Datenschutzerklärung

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung auf dieser Website und diesem Kundenportal ist Francisco Bilbao Nellessen, handelnd unter Bilbao Consulting, An der Beeke 12A, 30916 Isernhagen. Kontakt: info@bilbaoconsulting.com, Telefon +49 176 41664506.

2. Zwecke der Verarbeitung

Wir verarbeiten personenbezogene Daten, die Sie uns mitteilen, um:

• Anfragen über das Kontaktformular auf unserer Website zu bearbeiten,
• Ihnen ein Kundenkonto und den Zugang zum Kundenportal bereitzustellen (Login per E-Mail-Link),
• von Ihnen eingereichte Support-Tickets zu bearbeiten, einschließlich hochgeladener Dateien,
• Angebote, Verträge und Rechnungen mit Ihnen abzuwickeln und Ihnen den Zugriff darauf zu ermöglichen,
• den Projektstatus Ihrer Website/Ihres Auftrags anzuzeigen und Ihnen monatliche Wartungsberichte zu erstellen,
• Unternehmen, für die unser Angebot interessant sein könnte, anhand öffentlich verfügbarer Angaben zu recherchieren und ihnen unser Angebot persönlich vorzustellen (siehe Abschnitt 10).

Außerdem werten wir die Nutzung unserer Website ohne Cookies und in zusammengefasster Form statistisch aus, um sie zu verbessern (siehe Abschnitt 8).

3. Rechtsgrundlagen

Die Verarbeitung erfolgt auf Grundlage von Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung bzw. vorvertragliche Maßnahmen, z. B. bei Kontaktanfragen), Art. 6 Abs. 1 lit. c DSGVO (gesetzliche Aufbewahrungspflichten, z. B. für Rechnungen) und Art. 6 Abs. 1 lit. f DSGVO (berechtigte Interessen — insbesondere an einem funktionierenden, sicheren Webangebot und Kundenportal sowie an der Vorstellung unseres Angebots gegenüber potenziellen Geschäftskunden, vgl. Erwägungsgrund 47 DSGVO).

4. Server-Logfiles

Beim Aufruf dieser Website erhebt unser Hosting-Anbieter automatisch sogenannte Server-Log-Dateien, die Ihr Browser automatisch übermittelt. Dazu gehören: Browsertyp und -version, verwendetes Betriebssystem, Referrer-URL, Hostname des zugreifenden Rechners, Uhrzeit der Serveranfrage und IP-Adresse. Diese Daten werden nicht mit anderen Datenquellen zusammengeführt und dienen ausschließlich dem sicheren und störungsfreien Betrieb der Website (Art. 6 Abs. 1 lit. f DSGVO). Sie werden nach spätestens 30 Tagen automatisch gelöscht, soweit sie nicht zu Beweiszwecken bei einem konkreten Sicherheitsvorfall aufbewahrt werden müssen.

5. SSL-/TLS-Verschlüsselung

Diese Website nutzt aus Sicherheitsgründen und zum Schutz der Übertragung vertraulicher Inhalte eine SSL-/TLS-Verschlüsselung. Eine verschlüsselte Verbindung erkennen Sie daran, dass die Adresszeile des Browsers von "http://" auf "https://" wechselt und an dem Schloss-Symbol in Ihrer Browserzeile.

6. Kontaktformular

Wenn Sie uns über das Kontaktformular auf unserer Website eine Anfrage übermitteln, werden Ihre Angaben (u. a. Name/Firma, E-Mail-Adresse, optional Telefonnummer, Ihre Nachricht) in unser Kundenverwaltungssystem übernommen und dort als Anfrage geführt, damit wir uns bei Ihnen melden können. Sie erhalten automatisch eine Eingangsbestätigung an die angegebene E-Mail-Adresse; der Versand erfolgt über den in Abschnitt 8 genannten E-Mail-Dienstleister. Eine Weitergabe an Dritte außerhalb der in Abschnitt 8 genannten Auftragsverarbeiter findet nicht statt. Wenden Sie sich stattdessen lieber direkt per E-Mail an uns, wird Ihre Nachricht zum Zweck der Bearbeitung und für Anschlussfragen bei uns gespeichert.

