Datenschutzerklärung

Diese Website kommt ohne Tracking, ohne Werbenetzwerke und ohne eingebettete Inhalte Dritter aus. Schriften und Symbole liegen auf dem eigenen Server. Eine Content-Security-Policy verhindert das Nachladen fremder Quellen; die einzige Ausnahme ist der Spamschutz des Kontaktformulars, den Abschnitt 4 beschreibt. Personenbezogene Daten fallen dennoch an: beim technischen Abruf der Seite, bei der Absicherung gegen Angriffe und dann, wenn Sie mir schreiben, einen Termin buchen oder als Kunde den Kundenbereich nutzen. Nachfolgend steht, welche das sind, worauf ich die Verarbeitung stütze, wer sie außer mir zu sehen bekommt und wie lange sie bleiben.

Verantwortlicher

Jason Talge · JT – Softwareentwicklung
Schlesier Str. 3, 96103 Hallstadt, Deutschland
kontakt@jason-talge.de · +49 152 39604386

1. Server-Logdaten

Beim Aufruf dieser Website verarbeiten die eingesetzten Dienstleister technisch notwendige Zugriffsdaten: IP-Adresse, Datum und Uhrzeit, aufgerufene Adresse, HTTP-Statuscode, übertragene Datenmenge, Herkunftsseite sowie Browser- und Betriebssystemkennung. Ohne diese Angaben lässt sich eine Seite nicht ausliefern. Daneben führt der Webserver ein Fehlerprotokoll. Hält die Website darin einen Vorgang fest, etwa eine gescheiterte Übermittlung des Kontaktformulars oder einen fehlgeschlagenen Anmeldeversuch, steht vor dem Eintrag Ihre IP-Adresse. Rechtsgrundlage ist mein berechtigtes Interesse an einem erreichbaren, funktionsfähigen und gegen Angriffe geschützten Auftritt (Art. 6 Abs. 1 lit. f DSGVO). Die Daten werden nicht mit anderen Quellen zusammengeführt, nicht zur Bildung von Nutzungsprofilen verwendet und spätestens nach 30 Tagen gelöscht. Eine Ausnahme gilt, wenn ein konkreter Angriffsverdacht die längere Aufbewahrung einzelner Einträge zur Aufklärung erfordert. Das gilt ebenso für meine weiteren Angebote unter Subdomains von jason-talge.de. Dazu gehört ein Konverter für Notion-Texte unter notion2html.jason-talge.de: Was Sie dort einfügen, wird ausschließlich in Ihrem Browser umgewandelt und nicht an meinen Server übertragen; es fallen nur die hier genannten Zugriffsdaten an.

Unter jason-talge.de/admin liegt eine passwortgeschützte Verwaltungsseite, die nur ich nutze; dort verwalte ich auch den Kundenbereich aus Abschnitt 11. Sie ist nirgends verlinkt, aber für jeden aufrufbar. Damit dort niemand Passwörter durchprobieren kann, zählt der Server fehlgeschlagene Anmeldeversuche, auch solche per Passkey oder mit einem ungültigen Cookie für „Angemeldet bleiben“ (Abschnitt 3), falsche Passwörter bei der Bestätigung von Änderungen, abgelehnte Bestätigungscodes und Anträge auf Zurücksetzen des Passworts je IP-Adresse. Nach fünf Fehlversuchen innerhalb von 15 Minuten ist die Anmeldung von dieser Adresse aus vorübergehend gesperrt; Rücksetz-Anträge sind zusätzlich begrenzt. Ein Rücksetz-Antrag löst nur eine Nachricht an mein eigenes Postfach aus. Gespeichert werden für die Begrenzung nur die Zeitpunkte der Versuche. Ihre IP-Adresse wird dabei nicht im Klartext abgelegt, sondern nur als pseudonymisierter Prüfwert, der sich ohne meine Zugangsdaten nicht auf die Adresse zurückführen lässt. Nach einer erfolgreichen Anmeldung wird der Zähler sofort gelöscht, sonst in der Regel 24 Stunden nach dem letzten Versuch. Fehlgeschlagene Anmeldungen, Sperren und Rücksetz-Anträge vermerkt der Server außerdem im Fehlerprotokoll; dafür gilt der vorstehende Absatz. Statt mit Passwort und Bestätigungscode kann ich mich dort auch mit einem Passkey anmelden, wie ihn Abschnitt 11 für den Kundenbereich beschreibt. Gespeichert werden dafür je Passkey nur seine Kennung, der öffentliche Schlüssel, ein Signaturzähler, eine Bezeichnung und die Zeitpunkte von Einrichtung und letzter Verwendung, dazu eine zufällige Benutzerkennung; der private Schlüssel und die Bestätigung am Gerät bleiben auf meinem Gerät. Ich entferne diese Passkeys einzeln auf der Verwaltungsseite oder alle zusammen direkt auf dem Server. Sie betreffen nur mich und meine eigenen Geräte. Die Daten liegen auf dem Server dieser Website beim in Abschnitt 7 genannten Hoster und werden an niemanden weitergegeben. Rechtsgrundlage ist mein berechtigtes Interesse, die Verwaltung dieser Website gegen unbefugten Zugriff zu schützen (Art. 6 Abs. 1 lit. f DSGVO). Die Cookies, die die Verwaltungsseite setzt, beschreibt Abschnitt 3.

2. Auslieferung und Absicherung über Cloudflare

Der gesamte Datenverkehr dieser Website läuft über das Netz von Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, in der Europäischen Union vertreten durch die Cloudflare Germany GmbH, Rosental 7, 80331 München. Cloudflare arbeitet als vorgeschalteter Dienst, der Anfragen entgegennimmt, auf schädlichen Verkehr prüft, Überlastungsangriffe abfängt und die Inhalte an Ihren Browser ausliefert. Cloudflare beendet dabei die verschlüsselte Verbindung. Das bedeutet, dass Cloudflare Ihre IP-Adresse und die übertragenen Inhalte im Klartext sieht, einschließlich dessen, was Sie in das Kontaktformular eingeben. Rechtsgrundlage ist mein berechtigtes Interesse an der Abwehr von Angriffen und an einer schnellen, zuverlässigen Auslieferung (Art. 6 Abs. 1 lit. f DSGVO). Cloudflare ist für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag einschließlich der Standardvertragsklauseln der EU-Kommission ist geschlossen.

Cloudflare nutzt außerdem die Funktion Network Error Logging. Dabei gibt Cloudflare Ihrem Browser mit den Antworten dieser Website eine Anweisung mit, die der Browser bis zu sieben Tage speichert. Scheitert in dieser Zeit ein Abruf, etwa wegen eines Verbindungs- oder Namensauflösungsfehlers, kann ein Browser, der diese Funktion unterstützt, einen Fehlerbericht an a.nel.cloudflare.com senden. Der Bericht enthält die aufgerufene Adresse, die Herkunftsseite, Art und Zeitpunkt des Fehlers und die Adresse des angefragten Servers; beim Empfang sieht Cloudflare zudem Ihre IP-Adresse und Browserkennung. Erfolgreiche Abrufe werden nicht gemeldet. Die Berichte dienen dazu, Störungen bei der Auslieferung zu erkennen. Rechtsgrundlage ist mein berechtigtes Interesse an einer zuverlässig erreichbaren Website (Art. 6 Abs. 1 lit. f DSGVO); es gelten Vertrag und Drittlandregelung dieses Abschnitts.

Da Cloudflare, Inc. in den Vereinigten Staaten sitzt, werden dabei personenbezogene Daten in ein Drittland übermittelt. Cloudflare, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert. Die Übermittlung stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Ergänzend und für den Fall, dass diese Zertifizierung endet oder der Beschluss aufgehoben wird, gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage unter kontakt@jason-talge.de. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen. Einzelheiten stehen in der Datenschutzerklärung von Cloudflare unter cloudflare.com/privacypolicy. Alles in diesem Abschnitt gilt ebenso für die Buchungsseite unter cal.jason-talge.de und den Videokonferenzdienst unter meet.jason-talge.de, die Abschnitt 10 beschreibt, und für den Kundenbereich, den Abschnitt 11 beschreibt. Das schließt die Abfragen ein, die der Server dieser Website für den Kundenbereich an meine eigenen Systeme richtet, einen von der Verwaltungsseite aus angestoßenen Abgleich sowie die Übertragung von Zusammenfassungen und To-dos an den Kundenbereich. Auch diese Verbindungen laufen über Cloudflare, sodass Cloudflare dabei auch ihren Inhalt verarbeitet.

3. Cookies und Speicherung auf Ihrem Gerät

Ich setze keine Cookies zur Analyse oder zu Werbezwecken und auch keine zur Wiedererkennung über einen Besuch hinaus – mit Ausnahme der Funktion „Angemeldet bleiben“, die Sie bei der Anmeldung im Kundenbereich ausdrücklich wählen können. Cloudflare kann jedoch im Rahmen seiner Angriffserkennung Cookies setzen, insbesondere __cf_bm zur Unterscheidung automatisierter von menschlichen Zugriffen und cf_clearance zum Nachweis einer bestandenen Sicherheitsprüfung. Ob und wann das geschieht, hängt vom erkannten Verkehr ab. Diese Cookies enthalten keine Informationen, mit denen sich Ihr Verhalten über Websites hinweg nachverfolgen ließe, und sie sind nur kurz gültig. Sie sind unbedingt erforderlich, damit dieser Dienst überhaupt sicher bereitgestellt werden kann, weshalb dafür nach § 25 Abs. 2 Nr. 2 TDDDG keine Einwilligung eingeholt wird. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO.

Eigene Cookies setze ich nur auf der Verwaltungsseite aus Abschnitt 1 und im Kundenbereich aus Abschnitt 11. Auf der Verwaltungsseite gilt: Wer jason-talge.de/admin aufruft, erhält das Sitzungs-Cookie jt_admin, auch ohne sich anzumelden. Es enthält eine zufällige Sitzungskennung, wird nur bei Aufrufen unterhalb von /admin mitgeschickt und nicht an die übrigen Seiten dieser Website, und es verfällt, wenn Sie den Browser schließen. Es sichert das Anmeldeformular gegen untergeschobene Anfragen ab und hält nach einer Anmeldung die Sitzung aufrecht. Weil sich das Anmeldeformular ohne diesen Schutz nicht sicher bereitstellen lässt, ist das Cookie nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein Interesse an einer gegen Missbrauch gesicherten Verwaltung.

Setze ich bei der Anmeldung auf der Verwaltungsseite das Häkchen „Angemeldet bleiben“, erhält mein Browser zusätzlich das Cookie jt_admin_keep; ohne das Häkchen wird es nicht gesetzt. Es wird ebenfalls nur bei Aufrufen unterhalb von /admin mitgeschickt, enthält eine zufällige Kennung und einen zufälligen Prüfwert und meldet mich nach dem Ende der Sitzung ohne erneute Eingabe des Passworts wieder an; dabei wird der Prüfwert jedes Mal ausgetauscht. Es gilt 30 Tage ab der letzten solchen Anmeldung. Auf dem Server liegen dazu je Gerät nur ein nicht umkehrbarer Prüfwert, die Zeitpunkte von Einrichtung, letzter Verwendung und Ablauf und ein kurzer Hinweis auf Browser und Betriebssystem, etwa „Firefox auf Linux“, damit ich meine angemeldeten Geräte auseinanderhalten kann; eine IP-Adresse wird dafür nicht gespeichert. Der Eintrag entfällt mit dem Abmelden auf diesem Gerät, wenn ich das Gerät oder alle Geräte auf der Verwaltungsseite abmelde und mit jeder Änderung meiner Zugangsdaten. Auch dieses Cookie betrifft nur mich als einzigen Nutzer der Verwaltungsseite. Weil es nur auf ausdrücklichen Wunsch gesetzt wird und für genau diesen Dienst unbedingt erforderlich ist, stütze ich mich auf § 25 Abs. 2 Nr. 2 TDDDG; Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO.

Der Kundenbereich setzt das Cookie jt_kunde. Sie erhalten es, sobald Sie die Adresse eines Kundenbereichs aufrufen, also bereits mit dem Anmeldeformular und auch dann, wenn Sie eine Adresse aufrufen, die nur wie die eines Kundenbereichs aussieht, weil dort dasselbe Anmeldeformular erscheint. Es enthält nur eine zufällige Sitzungskennung ohne eigene Aussagekraft. Vor der Anmeldung sichert es das Formular gegen untergeschobene Anfragen von fremden Seiten ab, nach der Anmeldung hält es fest, dass Sie angemeldet sind, damit Sie Ihr Passwort nicht bei jedem Aufruf neu eingeben müssen. Es verfällt, wenn Sie den Browser schließen; mit dem Abmelden wird es sofort gelöscht. Unabhängig davon endet die Anmeldung auf dem Server nach 12 Stunden ohne Aufruf, in jedem Fall aber 14 Tage nach der Anmeldung. Ihr Browser schickt das Cookie bei jedem Aufruf dieser Website mit, ausgewertet wird es aber nur im Kundenbereich. Die zugehörigen Sitzungsdaten auf dem Server werden nach 12 Stunden ohne Aufruf ungültig und anschließend automatisch gelöscht. Das Cookie ist für den Dienst, den Sie mit dem Aufruf des Kundenbereichs ausdrücklich wünschen, unbedingt erforderlich und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO für die Anmeldung von Kunden und Art. 6 Abs. 1 lit. f DSGVO für die Absicherung des Formulars, gestützt auf mein Interesse an einem gegen Missbrauch geschützten Zugang.

Wählen Sie bei der Anmeldung im Kundenbereich „Angemeldet bleiben (30 Tage)“, setze ich zusätzlich das Cookie jt_kunde_keep; ohne diese Wahl wird es nicht gesetzt. Es enthält eine zufällige Kennung und einen zufälligen Prüfwert ohne eigene Aussagekraft. Ist Ihre Sitzung abgelaufen, etwa weil Sie den Browser geschlossen haben, meldet es Sie beim nächsten Aufruf Ihres Kundenbereichs ohne Passwort wieder an; dabei wird der Prüfwert jedes Mal ausgetauscht. Das Cookie gilt 30 Tage ab dem letzten Mal, dass es Sie auf diese Weise angemeldet hat. Wie jt_kunde schickt Ihr Browser es bei jedem Aufruf dieser Website mit, ausgewertet wird es aber nur im Kundenbereich. Auf dem Server speichere ich dazu je Gerät nur einen nicht umkehrbaren Prüfwert, die Zuordnung zu Ihrem Zugang, einen Zähler, der den Eintrag an den aktuellen Stand Ihrer Zugangsdaten bindet, und die Zeitpunkte von Einrichtung, letzter Verwendung und Ablauf; Angaben zu Browser, Gerät oder IP-Adresse speichere ich dafür nicht. Höchstens zehn Geräte bleiben auf diese Weise gleichzeitig angemeldet; kommt ein weiteres hinzu, entfällt der am längsten nicht genutzte Eintrag. Mit dem Abmelden werden Cookie und Eintrag dieses Geräts gelöscht. Alle Einträge Ihres Zugangs entfallen, wenn Sie Ihr Passwort ändern oder zurücksetzen, wenn Sie im Kundenbereich „Auf allen Geräten abmelden“ wählen und wenn ich Ihren Zugang deaktiviere oder lösche; ändern Sie Ihr Passwort auf einem Gerät, auf dem Sie angemeldet geblieben sind, erhält nur dieses Gerät einen neuen Eintrag. Abgelaufene Einträge sind wertlos und werden beim nächsten Aufruf einer Seite des Kundenbereichs automatisch gelöscht, gleich durch wen. Legt jemand ein Cookie mit falschem Prüfwert vor, deutet das auf eine Kopie hin: Der Eintrag wird dann sofort gelöscht, und der Vorgang zählt als Fehlversuch nach Abschnitt 11. Weil Sie dieses Cookie ausdrücklich anfordern und es für genau diesen Dienst unbedingt erforderlich ist, ist es nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei. Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Sie können die Funktion jederzeit beenden, indem Sie sich abmelden oder das Cookie in Ihrem Browser löschen.

Ihr Browser legt außerdem die in Abschnitt 2 beschriebene Anweisung für Fehlerberichte (Network Error Logging) ab. Sie enthält keine Kennung, über die Sie wiedererkannt werden könnten, und verfällt nach höchstens sieben Tagen. Ich stütze mich dafür auf § 25 Abs. 2 Nr. 2 TDDDG, weil sie ausschließlich dazu dient, Störungen bei der Auslieferung dieser Website zu erkennen; Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. f DSGVO.

Ihre Sprachwahl zwischen Deutsch und Englisch wird im lokalen Speicher Ihres Browsers abgelegt, damit die Seite beim nächsten Besuch in derselben Sprache erscheint. Auch das ist nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil Sie diese Einstellung selbst vorgenommen haben und sie nur Ihren eigenen Wunsch umsetzt. Der Eintrag wird nicht an mich übertragen, nicht ausgewertet und verlässt Ihr Gerät nicht. Sie können ihn jederzeit über die Einstellungen Ihres Browsers löschen. Was auf der Buchungsseite unter cal.jason-talge.de gespeichert wird, steht in Abschnitt 10.

4. Kontaktformular

Über das Formular auf der Startseite übermitteln Sie mir Namen, E-Mail-Adresse, Nachricht sowie wahlweise Unternehmen, Telefonnummer und Thema. Name, E-Mail-Adresse und Nachricht sind Pflichtangaben, weil ich sonst nicht antworten kann; alles Weitere ist freiwillig. Sie sind weder gesetzlich noch vertraglich verpflichtet, mir diese Daten zu geben. Ohne sie kommt allerdings keine Anfrage zustande, und es entsteht Ihnen daraus kein Nachteil.

