Wir verarbeiten so wenig personenbezogene Daten wie möglich und ausschließlich für die Erbringung des Citely-Services. Im Folgenden erklären wir, welche Daten wir verarbeiten, zu welchem Zweck und auf welcher Rechtsgrundlage.
1. Verantwortlicher
Verantwortlicher für die Datenverarbeitung im Sinne von Art. 4 Nr. 7 DSGVO ist:
2. Webanalyse
2.1 Optionale Produkt-Analytics (PostHog)
Mit deiner Einwilligung verwenden wir PostHog (PostHog Inc., EU-Hosting in Frankfurt) für anonymisierte Produkt-Analytics — Seitenaufrufe, Klick-Ereignisse, Funnel-Daten — um Citely zu verbessern. IP-Adressen werden anonymisiert. Ebenfalls nur mit deiner Einwilligung erstellen wir Sitzungs-Aufzeichnungen (Session-Replays) zur Erkennung von Bedienproblemen: erfasst werden Klicks, Mausbewegungen und Scroll-Verhalten. Sämtliche Texte und Eingaben werden dabei clientseitig maskiert, bevor Daten übertragen werden. Inhalte deiner Hausarbeit, Dateinamen und E-Mail-Adressen sind in Replays nicht sichtbar. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Du kannst deine Einwilligung jederzeit über die ändern oder widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
2.2 Server-seitige Lifecycle-Events
Unabhängig von der oben genannten Einwilligung verarbeiten wir technische Lifecycle-Ereignisse (Signup, Upload, Report-Fertigstellung, Kauf-Abschluss) zur Produkt-Analytik und Qualitätssicherung. Diese Daten enthalten keine Inhalte deiner Hausarbeit. Sie werden an denselben Auftragsverarbeiter (PostHog) unter denselben Schutzbedingungen weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Produktverbesserung).
2.3 Marketing-Attribution (QR-Code-Sticker und Empfehlungs-Links)
Wenn du unsere Website über einen QR-Code-Sticker oder eine Marketing-URL mit UTM-Parametern erreichst, protokollieren wir den Aufruf serverseitig: Kennung der Sticker-Charge, Land des Aufrufs (zwei-stelliger Ländercode aus dem Anonymisierungs-Header unseres Hosting-Anbieters), eine Klassifikation deines Browsers in „Mensch/Bot/Unbekannt“ sowie den Zeitpunkt. Wir speichern keine IP-Adressen und keinen vollständigen User-Agent. Zusätzlich legen wir einen Eintrag in deinem Browser-Speicher (localStorage) ab, der die Quelle für maximal 30 Tage merkt, damit ein späterer Signup oder Kauf der richtigen Marketing-Quelle zugeordnet werden kann. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Marketing-Erfolgsmessung) bzw. § 25 Abs. 2 Nr. 2 TDDDG (funktional notwendige Speicherung) für den localStorage-Eintrag.
Im Rahmen unseres Influencer-/Affiliate-Programms gilt das Gleiche für Empfehlungs-Links mit dem Parameter utm_source=influencer (z. B. citely.de/i/<name>): Der Aufruf wird anonym gezählt und die Quelle als Kennung der Form inf-<name> für maximal 30 Tage in deinem Browser-Speicher gemerkt. Löst du beim Kauf einen persönlichen Rabattcode eines Influencers ein, ordnen wir den Kauf zu Abrechnungszwecken dieser Empfehlungsquelle zu. Influencer sehen in ihrem Dashboard ausschließlich aggregierte Kennzahlen (Anzahl Aufrufe, Registrierungen, Käufe) — keine personenbezogenen Daten der geworbenen Nutzer (kein Name, keine E-Mail, keine Kaufdetails). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Marketing-Erfolgsmessung und korrekter Provisionsabrechnung) bzw. § 25 Abs. 2 Nr. 2 TDDDG für den localStorage-Eintrag.
