Datenschutzerklärung

Stand: 12. November 2026

1. Verantwortlicher

Kurz gesagt: Verantwortlich ist Dmytro Mushtrenko in Hamburg. Bei Fragen schreiben Sie an hello@nenn.io.

Dmytro MushtrenkoSophienstraße 2921079 HamburgDeutschlandE-Mail: hello@nenn.ioTelefon: +49 171 2159065

Ein Datenschutzbeauftragter ist nicht benannt, weil keine gesetzliche Pflicht dazu besteht.

Diese Erklärung gilt für unsere Website nenn.io und für die Anwendung Nenn unter app.nenn.io.

2. Wenn Sie unsere Website besuchen

Kurz gesagt: Für die Auslieferung der Seiten fallen technische Daten an. Besuche zählen wir ohne Cookies. Statistik-Cookies setzen wir nur, wenn Sie zustimmen.

Wenn Sie unsere Website aufrufen, verarbeitet unser Hosting-Anbieter technisch notwendige Daten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, Referrer-URL, Browser und Betriebssystem sowie übertragene Datenmenge. Ohne diese Daten kann die Website nicht ausgeliefert werden. Die Daten dienen außerdem der Sicherheit, zum Beispiel der Abwehr von Angriffen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist eine sichere und funktionierende Website.

Die Website läuft auf einem Server, den wir selbst betreiben. Die Verbindung dorthin läuft verschlüsselt über Cloudflare, Inc. (USA). Cloudflare übernimmt für uns DNS, Verschlüsselung und den Schutz vor Angriffen und verarbeitet dabei IP-Adressen und Anfragedaten. Unser Server legt keine Zugriffsprotokolle mit IP-Adressen an.

Schriftarten liefern wir von unserem eigenen Hosting aus. Es wird dabei keine Verbindung zu Servern von Google Fonts hergestellt.

Statistik ohne Cookies

Um zu sehen, wie viele Menschen unsere Website besuchen und woher sie kommen, zählen wir Seitenaufrufe ohne Cookies und ohne Speicherung auf Ihrem Gerät. Dafür nutzen wir eine eigene Zählung auf unserem Server unter app.nenn.io. Erfasst werden die aufgerufene Seite, die verweisende Website, Kampagnenangaben in der Adresse (Parameter „utm_…“ oder die Klick-Kennung einer Anzeige) und die Sprache. Öffnen Sie die Anwendung unter app.nenn.io, zum Beispiel über eine Anzeige, zählen wir diesen Aufruf auf dieselbe Weise, auch wenn Sie sich nicht anmelden. Aus den Angaben, die jeder Aufruf ohnehin an unseren Server sendet, speichern wir bei unserer eigenen Zählung außerdem grob: Land, Region und Stadt (Cloudflare leitet sie aus Ihrer IP-Adresse ab), die Geräteart (Handy, Tablet oder Computer), ob die Seite im Browser der Instagram- oder Facebook-App geöffnet wurde, und die Browserfamilie (zum Beispiel Safari) ohne Versionsnummer. In Ihrem Browser lesen wir dafür nichts aus. Bei der Anmeldung in der Anwendung zählen wir mit derselben Tageskennung, ob ein Anmeldecode angefordert und eingegeben wurde und ob eine Anmeldung von einer Schutzgrenze abgelehnt wurde, ohne Ihre E-Mail-Adresse. Fehler der Anwendung zählen wir pro Seite und Geräteart. Aufrufe von Suchmaschinen und Prüfprogrammen (zum Beispiel die Anzeigenprüfung von Meta) markieren wir und zählen sie nicht mit.

Ihre IP-Adresse wird dabei nicht gespeichert. Unsere Zählung bildet aus IP-Adresse und Browser eine Kennung, die nach einem Tag wechselt. So können wir Besuche zählen, Sie aber nicht über mehrere Tage wiedererkennen. Klicken Sie auf „Start free“, geben wir die Kampagnenangaben an die Anwendung weiter, damit wir sehen, welche Kampagne zu einer Registrierung geführt hat (Abschnitt 3). Registrieren Sie sich, ordnen wir die Anmeldeschritte Ihrem neuen Konto zu. Land, Region, Stadt, Geräteart und Browser sowie die Anmeldeschritte löschen wir nach 35 Tagen, die übrigen eigenen Zählungen nach 400 Tagen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist zu messen, ob unsere Website und unsere Werbung funktionieren, und Missbrauch der Anmeldung zu erkennen. Wir speichern dafür nichts auf Ihrem Gerät und lesen nichts aus. Sie können dieser Verarbeitung jederzeit widersprechen (Art. 21 DSGVO).

Testlauf unter nenn.io/check

Unter nenn.io/check können Sie einen Testlauf vorbereiten. Sie geben die Adresse Ihrer Website ein. Unser eigener Server ruft dann diese Website einmal ab (Startseite, bei deutschen Seiten auch Impressum oder Kontaktseite) und liest daraus Firmenname, Branche, Ort und Sprache. Das Ergebnis halten wir höchstens 24 Stunden im Arbeitsspeicher, damit ein zweiter Abruf nicht nötig ist. Wir speichern es nicht dauerhaft.

Ihre Antworten (Website, Firmenname, Branche, Ort, Land, Sprache, Frage und gewählter Tarif) speichern wir im Sitzungsspeicher Ihres Browsers (sessionStorage, Schlüssel „nenn.quiz.v1“), damit ein Neuladen der Seite sie nicht löscht. Der Eintrag wird beim Schließen des Tabs, bei „Use another website“ und direkt vor dem Wechsel in die Anwendung gelöscht. Das ist für den von Ihnen gewünschten Dienst unbedingt erforderlich (§ 25 Abs. 2 Nr. 2 TDDDG). Ihre E-Mail-Adresse speichern wir dort nicht.

Zum Schutz vor automatisierten Anfragen nutzen wir auf dem Schritt für die E-Mail-Adresse Cloudflare Turnstile (Cloudflare, Inc., USA). Dabei werden technische Daten Ihres Browsers und Ihre IP-Adresse an Cloudflare übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist der Schutz vor Missbrauch. Cloudflare ist unter dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO).

Wenn Sie „Send my code“ wählen, senden wir Ihre E-Mail-Adresse, Ihre Antworten, die Kampagnenangaben und Ihre Einwilligung in Tipps per E-Mail (nur wenn Sie das Kästchen ankreuzen) an unsere Anwendung unter app.nenn.io. Dort legen wir Ihren Check an und senden Ihnen den Anmeldecode (Abschnitte 3 und 4). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für die Tipps Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.

Cookies und Einwilligung

Unsere Website zeigt ein Banner, in dem Sie entscheiden, welche Kategorien Sie erlauben. Ihre Entscheidung gilt für die Website nenn.io und die Anwendung app.nenn.io gemeinsam. Wir speichern sie im lokalen Speicher Ihres Browsers und im Cookie „nenn-cookie-consent“ für die Domain nenn.io, für 120 Tage. Danach fragen wir erneut. Diese Speicherung ist unbedingt erforderlich, um Ihre Entscheidung zu beachten (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die Verarbeitung ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 7 Abs. 1 DSGVO.

Nur wenn Sie die Kategorie „Statistik“ erlauben, erfassen wir auf der Website und in der Anwendung eine eigene Klick-Statistik: welche Seiten Sie öffnen, wohin Sie klicken (Stelle auf der Seite, Element und der Text von Links und Schaltflächen), wie weit Sie scrollen, wie lange eine Seite sichtbar ist, über welche Kampagne (utm-Parameter) Sie kamen, die Art des Geräts und das Land. Ist bei Cloudflare die Standortangabe eingeschaltet, kommen Region und Stadt hinzu; Cloudflare leitet sie aus Ihrer IP-Adresse ab, die wir selbst nicht speichern. Ihre Eingaben, Tastatureingaben und der Bildschirm werden nicht erfasst, E-Mail-Adressen in Texten werden unkenntlich gemacht. Dafür speichern wir in Ihrem Browser eine zufällige Kennung der Sitzung (Session Storage, bis Sie den Tab schließen) und eine zufällige Kennung des Browsers („nenn_bvid“, 30 Tage) im lokalen Speicher und in einem Cookie für die Domain nenn.io, damit Website und Anwendung Ihren Browser als denselben erkennen. Registrieren Sie sich, verknüpfen wir diese Kennung mit Ihrem Konto, um zu sehen, welche Seiten Sie vorher angesehen haben; die Verknüpfung löschen wir nach 35 Tagen. Aus den Daten eines Besuchs berechnen wir eine Kennzahl von 0 bis 100 (Zeit, Scrollen, Klicks, Seiten), um Seiten und Kampagnen zu vergleichen; wir treffen damit keine Entscheidungen über Sie. Die Daten gehen nur an unseren eigenen Server in der EU, nicht an andere Anbieter, und werden nach 35 Tagen gelöscht. Zweck ist, Fehler und unklare Stellen von Website und Anwendung zu finden. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Wählen Sie später „Ablehnen“, stoppt die Erfassung, und die Kennung des Browsers wird im lokalen Speicher und im Cookie gelöscht.

