1. Controller

The controller responsible for the processing of your personal data (Verantwortlicher) is:

TillyBoard (owner: Fynn Schmidt), Oberlohnstraße 3, 78467 Konstanz, Germany. Contact: admin@tillyboard.com, phone +49 7531 693 156. Full details in the imprint.

2. Visiting this website (server logs)

Our marketing website is hosted on Railway (Railway Corp.) in the EU region europe-west4 (Amsterdam, Netherlands). When you load a page, our hosting infrastructure processes technical access data — IP address, date and time of the request, the page requested, referrer, and user agent — in server logs. This is necessary to deliver the site, keep it secure, and defend against abuse.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in a secure, reliably functioning website). Log data is retained only as long as technically necessary and then deleted or anonymised.

3. Cookies & local storage

Without your consent the public marketing website sets no cookies at all. We store one value in your browser's localStorage — your language choice (tg_lang) — so the site remembers your preferred language. This value stays on your device and is not transmitted to us. Your cookie choice itself is stored the same way (tg_consent). Analytics and marketing cookies are only set after you agree; see section 4.

A technically required session cookie is only set inside the password-protected admin area, which is not accessible to normal visitors. Legal basis for the strictly necessary local storage and admin session: Art. 6(1)(f) GDPR / § 25 (2) TDDDG (strictly necessary for a service you requested).

4. Analytics & marketing (cookies only with your consent)

We use two Google services (both operated by Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland): Google Analytics 4 to understand how this site is used — which pages are read, which are not — and Google Ads to measure which of our ads lead to a sign-up (conversion tracking) and, where applicable, for remarketing. Both run through Google’s tag script (gtag.js), which is loaded with every page and operates in Google Consent Mode.

Before you agree — and if you decline — all consent categories (analytics as well as advertising) remain set to “denied”: the tag sets no cookies, reads no cookies and does not access any other storage on your device. It only sends cookieless signals to Google — the address of the page you are viewing, the referring page, a random number generated anew for each request, the time and your consent state; ad click identifiers are redacted. These signals contain no persistent identifier and cannot be linked to you across pages or visits; Google uses them in aggregated form to statistically model how many visits and sign-ups our ads generate. Legal basis for these cookieless signals: Art. 6(1)(f) GDPR (our legitimate interest in measuring the reach and effectiveness of our advertising). On your first visit a banner asks for your consent.

If you agree, both services store cookies on your device and process a shortened IP address, the pages you visit, approximate location (country/region level), and browser and device data. Google Ads additionally records whether your visit followed one of our ads and whether it led to a sign-up. Data may be transferred to the USA on the basis of the EU standard contractual clauses and the EU–US Data Privacy Framework.

Enhanced conversions (Google Ads): if you have agreed, the Google Ads tag also looks for contact details you have entered on the page yourself — email address, phone number, name and postal address. Any such value is hashed with SHA-256 in your browser and transmitted to Google in that hashed form only, where it is matched against Google accounts so that a sign-up can be attributed to a click on one of our ads. The plain-text values are never transmitted, and Google may not use them for any other purpose. Without your consent nothing is collected, and collection stops as soon as you withdraw it.

Meta Pixel: we also use the Meta Pixel (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland) to measure whether our ads on Facebook and Instagram lead to sign-ups and to build advertising audiences. Unlike the Google tag, the pixel is only loaded after you have consented — before that, no request is sent to Meta at all and no data leaves your browser. If you agree, the pixel sets cookies (e.g. _fbp) and processes your IP address, browser and device data, the pages you visit and events such as a sign-up or contact request. Meta may link this data to your Facebook or Instagram account and also uses it for its own purposes; for the collection and transmission of this data we and Meta are joint controllers (Art. 26 GDPR) — the essence of that arrangement is published by Meta (Controller Addendum). Data may be transferred to Meta Platforms, Inc. in the USA on the basis of the EU Standard Contractual Clauses and the EU-U.S. Data Privacy Framework. Details: Meta privacy policy.

Microsoft Clarity: to understand how visitors use our website, we use Microsoft Clarity (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland). Clarity creates heatmaps (where people click and how far they scroll) and records sessions as anonymised replays of mouse movements, clicks and scrolling. Clarity is only loaded after you have consented — before that, no request is sent to Microsoft. Text you type into forms is masked in your browser and never transmitted. If you agree, Clarity sets cookies (_clck, _clsk) and processes your IP address (shortened), browser and device data and your interactions with our pages. Data may be transferred to Microsoft Corporation in the USA on the basis of the EU Standard Contractual Clauses and the EU-U.S. Data Privacy Framework. Details: Microsoft privacy statement.

Legal basis for cookies and the full measurement: Art. 6(1)(a) GDPR and § 25 (1) TDDDG (consent). Your choice is stored in your browser's localStorage (tg_consent). You can withdraw it at any time with effect for the future: change your cookie choice. Retention: analytics data is deleted after 14 months at the latest; the Meta Pixel cookie (_fbp) expires after three months; Clarity keeps session recordings for 30 days and heatmap data for up to 13 months, its cookies expire after one year (_clck) and one day (_clsk).