Zum Schutz vor Missbrauch (massenhafte automatisierte Anfragen) speichern wir beim Absenden des Formulars kurzzeitig einen nicht umkehrbaren, mit einem geheimen Schlüssel gebildeten Prüfwert (Hash) Ihrer IP-Adresse — nicht die IP-Adresse selbst — und zählen damit die Anfragen pro Stunde. Dieser Prüfwert wird nach spätestens 24 Stunden automatisch gelöscht. Rechtsgrundlage ist unser berechtigtes Interesse an einem funktionsfähigen, missbrauchsgeschützten Kontaktweg (Art. 6 Abs. 1 lit. f DSGVO).

WhatsApp

Sie können uns auch über WhatsApp erreichen. Der WhatsApp-Link auf unserer Website und im Kundenportal öffnet lediglich WhatsApp auf Ihrem Gerät; wir binden nichts von WhatsApp in unsere Seiten ein, und ohne Ihr Zutun werden keine Daten an WhatsApp übertragen. Schreiben Sie uns dort, verarbeitet WhatsApp Ireland Limited (4 Grand Canal Square, Dublin 2, Irland; ein Unternehmen der Meta-Gruppe) nach eigenen Bedingungen Ihre Rufnummer und Verbindungsdaten (etwa Zeitpunkt und Gerät); die Nachrichteninhalte sind Ende-zu-Ende-verschlüsselt. Wir speichern den Nachrichtenverlauf auf unserem Geschäftstelefon und halten das Wesentliche daraus in unserer Kundenverwaltung fest, um Ihre Anfrage zu bearbeiten. Rechtsgrundlage ist die Anbahnung oder Erfüllung eines Vertrags (Art. 6 Abs. 1 lit. b DSGVO), im Übrigen unser berechtigtes Interesse an einem einfachen Kontaktweg (Art. 6 Abs. 1 lit. f DSGVO). Besonders schutzbedürftige Angaben senden Sie uns bitte nicht über WhatsApp; Telefon und E-Mail stehen Ihnen immer offen. Näheres bei WhatsApp: whatsapp.com/legal/privacy-policy-eea.

Website-Check

Auf unserer Website können Sie die Adresse einer Website eingeben, um eine automatische technische Kurzprüfung zu erhalten. Dazu ruft unser Server die Startseite sowie die dort verlinkten Seiten „Impressum“ und „Datenschutzerklärung“ unter dieser Adresse einmalig ab (der Betreiber der geprüften Website sieht dabei die Anfrage unseres Servers, nicht Ihre IP-Adresse) und wertet sie aus. Zusätzlich öffnet unser Server die Startseite einmalig in einem Browser in Desktop- und Smartphone-Größe und fertigt davon je ein Bildschirmfoto an, wobei wir auch messen, wie schnell die Seite auf einem Smartphone lädt; die beiden Fotos zeigen wir Ihnen im Prüfergebnis, und wir übermitteln sie zusammen mit der Adresse der Website an die KI-Modelle von Anthropic (siehe Abschnitte 8 und 9), die Gestaltung und Aktualität des Erscheinungsbilds beurteilen. Ihre eigenen Daten (IP-Adresse, E-Mail-Adresse, Name) werden dabei nicht übermittelt. Die eingegebene Adresse, die Bildschirmfotos und das Prüfergebnis speichern wir ohne Bezug zu Ihrer Person für 90 Tage, um Missbrauch zu erkennen und die Prüfung zu verbessern (Art. 6 Abs. 1 lit. f DSGVO); zur Abwehr von Missbrauch speichern wir außerdem für 24 Stunden einen gehashten Wert Ihrer IP-Adresse. Fordern Sie zu einem Ergebnis eine persönliche Einschätzung an, speichern wir Ihre E-Mail-Adresse und optional Ihren Namen zusammen mit der geprüften Adresse und dem Prüfergebnis, um Ihre Anfrage zu beantworten (Art. 6 Abs. 1 lit. b DSGVO), und senden Ihnen eine Eingangsbestätigung. Ob daraus ein Kontakt in unserer Kundenverwaltung wird, entscheiden wir manuell; die Daten löschen wir, sobald sie für die Bearbeitung nicht mehr erforderlich sind.

