DatenschutzerklärungPrivacy notice

1. Server-Logdaten1. Server log data

Beim Aufruf dieser Website verarbeiten die eingesetzten Dienstleister technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Herkunftsseite sowie Browser- und Betriebssystemkennung. Ohne diese Angaben lässt sich eine Seite nicht ausliefern. Rechtsgrundlage ist mein berechtigtes Interesse an einem erreichbaren, funktionsfähigen und gegen Angriffe geschützten Auftritt (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nicht mit anderen Quellen zusammengeführt, nicht zur Bildung von Nutzungsprofilen verwendet und spätestens nach 30 Tagen gelöscht. Eine Ausnahme gilt, wenn ein konkreter Angriffsverdacht die längere Aufbewahrung einzelner Einträge zur Aufklärung erfordert. When this website is accessed, the service providers involved process technically necessary access data: IP address, date and time, the address requested, the HTTP status code, the volume of data transferred, the referring page, and browser and operating system identifiers. A page cannot be delivered without this. The legal basis is my legitimate interest in a reachable, functioning site that is protected against attacks (Art. 6(1)(f) GDPR). The data is not merged with other sources, is not used to build usage profiles, and is deleted after 30 days at the latest. The one exception is where a specific suspicion of an attack makes it necessary to keep individual entries longer in order to investigate.

2. Auslieferung und Absicherung über Cloudflare2. Delivery and protection via Cloudflare

Der gesamte Datenverkehr dieser Website läuft über das Netz von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, in der Europäischen Union vertreten durch die Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare arbeitet als vorgeschalteter Dienst, der Anfragen entgegennimmt, auf schädlichen Verkehr prüft, Überlastungsangriffe abfängt und die Inhalte an Ihren Browser ausliefert. Cloudflare beendet dabei die verschlüsselte Verbindung. Das bedeutet, dass Cloudflare Ihre IP-Adresse und die übertragenen Inhalte im Klartext sieht, einschließlich dessen, was Sie in das Kontaktformular eingeben. Rechtsgrundlage ist mein berechtigtes Interesse an der Abwehr von Angriffen und an einer schnellen, zuverlässigen Auslieferung (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag einschließlich der Standardvertragsklauseln der EU-Kommission ist geschlossen. All traffic to this website passes through the network of Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, represented in the European Union by Cloudflare Germany GmbH, Rosental 7, 80331 Munich, Germany. Cloudflare acts as an upstream service that receives requests, inspects them for malicious traffic, absorbs denial-of-service attacks and delivers the content to your browser. In doing so, Cloudflare terminates the encrypted connection. This means Cloudflare sees your IP address and the transmitted content in plain text, including whatever you enter into the contact form. The legal basis is my legitimate interest in fending off attacks and in fast, reliable delivery (Art. 6(1)(f) GDPR). Cloudflare acts for me as a processor under Art. 28 GDPR; a corresponding agreement including the European Commission's standard contractual clauses is in place.

Da Cloudflare, Inc. in den Vereinigten Staaten sitzt, werden dabei personenbezogene Daten in ein Drittland übermittelt. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Ergänzend und für den Fall, dass diese Zertifizierung endet oder der Beschluss aufgehoben wird, gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage unter [email protected]. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen. Einzelheiten stehen in der Datenschutzerklärung von Cloudflare unter cloudflare.com/privacypolicy. Because Cloudflare, Inc. is based in the United States, personal data is transferred to a third country. Cloudflare, Inc. is certified under the EU-U.S. Data Privacy Framework, so the transfer is based on the adequacy decision of the European Commission pursuant to Art. 45 GDPR. In addition, and should that certification lapse or the decision be annulled, the standard contractual clauses under Art. 46(2)(c) GDPR apply. You can obtain a copy of the agreed safeguards on request at [email protected]. Despite these safeguards it cannot be entirely ruled out that US authorities access the data. Details are set out in Cloudflare's privacy notice at cloudflare.com/privacypolicy.

3. Cookies und Speicherung auf Ihrem Gerät3. Cookies and storage on your device

Ich selbst setze keine Cookies, weder zur Analyse noch zur Wiedererkennung noch zu Werbezwecken. Cloudflare kann jedoch im Rahmen seiner Angriffserkennung Cookies setzen, insbesondere __cf_bm zur Unterscheidung automatisierter von menschlichen Zugriffen und cf_clearance zum Nachweis einer bestandenen Sicherheitsprüfung. Ob und wann das geschieht, hängt vom erkannten Verkehr ab. Diese Cookies enthalten keine Informationen, mit denen sich Ihr Verhalten über Websites hinweg nachverfolgen ließe, und sie sind nur kurz gültig. Sie sind unbedingt erforderlich, damit dieser Dienst überhaupt sicher bereitgestellt werden kann, weshalb dafür nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung eingeholt wird. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO. I set no cookies myself, neither for analytics nor for recognition nor for advertising. Cloudflare may, however, set cookies as part of its attack detection, in particular __cf_bm to tell automated traffic from human traffic and cf_clearance to record that a security check has been passed. Whether and when this happens depends on the traffic observed. These cookies contain no information that would allow your behaviour to be tracked across websites, and they are short-lived. They are strictly necessary for this service to be provided securely at all, which is why no consent is obtained for them under § 25(2) no. 2 TDDDG. The legal basis for the subsequent processing is Art. 6(1)(f) GDPR.

Ihre Sprachwahl zwischen Deutsch und Englisch wird im lokalen Speicher Ihres Browsers abgelegt, damit die Seite beim nächsten Besuch in derselben Sprache erscheint. Auch das ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil Sie diese Einstellung selbst vorgenommen haben und sie nur Ihren eigenen Wunsch umsetzt. Der Eintrag wird nicht an mich übertragen, nicht ausgewertet und verlässt Ihr Gerät nicht. Sie können ihn jederzeit über die Einstellungen Ihres Browsers löschen. Your language choice between German and English is stored in your browser's local storage so the site appears in the same language on your next visit. This too requires no consent under § 25(2) no. 2 TDDDG, because you made the setting yourself and it does nothing but carry out your own choice. The entry is not transmitted to me, is not evaluated and never leaves your device. You can delete it at any time through your browser settings.