Ad click attribution (Google Ads): if you arrive via one of our Google ads, the address contains a click ID (gclid, wbraid or gbraid). Only with your consent do we store it in our own cookie tg_ads_click (90 days). If you then create an account, the click ID is saved with your account; if you take out a paid plan, we report this conversion together with the click ID to Google Ads so that we can see which ads lead to customers. Without consent the click ID only stays in your browser tab's session storage and is discarded when you close the tab; declining or withdrawing consent deletes it. Legal basis: Art. 6(1)(a) GDPR and § 25 (1) TDDDG (consent).

5. Self-hosted fonts

All fonts are hosted on our own infrastructure. No requests are sent to Google Fonts or other third-party font CDNs when you load our pages, so no data is shared with such providers for the purpose of displaying text.

6. Embedded videos (Vimeo)

Some pages embed product videos from Vimeo (Vimeo.com, Inc., USA). On our homepage the player is only loaded when you click play — until then we show a preview image from our own server and no connection to Vimeo is made. We load the player in Vimeo’s Do-Not-Track mode (dnt=1), which instructs Vimeo not to set tracking cookies and not to collect analytics for these embeds. When a page with an embedded video loads, your browser still connects to Vimeo’s servers and transmits technical data such as your IP address — this is technically required to deliver the video.

Legal basis: Art. 6(1)(f) GDPR (legitimate interest in presenting our product on our own website). Transfers to the USA are safeguarded as described in section 15. For details, see Vimeo’s privacy policy.

7. Account & app usage

To use the TillyBoard web app (app.tillyboard.com) and our iPad, iPhone, and Watch apps, you create an account. We process the data you provide and generate in this context — in particular your email address, name, login credentials, and the project content you create (briefs, shot lists, storyboards, schedules, and related files).

Legal basis: Art. 6(1)(b) GDPR (performance of the contract for the use of the service). Account and project data is stored with Supabase (Supabase, Inc.), which provides our database and authentication as a processor on our behalf.

8. Payments

Paid plans are processed through Stripe (Stripe Payments Europe, Ltd. and affiliates). When you subscribe, you enter your payment details directly with Stripe; we receive the information needed to manage your subscription (e.g. plan, billing status, and the last digits of your payment method), but we do not store full card numbers. Legal basis: Art. 6(1)(b) GDPR (performance of the contract) and Art. 6(1)(c) (statutory retention duties). For details on how Stripe processes your data, see Stripe's privacy policy.

9. Contact form & email enquiries

If you use our contact form or write to us by email, we process your name, email address, the topic you choose, your message and your language setting in order to answer your enquiry. Contact form messages are not stored in a database; they are delivered to our inbox as an email via Resend (see section 11).

Legal basis: Art. 6(1)(b) GDPR where your enquiry relates to a contract or to steps prior to entering into one, otherwise Art. 6(1)(f) GDPR (our legitimate interest in answering enquiries addressed to us).

10. Booking a demo

On /book you can request a demo appointment by suggesting one or more preferred times. We process your name, email address, and — where you provide them — your company, phone number and message, together with the times you suggested, your time zone and language setting. To understand which channels bring enquiries, we also store the page you came from, your browser language and, if present, campaign parameters in the link (UTM parameters, Google Ads click ID). Our team receives your request by email and confirms one of the times; you then receive a confirmation with a calendar invitation (.ics), a reminder before the appointment and a personal link to reschedule or cancel. These emails are sent via Resend; the data is stored in our database at Railway (EU).

Legal basis: Art. 6(1)(b) GDPR (steps prior to entering into a contract at your request); for the analysis of the request source Art. 6(1)(f) GDPR (our legitimate interest in understanding which of our channels work). If the appointment takes place as a video call, the provider named in the invitation (e.g. Google Meet or Zoom) processes your connection data under its own privacy policy.

11. Sign-up, newsletter & emails

When you register or opt in to product updates, we process your email address to send you a confirmation email (double opt-in) and, after confirmation, service messages and occasional product news. Transactional and confirmation emails are sent through Resend (Resend, Inc.) as our processor.

Legal basis: Art. 6(1)(b) GDPR for service and transactional emails tied to your account, and Art. 6(1)(a) GDPR (consent) for optional product news. You can withdraw consent at any time — with effect for the future — via the unsubscribe link in any marketing email or by writing to admin@tillyboard.com.

To manage your email preferences we keep a contact record with your email address, name (if known), language, the source of your sign-up and a log of your consents and unsubscribes, so that we can prove your consent (Art. 7(1) GDPR). If you have a TillyBoard account, your account email and plan are added to this record; we only send you marketing emails if you have consented to them, and an opt-out in the app is respected.

