Datenschutz

Stand: 10. September 2026

Wer wir sind

BacklinkGPT wird betrieben von der FMD Labs GmbH, Ernst-Haeckel-Platz 5/6, 07745 Jena, eingetragen im Handelsregister des Amtsgerichts Jena, HRB 523255 (Verantwortlicher für die hier beschriebene Verarbeitung, soweit nicht anders angegeben). Die Kontaktdaten stehen am Ende dieser Erklärung.

BacklinkGPT ist ein KI-gestützter Linkbuilding-Agent für Unternehmen: Er findet Seiten, die auf die Website eines Kunden verlinken könnten, ermittelt zu jeder Seite einen passenden geschäftlichen Ansprechpartner, entwirft Outreach-Nachrichten und versendet sie (mit Freigabe des Kunden oder in dessen Autopilot-Einstellung) aus den verbundenen Konten des Kunden. Deshalb betrifft diese Erklärung zwei sehr unterschiedliche Personengruppen: unsere Kunden und die Outreach-Empfänger (Prospects), die von den Agenten unserer Kunden kontaktiert werden. Beide werden unten behandelt.

1. Daten, die wir über Kunden verarbeiten

Wenn du einen BacklinkGPT-Workspace anlegst und nutzt, verarbeiten wir:

• Kontodaten: Name, E-Mail-Adresse, Anmelde-Identifikatoren (Google-Anmeldung oder Magic-Link-E-Mail), Workspace- und Organisationsdaten.
• Workspace-Inhalte: deine Domain, Produkt- und Positionierungsbeschreibungen, Playbook-Regeln, deine Anweisungen an den Agenten sowie alles, was der Agent für dich erzeugt (Prospect-Listen, Entwürfe, Konversationsverläufe).
• Abrechnungsdaten: verarbeitet durch unseren Zahlungsanbieter als Merchant of Record. Vollständige Kartendaten sehen und speichern wir nie; wir erhalten Abo-Status, Plan und Rechnungs-Metadaten.
• Nutzungs- und Diagnosedaten: Produkt-Analytics-Events, Log- und Fehlerdaten sowie Geräte-/Browser-Metadaten, um den Dienst zu betreiben, abzusichern und zu verbessern.
• Support und Kommunikation: E-Mails mit uns, In-App-Benachrichtigungen und (nur mit Opt-in) Produkt-E-Mails. Nicht zwingend nötige E-Mail-Typen kannst du jederzeit in deinen Benachrichtigungs-Einstellungen abschalten.

Rechtsgrundlagen: Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO) für Konto-, Workspace- und Abrechnungsdaten; berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) am sicheren Betrieb und der Verbesserung des Dienstes für Nutzungs- und Diagnosedaten; Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), wo wir sie einholen.

2. Verbundene Postfächer und LinkedIn-Konten

Wenn du ein Versand-Konto verbindest (Google, Microsoft, IMAP oder LinkedIn), läuft die Verbindung über unseren Messaging-Integrationsanbieter (Unipile). Wir verarbeiten dann in deinem Auftrag: Anzeigename und Adresse des Kontos, die Outreach-Nachrichten, die der Agent daraus versendet, und die Antworten darauf, damit der Agent Konversationen führen, Antworten erkennen und Sequenzen stoppen kann.

Wir greifen auf verbundene Konten ausschließlich für deinen Outreach zu. Die Anmeldedaten eines verbundenen Kontos liegen beim Integrationsanbieter, nicht bei uns: Auf unserer Seite speichern wir nur die Konto-Kennung und die oben beschriebenen Nachrichtendaten, und diese Verknüpfung wird entfernt, sobald du das Konto trennst. Eingehende Nachrichten eines verbundenen Kontos werden geprüft, um zu entscheiden, ob sie zu einer Outreach-Konversation des Agenten gehören; Nachrichten ohne Treffer werden verworfen statt gespeichert, und dein Postfach wird für nichts anderes als deinen Outreach genutzt.

3. Prospect-Daten (Personen, die von Agenten unserer Kunden kontaktiert werden)

Das ist die größte Kategorie personenbezogener Daten im Produkt. Wenn du eine über BacklinkGPT versendete E-Mail oder LinkedIn-Nachricht erhalten hast, betrifft dich dieser Abschnitt.

