Datenschutz

01 · Wer verantwortlich ist

Ein Datenschutzbeauftragter ist nicht zu benennen: Ich arbeite allein, und keine der Voraussetzungen aus § 38 BDSG liegt vor.

02 · Wenn Sie die Seite nur ansehen

Beim Aufrufen schreibt der Server ein Protokoll. Darin steht:

• Ihre IP-Adresse
• Datum und Uhrzeit des Aufrufs
• welche Adresse Sie geladen haben und mit welchem Ergebnis
• wie viele Daten übertragen wurden
• die Seite, von der Sie kamen, und die Kennung Ihres Browsers

Wozu: damit die Seite läuft und damit ich sehe, wenn jemand sie angreift. Grundlage: mein berechtigtes Interesse an einem sicheren Betrieb, Artikel 6 Absatz 1 Buchstabe f DSGVO. Wie lange: 7 Tage. Danach löscht der Server sie selbst.

Diese Protokolle werden nicht ausgewertet, um herauszufinden, wer Sie sind. Zwei Dinge prüft der Server darin automatisch: Häufen sich von einer IP-Adresse falsche Anmeldungen, sperrt er diese Adresse für eine Stunde. Und öffnet ein Betrieb den Entwurf, den ich ihm gebaut habe, notiert er, wann das war – ohne IP-Adresse, mehr dazu in Abschnitt 05.

Der Server steht in Deutschland. Gemietet ist er bei der netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, die ihn als Auftragsverarbeiterin nach Artikel 28 DSGVO für mich betreibt. Ihre Daten verlassen dabei die Europäische Union nicht.

03 · Wenn Sie Ihre Seite prüfen lassen

Im Abschnitt „Seite prüfen“ tippen Sie eine Web-Adresse ein und drücken auf Seite prüfen. Die Prüfung macht Google PageSpeed Insights.

Wichtig zu verstehen: Diese Anfrage stellt Ihr Browser selbst, direkt an Google. Sie läuft nicht über meinen Server. Ich bekomme weder Ihre Adresse noch das Ergebnis zu sehen, und bei mir wird davon nichts gespeichert.

An Google übertragen werden dabei:

• Ihre IP-Adresse
• die Kennung Ihres Browsers
• die Web-Adresse, die Sie eingetippt haben

Empfänger: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, und Google LLC, 1600 Amphitheatre Parkway, Mountain View, Kalifornien, USA. Übermittlung in die USA: Die Europäische Kommission hat für die USA am 10. Juli 2023 einen Angemessenheitsbeschluss gefasst (EU-US Data Privacy Framework); Google LLC ist danach zertifiziert.

Grundlage: Ihre Einwilligung, Artikel 6 Absatz 1 Buchstabe a DSGVO. Sie erteilen sie, indem Sie den Knopf drücken – der Hinweis darauf steht direkt daneben. Widerruf: Drücken Sie den Knopf nicht, dann geschieht nichts. Eine bereits gestellte Anfrage kann ich nicht zurückholen, weil sie in Ihrem Browser stattgefunden hat und nicht bei mir.

Was Google mit den Daten macht, richtet sich nach Googles eigener Datenschutzerklärung: policies.google.com/privacy.

04 · Wenn Sie das Formular ausfüllen

Wer ein Angebot anfordert, schickt mir: Betrieb, Namen, E-Mail-Adresse und – soweit ausgefüllt – die jetzige Website, die Art des Betriebs, den ungefähren Umfang, den Wunschtermin, wie Sie auf mich gekommen sind und was Sie an Ihrer jetzigen Seite stört.

Wozu: um Ihre Anfrage zu beantworten und ein Angebot zu machen. Grundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO – die Verarbeitung dient der Anbahnung eines Vertrags, um den Sie selbst gebeten haben. Wie lange: bis die Sache erledigt ist. Kommt ein Auftrag zustande, halte ich die handels- und steuerrechtlichen Fristen ein (sechs beziehungsweise zehn Jahre, § 257 HGB, § 147 AO). Kommt keiner zustande, lösche ich die Anfrage spätestens nach sechs Monaten.