Opens and clicks: our emails contain a small tracking pixel and links that are redirected via Resend, so we can see whether and when an email was opened and which links were clicked. We use this to improve our emails and to remove inactive addresses. Legal basis: your consent to receive the newsletter (Art. 6(1)(a) GDPR), for service emails Art. 6(1)(f) GDPR. If you do not want this, you can unsubscribe at any time or disable the loading of images in your email program.

12. Business contacts from public sources (B2B)

To find production companies, agencies, film schools and other businesses for whom TillyBoard may be useful, we research publicly available information: company websites and imprints, business and industry directories, public databases (e.g. Wikidata, OpenStreetMap), search engines and public company profiles on social networks. In doing so we may also store business contact details of individual people — name, role, business email address, business phone number and public profile link — together with the company, the source and notes on our contact. We do not have this data from you directly; this paragraph is our information under Art. 14 GDPR.

Legal basis: Art. 6(1)(f) GDPR (our legitimate interest in approaching potential business customers). We only contact businesses within the limits of competition law. You can object at any time by writing to admin@tillyboard.com; we will then delete your data and keep only what is needed to respect your objection. If no business relationship results, we delete the data after 24 months at the latest.

13. AI processing (Tilly AI)

Our AI features (Tilly AI) process the project content you submit — for example your brief or notes — in order to generate suggestions such as shot lists, storyboards, and schedules. This processing happens to provide the functionality you request. Legal basis: Art. 6(1)(b) GDPR (performance of the contract).

Where Tilly Terra is used, inference runs on EU-hosted infrastructure and your content is not used to train AI models. AI output is generated for your use only; you remain responsible for reviewing it before you rely on or publish it.

14. Recipients & processors

We only pass on personal data where necessary and use carefully selected processors bound by data processing agreements (Auftragsverarbeitung, Art. 28 GDPR):

• Railway — website and application hosting, database (EU region)
• Cloudflare — DNS (name resolution of our domains)
• Supabase — database and authentication (account and project data)
• Stripe — payment processing for paid plans
• Resend — transactional, booking and newsletter emails
• Google — Google Analytics (only with your consent, section 4)
• Microsoft — website usage analysis with Clarity (only with your consent, section 4)
• AI infrastructure providers used to deliver Tilly AI / Tilly Terra features
• Search and data providers we use for business research (section 12) — they receive our search queries, not data about visitors to this website

Embedded Vimeo videos (section 6) involve Vimeo.com, Inc. as an independent recipient of technical access data, not as our processor. Google Ads (section 4) processes conversion data as an independent controller. For the Meta Pixel (section 4), Meta Platforms Ireland Limited is our joint controller for the collection and transmission of the data, not our processor.

15. Transfers to third countries

We aim to keep processing within the EU/EEA — our hosting runs in the EU (see section 2). Some of our providers (e.g. Railway Corp., Cloudflare, Inc., Supabase, Inc., Stripe, Inc., Resend, Inc., Google LLC, Vimeo.com, Inc., Meta Platforms, Inc., Microsoft Corporation) are US companies or use sub-processors outside the EU/EEA. Where personal data is transferred to a third country, such transfers are safeguarded by the EU Standard Contractual Clauses (Art. 46(2)(c) GDPR) and, where the recipient is certified, the EU-U.S. Data Privacy Framework, together with appropriate additional measures. The safeguards for each provider are documented in our records of processing activities.

16. Retention

We keep personal data only as long as necessary for the purposes described above or as required by law. Account and project data is retained for the duration of your account; after deletion it is removed within a reasonable period, subject to statutory retention obligations (e.g. tax and commercial law) for billing data. Server logs are kept only as long as technically necessary.

• Contact enquiries: until your enquiry has been dealt with; emails that count as business correspondence are kept for 6 years (§ 257 HGB).
• Demo bookings: up to 12 months after the appointment, unless a customer relationship results.
• Newsletter: until you unsubscribe; proof of consent and unsubscribe for 3 years afterwards.
• Business contacts from public sources: until you object, at the latest 24 months without a business relationship.
• Billing data: 10 years (§ 147 AO, § 257 HGB).

17. Data security & further information

All connections to our website and apps are encrypted (TLS/HTTPS). We protect your data with technical and organisational measures appropriate to the risk, such as access restrictions and two-factor authentication for our administration area.

We do not use automated decision-making, including profiling, within the meaning of Art. 22 GDPR. You are not legally or contractually obliged to provide personal data; without the data marked as required, however, we cannot answer an enquiry, arrange an appointment or provide an account. We are not required to appoint a data protection officer; for all data protection questions please contact us directly (section 1).

18. Your rights

• Access to your data (Art. 15 GDPR)
• Rectification (Art. 16) and erasure (Art. 17)
• Restriction of processing (Art. 18) and data portability (Art. 20)
• Objection to processing based on legitimate interest (Art. 21)
• Withdrawal of consent at any time, effective for the future (Art. 7(3))
• Complaint to a supervisory authority (Art. 77) — for us: LfDI Baden-Württemberg

To exercise any of these rights, email admin@tillyboard.com.

