Datenschutz­erklärung

1. Verantwortlicher

Für Fragen zum Datenschutz und zur Ausübung deiner Rechte kannst du dich direkt an mich wenden.

2. Überblick

Diese Website stellt mein Angebot für Unternehmen vor. Schriften und Videos werden vom eigenen Website-Server geladen; Werbenetzwerke sind nicht eingebunden. Ein notwendiges Cookie speichert deine Datenschutzauswahl. Nur mit deiner Einwilligung nutze ich PostHog zur Besuchsanalyse (Abschnitt 9). Kontaktformular und Website funktionieren auch ohne diese Analyse. Anfragen aus dem Kontaktformular bearbeite ich in meinem CRM mit Unterstützung der KI Claude von Anthropic; dabei werden Daten auch in den USA verarbeitet. Einschätzungen und Antwortentwürfe prüfe ich selbst (Abschnitt 5).

3. Hosting und technische Verbindungsdaten

Die Website wird über Vercel Inc., USA, ausgeliefert. Beim Aufruf verarbeitet Vercel technisch notwendige Verbindungsdaten wie IP-Adresse, Zugriffszeitpunkt, aufgerufene Adresse sowie Browser- und Geräteangaben. Das dient der Bereitstellung, Fehlerbehebung, Stabilität und Sicherheit der Website auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO. Inhalte können über das weltweite Auslieferungsnetz von Vercel bereitgestellt werden.

Technische Protokolle werden nur so lange vorgehalten, wie dies für Betrieb, Fehleranalyse und Sicherheit erforderlich ist. Die Verfügbarkeit von Function-Protokollen hängt vom gebuchten Vercel-Tarif ab; ohne erweiterte Beobachtungsfunktionen liegt sie je nach Tarif bei einer Stunde, einem oder drei Tagen. Sicherheitsvorfälle und gesetzliche Pflichten können eine zweckgebundene längere Speicherung einzelner Daten erfordern. Weitere Angaben: Vercel-Datenschutzhinweise und Auftragsverarbeitungsbedingungen.

4. Bilder über Sanity

Projektbilder und Logos werden über das Content Delivery Network von Sanity (cdn.sanity.io) geladen. Anbieter sind Sanity US Inc., USA, und Sanity AS, Norwegen. Dabei erhält Sanity technisch notwendig deine IP-Adresse, die angefragte Bildadresse sowie Browser- und Verbindungsangaben. Ich nutze diesen Dienst für eine schnelle, zuverlässige Bildauslieferung auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Technische Zugriffsdaten dienen der Auslieferung, Sicherheit und Fehlerbehebung. Die Speicherdauer richtet sich nach der Erforderlichkeit für diese Zwecke sowie den vertraglichen Lösch- und Sicherungsverfahren von Sanity. Weitere Informationen: Sanity-Datenschutzhinweise und Auftragsverarbeitungsbedingungen.

5. Kontakt, E-Mail und Kundenverwaltung

Wenn du das Kontaktformular absendest, werden dein Name, deine E-Mail-Adresse, deine Nachricht, die gewählten Angaben zum Vorhaben und gegebenenfalls dein Unternehmen sowie der Projektbezug verschlüsselt an den Versand-Endpunkt der Website übertragen. Der Dienst Resend (Plus Five Five, Inc., USA) übermittelt die Anfrage als E-Mail an mich. Für die Versanddomain ist die Region Irland eingestellt. Das ist keine Zusage, dass sämtliche Verwaltungs-, Protokoll- und Supportverarbeitung ausschließlich in der EU stattfindet. Zugleich übergibt der Versand-Endpunkt die Anfrage automatisch an mein CRM (siehe unten).

Du kannst mir auch direkt per E-Mail schreiben. Für mein Postfach verwende ich Google Workspace. Dabei verarbeitet Google die Kommunikationsinhalte, Kontaktdaten und technischen Mail-Metadaten. Informationen zu den Bedingungen und Unterauftragsverarbeitern findest du im Google Cloud Data Processing Addendum. Die E-Mail-Verarbeitung ist nicht auf einen ausschließlich deutschen Serverstandort zugesichert.