Die Kategorie „Marketing“ betrifft Meta (siehe unten): auf der Website das Meta-Pixel, nur auf der Quiz-Seite (nenn.io/check), und eine Meldung unseres Servers, wenn Sie im Quiz Ihre E-Mail-Adresse eingeben; in der Anwendung das Meta-Pixel. Für die Kategorie „Einstellungen“ setzen wir derzeit keine Dienste ein. Die oben beschriebene Besucherzählung kommt ohne Cookies aus.

Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen oder ändern, über den Link „Cookie settings“ unten auf jeder Seite oder in der Anwendung unter Einstellungen, „Cookie-Einstellungen“.

3. Wenn Sie sich registrieren und anmelden

Kurz gesagt: Für Ihr Konto brauchen wir Ihre E-Mail-Adresse. Wir speichern, über welche Kampagne Sie kamen.

Für ein Konto verarbeiten wir Ihre E-Mail-Adresse und, wenn Sie sie angeben, Ihren Namen, Ihr Unternehmen, Ihre Rolle und Ihre Spracheinstellung. Zur Anmeldung senden wir Ihnen einen Code per E-Mail. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ohne E-Mail-Adresse können wir kein Konto anlegen.

Sobald wir die Anmeldung mit Google anbieten, können Sie sich wahlweise mit Ihrem Google-Konto anmelden. Anbieter ist Google Ireland Limited (Irland). Google übermittelt uns dann Ihren Namen, Ihre E-Mail-Adresse und gegebenenfalls Ihr Profilbild. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Für die Verarbeitung durch Google gelten die Datenschutzbestimmungen von Google.

Nach der Anmeldung setzen wir das Cookie „nenn_session“. Es hält Sie angemeldet und ist technisch notwendig (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. b DSGVO). Es wird beim Abmelden oder nach Ablauf der Sitzung ungültig.

Wir speichern zu Ihrem Konto, über welche Kampagne (utm-Parameter), welche Einstiegsseite oder welchen Partner-Link Sie zu uns kamen. Aufrufe von Partner-Links protokollieren wir mit gehashter IP-Adresse. Zweck ist die Erfolgsmessung unserer Werbung und die Abrechnung von Partnerprovisionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Cookies, die speichern, über welche Kampagne oder welchen Partner Sie zu uns gekommen sind, setzen wir derzeit nicht. Wir führen sie nur mit Ihrer Einwilligung ein (§ 25 Abs. 1 TDDDG) und ergänzen diese Erklärung vorher.

In der Anwendung (app.nenn.io) fragen wir Sie in einem Banner, ob wir Cookies von Meta für unsere Werbung nutzen und eine eigene Klick-Statistik erfassen dürfen. Ihre Entscheidung speichern wir im lokalen Speicher Ihres Browsers und im Cookie „nenn-cookie-consent“ für die Domain nenn.io für 120 Tage, danach fragen wir erneut (§ 25 Abs. 2 Nr. 2 TDDDG, Art. 6 Abs. 1 lit. c DSGVO). Sie gilt auch für unsere Website nenn.io, und eine Entscheidung im Banner der Website gilt auch hier. Sind Sie angemeldet, speichern wir sie auch zu Ihrem Konto. Sie können sie jederzeit unter Einstellungen, „Cookie-Einstellungen“, mit Wirkung für die Zukunft ändern.

Nur wenn Sie „Erlauben“ wählen (im Banner der Website: die Kategorie „Marketing“), laden wir das Meta-Pixel der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Es setzt die Cookies „_fbp“ und „_fbc“ (Speicherdauer 90 Tage) und meldet Meta den Aufruf der Seite. Zusätzlich melden wir Meta von unserem Server, wenn Sie ein Konto anlegen, Ihre erste Prüfung fertig ist, Sie einen Testzeitraum beginnen oder bezahlen (Meta Conversions API). Haben Sie auf unserer Website nenn.io die Kategorie „Marketing“ erlaubt, laden wir dasselbe Meta-Pixel nur auf der Quiz-Seite (nenn.io/check). Es setzt dieselben Cookies „_fbp“ und „_fbc“ (90 Tage), meldet Meta den Aufruf der Seite und, wenn Sie im Quiz Ihre E-Mail-Adresse eingeben, diese Eingabe. Im selben Moment meldet auch unser Server diese Eingabe an Meta (Conversions API), mit derselben Ereignis-Kennung, damit Meta sie nur einmal zählt. Dafür senden wir Ihre E-Mail-Adresse nur als Hash (SHA-256), die Klick-Kennung der Anzeige, über die Sie kamen (Parameter „fbclid“ in der Adresse), Ihre IP-Adresse und Angaben zum Browser. Wählen Sie später „Ablehnen“, sendet das Pixel nichts mehr; nach dem Neuladen der Seite ist es nicht mehr geladen. Dabei übermitteln wir Ihre E-Mail-Adresse und Ihre Konto-Kennung nur als Hash (SHA-256), die Kennungen aus den Meta-Cookies, Ihre IP-Adresse, Angaben zum Browser und bei Zahlungen den Betrag. Zweck ist, dass Meta erkennt, welche Anzeigen zu E-Mail-Eingaben im Quiz und zu Anmeldungen führen, und unsere Anzeigen passenden Menschen zeigt. Rechtsgrundlage ist Ihre Einwilligung (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO).

Für die Erhebung und Übermittlung dieser Daten an Meta sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO, Vereinbarung: https://www.facebook.com/legal/controller_addendum). Für die weitere Verarbeitung ist Meta allein verantwortlich (https://www.facebook.com/privacy/policy). Meta kann Daten an Meta Platforms, Inc. (USA) übermitteln. Das Unternehmen ist nach dem EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO). Ohne Ihre Einwilligung laden Anwendung und Website nichts von Meta, und wir senden nichts an Meta.

Mit demselben „Erlauben“ (im Banner der Website: die Kategorie „Statistik“) erfassen wir auch in der Anwendung unsere eigene Klick-Statistik, wie oben bei der Website beschrieben, auf unserem eigenen Server und für 35 Tage. Die Bezahlseite ist davon ausgenommen.

4. Wenn Sie die Anwendung nutzen

Kurz gesagt: Ihre Daten liegen auf unserem eigenen Server in der EU. Wir nutzen sie nur, um Nenn für Sie zu betreiben.

Wenn Sie Nenn nutzen, verarbeiten wir:

Angaben zu Ihrer Marke: Website, Branche, Thema, Stadt oder Land, Fragen Ihrer Kunden, Wettbewerber;
Ergebnisse der Prüfungen: Antworten der KI-Assistenten und Nennungen über die Zeit;
Inhalte: Nachrichten an den Nenn-Assistenten, Entwürfe, Freigaben, Notizen;
Verbindungsdaten zu angebundenen Diensten (Zugangsschlüssel);
Nutzungs- und Protokolldaten: Anmeldezeitpunkte, IP-Adresse, ausgeführte Aktionen und Fehlermeldungen.

Zweck ist die Bereitstellung der Dienste nach unseren AGB. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Protokolldaten verarbeiten wir zur Sicherheit und Fehlerbehebung nach Art. 6 Abs. 1 lit. f DSGVO.

Die Anwendung läuft auf einem Server, den wir selbst in der EU betreiben. Die Verbindung dorthin läuft verschlüsselt über Cloudflare. Cloudflare verarbeitet dabei IP-Adressen und Anfragedaten (Art. 6 Abs. 1 lit. f DSGVO) und kann zum Schutz vor automatisierten Angriffen ein technisch notwendiges Cookie setzen (§ 25 Abs. 2 Nr. 2 TDDDG).

Technische Fehler der Anwendung (Fehlertext, Seite, Browser- und Betriebssystemfamilie) und Betriebsereignisse wie eine neue Anmeldung, eine Bestellung oder eine Kündigung melden wir an unser Betriebs-Postfach bei Telegram. Wir senden dabei keine E-Mail-Adressen, sondern nur eine Konto-Kennung, die Domain, den Tarif und das Ereignis. Telegram sitzt in einem Drittland ohne Angemessenheitsbeschluss (Abschnitt 12). Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist ein stabiler Betrieb.

Für Website-Prüfungen rufen wir Google PageSpeed Insights und Favicons über Google ab. Dabei übermitteln wir nur die Domain oder Adresse Ihrer Website.