Right to object (Art. 21 GDPR): where we process your data on the basis of our legitimate interest (Art. 6(1)(f) GDPR), you may object at any time on grounds relating to your particular situation. Where we process your data for direct marketing, you may object at any time without giving reasons — we will then no longer use your data for that purpose.

19. Changes to this policy

We will update this policy when the product or legal requirements change; the current version is always available at this address.

1. Verantwortlicher

Verantwortlicher für die Verarbeitung Ihrer personenbezogenen Daten ist:

TillyBoard (Inhaber: Fynn Schmidt), Oberlohnstraße 3, 78467 Konstanz, Deutschland. Kontakt: admin@tillyboard.com, Telefon +49 7531 693 156. Vollständige Angaben im Impressum.

2. Besuch dieser Website (Server-Logs)

Unsere Marketing-Website wird bei Railway (Railway Corp.) in der EU-Region europe-west4 (Amsterdam, Niederlande) gehostet. Beim Aufruf einer Seite verarbeitet unsere Hosting-Infrastruktur technische Zugriffsdaten — IP-Adresse, Datum und Uhrzeit des Abrufs, aufgerufene Seite, Referrer und User-Agent — in Server-Logs. Das ist erforderlich, um die Seite auszuliefern, sie abzusichern und Missbrauch abzuwehren.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an einer sicheren, zuverlässig funktionierenden Website). Log-Daten werden nur so lange aufbewahrt, wie technisch erforderlich, und danach gelöscht oder anonymisiert.

3. Cookies & Local Storage

Ohne Ihre Einwilligung setzt die öffentliche Marketing-Website keinerlei Cookies. Wir speichern einen einzigen Wert im localStorage Ihres Browsers — Ihre Sprachwahl (tg_lang) —, damit die Seite Ihre bevorzugte Sprache behält. Dieser Wert bleibt auf Ihrem Gerät und wird nicht an uns übertragen. Ebenso wird Ihre Cookie-Auswahl selbst gespeichert (tg_consent). Analyse- und Marketing-Cookies werden erst nach Ihrer Zustimmung gesetzt, siehe Abschnitt 4.

Ein technisch notwendiges Session-Cookie wird ausschließlich im passwortgeschützten Admin-Bereich gesetzt, der für normale Besucher nicht zugänglich ist. Rechtsgrundlage für den unbedingt erforderlichen Local Storage und die Admin-Session: Art. 6 Abs. 1 lit. f DSGVO / § 25 Abs. 2 TDDDG (unbedingt erforderlich für einen von Ihnen gewünschten Dienst).

4. Analyse & Marketing (Cookies nur mit Ihrer Einwilligung)

Wir nutzen zwei Google-Dienste (beide betrieben von Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland): Google Analytics 4, um zu verstehen, wie diese Seite genutzt wird — welche Seiten gelesen werden und welche nicht —, sowie Google Ads, um zu messen, welche unserer Anzeigen zu einer Anmeldung führen (Conversion-Tracking) und gegebenenfalls für Remarketing. Beide laufen über das Google-Tag-Script (gtag.js), das mit jeder Seite geladen wird und im Google Consent Mode arbeitet.

Vor Ihrer Einwilligung — und wenn Sie ablehnen — bleiben alle Kategorien des Consent Mode (Analyse wie Werbung) auf „denied“: Das Tag setzt keine Cookies, liest keine Cookies und greift auf keinen anderen Speicher Ihres Geräts zu. Es sendet lediglich cookielose Signale an Google — die Adresse der aufgerufenen Seite, die verweisende Seite, eine für jede Anfrage neu erzeugte Zufallszahl, den Zeitpunkt und Ihren Einwilligungsstatus; Klick-Kennungen aus Anzeigen werden geschwärzt. Diese Signale enthalten keine dauerhafte Kennung und lassen sich nicht über Seiten oder Besuche hinweg mit Ihnen verknüpfen; Google nutzt sie in aggregierter Form, um statistisch zu modellieren, wie viele Besuche und Anmeldungen unsere Anzeigen auslösen. Rechtsgrundlage für diese cookielosen Signale: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Reichweiten- und Erfolgsmessung unserer Werbung). Beim ersten Besuch fragt ein Banner nach Ihrer Einwilligung.

Mit Ihrer Einwilligung speichern beide Dienste Cookies auf Ihrem Gerät und verarbeiten eine gekürzte IP-Adresse, die aufgerufenen Seiten, den ungefähren Standort (Land/Region) sowie Browser- und Gerätedaten. Google Ads erfasst zusätzlich, ob Ihr Besuch auf eine unserer Anzeigen zurückgeht und ob daraus eine Anmeldung wurde. Eine Übermittlung in die USA kann auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework erfolgen.

