Datenschutz
Betreiber: vailble gmbh · Stand: Oktober 2026
1. Verantwortlicher und Kontakt
Verantwortlicher im Sinne der DSGVO (Art. 4 Nr. 7) ist: vailble gmbh Ludwig-Lassl-Strasse 2 6112 Wattens, Tirol, Österreich Firmenbuch: FN 625878i Geschäftsführung: Ing. Lorenz Wetscher E-Mail (auch für Datenschutzanfragen): office@vailble.com Eine Pflicht zur Benennung eines Datenschutzbeauftragten (Art. 37 DSGVO) besteht für uns nicht; Datenschutzanfragen beantworten wir unter office@vailble.com.
2. Unsere Rolle: Verantwortlicher oder Auftragsverarbeiter
Für deine Kontodaten, Abrechnung, Support, Sicherheit und die Website vailup.app sind wir Verantwortlicher. Für Daten, die du in deinem Arbeitsbereich über Dritte verarbeitest – importierte Kontakte, Newsletter-Empfänger, Leads aus VailPage-Formularen oder Meta-Lead-Anzeigen, Inhalte deiner Kunden (Agenturnutzung) – bist du Verantwortlicher und wir verarbeiten sie als Auftragsverarbeiter nach Art. 28 DSGVO auf Grundlage unseres Auftragsverarbeitungsvertrags (AVV, siehe /avv). Beim Veröffentlichen auf Social-Media-Plattformen und beim Schalten von Anzeigen sind die jeweiligen Plattformen für ihre eigene Verarbeitung (z. B. Anzeige, Reichweite, Werbeauslieferung) eigenständig verantwortlich.
3. Welche Daten wir verarbeiten
Kontodaten: Name, E-Mail-Adresse, Passwort (nur als Hash) bzw. Anmeldung über Google, Sprache, Rolle in Organisation/Team. Marken- und Unternehmensdaten: Angaben zu deinem Unternehmen, Brand-Brain (Tonalität, Zielgruppen), Logos, Farben, ggf. von deiner Website importierte Inhalte. Inhalte: hochgeladene oder per KI erstellte Bilder, Videos, Texte, Entwürfe, Kampagnen, Kalendereinträge, Freigaben. Verbindungsdaten zu Plattformen: Zugriffstoken, Ablaufdatum, erteilte Berechtigungen (Scopes), Konto-/Seiten-IDs, Profilname und Profilbild, App-bezogene Nutzer-ID der Plattform. Kennzahlen: von Plattformen abgerufene Statistiken zu deinen Beiträgen und Anzeigen. Kontakte und Leads: Name, E-Mail, Telefon, Nachricht, Einwilligungstext/-quelle, Abmeldestatus, Notizen, Aufgaben, Herkunft (z. B. UTM-Parameter, Meta-Formular). Nutzungs- und Protokolldaten: IP-Adresse, Zeitstempel, Geräte-/Browserinformationen, Fehlerprotokolle (ohne Token und Passwörter). Abrechnungsdaten: Tarif, Credits, Gutscheine, Rechnungsangaben.
4. Zwecke und Rechtsgrundlagen
– Bereitstellung von VAILUP und aller von dir genutzten Funktionen (Art. 6 Abs. 1 lit. b DSGVO) – Verbindung mit Plattformen, Veröffentlichung, Anzeigen, Lead-Import und Kennzahlen – nur auf deine aktive Veranlassung (Art. 6 Abs. 1 lit. b DSGVO) – Abrechnung und gesetzliche Aufbewahrung (Art. 6 Abs. 1 lit. b und c DSGVO) – Sicherheit, Missbrauchs- und Fehlervermeidung, Mengenbegrenzungen (berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO) – Support und Kontaktanfragen (Art. 6 Abs. 1 lit. b bzw. f DSGVO) – Produkt-Newsletter nur mit Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), jederzeit widerrufbar – Verarbeitung im Auftrag deiner Kunden/Kontakte: auf deiner Weisung (Art. 28 DSGVO); die Rechtsgrundlage gegenüber deinen Kontakten musst du selbst sicherstellen.