7. Cookies, lokaler Speicher, Schriftarten und Bilder

Diese Website und das Kundenportal verwenden ausschließlich technisch notwendige Cookies und Speichertechnologien, die für den Betrieb erforderlich sind — insbesondere Sitzungs-Cookies zur Anmeldung im Kundenportal (gesetzt über unseren Authentifizierungsdienstleister Supabase) sowie eine lokale Speicherung (Local Storage) Ihrer Hell-/Dunkelmodus-Einstellung. Für diese technisch notwendigen Cookies ist gemäß § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung erforderlich. Wir setzen keine Analyse-, Tracking- oder Marketing-Cookies ein; für die cookielose Reichweiten- und Geschwindigkeitsmessung mit Vercel Web Analytics und Speed Insights siehe Abschnitt 8. Ein Cookie-Consent-Banner ist daher derzeit nicht erforderlich. Sollte sich dies ändern, werden wir diese Erklärung entsprechend aktualisieren und, soweit erforderlich, vorab Ihre Einwilligung einholen.

Für die Darstellung dieser Website und des Kundenportals setzen wir Schriftarten aus der Google-Fonts-Bibliothek ein (u. a. Inter, Space Grotesk und JetBrains Mono, auf unseren Konzept-Websites weitere). Diese werden nicht dynamisch von Servern von Google geladen, sondern beim Bau der Website automatisch heruntergeladen und ausschließlich von unserem eigenen Server bzw. Hosting-Anbieter ausgeliefert (Self-Hosting). Beim Aufruf dieser Website findet daher keine Verbindung zu Servern von Google statt und es werden keine Daten — insbesondere Ihre IP-Adresse — zu diesem Zweck an Google übermittelt.

Gleiches gilt für Fotos: Auch Bilder aus Bilddatenbanken (z. B. Unsplash), die wir etwa auf unseren Konzept-Websites verwenden, liegen auf unserem eigenen Hosting und werden von dort ausgeliefert. Beim Aufruf findet keine Verbindung zu diesen Bilddatenbanken statt; es werden keine Daten an sie übermittelt.

8. Empfänger und Auftragsverarbeiter

Für das Hosting dieser Website und des Kundenportals setzen wir Vercel Inc. (USA) als Auftragsverarbeiter ein (Art. 28 DSGVO). Die Datenübermittlung in die USA erfolgt auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO).

Zur statistischen Auswertung der Seitenaufrufe nutzen wir außerdem Vercel Web Analytics, ebenfalls von Vercel Inc. als Auftragsverarbeiter. Dabei werden keine Cookies gesetzt und keine Nutzerprofile gebildet. Erfasst werden die aufgerufene Seite, die verweisende Seite sowie Browser, Betriebssystem, Gerätetyp und das aus der IP-Adresse abgeleitete Land. Ihre IP-Adresse wird nicht gespeichert; zur Zählung eindeutiger Besuche bildet Vercel einen Hashwert aus der Anfrage, der nach Angaben von Vercel nach 24 Stunden verworfen wird, sodass Sie nicht über Tage hinweg wiedererkannt werden. Wir sehen ausschließlich zusammengefasste Statistiken. Rechtsgrundlage ist unser berechtigtes Interesse an der Verbesserung unseres Angebots (Art. 6 Abs. 1 lit. f DSGVO); die Übermittlung in die USA erfolgt wie oben auf Grundlage von EU-Standardvertragsklauseln.

Um die Ladegeschwindigkeit unserer Seiten zu überwachen, nutzen wir zudem Vercel Speed Insights, ebenfalls von Vercel Inc. als Auftragsverarbeiter. Dabei werden beim Seitenaufruf technische Leistungswerte (etwa Ladezeit und Reaktionszeit der Seite) zusammen mit der aufgerufenen Seite, Gerätetyp, Browser, Betriebssystem, Verbindungsart und dem aus der IP-Adresse abgeleiteten Land erfasst. Es werden keine Cookies gesetzt, keine Nutzerprofile gebildet und Ihre IP-Adresse wird nicht gespeichert; wir sehen nur zusammengefasste Werte. Rechtsgrundlage ist unser berechtigtes Interesse an einer schnellen, fehlerfreien Website (Art. 6 Abs. 1 lit. f DSGVO); die Übermittlung in die USA erfolgt wie oben auf Grundlage von EU-Standardvertragsklauseln.

