Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Verarbeitung personenbezogener Daten im Sinne der Datenschutz-Grundverordnung ist:

Diese Datenschutzerklärung gilt für die Websites meykt.com, meykt.de, deren Subdomains sowie für die Nutzung der Meykt-Plattform, soweit die Dumanu GmbH selbst über Zwecke und Mittel der Verarbeitung entscheidet.

Soweit Kunden Meykt nutzen, um eigene Kunden-, Mitarbeiter-, Lieferanten-, Dienstleister-, Shop-, Auftrags-, Datei- oder Produktionsdaten zu verarbeiten, handelt die Dumanu GmbH in der Regel als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Verantwortlich für diese Datenverarbeitungen bleibt dann der jeweilige Kunde. Einzelheiten werden im Vertrag zur Auftragsverarbeitung geregelt.

2. Datenschutzkontakt

Für Fragen zum Datenschutz, zur Ausübung von Betroffenenrechten oder zur Verarbeitung personenbezogener Daten ist die Dumanu GmbH unter info@meykt.com erreichbar.

Ein Datenschutzbeauftragter ist nicht benannt.

3. Allgemeine Grundsätze

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung unserer Websites, zur Vertragsdurchführung, zur Sicherheit der Plattform, zur Kommunikation mit Nutzern, zur Erfüllung rechtlicher Pflichten oder auf Grundlage einer Einwilligung erforderlich ist.

Wir beschränken die Verarbeitung auf die für den jeweiligen Zweck erforderlichen Daten. Der Zugriff innerhalb von Meykt erfolgt rollen- und berechtigungsbasiert. Kundendaten werden mandantengetrennt verarbeitet.

4. Besuch der Website und technische Bereitstellung

Beim Aufruf unserer Websites werden technisch erforderliche Daten verarbeitet, damit die Seite ausgeliefert, stabil betrieben und geschützt werden kann. Dazu gehören insbesondere:

• IP-Adresse
• Datum und Uhrzeit des Zugriffs
• aufgerufene URL
• Referrer-URL
• Browsertyp und Browserversion
• Betriebssystem
• übertragene Datenmengen
• technische Fehler- und Sicherheitsereignisse

Die Verarbeitung erfolgt zur Bereitstellung der Website, zur Erkennung und Abwehr von Angriffen, zur Fehleranalyse und zur Sicherstellung des Betriebs. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse liegt im sicheren und zuverlässigen Betrieb unserer Websites und Dienste.

Für Hosting und Auslieferung setzen wir Vercel ein. Dabei können Daten auch außerhalb der Europäischen Union verarbeitet werden. Für solche Übermittlungen werden geeignete Garantien, insbesondere Angemessenheitsbeschlüsse, Standardvertragsklauseln und ergänzende Schutzmaßnahmen, herangezogen.

5. Cookies, lokale Speicherung und ähnliche Technologien

Meykt verwendet technisch notwendige Cookies und vergleichbare Speichertechnologien, um Login-Sitzungen, Spracheinstellungen, Sicherheitsfunktionen, Routings und notwendige Plattformfunktionen bereitzustellen.

Zu den technisch notwendigen Speicherungen gehören insbesondere:

• Session- und Refresh-Cookies für die Anmeldung über Supabase Auth
• Sicherheits-Cookies der Zwei-Faktor-Anmeldung: die Bestätigung der aktuellen Anmeldung, beim Zurücksetzen oder erstmaligen Setzen des Passworts eine Markierung der Sitzung aus dem Link (höchstens eine Stunde) und — nur wenn die Person es wählt — ein gemerktes Gerät für 30 Tage (Ziffer 8)
• Locale-/Sprach-Cookies, etwa zur Speicherung der bevorzugten Sprache
• Cookies und lokale Speicherung zur Auswahl von Stationen, Maschinen oder Mitarbeitern im Produktionskontext
• lokale UI-Präferenzen wie Navigationszustand, Favoriten oder Darstellungsoptionen

Die Rechtsgrundlage für technisch notwendige Cookies und Speicherungen ist § 25 Abs. 2 TDDDG sowie Art. 6 Abs. 1 lit. b DSGVO, soweit sie für die Vertragserfüllung erforderlich sind, und Art. 6 Abs. 1 lit. f DSGVO, soweit sie dem sicheren und nutzerfreundlichen Betrieb dienen.

Nicht notwendige Analyse-, Tracking- oder Marketingtechnologien setzen wir derzeit nicht ein. Ausgenommen ist allein das Laden eingebetteter YouTube-Videos, das erst nach deinem Klick erfolgt (Ziffer 6).

6. Webanalyse und eingebettete Videos

Wir setzen derzeit keine Webanalyse- oder Tracking-Dienste ein, die Besucher wiedererkennen oder seitenübergreifend verfolgen. Verarbeitet werden lediglich die in Ziffer 4 beschriebenen technischen Zugriffsdaten; Cookies und vergleichbare Speicherungen nutzen wir nur, soweit sie nach § 25 Abs. 2 TDDDG technisch notwendig sind (Ziffer 5).

Sollten wir künftig Analyse- oder Tracking-Dienste einsetzen, geschieht dies nur mit deiner vorherigen Einwilligung nach § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO, die du jederzeit mit Wirkung für die Zukunft widerrufen kannst. Diese Datenschutzerklärung ergänzen wir vorher entsprechend.

Eingebettete YouTube-Videos

In Briefings und Anfrage-Seiten, die Kunden mit Meykt gestalten, können YouTube-Videos eingebunden sein; welches Video erscheint, legt der jeweilige Betrieb fest. Beim Aufruf der Seite zeigt Meykt zunächst nur einen neutralen Platzhalter. Dabei wird keine Verbindung zu YouTube oder Google aufgebaut, auch kein Vorschaubild geladen. Erst wenn du auf „Video laden“ klickst, lädt dein Browser den Player über die Adresse youtube-nocookie.com von YouTube, einem Dienst der Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland.

Google erhält dabei insbesondere deine IP-Adresse, technische Browser- und Geräteinformationen, die Herkunft der aufrufenden Seite und die Information, welches Video abgerufen wird. YouTube kann eigene Cookies oder vergleichbare Speicherungen verwenden, während du das Video ansiehst, und Daten auch an die Google LLC in den USA übermitteln; die Google LLC ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Für die Verarbeitung durch YouTube ist Google selbst verantwortlich; Einzelheiten stehen in der Datenschutzerklärung von Google (policies.google.com/privacy).

Rechtsgrundlage für das Laden des Videos ist deine Einwilligung durch den Klick (§ 25 Abs. 1 TDDDG, Art. 6 Abs. 1 lit. a DSGVO). Wählst du zusätzlich „YouTube-Videos immer automatisch laden“, merkt sich dein Browser diese Auswahl im lokalen Speicher; weitere Videos werden dann ohne erneuten Klick geladen, aber erst abgespielt, wenn du sie startest. Diese Auswahl widerrufst du, indem du die gespeicherten Websitedaten von Meykt in deinem Browser löschst; bereits erfolgte Abrufe bleiben davon unberührt.

7. Kontaktaufnahme und Kommunikation

Wenn Nutzer uns per E-Mail, Formular oder über Supportfunktionen kontaktieren, verarbeiten wir die mitgeteilten Daten zur Bearbeitung der Anfrage. Dazu können insbesondere Name, E-Mail-Adresse, Organisation, Rolle, Nachricht, technische Informationen und bisherige Kommunikation gehören.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation zur Vertragsdurchführung oder Vertragsanbahnung erforderlich ist, sowie Art. 6 Abs. 1 lit. f DSGVO für allgemeine Anfragen und Supportkommunikation.

Für den Versand transaktionaler E-Mails, Einladungen, Systembenachrichtigungen, Supportmails und ähnlicher Nachrichten setzen wir Resend ein. Resend verarbeitet die hierfür erforderlichen Empfänger-, Inhalts-, Versand- und Zustelldaten. Soweit Daten in den USA verarbeitet werden, stützen wir uns auf geeignete Garantien wie Standardvertragsklauseln.

Bei der Registrierung können Nutzer außerdem freiwillig und getrennt von der Annahme der Nutzungsbedingungen auswählen, von Meykt per E-Mail Neuigkeiten, Praxistipps sowie Hinweise auf neue Funktionen und Angebote zu erhalten. Diese Auswahl ist weder Voraussetzung für die Registrierung noch für eine Testphase, einen Vertrag oder die Nutzung der Plattform.

Die Auswahl löst zunächst nur eine Bestätigungs-E-Mail im Double-Opt-in-Verfahren aus. Der darin enthaltene undurchsichtige Link führt zu einer Bestätigungsseite; erst eine bewusste Betätigung der Schaltfläche auf dieser Seite bestätigt die Einwilligung. Das Öffnen der E-Mail oder des Links allein genügt nicht. Ohne diese Bestätigung versenden wir keine Marketing-E-Mails. Der Bestätigungslink ist sieben Tage gültig, und in unserer Datenbank wird nur ein kryptografischer Hash des Tokens gespeichert. Die Bestätigungs-E-Mail wird ausschließlich als Textnachricht ohne Öffnungspixel oder umgeschriebenen Tracking-Link versendet.

Zum Nachweis und zur Verwaltung der Auswahl verarbeiten wir die Nutzerkennung, die normalisierte E-Mail-Adresse, Quelle und Zeitpunkt der Auswahl, Sprache, Einwilligungsversion und den damals angezeigten Wortlaut, Status und Zeitpunkte des Double-Opt-in-Verfahrens sowie IP-Adresse und User-Agent bei Anforderung, Bestätigung und Widerruf. Rechtsgrundlage für den späteren Versand von Marketing-E-Mails ist Art. 6 Abs. 1 lit. a DSGVO. Die Speicherung des Einwilligungsnachweises dient unseren Nachweis- und Rechenschaftspflichten nach Art. 5 Abs. 2 und Art. 7 Abs. 1 DSGVO; Rechtsgrundlage hierfür ist Art. 6 Abs. 1 lit. c DSGVO. Sicherheits- und Missbrauchsschutzdaten verarbeiten wir auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Eine ausstehende Auswahl oder bestätigte Einwilligung kann jederzeit mit Wirkung für die Zukunft im persönlichen Profil unter „E-Mail-Neuigkeiten“ oder per Nachricht an info@meykt.com widerrufen werden. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.

8. Registrierung, Nutzerkonto und Organisationen

Bei Registrierung, Login und Nutzung eines Meykt-Kontos verarbeiten wir insbesondere:

• Name
• E-Mail-Adresse
• Passwort- bzw. Authentifizierungsdaten
• Organisation und Organisationsrolle
• Sprache, Zeitzone und Profilinformationen
• Login-, Sicherheits- und Sitzungsdaten
• Einladungs- und Berechtigungsdaten
• Onboarding- und Nutzungseinstellungen

Die Verarbeitung erfolgt zur Erstellung und Verwaltung des Nutzerkontos, zur Authentifizierung, zur Mandantentrennung, zur Rechtevergabe und zur Bereitstellung der Plattform. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Protokolldaten verarbeiten wir außerdem auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Für Authentifizierung, Datenbank, Speicher und Plattformdaten setzen wir Supabase ein. Das Supabase-Projekt wird aktuell in der Region Frankfurt am Main betrieben. Supabase Auth kann Sitzungs- und Authentifizierungsdaten verarbeiten. Google OAuth kann optional genutzt werden, wenn Nutzer sich über Google anmelden.

Damit niemand Passwörter durchprobieren kann, vermerkt Meykt jeden fehlgeschlagenen Anmeldeversuch mit Passwort (in der App und im Kundenportal) in der eigenen Datenbank: nur einen Hash der eingegebenen E-Mail-Adresse und einen Hash der IP-Adresse, den Bereich (App oder Portal) und den Zeitpunkt — nie das Passwort, nie E-Mail- oder IP-Adresse im Klartext. Nach acht Fehlversuchen für dieselbe E-Mail-Adresse oder dreißig von derselben IP-Adresse innerhalb von 15 Minuten nimmt Meykt für diese Zeit keine weitere Anmeldung mit Passwort an; „Passwort vergessen?“ bleibt möglich. Die Einträge löschen wir nach 24 Stunden. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO (Schutz der Konten vor unbefugtem Zugriff).

Zwei-Faktor-Anmeldung, gemerkte Geräte und Sicherheits-Hinweise

Jede Person kann für ihr Meykt-Konto eine Zwei-Faktor-Anmeldung einrichten; der Owner einer Organisation kann sie für alle Mitglieder verlangen. Danach fragt Meykt bei der Anmeldung zusätzlich nach einem Code aus einer Authenticator-App. Dafür verarbeiten wir:

• einen Authenticator-Faktor (TOTP) in Supabase Auth; zu dessen Einrichtung oder zum Entfernen eines nicht über Meykt eingerichteten Faktors sendet Meykt über Resend einen Bestätigungscode an die bestätigte Anmelde-Adresse, gespeichert wird der Code nur als Hash; außerdem speichert Meykt, welche Faktoren über Meykt eingerichtet und damit freigegeben sind, wann ein Faktor zum ersten Mal bestätigt wurde und ob Meykt bemerkt hat, dass er außerhalb von Meykt entfernt wurde (dann bleibt die Zwei-Faktor-Anmeldung Pflicht, bis ein neues Gerät eingerichtet ist)
• Wiederherstellungs-Codes für den Fall, dass die Authenticator-App verloren geht: je Code nur ein langsamer kryptografischer Hash mit eigenem Zufallswert (nie der Code selbst), welche Codes eingelöst sind, sowie einen dauerhaft in der Datenbank geführten Zähler der letzten Einlöse-Versuche mit einer etwaigen Sperrzeit, damit Codes nicht erraten werden können
• gemerkte Geräte, wenn die Person bei der Anmeldung „Diesem Gerät 30 Tage vertrauen“ wählt: auf dem Gerät ein zufälliges Geräte-Kennzeichen in einem technisch notwendigen Cookie, bei uns nur dessen Hash, eine grobe Beschreibung aus der Browser-Kennung (etwa „Chrome · Windows“) und die Zeitpunkte von Anlage, letzter Nutzung und Ablauf — keine IP-Adresse und keinen Standort
• die Einstellung der Person, ob bei der Anmeldung nach dem Code gefragt wird, und wann Meykt sie wegen einer Organisation mit Pflicht wieder eingeschaltet hat (für einen einmaligen Hinweis, gelöscht nach der nächsten Anmeldung mit Code), sowie die Einstellungen der Organisation (Pflicht für alle Mitglieder, gemerkte Geräte erlaubt) mit Zeitpunkt und handelnder Person; der Owner sieht in der Mitgliederliste, ob ein Mitglied die Zwei-Faktor-Anmeldung eingerichtet hat
• ein technisch notwendiges, signiertes Cookie, das festhält, dass die aktuelle Anmeldung die Zwei-Faktor-Regel erfüllt (gültig höchstens eine Stunde bzw. 10 Minuten, an die Anmeldung gebunden), und beim Zurücksetzen oder erstmaligen Setzen des Passworts ein ebensolches Cookie, das festhält, dass die Sitzung gerade aus dem Link der E-Mail stammt (höchstens eine Stunde, nach dem neuen Passwort gelöscht)
• eine Sitzungs-Bescheinigung je Anmeldung, die die Zwei-Faktor-Regel erfüllt: das Konto, die Kennung der Anmelde-Sitzung, die Art der Erfüllung (Code aus der Authenticator-App, gemerktes Gerät — dann dessen Kennung — oder ausgeschaltete Code-Abfrage) sowie die Zeitpunkte von Anlage und Ablauf. Damit prüft die Datenbank bei jedem Zugriff selbst, dass die Sitzung die Zwei-Faktor-Prüfung bestanden hat, und weist Zugriffe ohne diese Prüfung ab
• einen Vermerk „Code über Meykt bestätigt“ je Anmelde-Sitzung: das Konto, die Kennung der Sitzung, die Kennung des Authenticator-Geräts und den Zeitpunkt der Bestätigung. Nur mit diesem Vermerk gilt eine Anmeldung in Meykt als mit dem Code bestätigt
• je Person einen Zähler der Code-Versuche: die Zeitpunkte der letzten Versuche mit dem Code aus der Authenticator-App, eine etwaige Sperre (nach fünf falschen Codes 15 Minuten), die Kennungen der letzten 20 Code-Anfragen, die Meykt selbst gestellt hat, und welche davon Meykt abgelehnt hat, weil der Code schon verwendet war, sowie den Zeitpunkt der letzten Warn-Mail. Damit begrenzen wir das Erraten von Codes und erkennen, wenn ein Code außerhalb von Meykt direkt beim Anmeldedienst bestätigt oder derselbe Code kurz hintereinander in einer zweiten Anmeldung eingegeben wurde — ein solcher Code gilt in Meykt nicht, und die Person erhält eine Warn-Mail (bei einer zweiten Anmeldung höchstens eine je Stunde)
• Sicherheits-Hinweise per E-Mail über Resend an die bestätigte Anmelde-Adresse, wenn das Passwort geändert, die Code-Abfrage ausgeschaltet, ein Gerät gemerkt, ein Authenticator-Gerät eingerichtet oder entfernt oder die Zwei-Faktor-Anmeldung entfernt wurde, sowie wenn Wiederherstellungs-Codes erzeugt oder eingelöst wurden, zu viele falsche Codes eingegeben wurden, ein Code aus der Authenticator-App außerhalb von Meykt verwendet oder derselbe Code kurz hintereinander in zwei Anmeldungen eingegeben oder ein Authenticator-Gerät außerhalb von Meykt entfernt wurde, und die E-Mail mit dem Link zum Zurücksetzen des Passworts; wird der Zwei-Faktor-Schutz einer Organisation gelockert (Pflicht aus oder gemerkte Geräte wieder erlaubt), erhalten alle Owner und Admins der Organisation einen Hinweis mit dem Namen der Organisation und der Änderung
• Einmal-Links „Warst du das nicht? Abbrechen“ in den Hinweisen zu Einrichtung und Entfernung eines Authenticator-Geräts, zu Wiederherstellungs-Codes und zur Support-Wiederherstellung: bei uns nur ein Hash des Links, der Anlass, bei der Support-Wiederherstellung der betroffene Vorgang, sowie die Zeitpunkte von Anlage, Ablauf (7 Tage) und Nutzung. Wird ein Link genutzt, meldet Meykt die Person auf allen Geräten ab, trennt verbundene KI-Apps, vergisst gemerkte Geräte bzw. stoppt den Support-Vorgang und schickt einen Hinweis per E-Mail; Authenticator-Geräte und Wiederherstellungs-Codes bleiben dabei unverändert — ein Gerät entfernt nur der Meykt-Support
• die Zeitpunkte der Versuche bei „Passwort ändern“, um die Zahl der Versuche je Person zu begrenzen
• bei einer Wiederherstellung durch den Meykt-Support („Authenticator-App und Wiederherstellungs-Codes verloren“): den Vorgang mit handelnden Support-Mitarbeitern und Zeitpunkten, einen Prüf-Code an die bestätigte Anmelde-Adresse (gespeichert nur als Hash), den Nachweis außerhalb des Postfachs — entweder die Bestätigung durch ein weiteres Mitglied mit Admin-Rolle einer Organisation der Person (wer, für welche Organisation, wann) oder, nur wenn es kein solches Mitglied gibt, die Angabe, welche nur in Meykt sichtbaren Daten die Person richtig genannt hat (etwa Namen von Maschinen oder Workflows) —, einen etwaigen Abbruch (wer, über welchen Weg) und die Ausführung; wird ein Vorgang gestoppt, erhält die Person eine E-Mail. Für die Warnung erhalten die weiteren Owner und Admins der Organisationen der Person — und, wenn sie davon abweicht, die hinterlegte Rechnungs-E-Mail-Adresse jeder Organisation, die die Person als Owner oder Admin leitet — deren Namen und Anmelde-Adresse per E-Mail über Resend; die Owner und Admins zusätzlich einen Hinweis in Meykt; die Person erhält eine E-Mail und einen Hinweis in ihren offenen Anmeldungen. Jeder Schritt steht in einem Protokoll, das sich nicht nachträglich ändern lässt

Wiederherstellungs-Codes gelten, bis sie eingelöst, neu erzeugt oder mit der Zwei-Faktor-Anmeldung entfernt werden; gemerkte Geräte höchstens 30 Tage und nur, bis die Person sie vergisst, ihr Passwort ändert, einen Wiederherstellungs-Code einlöst oder die Zwei-Faktor-Anmeldung entfernt; abgelaufene Einträge werden danach gelöscht. Sitzungs-Bescheinigungen gelten höchstens 12 Stunden; wir löschen sie beim Abmelden und sobald ihre Voraussetzung wegfällt (etwa Gerät vergessen, Faktor entfernt, neues Passwort), abgelaufene täglich. Vermerke „Code über Meykt bestätigt“ löschen wir beim Abmelden, sobald das Gerät, mit dem bestätigt wurde, entfernt wird oder alle Anmeldungen beendet werden, und sonst nach 30 Tagen; den Zähler der Code-Versuche einen Tag nach der letzten Änderung, nie während einer laufenden Sperre. Erste Bestätigung und bemerktes Entfernen eines Faktors stehen an dessen Freigabe und werden mit ihr gelöscht. „Warst du das nicht?“-Links löschen wir 30 Tage nach ihrem Ablauf, die Zeitpunkte der Versuche bei „Passwort ändern“ nach spätestens einem Tag. Den Stand eines Support-Vorgangs speichern wir bis zur Löschung des Nutzerkontos; das Protokoll der Support-Wiederherstellung abweichend von den übrigen Sicherheitsprotokollen drei Jahre, weil es die Übernahme eines Kontos aufklären und belegen soll (regelmäßige Verjährungsfrist), auch über die Löschung des Kontos hinaus; es enthält dann nur noch interne Kennungen. Einstellungen speichern wir, bis das Nutzerkonto bzw. die Organisation gelöscht wird. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die sichere Bereitstellung des Nutzerkontos sowie Art. 6 Abs. 1 lit. f DSGVO für die Absicherung der Konten gegen unbefugten Zugriff und die Missbrauchsabwehr.

9. Nutzung der Meykt-Plattform

Bei der Nutzung von Meykt Central verarbeiten wir die Daten, die Kunden und Nutzer in der Plattform anlegen, importieren, hochladen oder über Integrationen einspielen. Je nach Nutzung können dazu gehören:

• Organisations-, Standort-, Stations- und Maschinendaten
• Nutzer-, Team-, Rollen- und Berechtigungsdaten
• Mitarbeiterdaten, Arbeitsstationen, Produktionsrollen und Verfügbarkeiten
• Kunden- und Ansprechpartnerdaten
• Liefer- und Rechnungsdaten, soweit im System hinterlegt
• Shop-Verbindungen und Shop-Metadaten
• Produkte, Varianten, Artikelnummern, SKUs, Preise und Produktbeschreibungen
• Bestellungen, Auftragspositionen, Versand- und Kundendaten aus Shops
• Produktionsaufträge, Arbeitsschritte, Workflows, Prozesszustände und Logs
• Freigaben, Briefings, Angebotsdaten, Dienstleister- oder Kundenportaldaten
• hochgeladene Dateien, Bilder, Produktionsdateien und technische Anlagen
• Maschinenbefehle, Maschinenstatus, Telemetrie, lokale Aktionslogs und Agent-Status
• Support-, Fehler-, Audit- und Sicherheitsprotokolle

Soweit diese Daten zur Erfüllung des Vertrags mit dem Kunden verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Soweit wir Daten zur Sicherheit, Fehleranalyse oder Missbrauchsprävention verarbeiten, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Soweit gesetzliche Aufbewahrungs- oder Nachweispflichten bestehen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO.

Für personenbezogene Daten, die Kunden in Meykt über eigene Endkunden, Mitarbeiter, Dienstleister, Lieferanten oder Shopkunden verarbeiten, handelt die Dumanu GmbH in der Regel als Auftragsverarbeiter. Der Kunde bleibt für Rechtmäßigkeit, Informationspflichten, Rechtsgrundlagen, Löschfristen und Betroffenenrechte dieser Daten verantwortlich.

10. Shop-Verbindungen und externe Integrationen

Meykt kann mit externen Shop- und Plattformdiensten verbunden werden, zum Beispiel WooCommerce, Etsy, Shopify, Amazon, eBay, der Auftragsabwicklungs-Dienst Billbee oder künftig weitere Anbieter. Solche Verbindungen werden vom Kunden aktiv eingerichtet.

Meykt verbindet alle Shop-Plattformen direkt: Die für die Verbindung erforderlichen Zugriffs-Token oder API-Schlüssel speichert Meykt in der eigenen Datenbank und verwendet sie ausschließlich für die vom Kunden eingerichtete Verbindung. Die Übertragung zu und von den Plattformen erfolgt ausschließlich über verschlüsselte Verbindungen (TLS); der Zugriff auf die gespeicherten Zugangsdaten ist auf die jeweilige Kunden-Organisation beschränkt, andere Organisationen können sie technisch nicht verwenden. Das Passwort deines Shop-Kontos speichert Meykt nicht. Sieht eine Plattform dafür ein eigenes API-Passwort vor, wird dieses verschlüsselt gespeichert.

Je nach verbundener Plattform können insbesondere folgende Daten verarbeitet werden:

• Shop-Name und Shop-URL
• Verbindungsstatus und technische Konfiguration
• externe Produkt- und Bestell-IDs
• Produkt-, Varianten- und Bestelldaten
• Kundendaten aus Shopbestellungen
• Zahlungs-, Versand- und Fulfillmentinformationen, soweit vom Shop bereitgestellt
• Rohdaten aus API-Antworten zur Zuordnung, Nachvollziehbarkeit und Fehleranalyse

ERP-Schnittstelle und Rückmeldungen: Auf Anweisung des Kunden verarbeitet Meykt über freigegebene Schnittstellen Artikel und Warenzustände, Bestände, Anlieferungen, Bestellungen einschließlich Adressen, Personalisierungsangaben, Notizen und Dateien sowie Versand- und Retourenbelege. Berechtigte Fulfillment-Partner erhalten die für ihren Auftrag freigegebenen Angaben. Der Kunde bestimmt die angebundenen Systeme und die abonnierten Rückmeldungen. Ausgewählte Ereignisse und dazugehörige Daten werden an die vom Kunden eingerichtete Empfangsadresse übertragen; weitere Angaben können im Umfang der eingeräumten Rechte abgerufen werden. Technische Übertragungsbelege dienen der Fehlerklärung und verhindern doppelte Verarbeitung bei wiederholten Anfragen.

Optionale Shopify-Rückübertragung: Wenn der Kunde die erforderlichen Shopify-Berechtigungen erteilt und die Funktion in Meykt aktiviert, überträgt Meykt die ausdrücklich zugeordneten verfügbaren Bestände an ausgewählte Shopify-Lagerorte. Bei aktivierter Versandrückmeldung werden tatsächlich versandte Mengen, die Zuordnung zu Bestellungen und Paketen sowie Versanddienstleister und Trackingnummern an Shopify übermittelt. Eine Benachrichtigung des Shop-Kunden wird nur entsprechend der gewählten Einstellung angefordert. Die Verantwortung für diese Übertragung wird ausdrücklich konfiguriert; das Verbinden des Shops allein aktiviert sie nicht. Das Pausieren verhindert weitere geplante Übertragungen, macht bereits übertragene Daten aber nicht rückgängig. Ein bereits ausgelöster Vorgang kann noch abgeschlossen werden.

Etsy im Einzelnen: Bei Etsy verbindet jeder Betrieb ausschließlich seinen eigenen Shop, indem er sich bei Etsy anmeldet und Meykt die Berechtigung dazu erteilt. Der Zugriff ist ausschließlich lesend — Meykt schreibt nichts nach Etsy zurück: keine Artikel, keine Preise, keine Bestände, keine Bestell- oder Versandstatus. Gelesen werden ausschließlich:

• Bestellungen des verbundenen Shops einschließlich der vom Käufer übermittelten Angaben (zum Beispiel Name und Lieferanschrift) und der Personalisierungstexte, etwa eines gewünschten Gravurtextes
• Artikel (Listings) des verbundenen Shops
• Shop-Stammdaten wie Shop-Name und Shop-Kennung
• die E-Mail-Adresse des verbundenen Etsy-Kontos, damit die Verbindung dem richtigen Konto zugeordnet werden kann

Das entspricht den vier Etsy-Leseberechtigungen „transactions_r“, „listings_r“, „shops_r“ und „email_r“. Weitere oder schreibende Berechtigungen fordert Meykt nicht an.

Billbee im Einzelnen: Billbee ist ein Dienst zur Auftragsabwicklung, den der Betrieb selbst nutzt. Er verbindet ihn mit Meykt, indem er seinen Billbee-Benutzernamen und ein eigens dafür vorgesehenes API-Passwort hinterlegt; das API-Passwort wird verschlüsselt gespeichert. Meykt ruft damit ausschließlich lesend die Shop-Konten des Billbee-Kontos und die Bestellungen der vom Betrieb ausgewählten Shop-Konten ab, einschließlich der Angaben der Käufer (zum Beispiel Name, Rechnungs- und Lieferanschrift, E-Mail-Adresse und Telefonnummer, soweit in Billbee vorhanden) und der Personalisierungsangaben. Nach Billbee schreibt Meykt nichts zurück. An Billbee übermittelt Meykt dabei nur die Zugangsdaten, den technischen API-Schlüssel von Meykt und die Abrufparameter (zum Beispiel Zeitraum und Shop-Auswahl). Abgerufen wird auf Veranlassung des Betriebs: wenn er die Verbindung einrichtet, einen Abgleich startet oder den automatischen Abgleich eingeschaltet hat. Billbee ist dabei kein von Meykt eingesetzter Dienstleister, sondern ein System des Betriebs; für die Verarbeitung bei Billbee gilt dessen Vertrag mit Billbee.

Zweck: Die aus einem verbundenen Shop gelesenen Daten dienen ausschließlich der Abwicklung der Bestellungen des jeweiligen Betriebs einschließlich Produktion, Lager und Versand — zum Beispiel dazu, aus einer Bestellung einen Fertigungsauftrag mit dem passenden Gravurtext zu erzeugen und dessen Bearbeitung zu steuern. Eine Nutzung für eigene Zwecke von Meykt, für Werbung oder für Markt- und Wettbewerbsanalysen findet nicht statt. Daten verschiedener Shops und verschiedener Kunden-Organisationen werden nicht zusammengeführt, nicht miteinander verglichen und nicht übergreifend ausgewertet.

