Datenschutz

Hinweise zur Verarbeitung personenbezogener Daten bei MRRocket.

1. Wer verantwortlich ist

Für diese Website, die Live-Demo, Kundenkonten und die Vertragsabwicklung ist die Brombach Technologies GmbH, Rheintalbahnstraße 35, 68199 Mannheim, Deutschland, vertreten durch den Geschäftsführer Lukas Falk Brombach, verantwortlich. Kontakt: lukas@brombach-technologies.de.

Daten, die Kunden mit MRRocket über ihre eigenen Produkte, deren Besucher, Nutzer und Kunden sowie über ihre Kontakte und Partner verarbeiten (siehe Abschnitte 7 und 8), verarbeiten wir als Auftragsverarbeiter; verantwortlich ist dann der jeweilige Kunde.

2. Website und technische Bereitstellung

Die Website und die App laufen bei Cloudflare. Beim Aufruf werden technisch erforderliche Daten wie IP-Adresse, Zeitpunkt, angeforderte Seite, Browser- und Geräteinformationen verarbeitet. Das dient der sicheren und stabilen Bereitstellung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Sicherheitsprotokolle werden nur so lange gespeichert, wie sie für Schutz, Fehleranalyse und Missbrauchsabwehr erforderlich sind.

Auf der Website setzen wir keine Analyse- oder Marketingdienste ein und laden keine Inhalte Dritter zu Werbezwecken. Schriften und Bilder der Website liefern wir selbst aus.

3. Live-Demo

Die Live-Demo ist eine eigene, schreibgeschützte Instanz von MRRocket mit erfundenen Beispieldaten. Eingaben in der Demo werden nicht gespeichert. Es gelten dieselben technischen Verarbeitungen wie in Abschnitt 2.

4. Kontakt

Wenn du uns per E-Mail schreibst, verarbeiten wir deine Angaben zur Bearbeitung der Anfrage und zur Vertragsanbahnung nach Art. 6 Abs. 1 lit. b DSGVO, bei allgemeinen Anfragen auf Grundlage unseres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO.

5. Anmeldung und Kundenkonto

Für die Anmeldung nutzen wir Clerk. Dabei werden deine E-Mail-Adresse, dein Name, gegebenenfalls dein Profilbild und deine Anmeldesitzungen verarbeitet; dafür lädt die Seite Skripte von Clerk und setzt technisch notwendige Cookies. Konto-, Produkt-, Konfigurations- und Nutzungsdaten speichern wir in einer Datenbank bei Neon in Frankfurt (AWS eu-central-1). Lädst du Teammitglieder ein, verarbeiten wir deren E-Mail-Adresse und Rolle. Jede Freigabe und jede Änderung der Einstellungen protokollieren wir mit Zeitpunkt und der E-Mail-Adresse der Person, die sie gemacht hat. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

In der App laden wir Logos von Websites über den Favicon-Dienst von Google und erzeugte Avatare von DiceBear. Beide erfahren dabei deine IP-Adresse; DiceBear bekommt statt eines Namens nur einen Hashwert. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Wenn du Telegram oder Slack mit MRRocket verbindest, laufen Nachrichten deiner Agents, Karten mit Entwürfen und Diagramme sowie deine Antworten über den jeweiligen Dienst. Verbindest du dein eigenes Claude oder einen anderen KI-Client über die MCP-Schnittstelle, speichern wir vom Schlüssel nur einen Hashwert; was dein KI-Client liest, verarbeitet dessen Anbieter nach deinem Vertrag mit ihm. Verbindungen zu weiteren Diensten (zum Beispiel Zahlungsanbieter, E-Mail, Social-Konten, GitHub) richtest du selbst ein; MRRocket ruft sie dann in deinem Auftrag auf.

6. Zahlung

Kostenpflichtige Pläne, Add-ons und Credits bezahlst du über Stripe. In der Regel verkauft sie dir dabei Stripe oder ein mit Stripe verbundenes Unternehmen als Händler (Merchant of Record, Stripe Managed Payments; auf der Abrechnung „LINK.COM“). Es verarbeitet dann in eigener Verantwortung Name, E-Mail-Adresse, Rechnungsadresse, gegebenenfalls deine USt-IdNr. und dein Zahlungsmittel, berechnet und erhebt die Steuern und schickt Rechnungen und Belege; dafür gilt ergänzend die Datenschutzerklärung von Stripe. Verkauft Stripe nicht als Händler, wickelt Stripe Payments Europe Ltd., Dublin, verbunden mit Stripe, Inc., USA, die Zahlung für uns ab und verarbeitet dieselben Daten.

