Datenschutzerklärung

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist:

Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen hierfür (Art. 37 DSGVO) nicht erfüllt sind.

Wir verarbeiten personenbezogene Daten nur, soweit dies zur Bereitstellung einer funktionsfähigen Website, zur Kommunikation mit Ihnen, zur Vertragserfüllung bzw. vorvertraglichen Maßnahmen oder auf Grundlage Ihrer Einwilligung erforderlich ist.

• Bereitstellung der Website und Server-Logfiles
• Kontaktanfragen über Formular, E-Mail oder Telefon
• Newsletter mit Double-Opt-in-Verfahren
• Kommentare unter Blog-Artikeln (mit Prüfung vor der Veröffentlichung)
• Kostenloser Sicherheits-Check einer Website mit Double-Opt-in, Löschung nach 30 Tagen
• Kunden-Dashboard mit Login (geschützter Bereich)
• Optionale Webanalyse und Session-Aufzeichnung (nur nach Einwilligung)
• Bot-Schutz bei Kontaktformular, Blog-Kommentaren und Sicherheits-Check (Cloudflare Turnstile)
• Terminbuchung über Cal.com (externer Dienst)

Soweit wir eine Einwilligung einholen, erfolgt die Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. a DSGVO bzw. für Cookies und vergleichbare Technologien gemäß § 25 Abs. 1 TDDDG (Telekommunikation- Digitale-Dienste-Datenschutz-Gesetz) i. V. m. Art. 6 Abs. 1 lit. a DSGVO.

Zur Erfüllung von Verträgen oder vorvertraglicher Maßnahmen nutzen wir Art. 6 Abs. 1 lit. b DSGVO. Soweit wir rechtlichen Verpflichtungen unterliegen, verarbeiten wir Daten auf Grundlage von Art. 6 Abs. 1 lit. c DSGVO. Die Verarbeitung zur Wahrung berechtigter Interessen erfolgt nach Art. 6 Abs. 1 lit. f DSGVO, sofern Ihre Interessen oder Grundrechte nicht überwiegen.

Sie haben gegenüber uns folgende Rechte hinsichtlich der Sie betreffenden personenbezogenen Daten:

• Auskunft (Art. 15 DSGVO)
• Berichtigung (Art. 16 DSGVO)
• Löschung (Art. 17 DSGVO)
• Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Datenübertragbarkeit (Art. 20 DSGVO)
• Widerspruch gegen Verarbeitung (Art. 21 DSGVO)
• Widerruf erteilter Einwilligungen (Art. 7 Abs. 3 DSGVO) mit Wirkung für die Zukunft

Zur Ausübung Ihrer Rechte genügt eine formlose Mitteilung an mail@website-spezialist.de. Wir werden Anfragen unverzüglich, spätestens innerhalb eines Monats beantworten.

Unbeschadet dessen steht Ihnen ein Beschwerderecht bei einer Aufsichtsbehörde zu (Art. 77 DSGVO), insbesondere in dem Mitgliedstaat Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes.

Für uns ist insbesondere zuständig:

Die Landesbeauftragte für den Datenschutz Niedersachsen
Prinzenstraße 5
30159 Hannover
Telefon: 0511 120-4500
E-Mail: poststelle@lfd.niedersachsen.de
Web: https://lfd.niedersachsen.de

Diese Website wird auf Servern der Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen, Deutschland) betrieben. Die Verarbeitung erfolgt in Rechenzentren in der Europäischen Union (Deutschland).

Beim Aufruf unserer Website erfasst der Webserver automatisch technische Zugriffsdaten (Server-Logfiles), z. B. IP-Adresse, Datum und Uhrzeit der Anfrage, angeforderte URL, HTTP-Statuscode, Browsertyp und Betriebssystem. Diese Daten sind technisch erforderlich, um die Website auszuliefern und die Systemsicherheit zu gewährleisten.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an stabiler und sicherer Bereitstellung der Website).
Speicherdauer: Logdaten werden in der Regel nach spätestens 14 Tagen gelöscht oder anonymisiert, sofern keine längere Aufbewahrung zu Beweiszwecken bei Sicherheitsvorfällen erforderlich ist.

Wenn Sie uns per Kontaktformular, E-Mail oder auf anderem Wege kontaktieren, verarbeiten wir die von Ihnen mitgeteilten Daten (z. B. Name, E-Mail-Adresse, Unternehmen, Projektbeschreibung, Budget- und Zielangaben) zur Bearbeitung Ihrer Anfrage und für Anschlussfragen.