Von sich aus gibt Meykt diese Daten nicht an Dritte weiter. Eine Übergabe an einen anderen Betrieb findet nur statt, wenn der Kunde das selbst veranlasst: Beauftragt er über die Fulfillment-Funktion einen Fertigungspartner, werden die von ihm dafür freigegebenen Auftragspositionen samt der zugehörigen Angaben an dessen Organisation übertragen. Der Kunde entscheidet dabei je Auftrag, was übergeben wird; ohne eine solche Freigabe sieht jede Organisation ausschließlich ihre eigenen Daten. Über den KI-Zugang erhält der Anbieter einer KI-Anwendung diese Daten nur, wenn ein Betrieb, dem sie in Meykt zugänglich sind, seine KI-Anwendung selbst mit Meykt verbindet – also der Kunde oder, für ihm übergebene Auftragspositionen, ein Fertigungspartner –, und dann nur in dem Umfang, den dieser Betrieb dort freigegeben hat. Davon unabhängig verarbeitet der von Meykt eingesetzte KI-Dienstleister nach Ziffer 13 (Gemini-API von Google) Auftragsdaten, soweit der Kunde die dort beschriebenen KI-Funktionen nutzt.

Kontrolle des Kunden: Der Betrieb kann eine Shop-Verbindung jederzeit im Meykt-Dashboard trennen. Damit endet der Zugriff sofort und es werden keine weiteren Daten mehr aus dem Shop abgerufen. Bei Etsy und WooCommerce werden die hinterlegten Zugriffs-Token bzw. Zugangsschlüssel dabei gelöscht. Bei Shopify bleibt die Meykt-App so lange im Shop installiert, bis der Betrieb sie dort selbst deinstalliert; die Berechtigung lässt sich jederzeit im Shopify-Adminbereich entziehen. Zusätzlich lässt sich die Berechtigung jederzeit direkt bei der Plattform selbst entziehen. Bereits übernommene Bestell- und Artikeldaten verbleiben im Konto des Betriebs, bis er sie löscht oder die Fristen nach Ziffer 17 greifen.

Fragen zu einer Shop-Verbindung, zu den dabei verarbeiteten Daten oder zu deren Löschung beantworten wir unter info@meykt.com. Diese Adresse wird von uns betreut und steht ausdrücklich auch Verkäuferinnen und Verkäufern der verbundenen Plattformen offen.

Versandverwaltung: Auf Weisung des Kunden speichert Meykt Dienstleisterkonten, Vertragskennungen, Absender- und Rücksendeadressen, Paketversandprofile, Kartonagen und Quellenzuordnungen. Gesondert eingegebene Zugangsdaten werden verschlüsselt gespeichert; die Oberfläche und verbundene KI-Anwendungen erhalten beim Lesen nur den Einrichtungsstatus, nicht die Zugangsdaten. Der Kunde kann die Zugangsdaten ersetzen oder entfernen. Diese Einrichtung allein übermittelt noch keine Sendungen oder Empfängerdaten an Versanddienstleister und kauft keine Etiketten. Änderungsbelege mit handelnder Person und Einstellungswerten ermöglichen die eindeutige Zuordnung wiederholter Speicheraufrufe; sie enthalten keine Zugangsdaten.

Paketvorbereitung am Auftrag: Auf Weisung des Kunden speichert Meykt in der Plattform die für den Versand vorgesehene Empfängeradresse, das gewählte Versandprofil sowie Kartonage, Außenmaße und Gesamtgewicht je Paket, während des Packens auch als unvollständigen Entwurf. Die Vorbereitung und ihre fachlichen Änderungsbelege enthalten die jeweils gespeicherten Angaben, die handelnde Person, den Zeitpunkt und gegebenenfalls einen Änderungsgrund; darin können Namen, Anschriften und weitere eingegebene Kontaktdaten enthalten sein. Die Belege machen Änderungen nachvollziehbar und ermöglichen die Klärung wiederholter oder unbeantworteter Speicheranfragen. Eine abweichende Empfängeradresse gilt nur für den vorgesehenen Versand; sie ändert weder die Adresse der ausführenden Bestellung noch die eines Fulfillment-Quellauftrags. Das Speichern übermittelt keine Daten an Versanddienstleister, erstellt keine Versandetiketten, bucht keinen Bestand und bestätigt weder Packen noch Versand.

DHL-Verbindungstest: Wenn der Kunde oder eine von ihm entsprechend freigeschaltete KI-Anwendung den Test eines gespeicherten DHL-Kontos auslöst, übermittelt Meykt dessen DHL-Benutzernamen und Passwort zusammen mit dem zentralen technischen API-Zugang von Meykt über eine verschlüsselte Verbindung an DHL, um die Anmeldung in der gewählten Test- oder Produktivumgebung zu prüfen. Ein dabei erhaltenes Zugriffstoken wird nur für die geschützte Testanfrage verwendet und weder an die Oberfläche noch an eine KI-Anwendung ausgegeben. Zusätzlich wird die öffentliche Erreichbarkeit der Versand-Schnittstelle geprüft; dies weist keine Versandberechtigung nach. Der Test übermittelt keine Absender- oder Empfängeradressen, prüft keine Abrechnungsnummern und legt keine Sendungen oder Versandetiketten an. Das zeitbezogene Ergebnis ist kein dauerhaft gespeicherter Verbindungsstatus des Kontos.

DHL-Versandprofilprüfung: Bei dieser gesondert ausgelösten Prüfung übermittelt Meykt ein gespeichertes Versandprofil mit den ausdrücklich angegebenen Empfänger- und Paketdaten an DHL. Zur Anmeldung werden die gespeicherten DHL-Zugangsdaten und der zentrale technische API-Zugang von Meykt verwendet. Die Prüfanfrage enthält das gewählte Versandprodukt, die Vertrags-/Abrechnungsnummer, die gespeicherten Absenderangaben (Name, gegebenenfalls Firma, Anschrift und E-Mail-Adresse), den eingegebenen Empfänger (Name, gegebenenfalls Firma, Anschrift und Adresszusatz), Gesamtgewicht, Außenmaße und Versanddatum sowie gegebenenfalls eine unterstützte Referenz, Kostenstelle oder Zusatzleistung einschließlich der gewählten Versicherungssumme oder Altersstufe. Eine Empfänger-E-Mail-Adresse wird nur bei entsprechender Freigabe im Profil übermittelt; die Weitergabe einer Empfänger-Telefonnummer wird in diesem Prüfweg nicht unterstützt. Die Übermittlung erfolgt verschlüsselt in die angezeigte Test- oder Produktivumgebung von DHL. Geprüft werden gewöhnliche Straßenadressen innerhalb Deutschlands mit DHL Paket oder DHL Kleinpaket; nicht unterstützte Vorgaben, internationale Ziele und Sonderadressen werden abgewiesen.

Vor dem Auslösen kann der Kunde die konkreten Angaben prüfen und bestätigt die Übermittlung in der Oberfläche; für verbundene KI-Anwendungen gelten die gesonderten Freigaben unter „KI-Zugang“. Der Test erstellt keine Versandetiketten oder Sendungen, ändert keine Bestellungen, bucht keinen Bestand und startet keinen Workflow. Das Ergebnis gilt nur für die geprüften Angaben zum Prüfzeitpunkt und wird nicht als dauerhafter Prüfstatus am Profil oder Auftrag gespeichert. Geänderte Einstellungen oder Zugangsdaten schließen die Verwendung eines veralteten Ergebnisses als aktuellen Erfolg aus. Fehlgeschlagene oder unbeantwortete Anfragen werden nicht automatisch wiederholt. Die Speicherung von KI-Anfragen und Aktionsnachweisen wird nachfolgend beschrieben; sie ist von diesem vergänglichen Prüfergebnis zu unterscheiden.

DHL-Versandetiketten: Bei der gesondert beauftragten Erstellung eines Etiketts für ein fertig gepacktes Paket übermittelt Meykt die gespeicherten Absender-, Empfänger-, Vertrags- und Paketangaben samt gewähltem Versandprodukt, Versanddatum und unterstützten Zusatzleistungen an DHL. Es gelten die oben bei der Versandprofilprüfung beschriebenen Datenfelder und Grenzen, einschließlich der nur bei entsprechender Profilfreigabe übermittelten Empfänger-E-Mail-Adresse. Die Anmeldung verwendet das hinterlegte DHL-Konto und den technischen API-Zugang von Meykt; die Übertragung erfolgt verschlüsselt in die angezeigte Test- oder Produktivumgebung. DHL wird über den eigenen Geschäftskundenvertrag des Kunden genutzt.

Meykt speichert den konkreten Etikettenauftrag mit den übermittelten Angaben, Auftrags- und Paketbezug, handelnder Person, Zeitpunkten, Bearbeitungsstand und gegebenenfalls Sendungsnummer sowie das erhaltene Original-PDF. Hinzu kommen Nachweise zu Stornierungsversuchen und zum Abruf des Originals; diese Daten können Namen, Anschriften und Kontaktdaten enthalten. Berechtigte Personen und entsprechend freigeschaltete KI-Anwendungen können das Original über einen zeitlich begrenzten Download abrufen. Unklare Ergebnisse bleiben als solche erkennbar; ein möglicherweise bereits gesendeter Erstellungsauftrag wird nicht automatisch erneut gesendet. Etiketterstellung, Stornierung und Abruf bestätigen weder einen Ausdruck noch die tatsächliche Warenübergabe und buchen selbst keinen Lagerbestand aus.

Über die öffentliche Kunden-Schnittstelle kann der Kunde eigene Systeme anbinden. Dabei kann er eine eigene Zieladresse hinterlegen, an die Meykt Statusmeldungen zu seinen Aufträgen sendet. Diese Meldungen enthalten Auftrags- und Positionsdaten und gehen an den vom Kunden selbst bestimmten Server. Empfänger und Ziel legt ausschließlich der Kunde fest; Meykt sendet nur auf dessen Weisung. Fehlgeschlagene Zustellungen werden zur Nachvollziehbarkeit protokolliert.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Integration zur Vertragserfüllung dient. Soweit technische Logs zur Sicherheit und Fehlerbehebung verarbeitet werden, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO.

Der Kunde ist dafür verantwortlich, nur solche Shop- und Drittanbieter-Konten mit Meykt zu verbinden, für die er berechtigt ist, und seine eigenen Kunden über die Verarbeitung durch angebundene Systeme zu informieren.

KI-Zugang (MCP)

Über den Bereich „KI-Zugang“ kann der Owner einer Kunden-Organisation eine KI-Anwendung eines Drittanbieters seiner Wahl über das Model Context Protocol (MCP) mit Meykt verbinden — derzeit Claude und Claude Code (Anthropic) sowie ChatGPT und Codex (OpenAI). Die Funktion ist standardmäßig ausgeschaltet. Einschalten kann sie nur der Owner selbst, weder ein Administrator noch ein Support-Zugang von Meykt; zuvor bestätigt er Hinweise zu den damit verbundenen Risiken. Jede Verbindung startet der Owner in der KI-Anwendung und bestätigt sie anschließend in Meykt mit einem zweiten Faktor. Die Anmeldung erfolgt über OAuth.

Welche Daten die KI-Anwendung erhält: Die verbundene KI-Anwendung ruft Daten der Organisation ab. Sie erhält nur Daten, die der Organisation in Meykt zugänglich sind, und davon nur die Kategorien, die der Owner freigegeben hat:

• standardmäßig Betriebsdaten, etwa Aufträge, Produkte, Produktion, Workflows, Maschinen und Stationen sowie Einstellungen und Statistiken der Organisation, einschließlich der in Meykt geführten Namen, Rollen und Fähigkeiten von Mitarbeitern und ihrer Arbeits- und Einsatzzeiten (etwa wer wann an welchem Auftrag, an welcher Station oder Maschine gearbeitet hat, mit Dauer und erledigter Menge, auch ausgewertet je Mitarbeiter wie in der Statistik) sowie der Firmennamen von Geschäftspartnern; dazu gehören auch allgemeine Freitextfelder und Dateinamen, etwa Produktions- oder Auftragsnotizen und interne Hilfe-Nachrichten, deren Inhalt die KI-Anwendung auch ohne den Schalter für Kundendaten erhält
• personenbezogene Daten von Endkunden und Ansprechpartnern, etwa Namen, Anschriften, E-Mail-Adressen und Telefonnummern, Personalisierungsangaben (etwa Gravurtexte), Kundennotizen und Antworten in Prozess-Anfragen, E-Mail-Adressen und Telefonnummern von Mitarbeitern sowie die unveränderten Bestell-Rohdaten angebundener Shops und die Laufdaten von Workflows, jeweils einschließlich der darin enthaltenen Preise und Beträge, nur wenn der Owner den Schalter hierfür ausdrücklich einschaltet und den zugehörigen Risikohinweis bestätigt
• Preise, Beträge und Zahlungsangaben in den dafür vorgesehenen Feldern (etwa Summen, Rabatte, Kosten, Stundensätze, Guthaben und Bankverbindungen) sowie die unveränderten Artikel-Rohdaten angebundener Shops nur, wenn der Owner den Schalter hierfür einschaltet; übrige Abrechnungs- und Zahlungsangaben wie Tarif, Abo-Status, Abrechnungszeiträume und Belegnummern, der Zahlungsstatus und der Zahlungszeitpunkt von Bestellungen sowie die in Kiosk-Optionen hinterlegten Aufpreise gehören zu den Betriebsdaten
• die Inhalte von Dateien an Bestellungen, etwa Druckdateien, Kundenbilder und Vorschauen, über einen zeitlich begrenzt gültigen Download-Link nur, wenn der Owner zusätzlich zum Schalter für Kundendaten den Schalter „Dateien verwalten“ auf „Erlaubt“ stellt
• Produktgestaltungen, zugehörige Bilder und GLB-Modelle, verwendete Schriften, Vorschauaufnahmen und fertige Produktionsdateien, wenn Daten und Kundendaten freigegeben sind und die verbundene Person die Gestaltung in Meykt sehen darf. Eine interaktive Ansicht lädt die dafür benötigten Medien in den Browser der KI-Anwendung. Angeforderte Aufnahmen werden an diese Anwendung zurückgegeben; unterstützt sie eigene Datei-Uploads, werden die Aufnahmen dafür zunächst bei ihrem Anbieter hochgeladen. Vom Kunden in der KI-Anwendung bereitgestellte Gestaltungsdateien übernimmt Meykt auf dessen Veranlassung. Der Anbieter dieser Anwendung erhält die Daten nach den Bedingungen der vom Kunden gewählten Verbindung.