5. Verbindung mit Social-Media-, Werbe-, Speicher- und Lead-Plattformen – allgemein
Verbindungen entstehen nur, wenn du sie in Einstellungen → Integrationen herstellst. Du meldest dich dabei direkt bei der jeweiligen Plattform an (OAuth 2.0); dein Passwort der Plattform erhalten wir nie. Die Login-Seite der Plattform zeigt dir die angefragten Berechtigungen. Wir fragen nur die Berechtigungen an, die für die jeweilige Funktion nötig sind, und speichern die tatsächlich erteilten Berechtigungen. Token-Speicherung: Zugriffstoken liegen in einer gesonderten Tabelle unserer Datenbank, auf die nur unsere Server zugreifen können; sie werden nie an deinen Browser zurückgegeben und nicht in Fehlerprotokollen gespeichert. Abgelaufene Verbindungen werden als „abgelaufen“ angezeigt und nicht mehr verwendet. Veröffentlichung: Beiträge werden nur gesendet, wenn du sie freigibst bzw. einplanst oder „Jetzt posten“ wählst. Dafür übertragen wir Text, Hashtags, Medien (über kurzlebige signierte Links) und Zielkonto an die Plattform. Anzeigen: VAILUP erstellt Anzeigenpläne; an Werbeplattformen übertragene Kampagnen werden pausiert bzw. als Entwurf angelegt und nur nach deiner ausdrücklichen Aktivierung geschaltet. Budget und Abrechnung laufen ausschließlich über dein eigenes Werbekonto. Brand Brain: Verbindest du Konten, übernehmen wir öffentliche Profilangaben (z. B. Name, Bio, Kategorie, Website, letzte Beitragstexte) in dein Brand Brain, ohne deine eigenen Einträge zu überschreiben. Trennen: Du kannst jede Verbindung in Einstellungen → Integrationen trennen; dabei löschen wir das gespeicherte Token. Zusätzlich kannst du den Zugriff in den Einstellungen der jeweiligen Plattform widerrufen. Es gelten ergänzend die Datenschutzbestimmungen der Plattformen.
5.0 ChatGPT-App (OpenAI, Model Context Protocol)
Anbieter von ChatGPT: OpenAI (eigenständiger Verantwortlicher für deine ChatGPT-Unterhaltungen gemäß eigener Datenschutzerklärung). Verbindung: nur wenn du die VAILUP-App in ChatGPT hinzufügst und dich mit deinem VAILUP-Konto anmeldest (OAuth 2.0 mit PKCE). Wir erhalten nie dein OpenAI-Passwort, ChatGPT nie dein VAILUP-Passwort. Markenauswahl: Bei der Verbindung wählst du, auf welche Marken ChatGPT zugreifen darf; du kannst die Auswahl jederzeit in VAILUP ändern oder widerrufen. Der Zugriff folgt zusätzlich deinen bestehenden Team- und Markenrechten; keine Daten anderer Organisationen. An ChatGPT übermittelt (nur auf deine Anfrage): Namen der freigegebenen Marken, Brand Brain, Kalendereinträge, Entwürfe, Kampagnen, Mediathek-Metadaten, Seiten/Dokumente, Marketing-, SEO- und Analyse-Zusammenfassungen, Monatsberichte, QR-Codes, Buchungseinstellungen (Team, Leistungen, Standorte, Abwesenheiten, Verfügbarkeit), Zusammenfassungen zu Buchungen und Bewertungen (nur Vornamen, keine E-Mails oder Telefonnummern) sowie Verbindungsstatus. Leads werden standardmäßig ohne Kontaktdaten übermittelt; E-Mail-Adresse und Telefonnummer eines Leads werden nur übermittelt, wenn du sie in ChatGPT ausdrücklich anforderst. Von ChatGPT empfangen und in VAILUP gespeichert (nur auf deine Anfrage): Entwürfe für Social-Beiträge, Newsletter, Kampagnen, Landingpages, Link-Seiten/Gutscheine, Dokumente