Die Daten werden in unserem Content-Management-System Directus (selbst gehostet auf dem oben genannten Server) in einer PostgreSQL-Datenbank gespeichert. Zur internen Bearbeitung können wir zusätzlich Benachrichtigungen per Telegram an den Verantwortlichen senden.

Zur automatisierten Vorqualifizierung Ihrer Anfrage kann eine KI-gestützte Auswertung über den Dienst OpenRouter (Weiterleitung an konfigurierte Sprachmodelle, u. a. mit Sitz in den USA) erfolgen. Dabei werden nur die für die Analyse erforderlichen Formularinhalte übermittelt, nicht Ihre vollständige Browsing-Historie.

Vorab kann Ihre Anfrage über OpenRouter vom Entscheidungsmodell Jev der TypeSafe AI (Sitz in den USA) automatisch eingeordnet werden, etwa als Projektanfrage, allgemeine Frage oder Spam. Übermittelt werden dabei nur der Text Ihrer Nachricht sowie die gewählte Kategorie, das Budget und das Ziel. Name, E-Mail-Adresse, Website und genannte Wettbewerber werden nicht übermittelt; E-Mail-Adressen, Telefonnummern und Links im Nachrichtentext werden vorher unkenntlich gemacht. Die Einordnung dient nur der internen Priorisierung. Über Ihre Anfrage entscheidet immer ein Mensch.

Getrennt davon kann Jev allein anhand der von Ihnen angegebenen Website-Adresse prüfen, ob es sich um die Website eines Unternehmens handelt, bevor eine aufwendigere Recherche startet. Übermittelt wird dabei ausschließlich der Domainname, ohne Ihren Namen, Ihre E-Mail-Adresse oder Ihre Nachricht. Enthält die Adresse erkennbar einen Personennamen, unterbleibt die Prüfung. Das Ergebnis führt allenfalls dazu, dass eine automatische Recherche nicht startet; es hat keine Auswirkung auf die Bearbeitung Ihrer Anfrage.

Nach erfolgreicher Übermittlung kann eine Bestätigungs-E-Mail mit Link zur Terminbuchung über Amazon SES (E-Mail-Versand) und Cal.com versendet werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen) und Art. 6 Abs. 1 lit. f DSGVO (effiziente Bearbeitung von Anfragen).
Speicherdauer: Bis zur vollständigen Erledigung der Anfrage; bei Vertragsanbahnung oder -durchführung gemäß gesetzlicher Aufbewahrungsfristen (in der Regel bis zu 6 Jahre nach Vertragsende, handels- und steuerrechtlich ggf. länger).

Zum Schutz unseres Kontaktformulars, der Blog-Kommentare und des Sicherheits-Checks (Abschnitt 11) vor automatisierten Zugriffen (Spam, Missbrauch) setzen wir Cloudflare Turnstile der Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA) ein. Dabei können technische Daten (z. B. IP-Adresse, Browser-Informationen, Interaktionsdaten zur Unterscheidung Mensch/Bot) an Cloudflare übermittelt werden.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (Sicherheit und Missbrauchsprävention des Kontaktformulars).
Drittlandtransfer: Cloudflare ist unter dem EU-U.S. Data Privacy Framework zertifiziert; zusätzlich werden Standardvertragsklauseln der EU-Kommission eingesetzt.
Weitere Informationen: Cloudflare Datenschutzerklärung

Wenn Sie unseren Newsletter abonnieren, speichern wir Ihre E-Mail-Adresse sowie den Zeitpunkt und die IP-Adresse der Anmeldung (Nachweis der Einwilligung). Der Versand erfolgt im Double-Opt-in-Verfahren: Erst nach Bestätigung über den Link in der E-Mail werden Sie als aktiver Empfänger geführt.

Technisch werden Abonnentendaten in Directus verwaltet; E-Mails versenden wir über Amazon SES (Amazon Web Services EMEA SARL, Luxemburg; Verarbeitung in Frankfurt am Main).

Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung). Sie können die Einwilligung jederzeit mit Wirkung für die Zukunft widerrufen, z. B. per E-Mail oder über einen Abmeldelink in jeder Newsletter-Ausgabe.
Speicherdauer: Bis zum Widerruf bzw. zur Abmeldung; Nachweisdaten zur Einwilligung werden für die Dauer der gesetzlichen Nachweispflichten aufbewahrt.

Unter einzelnen Blog-Artikeln können Sie einen Kommentar schreiben. Dabei verarbeiten wir Ihren Namen, Ihre E-Mail-Adresse, den Text des Kommentars, den Zeitpunkt und den Artikel, zu dem er gehört. Ihr Name und Ihr Kommentar werden nach der Freigabe öffentlich unter dem Artikel angezeigt. Ihre E-Mail-Adresse wird nicht veröffentlicht.