Zugangsdaten und andere Geheimnisse – etwa Passwörter, auch das eines Mailservers, Tokens, API-Schlüssel, PINs und die persönlichen Codes von Mitarbeitern – übermittelt Meykt nie an die KI-Anwendung, und sie kann sie auch nicht eintragen; das tut der Owner selbst in Meykt. Daten anderer Organisationen erhält die KI-Anwendung nur, soweit sie der eigenen Organisation in Meykt bereits zugänglich sind (etwa gemeinsame Fulfillment-Vorgänge). Sucht die KI-Anwendung in der Meykt-Hilfe, verarbeitet Meykt den Suchtext über den in Ziffer 13 genannten KI-Dienstleister (Gemini-API von Google); E-Mail-Adressen und Telefonnummern entfernt Meykt vorher, soweit sie als solche erkennbar sind; übermittelt werden höchstens 300 Zeichen.

Was die KI-Anwendung anlegen, ändern und auslösen kann: Ohne Entscheidung des Owners nichts: Alle Schalter dafür stehen zunächst auf „Aus“. Nur soweit der Owner einen von ihnen auf „Nachfragen“ oder „Erlaubt“ stellt, legt die KI-Anwendung im Auftrag des Kunden Daten der Organisation an, ändert sie oder löst Vorgänge aus, und zwar in folgenden Bereichen:

• Katalog („Produkte, Compiler und Variablen bearbeiten“): Produkte samt Preisstaffeln und Produktionseinrichtung anlegen, ändern, archivieren und aus dem Archiv zurückholen; Variablen und Variablen-Gruppen, Compiler-Zuordnungen und Compiler-Module samt ihrer Zuweisung; das Neukompilieren von Bestellungen; eigene Felder und ihre Werte; Set-Regeln von Shop-Verbindungen – stets als vollständige Liste, sodass Regeln, die darin fehlen, entfernt werden –; Shop-Artikel mit Produkten verknüpfen und aus ihnen Produkte anlegen; Materialien, Lieferanten, Kategorien und Eigenschaften, Parameter-Rezepte und Übernahmen aus der Meykt-Bibliothek; die Freigabe eigener Produkte an einen Fertigungspartner
• Workflows („Workflows bearbeiten“, „Workflows veröffentlichen“): Entwürfe anlegen, ändern und verwerfen – kein Workflow-Lauf verwendet einen Entwurf, bevor er veröffentlicht ist –, Automationen mit einer Bestellung der Organisation als Simulation testen, ohne dass Befehle an Maschinen oder den Meykt Agent gehen, Druckvorlagen anlegen und ändern, Kartenvorlagen anlegen, Scan-Auslöser anlegen und ändern sowie Workflows veröffentlichen, ein- und ausschalten
• Bestellungen und Produktion („Bestellungen bearbeiten“): Bestellungen wie im Bestell-Editor bearbeiten (etwa Personalisierungen, Positionen und Mengen), den Status von Produktionsjobs, Produktionsaufträgen und von am Kiosk oder von Hand angelegten Bestellungen setzen – solche Bestellungen auch abschließen –, Bestellungen als bezahlt markieren, Shop-Änderungen entscheiden, Bestellungen und fehlgeschlagene Dateien erneut abrufen, Punkte unter „Zu klären“ erledigen, Kunden anlegen und ändern, Testbestellungen mit erfundenen Angaben anlegen, die nie produziert werden und niemanden benachrichtigen, Produktion starten, Produktionsjobs anlegen, zuordnen und abschließen, Produktionsläufe wiederholen und abschließen, Automationen für Bestellungen live ausführen, im Fulfillment Aufträge an einen Fertigungspartner übergeben und dort Änderungen anfragen sowie als Fertigungspartner den Status setzen, Anfragen beantworten und die Produktion starten, interne Hilfe-Anfragen von Mitarbeitern beantworten und Produktionsläufe aus der Statistik ausklammern
• Lager und Material („Lager bearbeiten“, „Kapazität und Erfahrungen bearbeiten“, „Boxenbereiche bearbeiten“, „Aufträge packen“, „Materialbestand bearbeiten“): Lagerplätze und Lagerartikel einrichten, Boxenbereiche und ihre Anordnung einrichten sowie leere Auftragsboxen anlegen, Bereichen zuordnen und bearbeiten – das nur mit dem Recht zur Lagerverwaltung und wenn auch der Schalter für Kundendaten eingeschaltet ist –, Wareneingänge, Umlagerungen, Reservierungen und begründete Zählkorrekturen buchen, Kapazität und Einlagerungen pflegen, gemeinsame Lagerformen samt ihrer Artikelzuordnungen pflegen, Gebindemaße ergänzen sowie Lagererfahrungen und Kapazitäten zu vorhandenen eigenen oder freigegebenen Kundenprodukten hinterlegen – das nur, wenn auch der Schalter für Kundendaten eingeschaltet ist –, ganze Aufträge reservieren, kommissionieren, zurückbuchen und packen – beim Packen bucht Meykt keine Ware aus und versendet nichts; nur verwendete Versandkartons, für die der Kunde einen Bestand führt, bucht es beim Abschluss des Packens von diesem Kartonbestand ab –, Material einkaufen, zu- und abbuchen, umlagern und aus Stücklisten herstellen sowie die genutzte Standzeit von Werkzeugen buchen; jeweils mit den Lager- bzw. Materialrechten der Person, deren Verbindung sie nutzt
• Versand („Aufträge versenden“, „Versandeinstellungen bearbeiten“, „Versandverbindungen testen“): die tatsächliche Übergabe aller Pakete eines vollständig gepackten Auftrags festhalten – Meykt bucht dabei die gebundenen Mengen aus, beendet ihre Reservierungen, markiert die ausführende Bestellung als versendet und gibt ihre Auftragsbox frei; die KI-Anwendung muss dafür eine ausdrückliche menschliche Bestätigung der tatsächlichen Übergabe einholen, die ein Scan oder Packstatus nicht ersetzt –, Dienstleisterkonten ohne Zugangsdaten, Vertragszuordnungen, Paketversandprofile, Kartonagen und Zuordnungen von Shop-Versandarten anlegen, ändern, aktivieren und deaktivieren sowie für ein gespeichertes DHL-Konto die Anmeldung und die öffentliche Erreichbarkeit prüfen (siehe „DHL-Verbindungstest“); jeweils nur, wenn auch der Schalter für Kundendaten eingeschaltet ist, und mit den Lager- und Auftragsrechten der Person, deren Verbindung sie nutzt, für Versandeinstellungen und Verbindungstests zusätzlich mit dem Recht zur Lagerverwaltung. Zugangsdaten gibt der Owner selbst in Meykt ein; die KI-Anwendung erhält weder sie noch ein Zugriffstoken oder ungefilterte Antworten von DHL. Diese Versandbestätigung und diese Einrichtung erstellen selbst keine Versandetiketten; dafür gilt die getrennte Etikettenfunktion. Sie melden keinen Versand an Shops oder Fulfillment-Auftraggeber
• Paketvorbereitung („Versandpakete vorbereiten“): Empfänger, Versandprofil und Paketdaten eines übernommenen Packauftrags lesen und als Vorbereitung speichern. Das Schreiben benötigt eine eigene kritische, zunächst ausgeschaltete Fähigkeit; Freigaben für Packen, Versandbestätigung, Versandeinstellungen oder Profilprüfungen ersetzen sie nicht. Erforderlich sind außerdem „Daten lesen“, die vollständige Freigabe für „Kundendaten lesen“ sowie Lager- und Auftragsleserechte, beim Speichern zusätzlich Lagerbuchungs- und die für den Packauftrag geltenden Bearbeitungsrechte der verbundenen Person. Jede Speicherung und jede Klärung eines früheren Speicherbelegs benötigt eine menschliche Freigabe der konkreten Anfrage durch den Owner in Meykt, auch bei „Erlaubt“. Die Belegklärung ist an die ursprüngliche Person und den unveränderten Vorgang gebunden; sie erzeugt keine erste Speicherung und überschreibt keine spätere Korrektur. Eine Vorschau speichert nichts. Meyki benötigt vor der Ausführung eine ausdrückliche Bestätigung der konkreten Angaben. Für die in der KI-Anfrage, Vorschau und im Aktionsnachweis enthaltenen Empfänger- und Paketdaten gelten die bestehenden Regelungen für Anfragen und Aktionen. Die Paketvorbereitung selbst löst keine Übermittlung an Versanddienstleister aus.
• Versandprofilprüfungen: ein gespeichertes Versandprofil mit ausdrücklich angegebenen Empfänger- und Paketdaten bei DHL technisch prüfen. Dafür gibt es eine eigene, zunächst ausgeschaltete Fähigkeit mit den Stufen „Nachfragen“ und „Erlaubt“. Bei „Nachfragen“ benötigt jede konkrete Prüfung die Freigabe in Meykt; bei „Erlaubt“ darf die KI-Anwendung den Test einschließlich der beschriebenen Datenübermittlung direkt auslösen. Erforderlich sind außerdem die Freigaben für Daten und Kundendaten sowie Lagerverwaltungsrechte. Eine Vorschau allein übermittelt keine Daten an DHL. Freigaben sind an die konkreten Angaben, das gewählte Profil, Konto, die Umgebung und den geprüften Einstellungs- und Zugangsdatenstand gebunden; geänderte Angaben oder Einstellungen erfordern eine erneute Prüfung und Freigabe. Die Freigabe für Verbindungstests oder zum Bearbeiten von Versandeinstellungen ersetzt diese gesonderte Fähigkeit nicht. Meyki benötigt vor dem Ausführen die ausdrückliche Bestätigung der konkreten Vorschau.
• Versandetiketten („Versandetiketten bearbeiten“): für bereits gepackte Pakete DHL-Etiketten anfordern, bekannte Sendungen prüfen und Etiketten stornieren; nur nachweislich noch nicht gesendete Erstellungsaufträge können fortgesetzt werden. Diese eigene Fähigkeit ist zunächst „Aus“. Bei „Nachfragen“ gibt der Owner die konkrete Vorschau in Meykt frei; bei „Erlaubt“ darf die verbundene KI-Anwendung direkt ausführen. Zusätzlich gelten Daten- und Kundendatenfreigaben sowie die Lagerbuchungs- und Auftragsrechte der verbundenen Person. Eine Vorschau allein übermittelt nichts an DHL. Meyki benötigt die ausdrückliche Bestätigung der konkreten Vorschau. Die bestehenden Regelungen für KI-Anfragen und Aktionsnachweise gelten auch für enthaltene Empfänger- und Paketdaten. Zugangsdaten und Zugriffstoken erhält die KI-Anwendung nicht; Etikett, Druck und tatsächlicher Versand bleiben getrennte Vorgänge.
• Betrieb einrichten („Betrieb einrichten“): Standorte, Maschinen und Maschinengruppen, Stationen und ihre Zuordnungen, Mitarbeiter und Arbeitsteams, Werkzeuge, Dienstleister, Namen und Arbeitsplätze von Meykt Agents und die Zuordnung von Maschinen zu ihnen, Kioske samt Kategorien, Produkten, Optionen, Kassenfeldern und Übersetzungen, die Einstellungen, den Abruf-Zeitplan und die Produktauswahl von Shop-Verbindungen; automatische Importquellen pausieren und fortsetzen; außerdem Bestell- und Produkt-Abgleiche sowie Abrufe von Importquellen anstoßen, Zustellungen der Kunden-Schnittstelle erneut senden, Personen an Stationen abmelden und gekoppelte Terminals sperren
• Prozesse („Prozesse bearbeiten“): Prozess-Anfragen anlegen und starten, interne Schritte erledigen, Anmerkungen schreiben, Kunden oder Dienstleister als Teilnehmer hinzufügen oder ihren Zugang sperren, E-Mails aus Schritten versenden, Anfragen abschließen oder stornieren sowie Prozess-Vorlagen und ihre Übersetzungen pflegen
• Dateien („Dateien verwalten“): Vektordateien mit den Schritten des Vektor-Checks korrigieren, Bilder vektorisieren, freistellen oder reparieren und das Ergebnis als neue Datei an eine Bestellposition hängen – das Original bleibt erhalten – sowie Schriften hochladen und archivieren
• Produktgestaltung („Produktgestaltungen bearbeiten“): eigene Designbibliotheken anlegen, Bilder, Vektoren und GLB-Modelle übernehmen, einfache 3D-Grundformen aus Maßen erzeugen, Gestaltungen einschließlich Kundenregeln speichern und maßhaltige Produktionsdateien erzeugen. Der Schalter ist zunächst aus. Es gelten zusätzlich die Datenfreigaben und die Werkzeug- beziehungsweise Produktrechte der verbundenen Person. Die Erzeugung einer Datei lädt oder startet keine Maschine.
• Einstellungen („Einstellungen ändern“): Sprache, Zeitzone, Währung, Steuersatz, Maßsystem und Papierformat, Scanner-Vorgaben, Benachrichtigungen der Mitarbeiter und Mail-Versandprofile samt Verbindungstest sowie Fehlermeldungen und Wünsche an das Meykt-Team im Namen der verbundenen Person
• Leistungsabrechnung („Leistungsabrechnung bearbeiten“): Leistungen mit Einheit und Vorgabepreis, eigene Geschäftskunden und Leistungsregeln anlegen sowie Kioske einem Geschäftskunden zuordnen. Der Schalter ist zunächst aus; es gelten zusätzlich die Freigaben für Kundendaten und Preise sowie die Rechte der verbundenen Person. Jede Änderung benötigt die Freigabe der konkreten Vorschau durch den Owner, auch bei „Erlaubt“. Das Meykt-Abonnement, dessen Tarif und Zahlungsmittel werden dadurch nicht geändert.
• Maschinen („Maschinen und Meykt Agent abfragen“, „Dateien in LightBurn laden“, „Laser starten“): bei LightBurn an einer Maschine nachfragen, ob es frei ist – das ändert an der Maschine nichts –, eine Datei in LightBurn laden und den dort geladenen Job starten
• endgültige Aktionen („Endgültig löschen“, „Bestellungen stornieren“): nicht mehr verwendete Produkte, Workflows und Variablen, leere Variablen-Gruppen, ausgeschaltete Compiler-Zuordnungen und -Module, unbenutzte eigene Felder sowie Parameter-Rezepte endgültig löschen sowie Produktionsläufe zurücksetzen oder löschen, jeweils nur, wenn auch der Schalter des betroffenen Bereichs eingeschaltet ist; eigene Bestellungen stornieren – Meykt stoppt dabei die noch nicht begonnene Produktion und behält die gebuchten Leistungen bei oder schreibt sie gut, wie in der Anfrage angezeigt –, Produktionsläufe abbrechen, bei einem Fertigungspartner die Stornierung ganzer Aufträge oder einzelner Positionen anfragen und als Fertigungspartner die Stornierungsanfrage eines Auftraggebers beantworten; angebundenen Shops meldet Meykt keine Stornierung

Die KI-Anwendung handelt dabei im Namen und höchstens mit den Rechten der Person, deren Verbindung sie nutzt. Viele Aktionen setzen zusätzlich den Schalter für Kundendaten oder den für Preise voraus, etwa wenn sie solche Daten anzeigen oder ändern; Variablen, Compiler-Zuordnungen und Compiler-Module anlegen, ändern oder zuweisen, Bestellungen neu kompilieren, Set-Regeln speichern (ohne Ausnahme, also auch, wenn dabei nur Regeln entfernt werden) sowie Automationen testen und Workflows veröffentlichen oder aktivieren kann sie nur, wenn beide Schalter eingeschaltet sind; ausgenommen ist das bloße Ausschalten einer Compiler-Zuordnung oder eines Compiler-Moduls und das Entfernen einer Zuweisung. Die kritischen Schalter „Workflows veröffentlichen“, „Aufträge packen“, „Versandpakete vorbereiten“, „Aufträge versenden“, „Laser starten“, „Leistungsabrechnung bearbeiten“, „Endgültig löschen“ und „Bestellungen stornieren“ kann der Owner erst einschalten, nachdem er einen eigenen Risikohinweis bestätigt hat; „Endgültig löschen“ und „Bestellungen stornieren“ kennen nur „Aus“ und „Nachfragen“. Nie über die KI-Anwendung möglich sind Änderungen an Mitgliedern, Rollen und Einladungen, am Meykt-Abonnement einschließlich Tarif und Zahlungsmittelverwaltung, an Sicherheitseinstellungen wie der Pflicht zur Zwei-Faktor-Anmeldung und an den Schaltern des KI-Zugangs selbst, das Anlegen oder Löschen von Shop-Verbindungen und von API-Schlüsseln sowie das Löschen des Kontos oder der Organisation. Archivierte Produkte löscht Meykt – gleich, ob die KI-Anwendung oder ein Mensch sie archiviert hat – 30 Tage nach dem Archivieren automatisch, sofern sie nicht in Bestellungen vorkommen oder noch verwendet werden (etwa über eine Shop-Verknüpfung, in einem Produktaufbau oder in einem Angebot); bis dahin lassen sie sich zurückholen.

