1. Verantwortlicher

Semih Koc, handelnd unter „Kovixon“, Von-Coels-Straße 258, 52080 Aachen, Deutschland. E-Mail: info@kovixon.de, Telefon: +49 176 83371026.

Ein Datenschutzbeauftragter ist nicht bestellt, da die Voraussetzungen des § 38 BDSG nicht vorliegen.

2. Was Kovixon macht und wer wofür verantwortlich ist

Kovixon ist eine Software für Unternehmen und Selbstständige, die Kommentare und Direktnachrichten auf ihrem eigenen Instagram-Konto automatisch beantworten. Schreibt jemand ein festgelegtes Schlüsselwort unter einen Beitrag, sendet Kovixon dieser Person eine Direktnachricht. Ausgelöst wird ausschließlich durch eine Handlung der Person selbst; Kovixon schreibt niemanden von sich aus an und versendet keine Rundnachrichten.

Für die Daten unserer Kunden (Konto, Abrechnung, Support) sind wir Verantwortlicher; dafür gilt diese Erklärung. Für die Daten der Personen, die mit dem Instagram-Konto eines Kunden schreiben, ist der jeweilige Kunde Verantwortlicher; wir verarbeiten diese Daten nur in seinem Auftrag nach Art. 28 DSGVO. Die Hinweise in Abschnitt 8 erklären, was das für diese Personen bedeutet.

3. Kundenkonto

• Daten: Vor- und Nachname, Unternehmen bzw. Tätigkeit, E-Mail-Adresse, Passwort (nur als bcrypt-Hash), Spracheinstellung, Zeitpunkt der Zustimmung zu AGB und Auftragsverarbeitungsvertrag sowie der Erklärung, als Unternehmer zu handeln, Sitzungskennungen (nur als Hash).
• Zweck und Rechtsgrundlage: Bereitstellung der Software und Durchführung des Vertrags, Art. 6 Abs. 1 lit. b DSGVO.
• Speicherdauer: bis zur Löschung des Kontos. Einmal-Links für E-Mail-Bestätigung und Passwort werden nach Verwendung bzw. Ablauf gelöscht.

4. Teammitglieder und Einladungen

• Kunden können je nach Tarif weitere Personen in ihren Arbeitsbereich einladen. Dafür verarbeiten wir die E-Mail-Adresse der eingeladenen Person, die vorgesehene Rolle (Admin oder Mitglied) und wer eingeladen hat, und senden eine Einladungsmail mit einem Link, der sieben Tage und nur einmal gilt. Gespeichert wird nur ein Hash des Links.
• Nimmt die Person an, legen wir für sie ein Benutzerkonto an: Vor- und Nachname, E-Mail-Adresse, Passwort (nur als bcrypt-Hash), Spracheinstellung, Rolle und Zugehörigkeit zum Arbeitsbereich. Einladungen, Rollenänderungen und Entfernungen protokollieren wir.
• Zweck und Rechtsgrundlage: Zusammenarbeit im Team des Kunden. Gegenüber dem Kunden Art. 6 Abs. 1 lit. b DSGVO; gegenüber der eingeladenen Person Art. 6 Abs. 1 lit. f DSGVO — das berechtigte Interesse liegt darin, ihr den vom Kunden gewünschten Zugang zu ermöglichen.
• Speicherdauer: Offene Einladungen bis zu ihrem Ablauf; angenommene, zurückgezogene oder abgelaufene Einladungen löschen wir nach 30 Tagen. Benutzerkonten bis zur Löschung; wer aus dem Team entfernt wird, verliert sofort den Zugang, und die Löschung des Benutzerkontos kann jederzeit per E-Mail verlangt werden.