Die Angaben gehen an meinen eigenen Server in Deutschland und werden dort als Datei abgelegt. Ich rufe sie über eine passwortgeschützte Übersicht ab. Für Werbung verwende ich sie nicht, und ich verkaufe sie nicht.

Bearbeitung mit maschineller Hilfe. Um Ihre Anfrage zu lesen und einen ersten Entwurf vorzubereiten, gebe ich die Angaben an einen KI-Dienst weiter: Claude von Anthropic (Anthropic Ireland, Limited, Dublin, Irland, und Anthropic PBC, San Francisco, Kalifornien, USA). Dabei werden Ihre Angaben in die USA übermittelt. Anthropic ist nicht nach dem EU-US Data Privacy Framework zertifiziert, und einen eigenen Vertrag zur Auftragsverarbeitung habe ich mit Anthropic derzeit nicht; ich nutze den Dienst zu dessen allgemeinen Bedingungen. In den USA besteht kein Datenschutzniveau, das dem der Europäischen Union entspricht. Schreiben Sie deshalb nur hinein, was für Ihre Anfrage nötig ist.

Antworten schicke ich per E-Mail. Mein Postfach liegt bei der INWX GmbH & Co. KG, Prinzessinnenstraße 30, 10969 Berlin, die es als Auftragsverarbeiterin nach Artikel 28 DSGVO für mich betreibt.

E-Mails an mich ordnet derselbe KI-Dienst vor, damit keine untergeht: Er liest Absender, Betreff und Text und schlägt vor, worum es geht. Er kann dabei nichts tun und nichts verschicken; was geschieht, entscheide ich. Grundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO bei Anfragen zu einem Auftrag, sonst mein berechtigtes Interesse an einer geordneten Bearbeitung, Buchstabe f. Die Übermittlung in die USA ist dieselbe wie oben.

05 · Wenn Sie einen Zugangscode eingeben

Betriebe, die von mir einen Brief bekommen haben, können unten auf der Seite einen Code eintippen und landen damit auf ihrem eigenen Entwurf. Dafür schickt Ihr Browser den Code an meinen Server, der nachsieht, zu welchem Entwurf er gehört. Gespeichert wird dabei nichts. Nach zu vielen Versuchen von derselben Adresse macht der Server eine Pause; dafür zählt er die Versuche je IP-Adresse im Arbeitsspeicher und vergisst sie spätestens nach zwei Stunden.

Auf dem Entwurf können Sie Anmerkungen schreiben und Farbe und Schrift umstellen. Erst wenn Sie auf Fertig – alles abschicken drücken, geht das an meinen Server: Ihre Anmerkungen, die eingestellten Werte, um welchen Entwurf und welche Seite es geht und wann es abgeschickt wurde. Wozu: damit ich Ihre Wünsche einarbeiten kann. Grundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO. Wie lange: bis der Entwurf fertig ist oder Sie absagen.

Solange Sie nicht abschicken, bleibt alles, was Sie anmerken, in Ihrem eigenen Browser – mit einer Ausnahme: Fotos.

Fotos an einer Anmerkung. Hängen Sie an eine Anmerkung ein Foto, verkleinert Ihr Browser es und lädt es sofort auf meinen Server – nicht erst beim Abschicken. Dort liegt es nicht öffentlich. Zweck und Grundlage sind dieselben wie bei Ihren Anmerkungen. Schicken Sie die Anmerkung ab, gilt für das Foto dasselbe wie für sie. Schicken Sie sie nie ab oder löschen Sie sie vorher, löscht mein Server das Foto nach 14 Tagen von selbst.