Nehmen Sie an unserem Partnerprogramm teil, verarbeiten wir zusätzlich Ihren Partner-Code, die über Ihren Link vermittelten Kunden (ohne deren Kontodaten), Provisionen sowie Ihre Angaben für die Auszahlung per Gutschrift: Name, Anschrift, Steuerangaben und Bankverbindung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für die Aufbewahrung der Gutschriften Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO.

5. KI-Abfragen und der Nenn-Assistent

Kurz gesagt: Für die Prüfungen fragen wir ChatGPT, Perplexity und Google mit Angaben zu Ihrer Marke, nicht mit Ihren Kontodaten. ChatGPT fragen wir über die öffentliche Web-Oberfläche: Dort kann OpenAI die Chats zum Training nutzen.

Für die Prüfungen stellen wir die Fragen, die Sie hinterlegt haben, jede Woche drei KI-Diensten. Dabei übermitteln wir: Marke, Wettbewerber, Fragen, Thema sowie Stadt oder Land. Ihre Kontodaten, zum Beispiel E-Mail-Adresse oder Zahlungsdaten, übermitteln wir nicht.

ChatGPT: Unser Server öffnet die öffentliche Web-Oberfläche chatgpt.com ohne Anmeldung in einem automatisierten Browser und stellt dort die Fragen. Dafür gelten die Nutzungsbedingungen und die Datenschutzerklärung von OpenAI für Verbraucher, nicht die API-Bedingungen. OpenAI ist dabei eigener Verantwortlicher und nicht unser Auftragsverarbeiter. OpenAI kann diese Chats nach eigenen Angaben zum Training seiner Modelle nutzen und speichern.
Google AI Overviews: Unser Server stellt dieselben Fragen in einem automatisierten Browser über die Google-Suche (google.com). Empfänger ist Google Ireland Limited (Irland) als eigener Verantwortlicher. Google kann Daten an Google LLC (USA) übermitteln.
Perplexity: Wir stellen die Fragen über die Programmierschnittstelle (API) von Perplexity AI, Inc. (USA). Perplexity verarbeitet die Daten in unserem Auftrag (Art. 28 DSGVO). Perplexity erklärt in seinen API-Bedingungen, Kundeninhalte nicht zum Training generativer KI-Modelle zu nutzen. Wie lange Perplexity Daten speichert, hängt vom Modell und vom Konto ab.

Um Ihre Website zu verstehen und Entwürfe zu schreiben, nutzen wir die Programmierschnittstelle (API) von OpenAI. Dafür ruft Nenn öffentlich erreichbare Seiten Ihrer Website ab und übermittelt deren Inhalte und Angaben zu Ihrer Marke. Ist der Chat mit dem Nenn-Assistenten für Ihr Konto freigeschaltet, senden wir auch Ihre Nachrichten dorthin. OpenAI verarbeitet diese Daten in unserem Auftrag (Art. 28 DSGVO) in den USA. Nach den API-Bedingungen von OpenAI (Stand 26. Oktober 2026) nutzt OpenAI Daten aus der API nicht zum Training seiner Modelle, wenn der Kunde dem nicht ausdrücklich zustimmt. OpenAI speichert sie zur Erkennung von Missbrauch bis zu 30 Tage.

Rechtsgrundlage für die Prüfungen und Entwürfe ist Art. 6 Abs. 1 lit. b DSGVO. Für die Abfragen über die Web-Oberflächen von ChatGPT und Google stützen wir uns zusätzlich auf Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, Ihnen zu zeigen, was diese Dienste Ihren Kunden tatsächlich antworten.

Die Antworten der KI-Dienste können Namen von Unternehmen und Personen enthalten, zum Beispiel von Wettbewerbern. Wir speichern sie als Teil der Ergebnisse in Ihrem Konto (Art. 6 Abs. 1 lit. f DSGVO).

Bitte geben Sie in Fragen, Notizen und Nachrichten keine personenbezogenen Daten Dritter und nichts ein, was OpenAI oder Google nicht sehen sollen. Ist Ihr Markenname zugleich Ihr Personenname, sind auch diese Angaben personenbezogen.

6. Wenn Sie Google oder Ihre Website verbinden

Kurz gesagt: Verbindungen sind freiwillig. Wir lesen nur, was die Funktion braucht. Sie können jede Verbindung jederzeit trennen.

Sie können Nenn wahlweise mit Google Search Console oder Google Analytics 4 (Google Ireland Limited) sowie mit WordPress, Webflow (Webflow, Inc., USA) oder Framer (Framer B.V., Niederlande) verbinden. Wir speichern dafür Zugangsschlüssel und rufen die Daten ab, die für die Funktion nötig sind, zum Beispiel Suchanfragen und Seitenaufrufe Ihrer Website in zusammengefasster Form. Freigegebene Inhalte veröffentlichen wir über diese Verbindungen auf Ihrer Website.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Soweit dabei personenbezogene Daten der Besucher Ihrer Website betroffen sind, verarbeiten wir sie in Ihrem Auftrag (Art. 28 DSGVO). Sie können eine Verbindung jederzeit in der Anwendung oder beim jeweiligen Dienst trennen. Wir löschen dann die Zugangsschlüssel.

Gehostete Seiten und Nenn-Widget

Freigegebene Inhalte können Sie auch auf einer von uns gehosteten Seite unter app.nenn.io/p/… veröffentlichen oder mit dem Nenn-Widget, einem Skript von app.nenn.io, auf Ihrer Website einbinden. Wer solche Seiten oder Websites mit dem Widget besucht, übermittelt dabei an unseren Server die IP-Adresse und technische Anfragedaten (Browser, aufgerufene Adresse, Zeitpunkt). Wir verarbeiten sie, um die Inhalte auszuliefern und unseren Dienst zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Für Sie als Kunde handeln wir dabei als Auftragsverarbeiter (Art. 28 DSGVO, § 14 AGB). Cookies setzen Seite und Widget nicht.

7. Wenn Sie bezahlen

Kurz gesagt: Zahlungen laufen über Stripe. Ihre Kartendaten sehen und speichern wir nicht.

Zahlungen wickelt Stripe Payments Europe, Limited (Irland) ab, derzeit per Karte und SEPA-Lastschrift. Stripe verarbeitet dabei Name, E-Mail-Adresse, Rechnungsanschrift und Zahlungsdaten. Vollständige Kartennummern erhalten und speichern wir nicht. Stripe verarbeitet Daten teilweise auch als eigener Verantwortlicher, zum Beispiel zur Betrugsvorbeugung und zur Erfüllung gesetzlicher Pflichten. Stripe kann Daten an Stripe, Inc. (USA) übermitteln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO und für die Aufbewahrung von Rechnungen Art. 6 Abs. 1 lit. c DSGVO.

8. E-Mails von uns

Kurz gesagt: Wir senden E-Mails zu Ihrem Konto und Vertrag. Tipps und Angebote nur, wenn Sie zustimmen.

Anmeldecodes und Nachrichten zu Ihrem Konto und Vertrag, zum Beispiel Bestellbestätigungen, Rechnungen, Bestätigungen von Kündigung und Widerruf oder wichtige Änderungen, versenden wir über die E-Mail-Server von Hostinger International Ltd. (Zypern, EU). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und c DSGVO.

Tipps und Angebote per E-Mail senden wir nur, wenn Sie das Kästchen bei der Anmeldung ankreuzen. Die Einwilligung gilt, sobald Sie sich mit dem Code aus unserer E-Mail (oder mit Ihrem Google-Konto) angemeldet haben: So ist bestätigt, dass die E-Mail-Adresse Ihnen gehört. Rechtsgrundlage ist Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO, § 7 Abs. 2 Nr. 2 UWG). Den Nachweis (Text der Einwilligung, Zeitpunkt der Anmeldung mit Code) speichern wir, solange die Einwilligung gilt, und drei Jahre danach. Abmelden können Sie sich jederzeit über den Link in jeder dieser E-Mails.

9. Wenn Sie uns kontaktieren

Kurz gesagt: Ihre Anfrage nutzen wir nur, um sie zu beantworten.

Wenn Sie uns schreiben oder anrufen, verarbeiten wir Ihre Angaben, um Ihre Anfrage zu bearbeiten. Unser Postfach hello@nenn.io betreibt Hostinger International Ltd. (Zypern, EU). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, wenn Ihre Anfrage einen Vertrag betrifft, sonst Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist die Beantwortung Ihrer Anfrage.

10. Wenn Sie kündigen oder widerrufen

Kurz gesagt: Für Kündigung und Widerruf brauchen wir nur Name, Vertrag und E-Mail-Adresse. Wir bewahren sie als Nachweis auf.