4. Kontaktformular4. Contact form

Über das Formular auf der Startseite übermitteln Sie mir Namen, E-Mail-Adresse, Nachricht sowie wahlweise Unternehmen, Telefonnummer und Thema. Name, E-Mail-Adresse und Nachricht sind Pflichtangaben, weil ich sonst nicht antworten kann; alles Weitere ist freiwillig. Sie sind weder gesetzlich noch vertraglich verpflichtet, mir diese Daten zu geben. Ohne sie kommt allerdings keine Anfrage zustande, und es entsteht Ihnen daraus kein Nachteil. Through the form on the home page you send me your name, email address and message, plus optionally your company, phone number and topic. Name, email address and message are mandatory, because otherwise I cannot reply; everything else is voluntary. You are under no statutory or contractual obligation to give me this data. Without it, however, no enquiry can be made, and you suffer no disadvantage from withholding it.

Zusätzlich zu Ihren Eingaben verarbeite ich beim Absenden technische Begleitdaten und nehme sie in die Benachrichtigungs-E-Mail auf: Datum und Uhrzeit des Absendens, die eingestellte Sprache und die Seite, von der aus Sie das Formular abgeschickt haben. Sie helfen mir, die Anfrage einzuordnen und in der richtigen Sprache zu beantworten. Ihre IP-Adresse steht ausdrücklich nicht in dieser E-Mail. Um missbräuchliche Massenzusendungen abzuwehren, begrenze ich die Zahl der Übermittlungen pro Stunde. Dafür wird kein Klartext gespeichert, sondern ein pseudonymisierter Prüfwert aus IP-Adresse und Stunde, der in der Regel nach 24 Stunden gelöscht wird. Greift die Begrenzung, hält das Server-Protokoll zusätzlich das Netzpräfix Ihrer Adresse fest (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 48 Bit); dafür gilt die Frist aus Abschnitt 1. Ergänzend enthält das Formular ein für Menschen unsichtbares Feld und eine Mindestzeit zwischen Aufruf und Absenden; beides erkennt automatisierte Zusendungen, ohne Sie etwas zu fragen. Vor dem Absenden läuft außerdem eine Prüfung mit Cloudflare Turnstile. Dafür lädt Ihr Browser ein Skript von challenges.cloudflare.com – die einzige Fremdquelle dieser Website. Cloudflare beurteilt anhand technischer Merkmale Ihres Geräts und Browsers, ob die Übermittlung von einem Menschen stammt; übertragen werden dabei Ihre IP-Adresse, Angaben zu Browser und Betriebssystem sowie Interaktionsmerkmale. In aller Regel bleibt die Prüfung unsichtbar, nur im Zweifelsfall erscheint eine Rückfrage. Das Ergebnis wird als einmalig gültiger Prüfwert an meinen Server übergeben und dort mit Cloudflare abgeglichen; ohne bestandene Prüfung wird die Anfrage nicht versendet. Turnstile bildet keine Werbeprofile und dient nicht der seitenübergreifenden Wiedererkennung. Rechtsgrundlage ist mein berechtigtes Interesse an einem Kontaktweg, den Massenzusendungen nicht unbrauchbar machen (Art. 6 Abs. 1 lit. f DSGVO); Cloudflare ist dabei mein Auftragsverarbeiter nach Art. 28 DSGVO, es gilt der in Abschnitt 2 genannte Vertrag. Soweit für die Prüfung Informationen auf Ihrem Gerät gespeichert oder ausgelesen werden, ist das nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil die Prüfung für den von Ihnen ausdrücklich gewünschten Dienst – das Absenden dieses Formulars – unbedingt erforderlich ist. In addition to what you type, I process technical accompanying data when you submit the form and include it in the notification email: the date and time of submission, the language setting, and the page you submitted the form from. This helps me place the enquiry and answer it in the right language. Your IP address is expressly not included in that email. To repel abusive bulk submissions I limit the number of submissions per hour. No plain text is stored for this, only a pseudonymised check value derived from IP address and hour, which is as a rule deleted after 24 hours. If that limit is triggered, the server log additionally records the network prefix of your address (the first three blocks for IPv4, the first 48 bits for IPv6); the period stated in section 1 applies to it. The form also contains a field invisible to humans and a minimum interval between page load and submission; both detect automated submissions without asking you anything. Before submission there is additionally a check by Cloudflare Turnstile. For this your browser loads a script from challenges.cloudflare.com – the only external source on this website. Cloudflare assesses technical characteristics of your device and browser to judge whether the submission comes from a human; your IP address, browser and operating system details and interaction characteristics are transmitted in the process. As a rule the check stays invisible; only in doubtful cases does a prompt appear. The result is passed to my server as a single-use check value and verified there with Cloudflare; without a passed check the enquiry is not sent. Turnstile builds no advertising profiles and does not serve cross-site recognition. The legal basis is my legitimate interest in a contact route that bulk submissions cannot render useless (Art. 6(1)(f) GDPR); Cloudflare acts here as my processor under Art. 28 GDPR, under the agreement named in section 2. Insofar as information is stored on or read from your device for the check, this requires no consent under § 25(2) no. 2 TDDDG, because the check is strictly necessary for the service you expressly requested – submitting this form.

Rechtsgrundlage für die Bearbeitung Ihrer Anfrage ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie auf einen Vertrag zielt oder dessen Anbahnung dient, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, an mich gerichtete Nachrichten zu beantworten. Für die genannten Begleitdaten und die Missbrauchsabwehr ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO mit meinem Interesse daran, den Endpunkt nicht als Versandmaschine für fremde Nachrichten zu verlieren. Ich hole für all das bewusst keine Einwilligung ein: Sie hätten dabei keine echte Wahl, weil ich ohne diese Daten schlicht nicht antworten kann. The legal basis for handling your enquiry is Art. 6(1)(b) GDPR where it concerns a contract or steps taken prior to entering into one, and otherwise Art. 6(1)(f) GDPR, based on my legitimate interest in answering messages addressed to me. For the accompanying data and abuse prevention described above, the legal basis is Art. 6(1)(f) GDPR, based on my interest in not losing the endpoint as a relay for other people's mail. I deliberately do not obtain consent for any of this: you would have no genuine choice, because without this data I simply cannot reply.