Was wir verarbeiten: Name, Rolle/Titel, Unternehmen, geschäftliche E-Mail-Adresse, öffentliche LinkedIn-Profil-URL, die Seite und Website, auf die sich der Outreach bezieht, öffentlich verfügbare Site-Metriken und die anschließende Konversation (deine Antworten).

Woher die Daten stammen: öffentliche Webseiten (die Seite, um die es geht, ihre Website, öffentliche Autoren- und Impressumsseiten), öffentliche Suchergebnisse, öffentliche berufliche Profile sowie lizenzierte Anbieter von Geschäftskontakt- und Site-Metrik-Daten. E-Mail-Adressen werden vor dem Versand über einen Verifizierungsanbieter geprüft. Diese Daten werden nicht direkt bei der betroffenen Person erhoben; diese Erklärung dient als Information nach Art. 14 DSGVO und ist öffentlich unter backlinkgpt.com/rechtliches/datenschutz verfügbar.

Zweck und Rechtsgrundlage: berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO) unserer Kunden und von uns an relevantem, niedrigvolumigem B2B-Outreach zu einer konkreten Seite, für die der Empfänger verantwortlich ist. Der Agent ist so gebaut, dass dieses Interesse verhältnismäßig bleibt: Prospects werden vor jedem Kontakt auf thematische Relevanz gefiltert, der Versand ist pro Sender begrenzt und getaktet, Sequenzen sind kurz und stoppen bei der ersten Antwort oder erkennbarem Desinteresse.

Opt-out und Sperrliste: Jede Outreach-E-Mail enthält einen One-Click-Unsubscribe (RFC 8058 List-Unsubscribe). Ein Opt-out wird in einer Sperrliste erfasst und wirkt kaskadierend: Kontakt und Adresse sind von allen künftigen Sequenzen ausgeschlossen, und wir behalten nur den minimalen Sperrlisten-Eintrag selbst, damit das Opt-out wirksam bleibt. Du kannst auch formlos widersprechen: Ein "Nein" als Antwort stoppt die Sequenz.

Deine Rechte als Prospect: Du kannst jederzeit Auskunft, Berichtigung oder Löschung verlangen und der Verarbeitung widersprechen (Kontaktdaten unten). Löschanfragen setzen wir im kontaktierenden Workspace und in unseren Systemen um, mit Ausnahme des Sperrlisten-Eintrags, der eine erneute Kontaktaufnahme verhindert.

4. Kostenlose Tools und Website-Besucher

Unsere kostenlosen Tools (etwa der Authority-Checker und der Opportunity-Finder) verarbeiten die von dir eingegebene Domain und, wenn du Ergebnisse per E-Mail anforderst, deine E-Mail-Adresse: zur Zustellung des Ergebnisses und nur mit deiner Einwilligung für Produkt-E-Mails. Der Besuch der Website selbst wird mit Produkt-Analytics gemessen (Abschnitt 5); Werbe-Tracker von Drittanbietern setzen wir in der Anwendung nicht ein.

5. Dienstleister (Subprozessoren)

Wir setzen einen überschaubaren Kreis von Anbietern ein, jeweils mit Auftragsverarbeitungsvertrag:

• Hosting: Hetzner Online GmbH, Deutschland (Anwendung und Datenbanken laufen auf Servern in Deutschland).
• Zahlungen / Merchant of Record: Polar (Abo-Abrechnung; Kartendaten berühren unsere Systeme nie).
• Transaktions- und Produkt-E-Mails: Resend.
• Postfach- und LinkedIn-Anbindung: Unipile.
• Prospect-Seiteninhalte: Firecrawl (ruft die öffentlichen Seiten ab, die der Agent bewertet und anschreibt).
• Kontakt-Recherche: Apify (findet öffentlich gelistete Mitarbeitende und Rollen von Prospect-Unternehmen).
• KI-Modelle: Google (Gemini). Seiteninhalte, Workspace-Kontext und Entwürfe werden zur Erzeugung von Bewertungen und Texten verarbeitet; unsere kostenpflichtigen API-Bedingungen untersagen die Nutzung dieser Daten zum Training der Modelle des Anbieters.
• Produkt-Analytics: PostHog.
• Fehler-Monitoring: Sentry.
• Kunden-Lifecycle-E-Mails: Loops.
• Site- und Backlink-Metriken: Ahrefs (Metriken auf Domain-Ebene; in der Regel keine personenbezogenen Daten).
• E-Mail-Verifizierung: ein Verifizierungsanbieter, der die Zustellbarkeit von Prospect-Adressen vor dem Versand prüft.