und Grafiken (inkl. Bearbeitung bestehender Entwürfe), Brand-Brain-Notizen, Bilder für die Mediathek und deren Ordnung. Außerdem kann ChatGPT Leads bearbeiten (Phase, nächster Schritt, Notizen) sowie Buchungsregeln, Standorte, Leistungen, Teammitglieder und Abwesenheiten anlegen oder ändern. Neue Leistungen werden inaktiv angelegt; Änderungen, die deine öffentliche Buchungsseite betreffen, erfordern deine ausdrückliche Bestätigung. Über ChatGPT wird nichts auf Social Media veröffentlicht, kein Newsletter versendet, keine Anzeige aktiviert, nichts bezahlt und keine VAILUP-Credits verbraucht. Speicherung und Löschung: Entwürfe, Notizen, Bilder und Änderungen bleiben, bis du sie in VAILUP oder dein Konto löschst. Zugriffstoken sind kurzlebig. Widerruf: VAILUP in den ChatGPT-Einstellungen trennen oder in VAILUP auf allen Geräten abmelden; Anfragen: office@vailble.com.
5.1 Meta – Facebook, Instagram
Anbieter: Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irland (Datenübermittlung an Meta Platforms Inc., USA möglich). Login: Facebook Login for Business bzw. Instagram-Login (nur Business-/Creator-Konten). Daten: Token, erteilte Berechtigungen, Seiten- und Instagram-Konto-IDs, Name, Profilbild, App-bezogene Nutzer-ID. Zwecke: Auswahl deiner Seite/deines Instagram-Kontos, Veröffentlichung von Beiträgen, Reels, Stories und Karussells, Abruf von Statistiken. Meta Ads: Lesen deiner Werbekonten, Seiten, Pixel und Lead-Formulare, Zielgruppenschätzungen, Anlegen pausierter Kampagnen/Anzeigen und Abruf von Kennzahlen. Meta Lead Ads: Wenn du Lead-Formulare abonnierst, empfangen wir über einen signierten Webhook bzw. Abruf die Antworten (z. B. Name, E-Mail, Telefon, Formularantworten) und speichern sie in VailLead deines Arbeitsbereichs (Auftragsverarbeitung für dich). Eine Einwilligung wird nie unterstellt. Löschung: Entfernst du VAILUP in deinen Facebook-Einstellungen, ruft Meta unsere Rückruf-Adressen auf; wir löschen dann die betreffenden Verbindungen und Token und speichern nur einen Hash der Nutzer-ID und einen Bestätigungscode. Status: vailup.app/meta/data-deletion-status.
5.2 Meta – Threads
Eigener Threads-Login mit Threads-App. Daten: Token, Berechtigungen, Threads-Profil-ID, Name, Bild. Zwecke: Veröffentlichung von Threads-Beiträgen und Abruf von Statistiken. Threads wird nicht für Werbung genutzt. Löschanfragen über Threads werden wie bei Meta automatisch umgesetzt; Status: vailup.app/threads/data-deletion-status.
5.3 LinkedIn
Anbieter: LinkedIn Ireland Unlimited Company, Wilton Plaza, Dublin 2, Irland. Berechtigungen: je nach Funktion w_member_social, openid, profile; für Unternehmensseiten r_organization_admin, w_organization_social, r_organization_social; für Ads r_ads, rw_ads; für Leads und Conversions die Lead-Sync- und Conversions-Berechtigungen. Daten: Token (Ablauf nach ca. 60 Tagen), Mitglieds- und Organisations-IDs, Name, Profilbild, Kampagnen- und Lead-Daten. Zwecke: Beiträge im Profil und auf Unternehmensseiten, Statistiken, LinkedIn-Ads-Kampagnen (als Entwurf angelegt), Lead-Import nach VailLead und Conversion-Meldungen. Die LinkedIn-Klick-ID (li_fat_id) wird nur mit Marketing-Cookie-Einwilligung gespeichert und nach 90 Tagen gelöscht.