Bei „Nachfragen“ ändert die KI-Anwendung nichts selbst, sondern legt eine Anfrage mit einer von Meykt erstellten Vorschau an, die zeigt, was geschehen würde (etwa bisherige und neue Werte, bei Workflows eine Zusammenfassung mit Umfang, Prüfergebnis und den Schritten, die eine Freigabe verlangen). Freigeben oder ablehnen kann die Anfrage im Bereich „KI-Zugang“ nur der Owner. Ausgeführt wird genau die angezeigte Aktion; Einträge, deren Ziel sich seit der Anfrage geändert hat, führt Meykt nicht aus. Freigeben lässt sich eine Anfrage nur innerhalb von 24 Stunden – ein Vorhaben an einer Maschine nur innerhalb einer Stunde – und nur, solange die Verbindung besteht, der KI-Zugang eingeschaltet ist und der Schalter nicht auf „Aus“ steht. Bei „Erlaubt“ führt Meykt die Aktion direkt aus. Auch bei „Erlaubt“ handelt Meykt jedoch erst nach Freigabe durch den Owner, wenn eine Aktion besondere Folgen haben kann; dazu gehören insbesondere:

• Wirkung außerhalb von Meykt oder bei einer anderen Organisation: das Versenden von E-Mails aus Prozessen und jede Aktion in einem Prozess, die Kunden oder Dienstleistern einen Schritt öffnet, ihnen etwas sichtbar macht oder ihnen Zugang gibt; jeder Vorgang im Fulfillment, der einen Fertigungspartner bzw. Auftraggeber erreicht; Tickets an das Meykt-Team; das erneute Senden von Zustellungen der Kunden-Schnittstelle; das Anstoßen von Bestell- und Produkt-Abgleichen mit Shops und von Abrufen automatischer Importquellen, das Einschalten einer Importquelle sowie das Ein- und Ausschalten einer Shop-Verbindung oder ihres automatischen Abrufs; das Vektorisieren eines Bildes; das Einschalten des öffentlichen Katalogs eines Kiosks, mit dem dessen Produkte und Preise öffentlich abrufbar werden
• Wirkung an Maschinen und PCs: jedes Laden einer Datei in LightBurn und jeder Start eines Lasers – Meykt gibt den Befehl erst bei der Freigabe und nach erneuter Prüfung an den Meykt Agent weiter –, das Trennen einer Maschine von ihrem PC sowie das Veröffentlichen, Aktivieren und Live-Ausführen von Workflows mit Schritten, die über Meykt hinaus wirken oder Maschinen und PCs steuern (etwa E-Mail-Versand, Webhooks, Übergaben an Fertigungspartner oder Befehle an den Meykt Agent), und von Automationen, die solche Workflows starten
• Folgen in der Produktion: das Abschließen von Produktionsjobs und -läufen; Statusänderungen, mit denen ein Produktionsauftrag fertig wird oder scheitert, eine Bestellung abgeschlossen oder in die laufende Produktion eingegriffen wird oder ein Endkunde eine E-Mail erhält; das Markieren als bezahlt, wenn es die Produktion startet
• Vorgänge an der Ware: das Übernehmen, Kommissionieren und Zurückbuchen von Aufträgen, das Packen, die Paketvorbereitung einschließlich der Klärung eines früheren Speicherbelegs, das Bestätigen eines Versands einschließlich der Klärung eines früheren Versandbelegs, Buchungen, bei denen die KI-Anwendung angibt, eine Person habe etwas vor Ort geprüft, das Annehmen einer Mehrmenge, die bei der Lieferung nur nach Rückfrage zulässig ist, der Abschluss einer Prüfung trotz fehlender erwarteter Mengen, das Speichern von Kapazitätsprofilen und das Bestätigen gezählten belegten Platzes, das Zuordnen von Artikeln zu einer gemeinsamen Lagerform sowie Lagererfahrungen und Kapazitäten, die als vor Ort bestätigt hinterlegt werden
• Eingriffe bei Personen, Geräten und Einstellungen: das Abmelden von Personen an Stationen, das Sperren gekoppelter Terminals, das Ändern von Währung oder Steuersatz der Organisation, Änderungen der Server- oder Absenderangaben eines Mail-Versandprofils mit gespeichertem Passwort, jeder Verbindungstest eines Mail-Versandprofils und das Hochladen einer Schrift
• Daten, die in Ausgaben, Übergaben oder die Produktion fließen: Änderungen an Variablen, die in einem der genannten Workflow-Schritte oder in einer Druckvorlage, die ein solcher Schritt druckt, unmittelbar verwendet werden oder deren Adresse Meykt als Datei herunterlädt, Änderungen an den Compiler-Zuordnungen, die solche Variablen befüllen, sowie das Einschalten, Zuweisen, Umbinden und Umbenennen der Compiler-Module, die solche Variablen befüllen; Werte eigener Felder, die bei einer Übergabe an den Fertigungspartner mitgehen oder in einem solchen Schritt oder einer Druck- bzw. Textvorlage verwendet werden, und das Einschalten dieser Übergabe-Markierung; Set-Regeln, wenn ein solcher Workflow die Angaben der Teile einer Bestellung verwendet (auch über eine Druckvorlage, die er druckt), wenn ein Workflow oder eine Automation Produktionsaufträge aus den Teilen anlegt oder sich dabei nach ihnen richtet oder wenn sich die bisher gespeicherten Set-Regeln nicht lesen lassen; das Neukompilieren von Bestellungen, bei dem eine solche Datei-Variable befüllt wird oder sich bei noch offenen Produktionsaufträgen der Produktaufbau (welche Teile die Bestellung umfasst und welche Angaben auf ihnen liegen) ändern würde oder eine solche Änderung nicht auszuschließen ist
• nicht rücknehmbare Zuordnungen: das Verknüpfen von Shop-Artikeln mit Produkten, wobei Meykt ältere Bestellpositionen dieses Artikels dem Produkt zuordnet und ihre Werte neu berechnet, und das Anlegen von Produkten aus Shop-Artikeln
• Massen: mehr als 20 Statusänderungen, Zahlungs- oder Kundenänderungen, Testbestellungen oder Produktionsvorgänge der Organisation innerhalb einer Stunde
• endgültige Aktionen: jedes endgültige Löschen, jedes Zurücksetzen eines Produktionslaufs und jedes Stornieren – die Schalter dafür kennen kein „Erlaubt“. Betrifft eine solche Anfrage zusammen mit den endgültigen Aktionen der KI-Anwendung im selben Bereich während der vorangegangenen 24 Stunden mehr als 20 Einträge, verlangt Meykt bei der Freigabe zusätzlich einen soeben eingegebenen Code aus der Authenticator-App des freigebenden Owners; ab dieser Zahl löscht oder storniert die KI-Anwendung nie mehr als ein Viertel aller Einträge eines Bereichs – mehr geht nur in Meykt selbst

Schaltet die KI-Anwendung ein Compiler-Modul aus oder entfernt eine Zuweisung, kann ein anderes aktives Modul des Kunden an seine Stelle treten; dafür verlangt Meykt keine gesonderte Freigabe. Viele Aktionen der KI-Anwendung kann der Owner im Bereich „KI-Zugang“ rückgängig machen, solange sie im Änderungsprotokoll stehen: Meykt setzt dann die bisherigen Werte wieder ein, bei einer Veröffentlichung den vorherigen Live-Stand des Workflows; Felder, die seitdem jemand anderes geändert hat, bleiben unverändert. Neu angelegte Einträge nimmt Meykt dabei zurück, soweit das ohne Folgen für andere Daten möglich ist – je nach Art, indem es sie ausschaltet, archiviert, storniert, ausblendet oder, solange sie unbenutzt sind, entfernt –; andernfalls bleiben sie bestehen. Eine angehängte Ergebnisdatei der Bild- und Vektorwerkzeuge nimmt Meykt wieder von der Bestellposition; verbrauchtes Guthaben bleibt verbraucht. Nicht rückgängig machen lassen sich insbesondere endgültige Aktionen (Löschen, Zurücksetzen, Stornieren), Lager-, Pack-, Versand-, Material- und Standzeit-Buchungen – einen Fehler in einer Lager- oder Materialbuchung gleicht der Kunde mit einer begründeten Gegenbuchung aus –, Änderungen der Versandeinstellungen – sie korrigiert der Kunde durch eine neue Bearbeitung –, Verbindungstests, das Einrichten von Boxenbereichen und Auftragsboxen, das Abschließen von Produktionsjobs und -läufen, live ausgeführte Automationen, das Abmelden von Personen und das Sperren von Terminals, das erneute Abrufen und das Bearbeiten von Bestellungen, Entscheidungen zu Shop-Änderungen, das erneute Abrufen von Dateien, das Verknüpfen von Shop-Artikeln und das Anlegen von Produkten aus Shop-Artikeln, angestoßene Abgleiche und Abrufe, Übergaben, Anfragen und Antworten im Fulfillment und der Produktionsstart als Fertigungspartner, das Laden und Starten an Maschinen und das Trennen einer Maschine von ihrem PC, gestartete Freisteller- und Reparatur-Läufe, erledigte Prozess-Schritte, abgeschlossene oder stornierte Prozess-Anfragen und versendete Prozess-E-Mails sowie Antworten auf Hilfe-Anfragen und Tickets an das Meykt-Team. Was eine Aktion außerhalb von Meykt bewirkt hat, macht auch ein Rückgängigmachen nicht ungeschehen: Versendete E-Mails, Tickets an das Meykt-Team, erneut gesendete Zustellungen sowie Übergaben, Anfragen und Nachrichten an andere Organisationen lassen sich nicht zurückholen.

Empfänger und Verantwortung: Empfänger der abgerufenen Daten ist der Anbieter der vom Kunden gewählten KI-Anwendung (derzeit Anthropic bzw. OpenAI). Meykt setzt diesen Anbieter nicht als eigenen Dienstleister oder Unterauftragsverarbeiter ein. Der Kunde entscheidet selbst über die Anbindung; die Übermittlung erfolgt auf seine Veranlassung an den von ihm gewählten Empfänger. Für das Vertragsverhältnis mit dem KI-Anbieter ist der Kunde verantwortlich, einschließlich einer gegebenenfalls erforderlichen Vereinbarung zur Auftragsverarbeitung, einer Übermittlung in Drittländer (die Anbieter können Daten auch außerhalb der Europäischen Union, insbesondere in den USA, verarbeiten), der Rechtsgrundlage gegenüber seinen Endkunden und Mitarbeitern und deren Information. Was der Anbieter mit den abgerufenen Daten tut, richtet sich nach dessen Bedingungen; auf bereits abgerufene Daten hat Meykt keinen Einfluss. Was die KI-Anwendung in Meykt anlegt, ändert oder auslöst, geschieht im Auftrag des Kunden und in dem Umfang, den er über die Schalter und Freigaben im Bereich „KI-Zugang“ festlegt.

Weitergaben durch Aktionen der KI-Anwendung: Löst die KI-Anwendung im freigegebenen Umfang einen Vorgang aus, übermittelt Meykt Daten auf denselben Wegen und an dieselben Empfänger wie bei demselben Vorgang in der Oberfläche; einen zusätzlichen Dienstleister setzt Meykt dafür nicht ein. Das betrifft insbesondere:

• E-Mails an Kunden, Dienstleister oder Mitarbeiter des Kunden, etwa aus Prozessen, zu Hilfe-Anfragen oder bei Statusänderungen – je nach Vorgang über ein Mail-Versandprofil des Kunden, also über dessen eigenen Mailserver, oder über den Meykt-Versand mit Resend (Ziffer 7)
• Übergaben, freigegebene Produktdaten, Nachrichten, Änderungs- und Stornierungsanfragen, Antworten und Status an die Organisation des beteiligten Fertigungspartners bzw. Auftraggebers in Meykt (Fulfillment, Ziffer 10)
• an Teilnehmer einer Prozess-Anfrage – Kunden, Dienstleister oder eine mit ihnen verbundene Meykt-Organisation – die Inhalte, die der Prozess ihnen zeigt
• Fehlermeldungen und Wünsche an das Meykt-Team, mit Name und E-Mail-Adresse der verbundenen Person (Ziffer 7)
• erneut gesendete Statusmeldungen der öffentlichen Kunden-Schnittstelle an die vom Kunden hinterlegte Zieladresse sowie Anfragen an die verbundenen Shops und an die automatischen Importquellen des Kunden, wenn die KI-Anwendung einen Abgleich oder Abruf anstößt
• Benutzername und Passwort eines gespeicherten DHL-Kontos an DHL, wenn die KI-Anwendung einen Verbindungstest auslöst (siehe „DHL-Verbindungstest“)
• bei ausdrücklich ausgelösten DHL-Versandprofilprüfungen zusätzlich die in „DHL-Versandprofilprüfung“ beschriebenen Vertrags-, Absender-, Empfänger- und Paketdaten samt unterstützten Vorgaben an DHL; die Übermittlung kann nicht rückgängig gemacht werden und ist keine Versandbuchung
• bei der gesondert beauftragten DHL-Etiketterstellung die dort beschriebenen Versandangaben an DHL; zum Prüfen, erneuten Abrufen des Originaletiketts bei DHL oder Stornieren außerdem die bereits belegte Sendungsnummer. Die Datenübermittlung wird durch eine spätere Etikettenstornierung nicht rückgängig gemacht
• Befehle an den Meykt Agent auf den Rechnern des Kunden (Ziffer 11)
• Bilder, die die KI-Anwendung vektorisieren lässt, an den externen Dienstleister nach Ziffer 13a – nur, wenn die Person, deren Verbindung die KI-Anwendung nutzt, ihre Einwilligung dort selbst in Meykt erteilt und für die aktuelle Fassung der Hinweise gespeichert hat, und erst, wenn der Owner den Lauf freigibt; die KI-Anwendung kann die Einwilligung nicht erteilen. Freisteller und Bild-Reparatur verarbeitet Meykt wie bei der Nutzung in der Oberfläche auf eigener Hardware (Ziffer 13b)

