Sicherheit und Datenschutz
Was Einkauf und IT vor dem Kauf wissen müssen
Diese Seite fasst zusammen, wo Ihre Daten liegen, wer sie verarbeitet, wie lange sie gespeichert bleiben und wie Sie sie exportieren oder löschen. Jede Angabe stammt aus der Datenschutzerklärung, den AGB, dem AVV oder der Anwendung selbst. Maßgeblich sind die verlinkten Dokumente.
Stand: 26. Oktober 2026
- Anwendung und Datenbank bei der Hetzner Online GmbH in Gunzenhausen
- AVV nach Art. 28 DSGVO, Bestandteil der AGB, ohne gesonderte Unterschrift wirksam
- Kontodaten und Messwerte bis zur Löschung des Kontos durch Sie
- Export als CSV und JSON sowie Kontolöschung direkt in den Einstellungen
Hosting
Wo Ihre Daten liegen
Die Anwendung unter app.rivly.de und ihre Datenbank werden bei der Hetzner Online GmbH in Deutschland gehostet, ebenso die Marketing-Website rivly.de. Datensicherungen verbleiben ebenfalls in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
Die Übertragung zwischen Ihrem Gerät und der Anwendung erfolgt ausschließlich verschlüsselt über HTTPS. Passwörter werden nur als Hash gespeichert, nicht im Klartext.
Daten verschiedener Kunden werden auf Anwendungsebene logisch getrennt. Ein Kunde hat keinen Zugriff auf Daten anderer Kunden.
Auf rivly.de selbst findet ohne Ihre Einwilligung in die Kategorie Statistik keine Übermittlung personenbezogener Daten in ein Drittland statt. Schriftarten und das Werkzeug für die Cookie-Einwilligung laufen auf unserem eigenen Server.
Quelle: Datenschutzerklärung, Abschnitte 3, 4, 6, 9 f und 12; AVV, Anlage 1 und Anlage 2
Dienstleister
Welche Dienstleister beteiligt sind
Neben Hetzner setzt Rivly die folgenden Dienstleister ein. Die vollständige und jeweils aktuelle Liste steht in Abschnitt 11 der Datenschutzerklärung. Die Abfragen an OpenRouter, SerpApi und Metapi.io betreffen öffentlich zugängliche Wettbewerbsdaten, nach unserer Kenntnis ohne Personenbezug. Bezahldaten gehen nie über unsere Systeme.
| Dienstleister | Wofür | Sitz | Absicherung |
|---|---|---|---|
| Hetzner Online GmbH | Hosting von Website und Anwendung | Deutschland | AVV nach Art. 28 DSGVO |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung, Versand von Rechnungen und Zahlungsbelegen | Irland, Konzernverarbeitung auch in den USA | AVV im Stripe Services Agreement, EU-Standardvertragsklauseln |
| Postmark (AC PM LLC) | Versand der E-Mails der Anwendung | USA | AVV in den Nutzungsbedingungen, EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
| OpenRouter, Inc. | Zugang zu Sprachmodellen für die Messung, Erkennung der in Antworten genannten Marken, Vorschläge bei der Einrichtung | USA | EU-Standardvertragsklauseln |
| DataForSEO OÜ | Abruf von Suchergebnissen, Anzeigen, Nachrichten, KI-Antworten (ChatGPT, Gemini), Google-Unternehmensprofilen; Ladezeitmessung und Technik-Erkennung im Website-Check | Estland, Unterauftragsverarbeiter auch in den USA und im Vereinigten Königreich | AVV in den Nutzungsbedingungen, EU-Standardvertragsklauseln bzw. Angemessenheitsbeschluss |
| SerpApi, LLC | Abruf von Suchmaschinenergebnissen | USA | EU-Standardvertragsklauseln |
| Metapi.io | Abruf öffentlicher Anzeigen aus der Meta Ad Library | USA | EU-Standardvertragsklauseln |
| Logodev, Inc. | Abruf von Logos zu Domains; erhält nur die Domain | USA | Empfänger, kein Auftragsverarbeiter; keine Angaben zu Nutzern |
| Google Ireland Limited | Reichweitenmessung auf rivly.de, nur mit Ihrer Einwilligung | Irland, Konzernverarbeitung auch in den USA | Google Ads Data Processing Terms, EU-US Data Privacy Framework, EU-Standardvertragsklauseln |
Quelle: Datenschutzerklärung, Abschnitte 11 und 12
Vertrag
AVV nach Art. 28 DSGVO
Der Vertrag zur Auftragsverarbeitung ist Bestandteil unserer AGB und wird mit dem Vertragsschluss wirksam, ohne gesonderte Unterschrift. Ein Muster steht vor der Registrierung als PDF bereit. Im Kundenkonto in den Einstellungen im Bereich Datenschutz finden Sie ihn als PDF, das auf Ihr Unternehmen ausgestellt ist.