5.4 Pinterest
Anbieter: Pinterest Europe Ltd., Dublin, Irland. Berechtigungen: user_accounts:read, boards:read, boards:write, pins:read, pins:write; für Ads user_accounts:read, ads:read. Daten: Token, Konto-ID, Name, Boards, Werbekonten. Zwecke: Bild-Pins in ein von dir ausgewähltes Board, Statistiken, Anzeige deiner Werbekonten.
5.5 TikTok und TikTok Ads
Anbieter: TikTok Technology Ltd., Dublin, Irland. Daten: Token, Profilinformationen und -statistiken (user.info.basic, user.info.profile, user.info.stats), Videoliste (video.list), Werbekonto-, Identitäts- und Pixel-IDs. Zwecke: Video- und Fotoveröffentlichung bzw. Senden als Entwurf, Beitrags-Insights, TikTok-Ads-Kampagnen (pausiert angelegt), Kennzahlen. Webhooks informieren uns über Veröffentlichungsstatus und Abmeldung.
5.6 Snapchat
Anbieter: Snap B.V., Amsterdam, Niederlande. Daten: Token, Organisations-, Werbekonto- und Public-Profile-IDs, Kennzahlen. Zwecke: Snapchat-Ads-Kampagnen (pausiert angelegt) und Kennzahlen sowie organische Veröffentlichung als Public Story, Spotlight und Saved Story.
5.7 Google – Drive, YouTube, Google Ads, Unternehmensprofil
Anbieter: Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland (Datenübermittlung an Google LLC, USA möglich). Google Drive: Über „Aus Google Drive importieren“ kannst du dein Google-Konto verbinden (Berechtigung: drive.file – nur für die Dateien, die du im Google-Auswahlfenster aktiv auswählst – sowie userinfo.email/userinfo.profile zur Anzeige, welches Konto verbunden ist). Wir lesen nur Dateinamen, Vorschaubilder und Metadaten, um dir deine Dateien zur Auswahl anzuzeigen, und laden ausschließlich die Dateien herunter, die du aktiv auswählst. Diese werden in deine Mediathek kopiert. Wir ändern, löschen oder teilen nichts in deinem Drive. Die Verbindung gilt pro VAILUP-Login; Zugriffsschlüssel werden verschlüsselt und nur serverseitig gespeichert. Alternativ kannst du öffentlich freigegebene Drive-Links ohne Anmeldung importieren. YouTube: Daten: Token, Kanal-ID, Kanalname, Profilbild. Zwecke: Hochladen und Planen von Videos und Shorts (Titel, Beschreibung, Thumbnail, Sichtbarkeit) sowie Abruf von Kanal- und Videostatistiken. Google Ads (inkl. YouTube-Anzeigen): Daten: Token, Kundennummern deiner Werbekonten, Kampagnen-, Anzeigengruppen- und Anzeigendaten, Kennzahlen. Zwecke: Auswahl des Werbekontos, Anlegen pausierter Such-, Display- und YouTube-Kampagnen, Status-Abgleich und Kennzahlen. Google Unternehmensprofil: Daten: Token, Standort-IDs, Beiträge, Bewertungen. Zwecke: Beiträge veröffentlichen, Bewertungen anzeigen und beantworten. Die Nutzung von über Google-APIs erhaltenen Daten entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Wir verwenden diese Daten nicht für Werbung, verkaufen sie nicht und nutzen sie nicht zum Training allgemeiner KI-Modelle. Widerruf jederzeit unter myaccount.google.com/permissions. Anmeldung mit Google: Davon getrennt erhalten wir bei der Anmeldung bei VAILUP mit Google nur Name, E-Mail-Adresse und Profilbild.
5.8 Hinterlegte Werbekonto- und Pixel-IDs
Trägst du Werbekonto- oder Pixel-IDs (z. B. Meta, Google, TikTok, Snapchat, LinkedIn, Pinterest) manuell ein, speichern wir nur diese IDs und den Status. Eine Verbindung zum Anbieter entsteht dadurch nicht.