Für die Registrierung unserer Domain sowie den Betrieb unseres geschäftlichen E-Mail-Postfachs (info@bilbaoconsulting.com) setzen wir die IONOS SE mit Sitz in Deutschland ein — die Verarbeitung erfolgt daher innerhalb der EU, zusätzliche Garantien für eine Datenübermittlung in Drittländer sind nicht erforderlich.

Für Nachrichten, die Sie uns über WhatsApp senden, ist WhatsApp Ireland Limited (Irland) Empfänger Ihrer Rufnummer und der Verbindungsdaten, wie in Abschnitt 6 beschrieben; eine Übermittlung an Meta-Server außerhalb der EU erfolgt nach Angaben von WhatsApp auf Grundlage von EU-Standardvertragsklauseln. Daten aus unserer Kundenverwaltung geben wir nicht an WhatsApp weiter.

Registrieren und verwalten wir im Rahmen eines vereinbarten Leistungspakets die Domain eines Kunden, setzen wir dafür die INWX GmbH & Co. KG, Prinzessinnenstraße 30, 10969 Berlin, als Registrar ein. Dabei werden die für die Registrierung erforderlichen Inhaberdaten des Kunden (Name bzw. Firma, Anschrift, E-Mail-Adresse, Telefonnummer) an INWX und an die jeweilige Vergabestelle (z. B. DENIC eG für .de-Domains) übermittelt; die DNS-Einträge der Domain pflegen wir über die Schnittstelle von INWX. Rechtsgrundlage ist die Erfüllung des Vertrags mit dem Kunden (Art. 6 Abs. 1 lit. b DSGVO). Die Verarbeitung durch INWX erfolgt in Deutschland.

Für Datenbank und Authentifizierung dieses Portals setzen wir Supabase als Auftragsverarbeiter ein (Art. 28 DSGVO, entsprechende Vereinbarung liegt vor). Die Daten werden primär in der Supabase-Region eu-west-1 (Irland), also innerhalb der EU, verarbeitet. Eine EU-Speicherregion schließt einzelne Zugriffe von außerhalb der EU/des EWR (z. B. zu Support- oder Wartungszwecken) nicht per se aus; Supabase sieht in seiner Datenverarbeitungsvereinbarung für solche Fälle Standardvertragsklauseln der Europäischen Kommission vor.

Für den Versand automatischer E-Mails (z. B. Login-Links, Einladungen, Ticket-Benachrichtigungen, Benachrichtigungen über neue Kontaktanfragen) setzen wir Resend als Auftragsverarbeiter ein (Art. 28 DSGVO); die Datenübermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln.

Für die Online-Zahlung von Rechnungen (z. B. Karte, Apple Pay, SEPA-Lastschrift, Klarna) und für den Lastschrifteinzug der Monatsrechnungen setzen wir Stripe (Stripe Payments Europe, Ltd., Irland) ein. Soweit Stripe dabei in unserem Auftrag Zahlungsdaten für uns verarbeitet, handelt Stripe als Auftragsverarbeiter (Art. 28 DSGVO); für bestimmte eigene Zwecke — etwa die Erfüllung eigener regulatorischer Pflichten als Zahlungsdienstleister oder Betrugsprävention — verarbeitet Stripe Daten auch als eigenständig Verantwortlicher. Die Datenübermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln. Bei Nutzung der Zahlungsfunktion übermitteln wir die dafür erforderlichen Daten (u. a. Name, E-Mail-Adresse, Rechnungsbetrag) an Stripe; die eigentlichen Zahlungsdaten (z. B. Kartennummer, IBAN) werden direkt bei Stripe erfasst und erreichen uns nicht.

Erteilen Sie uns ein SEPA-Lastschriftmandat, speichern wir dazu nur die Mandatsreferenz, die letzten vier Ziffern Ihrer IBAN und den Zeitpunkt der Erteilung; die vollständige IBAN verbleibt bei Stripe. Rechtsgrundlage ist die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO); die Daten werden gelöscht, sobald das Mandat widerrufen ist und keine gesetzlichen Aufbewahrungspflichten mehr bestehen. Wählen Sie bei der Online-Zahlung Klarna, übermittelt Stripe die dafür nötigen Daten an die Klarna Bank AB (Schweden), die als eigenständig Verantwortliche u. a. eine Bonitäts- und Identitätsprüfung durchführen kann; es gelten ergänzend die Datenschutzhinweise von Klarna.