Zum Schutz vor Missbrauch speichern wir Ihre IP-Adresse nicht im Klartext, sondern nur als verschlüsselten Prüfwert (Hash). Er dient dazu, zu häufiges Absenden zu begrenzen. Zusätzlich prüft Cloudflare Turnstile, ob der Kommentar von einem Menschen stammt (siehe Abschnitt 8).

Jeder Kommentar wird vor der Veröffentlichung von Hand freigegeben. Vorab prüft eine KI, ob es sich um Spam, Werbung oder Beleidigungen handelt. Dazu wird der Kommentartext mit dem Titel des Artikels an Anthropic (Sitz in den USA) übermittelt. Zusätzlich kann der Text über OpenRouter vom Entscheidungsmodell Jev der TypeSafe AI (Sitz in den USA) eingeordnet werden. An Jev geht Ihr Name nicht mit; E-Mail-Adressen, Telefonnummern und Links im Text werden vorher unkenntlich gemacht. Die KI veröffentlicht nichts und löscht nichts. Ein als Spam eingeordneter Kommentar wird zurückgehalten und kann von Hand freigegeben werden.

Über einen neuen Kommentar werden wir intern per E-Mail und per Telegram benachrichtigt. Nach der Freigabe erhalten Sie eine E-Mail über Amazon SES. Wenn Sie es beim Absenden wählen, benachrichtigen wir Sie außerdem per E-Mail über Antworten auf Ihren Kommentar. Diese Benachrichtigung können Sie jederzeit über den Link in jeder dieser E-Mails abbestellen.

Wenn Sie im Formular das Häkchen „merken“ setzen, speichert Ihr Browser Name und E-Mail-Adresse lokal, damit Sie sie beim nächsten Kommentar nicht neu eingeben müssen (siehe Abschnitt 15). Ohne Häkchen wird nichts gespeichert; nehmen Sie es später heraus, wird der Eintrag gelöscht. Rechtsgrundlage ist Ihre Einwilligung nach § 25 Abs. 1 TDDDG.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Bereitstellung der Kommentarfunktion), Art. 6 Abs. 1 lit. f DSGVO (Schutz vor Spam und Missbrauch) und für die Benachrichtigung über Antworten Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung).
Speicherdauer: Solange der Kommentar unter dem Artikel steht. Auf Ihren Wunsch löschen wir Ihren Kommentar und die zugehörigen Daten; schreiben Sie uns dazu an die in Abschnitt 1 genannte Adresse.

Auf der Seite Website-Sicherheit können Sie eine Website kostenlos von außen prüfen lassen. Dabei verarbeiten wir die Adresse der Website, Ihre E-Mail-Adresse, ob Sie das Häkchen für eine Rückmeldung gesetzt haben, den Zeitpunkt der Anfrage und das Ergebnis der Prüfung. Ihre IP-Adresse speichern wir nicht im Klartext, sondern nur als Prüfwert (Hash). Er dient dazu, zu häufiges Absenden zu begrenzen. Zusätzlich prüft Cloudflare Turnstile, ob die Anfrage von einem Menschen stammt (siehe Abschnitt 8).

Für die Prüfung rufen wir die angegebene Website so ab, wie es jeder Besucher tut, und werten aus, was sie dabei von sich aus mitschickt (zum Beispiel Kopfzeilen, Software-Versionen und das Zertifikat). Ob eine erkannte Software noch Sicherheits-Updates bekommt, fragen wir bei öffentlichen Versionsverzeichnissen ab (endoflife.date, wordpress.org). Dorthin geht nur der Name der Software, nicht Ihre Angaben.

Das Ergebnis schicken wir im Double-Opt-in-Verfahren: Zuerst erhalten Sie eine E-Mail mit einem Bestätigungslink, der 48 Stunden gilt. Den Bericht versenden wir erst, nachdem Sie den Link geöffnet und die Anforderung bestätigt haben. Die Einzelheiten der Prüfung gehen nur an eine E-Mail-Adresse der geprüften Domain; an andere Adressen senden wir eine Kurzfassung ohne Einzelheiten. Die E-Mails versenden wir über Amazon SES (siehe Abschnitt 16).