Kartendaten sehen wir nie. Wir speichern pro Konto nur deine Kunden-ID bei Stripe, den Status des Abos, die gebuchten Mengen und das Guthaben an Credits mit seinen Buchungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungen werden nach § 147 AO und § 14b UStG zehn Jahre aufbewahrt.

7. Daten deiner Produkte (Auftragsverarbeitung)

MRRocket verarbeitet für Kunden Daten über deren Produkte, Besucher, Nutzer und Kunden, Kontakte und Partner. Dafür ist der Kunde verantwortlich; wir verarbeiten diese Daten nur nach seinen Weisungen und der Vereinbarung zur Auftragsverarbeitung (mrrocket.dev/dpa). Wenn du als Nutzer eines solchen Produkts Fragen hast, wende dich zuerst an dessen Anbieter. Je nachdem, was der Kunde verbindet und einschaltet, sind das:

– Analytics aus dem MRRocket-SDK: aufgerufene Seiten und Ereignisse mit Adresse, Herkunft und Kampagne, Bildschirmgröße sowie App- und Geräteangaben; daraus leiten wir Land, Browser, Betriebssystem und Gerätetyp ab. Ohne Einwilligung in Cookies (Standard) setzt das SDK kein Cookie und speichert nichts im Browser; Besucher zählen wir dann mit einem Hashwert aus Datum, IP-Adresse und Browserkennung, der jeden Tag wechselt. Die IP-Adresse speichern wir nicht. Mit Einwilligung setzt das SDK die Cookies ck_id (ein Jahr) und ck_sid (für die laufende Sitzung). – Klicks und Scrolltiefe für Heatmaps, Fehlermeldungen mit Seite und Nutzerkennung, die Zuordnung zu Tests und Feature-Flags. – Session-Aufnahmen, nur mit eigener Einwilligung der Besucher. Eingaben werden maskiert, Passwort-, Karten- und Zahlungsfelder nie aufgenommen. – Antworten auf Umfragen, Feedback mit Kommentaren und Stimmen, Nachrichten aus dem Messenger, Push-Tokens der Geräte und die Einwilligung in Push-Nachrichten. – Konten der Nutzer aus dem Anmeldedienst des Produkts (Kennung und Zeitpunkte; E-Mail-Adresse und Name nur, wenn der Kunde das einschaltet) sowie Zahlungen und Abos aus dem Zahlungsanbieter des Kunden mit Name und E-Mail-Adresse. – Support-Anfragen aus E-Mail, Chat und verbundenen Postfächern, Kontakte, Firmen und Deals im CRM, Termine aus verbundenen Kalendern und Telefonate über das Twilio-Konto des Kunden. Ein Telefonat wird nur aufgenommen, wenn der Kunde bestätigt, dass alle Beteiligten zugestimmt haben; die Aufnahme wird dann verschriftlicht und zusammengefasst. – Leads aus Hunter oder Apollo mit Name, geschäftlicher E-Mail-Adresse und Position, Bewertungen aus App Stores, Trustpilot und G2 sowie Kommentare unter Social-Posts mit Name, Nutzername und Profilbild der Verfasser. – Für ein Partnerprogramm des Kunden: Bewerbungen (Name, E-Mail-Adresse, Reichweite), Auszahlungs- und Steuerangaben der Partner, die wir verschlüsselt speichern, und Klicks auf Partner-Links. Bei Klicks speichern wir statt der IP-Adresse einen Hashwert, der jeden Tag wechselt, und die Browserkennung. Das SDK merkt sich eine Empfehlung im Cookie mrr_ref für die Laufzeit des Programms (Standard 60 Tage).

Seiten, die wir für Kunden betreiben (Feedback-Board, Partner-Anmeldung und Partner-Portal, getrackte Links, Messenger, Umfragen), verarbeiten zusätzlich die technischen Daten aus Abschnitt 2. Das Partner-Portal setzt nach der Anmeldung per E-Mail-Link ein technisch notwendiges Sitzungs-Cookie.

8. Dateien

Dateien, die in MRRocket hochgeladen oder erzeugt werden, etwa Anhänge im Chat, Bilder und Videos und die Bibliothek, speichern wir bei Cloudflare R2 mit Standort Europa. Bilder, Videos und Anhänge sind über eine nicht erratbare Adresse abrufbar, damit Werbe- und Social-Plattformen sie laden können. Wissensdateien liegen getrennt davon und sind nur über die App erreichbar.

9. KI-Agents

Die Agents von MRRocket nutzen Sprachmodelle über OpenRouter, in erster Linie Claude von Anthropic. Dabei wird übertragen, was ein Agent für eine Aufgabe liest oder schreibt, zum Beispiel Support-Nachrichten, Antwortentwürfe, Kontaktnamen oder Webseiteninhalte. Die Nutzung der Ein- und Ausgaben zum Training ist ausgeschaltet.