Zusätzlich zu Ihren Eingaben verarbeite ich beim Absenden technische Begleitdaten und nehme sie in die Benachrichtigungs-E-Mail auf: Datum und Uhrzeit des Absendens, die eingestellte Sprache und die Seite, von der aus Sie das Formular abgeschickt haben. Sie helfen mir, die Anfrage einzuordnen und in der richtigen Sprache zu beantworten. Ihre IP-Adresse steht ausdrücklich nicht in dieser E-Mail. Um missbräuchliche Massenzusendungen abzuwehren, begrenze ich die Zahl der Übermittlungen pro Stunde. Dafür wird kein Klartext gespeichert, sondern ein pseudonymisierter Prüfwert aus IP-Adresse und Stunde, der in der Regel nach 24 Stunden gelöscht wird. Greift die Begrenzung, hält das Server-Protokoll zusätzlich das Netzpräfix Ihrer Adresse fest (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 48 Bit); dafür gilt die Frist aus Abschnitt 1. Ergänzend enthält das Formular ein für Menschen unsichtbares Feld und eine Mindestzeit zwischen Aufruf und Absenden; beides erkennt automatisierte Zusendungen, ohne Sie etwas zu fragen. Vor dem Absenden läuft außerdem eine Prüfung mit Cloudflare Turnstile. Dafür lädt Ihr Browser ein Skript von challenges.cloudflare.com – die einzige Fremdquelle dieser Website. Cloudflare beurteilt anhand technischer Merkmale Ihres Geräts und Browsers, ob die Übermittlung von einem Menschen stammt; übertragen werden dabei Ihre IP-Adresse, Angaben zu Browser und Betriebssystem sowie Interaktionsmerkmale. In aller Regel bleibt die Prüfung unsichtbar, nur im Zweifelsfall erscheint eine Rückfrage. Das Ergebnis wird als einmalig gültiger Prüfwert an meinen Server übergeben und dort mit Cloudflare abgeglichen; dabei übermittelt mein Server Cloudflare zusätzlich Ihre IP-Adresse, damit sich prüfen lässt, ob der Prüfwert zu dieser Übermittlung gehört. Ohne bestandene Prüfung wird die Anfrage nicht versendet. Turnstile bildet keine Werbeprofile und dient nicht der seitenübergreifenden Wiedererkennung. Rechtsgrundlage ist mein berechtigtes Interesse an einem Kontaktweg, den Massenzusendungen nicht unbrauchbar machen (Art. 6 Abs. 1 lit. f DSGVO); für die Prüfung selbst ist Cloudflare mein Auftragsverarbeiter nach Art. 28 DSGVO, es gilt der in Abschnitt 2 genannte Vertrag. Nach eigenen Angaben verwendet Cloudflare die bei der Prüfung erhobenen Merkmale – insbesondere IP-Adresse, Browserkennung und technische Verbindungsmerkmale – zusätzlich, um seine Erkennung automatisierter Zugriffe zu verbessern. Insoweit handelt Cloudflare nicht in meinem Auftrag, sondern als eigenständig Verantwortlicher und stützt sich dafür auf sein eigenes berechtigtes Interesse; Einzelheiten stehen unter cloudflare.com/turnstile-privacy-policy. Soweit für die Prüfung Informationen auf Ihrem Gerät gespeichert oder ausgelesen werden, ist das nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei, weil die Prüfung für den von Ihnen ausdrücklich gewünschten Dienst – das Absenden dieses Formulars – unbedingt erforderlich ist.

Rechtsgrundlage für die Bearbeitung Ihrer Anfrage ist Art. 6 Abs. 1 lit. b DSGVO, soweit sie auf einen Vertrag zielt oder dessen Anbahnung dient, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, an mich gerichtete Nachrichten zu beantworten. Für die genannten Begleitdaten und die Missbrauchsabwehr ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO mit meinem Interesse daran, den Endpunkt nicht als Versandmaschine für fremde Nachrichten zu verlieren. Ich hole für all das bewusst keine Einwilligung ein: Sie hätten dabei keine echte Wahl, weil ich ohne diese Daten schlicht nicht antworten kann.

Ihre Nachricht erreicht mich per E-Mail und bleibt in meinem Postfach. Führt die Anfrage zu keinem Auftrag, lösche ich sie sechs Monate nach dem letzten Schriftwechsel. Führt sie zu einem Auftrag, wird sie Teil der Geschäftskorrespondenz und unterliegt den handels- und steuerrechtlichen Aufbewahrungsfristen, in der Regel sechs Jahre für Geschäftsbriefe, acht Jahre für Buchungsbelege und zehn Jahre für Bücher und Abschlüsse, jeweils gerechnet ab dem Ende des betreffenden Kalenderjahres. Rechtsgrundlage der Aufbewahrung ist dann Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und, soweit anwendbar, § 257 HGB.

5. Kontakt per E-Mail, Telefon und WhatsApp

Nehmen Sie unmittelbar per E-Mail oder Telefon Kontakt auf, verarbeite ich die dabei anfallenden Angaben zur Bearbeitung Ihres Anliegens. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO.

Die WhatsApp-Schaltflächen auf dieser Website sind einfache Verweise auf wa.me. Beim Aufbau der Seite wird nichts von Meta nachgeladen und keine Verbindung dorthin aufgebaut. Erst wenn Sie klicken, ruft Ihr Browser die Adresse wa.me auf; dabei werden Ihre IP-Adresse und die Angabe, von welcher Seite Sie kommen, an Meta übertragen und WhatsApp öffnet sich mit dem vorbereiteten Chat.

WhatsApp ist bei mir nicht nur ein Link, sondern ein tatsächlich genutzter Kommunikationskanal. Ich verwende dafür die WhatsApp Business App auf einem Smartphone. Ob dieser Kanal zum Einsatz kommt, entscheiden allein Sie: Ich schreibe niemandem unaufgefordert über WhatsApp. Wenn Sie mir per E-Mail schreiben, antworte ich per E-Mail. Über WhatsApp kommuniziere ich nur, wenn Sie mich dort zuerst anschreiben oder ausdrücklich darum bitten. E-Mail und Telefon stehen als gleichwertige Wege offen, sind genauso schnell und führen zum selben Ergebnis. WhatsApp ist zu keinem Zeitpunkt Voraussetzung dafür, mit mir zusammenzuarbeiten, ein Angebot zu erhalten oder einen Auftrag abzuwickeln.

Schreiben Sie mir über WhatsApp, verarbeite ich den Inhalt unserer Nachrichten, Ihre Telefonnummer, den von Ihnen hinterlegten Profilnamen und, sofern vorhanden, Ihr Profilbild und Ihren Statustext sowie gegebenenfalls Dateien, Bilder oder Sprachnachrichten, die Sie mir senden. Hinzu kommen technische Begleitdaten wie Sende- und Empfangszeitpunkte und Zustell- und Lesebestätigungen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit die Kommunikation einen Vertrag betrifft oder dessen Anbahnung dient, und im Übrigen Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, auf dem von Ihnen gewählten Weg zu antworten.

Anbieter des Dienstes ist die WhatsApp Ireland Limited, Merrion Road, Dublin 4, Irland. Sie ist für alles, was in ihrem System geschieht, datenschutzrechtlich selbst verantwortlich und arbeitet nicht als Auftragsverarbeiter für mich. Für die kostenlose WhatsApp Business App bietet der Anbieter auch keinen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO an; einen solchen Vertrag gibt es zwischen uns folglich nicht, und ich behaupte hier auch nicht das Gegenteil. Das bedeutet: Ich habe keinen Einfluss darauf, welche Daten der Anbieter über die Nutzung des Dienstes erhebt, wie lange er sie speichert und mit welchen anderen Diensten des Meta-Konzerns er sie verknüpft. Verantwortlich bin ich für das, was ich selbst mit Ihren Nachrichten mache, und dafür, dass ich diesen Kanal überhaupt anbiete. Welche Verarbeitung darüber hinaus beim Anbieter stattfindet, steht in dessen Datenschutzrichtlinie unter whatsapp.com/legal/privacy-policy-eea.

Mein Empfänger ist damit ein Unternehmen innerhalb der Europäischen Union. WhatsApp Ireland Limited gehört jedoch zum Meta-Konzern und gibt Daten konzernintern an die Meta Platforms, Inc. in den Vereinigten Staaten weiter. Diese Weitergabe erfolgt in der Verantwortung des Anbieters und nicht in meiner; nach dessen Angaben stützt er sie auf das EU-U.S. Data Privacy Framework und ergänzend auf Standardvertragsklauseln. Ich weise darauf hin, weil Sie es wissen sollten, bevor Sie diesen Kanal wählen, und nicht, weil ich es beeinflussen könnte.

Die Inhalte unserer Nachrichten sind Ende zu Ende verschlüsselt. Der Anbieter kann sie im Transport nicht mitlesen. Nicht verschlüsselt sind dagegen die Verkehrs- und Verbindungsdaten: wer wann mit wem geschrieben hat, wie häufig und wie lange, dazu Geräte- und Netzinformationen sowie Online- und Zuletzt-online-Zeiten. Aus solchen Metadaten lassen sich Beziehungen und Gewohnheiten ableiten, auch ohne dass jemand den Inhalt kennt. Hinzu kommt, dass die Nachrichten auf beiden Endgeräten unverschlüsselt gespeichert werden und dass ein Sicherungskopie-Dienst des Betriebssystems die Verschlüsselung aufheben kann, sofern die Sicherung nicht ihrerseits verschlüsselt ist. Wenn Ihnen das für ein bestimmtes Thema zu weit geht, schreiben Sie mir bitte per E-Mail; für vertrauliche Unterlagen ist E-Mail oder ein von mir bereitgestellter Übertragungsweg die bessere Wahl.

Die WhatsApp Business App hat auf meinem Gerät Zugriff auf das Adressbuch. Dadurch werden die dort gespeicherten Telefonnummern regelmäßig an den Anbieter übertragen und mit dessen Nutzerbestand abgeglichen, damit die App erkennt, welche Kontakte über den Dienst erreichbar sind. Übertragen werden dabei auch Nummern von Personen, die WhatsApp selbst nicht nutzen und die dieser Übertragung nie zugestimmt haben. Für diese Übermittlung bin ich verantwortlich, weil ich sie durch die Nutzung der App auslöse. Ich stütze sie auf Art. 6 Abs. 1 lit. f DSGVO mit meinem Interesse an einem funktionsfähigen Kommunikationskanal. Wenn Sie nicht möchten, dass Ihre Telefonnummer auf diesem Weg übertragen wird, schreiben Sie mir bitte an kontakt@jason-talge.de. Ich entferne sie dann aus dem Adressbuch dieses Geräts und halte den Kontakt ausschließlich über E-Mail oder Telefon.

Die Chatverläufe bleiben auf meinen eigenen Geräten gespeichert. Nachrichten werden durch KI verarbeitet, nämlich in die in Abschnitt 8 beschriebene Sortierung und Zusammenfassung einbezogen und im Einzelfall ausgewertet; ihr Inhalt wird dabei an den dort genannten Anbieter übermittelt. Führt der Kontakt zu keinem Auftrag, lösche ich den Verlauf sechs Monate nach der letzten Nachricht. Führt er zu einem Auftrag, sichere ich die geschäftlich relevanten Teile außerhalb der App und bewahre sie wie übrige Geschäftskorrespondenz nach den Fristen aus Abschnitt 4 auf; der Verlauf auf meinen Geräten wird danach ebenfalls gelöscht. Sie können jederzeit verlangen, dass ich einen Verlauf früher lösche, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Was der Anbieter unabhängig davon auf seinen Systemen speichert, entzieht sich meiner Kenntnis und meinem Zugriff.

6. Profile in sozialen Netzwerken und Verweise auf andere Websites

Auf dieser Website stehen Verweise auf meine Profile bei LinkedIn und GitHub. Das sind gewöhnliche Links, keine eingebetteten Inhalte: Solange Sie nicht klicken, wird von dort nichts geladen und es fließen keine Daten dorthin. Klicken Sie, verlässt Ihr Browser diese Website; ab diesem Moment gilt die Datenschutzerklärung des jeweiligen Anbieters, und dieser erfährt Ihre IP-Adresse sowie die Angabe, von welcher Seite Sie kommen. Betreiber sind die LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Irland, und die GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA.

Für manche Verweise verwende ich Kurzlinks unter link.jason-talge.de. Dahinter steht der Kurzlinkdienst Shlink, den ich selbst auf eigener Hardware betreibe. Rufen Sie einen solchen Link auf, speichert der Dienst Zeitpunkt, aufgerufenen Kurzlink, Browser- und Betriebssystemkennung, die Seite, von der Sie kommen, und Ihre IP-Adresse – diese nur gekürzt, sodass sie nicht mehr Ihrem Anschluss zugeordnet werden kann. Eine Standortbestimmung findet nicht statt, Cookies werden nicht gesetzt. Anschließend leitet der Dienst Sie zum Ziel weiter. Zweck ist zu sehen, wie oft ein Link genutzt wird. Rechtsgrundlage ist mein berechtigtes Interesse an dieser Auswertung (Art. 6 Abs. 1 lit. f DSGVO). Die gespeicherten Aufrufe werden nach 30 Tagen gelöscht.

Unabhängig von dieser Website unterhalte ich Profile und Kanäle bei weiteren Anbietern: Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irland), YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland), Twitch (Twitch Interactive, Inc., 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA) und TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Irland, gemeinsam verantwortlich mit der TikTok Information Technologies UK Limited). Rufen Sie eines dieser Profile auf, verarbeiten die Anbieter Ihre Daten in eigener Verantwortung und nach ihren eigenen Bestimmungen. Darauf habe ich keinen Einfluss, und auf die zugrunde liegenden Daten habe ich keinen Zugriff. Bei Twitch ist zu beachten, dass der Anbieter seinen Sitz in den USA hat und für den Europäischen Wirtschaftsraum keinen eigenen Verantwortlichen benennt.

Soweit mir ein Anbieter Statistiken über die Nutzung meines Profils bereitstellt, sind wir für diesen Teil der Verarbeitung gemeinsam Verantwortliche nach Art. 26 DSGVO (vgl. EuGH, Urteil vom 05.06.2018, C-210/16). Diese Statistiken sind zusammengefasst und lassen keinen Rückschluss auf einzelne Personen zu; ich nutze sie ausschließlich, um zu sehen, welche Beiträge auf Interesse stoßen. Rechtsgrundlage ist mein berechtigtes Interesse an einer wirksamen Außendarstellung (Art. 6 Abs. 1 lit. f DSGVO). Ihre Rechte aus Kapitel III der DSGVO – insbesondere Auskunft, Löschung und Widerspruch – machen Sie am wirksamsten unmittelbar beim jeweiligen Anbieter geltend, weil nur dieser die Daten vorhält und über die technischen Mittel verfügt. Sie können sich damit aber ebenso an mich wenden; ich leite Ihr Anliegen dann weiter. Schreiben Sie mir über eines dieser Profile eine Nachricht, behandle ich deren Inhalt wie eine Anfrage per E-Mail; es gelten die Angaben in Abschnitt 5 entsprechend.

7. Empfänger und Auftragsverarbeiter

Ich gebe personenbezogene Daten nicht zum Zweck der Werbung, des Handels oder der Analyse an Dritte weiter. Sie werden nicht verkauft und nicht mit fremden Datenbeständen abgeglichen. Eingebunden sind aber die Dienstleister, die den Betrieb dieser Website, mein Postfach, meine Arbeitsumgebung und meine Buchhaltung überhaupt möglich machen. Sie handeln jeweils auf meine Weisung, auf Grundlage eines Vertrags zur Auftragsverarbeitung nach Art. 28 DSGVO, und dürfen die Daten zu keinem eigenen Zweck verwenden.

Es sind derzeit fünf: die netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, die als Hoster diese Website betreibt, dabei auch die Daten des Kundenbereichs und meiner Zeiterfassung speichert (Abschnitt 11) und zugleich das Postfach bereitstellt, über das Ihre Anfrage zugestellt und gespeichert wird – ihre Server stehen in Deutschland beziehungsweise der Europäischen Union; die Cloudflare, Inc. mit den in Abschnitt 2 beschriebenen Aufgaben und Bedingungen; die Notion Labs, Inc., bei der ich Notizen und Besprechungszusammenfassungen ablege – Aufgaben und Bedingungen beschreibt Abschnitt 9; die Anthropic Ireland, Limited, deren Sprachmodelle eingehende Nachrichten für mich sortieren und zusammenfassen sowie Rechnungen und Belege erkennen – Aufgaben und Bedingungen beschreibt Abschnitt 8; und die sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg, Deutschland, in deren Buchhaltungssoftware ich Rechnungen erstelle und Belege verbuche – Aufgaben und Bedingungen beschreibt Abschnitt 10. Außerhalb dieses Kreises werden Daten nur weitergegeben, wenn ich gesetzlich dazu verpflichtet bin, etwa gegenüber Behörden oder Gerichten, oder wenn es zur Durchsetzung meiner Rechte erforderlich ist.

Gesondert davon steht die WhatsApp Ireland Limited. Sie ist kein Auftragsverarbeiter, sondern ein eigenständig Verantwortlicher, der neben mir und nicht für mich verarbeitet. Sie erhält deshalb keine Daten auf meine Weisung, sondern nur das, was im Rahmen der Nutzung des Dienstes zwangsläufig anfällt – und zwar nur dann, wenn Sie sich für diesen Kanal entscheiden. Einzelheiten stehen in Abschnitt 5. Dasselbe gilt für die Anbieter, bei denen ich Profile unterhalte: auch sie verarbeiten in eigener Verantwortung und nicht in meinem Auftrag; Einzelheiten dazu stehen in Abschnitt 6. Eigenständig verantwortlich ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., über die bezahlte Beratungen abgerechnet werden; sie erhält Daten nur, wenn Sie eine solche Beratung buchen. Einzelheiten stehen in Abschnitt 10. Eigenständig verantwortlich ist schließlich auch Cloudflare, soweit es die bei der Turnstile-Prüfung erhobenen Merkmale zur Verbesserung seiner Bot-Erkennung weiterverwendet; Einzelheiten stehen in Abschnitt 4.

