[ DATENSCHUTZ ]

Christoph Scheel, Am Schweizersbild 2, 88630 Pfullendorf, Deutschland
E-Mail: support@growmigo.de
Ein Datenschutzbeauftragter ist gesetzlich nicht bestellt.

Personenbezogene Daten werden ausschließlich im Rahmen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) verarbeitet. Die Verarbeitung erfolgt nur, soweit sie zur Bereitstellung der Funktionen erforderlich ist oder eine Einwilligung vorliegt. Eine Weitergabe an Dritte zu Werbezwecken findet nicht statt.

Registrierung: Benutzername, E-Mail-Adresse, Passwort (gespeichert als bcrypt-Hash), IP-Adresse der Registrierung sowie Zeitstempel. Die IP-Adresse der Registrierung nutzen wir, um die Zahl neuer Konten pro Anschluss zu begrenzen (Art. 6 Abs. 1 lit. f DSGVO), und löschen sie nach 30 Tagen. Hinzu kommen der Bestätigungsstatus der E-Mail-Adresse und, sofern erteilt, der Status der Einwilligung in die Öffnungsmessung samt Zeitpunkt, IP-Adresse und Herkunft der Einwilligung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, die Bereitstellung des Nutzerkontos, für die Nachweise zu Einwilligungen Art. 7 Abs. 1 DSGVO.

Nutzungsdaten: Selbst eingegebene Inhalte wie Grow-Daten, Pflanzen, Growboxen, Tagebucheinträge mit Fotos, Messwerte, Kalendereinträge und Samen-Inventar. Diese Angaben sind freiwillig und dienen allein der Bereitstellung der Funktionen (Art. 6 Abs. 1 lit. b DSGVO).

Server-Logfiles: Beim Zugriff werden IP-Adresse, Zeitpunkt und aufgerufene Seite erfasst. Dies dient der Systemsicherheit und der Missbrauchserkennung (Art. 6 Abs. 1 lit. f DSGVO).

Chat-Protokolle: Zu Anfragen an den Grow-Assistenten protokollieren wir Zeitpunkt, Nutzerkonto, Modell, Tokenzahlen und die ersten 200 Zeichen von Frage und Antwort, ohne IP-Adresse. Beim öffentlichen Chatbot protokollieren wir die ersten 300 Zeichen von Frage und Antwort zusammen mit einem täglich wechselnden Hashwert der IP-Adresse, der mit einem geheimen Schlüssel gebildet wird. Die Protokolle dienen der Fehlersuche und der Missbrauchserkennung (Art. 6 Abs. 1 lit. f DSGVO) und werden nach 30 Tagen gelöscht.

Reichweitenmessung: Für interne Statistiken speichern wir pro Besucher und Tag die aufgerufene Seite, die verweisende Seite, Kampagnenparameter der URL (utm_source, utm_medium, utm_campaign und weitere), Browser, Betriebssystem, Gerätetyp und das Land. Das Land bestimmen wir aus der IP-Adresse mit einer lokalen Datenbank auf unserem Server, die IP-Adresse wird dafür nicht an Dritte übermittelt. Ebenfalls lokal prüfen wir, ob ein Aufruf aus einem Rechenzentrum kommt, um automatisierte Zugriffe aus der Statistik herauszuhalten. Die IP-Adresse selbst speichern wir nicht, sondern einen gekürzten Hashwert, der mit einem geheimen Schlüssel gebildet wird und täglich wechselt. Er dient allein dazu, mehrere Aufrufe am selben Tag nur einmal zu zählen, und wird nach Ablauf des Tages gelöscht. Die Einzeldaten werden nach 90 Tagen gelöscht, danach bleiben nur Tageszahlen ohne Personenbezug. Rechtsgrundlage ist das berechtigte Interesse an einer bedarfsgerechten Gestaltung des Angebots (Art. 6 Abs. 1 lit. f DSGVO). Zugriffe erkannter Suchmaschinen-Bots werden nicht gezählt.

Es werden keine Tracking- oder Marketing-Cookies eingesetzt und keine Werbenetzwerke eingebunden.

Technisch notwendiges Cookie: Nach dem Einloggen wird das Cookie gm_sess gesetzt. Es enthält keinen Inhalt außer einer Kennung, dass eine Sitzung besteht, und steuert den Zugang zu den geschützten Bereichen. Es ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil es für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist.