Der AVV regelt unter anderem, dass wir Daten nur auf Ihre dokumentierte Weisung verarbeiten, Sie bei Anfragen betroffener Personen unterstützen und Sie vorab informieren, wenn wir einen Unterauftragsverarbeiter austauschen oder hinzuziehen, mindestens 14 Tage vor der Änderung und in Textform. Ihnen steht dann ein Widerspruch aus datenschutzrechtlichem Grund zu.
Rivly verarbeitet für Sie Konto- und Stammdaten Ihrer Nutzer, Abrechnungsdaten, Nutzungs- und Protokolldaten sowie die Konfiguration Ihres Projekts. Eine Verarbeitung von Endkundendaten in nennenswertem Umfang ist mit der Nutzung nicht verbunden. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht vorgesehen.
Quelle: AGB § 11 Abs. 2; AVV § 1 bis § 5
Speicherung
Was gespeichert wird und wie lange
Konto, Projekte und Messwerte bleiben erhalten, bis Sie Ihr Kundenkonto löschen. Eine Löschung allein wegen Zeitablaufs findet nicht statt. Für einzelne Angaben gelten kürzere Fristen:
| Was | Wie lange | Nachlesen |
|---|---|---|
| Kontodaten, Projekte, Messwerte, Protokoll der versendeten E-Mails | Bis zur Löschung des Kontos durch Sie | Datenschutzerklärung, Abschnitt 9 |
| Nutzungsprotokoll der Anwendung, ohne IP-Adresse und ohne Browserkennung | Bis zur Löschung des Kontos, danach ohne jeden Bezug zu Konto und Nutzer | Datenschutzerklärung, Abschnitt 9 l |
| Protokoll der MCP-Schnittstelle (ohne Inhalte der Anfragen) | Vollständige IP-Adresse 90 Tage, übrige Angaben bis zur Löschung von Projekt oder Konto | Datenschutzerklärung, Abschnitt 9 h |
| Kopien der E-Mails der Anwendung, einem Konto zugeordnet | Bis zur Löschung des Kontos | Datenschutzerklärung, Abschnitt 9 e |
| Interne E-Mails ohne Zuordnung zu einem Konto | 180 Tage nach dem Versand | Datenschutzerklärung, Abschnitt 9 e |
| Texte öffentlicher Google-Bewertungen | 24 Monate nach dem Bewertungsdatum | Datenschutzerklärung, Abschnitt 9 m |
| Support-Anfragen aus der Anwendung | Bis zur Erledigung, spätestens mit der Löschung des Kontos | Datenschutzerklärung, Abschnitt 9 j |
| Server-Logfiles der Website mit gekürzter IP-Adresse | Höchstens 7 Tage | Datenschutzerklärung, Abschnitt 3 |
| Archivierte Projekte | 30 Tage wiederherstellbar, danach endgültig gelöscht | Einstellungen in der Anwendung |
| Rechnungs- und Zahlungsdaten | Nach den handels- und steuerrechtlichen Aufbewahrungspflichten | Datenschutzerklärung, Abschnitt 9 d; AVV § 7 |
Quelle: Datenschutzerklärung, Abschnitte 3 und 9
Zugriff
Wer Zugriff hat
In Ihrem Konto gibt es drei Rollen: Inhaber, Bearbeiter und Leser. Die Rolle gilt für das gesamte Konto, nicht für einzelne Projekte. Bearbeiter übernehmen Empfehlungen und ändern den Messplan, Leser sehen alles und ändern nichts. Nur der Inhaber legt Projekte an, archiviert oder löscht sie, vergibt und entzieht Zugänge, ändert den Tarif, fordert den Datenexport an und beantragt die Löschung des Kontos.
Ein entzogener Zugang sperrt den Login sofort. Zuweisungen und Notizen bleiben erhalten, der Zugang lässt sich reaktivieren. Einladungen laufen nach 14 Tagen ab.