8. KI-gestützte Sortierung und Zusammenfassung eingehender Nachrichten

Eingehende E-Mails in meinem geschäftlichen Postfach werden alle 30 Minuten automatisch sortiert und thematisch eingeordnet. Eingehende Nachrichten werden außerdem zusammengefasst und nach Dringlichkeit vorpriorisiert. Dasselbe geschieht mit Nachrichten, die mich über WhatsApp erreichen. Die Ablaufsteuerung übernimmt eine n8n-Instanz, die auf eigener Hardware und damit in meinem eigenen Verantwortungsbereich läuft. n8n ist deshalb kein Auftragsverarbeiter; an dieser Stelle findet keine Übermittlung an Dritte statt. Die Daten eines einzelnen Durchlaufs bewahrt die Ablaufsteuerung sieben Tage zur Fehlersuche auf und löscht sie danach.

Wo einfache Regeln genügen, kommen Regeln zum Einsatz. Ein Sprachmodell wird nur dort verwendet, wo Regeln nicht ausreichen. Für diese Aufrufe wird der Inhalt der Nachricht an die Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland, übermittelt und von einem Modell der Claude-Familie verarbeitet. Anthropic Ireland, Limited ist dabei für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig. Die Modelle betreibt die Muttergesellschaft Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA, als Unterauftragsverarbeiter.

Neben dieser festen Ablaufsteuerung lasse ich Nachrichten aus meinem geschäftlichen Postfach und aus WhatsApp im Einzelfall durch KI auswerten, etwa um einen Vorgang zusammenzufassen, Informationen herauszusuchen oder eine Antwort vorzubereiten. Der Inhalt der dabei ausgewerteten Nachrichten wird an Anthropic übermittelt; es gelten die Bedingungen dieses Abschnitts. Abgeschickt wird nichts ohne meine Prüfung.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, eingehende Nachrichten zügig, vollständig und in gleichbleibender Qualität zu bearbeiten. Ich habe dabei berücksichtigt, dass Sie mir Ihre Nachricht senden, um eine Antwort zu erhalten, und dass die Verarbeitung genau diesem Zweck dient und ihn nicht überschreitet.

Über dieselbe Ablaufsteuerung läuft eine KI-gestützte Erkennung eingehender Rechnungen und Belege. Sie werden dabei erkannt, einem Vorgang zugeordnet und in ihren Eckdaten – etwa Aussteller, Datum und Betrag – ausgelesen. Solche Unterlagen können personenbezogene Daten von Kunden und Geschäftspartnern enthalten, etwa Namen, Anschriften und Kontaktdaten. Es gelten dieselben Bedingungen wie für Nachrichten: Wo Regeln genügen, bleibt es bei Regeln; nur wo sie nicht ausreichen, wird der Inhalt unter den hier beschriebenen Bedingungen an Anthropic übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse an einer geordneten und vollständigen Buchführung; für die Aufbewahrung der Belege selbst gelten die Fristen aus Abschnitt 4.

Über dieselbe Ablaufsteuerung bereite ich außerdem Angebote für den Kundenbereich (Abschnitt 11) auf. Grundlage ist die Kopie, die meine Buchhaltungssoftware beim Versand eines Angebots an mein Postfach schickt. Nummer, Datum, Positionen, Mengen, Preise und Summen werden nach festen Regeln ausgelesen und rechnerisch geprüft, nicht durch KI. Aus den Positionen und Textblöcken des Angebots entsteht anschließend durch Verarbeitung durch KI eine kurze Beschreibung in deutscher und englischer Sprache; Preise, Mengen und Nummern legt die KI dabei nicht fest. In einem zweiten, getrennten Schritt prüft die KI diese Beschreibung darauf, ob sie Sicherheitslücken, Einschätzungen über Kunden oder Personen, Preise, Sätze oder Haftungsaussagen, Zugangsdaten oder Inhalte zu einem anderen Kunden enthält; ist das der Fall oder schlägt die Prüfung fehl, wird der Text nicht übernommen. Kein Angebot erscheint im Kundenbereich, bevor ich es selbst geprüft, die Beschreibung gegebenenfalls überarbeitet und das Angebot freigegeben habe. Positionen und Textblöcke des Angebots werden dafür unter den Bedingungen dieses Abschnitts an Anthropic übermittelt. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit das Angebot der Anbahnung eines Vertrags mit Ihnen dient, und im Übrigen, etwa für Angaben zu Ansprechpersonen, Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse an verständlichen und zutreffenden Angeboten.

Für den Bereich „Aktuelles“ im Kundenbereich fasse ich außerdem meine Notizen zu einem Kunden durch Verarbeitung durch KI zusammen. Einbezogen werden nur Notizen aus der in Abschnitt 9 beschriebenen Arbeitsumgebung und aus meiner Wissensdatenbank, die ich auf meinen eigenen Servern bzw. Geräten betreibe, und davon nur solche, die nach einer festen Zuordnung eindeutig diesem Kunden gehören, nicht als intern gekennzeichnet sind und in den letzten 30 Tagen bearbeitet wurden. Die Wissensdatenbank gleiche ich über die oben beschriebene Ablaufsteuerung ab, die ebenfalls auf meinen eigenen Servern bzw. Geräten läuft; ein Dienst Dritter ist dabei nicht beteiligt. Inhalte der Wissensdatenbank erarbeite ich zum Teil durch Verarbeitung durch KI; sie werden dafür an den in diesem Abschnitt genannten Anbieter übermittelt, und es gelten dieselben Bedingungen. Besprechungsnotizen und Transkripte sowie als intern gekennzeichnete Seiten und Abschnitte werden vorher nach festen Regeln ausgesondert und nie an die KI übermittelt. Die Notizen können neben Angaben zum Kunden auch Angaben zu dessen Ansprechpersonen und Mitarbeitenden enthalten. In einem zweiten, getrennten Schritt prüft die KI die Zusammenfassung auf dieselben Inhalte wie bei Angeboten, wobei Preise, Sätze und Haftungsaussagen nur dann beanstandet werden, wenn sie nicht schon Vertragsinhalt sind. Findet die Prüfung nichts, wird die Zusammenfassung automatisch im Kundenbereich veröffentlicht, ohne dass ich sie vorher selbst durchsehe; sie ist dort als automatisch zusammengefasst gekennzeichnet, und ich kann jede veröffentlichte Fassung jederzeit zurückziehen. Wird etwas beanstandet oder schlägt die Prüfung fehl, wird nichts veröffentlicht, der Kunde sieht weiter die zuletzt veröffentlichte Fassung, und ich entscheide selbst, ob ich die zurückgehaltene Fassung freigebe oder verwerfe. Für die dabei an Anthropic übermittelten Inhalte gelten die Bedingungen dieses Abschnitts. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, soweit es um die Information meines Vertragspartners über den Stand seiner Projekte geht, und im Übrigen, insbesondere für Angaben zu Ansprechpersonen und Mitarbeitenden, Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, meine Kunden verständlich und zeitnah über den Stand ihrer Projekte zu informieren. Für die Durchläufe der Ablaufsteuerung gilt in beiden Fällen die Frist von sieben Tagen aus dem ersten Absatz.

Weil die Modelle von Anthropic PBC in den Vereinigten Staaten betrieben werden, gelangen die Inhalte dabei in ein Drittland. Die Übermittlung stützt sich auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Nach den Geschäftsbedingungen von Anthropic für gewerbliche Dienste werden die übermittelten Inhalte nicht zum Training der Modelle verwendet und nach kurzer Zeit von den Systemen des Anbieters gelöscht. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen.

Sortierung und Zusammenfassung bereiten nur vor. Jede Antwort und jede Entscheidung im Einzelfall trifft ein Mensch, nämlich ich. Ein Vorschlag eines Sprachmodells, etwa für eine Antwort oder für die Beschreibung eines Angebots, wird geprüft und kann verworfen werden; er wird nicht unbesehen umgesetzt. Die einzige Ausnahme sind die oben beschriebenen Zusammenfassungen unter „Aktuelles“: Sie erscheinen nach der automatischen Prüfung ohne meine vorherige Durchsicht, und ich kann sie jederzeit zurückziehen. Es findet keine ausschließlich auf einer automatisierten Verarbeitung beruhende Entscheidung statt, die Ihnen gegenüber rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt, und es findet kein Profiling statt; Art. 22 DSGVO ist damit nicht berührt. Für die Zukunft behalte ich mir vor, ergänzend Modelle einzusetzen, die ich selbst auf eigener Infrastruktur betreibe, etwa über Ollama – die Daten verließen dann meinen Verantwortungsbereich gar nicht erst. Umgesetzt ist das noch nicht.

9. Notizen und Besprechungen in Notion, geplante weitere Speicherorte

Für Notizen zu Anfragen, Projekten und Besprechungen nutze ich die Arbeitsumgebung Notion der Notion Labs, Inc., 685 Market Street, San Francisco, CA 94105, USA. Dort können Ihr Name, Ihre Kontaktdaten, Ihr Unternehmen, Inhalte unserer Kommunikation und der Stand eines Vorgangs abgelegt sein. Zweck ist, den Stand einer Anfrage nachvollziehbar zu halten, Fristen nicht zu verlieren und den Verlauf einem Vorgang zuzuordnen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO bei vertraglichem Bezug, sonst Art. 6 Abs. 1 lit. f DSGVO mit meinem Interesse an einer geordneten Bearbeitung. Notion Labs, Inc. ist für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig; ein entsprechender Vertrag ist geschlossen. Da der Anbieter in den Vereinigten Staaten sitzt, werden dabei personenbezogene Daten in ein Drittland übermittelt. Notion Labs, Inc. ist nach dem EU-U.S. Data Privacy Framework zertifiziert; die Übermittlung stützt sich daher auf den Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO. Daneben sind die Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO – Modul Zwei, Verantwortlicher an Auftragsverarbeiter – bereits im Vertrag zur Auftragsverarbeitung in der Fassung vom 22. Februar 2023 ausdrücklich vereinbart; sie greifen also nicht erst, wenn die Zertifizierung endet oder der Beschluss aufgehoben wird, sondern gelten unabhängig davon. Eine Kopie der vereinbarten Garantien erhalten Sie auf Anfrage. Trotz dieser Garantien lässt sich nicht vollständig ausschließen, dass US-Behörden auf die Daten zugreifen. Einzelheiten stehen in der Datenschutzerklärung des Anbieters unter notion.com/trust/privacy-policy.

In Besprechungen, etwa Videokonferenzen zu einer Anfrage oder einem laufenden Projekt, nutze ich zusätzlich die KI-Funktionen von Notion („Notion AI"), um Gesprächsnotizen zu erstellen und den Verlauf zusammenzufassen. Die Funktion zeichnet dabei den Ton meines Geräts auf, also Systemton und Mikrofon; es tritt kein zusätzlicher Teilnehmer dem Gespräch bei. Die Aufnahme wird in Text übertragen und anschließend zu einer Zusammenfassung verdichtet. Das geschieht nie unbemerkt und nie ohne Zustimmung: Bevor die Aufzeichnung beginnt, frage ich ausdrücklich, ob alle Teilnehmenden einverstanden sind. Erst wenn die Einwilligung erteilt ist, startet die Aufzeichnung, und die Einwilligung wird zu Beginn der Aufnahme festgehalten. Wer nicht einverstanden ist, sagt das – dann schreibe ich von Hand mit, und es entsteht daraus kein Nachteil. Rechtsgrundlage ist insoweit Ihre Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit mit Wirkung für die Zukunft widerrufen können; im Fall des Widerrufs lösche ich die Aufnahme und das Transkript, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für die anschließende Aufbewahrung der Zusammenfassung gelten die Rechtsgrundlagen des vorstehenden Absatzes.

Notion setzt für die KI-Funktionen Unterauftragsverarbeiter ein, die die Sprachmodelle betreiben – nach der Liste des Anbieters unter anderem Anthropic, OpenAI und Google; die vollständige, laufend aktualisierte Liste hält der Anbieter öffentlich bereit. Diese Anbieter sitzen überwiegend in den Vereinigten Staaten. Nach den Angaben des Anbieters werden die Inhalte weder von Notion noch von diesen Unterauftragsverarbeitern zum Training von Modellen verwendet und bei den Modellbetreibern spätestens nach 30 Tagen gelöscht. Die Tonaufnahme selbst wird nach erfolgreicher Verarbeitung nicht dauerhaft gespeichert; schlägt die Verarbeitung fehl, bleibt sie bis zu drei Tage auf den Servern des Anbieters und wird danach gelöscht. Das Transkript bleibt in der zugehörigen Notion-Seite gespeichert, bis ich es lösche; die Fristen dafür nennt Abschnitt 12. Eine Zusammenfassung ist ein Arbeitsmittel, kein Beschluss: Ich prüfe sie und entscheide selbst; Abschnitt 13 gilt unverändert.

Für den Kundenbereich werte ich die hier beschriebenen Notizen außerdem aus, wie in Abschnitt 8 beschrieben, und zwar nur Seiten, die nach einer festen Zuordnung eindeutig dem jeweiligen Kunden gehören und nicht als intern gekennzeichnet sind. Die To-do-Listen im Kundenbereich („Auf meiner Liste“ und „Auf Ihrer Liste“) übernehme ich ohne KI und wörtlich aus einer Seite dieser Arbeitsumgebung. Hakt ein Kunde einen Punkt seiner Liste ab oder nimmt er das Häkchen zurück, wird das in diese Seite zurückgeschrieben. Für diesen Abgleich gilt der Vertrag zur Auftragsverarbeitung aus dem ersten Absatz; ein neuer Empfänger entsteht nicht.

Geplant, aber noch nicht umgesetzt, bleibt eine darüber hinausgehende geordnete Ablage von Anfragen außerhalb des E-Mail-Postfachs in einer von mir selbst betriebenen Datenbank; die bereits laufende KI-gestützte Sortierung und Zusammenfassung eingehender Nachrichten beschreibt Abschnitt 8. Die Angabe zur Datenbank gilt erst ab dem Zeitpunkt der tatsächlichen Nutzung; jeder Anbieter, der dabei in meinem Auftrag tätig wird, wird zuvor durch einen Vertrag nach Art. 28 DSGVO gebunden, und diese Erklärung wird vorher angepasst. Davon zu unterscheiden ist die Datenbank des Kundenbereichs, die bereits in Betrieb ist, nur Kunden mit Zugang zum Kundenbereich betrifft und keine Anfragen enthält; sie beschreibt Abschnitt 11. Die Speicherdauern aus Abschnitt 4 gelten unverändert für alle in diesem Abschnitt beschriebenen Ablagen.

10. Online-Terminbuchung

Termine können Sie über eine Buchungsseite unter cal.jason-talge.de vereinbaren. Dahinter steht cal.diy, eine quelloffene Abspaltung der Terminsoftware Cal.com, die ich selbst auf eigener Hardware in Deutschland betreibe; es handelt sich nicht um die Plattform eines Drittanbieters, und kein Hoster ist beteiligt. Die Übermittlung von Nutzungsstatistiken an den Hersteller der Software ist abgeschaltet. Die Buchungsseite ist wie diese Website über Cloudflare erreichbar, und Cloudflare sieht dabei auch, was Sie in das Buchungsformular eingeben. Aufgaben, Rechtsgrundlage, Vertrag und Drittlandübermittlung sind dieselben wie in Abschnitt 2 beschrieben.

Öffentlich buchbar sind zwei kostenlose Termine, ein Erstgespräch und ein kurzer Austausch, sowie kostenpflichtige Beratungen von 30, 60 oder 90 Minuten. Projekt-Meetings, Remote-Support und Wartung sowie Vor-Ort-Termine sind nicht öffentlich aufgeführt; den Link dazu erhalten nur bestehende Kunden.

Bei jeder Buchung verarbeite ich Ihren Namen, Ihre E-Mail-Adresse und den gewählten Termin. Die Zeitzone ist fest auf Europe/Berlin eingestellt und wird mit dem Termin gespeichert. Freiwillig können Sie Telefonnummer, Firma oder Organisation, die E-Mail-Adressen weiterer Gäste und eine Notiz angeben. Je nach Termintyp kommen weitere Angaben hinzu: beim Erstgespräch das Thema, eine Kurzbeschreibung des Vorhabens und freiwillig ein Budgetrahmen; beim Projekt-Meeting das Projekt und die Agenda; beim Remote-Support das betroffene System und eine Beschreibung des Problems; beim Vor-Ort-Termin Ihre Adresse und eine Ansprechperson vor Ort; bei einer bezahlten Beratung Rechnungsadresse, Thema und Ausgangslage. Für Remote-Support und Vor-Ort-Termine ist die Telefonnummer Pflicht, weil ich Sie dabei kurzfristig erreichen können muss. Die als Pflichtfeld markierten Angaben brauche ich, um den Termin vorzubereiten und durchzuführen; ohne sie lässt sich nicht buchen. Gesetzlich oder vertraglich verpflichtet sind Sie dazu nicht. Geben Sie weitere Gäste an, erhalten diese eine Einladung an die genannte Adresse; tragen Sie deshalb bitte nur Personen ein, die mit dieser Einladung rechnen.

Termine – jedenfalls das Erstgespräch – können Sie wahlweise per Video, per Telefon oder vor Ort in Hallstadt wahrnehmen. Wählen Sie ein Telefongespräch, ist Ihre Telefonnummer Pflichtangabe, weil ich Sie sonst zum vereinbarten Zeitpunkt nicht erreichen kann; bei Video- und Vor-Ort-Terminen bleibt sie freiwillig, soweit der Termintyp nichts anderes vorsieht. Ich verwende die Nummer ausschließlich, um das Gespräch zu führen und bei kurzfristigen Änderungen am Termin Kontakt aufzunehmen. Das Telefonat wird nicht aufgezeichnet; ob ich es mit Notion AI mitschreiben lasse, entscheidet allein Ihre vorherige Einwilligung (Abschnitt 9). Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Die Telefonnummer wird zusammen mit den übrigen Buchungsdaten nach der unten genannten Frist gelöscht.

Vor einer bezahlten Beratung bestätigen Sie Ihre E-Mail-Adresse mit einem Code, den Sie per E-Mail erhalten. So stelle ich sicher, dass niemand unter einer fremden Adresse einen kostenpflichtigen Termin bucht und Bestätigungen und Rechnung bei Unbeteiligten landen.