Ihre Nachricht erreicht mich per E-Mail und bleibt in meinem Postfach. Führt die Anfrage zu keinem Auftrag, lösche ich sie sechs Monate nach dem letzten Schriftwechsel. Führt sie zu einem Auftrag, wird sie Teil der Geschäftskorrespondenz und unterliegt den handels- und steuerrechtlichen Aufbewahrungsfristen, in der Regel sechs Jahre für Geschäftsbriefe, acht Jahre für Buchungsbelege und zehn Jahre für Bücher und Abschlüsse, jeweils gerechnet ab dem Ende des betreffenden Kalenderjahres. Rechtsgrundlage der Aufbewahrung ist dann Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und § 257 HGB. Your message reaches me by email and stays in my mailbox. If the enquiry does not lead to an engagement, I delete it six months after the last correspondence. If it does lead to an engagement, it becomes part of the business correspondence and is subject to commercial and tax retention periods, as a rule six years for business letters, eight years for accounting vouchers and ten years for books and financial statements, each counted from the end of the relevant calendar year. The legal basis for retention is then Art. 6(1)(c) GDPR in conjunction with § 147 AO and § 257 HGB.

5. Kontakt per E-Mail, Telefon und WhatsApp5. Contact by email, phone and WhatsApp

Nehmen Sie unmittelbar per E-Mail oder Telefon Kontakt auf, verarbeite ich die dabei anfallenden Angaben zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO. If you contact me directly by email or phone, I process the details involved in order to deal with your request. The legal basis is Art. 6(1)(b) GDPR where there is a contractual context, and otherwise Art. 6(1)(f) GDPR.

Die WhatsApp-Schaltflächen auf dieser Website sind einfache Verweise auf wa.me. Beim Aufbau der Seite wird nichts von Meta nachgeladen und keine Verbindung dorthin aufgebaut. Erst wenn Sie klicken, ruft Ihr Browser die Adresse wa.me auf; dabei werden Ihre IP-Adresse und die Angabe, von welcher Seite Sie kommen, an Meta übertragen und WhatsApp öffnet sich mit dem vorbereiteten Chat. The WhatsApp buttons on this website are plain links to wa.me. Nothing is loaded from Meta when the page is built and no connection to Meta is established. Only when you click does your browser call up wa.me; in doing so your IP address and the page you came from are transmitted to Meta, and WhatsApp opens with the prepared chat.

WhatsApp ist bei mir nicht nur ein Link, sondern ein tatsächlich genutzter Kommunikationskanal. Ich verwende dafür die WhatsApp Business App auf einem Smartphone. Ob dieser Kanal zum Einsatz kommt, entscheiden allein Sie: Ich schreibe niemandem unaufgefordert über WhatsApp. Wenn Sie mir per E-Mail schreiben, antworte ich per E-Mail. Über WhatsApp kommuniziere ich nur, wenn Sie mich dort zuerst anschreiben oder ausdrücklich darum bitten. E-Mail und Telefon stehen als gleichwertige Wege offen, sind genauso schnell und führen zum selben Ergebnis. WhatsApp ist zu keinem Zeitpunkt Voraussetzung dafür, mit mir zusammenzuarbeiten, ein Angebot zu erhalten oder einen Auftrag abzuwickeln. For me WhatsApp is not merely a link but a channel I genuinely use. I use the WhatsApp Business app on a smartphone for this. Whether the channel is used at all is entirely your decision: I never message anyone through WhatsApp unprompted. If you write to me by email, I reply by email. I communicate via WhatsApp only if you message me there first or expressly ask me to. Email and phone are available as equivalent routes, are just as fast and lead to the same outcome. At no point is WhatsApp a precondition for working with me, receiving a quote or carrying out a project.

Schreiben Sie mir über WhatsApp, verarbeite ich den Inhalt unserer Nachrichten, Ihre Telefonnummer, den von Ihnen hinterlegten Profilnamen und, sofern vorhanden, Ihr Profilbild und Ihren Statustext sowie gegebenenfalls Dateien, Bilder oder Sprachnachrichten, die Sie mir senden. Hinzu kommen technische Begleitdaten wie Sende- und Empfangszeitpunkte und Zustell- und Lesebestätigungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation einen Vertrag betrifft oder dessen Anbahnung dient, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, auf dem von Ihnen gewählten Weg zu antworten. If you write to me via WhatsApp, I process the content of our messages, your phone number, the profile name you have set and, where present, your profile picture and status text, as well as any files, images or voice messages you send me. Added to that are technical accompanying data such as send and receive timestamps and delivery and read receipts. The legal basis is Art. 6(1)(b) GDPR where the communication concerns a contract or steps taken prior to entering into one, and otherwise Art. 6(1)(f) GDPR, based on my legitimate interest in replying by the route you chose.

Anbieter des Dienstes ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland. Sie ist für alles, was in ihrem System geschieht, datenschutzrechtlich selbst verantwortlich und arbeitet nicht als Auftragsverarbeiter für mich. Für die kostenlose WhatsApp Business App bietet der Anbieter auch keinen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO an; einen solchen Vertrag gibt es zwischen uns folglich nicht, und ich behaupte hier auch nicht das Gegenteil. Das bedeutet: Ich habe keinen Einfluss darauf, welche Daten der Anbieter über die Nutzung des Dienstes erhebt, wie lange er sie speichert und mit welchen anderen Diensten des Meta-Konzerns er sie verknüpft. Verantwortlich bin ich für das, was ich selbst mit Ihren Nachrichten mache, und dafür, dass ich diesen Kanal überhaupt anbiete. Welche Verarbeitung darüber hinaus beim Anbieter stattfindet, steht in dessen Datenschutzrichtlinie unter whatsapp.com/legal/privacy-policy-eea. The service is provided by WhatsApp Ireland Limited, Merrion Road, Dublin 4, Ireland. It is itself the controller for everything that happens within its system and does not act as a processor for me. For the free WhatsApp Business app the provider also offers no processing agreement under Art. 28 GDPR; no such agreement therefore exists between us, and I do not claim otherwise here. This means I have no influence over what data the provider collects about the use of the service, how long it stores that data, or which other Meta group services it links it with. I am responsible for what I do with your messages myself, and for offering this channel at all. What processing takes place at the provider beyond that is set out in its privacy policy at whatsapp.com/legal/privacy-policy-eea.

Mein Empfänger ist damit ein Unternehmen innerhalb der Europäischen Union. WhatsApp Ireland Limited gehört jedoch zum Meta-Konzern und gibt Daten konzernintern an die Meta Platforms, Inc. in den Vereinigten Staaten weiter. Diese Weitergabe erfolgt in der Verantwortung des Anbieters und nicht in meiner; nach dessen Angaben stützt er sie auf das EU-U.S. Data Privacy Framework und ergänzend auf Standardvertragsklauseln. Ich weise darauf hin, weil Sie es wissen sollten, bevor Sie diesen Kanal wählen, und nicht, weil ich es beeinflussen könnte. My recipient is therefore a company within the European Union. WhatsApp Ireland Limited is, however, part of the Meta group and passes data on within the group to Meta Platforms, Inc. in the United States. That onward transfer takes place under the provider's responsibility, not mine; according to its own statements it is based on the EU-U.S. Data Privacy Framework and, in addition, on standard contractual clauses. I point this out because you should know it before choosing this channel, not because I am in a position to influence it.