Bilder und Videos erzeugen und bearbeiten wir über fal.ai; dorthin gehen die Beschreibung und gegebenenfalls das Bild, das bearbeitet werden soll. fal.ai verschriftlicht auch Spracheingaben, Audio-Anhänge und aufgenommene Telefonate. Damit die Agents sich erinnern und Wissen finden, berechnet Cloudflare Workers AI aus Notizen und Wissensdateien Zahlenvektoren für die Suche.

Screenshots des Agent-Rechners liegen in der EU und werden nach 7 Tagen gelöscht. Die Agents treffen keine Entscheidungen mit rechtlicher Wirkung; Aktionen nach außen gibt der Kunde frei oder erlaubt sie in seinen Einstellungen.

10. Cookies

Auf unserer Website und in der App setzen wir nur technisch notwendige Cookies: für die Anmeldung, im Partner-Portal für die Sitzung und für die gewählte Darstellung (hell oder dunkel). Rechtsgrundlage ist § 25 Abs. 2 TDDDG und Art. 6 Abs. 1 lit. b und f DSGVO. Analyse- oder Marketing-Cookies setzen wir nicht.

Die Cookies des SDK (Abschnitt 7) setzt das SDK auf den Websites unserer Kunden und nur mit Einwilligung der Besucher. Über sie informiert der jeweilige Kunde.

11. Empfänger, Auftragsverarbeitung und Drittstaaten

Wir setzen Anbieter für Hosting, Dateien und Workers AI (Cloudflare), Datenbank (Neon), Anmeldung (Clerk), Zahlung (Stripe, siehe Abschnitt 6), KI (OpenRouter, Anthropic, fal.ai), Verbindungen zu Drittdiensten wie Postfächern, Kalendern und GitHub (Composio), Social Media und Anzeigen (Zernio), SEO-Daten (DataForSEO), Lead-Suche (Hunter), Code (GitHub), Nachrichten an dich (Telegram, Slack), Push-Nachrichten (Expo und die Push-Dienste der Browser-Hersteller, etwa Apple, Google, Mozilla und Microsoft), Avatare (DiceBear) und Logos (Google) ein. Die vollständige Liste der Unterauftragsverarbeiter mit Zweck und Ort steht unter mrrocket.dev/subprocessors, die Vereinbarung zur Auftragsverarbeitung unter mrrocket.dev/dpa.

Dienste, die Kunden mit ihren eigenen Konten verbinden, etwa E-Mail-Anbieter, Zahlungsanbieter, CRM, Twilio, App Stores, Bewertungsportale, Werbeplattformen oder Analytics wie PostHog, ruft MRRocket im Auftrag des Kunden auf; für sie gilt der Vertrag zwischen dem Kunden und dem Anbieter.

Soweit ein Anbieter Daten außerhalb des EWR verarbeitet, stützen wir die Übermittlung auf einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework) oder Standardvertragsklauseln.

12. Speicherdauer und Löschung

Konto- und Produktdaten speichern wir, solange dein Konto besteht. Nach Vertragsende bleibt dein Workspace 30 Tage pausiert, danach wird er geschlossen; weitere 30 Tage kannst du eine Kopie laden oder ihn zurückholen. Dann löschen wir Konto, Daten und Dateien, soweit keine gesetzlichen Aufbewahrungs- oder Nachweispflichten entgegenstehen, etwa für Rechnungen (Einzelheiten in Abschnitt 19 der AGB). In den Sicherungen unseres Datenbankanbieters bleiben gelöschte Daten bis zum Ende von deren Wiederherstellungsfenster.

Feste Fristen gelten für: Analytics-Rohdaten 90 Tage; Session-Aufnahmen 30 Tage (pro Produkt bis 90 Tage einstellbar) und sofort, wenn die betroffene Person gelöscht wird; Screenshots des Agent-Rechners 7 Tage.

Ohne feste Frist, bis der Kunde sie löscht oder sein Konto endet, speichern wir: Fehlermeldungen, Support-Anfragen, Kontakte und CRM-Daten, Leads, Bewertungen und Kommentare, Antworten auf Umfragen und Feedback, Daten des Partnerprogramms, Aufnahmen und Abschriften von Telefonaten, hochgeladene und erzeugte Dateien sowie das Protokoll der Freigaben.

13. Deine Rechte

Du hast nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Anfragen an uns gehen an lukas@brombach-technologies.de.

14. Beschwerderecht

Du kannst dich bei einer Datenschutzaufsichtsbehörde beschweren. Für uns zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, poststelle@lfdi.bwl.de.

15. Änderungen

Wir passen diese Hinweise an, wenn sich rechtliche, technische oder organisatorische Anforderungen ändern. Es gilt die jeweils auf dieser Website veröffentlichte Fassung.