Rechtsgrundlage für Vereinbarung, Vorbereitung und Durchführung des Termins ist Art. 6 Abs. 1 lit. b DSGVO: Eine bezahlte Beratung ist selbst ein Vertrag, ein Erstgespräch dient seiner Anbahnung, und Termine mit bestehenden Kunden gehören zur Durchführung des laufenden Auftrags. Für die Rechnungsstellung bei bezahlten Beratungen kommt Art. 6 Abs. 1 lit. c DSGVO hinzu, weil ich nach § 14 UStG zur Ausstellung einer Rechnung und nach § 14b UStG, § 147 AO und, soweit anwendbar, § 257 HGB zu ihrer Aufbewahrung verpflichtet bin. Die Angaben zu weiteren Gästen und zur Ansprechperson vor Ort betreffen Personen, mit denen ich keinen Vertrag habe; hier ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein Interesse, den Termin mit den Personen durchzuführen, die Sie dafür benennen. Für die Bestätigung der E-Mail-Adresse ist die Rechtsgrundlage ebenfalls Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein Interesse, Buchungen unter fremdem Namen und Missbrauch des Buchungswegs zu verhindern.

Am Ende des Buchungsformulars bestätigen Sie, dass Sie diese Datenschutzerklärung zur Kenntnis genommen haben. Das ist keine Einwilligung, und keine der hier beschriebenen Verarbeitungen stützt sich darauf; die Bestätigung hält nur fest, dass Ihnen diese Informationen vor der Buchung vorlagen. Eine Einwilligung hole ich bewusst nicht ein: Sie hätten dabei keine echte Wahl, weil sich ohne diese Daten kein Termin vereinbaren lässt.

Bezahlte Beratungen begleichen Sie über PayPal. Anbieter ist die PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxemburg. Zum Bezahlen werden Sie auf die Seite von PayPal weitergeleitet und wickeln die Zahlung dort unmittelbar mit PayPal ab; die Buchungsseite bindet dafür nichts von PayPal ein, und Ihre Konto- oder Kartendaten erhalte ich nicht. An PayPal gehen von meiner Seite nur Betrag und eine zufällige Referenznummer, von PayPal erhalte ich die Bestätigung der Zahlung mit Transaktionsnummer sowie Name und E-Mail-Adresse des zahlenden Kontos. PayPal ist für die Zahlungsabwicklung datenschutzrechtlich selbst verantwortlich und arbeitet nicht als Auftragsverarbeiter für mich. Rechtsgrundlage für die Weitergabe ist Art. 6 Abs. 1 lit. b DSGVO, weil die Zahlung Teil des Vertrags über die Beratung ist. PayPal kann Daten an Gesellschaften des Konzerns außerhalb der Europäischen Union weitergeben, insbesondere in die Vereinigten Staaten. Das geschieht in der Verantwortung von PayPal und nicht in meiner. Was PayPal darüber hinaus verarbeitet, etwa zur Betrugsabwehr, steht in dessen Datenschutzerklärung unter paypal.com/de/legalhub/paypal/privacy-full. Kostenlose Termine berührt das nicht; dort fließen keine Daten an PayPal.

Videotermine finden über eine selbst betriebene Videokonferenz-Software statt, die ich unter meet.jason-talge.de auf eigener Hardware in Deutschland betreibe. Aufruf der Konferenzseite und Verbindungsaufbau laufen wie bei dieser Website über Cloudflare (Abschnitt 2). Audio und Video laufen dagegen direkt zwischen Ihrem Gerät und meinem Server; dabei ist Ihre IP-Adresse für meinen Server und die IP-Adresse meines Servers für Ihr Gerät sichtbar. Ein weiterer Dienstleister ist nicht beteiligt. Den Link erhalten Sie mit der Buchungsbestätigung. Der Name des Konferenzraums setzt sich aus dem Termintyp und den Namen der Teilnehmenden zusammen und ist damit Teil der Adresse; behandeln Sie den Link deshalb wie eine persönliche Einladung. Während des Gesprächs verarbeitet der Server Ihren Anzeigenamen, Ihre Audio- und Videodaten, Ihre IP-Adresse und technische Verbindungsdaten. Audio und Video werden nur für die Dauer des Gesprächs übertragen; es wird nichts aufgezeichnet, die Aufnahmefunktion ist auch im Browser abgeschaltet, und Gesprächsinhalte werden nicht dauerhaft gespeichert. Für die Protokolle des Servers gilt die Frist aus Abschnitt 1. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Ob ich ein Gespräch mit Notion AI mitschreiben lasse, ist davon getrennt: Das geschieht nur mit Ihrer vorherigen Einwilligung, wie in Abschnitt 9 beschrieben.

Bestätigungen, Erinnerungen und Verifizierungscodes verschickt die Buchungsplattform per E-Mail an Sie und an die von Ihnen genannten Gäste. Diese Nachrichten enthalten Namen, Termin und Termintyp sowie gegebenenfalls den Link zur Videokonferenz. Versendet werden sie über den Mailserver der in Abschnitt 7 genannten netcup GmbH.

Wird eine bezahlte Beratung gebucht oder storniert, benachrichtigt mich die in Abschnitt 8 beschriebene, selbst betriebene n8n-Instanz per E-Mail und zusätzlich über Home Assistant, das ebenfalls in meinem eigenen Verantwortungsbereich läuft, mit einer Push-Nachricht auf mein Smartphone. Die E-Mail enthält die Angaben aus der Buchung einschließlich Rechnungsadresse, die Push-Nachricht Ihren Namen, Ihre Firma und den Termin. Die Push-Nachricht gelangt über eine eigene Verbindung, die wie diese Website über Cloudflare läuft (Abschnitt 2), direkt an die App auf meinem Smartphone; ein Push-Dienst Dritter ist nicht beteiligt. Die Ablaufsteuerung löscht die Daten nach sieben Tagen (Abschnitt 8).

Um nur freie Zeiten anzubieten, gleicht die Buchungsplattform Anfragen mit meinem Kalender ab, und jede Buchung wird dort als Termin eingetragen, mit Ihrem Namen, Ihrer E-Mail-Adresse, Termintyp und Zeitpunkt, den Angaben aus dem Buchungsformular und gegebenenfalls dem Link zur Videokonferenz. Diesen Kalender betreibe ich selbst auf eigener Hardware. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Gesetzliche Feiertage ruft der Server als öffentlichen Kalender über die Google Calendar API ab. Dieser Abruf läuft von Server zu Server und betrifft nur den öffentlichen Feiertagskalender; Daten über Sie oder Ihre Buchung gehen dabei nicht an Google.

Rechnungen für bezahlte Beratungen erstelle und verbuche ich in der Buchhaltungssoftware sevDesk der sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg, Deutschland. Dort werden Name, Rechnungsadresse, E-Mail-Adresse, die erbrachte Leistung, der Betrag und der Zahlungsstatus erfasst. sevDesk ist für mich als Auftragsverarbeiter nach Art. 28 DSGVO tätig; der Vertrag dazu liegt in der Fassung vom 10. Juni 2024 vor. Die Daten werden auf Servern in Deutschland und nach dem Vertrag ausschließlich in der Europäischen Union beziehungsweise im Europäischen Wirtschaftsraum verarbeitet. Die Unterauftragsverarbeiter nennt sevDesk unter sevdesk.de/datenschutz. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. c DSGVO in Verbindung mit den oben genannten Vorschriften.

Die Buchungsseite ist eine eigenständige Anwendung, lädt aber ebenfalls nichts von fremden Servern. Sie setzt nur Cookies, die mit dem Schließen des Browsers verfallen: einen zufälligen Wert (uid), mit dem der gewählte Zeitpunkt während der Buchung kurz für Sie freigehalten wird, und zwei Cookies des Anmeldesystems, die gefälschte Anfragen abwehren. Im lokalen Speicher Ihres Browsers legt sie Ihre Anzeigeeinstellungen ab, etwa Zeitzone und 12- oder 24-Stunden-Format. All das ist für die von Ihnen gewünschte Buchung unbedingt erforderlich und deshalb nach § 25 Abs. 2 Nr. 2 TDDDG einwilligungsfrei; Rechtsgrundlage der anschließenden Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO. Die Cookies, die Cloudflare zur Angriffserkennung setzen kann, beschreibt Abschnitt 3; sie können auch auf der Buchungsseite anfallen.

Kunden mit Zugang zum Kundenbereich finden dort die für sie freigegebenen, nicht öffentlich aufgeführten Termintypen. Name und E-Mail-Adresse aus den Stammdaten sind im Buchungslink als Teil der Adresse vorausgefüllt und werden erst übertragen, wenn Sie den Link öffnen; die Buchung selbst läuft dann wie oben beschrieben über die Buchungsseite. Außerdem zeigt der Kundenbereich Ihre bevorstehenden Termine an; wie das geschieht, steht in Abschnitt 11.

Buchungen werden sechs Monate nach dem Termin automatisch aus der Buchungsplattform gelöscht, einschließlich aller Angaben aus dem Buchungsformular; für die Einträge in meinem Kalender gilt dieselbe Frist. Entsteht ein Auftrag oder wurde eine bezahlte Beratung abgerechnet, gelten für die daraus entstandenen Unterlagen wie Rechnung und Korrespondenz die handels- und steuerrechtlichen Aufbewahrungsfristen aus Abschnitt 4, für Rechnungen und Buchungsbelege also acht Jahre und für Geschäftsbriefe sechs Jahre, jeweils gerechnet ab dem Ende des Kalenderjahres. Gesprächsinhalte aus dem Videokonferenzdienst werden nicht gespeichert. Für Ihre Rechte gelten die Abschnitte 14 bis 16 unverändert, auch für alle Angaben aus der Terminbuchung.

11. Kundenbereich

Kunden, mit denen ich zusammenarbeite, erhalten von mir einen Zugang zu einem eigenen Kundenbereich auf dieser Website, mit eigener Adresse und eigenem Passwort. Den Zugang lege ich selbst an; eine Registrierung gibt es nicht. Das Passwort wird nur als nicht umkehrbarer Hash gespeichert, ich kann es also nicht einsehen. Die Anmeldung erhalten die in Abschnitt 3 beschriebenen Cookies aufrecht. Statt mit dem Passwort können Sie sich auch mit einem Passkey anmelden; das beschreibt der nächste Absatz. Die Seiten des Kundenbereichs laden nichts von fremden Servern; die Content-Security-Policy aus Abschnitt 17 gilt auch hier.

Einen Passkey können Sie unter „Ihre Daten“ einrichten; dafür ist Ihr aktuelles Passwort nötig. Ob Sie das tun, entscheiden Sie selbst: Das Passwort bleibt daneben gültig, und ohne Passkey entsteht Ihnen kein Nachteil. Je Zugang gibt es genau einen Passkey; ein neuer ersetzt den bisherigen. Beim Einrichten erzeugt Ihr Gerät bzw. Ihr Passwortmanager ein Schlüsselpaar. Der private Schlüssel verlässt Ihr Gerät bzw. Ihren Passwortmanager nicht. Auch Fingerabdruck, Gesichtserkennung oder Geräte-PIN, mit denen Sie eine Anmeldung bestätigen, werden nur auf Ihrem Gerät geprüft und nicht an mich übertragen; ich erfahre nur, dass die Bestätigung stattgefunden hat. Bei mir gespeichert werden die Kennung des Passkeys, der öffentliche Schlüssel, ein Signaturzähler, an dem sich kopierte Schlüssel erkennen lassen, eine Bezeichnung, die Sie selbst vergeben oder die sonst aus Browser und Betriebssystem gebildet wird (etwa „Safari auf iOS“), die Zeitpunkte von Einrichtung und letzter Verwendung sowie eine Benutzerkennung, die aus Ihrer Kundennummer mit einem geheimen Schlüssel abgeleitet ist und für sich nichts über Sie aussagt. Eine Bestätigung des Geräteherstellers über Ihr Gerät frage ich nicht ab. Ihr Browser bzw. Passwortmanager legt den Passkey zusammen mit der Adresse Ihres Kundenbereichs und Ihrem Kundennamen ab, damit Sie ihn wiedererkennen; ob er von dort mit weiteren Geräten oder einem Konto beim Anbieter Ihres Geräts oder Passwortmanagers abgeglichen wird, richtet sich nach Ihren Einstellungen und liegt außerhalb meines Einflusses. Für jede Anmeldung und jedes Einrichten erzeugt der Server eine einmalige Zufallsaufgabe, die in Ihrer Sitzung (Cookie jt_kunde, Abschnitt 3) liegt, höchstens fünf Minuten gilt und mit ihrer Verwendung gelöscht wird; weitere Cookies entstehen dadurch nicht. Eine gescheiterte Anmeldung per Passkey zählt als Fehlversuch wie ein falsches Passwort (siehe unten). Sie können den Passkey unter „Ihre Daten“ jederzeit entfernen; die gespeicherten Angaben werden dann sofort gelöscht. Gelöscht werden sie außerdem, wenn Sie ihn durch einen neuen ersetzen, wenn Sie Ihr Passwort über „Passwort vergessen“ zurücksetzen – wer das tut, hat womöglich auch den Zugriff auf ein Gerät verloren – und wenn Ihr Kundenbereich gelöscht wird. Ein Passwortwechsel mit dem bisherigen Passwort und „Auf allen Geräten abmelden“ lassen ihn bestehen; deaktiviere ich Ihren Zugang, bleibt er ebenfalls gespeichert, eine Anmeldung damit ist dann aber nicht möglich. Über jedes Einrichten, Ersetzen und Entfernen erhalte ich eine E-Mail mit Ihrem Kundennamen, der Adresse Ihres Kundenbereichs, der Bezeichnung des Passkeys und dem Zeitpunkt, damit mir eine unbefugte Änderung auffällt; wird er beim Zurücksetzen des Passworts gelöscht, steht das in der Benachrichtigung über das Zurücksetzen. Den Passkey auf Ihrem Gerät löscht keiner dieser Schritte; das können nur Sie selbst in Ihrem Browser oder Passwortmanager.

Im Kundenbereich verarbeite ich Ihre Stammdaten: Firma, Ansprechperson, E-Mail-Adresse, Telefonnummer, Rechnungsadresse, Umsatzsteuer-Identifikationsnummer und gegebenenfalls eine abweichende E-Mail-Adresse für Rechnungen. Sie können sie dort selbst ändern; für eine neue E-Mail-Adresse ist das aktuelle Passwort nötig. Jede Änderung wird mit Zeitpunkt, Herkunft sowie altem und neuem Wert protokolliert, und ich erhalte eine E-Mail mit dem alten und dem neuen Stand, damit ich meine Unterlagen anpassen kann. Außerdem stelle ich Ihnen dort Dokumente zum Herunterladen bereit, etwa Verträge, und zeige Ihnen Ihre Wartungsverträge mit Leistungen, Laufzeit und Status. Dokumente liegen außerhalb des öffentlich abrufbaren Bereichs und lassen sich nur abrufen, wenn Sie als der jeweilige Kunde angemeldet sind.

Haben Sie Ihr Passwort vergessen, schicke ich Ihnen auf Anforderung einen Link an die hinterlegte E-Mail-Adresse. Er ist 60 Minuten gültig und nur einmal verwendbar; gespeichert wird davon nur ein nicht umkehrbarer Prüfwert, der nach der Verwendung oder dem Ablauf gelöscht wird. Über ein zurückgesetztes Passwort werde ich per E-Mail benachrichtigt, damit ein unbefugtes Zurücksetzen auffällt.

Um das Erraten von Passwörtern zu verhindern, halte ich Fehlversuche fest: ein falsches Passwort oder eine gescheiterte Anmeldung per Passkey, ein Cookie für „Angemeldet bleiben“ mit falschem Prüfwert (Abschnitt 3), ein falsches bisheriges Passwort beim Ändern von Passwort oder E-Mail-Adresse oder beim Einrichten eines Passkeys und eine nicht hinterlegte E-Mail-Adresse bei „Passwort vergessen“. Gespeichert werden dabei die gekürzte IP-Adresse (bei IPv4 die ersten drei Blöcke, bei IPv6 die ersten 48 Bit), der Zeitpunkt, die Art des Fehlversuchs und die aufgerufene Adresse des Kundenbereichs, dazu ein aus der vollständigen IP-Adresse gebildeter pseudonymisierter Prüfwert, der sich ohne meine Zugangsdaten nicht auf die Adresse zurückführen lässt; die vollständige IP-Adresse selbst wird nicht gespeichert. Nach drei nicht hinterlegten E-Mail-Adressen oder zehn der übrigen Fehlversuche in Folge werden Anmeldung, auch per Passkey, und „Passwort vergessen“ von dieser IP-Adresse aus für den gesamten Kundenbereich 24 Stunden gesperrt, und ich erhalte eine E-Mail mit gekürzter IP-Adresse, Zeitpunkt und aufgerufener Adresse. Damit auch Versuche von vielen verschiedenen IP-Adressen aus auffallen, zähle ich die Fehlversuche außerdem je Adresse des Kundenbereichs; dafür werden die aufgerufene Adresse, die gekürzte IP-Adresse und der Zeitpunkt gespeichert, ohne Prüfwert. Kommen innerhalb von 24 Stunden 20 Fehlversuche zusammen, erhalte ich höchstens einmal in 24 Stunden eine E-Mail mit der aufgerufenen Adresse, der Zahl der Fehlversuche und der Zahl der verschiedenen gekürzten IP-Adressen; gesperrt wird dadurch niemand. Sperren werden nach ihrem Ablauf gelöscht, Fehlversuche und die Zählung je Kundenbereich nach 24 Stunden; eine erfolgreiche Anmeldung oder eine passende Anforderung löscht die bisherigen Fehlversuche derselben Art sofort. Für meine Verwaltungsseite gilt stattdessen die Begrenzung aus Abschnitt 1.