Auf der Seite „Verträge hier kündigen“ (https://app.nenn.io/kuendigen) und mit der Widerrufsfunktion verarbeiten wir die Angaben, die Sie eingeben: Name, E-Mail-Adresse, Angaben zum Vertrag, Art und Zeitpunkt der Kündigung, bei einer außerordentlichen Kündigung den Grund, Datum und Uhrzeit des Eingangs sowie Ihre IP-Adresse (Schutz vor Missbrauch). Wir senden Ihnen eine Bestätigung per E-Mail.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO (§ 312k, § 356a BGB) und Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist der Nachweis, dass und wann Sie gekündigt oder widerrufen haben. Wir bewahren diese Angaben bis zum Ende der regelmäßigen Verjährungsfrist auf, also drei Jahre ab dem Ende des Jahres, in dem der Vertrag endet.

11. Wenn Sie unter unseren Instagram-Beiträgen kommentieren

Kurz gesagt: Kommentieren Sie „AI“ unter einem Beitrag von @nenn.ai, senden wir Ihnen einmal eine Direktnachricht mit dem Link und antworten öffentlich unter Ihrem Kommentar, dass die Nachricht unterwegs ist. Kommentar-ID, Nutzername und Zeitpunkt löschen wir nach 30 Tagen.

Wir betreiben das Instagram-Profil @nenn.ai. Unter einigen Beiträgen bieten wir an: Wer das Wort „AI“ (oder „KI“) kommentiert, erhält von uns einmalig eine Direktnachricht mit einem Link zu unserer Anwendung unter app.nenn.io. Nachdem die Nachricht gesendet ist, antworten wir einmal öffentlich unter Ihrem Kommentar, dass wir Ihnen die Nachricht geschickt haben (zum Beispiel „Sent you a DM“). Diese Antwort ist für alle sichtbar, die den Beitrag sehen, so wie Ihr Kommentar selbst. Dafür lesen wir die Kommentare unter unseren eigenen Beiträgen über die offizielle Schnittstelle von Instagram (Instagram API).

Wir verarbeiten die ID Ihres Kommentars, Ihren Instagram-Nutzernamen, Ihre Instagram-interne Nutzer-ID, den Zeitpunkt des Kommentars und den Kommentartext, um zu prüfen, ob er nur aus dem Stichwort besteht. Von Kommentaren ohne das Stichwort speichern wir nur die Kommentar-ID, damit wir sie nicht doppelt prüfen, aber keinen Namen und keinen Text. Ihren Posteingang lesen wir nicht. Antworten Sie uns, lesen wir Ihre Nachricht wie jede andere Nachricht an unser Profil.

Zweck ist, Ihnen den angefragten Link zu senden: genau eine Nachricht pro Person und Beitrag, nur innerhalb von 7 Tagen nach dem Kommentar, und dazu genau eine kurze öffentliche Antwort unter dem Kommentar. Konnten wir die Nachricht nicht senden, antworten wir auch nicht öffentlich. Wir senden keine weiteren Nachrichten, keine Erinnerungen und keine Werbung per Direktnachricht.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil Sie den Link mit Ihrem Kommentar anfordern und wir diese Anfrage erfüllen, und Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, doppelte Nachrichten zu verhindern, nachweisen zu können, was wir gesendet haben, und mit der öffentlichen Antwort zu zeigen, dass die Anfrage erledigt ist.

Kommentar-ID, Nutzername und Zeitpunkt löschen wir nach 30 Tagen, ebenso die Protokolle des Versands. Danach behalten wir nur einen nicht umkehrbaren Prüfwert (Hash aus Beitrag und Nutzer-ID) mit dem Datum des Versands, damit Sie unter demselben Beitrag nie eine zweite Nachricht bekommen. Diesen Prüfwert speichern wir, solange wir das Angebot betreiben. Die Daten liegen auf unserem Rechner in Deutschland. Wir geben sie nicht an Dritte weiter und nutzen sie nicht für Werbung.

Kommentare und Nachrichten laufen über Instagram, einen Dienst der Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irland. Meta verarbeitet diese Daten auch selbst, in eigener Verantwortung und nach eigener Datenschutzrichtlinie (https://privacycenter.instagram.com/policy).

Der Link führt direkt zur Anwendung unter app.nenn.io. Er enthält nur Kampagnenangaben mit einem Kurzcode des Beitrags (zum Beispiel „r261028“), nicht Ihren Namen. Die Anwendung erhält diesen Kurzcode als Kampagnenangabe (Abschnitte 2 und 3).

Sie können Auskunft und Löschung verlangen und der Verarbeitung widersprechen (Abschnitt 15). Schreiben Sie an hello@nenn.io. Ihren Kommentar können Sie jederzeit selbst löschen. Unsere öffentliche Antwort löschen wir auf Ihren Wunsch. Eine bereits gesendete Nachricht bleibt in Ihrem Instagram-Posteingang.

12. Dienstleister und Übermittlung in Drittländer

Kurz gesagt: Diese Anbieter helfen uns beim Betrieb. Wer in den USA sitzt, ist über das Data Privacy Framework oder Standardvertragsklauseln gebunden.

Wir geben personenbezogene Daten nur an die folgenden Empfänger weiter, soweit dies für den jeweiligen Zweck nötig ist, oder wenn wir gesetzlich dazu verpflichtet sind. Dienstleister, die Daten in unserem Auftrag verarbeiten, setzen wir nur auf Grundlage eines Vertrags nach Art. 28 DSGVO ein. Google (Anmeldung und Suche), OpenAI für die ChatGPT-Weboberfläche und Stripe (teilweise) handeln als eigene Verantwortliche.

Anbieter	Zweck	Daten	Ort	Grundlage der Übermittlung
Cloudflare, Inc. (USA)	DNS, Verschlüsselung (TLS), Weiterleitung der Anfragen an Website und Anwendung (Tunnel zu unserem Server), Schutz vor Angriffen	IP-Adresse, Anfragedaten	Weltweites Netz, Sitz USA	EU-US Data Privacy Framework, sonst Standardvertragsklauseln
Hostinger International Ltd. (Zypern)	E-Mail-Postfach und Versand von E-Mails	E-Mail-Adressen, Inhalte von E-Mails	EU	Keine Übermittlung in Drittländer
Stripe Payments Europe, Limited (Irland)	Zahlungen, Abonnements, Rechnungen	Name, E-Mail-Adresse, Rechnungsanschrift, Zahlungsdaten	EU, Übermittlung an Stripe, Inc. (USA) möglich	EU-US Data Privacy Framework, sonst Standardvertragsklauseln
OpenAI (USA), Programmierschnittstelle (API)	Lesen Ihrer Website, Entwürfe, Chat mit dem Nenn-Assistenten (wenn freigeschaltet)	Marke, Wettbewerber, Fragen, Thema, Stadt oder Land, Inhalte Ihrer Website, Nachrichten an den Nenn-Assistenten	USA	Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
OpenAI, ChatGPT-Weboberfläche (chatgpt.com, ohne Anmeldung)	KI-Abfragen bei ChatGPT. OpenAI ist eigener Verantwortlicher, nicht unser Auftragsverarbeiter. Chats können zum Training genutzt werden.	Fragen mit Marke, Wettbewerbern, Thema, Stadt oder Land; IP-Adresse unseres Servers	USA und EU	Eigener Verantwortlicher, Bedingungen von OpenAI für Verbraucher
Perplexity AI, Inc. (USA)	KI-Abfragen bei Perplexity (API)	Marke, Wettbewerber, Fragen, Thema, Stadt oder Land	USA	Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Google Ireland Limited (Irland), Google-Suche	KI-Abfragen bei Google AI Overviews über google.com, Website-Prüfung mit PageSpeed Insights, Abruf von Favicons. Google ist eigener Verantwortlicher.	Fragen mit Marke, Wettbewerbern, Thema, Stadt oder Land; Domain oder Adresse Ihrer Website; IP-Adresse unseres Servers	EU, Übermittlung an Google LLC (USA) möglich	EU-US Data Privacy Framework
Meta Platforms Ireland Limited (Irland)	Nur mit Ihrer Einwilligung (Cookie-Banner von Website oder Anwendung): Messung unserer Werbung mit Meta-Pixel (Anwendung und Quiz-Seite nenn.io/check) und Conversions API (Anwendung und E-Mail-Schritt im Quiz der Website). Gemeinsam verantwortlich nach Art. 26 DSGVO (Abschnitt 3).	Kennungen aus den Meta-Cookies, Klick-Kennung der Anzeige, IP-Adresse, Browser, aufgerufene Seite; E-Mail-Eingabe im Quiz, Anmeldung, erste Prüfung, Testzeitraum, Zahlung mit Betrag; E-Mail-Adresse und Konto-Kennung nur als Hash	EU, Übermittlung an Meta Platforms, Inc. (USA) möglich	EU-US Data Privacy Framework
Telegram FZ-LLC (Vereinigte Arabische Emirate)	Betriebsbenachrichtigungen an uns und Fehlermeldungen der Anwendung	Konto-Kennung, Domain, Tarif, Ereignis; bei Fehlern Fehlertext, Seite, Browser- und Betriebssystemfamilie. Keine E-Mail-Adressen.	Drittland ohne Angemessenheitsbeschluss	Art. 49 Abs. 1 lit. b DSGVO, Daten auf das Nötigste beschränkt
Webflow, Inc. (USA)	Nur wenn Sie Webflow verbinden: Veröffentlichung freigegebener Inhalte	Freigegebene Inhalte, Zugangsschlüssel	USA	EU-US Data Privacy Framework, sonst Standardvertragsklauseln
Framer B.V. (Niederlande)	Nur wenn Sie Framer verbinden: Veröffentlichung freigegebener Inhalte	Freigegebene Inhalte, Zugangsschlüssel	EU	Keine Übermittlung in Drittländer
Google Ireland Limited (Irland)	Nur wenn Sie es nutzen: Verbindung zu Search Console und Google Analytics, künftig Anmeldung mit Google	Name, E-Mail-Adresse, Profilbild, Zugriffsschlüssel, Daten aus Ihren Google-Konten	EU, Übermittlung an Google LLC (USA) möglich	EU-US Data Privacy Framework