Die Inhalte unserer Nachrichten sind Ende zu Ende verschlüsselt. Der Anbieter kann sie im Transport nicht mitlesen. Nicht verschlüsselt sind dagegen die Verkehrs- und Verbindungsdaten: wer wann mit wem geschrieben hat, wie häufig und wie lange, dazu Geräte- und Netzinformationen sowie Online- und Zuletzt-online-Zeiten. Aus solchen Metadaten lassen sich Beziehungen und Gewohnheiten ableiten, auch ohne dass jemand den Inhalt kennt. Hinzu kommt, dass die Nachrichten auf beiden Endgeräten unverschlüsselt gespeichert werden und dass ein Sicherungskopie-Dienst des Betriebssystems die Verschlüsselung aufheben kann, sofern die Sicherung nicht ihrerseits verschlüsselt ist. Wenn Ihnen das für ein bestimmtes Thema zu weit geht, schreiben Sie mir bitte per E-Mail; für vertrauliche Unterlagen ist E-Mail oder ein von mir bereitgestellter Übertragungsweg die bessere Wahl. The content of our messages is end-to-end encrypted. The provider cannot read it in transit. What is not encrypted, however, is the traffic and connection data: who wrote to whom and when, how often and for how long, together with device and network information and online and last-seen times. Such metadata allows relationships and habits to be inferred even without anyone knowing the content. On top of that, messages are stored unencrypted on both devices, and an operating system backup service can undo the encryption unless the backup is itself encrypted. If that goes too far for a particular topic, please write to me by email; for confidential documents, email or a transfer route I provide is the better choice.

Die WhatsApp Business App hat auf meinem Gerät Zugriff auf das Adressbuch. Dadurch werden die dort gespeicherten Telefonnummern regelmäßig an den Anbieter übertragen und mit dessen Nutzerbestand abgeglichen, damit die App erkennt, welche Kontakte über den Dienst erreichbar sind. Übertragen werden dabei auch Nummern von Personen, die WhatsApp selbst nicht nutzen und die dieser Übertragung nie zugestimmt haben. Für diese Übermittlung bin ich verantwortlich, weil ich sie durch die Nutzung der App auslöse. Ich stütze sie auf Art. 6 Abs. 1 lit. f DSGVO mit meinem Interesse an einem funktionsfähigen Kommunikationskanal. Wenn Sie nicht möchten, dass Ihre Telefonnummer auf diesem Weg übertragen wird, schreiben Sie mir bitte an [email protected]. Ich entferne sie dann aus dem Adressbuch dieses Geräts und halte den Kontakt ausschließlich über E-Mail oder Telefon. The WhatsApp Business app has access to the address book on my device. As a result, the phone numbers stored there are transmitted to the provider at regular intervals and matched against its user base, so that the app can tell which contacts are reachable through the service. Numbers belonging to people who do not use WhatsApp themselves and who never agreed to this transfer are transmitted too. I am the controller for this transfer, because my use of the app is what triggers it. I base it on Art. 6(1)(f) GDPR, on my interest in a functioning communication channel. If you do not want your phone number transmitted in this way, please write to me at [email protected]. I will then remove it from the address book on that device and keep in touch exclusively by email or phone.

Die Chatverläufe als solche bleiben auf meinem Gerät gespeichert. Eingehende Nachrichten werden allerdings in die in Abschnitt 8 beschriebene KI-gestützte Sortierung und Zusammenfassung einbezogen; ihr Inhalt wird dabei an den dort genannten Anbieter übermittelt. Führt der Kontakt zu keinem Auftrag, lösche ich den Verlauf sechs Monate nach der letzten Nachricht. Führt er zu einem Auftrag, sichere ich die geschäftlich relevanten Teile außerhalb der App und bewahre sie wie übrige Geschäftskorrespondenz nach den Fristen aus Abschnitt 4 auf; der Verlauf in der App selbst wird danach ebenfalls gelöscht. Sie können jederzeit verlangen, dass ich einen Verlauf früher lösche, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Was der Anbieter unabhängig davon auf seinen Systemen speichert, entzieht sich meiner Kenntnis und meinem Zugriff. The chat histories as such remain stored on my device. Incoming messages are, however, included in the AI-assisted sorting and summarisation described in section 8; their content is transmitted in the process to the provider named there. If the contact does not lead to an engagement, I delete the history six months after the last message. If it does lead to an engagement, I save the business-relevant parts outside the app and keep them like other business correspondence under the periods set out in section 4; the history in the app itself is deleted afterwards as well. You may ask me at any time to delete a history earlier, provided no statutory retention obligation stands in the way. What the provider stores on its own systems independently of this is beyond my knowledge and my access.

6. Profile in sozialen Netzwerken und Verweise auf andere Websites6. Social media profiles and links to other websites

Im Fußbereich dieser Website stehen Verweise auf meine Profile bei LinkedIn und GitHub. Das sind gewöhnliche Links, keine eingebetteten Inhalte: Solange Sie nicht klicken, wird von dort nichts geladen und es fließen keine Daten dorthin. Klicken Sie, verlässt Ihr Browser diese Website; ab diesem Moment gilt die Datenschutzerklärung des jeweiligen Anbieters, und dieser erfährt Ihre IP-Adresse sowie die Angabe, von welcher Seite Sie kommen. Betreiber sind die LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland, und die GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA. The footer of this website contains links to my profiles on LinkedIn and GitHub. These are ordinary links, not embedded content: as long as you do not click, nothing is loaded from there and no data flows there. If you do click, your browser leaves this website; from that moment the respective provider's privacy notice applies, and that provider learns your IP address and which page you came from. The operators are LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Ireland, and GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA.