Im Kundenbereich zeige ich Ihnen außerdem Ihre Dienste mit ihrem aktuellen Status, Ihre bevorstehenden Termine mit Titel, Datum, Uhrzeit und Dauer sowie die Stunden und Kosten des laufenden Monats. Diese Angaben stammen aus meinen eigenen Systemen für Monitoring, Terminbuchung und Zeiterfassung, die ich auf meinen eigenen Servern bzw. Geräten betreibe; das System für die Zeiterfassung läuft auf demselben Server wie diese Website bei der in Abschnitt 7 genannten netcup GmbH. Es kommen dafür keine neuen Empfänger hinzu. Für die Termine speichere ich die Buchungsadressen, die ich für Sie bestätigt habe: die E-Mail-Adresse, mit der ich Ihren Zugang angelegt oder die ich selbst in Ihre Stammdaten eingetragen habe, und gegebenenfalls weitere Adressen, unter denen Sie bei mir Termine buchen. Ich verwende sie nur, um Ihnen Ihre eigenen Termine anzuzeigen und eingehende Angebote Ihrem Kundenbereich zuzuordnen. Ändern Sie Ihre E-Mail-Adresse selbst, wird die neue Adresse dafür erst verwendet, wenn ich sie übernommen habe. Bei den Stunden und Kosten sehen Sie nur Summen je Projekt und, sofern vereinbart, Ihr Stundenkontingent des Monats mit Pauschale und Mehrstunden, keine Einzeleinträge. Lege ich Sie als Kunden an, wird Ihr Name auch im System für die Zeiterfassung angelegt oder mit einem dort vorhandenen Eintrag verknüpft. Die Abfragen laufen ausschließlich vom Server dieser Website aus; Ihr Browser verbindet sich mit keinem dieser Systeme. Die Antworten werden in der Datenbank des Kundenbereichs zwischengespeichert, höchstens 5 Minuten lang verwendet und danach gelöscht.

Angebote stelle ich Ihnen im Kundenbereich bereit, nachdem ich sie geprüft und freigegeben habe. Wie sie aus meiner Buchhaltungssoftware (Abschnitt 10) übernommen werden und wie ihre kurze Beschreibung durch Verarbeitung durch KI entsteht, steht in Abschnitt 8. Nummer, Positionen, Beträge, Textblöcke, die Empfängeradresse und die PDF-Datei werden auf dem Server dieser Website gespeichert. Nehmen Sie ein Angebot an, speichere ich als Nachweis den Namen, den Sie dabei eingeben, den Zeitpunkt, Ihre gekürzte IP-Adresse (wie oben) und den genauen Stand des Angebots, auf den sich Ihre Annahme bezieht: Nummer, Positionen, Beträge und einen Prüfwert der PDF-Datei. Lehnen Sie ein Angebot ab, speichere ich den Zeitpunkt, die gekürzte IP-Adresse, denselben Stand des Angebots und, wenn Sie ihn im freiwilligen Feld angeben, Ihren Grund; einen Namen verlange ich dafür nicht. Eine Entscheidung lässt sich danach nicht mehr ändern. Über jede Annahme und Ablehnung erhalte ich eine E-Mail mit diesen Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO für Bereitstellung, Annahme und Ablehnung des Angebots und Art. 6 Abs. 1 lit. f DSGVO für den Nachweis, gestützt auf mein berechtigtes Interesse, später belegen zu können, wer wann welchen Stand angenommen oder abgelehnt hat.

Unter „Aktuelles“ zeige ich Ihnen die in Abschnitt 8 beschriebene Zusammenfassung zu Ihren Projekten und unter „To-dos“ die in Abschnitt 9 beschriebenen Listen. Beides wird in der Datenbank des Kundenbereichs gespeichert, ebenso zurückgehaltene und ältere Fassungen der Zusammenfassung mit dem Ergebnis der Prüfung; Sie sehen immer nur die zuletzt veröffentlichte Fassung. Haken Sie einen Punkt auf Ihrer Liste ab, werden der Zeitpunkt und der Punkt gespeichert. Ein eigenes Häkchen können Sie innerhalb von 24 Stunden zurücknehmen. Ich erhalte über jedes Häkchen eine E-Mail mit dem Namen des Kunden und dem erledigten Punkt. Erledigte Punkte bleiben für Sie 30 Tage sichtbar.

Rechtsgrundlage für den Kundenbereich, die Stammdaten samt Änderungsprotokoll, die Dokumente und Wartungsverträge, die angezeigten Dienste, Termine, Stunden und Kosten, die To-dos, das Zurücksetzen des Passworts, die Anmeldung per Passkey und „Angemeldet bleiben“ ist Art. 6 Abs. 1 lit. b DSGVO, weil all das der Durchführung unseres Vertrags dient. Ist mein Vertragspartner ein Unternehmen, verarbeite ich die Angaben zu dessen Ansprechperson und zu Mitarbeitenden, die in To-dos oder Zusammenfassungen genannt sind, auf Grundlage von Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse, die Zusammenarbeit mit diesem Unternehmen über die Personen abzuwickeln, die es dafür benennt. Für das Festhalten von Fehlversuchen, die Sperren und die Benachrichtigungen darüber ist die Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO, gestützt auf mein berechtigtes Interesse an der Sicherheit des Kundenbereichs und der darin abgelegten Daten.

Alle Daten des Kundenbereichs liegen auf dem Server dieser Website bei der in Abschnitt 7 genannten netcup GmbH in Deutschland. Wie jeder Aufruf dieser Website laufen auch Anmeldung, Eingaben und das Herunterladen von Dokumenten über Cloudflare; es gilt Abschnitt 2. Die Benachrichtigungen an mich – über geänderte Stammdaten, ein zurückgesetztes Passwort, einen eingerichteten, ersetzten oder entfernten Passkey, Sperren, gehäufte Fehlversuche, angenommene oder abgelehnte Angebote und abgehakte To-dos – erreichen mein geschäftliches Postfach; für dieses gilt Abschnitt 8.

Stammdaten, Änderungsprotokoll, Dokumente, Wartungsverträge, Buchungsadressen, Zuordnungen von Diensten und Termintypen, Zusammenfassungen und To-dos bleiben für die Dauer der Geschäftsbeziehung gespeichert. Endet der Vertrag bzw. die Geschäftsbeziehung, lösche ich alle Daten Ihres Kundenbereichs, einschließlich des Zugangs samt Passkey und Einträgen für „Angemeldet bleiben“ und der Dokumente, ebenso alle abgelehnten, offenen, verworfenen und abgelaufenen Angebote samt ihren PDF-Dateien und einem etwaigen Nachweis über eine Ablehnung. Im Kundenbereich bleiben nur angenommene Angebote – mit ihren Positionen, dem Nachweis über die Annahme samt dem dabei festgehaltenen Stand und der PDF-Datei – als Beleg für die Annahme erhalten. Ich bewahre sie sechs Jahre auf, gerechnet ab dem Ende des Kalenderjahres, in dem das Angebot angenommen wurde, und lösche sie danach; Rechtsgrundlage ist dann Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit § 147 AO und, soweit anwendbar, § 257 HGB. Die Angebote selbst liegen außerdem in meiner Buchhaltungssoftware (Abschnitt 10) und unterliegen dort den Aufbewahrungsfristen aus Abschnitt 4. Das Löschen des Kundenbereichs erfasst meine übrigen Systeme nicht; für Buchhaltung, Notizen und Terminbuchung gelten die Fristen der jeweiligen Abschnitte. Die Einträge in meiner Zeiterfassung sind Grundlage meiner Rechnungen und werden beim Löschen des Kundenbereichs nicht gelöscht. Sie bleiben gespeichert, solange ich die Zeiterfassung nutze; eine Löschung allein durch Zeitablauf findet dort nicht statt, gelöscht wird nur nach den Löschregeln der Zeiterfassung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b und lit. f DSGVO, soweit gesetzliche Aufbewahrungspflichten bestehen, zudem lit. c. E-Mails über eine Sperre oder über gehäufte Fehlversuche lösche ich spätestens 30 Tage nach Eingang. Die übrigen Benachrichtigungen behandle ich wie meine übrige Geschäftskorrespondenz: Ich lösche sie, sobald der Vorgang erledigt ist, es sei denn, eine Benachrichtigung ist ausnahmsweise als Geschäftsbrief aufzubewahren, etwa zur Annahme eines Angebots; dann gelten die Fristen aus Abschnitt 4.

12. Speicherdauer im Überblick

Server-Logdaten und die Aufrufe von Kurzlinks werden spätestens nach 30 Tagen gelöscht. Der Prüfwert zur Begrenzung der Formularübermittlungen wird in der Regel nach 24 Stunden gelöscht. Der Zähler fehlgeschlagener Anmeldeversuche auf der Verwaltungsseite wird nach einer erfolgreichen Anmeldung sofort, sonst in der Regel 24 Stunden nach dem letzten Versuch gelöscht. Cookies, die Cloudflare zur Angriffserkennung setzt, laufen nach Minuten bis wenigen Stunden ab. Das Sitzungs-Cookie der Verwaltungsseite verfällt, wenn Sie den Browser schließen. Das Cookie für „Angemeldet bleiben“ auf der Verwaltungsseite und sein Eintrag auf dem Server gelten 30 Tage ab der letzten Verwendung; Passkeys der Verwaltungsseite bleiben gespeichert, bis ich sie entferne. Die Anweisung für Fehlerberichte (Network Error Logging) speichert Ihr Browser höchstens sieben Tage. Die Sprachwahl bleibt in Ihrem Browser, bis Sie sie dort löschen. Anfragen ohne nachfolgenden Auftrag lösche ich sechs Monate nach dem letzten Schriftwechsel. Anfragen mit nachfolgendem Auftrag bleiben für die Dauer der gesetzlichen Aufbewahrungsfristen erhalten und werden danach gelöscht. Notizen und Besprechungszusammenfassungen in Notion folgen denselben Fristen wie der Vorgang, zu dem sie gehören. Die Tonaufnahme einer Besprechung wird nach der Verarbeitung nicht dauerhaft gespeichert; schlägt die Verarbeitung fehl, bleibt sie höchstens drei Tage erhalten. Das Transkript einer Besprechung lösche ich, sobald die Zusammenfassung erstellt und geprüft ist, spätestens jedoch 30 Tage nach der Besprechung. WhatsApp-Verläufe ohne nachfolgenden Auftrag lösche ich sechs Monate nach der letzten Nachricht, auf allen meinen Geräten. Verläufe mit Auftragsbezug werden in ihren geschäftlich relevanten Teilen außerhalb der App gesichert, dort den gesetzlichen Aufbewahrungsfristen unterworfen und in der App selbst gelöscht. Buchungen über die Buchungsseite werden sechs Monate nach dem Termin gelöscht; Rechnungen und Buchungsbelege bezahlter Beratungen bleiben acht Jahre erhalten. Inhalte von Videogesprächen über den Videokonferenzdienst werden nicht gespeichert. Die Daten einzelner Durchläufe der Ablaufsteuerung n8n werden nach sieben Tagen gelöscht. Das Sitzungs-Cookie des Kundenbereichs verfällt mit dem Schließen des Browsers und mit dem Abmelden; auf dem Server endet die Anmeldung nach 12 Stunden ohne Aufruf, spätestens 14 Tage nach der Anmeldung. Das Cookie für „Angemeldet bleiben“ im Kundenbereich und sein Eintrag auf dem Server gelten 30 Tage ab der letzten Verwendung; abgelaufene Einträge werden beim nächsten Aufruf einer Seite des Kundenbereichs gelöscht. Sie entfallen früher mit dem Abmelden auf diesem Gerät, einer Änderung oder dem Zurücksetzen des Passworts, „Auf allen Geräten abmelden“ sowie dem Deaktivieren oder Löschen des Zugangs. Ein Passkey im Kundenbereich bleibt gespeichert, bis Sie ihn entfernen oder ersetzen, Ihr Passwort über „Passwort vergessen“ zurücksetzen oder der Kundenbereich gelöscht wird; die Zufallsaufgabe für eine Anmeldung mit Passkey gilt höchstens fünf Minuten. Fehlversuche bei der Anmeldung im Kundenbereich und ihre Zählung je Kundenbereich werden nach 24 Stunden gelöscht, Sperren nach ihrem Ablauf von 24 Stunden; E-Mails über Sperren und gehäufte Fehlversuche lösche ich spätestens nach 30 Tagen. Ein Link zum Zurücksetzen des Passworts ist 60 Minuten gültig; sein Prüfwert wird nach Verwendung oder Ablauf gelöscht. Zwischengespeicherte Angaben zu Diensten, Terminen, Stunden und Kosten werden höchstens 5 Minuten verwendet und danach gelöscht. Übrige Benachrichtigungen aus dem Kundenbereich lösche ich, sobald der Vorgang erledigt ist, soweit sie nicht als Geschäftsbrief aufzubewahren sind. Stammdaten, Änderungsprotokoll, Dokumente, Wartungsverträge, Zusammenfassungen und To-dos des Kundenbereichs bleiben für die Dauer der Geschäftsbeziehung gespeichert und werden nach deren Ende zusammen mit dem Zugang und allen nicht angenommenen Angeboten samt PDF-Dateien gelöscht. Angenommene Angebote samt Nachweis über die Annahme bleiben im Kundenbereich sechs Jahre ab dem Ende des Kalenderjahres der Annahme erhalten. Einträge in der Zeiterfassung bleiben erhalten, solange sie für die Abrechnung und zur Erfüllung gesetzlicher Aufbewahrungspflichten benötigt werden. Wo eine Löschung technisch nicht sofort möglich ist, etwa in Sicherungskopien, wird die Verarbeitung eingeschränkt und die Löschung mit dem nächsten Zyklus nachgeholt.

13. Keine automatisierte Entscheidungsfindung

Es findet keine automatisierte Entscheidungsfindung im Einzelfall einschließlich Profiling nach Art. 22 Abs. 1 und 4 DSGVO statt. Das gilt auch für die in Abschnitt 9 beschriebenen Besprechungszusammenfassungen und den in Abschnitt 8 beschriebenen Einsatz von Systemen künstlicher Intelligenz: Diese bereiten allenfalls vor, sie entscheiden nicht. Auch die automatisch veröffentlichten Zusammenfassungen im Kundenbereich (Abschnitt 8) informieren nur über den Stand von Projekten; sie entfalten Ihnen gegenüber keine rechtliche Wirkung und beeinträchtigen Sie nicht in ähnlicher Weise erheblich. Ob Sie ein Angebot im Kundenbereich annehmen oder ablehnen, entscheiden Sie selbst.

14. Ihre Rechte

Sie haben mir gegenüber das Recht auf Auskunft über die zu Ihnen verarbeiteten Daten (Art. 15 DSGVO), auf Berichtigung unrichtiger Daten (Art. 16), auf Löschung (Art. 17), auf Einschränkung der Verarbeitung (Art. 18) und auf Herausgabe der von Ihnen bereitgestellten Daten in einem gängigen, maschinenlesbaren Format (Art. 20). Eine formlose Nachricht an kontakt@jason-talge.de genügt; ein Formular gibt es nicht und wird nicht verlangt. Ich antworte unverzüglich, spätestens innerhalb eines Monats. Sollte die Bearbeitung ausnahmsweise länger dauern, teile ich Ihnen das innerhalb dieser Frist unter Angabe der Gründe mit. Die Ausübung dieser Rechte ist für Sie kostenlos.

15. Widerspruchsrecht

Soweit ich personenbezogene Daten auf Grundlage berechtigter Interessen nach Art. 6 Abs. 1 lit. f DSGVO verarbeite, haben Sie das Recht, aus Gründen, die sich aus Ihrer besonderen Situation ergeben, jederzeit Widerspruch gegen diese Verarbeitung einzulegen. Das betrifft insbesondere die Server-Logdaten, die Absicherung über Cloudflare einschließlich der Fehlerberichte über Network Error Logging, die Missbrauchsabwehr beim Kontaktformular, die Absicherung der Verwaltungsseite gegen das Durchprobieren von Passwörtern, das Festhalten von Fehlversuchen und die Sperren im Kundenbereich, den Nachweis über die Annahme oder Ablehnung von Angeboten, die Verarbeitung der Angaben zu Ansprechpersonen und Mitarbeitenden von Kunden, die Übertragung von Telefonnummern aus meinem Adressbuch durch die WhatsApp Business App, die Auswertung von Kurzlinks, die Ablage von Notizen in Notion, die Bestätigung der E-Mail-Adresse vor bezahlten Beratungen, die Verarbeitung der Angaben zu Gästen und Ansprechpersonen bei der Terminbuchung und die in Abschnitt 8 beschriebene KI-gestützte Verarbeitung eingehender Nachrichten, Rechnungen und Belege sowie von Angeboten und Notizen für den Kundenbereich. Legen Sie Widerspruch ein, verarbeite ich die betroffenen Daten nicht mehr, es sei denn, ich kann zwingende schutzwürdige Gründe nachweisen, die Ihre Interessen, Rechte und Freiheiten überwiegen, oder die Verarbeitung dient der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Für den Widerspruch genügt eine Nachricht an kontakt@jason-talge.de. Eine Form ist nicht vorgeschrieben, und eine Begründung müssen Sie nur insoweit geben, dass Ihre besondere Situation erkennbar wird. Gesondert davon steht die Aufzeichnung von Besprechungen: Sie beruht nicht auf berechtigtem Interesse, sondern auf Ihrer Einwilligung, und diese können Sie nach Art. 7 Abs. 3 DSGVO jederzeit widerrufen – formlos an dieselbe Adresse, ohne Nachteil und mit Wirkung für die Zukunft.

16. Beschwerderecht

Unbeschadet anderer Rechtsbehelfe steht Ihnen das Recht zu, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren. Zuständig für mich ist das Bayerische Landesamt für Datenschutzaufsicht, Promenade 18, 91522 Ansbach. Sie können sich aber ebenso an die Aufsichtsbehörde Ihres gewöhnlichen Aufenthaltsorts, Ihres Arbeitsplatzes oder des Orts des mutmaßlichen Verstoßes wenden.