5. Verbundenes Instagram-Konto

• Daten: Konto-Kennung, Benutzername, Anzeigename, die Liste der eigenen Beiträge (zur Auswahl in Automatisierungen) und das Zugriffs-Token. Das Token wird ausschließlich verschlüsselt gespeichert (AES-256-GCM).
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
• Trennt der Kunde die Verbindung oder widerruft er sie bei Instagram, löschen wir das Token. Fordert er über Instagram die Löschung an, löschen wir das Konto mit allen zugehörigen Kontakten und Unterhaltungen.

6. Abrechnung

• Für kostenpflichtige Tarife nutzen wir den Zahlungsdienstleister Stripe (Stripe Payments Europe, Limited, Dublin, Irland). Stripe erhält Name, E-Mail-Adresse, Rechnungsangaben und die Zahlungsdaten, die der Kunde direkt bei Stripe eingibt; Kartennummern erreichen uns nicht. Wir speichern Tarif, Zahlungsstatus, Rechnungen sowie Kartenart und die letzten vier Ziffern.
• Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO; für die Aufbewahrung von Rechnungen Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den steuerrechtlichen Aufbewahrungspflichten (bis zu zehn Jahre).
• Stripe verarbeitet die Daten überwiegend in unserem Auftrag, für eigene Zwecke wie die Betrugsabwehr auch in eigener Verantwortung. Stripe kann Daten in die USA übermitteln; Grundlage sind der Angemessenheitsbeschluss zum EU-US Data Privacy Framework und Standardvertragsklauseln.

7. E-Mails

Wir senden Systemmitteilungen, etwa zur Bestätigung der E-Mail-Adresse, zum Zurücksetzen des Passworts, zu Zahlungen, zum Erreichen der Kontaktgrenze oder zum Ablauf der Instagram-Verbindung. Versand und Postfach laufen über die Hetzner Online GmbH in Deutschland. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Werbe-E-Mails versenden wir nicht.

8. Betriebssicherheit und Protokolle

• Der Webserver protokolliert IP-Adresse, Zeitpunkt, aufgerufene Adresse, Statuscode und Browserkennung. Cookies und Zugangsdaten werden dabei nicht mitgeschrieben. Die Protokolle werden fortlaufend rotiert (höchstens fünf Dateien mit je 10 MB).
• Zum Schutz vor Angriffen speichern wir fehlgeschlagene Anmelde- und Registrierungsversuche mit E-Mail-Adresse bzw. IP-Adresse für 15 Minuten.
• Abrechnungsvorgänge werden mit Zeitpunkt protokolliert.
• Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt im sicheren und nicht missbrauchten Betrieb.

9. Hinweise für Personen, die auf Instagram mit Kunden von Kovixon schreiben

Wenn du einen Beitrag eines Kunden kommentierst oder ihm schreibst, verarbeiten wir im Auftrag dieses Kunden: deine von Instagram vergebene Kennung, deinen Benutzernamen und gegebenenfalls Anzeigenamen, die Inhalte deiner Kommentare und Nachrichten, angetippte Buttons, ob du dem Konto folgst, vom Kunden vergebene Merkmale und Angaben, die du in einer Unterhaltung selbst machst (etwa eine E-Mail-Adresse). Verantwortlich ist der Kunde; seine Kontaktdaten findest du in seinem Instagram-Profil.

Sofort und ohne Umweg: Schreibst du dem Konto das Wort STOP (auch „Stopp“, „abmelden“, „unsubscribe“ oder türkisch „dur“), erhältst du ab diesem Moment keine automatische Nachricht mehr. Die Sperre wird vor jedem Versand geprüft. Mit START lässt sie sich aufheben.

Auskunft und Löschung: Wende dich am besten an den Kunden. Du kannst uns auch an info@kovixon.de schreiben; wir leiten deine Anfrage unverzüglich an den Kunden weiter. Für die Verarbeitung innerhalb von Instagram ist Meta verantwortlich (Meta Platforms Ireland Ltd., Dublin); dort gilt die Datenschutzerklärung von Meta.