Unabhängig von dieser Website unterhalte ich Profile und Kanäle bei weiteren Anbietern: Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland), YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), Twitch (Twitch Interactive, Inc., 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA) und TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, gemeinsam verantwortlich mit der TikTok Information Technologies UK Limited). Rufen Sie eines dieser Profile auf, verarbeiten die Anbieter Ihre Daten in eigener Verantwortung und nach ihren eigenen Bestimmungen. Darauf habe ich keinen Einfluss, und auf die zugrunde liegenden Daten habe ich keinen Zugriff. Bei Twitch ist zu beachten, dass der Anbieter seinen Sitz in den USA hat und für den Europäischen Wirtschaftsraum keinen eigenen Verantwortlichen benennt. Independently of this website I maintain profiles and channels with further providers: Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland), YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland), Twitch (Twitch Interactive, Inc., 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA) and TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Ireland, jointly responsible with TikTok Information Technologies UK Limited). If you visit one of these profiles, the providers process your data on their own responsibility and under their own terms. I have no influence over this and no access to the underlying data. Note that Twitch is based in the USA and names no separate controller for the European Economic Area.

Soweit mir ein Anbieter Statistiken über die Nutzung meines Profils bereitstellt, sind wir für diesen Teil der Verarbeitung gemeinsam Verantwortliche nach Art. 26 DSGVO (vgl. EuGH, Urteil vom 05.06.2018, C-210/16). Diese Statistiken sind zusammengefasst und lassen keinen Rückschluss auf einzelne Personen zu; ich nutze sie ausschließlich, um zu sehen, welche Beiträge auf Interesse stoßen. Rechtsgrundlage ist mein berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO). Ihre Rechte aus Kapitel III der DSGVO – insbesondere Auskunft, Löschung und Widerspruch – machen Sie am wirksamsten unmittelbar beim jeweiligen Anbieter geltend, weil nur dieser die Daten vorhält und über die technischen Mittel verfügt. Sie können sich damit aber ebenso an mich wenden; ich leite Ihr Anliegen dann weiter. Schreiben Sie mir über eines dieser Profile eine Nachricht, behandle ich deren Inhalt wie eine Anfrage per E-Mail; es gelten die Angaben in Abschnitt 5 entsprechend. Insofar as a provider makes statistics about the use of my profile available to me, we are joint controllers for that part of the processing under Art. 26 GDPR (cf. CJEU, judgment of 5 June 2018, C-210/16). These statistics are aggregated and allow no conclusions about individual people; I use them solely to see which posts attract interest. The legal basis is my legitimate interest in an effective public presence (Art. 6(1)(f) GDPR). Your rights under Chapter III of the GDPR – in particular access, erasure and objection – are most effectively asserted directly with the respective provider, because only that provider holds the data and has the technical means. You may equally address them to me, however, and I will pass your request on. If you send me a message through one of these profiles, I treat its content like an enquiry by email; the information in section 5 applies accordingly.

7. Empfänger und Auftragsverarbeiter7. Recipients and processors

Ich gebe personenbezogene Daten nicht zum Zweck der Werbung, des Handels oder der Analyse an Dritte weiter. Sie werden nicht verkauft und nicht mit fremden Datenbeständen abgeglichen. Eingebunden sind aber die Dienstleister, die den Betrieb dieser Website, mein Postfach und meine Arbeitsumgebung überhaupt möglich machen. Sie handeln jeweils auf meine Weisung, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO, und dürfen die Daten zu keinem eigenen Zweck verwenden. I do not pass personal data to third parties for advertising, trading or analytics purposes. It is not sold and not matched against external datasets. Involved, however, are the service providers who make the operation of this website, my mailbox and my working environment possible in the first place. Each acts on my instructions, under a processing agreement pursuant to Art. 28 GDPR, and may not use the data for any purpose of its own.

Es sind derzeit vier: die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, die als Hoster diese Website betreibt und zugleich das Postfach bereitstellt, über das Ihre Anfrage zugestellt und gespeichert wird – ihre Server stehen in Deutschland beziehungsweise der Europäischen Union; die Cloudflare, Inc. mit den in Abschnitt 2 beschriebenen Aufgaben und Bedingungen; die Notion Labs, Inc., bei der ich Notizen und Besprechungszusammenfassungen ablege – Aufgaben und Bedingungen beschreibt Abschnitt 9; und die Anthropic PBC, deren Sprachmodelle eingehende Nachrichten für mich sortieren und zusammenfassen sowie Rechnungen und Belege erkennen – Aufgaben und Bedingungen beschreibt Abschnitt 8. Außerhalb dieses Kreises werden Daten nur weitergegeben, wenn ich gesetzlich dazu verpflichtet bin, etwa gegenüber Behörden oder Gerichten, oder wenn es zur Durchsetzung meiner Rechte erforderlich ist. There are currently four: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Germany, which hosts this website and also provides the mailbox through which your enquiry is delivered and stored – its servers are located in Germany or the European Union; Cloudflare, Inc., with the role and conditions described in section 2; Notion Labs, Inc., where I keep notes and meeting summaries – its role and conditions are described in section 9; and Anthropic PBC, whose language models sort and summarise incoming messages for me and recognise invoices and receipts – its role and conditions are described in section 8. Beyond this circle, data is disclosed only where I am legally obliged to do so, for instance to public authorities or courts, or where it is necessary to enforce my rights.

Gesondert davon steht die WhatsApp Ireland Limited. Sie ist kein Auftragsverarbeiter, sondern ein eigenständig Verantwortlicher, der neben mir und nicht für mich verarbeitet. Sie erhält deshalb keine Daten auf meine Weisung, sondern nur das, was im Rahmen der Nutzung des Dienstes zwangsläufig anfällt – und zwar nur dann, wenn Sie sich für diesen Kanal entscheiden. Einzelheiten stehen in Abschnitt 5. Dasselbe gilt für die Anbieter, bei denen ich Profile unterhalte: auch sie verarbeiten in eigener Verantwortung und nicht in meinem Auftrag; Einzelheiten dazu stehen in Abschnitt 6. WhatsApp Ireland Limited stands apart from these. It is not a processor but a controller in its own right, processing alongside me rather than for me. It therefore receives no data on my instructions, only what necessarily arises from use of the service – and only if you choose that channel. Details are set out in section 5. The same applies to the providers with which I maintain profiles: they too process on their own responsibility and not on my instructions; details are set out in section 6.