Was Meykt dafür selbst verarbeitet:

• die Einstellungen des KI-Zugangs: ein- oder ausgeschaltet, Zeitpunkt, Person und Version der bestätigten Hinweise sowie die Stellung der Schalter
• Verbindungsdaten: verbundene App, bei lokalen Apps ein optionaler Gerätename, der Ländercode, den der Hosting-Anbieter aus der Netzwerkverbindung ableitet (bei lokalen Apps beendet ein Länderwechsel die Verbindung), Zeitpunkte von Verbindung und letzter Nutzung, Ablauf sowie Zeitpunkt und Grund einer Beendigung
• Anmelde-Anfragen, Anmelde-Codes und Tokens, Codes und Tokens ausschließlich als Hash, sowie ein kurzlebiges, technisch notwendiges Cookie, das die Anmeldung an den Browser bindet, in dem sie gestartet wurde
• einen Fingerabdruck des Sicherheitsstands des Kontos (Hash aus E-Mail-Adresse, gespeichertem Passwort-Hash und den Kennungen der bestätigten zweiten Faktoren), damit Verbindungen enden, sobald sich Passwort, E-Mail-Adresse oder zweite Faktoren ändern
• für die Zwei-Faktor-Bestätigung einen Authenticator-Faktor (TOTP) in Supabase Auth; zu dessen Einrichtung oder zum Entfernen eines nicht freigegebenen Faktors sendet Meykt über Resend einen Bestätigungscode an die bestätigte Anmelde-Adresse, gespeichert wird der Code nur als Hash; außerdem speichert Meykt, welche Faktoren freigegeben sind (Einzelheiten zur Zwei-Faktor-Anmeldung und zu den Wiederherstellungs-Codes in Ziffer 8)
• einen Verlauf je Aufruf der KI-Anwendung und je Änderung im Bereich „KI-Zugang“ (auch je Freigabe, Ablehnung und Rücknahme): Zeitpunkt, App, Werkzeug bzw. Ereignis, Ergebnis, Dauer, die handelnde Person (bei Aufrufen die Person, deren Verbindung genutzt wurde), außerdem die Namen der abgefragten Datenarten und Felder, die Zahl der Treffer bzw. der betroffenen Einträge und bei Änderungen die Stufe des Schalters, gegebenenfalls den Grund einer nötigen Freigabe und die Kennung der Anfrage bzw. der Aktion — keine Inhalte der abgefragten oder geänderten Daten. Der Verlauf ist für Owner und Administratoren der Organisation einsehbar.
• ein Änderungsprotokoll je Aktion, mit der die KI-Anwendung Daten anlegt, ändert oder einen Vorgang auslöst: Zeitpunkt, App, Werkzeug, die Person, deren Verbindung genutzt wurde, bei einer freigegebenen Anfrage die freigebende Person, bei einer Rücknahme die zurücknehmende Person, Status und Anzahlen sowie je betroffenem Eintrag die bisherigen und neuen Werte der geänderten Felder (bei einem geänderten oder verworfenen Workflow-Entwurf den vollständigen bisherigen Entwurf) und bei Vorgängen, die sich nicht rückgängig machen lassen, die Angaben, die sie nachvollziehbar machen – etwa die gebuchten Angaben einer Buchung, Name und Kennungen eines endgültig gelöschten Eintrags oder Weg und Abrechnungsentscheidung einer Stornierung. Diese Werte können personenbezogene Daten enthalten, soweit sie in den betroffenen Feldern stehen (etwa Namen und Kontaktdaten in einem geänderten Kundendatensatz, Personalisierungen in einer bearbeiteten Bestellung, Inhalte eines Workflow-Schritts oder die aus einer Bestellung berechneten Werte samt den dafür gelesenen Rohwerten); Meykt verwendet sie, damit sich die Aktion rückgängig machen oder nachvollziehen lässt. Die Aktionen sind für Owner und Administratoren der Organisation im Bereich „KI-Zugang“ einsehbar; die KI-Anwendung kann das Änderungsprotokoll nicht abrufen.
• bei von der KI-Anwendung veranlassten DHL-Verbindungstests außerdem den geprüften Kontobezug, Auftraggeberbezug, die Umgebung und Versionsstände sowie Freigabe- und Ausführungsangaben und begrenzte Ergebnisangaben im Anfrage- und Aktionsprotokoll; keine Zugangsdaten, Zugriffstoken oder ungefilterten DHL-Antworten. Dafür gelten die nachfolgenden Aufbewahrungsfristen für Anfragen und Aktionen. Ein solcher Nachweis bleibt eine historische Testausführung, kein aktueller Verbindungsstatus.
• bei Versandprofilprüfungen über den KI-Zugang außerdem die konkrete Anfrage und Vorschau einschließlich eingegebener Empfänger- und Paketdaten, Profil-, Konto- und Kundenzuordnung, Umgebung und Versionsständen sowie Freigabe-, Ausführungs- und begrenzten Ergebnisangaben. Diese Daten können personenbezogene Angaben enthalten. Es gelten die unten genannten Fristen für Anfragen und Aktionen; es werden keine Zugangsdaten, Zugriffstoken oder ungefilterten DHL-Antworten gespeichert. Ein solcher Nachweis ist kein dauerhaft gültiges Prüfergebnis für das Profil oder einen Auftrag.
• Anfragen der KI-Anwendung (bei „Nachfragen“ und bei Vorgängen, die eine Freigabe brauchen): Werkzeug, Schalter, Verbindung, die geprüften Angaben der KI-Anwendung (etwa Produkt- oder Kundendaten, die vollständige Definition eines Workflows, die Nachricht an einen Fertigungspartner bzw. Auftraggeber oder der Text eines Tickets an das Meykt-Team), die von Meykt erstellte Vorschau mit bisherigen und neuen Werten, Zeitpunkte von Anlage, Ablauf, Entscheidung und Ausführung, die Person, die freigegeben oder abgelehnt hat, sowie Status und Ergebnis. Offene Anfragen samt Vorschau sind für Owner und Administratoren der Organisation im Bereich „KI-Zugang“ einsehbar; die KI-Anwendung erfährt nur den Stand ihrer eigenen Anfragen (Status, Zeitpunkte, Anzahlen und gegebenenfalls einen Fehlercode), nicht deren Vorschau.
• Workflow-Entwürfe der KI-Anwendung: Name, Beschreibung, vollständige Definition, Bearbeitungsstand, Zeitpunkte sowie Person und Verbindung, mit der der Entwurf entstand. Entwürfe gehören zu den Daten der Organisation; die KI-Anwendung kann sie abrufen.
• vor jeder Veröffentlichung, Aktivierung und Deaktivierung eines Workflows durch die KI-Anwendung sowie vor dem Rückgängigmachen einer Veröffentlichung den bisherigen Live-Stand des Workflows (Name, Beschreibung, Definition, Aktiv-Stand, Art des Auslösers, Zeitpunkt, handelnde Person) als Revision. Revisionen verwendet Meykt nur, um Aktionen rückgängig zu machen; weder die KI-Anwendung noch die Oberfläche zeigen sie an.
• bei jedem Simulations-Testlauf der KI-Anwendung – wie bei Testläufen im Studio – eine Test-Sitzung (Workflow, gewählte Bestellung, die Person, deren Verbindung genutzt wurde, und die im Testlauf entstandenen Zwischenstände) und ein Laufprotokoll des Testlaufs mit den Daten der gewählten Bestellung. Beides gehört zu den Workflow-Daten der Organisation.
• Tickets, die die KI-Anwendung an das Meykt-Team sendet – wie Tickets aus der Oberfläche, mit Name und E-Mail-Adresse der verbundenen Person als meldender Person.
• die Ergebnisse der Bild- und Vektorwerkzeuge als neue Datei an der Bestellposition. Sie gehören zu den Daten der Organisation.

Zur Begrenzung der Anfragerate zählt Meykt Aufrufe je Verbindung und je Organisation, bei der Anmeldung sowie beim Erneuern und Widerrufen von Tokens auch je IP-Adresse. Diese Zähler liegen ausschließlich im Arbeitsspeicher der jeweiligen Server-Instanz; sie werden nicht dauerhaft gespeichert und an keinen weiteren Dienst übermittelt. Das gilt nicht für den Zähler der Einlöse-Versuche von Wiederherstellungs-Codes, den Meykt dauerhaft in der Datenbank führt (Ziffer 8). Die Grenzen für Aktionen der KI-Anwendung (etwa offene Anfragen, direkt ausgeführte Aktionen und Simulations-Testläufe je Stunde, die genannten Mengen-Schwellen und Statusabfragen an Maschinen) ermittelt Meykt aus den Anfragen, dem Änderungsprotokoll, den Testläufen und den Maschinenbefehlen in der Datenbank; eigene Zähler entstehen dafür nicht. Kontingente und Guthaben, etwa der Bild- und Vektorwerkzeuge, zählt Meykt wie bei der Nutzung in der Oberfläche.

Speicherdauer: Verlaufseinträge werden 180 Tage aufbewahrt und danach von einem täglichen Aufräumlauf gelöscht. Dasselbe gilt für Aktionen im Änderungsprotokoll samt den bisherigen und neuen Werten; danach lässt sich die Aktion nicht mehr rückgängig machen. Derselbe Lauf löscht Anmelde-Anfragen, Anmelde-Codes, E-Mail-Codes und Tokens, sobald sie länger als einen Tag abgelaufen sind. Anfragen der KI-Anwendung samt Angaben und Vorschau löscht derselbe Lauf 180 Tage nach der Entscheidung über sie bzw., wenn nie über sie entschieden wurde, 180 Tage nach ihrem Ablauf; Revisionen löscht er 180 Tage nach ihrer Entstehung. Steht die zugehörige Aktion dann noch im Änderungsprotokoll, bleiben Anfrage bzw. Revision bis zu deren Löschung erhalten; mit dem Workflow bzw. der Organisation werden Revisionen auch früher gelöscht. Ein Workflow-Entwurf wird gelöscht, sobald er veröffentlicht oder verworfen wird; andernfalls speichert Meykt ihn, bis der Workflow bzw. die Organisation gelöscht wird. Test-Sitzungen und Laufprotokolle von Simulations-Testläufen speichert Meykt wie die Testläufe im Studio, bis der Workflow bzw. die Organisation gelöscht wird; Test-Sitzungen enden außerdem mit dem Nutzerkonto der Person, deren Verbindung genutzt wurde. Eine Verbindung endet spätestens nach 30 Tagen (Cloud-Apps wie Claude und ChatGPT) bzw. 14 Tagen (lokale Apps wie Claude Code und Codex); danach ist eine neue Anmeldung mit zweitem Faktor nötig. Einstellungen und beendete Verbindungen speichert Meykt zur Nachvollziehbarkeit, bis die Organisation bzw. das Nutzerkonto gelöscht wird (Ziffer 17). Im Bereich „KI-Zugang“ erscheint eine Verbindung nicht mehr, sobald sie getrennt ist – vom Owner oder automatisch –; dass und warum sie getrennt wurde, steht im Verlauf.

Trennen und Abschalten: Der Owner kann einzelne Verbindungen jederzeit im Bereich „KI-Zugang“ trennen und die Freigaben ändern. Schaltet er den KI-Zugang aus, sind alle Verbindungen sofort getrennt und noch nicht eingelöste Anmelde-Codes verworfen. Beim Trennen und beim Abschalten verwirft Meykt auch die offenen Anfragen der betroffenen Verbindungen. Verbindungen enden außerdem, wenn die Person nicht mehr Owner ist oder sich Passwort, E-Mail-Adresse oder zweite Faktoren ändern. Daten, die die KI-Anwendung bis dahin abgerufen hat, verbleiben beim KI-Anbieter nach dessen Bedingungen. Aktionen, mit denen sie Daten angelegt oder geändert hat, kann der Owner auch danach rückgängig machen, soweit sie sich rückgängig machen lassen und solange sie im Änderungsprotokoll stehen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für die vom Kunden eingerichtete Funktion. Soweit Meykt Sicherheitsdaten und den Verlauf zur Absicherung der Verbindungen, zur Missbrauchsabwehr und zur Nachvollziehbarkeit verarbeitet, ist Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO. Für personenbezogene Daten, die der Kunde in Meykt über Endkunden, Mitarbeiter oder Geschäftspartner verarbeitet, handelt die Dumanu GmbH nach Ziffer 9 als Auftragsverarbeiter: Sie stellt diese Daten der KI-Anwendung nur auf Weisung des Kunden bereit, und ebenso auf seine Weisung legt sie Daten an, ändert sie und löst die beschriebenen Vorgänge aus, wenn die KI-Anwendung das im freigegebenen Umfang veranlasst, und führt dazu Änderungsprotokoll, Anfragen, Workflow-Entwürfe und Revisionen.

11. Meykt Agent und lokale Maschinensteuerung

Der Meykt Agent ist eine lokale Desktop-Anwendung, die in der Produktionsumgebung des Kunden installiert wird. Der Agent kann mit Meykt Central kommunizieren und je nach Konfiguration lokale Aktionen ausführen, etwa:

• Maschinenbefehle empfangen oder ausführen
• lokale Software oder Maschinen-Schnittstellen ansprechen
• Dateien öffnen, bereitstellen, drucken oder an Maschinen übergeben
• Status- und Ergebnisdaten an Meykt Central melden
• Produktionsschritte bestätigen oder protokollieren

Dabei können personenbezogene und technische Daten verarbeitet werden, zum Beispiel Nutzerkennungen, Stationsdaten, Maschinenzuordnungen, Produktionsauftragsdaten, Dateipfade, Dateinamen, Statusmeldungen, Fehlerlogs und Ausführungsergebnisse.

Die Verarbeitung erfolgt zur Bereitstellung der vom Kunden konfigurierten lokalen Produktionsfunktionen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Fehlerdaten werden zusätzlich auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeitet.

Der Kunde entscheidet, welche lokalen Maschinen, Programme, Dateien und Automationen verbunden werden. Der Kunde bleibt dafür verantwortlich, dass der Einsatz des Meykt Agent in seiner Produktionsumgebung zulässig, sicher und arbeitsrechtlich sowie datenschutzrechtlich abgesichert ist.