Ihre E-Mail für Rückfragen. Habe ich noch keine E-Mail-Adresse von Ihnen, fragt das Fenster zum Abschicken danach, mit einem Häkchen darunter. Wozu: Kostet ein Wunsch etwas extra, frage ich Sie dort vorher. Sonst schreibe ich Ihnen an diese Adresse nur zu Ihren Anmerkungen und zu Ihrem Entwurf. Grundlage: Ihre Einwilligung mit dem Häkchen, Artikel 6 Absatz 1 Buchstabe a DSGVO; den Wortlaut, dem Sie zugestimmt haben, speichere ich mit. Widerrufen können Sie jederzeit, eine kurze E-Mail genügt. Die Adresse steht in Ihrer Sendung und in meinen Unterlagen zu Ihrem Entwurf, nicht im Speicher Ihres Browsers. Meine E-Mails an Sie gehen über mein Postfach bei INWX (Abschnitt 04), eine Kopie davon hebe ich auf. Wie lange: wie Ihre Anmerkungen. Kommt kein Auftrag zustande, lösche ich die Adresse und die E-Mails an sie. Beauftragen Sie die Seite, gilt Abschnitt 06.

Ihre Anmerkungen arbeite ich mit demselben KI-Dienst ein wie die Anfragen aus Abschnitt 04 – Claude von Anthropic, mit Übermittlung in die USA und allem, was dort dazu steht. Das gilt auch für Fotos, die Sie an eine Anmerkung hängen, und für Ihre E-Mail-Adresse, die in der Sendung steht.

Wann Sie Ihren Entwurf geöffnet haben. Öffnen Sie Ihren Entwurf, notiert mein Server Datum und Uhrzeit und welche Seiten des Entwurfs Sie aufgerufen haben. Er entnimmt das dem Protokoll aus Abschnitt 02, aber ohne Ihre IP-Adresse und ohne die Kennung Ihres Browsers. Wozu: damit ich weiß, ob Sie den Entwurf angesehen haben. Grundlage: mein berechtigtes Interesse, Artikel 6 Absatz 1 Buchstabe f DSGVO. Wie lange: bis der Entwurf gelöscht wird oder Sie absagen. Beauftragen Sie die Seite, hebe ich danach nur auf, wann Sie den Entwurf zum ersten und zum letzten Mal geöffnet haben und wie oft. Widersprechen können Sie jederzeit, siehe Abschnitt 10.

06 · Wenn Sie Ihre Seite beauftragen

Beauftragen Sie die Seite über den Knopf in Ihrem Entwurf, speichert mein Server, was Sie dort eingeben: Betrieb und Anschrift, Ihren Namen und Ihre Funktion im Betrieb, Ihre E-Mail-Adresse und, falls angegeben, Telefonnummer und Umsatzsteuer-Identifikationsnummer. Dazu kommen Ihre Wahl zwischen Hosting und den Dateien zum Mitnehmen, was Sie dazugenommen haben, ob Sie mit Hosting jeden Monat die Besucherzahlen per E-Mail möchten, dass Sie die drei Häkchen gesetzt haben (Bestellung als Unternehmer, Auftragsbedingungen, Rechnung als PDF), der Preis mit seiner Zusammensetzung, Datum und Uhrzeit, das Preisblatt mit der Fassung der Auftragsbedingungen, so wie Sie es gesehen haben, und eine Kopie der Seite, so wie Sie sie beauftragt haben. Im Auftrag selbst steht keine IP-Adresse; das Serverprotokoll aus Abschnitt 02 läuft wie überall mit.

Antworten Sie auf eine Rückfrage (Abschnitt 05) mit Ja oder Nein, speichert mein Server Ihre Antwort zu jedem Posten mit seinem Preis, Datum und Uhrzeit. Weil ein Ja einen höheren Preis bestätigt, liegt sie bei den Aufträgen und wird wie diese aufbewahrt.

Wozu: um den Vertrag zu schließen und zu erfüllen, die Rechnung zu stellen und später nachweisen zu können, was beauftragt wurde. Grundlage: Artikel 6 Absatz 1 Buchstabe b DSGVO, für die Aufbewahrung Buchstabe c. Wie lange: Rechnung und Auftrag zehn Jahre, geschäftliche E-Mails sechs Jahre (§ 147 AO, § 257 HGB).

Die Angaben aus Ihrem Auftrag kann derselbe KI-Dienst lesen wie in Abschnitt 04 – Claude von Anthropic, mit Übermittlung in die USA und allem, was dort dazu steht. Das geschieht, wenn ich ihn nach einem Auftrag frage, etwa in meiner passwortgeschützten Übersicht, und wenn er an Ihrer Seite arbeitet, zum Beispiel Ihre Anmerkungen einarbeitet: Dann liest er meine Unterlagen zu Ihrer Seite, und darin steht der Auftrag.