Erweiterte Conversions (Google Ads): Haben Sie eingewilligt, sucht das Google-Ads-Tag auf der aufgerufenen Seite zusätzlich nach Kontaktdaten, die Sie dort selbst eingegeben haben — E-Mail-Adresse, Telefonnummer sowie Name und Anschrift. Solche Angaben werden bereits in Ihrem Browser mit SHA-256 gehasht und ausschließlich in dieser gehashten Form an Google übermittelt; Google gleicht sie mit Google-Konten ab, um eine Anmeldung dem Klick auf eine unserer Anzeigen zuordnen zu können. Im Klartext werden diese Daten nicht übertragen, und Google darf sie zu keinem anderen Zweck verwenden. Ohne Ihre Einwilligung findet keine Erfassung statt; sie endet mit Ihrem Widerruf.

Meta-Pixel: Zusätzlich nutzen wir den Meta-Pixel (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland), um zu messen, ob unsere Anzeigen auf Facebook und Instagram zu Anmeldungen führen, und um Werbezielgruppen zu bilden. Anders als das Google-Tag wird der Pixel erst nach Ihrer Einwilligung geladen — vorher wird keinerlei Anfrage an Meta gesendet, und es verlassen keine Daten Ihren Browser. Willigen Sie ein, setzt der Pixel Cookies (z. B. _fbp) und verarbeitet Ihre IP-Adresse, Browser- und Gerätedaten, die aufgerufenen Seiten sowie Ereignisse wie eine Anmeldung oder Kontaktanfrage. Meta kann diese Daten mit Ihrem Facebook- oder Instagram-Konto verknüpfen und nutzt sie auch zu eigenen Zwecken; für die Erhebung und Übermittlung dieser Daten sind wir mit Meta gemeinsam verantwortlich (Art. 26 DSGVO) — die Kernpunkte dieser Vereinbarung veröffentlicht Meta (Controller Addendum). Eine Übermittlung an Meta Platforms, Inc. in den USA kann auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework erfolgen. Details: Datenschutzrichtlinie von Meta.

Microsoft Clarity: Um zu verstehen, wie unsere Website genutzt wird, setzen wir Microsoft Clarity ein (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland). Clarity erstellt Heatmaps (wo geklickt und wie weit gescrollt wird) und zeichnet Sitzungen als anonymisierte Wiedergabe von Mausbewegungen, Klicks und Scrollen auf. Clarity wird erst nach Ihrer Einwilligung geladen — vorher wird keinerlei Anfrage an Microsoft gesendet. Texte, die Sie in Formulare eingeben, werden bereits in Ihrem Browser maskiert und nie übertragen. Willigen Sie ein, setzt Clarity Cookies (_clck, _clsk) und verarbeitet Ihre (gekürzte) IP-Adresse, Browser- und Gerätedaten sowie Ihre Interaktionen mit unseren Seiten. Eine Übermittlung an Microsoft Corporation in den USA kann auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework erfolgen. Details: Datenschutzerklärung von Microsoft.

Rechtsgrundlage für Cookies und die vollständige Messung: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung). Ihre Wahl wird im localStorage Ihres Browsers gespeichert (tg_consent). Sie können sie jederzeit mit Wirkung für die Zukunft widerrufen: Cookie-Auswahl ändern. Speicherdauer: Analyse-Daten werden spätestens nach 14 Monaten gelöscht; das Meta-Pixel-Cookie (_fbp) läuft nach drei Monaten ab; Clarity speichert Sitzungsaufzeichnungen 30 Tage und Heatmap-Daten bis zu 13 Monate, seine Cookies laufen nach einem Jahr (_clck) bzw. einem Tag (_clsk) ab.

Zuordnung von Anzeigenklicks (Google Ads): Kommen Sie über eine unserer Google-Anzeigen, enthält die Adresse eine Klick-ID (gclid, wbraid oder gbraid). Nur mit Ihrer Einwilligung speichern wir sie in unserem eigenen Cookie tg_ads_click (90 Tage). Legen Sie danach ein Konto an, wird die Klick-ID zu Ihrem Konto gespeichert; schließen Sie einen bezahlten Tarif ab, melden wir diese Conversion zusammen mit der Klick-ID an Google Ads, damit wir sehen, welche Anzeigen zu Kunden führen. Ohne Einwilligung bleibt die Klick-ID nur im Sitzungsspeicher Ihres Browser-Tabs und verfällt mit dem Schließen; bei Ablehnung oder Widerruf wird sie gelöscht. Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).

5. Selbst gehostete Schriften

Alle Schriften werden auf unserer eigenen Infrastruktur gehostet. Beim Laden unserer Seiten werden keine Anfragen an Google Fonts oder andere Dritt-CDNs gesendet; für die Textdarstellung werden also keine Daten an solche Anbieter weitergegeben.