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Art. 45 DSGVO), soweit der Empfänger danach zertifiziert ist, und im Übrigen auf Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO).

Für Telegram (Vereinigte Arabische Emirate) gibt es keinen Angemessenheitsbeschluss und keine Standardvertragsklauseln. Wir senden dorthin deshalb nur die in Abschnitt 4 genannten, auf das Nötigste beschränkten Daten ohne E-Mail-Adressen (Art. 49 Abs. 1 lit. b DSGVO).

13. Wie lange wir Daten speichern

Kurz gesagt: So lange, wie Ihr Vertrag läuft, plus gesetzliche Aufbewahrungsfristen.

Konto- und Nutzungsdaten: für die Dauer des Vertrags, danach Löschung innerhalb von 30 Tagen nach dem Ende des bezahlten Vertrags;
Nachweis einer Einwilligung in E-Mails mit Tipps und Angeboten: solange sie gilt und drei Jahre danach;
Protokolldaten: sobald sie für Sicherheit und Fehlerbehebung nicht mehr nötig sind;
Rechnungen und Buchungsbelege: nach § 147 AO und § 14b UStG, je nach Art bis zu 10 Jahre;
Geschäftsbriefe und E-Mails zu Verträgen: 6 Jahre (§ 147 AO);
Nachweise zu Kündigung und Widerruf: drei Jahre ab dem Ende des Jahres, in dem der Vertrag endet;
Instagram-Kommentare mit dem Stichwort: Kommentar-ID, Nutzername und Zeitpunkt 30 Tage, danach nur ein Prüfwert (Abschnitt 11);
Erledigte Anfragen ohne Vertragsbezug: Löschung nach Erledigung.

14. Kein KI-Training mit Ihren Daten

Kurz gesagt: Wir trainieren keine KI-Modelle mit Ihren Daten. OpenAI kann die Fragen an ChatGPT dafür nutzen.

Wir nutzen Ihre Daten nicht, um KI-Modelle zu trainieren. Was die KI-Anbieter mit den Daten tun dürfen, die wir ihnen für die Prüfungen senden, steht in Abschnitt 5. Wichtig: Die Fragen an die ChatGPT-Weboberfläche kann OpenAI zum Training nutzen.

15. Ihre Rechte

Kurz gesagt: Sie können Auskunft, Berichtigung und Löschung verlangen. Schreiben Sie an hello@nenn.io.

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20). Eine Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen (Art. 7 Abs. 3 DSGVO).

Widerspruchsrecht: Verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen (Art. 21 DSGVO).

Schreiben Sie dafür an hello@nenn.io.

Sie können sich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO). Für uns zuständig ist:

Der Hamburgische Beauftragte für Datenschutz und InformationsfreiheitLudwig-Erhard-Straße 22, 7. OG20459 Hamburg

16. Keine automatisierten Entscheidungen, Mindestalter

Wir treffen keine Entscheidungen, die ausschließlich auf automatisierter Verarbeitung beruhen und Ihnen gegenüber rechtliche Wirkung entfalten oder Sie ähnlich erheblich beeinträchtigen (Art. 22 DSGVO). Entwürfe des Nenn-Assistenten sind Vorschläge, über die Sie selbst entscheiden.

Nenn richtet sich an Personen ab 18 Jahren.

17. Wenn Sie außerhalb der EU wohnen

Kurz gesagt: Ihre Rechte gelten auch im Vereinigten Königreich, in den USA, Kanada, Australien und Neuseeland. Schreiben Sie an uns. Wir verkaufen keine Daten.

Diese Erklärung gilt für alle Nutzer. Ihre Daten speichern wir in der EU und geben sie nur an die Empfänger in Abschnitt 12 weiter. Für alle Anfragen ist Dmytro Mushtrenko zuständig, erreichbar unter hello@nenn.io. Wir antworten innerhalb eines Monats.

Vereinigtes Königreich

Es gelten die UK GDPR und der Data Protection Act 2018. Sie haben dieselben Rechte wie in Abschnitt 15. Sie können sich beim Information Commissioner's Office beschweren (ico.org.uk). Die Übermittlung aus dem Vereinigten Königreich in die EU stützt sich auf die Angemessenheitsregelungen des Vereinigten Königreichs für den EWR. Einen Vertreter im Vereinigten Königreich nach Art. 27 UK GDPR nennen wir hier, sobald er bestellt ist. Bis dahin erreichen Sie uns direkt.

USA

Wir verkaufen keine personenbezogenen Daten und geben sie nicht für kontextübergreifende Werbung weiter („we don't sell or share“). Welche Daten wir erheben, steht in den Abschnitten 2 bis 11, an wen wir sie geben, in Abschnitt 12. Ihre Kontodaten können Sie in der Anwendung prüfen und ändern, alles andere per E-Mail an uns. Do-Not-Track-Signale werten wir nicht gesondert aus, weil unsere Website ohne Ihre Einwilligung ohnehin nichts verfolgt. Wir erlauben Dritten nicht, Sie über unsere Website seitenübergreifend zu verfolgen. Für Einwohner Kaliforniens gilt dies als Erklärung nach dem California Online Privacy Protection Act. Nenn richtet sich nicht an Kinder.

Kanada

Sie können Auskunft über Ihre Daten und ihre Berichtigung verlangen und eine Einwilligung zurückziehen. Verantwortlich für den Schutz personenbezogener Daten ist Dmytro Mushtrenko. Sie können sich beim Office of the Privacy Commissioner of Canada beschweren (priv.gc.ca), in Québec bei der Commission d'accès à l'information. Ihre Daten werden in der EU und bei den Empfängern in Abschnitt 12 verarbeitet, auch in den USA und den Vereinigten Arabischen Emiraten. Dort können Behörden nach dortigem Recht Zugriff erhalten.

Australien und Neuseeland

Sie können Auskunft über Ihre Daten und ihre Berichtigung verlangen. Schreiben Sie uns zuerst, wir antworten innerhalb von 30 Tagen. Sind Sie mit der Antwort nicht zufrieden, können Sie sich beim Office of the Australian Information Commissioner (oaic.gov.au) oder beim Office of the Privacy Commissioner in Neuseeland (privacy.org.nz) beschweren. Ihre Daten werden in der EU und bei den Empfängern in Abschnitt 12 verarbeitet, auch in den USA und den Vereinigten Arabischen Emiraten.

18. Änderungen

Wir passen diese Erklärung an, wenn sich unsere Dienste oder die Rechtslage ändern. Es gilt die jeweils hier veröffentlichte Fassung mit dem oben genannten Stand.

Privacy policy

Convenience translation. Only the German version above is legally binding. If the versions differ, the German version prevails.

Last updated: 12 November 2026

1. Controller

In brief: The controller is Dmytro Mushtrenko in Hamburg. If you have questions, write to hello@nenn.io.

Dmytro MushtrenkoSophienstraße 2921079 HamburgGermanyE-mail: hello@nenn.ioPhone: +49 171 2159065

We have not appointed a data protection officer because there is no legal duty to do so.

This policy applies to our website nenn.io and to the Nenn application at app.nenn.io.

2. When you visit our website

In brief: Delivering the pages creates technical data. We count visits without cookies. We only set statistics cookies if you agree.

When you visit our website, our hosting provider processes technically necessary data: IP address, date and time, requested address, referrer URL, browser and operating system, and amount of data transferred. Without this data the website cannot be delivered. The data also serves security, for example to fend off attacks.