12. Zahlungsabwicklung und Abrechnung

Sobald kostenpflichtige Tarife aktiviert sind, wickeln wir Zahlungen, Abonnements und Rechnungen über Paddle ab. Paddle ist dabei nicht nur Zahlungsdienstleister, sondern Verkäufer der Leistung (Merchant of Record): Der Kaufvertrag über das Abonnement kommt mit Paddle zustande, Paddle stellt die Rechnung aus und führt die Umsatzsteuer ab. Paddle verarbeitet dabei je nach Zahlungsart insbesondere folgende Zahlungs- und Rechnungsdaten:

• Name, Unternehmen und Rechnungsdaten
• E-Mail-Adresse
• Zahlungsart und Zahlungsstatus
• Rechnungs- und Steuerdaten
• technische Zahlungs- und Betrugspräventionsdaten

Die Verarbeitung erfolgt zur Vertragsdurchführung und Abrechnung auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO sowie zur Erfüllung gesetzlicher Pflichten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Aufgrund seiner Rolle als Verkäufer ist Paddle für die Zahlungs-, Rechnungs- und Steuerdaten eigenständig verantwortlich und nicht unser Auftragsverarbeiter; das gilt insbesondere für Betrugsprävention, Compliance, Zahlungsnetzwerkpflichten und gesetzliche Aufbewahrungspflichten. Wir selbst speichern zu einem Abonnement nur die Kennung des Zahlungskontos, die gewählte Tarifstufe, den Status und den Abrechnungszeitraum — keine Kreditkarten- oder Kontodaten.

13. KI-Funktionen

Meykt stellt KI-Funktionen bereit, derzeit insbesondere einen KI-Assistenten zur Workflow-Unterstützung sowie KI-gestützte Übersetzungsfunktionen. Weitere KI-Funktionen, etwa zur Unterstützung bei Auswertungen, Texten, Zuordnungen, Datenaufbereitung oder Fehleranalyse, können hinzukommen. KI-Funktionen werden nur eingesetzt, wenn sie für die jeweilige Funktion aktiviert oder vertraglich vorgesehen sind.

Je nach Funktion können Eingaben, Dateien, Auftragsdaten, Produktdaten, Prozessdaten, technische Logs oder sonstige vom Nutzer ausgewählte Inhalte an einen KI-Dienstleister übermittelt werden. Als KI-Dienstleister setzen wir derzeit die Gemini-API von Google ein; das gilt auch für den öffentlichen Parameter-Assistenten der Meykt Community. Dabei können Daten auch außerhalb der Europäischen Union, insbesondere in den USA, verarbeitet werden; es gelten die Angaben in Ziffer 16. Sofern künftig weitere Anbieter eingebunden werden, werden diese in dieser Datenschutzerklärung oder einer Subprozessorenliste ausgewiesen.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die KI-Funktion Bestandteil des gebuchten Dienstes ist, oder Art. 6 Abs. 1 lit. a DSGVO, soweit eine gesonderte Einwilligung erforderlich ist. Für Sicherheits-, Qualitäts- und Missbrauchsschutzmaßnahmen kann Art. 6 Abs. 1 lit. f DSGVO einschlägig sein.

Meykt setzt KI-Dienste nur mit geeigneten vertraglichen Datenschutzregelungen ein. Kundendaten werden von Meykt nicht zu eigenen Modelltrainingszwecken verwendet. Soweit ein KI-Anbieter Optionen zur Nutzung von Kundendaten für Modelltraining oder Produktverbesserung anbietet, werden solche Optionen für geschäftliche Kundendaten deaktiviert, soweit dies vertraglich und technisch möglich ist.

Protokollierung und Auswertung der Gespräche mit den kontobezogenen KI-Assistenten: Bei den eingeloggten KI-Assistenten (dem Assistenten Meyki und dem Workflow-Assistenten) speichert Meykt zu jeder Nachricht den eingegebenen Text, die sichtbare Antwort, gegebenenfalls Verweise auf Screenshots, die auf Nachfrage des Assistenten hochgeladen wurden, Zeitpunkt, Nutzerkonto, Organisation und Gesprächskennung sowie technische Angaben wie das verwendete Modell, den Token-Verbrauch und das abgerechnete Guthaben. Bewertet jemand eine Antwort als hilfreich oder nicht hilfreich, werden die Bewertung und die bewertete Antwort gespeichert. Bei Meyki ordnet der KI-Dienstleister im Rahmen derselben Anfrage zusätzlich automatisiert ein, ob eine Nachricht auf einen Fehler in Meykt, eine Verständnislücke oder einen Funktionswunsch hindeutet; diese Einordnung wird mit einer Einschätzung ihrer Sicherheit gespeichert. Ruft Meyki Betriebs- oder Kundendaten ab, können diese in den Antworten und damit in den Protokollen enthalten sein.

Die Protokolle dienen der Qualitätssicherung und Fehleranalyse, der Missbrauchsprävention und Nutzungsbegrenzung, der Abrechnung des Guthabens sowie der Verbesserung von Meykt und der Hilfe-Inhalte – insbesondere, um wiederkehrende Fragen, Fehler, fehlende Erklärungen und Funktionswünsche zu erkennen. Hierzu berechtigte Beschäftigte der Dumanu GmbH können die Gespräche organisationsübergreifend einsehen und auswerten; andere Mitglieder der Kunden-Organisation erhalten keinen Zugriff auf die Protokolle einer Person. Zum Training von KI-Modellen werden die Protokolle nicht verwendet. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem sicheren, verlässlichen und verständlichen Dienst und in dessen Weiterentwicklung. Für die Abrechnung des Guthabens ist Rechtsgrundlage Art. 6 Abs. 1 lit. b DSGVO. Gegen die Verarbeitung auf Grundlage berechtigter Interessen kannst du nach Art. 21 DSGVO Widerspruch einlegen (Ziffer 18). Zur Speicherdauer siehe Ziffer 17.

Öffentlicher Community-Parameter-Assistent: Dieser Assistent kann ohne Konto verwendet werden. Verarbeitet werden die eingegebene Frage, die Sprache, die zur Beantwortung ausgewählten öffentlichen Parameterkarten und eine zufällig erzeugte, pseudonyme Besucherkennung zur Begrenzung von Missbrauch und Kosten. Meykt speichert die Fragen und Antworten dieses öffentlichen Assistenten nicht dauerhaft in der eigenen Datenbank; erfasst werden nur aggregierte technische Nutzungswerte wie Anzahl, Tokenmenge, Laufzeit und Fehlerstatus. Die Eingaben werden zur Antworterzeugung an Google übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in der anonym zugänglichen Bereitstellung einer quellengebundenen Parameterhilfe sowie im Schutz vor Missbrauch. Zum Schutz vor automatisierten Massenanfragen prüft Vercel BotID beim Absenden einer Frage technische Browser- und Gerätesignale; dabei werden keine Inhalte der Frage ausgewertet. Nutzer sollten keine personenbezogenen oder vertraulichen Inhalte eingeben.

Vorschläge für die öffentliche Parameter-Bibliothek: Kunden können einen eigenen Parametersatz zur Aufnahme in die öffentliche Bibliothek vorschlagen. Übermittelt und beim Meykt-Team gespeichert werden dabei der Parametersatz selbst (Verfahren, Werkstoff, Stärke, Maschine, Werkzeug, Einstellwerte, Hinweise) sowie ein vom Einreichenden selbst gewählter Anzeigename. Der Anzeigename wird bei Aufnahme dauerhaft öffentlich neben dem Eintrag angezeigt; wer keinen Personenbezug wünscht, wählt einen Betriebs- oder Fantasienamen. Nicht übermittelt werden Angaben zur Organisation, Bestände, Preise, Kunden- oder Auftragsdaten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch das bewusste Absenden des Vorschlags). Die Einwilligung kann jederzeit widerrufen werden; ein noch nicht beschiedener Vorschlag lässt sich in der Anwendung zurückziehen, ein bereits veröffentlichter Eintrag wird auf Anfrage anonymisiert oder entfernt. Zur Rückmeldung über die Entscheidung speichern wir zusätzlich, welches Konto den Vorschlag eingereicht hat; diese Zuordnung wird nicht veröffentlicht.

Betriebs-Profil des KI-Assistenten (Gedächtnis): Auf Wunsch kann sich der KI-Assistent einzelne, vom Kunden bestätigte Angaben über den Betrieb der Kunden-Organisation merken (zum Beispiel eingesetzte Fertigungsverfahren, Vertriebswege oder verwendete Programme), um Antworten auf die Organisation zuzuschneiden. Diese Funktion wird nur aktiviert, wenn ein hierzu berechtigter Vertreter der Kunden-Organisation zuvor ausdrücklich einwilligt; Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO. Gespeichert werden ausschließlich Einträge, die ein Nutzer im Gespräch ausdrücklich bestätigt oder selbst in den Einstellungen angelegt hat. Alle gespeicherten Einträge sind für die Organisation jederzeit in den Einstellungen einsehbar, änderbar und einzeln oder vollständig löschbar. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden; ab dem Widerruf werden die Einträge nicht mehr verwendet. Bei aktivierter Funktion werden die gespeicherten Einträge zusammen mit den Chat-Eingaben an den in dieser Ziffer genannten KI-Dienstleister übermittelt. Nutzer sollen im Betriebs-Profil keine personenbezogenen Daten Dritter (etwa Namen oder Bestelldaten von Endkunden) speichern.

Meykis Zugriff auf Betriebs- und Kundendaten: Meyki verwendet die gemeinsamen Werkzeuge und Feldprüfungen des KI-Zugangs. Im Rahmen der Rechte der nutzenden Person kann Meyki Betriebsdaten der Kunden-Organisation sowie personenbezogene Kundendaten abrufen, insbesondere Namen, E-Mail-Adressen, Telefonnummern, Rechnungs- und Lieferanschriften, Bestellungen, Personalisierungsangaben und freigegebene Shop- und Workflow-Laufdaten. Die abgerufenen Angaben werden zusammen mit den Chat-Eingaben zur Bearbeitung der Anfrage an den in dieser Ziffer genannten KI-Dienstleister übermittelt. Meyki kann darüber hinaus Vorgänge mit denselben Werkzeugen vorbereiten; Änderungen werden erst nach der ausdrücklichen Bestätigung der konkreten Vorschau durch eine hierzu berechtigte Person ausgeführt. Für Vorschauen, Freigaben und Aktionsnachweise gelten die in Ziffer 10 beschriebenen Protokoll- und Aufbewahrungsregeln; die Nachweise können die betroffenen Betriebs- und Kundendaten enthalten. Zugangsdaten und andere Geheimnisse sowie der eigenen Organisation nicht zugängliche Daten werden weiterhin nicht bereitgestellt. Der erweiterte Datenzugriff wird erst aktiviert, wenn ein hierzu berechtigter Vertreter der Kunden-Organisation der aktuellen Fassung ausdrücklich zustimmt. Frühere Zustimmungen zum Umfang ohne Kundendaten werden nicht übernommen. Jede nutzende Person bestätigt danach persönlich den aktuellen Hinweis zum Datenzugriff. Die Organisationsfreigabe ersetzt keine erforderliche Rechtsgrundlage für die Verarbeitung der Kundendaten; dafür bleibt die Kunden-Organisation verantwortlich. Der Auftragnehmer verarbeitet diese Daten auf Weisung nach dem Auftragsverarbeitungsvertrag. Die Freigabe kann jederzeit mit Wirkung für die Zukunft widerrufen werden; danach lässt sich Meyki nicht mehr verwenden.

Meyki und verbundene KI-Anwendungen: Meyki wird von Meykt bereitgestellt und übermittelt die für die Anfrage abgerufenen Daten an den in dieser Ziffer genannten KI-Dienstleister. Verbindet der Kunde über den KI-Zugang (Ziffer 10) eine KI-Anwendung eines Drittanbieters, bestimmt der Owner deren Datenumfang und Handlungsmöglichkeiten über die dortigen Schalter; der Anbieter dieser Anwendung ist kein von Meykt eingesetzter KI-Dienstleister. Beide Zugangswege verwenden dieselben Werkzeuge und Feldprüfungen. Die wirksamen Nutzerrechte, Organisationsgrenzen, erforderlichen gesonderten Freigaben und der Schutz von Zugangsdaten bleiben auf beiden Wegen erhalten.

Der Kunde ist dafür verantwortlich, keine besonders sensiblen oder gesetzlich besonders geschützten Inhalte in KI-Funktionen einzugeben, soweit dies nicht ausdrücklich vereinbart und abgesichert ist.

13a. Bild-Vektorisierung

Über die Tools-Funktion „Vektorisierung“ können Nutzer Pixelbilder (zum Beispiel Logos) in Vektorgrafiken umwandeln. Hierzu wird die vom Nutzer ausgewählte Bilddatei an einen externen, auf Bild-Vektorisierung spezialisierten Dienstleister mit Sitz in den USA übermittelt und dort verarbeitet.

Verarbeitet werden insbesondere die hochgeladene Bilddatei, das erzeugte Vektorergebnis sowie technische Verarbeitungsdaten (zum Beispiel Format, Größe und Zeitpunkt der Verarbeitung).

Die Übermittlung erfolgt ausschließlich, wenn der Nutzer die Funktion aktiv auslöst und der Übermittlung zuvor ausdrücklich zustimmt. Rechtsgrundlage ist die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. Die damit verbundene Übermittlung in die USA wird auf Art. 49 Abs. 1 lit. a DSGVO (ausdrückliche Einwilligung in die Datenübermittlung) gestützt. Die Einwilligung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, indem die Funktion nicht weiter genutzt wird.

Hinweis zur Drittlandübermittlung: Für den eingesetzten Dienstleister liegen kein Angemessenheitsbeschluss, kein Auftragsverarbeitungsvertrag und keine Standardvertragsklauseln vor. Es besteht daher das Risiko, dass US-Behörden auf übermittelte Daten zugreifen und dass dem Nutzer die in der EU vorgesehenen Rechtsbehelfe nicht im gleichen Umfang zur Verfügung stehen.

Speicherung beim Dienstleister: Der Dienstleister speichert die hochgeladene Datei und das Ergebnis nach seinen Bedingungen vorübergehend, nach derzeitigem Stand bis zu rund zwei Wochen; bei kontogebundenen Datensätzen kann die Speicherung länger andauern. Eine kürzere Löschung können wir nicht garantieren.

Nutzung zu Trainingszwecken: Der Dienstleister behält sich vor, übermittelte Bilder zur Entwicklung, zum Training und zur Verbesserung seiner eigenen Verfahren und Modelle zu verwenden. Ein Widerspruch hiergegen ist beim Dienstleister nicht vorgesehen. Nutzer sollten daher keine Bilder mit personenbezogenen Daten Dritter oder vertraulichen Inhalten vektorisieren und nur Bilder hochladen, an denen sie die erforderlichen Rechte halten.

An der erzeugten Vektorgrafik erwirbt der Dienstleister keine Rechte; die Ergebnisse stehen dem Nutzer im Rahmen seiner Rechte am Ausgangsbild zu. Die Funktion ist optional; Nutzer können stattdessen bereits vektorisierte Dateien verwenden, ohne den externen Dienst zu nutzen.

13b. Bild-Freisteller (Hintergrundentfernung)

Über die Tools-Funktion „Freisteller“ können Nutzer den Hintergrund von Bildern (zum Beispiel Produktfotos) automatisch entfernen. Die Hintergrundentfernung selbst erfolgt auf eigener Hardware innerhalb unserer Infrastruktur in der Europäischen Union; die Bilddatei wird dorthin über eine verschlüsselte Verbindung übertragen. Für die Verarbeitung wird das Bild in unserem Dateispeicher bei Supabase (Ziffer 15) zwischengespeichert. An spezialisierte Bild-Dienstleister wird es nicht übermittelt, und es wird nicht zu Trainingszwecken Dritter verwendet.