6. Eingebettete Videos (Vimeo)

Einige Seiten betten Produktvideos von Vimeo (Vimeo.com, Inc., USA) ein. Auf unserer Startseite wird der Player erst geladen, wenn Sie auf Abspielen klicken — bis dahin zeigen wir ein Vorschaubild von unserem eigenen Server, und es besteht keine Verbindung zu Vimeo. Wir laden den Player im Do-Not-Track-Modus von Vimeo (dnt=1); damit wird Vimeo angewiesen, für diese Einbettungen keine Tracking-Cookies zu setzen und keine Analysedaten zu erheben. Beim Laden einer Seite mit eingebettetem Video verbindet sich Ihr Browser dennoch mit den Servern von Vimeo und übermittelt technische Daten wie Ihre IP-Adresse — das ist technisch erforderlich, um das Video auszuliefern.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Präsentation unseres Produkts auf unserer eigenen Website). Übermittlungen in die USA sind wie in Abschnitt 15 beschrieben abgesichert. Details in der Datenschutzerklärung von Vimeo.

7. Konto & App-Nutzung

Für die Nutzung der TillyBoard-Web-App (app.tillyboard.com) und unserer iPad-, iPhone- und Watch-Apps legen Sie ein Konto an. Wir verarbeiten die Daten, die Sie dabei angeben und erzeugen — insbesondere Ihre E-Mail-Adresse, Ihren Namen, Zugangsdaten und die von Ihnen erstellten Projektinhalte (Briefings, Shotlists, Storyboards, Drehpläne und zugehörige Dateien).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags). Konto- und Projektdaten werden bei Supabase (Supabase, Inc.) gespeichert, das Datenbank und Authentifizierung als Auftragsverarbeiter für uns bereitstellt.

8. Zahlungen

Bezahlte Pläne werden über Stripe (Stripe Payments Europe, Ltd. und verbundene Unternehmen) abgewickelt. Beim Abschluss eines Abos geben Sie Ihre Zahlungsdaten direkt bei Stripe ein; wir erhalten die Informationen, die zur Verwaltung Ihres Abos nötig sind (z. B. Plan, Abrechnungsstatus und die letzten Ziffern des Zahlungsmittels), speichern aber keine vollständigen Kartennummern. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und lit. c (gesetzliche Aufbewahrungspflichten). Details zur Verarbeitung durch Stripe: Datenschutzerklärung von Stripe.

9. Kontaktformular & Anfragen per E-Mail

Nutzen Sie unser Kontaktformular oder schreiben Sie uns eine E-Mail, verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, das gewählte Thema, Ihre Nachricht und Ihre Spracheinstellung, um Ihre Anfrage zu beantworten. Nachrichten aus dem Kontaktformular werden nicht in einer Datenbank gespeichert, sondern als E-Mail über Resend (siehe Abschnitt 11) in unser Postfach zugestellt.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Ihre Anfrage einen Vertrag oder vorvertragliche Maßnahmen betrifft, im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, an uns gerichtete Anfragen zu beantworten).

10. Demo buchen

Unter /book können Sie einen Demo-Termin anfragen, indem Sie eine oder mehrere Wunschzeiten vorschlagen. Wir verarbeiten dabei Ihren Namen, Ihre E-Mail-Adresse und — sofern Sie sie angeben — Ihr Unternehmen, Ihre Telefonnummer und Ihre Nachricht, zusammen mit den vorgeschlagenen Zeiten, Ihrer Zeitzone und Spracheinstellung. Um zu verstehen, über welche Kanäle Anfragen kommen, speichern wir außerdem die Seite, von der Sie kamen, Ihre Browsersprache und — falls vorhanden — Kampagnen-Parameter im Link (UTM-Parameter, Google-Ads-Klick-ID). Unser Team erhält Ihre Anfrage per E-Mail und bestätigt eine der Zeiten; Sie erhalten dann eine Bestätigung mit Kalendereinladung (.ics), vor dem Termin eine Erinnerung sowie einen persönlichen Link zum Verschieben oder Absagen. Diese E-Mails werden über Resend versendet; die Daten liegen in unserer Datenbank bei Railway (EU).

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage); für die Auswertung der Herkunft der Anfrage Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse zu verstehen, welche unserer Kanäle funktionieren). Findet der Termin als Videocall statt, verarbeitet der in der Einladung genannte Anbieter (z. B. Google Meet oder Zoom) Ihre Verbindungsdaten nach seiner eigenen Datenschutzerklärung.

11. Registrierung, Newsletter & E-Mails

Wenn Sie sich registrieren oder für Produkt-Updates anmelden, verarbeiten wir Ihre E-Mail-Adresse, um Ihnen eine Bestätigungs-E-Mail zu senden (Double-Opt-In) und Ihnen nach der Bestätigung Service-Nachrichten und gelegentliche Produktneuigkeiten zuzustellen. Transaktions- und Bestätigungs-E-Mails werden über Resend (Resend, Inc.) als unseren Auftragsverarbeiter versendet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für Service- und Transaktions-E-Mails zu Ihrem Konto sowie Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) für optionale Produktneuigkeiten. Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen — über den Abmeldelink in jeder Marketing-E-Mail oder per E-Mail an admin@tillyboard.com.