Anfragen aus dem Kontaktformular werden außerdem automatisch in meinem selbst entwickelten CRM gespeichert, einschließlich Projektbezug und Eingangszeitpunkt. Weitere Anfrage-, Kontakt- und Projektdaten, etwa aus E-Mails, können dort ebenfalls gespeichert werden. Die Anwendung läuft bei Vercel, die Datenbank bei Supabase (Supabase Pte. Ltd., Singapur); für das CRM sind Frankfurt-Regionen gewählt. Der fachliche Zugriff auf das CRM ist auf mich beschränkt. Technische Dienstleister können Daten zur Bereitstellung, Wartung und Sicherheit verarbeiten. Weitere Angaben: Supabase-Datenschutzhinweise und Auftragsverarbeitungsbedingungen.

Die Verarbeitung dient der Bearbeitung deiner Anfrage, vorvertraglichen Abstimmung, Projektorganisation und laufenden Geschäftsbeziehung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertragsbezogenen Anfragen, sonst Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Bearbeitung geschäftlicher Kommunikation). Die Angaben sind nicht gesetzlich vorgeschrieben. Ohne einen Kontaktweg kann ich deine Anfrage nicht beantworten. Es findet keine ausschließlich automatisierte Entscheidung mit rechtlicher oder vergleichbarer erheblicher Wirkung statt.

Zum Schutz vor automatisiertem Missbrauch prüft der Formular-Endpunkt ein Honeypot-Feld und begrenzt wiederholte Anfragen. Dafür wird eine gehashte IP-Kennung vorübergehend im Speicher der Function-Instanz verwendet; sie wird nach Ablauf des zehnminütigen Prüfintervalls bei der nächsten Bereinigung oder beim Ende der Instanz verworfen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO.

Weitere Informationen zum Versanddienst: Resend-Datenschutzhinweise und Auftragsverarbeitungsbedingungen.

KI-gestützte Bearbeitung im CRM

Anfragen aus dem Kontaktformular übergibt die Website automatisch an mein CRM. Dort nutze ich Claude, einen KI-Dienst von Anthropic, als Arbeitshilfe: Die KI fasst deine Anfrage kurz zusammen und ordnet sie ein, schätzt ein, wie gut sie zu meinem Angebot passt, und erstellt einen Entwurf für meine Antwort. So kann ich Anfragen schneller und gezielter beantworten.

Für die Einschätzung vergibt die KI Punkte für feste Kriterien: Passung zu meinem Angebot, Klarheit von Ziel oder Problem, Hinweise auf Budget und Zeitrahmen, Passung des Unternehmens (etwa Branche und Größe) und Dringlichkeit. Daraus berechnet das CRM einen Passungswert von 0 bis 100; ohne KI ermittelt es außerdem aus Name, E-Mail-Adresse und Unternehmen einen Erreichbarkeitswert. Soweit sich diese Bewertung auf dich als Person bezieht, handelt es sich um Profiling im Sinne von Art. 4 Nr. 4 DSGVO. Die Werte, ein Titelvorschlag und gegebenenfalls ein empfohlenes Angebot werden automatisch im CRM gespeichert; sie dienen nur der Priorisierung und Vorbereitung meiner Antwort.

Für diese Aufgaben übermittelt das CRM der KI deinen Namen, deine E-Mail-Adresse, deine Nachricht, deine Angaben zu Angebot und Projektstand sowie gegebenenfalls dein Unternehmen und den Titel der Projektseite, über die du angefragt hast. Für den Antwortentwurf kommt die zuvor erstellte Einschätzung hinzu. Außerdem erhält die KI Angaben zu meinen Leistungen und Referenzprojekten. Nicht übermittelt werden die Adresse der Projektseite, der Zeitpunkt deiner Anfrage und weitere Daten zu dir aus dem CRM, etwa Notizen oder frühere Vorgänge.