2.4 Reichweitenmessung und Conversion-Tracking (Meta)
Mit deiner Einwilligung setzen wir das Meta-Pixel sowie die Meta Conversions API (Anbieter: Meta Platforms Ireland Limited, 4 Grand Canal Square, Dublin, Irland) ein, um den Erfolg unserer Werbeanzeigen auf Facebook und Instagram zu messen und zu optimieren. Erfasst wird, ob nach dem Kontakt mit einer Anzeige eine Handlung erfolgt (insbesondere eine Registrierung). Dabei werden Nutzungsdaten (Seitenaufrufe, das Ereignis „Registrierung abschließen“), eine gehashte Kennung deiner E-Mail-Adresse, deine IP-Adresse, dein User-Agent sowie die Meta-Cookies _fbp und _fbc an Meta übermittelt. Die Übermittlung erfolgt teils direkt aus deinem Browser (Pixel), teils serverseitig über die Conversions API; serverseitig senden wir Ereignisse ausschließlich, wenn deine Einwilligung vorliegt.
Für die Erhebung und Übermittlung dieser Daten sind wir und Meta gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Die anschließende Verarbeitung durch Meta zu eigenen Zwecken verantwortet Meta allein. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Du kannst deine Einwilligung jederzeit über die widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
2.5 Reichweitenmessung und Conversion-Tracking (TikTok)
Mit deiner Einwilligung setzen wir das TikTok-Pixel sowie die TikTok Events API ein (Anbieter: TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, gemeinsam mit TikTok Information Technologies UK Limited, 4 Lindsey Street, Barbican, London, EC1A 9HP, Vereinigtes Königreich), um den Erfolg unserer Werbeanzeigen auf TikTok zu messen und zu optimieren.
Aus deinem Browser übermittelt das Pixel ausschließlich Seitenaufrufe, und zwar nur auf unseren öffentlichen Seiten. Auf Bericht- und Freigabeseiten laden wir das Pixel bewusst nicht, damit Inhalte deiner Arbeit nicht in die Reichweite eines Werbe-Skripts geraten.
Serverseitig übermitteln wir über die Events API einzelne Ereignisse: abgeschlossene Registrierung, Anmeldung zur Terminerinnerung, Start eines Bezahlvorgangs und abgeschlossener Kauf mit Betrag und Währung. Dabei werden eine gehashte Kennung deiner E-Mail-Adresse und deiner Nutzer-ID, deine IP-Adresse, dein User-Agent, die aufgerufene Seite ohne Query-Parameter sowie die TikTok-Kennungen ttclid (Klick-Kennung aus einer Anzeige) und _ttp übermittelt. Ohne deine Einwilligung senden wir serverseitig nichts.
Für die Erhebung und Übermittlung dieser Daten sind wir und TikTok gemeinsam Verantwortliche im Sinne von Art. 26 DSGVO. Die anschließende Verarbeitung durch TikTok zu eigenen Zwecken verantwortet TikTok allein. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Du kannst deine Einwilligung jederzeit über die widerrufen; die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
2.6 Conversion-Tracking (Google Ads)
Wir schalten Werbeanzeigen über Google Ads (Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Der globale Google-Tag ist auf allen Seiten eingebunden, läuft ohne deine Einwilligung aber im sogenannten Consent Mode v2 mit deaktiviertem Speicherzugriff: Es werden keine Werbe-Cookies gesetzt und keine Kennungen in deinem Browser gespeichert. In diesem Zustand überträgt der Tag lediglich cookielose Signale (Consent-Status, aufgerufene Seite, IP-Adresse), aus denen Google statistische Schätzwerte bildet. Rechtsgrundlage hierfür: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Werbeerfolgsmessung).