Auftragsbestätigung und Rechnung kommen per E-Mail über mein Postfach bei INWX (Abschnitt 04). Liegt Ihre Seite bei mir, regelt der Vertrag zur Auftragsverarbeitung, was ich dabei für Sie verarbeite.

07 · Wenn Sie einen Brief von mir bekommen haben

Ich schreibe Betriebe an, deren Website ich überarbeiten könnte. Woher ich Ihre Anschrift habe: Name, Anschrift und Website Ihres Betriebs stammen aus OpenStreetMap, einer frei zugänglichen Karte, und von Ihrer eigenen, öffentlichen Website. Von dort stammen auch die Inhalte, aus denen ich Ihren Entwurf gebaut habe, und gegebenenfalls der Name der Inhaberin oder des Inhabers aus dem Impressum.

Wozu: um Ihnen einen Entwurf zu bauen und Ihnen per Brief anzubieten, und für höchstens einen weiteren Brief innerhalb eines Jahres. Grundlage: mein berechtigtes Interesse, Ihrem Betrieb ein Angebot zu machen, Artikel 6 Absatz 1 Buchstabe f DSGVO. Wie lange: Den Entwurf, den Brief und meine Unterlagen zu Ihrem Betrieb bis zu dem Löschtag, der in Ihrem Brief steht, oder bis Sie absagen – mein Server löscht sie am Löschtag und am Tag danach von selbst. Beauftragen Sie die Seite, gilt Abschnitt 06. Danach behalte ich bis ein Jahr nach dem Brief nur noch den Namen Ihres Betriebs, den Namen der Inhaberin oder des Inhabers, Ihre Anschrift und die Adresse Ihrer Website, für den einen weiteren Brief; dann lösche ich auch das. Haben Sie abgesagt, entfällt dieses Jahr. Damit ich Ihren Betrieb danach nicht noch einmal anschreibe, behalte ich zwei Prüfsummen, aus der Adresse Ihrer Website und aus Ihrer Anschrift errechnet: Aus ihnen lässt sich nichts zurücklesen, sie zeigen nur, dass ein Betrieb schon einmal dran war. Für meine Statistik bleiben nur Zahlen, ohne Namen und Anschrift: wann der Brief ging, ob der Entwurf geöffnet wurde und welchen Preis er hatte. Zwei Dinge verschwinden nicht sofort: Ältere Stände Ihres Entwurfs bleiben in der Versionsgeschichte meiner Arbeitsdateien, die nur ich sehe, und die Arbeitsprotokolle des KI-Dienstes aus Abschnitt 04 löscht mein Server nach 30 Tagen.

Briefe vor dem 18.10.2026: Für sie gilt die frühere Fassung dieses Abschnitts. Nach dem Löschtag behalte ich dort nur die zwei Prüfsummen.

Den Brief druckt und verschickt in meinem Auftrag die A&O Fischer GmbH & Co. KG (LetterXpress). Beim Bau des Entwurfs hilft der KI-Dienst aus Abschnitt 04. Er bekommt dabei Namen, Branche und Anschrift Ihres Betriebs sowie die Adresse und den Inhalt Ihrer Website, samt Impressum. Die Übermittlung in die USA ist dieselbe wie dort.

Sie wollen keine Post mehr von mir? Eine kurze E-Mail genügt. Dann lösche ich Ihren Entwurf und Ihre Daten und behalte nur Betrieb, Anschrift und die Adresse Ihrer Website auf einer Sperrliste, dazu den Tag und den Grund des Eintrags, damit Sie keinen weiteren Brief bekommen. Diesem Widerspruch gegen Werbung muss ich immer folgen (Artikel 21 Absatz 2 und 3 DSGVO).

08 · Was in Ihrem Browser gespeichert wird

Diese Seite setzt keine Cookies. Einiges legt sie im Speicher Ihres Browsers ab: im lokalen Speicher, der bleibt, bis Sie ihn löschen, oder im Sitzungsspeicher, den Ihr Browser beim Schließen des Fensters selbst leert.