Für die Einschätzung ruft das CRM die öffentliche Website deines Unternehmens ab, wenn es eine kennt. Dazu ordnet es deine Anfrage anhand deiner E-Mail-Adresse, ihrer Domain oder des angegebenen Firmennamens einem Unternehmen zu. Ist dieses Unternehmen schon im CRM hinterlegt, nutzt es die dort gespeicherte Adresse. Sonst nutzt es die Startseite der Domain deiner E-Mail-Adresse, wenn diese als geschäftlich gilt. Freemail-Adressen erkennt das CRM an einer festen Liste verbreiteter Adressen wie gmail.com, gmx.de, web.de oder outlook.com und leitet daraus keine Website ab. Domains, die nicht auf dieser Liste stehen, behandelt es als geschäftlich. Das kann auch eine privat genutzte eigene Domain oder einen nicht gelisteten Freemail-Anbieter betreffen; teil mir das mit, dann lösche ich die Angaben aus dem Abruf.

Abgerufen wird pro Anfrage grundsätzlich nur diese eine Seite, ohne Unterseiten; Weiterleitungen folgt das CRM höchstens dreimal. Der Abruf kommt vom CRM-Server in der Vercel-Region Frankfurt und gibt sich als „NEWAVE-CRM“ zu erkennen; der Betreiber der Website kann ihn deshalb in seinen Protokollen sehen. An die KI gehen die abgerufene Adresse, technische Merkmale wie das eingesetzte Website-System und Copyright-Jahre sowie gekürzte Auszüge aus Seitentitel, Beschreibung, Überschriften und sichtbarem Text.

Vertragspartner für den KI-Dienst ist Anthropic Ireland, Limited, Irland. Anthropic verarbeitet die Daten als mein Auftragsverarbeiter und setzt dafür Unterauftragsverarbeiter ein, vor allem Cloud-Infrastruktur von Google, Amazon Web Services und Microsoft. Anthropic speichert die Daten in den USA. Die Verarbeitung durch das KI-Modell kann in jeder Region stattfinden, in der Anthropic Rechenkapazität nutzt, also neben den USA auch in weiteren Drittländern; eine Verarbeitung allein in der EU bietet die von mir direkt genutzte Claude-API nicht an.

Die Auftragsverarbeitungsbedingungen von Anthropic enthalten die EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO), soweit sie rechtlich erforderlich sind. Mein Vertragspartner sitzt in Irland; in die USA und gegebenenfalls in weitere Drittländer übermittelt Anthropic die Daten als mein Auftragsverarbeiter selbst. Anthropic muss seine Unterauftragsverarbeiter vertraglich auf einen im Wesentlichen gleichwertigen Datenschutz verpflichten. Nach dem EU-U.S. Data Privacy Framework ist Anthropic nach meinem Kenntnisstand nicht zertifiziert.

Nach Angaben von Anthropic werden Eingaben und Ergebnisse der Claude-API standardmäßig innerhalb von 30 Tagen gelöscht. Länger gespeichert werden können Inhalte, die automatische Sicherheitssysteme als möglichen Verstoß gegen die Nutzungsrichtlinien markieren (bis zu zwei Jahre, die zugehörigen Einstufungswerte bis zu sieben Jahre), sowie Daten, die aus rechtlichen Gründen aufbewahrt werden müssen. Nach den gewerblichen Nutzungsbedingungen von Anthropic dürfen die Inhalte nicht zum Training von KI-Modellen verwendet werden.

Im CRM speichere ich die Ergebnisse zusammen mit deiner Anfrage: Kurzfassung, Einordnung, Einschätzung mit Punktwerten und Begründungen sowie den Antwortentwurf. Die Begründungen können wörtliche Zitate aus deiner Nachricht oder von der abgerufenen Website enthalten. Vom Website-Abruf speichere ich außerdem Adresse, Seitentitel, Beschreibung und technische Merkmale, nicht aber den Seitentext. Die an die KI gesendeten Eingaben speichert das CRM nicht gesondert; zu jedem KI-Aufruf protokolliert es nur technische Angaben wie Aufgabe, Modell, Umfang, Kosten, Dauer und gegebenenfalls eine Fehlermeldung. Für alle diese Daten gelten die Regeln unter „Aufbewahrung und Löschung“.

Die Ergebnisse der KI speichert das CRM automatisch; für mich sind sie Vorschläge. Einschätzungen und Entwürfe prüfe ich selbst, passe sie bei Bedarf an und entscheide, ob und wie ich antworte. Das CRM versendet keine E-Mails, schließt keine Vorgänge ab und sortiert keine Anfragen aus; jede Anfrage bleibt in meinem Eingang, bis ich sie bearbeitet habe. Eine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO findet nicht statt.