8. KI-gestützte Sortierung und Zusammenfassung eingehender Nachrichten8. AI-assisted sorting and summarisation of incoming messages

Eingehende E-Mails in meinem geschäftlichen Postfach werden alle 30 Minuten automatisch sortiert und thematisch eingeordnet. Eingehende Nachrichten werden außerdem zusammengefasst und nach Dringlichkeit vorpriorisiert. Dasselbe geschieht mit Nachrichten, die mich über WhatsApp erreichen. Die Ablaufsteuerung übernimmt eine n8n-Instanz, die auf eigener Hardware und damit in meinem eigenen Verantwortungsbereich läuft. n8n ist deshalb kein Auftragsverarbeiter; an dieser Stelle findet keine Übermittlung an Dritte statt. Incoming email in my business mailbox is automatically sorted and categorised every 30 minutes. Incoming messages are additionally summarised and pre-prioritised by urgency. The same happens to messages that reach me via WhatsApp. The orchestration is handled by an n8n workflow engine running on my own hardware and thus within my own sphere of control. n8n is therefore not a processor; no transfer to a third party takes place at that stage.

Wo einfache Regeln genügen, kommen Regeln zum Einsatz. Ein Sprachmodell wird nur dort verwendet, wo Regeln nicht ausreichen. Für diese Aufrufe wird der Inhalt der Nachricht an die Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA, übermittelt und dort von einem Modell der Claude-Familie verarbeitet. Anthropic PBC ist dabei für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Where simple rules suffice, rules are applied. A language model is used only where rules are not enough. For those calls the content of the message is transmitted to Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA, and processed there by a model in the Claude family. Anthropic PBC acts for me as a processor under Art. 28 GDPR.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, eingehende Nachrichten zügig, vollständig und in gleichbleibender Qualität zu bearbeiten. Ich habe dabei berücksichtigt, dass Sie mir Ihre Nachricht senden, um eine Antwort zu erhalten, und dass die Verarbeitung genau diesem Zweck dient und ihn nicht überschreitet. The legal basis is Art. 6(1)(f) GDPR, based on my legitimate interest in handling incoming messages promptly, completely and at consistent quality. In assessing this I have taken into account that you send me your message in order to receive a reply, and that the processing serves exactly that purpose rather than going beyond it.

Über dieselbe Ablaufsteuerung läuft eine KI-gestützte Erkennung eingehender Rechnungen und Belege. Sie werden dabei erkannt, einem Vorgang zugeordnet und in ihren Eckdaten – etwa Aussteller, Datum und Betrag – ausgelesen. Solche Unterlagen können personenbezogene Daten von Kunden und Geschäftspartnern enthalten, etwa Namen, Anschriften und Kontaktdaten. Es gelten dieselben Bedingungen wie für Nachrichten: Wo Regeln genügen, bleibt es bei Regeln; nur wo sie nicht ausreichen, wird der Inhalt unter den hier beschriebenen Bedingungen an die Anthropic PBC übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse an einer geordneten und vollständigen Buchführung; für die Aufbewahrung der Belege selbst gelten die Fristen aus Abschnitt 4. The same workflow also runs an AI-assisted recognition of incoming invoices and receipts. They are identified, assigned to a case and read for their key details – such as issuer, date and amount. Such documents can contain personal data of clients and business partners, for instance names, addresses and contact details. The same conditions apply as for messages: where rules suffice, it stays with rules; only where they are not enough is the content transmitted to Anthropic PBC under the conditions described here. The legal basis is Art. 6(1)(f) GDPR, based on my legitimate interest in orderly and complete bookkeeping; the retention of the documents themselves follows the periods set out in section 4.

Mit der Übermittlung an Anthropic werden Inhalte in ein Drittland übertragen. Die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Nach den Geschäftsbedingungen von Anthropic für gewerbliche Dienste werden die übermittelten Inhalte nicht zum Training der Modelle verwendet und nach kurzer Zeit von den Systemen des Anbieters gelöscht. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen. With the transmission to Anthropic, content is transferred to a third country. The transfer is based on the European Commission's standard contractual clauses pursuant to Art. 46(2)(c) GDPR, supplemented by a processing agreement under Art. 28 GDPR. Under Anthropic's commercial terms, the transmitted content is not used to train the models and is deleted from the provider's systems after a short period. You can obtain a copy of the agreed safeguards on request. Despite these safeguards it cannot be entirely ruled out that US authorities access the data.

Sortierung und Zusammenfassung bereiten nur vor. Jede Antwort und jede Entscheidung im Einzelfall trifft ein Mensch, nämlich ich. Ein Vorschlag eines Sprachmodells wird geprüft und kann verworfen werden; er wird niemals unbesehen umgesetzt. Es findet keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, und es findet kein Profiling statt; Art. 22 DSGVO ist damit nicht berührt. Für die Zukunft behalte ich mir vor, ergänzend Modelle einzusetzen, die ich selbst auf eigener Infrastruktur betreibe, etwa über Ollama – die Daten verließen dann meinen Verantwortungsbereich gar nicht erst. Umgesetzt ist das noch nicht. Sorting and summarisation only prepare. Every reply and every decision in an individual case is made by a human being, namely me. A suggestion made by a language model is reviewed and can be discarded; it is never adopted unchecked. There is no decision based solely on automated processing which produces legal effects concerning you or similarly significantly affects you, and there is no profiling; Art. 22 GDPR is therefore not engaged. For the future I reserve the option of additionally running models myself on my own infrastructure, for instance via Ollama – the data would then never leave my own sphere of control in the first place. That is not yet implemented.

9. Notizen und Besprechungen in Notion, geplante weitere Speicherorte9. Notes and meetings in Notion, further planned storage locations