17. Datensicherheit

Die Verbindung zu dieser Website ist durchgehend mit TLS verschlüsselt; Aufrufe über unverschlüsseltes HTTP werden umgeleitet. Abgesehen vom Turnstile-Skript aus Abschnitt 4 lädt die Seite keine Inhalte von fremden Servern; das wird durch eine Content-Security-Policy technisch erzwungen und nicht nur zugesagt. Zugänge zu Postfach und Servern sind mit starken Passwörtern und, wo verfügbar, mit einem zweiten Faktor gesichert. Einen vollständigen Schutz kann niemand versprechen, aber der Aufwand steht in einem angemessenen Verhältnis zum Risiko, wie es Art. 32 DSGVO verlangt.

18. Stand und Änderungen

Diese Erklärung hat den Stand vom 23. Oktober 2026. Sie wird angepasst, wenn sich die beschriebenen Verarbeitungen ändern, insbesondere bevor die in Abschnitt 9 als geplant beschriebene Verarbeitung tatsächlich beginnt. Die jeweils geltende Fassung finden Sie stets unter dieser Adresse.

Privacy notice

This English version is a translation provided for convenience. In case of doubt, the German version applies.

This website works without tracking, without advertising networks and without embedded third-party content. Fonts and icons are served from my own server. A content security policy prevents anything from being loaded from external sources; the only exception is the contact form's spam protection, described in section 4. Personal data is nevertheless processed: when the page is technically requested, when it is protected against attacks, and when you write to me, book an appointment or, as a client, use the client area. What follows sets out which data that is, what I base the processing on, who besides me gets to see it, and how long it is kept.

Controller

Jason Talge · JT – Softwareentwicklung
Schlesier Str. 3, 96103 Hallstadt, Germany
kontakt@jason-talge.de · +49 152 39604386

1. Server log data

When this website is accessed, the service providers involved process technically necessary access data: IP address, date and time, the address requested, the HTTP status code, the volume of data transferred, the referring page, and browser and operating system identifiers. A page cannot be delivered without this. In addition, the web server keeps an error log. Where the website records an event there, for instance a failed contact form submission or a failed sign-in attempt, the entry is prefixed with your IP address. The legal basis is my legitimate interest in a reachable, functioning site that is protected against attacks (Art. 6(1)(f) GDPR). The data is not merged with other sources, is not used to build usage profiles, and is deleted after 30 days at the latest. The one exception is where a specific suspicion of an attack makes it necessary to keep individual entries longer in order to investigate. The same applies to my further services under subdomains of jason-talge.de. These include a converter for Notion text at notion2html.jason-talge.de: whatever you paste there is converted exclusively in your browser and is not transmitted to my server; only the access data named here is processed.

At jason-talge.de/admin there is a password-protected administration page used only by me; I also manage the client area described in section 11 there. It is not linked anywhere, but anyone can open it. So that nobody can try out passwords there, the server counts failed sign-in attempts, including those made with a passkey or with an invalid “stay signed in” cookie (section 3), wrong passwords when confirming changes, rejected confirmation codes and requests to reset the password per IP address. After five failed attempts within 15 minutes, sign-in from that address is temporarily blocked; reset requests are limited in addition. A reset request only triggers a message to my own mailbox. For this limit, only the times of the attempts are stored. Your IP address is not stored in plain text, only as a pseudonymised check value that cannot be traced back to the address without my credentials. After a successful sign-in the counter is deleted immediately, otherwise as a rule 24 hours after the last attempt. The server also records failed sign-ins, blocks and reset requests in the error log; the preceding paragraph applies to that. Instead of a password and confirmation code, I can also sign in there with a passkey of the kind described for the client area in section 11. For each passkey, only its identifier, the public key, a signature counter, a label and the times of setup and last use are stored, together with a random user identifier; the private key and the confirmation on the device remain on my device. I remove these passkeys individually on the administration page or all at once directly on the server. They concern only me and my own devices. The data stays on this website's server with the hosting provider named in section 7 and is not passed on to anyone. The legal basis is my legitimate interest in protecting the administration of this website against unauthorised access (Art. 6(1)(f) GDPR). The cookies set by the administration page are described in section 3.

2. Delivery and protection via Cloudflare

All traffic to this website passes through the network of Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA, represented in the European Union by Cloudflare Germany GmbH, Rosental 7, 80331 Munich, Germany. Cloudflare acts as an upstream service that receives requests, inspects them for malicious traffic, absorbs denial-of-service attacks and delivers the content to your browser. In doing so, Cloudflare terminates the encrypted connection. This means Cloudflare sees your IP address and the transmitted content in plain text, including whatever you enter into the contact form. The legal basis is my legitimate interest in fending off attacks and in fast, reliable delivery (Art. 6(1)(f) GDPR). Cloudflare acts for me as a processor under Art. 28 GDPR; a corresponding agreement including the European Commission's standard contractual clauses is in place.

Cloudflare also uses a feature called Network Error Logging. With the responses of this website, Cloudflare gives your browser an instruction that the browser stores for up to seven days. If a request fails during that time, for instance because of a connection or name resolution error, a browser that supports this feature may send an error report to a.nel.cloudflare.com. The report contains the address requested, the referring page, the type and time of the error and the address of the server requested; on receipt, Cloudflare also sees your IP address and browser identifier. Successful requests are not reported. The reports serve to detect delivery failures. The legal basis is my legitimate interest in a reliably reachable website (Art. 6(1)(f) GDPR); the agreement and third-country arrangements of this section apply.

Because Cloudflare, Inc. is based in the United States, personal data is transferred to a third country. Cloudflare, Inc. is certified under the EU-U.S. Data Privacy Framework, so the transfer is based on the adequacy decision of the European Commission pursuant to Art. 45 GDPR. In addition, and should that certification lapse or the decision be annulled, the standard contractual clauses under Art. 46(2)(c) GDPR apply. You can obtain a copy of the agreed safeguards on request at kontakt@jason-talge.de. Despite these safeguards it cannot be entirely ruled out that US authorities access the data. Details are set out in Cloudflare's privacy notice at cloudflare.com/privacypolicy. Everything in this section applies equally to the booking page at cal.jason-talge.de and the video conferencing service at meet.jason-talge.de, both described in section 10, and to the client area described in section 11. This includes the queries that this website's server sends to my own systems for the client area, a synchronisation triggered from the administration page, and the transfer of summaries and to-dos to the client area. These connections also run through Cloudflare, so Cloudflare also processes their content.

3. Cookies and storage on your device

I set no cookies for analytics or advertising and none for recognition beyond a single visit – with the exception of the “stay signed in” function, which you can expressly choose when signing in to the client area. Cloudflare may, however, set cookies as part of its attack detection, in particular __cf_bm to tell automated traffic from human traffic and cf_clearance to record that a security check has been passed. Whether and when this happens depends on the traffic observed. These cookies contain no information that would allow your behaviour to be tracked across websites, and they are short-lived. They are strictly necessary for this service to be provided securely at all, which is why no consent is obtained for them under § 25(2) no. 2 TDDDG. The legal basis for the subsequent processing is Art. 6(1)(f) GDPR.

I set cookies of my own only on the administration page described in section 1 and in the client area described in section 11. On the administration page: anyone who opens jason-talge.de/admin receives the session cookie jt_admin, even without signing in. It contains a random session identifier, is sent only with requests below /admin and not to the other pages of this website, and expires when you close your browser. It protects the sign-in form against forged requests and keeps the session alive after sign-in. Because the sign-in form cannot be provided securely without this protection, the cookie requires no consent under § 25(2) no. 2 TDDDG. The legal basis for the subsequent processing is Art. 6(1)(f) GDPR, based on my interest in an administration secured against misuse.

If I tick “stay signed in” when signing in to the administration page, my browser additionally receives the cookie jt_admin_keep; without the tick it is not set. It too is sent only with requests below /admin, contains a random identifier and a random check value, and signs me back in after the session has ended without my entering the password again; the check value is replaced each time. It is valid for 30 days from the last such sign-in. On the server, only a non-reversible check value, the times of setup, last use and expiry, and a short indication of browser and operating system, such as “Firefox on Linux”, are kept per device, so that I can tell my signed-in devices apart; no IP address is stored for this. The entry is removed when I sign out on that device, when I sign out that device or all devices on the administration page, and with every change to my credentials. This cookie, too, concerns only me as the sole user of the administration page. Because it is set only at my express request and is strictly necessary for exactly this service, I rely on § 25(2) no. 2 TDDDG; the legal basis for the subsequent processing is Art. 6(1)(f) GDPR.

The client area sets the cookie jt_kunde. You receive it as soon as you open the address of a client area, that is already with the login form, and also when you open an address that merely looks like that of a client area, because the same login form appears there. It contains only a random session identifier with no meaning of its own. Before login it protects the form against forged requests from other sites; after login it records that you are logged in, so that you do not have to enter your password on every visit. It expires when you close your browser; it is deleted immediately when you log out. Independently of this, the login ends on the server after 12 hours without a request, and in any event 14 days after login. Your browser sends the cookie with every request to this website, but it is evaluated only in the client area. The associated session data on the server becomes invalid after 12 hours without a request and is then deleted automatically. The cookie is strictly necessary for the service you expressly request by opening the client area and therefore requires no consent under § 25(2) no. 2 TDDDG. The legal basis for the subsequent processing is Art. 6(1)(b) GDPR for the login of clients and Art. 6(1)(f) GDPR for protecting the form, based on my interest in access secured against misuse.

If you choose “Stay signed in (30 days)” when logging in to the client area, I additionally set the cookie jt_kunde_keep; without that choice it is not set. It contains a random identifier and a random check value with no meaning of their own. If your session has ended, for instance because you closed your browser, it signs you back in without a password the next time you open your client area; the check value is replaced each time. The cookie is valid for 30 days from the last time it signed you in this way. Like jt_kunde, your browser sends it with every request to this website, but it is evaluated only in the client area. On the server I store per device only a non-reversible check value, the link to your access, a counter that binds the entry to the current state of your credentials, and the times of setup, last use and expiry; I store no details of browser, device or IP address for this. At most ten devices stay signed in this way at the same time; if another one is added, the entry unused for the longest time is removed. Logging out deletes the cookie and the entry for that device. All entries for your access are removed when you change or reset your password, when you choose “Sign out on all devices” in the client area, and when I deactivate or delete your access; if you change your password on a device on which you stayed signed in, only that device receives a new entry. Expired entries are worthless and are deleted automatically the next time any page of the client area is requested, by whomever. If someone presents a cookie with a wrong check value, this points to a copy: the entry is then deleted immediately, and the event counts as a failed attempt under section 11. Because you expressly request this cookie and it is strictly necessary for exactly this service, it requires no consent under § 25(2) no. 2 TDDDG. The legal basis for the subsequent processing is Art. 6(1)(b) GDPR. You can end the function at any time by logging out or deleting the cookie in your browser.

Your browser also stores the instruction for error reports (Network Error Logging) described in section 2. It contains no identifier by which you could be recognised and expires after seven days at most. I rely on § 25(2) no. 2 TDDDG for this, because it serves solely to detect failures in delivering this website; the legal basis for the subsequent processing is Art. 6(1)(f) GDPR.

Your language choice between German and English is stored in your browser's local storage so the site appears in the same language on your next visit. This too requires no consent under § 25(2) no. 2 TDDDG, because you made the setting yourself and it does nothing but carry out your own choice. The entry is not transmitted to me, is not evaluated and never leaves your device. You can delete it at any time through your browser settings. What is stored on the booking page at cal.jason-talge.de is set out in section 10.

4. Contact form

Through the form on the home page you send me your name, email address and message, plus optionally your company, phone number and topic. Name, email address and message are mandatory, because otherwise I cannot reply; everything else is voluntary. You are under no statutory or contractual obligation to give me this data. Without it, however, no enquiry can be made, and you suffer no disadvantage from withholding it.

In addition to what you type, I process technical accompanying data when you submit the form and include it in the notification email: the date and time of submission, the language setting, and the page you submitted the form from. This helps me place the enquiry and answer it in the right language. Your IP address is expressly not included in that email. To repel abusive bulk submissions I limit the number of submissions per hour. No plain text is stored for this, only a pseudonymised check value derived from IP address and hour, which is as a rule deleted after 24 hours. If that limit is triggered, the server log additionally records the network prefix of your address (the first three blocks for IPv4, the first 48 bits for IPv6); the period stated in section 1 applies to it. The form also contains a field invisible to humans and a minimum interval between page load and submission; both detect automated submissions without asking you anything. Before submission there is additionally a check by Cloudflare Turnstile. For this your browser loads a script from challenges.cloudflare.com – the only external source on this website. Cloudflare assesses technical characteristics of your device and browser to judge whether the submission comes from a human; your IP address, browser and operating system details and interaction characteristics are transmitted in the process. As a rule the check stays invisible; only in doubtful cases does a prompt appear. The result is passed to my server as a single-use check value and verified there with Cloudflare; in doing so, my server additionally transmits your IP address to Cloudflare so that it can be checked whether the check value belongs to this submission. Without a passed check the enquiry is not sent. Turnstile builds no advertising profiles and does not serve cross-site recognition. The legal basis is my legitimate interest in a contact route that bulk submissions cannot render useless (Art. 6(1)(f) GDPR); for the check itself Cloudflare acts as my processor under Art. 28 GDPR, under the agreement named in section 2. According to its own statements, Cloudflare additionally uses the characteristics collected during the check – in particular IP address, browser identifier and technical connection characteristics – to improve its detection of automated traffic. To that extent Cloudflare does not act on my behalf but as a controller in its own right, relying on its own legitimate interest; details are available at cloudflare.com/turnstile-privacy-policy. Insofar as information is stored on or read from your device for the check, this requires no consent under § 25(2) no. 2 TDDDG, because the check is strictly necessary for the service you expressly requested – submitting this form.

The legal basis for handling your enquiry is Art. 6(1)(b) GDPR where it concerns a contract or steps taken prior to entering into one, and otherwise Art. 6(1)(f) GDPR, based on my legitimate interest in answering messages addressed to me. For the accompanying data and abuse prevention described above, the legal basis is Art. 6(1)(f) GDPR, based on my interest in not losing the endpoint as a relay for other people's mail. I deliberately do not obtain consent for any of this: you would have no genuine choice, because without this data I simply cannot reply.

Your message reaches me by email and stays in my mailbox. If the enquiry does not lead to an engagement, I delete it six months after the last correspondence. If it does lead to an engagement, it becomes part of the business correspondence and is subject to commercial and tax retention periods, as a rule six years for business letters, eight years for accounting vouchers and ten years for books and financial statements, each counted from the end of the relevant calendar year. The legal basis for retention is then Art. 6(1)(c) GDPR in conjunction with § 147 AO and, where applicable, § 257 HGB.

5. Contact by email, phone and WhatsApp

If you contact me directly by email or phone, I process the details involved in order to deal with your request. The legal basis is Art. 6(1)(b) GDPR where there is a contractual context, and otherwise Art. 6(1)(f) GDPR.

The WhatsApp buttons on this website are plain links to wa.me. Nothing is loaded from Meta when the page is built and no connection to Meta is established. Only when you click does your browser call up wa.me; in doing so your IP address and the page you came from are transmitted to Meta, and WhatsApp opens with the prepared chat.

For me WhatsApp is not merely a link but a channel I genuinely use. I use the WhatsApp Business app on a smartphone for this. Whether the channel is used at all is entirely your decision: I never message anyone through WhatsApp unprompted. If you write to me by email, I reply by email. I communicate via WhatsApp only if you message me there first or expressly ask me to. Email and phone are available as equivalent routes, are just as fast and lead to the same outcome. At no point is WhatsApp a precondition for working with me, receiving a quote or carrying out a project.

If you write to me via WhatsApp, I process the content of our messages, your phone number, the profile name you have set and, where present, your profile picture and status text, as well as any files, images or voice messages you send me. Added to that are technical accompanying data such as send and receive timestamps and delivery and read receipts. The legal basis is Art. 6(1)(b) GDPR where the communication concerns a contract or steps taken prior to entering into one, and otherwise Art. 6(1)(f) GDPR, based on my legitimate interest in replying by the route you chose.

The service is provided by WhatsApp Ireland Limited, Merrion Road, Dublin 4, Ireland. It is itself the controller for everything that happens within its system and does not act as a processor for me. For the free WhatsApp Business app the provider also offers no processing agreement under Art. 28 GDPR; no such agreement therefore exists between us, and I do not claim otherwise here. This means I have no influence over what data the provider collects about the use of the service, how long it stores that data, or which other Meta group services it links it with. I am responsible for what I do with your messages myself, and for offering this channel at all. What processing takes place at the provider beyond that is set out in its privacy policy at whatsapp.com/legal/privacy-policy-eea.

My recipient is therefore a company within the European Union. WhatsApp Ireland Limited is, however, part of the Meta group and passes data on within the group to Meta Platforms, Inc. in the United States. That onward transfer takes place under the provider's responsibility, not mine; according to its own statements it is based on the EU-U.S. Data Privacy Framework and, in addition, on standard contractual clauses. I point this out because you should know it before choosing this channel, not because I am in a position to influence it.

The content of our messages is end-to-end encrypted. The provider cannot read it in transit. What is not encrypted, however, is the traffic and connection data: who wrote to whom and when, how often and for how long, together with device and network information and online and last-seen times. Such metadata allows relationships and habits to be inferred even without anyone knowing the content. On top of that, messages are stored unencrypted on both devices, and an operating system backup service can undo the encryption unless the backup is itself encrypted. If that goes too far for a particular topic, please write to me by email; for confidential documents, email or a transfer route I provide is the better choice.

The WhatsApp Business app has access to the address book on my device. As a result, the phone numbers stored there are transmitted to the provider at regular intervals and matched against its user base, so that the app can tell which contacts are reachable through the service. Numbers belonging to people who do not use WhatsApp themselves and who never agreed to this transfer are transmitted too. I am the controller for this transfer, because my use of the app is what triggers it. I base it on Art. 6(1)(f) GDPR, on my interest in a functioning communication channel. If you do not want your phone number transmitted in this way, please write to me at kontakt@jason-talge.de. I will then remove it from the address book on that device and keep in touch exclusively by email or phone.