5.9 Shopify
Anbieter: Shopify International Limited, Victoria Buildings, 2. Etage, 1–2 Haddington Road, Dublin 4, Irland (Datenübermittlung an Shopify Inc., Kanada/USA möglich). Berechtigungen: read_products, write_products, read_discounts, read_content, write_content. Daten: Shop-Domain, Shopname, Währung, Zugriffstoken (verschlüsselt, nur serverseitig), Produkte (Titel, Beschreibung, Bilder, Varianten, Preise, Links), Kollektionen, Rabattcodes und Online-Store-Seiten. Zweck: Produkte für Posts, Anzeigen, Kampagnen und Newsletter auswählen, produktbezogene Marketing-Statistiken, auf ausdrücklichen Wunsch SEO-Titel/Meta-Beschreibung eines Produkts aktualisieren und unveröffentlichte Seitenentwürfe anlegen. Wir lesen und speichern keine Bestellungen, Kunden- oder Zahlungsdaten von Shop-Käufern. Pflicht-Webhooks (customers/data_request, customers/redact, shop/redact) werden beantwortet; bei Deinstallation der App löschen wir das Token sofort, die übrigen Shopdaten nach der Shopify-Löschanfrage (shop/redact, ca. 48 Stunden später). Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
6. KI-Verarbeitung
Für Texte, Bilder, Videos und Analysen übermitteln wir die dafür nötigen Eingaben (Prompts, Brand-Brain, ausgewählte Medien) über das Lovable AI Gateway an Modelle von Google (Gemini) und OpenAI. Die Verarbeitung erfolgt nur auf deine Anforderung und auf Grundlage der Geschäftsbedingungen der Anbieter für API-Nutzung. Bitte gib keine sensiblen Daten Dritter in KI-Eingaben ein.
7. Empfänger und Auftragsverarbeiter
– Lovable Cloud (Supabase-Infrastruktur): Datenbank, Anmeldung, Dateispeicher, Server-Funktionen – Cloudflare: Auslieferung und Angriffsschutz – Lovable AI Gateway, Google, OpenAI: KI-Funktionen – Lovable E-Mail-Infrastruktur (notify.vailup.app): System-E-Mails und Newsletter; bei eigenem SMTP dein Anbieter – Plattformen aus Abschnitt 5: nur bei aktiver Verbindung, als eigene Verantwortliche – Stripe Payments Europe Ltd. (Dublin, Irland): Zahlungsabwicklung für Abonnements und Credits; Stripe verarbeitet Name, E-Mail, Zahlungs- und Rechnungsdaten, wir erhalten keine vollständigen Karten- oder Kontodaten (Art. 6 Abs. 1 lit. b und c DSGVO). Mit allen Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO. Die aktuelle Liste findest du unter /subprozessoren.
8. Übermittlung in Drittländer
Einige Anbieter (z. B. Meta, Google, OpenAI, Cloudflare, Lovable/Supabase) haben Sitz oder Server in den USA bzw. außerhalb der EU. Übermittlungen stützen sich, soweit vorhanden, auf das EU-US Data Privacy Framework (Art. 45 DSGVO) oder Standardvertragsklauseln (Art. 46 DSGVO).
9. Speicherdauer und Löschung
– Kontodaten und Inhalte: für die Dauer der Nutzung; nach Löschung des Kontos Entfernung innerhalb angemessener Frist, soweit keine Aufbewahrungspflicht besteht – Plattform-Token: bis zum Trennen, zum Widerruf über die Plattform oder zur Kontolöschung – Offene Meta-Kontoauswahl beim Login: max. 15 Minuten – Löschanfragen von Meta/Threads: nur Hash der Nutzer-ID und Bestätigungscode als Nachweis – Kontakte und Leads: bis du sie löschst oder dein Konto löschst – Fehlerprotokolle: bereinigt, ohne Token/Passwörter, Löschung nach 90 Tagen – Rechnungsdaten: 7 Jahre (§ 132 BAO) Datenexport und Kontolöschung findest du in Einstellungen → Datenschutz.