Erst mit deiner Einwilligung setzt Google das Cookie _gcl_au sowie einen Eintrag in deinem Browser-Speicher und misst, ob nach dem Klick auf eine unserer Anzeigen eine Handlung erfolgt. Übermittelt werden dabei die Klick-Kennung aus der Anzeige (gclid), der Zeitpunkt, die abgeschlossene Aktion (abgeschlossener Kauf mit Betrag und Währung bzw. abgeschlossener kostenloser Check), eine Vorgangsnummer zur Vermeidung von Doppelzählungen sowie die Information, ob es sich um einen Erstkauf handelt. E-Mail-Adressen oder Namen übermitteln wir an Google Ads nicht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) i. V. m. § 25 Abs. 1 TDDDG. Du kannst deine Einwilligung jederzeit über die widerrufen.
3. Cookies und Speicherung im Browser
3.1 Technisch notwendige Cookies
Wir verwenden technisch notwendige Cookies für Login-Sitzung, Anmelde-Status und Sicherheits-Token. Diese sind gem. § 25 Abs. 2 Nr. 2 TDDDG ohne Einwilligung zulässig, da sie für den Betrieb der Website unerlässlich sind.
3.2 Cookies für optionale Produkt-Analytics
Wenn du in Abschnitt 2.1 eingewilligt hast, setzt PostHog technische Cookies und Browser-Speicher-Einträge, um Sitzungen wiederzuerkennen und Funnel-Daten zu aggregieren. Diese Einträge enthalten keine Klartext-Identifikatoren. Rechtsgrundlage: § 25 Abs. 1 TDDDG (Einwilligung).
3.3 Cookies für Reichweitenmessung (Meta)
Wenn du in Abschnitt 2.4 eingewilligt hast, setzt Meta die Cookies _fbp und _fbc, um wiederkehrende Besuche und Anzeigen-Klicks einer Conversion zuzuordnen. Rechtsgrundlage: § 25 Abs. 1 TDDDG (Einwilligung). Unabhängig davon speichern wir deine Consent-Entscheidung in einem technisch notwendigen Cookie (citely_consent_v2), damit auch unsere serverseitige Übermittlung deine Einwilligung berücksichtigt; Rechtsgrundlage: § 25 Abs. 2 Nr. 2 TDDDG (funktional notwendig).
3.4 Cookies für Reichweitenmessung (TikTok und Google)
Wenn du in Abschnitt 2.5 eingewilligt hast, setzt TikTok die Cookies _ttp, _tt_enable_cookie, ttcsid und ttcsid_<Pixel-Kennung>, um wiederkehrende Besuche und Anzeigen-Klicks einer Conversion zuzuordnen. Wenn du in Abschnitt 2.6 eingewilligt hast, setzt Google zum gleichen Zweck das Cookie _gcl_au sowie den Eintrag _gcl_ls in deinem Browser-Speicher. Rechtsgrundlage jeweils: § 25 Abs. 1 TDDDG (Einwilligung).
3.5 Cookie-Einstellungen ändern
Du kannst deine Einwilligung jederzeit anpassen oder widerrufen. Klick dazu einfach auf — der Banner öffnet sich wieder und du kannst neu entscheiden.
4. Verarbeitung personenbezogener Daten
4.1 Besuch unserer Website
Beim Aufruf unserer Website erhebt unser Server automatisch technische Informationen, die dein Browser übermittelt (Server-Logfiles): IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browsertyp, Referrer-URL. Diese Daten werden zur Sicherstellung des Betriebs verarbeitet und nach kurzer Frist gelöscht oder anonymisiert. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherem Betrieb).
4.2 Inanspruchnahme unserer Dienste
Wenn du Citely nutzt, verarbeiten wir die hochgeladenen Dokumente sowie zugehörige Metadaten (Dateiname, Größe, Hochlade-Zeitpunkt) ausschließlich zur Erbringung der beauftragten Analyseleistung. Inhalte werden nicht zu eigenen Zwecken ausgewertet oder an unbeteiligte Dritte weitergegeben. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
4.3 Kontaktaufnahme
Wenn du uns per E-Mail kontaktierst, verarbeiten wir die übermittelten Angaben (insbesondere E-Mail-Adresse und Inhalt der Nachricht) zur Bearbeitung deiner Anfrage. Rechtsgrundlage: Art. 6 Abs. 1 lit. b oder lit. f DSGVO.