Für Notizen zu Anfragen, Projekten und Besprechungen nutze ich die Arbeitsumgebung Notion der Notion Labs, Inc., 685 Market Street, San Francisco, CA 94105, USA. Dort können Ihr Name, Ihre Kontaktdaten, Ihr Unternehmen, Inhalte unserer Kommunikation und der Stand eines Vorgangs abgelegt sein. Zweck ist, den Stand einer Anfrage nachvollziehbar zu halten, Fristen nicht zu verlieren und den Verlauf einem Vorgang zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO mit meinem Interesse an einer geordneten Bearbeitung. Notion Labs, Inc. ist für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag ist geschlossen. Da der Anbieter in den Vereinigten Staaten sitzt, werden dabei personenbezogene Daten in ein Drittland übermittelt. Notion Labs, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Daneben sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO – Modul Zwei, Verantwortlicher an Auftragsverarbeiter – bereits im Vertrag zur Auftragsverarbeitung in der Fassung vom 22. Februar 2023 ausdrücklich vereinbart; sie greifen also nicht erst, wenn die Zertifizierung endet oder der Beschluss aufgehoben wird, sondern gelten unabhängig davon. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen. Einzelheiten stehen in der Datenschutzerklärung des Anbieters unter notion.com/trust/privacy-policy. For notes on enquiries, projects and meetings I use the Notion workspace of Notion Labs, Inc., 685 Market Street, San Francisco, CA 94105, USA. It may hold your name, your contact details, your company, the content of our communication and the status of a case. The purpose is to keep track of the status of an enquiry, avoid missing deadlines and tie the correspondence to a case. The legal basis is Art. 6(1)(b) GDPR where there is a contractual context, and otherwise Art. 6(1)(f) GDPR, based on my interest in orderly case handling. Notion Labs, Inc. acts for me as a processor under Art. 28 GDPR; a corresponding agreement is in place. Because the provider is based in the United States, personal data is transferred to a third country. Notion Labs, Inc. is certified under the EU-U.S. Data Privacy Framework, so the transfer is based on the adequacy decision of the European Commission pursuant to Art. 45 GDPR. Alongside this, the standard contractual clauses under Art. 46(2)(c) GDPR – Module Two, controller to processor – are already expressly agreed in the processing agreement in its version dated 22 February 2023; they do not only take effect should the certification lapse or the decision be annulled, but apply independently of it. You can obtain a copy of the agreed safeguards on request. Despite these safeguards it cannot be entirely ruled out that US authorities access the data. Details are set out in the provider's privacy notice at notion.com/trust/privacy-policy.

In Besprechungen, etwa Videokonferenzen zu einer Anfrage oder einem laufenden Projekt, nutze ich zusätzlich die KI-Funktionen von Notion („Notion AI"), um Gesprächsnotizen zu erstellen und den Verlauf zusammenzufassen. Die Funktion zeichnet dabei den Ton meines Geräts auf, also Systemton und Mikrofon; es tritt kein zusätzlicher Teilnehmer dem Gespräch bei. Die Aufnahme wird in Text übertragen und anschließend zu einer Zusammenfassung verdichtet. Das geschieht nie unbemerkt und nie ohne Zustimmung: Bevor die Aufzeichnung beginnt, frage ich ausdrücklich, ob alle Teilnehmenden einverstanden sind. Erst wenn die Einwilligung erteilt ist, startet die Aufzeichnung, und die Einwilligung wird zu Beginn der Aufnahme festgehalten. Wer nicht einverstanden ist, sagt das – dann schreibe ich von Hand mit, und es entsteht daraus kein Nachteil. Rechtsgrundlage ist insoweit Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können; im Fall des Widerrufs lösche ich die Aufnahme und das Transkript, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für die anschließende Aufbewahrung der Zusammenfassung gelten die Rechtsgrundlagen des vorstehenden Absatzes. In meetings, for instance video calls about an enquiry or an ongoing project, I additionally use Notion's AI features ("Notion AI") to take meeting notes and summarise the conversation. The feature records the audio of my device, that is system audio and microphone; no additional participant joins the call. The recording is transcribed and then condensed into a summary. This never happens unnoticed and never without agreement: before the recording starts, I ask explicitly whether all participants agree. Only once consent has been given does the recording begin, and the consent is captured at the start of the recording. Anyone who does not agree says so – I then take notes by hand, and no disadvantage arises from that. The legal basis in this respect is your consent (Art. 6(1)(a) GDPR), which you can withdraw at any time with effect for the future; if you withdraw it, I delete the recording and the transcript, unless a statutory retention obligation prevents it. The subsequent retention of the summary is governed by the legal bases of the preceding paragraph.

Notion setzt für die KI-Funktionen Unterauftragsverarbeiter ein, die die Sprachmodelle betreiben – nach der Liste des Anbieters unter anderem Anthropic, OpenAI und Google; die vollständige, laufend aktualisierte Liste hält der Anbieter öffentlich bereit. Diese Anbieter sitzen überwiegend in den Vereinigten Staaten. Nach den Angaben des Anbieters werden die Inhalte weder von Notion noch von diesen Unterauftragsverarbeitern zum Training von Modellen verwendet und bei den Modellbetreibern spätestens nach 30 Tagen gelöscht. Die Tonaufnahme selbst wird nach erfolgreicher Verarbeitung nicht dauerhaft gespeichert; schlägt die Verarbeitung fehl, bleibt sie bis zu drei Tage auf den Servern des Anbieters und wird danach gelöscht. Das Transkript bleibt in der zugehörigen Notion-Seite gespeichert, bis ich es lösche; die Fristen dafür nennt Abschnitt 10. Eine Zusammenfassung ist ein Arbeitsmittel, kein Beschluss: Ich prüfe sie und entscheide selbst; Abschnitt 11 gilt unverändert. For its AI features Notion uses subprocessors that operate the language models – according to the provider's list these include, among others, Anthropic, OpenAI and Google; the provider keeps the complete, continuously updated list publicly available. These providers are predominantly based in the United States. According to the provider, the content is used neither by Notion nor by these subprocessors to train models and is deleted from the model operators' systems after 30 days at the latest. The audio recording itself is not stored permanently after successful processing; if processing fails, it is held on the provider's servers for up to three days and deleted afterwards. The transcript remains stored in the associated Notion page until I delete it; the periods for that are set out in section 10. A summary is a working aid, not a decision: I review it and decide myself; section 11 applies unchanged.

Geplant, aber noch nicht umgesetzt, bleibt eine darüber hinausgehende geordnete Ablage von Anfragen außerhalb des E-Mail-Postfachs in einer von mir selbst betriebenen Datenbank; die bereits laufende KI-gestützte Sortierung und Zusammenfassung eingehender Nachrichten beschreibt Abschnitt 8. Die Angabe zur Datenbank gilt erst ab dem Zeitpunkt der tatsächlichen Nutzung; jeder Anbieter, der dabei in meinem Auftrag tätig wird, wird zuvor durch einen Vertrag nach Art. 28 DSGVO gebunden, und diese Erklärung wird vorher angepasst. Die Speicherdauern aus Abschnitt 4 gelten unverändert für alle in diesem Abschnitt beschriebenen Ablagen. What remains planned but not yet implemented is a structured record of enquiries beyond this, outside the email mailbox, in a database operated by me; the AI-assisted sorting and summarisation of incoming messages, which is already running, is described in section 8. The statement about the database applies only from the point of actual use; every provider acting on my behalf will first be bound by an agreement under Art. 28 GDPR, and this notice will be amended beforehand. The retention periods set out in section 4 apply unchanged to all records described in this section.