Verarbeitet ein Anbieter Daten außerhalb der EU/des EWR, stützen sich Übermittlungen auf einen Angemessenheitsbeschluss (einschließlich des EU-U.S. Data Privacy Framework bei zertifizierten Anbietern) oder auf EU-Standardvertragsklauseln.

6. Speicherdauer

• Konto- und Workspace-Daten: für die Vertragsdauer, danach Löschung oder Anonymisierung, soweit nicht gesetzliche Aufbewahrungspflichten (Handels- und Steuerrecht) eine längere Speicherung einzelner Unterlagen verlangen.
• Tokens verbundener Konten: bis du das Konto trennst oder den Workspace löschst.
• Prospect-Daten: solange das zugehörige Engagement und seine Konversation aktiv sind, danach für einen begrenzten Zeitraum zur Deduplizierung (damit dieselbe Person nicht erneut als neu kontaktiert wird); auf Anfrage jederzeit gelöscht.
• Sperrlisten-Einträge: dauerhaft, denn sie existieren, um erneute Kontaktaufnahme zu verhindern.
• Logs und Diagnosedaten: kurze Rotationszeiträume von Tagen bis Monaten.

7. Sicherheit

Daten sind bei der Übertragung (TLS) und im Ruhezustand verschlüsselt. Search-Console-Tokens werden zusätzlich auf Anwendungsebene verschlüsselt (AES-256-GCM; siehe den Google-Abschnitt unten). Der Zugang zu Produktionssystemen ist beschränkt, protokolliert und auf das für den Betrieb Nötige begrenzt.

8. Deine Rechte

Nach der DSGVO hast du das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Basis berechtigten Interesses (Art. 21) sowie das Recht, erteilte Einwilligungen jederzeit mit Wirkung für die Zukunft zu widerrufen. Nutze dafür die Kontaktdaten unten.

Außerdem hast du das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit (TLfDI), der für unseren Sitz zuständigen Behörde.

Google API Services (Search Console)

BacklinkGPT lässt dich optional dein Google-Search-Console-Konto verbinden. Wenn du das tust, greifen wir nur lesend auf deine Search-Console-Daten zu (Klicks, Impressionen, Rankings, Suchanfragen und Seiten deiner eigenen bestätigten Website), um deine Suchleistung im Dashboard anzuzeigen, die Wirkung gewonnener Backlinks zu messen und relevante Keywords für dein Linkbuilding vorzuschlagen.

Die Nutzung und Übertragung von Informationen aus Google-APIs durch BacklinkGPT folgt der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Insbesondere:

• Wir nutzen deine Search-Console-Daten nur für die oben beschriebenen Funktionen, die in deinem eigenen Konto sichtbar sind.
• Wir übertragen, verkaufen oder teilen diese Daten nicht mit Dritten und nutzen sie nicht für Werbung.
• Menschen lesen diese Daten nur mit deiner ausdrücklichen Einwilligung, wenn es aus Sicherheitsgründen nötig ist oder wenn wir gesetzlich dazu verpflichtet sind.
• OAuth-Tokens werden verschlüsselt gespeichert (AES-256-GCM) und gelöscht, wenn du die Integration trennst.

Du kannst den Zugriff jederzeit widerrufen: durch Trennen der Search Console in der App (Verbundene Konten), was die Freigabe auch bei Google widerruft, oder über deine Google-Kontoeinstellungen.

Änderungen dieser Datenschutzerklärung

Wir aktualisieren diese Erklärung, wenn sich der Dienst oder die Rechtslage ändert. Wesentliche Änderungen kündigen wir Kunden per E-Mail an und veröffentlichen sie hier mit aktualisiertem Datum.

Verantwortlicher

Verantwortlicher für die Datenverarbeitung ist:

Bei Fragen zum Datenschutz oder zur Ausübung der oben genannten Rechte (als Kunde oder als Outreach-Empfänger) kannst du uns jederzeit kontaktieren.