4.4 Benutzerkonto
Bei Anlage eines Benutzerkontos verarbeiten wir die zur Authentifizierung notwendigen Daten (E-Mail-Adresse, Anmeldezeitpunkt). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
4.5 KI-gestützte Analyse
Zur Erbringung der Analyseleistung übermitteln wir den Inhalt deiner hochgeladenen Hausarbeit und Quellen-PDFs an spezialisierte KI-Dienstleister (siehe Auftragsverarbeiter-Tabelle in Abschnitt 7.1). Die Analyse erfolgt durch große Sprachmodelle (Large Language Models). Diese Anbieter verarbeiten die Texte ausschließlich zum Zweck der Analyse für deinen Auftrag. Eine Verwendung deiner Inhalte zum Training von KI-Modellen durch diese Anbieter ist vertraglich ausgeschlossen. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).
4.6 Kostenloser Check ohne Konto (Gratis-Check)
Du kannst einen kostenlosen Probe-Check auch ohne Benutzerkonto starten. Dabei verarbeiten wir den Inhalt deiner hochgeladenen Datei wie in den Abschnitten 4.2 und 4.5 beschrieben, nur ohne dass ein Konto entsteht. Da ohne Konto kein Vertrag zustande kommt, stützt sich diese Verarbeitung auf deine Einwilligung, die du mit dem Start der Analyse erteilst; deine Datei kann personenbezogene Daten von dir und gegebenenfalls Dritten enthalten. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Du kannst die Verarbeitung jederzeit widerrufen. Die Datei wird ohnehin nach kurzer Zeit automatisch gelöscht (siehe Abschnitt 5), solange du das Ergebnis nicht durch Anlage eines Kontos speicherst.
4.7 Erinnerung an deinen Abgabetermin
Du kannst uns freiwillig deinen Abgabetermin und deine E-Mail-Adresse hinterlassen. Wir schicken dir daraufhin höchstens zwei E-Mails: sofort eine mit einem Link, mit dem du deine Arbeit später am Rechner hochladen kannst, und kurz vor deinem Termin eine Erinnerung. Danach schreiben wir dich nicht wieder an. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).
Zusammen mit deiner Einwilligung speichern wir zum Nachweis nach Art. 7 Abs. 1 DSGVO den Zeitpunkt, die Fassung des Einwilligungstextes und einen gekürzten Teil deiner IP-Adresse. Ausserdem speichern wir, auf welcher Seite du den Termin hinterlassen hast, ob du Handy oder Rechner benutzt hast, und, falls angegeben, Zitierstil und Fachrichtung, damit das Formular für dich vorausgefüllt ist.
Du kannst deine Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen. Jede dieser E-Mails enthält dafür einen Abmeldelink, und dein E-Mail-Programm zeigt zusätzlich einen eigenen Abmelde-Knopf an. Ein Klick genügt, du musst dich nirgends anmelden und nichts begründen.
Wenn du widersprichst, behalten wir deine E-Mail-Adresse zusammen mit dem Zeitpunkt des Widerspruchs in einer Sperrliste. Das ist notwendig, weil wir dich sonst beim nächsten Eintrag erneut anschreiben würden — wir könnten deinen Widerspruch also genau dann nicht beachten, wenn es darauf ankommt (Art. 21 Abs. 3 DSGVO). Alle übrigen zu dir gespeicherten Angaben löschen wir in diesem Fall.
5. Speicherung personenbezogener Daten
Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder wir gesetzlich dazu verpflichtet sind (insbesondere handels- und steuerrechtliche Aufbewahrungsfristen, in der Regel bis zu 10 Jahre für Rechnungen). Hochgeladene Dokumente, die zugehörigen Analyseergebnisse und etwaige generierte PDF-Berichte werden 30 Tage nach dem Upload automatisch und unwiderruflich gelöscht. Dateien aus dem kostenlosen Check ohne Konto (Gratis-Check) löschen wir bereits deutlich früher, in der Regel innerhalb von 72 Stunden, sofern du das Ergebnis nicht durch Anlage eines Kontos speicherst.