The chat histories remain stored on my own devices. Messages are processed by AI, namely included in the sorting and summarisation described in section 8 and analysed in individual cases; their content is transmitted in the process to the provider named there. If the contact does not lead to an engagement, I delete the history six months after the last message. If it does lead to an engagement, I save the business-relevant parts outside the app and keep them like other business correspondence under the periods set out in section 4; the history on my devices is deleted afterwards as well. You may ask me at any time to delete a history earlier, provided no statutory retention obligation stands in the way. What the provider stores on its own systems independently of this is beyond my knowledge and my access.

6. Social media profiles and links to other websites

This website contains links to my profiles on LinkedIn and GitHub. These are ordinary links, not embedded content: as long as you do not click, nothing is loaded from there and no data flows there. If you do click, your browser leaves this website; from that moment the respective provider's privacy notice applies, and that provider learns your IP address and which page you came from. The operators are LinkedIn Ireland Unlimited Company, Wilton Plaza, Wilton Place, Dublin 2, Ireland, and GitHub, Inc., 88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA.

For some links I use short links at link.jason-talge.de. They run on the link shortener Shlink, which I operate myself on my own hardware. When you open such a link, the service stores the time, the short link opened, browser and operating system identifiers, the page you came from and your IP address – the latter only in shortened form, so that it can no longer be attributed to your connection. No location lookup takes place and no cookies are set. The service then forwards you to the destination. The purpose is to see how often a link is used. The legal basis is my legitimate interest in this evaluation (Art. 6(1)(f) GDPR). The stored visits are deleted after 30 days.

Independently of this website I maintain profiles and channels with further providers: Instagram (Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Ireland), YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland), Twitch (Twitch Interactive, Inc., 350 Bush Street, 2nd Floor, San Francisco, CA 94104, USA) and TikTok (TikTok Technology Limited, 10 Earlsfort Terrace, Dublin, D02 T380, Ireland, jointly responsible with TikTok Information Technologies UK Limited). If you visit one of these profiles, the providers process your data on their own responsibility and under their own terms. I have no influence over this and no access to the underlying data. Note that Twitch is based in the USA and names no separate controller for the European Economic Area.

Insofar as a provider makes statistics about the use of my profile available to me, we are joint controllers for that part of the processing under Art. 26 GDPR (cf. CJEU, judgment of 5 June 2018, C-210/16). These statistics are aggregated and allow no conclusions about individual people; I use them solely to see which posts attract interest. The legal basis is my legitimate interest in an effective public presence (Art. 6(1)(f) GDPR). Your rights under Chapter III of the GDPR – in particular access, erasure and objection – are most effectively asserted directly with the respective provider, because only that provider holds the data and has the technical means. You may equally address them to me, however, and I will pass your request on. If you send me a message through one of these profiles, I treat its content like an enquiry by email; the information in section 5 applies accordingly.

7. Recipients and processors

I do not pass personal data to third parties for advertising, trading or analytics purposes. It is not sold and not matched against external datasets. Involved, however, are the service providers who make the operation of this website, my mailbox, my working environment and my bookkeeping possible in the first place. Each acts on my instructions, under a processing agreement pursuant to Art. 28 GDPR, and may not use the data for any purpose of its own.

There are currently five: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Germany, which hosts this website, in doing so also stores the data of the client area and of my time tracking (section 11), and also provides the mailbox through which your enquiry is delivered and stored – its servers are located in Germany or the European Union; Cloudflare, Inc., with the role and conditions described in section 2; Notion Labs, Inc., where I keep notes and meeting summaries – its role and conditions are described in section 9; Anthropic Ireland, Limited, whose language models sort and summarise incoming messages for me and recognise invoices and receipts – its role and conditions are described in section 8; and sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg, Germany, in whose accounting software I create invoices and book receipts – its role and conditions are described in section 10. Beyond this circle, data is disclosed only where I am legally obliged to do so, for instance to public authorities or courts, or where it is necessary to enforce my rights.

WhatsApp Ireland Limited stands apart from these. It is not a processor but a controller in its own right, processing alongside me rather than for me. It therefore receives no data on my instructions, only what necessarily arises from use of the service – and only if you choose that channel. Details are set out in section 5. The same applies to the providers with which I maintain profiles: they too process on their own responsibility and not on my instructions; details are set out in section 6. A controller in its own right is PayPal (Europe) S.à r.l. et Cie, S.C.A., through which paid consultations are settled; it receives data only if you book such a consultation. Details are set out in section 10. Finally, Cloudflare is also a controller in its own right insofar as it reuses the characteristics collected during the Turnstile check to improve its bot detection; details are set out in section 4.

8. AI-assisted sorting and summarisation of incoming messages

Incoming email in my business mailbox is automatically sorted and categorised every 30 minutes. Incoming messages are additionally summarised and pre-prioritised by urgency. The same happens to messages that reach me via WhatsApp. The orchestration is handled by an n8n workflow engine running on my own hardware and thus within my own sphere of control. n8n is therefore not a processor; no transfer to a third party takes place at that stage. The workflow engine keeps the data of an individual run for seven days for troubleshooting and deletes it afterwards.

Where simple rules suffice, rules are applied. A language model is used only where rules are not enough. For those calls the content of the message is transmitted to Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Ireland, and processed by a model in the Claude family. Anthropic Ireland, Limited acts for me as a processor under Art. 28 GDPR. The models are operated by its parent company Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA, as a subprocessor.

Alongside this fixed workflow, in individual cases I have messages from my business mailbox and from WhatsApp analysed by AI, for instance to summarise a case, look up information or prepare a reply. The content of the messages analysed in this way is transmitted to Anthropic; the conditions of this section apply. Nothing is sent without my review.
The legal basis is Art. 6(1)(f) GDPR, based on my legitimate interest in handling incoming messages promptly, completely and at consistent quality. In assessing this I have taken into account that you send me your message in order to receive a reply, and that the processing serves exactly that purpose rather than going beyond it.

The same workflow also runs an AI-assisted recognition of incoming invoices and receipts. They are identified, assigned to a case and read for their key details – such as issuer, date and amount. Such documents can contain personal data of clients and business partners, for instance names, addresses and contact details. The same conditions apply as for messages: where rules suffice, it stays with rules; only where they are not enough is the content transmitted to Anthropic under the conditions described here. The legal basis is Art. 6(1)(f) GDPR, based on my legitimate interest in orderly and complete bookkeeping; the retention of the documents themselves follows the periods set out in section 4.

The same workflow also prepares offers for the client area (section 11). The basis is the copy that my accounting software sends to my mailbox when an offer is sent. Number, date, items, quantities, prices and totals are read according to fixed rules and checked arithmetically, not by AI. From the items and text blocks of the offer, AI processing then produces a short description in German and English; the AI does not set prices, quantities or numbers. In a second, separate step the AI checks this description for whether it contains security vulnerabilities, assessments of clients or individuals, prices, rates or liability statements, access credentials or content about another client; if so, or if the check fails, the text is not adopted. No offer appears in the client area before I have reviewed it myself, revised the description where necessary and released the offer. The items and text blocks of the offer are transmitted to Anthropic for this under the conditions of this section. The legal basis is Art. 6(1)(b) GDPR insofar as the offer serves to initiate a contract with you, and otherwise, for instance for details of contact persons, Art. 6(1)(f) GDPR, based on my legitimate interest in clear and accurate offers.

For the “News” part of the client area, I also have my notes about a client summarised by AI processing. Only notes from the workspace described in section 9 and from my knowledge base, which I operate on my own servers or devices, are included, and of those only notes that, under a fixed assignment, clearly belong to that client, are not marked as internal and were edited within the last 30 days. I synchronise the knowledge base via the workflow engine described above, which likewise runs on my own servers or devices; no third-party service is involved. Some content of the knowledge base is prepared by AI processing; for this it is transmitted to the provider named in this section, and the same conditions apply. Meeting notes and transcripts, as well as pages and sections marked as internal, are filtered out beforehand according to fixed rules and are never transmitted to the AI. Besides details about the client, the notes may contain details about the client's contact persons and staff. In a second, separate step the AI checks the summary for the same content as with offers, with prices, rates and liability statements objected to only where they are not already part of the contract. If the check finds nothing, the summary is published automatically in the client area without my reviewing it beforehand; it is marked there as automatically summarised, and I can withdraw any published version at any time. If anything is objected to or the check fails, nothing is published, the client continues to see the most recently published version, and I decide myself whether to release or discard the withheld version. The conditions of this section apply to the content transmitted to Anthropic for this. The legal basis is Art. 6(1)(b) GDPR insofar as it concerns informing my contractual partner about the state of its projects, and otherwise, in particular for details of contact persons and staff, Art. 6(1)(f) GDPR, based on my legitimate interest in informing my clients clearly and promptly about the state of their projects. In both cases the seven-day period from the first paragraph applies to the runs of the workflow.

Because the models are operated by Anthropic PBC in the United States, content reaches a third country in the process. The transfer is based on the European Commission's standard contractual clauses pursuant to Art. 46(2)(c) GDPR, supplemented by a processing agreement under Art. 28 GDPR. Under Anthropic's commercial terms, the transmitted content is not used to train the models and is deleted from the provider's systems after a short period. You can obtain a copy of the agreed safeguards on request. Despite these safeguards it cannot be entirely ruled out that US authorities access the data.

Sorting and summarisation only prepare. Every reply and every decision in an individual case is made by a human being, namely me. A suggestion made by a language model, for instance for a reply or for the description of an offer, is reviewed and can be discarded; it is not adopted unchecked. The only exception is the summaries under “News” described above: they appear after the automatic check without my prior review, and I can withdraw them at any time. There is no decision based solely on automated processing which produces legal effects concerning you or similarly significantly affects you, and there is no profiling; Art. 22 GDPR is therefore not engaged. For the future I reserve the option of additionally running models myself on my own infrastructure, for instance via Ollama – the data would then never leave my own sphere of control in the first place. That is not yet implemented.

9. Notes and meetings in Notion, further planned storage locations

For notes on enquiries, projects and meetings I use the Notion workspace of Notion Labs, Inc., 685 Market Street, San Francisco, CA 94105, USA. It may hold your name, your contact details, your company, the content of our communication and the status of a case. The purpose is to keep track of the status of an enquiry, avoid missing deadlines and tie the correspondence to a case. The legal basis is Art. 6(1)(b) GDPR where there is a contractual context, and otherwise Art. 6(1)(f) GDPR, based on my interest in orderly case handling. Notion Labs, Inc. acts for me as a processor under Art. 28 GDPR; a corresponding agreement is in place. Because the provider is based in the United States, personal data is transferred to a third country. Notion Labs, Inc. is certified under the EU-U.S. Data Privacy Framework, so the transfer is based on the adequacy decision of the European Commission pursuant to Art. 45 GDPR. Alongside this, the standard contractual clauses under Art. 46(2)(c) GDPR – Module Two, controller to processor – are already expressly agreed in the processing agreement in its version dated 22 February 2023; they do not only take effect should the certification lapse or the decision be annulled, but apply independently of it. You can obtain a copy of the agreed safeguards on request. Despite these safeguards it cannot be entirely ruled out that US authorities access the data. Details are set out in the provider's privacy notice at notion.com/trust/privacy-policy.

In meetings, for instance video calls about an enquiry or an ongoing project, I additionally use Notion's AI features ("Notion AI") to take meeting notes and summarise the conversation. The feature records the audio of my device, that is system audio and microphone; no additional participant joins the call. The recording is transcribed and then condensed into a summary. This never happens unnoticed and never without agreement: before the recording starts, I ask explicitly whether all participants agree. Only once consent has been given does the recording begin, and the consent is captured at the start of the recording. Anyone who does not agree says so – I then take notes by hand, and no disadvantage arises from that. The legal basis in this respect is your consent (Art. 6(1)(a) GDPR), which you can withdraw at any time with effect for the future; if you withdraw it, I delete the recording and the transcript, unless a statutory retention obligation prevents it. The subsequent retention of the summary is governed by the legal bases of the preceding paragraph.

For its AI features Notion uses subprocessors that operate the language models – according to the provider's list these include, among others, Anthropic, OpenAI and Google; the provider keeps the complete, continuously updated list publicly available. These providers are predominantly based in the United States. According to the provider, the content is used neither by Notion nor by these subprocessors to train models and is deleted from the model operators' systems after 30 days at the latest. The audio recording itself is not stored permanently after successful processing; if processing fails, it is held on the provider's servers for up to three days and deleted afterwards. The transcript remains stored in the associated Notion page until I delete it; the periods for that are set out in section 12. A summary is a working aid, not a decision: I review it and decide myself; section 13 applies unchanged.

For the client area I also evaluate the notes described here, as set out in section 8, and only pages that, under a fixed assignment, clearly belong to the client concerned and are not marked as internal. I take the to-do lists in the client area (“On my list” and “On your list”) verbatim and without AI from a page in this workspace. If a client ticks an item on their list or undoes the tick, this is written back to that page. The processing agreement from the first paragraph applies to this synchronisation; no new recipient arises.

What remains planned but not yet implemented is a structured record of enquiries beyond this, outside the email mailbox, in a database operated by me; the AI-assisted sorting and summarisation of incoming messages, which is already running, is described in section 8. The statement about the database applies only from the point of actual use; every provider acting on my behalf will first be bound by an agreement under Art. 28 GDPR, and this notice will be amended beforehand. This is distinct from the database of the client area, which is already in operation, concerns only clients with access to the client area and holds no enquiries; it is described in section 11. The retention periods set out in section 4 apply unchanged to all records described in this section.

10. Online appointment booking

You can arrange appointments through a booking page at cal.jason-talge.de. It runs on cal.diy, an open-source fork of the scheduling software Cal.com, which I operate myself on my own hardware in Germany; it is not a third-party platform, and no hosting provider is involved. The transmission of usage statistics to the software vendor is switched off. Like this website, the booking page is reached through Cloudflare, and Cloudflare also sees what you enter into the booking form. The role, legal basis, agreement and third-country transfer are the same as described in section 2.

Two free appointments can be booked publicly, an initial consultation and a short exchange, as well as paid consultations of 30, 60 or 90 minutes. Project meetings, remote support and maintenance, and on-site appointments are not publicly listed; only existing clients receive the link to them.

For every booking I process your name, your email address and the appointment you chose. The time zone is fixed to Europe/Berlin and stored with the appointment. You may optionally give a phone number, company or organisation, the email addresses of further guests and a note. Depending on the appointment type, further details are added: for the initial consultation the topic, a short description of the project and, optionally, a budget range; for a project meeting the project and the agenda; for remote support the affected system and a description of the problem; for an on-site appointment your address and a contact person on site; for a paid consultation the billing address, topic and starting situation. For remote support and on-site appointments the phone number is mandatory, because I need to be able to reach you at short notice. I need the details marked as mandatory in order to prepare and hold the appointment; without them no booking is possible. You are under no statutory or contractual obligation to provide them. If you name further guests, they receive an invitation at the address given; please therefore only enter people who expect that invitation.

Appointments – at least the initial consultation – can be held by video, by phone or in person in Hallstadt, as you choose. If you choose a phone call, your phone number is mandatory, because otherwise I cannot reach you at the agreed time; for video and in-person appointments it remains optional unless the appointment type provides otherwise. I use the number solely to hold the call and to get in touch about short-notice changes to the appointment. The call is not recorded; whether I have it transcribed with Notion AI depends solely on your prior consent (section 9). The legal basis is Art. 6(1)(b) GDPR. The phone number is deleted together with the other booking data after the period stated below.

Before a paid consultation you confirm your email address with a code sent to you by email. This ensures that nobody books a paid appointment under someone else's address and that confirmations and the invoice do not end up with an uninvolved person.

The legal basis for arranging, preparing and holding the appointment is Art. 6(1)(b) GDPR: a paid consultation is itself a contract, an initial consultation is a step prior to entering into one, and appointments with existing clients are part of performing the ongoing engagement. For invoicing paid consultations, Art. 6(1)(c) GDPR applies in addition, because I am obliged under § 14 UStG to issue an invoice and under § 14b UStG, § 147 AO and, where applicable, § 257 HGB to retain it. The details of further guests and of a contact person on site concern people with whom I have no contract; here the legal basis is Art. 6(1)(f) GDPR, based on my interest in holding the appointment with the people you name for it. For confirming the email address the legal basis is likewise Art. 6(1)(f) GDPR, based on my interest in preventing bookings under someone else's name and misuse of the booking route.

At the end of the booking form you confirm that you have taken note of this privacy notice. This is not consent, and none of the processing described here is based on it; the confirmation merely records that this information was available to you before booking. I deliberately do not obtain consent: you would have no genuine choice, because no appointment can be arranged without this data.

Paid consultations are settled via PayPal. The provider is PayPal (Europe) S.à r.l. et Cie, S.C.A., 22–24 Boulevard Royal, L-2449 Luxembourg. To pay, you are redirected to PayPal's website and handle the payment there directly with PayPal; the booking page embeds nothing from PayPal for this, and I do not receive your account or card details. From my side PayPal receives only the amount and a random reference number; I receive from PayPal confirmation of the payment with the transaction number and the name and email address of the paying account. PayPal is itself the controller for the payment processing and does not act as a processor for me. The legal basis for passing the data on is Art. 6(1)(b) GDPR, because the payment is part of the contract for the consultation. PayPal may pass data to group companies outside the European Union, in particular in the United States. That takes place under PayPal's responsibility, not mine. What PayPal processes beyond that, for instance for fraud prevention, is set out in its privacy statement at paypal.com/de/legalhub/paypal/privacy-full. Free appointments are not affected; no data flows to PayPal for them.

Video appointments take place via self-hosted video conferencing software, which I operate myself at meet.jason-talge.de on my own hardware in Germany. Loading the conference page and setting up the connection go through Cloudflare, as with this website (section 2). Audio and video, by contrast, travel directly between your device and my server; in the process your IP address is visible to my server and my server's IP address to your device. No other service provider is involved. You receive the link with the booking confirmation. The name of the conference room is made up of the appointment type and the names of the participants and is therefore part of the address; please treat the link like a personal invitation. During the call the server processes your display name, your audio and video data, your IP address and technical connection data. Audio and video are transmitted only for the duration of the call; nothing is recorded, the recording function is switched off in the browser as well, and call content is not stored permanently. The period stated in section 1 applies to the server's logs. The legal basis is Art. 6(1)(b) GDPR. Whether I have a call transcribed with Notion AI is a separate matter: that only happens with your prior consent, as described in section 9.