Verarbeitet werden die hochgeladene Bilddatei, das erzeugte freigestellte Bild sowie technische Verarbeitungsdaten (zum Beispiel verwendetes Verfahren, Größe und Zeitpunkt der Verarbeitung).

Die Verarbeitung erfolgt nur, wenn der Nutzer die Funktion aktiv auslöst. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der vom Nutzer angeforderten Funktion) sowie Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Funktion). Eine gesonderte Einwilligung wie bei der Bild-Vektorisierung ist nicht erforderlich, da das Bild nicht an einen externen Bild-Dienstleister übermittelt wird.

Speicherdauer: Die hochgeladene Bilddatei und das erzeugte Ergebnis werden zur Bereitstellung der Funktion (einschließlich automatischer Wiederholungen bei technischen Fehlern) vorübergehend in unserer Infrastruktur gespeichert und spätestens nach 14 Tagen automatisch gelöscht. Wird die Funktion in andere Bereiche der Plattform eingebettet (zum Beispiel zur Bearbeitung von Produktbildern), gelten zusätzlich die dort jeweils angegebenen Speicher- und Löschregeln.

14. Sicherheit, Missbrauchsprävention und Audit-Logs

Zur Sicherheit der Plattform verarbeiten wir technische Logs, Authentifizierungsereignisse, Rollenänderungen, Systemereignisse, API-Zugriffe, Fehlerdaten, sicherheitsrelevante Konfigurationen und Audit-Logs.

Die Verarbeitung dient der Erkennung von Missbrauch, der Aufklärung von Sicherheitsvorfällen, der Nachvollziehbarkeit administrativer Änderungen und der Stabilität des Dienstes. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO. Soweit gesetzliche Pflichten bestehen, ist Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO.

Fehlerüberwachung (Sentry)

Damit wir Programmfehler auf der Website, in der Hilfe, in der Community und in der Meykt-Plattform schnell bemerken und beheben können, setzen wir den Dienst Sentry der Functional Software, Inc. (USA) ein. Die Daten werden in der EU-Datenregion (Frankfurt am Main) gespeichert. Tritt ein Fehler auf, wird ein Fehlerbericht übermittelt. Er enthält:

• technische Fehlerdaten: Fehlermeldung, Fehlerart und Programmstelle (Stacktrace), Zeitpunkt, betroffene Programmversion (Release) und Umgebung,
• die betroffene Seite als Adresse ohne Zugangs-Tokens aus Einladungs-, Anfrage-, Kiosk- und Verbindungs-Links und ohne angehängte Parameter (alles nach „?“ und „#“),
• Browser, Betriebssystem und Gerätetyp (aus der Browserkennung) sowie die vorher aufgerufenen Seiten und Netzwerkanfragen als Adressen in derselben gekürzten Form.

Vor dem Versand ersetzen wir E-Mail-Adressen, Zugangsschlüssel, Anmelde-Tokens, IP-Adressen und Datenbank-Detailwerte in Fehlertexten durch Platzhalter. Nicht übermittelt werden: deine IP-Adresse als Teil des Fehlerberichts (wir senden sie nicht mit und lassen sie nicht ableiten; für den Verbindungsaufbau ist sie technisch bedingt sichtbar), Cookies, Anmelde-Kopfzeilen, Eingaben in Formularfelder, Klicks, Konsolenausgaben und Formularinhalte. Es findet keine Sitzungsaufzeichnung und keine Leistungs- oder Nutzungsanalyse statt; Sentry wird nicht zu Werbe- oder Analysezwecken eingesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse liegt in einem stabilen, sicheren und fehlerfreien Betrieb. Sentry verarbeitet die Daten als unser Auftragsverarbeiter. Zur Übermittlung in die USA siehe Ziffer 16. Die Fehlerberichte werden beim Anbieter nach Ablauf der für unser Konto geltenden Aufbewahrungsfrist automatisch gelöscht; wir können einzelne Berichte jederzeit vorher löschen.

15. Empfänger und Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, wenn dies für die genannten Zwecke erforderlich ist, eine gesetzliche Pflicht besteht, der Nutzer eingewilligt hat oder eine sonstige Rechtsgrundlage vorliegt.

Zu den eingesetzten Dienstleistern gehören insbesondere:

Der Anbieter einer vom Kunden über den KI-Zugang angebundenen KI-Anwendung (etwa Anthropic oder OpenAI) ist kein von Meykt eingesetzter Dienstleister und deshalb nicht in dieser Tabelle aufgeführt; er erhält Daten nur auf Veranlassung des Kunden (Ziffer 10). Dasselbe gilt für Shop-Plattformen und Dienste wie Billbee, die der Kunde selbst mit Meykt verbindet (Ziffer 10). YouTube (Google) erhält Daten nur, wenn du ein eingebettetes Video lädst, und verarbeitet sie als eigener Verantwortlicher (Ziffer 6).

Die konkrete Liste der Subprozessoren kann sich ändern, wenn Dienste ersetzt, ergänzt oder erweitert werden. Wesentliche Änderungen werden in geeigneter Weise mitgeteilt, soweit dies vertraglich oder gesetzlich erforderlich ist.

16. Drittlandübermittlungen

Einige von uns eingesetzte Dienstleister haben Sitz oder Verarbeitungskapazitäten außerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums, insbesondere in den USA. Dabei können personenbezogene Daten in Drittländer übermittelt werden.

Soweit Daten in Drittländer übermittelt werden, stützen wir die Übermittlung auf geeignete Garantien, insbesondere:

• Angemessenheitsbeschlüsse der Europäischen Kommission, etwa das EU-U.S. Data Privacy Framework, soweit der jeweilige Anbieter zertifiziert ist
• Standardvertragsklauseln der Europäischen Kommission
• ergänzende technische und organisatorische Maßnahmen
• vertragliche Auftragsverarbeitungsvereinbarungen

In Einzelfällen setzen wir Dienste ein, für die keine der vorgenannten Garantien (Angemessenheitsbeschluss, Standardvertragsklauseln oder Auftragsverarbeitungsvertrag) vorliegt. Dies betrifft insbesondere die Funktion Bild-Vektorisierung. Die Übermittlung in die USA erfolgt dort ausschließlich auf Grundlage der ausdrücklichen Einwilligung des Nutzers nach Art. 49 Abs. 1 lit. a DSGVO, nachdem dieser über die damit verbundenen Risiken informiert wurde.

Die Fehlerüberwachung Sentry (Ziffer 14) speichert die Fehlerberichte in der EU (Frankfurt am Main). Weil der Anbieter, die Functional Software, Inc., seinen Sitz in den USA hat, ist ein Zugriff aus den USA nicht ausgeschlossen. Wir stützen ihn auf das EU-U.S. Data Privacy Framework, soweit der Anbieter zertifiziert ist, und ergänzend auf die Standardvertragsklauseln der Europäischen Kommission im Auftragsverarbeitungsvertrag mit dem Anbieter.

Übermittlungen an den Anbieter einer vom Kunden über den KI-Zugang angebundenen KI-Anwendung veranlasst der Kunde; die Voraussetzungen des Kapitels V DSGVO stellt er sicher (Ziffer 10).

17. Speicherdauer und Löschung

Wir speichern personenbezogene Daten nur so lange, wie es für die jeweiligen Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen.

Grundsätzlich gelten folgende Speicherfristen:

• Nutzerkonto- und Vertragsdaten werden für die Dauer des Vertrags gespeichert.
• Innerhalb des laufenden Vertrags räumt die Plattform bestimmte Inhalte automatisch auf. Dies betrifft insbesondere Fotos und Dateien aus abgeschlossenen Produktionsaufträgen und Stationsläufen; sie werden nach einer von der gebuchten Tarifstufe abhängigen Frist von 180, 365 oder 730 Tagen endgültig gelöscht (in der höchsten Stufe unbegrenzt vorgehalten). Laufende oder pausierte Aufträge sind davon nicht betroffen. Weitere automatische Löschungen betreffen stornierte und nie abgeschickte Anfragen (90 Tage), Bilder in den Bild-Werkzeugen (14 Tage), automatisch abgeholte Import-Quelldateien (30 Tage) und Benachrichtigungen (90 Tage). Die jeweils für den Kunden geltenden Fristen sind in der Anwendung unter „Einstellungen → Nutzung & Guthaben" einsehbar.
• Nach Vertragsende werden Plattform- und Kundendaten grundsätzlich für 30 Tage vorgehalten, um eine Wiederherstellung, Migration oder versehentliche Kündigungsfolgen abzufangen. Danach werden sie gelöscht oder anonymisiert, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
• Rechnungs-, Zahlungs- und steuerlich relevante Unterlagen werden entsprechend den gesetzlichen Aufbewahrungspflichten gespeichert, in der Regel sechs bis zehn Jahre.
• Double-Opt-in-Tokens werden nur gehasht gespeichert und nach sieben Tagen ungültig. Nicht bestätigte Anfragen werden nur so lange aufbewahrt, wie dies für die Abwicklung, Fehleranalyse und Missbrauchsabwehr erforderlich ist, und anschließend gelöscht oder anonymisiert. Nachweise bestätigter oder widerrufener Einwilligungen bewahren wir so lange auf, wie dies zur Erfüllung unserer Nachweis- und Rechenschaftspflichten sowie zur Abwehr möglicher Rechtsansprüche erforderlich ist; danach werden sie gelöscht oder anonymisiert.
• Sicherheits-, System- und Audit-Logs werden grundsätzlich nur so lange gespeichert, wie sie für Sicherheit, Nachvollziehbarkeit und Fehleranalyse erforderlich sind. Soweit keine längere Speicherung erforderlich ist, werden sie in der Regel nach spätestens 90 Tagen gelöscht oder anonymisiert. Abweichend davon werden die Einträge im Verlauf und im Änderungsprotokoll des KI-Zugangs 180 Tage aufbewahrt und danach automatisch gelöscht (Ziffer 10).
• Protokolle der Gespräche mit den kontobezogenen KI-Assistenten samt Bewertungen und Screenshots (Ziffer 13): Eine feste Löschfrist besteht derzeit nicht; sie bleiben gespeichert, solange die Organisation besteht. Für das Vertragsende gilt die oben genannte Regel. Wird ein Nutzerkonto gelöscht, entfällt die Zuordnung der Protokolle zu diesem Konto.
• Anfragen der über den KI-Zugang verbundenen KI-Anwendung samt Vorschau 180 Tage nach der Entscheidung bzw. nach ihrem Ablauf und frühere Live-Stände von Workflows (Revisionen) 180 Tage nach ihrer Entstehung, jeweils nicht, solange die zugehörige Aktion noch im Änderungsprotokoll steht, Revisionen mit dem Workflow bzw. der Organisation auch früher; Workflow-Entwürfe bis zum Veröffentlichen oder Verwerfen, höchstens bis zur Löschung des Workflows bzw. der Organisation; Test-Sitzungen und Laufprotokolle von Simulations-Testläufen bis zur Löschung des Workflows bzw. der Organisation (Ziffer 10).
• Versandeinstellungen und ihre fachlichen Änderungsbelege bis zur Löschung der Organisation; einzelne nicht mehr verwendete Einstellungen können vorher entfernt werden. Versandzugangsdaten bis zum Ersetzen, ausdrücklichen Entfernen oder Löschen der Organisation. Nach dem Entfernen bleiben lediglich Einrichtungsstatus, Versionszähler und Änderungszeitpunkt mit handelnder Person erhalten, solange das Konto besteht.
• Fehlgeschlagene Anmeldeversuche (nur Hashes von E-Mail- und IP-Adresse): 24 Stunden.
• Dateien eines Datenexports der Organisation: 48 Stunden, danach automatische Löschung; der Inhaber kann sie vorher löschen.
• Fehlerberichte der Fehlerüberwachung Sentry (Ziffer 14): automatische Löschung beim Anbieter nach Ablauf der für unser Konto geltenden Aufbewahrungsfrist; einzelne Berichte löschen wir bei Bedarf früher.
• Daten der Zwei-Faktor-Anmeldung: Wiederherstellungs-Codes (nur als Hash) bis zum Einlösen, Neu-Erzeugen oder Entfernen der Zwei-Faktor-Anmeldung; gemerkte Geräte höchstens 30 Tage; Sitzungs-Bescheinigungen höchstens 12 Stunden; Vermerke „Code über Meykt bestätigt“ höchstens 30 Tage; Zähler der Code-Versuche bis einen Tag nach der letzten Änderung; der Zeitpunkt, zu dem die Code-Abfrage wegen einer Organisation mit Pflicht wieder eingeschaltet wurde, bis zur nächsten Anmeldung mit Code; „Warst du das nicht?“-Links bis 30 Tage nach Ablauf; Protokoll der Support-Wiederherstellung drei Jahre; Einstellungen bis zur Löschung des Nutzerkontos bzw. der Organisation (Ziffer 8).
• Backups werden nach dem jeweiligen Backup-Zyklus überschrieben oder gelöscht. Eine gezielte Einzellöschung aus bereits bestehenden Backups kann technisch eingeschränkt sein; in diesem Fall erfolgt die Löschung spätestens mit Ablauf des Backup-Zyklus.

18. Betroffenenrechte

Betroffene Personen haben nach Maßgabe der gesetzlichen Voraussetzungen folgende Rechte:

• Auskunft über die verarbeiteten personenbezogenen Daten, Art. 15 DSGVO
• Berichtigung unrichtiger Daten, Art. 16 DSGVO
• Löschung, Art. 17 DSGVO
• Einschränkung der Verarbeitung, Art. 18 DSGVO
• Datenübertragbarkeit, Art. 20 DSGVO — Kunden können die Daten ihrer Organisation jederzeit selbst als JSON exportieren (Einstellungen → Abrechnung → Daten exportieren).
• Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen, Art. 21 DSGVO
• Widerruf erteilter Einwilligungen mit Wirkung für die Zukunft, Art. 7 Abs. 3 DSGVO
• Beschwerde bei einer Datenschutzaufsichtsbehörde, Art. 77 DSGVO

Die zuständige Aufsichtsbehörde für die Dumanu GmbH ist:

19. Pflicht zur Bereitstellung von Daten

Die Bereitstellung bestimmter Daten ist erforderlich, um die Website aufzurufen, ein Nutzerkonto anzulegen, Verträge zu erfüllen, Zahlungen abzuwickeln oder Meykt-Funktionen zu nutzen. Ohne diese Daten können wir die jeweiligen Leistungen nicht oder nur eingeschränkt bereitstellen.

20. Automatisierte Entscheidungen

Eine automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet derzeit nicht statt. Auch die eingesetzten KI-Funktionen treffen keine Entscheidungen, die rechtliche Wirkung entfalten oder Nutzer in ähnlicher Weise erheblich beeinträchtigen. Soweit künftig Funktionen eingesetzt werden, die solche Wirkungen haben könnten, werden wir dies gesondert kenntlich machen und die gesetzlichen Anforderungen beachten.

21. Änderungen dieser Datenschutzerklärung

Wir können diese Datenschutzerklärung anpassen, wenn sich unsere Dienste, eingesetzte Anbieter, rechtliche Anforderungen oder technische Abläufe ändern. Es gilt die jeweils veröffentlichte Fassung.

Bei Fragen zum Datenschutz erreichst du uns unter info@meykt.com.