Für KI-gestützte Funktionen (siehe Abschnitt 9) setzen wir die KI-Modelle von Anthropic (Anthropic PBC, USA) über den kommerziellen Anthropic-API-Zugang als Auftragsverarbeiter ein; nach Angaben von Anthropic werden über diesen kommerziellen Zugang übermittelte Daten nicht zum Training von KI-Modellen verwendet. Die Datenübermittlung erfolgt auf Grundlage von EU-Standardvertragsklauseln.

Für die Versionsverwaltung des Quellcodes nutzen wir GitHub (GitHub, Inc., USA, ein Unternehmen von Microsoft), ebenfalls auf Grundlage von EU-Standardvertragsklauseln. Automatisierte Abläufe — die KI-gestützte Ticketbearbeitung und die Recherche zu potenziellen Geschäftskunden (Abschnitt 10) — laufen auf der Ausführungsumgebung GitHub Actions; die dafür benötigten Daten werden dort nur für die Dauer des jeweiligen Ablaufs verarbeitet. Der Inhalt eines Tickets kann zudem in Form einer Commit- oder Pull-Request-Beschreibung im zugehörigen Repository erscheinen, wenn er sich auf eine konkrete Code-Änderung bezieht.

Zahlungen per Überweisung wickeln wir über unser Geschäftskonto bei Qonto (Olinda SAS, Frankreich) ab. Qonto verarbeitet die Zahlungsdaten als Kreditinstitut in eigener Verantwortung. Eingehende Zahlungen (Name des Zahlenden, Betrag, Verwendungszweck) übernehmen wir per Schnittstelle oder Kontoauszug-Export in unsere Kundenverwaltung, um sie den offenen Rechnungen zuzuordnen.

9. Einsatz von Künstlicher Intelligenz

Wir setzen KI-Modelle von Anthropic (siehe Abschnitt 8) für folgende Zwecke ein:

• Website-Check — Beurteilung von Gestaltung und Aktualität einer von Ihnen eingegebenen Website anhand zweier Bildschirmfotos (Desktop und Smartphone) und der Adresse der Website; das Urteil wird Ihnen direkt im Prüfergebnis angezeigt und mit dem Prüfergebnis gespeichert (Einzelheiten in Abschnitt 6). Rechtsgrundlage ist unser berechtigtes Interesse an einem aussagekräftigen Prüfangebot (Art. 6 Abs. 1 lit. f DSGVO).
• Bearbeitung von Support-Tickets — nur, wenn diese Funktion für das jeweilige Kundenprojekt aktiviert ist; ist sie es nicht, wird Ihr Ticket direkt persönlich bearbeitet. Rechtsgrundlage ist die Erfüllung des mit Ihnen bestehenden Vertrages (Art. 6 Abs. 1 lit. b DSGVO).
• Monatliche Wartungsberichte — Betreff und Beschreibung erledigter Tickets werden in kurze, verständliche Sätze für Ihren Monatsbericht umformuliert. Außerdem trägt der KI-Programmierassistent, mit dem wir Ihre Website pflegen, nach jeder Änderung eine kurze Beschreibung mit Datum und den zugehörigen technischen Angaben in unsere Kundenverwaltung ein; daraus entsteht der Entwurf Ihres Monatsberichts (Art. 6 Abs. 1 lit. b DSGVO).
• Recherche zu potenziellen Geschäftskunden — Zusammenfassung und Einschätzung öffentlich verfügbarer Unternehmensangaben und Vorbereitung der Kontaktaufnahme: Ein KI-Assistent (Claude von Anthropic) entwirft Anschreiben, die wir vor dem Versand selbst prüfen und selbst verschicken, und trägt Kontakte, Antworten und Wiedervorlagen in unsere Kundenverwaltung ein (Einzelheiten in Abschnitt 10).
• Erstellung von Demo- und Kunden-Websites — beim Bau einer Website liest ein KI-Programmierassistent (Claude Code von Anthropic) über einen geschützten, von uns freigegebenen Zugang die dafür nötigen Angaben aus unserer Kundenverwaltung (Firmendaten, Recherche, Projektdaten, bereitgestellte Dateien; keine Zahlungs- oder Finanzdaten) und trägt Ergebnisse wie Links, Bearbeitungsstand und — bei späteren Änderungen an Ihrer Website — eine kurze Beschreibung jeder Änderung zurück. Auf unsere Anweisung pflegt er dabei auch Ihre Stammdaten (Name, Ansprechpartner, Kontaktdaten, Adresse), den Projektstand, Aufgaben und Termine; Preise, Rechnungen und Zahlungsdaten liest und ändert er nicht. Support-Tickets sieht er nur bei Projekten, für die die KI-Bearbeitung aktiviert ist (siehe oben), und schreibt dort nur interne Notizen — was Sie von uns lesen, schreiben und veröffentlichen wir selbst. Rechtsgrundlage ist bei Kunden die Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), bei potenziellen Geschäftskunden unser berechtigtes Interesse an der Vorbereitung eines Angebots (Art. 6 Abs. 1 lit. f DSGVO).