Nur wenn Sie das freiwillige Häkchen „Ich möchte, dass Sie sich die Ergebnisse mit mir ansehen.“ setzen, melden wir uns nach Ihrer Bestätigung bei Ihnen. Dafür legen wir Ihre Anfrage wie eine Kontaktanfrage an und bearbeiten sie wie in Abschnitt 7 beschrieben; intern werden wir dabei per Telegram benachrichtigt. Ohne Häkchen erhalten Sie nur die Bestätigungs-E-Mail und den Bericht.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO für die von Ihnen angeforderte Prüfung und den Bericht, Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung) für die Rückmeldung nach gesetztem Häkchen und Art. 6 Abs. 1 lit. f DSGVO für den Schutz vor Missbrauch (Prüfwert der IP-Adresse, Turnstile). Ihre Einwilligung können Sie jederzeit mit Wirkung für die Zukunft widerrufen, etwa per E-Mail an die in Abschnitt 1 genannte Adresse.
Speicherdauer: Die Daten des Checks löschen wir automatisch nach 30 Tagen, auch wenn Sie die Anforderung nicht bestätigt haben. Haben Sie das Häkchen gesetzt und bestätigt, bleibt die daraus entstandene Anfrage so lange gespeichert wie in Abschnitt 7 beschrieben.

Registrierte Kunden melden sich im geschützten Bereich unter app.website-spezialist.de an. Dabei werden drei Cookies gesetzt, die für die Anmeldung technisch erforderlich sind: ki_session (Zugriffstoken), ki_refresh (Erneuerung der Sitzung) und ki_session_exp (Ablaufzeitpunkt).

Im Portal werden projektbezogene Daten verarbeitet: Projektstand und Zeitplan, Aufgaben, Dateien einschließlich der von Ihnen hochgeladenen, Rechnungen und Kostenvoranschläge, Chat-Verläufe mit dem KI-Assistenten, Abnahmeprotokolle mit dem Namen der erklärenden Person und dem Zeitpunkt der Erklärung sowie, bei gebuchter Auswertung, Berichte und Kennzahlen zu Ihrer Website und, bei Abo, der monatliche Leistungsnachweis und der Jahresrückblick. Diese Verarbeitung erfolgt zur Vertragserfüllung und Kundenbetreuung.

Ihre Nachrichten an den KI-Assistenten werden zur Beantwortung an Mistral AI SAS (Paris, Frankreich) übermittelt. Kann der Assistent eine Frage nicht sicher beantworten, wird sie an Daniel Bröning weitergegeben, der per E-Mail davon erfährt und Ihnen im Chat antwortet. Über eine solche Antwort informieren wir Sie per E-Mail; der Antworttext selbst steht nur im Kundenportal.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO.
Speicherdauer: Sitzungscookies bis zum Logout, spätestens sieben Tage nach der letzten Anmeldung; Vertragsdaten gemäß gesetzlicher Aufbewahrungsfristen.

Wir nutzen PostHog (PostHog Inc., EU-Rechenzentrum) zur statistischen Auswertung der Website-Nutzung. Die Datenübertragung erfolgt über einen eigenen Reverse-Proxy unter /ingest auf unserer Domain an die EU-Infrastruktur von PostHog (eu.posthog.com).

Stufe 1 — ohne Einwilligung: PostHog wird mit Speicherung ausschließlich im Arbeitsspeicher (memory) initialisiert. Es werden keine dauerhaften Cookies oder localStorage-Einträge für Analysezwecke gesetzt. Es können dennoch aggregierte, pseudonyme Nutzungsereignisse (z. B. Seitenaufruf) verarbeitet werden.

Stufe 2 — nur nach Einwilligung: Wenn Sie im Cookie-Banner „Alle akzeptieren“ wählen, aktivieren wir erweiterte Funktionen: dauerhafte Identifikation, Session Recording, Autocapture, Seitenverlassen-Tracking und die Messung der Ladezeiten (Web Vitals). Ihre Einwilligung speichern wir lokal unter dem Schlüssel ki-website:cookie-consent bzw. ki_tracking_opt_in.

Rechtsgrundlage Stufe 1: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an anonymisierter Reichweitenmessung).
Rechtsgrundlage Stufe 2: Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG (Einwilligung).
Widerruf: Jederzeit über „Nur notwendige“ im Cookie-Banner oder durch Löschen der Website-Daten in Ihrem Browser.
Weitere Informationen: PostHog Privacy Policy

Für die Vereinbarung von Beratungsterminen verlinken wir auf Cal.com (Cal.com, Inc.). Wenn Sie einen Termin buchen, gelten die Datenschutzbestimmungen von Cal.com. Dabei werden insbesondere Name, E-Mail-Adresse und Termindetails verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Terminvereinbarung im Rahmen vorvertraglicher Maßnahmen).
Informationen: Cal.com Privacy Policy

Wir verwenden Cookies und vergleichbare Technologien gemäß § 25 TDDDG. Technisch notwendige Speicherungen sind ohne Einwilligung zulässig; optionale Analyse-Speicherungen nur nach Ihrer Einwilligung.