The booking platform sends confirmations, reminders and verification codes by email to you and to the guests you name. These messages contain names, the appointment and its type and, where applicable, the video conference link. They are sent through the mail server of netcup GmbH, named in section 7.

When a paid consultation is booked or cancelled, the self-hosted n8n instance described in section 8 notifies me by email and, via Home Assistant, which likewise runs within my own sphere of control, with a push notification on my smartphone. The email contains the details from the booking including the billing address; the push notification contains your name, your company and the appointment. The push notification reaches the app on my smartphone directly over a connection of my own that, like this website, runs through Cloudflare (section 2); no third-party push service is involved. The workflow engine deletes the data after seven days (section 8).

So that only free slots are offered, the booking platform checks requests against my calendar, and each booking is entered there as an appointment, with your name, your email address, the appointment type and time, the details from the booking form and, where applicable, the video conference link. I operate this calendar myself on my own hardware. The legal basis is Art. 6(1)(b) GDPR. The server retrieves public holidays as a public calendar via the Google Calendar API. That retrieval runs from server to server and concerns only the public holiday calendar; no data about you or your booking is sent to Google.

I create and book invoices for paid consultations in the accounting software sevDesk provided by sevDesk GmbH, Im Unteren Angel 1, 77652 Offenburg, Germany. It records the name, billing address, email address, the service provided, the amount and the payment status. sevDesk acts for me as a processor under Art. 28 GDPR; the agreement for this is in place in its version dated 10 June 2024. The data is processed on servers in Germany and, under the agreement, exclusively within the European Union or the European Economic Area. sevDesk lists its subprocessors at sevdesk.de/datenschutz. The legal basis is Art. 6(1)(b) and (c) GDPR in conjunction with the provisions named above.

The booking page is a separate application, but likewise loads nothing from external servers. It sets only cookies that expire when you close your browser: a random value (uid) used to hold the chosen slot for you briefly during booking, and two cookies of the sign-in system that fend off forged requests. In your browser's local storage it keeps your display settings, such as time zone and 12- or 24-hour format. All of this is strictly necessary for the booking you requested and therefore requires no consent under § 25(2) no. 2 TDDDG; the legal basis for the subsequent processing is Art. 6(1)(b) GDPR. The cookies Cloudflare may set for attack detection are described in section 3; they may also be set on the booking page.

Clients with access to the client area find the appointment types released for them there that are not publicly listed. Name and email address from the master data are pre-filled in the booking link as part of its address and are transmitted only when you open the link; the booking itself then proceeds through the booking page as described above. The client area also shows your upcoming appointments; how this works is set out in section 11.

Bookings are deleted automatically from the booking platform six months after the appointment, including all details from the booking form; the same period applies to the entries in my calendar. If an engagement follows or a paid consultation has been invoiced, the commercial and tax retention periods set out in section 4 apply to the resulting documents such as the invoice and correspondence, that is eight years for invoices and accounting vouchers and six years for business letters, each counted from the end of the calendar year. Call content from the video conferencing service is not stored. Sections 14 to 16 on your rights apply unchanged, including to all details from the appointment booking.

11. Client area

Clients I work with receive from me access to their own client area on this website, with its own address and password. I create the access myself; there is no registration. The password is stored only as a non-reversible hash, so I cannot see it. The sign-in is maintained by the cookies described in section 3. Instead of the password, you can also sign in with a passkey; the next paragraph describes this. The pages of the client area load nothing from external servers; the content security policy described in section 17 applies here too.

You can set up a passkey under “Your details”; this requires your current password. Whether you do so is up to you: the password remains valid alongside it, and you suffer no disadvantage without a passkey. There is exactly one passkey per access; a new one replaces the previous one. During setup, your device or password manager creates a key pair. The private key never leaves your device or password manager. The fingerprint, face recognition or device PIN with which you confirm a sign-in is likewise checked only on your device and not transmitted to me; I learn only that the confirmation took place. I store the identifier of the passkey, the public key, a signature counter that helps detect copied keys, a label that you choose yourself or that is otherwise formed from browser and operating system (such as “Safari on iOS”), the times of setup and last use, and a user identifier derived from your client number with a secret key, which says nothing about you on its own. I do not request a confirmation from the device manufacturer about your device. Your browser or password manager stores the passkey together with the address of your client area and your client name so that you can recognise it; whether it is synchronised from there with other devices or with an account at the provider of your device or password manager depends on your settings and is beyond my control. For each sign-in and each setup, the server creates a one-time random challenge, which is held in your session (cookie jt_kunde, section 3), is valid for five minutes at most and is deleted when used; no further cookies are created. A failed sign-in with a passkey counts as a failed attempt like a wrong password (see below). You can remove the passkey under “Your details” at any time; the stored details are then deleted immediately. They are also deleted when you replace it with a new one, when you reset your password via “forgot password” – anyone doing so may also have lost access to a device – and when your client area is deleted. Changing your password with the current password and “Sign out on all devices” leave it in place; if I deactivate your access, it also remains stored, but signing in with it is then not possible. For every setup, replacement and removal I receive an email with your client name, the address of your client area, the label of the passkey and the time, so that an unauthorised change does not go unnoticed; if it is deleted when the password is reset, this is stated in the notification about the reset. None of these steps deletes the passkey on your device; only you can do that in your browser or password manager.

In the client area I process your master data: company, contact person, email address, phone number, billing address, VAT identification number and, where applicable, a separate email address for invoices. You can change it there yourself; a new email address requires your current password. Every change is logged with its time, origin and old and new value, and I receive an email showing the old and the new state so that I can update my records. I also provide documents for download there, such as contracts, and show your maintenance contracts with their services, term and status. Documents are kept outside the publicly accessible area and can be retrieved only when you are logged in as the client concerned.

If you have forgotten your password, I send you a link to the stored email address on request. It is valid for 60 minutes and can be used only once; only a non-reversible check value of it is stored, which is deleted once the link has been used or has expired. I am notified by email when a password has been reset, so that an unauthorised reset does not go unnoticed.

To prevent passwords from being guessed, I record failed attempts: a wrong password or a failed sign-in with a passkey, a “stay signed in” cookie with a wrong check value (section 3), a wrong current password when changing the password or email address or when setting up a passkey, and an email address that is not on file when using “forgot password”. What is stored is the shortened IP address (the first three blocks for IPv4, the first 48 bits for IPv6), the time, the kind of failed attempt and the client area address that was called, together with a pseudonymised check value derived from the full IP address that cannot be traced back to the address without my credentials; the full IP address itself is not stored. After three email addresses not on file or ten of the other failed attempts in a row, login, including with a passkey, and “forgot password” from that IP address are blocked for the entire client area for 24 hours, and I receive an email with the shortened IP address, the time and the address that was called. So that attempts from many different IP addresses are noticed as well, I also count failed attempts per client area address; for this, the address called, the shortened IP address and the time are stored, without a check value. If 20 failed attempts accumulate within 24 hours, I receive an email at most once in 24 hours with the address called, the number of failed attempts and the number of different shortened IP addresses; nobody is blocked as a result. Blocks are deleted once they expire, failed attempts and the count per client area after 24 hours; a successful login or a matching request immediately deletes the earlier failed attempts of the same kind. For my administration page, the limit described in section 1 applies instead.

In the client area I also show you your services with their current status, your upcoming appointments with title, date, time and duration, and the hours and costs of the current month. This information comes from my own systems for monitoring, appointment booking and time tracking, which I operate on my own servers or devices; the time-tracking system runs on the same server as this website at netcup GmbH, named in section 7. No new recipients are added for this. For the appointments I store the booking addresses I have confirmed for you: the email address with which I created your access or which I entered in your master data myself, and, where applicable, further addresses under which you book appointments with me. I use them only to show you your own appointments and to assign incoming offers to your client area. If you change your email address yourself, the new address is used for this only once I have adopted it. For hours and costs you see only totals per project and, where agreed, your hour quota for the month with flat fee and extra hours, no individual entries. When I create you as a client, your name is also created in the time-tracking system or linked to an existing entry there. The queries are made exclusively from this website's server; your browser does not connect to any of these systems. The responses are cached in the client area database, used for 5 minutes at most and deleted afterwards.

I provide offers in the client area once I have reviewed and released them. How they are taken over from my accounting software (section 10) and how their short description is produced by AI processing is set out in section 8. Number, items, amounts, text blocks, the recipient address and the PDF file are stored on this website's server. If you accept an offer, I store as proof the name you enter, the time, your shortened IP address (as above) and the exact state of the offer your acceptance refers to: number, items, amounts and a check value of the PDF file. If you decline an offer, I store the time, the shortened IP address, the same state of the offer and, if you give one in the optional field, your reason; I do not ask for a name for this. A decision cannot be changed afterwards. For every acceptance and decline I receive an email with these details. The legal basis is Art. 6(1)(b) GDPR for providing, accepting and declining the offer, and Art. 6(1)(f) GDPR for the proof, based on my legitimate interest in being able to show later who accepted or declined which state, and when.

Under “News” I show you the summary of your projects described in section 8, and under “To-dos” the lists described in section 9. Both are stored in the client area database, as are withheld and earlier versions of the summary together with the result of the check; you always see only the most recently published version. If you tick an item on your list, the time and the item are stored. You can undo your own tick within 24 hours. For every tick I receive an email with the client's name and the completed item. Completed items remain visible to you for 30 days.

The legal basis for the client area, the master data including the change log, the documents and maintenance contracts, the services, appointments, hours and costs shown, the to-dos, the password reset, signing in with a passkey and “stay signed in” is Art. 6(1)(b) GDPR, because all of this serves the performance of our contract. Where my contractual partner is a company, I process the details of its contact person, and of staff named in to-dos or summaries, on the basis of Art. 6(1)(f) GDPR, based on my legitimate interest in handling the cooperation with that company through the persons it designates for this. For recording failed attempts, the blocks and the notifications about them, the legal basis is Art. 6(1)(f) GDPR, based on my legitimate interest in the security of the client area and the data held in it.

All data of the client area is held on this website's server at netcup GmbH, named in section 7, in Germany. Like every request to this website, login, input and document downloads pass through Cloudflare; section 2 applies. The notifications to me – about changed master data, a reset password, a passkey set up, replaced or removed, blocks, accumulated failed attempts, accepted or declined offers and ticked to-dos – reach my business mailbox, to which section 8 applies.

Master data, change log, documents, maintenance contracts, booking addresses, assignments of services and appointment types, summaries and to-dos are kept for the duration of the business relationship. When the contract or business relationship ends, I delete all data of your client area, including the access together with the passkey and the “stay signed in” entries, and the documents, as well as all declined, open, discarded and expired offers together with their PDF files and any record of a decline. Only accepted offers – with their items, the record of acceptance including the version captured at that time, and the PDF file – remain in the client area as proof of acceptance. I keep them for six years, counted from the end of the calendar year in which the offer was accepted, and delete them afterwards; the legal basis is then Art. 6(1)(c) GDPR in conjunction with section 147 of the German Fiscal Code (AO) and, where applicable, section 257 of the German Commercial Code (HGB). The offers themselves are also held in my accounting software (section 10), where they are subject to the retention periods set out in section 4. Deleting the client area does not affect my other systems; for accounting, notes and appointment booking the periods set out in the respective sections apply. The entries in my time tracking are the basis of my invoices and are not deleted when the client area is deleted. They remain stored for as long as I use the time tracking; there is no deletion merely because time has passed, they are only deleted under the deletion rules of the time tracking. The legal basis is Art. 6(1)(b) and (f) GDPR and, where statutory retention obligations apply, also (c). I delete emails about a block or about accumulated failed attempts no later than 30 days after receipt. I treat the other notifications like the rest of my business correspondence: I delete them once the matter is closed, unless a notification exceptionally has to be retained as a business letter, for instance on the acceptance of an offer; in that case the periods set out in section 4 apply.

12. Retention periods at a glance

Server log data and short link visits are deleted after 30 days at the latest. The check value used to limit form submissions is as a rule deleted after 24 hours. The counter of failed sign-in attempts on the administration page is deleted immediately after a successful sign-in, otherwise as a rule 24 hours after the last attempt. Cookies set by Cloudflare for attack detection expire after minutes to a few hours. The session cookie of the administration page expires when you close your browser. The “stay signed in” cookie of the administration page and its entry on the server are valid for 30 days from the last use; passkeys of the administration page remain stored until I remove them. Your browser keeps the instruction for error reports (Network Error Logging) for seven days at most. Your language choice stays in your browser until you delete it there. Enquiries that do not lead to an engagement are deleted six months after the last correspondence. Enquiries that do lead to an engagement are kept for the duration of the statutory retention periods and deleted afterwards. Notes and meeting summaries in Notion follow the same periods as the case they belong to. The audio recording of a meeting is not stored permanently after processing; if processing fails, it is kept for three days at most. The transcript of a meeting is deleted once the summary has been created and reviewed, and in any event no later than 30 days after the meeting. WhatsApp histories that do not lead to an engagement are deleted six months after the last message, on all of my devices. Histories connected to an engagement have their business-relevant parts saved outside the app, where they are subject to the statutory retention periods, and are deleted within the app itself. Bookings made through the booking page are deleted six months after the appointment; invoices and accounting vouchers for paid consultations are kept for eight years. Content of video calls via the video conferencing service is not stored. The data of individual runs of the n8n workflow engine is deleted after seven days. The session cookie of the client area expires when you close your browser and when you log out; on the server the login ends after 12 hours without a request, and at the latest 14 days after login. The “stay signed in” cookie of the client area and its entry on the server are valid for 30 days from the last use; expired entries are deleted the next time any page of the client area is requested. They are removed earlier when you log out on that device, when the password is changed or reset, on “Sign out on all devices”, and when the access is deactivated or deleted. A passkey in the client area remains stored until you remove or replace it, reset your password via “forgot password”, or the client area is deleted; the random challenge for a passkey sign-in is valid for five minutes at most. Failed login attempts in the client area and their count per client area are deleted after 24 hours, blocks once their 24-hour period has expired; I delete emails about blocks and accumulated failed attempts after 30 days at the latest. A password reset link is valid for 60 minutes; its check value is deleted once the link has been used or has expired. Cached information on services, appointments, hours and costs is used for 5 minutes at most and deleted afterwards. Other notifications from the client area are deleted once the matter is closed, unless they have to be retained as business letters. Master data, change log, documents, maintenance contracts, summaries and to-dos of the client area are kept for the duration of the business relationship and, once it ends, deleted together with the access and all offers that were not accepted, including their PDF files. Accepted offers and the proof of their acceptance remain in the client area for six years from the end of the calendar year of acceptance. Time-tracking entries are kept for as long as they are needed for invoicing and to meet statutory retention obligations. Where immediate deletion is not technically possible, for instance in backups, processing is restricted and deletion is carried out with the next cycle.

13. No automated decision-making

There is no automated decision-making in individual cases, including profiling, within the meaning of Art. 22(1) and (4) GDPR. This also applies to the meeting summaries described in section 9 and the use of artificial intelligence systems described in section 8: they may prepare, but they do not decide. The summaries published automatically in the client area (section 8) likewise only provide information on the state of projects; they produce no legal effects concerning you and do not similarly significantly affect you. Whether you accept or decline an offer in the client area is your own decision.

14. Your rights

In relation to me you have the right to obtain information about the data processed about you (Art. 15 GDPR), to have inaccurate data corrected (Art. 16), to erasure (Art. 17), to restriction of processing (Art. 18), and to receive the data you provided in a common, machine-readable format (Art. 20). An informal message to kontakt@jason-talge.de is enough; there is no form and none is required. I reply without undue delay and within one month at the latest. Should handling exceptionally take longer, I will tell you within that period and give the reasons. Exercising these rights is free of charge for you.

15. Right to object

Where I process personal data on the basis of legitimate interests under Art. 6(1)(f) GDPR, you have the right to object at any time, on grounds relating to your particular situation, to that processing. This concerns in particular the server log data, the protection provided via Cloudflare including error reports via Network Error Logging, the abuse prevention on the contact form, the protection of the administration page against password guessing, the recording of failed attempts and the blocks in the client area, the proof of acceptance or decline of offers, the processing of details of clients' contact persons and staff, the transmission of phone numbers from my address book by the WhatsApp Business app, the evaluation of short links, the keeping of notes in Notion, the confirmation of the email address before paid consultations, the processing of details of guests and contact persons in appointment bookings, and the AI-assisted processing of incoming messages, invoices and receipts, and of offers and notes for the client area, described in section 8. If you object, I will no longer process the data concerned, unless I can demonstrate compelling legitimate grounds which override your interests, rights and freedoms, or the processing serves to establish, exercise or defend legal claims. A message to kontakt@jason-talge.de is sufficient to object. No particular form is required, and you need only give reasons to the extent that your particular situation becomes apparent. The recording of meetings stands apart from this: it rests not on a legitimate interest but on your consent, and you can withdraw that consent at any time under Art. 7(3) GDPR – informally, to the same address, without disadvantage and with effect for the future.

16. Right to lodge a complaint

Without prejudice to any other remedy, you have the right to lodge a complaint with a data protection supervisory authority. The authority responsible for me is the Bavarian Data Protection Authority, Promenade 18, 91522 Ansbach, Germany. You may equally turn to the supervisory authority in the place of your habitual residence, your place of work, or the place of the alleged infringement.

17. Data security

The connection to this website is encrypted in transit throughout with TLS; requests over unencrypted HTTP are redirected. Apart from the Turnstile script described in section 4, the site loads no content from external servers; this is technically enforced by a content security policy rather than merely promised. Access to the mailbox and servers is protected by strong passwords and, where available, a second factor. No one can promise complete protection, but the effort is proportionate to the risk, as Art. 32 GDPR requires.

18. Date and amendments

This notice is dated 23 October 2026. It will be amended if the processing described changes, and in particular before the processing described as planned in section 9 actually begins. The current version is always available at this address.