Zur Verwaltung Ihrer E-Mail-Einstellungen führen wir einen Kontakteintrag mit Ihrer E-Mail-Adresse, Ihrem Namen (falls bekannt), Ihrer Sprache, der Herkunft Ihrer Anmeldung und einem Protokoll Ihrer Einwilligungen und Abmeldungen, damit wir Ihre Einwilligung nachweisen können (Art. 7 Abs. 1 DSGVO). Haben Sie ein TillyBoard-Konto, werden Konto-E-Mail und Tarif diesem Eintrag hinzugefügt; Marketing-E-Mails erhalten Sie nur, wenn Sie eingewilligt haben, und ein Opt-out in der App wird beachtet.

Öffnungen und Klicks: Unsere E-Mails enthalten ein kleines Zählpixel und Links, die über Resend weitergeleitet werden. So sehen wir, ob und wann eine E-Mail geöffnet und welche Links angeklickt wurden. Das nutzen wir, um unsere E-Mails zu verbessern und inaktive Adressen zu entfernen. Rechtsgrundlage: Ihre Einwilligung in den Newsletter (Art. 6 Abs. 1 lit. a DSGVO), bei Service-E-Mails Art. 6 Abs. 1 lit. f DSGVO. Wenn Sie das nicht möchten, können Sie sich jederzeit abmelden oder das Nachladen von Bildern in Ihrem E-Mail-Programm deaktivieren.

12. Geschäftskontakte aus öffentlichen Quellen (B2B)

Um Produktionsfirmen, Agenturen, Filmhochschulen und andere Unternehmen zu finden, für die TillyBoard nützlich sein kann, recherchieren wir öffentlich zugängliche Informationen: Unternehmenswebsites und Impressen, Branchen- und Firmenverzeichnisse, öffentliche Datenbanken (z. B. Wikidata, OpenStreetMap), Suchmaschinen sowie öffentliche Unternehmensprofile in sozialen Netzwerken. Dabei können wir auch geschäftliche Kontaktdaten einzelner Personen speichern — Name, Funktion, geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer und Link zum öffentlichen Profil — zusammen mit dem Unternehmen, der Quelle und Notizen zu unserem Kontakt. Diese Daten haben wir nicht direkt von Ihnen; dieser Abschnitt ist unsere Information nach Art. 14 DSGVO.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse, potenzielle Geschäftskunden anzusprechen). Unternehmen sprechen wir nur im Rahmen des Wettbewerbsrechts an. Sie können jederzeit widersprechen — per E-Mail an admin@tillyboard.com; wir löschen Ihre Daten dann und behalten nur, was nötig ist, um Ihren Widerspruch zu beachten. Entsteht keine Geschäftsbeziehung, löschen wir die Daten spätestens nach 24 Monaten.

13. KI-Verarbeitung (Tilly AI)

Unsere KI-Funktionen (Tilly AI) verarbeiten die von Ihnen eingegebenen Projektinhalte — z. B. Ihr Briefing oder Ihre Notizen —, um Vorschläge wie Shotlists, Storyboards und Drehpläne zu generieren. Diese Verarbeitung dient der Bereitstellung der von Ihnen angeforderten Funktion. Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung).

Wo Tilly Terra zum Einsatz kommt, läuft die Inferenz auf EU-gehosteter Infrastruktur, und Ihre Inhalte werden nicht zum Training von KI-Modellen verwendet. KI-Ausgaben werden nur für Ihre Nutzung erzeugt; für die Prüfung vor Verwendung oder Veröffentlichung bleiben Sie verantwortlich.

14. Empfänger & Auftragsverarbeiter

Wir geben personenbezogene Daten nur weiter, soweit erforderlich, und setzen sorgfältig ausgewählte Auftragsverarbeiter ein, die durch Auftragsverarbeitungsverträge (Art. 28 DSGVO) gebunden sind:

• Railway — Hosting der Website und Anwendung, Datenbank (EU-Region)
• Cloudflare — DNS (Namensauflösung unserer Domains)
• Supabase — Datenbank und Authentifizierung (Konto- und Projektdaten)
• Stripe — Zahlungsabwicklung für bezahlte Pläne
• Resend — Transaktions-, Buchungs- und Newsletter-E-Mails
• Google — Google Analytics (nur mit Ihrer Einwilligung, Abschnitt 4)
• Microsoft — Nutzungsanalyse der Website mit Clarity (nur mit Ihrer Einwilligung, Abschnitt 4)
• KI-Infrastruktur-Anbieter zur Bereitstellung von Tilly AI / Tilly Terra
• Such- und Datenanbieter für unsere Unternehmensrecherche (Abschnitt 12) — sie erhalten unsere Suchanfragen, keine Daten über Besucher dieser Website

Bei eingebetteten Vimeo-Videos (Abschnitt 6) ist Vimeo.com, Inc. eigenständiger Empfänger technischer Zugriffsdaten, nicht unser Auftragsverarbeiter. Google Ads (Abschnitt 4) verarbeitet Conversion-Daten als eigenständig Verantwortlicher. Beim Meta-Pixel (Abschnitt 4) ist Meta Platforms Ireland Limited für die Erhebung und Übermittlung der Daten gemeinsam mit uns verantwortlich, nicht unser Auftragsverarbeiter.

15. Übermittlungen in Drittländer

Wir halten die Verarbeitung möglichst in der EU / im EWR — unser Hosting läuft in der EU (siehe Abschnitt 2). Einige unserer Anbieter (z. B. Railway Corp., Cloudflare, Inc., Supabase, Inc., Stripe, Inc., Resend, Inc., Google LLC, Vimeo.com, Inc., Meta Platforms, Inc., Microsoft Corporation) sind US-Unternehmen oder setzen Unterauftragsverarbeiter außerhalb der EU / des EWR ein. Soweit personenbezogene Daten in ein Drittland übermittelt werden, sind diese Übermittlungen durch die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und — soweit der Empfänger zertifiziert ist — das EU-U.S. Data Privacy Framework sowie geeignete zusätzliche Maßnahmen abgesichert. Die Garantien je Anbieter sind in unserem Verzeichnis von Verarbeitungstätigkeiten dokumentiert.

16. Speicherdauer

Wir speichern personenbezogene Daten nur so lange, wie es für die oben beschriebenen Zwecke erforderlich ist oder gesetzliche Pflichten es verlangen. Konto- und Projektdaten bleiben für die Dauer Ihres Kontos gespeichert; nach der Löschung werden sie innerhalb eines angemessenen Zeitraums entfernt, vorbehaltlich gesetzlicher Aufbewahrungspflichten (z. B. steuer- und handelsrechtlich) für Abrechnungsdaten. Server-Logs werden nur so lange aufbewahrt, wie technisch nötig.

• Kontaktanfragen: bis Ihre Anfrage erledigt ist; E-Mails, die Handelsbriefe sind, 6 Jahre (§ 257 HGB).
• Demo-Buchungen: bis zu 12 Monate nach dem Termin, sofern keine Kundenbeziehung entsteht.
• Newsletter: bis zur Abmeldung; Nachweis von Einwilligung und Abmeldung danach 3 Jahre.
• Geschäftskontakte aus öffentlichen Quellen: bis zu Ihrem Widerspruch, ohne Geschäftsbeziehung spätestens 24 Monate.
• Abrechnungsdaten: 10 Jahre (§ 147 AO, § 257 HGB).

17. Datensicherheit & weitere Hinweise

Alle Verbindungen zu unserer Website und unseren Apps sind verschlüsselt (TLS/HTTPS). Wir schützen Ihre Daten durch dem Risiko angemessene technische und organisatorische Maßnahmen, etwa Zugriffsbeschränkungen und Zwei-Faktor-Anmeldung für unseren Verwaltungsbereich.

Eine automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. Sie sind weder gesetzlich noch vertraglich verpflichtet, personenbezogene Daten bereitzustellen; ohne die als Pflichtangaben gekennzeichneten Daten können wir eine Anfrage jedoch nicht beantworten, keinen Termin vereinbaren und kein Konto bereitstellen. Zur Benennung eines Datenschutzbeauftragten sind wir nicht verpflichtet; wenden Sie sich bei allen Datenschutzfragen direkt an uns (Abschnitt 1).

18. Ihre Rechte

• Auskunft über Ihre Daten (Art. 15 DSGVO)
• Berichtigung (Art. 16) und Löschung (Art. 17)
• Einschränkung der Verarbeitung (Art. 18) und Datenübertragbarkeit (Art. 20)
• Widerspruch gegen Verarbeitung auf Basis berechtigter Interessen (Art. 21)
• Widerruf erteilter Einwilligungen jederzeit mit Wirkung für die Zukunft (Art. 7 Abs. 3)
• Beschwerde bei einer Aufsichtsbehörde (Art. 77) — für uns: LfDI Baden-Württemberg

Zur Ausübung dieser Rechte genügt eine E-Mail an admin@tillyboard.com.

Widerspruchsrecht (Art. 21 DSGVO): Verarbeiten wir Ihre Daten auf Grundlage unseres berechtigten Interesses (Art. 6 Abs. 1 lit. f DSGVO), können Sie aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit widersprechen. Verarbeiten wir Ihre Daten für Direktwerbung, können Sie jederzeit ohne Angabe von Gründen widersprechen — wir nutzen Ihre Daten dann nicht mehr für diesen Zweck.

19. Änderungen dieser Erklärung

Wir aktualisieren diese Erklärung, wenn das Produkt oder rechtliche Anforderungen es erfordern; die aktuelle Fassung ist stets unter dieser Adresse abrufbar.