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest is a secure and working website.

The website runs on a server that we operate ourselves. The connection to it is encrypted and runs through Cloudflare, Inc. (USA). Cloudflare handles DNS, encryption and protection against attacks for us and processes IP addresses and request data in doing so. Our server does not keep access logs with IP addresses.

We serve fonts from our own hosting. No connection to Google Fonts servers is made.

Statistics without cookies

To see how many people visit our website and where they come from, we count page views without cookies and without storing anything on your device. For this we use our own counter on our server at app.nenn.io. We record the page viewed, the referring website, campaign details in the address ("utm_…" parameters or the click ID of an ad) and the language. When you open the application at app.nenn.io, for example from an ad, we count that visit the same way, even if you do not sign in. From the data every request sends to our server anyway, our own counter also stores in coarse form: country, region and city (Cloudflare derives them from your IP address), the device type (phone, tablet or computer), whether the page was opened in the browser of the Instagram or Facebook app, and the browser family (for example Safari) without a version number. We do not read anything in your browser for this. When you sign in to the application, we count with the same daily ID whether a sign-in code was requested and entered and whether a sign-in was refused by a protection limit, without your e-mail address. We count errors of the application per page and device type. Visits by search engines and checking programs (for example Meta's ad review) are marked and not counted.

Your IP address is not stored. Our counter derives an ID from the IP address and browser that changes after one day. This lets us count visits but not recognise you over several days. If you click "Start free", we pass the campaign details on to the application so we can see which campaign led to a sign-up (section 3). If you sign up, we assign the sign-in steps to your new account. We delete country, region, city, device type and browser as well as the sign-in steps after 35 days, and our other own counts after 400 days.

The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest is measuring whether our website and our advertising work, and detecting misuse of the sign-in. For this we do not store or read anything on your device. You can object to this processing at any time (Art. 21 GDPR).

Test run at nenn.io/check

At nenn.io/check you can prepare a test run. You type the address of your website. Our own server then fetches this website once (home page, for German sites also the imprint or contact page) and reads the company name, field, place and language from it. We keep the result in memory for at most 24 hours so that a second fetch is not needed. We do not store it permanently.

We store your answers (website, company name, field, place, country, language, question and chosen plan) in your browser's session storage (key "nenn.quiz.v1"), so reloading the page does not delete them. The entry is deleted when you close the tab, when you choose "Use another website" and right before you move to the application. This is strictly necessary for the service you asked for (§ 25(2) no. 2 TDDDG). We do not store your e-mail address there.

To protect against automated requests, we use Cloudflare Turnstile (Cloudflare, Inc., USA) on the e-mail step. Technical data of your browser and your IP address are sent to Cloudflare. The legal basis is Art. 6(1)(f) GDPR; our legitimate interest is protection against misuse. Cloudflare is certified under the EU-US Data Privacy Framework (Art. 45 GDPR).

When you choose "Send my code", we send your e-mail address, your answers, the campaign details and your consent to tips by e-mail (only if you tick the box) to our application at app.nenn.io. There we set up your check and send you the sign-in code (sections 3 and 4). The legal basis is Art. 6(1)(b) GDPR, and for the tips your consent (Art. 6(1)(a) GDPR), which you can withdraw at any time.

Cookies and consent

Our website shows a banner where you decide which categories you allow. Your decision counts for the website nenn.io and the application app.nenn.io together. We store it in your browser's local storage and in a cookie named "nenn-cookie-consent" for the domain nenn.io, for 120 days. After that we ask again. This storage is strictly necessary to respect your decision (§ 25(2) no. 2 TDDDG). The legal basis for the processing is Art. 6(1)(c) GDPR in conjunction with Art. 7(1) GDPR.

Only if you allow the "Statistics" category do we collect our own click statistics on the website and in the application: which pages you open, where you click (position on the page, the element and the text of links and buttons), how far you scroll, how long a page is visible, which campaign (utm parameters) brought you, the type of device and the country. If location headers are switched on at Cloudflare, region and city are added; Cloudflare derives them from your IP address, which we do not store ourselves. Your inputs, key presses and the screen are not recorded, and e-mail addresses in texts are masked. For this we store a random session ID in your browser (session storage, until you close the tab) and a random browser ID ("nenn_bvid", 30 days) in local storage and in a cookie for the domain nenn.io, so that the website and the application recognise your browser as the same one. If you sign up, we link this ID to your account to see which pages you viewed before; we delete this link after 35 days. From the data of a visit we calculate a score from 0 to 100 (time, scrolling, clicks, pages) to compare pages and campaigns; we do not use it to make decisions about you. The data only go to our own server in the EU, not to other providers, and are deleted after 35 days. The purpose is to find errors and unclear parts of the website and the application. The legal basis is your consent (§ 25(1) TDDDG, Art. 6(1)(a) GDPR). If you later choose "Reject", collection stops and the browser ID is deleted from local storage and the cookie.

The "Marketing" category concerns Meta (see below): on the website the Meta pixel, only on the quiz page (nenn.io/check), and a message from our server when you leave your e-mail address in the quiz; in the application the Meta pixel. At present we use no services in the "Preferences" category. The visitor count described above works without cookies.

You can withdraw or change your consent at any time with effect for the future, using the "Cookie settings" link at the bottom of every page or in the application under Settings, "Cookie settings".

3. When you sign up and sign in

In brief: For your account we need your e-mail address. We store which campaign brought you.

For an account we process your e-mail address and, if you give them, your name, company, role and language setting. To sign in, we send you a code by e-mail. The legal basis is Art. 6(1)(b) GDPR. Without an e-mail address we cannot create an account.

Once we offer sign-in with Google, you can choose to sign in with your Google account. The provider is Google Ireland Limited (Ireland). Google then sends us your name, your e-mail address and, if available, your profile picture. The legal basis is Art. 6(1)(b) GDPR. Google's privacy policy applies to processing by Google.

After you sign in, we set the cookie "nenn_session". It keeps you signed in and is technically necessary (§ 25(2) no. 2 TDDDG, Art. 6(1)(b) GDPR). It becomes invalid when you sign out or the session expires.

With your account we store which campaign (utm parameters), which landing page or which partner link brought you to us. We log visits of partner links with a hashed IP address. The purpose is to measure our advertising and to settle partner commissions. The legal basis is Art. 6(1)(f) GDPR.

At present we set no cookies that store which campaign or partner brought you to us. We will only add them with your consent (§ 25(1) TDDDG) and will update this policy first.

In the application (app.nenn.io) a banner asks whether we may use cookies from Meta for our advertising and collect our own click statistics. We store your decision in your browser's local storage and in the cookie "nenn-cookie-consent" for the domain nenn.io for 120 days, then we ask again (§ 25(2) no. 2 TDDDG, Art. 6(1)(c) GDPR). It also counts for our website nenn.io, and a decision in the website's banner counts here too. If you are signed in, we also store it with your account. You can change it at any time with effect for the future under Settings, "Cookie settings".

Only if you choose "Allow" (in the website banner: the "Marketing" category) do we load the Meta pixel of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ireland. It sets the cookies "_fbp" and "_fbc" (stored for 90 days) and tells Meta that the page was opened. In addition, our server tells Meta when you create an account, your first check is done, you start a trial or you pay (Meta Conversions API). If you allowed "Marketing" on our website nenn.io, we load the same Meta pixel only on the quiz page (nenn.io/check). It sets the same cookies "_fbp" and "_fbc" (90 days), tells Meta that the page was opened and, when you leave your e-mail address in the quiz, that you did. At the same moment our server also tells Meta (Conversions API), with the same event ID, so Meta counts it once. For this we send your e-mail address only as a hash (SHA-256), the click ID of the ad you came from (the "fbclid" parameter in the address), your IP address and browser details. If you later choose "Reject", the pixel sends nothing more; after you reload the page it is gone. We send your e-mail address and your account ID only as a hash (SHA-256), the IDs from the Meta cookies, your IP address, browser details and, for payments, the amount. The purpose is that Meta learns which ads lead to quiz e-mails and sign-ups and shows our ads to people they fit. The legal basis is your consent (§ 25(1) TDDDG, Art. 6(1)(a) GDPR).

We and Meta are joint controllers for collecting these data and sending them to Meta (Art. 26 GDPR, agreement: https://www.facebook.com/legal/controller_addendum). Meta alone is responsible for any further processing (https://www.facebook.com/privacy/policy). Meta may transfer data to Meta Platforms, Inc. (USA). That company is certified under the EU-US Data Privacy Framework (Art. 45 GDPR). Without your consent the application and the website load nothing from Meta and we send nothing to Meta.

With the same "Allow" (in the website banner: the "Statistics" category) we also collect our own click statistics in the application, as described above for the website, on our own server and for 35 days. The payment page is excluded.