Auf dieser Seite, im lokalen Speicher:

• ob Sie die helle oder die dunkle Ansicht gewählt haben
• wie oft ein Zugangscode falsch eingetippt wurde – damit die Seite nach mehreren Fehlversuchen eine Pause macht

Auf Ihrem Entwurf, im lokalen Speicher:

• Ihre Anmerkungen, bei einem angehängten Foto mit einem kleinen Vorschaubild, und ob Sie sie schon abgeschickt haben
• die Quittungen Ihrer Sendungen – mit ihnen fragt Ihr Browser beim Öffnen bei meinem Server nach, ob ich eine Sendung eingearbeitet habe, und räumt dann die Anmerkungen daraus weg
• wie Sie Farbe, Schrift und Aussehen eingestellt haben und ob das Fenster dafür offen ist
• ob Sie die Werkzeuge zugeklappt haben
• ob Sie die kurze Erklärung der Werkzeuge schon gesehen haben
• bei manchen Entwürfen: ob Sie die helle oder die dunkle Ansicht gewählt haben

Auf Ihrem Entwurf, im Sitzungsspeicher:

• wie viele Hinweise auf den Seiten des Entwurfs stehen und bei welchem Sie gerade sind
• ob Ihnen eine Rückfrage schon gezeigt wurde – damit sie nicht bei jedem Seitenwechsel wieder aufgeht

Auf den Beispielen merkt sich der Sitzungsspeicher nur, in welche Richtung Sie zuletzt geblättert haben. Bis auf die Quittungen verlässt nichts davon Ihr Gerät; was Sie anmerken und einstellen, geht erst mit dem Abschicken hinaus, ein Foto schon beim Anhängen (Abschnitt 05).

All das ist für die Funktionen nötig, die Sie selbst aufrufen, oder dient der Sicherheit. Deshalb ist dafür keine Einwilligung erforderlich (§ 25 Absatz 2 TDDDG) – und deshalb gibt es hier auch kein Zustimmungsfenster. Löschen können Sie alles jederzeit über die Einstellungen Ihres Browsers.

09 · Was hier nicht stattfindet

• Keine Besucherstatistik und kein Analysewerkzeug. Notiert wird nur, wann ein Betrieb seinen eigenen Entwurf geöffnet hat (Abschnitt 05).
• Keine Werbenetzwerke, kein Weiterverkauf von Daten, kein Newsletter.
• Keine Google-Schriften aus dem Netz. Alle Schriften liegen auf meinem Server und werden von dort geladen.
• Keine eingebetteten Karten, Videos oder Schaltflächen sozialer Netzwerke.
• Keine automatisierte Entscheidung und kein Profiling.

10 · Ihre Rechte

Ihnen stehen gegenüber mir zu:

• Auskunft darüber, welche Daten ich über Sie habe (Artikel 15)
• Berichtigung, wenn etwas falsch ist (Artikel 16)
• Löschung (Artikel 17)
• Einschränkung der Verarbeitung (Artikel 18)
• Herausgabe Ihrer Daten in einem übertragbaren Format (Artikel 20)
• Widerspruch gegen Verarbeitungen, die auf berechtigtem Interesse beruhen – also gegen die Serverprotokolle aus Abschnitt 02, den Vermerk aus Abschnitt 05, wann Sie Ihren Entwurf geöffnet haben, und gegen Briefe und Entwürfe aus Abschnitt 07 (Artikel 21)
• Widerruf einer erteilten Einwilligung, jederzeit und mit Wirkung für die Zukunft (Artikel 7 Absatz 3)

Eine formlose E-Mail an die Adresse oben genügt. Sie zahlen dafür nichts, und Sie müssen nicht begründen, warum.

11 · Beschwerde

Wenn Sie meinen, dass ich mit Ihren Daten etwas falsch mache, können Sie sich bei einer Aufsichtsbehörde beschweren – ohne mich vorher zu fragen. Zuständig ist die Behörde des Bundeslandes, in dem ich sitze: