Datenschutzerklärung

für geo-tool.com und die GEO-Tool-Anwendung · Stand: 30. September 2026 · Version 1.8

1. Verantwortlicher

Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist track by track GmbH, Schliemannstraße 23, 10437 Berlin, Deutschland.

E-Mail: datenschutz@geo-tool.com · Telefon: +49 30 21923869

Vertretungsberechtigter Geschäftsführer: Tobias Sander. Registergericht: Amtsgericht Berlin-Charlottenburg, HRB 129805 B. Umsatzsteuer-Identifikationsnummer: DE814954842.

2. Datenschutzbeauftragter

Wir haben derzeit keinen Datenschutzbeauftragten bestellt, da die gesetzlichen Voraussetzungen nach unserer aktuellen Bewertung nicht vorliegen. Sollte sich dies ändern, wird diese Datenschutzerklärung entsprechend aktualisiert. Für Datenschutzanfragen erreichen Sie uns unter datenschutz@geo-tool.com.

3. Allgemeine Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung der Website, der Anwendung, der Vertragsdurchführung, der Sicherheit, der Kommunikation, der Abrechnung, der Analyseleistungen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist oder eine Einwilligung vorliegt.

Rechtsgrundlagen sind insbesondere Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), Art. 6 Abs. 1 lit. b DSGVO (Vertrag oder vorvertragliche Maßnahmen), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse).

Wir löschen personenbezogene Daten, sobald der jeweilige Zweck entfällt und keine gesetzlichen Aufbewahrungspflichten, Nachweisinteressen oder berechtigten Sicherheitsinteressen entgegenstehen.

4. Bereitstellung der Website und Server-Logfiles

Beim Aufruf unserer Website werden technisch erforderliche Informationen verarbeitet, insbesondere IP-Adresse, Datum und Uhrzeit des Zugriffs, aufgerufene Seite/Datei, übertragene Datenmenge, Referrer-URL, Browsertyp und -version, Betriebssystem sowie technische Statusmeldungen.

Zweck ist die technische Auslieferung, Stabilität, Fehleranalyse, Missbrauchsprävention und Sicherheit der Website. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt in einer sicheren und funktionsfähigen Bereitstellung der Website und Anwendung.

Hosting und Infrastruktur können über Dienstleister wie Vercel, Hetzner und Neon erfolgen. Der konkrete produktive Stack ist in Abschnitt 14 und, soweit einschlägig, im AVV/DPA dokumentiert.

5. Cookies, lokale Speicherung und Consent Management

Wir verwenden technisch notwendige Cookies und vergleichbare Technologien, die für den Betrieb der Website, Login-Funktionen, Sicherheit, Session-Verwaltung oder vom Nutzer ausdrücklich angeforderte Funktionen erforderlich sind. Rechtsgrundlage für das Speichern oder Auslesen auf dem Endgerät ist § 25 Abs. 2 Nr. 2 TDDDG; für die anschließende Verarbeitung personenbezogener Daten Art. 6 Abs. 1 lit. f DSGVO bzw. Art. 6 Abs. 1 lit. b DSGVO.

Nicht notwendige Cookies, Tracking-, Marketing- oder Analyse-Technologien setzen wir nur mit Einwilligung ein, sofern eine Einwilligung gesetzlich erforderlich ist. Rechtsgrundlage ist § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Eine Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden.

Zur Kampagnenzuordnung können UTM-Parameter oder vergleichbare URL-Parameter im Session Storage des Browsers gespeichert werden. Diese werden grundsätzlich mit Schließen des Browser-Tabs gelöscht und dienen der Zuordnung der Anfragequelle.

6. Kontaktaufnahme, Demo, kostenlose GEO-Analyse und Report-Versand

Wenn Sie uns per Formular, E-Mail, Telefon, Kalenderbuchung oder über eine kostenlose GEO-Analyse kontaktieren, verarbeiten wir die von Ihnen angegebenen Daten, insbesondere Name, E-Mail-Adresse, Unternehmen, Rolle, Telefonnummer, Nachricht, Domain, Marke, Suchbegriffe, Prompts, Reportdaten und technische Metadaten.

Zwecke sind Bearbeitung der Anfrage, Durchführung der gewünschten Analyse, Versand des Reports, Vor- und Nachbereitung von Gesprächen, Missbrauchsprävention und Dokumentation. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b DSGVO bei vorvertraglichen oder vertragsbezogenen Anfragen sowie Art. 6 Abs. 1 lit. f DSGVO bei sonstiger Kommunikation und berechtigter interner Nachverfolgung.

Wir können Anfrage- oder Lead-Daten intern in Kommunikations- und Koordinationstools wie Slack anzeigen, wenn dies zur schnellen Bearbeitung erforderlich ist. Dabei beschränken wir die Inhalte auf das notwendige Maß.

Werbliche Newsletter oder Marketing-E-Mails versenden wir nur, wenn eine Einwilligung vorliegt oder eine gesetzliche Bestandskundenregelung einschlägig ist. Sie können werblicher Ansprache jederzeit widersprechen.

**Warteliste.** Wenn Sie sich auf eine Warteliste eintragen (zum Beispiel für die geschlossene Beta oder für neue CMS-Integrationen), verarbeiten wir Ihre E-Mail-Adresse, die Sprache der Seite und den Zeitpunkt der Eintragung. Freiwillig können Sie angeben, auf welchem System Ihre Website läuft, wie groß Ihr Unternehmen ist und in welcher Rolle Sie tätig sind. Wir nutzen diese Angaben ausschließlich, um Sie zum Start des jeweiligen Angebots einzuladen und um zu entscheiden, welche Integrationen wir zuerst entwickeln. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die Eintragung erfolgt im Double-Opt-in-Verfahren: Nach dem Absenden erhalten Sie eine E-Mail mit einem Bestätigungslink; erst mit der Bestätigung gilt die Eintragung. Zum Nachweis der Einwilligung speichern wir die Zeitpunkte der Eintragung und der Bestätigung. Bestätigen Sie nicht, löschen wir den Eintrag 14 Tage nach der letzten Bestätigungsmail. Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, etwa per Antwort auf unsere E-Mail oder über die in Ziffer 1 genannten Kontaktdaten. Wir löschen die Daten nach Ihrem Widerruf, spätestens jedoch zwölf Monate nach der Einladung. Einträge, zu denen es nie eine Einladung gab, löschen wir spätestens 24 Monate nach der Eintragung. Über bestätigte Einträge werden wir intern benachrichtigt (siehe oben); die Bestätigungsmail und die Einladung versenden wir über unseren E-Mail-Dienstleister (Ziffer 14).

7. GEO-Analyse, KI-Modelle, Suchdienste und externe APIs

Kernfunktion des GEO Tools ist die Analyse, wie Websites, Marken, Produkte oder Inhalte in generativen KI-Systemen, KI-gestützten Suchdiensten, Answer Engines und Suchergebnissen erscheinen. Hierzu werden die erforderlichen Eingaben, insbesondere Domains, Marken, Suchbegriffe, Prompts, URLs und technische Analyseparameter, an geeignete Schnittstellen und Dienstleister übermittelt.

Bitte geben Sie keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, keine vertraulichen personenbezogenen Inhalte, keine Zugangsdaten, keine Zahlungsdaten und keine geheimhaltungsbedürftigen Informationen in Analysefelder ein, sofern dies nicht ausdrücklich vereinbart und abgesichert ist.

Für KI-Verarbeitung werden OpenRouter (Modell-Routing) sowie ein spezialisierter Anbieter von Such- und KI-Antwortdaten eingebunden. Über OpenRouter kommen ausschließlich Modelle von Anthropic, OpenAI, Google und xAI (Grok, jeweils USA) sowie offene Modelle der Familien Qwen (Alibaba), DeepSeek und GLM (Z.ai) zum Einsatz. Die offenen Modelle laufen nicht bei ihren Entwicklern, sondern bei unabhängigen Hosting-Anbietern, die OpenRouter je Anfrage auswählt. Jede Anfrage an OpenRouter wird technisch mit der Routing-Vorgabe „data_collection: deny" gesendet: Es werden nur Provider-Endpunkte verwendet, die Eingaben weder speichern noch für Modell-Training nutzen (Zero-Retention). Hosting-Anbieter mit Sitz in China sowie die Eigen-Schnittstellen der Modellentwickler aus China werden bei jeder Anfrage technisch ausgeschlossen.

Für automatische Bewertungen setzen wir zusätzlich ein spezialisiertes Entscheidungsmodell eines KI-Anbieters mit Sitz in den USA ein. Es erzeugt keine Texte, sondern beantwortet eng gefasste Prüffragen. Übermittelt werden dafür: (a) der Wortlaut gemessener KI-Antworten zusammen mit Ihrem Marken- bzw. Firmennamen, um die erkannte Markennennung ein zweites Mal zu prüfen, (b) einzelne Sätze eines Textentwurfs, um Pauschalaussagen und eigene Zusagen zu markieren, und (c) Domain, öffentlicher Seitentitel und URL-Pfade von Websites, die KI-Systeme als Quelle zitieren, um die Art der Quelle einzuordnen. Konto-, Kontakt- und Zahlungsdaten werden nicht übermittelt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Verarbeitung zur Durchführung der angeforderten Analyse oder des Vertrags erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für unser berechtigtes Interesse an der Bereitstellung, Verbesserung, Sicherheit und Qualitätssicherung der Kernfunktion. Soweit eine Einwilligung erforderlich ist, verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO.

8. Nutzerkonto, Vertragsabwicklung und Abrechnung

Für kostenpflichtige Funktionen verarbeiten wir Konto-, Vertrags- und Nutzungsdaten, insbesondere Name, geschäftliche Kontaktdaten, Unternehmen, Login- und Authentifizierungsdaten, Rollen/Rechte, Tarif, Buchungen, Rechnungsdaten, Nutzungsumfang, Supportanfragen und technische Protokolle.

Zwecke sind Vertragsdurchführung, Nutzerverwaltung, Zugriffskontrolle, Abrechnung, Support, Sicherheit, Missbrauchsprävention und Nachweisführung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO; für gesetzliche Aufbewahrungspflichten Art. 6 Abs. 1 lit. c DSGVO; für Sicherheit und Missbrauchsprävention Art. 6 Abs. 1 lit. f DSGVO.

Zahlungen können über Zahlungsdienstleister wie Stripe abgewickelt werden. Zahlungskartendaten werden grundsätzlich direkt beim Zahlungsdienstleister verarbeitet und von uns nicht dauerhaft gespeichert. Stripe kann insoweit je nach Verarbeitung auch eigenständig Verantwortlicher sein.

9. Google-Nutzerdaten (Search Console und Analytics)

Sie können Ihr eigenes Google-Konto freiwillig mit dem GEO Tool verbinden, um Leistungsdaten Ihrer eigenen Website aus der Google Search Console und aus Google Analytics 4 in Ihrem Workspace auszuwerten. Diese Verbindung ist optional; alle übrigen Funktionen stehen auch ohne sie zur Verfügung. Die Verbindung erfolgt über das OAuth-Verfahren von Google. Ihr Google-Passwort wird dabei zu keinem Zeitpunkt an uns übermittelt.

Wir fordern ausschließlich lesenden Zugriff mit den folgenden Berechtigungen (Scopes) an:

• https://www.googleapis.com/auth/webmasters.readonly - Leistungsdaten der von Ihnen bestätigten Search-Console-Properties, insbesondere Suchanfragen, Impressionen, Klicks, Positionen und URLs;
• https://www.googleapis.com/auth/analytics.readonly - Berichtsdaten der von Ihnen freigegebenen Google-Analytics-4-Properties, insbesondere aggregierte Sitzungs- und Zugriffskennzahlen.

Schreibrechte fordern wir nicht an. Auf Gmail, Kontakte, Google Drive oder sonstige Inhalte Ihres Google-Kontos greifen wir nicht zu.

Zweck der Verarbeitung ist ausschließlich, Ihnen in Ihrer eigenen GEO-Tool-Oberfläche Auswertungen zu Ihrer Such- und KI-Sichtbarkeit anzuzeigen, etwa reale Suchanfragen, deren Entwicklung und daraus abgeleitete Hinweise. Eine Nutzung für Werbung, zur Ermittlung der Kreditwürdigkeit, zum Verkauf von Daten oder zu sonstigem Datenhandel findet nicht statt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Verbindung ist eine Funktion des Nutzungsvertrags, die Sie aktiv anstoßen; die Verarbeitung ist zur Bereitstellung genau dieser von Ihnen angeforderten Funktion erforderlich. Der Google-seitige Zustimmungsdialog regelt die Autorisierung des Zugriffs gegenüber Google und bleibt davon unberührt.

Speicherung und Sicherheit: Das für den Datenabruf erforderliche Refresh-Token speichern wir mit AES-256-GCM verschlüsselt in unserer Datenbank bei Neon in Frankfurt am Main (AWS-Region eu-central-1, EU). Kurzlebige Access-Tokens werden nur flüchtig für den jeweiligen Abruf verwendet und nicht dauerhaft gespeichert. Importierte Leistungsdaten - regelmäßig die jeweils letzten 90 Tage - werden Ihrem Workspace zugeordnet und ebenfalls in der EU gespeichert. Die Verarbeitung in unserer Anwendung erfolgt in der Vercel-Region Frankfurt (fra1).

Speicherdauer: Wir speichern die Tokens und die importierten Daten, solange die Verbindung besteht. Trennen Sie die Verbindung in den Workspace-Einstellungen, löschen wir das gespeicherte Token und die importierten Google-Daten innerhalb von 7 Tagen. Löschen Sie Ihr Nutzerkonto, werden Tokens und importierte Daten zusammen mit dem Workspace unverzüglich gelöscht. Restkopien in Datensicherungen werden spätestens nach 30 Tagen überschrieben.

Weitergabe: Wir geben Google-Nutzerdaten nicht an Dritte weiter und verkaufen sie nicht. Unterauftragnehmer setzen wir nur ein, soweit dies für den Betrieb erforderlich ist - derzeit Vercel (Hosting und Compute, Region Frankfurt) und Neon (Datenbank, Frankfurt) -, jeweils auf Grundlage von Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO. Google-Nutzerdaten werden nicht an Analyse- oder Werbedienstleister übermittelt. Eine Ausnahme gilt nur, wenn Sie sie selbst anstoßen: Übernehmen Sie eine Suchanfrage aus Ihrer Search Console ausdrücklich als Mess-Frage in die KI-Sichtbarkeitsmessung, wird der Text dieser Suchanfrage im Rahmen der von Ihnen angeforderten Messung an die abgefragten KI-Systeme gesendet - Impressions-, Klick- und sonstige Kennzahlen werden dabei nicht übertragen.

Limited Use: Unsere Nutzung der über Google-APIs empfangenen Informationen entspricht der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen: https://developers.google.com/terms/api-services-user-data-policy

KI- und Modelltraining: Wir verwenden Google-Nutzerdaten nicht, um allgemeine KI- oder Machine-Learning-Modelle zu entwickeln, zu trainieren oder zu verbessern. Außerhalb der oben beschriebenen, von Ihnen ausdrücklich angestoßenen Messung werden sie auch nicht an generative KI-Modelle übermittelt.

Widerruf: Sie können den Zugriff jederzeit beenden - im GEO Tool über „Google-Verbindung trennen" in Ihrem Workspace (auch ohne aktives Bezahlpaket) sowie unabhängig davon in Ihrem Google-Konto unter https://myaccount.google.com/permissions. Der Widerruf berührt die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung nicht.

Für Datenschutzanfragen zu Google-Nutzerdaten erreichen Sie uns unter datenschutz@geo-tool.com.

10. E-Mail-Versand und Systemnachrichten

Für transaktionale E-Mails, Reports, Login-, Sicherheits-, Produkt- und Servicenachrichten können E-Mail-Dienstleister eingesetzt werden. Verarbeitet werden insbesondere E-Mail-Adresse, Name, Versandinhalt, Versandstatus und technische Versandmetadaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bzw. Art. 6 Abs. 1 lit. f DSGVO.

11. Webanalyse

Soweit wir Reichweitenmessung einsetzen, verwenden wir vorrangig datenschutzfreundliche Verfahren wie Plausible Analytics, soweit möglich ohne Cookies und ohne personenbezogene Profilbildung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, soweit die konkrete Konfiguration keine Einwilligung erfordert. Einwilligungspflichtige Analyse- oder Marketingdienste setzen wir nur nach Einwilligung ein.

12. Speicherdauer

13. Empfänger und Kategorien von Empfängern

Wir geben personenbezogene Daten nur weiter, wenn dies zur Bereitstellung der Website, Anwendung, Analyse, Kommunikation, Abrechnung, Sicherheit, Rechtsverfolgung oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

Empfänger können insbesondere Hosting-, Datenbank-, Sicherheits-, KI-/LLM-, Suchdaten-, Proxy-, E-Mail-, Zahlungs-, Analyse-, CRM-, Kommunikations-, Rechts-, Steuer- und IT-Dienstleister sein. Soweit diese Dienstleister personenbezogene Daten in unserem Auftrag verarbeiten, schließen wir Vereinbarungen zur Auftragsverarbeitung.

14. Eingesetzte Dienstleister und Drittlandbezüge

Die folgende Übersicht ist auf Basis des aktuellen Produkt-Stacks zu verifizieren und laufend aktuell zu halten. Sie ersetzt nicht die detaillierte Subprozessorenliste im AVV/DPA, soweit eine Auftragsverarbeitung für Kunden erfolgt.