• ki_session — Session-Cookie für Dashboard-Login (notwendig, Sessiondauer)
• site_access — Wartungsmodus-Zugang, falls aktiv (notwendig für freigeschalteten Seitenzugriff)
• ki-website:cookie-consent — localStorage, speichert Ihre Cookie-Entscheidung
• ki_tracking_opt_in — localStorage, nur bei Einwilligung zu erweitertem PostHog-Tracking
• blog-comment-author:v1 — localStorage, merkt sich Name und E-Mail-Adresse aus dem Kommentarformular, nur wenn Sie dort das Häkchen „merken“ gesetzt haben (Einwilligung)
• PostHog-Cookies — nur nach ausdrücklicher Einwilligung im Cookie-Banner

Sie können Ihren Browser so einstellen, dass Sie über das Setzen von Cookies informiert werden und diese einzeln annehmen oder ablehnen. Bei Deaktivierung technisch notwendiger Cookies kann die Funktionalität eingeschränkt sein.

Für transaktionale E-Mails (z. B. Kontaktbestätigung, Newsletter Double-Opt-in, Bestätigung und Bericht des Sicherheits-Checks, Angebote und Rechnungen) nutzen wir Amazon Simple Email Service (SES) der Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg. Dabei werden E-Mail-Adresse, Name und Inhalt der Nachricht verarbeitet.

Der Versand läuft über die Region Europa (Frankfurt am Main). Ihre Daten werden damit innerhalb der Europäischen Union verarbeitet.

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO bzw. lit. a DSGVO (Newsletter).
Drittlandtransfer: Vertragspartner ist eine Gesellschaft mit Sitz in der EU, die Verarbeitung erfolgt in Frankfurt am Main. Soweit im Rahmen von Support-Zugriffen ausnahmsweise eine Übermittlung in ein Drittland stattfindet, stützt sich diese auf die Standardvertragsklauseln der EU-Kommission im AWS-Datenverarbeitungsnachtrag; Informationen unter AWS GDPR Center

Wir setzen externe Dienstleister (Auftragsverarbeiter) ein, die personenbezogene Daten nur nach unseren Weisungen verarbeiten. Mit diesen wurden, soweit erforderlich, Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen.

• Hetzner Online GmbH — Hosting (Deutschland)
• Cloudflare, Inc. — Turnstile Bot-Schutz (USA, DPF / SCC)
• PostHog Inc. — Webanalyse (EU-Region)
• Amazon Web Services EMEA SARL — E-Mail-Versand über SES (Luxemburg, Verarbeitung in Frankfurt am Main)
• Cal.com, Inc. — Terminbuchung (USA, SCC)
• OpenRouter — KI-Analyse von Kontaktanfragen (USA, SCC)
• Mistral AI SAS — KI-Assistent im Kundenportal (Frankreich, EU)
• TypeSafe AI — Vorsortierung von Kontaktanfragen und Blog-Kommentaren mit dem Modell Jev, über OpenRouter (USA)
• Anthropic PBC — KI-Prüfung von Blog-Kommentaren auf Spam (USA)

Übermittlungen in Drittländer (insbesondere USA) erfolgen auf Grundlage von Angemessenheitsbeschlüssen (EU-U.S. Data Privacy Framework) und/oder Standardvertragsklauseln der Europäischen Kommission gemäß Art. 46 DSGVO.

Wir treffen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO (z. B. TLS-Verschlüsselung, Zugriffsbeschränkungen, regelmäßige Updates, getrennte Admin-Zugänge), um Ihre Daten gegen Verlust, Manipulation und unberechtigten Zugriff zu schützen.

Die Bereitstellung personenbezogener Daten ist weder gesetzlich noch vertraglich vorgeschrieben, soweit nicht ausdrücklich anders gekennzeichnet. Ohne bestimmte Angaben im Kontaktformular können wir Ihre Anfrage jedoch möglicherweise nicht bearbeiten.

Eine ausschließlich automatisierte Entscheidungsfindung einschließlich Profiling im Sinne von Art. 22 DSGVO findet nicht statt. KI-gestützte Auswertungen von Kontaktanfragen dienen ausschließlich der internen Vorqualifizierung und führen nicht zu rechtlich wirksamen Automatisierungsentscheidungen gegenüber Ihnen.

Wir passen diese Datenschutzerklärung an, wenn sich Rechtslage, eingesetzte Dienste oder unsere Verarbeitungsprozesse ändern. Die jeweils aktuelle Version ist unter /datenschutz abrufbar. Wesentliche Änderungen werden wir, soweit erforderlich, gesondert kenntlich machen.

Version: September 2026