werbung verwendet.

Ihre Entscheidung wird zusätzlich im Erstanbieter-Cookie jsi-consent (Abschnitt 6.2) gespiegelt; an diesem Cookie richten sich unser Mess-Stack und unsere serverseitige Conversion-Meldung aus. Ihre Auswahl können Sie jederzeit über den Link „Cookie-Einstellungen“ im Fußbereich ändern oder widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

Das Banner bietet Annehmen und Ablehnen gleichwertig mit jeweils einem Klick sowie eine Auswahl je Kategorie. Das Ablehnen ist genauso einfach wie das Akzeptieren, und nichts ist vorausgewählt.

Vor Ihrer Einwilligung werden auf Ihrem Endgerät keine Informationen gespeichert und keine dort gespeicherten Informationen ausgelesen, die nicht unbedingt erforderlich sind (§ 25 Abs. 2 TDDDG): Die Consent-Plattform legt Ihre Entscheidung und einen Zwischenspeicher ihrer eigenen Konfiguration im Local Storage Ihres Browsers ab -- genau das macht die Entscheidung beim nächsten Besuch durchsetzbar. Analyse- oder Werbe-Cookies werden vor Ihrer Entscheidung nicht gesetzt und Werbekennungen nicht übermittelt. Eine Ausnahme allein in der Ladereihenfolge betrifft den Tag-Container selbst; sie ist in Abschnitt 6.3 beschrieben.

6.2 Unbedingt erforderliche Cookies

Diese Cookies und Local-Storage-Einträge sind für den Betrieb der Website erforderlich und nach § 25 Abs. 2 TDDDG einwilligungsfrei.

6.3 Tag-Verwaltung (Google Tag Manager)

Wir setzen den Google Tag Manager (Google Ireland Ltd, Gordon House, Barrow Street, Dublin 4, Irland; Mutterunternehmen: Google LLC, USA) ein, um die in Abschnitt 6.4 genannten Dienste zu verwalten und Ihre Einwilligungsentscheidung technisch durchzusetzen.

Der Tag-Container wird bereits geladen, bevor Sie entschieden haben. Das ist technisch erforderlich, weil gerade er alle Mess- und Werbe-Tags bis zu Ihrer Entscheidung auf „denied" hält (Google Consent Mode v2). Der Container selbst setzt keine Cookies, liest keine auf Ihrem Endgerät gespeicherten Informationen aus und überträgt keine Werbekennungen. Beim Abruf der Container-Datei wird Ihre IP-Adresse an Google übermittelt; das ist bei jedem Abruf einer Datei von einem Server technisch unvermeidbar.

Da dabei nicht auf Informationen in Ihrem Endgerät zugegriffen wird, ist § 25 Abs. 1 TDDDG nicht eröffnet. Rechtsgrundlage für die Verarbeitung Ihrer IP-Adresse ist unser berechtigtes Interesse daran, Mess- und Werbe-Tags überhaupt einwilligungsgesteuert ausliefern zu können, Art. 6 Abs. 1 lit. f DSGVO.

6.4 Nur mit Ihrer Einwilligung

Analyse (Google Analytics 4) und Werbung sind im Banner getrennt wählbar. Lehnen Sie Werbung ab und stimmen der Analyse zu, bleiben die oben genannten Werbedienste vollständig inaktiv — und umgekehrt.

Diese Dienste setzen Cookies und vergleichbare Kennungen auf Ihrem Endgerät ein, übermitteln Ihre IP-Adresse und können Ihren Besuch einem bereits bestehenden Konto beim jeweiligen Anbieter zuordnen. Google und Meta verarbeiten diese Daten teilweise in den Vereinigten Staaten. Für Google setzen wir den Google Consent Mode v2 ein; vor Ihrer Entscheidung werden keine Analyse- oder Werbekennungen gesetzt.