10. Empfänger

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting im Rechenzentrum Helsinki, Finnland (EU), Datensicherungen und E-Mail in Deutschland, als Auftragsverarbeiter nach Art. 28 DSGVO.
• Meta Platforms Ireland Ltd.: Über die Schnittstelle von Instagram laufen Kommentare und Nachrichten der Kunden.
• Stripe (siehe Abrechnung).
• Weitere Empfänger gibt es nicht: keine Analyse-Dienste, keine Werbenetzwerke, keine Schriftarten oder Skripte von fremden Servern. Eine KI-Antwortfunktion ist derzeit nicht verfügbar; Nachrichten werden an keinen KI-Anbieter übermittelt.

11. Speicherdauer

• Unverarbeitete Meldungen von Instagram: 7 Tage
• Verarbeitete Ereignisse: 30 Tage
• Fehlgeschlagene Ereignisse: 90 Tage
• Abgelaufene Sitzungen: 1 Tag
• Kontakte, Unterhaltungen und Kontodaten: bis zur Löschung durch den Kunden; nach Ende des Vertrags halten wir sie 30 Tage zum Export bereit und löschen sie dann.
• Datensicherungen: verschlüsselt, bis zu ihrer Überschreibung nach längstens 30 Tagen.
• Rechnungen: nach den steuerrechtlichen Aufbewahrungsfristen.

Die automatischen Fristen laufen stündlich ohne manuelles Zutun.

12. Cookies

Kovixon setzt ausschließlich technisch notwendige Cookies: eines für die angemeldete Sitzung, eines für die gewählte Sprache und ein kurzlebiges Cookie zur Absicherung der Verbindung mit Instagram. Sie enthalten keine Kennungen zu Werbezwecken und werden nicht an Dritte übermittelt. Eine Einwilligung ist dafür nicht erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Tracking, Reichweitenmessung und Profilbildung finden nicht statt.

13. Deine Rechte

Du hast das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO). Eine formlose Nachricht an info@kovixon.de genügt.

Außerdem besteht ein Beschwerderecht bei einer Aufsichtsbehörde. Für uns zuständig ist die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen, Kavalleriestraße 2–4, 40213 Düsseldorf.

1. Controller

Semih Koc, trading as “Kovixon”, Von-Coels-Straße 258, 52080 Aachen, Germany. Email: info@kovixon.de, phone: +49 176 83371026.

2. What Kovixon does and who is responsible

Kovixon is software for businesses and self-employed people that automatically answers comments and direct messages on their own Instagram account. When someone comments a defined keyword under a post, Kovixon sends that person a direct message. Messages are only ever triggered by an action of the person; Kovixon never contacts anyone on its own and sends no broadcasts.

We are the controller for our customers' data (account, billing, support). For the data of people who write to a customer's Instagram account, the customer is the controller; we process that data only on the customer's behalf under Art. 28 GDPR (see section 8).

3. Customer account

• Data: first and last name, business or occupation, email address, password (bcrypt hash only), language setting, time of accepting the terms, the data processing agreement and the declaration of acting as a business, session identifiers (hashed only).
• Purpose and legal basis: providing the software and performing the contract, Art. 6(1)(b) GDPR.
• Retention: until the account is deleted. One-time links for email confirmation and password reset are deleted after use or expiry.

4. Team members and invitations

• Depending on the plan, customers can invite further people to their workspace. For this we process the invited person's email address, the intended role (admin or member) and who sent the invitation, and send an invitation email with a link that is valid once and for seven days. Only a hash of the link is stored.
• If the person accepts, we create a user account: first and last name, email address, password (bcrypt hash only), language setting, role and workspace membership. Invitations, role changes and removals are logged.
• Purpose and legal basis: collaboration within the customer's team. Towards the customer Art. 6(1)(b) GDPR; towards the invited person Art. 6(1)(f) GDPR — the legitimate interest is giving them the access the customer asked for.
• Retention: open invitations until they expire; accepted, revoked or expired invitations are deleted after 30 days. User accounts until deletion; anyone removed from a team loses access immediately and can request deletion of their user account by email at any time.