Rechtsgrundlage für die KI-gestützte Zusammenfassung, Einordnung und Einschätzung, für den Antwortentwurf und für den Website-Abruf ist Art. 6 Abs. 1 lit. f DSGVO. Mein berechtigtes Interesse ist, Anfragen zügig und sorgfältig zu beantworten, dafür einzuschätzen und zu priorisieren, wie gut sie zu meinem Angebot passen, und diese Einschätzung auf den öffentlichen Auftritt deines Unternehmens zu stützen. Für die Beantwortung deiner Anfrage selbst ist die KI-Unterstützung nicht erforderlich.

Dieser Verarbeitung kannst du widersprechen (Art. 21 DSGVO), am einfachsten per E-Mail an mich. Weil die Auswertung direkt nach dem Absenden des Formulars startet, wirkt ein Widerspruch ab seinem Eingang: Ich vermerke ihn im CRM zu deiner E-Mail-Adresse. Danach laufen deine Anfragen ohne KI-Unterstützung und ohne Website-Abruf, und ich lösche die bereits gespeicherten KI-Einordnungen, Einschätzungen und nicht versendeten Antwortentwürfe zu dir.

Weitere Angaben: Auftragsverarbeitungsbedingungen von Anthropic mit den Standardvertragsklauseln, Unterauftragsverarbeiter, gewerbliche Nutzungsbedingungen und Angaben zur Speicherdauer.

Aufbewahrung und Löschung

Anfragen ohne anschließenden Vertrag werden nach Abschluss der Bearbeitung gelöscht, sobald sie für den ursprünglichen Zweck nicht mehr erforderlich sind. Soweit konkrete Nachweisinteressen zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen bestehen, bewahre ich die hierfür erforderlichen Daten bis zum Ablauf der einschlägigen Verjährungsfrist auf. Die regelmäßige Verjährungsfrist beträgt drei Jahre und beginnt grundsätzlich mit dem Ende des Jahres, in dem der Anspruch entstanden ist und die erforderliche Kenntnis vorliegt (§§ 195, 199 BGB). Eine längere Speicherung erfolgt nur bei einem fortbestehenden konkreten Rechtsgrund.

Soweit gesetzliche handels- oder steuerrechtliche Aufbewahrungspflichten bestehen, werden die jeweils betroffenen Unterlagen für die vorgeschriebene Dauer aufbewahrt: insbesondere Geschäftsbriefe sechs Jahre, Buchungsbelege acht Jahre sowie Bücher, Aufzeichnungen und Jahresabschlüsse zehn Jahre (§ 147 AO, gegebenenfalls § 257 HGB). Die Fristen beginnen nach Maßgabe der jeweiligen gesetzlichen Regelung, regelmäßig mit dem Ende des betreffenden Kalenderjahres. Gesetzliche Ablaufhemmungen können die Aufbewahrung verlängern. Die betreffenden Daten werden dann auf die erforderliche Archivierung beschränkt und nicht allein deshalb für weitere Werbung genutzt.

Diese Regeln gelten für Daten im Postfach und im CRM. Sicherungskopien werden im Rahmen der vorgesehenen Überschreib- und Wiederherstellungszyklen bereinigt. Nach einer Wiederherstellung sind bereits erfolgte Löschungen erneut anzuwenden.

6. Terminvereinbarung

Die Terminvereinbarung erfolgt per E-Mail; die Verarbeitung ist in Abschnitt 5 beschrieben. Ein externer Kalender- oder Buchungsdienst wird auf dieser Website nicht eingebunden.

7. Empfänger, Auslandsverarbeitung und Sicherheit

Die in dieser Erklärung genannten Hosting-, Bild-, Mail-, CRM-, KI- und Analysedienste sind Empfänger der für ihre Aufgaben erforderlichen Daten. Die öffentlich zugänglichen Auftragsverarbeitungsbedingungen der Anbieter sind jeweils verlinkt. Ein gewählter EU-Serverstandort schließt Zugriffe durch internationale Supportstellen oder Unterauftragsverarbeiter nicht vollständig aus.