4. When you use the application

In brief: Your data is stored on our own server in the EU. We only use it to run Nenn for you.

When you use Nenn, we process:

details about your brand: website, industry, topic, city or country, questions of your customers, competitors;
results of the checks: answers of AI assistants and mentions over time;
content: messages to the Nenn assistant, drafts, approvals, notes;
connection data for connected services (access keys);
usage and log data: sign-in times, IP address, actions performed and error messages.

The purpose is to provide the services under our terms. The legal basis is Art. 6(1)(b) GDPR. We process log data for security and troubleshooting under Art. 6(1)(f) GDPR.

The application runs on a server that we operate ourselves in the EU. The connection to it is encrypted and runs through Cloudflare. Cloudflare processes IP addresses and request data (Art. 6(1)(f) GDPR) and may set a technically necessary cookie to protect against automated attacks (§ 25(2) no. 2 TDDDG).

We report technical errors of the application (error text, page, browser and operating system family) and operational events such as a new sign-up, an order or a cancellation to our operations inbox on Telegram. We send no e-mail addresses, only an account ID, the domain, the plan and the event. Telegram is in a third country without an adequacy decision (section 12). The legal basis is Art. 6(1)(f) GDPR. Our legitimate interest is stable operation.

For website checks we fetch Google PageSpeed Insights and favicons from Google. We only send the domain or address of your website.

If you take part in our partner programme, we also process your partner code, the customers referred through your link (without their account data), commissions and your details for payout by self-billing credit note: name, address, tax details and bank details. The legal basis is Art. 6(1)(b) GDPR and, for keeping the credit notes, Art. 6(1)(c) GDPR in conjunction with § 147 AO.

5. AI queries and the Nenn assistant

In brief: For the checks we ask ChatGPT, Perplexity and Google with details about your brand, not your account data. We ask ChatGPT through its public web interface: there OpenAI may use the chats for training.

For the checks, we ask the questions you stored to three AI services every week. We send: brand, competitors, questions, topic and city or country. We do not send your account data, for example your e-mail address or payment data.

ChatGPT: our server opens the public web interface chatgpt.com without signing in, in an automated browser, and asks the questions there. OpenAI's consumer terms of use and privacy policy apply, not its API terms. OpenAI acts as an independent controller, not as our processor. According to OpenAI, it may use and keep these chats to train its models.
Google AI Overviews: our server asks the same questions in an automated browser through Google Search (google.com). The recipient is Google Ireland Limited (Ireland) as an independent controller. Google may transfer data to Google LLC (USA).
Perplexity: we ask the questions through the programming interface (API) of Perplexity AI, Inc. (USA). Perplexity processes the data on our behalf (Art. 28 GDPR). Perplexity states in its API terms that it does not use customer content to train generative AI models. How long Perplexity keeps data depends on the model and the account.

To understand your website and write drafts, we use the programming interface (API) of OpenAI. For this, Nenn fetches publicly available pages of your website and sends their content and details about your brand. If the chat with the Nenn assistant is switched on for your account, we also send your messages there. OpenAI processes this data on our behalf (Art. 28 GDPR) in the USA. Under OpenAI's API terms (as of 26 October 2026), OpenAI does not use data from the API to train its models unless the customer expressly agrees. OpenAI keeps it for up to 30 days to detect abuse.

The legal basis for the checks and drafts is Art. 6(1)(b) GDPR. For the queries through the web interfaces of ChatGPT and Google, we also rely on Art. 6(1)(f) GDPR. Our legitimate interest is showing you what these services really answer your customers.

The answers of the AI services can contain names of companies and people, for example of competitors. We store them as part of the results in your account (Art. 6(1)(f) GDPR).

Please do not enter personal data of third parties, or anything OpenAI or Google should not see, in questions, notes and messages. If your brand name is also your personal name, this information is personal data too.

6. When you connect Google or your website

In brief: Connections are optional. We only read what the feature needs. You can disconnect at any time.

You can choose to connect Nenn to Google Search Console or Google Analytics 4 (Google Ireland Limited) and to WordPress, Webflow (Webflow, Inc., USA) or Framer (Framer B.V., Netherlands). For this we store access keys and fetch the data needed for the feature, for example search queries and page views of your website in aggregated form. We publish approved content to your website through these connections.

The legal basis is Art. 6(1)(b) GDPR. Where personal data of visitors to your website is involved, we process it on your behalf (Art. 28 GDPR). You can disconnect a service at any time in the application or at the service itself. We then delete the access keys.

Hosted pages and the Nenn widget

You can also publish approved content on a page we host at app.nenn.io/p/… or embed it on your website with the Nenn widget, a script from app.nenn.io. People who visit such pages, or websites with the widget, send our server their IP address and technical request data (browser, requested address, time). We process them to deliver the content and to protect our service (Art. 6(1)(f) GDPR). For you as a customer we act as a processor (Art. 28 GDPR, § 14 of the terms). The page and the widget set no cookies.

7. When you pay

In brief: Payments run through Stripe. We do not see or store your card details.

Payments are processed by Stripe Payments Europe, Limited (Ireland), at present by card and SEPA direct debit. Stripe processes name, e-mail address, billing address and payment data. We do not receive or store full card numbers. Stripe also processes some data as an independent controller, for example to prevent fraud and to meet legal duties. Stripe may transfer data to Stripe, Inc. (USA).

The legal basis is Art. 6(1)(b) GDPR and, for keeping invoices, Art. 6(1)(c) GDPR.

8. E-mails from us

In brief: We send e-mails about your account and contract. Tips and offers only if you agree.

We send sign-in codes and messages about your account and contract, for example order confirmations, invoices, confirmations of cancellation and withdrawal, or important changes, through the mail servers of Hostinger International Ltd. (Cyprus, EU). The legal basis is Art. 6(1)(b) and (c) GDPR.

We only send tips and offers by e-mail if you tick the box when you sign up. The consent counts once you sign in with the code from our e-mail (or with your Google account): this confirms the address is yours. The legal basis is your consent (Art. 6(1)(a) GDPR, § 7(2) no. 2 UWG). We keep the proof (text of the consent, time of the sign-in with the code) as long as the consent applies and for three years after that. You can unsubscribe at any time with the link in every such e-mail.

9. When you contact us

In brief: We only use your request to answer it.

When you write to us or call us, we process your details to handle your request. Our mailbox hello@nenn.io is operated by Hostinger International Ltd. (Cyprus, EU). The legal basis is Art. 6(1)(b) GDPR if your request concerns a contract, otherwise Art. 6(1)(f) GDPR. Our legitimate interest is answering your request.

10. When you cancel or withdraw

In brief: To cancel or withdraw we only need your name, the contract and your e-mail address. We keep them as proof.

On the "Cancel contracts here" page (https://app.nenn.io/kuendigen) and with the withdrawal function, we process the details you enter: name, e-mail address, contract details, type and date of the cancellation, the reason for a termination for good cause, the date and time of receipt, and your IP address (protection against misuse). We send you a confirmation by e-mail.

The legal basis is Art. 6(1)(c) GDPR (§ 312k, § 356a BGB) and Art. 6(1)(f) GDPR. Our legitimate interest is proof that and when you cancelled or withdrew. We keep these details until the regular limitation period ends, which is three years from the end of the year in which the contract ends.

11. When you comment on our Instagram posts

In brief: If you comment "AI" on a post by @nenn.ai, we send you one direct message with the link and reply publicly under your comment that it is on its way. We delete the comment ID, username and time after 30 days.

We run the Instagram profile @nenn.ai. Under some posts we offer this: if you comment the word "AI" (or "KI"), we send you one direct message with a link to our application at app.nenn.io. After the message is sent, we reply once publicly under your comment that we sent you the message (for example "Sent you a DM"). Everyone who can see the post can see this reply, just like your comment. To do this, we read the comments on our own posts through the official Instagram interface (Instagram API).

We process your comment ID, your Instagram username, your Instagram-scoped user ID, the time of the comment and the comment text, to check that it is only the keyword. For comments without the keyword we keep only the comment ID, so we do not check it twice, but no name and no text. We do not read your inbox. If you write back, we read your message like any other message to our profile.

The purpose is to send you the link you asked for: exactly one message per person and post, only within 7 days of the comment, plus exactly one short public reply under the comment. If we could not send the message, we do not reply publicly either. We send no further messages, no reminders and no advertising by direct message.

The legal basis is Art. 6(1)(b) GDPR, because you request the link with your comment and we fulfil that request, and Art. 6(1)(f) GDPR. Our legitimate interest is preventing duplicate messages, being able to show what we sent, and showing with the public reply that the request is done.