5. Connected Instagram account

• Data: account ID, username, display name, the list of the account's own posts (for selecting them in automations) and the access token, which is stored encrypted only (AES-256-GCM).
• Legal basis: Art. 6(1)(b) GDPR.
• If the customer disconnects or revokes access on Instagram, we delete the token. If deletion is requested via Instagram, we delete the account with all related contacts and conversations.

6. Billing

• For paid plans we use the payment provider Stripe (Stripe Payments Europe, Limited, Dublin, Ireland). Stripe receives name, email address, billing details and the payment data the customer enters directly at Stripe; card numbers never reach us. We store plan, payment status, invoices, card brand and last four digits.
• Legal basis: Art. 6(1)(b) GDPR; for keeping invoices Art. 6(1)(c) GDPR together with German tax retention duties (up to ten years).
• Stripe processes the data mostly on our behalf and, for its own purposes such as fraud prevention, as a controller. Stripe may transfer data to the USA based on the EU-US Data Privacy Framework adequacy decision and standard contractual clauses.

7. Emails

We send system messages such as email confirmation, password reset, payment notices, reaching the contact limit or an expiring Instagram connection, via Hetzner Online GmbH in Germany. Legal basis: Art. 6(1)(b) GDPR. We do not send marketing emails.

8. Security and logs

• The web server logs IP address, time, requested address, status code and browser identifier, without cookies or credentials. Logs are rotated continuously (at most five files of 10 MB each).
• To prevent attacks we store failed login and sign-up attempts with the email or IP address for 15 minutes.
• Billing events are logged with their time.
• Legal basis: Art. 6(1)(f) GDPR; our legitimate interest is secure operation free of abuse.

9. Information for people who write to Kovixon customers on Instagram

When you comment on a customer's post or message them, we process on that customer's behalf: your Instagram-scoped ID, username and, where available, display name, the content of your comments and messages, buttons you tap, whether you follow the account, labels set by the customer and information you provide in the conversation (such as an email address). The customer is the controller; their contact details are in their Instagram profile.

Immediately: if you send the account the word STOP (also “Stopp”, “abmelden”, “unsubscribe” or Turkish “dur”), you will receive no further automated messages. This is checked before every message. START lifts it again.

Access and deletion: please contact the customer. You can also write to info@kovixon.de; we will forward your request to the customer without delay. Meta Platforms Ireland Ltd. is responsible for processing within Instagram under Meta's privacy policy.

10. Recipients

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: hosting in Helsinki, Finland (EU); backups and email in Germany; processor under Art. 28 GDPR.
• Meta Platforms Ireland Ltd.: comments and messages of customers run through the Instagram API.
• Stripe (see Billing).
• There are no other recipients: no analytics, no advertising networks, no fonts or scripts from third-party servers. An AI reply feature is currently not available; messages are not sent to any AI provider.

11. Retention

• Unprocessed Instagram notifications: 7 days
• Processed events: 30 days
• Failed events: 90 days
• Expired sessions: 1 day
• Contacts, conversations and account data: until deleted by the customer; after the contract ends we keep them available for export for 30 days and then delete them.
• Backups: encrypted, overwritten after at most 30 days.
• Invoices: according to statutory tax retention periods.

12. Cookies

Kovixon only uses strictly necessary cookies: one for the logged-in session, one for the chosen language and a short-lived one securing the Instagram connection. No consent is required (Section 25(2) no. 2 TDDDG). There is no tracking or profiling.

13. Your rights

You have the right of access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction (Art. 18), data portability (Art. 20) and to object (Art. 21 GDPR). A simple message to info@kovixon.de is enough. You may also lodge a complaint with a supervisory authority; ours is the State Commissioner for Data Protection and Freedom of Information of North Rhine-Westphalia, Kavalleriestraße 2–4, 40213 Düsseldorf, Germany.