In allen Fällen entscheidet ein Mensch — Francisco Bilbao Nellessen, handelnd unter Bilbao Consulting persönlich — über das Ergebnis: Keine von der KI vorgeschlagene Änderung geht ohne Prüfung live, kein Bericht wird ungeprüft versendet, und ob und wie wir ein Unternehmen ansprechen, entscheiden wir selbst. Es findet keine ausschließlich automatisierte Entscheidung im Sinne von Art. 22 DSGVO statt. Wo Ihnen Ergebnisse eines KI-Systems angezeigt werden, weisen wir Sie hiermit gemäß Art. 50 der EU-KI-Verordnung darauf hin.

Bitte übermitteln Sie uns über Support-Tickets keine Gesundheitsdaten oder andere besonders schützenswerte Angaben im Sinne von Art. 9 DSGVO (z. B. Patientendaten) — diese sind für die Bearbeitung technischer Anfragen nicht erforderlich.

10. Recherche zu potenziellen Geschäftskunden (Informationen nach Art. 14 DSGVO)

Wir sprechen Unternehmen in unserer Region, für die eine neue oder bessere Website interessant sein könnte, gezielt und persönlich an. Dazu durchsuchen wir unser Einzugsgebiet (derzeit rund 15 km um unseren Sitz in Isernhagen, einschließlich der angrenzenden Stadtteile Hannovers) in regelmäßigen Abständen systematisch nach Betrieben ausgewählter Branchen und recherchieren vorab öffentlich verfügbare Angaben. Zusätzlich sucht unser System jeden Morgen automatisch in wechselnden Orten der Region Hannover (einschließlich der Stadt Hannover) nach einigen wenigen Betrieben, deren Website erkennbar veraltet ist, und schlägt sie uns zur Prüfung vor. Diese Angaben sind überwiegend Unternehmensdaten; personenbezogen sind sie, soweit sie sich auf eine natürliche Person beziehen — etwa bei Einzelunternehmen oder namentlich genannten Inhabern und Ansprechpartnern.

Kategorien von Daten: Name des Unternehmens, Branche, Geschäftsadresse, geschäftliche Telefonnummer und E-Mail-Adresse, Website-Adresse, Öffnungszeiten, öffentliche Bewertungsdaten (Durchschnittsbewertung, Anzahl der Bewertungen, Datum der jüngsten Bewertungen — daran erkennen wir, ob ein Betrieb noch aktiv ist — und kurze Auszüge aus öffentlichen Google-Rezensionen, ohne Namen der Verfassenden), auf der Website verlinkte Social-Media-Profile, technische Merkmale der Website (z. B. verwendetes System, Verschlüsselung, Online-Buchung), im Impressum oder auf der Website genannte Inhaber bzw. Ansprechpartner (Name und Anrede für die schriftliche Ansprache) sowie öffentlich abrufbare Inhalte der Website, einschließlich Bildschirmaufnahmen (Screenshots) ihrer Startseite in Computer- und Smartphone-Ansicht. Dazu kommen unsere eigenen Notizen und Einschätzungen, etwa zur Website oder aus einem Gespräch.

Quellen: die Google Maps Platform (Unternehmenseinträge über die Places API), die öffentlich zugängliche Website des Unternehmens (einschließlich Unterseiten wie Leistungen, Team oder Impressum) und öffentlich zugängliche Quellen im Internet, etwa Branchenverzeichnisse, Bewertungsportale, Presseberichte und Stellenanzeigen.