Das Cookie jsi-attr wird ausschließlich nach Ihrer Einwilligung in Werbe-Cookies geschrieben und bei einem Widerruf gelöscht. Bis dahin bestehen die Klick-Kennungen nur für den jeweiligen Seitenaufruf und werden nicht gespeichert.

#### Von unserem Server übermittelte Conversions (Meta und OpenAI Conversions API)

Einige Ereignisse melden wir Meta und OpenAI von unserem Server aus und nicht über Ihren Browser. Das ist erforderlich, weil uns die beiden wichtigsten Ereignisse — der Beginn einer Testphase und der Eingang einer Zahlung — von unserem Zahlungsdienstleister erst Stunden oder Tage nach Ihrem Besuch bestätigt werden, wenn kein Browser von Ihnen mehr beteiligt ist.

Damit eine solche Conversion dennoch der von Ihnen angeklickten Anzeige zugeordnet werden kann, speichern wir — ausschließlich mit Ihrer Einwilligung in Werbung — beim Start eines Bezahlvorgangs die folgenden Angaben und übermitteln sie an Meta, sobald das betreffende Ereignis eintritt:

• die oben beschriebenen Klick- und Browser-Kennungen von Meta (_fbc, _fbp) sowie die entsprechenden Kennungen von OpenAI (oppref, obref)
• Ihre E-Mail-Adresse als nicht umkehrbarer SHA-256-Hashwert, niemals im Klartext
• Ihre IP-Adresse und die Kennung Ihres Browsers (User Agent)
• Tarif, Betrag und Währung des Bezahlvorgangs

Ohne Einwilligung in Werbung wird hiervon nichts gespeichert und nichts übermittelt. Die Löschung erfolgt nach 90 Tagen — dem längsten Zeitraum, über den Meta eine Conversion einem Klick zuordnet; danach kann die Speicherung ihren Zweck nicht mehr erfüllen. Jedes Ereignis wird einmalig gemeldet; Folgezahlungen eines Abonnements werden nicht erneut gemeldet.

Die Browser- und die Servermeldung desselben Ereignisses tragen dieselbe Kennung, sodass Meta sie als ein einzelnes Ereignis erkennt und nicht doppelt zählt.

Gemeinsame Verantwortlichkeit. Für die Erhebung und Übermittlung von Daten durch das Meta Pixel sind wir und die Meta Platforms Ireland Ltd auf Grundlage des Controller Addendum von Meta gemeinsam Verantwortliche im Sinne des Art. 26 DSGVO. Die anschließende Verarbeitung durch Meta zu eigenen Zwecken liegt in der alleinigen Verantwortung von Meta. Sie können Ihre Betroffenenrechte gegenüber jedem von uns beiden geltend machen; für die Verarbeitung zu eigenen Zwecken ist Meta die wirksamere Adresse.

Risikohinweis. Bei Übermittlungen in die USA besteht das Restrisiko, dass US-Behörden auf die Daten zugreifen, ohne dass Ihnen ein wirksamer Rechtsbehelf zur Verfügung steht. Mit Ihrer Einwilligung willigen Sie zugleich in diese Übermittlung nach Art. 49 Abs. 1 lit. a DSGVO ein, zusätzlich zu den nachstehenden Garantien.

7. Empfänger und Auftragsverarbeiter

Nicht jeder oben genannte Empfänger ist Auftragsverarbeiter. Google ordnet Google Analytics und den Google Tag Manager als Processor Services ein, die auf unsere Weisung nach den Google Ads Data Processing Terms tätig werden; Google Ads ist ein Controller Service, dort entscheidet Google über eigene Zwecke. Für das Pixel und die Conversions API ist Meta mit uns gemeinsam Verantwortliche nach Art. 26 DSGVO, wie in Abschnitt 6.4 beschrieben. In der Anlage „Unterauftragsverarbeiter" unseres Auftragsverarbeitungsvertrags stehen ausschließlich die Auftragsverarbeiter — deshalb ist diese Liste dort kürzer als hier.