Auf unserer Seite ist der Zugriff auf Produktivsysteme und Datenbank auf den Betreiber und ausdrücklich autorisierte, zur Vertraulichkeit verpflichtete Personen beschränkt. Das Archiv der versendeten E-Mails können nur unsere Administratoren einsehen. Meldet sich ein Administrator im Support als Nutzer an, wird die Sitzung gesondert gekennzeichnet.
Zugangsschlüssel für den MCP-Zugang erzeugen Sie selbst und können sie jederzeit widerrufen.
Quelle: Oberfläche der Anwendung (Einstellungen, Team, Daten und Konto); AVV, Anlage 1; Datenschutzerklärung, Abschnitt 9 e, h und l; AGB § 8 Abs. 6
KI-Systeme
Was an KI-Systeme gesendet wird
Für die wöchentliche Messung sendet Rivly den Wortlaut Ihrer Kauffragen. ChatGPT und Gemini werden über DataForSEO abgefragt, dorthin gehen zusätzlich Sprache und Ort des Projekts. Perplexity und Claude werden über OpenRouter abgefragt. Name, E-Mail-Adresse und andere Kontodaten Ihrer Nutzer sind nicht Teil dieser Abfragen.
Der Name Ihrer Marke und die Ihrer Wettbewerber gehen nicht mit der Frage hinaus. Ob eine Marke genannt wird, prüft Rivly selbst in der Antwort. Um die in einer Antwort genannten Marken zu erkennen, wird der Text der Antwort, nicht die Frage, an OpenRouter übermittelt.
Bei der Einrichtung liest RivlyBot öffentlich erreichbare Seiten Ihrer Domain. Auszüge öffentlicher Websites gehen an OpenRouter, um Profil und Wettbewerber vorzuschlagen.
Fragen im KI-Live-Check formulieren Sie frei, bis 400 Zeichen. Sie gehen über DataForSEO an ChatGPT und Gemini. Bitte geben Sie dort keine personenbezogenen Daten, Geschäftsgeheimnisse oder vertraulichen Informationen ein.
Quelle: Datenschutzerklärung, Abschnitt 9 b und c, Abschnitt 11; AGB § 2 Abs. 6; Methodik-Seite
Zahlungen
Zahlungen
Kostenpflichtige Abonnements werden über Stripe abgewickelt. Rivly übermittelt die für die Rechnung nötigen Angaben: Firmenname, Rechnungsanschrift, E-Mail-Adresse, Sprache der Belege sowie Abonnement- und Zahlungsdaten. Zahlungsmitteldaten wie Kartendaten verarbeitet ausschließlich Stripe, sie laufen nicht über unsere Systeme. Rechnungen und Zahlungsbelege versendet Stripe direkt an Ihre hinterlegte E-Mail-Adresse.
Quelle: Datenschutzerklärung, Abschnitt 9 d; AVV § 2
Export und Löschung
Konto löschen und Daten exportieren
Der Inhaber fordert in den Einstellungen unter Daten und Konto einen Export an: alle Messwerte, KI-Antworten und Empfehlungen als CSV und JSON. Den Link erhalten Sie per E-Mail innerhalb von 24 Stunden, er ist 7 Tage gültig.
Die Löschung des Kontos beantragt der Inhaber ebenfalls dort. Messungen und Wochenbericht stoppen sofort, nach 30 Tagen löscht Rivly Ihre Daten endgültig. In dieser Zeit können Sie den Antrag zurückziehen. Ein laufendes Abonnement kündigen Sie vorher unter Tarif und Abrechnung. Gesetzliche Aufbewahrungspflichten für Rechnungsdaten und der reguläre Überschreibungszyklus der Datensicherungen bleiben unberührt.
Ihre Rechte nach Art. 15 bis 21 DSGVO erreichen Sie auch formlos per E-Mail an kontakt@rivly.de.
Quelle: Oberfläche der Anwendung (Einstellungen, Daten und Konto); Datenschutzerklärung, Abschnitt 2; AGB § 2 Abs. 6 Buchstabe i; AVV § 7
Kontakt
Fragen zu Datenschutz und Sicherheit
Verantwortlich ist Vladyslav Mazur, Mazur Software- und E-Commerce-Dienstleistungen, Gößweinstein. Einen Datenschutzbeauftragten gibt es nicht, da die gesetzlichen Voraussetzungen nicht vorliegen. Schreiben Sie uns, wenn Sie für Ihre Prüfung etwas brauchen, das hier nicht steht.