Zweck und Rechtsgrundlage: Wir prüfen, ob unser Angebot für das Unternehmen passen könnte, und bereiten eine persönliche Kontaktaufnahme vor. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; unser berechtigtes Interesse ist die Vorstellung unseres Angebots gegenüber Geschäftskunden (Direktwerbung, Erwägungsgrund 47 DSGVO). Wir verarbeiten dabei keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

Automatisierte Auswertung: Die recherchierten Angaben werden von KI-Modellen (Anthropic) zusammengefasst und eingeschätzt, zum Beispiel wie aktuell eine Website ist oder wie sie auf Computer und Smartphone wirkt. Für gefundene Unternehmen ermitteln wir zudem eine Schnellbewertung (einen Punktwert mit kurzer Begründung) aus den Google-Angaben und technischen Merkmalen der Website; bei der täglichen Auswahl erstellen wir von den aussichtsreichsten Websites Bildschirmaufnahmen der Startseite, und ein KI-Modell vergleicht deren Gestaltung mit Websites, die wir selbst gebaut haben, um die Betriebe auszuwählen, deren Website am deutlichsten erneuert werden müsste. Bei den aussichtsreichsten prüft ein KI-Modell zusätzlich Startseite, Impressum und Bildschirmaufnahmen der Website. Das alles legt lediglich fest, welche Unternehmen in unsere interne Anrufliste kommen und in welcher Reihenfolge wir sie ansprechen. Das Ergebnis ist eine interne Arbeitsgrundlage; ob und wie wir Kontakt aufnehmen, entscheiden wir persönlich (siehe Abschnitt 9).

Empfänger: Supabase (Speicherung in unserer Kundenverwaltung), Anthropic (Auswertung, einschließlich Websuche), GitHub (Ausführungsumgebung GitHub Actions) und Google (Suchanfragen nach Branche und Ort) — jeweils wie in Abschnitt 8 beschrieben.

Kontaktverlauf und Sperre: Jeden Kontakt (Kanal, Datum, Inhalt in Kurzform, Ihre Antwort) halten wir in unserer Kundenverwaltung fest. Sagen Sie ab oder widersprechen Sie, vermerken wir sofort eine Kontaktsperre: Danach erhalten Sie keine weiteren Nachrichten von uns, auch keine von unseren KI-Werkzeugen vorbereiteten — die Kundenverwaltung lehnt neue Entwürfe und Kontakte ab. Damit die Sperre wirkt, bewahren wir Name, Kontaktdaten und den Sperrvermerk auf (Art. 6 Abs. 1 lit. f DSGVO); die übrigen Angaben löschen wir auf Wunsch.

Speicherdauer: Wir speichern die Angaben, solange sie für die Kontaktaufnahme erforderlich sind. Kommt keine Geschäftsbeziehung zustande, löschen wir sie — mit Ausnahme eines Sperrvermerks wie oben. Unternehmen, die wir bei einer Gebietssuche zwar gefunden, aber nicht für eine Ansprache ausgewählt haben, bleiben mit Grunddaten und Schnellbewertung höchstens zwölf Monate gespeichert, damit sie bei der nächsten Suche nicht erneut ausgewertet werden; danach werden sie automatisch gelöscht.

Bei unserer ersten Kontaktaufnahme teilen wir Ihnen mit, woher wir Ihre Angaben haben, und weisen auf diese Datenschutzerklärung hin.

11. Speicherdauer

Wir speichern Ihre Daten, solange die Geschäftsbeziehung besteht und gesetzliche Aufbewahrungspflichten (z. B. handels- und steuerrechtliche Fristen für Rechnungen) dies erfordern. Anfragen über das Kontaktformular und Support-Ticket-Daten löschen oder anonymisieren wir, sobald sie für die Bearbeitung nicht mehr benötigt werden und keine Aufbewahrungspflicht entgegensteht.

12. Ihre Rechte

Sie haben das Recht auf Auskunft (Art. 15 DSGVO), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) sowie Widerspruch (Art. 21) gegen die Verarbeitung Ihrer personenbezogenen Daten. Wenden Sie sich hierzu an die oben genannte Kontaktadresse.

13. Beschwerderecht

Sie haben das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten durch uns zu beschweren — etwa bei der für unseren Sitz zuständigen Aufsicht, der Landesbeauftragten für den Datenschutz Niedersachsen, oder bei der Aufsichtsbehörde Ihres eigenen Wohn- oder Sitzortes.