Lokaler Speicher: Im localStorage des Browsers werden das Anmelde-Token, die gewählte Sprache und die Layout-Einstellung abgelegt. Diese Daten verbleiben im Browser und werden nicht an den Server übertragen, soweit sie nicht für die Anmeldung benötigt werden. Beim Abmelden wird das Token gelöscht.

Growmigo bietet drei KI-Funktionen an: den Grow-Assistenten und die Foto-Diagnose im Portal sowie den öffentlichen Chatbot auf der Startseite. Die Antworten erzeugt der externe KI-Dienst OpenAI. Grow-Assistent und Foto-Diagnose stehen zur Verfügung, sobald du deine E-Mail-Adresse bestätigt hast.

Was übermittelt wird: Im Grow-Assistenten gehen deine Nachrichten aus dem laufenden Gespräch an OpenAI, dazu ein Foto, wenn du eines anhängst. Fotos werden vorher auf höchstens 1024 Pixel Kantenlänge verkleinert und nur mit der Nachricht übermittelt, zu der sie gehören. Bei der Foto-Diagnose gehen das Bild und deine Angaben zu Phase, Tag, Sorte, Pflanzentyp und Dünger an OpenAI. Im öffentlichen Chatbot gehen nur deine Nachrichten aus dem laufenden Gespräch an OpenAI. Rechtsgrundlage ist die Bereitstellung der von dir angefragten Funktion (Art. 6 Abs. 1 lit. b DSGVO).

Tagebuch einbeziehen: Nur wenn du im Grow-Assistenten den Schalter „Tagebuch einbeziehen“ einschaltest, übermittelt Growmigo bei jeder Frage zusätzlich Daten aus deinem Grow-Tagebuch: deine Setup-Angaben (Erfahrung, Methode, Medium, Dünger, Notizen), deine aktiven Growboxen mit Ausstattung, deine aktiven Pflanzen mit Name, Sorte, Phase, Starttag, Box, Medium, Topfgröße und Notizen, die letzten Tagebucheinträge mit Messwerten wie pH, EC, Temperatur und Luftfeuchte, deinen Samenbestand sowie deine Termine der letzten 7 und der nächsten 14 Tage. Der Schalter ist zu Beginn ausgeschaltet. Rechtsgrundlage ist deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die du mit dem Schalter erteilst. Du kannst sie jederzeit mit demselben Schalter widerrufen. Ab dann gehen keine Tagebuchdaten mehr an OpenAI, die Rechtmäßigkeit der bis dahin erfolgten Übermittlungen bleibt unberührt. Den Zeitpunkt deiner letzten Entscheidung speichern wir als Nachweis (Art. 7 Abs. 1 DSGVO). Die Terminübersicht zu Beginn des Chats wird direkt aus deinem Kalender erstellt, dabei geht nichts an OpenAI.

Was nie übermittelt wird: Dein Name, deine E-Mail-Adresse, deine IP-Adresse und deine Kontodaten werden in keinem Fall an OpenAI übermittelt. Bitte gib in Chat-Eingaben und auf Fotos keine Daten an, die Rückschlüsse auf dich oder andere Personen zulassen.

Drittländer: Eine Übermittlung in Drittländer, insbesondere die USA, ist möglich. In diesen Fällen werden die Standardvertragsklauseln der EU-Kommission eingesetzt. OpenAI verwendet die über die Schnittstelle übermittelten Inhalte nicht zum Training seiner Modelle. Zur Erkennung von Missbrauch bewahrt OpenAI Anfragen und Antworten bis zu 30 Tage auf, sofern keine längere Aufbewahrung gesetzlich vorgeschrieben ist.

Kostenprotokoll: Für jede KI-Anfrage speichern wir Zeitpunkt, Nutzerkonto, Funktion, Anbieter, Modell, die Zahl der verarbeiteten Tokens und die daraus berechneten Kosten. Inhalte der Anfragen enthält dieses Protokoll nicht. Es dient dem Schutz vor Missbrauch, der Einhaltung der Tageslimits und der Kostenkontrolle (Art. 6 Abs. 1 lit. f DSGVO). Nach 90 Tagen und sofort bei Löschung deines Kontos wird die Zuordnung zu deinem Konto entfernt. Übrig bleiben anonyme Kostendaten.