Soweit Daten in Länder außerhalb des Europäischen Wirtschaftsraums übermittelt werden, bedarf dies der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere eines anwendbaren Angemessenheitsbeschlusses oder geeigneter Garantien wie den EU-Standardvertragsklauseln und erforderlichen ergänzenden Maßnahmen. Die Anbieter beschreiben die vorgesehenen Mechanismen in ihren oben verlinkten Vertragsunterlagen; zu Anthropic siehe die Angaben in Abschnitt 5. Du kannst dich für weitere Informationen oder eine Kopie der einschlägigen Garantien an mich wenden.

Die Website und das Kontaktformular werden verschlüsselt über HTTPS ausgeliefert. Personenbezogene Inhalte deiner Anfrage werden nicht an die Besuchsanalyse übergeben.

8. Deine Rechte

Unter den gesetzlichen Voraussetzungen hast du ein Recht auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit (Art. 15–20 DSGVO). Soweit eine Verarbeitung auf deiner Einwilligung beruht, kannst du diese jederzeit mit Wirkung für die Zukunft widerrufen. Die Rechtmäßigkeit der Verarbeitung vor dem Widerruf bleibt unberührt.

Soweit ich Daten auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO verarbeite, kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen (Art. 21 DSGVO). Gegen die Verarbeitung für Direktwerbung kannst du jederzeit ohne Angabe von Gründen Widerspruch einlegen.

Du kannst dich bei einer Datenschutz-Aufsichtsbehörde beschweren (Art. 77 DSGVO), insbesondere bei der Berliner Beauftragten für Datenschutz und Informationsfreiheit, Alt-Moabit 59–61, 10555 Berlin, mailbox@datenschutz-berlin.de.

9. Cookie-Auswahl und Besuchsanalyse

Die lokal eingebundene Software CookieConsent speichert deine Auswahl im notwendigen Cookie newave_consent für 182 Tage. Es enthält Kategorien, Einwilligungsversion, Zeitpunkte und eine zufällige Einwilligungskennung. Die Auswahl wird nicht an einen externen Cookie-Dienst gesendet. Rechtsgrundlage für die notwendige Speicherung ist § 25 Abs. 2 Nr. 2 TDDDG; die Verwaltung deiner Auswahl erfolgt auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO.

Mit deiner Einwilligung verwende ich PostHog Cloud (EU) von PostHog Inc., USA. Erfasst werden Seitenaufrufe, grobe Browser- und Geräteangaben sowie ausgewählte Schritte im Anfrageprozess: Angebotsauswahl, Projektstand, Öffnen des Formulars, bestätigter Versand oder Versandfehler und Öffnen der Gesprächsanfrage. Eine zufällige Kennung verbindet diese Ereignisse. URL-Parameter und -Fragmente, Referrer, Formularinhalte, Name, E-Mail-Adresse und Unternehmen werden nicht in Analyseereignisse übernommen. Automatische Klickerfassung, Personenprofile, Heatmaps und Session-Replays sind deaktiviert. Deine IP-Adresse wird für die technische Verbindung übertragen; die IP-basierte Anreicherung ist deaktiviert.

PostHog verwendet eigene Cookies mit dem Präfix ph_ (bis zu 182 Tage) und ergänzende Sitzungseinträge im Browser. Die Analyse beginnt erst nach deiner Einwilligung gemäß § 25 Abs. 1 TDDDG und Art. 6 Abs. 1 lit. a DSGVO. Du kannst sie jederzeit über oder denselben Link im Footer widerrufen. Beim Widerruf stoppt die Erfassung und die Analyseeinträge werden aus deinem Browser entfernt. Bereits rechtmäßig verarbeitete Ereignisse werden dadurch nicht automatisch rückwirkend gelöscht; deine gesetzlichen Löschrechte bleiben bestehen.

Analyseereignisse werden im verwendeten kostenlosen PostHog-Tarif bis zu einem Jahr aufbewahrt. Weitere Informationen: PostHog-Datenschutzhinweise und Informationen zum Auftragsverarbeitungsvertrag.

10. Änderungen

Ich aktualisiere diese Erklärung, wenn sich die Website oder die Verarbeitung ändert. Es gilt die jeweils veröffentlichte Fassung.

Stand: 21. Oktober 2026