11. Landingpages, Formulare und Newsletter
Über VailPage-Formulare erhobene Daten und von dir versendete Newsletter verarbeiten wir als Auftragsverarbeiter für dich. Zum Missbrauchsschutz speichern wir einen gekürzten Hash der IP-Adresse. Abmeldungen werden automatisch berücksichtigt. Für Einwilligungen deiner Kontakte bist du verantwortlich. LinkedIn-Klick-IDs: Kommt ein Besucher über eine LinkedIn-Anzeige auf eine VailPage-Seite, enthält der Link eine LinkedIn-Klick-ID (li_fat_id). Diese wird nur erfasst, wenn der Besucher zuvor in Marketing-Cookies eingewilligt hat (Art. 6 Abs. 1 lit. a DSGVO, § 165 Abs. 3 TKG 2021), und bei einer Formulareinsendung zusammen mit dem Lead gespeichert. Hat der Seitenbetreiber LinkedIn-Conversions aktiviert, übermitteln wir die Klick-ID mit dem Conversion-Ereignis (z. B. neuer Lead, Termin, Abschluss) serverseitig über die LinkedIn Conversions API an LinkedIn Ireland Unlimited Company, damit LinkedIn die Conversion der jeweiligen Anzeige zuordnen kann. Ohne Einwilligung wird keine Klick-ID gespeichert oder übermittelt. Die Einwilligung kann jederzeit über die Cookie-Einstellungen der Seite mit Wirkung für die Zukunft widerrufen werden; gespeicherte Klick-IDs werden mit dem Lead gelöscht.
12. Kontaktformular
Angaben aus dem Kontaktformular (Name, E-Mail, optional Unternehmen, Anliegen, Nachricht) nutzen wir nur zur Bearbeitung deiner Anfrage (Art. 6 Abs. 1 lit. b bzw. f DSGVO).
13. Deine Rechte
Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21). Eine Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3). Wende dich an office@vailble.com oder nutze Einstellungen → Datenschutz. Bist du Kontakt oder Lead eines VAILUP-Kunden, wende dich bitte zuerst an diesen; wir leiten Anfragen weiter. Beschwerde: Österreichische Datenschutzbehörde, Barichgasse 40-42, 1030 Wien, www.dsb.gv.at
14. Anleitung: Verbindungen und Daten löschen
1. Verbindung trennen: In VAILUP Einstellungen → Integrationen → bei der Plattform „Trennen“. Das Token wird gelöscht. 2. Bei der Plattform widerrufen: Facebook → Einstellungen → Business-Integrationen bzw. Apps und Websites; Instagram → Einstellungen → Apps und Websites; Threads → Einstellungen → Konto → Websiteberechtigungen; LinkedIn → Einstellungen → Datenschutz → Berechtigte Dienste; Pinterest → Einstellungen → Sicherheit → Apps. 3. Konto und alle Daten löschen: Einstellungen → Datenschutz, oder E-Mail an office@vailble.com.
15. Pflicht zur Bereitstellung, automatisierte Entscheidungen
Kontodaten sind für die Nutzung erforderlich; Plattformverbindungen sind freiwillig. Eine automatisierte Entscheidung mit rechtlicher Wirkung (Art. 22) findet nicht statt; der Lead-Score in VailLead ist nur eine Hilfe für dich.
16. Datensicherheit
TLS-verschlüsselte Übertragung, rollenbasierte Zugriffsrechte auf Datenbankebene (Team- und Markenrechte), Token nur serverseitig, signierte Webhooks, Mengenbegrenzungen, bereinigte Fehlerprotokolle. Absolute Sicherheit kann kein Anbieter garantieren.
17. Änderungen
Wir passen diese Erklärung an, wenn sich Funktionen, Anbieter oder die Rechtslage ändern .