15. Datenübermittlungen in Drittländer

Personenbezogene Daten können in Länder außerhalb der EU bzw. des EWR übermittelt werden, insbesondere bei US-basierten Hosting-, KI-, Such-, Kommunikations-, Zahlungs- oder E-Mail-Diensten. Soweit kein Angemessenheitsbeschluss besteht, stützen wir Übermittlungen auf geeignete Garantien nach Art. 46 DSGVO, insbesondere EU-Standardvertragsklauseln, ergänzt um technische und organisatorische Maßnahmen. Für zertifizierte US-Anbieter kann zusätzlich das EU-U.S. Data Privacy Framework genutzt werden.

Eine Kopie relevanter Garantien oder Informationen hierzu stellen wir auf Anfrage zur Verfügung, soweit dem keine Geheimhaltungs- oder Sicherheitsinteressen entgegenstehen.

16. Keine automatisierte Einzelfallentscheidung

Wir treffen keine automatisierten Entscheidungen im Sinne von Art. 22 DSGVO, die Ihnen gegenüber rechtliche Wirkung entfalten oder Sie in ähnlicher Weise erheblich beeinträchtigen. GEO-Reports, Scores und Empfehlungen sind Analyse- und Entscheidungshilfen und erfordern menschliche Prüfung.

17. Ihre Rechte

Sie haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die Verarbeitung personenbezogener Daten (Art. 15 DSGVO);
• Berichtigung unrichtiger oder Vervollständigung unvollständiger Daten (Art. 16 DSGVO);
• Löschung (Art. 17 DSGVO);
• Einschränkung der Verarbeitung (Art. 18 DSGVO);
• Datenübertragbarkeit (Art. 20 DSGVO);
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO (Art. 21 DSGVO);
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft (Art. 7 Abs. 3 DSGVO).

Zur Ausübung Ihrer Rechte genügt eine Mitteilung an datenschutz@geo-tool.com.

18. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutzaufsichtsbehörde zu beschweren. Für uns ist regelmäßig die Berliner Beauftragte für Datenschutz und Informationsfreiheit, Alt-Moabit 59-61, 10555 Berlin, zuständig.

19. Eingebettete Videos und Podcasts (YouTube, Spotify)

Auf Podcast-, Presse- und Blogseiten binden wir Videos von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland) und den Podcast-Player von Spotify (Spotify AB, Regeringsgatan 19, 111 53 Stockholm, Schweden) ein. Wir nutzen eine Zwei-Klick-Lösung: Beim Aufruf der Seite wird lediglich ein Vorschaubild angezeigt. Bei YouTube-Videos wird dieses Vorschaubild vom Bilddienst i.ytimg.com (Google) geladen; dabei wird Ihre IP-Adresse an Google übermittelt, es werden jedoch keine Cookies gesetzt und keine Wiedergabedaten erhoben. Rechtsgrundlage dafür ist unser berechtigtes Interesse an einer verständlichen Darstellung der Inhalte, Art. 6 Abs. 1 lit. f DSGVO. Der Player selbst und damit die Verbindung zu den Video- bzw. Audio-Servern von YouTube bzw. Spotify wird erst hergestellt, wenn Sie ihn durch Klick auf „Video laden“ bzw. „Player laden“ aktiv starten. YouTube-Videos laden wir im erweiterten Datenschutzmodus über youtube-nocookie.com.

Mit dem Klick willigen Sie ein, dass Ihre IP-Adresse, Geräte- und Browserinformationen sowie Nutzungsdaten der Wiedergabe an den jeweiligen Anbieter übermittelt werden und dieser Cookies oder vergleichbare Technologien auf Ihrem Endgerät einsetzen kann. Sind Sie bei Google bzw. Spotify eingeloggt, kann der Anbieter die Wiedergabe Ihrem Konto zuordnen. Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG; die Einwilligung gilt für die jeweilige Wiedergabe und kann durch Schließen der Seite beendet werden. Die Anbieter können Daten in die USA übermitteln; Grundlage sind EU-Standardvertragsklauseln und, soweit der jeweilige Anbieter zertifiziert ist, das EU-U.S. Data Privacy Framework (siehe Abschnitt 15). Einzelheiten: policies.google.com/privacy und spotify.com/de/legal/privacy-policy.

20. Aktualität und Änderungen

Diese Datenschutzerklärung ist aktuell gültig und hat den Stand 30. September 2026. Durch Weiterentwicklung von Website, Anwendung, Dienstleistern, Rechtslage oder behördlichen Vorgaben kann eine Anpassung erforderlich werden. Die jeweils aktuelle Fassung ist unter geo-tool.com/de/datenschutz abrufbar.

track by track GmbH · Schliemannstraße 23, 10437 Berlin, Deutschland · datenschutz@geo-tool.com