10. Speicherdauer im Überblick10. Retention periods at a glance

Server-Logdaten werden spätestens nach 30 Tagen gelöscht. Der Prüfwert zur Begrenzung der Formularübermittlungen wird in der Regel nach 24 Stunden gelöscht. Cookies, die Cloudflare zur Angriffserkennung setzt, laufen nach Minuten bis wenigen Stunden ab. Die Sprachwahl bleibt in Ihrem Browser, bis Sie sie dort löschen. Anfragen ohne nachfolgenden Auftrag lösche ich sechs Monate nach dem letzten Schriftwechsel. Anfragen mit nachfolgendem Auftrag bleiben für die Dauer der gesetzlichen Aufbewahrungsfristen erhalten und werden danach gelöscht. Notizen und Besprechungszusammenfassungen in Notion folgen denselben Fristen wie der Vorgang, zu dem sie gehören. Die Tonaufnahme einer Besprechung wird nach der Verarbeitung nicht dauerhaft gespeichert; schlägt die Verarbeitung fehl, bleibt sie höchstens drei Tage erhalten. Das Transkript einer Besprechung lösche ich, sobald die Zusammenfassung erstellt und geprüft ist, spätestens jedoch 30 Tage nach der Besprechung. WhatsApp-Verläufe ohne nachfolgenden Auftrag lösche ich sechs Monate nach der letzten Nachricht. Verläufe mit Auftragsbezug werden in ihren geschäftlich relevanten Teilen außerhalb der App gesichert, dort den gesetzlichen Aufbewahrungsfristen unterworfen und in der App selbst gelöscht. Wo eine Löschung technisch nicht sofort möglich ist, etwa in Sicherungskopien, wird die Verarbeitung eingeschränkt und die Löschung mit dem nächsten Zyklus nachgeholt. Server log data is deleted after 30 days at the latest. The check value used to limit form submissions is as a rule deleted after 24 hours. Cookies set by Cloudflare for attack detection expire after minutes to a few hours. Your language choice stays in your browser until you delete it there. Enquiries that do not lead to an engagement are deleted six months after the last correspondence. Enquiries that do lead to an engagement are kept for the duration of the statutory retention periods and deleted afterwards. Notes and meeting summaries in Notion follow the same periods as the case they belong to. The audio recording of a meeting is not stored permanently after processing; if processing fails, it is kept for three days at most. The transcript of a meeting is deleted once the summary has been created and reviewed, and in any event no later than 30 days after the meeting. WhatsApp histories that do not lead to an engagement are deleted six months after the last message. Histories connected to an engagement have their business-relevant parts saved outside the app, where they are subject to the statutory retention periods, and are deleted within the app itself. Where immediate deletion is not technically possible, for instance in backups, processing is restricted and deletion is carried out with the next cycle.

11. Keine automatisierte Entscheidungsfindung11. No automated decision-making

Es findet keine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 Abs. 1 und 4 DSGVO statt. Das gilt auch für die in Abschnitt 9 beschriebenen Besprechungszusammenfassungen und den in Abschnitt 8 beschriebenen Einsatz von Systemen künstlicher Intelligenz: Diese bereiten allenfalls vor, sie entscheiden nicht. There is no automated decision-making in individual cases, including profiling, within the meaning of Art. 22(1) and (4) GDPR. This also applies to the meeting summaries described in section 9 and the use of artificial intelligence systems described in section 8: they may prepare, but they do not decide.

12. Ihre Rechte12. Your rights

Sie haben mir gegenüber das Recht auf Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen, maschinenlesbaren Format (Art. 20). Eine formlose Nachricht an [email protected] genügt; ein Formular gibt es nicht und wird nicht verlangt. Ich antworte unverzüglich, spätestens innerhalb eines Monats. Sollte die Bearbeitung ausnahmsweise länger dauern, teile ich Ihnen das innerhalb dieser Frist unter Angabe der Gründe mit. Die Ausübung dieser Rechte ist für Sie kostenlos. In relation to me you have the right to obtain information about the data processed about you (Art. 15 GDPR), to have inaccurate data corrected (Art. 16), to erasure (Art. 17), to restriction of processing (Art. 18), and to receive the data you provided in a common, machine-readable format (Art. 20). An informal message to [email protected] is enough; there is no form and none is required. I reply without undue delay and within one month at the latest. Should handling exceptionally take longer, I will tell you within that period and give the reasons. Exercising these rights is free of charge for you.

14. Beschwerderecht14. Right to lodge a complaint

Unbeschadet anderer Rechtsbehelfe steht Ihnen das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für mich ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach. Sie können sich aber ebenso an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden. Without prejudice to any other remedy, you have the right to lodge a complaint with a data protection supervisory authority. The authority responsible for me is the Bavarian Data Protection Authority, Promenade 18, 91522 Ansbach, Germany. You may equally turn to the supervisory authority in the place of your habitual residence, your place of work, or the place of the alleged infringement.

15. Datensicherheit15. Data security

Die Verbindung zu dieser Website ist durchgehend mit TLS verschlüsselt; Aufrufe über unverschlüsseltes HTTP werden umgeleitet. Die Seite lädt keine Inhalte von fremden Servern, was durch eine Content-Security-Policy technisch erzwungen und nicht nur zugesagt wird. Zugänge zu Postfach und Servern sind mit starken Passwörtern und, wo verfügbar, mit einem zweiten Faktor gesichert. Einen vollständigen Schutz kann niemand versprechen, aber der Aufwand steht in einem angemessenen Verhältnis zum Risiko, wie es Art. 32 DSGVO verlangt. The connection to this website is encrypted in transit throughout with TLS; requests over unencrypted HTTP are redirected. The site loads no content from external servers, which is technically enforced by a content security policy rather than merely promised. Access to the mailbox and servers is protected by strong passwords and, where available, a second factor. No one can promise complete protection, but the effort is proportionate to the risk, as Art. 32 GDPR requires.

16. Stand und Änderungen16. Date and amendments

Diese Erklärung hat den Stand vom 11. August 2026. Sie wird angepasst, wenn sich die beschriebenen Verarbeitungen ändern, insbesondere bevor die in Abschnitt 9 als geplant beschriebene Verarbeitung tatsächlich beginnt. Die jeweils geltende Fassung finden Sie stets unter dieser Adresse. This notice is dated 11 August 2026. It will be amended if the processing described changes, and in particular before the processing described as planned in section 9 actually begins. The current version is always available at this address.