Angaben aus der Terminerinnerung (Abschnitt 4.7) löschen wir spätestens 180 Tage nach dem letzten Kontakt. Ausgenommen ist allein die Sperrliste nach einem Widerspruch, die aus dem dort genannten Grund bestehen bleibt.
6. Sicherheit personenbezogener Daten
Wir treffen angemessene technische und organisatorische Maßnahmen, um deine Daten vor unbefugtem Zugriff, Verlust oder Manipulation zu schützen. Die Übertragung zwischen deinem Browser und unseren Servern erfolgt verschlüsselt (TLS). Unsere Schutzmaßnahmen werden regelmäßig dem Stand der Technik angepasst.
7. Übermittlung personenbezogener Daten an Dritte
Eine Übermittlung deiner Daten an Dritte findet nur in den folgenden Fällen statt:
- an sorgfältig ausgewählte Auftragsverarbeiter (z. B. Hosting, Zahlungsabwicklung, KI-Analyse), mit denen Verträge zur Auftragsverarbeitung gem. Art. 28 DSGVO bestehen;
- soweit eine gesetzliche Verpflichtung zur Übermittlung besteht;
- soweit du ausdrücklich eingewilligt hast.
Ein Verkauf deiner Daten findet nicht statt. Eine Weitergabe an Werbepartner erfolgt ausschließlich im Rahmen der in den Abschnitten 2.4 bis 2.6 beschriebenen Reichweitenmessung und nur mit deiner Einwilligung.
7.1 Auftragsverarbeiter im Überblick
Mit allen folgenden Anbietern bestehen Auftragsverarbeitungsverträge nach Art. 28 DSGVO. Die Anbieter dürfen die übermittelten Daten ausschließlich zum jeweils angegebenen Zweck und nur nach unseren Weisungen verarbeiten.
8. Weitergabe in Drittländer
Einige der in Abschnitt 7.1 aufgeführten Auftragsverarbeiter haben ihren Sitz in den USA (Anthropic, Voyage AI, Google, Trigger.dev sowie Clerk mit EU-Daten-Region). Ebenso werden im Rahmen der Reichweitenmessung mit Meta (Abschnitt 2.4) Daten an die Meta Platforms, Inc. in den USA übermittelt. Die Übermittlung in diese Drittländer erfolgt ausschließlich auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO:
- EU-Standardvertragsklauseln (SCC) nach Art. 46 Abs. 2 lit. c DSGVO mit allen US-Anbietern;
- ergänzend Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023) bei Anthropic, Google und Meta.
Für die Reichweitenmessung mit TikTok (Abschnitt 2.5) sind unsere unmittelbaren Empfänger die TikTok Technology Limited in Irland und die TikTok Information Technologies UK Limited im Vereinigten Königreich. TikTok gibt an, konzerninterne Übermittlungen in Drittländer auf EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO zu stützen.
Du kannst von uns jederzeit eine Kopie der relevanten Garantien per E-Mail anfordern.
9. Deine Rechte
Als betroffene Person hast du folgende Rechte:
- Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung deiner Daten (Art. 17 DSGVO)
- Einschränkung der Verarbeitung (Art. 18 DSGVO)
- Datenübertragbarkeit (Art. 20 DSGVO)
- Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO)
- Beschwerde bei einer Datenschutz-Aufsichtsbehörde (Art. 77 DSGVO)
Schreib uns einfach an hi@citely.de.
10. Aktualisierung dieser Datenschutzerklärung
Wir können diese Datenschutzerklärung anpassen, wenn sich rechtliche Anforderungen ändern oder wir unser Angebot weiterentwickeln. Es gilt jeweils die zum Zeitpunkt der Verarbeitung aktuelle Fassung.
11. Kontakt
Bei Fragen zur Verarbeitung deiner personenbezogenen Daten erreichst du uns unter hi@citely.de.
Stand dieser Datenschutzerklärung: 11. Juli 2026