Drittlandtransfer außerhalb der EU/des EWR

Soweit ein Empfänger außerhalb der EU/des EWR niedergelassen ist oder dessen Mutterunternehmen aus einem Drittland auf Daten zugreifen kann, stützt sich die Übermittlung auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, sofern der Empfänger zertifiziert ist, und im Übrigen auf die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), ergänzt um Verschlüsselung bei der Übertragung und im Ruhezustand. Eine Kopie der einschlägigen Klauseln können Sie unter simon@justsendit.ai anfordern.

Wir verkaufen keine personenbezogenen Daten und geben sie nicht zu eigenen Werbezwecken Dritter weiter.

8. Speicherdauer

9. Wann wir Auftragsverarbeiter und nicht Verantwortlicher sind

Für die personenbezogenen Daten innerhalb der von Ihnen verbundenen Konten — einschließlich der personenbezogenen Daten der von Ihnen kontaktierten Personen — sind Sie der Verantwortliche und wir Ihr Auftragsverarbeiter. Wir verarbeiten diese Daten ausschließlich auf Ihre dokumentierte Weisung; diese Weisungen sind die API- und MCP-Aufrufe, die Sie oder Ihr KI-Agent auslösen. Maßgeblich für dieses Verhältnis ist unser Auftragsverarbeitungsvertrag (dpa.md), der Bestandteil unserer Nutzungsbedingungen ist.

Für die Kontaktaufnahme ist dies wesentlich: Sie sind dafür verantwortlich, über eine Rechtsgrundlage für die Kontaktaufnahme zu verfügen, Widersprüche der Betroffenen zu beachten und die Vorgaben des § 7 UWG sowie des Art. 13 der ePrivacy-Richtlinie zu unerbetener kommerzieller Kommunikation einzuhalten. JustSendIt ist ein Werkzeug; es macht Ihre Ansprache nicht rechtmäßig.

10. Ihre Rechte als betroffene Person

Ihnen stehen die Rechte auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16 DSGVO), Löschung (Art. 17 DSGVO), Einschränkung der Verarbeitung (Art. 18 DSGVO), Datenübertragbarkeit (Art. 20 DSGVO) sowie das Recht auf Widerspruch gegen Verarbeitungen auf Grundlage eines berechtigten Interesses (Art. 21 DSGVO) zu. Soweit die Verarbeitung auf einer Einwilligung beruht, können Sie diese jederzeit widerrufen, ohne dass die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung berührt wird (Art. 7 Abs. 3 DSGVO).

Zur Ausübung dieser Rechte genügt eine E-Mail an simon@justsendit.ai. Wir antworten innerhalb eines Monats.

Ihnen steht ferner das Recht auf Beschwerde bei einer Aufsichtsbehörde zu. Die für uns zuständige Aufsichtsbehörde ist:

Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) Promenade 18, 91522 Ansbach, Deutschland · poststelle@lda.bayern.de

Eine automatisierte Entscheidungsfindung mit rechtlicher Wirkung im Sinne des Art. 22 DSGVO findet nicht statt.

11. Sicherheit

Wir treffen die technischen und organisatorischen Maßnahmen, die in Anlage 2 unseres Auftragsverarbeitungsvertrags beschrieben sind, insbesondere Verschlüsselung bei der Übertragung (TLS) und im Ruhezustand, Zugriff nach dem Prinzip der geringsten Berechtigung, auf Datenbank- und Anwendungsebene durchgesetzte Mandantentrennung, schlüsselbasierte Pseudonymisierung von Kontokennungen sowie einen ausschließlich fortschreibenden (append-only) Audit-Trail.

12. Änderungen

Wir können diese Datenschutzerklärung anpassen, wenn sich der Dienst ändert. Wesentliche Änderungen kündigen wir mindestens 14 Tage vor ihrem Wirksamwerden per E-Mail oder in der Anwendung an. Das Datum am Anfang dieses Dokuments bezeichnet stets die aktuelle Fassung.