We delete the comment ID, username and time after 30 days, and the send logs too. After that we keep only a one-way check value (a hash of post and user ID) with the date of sending, so you never get a second message on the same post. We keep this check value for as long as we run the offer. The data is stored on our computer in Germany. We do not share it with third parties and do not use it for advertising.

Comments and messages run on Instagram, a service of Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Ireland. Meta also processes this data itself, as an independent controller and under its own privacy policy (https://privacycenter.instagram.com/policy).

The link goes straight to the application at app.nenn.io. It contains only campaign details with a short code of the post (for example "r261028"), not your name. The application receives this short code as a campaign detail (sections 2 and 3).

You can ask for access and deletion and object to the processing (section 15). Write to hello@nenn.io. You can delete your comment yourself at any time. We delete our public reply if you ask us to. A message already sent stays in your Instagram inbox.

12. Service providers and transfers to third countries

In brief: These providers help us run Nenn. Those in the USA are bound by the Data Privacy Framework or standard contractual clauses.

We only share personal data with the following recipients where needed for the purpose, or if we are legally required to. We only use service providers that process data on our behalf on the basis of a contract under Art. 28 GDPR. Google (sign-in and search), OpenAI for the ChatGPT web interface and Stripe (in part) act as independent controllers.

Provider	Purpose	Data	Location	Transfer basis
Cloudflare, Inc. (USA)	DNS, encryption (TLS), forwarding requests to the website and the application (tunnel to our server), protection against attacks	IP address, request data	Global network, based in the USA	EU-US Data Privacy Framework, otherwise standard contractual clauses
Hostinger International Ltd. (Cyprus)	Mailbox and sending e-mails	E-mail addresses, content of e-mails	EU	No transfer to third countries
Stripe Payments Europe, Limited (Ireland)	Payments, subscriptions, invoices	Name, e-mail address, billing address, payment data	EU, transfer to Stripe, Inc. (USA) possible	EU-US Data Privacy Framework, otherwise standard contractual clauses
OpenAI (USA), programming interface (API)	Reading your website, drafts, chat with the Nenn assistant (if switched on)	Brand, competitors, questions, topic, city or country, content of your website, messages to the Nenn assistant	USA	Standard contractual clauses (Art. 46(2)(c) GDPR)
OpenAI, ChatGPT web interface (chatgpt.com, not signed in)	AI queries to ChatGPT. OpenAI is an independent controller, not our processor. Chats may be used for training.	Questions with brand, competitors, topic, city or country; IP address of our server	USA and EU	Independent controller, OpenAI's consumer terms
Perplexity AI, Inc. (USA)	AI queries to Perplexity (API)	Brand, competitors, questions, topic, city or country	USA	Standard contractual clauses (Art. 46(2)(c) GDPR)
Google Ireland Limited (Ireland), Google Search	AI queries to Google AI Overviews on google.com, website check with PageSpeed Insights, fetching favicons. Google is an independent controller.	Questions with brand, competitors, topic, city or country; domain or address of your website; IP address of our server	EU, transfer to Google LLC (USA) possible	EU-US Data Privacy Framework
Meta Platforms Ireland Limited (Ireland)	Only with your consent (cookie banner of the website or the application): measuring our advertising with the Meta pixel (application and the quiz page nenn.io/check) and the Conversions API (application, and the quiz e-mail step on the website). Joint controllers under Art. 26 GDPR (section 3).	IDs from the Meta cookies, click ID of the ad, IP address, browser, page opened; quiz e-mail entry, sign-up, first check, trial, payment with amount; e-mail address and account ID only as a hash	EU, transfer to Meta Platforms, Inc. (USA) possible	EU-US Data Privacy Framework
Telegram FZ-LLC (United Arab Emirates)	Operational notices to us and error reports of the application	Account ID, domain, plan, event; for errors the error text, page, browser and operating system family. No e-mail addresses.	Third country without adequacy decision	Art. 49(1)(b) GDPR, data limited to what is needed
Webflow, Inc. (USA)	Only if you connect Webflow: publishing approved content	Approved content, access keys	USA	EU-US Data Privacy Framework, otherwise standard contractual clauses
Framer B.V. (Netherlands)	Only if you connect Framer: publishing approved content	Approved content, access keys	EU	No transfer to third countries
Google Ireland Limited (Ireland)	Only if you use it: connection to Search Console and Google Analytics, in future sign-in with Google	Name, e-mail address, profile picture, access keys, data from your Google accounts	EU, transfer to Google LLC (USA) possible	EU-US Data Privacy Framework

Transfers to the USA rely on the European Commission's adequacy decision for the EU-US Data Privacy Framework (Art. 45 GDPR) where the recipient is certified under it, and otherwise on the European Commission's standard contractual clauses (Art. 46(2)(c) GDPR).

For Telegram (United Arab Emirates) there is no adequacy decision and there are no standard contractual clauses. We therefore only send the minimal data named in section 4, without e-mail addresses (Art. 49(1)(b) GDPR).

13. How long we keep data

In brief: As long as your contract runs, plus statutory retention periods.

account and usage data: for the term of the contract, then deleted within 30 days after the paid contract ends;
proof of consent to e-mails with tips and offers: as long as it applies and three years after that;
log data: as soon as it is no longer needed for security and troubleshooting;
invoices and accounting records: under § 147 AO and § 14b UStG, up to 10 years depending on the type;
business letters and e-mails about contracts: 6 years (§ 147 AO);
proof of cancellation and withdrawal: three years from the end of the year in which the contract ends;
Instagram comments with the keyword: comment ID, username and time for 30 days, then only a check value (section 11);
requests without a contract that are done: deleted once done.

14. No AI training with your data

In brief: We do not train AI models with your data. OpenAI may use the questions to ChatGPT for that.

We do not use your data to train AI models. What the AI providers may do with the data we send them for the checks is described in section 5. Please note: OpenAI may use the questions sent to the ChatGPT web interface for training.

15. Your rights

In brief: You can ask for access, correction and deletion. Write to hello@nenn.io.

You have the right of access (Art. 15 GDPR), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18) and data portability (Art. 20). You can withdraw consent at any time with effect for the future (Art. 7(3) GDPR).

Right to object: where we process data on the basis of Art. 6(1)(f) GDPR, you can object at any time on grounds relating to your particular situation (Art. 21 GDPR).

To use these rights, write to hello@nenn.io.

You can lodge a complaint with a data protection supervisory authority (Art. 77 GDPR). The authority responsible for us is:

Der Hamburgische Beauftragte für Datenschutz und InformationsfreiheitLudwig-Erhard-Straße 22, 7. OG20459 Hamburg, Germany

16. No automated decisions, minimum age

We make no decisions based solely on automated processing that have legal effects on you or similarly significantly affect you (Art. 22 GDPR). Drafts by the Nenn assistant are suggestions that you decide on yourself.

Nenn is for people aged 18 and over.

17. If you live outside the EU

In brief: Your rights also apply in the UK, the USA, Canada, Australia and New Zealand. Write to us. We do not sell data.

This policy applies to all users. We store your data in the EU and only share it with the recipients in section 12. Dmytro Mushtrenko handles all requests, at hello@nenn.io. We answer within one month.

United Kingdom

The UK GDPR and the Data Protection Act 2018 apply. You have the same rights as in section 15. You can complain to the Information Commissioner's Office (ico.org.uk). Transfers from the UK to the EU rely on the UK adequacy regulations for the EEA. We will name a UK representative under Art. 27 UK GDPR here once one is appointed. Until then, contact us directly.

USA

We do not sell personal information and do not share it for cross-context behavioural advertising ("we don't sell or share"). The data we collect is described in sections 2 to 11, and who we share it with in section 12. You can review and change your account data in the application, everything else by e-mail to us. We do not respond to Do Not Track signals separately, because our website tracks nothing without your consent anyway. We do not allow third parties to track you across sites through our website. For California residents, this is our notice under the California Online Privacy Protection Act. Nenn is not directed at children.

Canada

You can ask for access to your data and for its correction, and withdraw consent. Dmytro Mushtrenko is responsible for the protection of personal information. You can complain to the Office of the Privacy Commissioner of Canada (priv.gc.ca), in Quebec to the Commission d'accès à l'information. Your data is processed in the EU and by the recipients in section 12, also in the USA and the United Arab Emirates. Authorities there may get access under local law.

Australia and New Zealand

You can ask for access to your data and for its correction. Write to us first, we answer within 30 days. If you are not happy with our answer, you can complain to the Office of the Australian Information Commissioner (oaic.gov.au) or the Office of the Privacy Commissioner in New Zealand (privacy.org.nz). Your data is processed in the EU and by the recipients in section 12, also in the USA and the United Arab Emirates.

18. Changes

We update this policy when our services or the law change. The version published here, with the date shown above, applies.