Schutz vor Missbrauch: Beim öffentlichen Chatbot speichern wir zur Begrenzung der Anfragen pro Anschluss einen gekürzten Hashwert deiner IP-Adresse, der mit einem geheimen Schlüssel gebildet wird. Er wird spätestens nach zweieinhalb Stunden gelöscht. Zum Schutz vor automatisierten Registrierungen begrenzen wir außerdem die Zahl neuer Konten pro IP-Adresse und Stunde. Dafür wird die bei der Registrierung gespeicherte IP-Adresse mit den Registrierungen der letzten Stunde abgeglichen, sie wird nach 30 Tagen gelöscht (siehe Abschnitt 3). Rechtsgrundlage ist unser berechtigtes Interesse an einem sicheren Betrieb (Art. 6 Abs. 1 lit. f DSGVO).

Das Portal wird betrieben bei Febas, Inhaber Roman Baumgärtner, Ostlandstraße 5, 49565 Bramsche. Dort liegen auch die Datenbank und der Mailserver, über den Bestätigungs-, Benachrichtigungs- und Informationsmails versendet werden. Die Server stehen innerhalb der Europäischen Union. Ausgenommen sind die Fotos im Tagebuch, dazu unten mehr.

Beim Aufruf der Seiten und beim Mailversand verarbeitet der Anbieter die dabei anfallenden Verbindungsdaten in unserem Auftrag. Grundlage ist ein Vertrag über die Auftragsverarbeitung nach Art. 28 DSGVO. Weitere Auftragsverarbeiter werden nur eingesetzt, soweit dies für den Betrieb erforderlich ist.

Schriften und Skripte werden vollständig vom eigenen Server ausgeliefert. Es werden keine externen Schriftdienste und keine Analysedienste Dritter eingebunden. Ein Content Delivery Network nutzen wir nur für die Fotos im Tagebuch.

Fotos im Tagebuch: Fotos, die du an Tagebucheinträge anhängst, speichern wir bei Cloudflare Images, einem Dienst der Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Dein Browser lädt das Foto direkt zu Cloudflare hoch, und beim Anzeigen wird es von dort geladen. Dabei verarbeitet Cloudflare das Foto und die IP-Adresse deines Geräts. Vor dem Hochladen entfernt dein Browser die im Foto eingebetteten Metadaten (EXIF), zum Beispiel Aufnahmeort und Kameradaten. Cloudflare erhält weder deinen Namen noch deine E-Mail-Adresse, das Foto wird unter einer zufälligen, nicht erratbaren Kennung gespeichert. Zweck ist die Speicherung und Anzeige deiner Tagebuchfotos, Rechtsgrundlage die Bereitstellung der Funktion (Art. 6 Abs. 1 lit. b DSGVO). Cloudflare verarbeitet die Daten in unserem Auftrag auf Grundlage eines Vertrags nach Art. 28 DSGVO. Dabei werden Daten in die USA übermittelt. Cloudflare ist nach dem EU-US Data Privacy Framework zertifiziert, zusätzlich gelten die Standardvertragsklauseln der EU-Kommission. Löschst du einen Tagebucheintrag, das ganze Tagebuch einer Pflanze, eine Pflanze oder dein Konto, löschen wir die zugehörigen Fotos auch bei Cloudflare.

Anmeldung im Double-Opt-in-Verfahren: E-Mails erhält ausschließlich, wer sich selbst registriert und anschließend den Bestätigungslink aus der Willkommensmail angeklickt hat. Erst mit diesem Klick wird die Adresse freigeschaltet. Gespeichert werden dazu die E-Mail-Adresse, der Bestätigungsstatus und der Zeitpunkt der Bestätigung, damit die Anmeldung nachgewiesen werden kann. Ohne Bestätigung wird die Adresse nicht für Informationsmails verwendet.

Versendet werden zum einen betriebsnotwendige E-Mails, etwa zur Bestätigung der Adresse oder zum Zurücksetzen des Passworts, zum anderen Informationen zum Portal per E-Mail und als Nachricht im Portal. Rechtsgrundlage für die betriebsnotwendigen Mails ist Art. 6 Abs. 1 lit. b DSGVO, für die Informationsmails die erteilte Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO in Verbindung mit § 7 Abs. 2 Nr. 3 UWG.

Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, über den Abmeldelink in jeder E-Mail, in den Kontoeinstellungen oder formlos per E-Mail an support@growmigo.de. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt davon unberührt.

Erfolgsmessung, nur mit gesonderter Einwilligung: Informationsmails können ein Zählpixel enthalten, das beim Öffnen der Nachricht geladen wird. Gespeichert wird dann, ob und wann die Nachricht geöffnet wurde. Die Auswertung erfolgt bezogen auf den einzelnen Empfänger und dient dazu, Umfang und Häufigkeit der Mitteilungen angemessen zu gestalten.

Bei neuen Konten findet diese Messung nur statt, wenn ihr gesondert zugestimmt wurde, über ein eigenes, nicht vorangekreuztes Feld bei der Registrierung oder über den Schalter Öffnungsmessung in den Kontoeinstellungen. Ohne diese Zustimmung wird kein Zählpixel eingebaut und kein Messtoken erzeugt. Die Zustimmung ist freiwillig und keine Bedingung für die Registrierung oder für den Empfang der Mails. Rechtsgrundlage sind § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Zum Nachweis werden der Zustimmungsstatus, der Zeitpunkt, die IP-Adresse und die Herkunft der Zustimmung gespeichert.

Bei Konten, die vor der Einführung dieses Schalters angelegt wurden, ist die Öffnungsmessung zunächst aktiv, ohne dass eine gesonderte Zustimmung eingeholt wurde. Sie lässt sich jederzeit über denselben Schalter in den Kontoeinstellungen abschalten.

Der Widerruf ist jederzeit über denselben Schalter in den Kontoeinstellungen oder formlos per E-Mail an support@growmigo.de möglich. Er wirkt sofort, auch für bereits versendete Mails, und löscht die bisher erfassten Öffnungsdaten. Unabhängig davon lassen sich viele E-Mail-Programme so einstellen, dass Bilder nicht automatisch geladen werden; dann findet ebenfalls keine Messung statt.

Für geteilte Inhalte werden teilweise Kurzlinks der Form growmigo.de/kennung verwendet. Beim Aufruf wird ausschließlich gezählt, wie oft der Link insgesamt angeklickt wurde. Eine Speicherung von IP-Adresse oder Gerätedaten findet dabei nicht statt, eine Zuordnung zu einzelnen Personen ist nicht möglich. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Personenbezogene Daten werden nur so lange gespeichert, wie es für den jeweiligen Zweck erforderlich ist.

Kontodaten und die damit verbundenen Inhalte bleiben bis zur Löschung des Kontos gespeichert und werden dann vollständig entfernt. In den täglichen Sicherungen der Datenbank können gelöschte Daten noch bis zu 5 Tage enthalten sein, danach werden sie automatisch überschrieben. Server-Logfiles werden nach spätestens 30 Tagen gelöscht.

Fristen im Einzelnen: IP-Adresse der Registrierung 30 Tage. Chat-Protokolle 30 Tage. Kostenprotokoll der KI-Anfragen 90 Tage mit Zuordnung zum Konto, danach nur noch anonym, bei Löschung des Kontos wird die Zuordnung sofort entfernt. Gekürzter IP-Hashwert des öffentlichen Chatbots höchstens zweieinhalb Stunden. Einzeldaten der Reichweitenmessung 90 Tage, danach nur noch Tageszahlen ohne Personenbezug.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Zum Schutz personenbezogener Daten werden technische und organisatorische Maßnahmen eingesetzt. Dazu gehören die verschlüsselte Übertragung per HTTPS, die Speicherung von Passwörtern als bcrypt-Hash, eine Begrenzung fehlgeschlagener Anmeldeversuche sowie ein auf das Notwendige beschränkter Zugriff auf die Datenbank.

Du hast das Recht auf Auskunft über die zu deiner Person gespeicherten Daten (Art. 15 DSGVO), auf Berichtigung (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18), auf Datenübertragbarkeit (Art. 20) sowie auf Widerspruch gegen Verarbeitungen, die auf einem berechtigten Interesse beruhen (Art. 21). Eine erteilte Einwilligung kannst du jederzeit mit Wirkung für die Zukunft widerrufen.

Zur Ausübung genügt eine formlose Nachricht an support@growmigo.de. Dein Konto kannst du außerdem jederzeit selbst in den Einstellungen löschen. Wie das geht, auch ohne Anmeldung, und wie du einzelne Daten löschen lässt, steht auf growmigo.de/konto-loeschen.

Du hast das Recht, dich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig ist der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, www.baden-wuerttemberg.datenschutz.de.